Datenschutzerklärung

In Kürze

• Keine Werbung, kein Tracking Keine Werbung, keine Tracking-Dienste Dritter, keine Werbeprofile und keine Weitergabe. Der Betreiber sieht pro Konto nur technische Nutzungszahlen (letzte Aktivität, Anzahl Quellen und Lesezeichen).
• Kein Verkauf von Daten Keine Weitergabe oder Verkauf von Daten. Einzige Ausnahme ist das Zählpixel von Brevo, falls Brevo im Ersatzfall eine Mail versendet.
• Kein Cookie-Banner Alle Cookies sind technisch nötig. Es gibt keine weiteren Cookies, deshalb auch kein Cookie-Banner.
• Verschlüsselt Verbindungen sind verschlüsselt (HTTPS).
• Export und Löschung Deine Daten exportieren (ZIP) und dein Konto löschen kannst du selbst unter Einstellungen → Konto.

Verantwortlich und Impressum

Sitz: Richterswil ZH
UID: CHE-283.659.516
Handelsregister: Kanton Zürich, CH-020-4093920-3
Geschäftsführung: Përparim Kastrati

[email protected]

Welche Daten wir speichern

• Konto: deine E-Mail-Adresse (verschlüsselt gespeichert), Sprache, Zeitzone und Zeitpunkte wie Erstellung und letzte Nutzung.
• Ohne Anmeldung (falls angeboten): Beim ersten Speichern entsteht ein Konto ohne E-Mail-Adresse. Es ist nur über das Cookie in diesem Browser erreichbar. Löschst du die Browserdaten, sind die Inhalte weg. Sicherst du das Konto später mit einer Anmeldung, bleiben die Inhalte erhalten und die Adresse kommt verschlüsselt dazu. Gehört die Anmeldung schon zu einem Konto, werden die Inhalte dorthin übernommen.
• Bei Anmeldung über Google oder GitHub zusätzlich: deine Kennung beim Anbieter und dein Name, wie der Anbieter ihn übermittelt. Den Namen übernehmen wir nur bei der ersten Anmeldung als Anzeigename. Zugangsschlüssel des Anbieters speichern wir nicht.
• Anzeigename: freiwillig, höchstens 40 Zeichen, in den Einstellungen unter Konto änderbar oder löschbar. Nur wir sehen ihn (im Verwaltungsbereich, um Konten zu erkennen), nie andere Nutzer. Er steht im Datenexport und wird mit dem Konto gelöscht. Nach der Registrierung fragen wir einmal danach; „Später“ oder „Speichern“ merken wir uns am Konto, damit die Frage nicht auf jedem Gerät wieder kommt.
• Anmeldecodes per E-Mail: nur als Prüfwert (Hash), 10 Minuten gültig.
• Passkeys: der öffentliche Schlüssel deines Geräts, seine Kennung und die Art des Geräts. Der geheime Teil bleibt immer auf deinem Gerät.
• Verbundene Apps (nur wenn du LEXOJ mit Claude oder einer anderen App verbindest): welche App, welche Rechte du ihr gegeben hast und für 90 Tage ein Protokoll ihrer Aufrufe (Zeitpunkt, Funktion, Erfolg; von Suchbegriffen, Tags, Titeln und Notizen nur die Länge), nie der Inhalt von Artikeln oder Notizen. Speichert eine verbundene App ein Lesezeichen, ruft LEXOJ die Seite erst ab, wenn du beim Lesezeichen „Vorschau laden“ wählst. Du kannst jede Verbindung jederzeit unter Einstellungen widerrufen.
• Browser-Erweiterung (nur wenn du sie verbindest): ein Zugangsschlüssel, den wir nur als Prüfwert (Hash) speichern, das Datum der Verbindung und der letzten Nutzung. Ihre Aufrufe stehen 90 Tage im selben Protokoll wie bei den verbundenen Apps, ohne Inhalte. Die Erweiterung schickt nur etwas an LEXOJ, wenn du ihr Fenster öffnest oder etwas speicherst oder abonnierst, nie im Hintergrund. Beim Öffnen gehen die Adresse der offenen Seite und die dort verlinkten Feed-Adressen an LEXOJ, damit das Fenster zeigt, ob du die Seite schon gespeichert oder abonniert hast. Verlinkt die Seite keinen Feed, ruft der Server von LEXOJ die Seite ab und sucht dort nach einem Feed. Bei Adressen im eigenen Netz (zum Beispiel Intranet), Webmail, Verwaltungskonsolen, Anmelde-, Konto-, Kassen- und Suchseiten sowie Links zum Bestätigen, Abmelden, Zurücksetzen, Aktivieren oder Einladen geht die Adresse erst weg, wenn du „Speichern“ wählst. Den Inhalt von Seiten liest die Erweiterung nie. Der Zugangsschlüssel liegt im Speicher der Erweiterung in deinem Browser. Lesezeichen aus dem Browser importieren: Die Erweiterung liest die Liste deiner Lesezeichen (Titel, Adressen, Ordner, Datum des Anlegens) nur, wenn du in LEXOJ «Aus dem Browser importieren» wählst und es danach im Fenster der Erweiterung ausdrücklich erlaubst. Sie gibt die Liste nur an deine geöffnete LEXOJ-Seite weiter, die sie an dein LEXOJ-Konto sendet, speichert in der Erweiterung nichts davon und gibt das Recht zum Lesen danach sofort wieder ab. Für die importierten Seiten gilt dasselbe wie für jedes gespeicherte Lesezeichen.
• Angemeldete Geräte: eine gekürzte IP-Adresse (IPv4 ohne die letzte Zahl, IPv6 nur die ersten 48 Bit), Browser und Betriebssystem sowie Zeitpunkte. So kannst du in den Einstellungen sehen, wo du angemeldet bist.
• Zähler gegen Missbrauch (z. B. höchstens 3 Codes pro Adresse in 15 Minuten): Beim Senden von Codes steht ein nicht umkehrbares Kürzel der E-Mail-Adresse darin, nicht die Adresse selbst. Bei Konten ohne Anmeldung, bei Teilen-Links (auch für Besucher ohne Konto), bei der Sicherheitsprüfung und bei Nutzungsmeldungen steht das gekürzte Netz der IP-Adresse darin (IPv4 ohne die letzte Zahl, IPv6 nur die ersten 48 Bit), bei Nutzungsmeldungen angemeldeter Konten zusätzlich die Konto-Nummer. Diese Zähler werden höchstens einen Tag aufbewahrt.
• Sicherheitsprüfung: Beim Senden eines Codes und beim ersten Speichern ohne Anmeldung prüft Cloudflare Turnstile, ob ein Mensch anfragt (siehe unten). LEXOJ speichert davon nur Zähler ohne Personenbezug, nie das Prüfergebnis pro Person. Rechtsgrundlage ist unser berechtigtes Interesse, das Anmelden und die Kontingente vor Automaten zu schützen.
• Deine Inhalte: Abos, Ordner, Sammlungen, Favoriten, Lesestand, Bookmarks mit Notizen und Tags, Regeln für Benachrichtigungen, stummgeschaltete Wörter (nur mit Bezahlplan; sie bleiben bei dir, erscheinen im Datenexport und werden mit dem Konto gelöscht) und, wenn du Benachrichtigungen einschaltest, die Push-Adresse deines Browsers oder in der Android-App deren Gerätekennung für Firebase Cloud Messaging.
• Keine Seitenkopien: LEXOJ speichert bei Bookmarks und bei „Später lesen“ nur Adresse, Titel, Beschreibung, Bild, Notiz und Tags, nie den Text der Seite oder des Artikels. Es gibt keine Funktion „Volltext laden“. Titel, Beschreibung, Vorschaubild und Symbol einer Seite liegen in einem Zwischenspeicher ohne Bezug zu einem Konto, den alle Konten mit derselben Adresse teilen.
• Gruppieren von Meldungen: Damit gleiche Meldungen verschiedener Quellen zusammen erscheinen, berechnet LEXOJ auf dem eigenen Server aus den Titeln öffentlicher Artikel Zahlenwerte und vergleicht sie. Das Modell dafür läuft auf unserem Server, es gehen keine Daten an andere Dienste. Die Werte haben keinen Bezug zu deinem Konto und werden nach 3 Tagen gelöscht. Newsletter zählen nie.
• Suchindex für Blogs: Bei Quellen der Kategorie Blogs ruft LEXOJ jede neue Artikelseite einmal ab und speichert daraus nur Wortstämme ohne Reihenfolge und ohne Text, damit die Suche sie findet. Darin können auch Namen stehen, die im Artikel vorkommen. Die Einträge haben keinen Bezug zu deinem Konto, werden nie angezeigt und mit dem Artikel gelöscht (nach dem Archiv der Quelle, höchstens 14 Monate), sofort bei einem Widerspruch der Website. Grundlage: berechtigtes Interesse (eine durchsuchbare Sammlung der abonnierten Quellen).
• Defekte Links (nur mit Bezahlplan): LEXOJ prüft, ob deine gespeicherten Links noch erreichbar sind. Dazu ruft ein Server den Link gelegentlich auf und merkt sich nur das Ergebnis (erreichbar, umgezogen, nicht gefunden) mit der Zeit der Prüfung, nie den Inhalt der Seite. Die Seite sieht dabei eine Anfrage von LEXOJ, nicht von dir.
• Medien mit Bezahlschranke: Markierst du in Alerts ein Medium mit dem Schloss, speichern wir das in deinem Konto (Datenexport, Löschung mit dem Konto). Haben mindestens drei verschiedene Konten mit E-Mail dasselbe Medium markiert, gilt es für alle als bezahlpflichtig. Andere sehen dann nur den Namen des Mediums, nie wer es markiert hat und nie eine einzelne Markierung.
• Beliebtheit für „Heute“: Für Artikel der letzten 48 Stunden zählen wir, in wie vielen Quellen dieselbe Meldung erscheint und wie viele Nutzer sie zu ihren Favoriten hinzugefügt oder als Bookmark gespeichert haben. Gespeichert wird nur die Zahl je Artikel, nie wer. Andere sehen diese Zahlen nicht, sie ändern nur die Reihenfolge, und Favoriten wie Bookmarks zählen dort erst ab zwei anderen Personen. Öffnungen zählen anonym je Konto, Artikel und Tag nur einmal (abgeglichen über einen täglich neuen Zufallswert nur im Arbeitsspeicher des Servers, ohne gespeicherte Kennung); „Von vielen gelesen“ erscheint erst ab 10 solchen Öffnungen einer Geschichte, ohne Zahl.
• Sendungen (nur mit Paketverfolgung im Plan): Sendungsnummer, Carrier, dein Titel sowie Status und Verlauf (Zeit, Ort, Meldung des Carriers).
• Anonyme Nutzungszähler: Wir zählen pro Tag, wie oft Funktionen genutzt werden (z. B. Suche, Discover, Quelle hinzufügen, OPML-Import) und wie oft ein Artikel aus einer öffentlichen Quelle geöffnet wird. Gespeichert wird nur die Zahl je Tag und Funktion bzw. Artikel, ohne Nutzerkennung, ohne IP-Adresse und ohne Verlauf pro Person. Newsletter und andere private Quellen zählen nie. Die Öffnungen heben beliebte Artikel in „Heute“ leicht an. Zusätzlich zählen wir pro Tag, wie oft Ansichten, Einstellungsbereiche und Funktionen genutzt werden, wie oft ein Fehler auftritt (nur ein Code) und wie schnell Seiten laden (nur grobe Stufen, nie der Messwert), dazu grobe Angaben zum Besuch: Gerätegrösse in drei Stufen (Handy, Tablet, Desktop), ob die App installiert oder im Browser geöffnet wurde, die Sprache, die Herkunft in vier Gruppen (direkt, Suchmaschine, soziales Netz, andere Seite, nie die Adresse) und die Dauer des Besuchs in Stufen. Es werden keine Cookies gesetzt, nichts auf deinem Gerät gespeichert, keine Kennung und keine IP-Adresse in diesen Zählern abgelegt, nichts wird einem Konto zugeordnet, und es gelangen keine Inhalte, Suchbegriffe oder Adressen in diese Zähler. Sendet dein Browser „Do Not Track“ oder „Global Privacy Control“, zählen wir nichts. Die Zähler werden nach 400 Tagen gelöscht, die Fehler- und Ladezeit-Zähler schon nach 90 Tagen.
• Deine Statistik: Wir zählen pro Tag nur Anzahlen, getrennt danach, ob du Artikel geöffnet, beim Scrollen überflogen, einzeln als gelesen markiert oder mit „Alle als gelesen“ markiert hast, nie welche Artikel. Das dient nur deinen eigenen Zahlen und Erfolgen unter Einstellungen. Nur du siehst sie, auch wir nicht. Sie gehören zum Datenexport, werden mit deinem Konto gelöscht und sonst nach 400 Tagen.
• Rückmeldungen: Schickst du über „Feedback & Support“ im Menü am Zahnrad eine Rückmeldung (Fehler, Wunsch, Sprache, Frage), speichern wir Art, deinen Text, den Pfad der Seite (ohne Adressteile nach „?“ oder „#“), die Fenstergrösse und die App-Version, dazu dein Konto, damit wir sie lesen können. Zusätzlich geht die Rückmeldung per E-Mail an unser Support-Team (Name deines Kontos, Kontoart, Sprache der Oberfläche und Zeitpunkt stehen darin); hat dein Konto eine bestätigte E-Mail-Adresse, steht sie in der Mail und dient als Antwortadresse, damit wir dir antworten können. Anonyme Konten erscheinen als „anonymes Konto“, ohne Adresse. Hängst du Bildschirmfotos an (höchstens drei), entfernen wir ihre Metadaten (etwa Standort und Gerät), schicken sie mit der Mail an unser Support-Team und löschen sie nach 90 Tagen. Kein weiteres Tracking. Sie werden mit dem Konto gelöscht und stehen im Datenexport.
• Geteilte Ordner (nur wenn du einen Ordner teilst): Wir speichern eine Kopie der Quellenliste, also den Ordnernamen, die Feed-Adressen und die Titel der Feeds, dazu den Ablauf (höchstens 90 Tage) und die Zahl der Übernahmen. Der Link enthält einen Zufallscode, von dem wir nur einen nicht umkehrbaren Prüfwert speichern. Wer den Link kennt, sieht die Liste, ohne sich anzumelden. Gelesen-Stand, Favoriten, Notizen, Tags, Bookmarks und deine eigenen Titel gehören nie dazu, und der Empfänger erhält eine eigene Kopie ohne weitere Verbindung zu deinem Konto. Dein Name erscheint nur, wenn du ihn beim Teilen ausdrücklich einblendest. Du kannst Links jederzeit unter Einstellungen widerrufen. Abgelaufene und widerrufene Links löschen wir nach 30 Tagen, alle Links mit dem Konto. Sie stehen im Datenexport (ohne Code und Liste).
• Teilen-Seiten für Artikel und Lesezeichen (nur wenn du einen Artikel oder ein Lesezeichen teilst): Wir speichern eine öffentliche Seite mit dem Titel, der Adresse des Originals, der Domain und dem Vorschaubild, das der Herausgeber für Linkvorschauen bereitstellt, dazu einen Zufallscode im Link und das Datum der Erstellung (ohne Uhrzeit). Diese Seite hat keine Verbindung zu deinem Konto: Wir speichern nicht, wer sie erstellt hat, und die Seite bleibt auch nach dem Löschen deines Kontos bestehen. Sie lässt sich nicht widerrufen; wer den Link kennt, sieht Titel, Bild und Domain und kann zum Original gehen. Die Seite setzt keine Cookies, enthält kein Skript und zählt keine Aufrufe. Messenger und Browser, die den Link öffnen, laden das Vorschaubild über unseren Bild-Host. Inhalte lassen sich über „Inhalt melden“ entfernen lassen. Wählst du „Originallink“, wird nichts gespeichert.
• Einladungen mit Ordnern (nur wenn wir eine Einladung mit Ordnern schicken): Die Einladung enthält eine Kopie der Quellenliste dieser Ordner (Namen und Feed-Adressen). Mit der Registrierung legt LEXOJ diese Quellen in deinem Konto an. Sie sind danach deine eigenen und haben keine Verbindung zu unserem Konto.

Was wir nicht tun

• Keine Werbung, keine Analyse- oder Tracking-Dienste Dritter, keine Werbeprofile und keine Weitergabe oder Verkauf von Daten. Für den Betrieb sieht der Betreiber pro Konto technische Nutzungszahlen (letzte Aktivität, Anzahl Quellen und Lesezeichen), um Fehler zu beheben und die Nutzung zu verstehen. Einzige Ausnahme ist das Zählpixel von Brevo, falls Brevo im Ersatzfall eine Mail versendet (siehe unten).
• Keine E-Mail-Adressen, Codes oder IP-Adressen in den Protokollen des Servers.
• Kein Passwort: Die Anmeldung läuft über Google, GitHub oder einen Code per E-Mail.

Cookies und Speicher im Browser

• __Host-lexoj_session: hält dich angemeldet. Gültig 30 Tage ab der letzten Nutzung, höchstens 180 Tage.
• __Host-lexoj_oauth_state: nur während einer Anmeldung über Google oder GitHub, danach gelöscht.
• __Host-lexoj_passkey: nur während du einen Passkey anlegst oder dich damit anmeldest, höchstens 5 Minuten.
• Speicher im Browser (bleibt auf deinem Gerät, geht an niemanden, dient nie der Werbung): deine Sprache, deine Anzeige-Einstellungen (Ansicht, Leseeinstellungen, Seitenleiste, Anordnung der Bookmarks), eine zufällige Geräte-Nummer, mit der LEXOJ Änderungen zwischen deinen Geräten abgleicht, ein Merker, dass du hier angemeldet warst, Merker zu Hinweisen und zum Sichern eines Kontos ohne Anmeldung sowie, nur kurz beim Anmelden, der Rückweg zur zuletzt geöffneten Seite. Du kannst alles in den Einstellungen deines Browsers löschen. Podcast-Wiedergabe: Abspielposition der zuletzt gehörten Folgen (höchstens 200, wird beim Abmelden gelöscht), Geschwindigkeit und ob du den Hinweis zur IP-Adresse gesehen hast.
• Service Worker: nur für Benachrichtigungen, wenn du sie einschaltest.
• Sicherheitsprüfung: Das Widget von Cloudflare läuft in einem eigenen Rahmen von Cloudflare und wird erst im Moment des Codeversands oder des ersten Speicherns geladen, nie beim blossen Öffnen der Seite. Cloudflare bezeichnet die dafür nötigen Cookies und Speicherzugriffe als technisch notwendig. LEXOJ selbst setzt dafür nichts.
• Alle Cookies sind technisch nötig. Es gibt keine weiteren Cookies, deshalb auch kein Cookie-Banner.

Wozu

Wir bearbeiten die Daten, um dir LEXOJ bereitzustellen, dich anzumelden und den Dienst vor Missbrauch zu schützen. Für Personen in der EU sind die Rechtsgrundlagen die Erfüllung des Nutzungsverhältnisses (Art. 6 Abs. 1 lit. b DSGVO) und das berechtigte Interesse an einem sicheren Betrieb (lit. f).

Wer die Daten erhält

• Der Server von LEXOJ steht in der Schweiz und wird von uns selbst betrieben.
• Verbundene Apps (zum Beispiel Claude von Anthropic): Nur wenn du sie verbindest und nur mit den Rechten, die du erteilst. Was die App liest, geht an deren Anbieter und unterliegt dessen Datenschutzerklärung. LEXOJ gibt von sich aus nichts weiter.
• Cloudflare, Inc. (USA): leitet die Verbindung zu LEXOJ weiter und schützt vor Angriffen. Cloudflare sieht dabei deine IP-Adresse und die Daten der Verbindung.
• Cloudflare Turnstile (Cloudflare, Inc., USA): erst beim Senden eines Codes oder beim ersten Speichern ohne Anmeldung, nie beim blossen Lesen. Cloudflare erhält dabei deine IP-Adresse, den User-Agent, Angaben zur Verschlüsselung der Verbindung, Merkmale des Browsers und die Adresse dieser Seite. Deine E-Mail-Adresse und Eingaben erhält Cloudflare dadurch nicht. LEXOJ erhält ein Prüfzeichen, schickt es mit deiner IP-Adresse zur Kontrolle an Cloudflare zurück und speichert es nicht. Cloudflare bearbeitet diese Daten für uns und nutzt sie zusätzlich in eigener Verantwortung, um die Erkennung von Automaten zu verbessern. Dafür gilt die Datenschutzerklärung von Cloudflare zu Turnstile.
• Podcast-Anbieter (nur, wenn du in LEXOJ eine Folge abspielst): Die Audiodatei lädt dein Browser direkt vom Anbieter des Podcasts, nicht über LEXOJ. Der Anbieter und von ihm eingesetzte Messdienste sehen dabei deine IP-Adresse und den Ursprung „LEXOJ“, aber nie die Seite, auf der du bist. Bis du auf „Abspielen“ tippst, wird nichts bei ihm angefragt. LEXOJ speichert, kopiert und verändert kein Audio; die Abspielposition bleibt in deinem Browser.
• Mailjet SAS (Frankreich): versendet die Anmeldecodes, die Bestätigung einer Konto-Löschung, den Hinweis bei einer geänderten Anmeldeadresse und Rückmeldungen an unser Support-Team. Mailjet erhält dafür die Empfängeradresse und den Inhalt der Mail. Die Mail enthält Text und eine HTML-Fassung mit eingebettetem Logo, ohne Zählpixel und ohne nachgeladene Bilder.
• Brevo SAS (Frankreich): nur als Ersatz, wenn Mailjet ausfällt, mit denselben Angaben. Brevo wandelt die Mail dabei in HTML um und fügt ein Zählpixel ein, mit dem Brevo das Öffnen erfasst.
• Google LLC und GitHub, Inc. (USA): nur, wenn du die Anmeldung über sie wählst. Dort gelten zusätzlich ihre eigenen Datenschutzbestimmungen.
• Exoscale (Akenes SA, Schweiz, Zone Zürich): speichert die Sicherungen der Datenbank. Sie sind vor dem Hochladen verschlüsselt, Exoscale kann sie nicht lesen. Eine verschlüsselte Kopie der Sicherungen liegt zusätzlich auf unserem eigenen Speicher.
• Better Stack (Better Stack, s.r.o.): überwacht, ob LEXOJ läuft. Erhält nur technische Betriebssignale, keine Personendaten.
• Push-Dienst deines Browsers (z. B. Google, Mozilla, Apple): nur, wenn du Benachrichtigungen einschaltest. Er erhält die Benachrichtigung verschlüsselt und stellt sie zu.
• Firebase Cloud Messaging (Google LLC, USA): nur in der Android-App von LEXOJ und nur, wenn du dort Benachrichtigungen einschaltest. Google erhält die Gerätekennung der App und jede Benachrichtigung lesbar, also Name der Quelle, Titel des Artikels, Pfad in LEXOJ und die Adresse des Bildes über unseren Bild-Host. Anders als beim Push des Browsers ist der Inhalt dabei nicht Ende-zu-Ende verschlüsselt.
• Sendungsverfolgung: Standardmässig speichert LEXOJ nur die Sendungsnummer und verlinkt auf die Seite des Carriers oder von 17TRACK. Erst wenn du einen solchen Link öffnest, erhält diese Seite die Nummer, und es gelten ihre Bestimmungen. Ist die automatische Verfolgung eingeschaltet (die Seite Sendungen sagt es dir), fragt LEXOJ den Status bei 17TRACK ab und übermittelt dafür nur die Sendungsnummer und den Carrier, nie deinen Namen, deine E-Mail-Adresse oder deine Konto-ID.
• Für die USA stützen wir uns auf das Swiss-U.S. und das EU-U.S. Data Privacy Framework, bei dem die Anbieter zertifiziert sind, sonst auf Standardvertragsklauseln.

Newsletter per Mail

• Nur mit dem bezahlten oder geschenkten Plan. Du bekommst eine persönliche Adresse, die du in den Einstellungen jederzeit neu erzeugen kannst (die alte gilt dann sofort nicht mehr).
• Gespeichert werden die Adresse, der Anzeigename und die Domain des Absenders, statt der Absenderadresse nur ein gesalzener Hash davon, der Inhalt der Newsletter als Artikel und Bestätigungsmails (7 Tage im Eingang).
• Die Mails laufen über Cloudflare Email Routing. Cloudflare verarbeitet sie auf dem Weg zu LEXOJ, wie den übrigen Verkehr über den Tunnel.
• Newsletter-Artikel werden wie andere Artikel 14 Monate aufbewahrt, Favoriten bleiben. Sie werden mit dem Konto gelöscht.
• Über Inhalt und Adressen der Mails wird nichts protokolliert.

Wie lange

• Konto und Inhalte: bis du das Konto löschst. Nach dem Anstoss bleiben 7 Tage, um es dir anders zu überlegen, dann werden Konto und Inhalte gelöscht.
• Seiten-Metadaten im Zwischenspeicher (Titel, Beschreibung, Vorschaubild und Symbol einer Seite): werden 90 Tage nach der letzten Verwendung gelöscht, also wenn kein Lesezeichen, keine Teilen-Seite und keine Link-Prüfung sie mehr braucht.
• Sicherungen: gelöschte Daten sind noch bis zu 60 Tage in den verschlüsselten Sicherungen enthalten (rund 30 Tage Aufbewahrung, danach 30 Tage Schutz vor versehentlichem Löschen), dann auch dort weg.
• Gelöschte Konten: Müssen wir die Datenbank aus einer Sicherung wiederherstellen, löschen wir darin enthaltene, bereits gelöschte Konten erneut. Dafür bewahren wir nur ihre Konto-Nummer 180 Tage auf.
• Quellen, die niemand mehr abonniert: werden 90 Tage später mit ihren Artikeln gelöscht, ausser jemand hat einen ihrer Artikel als Favorit markiert.
• Angemeldete Geräte: bis zur Abmeldung, spätestens nach 180 Tagen.
• Sendungen: zugestellte wandern nach 14 Tagen ins Archiv, nicht zugestellte nach 60 Tagen. Der Verlauf wird 30 Tage nach dem Archivieren gelöscht, die Sendung selbst, wenn du sie löschst.
• Protokoll geänderter Anmeldeadressen (alte und neue Adresse, verschlüsselt, damit sich eine Kontoübernahme rückgängig machen lässt): 90 Tage.
• Anmeldecodes: 10 Minuten. Zähler gegen Missbrauch und Sicherheitsprüfung: höchstens einen Tag (mit dem Kürzel der Adresse oder dem gekürzten Netz der IP-Adresse, siehe oben).
• Anonyme Nutzungszähler: 400 Tage, Fehler- und Ladezeit-Zähler 90 Tage.
• Konten ohne Anmeldung: nach 30 Tagen ohne Nutzung gelöscht, ohne jeden Inhalt schon nach 24 Stunden. Unter Einstellungen → Konto jederzeit sofort löschbar.
• Verbundene Apps: bis zum Widerruf, ohne Nutzung höchstens 90 Tage. Browser-Erweiterung: bis zum Abmelden oder Widerruf, ohne Nutzung höchstens 90 Tage. Das Protokoll der Aufrufe: 90 Tage.
• Gerätekennung der Android-App für Benachrichtigungen: bis du dich in der App abmeldest oder das Konto löschst.

Deine Rechte

Du kannst Auskunft über deine Daten verlangen, sie berichtigen, herausgeben oder löschen lassen und der Bearbeitung widersprechen. Deine Daten exportieren (ZIP) und dein Konto löschen kannst du selbst unter Einstellungen → Konto. Für alles andere schreib an die Adresse oben. Ein Konto ohne Anmeldung können wir keiner Anfrage zuordnen: Export und Löschung gehen dort nur aus dem Konto selbst.

Du kannst dich beim Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) beschweren, in der EU bei der Aufsichtsbehörde deines Landes.

Sicherheit

Verbindungen sind verschlüsselt (HTTPS). E-Mail-Adressen liegen verschlüsselt in der Datenbank, Codes, Sitzungsschlüssel und Zugangsschlüssel der Browser-Erweiterung nur als Prüfwert. Die Daten jedes Kontos sind in der Datenbank von denen anderer Konten getrennt.