Datenschutzerklärung

1. Wer ist verantwortlich?

FileMorph wird betrieben von Lennart Seidel, Reetwerder 25b, 21029 Hamburg, Deutschland. Kontakt: privacy@filemorph.io. Siehe Impressum für vollständige Kontaktdaten. Einen Datenschutzbeauftragten haben wir nicht benannt; für ein Unternehmen unserer Größe schreibt das Gesetz keinen vor (§ 38 BDSG).

2. Welche Daten wir verarbeiten

2a. Hochgeladene Dateien: Dateien, die du hochlädst, liegen nur während der Verarbeitung als temporäre Dateien auf unserem Server und werden danach sofort gelöscht. Den Inhalt bewahren wir nicht auf und schreiben ihn in kein Protokoll; das Audit-Log enthält nur eine Prüfsumme (SHA-256-Hash) der erzeugten Datei (§ 2h). Auf dem Weg zu unserem Server und zurück laufen sie über Cloudflare (siehe § 4). Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO – wir führen die Umwandlung, die du anforderst, nach unseren Nutzungsbedingungen aus, mit oder ohne Konto; für personenbezogene Daten anderer Menschen in einer Datei Art. 6 Abs. 1 lit. f DSGVO – dein und unser berechtigtes Interesse an dieser Umwandlung.

2b. Nutzerkonten (Cloud Edition): Wenn du ein Konto registrierst, speichern wir deine E-Mail-Adresse, einen bcrypt-Hash deines Passworts (niemals den Klartext), deinen Abonnement-Tarif (und, wenn du einen kostenpflichtigen Tarif hattest, dessen letzten Status), deine Rolle (Nutzer oder Admin), ob das Konto aktiv ist, den Zeitstempel deiner Kontoerstellung, deine bevorzugte Sprache für Konto-E-Mails, den Zeitstempel der Bestätigung deiner E-Mail-Adresse (sobald du diesen Schritt abschließt) und — sobald du einen Bezahlvorgang beginnst — den Stripe-Kunden-Identifikator, der dein Konto mit Stripe verknüpft. Außerdem erfassen wir pro API-/Konvertierungsanfrage eine Zeile — den Endpunkt, die Dateigröße, den Zeitpunkt und die Dauer, nie den Dateiinhalt —, um dein monatliches Kontingent durchzusetzen. Kontodaten werden für die Lebensdauer deines Kontos in unserer PostgreSQL-Datenbank gespeichert. Du kannst dein Konto jederzeit über den "Konto löschen"-Vorgang im Dashboard oder per Anfrage an privacy@filemorph.io löschen. Bei der Löschung entfernen wir deinen Passwort-Hash und deine API-Schlüssel und kündigen ein etwaiges aktives kostenpflichtiges Abonnement. Konvertierungs-Job-Datensätze werden anonymisiert — deine Konto-ID wird entfernt — und die so entstehenden anonymen Zeilen werden zur aggregierten Service-Qualitätsanalyse aufbewahrt; nach DSGVO Art. 4 Abs. 1 beziehen sie sich nicht mehr auf dich. Stripe-Transaktionsdatensätze werden von Stripe aufgrund eigener steuerrechtlicher Aufbewahrungspflichten aufbewahrt. Bei Konten, die mindestens eine Zahlung getätigt haben, verpflichtet uns deutsches Steuerrecht (HGB §257, AO §147), einen minimalen Rechnungs-Verknüpfungsdatensatz — deine E-Mail-Adresse, deinen Stripe-Kunden-Identifikator und deinen letzten Abrechnungstarif — für 10 Jahre ab Ende des Kalenderjahres deiner letzten Zahlung aufzubewahren; alle übrigen personenbezogenen Daten werden bei der Löschung gelöscht. Diese Aufbewahrung ist die Ausnahme zur Erfüllung einer rechtlichen Verpflichtung nach DSGVO Art. 17 Abs. 3 lit. b; die Daten werden ausschließlich für eine Steuerprüfung vorgehalten und nach Ablauf der Aufbewahrungsfrist endgültig gelöscht. Im Übrigen entspricht die Löschung DSGVO Art. 17.

2c. Transaktions-E-Mails: Wenn du dich registrierst, senden wir einen Bestätigungs-Link an deine E-Mail-Adresse (gültig für 7 Tage). Wenn du ein Passwort-Reset anforderst, generieren wir einen separaten Einmal-Token (gültig für 30 Minuten) und senden ihn als Reset-Link. Ausgehende Nachrichten werden verschickt von no-reply@filemorph.io über unseren E-Mail-Provider (siehe § 3a). Wir senden keine Marketing-E-Mails.

2d. Server-Logs: Wenn du eine Seite aufrufst oder die API nutzt, schreibt unser Server eine Zeile in sein Zugriffsprotokoll: deine IP-Adresse, den Zeitpunkt, die HTTP-Methode, den aufgerufenen Pfad (ohne den Teil nach „?“) und den Statuscode der Antwort. Die Anwendung protokolliert außerdem Ereignisse wie Anfragen zum Zurücksetzen des Passworts, versandte E-Mails und Fehler – mit deiner Konto-ID, wenn es eine gibt, und bei E-Mail-Vorgängen nur mit der Domain der Adresse (zum Beispiel „example.com“), nie mit der Adresse selbst. Wir nutzen diese Protokolle nur, um den Dienst sicher zu betreiben, Missbrauch zu erkennen und Fehler zu beheben. Sie werden spätestens nach 30 Tagen automatisch gelöscht; zeigt ein Protokoll einen Angriff, bewahren wir die betroffenen Einträge auf, bis er geklärt ist. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO – unser berechtigtes Interesse an einem sicheren, funktionierenden Dienst.

2e. API-Keys: Wenn du einen API-Key erzeugst (über das Dashboard oder das Kommandozeilen-Tool), speichern wir nur den SHA-256-Hash deines Keys, dazu die Bezeichnung, die du ihm gibst, wann er erzeugt und wann er zuletzt benutzt wurde und wann er abläuft. Den Klartext-Key zeigen wir dir genau einmal bei der Erzeugung; auf unseren Servern wird er nie gespeichert.

2f. Kontaktformular und E-Mail: Wenn du das Kontaktformular nutzt (auch im Impressum verlinkt), verarbeiten wir deinen Nachrichtentext, deine E-Mail-Adresse und einen optionalen Namen ausschließlich zur Bearbeitung deiner Anfrage. Die Nachricht wird nicht in unserer Datenbank gespeichert — sie wird per E-Mail an den Betreiber zugestellt (über den Anbieter in § 3a) und nur so lange aufbewahrt, wie es zur Bearbeitung deines Anliegens nötig ist. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Bearbeitung von Anfragen) oder Art. 6 Abs. 1 lit. b DSGVO, soweit es einen bestehenden Vertrag betrifft. Wir nutzen sie nicht für Marketing. Wenn du uns per E-Mail schreibst, etwa an privacy@filemorph.io, verarbeiten wir deine Adresse, deine Nachricht und die darin enthaltenen personenbezogenen Daten ebenfalls nur, um dir zu antworten. Nachrichten aus dem Kontaktformular und E-Mails landen in unserem Postfach bei Zoho (siehe § 3a). Wir löschen sie, sobald dein Anliegen erledigt ist, es sei denn, eine gesetzliche Aufbewahrungsfrist gilt (etwa für Geschäftsbriefe nach Handels- und Steuerrecht).

2g. Online-Kündigung (Cloud Edition): Wenn du einen kostenpflichtigen Tarif über das Formular „Verträge hier kündigen“ kündigst, verarbeiten wir deine Angaben — E-Mail-Adresse, Vertrag, Art der Kündigung, einen Grund, falls du einen nennst, und das gewünschte Vertragsende —, um deinen Vertrag zu finden, ihn über Stripe zu beenden (siehe § 3a) und dir die nach § 312k BGB vorgeschriebene Bestätigung per E-Mail zu schicken. Unser manipulationserkennbares Audit-Log hält den Eingangszeitpunkt, den Vertrag, die Art der Kündigung und das gewünschte Ende fest, außerdem, ob ein Konto gefunden wurde und wie die Kündigung bearbeitet wurde (das gesetzte Vertragsende oder warum sie von Hand bearbeitet wird) — verknüpft mit deinem Konto, falls eines passt; deine E-Mail-Adresse, deine IP-Adresse und der Grund stehen dort nicht. Kündigungen, die wir von Hand bearbeiten müssen, gehen samt Grund an unser Betreiber-Postfach. Rechtsgrundlage: Art. 6 Abs. 1 lit. b und c DSGVO; für den Audit-Eintrag Art. 6 Abs. 1 lit. f DSGVO (Nachweis, dass und wann eine Kündigung eingegangen ist).

2h. Audit-Log (Cloud Edition): Damit wir im Nachhinein belegen können, wie der Dienst Anfragen verarbeitet hat, führen wir ein manipulationserkennbares Audit-Log, in dem jeder Eintrag über einen SHA-256-Hash mit dem vorherigen verkettet ist. Jeder Eintrag enthält die Art des Vorgangs und den Zeitpunkt sowie bei Vorgängen, die zu deinem Konto gehören, deine Konto-ID. Bei einer Einzeldatei-Konvertierung oder -Komprimierung kommen das Dateiformat (bei einer Konvertierung Quell- und Zielformat), die Größe der hochgeladenen und der erzeugten Datei, der SHA-256-Hash der erzeugten Datei (nicht ihr Inhalt), dein Tarif und das Datenklassifizierungs-Label der Anfrage (standardmäßig „internal“) hinzu; bei einem fehlgeschlagenen Versuch wird statt Größen, Hash und Tarif der Fehlercode gespeichert. Bei Konto- und Abrechnungsvorgängen — Registrierung, Login, E-Mail-Bestätigung, Passwort-Reset, Kontolöschung, dein Verzicht auf das Widerrufsrecht beim Bezahlvorgang, Abo- und Zahlungsänderungen — kommen Angaben wie dein Tarif, der Abo-Status, Kennung und Betrag einer Rechnung hinzu; was eine Online-Kündigung speichert, steht in § 2g. Neue Einträge enthalten deine E-Mail-Adresse in keiner Form: weder die Adresse noch einen Hash davon noch ihre Domain. Ein fehlgeschlagener Login, eine Registrierung mit einer bereits vergebenen Adresse, eine Passwort-Reset-Anfrage und eine Online-Kündigung werden mit dem Konto verknüpft, zu dem die eingegebene Adresse gehört, falls es eines gibt — auch dann, wenn jemand anderes sie eingegeben hat. Bei einer Nachricht über das Kontaktformular speichern wir nur die Sprache (Deutsch oder Englisch), die wir aus den Spracheinstellungen deines Browsers ableiten. Einträge bis einschließlich 12. Oktober 2026 können noch einen SHA-256-Hash einer E-Mail-Adresse oder bei einer Kontolöschung die Domain einer E-Mail-Adresse enthalten; sie werden wie alle anderen Einträge aufbewahrt. Das Audit-Log speichert keine IP-Adressen mehr; die in älteren Einträgen noch gespeicherten Adressen entfernen wir. Audit-Einträge werden derzeit ohne zeitliche Begrenzung aufbewahrt; wir planen, sie nach einer festen Frist automatisch zu löschen, und passen diese Erklärung an, sobald das umgesetzt ist. Wenn du dein Konto löschst, wird deine Konto-ID aus diesen Einträgen entfernt; die Einträge selbst bleiben erhalten (ältere einschließlich darin enthaltener Hashes oder Domains von E-Mail-Adressen). Muss dein Konto aus steuerlichen Gründen aufbewahrt werden (siehe § 5), bleiben die Einträge mit diesem aufbewahrten Datensatz verknüpft. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO — unser berechtigtes Interesse, nachweisen zu können, wie der Dienst Anfragen verarbeitet hat, und Missbrauch zu erkennen.

3. Rechtsgrundlage (DSGVO Art. 6)

Das Umwandeln und Komprimieren deiner Dateien, Anlage und Betrieb deines Kontos, kostenpflichtige Abonnements und Transaktions-E-Mails beruhen auf Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung). Server-Protokolle, Rate-Limiting, Missbrauchsabwehr, das Audit-Log, die Verbindung über Cloudflare, die Bearbeitung deiner Anfragen und der Admin-Zugriff beruhen auf unserem berechtigten Interesse am Betrieb eines sicheren und zuverlässigen Dienstes (Art. 6 Abs. 1 lit. f DSGVO); dieser Verarbeitung kannst du widersprechen (siehe § 5). Wir holen keine Einwilligung ein und verarbeiten keine Daten auf dieser Grundlage. Daten, die wir aufbewahren müssen, weil ein Gesetz es verlangt (etwa Rechnungsdaten, § 2b, oder Geschäftsbriefe, § 2f), verarbeiten wir nach Art. 6 Abs. 1 lit. c DSGVO.

3a. Wer Daten erhält (Auftragsverarbeiter)

Wir setzen die folgenden Dienstleister ein. Zoho, Hetzner, Cloudflare und Stripe verarbeiten Daten für uns als Auftragsverarbeiter nach unserer Weisung (Art. 28 DSGVO) und erhalten nur, was sie für ihre Aufgabe brauchen. Stripe und Cloudflare verarbeiten einen Teil der Daten außerdem in eigener Verantwortung – Stripe etwa zur Betrugs- und Geldwäscheprävention, Cloudflare zum Schutz seines Netzwerks. Hetzner und Cloudflare beschreibt § 4. An andere geben wir keine Daten weiter, es sei denn, das Gesetz verpflichtet uns dazu.

Zoho (E-Mail): Unser Vertragspartner, die Zoho Corporation GmbH (Deutschland), verschickt unsere Konto-E-Mails (über smtp.zoho.eu) und betreibt unser Postfach, in dem Nachrichten aus dem Kontaktformular und E-Mails an uns ankommen. Zoho erhält die Empfängeradresse und den Inhalt dieser E-Mails, auch einen etwaigen Link zum Zurücksetzen des Passworts. Die Daten liegen in Zohos Rechenzentren in der EU. In seltenen Fällen können Beschäftigte der indischen Konzerngesellschaft von Zoho für technischen Support darauf zugreifen; das ist durch die EU-Standardvertragsklauseln abgesichert (Art. 46 Abs. 2 lit. c DSGVO). Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO für Konto-E-Mails, Art. 6 Abs. 1 lit. f DSGVO für das Postfach. Siehe Zohos Datenschutzerklärung.

Stripe (Zahlungen – nur solange wir kostenpflichtige Tarife anbieten; derzeit nicht): Wenn du einen Bezahlvorgang beginnst, legen wir bei Stripe einen Kundendatensatz mit deiner E-Mail-Adresse und einer internen Nutzerkennung an und leiten dich dann weiter zu checkout.stripe.com zum Abschluss der Zahlung. Stripe verarbeitet alle Kartendaten direkt – FileMorph sieht oder speichert deine Kartendaten nie – und gibt eine Kundenkennung zurück, die wir zur Verwaltung deines Abonnements speichern. Unser Vertragspartner ist die Stripe Payments Europe, Ltd. (Dublin, Irland). Stripe verarbeitet Daten auch in den USA; die Stripe, LLC ist nach dem EU-US-Datenschutzrahmen zertifiziert (Art. 45 DSGVO), und Stripes Auftragsverarbeitungsvertrag enthält zusätzlich die EU-Standardvertragsklauseln. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Siehe Stripes Datenschutzerklärung.

Eine Kopie der in dieser Erklärung genannten EU-Standardvertragsklauseln bekommst du auf Anfrage an privacy@filemorph.io.

5. Deine Rechte (DSGVO)

Du hast in Bezug auf deine personenbezogenen Daten die folgenden Rechte. Um sie auszuüben, schreib an privacy@filemorph.io; wir antworten unverzüglich, spätestens innerhalb eines Monats (bei komplexen Anfragen um zwei Monate verlängerbar, Art. 12 Abs. 3 DSGVO).

• Auskunft (Art. 15 DSGVO): welche deiner Daten wir verarbeiten und wie.
• Berichtigung (Art. 16 DSGVO) unrichtiger Daten.
• Löschung (Art. 17 DSGVO) – zu deinem Konto siehe unten.
• Einschränkung der Verarbeitung (Art. 18 DSGVO).
• Datenübertragbarkeit (Art. 20 DSGVO): die Daten, die du uns gegeben hast, in einem gängigen, maschinenlesbaren Format.
• Widerspruch (Art. 21 DSGVO) – siehe den Kasten unten.
• Beschwerde (Art. 77 DSGVO) bei einer Datenschutz-Aufsichtsbehörde, insbesondere in dem EU-Land, in dem du wohnst oder arbeitest oder in dem der mutmaßliche Verstoß stattfand. Für uns zuständig ist Der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit, Ludwig-Erhard-Straße 22, 20459 Hamburg, datenschutz-hamburg.de.

Konto-Löschung: Du kannst dein Konto jederzeit über das Dashboard löschen ("Konto löschen" im Gefahrenbereich). Der Vorgang verlangt, dass du deine E-Mail-Adresse, dein Passwort und das Wort DELETE erneut eingibst, bevor die Löschung fortgesetzt wird. Die Löschung entfernt dauerhaft deinen Passwort-Hash und deine API-Schlüssel; kündigt ein etwaiges aktives kostenpflichtiges Abonnement; und anonymisiert deinen Konvertierungs-Job-Verlauf (deine Konto-ID wird entfernt, die Datensätze werden für Analysen aufbewahrt). Stripe bewahrt Transaktionsdatensätze unabhängig davon auf, um eigene steuerrechtliche Aufbewahrungspflichten zu erfüllen. Wenn dein Konto mindestens eine Zahlung getätigt hat, bewahren wir zusätzlich einen minimalen Rechnungs-Verknüpfungsdatensatz — E-Mail-Adresse, Stripe-Kunden-ID und letzten Abrechnungstarif — für 10 Jahre auf (HGB §257, AO §147, zulässig nach DSGVO Art. 17 Abs. 3 lit. b); danach wird der Datensatz endgültig gelöscht. Konten, die nie eine Zahlung ausgelöst haben, werden vollständig gelöscht. Falls du möchtest, kannst du die Löschung auch per E-Mail anfragen an privacy@filemorph.io.

6. Keine Cookies, kein Tracking

FileMorph setzt keine Cookies auf der eigenen Domain und betreibt keine Tracking- oder Analytics-Skripte. Das deutsche Recht (§ 25 TDDDG) behandelt den localStorage deines Browsers wie Cookies, daher führen wir die wenigen Keys, die wir dort speichern, solange du angemeldet bist, hier vollständig auf:

• fm_access_token / fm_refresh_token — deine JWT-Session-Tokens; unbedingt erforderlich, um dich angemeldet zu halten.
• filemorph_api_key — veraltet; aktuelle Versionen schreiben ihn nicht mehr, ein von einer älteren Version gespeicherter Wert wird aber noch gelesen. Wird beim Abmelden und beim Löschen deines Kontos entfernt.
• fm_cookie_notice_dismissed — merkt sich, dass du den Info-Cookie-Hinweis für Erstbesucher geschlossen hast, damit er nur einmal erscheint. Der einzige Schlüssel, der je geschrieben wird, solange du nicht angemeldet bist.

Alle davon sind unbedingt erforderlich für die von dir angeforderte Funktion und fallen damit unter die Ausnahme nach Art. 5(3) ePrivacy-Richtlinie / § 25 Abs. 2 Nr. 2 TDDDG — ein Consent-Banner ist nicht erforderlich. Der Cookie-Hinweis, den wir Erstbesuchern zeigen, ist rein informativ: Er fragt keine Einwilligung ab, weil keine nötig ist. Wenn du nicht angemeldet bist, wird nichts in deinem Browser gespeichert, bis du den Hinweis schließt — und dann nur das oben aufgeführte Schließen-Flag.

Eine Ausnahme: Vermutet Cloudflare einen Angriff und zeigt eine Sicherheitsprüfung, speichert es nach bestandener Prüfung das Cookie cf_clearance; dieses Cookie ist unbedingt erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG).

Wenn du einen Bezahlvorgang beginnst oder das Abrechnungsportal öffnest (nur solange wir kostenpflichtige Tarife anbieten), wirst du zu Stripe auf die stripe.com -Domain umgeleitet, die eigene Cookies setzt. Das liegt außerhalb der Kontrolle von FileMorph und unterliegt Stripes Datenschutzerklärung.

Unsere Seiten laden nichts von anderen Domains: Alle CSS-Dateien, Skripte, Schriften und Bilder kommen von filemorph.io selbst – wie jede Anfrage über Cloudflare ausgeliefert (siehe § 4).

7. Rate-Limiting & Missbrauchsprävention

Wir wenden In-Memory-Rate-Limits an, um den Dienst vor Missbrauch zu schützen — je nach Route von 5 Kontaktformular-Nachrichten pro Stunde bis zu 120 Anfragen pro Minute. Mehrere Konto-Routen zählen das Limit pro angemeldetem Konto statt pro IP-Adresse, und fehlgeschlagene API-Schlüssel-Versuche erhalten ein separates Budget pro IP-Adresse. Vom Rate-Limiter verwendete IP-Adressen und Konto-Kennungen werden nur transient im Speicher verarbeitet und niemals auf Disk oder in Logs geschrieben. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO — berechtigtes Interesse an Dienst-Stabilität und Sicherheit.

8. Änderungen dieser Erklärung

Wir passen diese Erklärung an, wenn sich der Dienst ändert. Konten sind live; kostenpflichtige Tarife bieten wir derzeit nicht an. Das Datum oben zeigt die aktuelle Fassung.

9. Admin-Zugriff (Transparenz)

Wer die admin -Rolle hat, kann ein internes Cockpit öffnen, das registrierte E-Mail-Adressen im Klartext auflistet, zusammen mit Tarif, Rolle, ob das Konto aktiv ist, Erstellungsdatum, Stripe-Kunden-ID und – bei einem aus steuerlichen Gründen aufbewahrten Konto – dem Löschdatum; ausschließlich für den Betrieb des Dienstes, die Reaktion auf Missbrauch und den Support. Admin-Aktionen (Tarif- und Rollenänderungen, Deaktivierungen) werden im Anwendungsprotokoll (siehe § 2d) mit der Nutzerkennung des Admins, der Kennung des betroffenen Kontos und der vorgenommenen Änderung festgehalten. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.

10. Pflichtangaben und automatisierte Entscheidungen

Den Konverter kannst du ohne Konto nutzen; außer den technischen Daten aus § 2d und § 4 brauchen wir dann nichts von dir. Für ein Konto brauchst du eine E-Mail-Adresse und ein Passwort – ohne sie können wir kein Konto anlegen. Darüber hinaus bist du weder gesetzlich noch vertraglich verpflichtet, uns personenbezogene Daten zu geben. Automatisierte Entscheidungen im Sinne von Art. 22 DSGVO treffen wir nicht, und wir erstellen kein Profil von dir.