Datenschutzerklärung
authtoken ist ein Credential Broker für KI-Agents, betrieben von der neuraforce GmbH, Dora-Koch-Stetter-Weg 22, 18055 Rostock, Deutschland („wir“). Geschäftsführer: Hans Wolff. Kontakt in Datenschutzfragen: privacy@authtoken.com.
Die gesamte authtoken-Infrastruktur — Server, Snapshots, Protokollierung — wird ausschließlich in Deutschland betrieben. Personenbezogene Daten verlassen sie in zwei Fällen, die Sie beide selbst auslösen: Benachrichtigungen an ein von Ihnen gekoppeltes Telefon und an einen Browser, den Sie darum gebeten haben, laufen über die Push-Dienste von Apple, Google, Mozilla oder Microsoft in den USA (§ 5).
1. Unsere zwei Rollen
- Verantwortlicher (Art. 4 Nr. 7 DSGVO) für unsere eigene Verarbeitung: Ihr Konto, unsere Website, Sicherheitsprotokolle und die Audit-Historie.
- Auftragsverarbeiter (Art. 4 Nr. 8, Art. 28 DSGVO) für die Inhalte Ihres Vaults: was Sie als Secret hinterlegen, entscheiden Sie. Diese Inhalte verarbeiten wir ausschließlich als verschlüsselte Nutzlast — mit einer Ausnahme, die § 9 vollständig benennt: ein Secret vom Typ
totp, dessen Seed wir lesen können müssen, um Ihre Codes zu berechnen. Heraus geben wir sie alle nur auf Ihre Weisung an Ihre Agents. Für einen Vertrag zur Auftragsverarbeitung (AVV) schreiben Sie uns; die Beta läuft mit einzeln bekannten Nutzern.
2. Was wir verarbeiten
| Verarbeitung | Daten | Rechtsgrundlage | Speicherdauer |
|---|---|---|---|
| Konto und Anmeldung | E-Mail-Adresse, Passwort-Hash, TOTP-Faktor, Passkeys | Art. 6 Abs. 1 lit. b DSGVO (Vertrag) | Lebensdauer des Tenant |
| Vault-Inhalte | Secrets (verschlüsselt), Namen von Targets und Identities | Art. 6 Abs. 1 lit. b DSGVO | Lebensdauer des Tenant; Versionen bis zur Bereinigung |
| Audit Events | Aktionen, IP-Adressen, Maschinen-Fingerprints, Grant-Referenzen — und, wo ein Eintrag einen von Ihnen eingeschalteten oder beendeten Browser betrifft, dessen Bezeichnung aus der Zeile oben — hier ebenfalls gespeichert, für die 12 Monate dieser Zeile, unabhängig vom Eintrag oben und von dessen Beendigung | Art. 6 Abs. 1 lit. f DSGVO (Sicherheit des Dienstes) | 12 Monate, dann endgültig gelöscht |
| Security Events | Auffälligkeiten mit Bezug auf Audit Events | Art. 6 Abs. 1 lit. f DSGVO | Wie die referenzierten Audit Events |
| Sitzungen | Sitzungsdaten, Zeitpunkte | Art. 6 Abs. 1 lit. b DSGVO | Gleitendes Fenster von 7 Tagen |
| Gekoppeltes Telefon und Push-Benachrichtigungen | Anzeigename, Plattform, Push-Adresse und Zeitpunkt des letzten Kontakts des Telefons; je Benachrichtigung die Metadaten der anstehenden Entscheidung im gewählten Detailgrad (§ 5) | Art. 6 Abs. 1 lit. b DSGVO | Gerätedaten: Lebensdauer des Tenant — auch ein entkoppeltes Telefon bleibt als Bezug der Audit-Historie gespeichert; früher gelöscht wird nur die Push-Adresse, sobald der Push-Dienst sie als ungültig meldet. Die Nachricht beim Push-Dienst: bis zur Zustellung oder zum Ablauf (§ 5) |
| Benachrichtigungen in einem Browser | Je Browser, den Sie dafür einschalten: die Adresse, die sein Push-Dienst ausgestellt hat, die beiden Schlüssel, die der Browser selbst erzeugt hat, eine Bezeichnung im Klartext („Firefox unter macOS“ — vom Browser aus seinem Namen und Ihrem Betriebssystem gebildet, nicht die rohe User-Agent-Kennung) sowie die Zeitpunkte des Einschaltens, der letzten Aktualisierung, der letzten Benachrichtigung und der Beendigung; je Benachrichtigung dieselben Metadaten wie oben, hier jedoch verschlüsselt (§ 5) | Art. 6 Abs. 1 lit. b DSGVO | Dieser Browser wird benachrichtigt, bis Sie die Benachrichtigungen für ihn ausschalten, sich in ihm abmelden, den Eintrag in den Einstellungen widerrufen oder der Push-Dienst die Adresse als ungültig meldet — der Eintrag wird dann als beendet vermerkt, seine Adresse und beide Schlüssel werden in diesem Moment gelöscht, und es geht nichts mehr an ihn. Übrig bleiben die Bezeichnung und die Zeitpunkte: die bleiben, wie bei einem entkoppelten Telefon, für die Lebensdauer des Tenant als Bezug der Audit-Historie gespeichert; gelöscht werden sie erst mit Ihrem Tenant. Die Nachricht beim Push-Dienst: bis zur Zustellung oder zum Ablauf (§ 5) |
| Kontaktformular | Name, E-Mail-Adresse, Nachricht | Art. 6 Abs. 1 lit. f DSGVO (Beantwortung Ihrer Anfrage) | 12 Monate nach Eingang |
| Betriebsprotokolle | Server-Logs, können IP-Adressen enthalten | Art. 6 Abs. 1 lit. f DSGVO | Wochen (größenbegrenzt) |
| Snapshots | Snapshots des verschlüsselten Datenbank-Datenträgers vor jedem Deployment | Art. 6 Abs. 1 lit. f DSGVO (Rücksetzpunkt bei fehlgeschlagenen Updates) | Bis zehn spätere Deployments sie verdrängt haben |
IP-Adressen und Maschinen-Fingerprints in Audit Events verarbeiten wir auf Grundlage berechtigten Interesses (Sicherheit des Dienstes, Art. 6 Abs. 1 lit. f DSGVO). Die Obergrenze von 12 Monaten begrenzt diese Verarbeitung.
3. Diese Website
Diese Seiten setzen keine Cookies zu Analyse- oder Werbezwecken, binden keine Drittanbieter-Ressourcen ein und übertragen nichts an Dritte. Schriften und Skripte werden von unserem eigenen Server ausgeliefert. Es findet kein Tracking statt.
4. Cookies
Wir setzen drei Cookies, und alle drei sind technisch notwendig. Für sie ist nach § 25 Abs. 2 Nr. 2 TDDDG keine Einwilligung erforderlich — deshalb sehen Sie hier kein Cookie-Banner. Ein Banner würde um eine Erlaubnis bitten, die das Gesetz für genau diese drei Cookies nicht verlangt.
| Name | Zweck | Speicherdauer |
|---|---|---|
__Host-authtoken_session | Hält Sie nach der Anmeldung angemeldet | 7 Tage |
authtoken_lang | Spiegelt die in Ihrem Konto gewählte Sprache, damit bereits die erste Server-Antwort in dieser Sprache kommt | 12 Monate |
sidebar | Merkt sich, ob Sie die Seitenleiste der Anwendung eingeklappt oder wie breit Sie sie gezogen haben, damit die Seite gleich so erscheint | 12 Monate |
Alle drei entstehen erst innerhalb der Anwendung: das Sitzungs-Cookie bei der Anmeldung, das Sprach-Cookie beim Setzen oder Ändern Ihrer Kontosprache, das Seitenleisten-Cookie, wenn Sie die Seitenleiste einklappen oder in der Breite ziehen. Die öffentlichen Seiten — Startseite, Download-Seite, Impressum, diese Erklärung, Kontaktformular — setzen überhaupt kein Cookie; die Sprachumschaltung dort ist ein gewöhnlicher Link, der die Sprache in der Adresse trägt. Es gibt keine Analyse-, Werbe- oder Tracking-Cookies, und wir verwenden weder localStorage noch vergleichbare Speicher im Browser.
5. Empfänger und Standort
Alle Daten liegen in Deutschland, auf einem Server, den die OVHcloud SAS in Limburg an der Lahn (DE1) bereitstellt; sie ist unser Auftragsverarbeiter für den Betrieb dieses Servers. Eine Kopie auf getrennter Hardware gibt es derzeit nicht; auch die Snapshots liegen auf diesem Server.
Zwei Ausnahmen verlassen diesen Server, und beide lösen Sie aus. Die erste ist das Telefon: Koppeln Sie eines mit der authtoken-App, um Entscheidungen dort zu treffen, dann senden wir die Benachrichtigung dafür an den Push-Dienst des Telefonherstellers — an Apple Inc. (Apple Push Notification service, für iPhones) oder an Google LLC (Firebase Cloud Messaging, für Android-Geräte), beide mit Sitz in den USA. Beide sind dafür unsere Auftragsverarbeiter. Ohne gekoppeltes Telefon findet diese Übermittlung nicht statt.
Die zweite ist der Browser: Schalten Sie unter Einstellungen → Geräte die Benachrichtigungen für einen Browser ein, dann hinterlegt dieser Browser bei seinem eigenen Push-Dienst ein Abonnement und gibt uns dessen Adresse. Wir senden die Benachrichtigung an genau diese Adresse — je nach Browser an Mozilla Corporation (Firefox), Google LLC (Chrome und die übrigen Chromium-Browser), Apple Inc. (Safari) oder Microsoft Corporation (Edge), alle mit Sitz in den USA. Welcher dieser vier Empfänger es ist, entscheidet Ihre Wahl des Browsers, nicht unsere. Ohne eingeschalteten Browser findet auch diese Übermittlung nicht statt.
Was an den Push-Dienst eines Telefons übermittelt wird, bestimmt der in Ihren Einstellungen gewählte Detailgrad der Benachrichtigung; dort steht der Text im Klartext. Für eine Retrieval Approval bei „Vollständig“ (die Voreinstellung): der Name des anfragenden Agent, Target und Identity, der Typ der Auth Method und die Frist; bei „Nur der Agent“: der Name des Agent und die Frist. Eine Grant Request trägt weniger — bei „Vollständig“ den Namen des Agent und das Target, bei „Nur der Agent“ nur den Namen des Agent; keine Identity, keine Auth Method, keine Frist. Bei „Nur eine Anzahl“ trägt jede Nachricht nur eine Anzahl wartender Entscheidungen. Werte und Namen von Secrets werden auf keiner Stufe übermittelt. Auf jeder Stufe, auch bei „Nur eine Anzahl“, sieht der Push-Dienst außerdem, was der Transport selbst preisgibt: dass die Nachricht von authtoken kommt, an welches Telefon sie geht, eine interne Kennung der Entscheidung (eine gesammelte Nachricht über mehrere Grant Requests trägt statt der Kennung nur ihre Art), die Frist der Nachricht und ob es um eine Retrieval Approval oder eine Grant Request geht — und damit, wann und wie oft in Ihrem Tenant Entscheidungen anfallen.
Zum Browser wird derselbe Text übermittelt, aber verschlüsselt — das ist der Unterschied zum Telefon. Der Inhalt der Benachrichtigung wird für Schlüssel verschlüsselt, die Ihr Browser selbst erzeugt und seinem Push-Dienst nie gibt; der Push-Dienst trägt einen Datenblock, den er nicht lesen kann. Was er sieht, ist der Transport: die Adresse des Abonnements, die diesen einen Browser bezeichnet; dass die Nachricht von uns kommt; wie lange sie aufgehoben und wie dringend sie zugestellt werden soll; einen Streuwert der Entscheidung anstelle ihrer Kennung (eine gesammelte Nachricht über mehrere Grant Requests trägt stattdessen einen festen Streuwert ihrer Art); Zeitpunkt und Häufigkeit; sowie die Größe der verschlüsselten Nachricht — die wir bewusst auf eine von wenigen festen Größen auffüllen, sodass sie der Länge des Textes darin nicht mehr folgt: innerhalb einer dieser Größen lässt sich nicht mehr ablesen, wie lang der Text ist und wie lang die darin genannten Namen sind. Aus Dringlichkeit und Aufbewahrungsfrist lässt sich, wie beim Telefon, ablesen, ob es um eine Retrieval Approval oder eine Grant Request geht. Der gewählte Detailgrad bestimmt hier also, was Ihr Browser anzeigt; vom Text liest der Push-Dienst nichts, und aus der Größe erfährt er nur, in welche dieser wenigen sie gefallen ist — eine deutlich längere Benachrichtigung fällt weiterhin in eine größere.
Was der Browser dafür bereithält, ist zweierlei: einen Service Worker von unserem eigenen Server, der ausschließlich Push-Nachrichten annimmt und anzeigt — er speichert nichts, legt keinen Zwischenspeicher an und fängt keine Anfragen ab — und das Abonnement selbst, das der Browser verwaltet und mit dem Schalter wieder auflöst. Bei uns gespeichert sind dessen Adresse, die beiden Schlüssel des Browsers, die Bezeichnung und die Zeitpunkte aus § 2 — und endet das Abonnement, auf einem der in § 2 genannten Wege, werden Adresse und beide Schlüssel sofort gelöscht; es bleiben nur die Bezeichnung und die Zeitpunkte als Bezug der Audit-Historie.
Speicherdauer: Der Push-Dienst hält eine Nachricht nur bis zur Zustellung oder bis zu ihrem Ablauf — bei einer Retrieval Approval bis zu deren Frist (1 bis 60 Minuten, voreingestellt 15), bei einer Grant Request 24 Stunden; für den Browser gelten dieselben Fristen. Was Apple, Google, Mozilla und Microsoft darüber hinaus in ihren eigenen Betriebsprotokollen festhalten, können wir weder begrenzen noch prüfen: beim Telefon liegt es außerhalb unseres Vertrags mit Apple und Google, bei den Push-Diensten der Browser gibt es überhaupt keinen Vertrag (siehe unten).
Grundlage der Übermittlung (Art. 44 ff. DSGVO). Wir haben alle vier Empfänger am 14. September 2026 in der offiziellen Teilnehmerliste des EU-US Data Privacy Framework nachgeschlagen — an dem Tag, den diese Erklärung oben als Stand nennt:
- Google LLC ist dort als aktiver Teilnehmer geführt (EU-US-Zertifizierung im Status „Active - Re-certification under Review“, erstmals seit dem 22. September 2016, laufende Periode bis zum 13. September 2027). Die Übermittlung an Google — zum Android-Telefon wie zum Chrome-Browser — stützt sich auf den Angemessenheitsbeschluss zum Data Privacy Framework (Art. 45 DSGVO). Für Firebase Cloud Messaging, den Weg zum Telefon, gelten zusätzlich die Firebase Data Processing and Security Terms, die ergänzend die EU-Standardvertragsklauseln enthalten.
- Microsoft Corporation ist dort ebenfalls als aktiver Teilnehmer geführt, im Status „Active - Re-certification under Review“ (EU-US-Zertifizierung, erstmals seit dem 12. August 2016, laufende Periode bis zum 31. August 2027). Auch die Übermittlung an Microsoft stützt sich damit auf den Angemessenheitsbeschluss (Art. 45 DSGVO).
- Apple Inc. ist dort nicht geführt, weder als aktiver noch als ausgeschiedener Teilnehmer. Für den Weg zum iPhone stützt sich die Übermittlung auf die EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO), die Apple nach seiner eigenen Datenschutzerklärung auf Übermittlungen aus dem EWR anwendet; vertragliche Grundlage ist das Apple Developer Program License Agreement mit seinen Zusatzbedingungen für den Apple Push Notification service.
- Mozilla Corporation ist dort nicht geführt, unter keinem Status.
Für zwei Wege können wir Ihnen keine Grundlage nennen, und wir sagen das lieber, als eine zu behaupten: für die Push-Dienste von Mozilla (Firefox) und Apple (Safari) im Browser. Web Push verlangt weder eine Anmeldung noch einen Vertrag mit dem Push-Dienst — wir senden an die Adresse, die Ihr Browser uns gegeben hat, und weisen uns dabei nur mit einem Schlüssel aus, den wir selbst erzeugt haben. Es besteht daher kein Vertrag, in den Standardvertragsklauseln aufgenommen werden könnten, und für diese beiden Empfänger auch keine Zertifizierung, auf die wir uns berufen könnten. Was diese Übermittlung tatsächlich begrenzt, ist zweierlei: Der Inhalt ist verschlüsselt, sodass dort nur die oben genannten Transportangaben ankommen, und sie findet nur statt, solange Sie den Schalter für diesen Browser eingeschaltet lassen.
Zwei Untergrenzen haben Sie selbst in der Hand: Der Detailgrad „Nur eine Anzahl“ beschränkt jede Nachricht auf eine Zahl — auf dem Telefon wie im Browser. Und wer kein Telefon koppelt und keinen Browser einschaltet, löst gar keine Übermittlung aus — das kostet die Benachrichtigung und sonst nichts; jede Entscheidung lässt sich weiterhin in der Web-Oberfläche treffen.
6. Löschung
Sie können Ihren Tenant selbst löschen. Die Domänendaten werden dabei sofort endgültig gelöscht; die Audit-Historie wird innerhalb von 24 Stunden durch den täglichen Aufräumlauf entfernt, weil die Anwendung auf diesen Tabellen bewusst kein Löschrecht besitzt. In den Snapshots, die vor jedem Deployment entstehen, können gelöschte Daten so lange fortbestehen, bis zehn spätere Deployments den jeweiligen Snapshot verdrängt haben; eine kalendarische Obergrenze gibt es dafür nicht.
7. Ihre Rechte
Sie haben das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21). Auskunft und Übertragbarkeit erledigen wir auf Anfrage an privacy@authtoken.com innerhalb der gesetzlichen Frist von einem Monat. Werte einzelner Secrets können Sie jederzeit selbst im Sudo mode einsehen.
Beschwerderecht bei der Aufsichtsbehörde: Der Landesbeauftragte für Datenschutz und Informationsfreiheit Mecklenburg-Vorpommern, Schwerin.
8. Datenschutzbeauftragter
Wir sind nicht zur Benennung verpflichtet (deutlich unter der Schwelle des § 38 BDSG). Benannter Kontakt ist privacy@authtoken.com.
9. Sicherheitsvorfälle
Meldepflichtige Verletzungen melden wir der Aufsichtsbehörde innerhalb von 72 Stunden (Art. 33) und benachrichtigen betroffene Nutzer unverzüglich (Art. 34) — einschließlich der Angabe, welche Targets und Identities betroffen sind, damit Sie dort rotieren können.
Was wir offen sagen: Die Inhalte Ihrer Secrets werden in Ihrem Browser und auf Ihren Maschinen unter Schlüsseln verschlüsselt, die wir nicht haben. Betreiber der neuraforce GmbH können das Chiffrat, die Namen und Struktur Ihrer Secrets sowie TOTP-Seeds erreichen — die wir zum Berechnen der Codes lesen müssen —, nicht aber den Inhalt eines anderen Secrets. Der Schutz für das, was lesbar bleibt, ist organisatorisch: namentliche SSH-Schlüssel pro Betreiber, keine geteilten Konten, protokollierter Zugriff und Produktionszugang nur für Deploys und Vorfälle. Verlieren Sie Ihr Passwort und Ihren Backup Code, sind Ihre verschlüsselten Secrets nicht wiederherstellbar — nicht durch uns, nicht durch irgendwen.