Datenschutzerklärung

Stand: 19. September 2026

Verantwortlicher

[at] Code & Consult – Akin Tekercibasi
Frankenfelder Weg 5
64579 Gernsheim-Allmendfeld
Deutschland
E-Mail: at@tekercibasi.de

Die vollständigen Anbieterangaben stehen im Impressum.

Das Wichtigste zuerst

traisor ist ein Passwort- und Secrets-Manager, der so gebaut ist, dass der Betreiber die gespeicherten Inhalte technisch nicht lesen kann. Ver- und Entschlüsselung finden ausschließlich auf deinem Gerät statt; der Server bekommt nur Chiffrate. Diese Website selbst lädt keine Inhalte von Dritten nach, setzt keine Cookies und misst dein Verhalten nicht. Auch „traisor.share" verschlüsselt geteilte Texte im Browser; der Schlüssel steht im Link hinter dem #-Zeichen und erreicht den Server nie.

Hosting und Server-Logs

Die Website und der traisor-Server laufen auf einem Server der netcup GmbH, Daimlerstraße 25, 76185 Karlsruhe (Standort Deutschland). Die verschlüsselte Verbindung (TLS, Zertifikate von Let's Encrypt) endet auf diesem Server; es ist kein Content-Delivery-Netzwerk und kein anderer Zwischendienst vorgeschaltet.

Beim Aufruf der Website protokolliert der vorgelagerte Webserver technisch notwendige Verbindungsdaten: IP-Adresse, Datum und Uhrzeit der Anfrage, angefragte Adresse, HTTP-Statuscode, übertragene Datenmenge, Referrer und User-Agent. Zweck ist der sichere und störungsfreie Betrieb sowie die Abwehr von Angriffen. Die Protokolle werden wöchentlich rotiert und nach höchstens 35 Tagen gelöscht; sie werden nicht mit anderen Daten zusammengeführt.

Das Programm, das die traisor-Schnittstelle bereitstellt, protokolliert separat nur Zeitpunkt, Methode, Pfad, Statuscode, Dauer und die Kennung des angemeldeten Geräts — keine IP-Adressen, keine E-Mail-Adressen, keine Zugangstoken und keine Inhalte von Anfragen (docs/02-krypto-architektur.md §8).

Bei geteilten Texten über „traisor.share" steht im Zugriffsprotokoll nur der Pfad /s/<Kennung> bzw. /api/v1/paste/<Kennung>, nie der Schlüssel hinter dem #-Zeichen — Schlüssel im URL-Fragment werden vom Browser grundsätzlich nicht an den Server gesendet. Das Anwendungsprotokoll schreibt Paste-Pfade ohne die Kennung. Gibst du den vollständigen Link (mit Schlüssel) selbst an Dritte weiter, etwa per Chat-App mit Linkvorschau, liegt das außerhalb unserer Kontrolle.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO, berechtigtes Interesse an einem sicheren und stabilen Betrieb.

Aufruf dieser Webseite

Diese Website ist eine statische Seite. Beim Aufruf gilt:

• Keine Cookies. Es werden keine Cookies gesetzt und keine Cookies ausgelesen; es gibt deshalb auch kein Einwilligungsbanner.
• Keine Reichweitenmessung, kein Tracking. Es läuft kein Analysewerkzeug, kein Werbenetzwerk, kein Zählpixel und keine Fingerprinting-Technik.
• Keine eingebundenen Drittinhalte. Es werden keine Karten, Videoplayer, Social-Media-Bausteine, Kommentarsysteme oder Skripte von fremden Servern geladen. Dein Browser baut beim Lesen dieser Seite keine Verbindung zu einem anderen Anbieter auf.
• Schriften vom eigenen Server. Schriftarten, Bilder und die Produktdemo liegen auf demselben Server wie die Seite; es werden keine Schriften von einem externen Schriftendienst nachgeladen.
• „traisor.share". Auf /share und /s/… läuft JavaScript vom eigenen Server, das lokal ver- und entschlüsselt. Es gilt weiterhin: keine Cookies, keine Reichweitenmessung, keine eingebundenen Drittinhalte.

Es entstehen damit außer den oben beschriebenen Server-Logs keine personenbezogenen Daten.

Namensauflösung über Cloudflare (nur DNS)

Für die Domain traisor.de nutzen wir die Cloudflare, Inc. (101 Townsend St., San Francisco, CA 94107, USA) ausschließlich als DNS-Anbieter, also für die Auskunft, welche IP-Adresse zu traisor.de gehört. Der Datenverkehr der Website läuft nicht über Cloudflare („DNS only", kein Proxy); Cloudflare sieht weder die von dir aufgerufenen Seiten noch deine Anfragen an den traisor-Server. Bei der Namensauflösung erfährt Cloudflare den angefragten Namen und die IP-Adresse des anfragenden DNS-Auflösers — in aller Regel den deines Internetanbieters, nicht deine eigene.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO, berechtigtes Interesse am Betrieb einer erreichbaren Domain. Für die DNS-Nutzung besteht keine gesonderte Vereinbarung zur Auftragsverarbeitung mit Cloudflare; es gelten die Standardbedingungen von Cloudflare.

Kontaktaufnahme per E-Mail

Auf dieser Website gibt es kein Kontaktformular. Der Knopf „Zugang anfragen" öffnet dein E-Mail-Programm mit einer vorbereiteten Nachricht an uns; ob und was du schreibst, entscheidest du. Schreibst du uns, verarbeiten wir deine E-Mail-Adresse, deinen Namen, soweit du ihn angibst, und den Inhalt deiner Nachricht, um die Anfrage zu beantworten.

Das Postfach, das die Anfragen empfängt, betreibt die netcup GmbH, Daimlerstraße 25, 76185 Karlsruhe — derselbe Anbieter wie beim Hosting. Die Verarbeitung der Nachrichteninhalte ist vom bestehenden Vertrag über Auftragsverarbeitung nach Art. 28 DSGVO mit erfasst.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit die Anfrage auf einen Vertrag oder eine Zugangserteilung zielt, sonst Art. 6 Abs. 1 lit. f DSGVO (Interesse an der Beantwortung von Anfragen). Anfragen werden spätestens 12 Monate nach der letzten Antwort gelöscht, sofern daraus kein Konto entstanden ist und keine gesetzliche Aufbewahrungspflicht besteht.

Nutzung von traisor selbst

Diese Angaben betreffen nicht die Website, sondern den Dienst traisor: die Chrome-Erweiterung und den zugehörigen Server. Der Zugang wird nur auf Einladung vergeben.

Was auf dem Server im Klartext liegt. Zu einem Konto speichert der Server: deine E-Mail-Adresse als Anmeldekennung, die Parameter der Schlüsselableitung (Verfahren, Speicher, Durchläufe, Salt), einen nicht umkehrbaren Prüfwert deines Anmeldeschlüssels, den öffentlichen Teil deines Kontoschlüssels, Konto- und Objektkennungen (zufällige UUIDs), Versions- und Abgleichszähler sowie Zeitstempel der Erstellung und der letzten Änderung. Zu jedem angemeldeten Gerät: eine Gerätekennung, Prüfwerte der Zugangstoken mit Ablaufzeitpunkt und der Zeitpunkt der letzten Nutzung.

Was verschlüsselt liegt. Alle Inhalte deines Tresors — Titel, Benutzernamen, Passwörter, Adressen, Notizen, Ordnernamen, Anhänge, Einstellungen und sogar der Name deiner Geräte — liegen ausschließlich als Chiffrat auf dem Server. Der Schlüssel dazu wird aus deinem Master-Passwort auf deinem Gerät berechnet und verlässt das Gerät nie. Der Betreiber kennt dein Master-Passwort nicht und kann die Inhalte technisch nicht entschlüsseln. Auch die Länge eines Eintrags ist durch Auffüllen auf Blöcke verschleiert, und der Server speichert bewusst keine Klartextfelder für Ordnerzugehörigkeit, Typ, Favorit oder Papierkorb (docs/02-krypto-architektur.md §3 und §7).

Zwei-Faktor-Anmeldung. Schaltest du die Anmeldung per Einmalcode (TOTP) ein, muss der Server das zugehörige Geheimnis kennen. Es liegt mit einem serverseitigen Schlüssel verschlüsselt in der Datenbank. Dieser eine Wert ist bewusst nicht Teil der Ende-zu-Ende-Verschlüsselung; er schützt das Konto, nicht die Tresorinhalte.

Verlauf und gelöschte Einträge. Der Server hält ältere Fassungen eines Eintrags — ebenfalls nur als Chiffrat — für die letzten 20 Versionen oder 90 Tage, je nachdem, was länger ist. Löschst du einen Eintrag, bleibt 180 Tage lang ein Löschvermerk (Kennung, Art, Zeitpunkt) bestehen, damit deine anderen Geräte die Löschung nachvollziehen können.

Backups. Von der Datenbank wird täglich eine Sicherung erstellt und 14 Tage lang auf demselben Server aufbewahrt; danach wird sie automatisch gelöscht. Eine Sicherung enthält genau das, was auch die Datenbank enthält — also Chiffrate, Prüfwerte und E-Mail-Adressen, keine lesbaren Tresorinhalte. Eine Kopie der Sicherungen außerhalb dieses Servers gibt es derzeit nicht.

Was die Erweiterung auf deinem Gerät tut. Sie speichert Chiffrate lokal im Browser, damit der Tresor auch offline verfügbar ist, und hält Schlüssel und Zugangstoken nur im Arbeitsspeicher der laufenden Browsersitzung. Sie sendet Daten ausschließlich an den traisor-Server unter traisor.de, an keinen weiteren Empfänger. Sie wird nicht über einen Erweiterungs-Store verteilt, sondern unmittelbar an eingeladene Personen; dadurch fallen bei einem Store-Betreiber keine Installations- oder Nutzungsdaten an.

Rechtsgrundlage für die Verarbeitung im Rahmen des Kontos: Art. 6 Abs. 1 lit. b DSGVO (Erfüllung des Nutzungsverhältnisses); für Protokollierung und Sicherungen Art. 6 Abs. 1 lit. f DSGVO.

traisor.share

Mit „traisor.share" kannst du Text (angemeldet zusätzlich Dateien bis 2 MiB) über einen Link weitergeben, ohne ein Konto zu brauchen. Die Verschlüsselung läuft in deinem Browser; der Server speichert nur Chiffrat und sieht den Inhalt nie.

Was der Server speichert. Zu einem geteilten Text: eine zufällige, bedeutungslose Kennung, Anlage- und Ablaufzeitpunkt, ob der Text nach dem ersten Öffnen gelöscht wird, ob ein zusätzliches Passwort gesetzt ist und die dafür nötigen, nicht geheimen Schlüsselableitungsparameter, zwei nicht umkehrbare Prüfwerte (für das Öffnen und für das Löschen durch dich), das Chiffrat selbst, seine aufgefüllte Länge, die Zahl der Fehlversuche beim Öffnen mit einer möglichen Sperrzeit sowie — falls aus einem angemeldeten Konto erstellt — die Kontokennung.

Was nicht gespeichert wird. Deine IP-Adresse, dein Browser-Kennzeichen (User-Agent), ein Titel, das Format des Inhalts, das Link-Geheimnis selbst, ein gesetztes Passwort — weder im Klartext noch als Hash — und keine Empfänger-E-Mail-Adresse. Deine IP-Adresse besteht nur kurzzeitig im Arbeitsspeicher des Servers, um zu viele Anfragen von derselben Adresse zu begrenzen, und wird nicht in eine Datenbank geschrieben.

Ablauf und Löschung. Du legst beim Erstellen eine Gültigkeit zwischen 10 Minuten und 30 Tagen fest. Ein Text wird gelöscht, sobald er abläuft, beim ersten erfolgreichen Öffnen, wenn du „Einmal-Lesen" gewählt hast, oder wenn du ihn selbst über den Knopf „Jetzt löschen" entfernst. Fehlgeschlagene Versuche, einen Text mit falschem Schlüssel zu öffnen, führen zu einer wachsenden Wartezeit, aber nicht zur Löschung des Textes.

„Speichern erlauben" ist keine Kopiersperre. Ein Hinweis beim Öffnen, ob du den Inhalt speichern darfst, ist eine Bitte an dich, keine technische Sperre. Speicherst du einen geteilten Text in deinem eigenen traisor-Tresor, liegt diese Kopie danach wie jeder andere Tresoreintrag in deinem Konto (siehe Abschnitt „Nutzung von traisor selbst").

Keine Sicherungskopie. Geteilte Texte sind von der täglichen Datenbanksicherung ausgenommen. Ein „Einmal-Lesen"-Text, der schon geöffnet wurde, kann deshalb nicht aus einem Backup wiederhergestellt werden — das ist beabsichtigt.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Bereitstellung des angefragten Dienstes, Abwehr von Missbrauch). Erstellst du einen Text aus einem angemeldeten Konto heraus, gilt zusätzlich Art. 6 Abs. 1 lit. b DSGVO für die Zuordnung zu deinem Konto.

Meldungen zu geteilten Texten

Wer über den Knopf „Missbrauch melden" auf /s/<Kennung> einen geteilten Text meldet, kann einen Freitext (höchstens 2000 Zeichen) und freiwillig eine Kontaktmöglichkeit angeben. Wir speichern dazu: die Kennung des gemeldeten Textes, Zeitpunkt der Meldung, den Freitext, die freiwillige Kontaktangabe sowie — sobald entschieden — Zeitpunkt und Begründung der Entscheidung. Eine Meldung über das Formular enthält keinen Schlüssel; wir können den gemeldeten Inhalt deshalb nicht einsehen, außer die meldende Person schickt uns den vollständigen Link (mit Schlüssel) zusätzlich und freiwillig per Mail.

Zweck ist die Prüfung und gegebenenfalls Entfernung rechtswidriger oder missbräuchlicher Inhalte im Rahmen der Melde- und Abhilfeverfahren nach der Verordnung (EU) 2022/2065 (Digital Services Act). Meldungen werden nach 12 Monaten gelöscht.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Missbrauchsabwehr, Schutz Dritter), ergänzend Art. 6 Abs. 1 lit. c DSGVO, soweit eine rechtliche Pflicht aus dem Digital Services Act greift.

Empfänger und Auftragsverarbeiter

• netcup GmbH, Daimlerstraße 25, 76185 Karlsruhe — Betrieb des Servers, auf dem Website, Anwendung und Datenbank laufen. Mit netcup besteht ein Vertrag über Auftragsverarbeitung nach Art. 28 DSGVO.
• Cloudflare, Inc. — ausschließlich Namensauflösung (DNS), siehe oben. Keine Übermittlung von Website- oder Tresordaten.

Darüber hinaus geben wir keine Daten weiter. Es findet kein Verkauf, kein Profiling und keine automatisierte Entscheidungsfindung statt.

Speicherdauer und Löschung

Eine Funktion „Konto löschen" gibt es in der Erweiterung noch nicht; die Löschung erfolgt derzeit auf Anfrage per E-Mail an invite@traisor.de und wird innerhalb von 30 Tagen ausgeführt. Nach der Löschung eines Kontos verschwinden die Daten aus den Sicherungen spätestens mit deren Ablauf nach 14 Tagen.

Deine Rechte

Du hast gegenüber dem Verantwortlichen das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) sowie Widerspruch gegen Verarbeitungen auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO (Art. 21). Eine erteilte Einwilligung kannst du jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3 DSGVO).

Eine Einschränkung ergibt sich aus der Bauart des Dienstes: Auskunft und Datenübertragbarkeit können wir für die Tresorinhalte nur als Chiffrat erfüllen, weil wir sie nicht entschlüsseln können. Den lesbaren Export deiner Daten erzeugst du selbst in der Erweiterung, wo dein Schlüssel vorliegt. Zu über „traisor.share" geteilten Texten können wir keine Auskunft über den Inhalt geben, weil wir ihn nicht lesen können; eine Zuordnung geteilter Texte zu bestimmten Personen findet nicht statt, außer bei Texten, die aus einem angemeldeten Konto heraus erstellt wurden.

Beschwerderecht

Du hast das Recht, dich bei einer Datenschutz-Aufsichtsbehörde zu beschweren (Art. 77 DSGVO). Für uns zuständig ist:

Der Hessische Beauftragte für Datenschutz und Informationsfreiheit
Postfach 3163, 65021 Wiesbaden
datenschutz.hessen.de

Änderungen

Diese Erklärung wird angepasst, sobald sich der Dienst technisch oder rechtlich ändert. Das Stand-Datum am Anfang zeigt die letzte Überarbeitung.