Datenschutz

Was wir über Sie wissen, was wir speichern und wie lange — in klaren Worten, denn ein Versprechen, das man nicht prüfen kann, ist keines wert.

Was wir nicht über Sie wissen

Wir fragen nie nach Namen, Ausweis, Anschrift oder Telefonnummer, und es gibt auch kein Feld dafür. Ein Konto ist ein zufälliger Schlüssel: die App zeigt ihn, wir speichern ihn, und er sagt nichts darüber aus, wem er gehört.

Nichts von dem, was unten steht, wird verkauft oder weitergegeben. Es existiert, damit wir auf eine rechtmäßige Anordnung antworten können — und für nichts sonst.

Was wir speichern

Zu jeder Verbindung über unsere Server halten wir drei Dinge fest: die Adresse, von der die Verbindung kam, wohin diese Verbindung ging, und wann. Sonst nichts.

Das Ziel wird so festgehalten, wie unsere Server es sehen: als Adresse oder als der Name, nach dem das Gerät gefragt hat. Die Einträge werden bis zu 365 Tage aufbewahrt und danach vernichtet.

Was in diesen Einträgen nicht steht

• Ihr Konto — es wird dort nicht vermerkt, und es lässt sich nicht ermitteln, zu welchem Konto ein Eintrag gehört
• nichts von dem, was Sie gesendet oder empfangen haben — wir sehen nicht in eine verschlüsselte Verbindung hinein und versuchen es nicht
• welche Seiten Sie geöffnet, was Sie eingegeben und was man Ihnen gezeigt hat

Der erste Punkt ist der entscheidende. Eintrag und Konto liegen an verschiedenen Orten, unter verschiedenen Schlüsseln, und niemand kann sie verbinden, wir selbst eingeschlossen.

Wer sie lesen kann, und wann

Nichts im laufenden System kann das. Die Einträge werden im Moment ihrer Entstehung verschlüsselt, auf dem Server, der sie erzeugt, mit einem Schlüssel, der in unserer Infrastruktur überhaupt nicht liegt — die Maschine mit einem Jahr an Einträgen kann also keinen einzigen davon öffnen.

Zum Lesen muss ein Mensch diesen Schlüssel selbst mitbringen. Jeder solche Zugriff wird festgehalten: wer, wann und auf welcher Grundlage.

Warum wir sie überhaupt speichern

Weil wir ein Unternehmen mit Namen und Anschrift sind und keine anonyme Gruppe, und eine an uns gerichtete rechtmäßige Anordnung beantwortbar sein muss. Eine solche Anordnung fragt nach einer Adresse zu einer Zeit — und genau das ist es, was wir aufbewahren.

Was ein VPN nicht leistet

Es teilt Vertrauen, statt es abzuschaffen: statt über Ihren Anbieter läuft Ihr Verkehr über uns. Es macht Sie nicht anonym gegenüber einer Seite, bei der Sie sich anmelden, und schützt nicht vor jemandem, dem Sie Ihre Daten selbst geben. Prüfen Sie stets, mit wem Sie es zu tun haben.

Die Prüfung, die zeigt, was blockiert wird

Die App kann prüfen, ob unser Dienst von Ihrem Standort aus erreichbar ist, und uns das Ergebnis senden. Es ist das Einzige hier, das ein Netz beschreibt und keine Person — und es ist so gebaut, dass es das Zweite nicht kann.

Ein Bericht nennt, welche unserer Server geantwortet haben und welche nicht, und dasselbe für einige bekannte Websites — genau das trennt „unser Dienst ist kaputt“ von „Ihr Netz blockiert etwas“. Dazu die Plattform, die App-Version, die Art der Verbindung — Kabel, WLAN oder Mobilfunk — und ein Land, das das Gerät selbst ermittelt, damit es weiß, welche örtlichen Websites es prüfen soll: das Land, das Sie in der Desktop-App gewählt haben, sonst das Land Ihres Mobilfunkanbieters oder Ihrer Zeitzone, und nur aus einer kurzen Liste, sodass ein Bericht außerhalb dieser Länder keines enthält. Ein Android-Telefon sendet außerdem den Code seines Mobilfunkanbieters, und dieser Code nennt selbst das Land des Anbieters. Mehr nicht: kein Konto, kein Gerät, kein Name, keine Adresse. Die Adresse, die unser Server zwangsläufig sieht, wird noch innerhalb der Anfrage zu einem Land und einem Netzbetreiber — und danach verworfen.

Der Schalter ist in der App, und das Ausschalten wirkt sofort: nichts wird gemessen, nichts wartet auf Versand, und was das Gerät gesammelt hatte, wird gelöscht. Ein einzelner Bericht wird 14 Tage aufbewahrt; länger bleiben nur Zählwerte.

Wenn etwas nicht funktioniert, gibt es im Diagnosebildschirm die Schaltfläche „An den Support senden“. Wer sie drückt, bittet uns um Hilfe: Die App sendet den Verlauf ihrer letzten Prüfungen, unser Support sieht ihn, sobald er eintrifft, und die App zeigt einen kurzen Einmalcode, den Sie in Ihre Nachricht schreiben, damit wir wissen, welcher Verlauf Ihrer ist. Der Support sieht ihn 72 Stunden lang. Ihre Adresse geht nur mit, wenn Sie „meine Adresse mitsenden“ ankreuzen — standardmäßig ist das aus, hilft aber bei Netzwerkproblemen. Die Übermittlung ist nicht mit Ihrem Konto verknüpft und wird nach 30 Tagen gelöscht, oder früher, sobald Ihr Fall abgeschlossen ist.

Konto löschen

Sie können Ihr Konto jederzeit selbst und endgültig löschen — im Kundenportal oder über das Menü der App. Sie brauchen nur Ihren Zugangsschlüssel. Alles zum Konto wird sofort entfernt, und Ihre anderen Geräte melden sich ab, sobald sie das nächste Mal eine Serverliste anfordern. Damit das möglich ist, bewahren wir 90 Tage lang einen nicht umkehrbaren Fingerabdruck des gelöschten Schlüssels auf; aus ihm lassen sich weder der Schlüssel noch das Konto zurückgewinnen. Die Aufzeichnung einer Aktion des Betreibers an einem Konto wird 12 Monate aufbewahrt, Dienstprotokolle, die ein Konto erwähnen können, höchstens 30 Tage. Die Seite „Konto löschen“ unten auf dieser Website erklärt jeden Schritt.