Stand: 04.10.2026
Die Kurzfassung:
Verantwortlich für die Datenverarbeitung im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:
SERGO GmbH
Georgsplatz 1
20099 Hamburg
Deutschland
Tel.: 040 226 373 340
E-Mail: info@sergo.de · hi@inboxmcp.io
Bei der bloß informatorischen Nutzung dieser Website erheben wir nur Daten, die dein Browser technisch übermittelt (Server-Logfiles): angefragte URL, Datum und Uhrzeit, übertragene Datenmenge, Referrer, Browser-User-Agent, Betriebssystem, IP-Adresse (gekürzt nach 30 Tagen).
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Stabilität und Sicherheit der Website). Eine Weitergabe dieser Daten an Dritte findet nicht statt; sie werden ausschließlich von uns ausgewertet und nach 30 Tagen automatisch gelöscht.
Die Website wird über TLS verschlüsselt ausgeliefert (HTTPS). Statische Inhalte werden ohne Tracking ausgeliefert.
Die Marketing-Website setzt von sich aus keine Tracking- oder Werbe-Cookies. Technische Einträge im
localStorage deines Browsers nutzen wir, um deine Spracheinstellung (DE/EN),
das Pricing-Cycle-Preset (monatlich/jährlich) und deine Entscheidung zur Nutzungsmessung
(inboxmcp.consent.v1 auf der Website, inboxmcp.analytics.v1 im Portal) zu
speichern. Diese Daten verlassen deinen Browser nicht.
Beim ersten Besuch zeigen wir dir einen Banner zur Nutzungsmessung. Stimmst du zu, setzt Matomo zusätzlich Cookies; stimmst du nicht zu, messen wir ohne Cookies weiter, ohne etwas auf deinem Gerät zu speichern. Welche Daten das jeweils sind und worauf wir das stützen, steht in Abschnitt 14. Du kannst deine Auswahl jederzeit über den Link „Cookie-Einstellungen" im Seitenfuß widerrufen oder neu treffen und die Messung dort auch vollständig abschalten.
Im Customer-Portal (https://app.dev.inboxmcp.io) setzt unser Authentifizierungs-Dienstleister Hanko ein Session-Cookie, das für den Login erforderlich ist. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).
Bei der Registrierung speichern wir nur die zwingend erforderlichen Daten:
Für die Authentifizierung nutzen wir den passwortlosen Identity-Provider Hanko (Hanko GmbH, c/o WeWork, Friedrichstraße 76, 10117 Berlin). Hanko verarbeitet deine Login-Daten als Auftragsverarbeiter; es gibt einen AVV nach Art. 28 DSGVO.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).
Accounts in einer Organisation (Team-Tarif). Gehört dein Account zu einer Organisation, wird er von dieser verwaltet. Administratoren der Organisation sehen deine E-Mail-Adresse, deinen Mitgliedsstatus und die dir zugewiesenen Rechte auf Team-Postfächer. Du kannst deine Login-E-Mail-Adresse dann nicht selbst ändern und deinen Account nicht selbst löschen. Verantwortliche für diese Verarbeitung ist die Organisation.
Um sich gegen deinen IMAP-/SMTP-Server zu authentifizieren, benötigt inboxmcp die Zugangsdaten zu jeder von dir verbundenen Mailbox (Host, Port, Benutzername, Passwort bzw. App-Passwort).
Diese Zugangsdaten werden vor der Speicherung mit AES-256-GCM verschlüsselt. Zum Einsatz kommt Envelope Encryption mit asymmetrischer Schlüsselverwaltung; das Schlüsselmaterial selbst wird in einem dedizierten, separat abgesicherten Secrets-Store verwaltet und liegt nicht in derselben Vertrauenszone wie unsere Anwendungs-Dienste.
Nach dem Prinzip der Separation of Concerns sind Verschlüsseln und Entschlüsseln auf verschiedene Komponenten der Plattform aufgeteilt: der Dienst, der dein Konto und administrative Aktionen verarbeitet, kann neue Zugangsdaten verschlüsseln, aber bestehende nicht entschlüsseln. Den privaten Schlüssel zur Entschlüsselung hält ausschließlich die isolierte Komponente, die den jeweiligen Mailbox-Aufruf in deinem Auftrag tatsächlich ausführt.
Die Zugangsdaten werden ausschließlich im Arbeitsspeicher und nur für die Dauer eines einzelnen Aufrufs entschlüsselt und danach sofort wieder verworfen.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).
Wir speichern keine E-Mail-Inhalte. Tool-Aufrufe deines KI-Clients (Claude, ChatGPT u.a.) werden in Echtzeit gegen deinen IMAP-Server ausgeführt. Die Antworten — Betreffzeilen, Nachrichteninhalte, Anhänge und Metadaten — werden ausschließlich im Arbeitsspeicher für die Dauer der jeweiligen Anfrage gehalten und danach verworfen.
Kein Caching, kein Index, keine Persistenz. Wir bauen keinen lokalen Mail-Index, weder verschlüsselt noch unverschlüsselt. Wir trainieren keine KI-Modelle mit deinen Mails.
Die KI-Anbieter (Anthropic, OpenAI etc.) sehen über das MCP-Protokoll nur die Tool-Antworten, die du selbst durch eine Anfrage angefordert hast. Diese Anbieter unterliegen ihren eigenen Datenschutzbestimmungen, auf die wir keinen Einfluss haben.
Wenn du inboxmcp mit einem KI-Client verbindest (z.B. Claude), wird über OAuth 2.1 mit Dynamic Client Registration (RFC 7591) ein Token-Paar erzeugt. Wir speichern den Hash des Access-Tokens, den Hash des Refresh-Tokens, sowie die Client-Metadaten (Display-Name, Redirect-URIs).
Jeder Tool-Aufruf wird in einem Audit-Log gespeichert. Inhalt pro Zeile: Zeitpunkt, der Account-Identifier des aufrufenden Nutzers (bei einem persönlichen Account also deiner, in einer Organisation der des jeweiligen Mitglieds), der OAuth-Client (z.B. "Claude"), das aufgerufene Tool, die betroffene Mailbox-ID, Erfolg/Fehler. Mail-Inhalte oder Suchparameter werden NICHT geloggt.
In den Tarifen Business und Team kannst du das Audit-Log als CSV oder JSON exportieren. In allen anderen Tarifen ist es nur für dich im Compliance-Bereich des Portals einsehbar.
Audit-Log in Organisationen (Team-Tarif). Gehörst du einer Organisation an, kann diese das Audit-Log vollständig abschalten. Ist es aktiv, protokolliert es standardmäßig nur Aufrufe auf Team-Postfächer, also auf Postfächer, die der Organisation gehören. Aufrufe auf deine persönlichen Postfächer werden nur dann in das organisationsweite Audit-Log aufgenommen, wenn die Organisation das ausdrücklich aktiviert hat.
Administratoren der Organisation können das organisationsweite Audit-Log einsehen und exportieren. Diese Einträge sind Beschäftigtendaten: Sie zeigen, wann welches Mitglied welches Tool auf welchem Postfach verwendet hat. Verantwortliche für diese Verarbeitung ist die Organisation. Sie entscheidet über die Aktivierung und ist dafür zuständig, ihre Beschäftigten darüber zu informieren und, soweit vorhanden, die betriebliche Mitbestimmung zu beteiligen. inboxmcp verarbeitet diese Daten als Auftragsverarbeiter.
Der Auftragsverarbeitungs-Vertrag der Organisation deckt die Team-Postfächer der Organisation ab.
Zahlungen, Abonnementverwaltung, Steuerberechnung und Rechnungserstellung werden ausschließlich über Stripe Payments Europe, Ltd. (1 Grand Canal Street Lower, Grand Canal Dock, Dublin, Irland) abgewickelt. Wir leiten dich zum Bezahlvorgang und zur Abo-Verwaltung auf eine Stripe-Domain weiter; Kreditkarten-, SEPA- oder andere Zahlungsdaten gehen direkt an Stripe und kommen niemals auf unsere Server.
Wir speichern lediglich eine Stripe-Customer-ID, eine Stripe-Subscription-ID, eine Stripe-Invoice-ID je Rechnung und die Tarif-Metadaten (Plan, Postfach-Anzahl, Abrechnungszeitraum). Stripe ist Auftragsverarbeiter nach Art. 28 DSGVO; ein Data Processing Agreement (DPA) liegt vor.
Stripe berechnet je nach Sitz und USt-IdNr automatisch die korrekte Mehrwertsteuer (Stripe Tax) und stellt die Rechnungen aus (Stripe Invoicing). Sofern dein Unternehmenssitz außerhalb Deutschlands liegt, gilt das EU-Reverse-Charge-Verfahren — Stripe weist dies entsprechend in der Rechnung aus.
Datenschutzerklärung von Stripe: https://stripe.com/de/privacy.
Wir betreiben eine eigene Infrastruktur in einem Rechenzentrum in Frankfurt am Main. Die Verarbeitung personenbezogener Daten erfolgt ausschließlich auf unseren eigenen Systemen unter der Kontrolle der SERGO GmbH. Ein externer Hosting-Provider, der Zugriff auf personenbezogene Daten hätte, kommt nicht zum Einsatz.
Wir setzen folgende externe Auftragsverarbeiter ein:
Matomo betreiben wir selbst auf eigener Infrastruktur (matomo.sergo.cloud);
Matomo ist daher kein externer Auftragsverarbeiter, sondern Teil unserer eigenen Datenverarbeitung
unter Kontrolle der SERGO GmbH (siehe Abschnitt 14).
Mit allen externen Auftragsverarbeitern sind AVV-Verträge nach Art. 28 DSGVO geschlossen. Eine Übermittlung in Drittländer (USA) erfolgt ausschließlich bei Sentry und nur auf Grundlage der EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO).
Du hast nach der DSGVO folgende Rechte:
Anfragen an: datenschutz@sergo.de.
Eine Account-Löschung kannst du derzeit per E-Mail an hi@inboxmcp.io anstoßen (Self-Service direkt im Portal folgt). Bei der Löschung werden alle Mailbox-Zugangsdaten, OAuth-Tokens und Audit-Logs sofort und unwiderruflich entfernt. Lediglich Rechnungs- und Buchhaltungsdaten werden im gesetzlich vorgeschriebenen Umfang weiter aufbewahrt.
Wenn du aus einer Organisation entfernt wirst: Deine bei inboxmcp gespeicherten Daten werden gelöscht, also Mailbox-Zugangsdaten, Freigaben auf Team-Postfächer, OAuth-Tokens und Einstellungen. Deine Login-Identität bei unserem Authentifizierungs-Dienstleister Hanko bleibt bestehen, damit du dich weiterhin anmelden kannst. Eine erneute Anmeldung legt einen neuen, leeren Account an. Die Account-Löschung bei Hanko kannst du jederzeit über hi@inboxmcp.io anstoßen.
Technische und organisatorische Maßnahmen (TOM) nach Art. 32 DSGVO umfassen u.a.:
Auf der Website inboxmcp.io und im Kundenportal app.inboxmcp.io setzen wir
die Open-Source-Software Matomo (https://matomo.org) ein, um zu verstehen, wie unsere
Angebote genutzt werden, und sie gezielt zu verbessern. Matomo läuft auf einer von der SERGO GmbH
selbst betriebenen Instanz unter matomo.sergo.cloud in Deutschland. Es gibt
keinen Auftragsverarbeiter, keine Übermittlung an Dritte und keine Übermittlung in ein Drittland.
Die Messung läuft in zwei Stufen, abhängig von deiner Entscheidung:
Erhoben werden in pseudonymisierter Form:
Ohne Einwilligung verzichten wir zusätzlich auf das Abfragen von Geräteeigenschaften wie Bildschirmauflösung
und installierten Browser-Erweiterungen (disableBrowserFeatureDetection). Ein „Do Not Track"
deines Browsers respektieren wir in beiden Stufen. Die Daten werden nach 14 Monaten gelöscht.
Besonderheit im Kundenportal: Die gemessenen Adressen beschränken sich auf die festen
Bereichsnamen des Portals (etwa /mailboxes oder /settings). Adressen, die
Rückschlüsse auf einzelne Personen zulassen könnten, werden vor der Übermittlung durch einen Platzhalter
ersetzt. Postfach-Adressen, Betreffzeilen und Mail-Inhalte werden zu keinem Zeitpunkt an Matomo
übermittelt. Eine Verknüpfung der Messung mit deinem Benutzerkonto findet nicht statt.
Du kannst deine Entscheidung jederzeit ändern: auf der Website über den Link „Cookie-Einstellungen" im Seitenfuß, im Portal unter Einstellungen → Nutzungsstatistik. Dort kannst du die Messung auch vollständig abschalten, dann wird auch die cookielose Stufe nicht mehr ausgeführt.
Zur Stabilitäts- und Fehlerüberwachung unserer Anwendungen (inboxmcp-API, Worker, Frontend, Marketing-Website)
setzen wir Sentry ein (Anbieter: Functional Software, Inc., d/b/a Sentry, 45 Fremont Street,
8th Floor, San Francisco, CA 94105, USA — Organisation sergo-gmbh, betrieben über die EU-Region).
Bei einer technischen Ausnahme (Exception) sendet die jeweilige Anwendung einen Fehlerbericht an Sentry.
Übermittelt werden:
Wir übertragen keine Mail-Inhalte, IMAP-Zugangsdaten oder OAuth-Tokens an Sentry.
Die Funktion SendDefaultPii ist serverseitig deaktiviert; in den Backend-Diensten geben wir aktiv
SendDefaultPii = false an, sodass auch Benutzer-IDs nicht automatisch mitgesendet werden.
Rechtsgrundlage ist unser berechtigtes Interesse an Stabilität und Sicherheit der Plattform (Art. 6 Abs. 1 lit. f DSGVO). Sentry verarbeitet die Daten als Auftragsverarbeiter; es bestehen ein AVV nach Art. 28 DSGVO sowie EU-Standardvertragsklauseln für den Fall einer Übermittlung in Drittländer (Art. 46 Abs. 2 lit. c DSGVO). Speicherdauer in Sentry: 90 Tage, danach automatische Löschung.
Datenschutzinformationen von Sentry: https://sentry.io/privacy/.
Diese Datenschutzerklärung wird bei wesentlichen Änderungen aktualisiert. Letzter Stand: 04.10.2026.
