Datenschutzerklärung

Informationen nach Art. 13 und 14 DSGVO. Fassung 2026-11, gültig ab 08.11.2026.

Kurz gesagt: Den Inhalt deiner Secrets verschlüsselt dein Browser, bevor er unseren Server erreicht; wir können ihn nicht lesen. Wir setzen kein Tracking, keine Statistik- oder Analysedienste und keine externen Skripte ein. Beim Abruf eines Secrets speichern wir die IP-Adresse nur als Prüfsumme.

Inhalt

Verantwortlicher und Kontakt
Zero-Knowledge: was wir nicht sehen
Unsere Rollen
Besuch von secretboost.one und app.secretboost.one
Konto und Anmeldung
Secrets erstellen und abrufen
Kauf, Zahlung, Rechnungen, Partnerprogramm
E-Mails
Support, Widerruf, Kündigung
Sicherheit
Datensicherungen
Konten über BusinessBoost One
Empfänger
Übermittlung in Drittländer
Speicherdauer
Automatisierte Entscheidungen
Deine Rechte
Pflicht zur Bereitstellung
Änderungen

1. Verantwortlicher und Kontakt

START PROJECT MANAGEMENT EST.
Boulevard Plaza Tower 2, Dubai, Vereinigte Arabische Emirate
E-Mail, auch für Datenschutzanfragen: office@startdxb.ae
Handelslizenz Nr. 1363340 des Dubai Department of Economic Development

Einen Datenschutzbeauftragten haben wir nicht bestellt, weil dafür keine Pflicht nach Art. 37 DSGVO besteht: Unsere Kerntätigkeit besteht nicht in einer umfangreichen regelmäßigen und systematischen Überwachung von Personen. Ansprechpartner für den Datenschutz ist die Geschäftsführung, erreichbar unter office@startdxb.ae.

2. Zero-Knowledge: was wir nicht sehen

Der Inhalt jedes Secrets wird ausschließlich in deinem Browser mit AES-256-GCM verschlüsselt. Der Schlüssel steht im Teil des Links hinter dem Zeichen „#“ (Fragment) und wird technisch nie an unseren Server übertragen. Verwendest du zusätzlich eine Passphrase, wird sie im Browser in den Schlüssel eingerechnet; auch sie erreicht unseren Server nie. Auf unserem Server liegen nur die verschlüsselten Daten, die wir ohne den Schlüssel nicht entschlüsseln können. Wer den vollständigen Link (und gegebenenfalls die Passphrase) hat, kann das Secret entschlüsseln; gib Links deshalb nur über einen Weg weiter, dem du vertraust.

3. Unsere Rollen

Verantwortlicher sind wir für die Daten von Website-Besuchern und Kunden, für Anmeldung, Zahlung und Rechnungen, E-Mails, Support, Missbrauchsabwehr, Sicherheit und Datensicherungen.
Auftragsverarbeiter unserer Kunden sind wir für den Inhalt der Secrets: Wir speichern ihn verschlüsselt im Auftrag des Kunden, der das Secret erstellt hat, und liefern ihn an die Empfänger seines Links aus (siehe AVV). Enthält ein Secret Daten über dich, wende dich für deine Rechte an den Kunden, der es erstellt hat; Anfragen, die bei uns eingehen, leiten wir weiter.

4. Besuch von secretboost.one und app.secretboost.one

Beim Aufruf verarbeitet unser Server technisch notwendig deine IP-Adresse, Datum und Uhrzeit, die aufgerufene Adresse und deine Browserkennung, um die Seite auszuliefern. Rechtsgrundlage: berechtigtes Interesse an einer funktionierenden, sicheren Website (Art. 6 Abs. 1 lit. f DSGVO).

Wir messen keine Reichweite, setzen keine Cookies zur Statistik oder Werbung und binden keine Analyse-, Werbe- oder Tracking-Dienste und keine externen Skripte ein. Einen Partnercode speichern wir nicht in deinem Browser (Abschnitt 7).

5. Konto und Anmeldung

Daten: deine E-Mail-Adresse, dein Tarif mit Laufzeit, der Zeitpunkt der Kontoerstellung und der letzten Anmeldung.

Anmeldung mit Code: Du meldest dich ohne Passwort an. Forderst du einen Anmeldecode an, speichern wir den Code nur als Prüfsumme (Hash) zusammen mit deiner E-Mail-Adresse, der Gültigkeit (10 Minuten), und der Zahl der Eingabeversuche. Um massenhafte Anfragen zu bremsen, zählen wir Anforderungen je IP-Adresse und je E-Mail-Adresse; beide stehen im Zähler nur als Prüfsumme (Hash mit geheimem Zusatzwert).

Speicher im Browser: Nach der Anmeldung setzen wir ein technisch notwendiges, signiertes Sitzungs-Cookie (HttpOnly, 30 Tage). Außerdem speichern wir im Sitzungsspeicher deines Browsers (sessionStorage) technisch notwendige Angaben, etwa den vollständigen Link eines gerade erstellten Secrets, damit du ihn im selben Tab noch einmal kopieren kannst. Diese Angaben bleiben in deinem Browser, erreichen unseren Server nicht und verschwinden, wenn du den Tab schließt. Rechtsgrundlage für diesen Zugriff auf dein Endgerät ist § 165 Abs. 3 TKG 2021 bzw. § 25 Abs. 2 Nr. 2 TDDDG (unbedingt erforderlich für den von dir gewünschten Dienst); eine Einwilligung ist dafür nicht erforderlich.

Zweck und Rechtsgrundlage: Bereitstellung von SecretBoost nach dem Vertrag (Art. 6 Abs. 1 lit. b DSGVO); Sicherheit der Konten und Schutz vor Missbrauch (Art. 6 Abs. 1 lit. f und Art. 32 DSGVO).

Löschen: Die Löschung deines Kontos kannst du per E-Mail an office@startdxb.ae verlangen. Mit dem Konto löschen wir alle Secrets des Kontos. Buchungsdaten bewahren wir nach Abschnitt 15 auf.

6. Secrets erstellen und abrufen

Erstellen: Zu jedem Secret speichern wir den verschlüsselten Inhalt (für uns unlesbar), die technischen Verschlüsselungswerte (Initialisierungsvektor, Salt), ob eine Passphrase gesetzt ist, die von dir vergebene Bezeichnung, Ablauf, Ansichts-Limit, Zahl der Abrufe, Status, ob du eine Benachrichtigung beim Abruf wünschst, sowie die Zeitpunkte von Erstellung und Verbrauch. Die Bezeichnung ist nicht verschlüsselt; sie sollte den Inhalt nie enthalten. Um massenhaftes Anlegen zu bremsen, zählen wir Anfragen je Prüfsumme der IP-Adresse.

Abrufen: Öffnet jemand einen Link, zeigen wir zuerst eine Schutzseite. Erst wenn die Person dort klickt, wird das Secret abgerufen; so verbrauchen Vorschau- und Prüfsysteme von E-Mail-Programmen den Link nicht versehentlich. Für jeden Abruf speichern wir den Zeitpunkt, das Ergebnis und eine Prüfsumme (Hash mit geheimem Zusatzwert) der IP-Adresse, nie die IP-Adresse selbst. Diese Angaben dienen der Missbrauchsabwehr und zeigen dem Ersteller, ob sein Secret abgerufen wurde.

Löschen: Ist ein Secret verbraucht, abgelaufen oder vom Ersteller vernichtet, löschen wir den verschlüsselten Inhalt sofort. Die übrigen Angaben (Status und Abruf-Protokoll) löschen wir 90 Tage nach der Erstellung bzw. dem Abruf vollständig.

Rechtsgrundlage: für den Ersteller der Vertrag (Art. 6 Abs. 1 lit. b DSGVO); für die Empfänger und die Missbrauchsabwehr unser berechtigtes Interesse und das unserer Kunden an einem sicheren Dienst (Art. 6 Abs. 1 lit. f DSGVO).

7. Kauf, Zahlung, Rechnungen, Partnerprogramm

Daten: Tarif und Tarifverlauf, Kauf, Erstattungen, Widerrufe und Kundennummern bei BillingBoost und Stripe. Rechnungsadresse und USt-IdNr. gibst du auf unserer Bestellseite in BillingBoost ein, Zahlungsdaten direkt bei Stripe; wir speichern keine Karten- oder Kontodaten.

Abrechnung und Zahlung: Bestellseite, Rechnungen und Kundenportal stellen wir über unser Abrechnungssystem BillingBoost bereit; es läuft auf den Servern unseres Hosting-Anbieters (Abschnitt 13). Die Zahlung wickelt unser Zahlungsdienstleister Stripe ab. Für die Zahlungsabwicklung ist Stripe eigener Verantwortlicher, insbesondere für die Betrugsprävention und die Erfüllung seiner regulatorischen Pflichten (Datenschutzerklärung von Stripe).

Rechtsgrundlage: Vertrag (Art. 6 Abs. 1 lit. b DSGVO); Aufbewahrung der Buchhaltungsunterlagen nach den für uns geltenden Aufbewahrungspflichten (Art. 6 Abs. 1 lit. c und f DSGVO).

Partnerprogramm: Kommst du über den Link eines Partners zu uns, enthält die Adresse einen Partnercode. Wir speichern dafür nichts in deinem Browser: Die Startseite gibt den Code nur über die Adresse an die Anmeldung weiter. Meldest du dich an, speichern wir ihn mit dem Zeitpunkt der Anmeldung an deinem Konto; ein neuer Partner-Klick mit Anmeldung ersetzt ihn. Kaufst du, geben wir ihn als Zusatzangabe der Bestellung an BillingBoost weiter. Unser Partnerprogramm AffiliateBoost, das wir selbst betreiben, ordnet den Kauf darüber dem Partner zu und berechnet seine Provision. Der Partner erfährt deinen Namen und deine E-Mail-Adresse nicht, nur dass über seinen Link gekauft wurde, und seine Provision. Rechtsgrundlage: unser berechtigtes Interesse, unsere Partner richtig zu vergüten (Art. 6 Abs. 1 lit. f DSGVO); du kannst widersprechen (Abschnitt 17). Der Code an deinem Konto gilt 90 Tage ab dieser Anmeldung. Im Partnerprogramm bleibt die Zuordnung eines Kaufs zum Partner bestehen, solange daraus Provisionen entstehen können; Buchungen bewahren wir 7 Jahre auf (Abschnitt 15).

8. E-Mails

Wir senden dir E-Mails, die für den Vertrag nötig sind: Anmeldecodes, bei Pro auf Wunsch eine Benachrichtigung, wenn ein Secret abgerufen wurde (mit der Bezeichnung des Secrets, nie mit dem Inhalt), Vertragsbestätigung, Rechnungshinweise und Hinweise zu Tarifwechseln. Rechtsgrundlage: Vertrag und gesetzliche Pflichten (Art. 6 Abs. 1 lit. b und c DSGVO).

Für den Versand nutzen wir den E-Mail-Server (SMTP) der easyname GmbH, Canettistraße 5/10, 1100 Wien, Österreich.

9. Support, Widerruf, Kündigung

Wenn du uns schreibst oder im Kundenportal von BillingBoost kündigst oder widerrufst, verarbeiten wir deinen Namen, deine E-Mail-Adresse, die Angaben zum Vertrag, den Inhalt deiner Nachricht bzw. Erklärung und den Zeitpunkt des Eingangs, um dein Anliegen zu bearbeiten und den Eingang zu bestätigen. Rechtsgrundlage: Vertrag und gesetzliche Pflichten (Art. 6 Abs. 1 lit. b und c DSGVO) sowie unser berechtigtes Interesse am Nachweis (Art. 6 Abs. 1 lit. f DSGVO). Erklärungen zu Widerruf und Kündigung bewahren wir als Nachweis so lange auf wie die zugehörigen Buchungsunterlagen (7 Jahre, Abschnitt 15).

10. Sicherheit

Zu unseren Schutzmaßnahmen gehören die Verschlüsselung der Inhalte im Browser (Abschnitt 2), verschlüsselte Übertragung (HTTPS), nicht erratbare Kennungen der Secrets (128 Bit Zufall), Anmeldecodes und Sitzungen nur als Prüfsumme bzw. signiert, Begrenzung von Anfragen gegen Missbrauch, eine Datenbankrolle der Anwendung mit eingeschränkten Rechten, Server-Zugang nur mit Schlüssel und verschlüsselte Datensicherungen. E-Mail-Adressen und Anmeldecodes schreiben wir nicht vollständig in die Protokolle der Anwendung. Details stehen in Anlage 1 zum AVV. Rechtsgrundlage: berechtigtes Interesse an der Sicherheit von SecretBoost (Art. 6 Abs. 1 lit. f und Art. 32 DSGVO).

11. Datensicherungen

Wir sichern die Datenbank regelmäßig, verschlüsseln die Sicherung vor dem Hochladen mit AES-256 und legen sie auf unserem Server und in Google Drive (Google Workspace) ab. Der Schlüssel liegt nicht bei Google; Google kann die Inhalte nicht lesen. Sicherungen können die verschlüsselten Inhalte von Secrets enthalten, die zum Zeitpunkt der Sicherung noch aktiv waren; auch daraus lassen sie sich ohne den Schlüssel im Link nicht entschlüsseln. Rechtsgrundlage: berechtigtes Interesse und Pflicht zur Wiederherstellbarkeit (Art. 6 Abs. 1 lit. f und Art. 32 Abs. 1 lit. c DSGVO). Gelöschte Daten verschwinden aus den Sicherungen mit deren Ablauf (Abschnitt 15).

12. Konten über BusinessBoost One

Nutzt du SecretBoost über BusinessBoost One, erfolgen Anmeldung und Kontozuordnung über BusinessBoost One. Wir erhalten dabei die Kennung deines Benutzers und deines Unterkontos sowie, soweit vorhanden, deine E-Mail-Adresse und deinen Namen, und speichern Kennungen und E-Mail-Adresse an deinem Konto. Die Plattform von BusinessBoost One betreibt ein Plattformbetreiber mit Sitz in den USA. Rechtsgrundlage: Vertrag (Art. 6 Abs. 1 lit. b DSGVO).

13. Empfänger

Empfänger	Zweck	Sitz
Hostinger International Ltd., 61 Lordou Vironos Street, 6023 Larnaka, Zypern	Server (Datenbank, Anwendung, BillingBoost)	Zypern; Server im Rechenzentrum Frankfurt am Main, Deutschland
easyname GmbH, Canettistraße 5/10, 1100 Wien	Versand der E-Mails (SMTP)	Österreich
Stripe (für die Zahlungsabwicklung eigener Verantwortlicher)	Zahlung	siehe Datenschutzerklärung von Stripe; Stripe, Inc. in den USA
Google Ireland Limited, Gordon House, Barrow Street, Dublin 4 (Google Workspace, Google Drive), mit Google LLC als weiterem Dienstleister	verschlüsselte Datensicherungen	Irland / USA
Plattformbetreiber von BusinessBoost One	nur bei Konten über BusinessBoost One: Anmeldung	USA

Behörden und Gerichten übermitteln wir Daten nur, wenn wir dazu gesetzlich verpflichtet sind. Den Inhalt von Secrets können wir auch dann nicht herausgeben, weil wir ihn nicht entschlüsseln können. Steuerberater und Wirtschaftsprüfer erhalten Buchhaltungsdaten, soweit nötig.

14. Übermittlung in Drittländer

Unser Sitz ist in den Vereinigten Arabischen Emiraten. Deine Daten speichern wir auf Servern in Deutschland (Abschnitt 13). Google LLC und Stripe, Inc. sind nach dem EU-US Data Privacy Framework zertifiziert; die Übermittlung stützt sich auf den Angemessenheitsbeschluss der EU-Kommission (Art. 45 DSGVO). Mit Google sind zusätzlich Standardvertragsklauseln der EU-Kommission vereinbart (Art. 46 Abs. 2 lit. c DSGVO), die greifen, falls der Angemessenheitsbeschluss entfällt. Die Übermittlung an den Plattformbetreiber von BusinessBoost One stützt sich auf Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO). Eine Kopie der Garantien erhältst du auf Anfrage an office@startdxb.ae.

15. Speicherdauer

Die folgenden Fristen löscht unser System automatisch, soweit nicht anders angegeben.

Daten	Frist
Konto	bis zur Löschung des Kontos
verschlüsselter Inhalt eines Secrets	bis zum Verbrauch, Ablauf (höchstens 7 Tage bei Free, 30 Tage bei Pro) oder Vernichten, dann sofort gelöscht
übrige Angaben zum Secret (Bezeichnung, Status, Zeitpunkte)	90 Tage ab Erstellung
Abruf-Protokoll (Zeitpunkt, Ergebnis, Prüfsumme der IP-Adresse)	90 Tage ab Abruf
Anmeldecodes (nur als Prüfsumme) samt E-Mail-Adresse	7 Tage
Zähler gegen massenhafte Anfragen (mit Prüfsumme der IP-Adresse, bei Anmeldecodes auch mit Prüfsumme der E-Mail-Adresse)	2 Tage
Sitzungs-Cookie (nur in deinem Browser)	30 Tage oder bis du dich abmeldest
Sitzungsspeicher des Browsers (nur in deinem Browser)	bis du den Tab schließt
Kennungen eingegangener Zahlungsmeldungen von Stripe	90 Tage
Partnercode am Konto (Abschnitt 7)	90 Tage ab dem letzten Partner-Klick, dann gelöscht
eingegangene Meldungen von BillingBoost (Kennung, Art, Ergebnis, Konto)	1 Jahr
Bestell-, Buchungs- und Rechnungsdaten, Widerrufs- und Kündigungserklärungen	7 Jahre ab Ende des Kalenderjahres (Aufbewahrungspflichten), länger nur, solange ein Verfahren anhängig ist
Datensicherungen auf dem Server	14 Tage
tägliche Datensicherungen in Google Drive	30 Tage

16. Automatisierte Entscheidungen

Automatisierte Entscheidungen im Sinne von Art. 22 DSGVO treffen wir nicht. Ein Profiling findet nicht statt. Die technischen Grenzen gegen massenhafte Anfragen bremsen nur kurzzeitig weitere Anfragen.

17. Deine Rechte

Auskunft (Art. 15 DSGVO)
Berichtigung (Art. 16 DSGVO)
Löschung (Art. 17 DSGVO)
Einschränkung der Verarbeitung (Art. 18 DSGVO)
Datenübertragbarkeit (Art. 20 DSGVO)
Widerspruch gegen Verarbeitungen, die auf berechtigtem Interesse beruhen, aus Gründen deiner besonderen Situation (Art. 21 DSGVO)
Widerruf einer Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO)

Schreib an office@startdxb.ae. Wir antworten innerhalb eines Monats. Wenn wir Zweifel an deiner Identität haben, fragen wir nach. Den Inhalt von Secrets können wir nicht beauskunften, weil wir ihn nicht lesen können.

Du kannst dich bei einer Datenschutz-Aufsichtsbehörde beschweren, insbesondere in dem EU-Mitgliedstaat deines gewöhnlichen Aufenthalts, deines Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes (Art. 77 DSGVO), in Österreich bei der Datenschutzbehörde, Barichgasse 40-42, 1030 Wien, dsb.gv.at.

18. Pflicht zur Bereitstellung

Für ein Konto brauchen wir deine E-Mail-Adresse, für einen Kauf die auf der Bestellseite abgefragten Zahlungs- und Rechnungsangaben. Ohne diese Angaben können wir keinen Vertrag schließen. Alle anderen Angaben sind freiwillig. Die Verarbeitung beim Aufruf der Website und beim Abruf eines Secrets ist technisch mit dem Aufruf verbunden.

19. Änderungen

Wir passen diese Datenschutzerklärung an, wenn sich unsere Verarbeitung oder die Rechtslage ändert. Wesentliche Änderungen teilen wir Kunden per E-Mail mit.

Fassung 2026-11, gültig ab 08.11.2026. Die bis dahin geltende Fassung senden wir dir auf Anfrage.