Bei der Registrierung durchläuft der Nutzer drei Schritte. Dabei werden folgende Daten erhoben:

• E-Mail-Adresse: Wird bei Schritt 1 eingegeben. Zweck: Identifikation, Verifizierung, Versand von System-E-Mails (Verifikationscode, Passwort-Reset, 2FA-Codes). Gespeichert in der Tabelle users in Kleinbuchstaben (normalisiert). Verbleibt dauerhaft im Account bis zur Löschung.
• E-Mail-Verifizierungscode (6-stellig): Ein zufällig generierter 6-stelliger Code wird per E-Mail versendet und temporär in der Datenbank hinterlegt. Nach Verwendung oder spätestens nach 15 Minuten wird er automatisch gelöscht.
• Benutzername: Frei wählbar bei Schritt 3. Dient als Anzeigename innerhalb der App. Öffentlich innerhalb des eigenen Teams sichtbar. Gespeichert in der Tabelle users, dauerhaft bis zur Account-Löschung.
• Passwort: Das eingegebene Passwort wird niemals im Klartext gespeichert. Es wird sofort mit bcrypt (Kostenfaktor 12) gehasht. Nur der Hash wird in der Datenbank in der Spalte password_hash abgelegt. Das Originalpasswort kann von Mailvox nicht eingesehen oder wiederhergestellt werden.
• Registrierungszeitpunkt: Der Zeitstempel der Account-Erstellung (created_at) wird dauerhaft gespeichert. Dieser dient statistischen Zwecken und der Vertragsabwicklung.
• Plan bei Registrierung: Der gewählte Plan (free, pro, starter, business, enterprise) wird gespeichert. Bei kostenpflichtigen Plänen ohne Freischaltung durch den Administrator wird eine Stripe-Checkout-Session gestartet (siehe § 3.5).

Bei der Anmeldung (Login) werden folgende Daten verarbeitet:

• Benutzername oder E-Mail + Passwort: Werden zur Authentifizierung gegen den gespeicherten bcrypt-Hash geprüft. Der Klartext wird nach der Prüfung sofort verworfen und nicht gespeichert.
• Session-Cookie: Nach erfolgreicher Anmeldung wird ein verschlüsseltes Session-Cookie im Browser gesetzt. Dieses Cookie enthält eine zufällige Session-ID, die auf einen Server-seitigen Eintrag in der Tabelle sessions verweist. Im Session-Eintrag werden gespeichert: Nutzer-ID, Benutzername, Zeitstempel der letzten Aktivität (lastActivity) sowie ein CSRF-Geheimnis.
• Session-Ablauf: Sessions laufen nach 24 Stunden Inaktivität automatisch ab. Der Server-seitige Eintrag wird dabei gelöscht. Das Cookie wird beim nächsten Seitenaufruf ungültig.
• Zwei-Faktor-Authentifizierung (2FA): Wenn 2FA aktiviert ist, wird nach dem Passwort ein 6-stelliger TOTP-Code per E-Mail an die hinterlegte Adresse gesendet. Dieser Code wird temporär in der Tabelle login_requests gespeichert und nach erfolgreicher Verwendung oder spätestens nach 10 Minuten automatisch gelöscht. Der Code dient ausschließlich der Verifizierung der Identität und wird nicht für andere Zwecke genutzt.
• Rate-Limiting: Zur Missbrauchsprävention werden fehlgeschlagene Anmeldeversuche gezählt. Nach zu vielen Fehlversuchen wird der Zugang temporär gesperrt. Diese Zählung erfolgt IP-basiert und wird im Arbeitsspeicher gehalten (kein persistentes Protokoll).

Wenn der Nutzer sein E-Mail-Postfach verbindet, wird ein OAuth2-Autorisierungsfluss gestartet:

• OAuth-State-Token: Vor der Weiterleitung zum Anbieter wird ein zufälliger 32-Byte-Token generiert und in der Tabelle oauth_states gespeichert. Dieser dient dem CSRF-Schutz. Er wird nach erfolgreicher Rückkehr oder spätestens nach 10 Minuten automatisch gelöscht.
• Access-Token: Nach Abschluss des OAuth-Flows stellt der Anbieter (Google, Microsoft, Zoho) einen Access-Token aus. Dieser Token berechtigt Mailvox, im Namen des Nutzers E-Mails zu lesen. Er wird verschlüsselt in der Tabelle tokens gespeichert.
• Refresh-Token: Ebenfalls verschlüsselt in der Tabelle tokens gespeichert. Wird verwendet, um abgelaufene Access-Tokens automatisch zu erneuern, ohne dass der Nutzer erneut autorisieren muss.
• Token-Ablauf (expires_at): Der Zeitstempel des Token-Ablaufs wird als Millisekunden-Timestamp gespeichert.
• Anbieter-Bezeichnung (provider): Gibt an, welcher Dienst verbunden wurde (gmail, outlook, zoho). Gespeichert in der Tabelle tokens.
• Speicherdauer: Tokens bleiben gespeichert, bis der Nutzer die Verbindung in den Einstellungen trennt oder den Account löscht. Bei Trennung werden alle Token-Einträge für diesen Anbieter sofort aus der Datenbank entfernt.

Bei IMAP-Verbindungen (Yahoo Mail und Apple Mail / iCloud) werden keine OAuth-Token verwendet. Stattdessen:

• E-Mail-Adresse: Die Adresse des verbundenen IMAP-Kontos wird gespeichert.
• App-Passwort: Das vom Nutzer eingegebene App-spezifische Passwort (nicht das normale Konto-Passwort des Anbieters) wird verschlüsselt in der Datenbank gespeichert. Es wird ausschließlich für die IMAP-Verbindung zum Abrufen von E-Mails verwendet.
• Wichtig: Mailvox fordert und speichert niemals das reguläre Konto-Passwort des E-Mail-Anbieters. Es wird ausdrücklich ein App-spezifisches Passwort verwendet, das vom Nutzer beim jeweiligen Anbieter (Yahoo Security Settings, Apple ID) generiert werden muss.
• IMAP-Host & Port: Vordefinierte Werte (Yahoo: imap.mail.yahoo.com:993, iCloud: imap.mail.me.com:993) werden beim Verbindungsaufbau verwendet, aber nicht separat gespeichert.
• Speicherdauer: Das App-Passwort bleibt gespeichert, bis der Nutzer die Verbindung trennt oder den Account löscht.

Der Kern von Mailvox ist die KI-gestützte Generierung von E-Mail-Antworten. Dabei werden E-Mail-Inhalte verarbeitet:

• Was wird übertragen: Wenn der Nutzer eine E-Mail analysieren oder eine Antwort generieren lässt, wird der Inhalt der betreffenden E-Mail (Betreff, Absender, E-Mail-Text) zusammen mit den Einstellungen des Nutzers (Ton, Sprache, Schreibstil, Industrie, Signatur) an die Groq API (Dienst von Groq Inc., USA) übertragen.
• Verwendetes Modell: llama-3.3-70b-versatile (ein Open-Source-Sprachmodell, betrieben durch Groq).
• Speicherung durch Mailvox: Der E-Mail-Inhalt wird von Mailvox nicht dauerhaft gespeichert. Die Datenübertragung an Groq erfolgt als API-Anfrage; nach Erhalt der Antwort (generierten Antwort) werden die E-Mail-Inhalte aus dem Arbeitsspeicher verworfen.
• Metadaten der Generierung: In der Tabelle ai_generations werden Metadaten gespeichert (Nutzer-ID, Zeitstempel, Plan). Der E-Mail-Inhalt selbst wird dort nicht abgelegt.
• Prioritätsanalyse: Beim automatischen Analysieren eingehender E-Mails (Priorisierung) wird ebenfalls der E-Mail-Inhalt temporär an die Groq API übermittelt. Gleiches gilt für die Phishing-Erkennung.
• Phishing-Erkennung: E-Mail-Inhalte werden zusätzlich lokal durch einen eigenen Phishing-Detektor analysiert. Diese Analyse findet ausschließlich im Arbeitsspeicher des Mailvox-Servers statt; keine Übermittlung an Dritte hierfür.

• Generierte Entwürfe (drafts): Vom Nutzer gespeicherte oder weiterbearbeitete KI-Antworten werden in der Tabelle drafts gespeichert. Inhalt: Entwurf-Text, Empfänger-Adresse, Betreff, Erstellungsdatum, Nutzer-ID. Bleiben gespeichert bis zur manuellen Löschung durch den Nutzer oder Account-Löschung.
• Gesendete Entwürfe (sent_drafts): Wenn ein Entwurf als gesendet markiert wird, wandert er in die Tabelle sent_drafts. Gleiches Schema wie Entwürfe. Verbleibt bis zur Account-Löschung.
• Papierkorb (trash_drafts): Gelöschte Entwürfe werden in der Tabelle trash_drafts zwischengelagert. Sie verbleiben dort, bis der Papierkorb geleert wird oder der Account gelöscht wird.
• Hinweis: Das tatsächliche Senden einer E-Mail erfolgt über die API des verbundenen Mail-Anbieters (Gmail API, Microsoft Graph API, Zoho API, IMAP/SMTP). Mailvox protokolliert den Versand nicht dauerhaft; lediglich der Entwurf wird in sent_drafts markiert.

In den Einstellungen kann der Nutzer seinen persönlichen Schreibstil definieren (Anrede, Signatur, Branche, Ton, bevorzugte Sprache). Diese Einstellungen werden in der Datenbank gespeichert und bei jeder KI-Generierung als Teil des Prompts verwendet. Sie verbleiben bis zur Account-Löschung oder bis der Nutzer sie manuell ändert.

• Stripe Kunden-ID (stripe_customer_id): Wenn der Nutzer ein kostenpflichtiges Abonnement abschließt, wird eine Stripe-Kundenkennung in der Datenbank gespeichert. Diese ID ermöglicht es, den Nutzer im Stripe-System zu identifizieren (z. B. für das Kundenportal). Sie enthält keine Zahlungsdaten.
• Stripe Abonnement-ID (stripe_subscription_id): Die ID des aktiven Abonnements wird in der Datenbank gespeichert. Ermöglicht die Verifizierung des Abo-Status über Stripe-Webhooks.
• Zahlungsdaten: Kreditkartennummern, Bankdaten oder sonstige Zahlungsinformationen werden niemals von Mailvox gespeichert. Die Zahlungsabwicklung erfolgt vollständig über Stripe. Mailvox erhält von Stripe lediglich eine Bestätigung des Zahlungsstatus per Webhook-Ereignis.
• Abo-Plan: Der aktive Plan (free, pro, starter, business, enterprise) wird in der Tabelle users gespeichert und bei jedem Webhook-Ereignis von Stripe aktualisiert.
• Speicherdauer: Stripe-IDs bleiben gespeichert bis zur Account-Löschung. Bei Kündigung des Abonnements wird die stripe_subscription_id auf NULL gesetzt; die stripe_customer_id bleibt für eventuelle zukünftige Käufe erhalten.

Nutzer mit einem Business-, Starter- oder Enterprise-Plan erhalten eine Team-Funktion:

• Einladungscode: Ein 8-stelliger, zufällig generierter Code (Großbuchstaben ohne I) wird in der Tabelle invite_codes gespeichert. Enthält: Code, Nutzer-ID des Inhabers, Plan, maximale Anzahl an Nutzungen, aktuelle Nutzungsanzahl.
• Team-Mitglieder: Wenn sich ein Mitarbeiter mit einem Einladungscode registriert, wird in der Datenbank vermerkt, welchem Team er angehört (is_member-Flag in der users-Tabelle). Der Chef-Status wird ebenfalls gespeichert (is_owner).
• Speicherdauer: Einladungscodes werden gelöscht, wenn das Business-Abonnement des Inhabers endet (Webhook von Stripe). Team-Zugehörigkeiten verbleiben bis zur Account-Löschung des jeweiligen Mitglieds.

Wenn der Nutzer seinen Kalender verbindet (Google Calendar oder Outlook Calendar):

• Kalender-OAuth-Token: Separate OAuth-Token für den Kalender werden verschlüsselt in der Datenbank gespeichert (in der Tokens-Tabelle mit entsprechendem Provider-Kürzel).
• Kalender-Ereignisse: Beim Laden der Kalenderansicht werden Ereignisse direkt vom Anbieter (Google Calendar API, Microsoft Graph API) abgerufen. Mailvox speichert keine Kalender-Ereignisse dauerhaft; sie werden nur für die Darstellung im Arbeitsspeicher gehalten.
• Neu erstellte Ereignisse: Wenn der Nutzer über Mailvox ein Kalenderereignis erstellt, wird dieses direkt über die Anbieter-API in den Kalender des Nutzers eingetragen. Mailvox speichert nur die Bestätigung (Ereignis-ID) temporär.

• Reset-Token: Wenn der Nutzer "Passwort vergessen" verwendet, wird ein kryptografisch sicherer Token generiert und temporär in der Datenbank gespeichert. Dieser Token ist 1 Stunde gültig und wird nach Verwendung oder nach Ablauf sofort gelöscht.
• Reset-E-Mail: Eine E-Mail mit dem Reset-Link wird an die hinterlegte E-Mail-Adresse gesendet. Der Versand erfolgt über den Mailvox-E-Mail-Dienst (SMTP).

• IP-Adresse: Bei jedem HTTP-Request wird die IP-Adresse des Nutzers vom Server-Betreiber (Render) automatisch protokolliert. Mailvox hat keinen direkten Zugriff auf diese Logs; sie werden von Render nach spätestens 30 Tagen automatisch gelöscht.
• HTTP-Request-Daten: URL, HTTP-Methode, Antwort-Statuscode, Zeitstempel und User-Agent (Browser-Kennung) werden in Standard-Server-Logs erfasst. Speicherdauer: max. 30 Tage.
• Fehler-Logs: Bei Server-Fehlern können Fehlermeldungen protokolliert werden, die keine personenbezogenen E-Mail-Inhalte enthalten. Diese Logs dienen der Fehlerbehebung und werden nach 30 Tagen gelöscht.

Zweck: Generierung von E-Mail-Antworten und Priorisierungsanalyse.
Übermittelte Daten: E-Mail-Inhalt (Betreff, Text, Absender), Schreibstil-Einstellungen des Nutzers.
Speicherort: USA
Rechtsgrundlage Drittlandübermittlung: Standardvertragsklauseln (SCC) der EU-Kommission.
Datenschutzrichtlinie: groq.com/privacy-policy

Zweck: Abwicklung von Abonnementszahlungen, Verwaltung des Kundenportals.
Übermittelte Daten: E-Mail-Adresse, Abonnement-Metadaten. Zahlungsdaten werden direkt zwischen Nutzer und Stripe ausgetauscht (kein Durchlauf durch Mailvox-Server).
Speicherort: USA (Stripe ist nach EU-US Data Privacy Framework zertifiziert).
Datenschutzrichtlinie: stripe.com/privacy

Zweck: Hosting des Mailvox-Backends und der PostgreSQL-Datenbank.
Übermittelte Daten: Alle in der Datenbank gespeicherten Nutzerdaten (siehe § 2).
Speicherort: USA (Oregon)
Datenschutzrichtlinie: render.com/privacy
Render verarbeitet Daten als Auftragsverarbeiter gemäß Art. 28 DSGVO.

Zweck Gmail: OAuth2-Authentifizierung für Gmail-Postfächer; Zugriff auf die Gmail API zum Lesen und Senden von E-Mails im Namen des Nutzers. Voraussetzung: explizite Autorisierung durch den Nutzer.
Zweck Google Fonts: Laden von Schriftarten (Inter, DM Serif Display) von Google-Servern. Dabei wird die IP-Adresse des Nutzers an Google übermittelt.
Datenschutzrichtlinie: policies.google.com/privacy

Zweck: OAuth2-Authentifizierung für Outlook-/Microsoft-365-Postfächer; Zugriff auf die Microsoft Graph API zum Lesen und Senden von E-Mails sowie zum Zugriff auf den Kalender.
Datenschutzrichtlinie: privacy.microsoft.com

Zweck: OAuth2-Authentifizierung für Zoho-Mail-Postfächer; Zugriff über die Zoho Mail API.
Datenschutzrichtlinie: zoho.com/privacy.html

Zweck: IMAP-Verbindung zum Yahoo-Mail-Postfach. Das App-Passwort des Nutzers wird verschlüsselt gespeichert und ausschließlich für den IMAP-Verbindungsaufbau verwendet.
Datenschutzrichtlinie: legal.yahoo.com/privacy

Zweck: IMAP-Verbindung zum iCloud-Mail-Postfach. Das app-spezifische Passwort des Nutzers wird verschlüsselt gespeichert und ausschließlich für den IMAP-Verbindungsaufbau verwendet.
Datenschutzrichtlinie: apple.com/legal/privacy