Datenschutzerklärung

Stand: November 2026

1. Verantwortlicher

26LAB.IO, Christian Gudermann, Hasselbeckstr. 37, 40822 Mettmann, Deutschland / Germany. E-Mail: hello@26lab.io, Telefon: +49 177 2262453. Einen Datenschutzbeauftragten haben wir nicht, weil wir dazu nicht verpflichtet sind (Art. 37 DSGVO, § 38 BDSG).

2. Aufruf dieser Website

Damit die Seite ausgeliefert werden kann, verarbeitet der Server deine IP-Adresse, den Zeitpunkt und die angeforderte Adresse. Die IP-Adresse hält der Server nur im Arbeitsspeicher, um Anmeldeversuche und Einsendungen pro Absender zu begrenzen. Auf die Platte schreiben wir sie nicht, auch nicht in Zugriffsprotokolle. Rechtsgrundlage ist unser berechtigtes Interesse an einem sicheren Betrieb (Art. 6 Abs. 1 lit. f DSGVO). Es gibt keine Analyse-Tools, keine Tracker und keine Inhalte von Drittanbietern. Schriften kommen von unserem eigenen Server.

3. Cookies

Wir setzen nur ein Cookie: mailiy_session, wenn du dich im Dashboard anmeldest. Es ist für die Anmeldung technisch nötig (§ 25 Abs. 2 Nr. 2 TDDDG), läuft nach 30 Tagen ab und wird beim Abmelden gelöscht. Ein Cookie-Banner brauchen wir deshalb nicht.

4. Konto

Für dein Konto speichern wir deine E-Mail-Adresse, einen scrypt-Hash deines Passworts, gegebenenfalls ein verschlüsseltes TOTP-Geheimnis und gehashte Wiederherstellungscodes, deine Sprache, Zeitzone und Benachrichtigungseinstellungen, deinen Tarif, monatliche Zähler für Zustellungen und Spam sowie Datum und Version der von dir akzeptierten AGB und des AV-Vertrags. Zu jeder Sitzung speichern wir Browser und Betriebssystem (z. B. „Firefox · Windows“), aber keine IP-Adresse. Kommt eine E-Mail an eine deiner Adressen dauerhaft zurück, speichern wir Datum und Fehlercode der Rückmeldung an dieser Adresse. Rechtsgrundlage ist der Vertrag mit dir (Art. 6 Abs. 1 lit. b DSGVO), für den Nachweis der Zustimmung unsere rechtliche Pflicht und unser berechtigtes Interesse (Art. 6 Abs. 1 lit. c und f DSGVO).

Neue Passwörter prüfen wir gegen eine Liste aus bekannten Datenlecks (Pwned Passwords). Die Liste liegt auf unserem Server, dein Passwort verlässt ihn dafür nicht.

5. E-Mails an dich

Wir schicken dir Anmeldecodes, Links zum Bestätigen von Adressen und zum Zurücksetzen des Passworts, Hinweise auf neue Anmeldungen und auf ein fast verbrauchtes Kontingent. Das gehört zum Vertrag. Den Monatsbericht bekommst du nur, wenn du ihn im Dashboard einschaltest. Werbung schicken wir nicht.

6. Formular-Einsendungen

Für Einsendungen über die Formulare unserer Kundinnen und Kunden sind diese verantwortlich. Wir verarbeiten die Einsendungen nur in ihrem Auftrag (Art. 28 DSGVO, siehe AV-Vertrag). Wir stellen sie per E-Mail zu, leiten sie auf Wunsch per Webhook an eine Adresse der Kundin weiter und speichern sie, je nach Einstellung, bis zu 365 Tage mit AES-256-GCM verschlüsselt. Danach löschen wir sie automatisch. Hochgeladene Dateien speichern wir genauso verschlüsselt und löschen sie zusammen mit ihrer Einsendung, spätestens eine Stunde danach auch von der Festplatte. Speichert die Kundin nichts, hängen wir Dateien nur an die E-Mail an. Einsendungen, die der Spamfilter der Kundin aussortiert, speichern wir höchstens 7 Tage. IP-Adressen der Absender speichern wir nicht. Hat die Kundin IP-Adressen gesperrt, vergleichen wir deine nur im Arbeitsspeicher mit dieser Liste. Fragen zu einer Einsendung richtest du am besten an den Betreiber der Website, auf der du das Formular abgeschickt hast.

7. Empfänger

Hosting: Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland, als unser Auftragsverarbeiter. E-Mails verschicken wir über unseren eigenen Mailserver auf demselben Server. Daten aus Formularen und dem Konto gehen nicht in Länder außerhalb der EU oder des EWR.

Buchst du einen bezahlten Tarif, geben wir E-Mail-Adresse, Tarif, Betrag und deine Angabe, ob du als Verbraucher oder Unternehmen bestellst, an Stripe Payments Europe, Ltd. (Dublin, Irland) weiter. Zahlungsdaten, Name und Rechnungsadresse, bei Unternehmen auch Firmenname und USt-IdNr., gibst du direkt bei Stripe ein. Kartendaten sehen wir nie. Name, Adresse, Firma und USt-IdNr. sehen wir in Stripe, weil sie auf die Rechnung gehören und wir am Land und an der USt-IdNr. den richtigen Steuerhinweis wählen; in unserer eigenen Datenbank speichern wir davon nur, ob du als Verbraucher oder Unternehmen bestellt hast. Stripe verarbeitet Zahlungsdaten teilweise auch in den USA, auf Grundlage des EU-US Data Privacy Framework und von Standardvertragsklauseln. Rechtsgrundlage ist der Vertrag mit dir (Art. 6 Abs. 1 lit. b DSGVO), für die Rechnungsangaben auch unsere steuerlichen Pflichten (Art. 6 Abs. 1 lit. c DSGVO, § 14 UStG). Mehr dazu in der Datenschutzerklärung von Stripe unter stripe.com/de/privacy.

8. Speicherdauer

Kontodaten speichern wir, solange das Konto besteht. Nach dem Löschen kannst du das Konto 30 Tage lang wiederherstellen, danach entfernen wir alles. Die Markierung einer unzustellbaren Adresse löschen wir nach 90 Tagen oder sobald du sie im Dashboard zurücksetzt. Den Nachweis über akzeptierte AGB bewahren wir so lange auf, wie Ansprüche aus dem Vertrag möglich sind (in der Regel drei Jahre nach Vertragsende, § 195 BGB). Rechnungsdaten bewahren wir für kostenpflichtige Tarife aus steuerlichen Gründen acht bis zehn Jahre auf (§ 147 AO, § 257 HGB).

9. Deine Rechte

Du hast das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch (Art. 15 bis 21 DSGVO). Export und Löschung kannst du im Dashboard unter „Konto“ selbst auslösen, alles andere per E-Mail an hello@26lab.io. Du kannst dich außerdem bei einer Aufsichtsbehörde beschweren, zum Beispiel bei der Landesbeauftragten für Datenschutz und Informationsfreiheit Nordrhein-Westfalen.