Datenschutz­erklärung

Moebius GmbH, Martin-Butzer-Straße 6, 67098 Bad Dürkheim, vertreten durch den Geschäftsführer Felix Ludewig.
E-Mail: info@moebius-media.com
Ein Datenschutzbeauftragter ist nicht benannt. [Rechtlich prüfen lassen: ob ein Datenschutzbeauftragter nötig ist]

Squid ist ein Angebot der Moebius GmbH. Nutzt eine andere Firma Squid für ihr Team, ist diese Firma für die Mails ihrer Postfächer verantwortlich; wir verarbeiten sie dann in ihrem Auftrag (Auftragsverarbeitung nach Art. 28 DSGVO).

• Squid ist ein Mail-Programm für Teams. Ihre Mails bleiben bei Ihrem Mailanbieter. Unser Server hält eine Kopie, damit Ihr Team gemeinsam daran arbeiten kann.
• Diese Website setzt keine Cookies, speichert nichts in Ihrem Browser und lädt nichts von fremden Servern. Im Browser zählt kein Skript. Außer den technisch nötigen Angaben beim Aufruf bekommen wir Daten von Ihnen nur, wenn Sie ein Formular absenden (Abschnitt 3).
• Keine Werbung, kein Tracking und keine Analyse-Werkzeuge in der App. Mails werden ohne Tracking-Pixel, ohne umgeschriebene Links und ohne JavaScript angezeigt; Bilder von fremden Servern nur auf Wunsch.
• Unser Server steht bei Hostinger in Deutschland. KI-Funktionen gibt es nur, wenn Ihre Firma in der App ihren eigenen Anthropic-Schlüssel hinterlegt (Einstellungen › KI › KI-Zugang). Dann gehen gekürzte Mailtexte mit diesem Schlüssel an Anthropic. Anthropic speichert Daten heute in den USA; wo gerechnet wird, legt das Anthropic-Konto Ihrer Firma fest. Dafür gilt der Vertrag Ihrer Firma mit Anthropic. Ohne Schlüssel ist die KI aus, und es gehen keine Daten an einen KI-Anbieter. Anhänge gehen nie an die KI, nur ihre Namen.
• Wo wir Daten auf Grundlage unseres berechtigten Interesses verarbeiten, können Sie widersprechen (Abschnitt 11).

[Rechtlich prüfen lassen (Paket 2): der Hinweis statt einer Einwilligung im Formular, die Rechtsgrundlagen, die Zählung auf dem Server nach § 25 TDDDG, die Warteliste und die Neuigkeiten mit Bestätigung per Mail, die Terminseite]

Aufruf und Hosting

Wenn Sie squ1d.com aufrufen, sendet Ihr Browser technisch nötige Angaben an unseren Server: Ihre IP-Adresse, Datum und Uhrzeit, die aufgerufene Adresse, die Kennung Ihres Browsers und, falls Ihr Browser sie mitschickt, die Adresse der Seite, von der Sie kommen. Wir brauchen diese Angaben, um Ihnen die Seite auszuliefern und unseren Server vor Missbrauch zu schützen. Für die Website schreibt der Server keine Zugriffsprotokolle mit IP-Adressen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist eine sichere und funktionierende Website.

Die Website liegt auf unserem Server bei Hostinger in Deutschland; Hostinger verarbeitet die Daten in unserem Auftrag (Art. 28 DSGVO). Die Domain squ1d.com wird bei Cloudflare aufgelöst (nur DNS); Ihre Seitenaufrufe laufen nicht über Cloudflare. Die Website setzt keine Cookies, speichert nichts in Ihrem Browser und lädt nichts von fremden Servern, auch keine Schriften. Links auf andere Seiten, etwa auf unsere Statusseite, öffnen erst mit Ihrem Klick eine Verbindung dorthin.

Testzugang anfragen

Mit dem Formular „Testzugang anfragen“ fragen Sie für Ihre Firma einen Zugang zur Testphase oder eine Demo an; auf eigenen Seiten bewerben Sie sich damit als Gründungspartner oder Partner. Dafür verarbeiten wir:

• Ihren Namen und Ihre E-Mail-Adresse,
• den Namen Ihrer Firma oder als was Sie selbständig sind (im ausführlichen Formular),
• die Größe Ihres Teams, wo Ihre Mails heute liegen und ob alle, die Ihre geteilten Adressen bearbeiten, am Mac arbeiten,
• Ihr Anliegen: Testzugang, Demo, Bewerbung als Gründungspartner oder als Partner,
• freiwillig: wie Sie von Squid erfahren haben und Ihre Nachricht an uns,
• den Preisplan, wenn Sie das Formular über einen Plan auf unserer Preisseite öffnen,
• die Seite, von der aus Sie das Formular abschicken, und Kampagnenangaben aus deren Adresse (utm_source, utm_medium, utm_campaign),
• die Fassung des Hinweises unter dem Formular und den Zeitpunkt, zu dem Sie es abschicken,
• unseren Bearbeitungsstand, den nächsten Schritt mit Datum, interne Notizen und, falls es nicht passt, den Grund.

Die Adresse der Seite, über die Sie zu uns gekommen sind, schickt das Formular nicht mit. Wir nutzen die Angaben, um Ihre Anfrage zu beantworten und Ihrer Firma einen Zugang einzurichten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, wenn Sie selbst unser Vertragspartner werden wollen, zum Beispiel als Selbständige, sonst Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist, Anfragen von Firmen zu beantworten und ihnen einen Zugang einzurichten. Weil wir uns dafür nicht auf eine Einwilligung stützen, steht unter dem Formular ein Hinweis statt eines Häkchens.

Sie bekommen eine Eingangsbestätigung per Mail, ohne Werbung. Sie geht über Hostinger Business Email mit MailChannels als Versanddienst (Abschnitt 8). [Vor dem Start prüfen: über welches Postfach der Server die Bestätigungen verschickt] Eine Benachrichtigung mit Ihren Angaben geht an unser Postfach info@moebius-media.com bei Google Workspace. Schicken Sie innerhalb von 24 Stunden noch eine Anfrage mit derselben Adresse, speichern wir sie zusätzlich, ohne eine weitere Mail zu schicken; die erste Anfrage bleibt unverändert. Damit niemand das Formular nutzen kann, um Mails an fremde Adressen zu schicken, gehen nur begrenzt viele Bestätigungen pro Stunde, pro Tag und pro Domain raus; darüber hinaus antworten wir selbst. Ihre Anfrage übernehmen wir außerdem in unsere Liste der Vertriebskontakte (Abschnitt 6).

[Ab dem Einschalten der Abfrage, geplant W4 bis W6] Um einzuschätzen, ob Squid zu Ihrem Mailanbieter passt, fragt unser Server nach dem Absenden die öffentlichen MX-Einträge der Domain Ihrer E-Mail-Adresse ab, eine DNS-Abfrage. Er speichert nur eine Einordnung: Google, Microsoft, Hostinger, ein anderer Anbieter oder kein Eintrag. Bei Adressen von Freemail-Anbietern fragt er nicht.

Gegen automatisch ausgefüllte Formulare prüft der Server ein für Menschen unsichtbares Feld und wie schnell das Formular abgeschickt wurde, ohne Dienste Dritter. Ist das unsichtbare Feld ausgefüllt, speichert er nichts. Kommt das Formular auffällig schnell, speichert er die Anfrage mit einem Hinweis, schickt keine Bestätigung, und wir sehen sie uns selbst an. Wie oft der Server Anfragen aussortiert, zählt er nur als Zahl pro Tag. Ihre IP-Adresse nutzt der Server nur, um zu viele Anfragen von einer Adresse zu bremsen, und speichert sie nicht. Im Arbeitsspeicher hält er dafür nur einen daraus berechneten Hashwert (bei IPv6 für den Adressbereich /64). Den geheimen Schlüssel dieser Berechnung erzeugt er jeden Tag neu und nur im Arbeitsspeicher; nach dem Tageswechsel lässt sich ein solcher Wert keiner Adresse mehr zuordnen. Die Hashwerte verschwinden, sobald neuere sie verdrängen, spätestens beim nächsten Neustart des Servers.

Wir löschen Anfragen nach 12 Monaten automatisch, auf Ihren Wunsch früher; eine Mail an info@moebius-media.com genügt.

Besucherzählung

In Ihrem Browser läuft dafür kein Skript, und auf Ihrem Gerät wird nichts gespeichert oder ausgelesen. [Bis die Zählung auf dem Server eingeschaltet ist, geplant W4 bis W6, steht hier nur: „Wir zählen keine Seitenaufrufe.“ Danach der folgende Text.]

Wir zählen, wie oft unsere Seiten aufgerufen werden. Dafür wertet unser Server die Seitenaufrufe selbst aus: Tag, aufgerufene Seite, den Domainnamen der Seite, von der Sie kamen, bei einem Wechsel innerhalb dieser Website die vorige Seite, Kampagnenangaben aus der aufgerufenen Adresse (utm_source, utm_medium, utm_campaign) und ob ein Mobilgerät oder ein Computer anfragt. Gespeichert werden nur Tagessummen. Ihre IP-Adresse und die Kennung Ihres Browsers speichern wir dafür nicht; Programme wie Suchmaschinen und Link-Vorschauen zählen wir nicht mit. Aus den Summen lässt sich nicht erkennen, wer die Seite besucht hat. Rechtsgrundlage für die kurze Verarbeitung beim Seitenaufruf ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist zu verstehen, welche Inhalte gelesen werden. Die Tagessummen enthalten keine personenbezogenen Daten, und wir geben sie nicht an Dritte weiter. Wie lange wir sie aufbewahren, steht in Abschnitt 9.

Termin für eine Demo

[Gilt, sobald die Terminseite verlinkt ist (E5)] Nach einer Anfrage für eine Demo können Sie über „Termin wählen“ selbst einen Termin buchen. Dann öffnet sich in einem neuen Tab die Terminseite im Google Kalender der Moebius GmbH; sie ist nicht in unsere Website eingebettet, und erst Ihr Klick verbindet Ihren Browser mit Google. Für die Buchung geben Sie dort Ihren Namen und Ihre E-Mail-Adresse an; den Termin und diese Angaben sehen wir in unserem Kalender. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, wenn Sie selbst unser Vertragspartner werden wollen, sonst Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist, Demos mit Firmen zu vereinbaren. [Rechtlich prüfen lassen: Rolle von Google bei der Terminseite]

Warteliste und Neuigkeiten

[Gilt ab dem Start der Warteliste, geplant W5 (E17)] Auf der Warteliste tragen Sie sich ein, damit wir Ihnen einmal schreiben, sobald Squid mit Microsoft 365 geht oder die App für iPhone und iPad da ist. Unter dem Formular für den Testzugang und auf der Warteliste können Sie außerdem ankreuzen, dass wir Ihnen etwa einmal im Monat Neuigkeiten zu Squid per Mail schicken; dieses Häkchen ist nie vorausgewählt. Wir speichern Ihre E-Mail-Adresse, freiwillig Ihre Firma, worauf Sie warten, die Seite, von der aus Sie sich eintragen, mit ihren Kampagnenangaben, die Fassung des Einwilligungstexts und die Zeitpunkte von Eintrag und Bestätigung. Eingetragen sind Sie erst, wenn Sie den Link in unserer Bestätigungsmail öffnen und bestätigen. In unseren Mails messen wir weder Öffnungen noch Klicks. Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Sie können sie jederzeit widerrufen, über den Link in unseren Mails oder mit einer Antwort auf eine unserer Mails.

Welche Daten die Apps und unser Server verarbeiten, wofür und auf welcher Grundlage:

Jede eingehende Mail wird auf unserem Server automatisch auf Betrug und Schadsoftware geprüft. Anhänge bleiben dabei immer auf dem Server. Nach außen gehen nur einzelne Merkmale:

• Domainnamen des Absenders und der Antwortadresse an die Registrierungsstellen (RDAP, z. B. DENIC), um das Alter der Domain zu erfahren.
• Bekannte Kurzlinks (z. B. bit.ly) ruft unser Server einmal ohne Inhalt auf, um ihr Ziel zu sehen (höchstens drei Weiterleitungen). Abmelde- und Anmeldelinks ruft er nie auf.
• Als DNS-Abfrage über unseren eigenen Resolver gehen an öffentliche Sperrlisten: die IP-Adressen der einliefernden Mailserver; Domains aus der Mail, nämlich die Domain der Absenderadresse (sichtbarer Absender und Absender im Umschlag), der Antwortadresse, der Kennung der Mail (Message-ID) und der DKIM-Signatur (die technische Unterschrift des absendenden Mailservers, nicht die Signatur unter dem Text), der Name, mit dem sich der einliefernde Mailserver meldet, und dessen DNS-Name, die Domains der Links und der im Text genannten E-Mail-Adressen; außerdem Prüfsummen (Hashes) von E-Mail-Adressen, Domains und einzelnen Links. Abgefragt werden Spamhaus, SURBL, URIBL, rspamd.com, Mailspike, Spam Eating Monkey, DNSWL, VirusFree, blocklist.de und MSBL.
• Prüfsummen (Fuzzy-Hashes) von Textteilen und Anhängen an den Abgleichdienst von rspamd.com, nie der Text oder die Anhänge selbst. Zusätzlich fragt unser Server per DNS mit der IP-Adresse des einliefernden Mailservers bei rspamd.com nach Netzbetreiber und Land dieses Servers. Diese Abfrage ist eine Standardeinstellung von rspamd, die wir nicht abgeschaltet haben.
• Vollständige Link-Adressen an Google Web Risk, aber nur, wenn wir die Link-Prüfung mit Google eingerichtet haben (heute ist sie aus): die Links aus dem Mailtext, Links aus Anhängen (z. B. PDF- und HTML-Dateien), Links aus QR-Codes in Bildern und Anhängen sowie die Ziele aufgelöster Kurzlinks, bis zu 40 je Mail. Die Link-Prüfung über abuse.ch (URLhaus) ist abgeschaltet.

In Grenzfällen und bei Verdacht auf Rechnungs- oder Chef-Betrug fragt die Prüfung zusätzlich die KI. Das passiert nur, wenn Ihre Firma ihren eigenen Anthropic-Schlüssel hinterlegt hat und die KI für das Postfach an ist. Dann gehen Absender, Antwortadresse, bis zu fünf Empfänger, Betreff, Anhangsnamen, das Ergebnis der Absenderprüfung (SPF, DKIM, DMARC), die Hinweise der Prüfung und ein auf 3.000 Zeichen gekürzter Text mit dem Schlüssel Ihrer Firma an Anthropic. Ohne Schlüssel entfällt dieser Schritt. Meldet jemand in Ihrem Team eine Mail als Phishing, lernt der Schutz daraus: eine Spam-Statistik nur für Ihre Firma und Prüfsummen gemeldeter Phishing-Mails, die alle Firmen auf unserem Server schützen. [Rechtlich prüfen lassen: Prüfsummen gemeldeter Mails für alle Firmen] Einzelheiten der Prüfung werden nach 90 Tagen gelöscht; das Ergebnis bleibt, solange die Mail besteht.

[Rechtlich prüfen lassen (Paket 2): Liste der Vertriebskontakte, Briefe an Firmen, Sperrvermerk nach einem Widerspruch]

Unsere Liste der Vertriebskontakte. Anfragen über das Formular oder per Mail, Gespräche, etwa auf Veranstaltungen, und Empfehlungen führen wir in einer Tabelle in unserem Google Workspace: Name, Firma, Kontaktdaten, woher der Kontakt kommt, unsere Einschätzung, ob Squid passt, den nächsten Schritt mit Datum, falls es nicht passt, den Grund, und, wenn Sie uns erlaubt haben, Ihnen zu schreiben oder Sie anzurufen, wann und wofür. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, wenn Sie selbst unser Vertragspartner werden wollen, sonst Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist, Anfragen und Gespräche mit Firmen zu beantworten und nachzuhalten. Kontakte, aus denen keine Zusammenarbeit wird, löschen wir nach 12 Monaten. Werbung per Mail schicken wir nur, wenn Sie vorher ausdrücklich eingewilligt haben.

Gespräche per Video. Demos und Einrichtungsgespräche führen wir per Video über [Platzhalter: Dienst für Videogespräche]. [Platzhalter: welche Daten der Dienst verarbeitet, Rechtsgrundlage, Speicherdauer]

Briefe an Firmen

Wir stellen Squid Firmen auch per Brief vor. Dafür nutzen wir den Namen der Ansprechperson, ihre Funktion und die Geschäftsanschrift der Firma. Die Anschrift stammt aus unserer Zusammenarbeit oder aus dem Impressum der Website der Firma; im Brief steht, woher. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist, Firmen über unser Produkt zu informieren (Direktwerbung, Erwägungsgrund 47 DSGVO). Sie können dem jederzeit ohne Begründung widersprechen; eine kurze Nachricht an info@moebius-media.com genügt, dann schreiben wir Ihnen nicht mehr zu Squid. Bekommen wir keine Antwort, löschen wir die Angaben nach 12 Monaten.

Ein Postfach bei Gmail oder Google Workspace verbinden Sie heute per IMAP mit einem App-Passwort; dann gilt für Google dasselbe wie für jeden anderen Mailanbieter. Die Verbindung über eine Anmeldung bei Google ist heute nur für Google-Workspace-Konten der Moebius GmbH eingeschaltet, für andere Firmen erst nach einer Prüfung durch Google.

Ist ein Postfach über die Anmeldung bei Google verbunden, greift unser Server mit Ihrer Erlaubnis über die Gmail-Schnittstelle auf dieses Postfach zu (Berechtigung „gmail.modify“): Er liest die Mails mit Kopfzeilen, Text und Anhängen, sendet die Mails, die Sie in Squid schreiben, und ändert Labels, wenn Sie in Squid etwa eine Mail erledigen oder verschieben. Über Google Pub/Sub erfährt er, dass sich im Postfach etwas geändert hat (Postfachadresse und eine Änderungsnummer, keine Inhalte). Die Zugangsdaten liegen AES-256-GCM-verschlüsselt auf unserem Server und erreichen nie ein Gerät. Wir nutzen diese Daten nur, um Ihnen die Funktionen von Squid bereitzustellen, nicht für Werbung, und wir verkaufen sie nicht. Für die KI-Funktionen gilt Abschnitt 4. Ihre Erlaubnis können Sie jederzeit in Ihrem Google-Konto widerrufen oder das Postfach in Squid trennen.

Die Nutzung und Weitergabe von Daten, die Squid über Google-Schnittstellen erhält, hält sich an die Google API Services User Data Policy, einschließlich der Anforderungen an die eingeschränkte Nutzung („Limited Use“). [Rechtlich prüfen lassen: Wortlaut für Googles Prüfung]

Für Anbieter in den USA und anderen Ländern ohne Angemessenheitsbeschluss gelten das EU-US Data Privacy Framework bzw. Standardvertragsklauseln (Art. 45, 46 DSGVO). Ausgenommen sind die Sperrlisten, RDAP-Stellen und Kurzlink-Dienste: Mit ihnen haben wir keine Verträge; sie erhalten nur die einzelnen Merkmale aus Abschnitt 5. Die vollständige Liste der Unterauftragsverarbeiter erhalten Firmen mit dem Vertrag zur Auftragsverarbeitung.

• Mails und Teamarbeit: solange das Postfach verbunden ist. Wird es getrennt, löschen wir seine Daten nach 30 Tagen.
• Protokoll der Aktionen und Einzelheiten der Schutzprüfung: 90 Tage (von der Firma einstellbar); Nachweise über Zugriffsrechte, Exporte und Löschungen: 3 Jahre.
• Absturzberichte: 30 Tage. Datenexporte: 7 Tage. Anmelde-Codes: 15 Minuten.
• Zugangsanfragen über diese Website: 12 Monate nach Eingang, dann löscht der Server sie automatisch; auf Ihren Wunsch früher. Die Benachrichtigungen dazu in unserem Postfach info@moebius-media.com löschen wir spätestens nach derselben Frist. Wird daraus ein Zugang, gelten für Ihr Konto die Fristen dieses Abschnitts.
• Liste der Vertriebskontakte und Angaben für Briefe: Kontakte, aus denen keine Zusammenarbeit wird, 12 Monate.
• Warteliste und Neuigkeiten, ab ihrem Start: nicht bestätigte Einträge 30 Tage; bestätigte bis zu unserer einen Nachricht zum gewählten Thema oder bis Sie sich abmelden, höchstens 24 Monate nach der Bestätigung. [Fristen rechtlich prüfen lassen]
• Tagessummen der Besucherzählung und der Formulare (zum Beispiel, wie viele Anfragen an einem Tag aussortiert wurden): 25 Monate. Sie enthalten keine personenbezogenen Daten.
• Konto: bis zur Löschung nach dem Ausscheiden aus dem Team.
• Server-Protokolle: Die ältesten Einträge löscht der Server automatisch, sobald die Protokolle eines Dienstes rund 100 MB erreichen.
• Rechnungen und Abrechnungsdaten: so lange, wie Handels- und Steuerrecht es verlangen (§ 257 HGB, § 147 AO).
• Datensicherungen: Jede Nacht sichern wir die Daten verschlüsselt auf unserem Server in Deutschland. Diese Sicherungen werden höchstens rund 3 Monate aufbewahrt. Zusätzlich liegen dort die Datenbank-Kopien der letzten drei Nächte und je eine Kopie vor den letzten drei Updates, unverschlüsselt und nur für den Betrieb lesbar. Außerdem sichert Hostinger den ganzen Server einmal pro Woche und bewahrt die letzten zwei Wochensicherungen getrennt vom Server auf. Gelöschte Daten können noch in einer Sicherung stecken, bis diese abläuft oder ersetzt wird: in den nächtlichen Sicherungen höchstens rund 3 Monate, in einer Kopie vor einem Update so lange, bis drei neuere Updates eingespielt sind. Hostingers Wochensicherung hält jeden dieser Stände bis zu zwei Wochen länger. Sicherungen nutzen wir nur zur Wiederherstellung.

Sie haben das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21, Abschnitt 11). Eine Einwilligung, etwa für Absturzberichte, die Warteliste oder die Neuigkeiten, können Sie jederzeit widerrufen; für Absturzberichte genügt der Schalter in den Einstellungen. Schreiben Sie uns an die Adresse oben. Sie können sich außerdem bei einer Datenschutz-Aufsichtsbehörde beschweren, z. B. beim Landesbeauftragten für den Datenschutz und die Informationsfreiheit Rheinland-Pfalz, Hintere Bleiche 34, 55116 Mainz.

Die App fragt nur nach der Erlaubnis für Mitteilungen. Ein Profilfoto wählen Sie selbst aus; die App liest dabei nur dieses eine Bild. Die Mac-App prüft regelmäßig, ob es ein Update gibt, und sendet dabei keine Geräteprofile.

Ändern sich Funktionen oder Anbieter, passen wir diese Erklärung an. Es gilt die hier veröffentlichte Fassung.