Datenschutzerklärung

Stand: 2026-10-25

Diese Erklärung informiert nach Art. 13 DSGVO darüber, welche personenbezogenen Daten bei der Nutzung von lightmails.com verarbeitet werden. Unser Leitgedanke: möglichst wenig erheben, alles Sensible verschlüsseln, Inhalte nicht lesen.

1. Verantwortlicher

Disporo, Inhaber Luca Cataldo, c/o Autorenglück #69236, Albert-Einstein-Str. 47, 02977 Hoyerswerda, Deutschland. E-Mail: info@disporo.com. Weitere Angaben im Impressum.

2. Unsere Rolle: Verantwortlicher und Auftragsverarbeiter

• Verantwortlicher sind wir für die Daten deines Kontos und die Nutzung der Website (Abschnitte 4 bis 8).
• Auftragsverarbeiter sind wir für E-Mail-Inhalte und Postfachdaten, die du als Kunde über lightmails weiterleiten oder hosten lässt (Abschnitt 9). Dafür gilt unser Auftragsverarbeitungsvertrag.

3. Besuch der Website

Die Website wird ohne Tracking, Analyse-Dienste, Werbe-Pixel, Social-Media-Plugins oder externe Schriften ausgeliefert. Alle Dateien (inklusive Schrift) kommen von unserem eigenen Server. Beim Abruf verarbeitet der Server technisch notwendig die IP-Adresse und Anfragedaten, um die Seite auszuliefern und Missbrauch abzuwehren (Rate-Limits im Arbeitsspeicher). Wir schreiben IP-Adressen nicht in Logdateien oder Datenbanken. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Betrieb und Sicherheit).

4. Cookies und lokaler Speicher

Es werden ausschließlich technisch notwendige Speicherzugriffe vorgenommen. Dafür ist nach § 25 Abs. 2 Nr. 2 TDDDG keine Einwilligung erforderlich. Deshalb gibt es kein Einwilligungs-Banner mit Auswahl, sondern nur einen Hinweis. Sollten wir künftig nicht notwendige Dienste einsetzen, holen wir vorher deine Einwilligung ein.

5. Konto und Anmeldung

Zur Registrierung verarbeiten wir E-Mail-Adresse, Passwort (nur als Argon2id-Hash), optional Anzeigename, Zeitstempel (Erstellung, letzter Login), Sicherheitsstatus (Fehlversuche, Sperre) sowie Sitzungsdaten (Sitzungs-Hash, Browserkennung, Ablauf). Wir senden dir Bestätigungs- und Passwort-Reset-Mails. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Speicherdauer: bis zur Löschung deines Kontos; Sitzungen laufen spätestens nach 30 Tagen ab.

Passkeys

Wenn du Passkeys (WebAuthn) einrichtest, speichern wir die öffentliche Schlüsselinformation und einen frei wählbaren Namen, verschlüsselt in der Datenbank. Biometrische Daten verlassen dein Gerät nicht.

Anmeldung mit GitHub

Wenn du dich mit GitHub anmeldest, leitest du dich auf github.com weiter. GitHub übermittelt uns deine GitHub-ID und deine verifizierte E-Mail-Adresse. Anbieter ist GitHub Inc., USA (Microsoft). Die Übermittlung in die USA stützt sich auf den EU-US Data Privacy Framework-Angemessenheitsbeschluss. Die Nutzung ist freiwillig. Es gilt zusätzlich die Datenschutzerklärung von GitHub.

6. Workspaces, Domains, Mitglieder

Wir speichern, welche Workspaces, Domains, Postfachnamen, Mitglieder und Rollen du anlegst, sowie ein Aktivitätsprotokoll (z. B. „Domain hinzugefügt“) ohne IP-Adressen und ohne Mailinhalte. Einladungen verarbeiten die E-Mail-Adresse der eingeladenen Person. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

7. Cloudflare-Anbindung (optional)

Wenn du ein Cloudflare-API-Token hinterlegst, um DNS-Einträge automatisch zu setzen, speichern wir es verschlüsselt (AES-256-GCM) und verwenden es nur für die von dir ausgelösten DNS-Änderungen. Du kannst es jederzeit trennen, dann wird es gelöscht. Die Aufrufe gehen an die Cloudflare-API (Cloudflare, Inc., USA, Data Privacy Framework).

8. E-Mail-Relay (Hybrid-Betrieb)

Im Hybrid-Betrieb nehmen wir E-Mails für deine Domain an, versiegeln sie sofort mit dem öffentlichen Schlüssel deines Postfachs und halten sie ausschließlich als Ausfallpuffer, bis dein Server sie abgeholt und quittiert hat. Danach werden sie gelöscht, spätestens nach 30 Tagen. Wir lesen, scannen oder werten Inhalte nicht aus. Zum Zustellen halten wir Hüllendaten vor (Empfängeradresse, Größe, Zeitpunkt), bis die Mail abgeholt ist. Ausgehende Mails werden signiert (DKIM) und an die Empfängerserver zugestellt; sie werden nicht dauerhaft gespeichert.

9. Gehostete Postfächer (Hosted-Betrieb)

Im Hosted-Betrieb liegen Mails in deinem Postfach bei uns, versiegelt mit einem Schlüssel, der durch dein Postfach-Passwort geschützt ist. Der Zugriff erfolgt nur durch dich. Als Kunde bist du Verantwortlicher für diese Inhalte, wir sind Auftragsverarbeiter (AVV). Ein Workspace umfasst standardmäßig 100 MB.

10. Technisch unvermeidbare Verarbeitung

Während der SMTP-Annahme und beim Versand liegt eine Mail zwangsläufig kurz im Arbeitsspeicher des Servers im Klartext. Dabei werden SPF-, DKIM- und DMARC-Prüfungen auf Absenderangaben ausgeführt. Eine inhaltliche Auswertung findet nicht statt. Bei Zugriff auf ein gehostetes Postfach per IMAP oder Webmail wird dessen Schlüssel für die Dauer der Sitzung im Arbeitsspeicher gehalten.

11. Empfänger und Hosting

Unser Server wird bei einem Hosting-Anbieter betrieben, mit dem ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO besteht. Weitere Empfänger: GitHub (nur bei Anmeldung damit), Cloudflare (nur bei von dir aktivierter DNS-Anbindung), Empfängerserver deiner ausgehenden Mails. Eine Weitergabe zu Werbezwecken findet nicht statt.

12. Speicherdauer und Löschung

Kontodaten bis zur Löschung deines Kontos. Mails im Relay-Puffer bis zur Abholung, längstens 30 Tage. Aktivitätsprotokolle 12 Monate. Du kannst dein Konto im Panel löschen oder uns per E-Mail um Löschung bitten; gesetzliche Aufbewahrungspflichten bleiben unberührt.

13. Deine Rechte

Du hast das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch gegen Verarbeitungen nach Art. 6 Abs. 1 lit. f (Art. 21). Erteilte Einwilligungen kannst du jederzeit mit Wirkung für die Zukunft widerrufen. Schreibe dazu an info@disporo.com.

Du hast außerdem das Recht, dich bei einer Datenschutz-Aufsichtsbehörde zu beschweren, z. B. beim Sächsischen Datenschutz- und Transparenzbeauftragten, Dresden.

14. Sicherheit

Übertragung ausschließlich per TLS. Passwörter nur als Argon2id-Hash. Sensible Felder verschlüsselt. Mehr in der Sicherheitsübersicht.

15. Änderungen

Wir passen diese Erklärung an, wenn sich Funktionen oder Rechtslage ändern. Es gilt die jeweils hier veröffentlichte Fassung.