Was mit deinen Daten passiert – und was nicht.

2. Datenschutz-Grundsätze von Dokuvara

Dokuvara ist darauf ausgelegt, nur Daten zu verarbeiten, die für eine vom Nutzer gewählte Funktion benötigt werden. Ein Klarname oder eine verpflichtende E-Mail-Adresse ist für das normale Dokuvara-Konto nicht erforderlich. Stattdessen wird eine Dokuvara-ID verwendet.

• Local first: Wo eine Funktion sinnvoll vollständig im Browser ausgeführt werden kann, bleiben die Arbeitsdaten auf dem Endgerät.
• Explizite Speicherung: Eine dauerhafte serverseitige Inhaltsablage erfolgt nur, wenn du eine Speicherfunktion wie „Unter ID speichern“ verwendest.
• Funktionsgebundene Serververarbeitung: Rechenintensive oder servergebundene Werkzeuge verarbeiten nur die Daten, die für den gewählten Vorgang benötigt werden.
• Keine Werbeprofile: Dokuvara verwendet die verarbeiteten Inhalte nicht zum Aufbau von Werbeprofilen und verkauft keine Nutzerdaten.
• Tracking nur nach Einwilligung: Der normale Dokuvara-Arbeitsbereich bindet keine Werbe- oder Social-Tracking-SDKs ein. Auf der öffentlichen Business-Seite kann nach ausdrücklicher Zustimmung der OpenAI Measurement Pixel zur Messung von ChatGPT-Ads-Conversions geladen werden.
• Löschbarkeit: Gespeicherte Inhalte und das gesamte Konto können über dafür vorgesehene Seiten selbst gelöscht werden.

3. Welche Daten können verarbeitet werden?

4. So funktioniert die Dokuvara-Verarbeitungs-Pipeline

Die genaue interne Sicherheitsimplementierung wird bewusst nicht veröffentlicht. Für Datenschutztransparenz ist aber entscheidend, wann Daten das Endgerät verlassen und warum. Der normale Ablauf lässt sich deshalb auf hoher Ebene wie folgt beschreiben:

5. Datenverarbeitung in den einzelnen Werken

PDFWerk

Grundlegendes Öffnen und Bearbeiten findet im Browser statt. Wenn du PDFWerk-Pro-Funktionen auswählst, die Serverwerkzeuge benötigen, wird das Dokument für den konkreten Vorgang temporär verarbeitet. Pro-Ergebnisse sind nicht als dauerhaftes Dokumentenarchiv gedacht. Eine dauerhafte Ablage erfolgt nur über die Speicherfunktion.

TabellenWerk

Tabellen werden grundsätzlich im Browser dargestellt und bearbeitet. Der normale Modus berechnet Tabellen lokal. Eine optionale Server-Unterstützung für große Dateien oder bestimmte Berechnungen wird nur für den betreffenden Vorgang verwendet; sie ist während der Verarbeitung keine Zero-Knowledge-Funktion. Importierte Dateien können Sicherheitsprüfungen und Format-/Diagrammanalysen durchlaufen.

CodeWerk

Der aktuelle CodeWerk-Editor arbeitet lokal im Browser-RAM. Geöffneter Quellcode wird durch den Editor, Syntaxhervorhebung und statische Fehlerdiagnose nicht an einen Dokuvara-Codeausführungsserver übertragen. CodeWerk führt aktuell keine Shell-Befehle aus.

TextWerk und PräsentationsWerk

Erstellung und Bearbeitung laufen in der Weboberfläche. Eine serverseitige dauerhafte Speicherung erfolgt nur, wenn du diese aktiv auswählst. Exportfunktionen können je nach Format lokal oder über die dafür vorgesehene Verarbeitungsfunktion erfolgen.

ScanWerk

Aufnahmen oder importierte Bilder werden für Scan-, OCR-, QR- oder PDF-Funktionen verarbeitet. Wenn ein dafür eingesetztes Werkzeug servergebunden ist, wird nur der für den ausgewählten Vorgang notwendige Inhalt übertragen. Kamera- oder Mikrofonzugriff wird nicht pauschal im Hintergrund durchgeführt.

ConverterWerk

Konvertierungen können je nach Format und Dateigröße serverseitige Werkzeuge benötigen. Uploads und Ergebnisse dienen dem gestarteten Konvertierungsjob und werden nicht als dauerhaftes persönliches Medienarchiv behandelt, sofern du sie nicht anschließend ausdrücklich speicherst.

DateiWerk

DateiWerk zeigt die deiner ID zugeordneten gespeicherten Inhalte, Ordner, Versionen und Papierkorbzustände. Diese Daten bleiben gespeichert, bis du sie selbst entfernst oder die Daten-/Kontolöschung verwendest.

6. Dokuvara-ID, Passwort und Sitzungen

Dokuvara verlangt für das normale Konto keinen Klarnamen. Eine kurze Dokuvara-ID dient als Konto-Kennung. Ein Passwort wird nicht als Klartextpasswort in der Datenbank abgelegt, sondern durch ein speicherhartes Passwortprüfverfahren geschützt. Sicherheitsparameter können über die Lebensdauer des Dienstes modernisiert werden.

Nach erfolgreicher Anmeldung verwendet Dokuvara eine Sitzung, damit nicht bei jeder Aktion das Passwort neu eingegeben werden muss. Die Sitzungskennung wird über ein Cookie übertragen. Sitzungen laufen abhängig von der gewählten Anmeldeoption aus und werden bei einer vollständigen Kontolöschung beendet.

7. Freiwillige Recovery-E-Mail

Wenn du freiwillig eine Recovery-E-Mail hinterlegst, wird sie zur Bestätigung und für einen möglichen Passwort-Reset verwendet. Dokuvara legt die Adresse in der Kontodatenbank nicht als frei lesbaren Klartextwert ab; für die spätere Zuordnung wird ein nicht direkt rückrechenbarer Suchwert verwendet. Verifikations- und Reset-Links sind zeitlich begrenzt und für den vorgesehenen Vorgang bestimmt.

Für die technische Zustellung der E-Mails wird derzeit IONOS als externer Maildienst eingesetzt. Dabei verarbeitet der Maildienst die für die Zustellung erforderlichen Daten wie Absender- und Empfängeradresse, technische Mail-Metadaten und den Inhalt der jeweiligen System- oder Kontaktmail. SMTP-Zugangsdaten, Schlüssel oder interne Sicherheitsgeheimnisse werden nicht öffentlich offengelegt.

Die Recovery-E-Mail kann unabhängig vom Konto über die Datenkontrolle wieder entfernt werden.

8. Daten auf deinem Gerät

Dokuvara verwendet Browserfunktionen wie Cookies, Local Storage, Session Storage, Cache Storage oder IndexedDB, wenn dies für Anmeldung, Einstellungen, lokale Entwürfe, Offline-/PWA-Funktionen oder Performance erforderlich ist. Welche Speicherbereiche tatsächlich verwendet werden, hängt vom Werk und Browser ab.

Wenn du den optionalen WebAuthn-PRF-Geräteschutz aktivierst, legt Dokuvara lokal die Credential-ID, zufällige PRF-/KDF-Salze und eine AES-GCM-geschützte Hülle des Account Root Key ab. Der aus der PRF-Antwort abgeleitete Wrapping-Key wird nicht dauerhaft in IndexedDB gespeichert. Zum Entsperren fordert Dokuvara über WebAuthn eine Nutzerverifikation am registrierten Authenticator an. Je nach Browser/Authenticator kann dies z. B. eine Geräte-PIN, Biometrie oder einen externen Sicherheitsschlüssel bedeuten; Dokuvara behauptet nicht, dass jedes unterstützte Gerät zwingend einen TPM/Secure-Enclave-Speicher verwendet.

Lokale Dateien, die du exportierst oder auf dein Gerät herunterlädst, liegen außerhalb der Kontrolle von Dokuvara. Eine serverseitige Kontolöschung kann Dateien, die bereits auf deinem Gerät gespeichert wurden, nicht automatisch löschen.

9. Serverseitige Verarbeitung und temporäre Daten

Serverseitige Verarbeitung wird eingesetzt, wenn eine Funktion technisch Serverwerkzeuge benötigt oder du eine servergestützte Option bewusst aktivierst. Dokuvara trennt soweit möglich temporäre Arbeitsdaten von dauerhaft unter deiner ID gespeicherten Inhalten.

• Temporäre Jobs werden nach Abschluss, Download, Ablauf oder Fehlerbereinigung entfernt.
• Dauerhaft gespeicherte Inhalte werden erst durch eine ausdrückliche Speicheraktion deiner ID zugeordnet.
• Server-Assistenzen dürfen nicht als Ende-zu-Ende-verschlüsselt bezeichnet werden, wenn der Server zur Funktion den Klartext benötigt.
• Fremde eingebettete Skripte, Makros oder ausführbare Office-Inhalte werden nicht allein durch das Öffnen als vertrauenswürdiger Programmcode ausgeführt.

9a. Workspace-Suche und Aktivitätsübersicht

Die globale Workspace-Suche arbeitet mit vorhandenen Metadaten wie Datei- und Projektnamen, Projektbeschreibung, Tags und dem Status eigener Freigaben. Dateiinhalte werden dafür nicht zusätzlich durchsucht oder an einen externen Suchdienst übertragen. Die Aktivitätsübersicht fasst vorhandene Zeitpunkte wie zuletzt geöffnete Dateien, Projektänderungen und Aufrufe eigener Freigaben zusammen.

10. Sichere Freigaben

Wenn du in Dokuvara Dateien ausdrücklich eine Freigabe erstellst, erzeugt dein Browser einen separaten verschlüsselten Snapshot der ausgewählten Datei oder des ausgewählten Projekts. Die Freigabe ist zeitlich begrenzt und kann jederzeit widerrufen werden.

• Clientseitige Verschlüsselung: Das Freigabepaket wird vor dem Upload im Browser verschlüsselt.
• Schlüssel im Linkfragment: Der Entschlüsselungsschlüssel befindet sich im Fragment des Freigabelinks. Dieser Teil einer URL wird bei normalen HTTP-Anfragen nicht an den Dokuvara-Server übertragen.
• Optionales Passwort: Ein zusätzliches Freigabe-Passwort wird lokal in die Schlüsselableitung einbezogen und nicht an Dokuvara gesendet. Dokuvara kann ein vergessenes Freigabe-Passwort daher nicht wiederherstellen.
• Serverseitige Metadaten: Für Betrieb, Ablauf und Widerruf werden notwendige Freigabemetadaten wie Ablaufzeit, Berechtigungseinstellungen und Aufrufzähler verarbeitet. Der Server speichert das Freigabepaket verschlüsselt.
• Projektfreigaben: Bei einer Projektfreigabe erstellt der Browser einen verschlüsselten Snapshot der freigabefähigen Projektdateien. Interne Projekt-Notizen werden nicht in den öffentlichen Snapshot übernommen. Empfänger sehen die enthaltenen Dateien in einer gemeinsamen Projektansicht.
• Widerruf und Ablauf: Nach Widerruf oder Ablauf wird das serverseitige Freigabepaket entfernt. Wird die zugrunde liegende Datei oder ein freigegebenes Projekt in den Papierkorb verschoben, gelöscht oder als Projekt aufgehoben, werden zugehörige aktive Freigaben ebenfalls beendet.
• Nur ansehen: Eine deaktivierte Download-Schaltfläche ist eine Bedienrichtlinie und kein technischer DRM-Schutz. Inhalte, die Empfänger sehen können, können grundsätzlich auf anderem Weg kopiert oder fotografiert werden.

10a. Dokuvara Business und eigener Firmen-Speicher

Firmen können Dokuvara als gemeinsamen Business-Tenant lizenzieren. Dabei können zusätzliche Unternehmensfunktionen wie Firmenidentitäten, IT-Administration, Branding oder SSO aktiviert werden. Welche Identitätsfelder verpflichtend sind, hängt von der jeweiligen Firmenkonfiguration ab und wird den betroffenen Nutzern sichtbar gemacht.

Bei der Option Eigener Firmenserver / BYOS bleibt Dokuvara als verwaltete Anwendung einschließlich Lizenzierung und der Schlüsselverwaltung für den serverseitigen Storage-Vault im Dokuvara Control Plane. Der kundeneigene Server dient ausschließlich als Speicherziel für verschlüsselte Dokuvara-Datenobjekte. Dokuvara-Quellcode wird durch diese Speicheroption nicht auf die Kundeninfrastruktur übertragen.

• Kein stiller Fallback: Ist ein aktivierter Firmen-Speicher nicht erreichbar, schreibt Dokuvara nicht ersatzweise unbemerkt in den normalen Dokuvara-Speicher.
• Schlüsseltrennung: Storage-Vault-Schlüsselmaterial wird nicht zusammen mit den verschlüsselten Datenobjekten auf dem kundeneigenen Speicher abgelegt. Zero-Knowledge-Freigabeschlüssel aus #k=… bleiben davon getrennt und werden weiterhin nicht an den Dokuvara-Server übertragen.
• Verantwortung des Kunden-Speichers: Bei BYOS liegen Verfügbarkeit, Kapazität, Infrastruktur-Backups und physische Administration des Speicherziels bei der jeweiligen Firma.
• Business-Anfragen: Eine über den Konfigurator abgesendete Anfrage wird über den konfigurierten TLS-Mailweg übermittelt. Dokuvara legt dafür in dieser Version keine zusätzliche Lead-Datenbank an.

11. Schutzmaßnahmen

Dokuvara verwendet technische und organisatorische Schutzmaßnahmen, die dem Risiko der jeweiligen Verarbeitung entsprechen sollen. Dazu gehören insbesondere verschlüsselte Transportverbindungen, geschützte Passwortprüfung, Zugriffstrennung nach Sitzung und Dokuvara-ID, Verschlüsselung gespeicherter Inhalte bzw. Metadaten sowie begrenzte und isolierte Verarbeitungspfade für sensible Werkzeuge.

Für geeignete gespeicherte Inhalte stehen clientseitige Ende-zu-Ende-Verschlüsselungsmechanismen zur Verfügung. Bei serverseitigen Funktionen, die Klartext benötigen, weist Dokuvara auf die abweichende Datenschutzgrenze hin.

Key-Transparency-Foundation

Für den eigenen hybriden E2EE-Public-Key kann Dokuvara eine pseudonymisierte Schlüsselhistorie führen. Der Client prüft den SHA-256-Fingerprint seines lokal abgeleiteten Public Keys, einen Merkle-Inclusion-Proof und einen lokal gepinnten Checkpoint. Bei späteren Prüfungen werden kleinere Baumstände, Konflikte bei gleicher Baumgröße und nicht passende Präfixe als Fehler behandelt. Dieses Preview besitzt noch kein unabhängiges Witness-/Gossip-Netz und wird daher nicht als vollständiger globaler Schutz gegen Server-Equivocation beworben.

Der serverseitige Transparency-Subject ist ein HMAC-basierter Pseudonymwert; die Dokuvara-ID wird nicht als Klartext in den Merkle-Eintrag geschrieben. Bei vollständiger Kontolöschung werden die zu diesem Subject gehörenden Transparency-Einträge und der lokale Serverzustand gelöscht.

Hybride Signaturen

Auf kompatiblen Clients kann Dokuvara neue E2EE-v3-Container, verschlüsselte Metadaten und gespeicherte Unterschriftsobjekte zusätzlich mit Ed25519 + ML-DSA-65 signieren. Die zugehörigen privaten Signaturschlüssel werden in einem separaten, mit dem Account Root Key abgeleiteten AES-256-GCM-Schlüssel verschlüsselten Bundle gespeichert; der Server erhält nur dieses verschlüsselte Bundle. Beim Lesen werden beide Signaturen gegen den entschlüsselten Account-Signaturschlüsselbund geprüft. Fehlt native ML-DSA-65-Unterstützung, behauptet Dokuvara keine aktive Hybrid-Signatur und bleibt beim bestehenden E2EE-v3-Integritätsschutz.

Dokuvara Authenticator

Wenn du ein Dokuvara-Authenticator-Gerät koppelst, speichert der Server ausschließlich die öffentlichen Geräteschlüssel, Fingerprints und Verwaltungsdaten. Die privaten Transport- und Approval-Schlüssel verbleiben auf dem Authenticator-Gerät. Neue Logins erzeugen eine kurzlebige Zufalls-Challenge; bei aktivem Authenticator entsteht die Dokuvara-Sitzung erst nach einer gültigen Gerätesignatur oder einem unbenutzten Recovery-Code. Das Authenticator-Risikomodell speichert in seinen Datenbanktabellen keine rohe IP-Adresse, sondern HMAC-geschützte Netz-Präfix- und grobe Browser/System-Signale. Unabhängige Infrastruktur-/Reverse-Proxy-Logs können davon getrennte technische Verbindungsdaten enthalten.

12. Drittanbieter, Hosting und optionale Werbemessung

Dokuvara verkauft keine personenbezogenen Daten und verwendet Dokumentinhalte nicht zum Aufbau eigener Werbeprofile. Für den normalen Dokuvara-Arbeitsbereich werden keine Werbe- oder Social-Tracking-SDKs benötigt.

OpenAI Measurement Pixel auf der Business-Seite

Auf /business kann Dokuvara nach deiner ausdrücklichen Zustimmung den OpenAI Measurement Pixel laden. Zweck ist ausschließlich die Messung, ob aus einem ChatGPT-Anzeigenklick eine Business-Anfrage wird. Ohne Zustimmung wird das externe Pixel-Skript nicht geladen und es wird kein Conversion-Ereignis an OpenAI gesendet.

Bei erteilter Einwilligung kann der Pixel die von OpenAI an die Landingpage angehängte Klickreferenz oppref erfassen und in einem Erstanbieter-Cookie speichern. Der Pixel verwendet außerdem eine Browser-Referenz. Nach Angaben von OpenAI haben die hierfür verwendeten Cookies __oppref eine Laufzeit von bis zu 30 Tagen nach dem Schreiben und __obref von bis zu 365 Tagen. Wird eine Business-Anfrage erfolgreich abgesendet, meldet Dokuvara das Standardereignis lead_created. Bei erteilter Einwilligung kann dasselbe Ereignis zusätzlich serverseitig über die OpenAI Conversions API gesendet werden. Browser- und Serverereignis verwenden dieselbe Ereignis-ID, damit OpenAI sie deduplizieren kann. Eine vorhandene oppref-Klickreferenz wird dabei unverändert zur Attribution mitgesendet; der geheime Conversions-API-Schlüssel verbleibt ausschließlich auf dem Dokuvara-Server.

Sofern der automatische erweiterte Abgleich im OpenAI Ads Manager aktiviert ist, kann der Pixel unterstützte Kundendaten aus erkennbaren Formularfeldern im Browser normalisieren und mit SHA-256 hashen, bevor diese Hashwerte für die Messung verwendet werden. Laut OpenAI werden über diese automatische Funktion keine unverarbeiteten Kundendaten übertragen.

Die Einwilligung kann auf der Business-Seite über Tracking jederzeit geändert oder widerrufen werden. Beim Widerruf setzt Dokuvara die Pixel-Einwilligung auf „abgelehnt“ und entfernt die bekannten Erstanbieter-Messcookies soweit sie im Browser zugänglich sind. Rechtsgrundlage ist, soweit erforderlich, deine Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO.

Für den übrigen Betrieb können technische Infrastrukturleistungen erforderlich sein, insbesondere Hosting, Netzwerkbetrieb und – wenn du eine Recovery- oder Datenschutz-E-Mail-Funktion nutzt – ein konfigurierter Maildienst. Solche Dienstleister erhalten nur die Daten, die technisch für die jeweilige Leistung erforderlich sind.

13. Speicherdauer

Die Speicherdauer richtet sich nach dem Zweck:

• Kontodaten: bis zur Löschung des Kontos oder solange sie für den Betrieb des Kontos erforderlich sind.
• Unter der ID gespeicherte Inhalte: bis du sie löschst, den Inhaltsbestand löschst oder das Konto entfernst.
• Dateiversionen: bis zur Löschung nach den jeweiligen Datei-/Versionsregeln oder über die Datenlöschung.
• Temporäre Verarbeitungsdaten: nur für den erforderlichen Verarbeitungszeitraum bzw. eine kurze technische Ergebnisfrist.
• Freigaben: bis zum gewählten Ablaufzeitpunkt, bis zum Widerruf oder bis die zugrunde liegende Datei entfernt wird; das verschlüsselte Freigabepaket wird danach gelöscht.
• Sitzungen: bis zum Ablauf, Logout oder zur Kontolöschung.
• Key-Transparency-Historie: solange das E2EE-Konto besteht; bei vollständiger Kontolöschung wird die kontobezogene Transparency-Historie gelöscht.
• Datenschutzkontakt: nur so lange, wie dies zur Bearbeitung und Dokumentation der Anfrage erforderlich ist.

14. Daten löschen und Konto löschen

Dokuvara stellt zwei getrennte Selbstbedienungswege bereit:

Gespeicherte Inhaltsdaten löschen

Über die Datenkontrolle können gespeicherte PDFs, Tabellen, Dokumente, Präsentationen, Unterschriften, Versionen, Ordner, Freigaben und zugehörige Arbeitsstände entfernt werden, ohne die Dokuvara-ID zu löschen.

Konto vollständig löschen

Bei der Kontolöschung werden die Dokuvara-ID, die kontobezogenen Serverdaten einschließlich der zugeordneten Key-Transparency-Historie, Sitzungen und die zugeordneten gespeicherten Inhalte entfernt. Die Löschung ist dauerhaft. Bereits lokal heruntergeladene Dateien bleiben auf deinem Endgerät bestehen.

15. Rechtsgrundlagen

Soweit die Datenschutz-Grundverordnung anwendbar ist, stützt sich die Verarbeitung je nach Situation insbesondere auf Art. 6 Abs. 1 lit. b DSGVO für die Bereitstellung der vom Nutzer angeforderten Dokuvara-Funktionen, Art. 6 Abs. 1 lit. f DSGVO für Sicherheit, Stabilität und Missbrauchsschutz, Art. 6 Abs. 1 lit. a DSGVO für freiwillige Einwilligungen sowie Art. 6 Abs. 1 lit. c DSGVO, wenn eine rechtliche Verpflichtung besteht.

16. Deine Datenschutzrechte

Je nach anwendbarem Recht kannst du insbesondere Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch verlangen. Eine erteilte Einwilligung kann für die Zukunft widerrufen werden. Außerdem besteht das Recht, sich bei einer zuständigen Datenschutzaufsichtsbehörde zu beschweren.

Da Dokuvara bewusst ohne verpflichtenden Klarnamen arbeitet, kann zur Bearbeitung einer kontobezogenen Anfrage eine sichere Zuordnung zu deiner Dokuvara-ID erforderlich sein. Dokuvara fordert dabei nicht mehr Identitätsdaten an, als zur sicheren Bearbeitung notwendig sind.

17. Datenschutzanfrage senden

Für Fragen zu Verarbeitung, Löschung oder deinen Rechten kannst du dieses Formular verwenden. Eine Rückantwort-Adresse ist freiwillig, aber notwendig, wenn du eine Antwort außerhalb deiner aktuellen Dokuvara-Sitzung erhalten möchtest. Die Nachricht wird nicht für Werbung verwendet.

18. Änderungen dieser Datenschutzerklärung

Dokuvara wird technisch weiterentwickelt. Wenn sich Datenflüsse, Werke, Speicherarten oder Rechtsgrundlagen wesentlich ändern, wird diese Datenschutzerklärung entsprechend aktualisiert. Maßgeblich ist die jeweils unter https://dokuvara.de/privacy veröffentlichte Fassung.