← Phoedox

Datenschutzerklärung

1. Verantwortlicher

Jan Meinl (siehe Impressum), E-Mail: admin@phoedox.com

2. Worum es geht

Diese Erklärung gilt für drei Dienste, die auf demselben Server laufen:

• phoedox.com – die Produkt-Webseite. Sie hat kein Konto, keine Formulare und lädt keine Inhalte von Dritten.
• app.phoedox.com – die Anwendung Phoedox, in der du mit einem Konto Dokumentation, Projekte, Boards, Dateien und Wissensgraphen anlegst.
• store.phoedox.com – der Plugin-Store mit öffentlichen Seiten zu den Plugins, aus dem Phoedox-Instanzen Erweiterungen beziehen. Besucher brauchen kein Konto. Plugin-Autoren und Moderatoren melden sich mit ihrem Phoedox-Konto von app.phoedox.com an. Der Store lädt keine Inhalte von Dritten.

Die Dienste werden in Deutschland betrieben. Die DSGVO gilt dabei für alle Nutzer, auch für Nutzer außerhalb der EU.

3. Welche Daten wir verarbeiten und warum

Beim Aufruf aller drei Dienste

• Verbindungsdaten (IP-Adresse, Zeitpunkt, aufgerufene Adresse, Browserkennung): technisch nötig, um die Seiten auszuliefern, Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist der sichere und funktionierende Betrieb. Diese Daten werden nicht in Zugriffsprotokollen gespeichert. Die Anwendung hält die IP-Adresse nur kurzzeitig im Arbeitsspeicher, um wiederholte Fehlversuche bei der Anmeldung zu begrenzen.

app.phoedox.com

• Kontodaten (E-Mail-Adresse, Name, optional Profilbild, Passwort nur als Hash, Zwei-Faktor-Daten verschlüsselt, Passkeys, API-Tokens, Anmeldesitzungen): zur Bereitstellung deines Kontos, Art. 6 Abs. 1 lit. b DSGVO.
• Inhalte (Projekte, Seiten, Entscheidungen, Boards und Aufgaben, Kommentare, Dateien, Einträge im Wissensgraphen und deren Versionen): die Inhalte, die du und dein Team anlegen, zur Erfüllung des Nutzungsverhältnisses, Art. 6 Abs. 1 lit. b DSGVO. Welche personenbezogenen Daten darin stehen, bestimmst du selbst.
• Gespeicherte Geheimnisse (z. B. Zugangsdaten in Umgebungen, Webhook-Geheimnisse): werden verschlüsselt abgelegt.
• E-Mails der Anwendung (Einladungen, Zurücksetzen des Passworts, Benachrichtigungen etwa zu Kommentaren, Zusammenfassungen und Prüfungen, Link zum Datenexport, Bestätigung der Kontolöschung): an die E-Mail-Adresse deines Kontos bzw. an die eingeladene Adresse, zur Bereitstellung des Kontos, Art. 6 Abs. 1 lit. b DSGVO.
• Datenexport: Forderst du unter Einstellungen → Konto einen Export an, erstellen wir eine ZIP-Datei mit deinen Kontodaten, deinen Inhalten und deinen Dateien (ohne Passwort-Hashes, Geheimnisse und Tokens). Den Link dazu schicken wir nur an die E-Mail-Adresse deines Kontos; abrufbar ist er nur, wenn du angemeldet bist. Art. 6 Abs. 1 lit. c DSGVO i. V. m. Art. 15 und 20 DSGVO.

store.phoedox.com

• Besuch der Store-Seiten und Katalogabrufe durch Phoedox-Instanzen: Verbindungsdaten wie oben.
• Anmeldung mit dem Phoedox-Konto (nur Plugin-Autoren und Moderatoren): Bei der Anmeldung übermittelt app.phoedox.com an den Store nur die Kennung deines Kontos, deinen Namen und deine E-Mail-Adresse. Der Store speichert sie für die Dauer der Anmeldesitzung (12 Stunden), danach wird die Sitzung gelöscht. Ein Autorenprofil im Store wird mit der Kennung deines Phoedox-Kontos verknüpft. Art. 6 Abs. 1 lit. b DSGVO.
• Plugin-Autoren: Name, optional eine bestätigte Domain, ein Schlüssel zur Signatur und ein Zugangstoken (nur als Hash), zur Veröffentlichung von Plugins, Art. 6 Abs. 1 lit. b DSGVO. Name und bestätigte Domain sind auf den Plugin-Seiten öffentlich sichtbar.
• Lizenzen: Beim Einlösen eines Lizenzcodes werden Organisation und Instanz als Kennung gespeichert, zur Erfüllung der Lizenz, Art. 6 Abs. 1 lit. b DSGVO.

4. Cookies und lokaler Speicher

Wir verwenden nur technisch notwendige Cookies, § 25 Abs. 2 Nr. 2 TDDDG:

• phoedox.com und store.phoedox.com: phx_lang speichert die gewählte Sprache (1 Jahr), nur wenn du die Sprache umstellst.
• store.phoedox.com bei Anmeldung: phx_store für die Anmeldesitzung (12 Stunden) und phx_login nur während des Anmeldevorgangs (10 Minuten).
• app.phoedox.com: ein Sitzungs-Cookie für die Anmeldung (30 Tage), kurzlebige Cookies während einer Anmeldung über einen externen Anbieter (10 Minuten) und ein Cookie für passwortgeschützte Veröffentlichungen.
• Lokaler Speicher: Die Anwendung merkt sich in deinem Browser Anzeige-Einstellungen (z. B. Sprache, eingeklappte Bereiche, Breite der Seitenleiste, ob du die Karte erlaubt hast und welche Video-Anbieter du dauerhaft erlaubt hast). Der Store merkt sich dort die Adresse deiner Phoedox-Instanz, wenn du ein Plugin „auf deiner Instanz installieren“ willst. Diese Daten verlassen deinen Browser nicht.

Es gibt kein Tracking und keine Analyse-Werkzeuge. Schriften und Symbole werden von diesem Server ausgeliefert.

5. Inhalte von Dritten in der Anwendung

Diese Inhalte werden nur geladen, wenn sie genutzt werden. Dabei erhält der jeweilige Anbieter deine IP-Adresse:

• Karten: Kartenkacheln von OpenStreetMap (OpenStreetMap Foundation, Vereinigtes Königreich) werden erst geladen, nachdem du die Karte ausdrücklich erlaubt hast, Art. 6 Abs. 1 lit. a DSGVO.
• Eingebettete Videos und Seiten: Bindet jemand in einer Seite ein Video (YouTube im erweiterten Datenschutzmodus, Vimeo mit „Do Not Track“, Loom) oder eine andere Webseite ein, siehst du zunächst nur einen Platzhalter mit dem Namen des Anbieters. Erst wenn du darauf klickst, lädt dein Browser den Inhalt direkt vom Anbieter, Art. 6 Abs. 1 lit. a DSGVO. Du kannst einen Anbieter in deinem Browser dauerhaft erlauben; diese Erlaubnis widerrufst du, indem du die Website-Daten von app.phoedox.com in deinem Browser löschst. Einige dieser Anbieter sitzen in den USA.
• Verknüpfte Dienste, die du oder deine Organisation selbst einrichten (z. B. KI-Assistenten über die MCP-Schnittstelle, Webhooks, Benachrichtigungen über ntfy oder Matrix, Anmeldung über einen externen Anbieter): Daten fließen dorthin nur, wenn ihr diese Dienste einrichtet; für die Verarbeitung dort gelten die Bedingungen des jeweiligen Anbieters.

6. Empfänger und Auftragsverarbeiter

• Hosting: Hetzner Online GmbH, Deutschland. Ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO ist geschlossen.
• E-Mail-Versand: Die E-Mails der Anwendung versenden wir über unseren eigenen Mailserver, der ebenfalls bei der Hetzner Online GmbH in einem Rechenzentrum in der EU betrieben wird. Zugestellt werden sie an den Anbieter deines Postfachs.
• E-Mail-Kontakt: Wenn du per E-Mail Kontakt aufnimmst (auch über „Kontakt“ auf phoedox.com), verarbeiten wir deine Nachricht und Adresse zur Beantwortung, Art. 6 Abs. 1 lit. b bzw. f DSGVO.

Eine Übermittlung in Länder außerhalb der EU findet durch uns nicht statt, außer über die in Abschnitt 5 genannten Inhalte von Dritten.

7. Speicherdauer

• Kontodaten und Inhalte: bis zur Löschung deines Kontos bzw. der Inhalte.
• Anmeldesitzungen: bis zu 30 Tage; Einladungen: 7 Tage.
• Backups: täglich, die letzten 14 werden aufbewahrt.
• Verbindungsdaten: werden nicht gespeichert (siehe Abschnitt 3).
• Datenexporte: Die Datei wird nach 7 Tagen gelöscht.
• Nach der Löschung deines Kontos: Deine Kontodaten werden entfernt, eigene Projekte ohne weitere Mitglieder werden gelöscht. Beiträge in gemeinsamen Projekten bleiben für die anderen Mitglieder erhalten und werden als „Gelöschte Person“ angezeigt. In Backups können deine Daten noch bis zu 14 Tage enthalten sein, bis diese turnusmäßig überschrieben werden.
• E-Mails: solange es zur Bearbeitung deines Anliegens nötig ist.

8. Deine Rechte

Du hast das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21). Eine erteilte Einwilligung (z. B. für die Karte) kannst du jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3). Schreib dazu an admin@phoedox.com. Vieles kannst du auch direkt in der Anwendung erledigen: Profil und Inhalte ändern, unter Einstellungen → Konto eine Kopie deiner Daten exportieren (Auskunft und Datenübertragbarkeit) und dein Konto löschen.

Du hast außerdem das Recht, dich bei einer Datenschutz-Aufsichtsbehörde zu beschweren (Art. 77 DSGVO). Zuständig ist der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg.

9. Sicherheit

Alle Verbindungen sind verschlüsselt (TLS). Passwörter werden nur als Hash gespeichert, Geheimnisse und Zwei-Faktor-Daten verschlüsselt.

Stand: 15.11.2026