Datenschutz für Vectis
Stand der übernommenen Projektinformationen: September 2026.
1. Verantwortlicher
Max Liszok Bergstr. 5 22113 Oststeinbek Germany E-Mail: ml@target-app.com
2. Grundprinzip
Vectis ist ein Messenger ohne Werbung, Analyse-SDKs, Telemetrie oder Nutzertracking. Nachrichten, Medien, Kontaktanfragen und Steuerereignisse werden auf den Endgeräten Ende-zu-Ende verschlüsselt. Das Backend erhält keine App-Passwörter, privaten Schlüssel, Klartextnachrichten, Klartextmedien, lokalen Aliase, Notizen oder lokalen Suchanfragen.
3. Lokal verarbeitete Daten
Auf dem iPhone verarbeitet Vectis: - Haupt-, Fake- und Panik-Zugangsdaten; gespeichert werden ausschließlich Argon2id-Prüfwerte und daraus abgeleitete Schlüssel, - Kontakte, lokale Aliase und Notizen, - Chatverläufe und lokale Suchindizes, - Bilder, Videos, Audio- und Dateianhänge, - kryptografische Identitäten, Signal-Sitzungen und PreKeys. Diese Daten liegen in einem SQLCipher-Tresor beziehungsweise einer AES-GCM-verschlüsselten Medienablage mit iOS-Dateischutz. Apple-Backups oder vom Nutzer angefertigte Exporte können außerhalb des Einflussbereichs von Vectis liegen.
4. Serverseitig verarbeitete Daten
Für die Bereitstellung des Dienstes werden verarbeitet: - zufällige Account- und Geräte-IDs, - SHA-256-Hashes der Account-Strings, - öffentliche Account-, Geräte- und Signal-Schlüssel, - akzeptierte Kontaktbeziehungen und Zustellstatus, - verschlüsselte Nachrichten- und Medienpakete, - Zeitpunkte, Ciphertext-Größen und technische Zustellmetadaten, - APNs-Gerätetoken und gewählte Push-Einstellungen, - kurzlebige Nonces und pseudonymisierte Zähler zum Schutz vor Missbrauch, - die bei HTTPS-Verbindungen technisch anfallende IP-Adresse. Die Verarbeitung dient ausschließlich Account-Anlage, Authentifizierung, Zustellung, Missbrauchsschutz, Betriebssicherheit und Support. Es findet keine Profilbildung, Werbung, Reichweitenmessung oder Verknüpfung mit Drittdatenbeständen statt.
5. Empfänger und Auftragsverarbeiter
- STRATO AG: Betrieb des Linux-VPS mit API und PostgreSQL in Deutschland. - Cloudflare, Inc.: privater R2-Objektspeicher in EU-Jurisdiktion für ausschließlich clientseitig verschlüsselte, temporäre Objekte. - Apple Inc.: inhaltsfreie Push-Wakeup-Nachrichten über APNs und Vertrieb über den App Store. Vor Veröffentlichung sind die jeweils aktuellen Verträge zur Auftragsverarbeitung, Unterauftragsverarbeiter und möglichen Drittlandübermittlungen einschließlich geeigneter Garantien zu prüfen und hier konkret zu ergänzen.
6. Speicherdauer
- Nicht abgeholte Signal-Envelopes und Medien-Ciphertexte: höchstens 30 Tage. - Medien-Ciphertexte: früher, sobald alle vorgesehenen Empfänger den Download bestätigt haben. - Account-Übernahmepaket: höchstens 24 Stunden; zugehörige Betriebsdatensätze werden nach Abschluss zeitnah, spätestens nach der dokumentierten Betriebsfrist entfernt. - Panik-Löschtombstones für Offline-Kontakte: höchstens 365 Tage. - Nach einem authentifizierten Panik-Wipe bleiben ausschließlich die pseudonyme öffentliche Account-Identität und der Wipe-Zeitpunkt als dauerhaftes Sperrmerkmal erhalten. Dies verhindert, dass dieselbe gelöschte Identität durch ein altes Gerät oder Backup wieder aktiviert wird. - Rate-Limit-Zähler: Ablauf des jeweiligen Fensters zuzüglich maximal 24 Stunden Bereinigungsfrist. - Daten aktiver Accounts und öffentliche Schlüsseldaten: solange sie für die Bereitstellung des Dienstes erforderlich sind; bei einem Panik-Wipe werden nicht mehr benötigte Geräte-, Kontakt-, Zustell- und Mediendaten entfernt. - Verschlüsselte Sicherungsdateien: lokal höchstens 30 Tage; bei aktiviertem getrenntem Offsite-Speicher höchstens 90 Tage.
7. Rechtsgrundlagen
Soweit die DSGVO anwendbar ist, erfolgt die Verarbeitung zur Bereitstellung des Messengers und seiner Sicherheitsfunktionen auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO. Missbrauchsschutz und Sicherung des Betriebs erfolgen auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO. Soweit eine Einwilligung erforderlich ist, insbesondere für iOS-Berechtigungen, gilt Art. 6 Abs. 1 lit. a DSGVO. Die konkrete Einordnung ist vor Veröffentlichung durch eine qualifizierte Rechtsberatung zu bestätigen.
8. Rechte betroffener Personen
Betroffene Personen können nach Maßgabe der gesetzlichen Voraussetzungen Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch verlangen sowie eine erteilte Einwilligung widerrufen. Außerdem besteht ein Beschwerderecht bei einer Datenschutzaufsichtsbehörde. Da Vectis keine Klarnamen oder E-Mail-Adressen zur Account-Anlage verlangt, muss für serverseitige Anfragen ein geeigneter kryptografischer Besitznachweis festgelegt werden. Ohne diesen Nachweis dürfen keine Daten eines Accounts offengelegt oder verändert werden.
9. Löschung und Panik-Code
Lokale Chats, Kontakte und Accounts können in der App gelöscht werden. Der Panik-Code entfernt den lokalen Account sofort und übermittelt signierte Löschtombstones an kooperierende Vectis-Kontakte. Bereits exportierte Medien, Screenshots, Backups oder manipulierte Clients können nicht garantiert aus der Ferne gelöscht werden.
10. Sicherheit
Vectis verwendet unter anderem TLS, Ed25519-signierte API-Anfragen, Replay-Schutz, libsignal, Argon2id, SQLCipher und AES-GCM. Kein technisches System kann absolute Sicherheit garantieren. Sicherheitsmeldungen sollen an die unter Abschnitt 1 veröffentlichte Adresse gesendet werden, ohne echte Nachrichten, Passwörter oder private Schlüssel beizufügen.