Datenschutzerklärung

Stand: 2026-10-18

authtoken ist ein Credential Broker für KI-Agents, betrieben von der neuraforce GmbH, Dora-Koch-Stetter-Weg 22, 18055 Rostock, Deutschland („wir“). Geschäftsführer: Hans Wolff. Kontakt in Datenschutzfragen: privacy@authtoken.com.

Die gesamte authtoken-Infrastruktur — Server, Snapshots, Protokollierung — wird ausschließlich in Deutschland betrieben. Personenbezogene Daten verlassen sie in zwei Fällen, die Sie beide selbst auslösen: Benachrichtigungen an ein von Ihnen gekoppeltes Telefon und an einen Browser, den Sie darum gebeten haben, laufen über die Push-Dienste von Apple, Google, Mozilla oder Microsoft in den USA (§ 5).

1. Unsere zwei Rollen

Verantwortlicher (Art. 4 Nr. 7 DSGVO) für unsere eigene Verarbeitung: Ihr Konto, unsere Website, Sicherheitsprotokolle und die Audit-Historie.
Auftragsverarbeiter (Art. 4 Nr. 8, Art. 28 DSGVO) für die Inhalte Ihres Vaults: was Sie als Secret hinterlegen, entscheiden Sie. Diese Inhalte verarbeiten wir ausschließlich als verschlüsselte Nutzlast — mit einer Ausnahme, die § 9 vollständig benennt: ein Secret vom Typ totp, dessen Seed wir lesen können müssen, um Ihre Codes zu berechnen. Heraus geben wir sie alle nur auf Ihre Weisung an Ihre Agents. Für einen Vertrag zur Auftragsverarbeitung (AVV) schreiben Sie uns; die Beta läuft mit einzeln bekannten Nutzern.

2. Was wir verarbeiten

Verarbeitung	Daten	Rechtsgrundlage	Speicherdauer
Konto und Anmeldung	E-Mail-Adresse, Passwort-Hash, TOTP-Faktor, Passkeys, Ihre öffentlichen Schlüssel und verschlüsselten privaten Schlüssel, Parameter der Schlüsselableitung, Kontosprache	Art. 6 Abs. 1 lit. b DSGVO (Vertrag)	Lebensdauer des Tenant
Vault-Inhalte	Secrets (verschlüsselt), Namen von Targets und Identities	Art. 6 Abs. 1 lit. b DSGVO	Lebensdauer des Tenant; Versionen bis zur Bereinigung
Audit Events	Aktionen, IP-Adressen, Maschinen-Fingerprints, Grant-Referenzen — und, wo ein Eintrag einen von Ihnen eingeschalteten oder beendeten Browser betrifft, dessen Bezeichnung aus der Zeile Benachrichtigungen in einem Browser unten — hier ebenfalls gespeichert, für die 12 Monate dieser Zeile, unabhängig vom Eintrag dort und von dessen Beendigung	Art. 6 Abs. 1 lit. f DSGVO (Sicherheit des Dienstes)	12 Monate, dann endgültig gelöscht
Security Events	Auffälligkeiten mit Bezug auf Audit Events	Art. 6 Abs. 1 lit. f DSGVO	Wie die referenzierten Audit Events
Sitzungen	Sitzungsdaten, Zeitpunkte	Art. 6 Abs. 1 lit. b DSGVO	Höchstens 7 Tage; endet nach 24 Stunden ohne Nutzung
Gekoppeltes Telefon und Push-Benachrichtigungen	Anzeigename, Plattform, Push-Adresse und Zeitpunkt des letzten Kontakts des Telefons; je Benachrichtigung die Metadaten der anstehenden Entscheidung im gewählten Detailgrad (§ 5)	Art. 6 Abs. 1 lit. b DSGVO	Gerätedaten: Lebensdauer des Tenant — auch ein entkoppeltes Telefon bleibt als Bezug der Audit-Historie gespeichert; früher gelöscht wird nur die Push-Adresse: wenn das Telefon entkoppelt wird, oder schon vorher, sobald der Push-Dienst sie als ungültig meldet. Die Nachricht beim Push-Dienst: bis zur Zustellung oder zum Ablauf (§ 5)
Benachrichtigungen in einem Browser	Je Browser, den Sie dafür einschalten: die Adresse, die sein Push-Dienst ausgestellt hat, die beiden Schlüssel, die der Browser selbst erzeugt hat, eine Bezeichnung im Klartext („Firefox unter macOS“ — vom Browser aus seinem Namen und Ihrem Betriebssystem gebildet, nicht die rohe User-Agent-Kennung) sowie die Zeitpunkte des Einschaltens, der letzten Aktualisierung, der letzten Benachrichtigung und der Beendigung; je Benachrichtigung dieselben Metadaten wie oben, hier jedoch verschlüsselt (§ 5)	Art. 6 Abs. 1 lit. b DSGVO	Dieser Browser wird benachrichtigt, bis Sie die Benachrichtigungen für ihn ausschalten, sich in ihm abmelden, den Eintrag in den Einstellungen widerrufen oder der Push-Dienst die Adresse als ungültig meldet — der Eintrag wird dann als beendet vermerkt, seine Adresse und beide Schlüssel werden in diesem Moment gelöscht, und es geht nichts mehr an ihn. Übrig bleiben die Bezeichnung und die Zeitpunkte: die bleiben, wie bei einem entkoppelten Telefon, für die Lebensdauer des Tenant als Bezug der Audit-Historie gespeichert; gelöscht werden sie erst mit Ihrem Tenant. Die Nachricht beim Push-Dienst: bis zur Zustellung oder zum Ablauf (§ 5)
Kontaktformular	Name, E-Mail-Adresse, Nachricht	Art. 6 Abs. 1 lit. f DSGVO (Beantwortung Ihrer Anfrage)	12 Monate nach Eingang
Betriebsprotokolle	Server-Logs, können IP-Adressen enthalten	Art. 6 Abs. 1 lit. f DSGVO	Wochen (größenbegrenzt)
Snapshots	Snapshots des verschlüsselten Datenbank-Datenträgers vor jedem Deployment	Art. 6 Abs. 1 lit. f DSGVO (Rücksetzpunkt bei fehlgeschlagenen Updates)	Bis zehn spätere Deployments sie verdrängt haben

IP-Adressen und Maschinen-Fingerprints in Audit Events verarbeiten wir auf Grundlage berechtigten Interesses (Sicherheit des Dienstes, Art. 6 Abs. 1 lit. f DSGVO). Die Obergrenze von 12 Monaten begrenzt diese Verarbeitung.

3. Diese Website

Diese Seiten setzen keine Cookies zu Analyse- oder Werbezwecken, binden keine Drittanbieter-Ressourcen ein und übertragen nichts an Dritte. Schriften und Skripte werden von unserem eigenen Server ausgeliefert. Es findet kein Tracking statt.

Sind Sie in diesem Browser in der Anwendung angemeldet, zeigen diese Seiten statt „Anmelden“ Ihr Konto an. Dazu fragen sie die Anwendung einmal je Seite, wer angemeldet ist; Ihr Browser sendet dabei das Sitzungs-Cookie aus § 4 mit, und die Antwort ist Ihre E-Mail-Adresse oder nichts. Diese Seiten speichern dafür nichts, und die Frage geht an unseren eigenen Server und an niemanden sonst.

4. Cookies

Wir setzen drei Cookies, und alle drei sind technisch notwendig. Für sie ist nach § 25 Abs. 2 Nr. 2 TDDDG keine Einwilligung erforderlich — deshalb sehen Sie hier kein Cookie-Banner. Ein Banner würde um eine Erlaubnis bitten, die das Gesetz für genau diese drei Cookies nicht verlangt.

Name	Zweck	Speicherdauer
`__Host-authtoken_session`	Hält Sie nach der Anmeldung angemeldet	7 Tage
`authtoken_lang`	Spiegelt die in Ihrem Konto gewählte Sprache, damit bereits die erste Server-Antwort in dieser Sprache kommt	12 Monate
`sidebar`	Merkt sich, ob Sie die Seitenleiste der Anwendung eingeklappt oder wie breit Sie sie gezogen haben, damit die Seite gleich so erscheint	12 Monate

Alle drei entstehen erst innerhalb der Anwendung: das Sitzungs-Cookie bei der Anmeldung, das Sprach-Cookie, wenn Sie sich an einem Konto anmelden, für das eine Sprache gesetzt ist, und wenn Sie diese ändern, das Seitenleisten-Cookie, wenn Sie die Seitenleiste einklappen oder in der Breite ziehen. Die öffentlichen Seiten — Startseite, Download-Seite, Impressum, diese Erklärung, Kontaktformular — setzen überhaupt kein Cookie; die Sprachumschaltung dort ist ein gewöhnlicher Link, der die Sprache in der Adresse trägt. Es gibt keine Analyse-, Werbe- oder Tracking-Cookies. localStorage verwenden wir für zwei lokale Schutzwirkungen, jeweils unter der internen Kennung Ihres Kontos: Nach dem Entsperren merkt sich dieser Browser die höchste nachgewiesene Version Ihres Tenant Key. Damit lehnt er ältere Schlüsselversionen ab. Wenn Sie eine Datenbank-Wiederherstellung manuell bestätigen, merkt er sich zusätzlich die dabei akzeptierte Schlüsselversion. Dieser zweite Wert sperrt die Wiederherstellung gesperrter Secrets in diesem Browser auch über Sitzungen hinweg, bis ein späteres Entsperren eine höhere Schlüsselversion als die akzeptierte nachweist. Die Zahlen enthalten keinen Schlüssel und werden nie an uns gesendet. Löschen Sie den ersten Wert, entfällt die lokale Erkennung älterer Schlüsselversionen; löschen Sie den zweiten, entfällt die zusätzliche Wiederherstellungssperre. Das Löschen ersetzt keine Prüfung der Schlüssel und ist kein empfohlener Wiederherstellungsweg. Weitere Speicher im Browser verwenden wir nicht.

5. Empfänger und Standort

Alle Daten liegen in Deutschland, auf einem Server, den die OVHcloud SAS in Limburg an der Lahn (DE1) bereitstellt; sie ist unser Auftragsverarbeiter für den Betrieb dieses Servers. Eine Kopie auf getrennter Hardware gibt es derzeit nicht; auch die Snapshots liegen auf diesem Server.

Zwei Ausnahmen verlassen diesen Server, und beide lösen Sie aus. Die erste ist das Telefon: Koppeln Sie eines mit der authtoken-App, um Entscheidungen dort zu treffen, dann senden wir die Benachrichtigung dafür, und für bestimmte Sicherheitsmeldungen, an den Push-Dienst des Telefonherstellers — an Apple Inc. (Apple Push Notification service, für iPhones) oder an Google LLC (Firebase Cloud Messaging, für Android-Geräte), beide mit Sitz in den USA. Beide sind dafür unsere Auftragsverarbeiter. Ohne gekoppeltes Telefon findet diese Übermittlung nicht statt.

Die zweite ist der Browser: Schalten Sie unter Einstellungen → Geräte die Benachrichtigungen für einen Browser ein, dann hinterlegt dieser Browser bei seinem eigenen Push-Dienst ein Abonnement und gibt uns dessen Adresse. Wir senden die Benachrichtigung an genau diese Adresse — je nach Browser an Mozilla Corporation (Firefox), Google LLC (Chrome und die übrigen Chromium-Browser), Apple Inc. (Safari) oder Microsoft Corporation (Edge), alle mit Sitz in den USA. Welcher dieser vier Empfänger es ist, entscheidet Ihre Wahl des Browsers, nicht unsere. Ohne eingeschalteten Browser findet auch diese Übermittlung nicht statt.

Was an den Push-Dienst eines Telefons übermittelt wird, bestimmt der in Ihren Einstellungen gewählte Detailgrad der Benachrichtigung; dort steht der Text im Klartext. Für eine Retrieval Approval bei „Vollständig“ (die Voreinstellung): der Name des anfragenden Agent, Target und Identity, der Typ der Auth Method und die Frist. Ein Grant Request trägt weniger — bei „Vollständig“ den Namen des Agent und das Target; keine Identity, keine Auth Method, keine Frist. Eine Write Approval — die Bitte eines Agent, etwas in Ihrem Vault zu ändern — trägt bei „Vollständig“ den Titel „Änderung entscheiden“, den Namen des anfragenden Agent, das Target (und die Identity, wenn die Änderung eine nennt), eine feste Bezeichnung der Art der Änderung (etwa „Identität umbenennen“), den Typ der Auth Method, sofern es eine gibt, und die Frist. Bei „Nur eine Anzahl“ trägt jede Nachricht zu einer Entscheidung nur eine Anzahl wartender Entscheidungen. Eine Sicherheitsmeldung — gesendet, wenn ein Agent gesperrt wird (sein Zugangstoken doppelt benutzt oder ungewöhnlich viele Secrets auf einmal abgerufen), wenn ein gekoppeltes Telefon widerrufen wird, weil sein Zugangstoken doppelt benutzt wurde, oder wenn eine Anmeldung Ihren Authenticator neu synchronisiert hat — nennt den gesperrten Agent (bei „Vollständig“) oder das widerrufene Telefon (bei „Vollständig“) und was geschehen ist; bei „Nur eine Anzahl“ sagt sie nur, dass ein Agent gesperrt oder ein Telefon widerrufen wurde, und die Meldung zur Anmeldung lautet auf jeder Stufe gleich. Die Adresse der Anmeldung trägt sie nie. Werte und Namen von Secrets werden auf keiner Stufe übermittelt. Auf jeder Stufe, auch bei „Nur eine Anzahl“, sieht der Push-Dienst außerdem, was der Transport selbst preisgibt: dass die Nachricht von authtoken kommt, an welches Telefon sie geht, eine interne Kennung der Entscheidung oder Meldung (eine gesammelte Nachricht über mehrere Grant Requests trägt statt der Kennung nur ihre Art), die Frist der Nachricht und ihre Art (Retrieval Approval, Write Approval, Grant Request oder Sicherheitsmeldung, etwa write_approval), die in jeder Nachricht im Klartext steht. Damit sieht er auch, wann und wie oft in Ihrem Tenant Entscheidungen und Sicherheitsmeldungen anfallen.

Zum Browser wird derselbe Text übermittelt, aber verschlüsselt — das ist der Unterschied zum Telefon. Der Inhalt der Benachrichtigung wird für Schlüssel verschlüsselt, die Ihr Browser selbst erzeugt und seinem Push-Dienst nie gibt; der Push-Dienst trägt einen Datenblock, den er nicht lesen kann. Was er sieht, ist der Transport: die Adresse des Abonnements, die diesen einen Browser bezeichnet; dass die Nachricht von uns kommt; wie lange sie aufgehoben und wie dringend sie zugestellt werden soll (das unterscheidet eine Approval von einem Grant Request oder einer Meldung, nicht aber eine Retrieval Approval von einer Write Approval); einen Streuwert der Entscheidung oder Meldung anstelle ihrer Kennung (eine gesammelte Nachricht über mehrere Grant Requests trägt stattdessen einen festen Streuwert ihrer Art); Zeitpunkt und Häufigkeit; sowie die Größe der verschlüsselten Nachricht — die wir bewusst auf eine von wenigen festen Größen auffüllen, sodass sie der Länge des Textes darin nicht mehr folgt: innerhalb einer dieser Größen lässt sich nicht mehr ablesen, wie lang der Text ist und wie lang die darin genannten Namen sind. Aus Dringlichkeit und Aufbewahrungsfrist lässt sich, wie beim Telefon, ablesen, ob es um eine Retrieval oder Write Approval, einen Grant Request oder eine Sicherheitsmeldung geht. Der gewählte Detailgrad bestimmt hier also, was Ihr Browser anzeigt; vom Text liest der Push-Dienst nichts, und aus der Größe erfährt er nur, in welche dieser wenigen sie gefallen ist — eine deutlich längere Benachrichtigung fällt weiterhin in eine größere.

Was der Browser dafür bereithält, ist zweierlei: einen Service Worker von unserem eigenen Server, der ausschließlich Push-Nachrichten annimmt und anzeigt — er speichert nichts, legt keinen Zwischenspeicher an und fängt keine Anfragen ab — und das Abonnement selbst, das der Browser verwaltet und mit dem Schalter wieder auflöst. Bei uns gespeichert sind dessen Adresse, die beiden Schlüssel des Browsers, die Bezeichnung und die Zeitpunkte aus § 2 — und endet das Abonnement, auf einem der in § 2 genannten Wege, werden Adresse und beide Schlüssel sofort gelöscht; es bleiben nur die Bezeichnung und die Zeitpunkte als Bezug der Audit-Historie.

Speicherdauer: Der Push-Dienst hält eine Nachricht nur bis zur Zustellung oder bis zu ihrem Ablauf — bei einer Retrieval Approval bis zu deren Frist (fest 15 Minuten; ebenso bei einer Write Approval), bei einem Grant Request oder einer Sicherheitsmeldung 24 Stunden; für den Browser gelten dieselben Fristen. Was Apple, Google, Mozilla und Microsoft darüber hinaus in ihren eigenen Betriebsprotokollen festhalten, können wir weder begrenzen noch prüfen: beim Telefon liegt es außerhalb unseres Vertrags mit Apple und Google, bei den Push-Diensten der Browser gibt es überhaupt keinen Vertrag (siehe unten).

Grundlage der Übermittlung (Art. 44 ff. DSGVO). Wir haben alle vier Empfänger am 18. Oktober 2026 in der offiziellen Teilnehmerliste des EU-US Data Privacy Framework nachgeschlagen — an dem Tag, den diese Erklärung oben als Stand nennt:

Google LLC ist dort als aktiver Teilnehmer geführt (EU-US-Zertifizierung im Status „Active“, erstmals seit dem 22. September 2016, laufende Periode bis zum 13. September 2027). Die Übermittlung an Google — zum Android-Telefon wie zum Chrome-Browser — stützt sich auf den Angemessenheitsbeschluss zum Data Privacy Framework (Art. 45 DSGVO). Für Firebase Cloud Messaging, den Weg zum Telefon, gelten zusätzlich die Firebase Data Processing and Security Terms, die ergänzend die EU-Standardvertragsklauseln enthalten.
Microsoft Corporation ist dort ebenfalls als aktiver Teilnehmer geführt (EU-US-Zertifizierung im Status „Active“, erstmals seit dem 12. August 2016, laufende Periode bis zum 31. August 2027). Auch die Übermittlung an Microsoft stützt sich damit auf den Angemessenheitsbeschluss (Art. 45 DSGVO).
Apple Inc. ist dort nicht geführt, weder als aktiver noch als ausgeschiedener Teilnehmer. Für den Weg zum iPhone stützt sich die Übermittlung auf die EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO), die Apple nach seiner eigenen Datenschutzerklärung auf Übermittlungen aus dem EWR anwendet; vertragliche Grundlage ist das Apple Developer Program License Agreement mit seinen Zusatzbedingungen für den Apple Push Notification service.
Mozilla Corporation ist dort nicht geführt, unter keinem Status.

Für zwei Wege können wir Ihnen keine Grundlage nennen, und wir sagen das lieber, als eine zu behaupten: für die Push-Dienste von Mozilla (Firefox) und Apple (Safari) im Browser. Web Push verlangt weder eine Anmeldung noch einen Vertrag mit dem Push-Dienst — wir senden an die Adresse, die Ihr Browser uns gegeben hat, und weisen uns dabei nur mit einem Schlüssel aus, den wir selbst erzeugt haben. Es besteht daher kein Vertrag, in den Standardvertragsklauseln aufgenommen werden könnten, und für diese beiden Empfänger auch keine Zertifizierung, auf die wir uns berufen könnten. Was diese Übermittlung tatsächlich begrenzt, ist zweierlei: Der Inhalt ist verschlüsselt, sodass dort nur die oben genannten Transportangaben ankommen, und sie findet nur statt, solange Sie den Schalter für diesen Browser eingeschaltet lassen.

Zwei Untergrenzen haben Sie selbst in der Hand: Der Detailgrad „Nur eine Anzahl“ beschränkt jede Nachricht auf eine Zahl oder auf die Art der Sicherheitsmeldung, ohne Namen — auf dem Telefon wie im Browser. Und wer kein Telefon koppelt und keinen Browser einschaltet, löst gar keine Übermittlung aus — das kostet die Benachrichtigung und sonst nichts; jede Entscheidung lässt sich weiterhin in der Web-Oberfläche treffen.

6. Löschung

Sie können Ihren Tenant selbst löschen. Die Domänendaten werden dabei sofort endgültig gelöscht; die Audit-Historie wird innerhalb von 24 Stunden durch den täglichen Aufräumlauf entfernt, weil die Anwendung auf diesen Tabellen bewusst kein Löschrecht besitzt. In den Snapshots, die vor jedem Deployment entstehen, können gelöschte Daten so lange fortbestehen, bis zehn spätere Deployments den jeweiligen Snapshot verdrängt haben; eine kalendarische Obergrenze gibt es dafür nicht.

7. Ihre Rechte

Sie haben das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21). Auskunft und Übertragbarkeit erledigen wir auf Anfrage an privacy@authtoken.com innerhalb der gesetzlichen Frist von einem Monat. Werte einzelner Secrets können Sie jederzeit selbst im Sudo mode einsehen.

Beschwerderecht bei der Aufsichtsbehörde: Der Landesbeauftragte für Datenschutz und Informationsfreiheit Mecklenburg-Vorpommern, Schwerin.

8. Datenschutzbeauftragter

Wir sind nicht zur Benennung verpflichtet (deutlich unter der Schwelle des § 38 BDSG). Benannter Kontakt ist privacy@authtoken.com.

9. Sicherheitsvorfälle

Meldepflichtige Verletzungen melden wir der Aufsichtsbehörde innerhalb von 72 Stunden (Art. 33) und benachrichtigen betroffene Nutzer unverzüglich (Art. 34) — einschließlich der Angabe, welche Targets und Identities betroffen sind, damit Sie dort rotieren können.

Was wir offen sagen: Die Inhalte Ihrer Secrets werden in Ihrem Browser und auf Ihren Maschinen unter Schlüsseln verschlüsselt, die wir nicht haben. Betreiber der neuraforce GmbH können das Chiffrat, die Namen und Struktur Ihrer Secrets sowie TOTP-Seeds erreichen — die wir zum Berechnen der Codes lesen müssen —, nicht aber den Inhalt eines anderen Secrets. Dafür gilt eine Grenze: Wir liefern das JavaScript aus, das in der Web-Oberfläche Ihre Schlüssel hält. Eine laufende Kompromittierung unserer Server, während Sie sie benutzen, könnte daher Ihre Browser-Sitzung angreifen. Die CLI ist der stärkere Weg. Der Schutz für das, was lesbar bleibt, ist organisatorisch: namentliche SSH-Schlüssel pro Betreiber, keine geteilten Konten, protokollierter Zugriff und Produktionszugang nur für Deploys und Vorfälle. Verlieren Sie Ihr Passwort und Ihren Backup Code, sind Ihre verschlüsselten Secrets nicht wiederherstellbar — nicht durch uns, nicht durch irgendwen.

Fragen zu dieser Erklärung: Kontaktformular oder privacy@authtoken.com.