Datenschutzerklärung

Stand: 27.09.2026

Diese Datenschutzerklärung informiert Sie darüber, wie die iPhone-App Papierpilot mit Ihren Daten umgeht. Papierpilot ist keine Website, sondern eine native App: Es gibt kein klassisches Website-Tracking und keine Cookies im herkömmlichen Sinne. Diese Erklärung beschreibt stattdessen, welche Berechtigungen die App anfragt und was mit den dabei entstehenden Daten geschieht.

1. Verantwortlicher

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:

2. Grundprinzip: On-Device statt Cloud

Papierpilot ist so gebaut, dass Ihre Dokumente standardmäßig das Gerät nicht verlassen. Kamera-Scan, Texterkennung, Klassifikation und Erklärung eines Briefs laufen im Regelfall vollständig lokal auf Ihrem iPhone. Für die lokale Verarbeitung betreiben wir keinen Server, und ohne Ihre Zustimmung zur Cloud-Analyse findet keine Übertragung Ihrer Dokumente an uns oder Dritte statt. Die App verlangt weder ein Konto noch eine Registrierung. Für besonders komplexe Dokumente gibt es zusätzlich eine optionale, ausdrücklich zu bestätigende Cloud-Analyse (siehe Abschnitt 11), die nur greift, wenn Sie ihr zugestimmt haben. Im Abo können Sie außerdem Rückfragen zu einem Brief stellen, ebenfalls nur nach Ihrer ausdrücklichen Einwilligung (siehe Abschnitt 11).

3. Kamera, Fotomediathek und Texterkennung

Wenn Sie einen Brief scannen oder ein Foto/Dokument importieren, greift die App mit Ihrer Erlaubnis auf Kamera bzw. Fotomediathek zu. Die Texterkennung (OCR) erfolgt über Apples Vision-Framework direkt auf dem Gerät. Das Bild wird nicht an uns oder einen Server übertragen. Der erkannte Text wird nur übertragen, wenn Sie der optionalen Cloud-Analyse zugestimmt haben (Abschnitt 11).

4. Klassifikation und Erklärung eines Briefs

Die inhaltliche Einordnung (z. B. „Mahnung“, „Behördenschreiben“) und die Klartext-Erklärung erfolgen im Regelfall über Apples Foundation-Models-Framework (Apple Intelligence), vollständig auf dem Gerät. Nur wenn das On-Device-Modell bei einem besonders komplexen oder langen Dokument nicht ausreicht und Sie der optionalen Cloud-Analyse zuvor zugestimmt haben, wird stattdessen der in Abschnitt 11 beschriebene Cloud-Dienst genutzt.

5. Speicherung auf dem Gerät

Gescannte Dokumente, erkannter Text und die dazu erzeugten Analysen speichert die App lokal in einem verschlüsselten App-Datencontainer auf Ihrem iPhone (Data-Protection-Verschlüsselung von iOS). Diese Daten verlassen das Gerät nicht, außer Sie exportieren oder teilen sie aktiv selbst (z. B. über die iOS-Teilen-Funktion). Ein eigenes iCloud-Backup Ihres Geräts liegt außerhalb unseres Einflussbereichs und unterliegt Apples bzw. Ihren eigenen Backup-Einstellungen.

5a. Bereiche für andere Personen

Mit der Funktion „Für jemand anderen erledigen“ können Sie in der App eigene Bereiche für weitere Personen anlegen, etwa für Eltern, Kinder oder eine Person, die Sie betreuen. Die Briefe dieser Personen, der erkannte Text, die Analysen und Fristen werden genauso behandelt wie Ihre eigenen: Sie liegen ausschließlich im verschlüsselten App-Datencontainer auf Ihrem iPhone, nach Bereichen getrennt, und werden nicht an uns übertragen. Für einen Bereich vergeben Sie nur einen frei wählbaren Namen. Wir erfahren weder, dass Sie weitere Bereiche angelegt haben, noch wie diese heißen. Auf Wunsch zeigen das Homescreen-Widget und Ihr Apple-Kalender die Fristen einer bestimmten Person; im Kalender legt die App dafür einen eigenen Kalender mit dem Namen des Bereichs an (siehe Abschnitt 7). Wenn Sie eine Person entfernen, wählen Sie, ob ihre Briefe in Ihren eigenen Bereich verschoben oder vollständig gelöscht werden, einschließlich der Seitenbilder, Erinnerungen und Kalendereinträge.

5b. Verschlüsselte Weitergabe an eine Vertrauensperson

Sie können einzelne Briefe oder einen ganzen Bereich als verschlüsselte Datei an eine Person Ihres Vertrauens weitergeben. Die Datei wird auf Ihrem iPhone mit einem von Ihnen gewählten Passwort verschlüsselt, bevor sie das Gerät verlässt (AES-256-GCM; der Schlüssel wird mit PBKDF2-HMAC-SHA256 und 600.000 Runden aus dem Passwort abgeleitet). Sie enthält die Seitenbilder, den erkannten Text, die Analysen, Fristen und Antwortentwürfe. Erinnerungen und Kalendereinträge werden nicht übertragen. Ohne Passwort lesbar sind nur technische Angaben wie Erstellungs- und Ablaufdatum; der Dateiname nennt weder Absender noch Inhalt.

Den Übertragungsweg wählen Sie selbst über die iOS-Teilen-Funktion, zum Beispiel AirDrop, Nachrichten, Mail oder die Dateien-App. Für diesen Weg gelten die Bedingungen des jeweiligen Anbieters. Wir betreiben dafür keinen Server und erhalten weder die Datei noch das Passwort. Die empfangende Person öffnet die Datei mit dem Passwort in ihrer eigenen Papierpilot-App; die Briefe werden dann auf ihrem Gerät gespeichert. Das Ablaufdatum (1, 7 oder 30 Tage) setzt die App beim Öffnen durch. Es löscht keine bereits verschickten Kopien, und wer Datei und Passwort besitzt, könnte die Datei mit anderer Software auch nach Ablauf entschlüsseln. Übermitteln Sie das Passwort deshalb auf einem anderen Weg als die Datei.

6. Face ID / App-Sperre

Falls Sie die App-Sperre aktivieren, nutzt Papierpilot Apples LocalAuthentication-Framework für Face ID bzw. Code-Abfrage. Ihre biometrischen Daten verlassen dabei nie die Secure Enclave Ihres Geräts. Wir erhalten und sehen diese Daten zu keinem Zeitpunkt.

7. Kalender-Zugriff

Wenn Sie Fristen aus einem Brief in Ihren Kalender übernehmen, schreibt die App über Apples EventKit-Framework einen Termin in den System-Kalender Ihres iPhones. Dieser Zugriff erfolgt nur mit Ihrer ausdrücklichen Erlaubnis und bleibt lokal auf dem Gerät bzw. in Ihrem eigenen Kalender-Konto. Ein etwaiger iCloud-Kalender-Sync ist Apples bzw. Ihre eigene Einstellung, nicht unsere.

8. Benachrichtigungen

Erinnerungen an Fristen erfolgen über lokale, zeitgesteuerte Benachrichtigungen (UserNotifications). Es gibt dafür keinen Push-Server und keinen Apple-Push-Dienst (APNs) auf unserer Seite. Die Benachrichtigung wird von Ihrem eigenen Gerät geplant und ausgelöst.

8a. Kontaktangaben zu Behörden und Kassen

Zu häufigen Absendern wie Rentenversicherung, Familienkasse, Beitragsservice, Krankenkassen oder Zoll zeigt die App offizielle, öffentlich zugängliche Kontaktdaten, dazu Verweise auf die amtlichen Suchdienste für örtlich zuständige Stellen wie Finanzamt, Jobcenter oder Ausländerbehörde, jeweils mit Quelle und Stand. Diese Liste ist in der App enthalten. Die Zuordnung zum Absender erfolgt auf dem Gerät, beim Anzeigen wird keine Verbindung aufgebaut. Erst wenn Sie eine Telefonnummer oder einen Link antippen, öffnet sich die Telefon-App oder Ihr Browser; dabei werden keine Angaben aus Ihrem Brief übermittelt. Für aufgerufene Websites gelten die Datenschutzerklärungen der jeweiligen Stellen. Die Kontaktangaben sind ein Verweis, keine Rechtsberatung (siehe Abschnitt 14).

9. Käufe und Abonnements

Premium-Freischaltung und Abonnement laufen ausschließlich über Apples App-Store-Zahlungssystem (StoreKit). Wir betreiben keinen eigenen Zahlungsserver; Ihre Zahlungsdaten laufen direkt zwischen Ihnen und Apple. Wir erhalten lediglich den Kauf-/Abo-Status (aktiv, abgelaufen etc.), keine Zahlungsdetails. Es gelten ergänzend die Datenschutzbestimmungen von Apple.

Fordern Sie als Abonnent eine Cloud-Zweitmeinung an oder stellen Sie eine Rückfrage zu einem Brief (Abschnitt 11), übermittelt die App zusätzlich den von Apple signierten Kaufnachweis Ihres Abos (Angaben wie Produkt, Kauf- und Ablaufdatum sowie Transaktionskennungen, keine Zahlungsmitteldaten), damit unser Analyse-Dienst prüfen kann, ob ein aktives Abo besteht. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung). Der Nachweis wird nur für diese Prüfung verwendet, weder gespeichert noch protokolliert und nicht an den KI-Anbieter weitergegeben. Zum Schutz vor Missbrauch zählt der Dienst die Zweitmeinungen und, getrennt davon, die Rückfragen je Abo und Tag unter einem gekürzten Hashwert der Abo-Kennung; diese Zähler werden etwa 24 Stunden nach der letzten Nutzung automatisch gelöscht (Art. 6 Abs. 1 lit. f DSGVO, berechtigtes Interesse an der Missbrauchsabwehr).

10. Kein Tracking in der App, cookiefreie Reichweitenmessung auf der Produktseite

Papierpilot (die App) enthält keine Analytics-, Tracking- oder Werbe-SDKs von Drittanbietern und sammelt keine Werbe-IDs. Da es sich um eine App und keine Website handelt, kommen auch keine Cookies im klassischen Sinne zum Einsatz.

Diese Produktseite (papierpilot.io) setzt keine Cookies ein. Beim Aufruf der Seite verarbeitet unser Hosting-Anbieter Cloudflare, Inc., 101 Townsend Street, San Francisco, CA 94107, USA, technisch notwendige Verbindungsdaten (z. B. IP-Adresse) zur Auslieferung der Seite und zur Abwehr von Angriffen (Art. 6 Abs. 1 lit. f DSGVO). Die Übermittlung in die USA erfolgt auf Grundlage der EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO); Cloudflare ist zusätzlich nach dem EU-US Data Privacy Framework zertifiziert.

Für eine anonyme Reichweitenmessung dieser Produktseite setzen wir Matomo ein, eine Open-Source-Analytics-Software, die wir selbst betreiben (Hetzner, Falkenstein/Deutschland). Eine Datenübertragung an Dritte oder ins Ausland findet dabei nicht statt. Matomo ist auf dieser Website cookiefrei konfiguriert (disableCookies) und respektiert den Do-Not-Track-Header Ihres Browsers; wird dieser gesendet, deaktiviert sich das Tracking automatisch. Die letzten zwei Oktette Ihrer IP-Adresse werden vor jeder Verarbeitung verworfen, die volle IP-Adresse wird nie gespeichert. Erfasst werden Seitenaufruf, Referrer, ungefährer Standort (Land/Region aus der anonymisierten IP), Bildschirmauflösung sowie Browser-/Betriebssystem-Typ. Personenbezogene Profile oder Cross-Site-Tracking entstehen dabei nicht. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Reichweitenmessung); ein Cookie-Consent-Banner ist dafür nicht erforderlich, da weder auf Cookies noch auf lokalen Speicher zugegriffen wird (§ 25 Abs. 2 Nr. 2 TDDDG). Sie können der Erfassung jederzeit widersprechen, indem Sie in Ihrem Browser den Do-Not-Track-Header aktivieren. Hersteller: InnoCraft Ltd, 7 Waterloo Quay PO625, 6140 Wellington, Neuseeland; auf papierpilot.io läuft jedoch eine selbst betriebene Instanz, sodass keine Datenübertragung an InnoCraft stattfindet.

11. Optionale Funktion: Cloud-Analyse für komplexe Dokumente

Für besonders komplexe oder lange Dokumente bieten wir eine optionale Cloud-Analyse an, bei der die App den bereits auf dem Gerät erkannten Brieftext (nicht das Bild) nach Ihrer ausdrücklichen Zustimmung an einen Analyse-Dienst überträgt. Diese Funktion ist seit Version 1.1 (22.07.2026) technisch verfügbar; sie greift nur, wenn Sie ihr in den App-Einstellungen zugestimmt haben (Standardeinstellung: Nachfragen), und ausschließlich für einzelne Dokumente, bei denen die lokale Verarbeitung nicht ausreicht. Die Cloud-Analyse ist Bestandteil des Abos (siehe Abschnitt 9).

Rückfragen zum Brief (nur im Abo): Stellen Sie in der App eine Frage zu einem Brief, überträgt die App Ihre Frage, den auf dem Gerät erkannten Brieftext (nicht das Bild), die Einordnung der App (z. B. Art des Briefs, Absender, Frist und Erklärtexte) und die letzten Nachrichten dieses Verlaufs an denselben Analyse-Dienst. Das geschieht nur mit Ihrer ausdrücklichen Einwilligung, die die App vor der ersten Frage einholt und die Sie in den App-Einstellungen jederzeit widerrufen können. Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO; soweit der Brief Gesundheitsdaten oder andere besondere Kategorien personenbezogener Daten enthält, Art. 9 Abs. 2 lit. a DSGVO). Der Dienst speichert und protokolliert weder Frage noch Brieftext noch Antwort. Den Verlauf aus Fragen und Antworten speichert die App nur lokal auf Ihrem iPhone; Sie können ihn in der App jederzeit löschen, mit dem Brief wird er ebenfalls gelöscht.

Der von uns betriebene Analyse-Dienst ist technisch so eingeschränkt, dass er ausschließlich diese beiden Aufgaben ausführen kann, die Analyse eines Briefs und Rückfragen dazu: Er erhält nur den erkannten Text, bei Rückfragen zusätzlich die oben genannten Angaben (bei Abonnenten jeweils zusätzlich den Kaufnachweis nach Abschnitt 9), nicht das Bild, protokolliert oder speichert die übermittelten Inhalte zu keinem Zeitpunkt dauerhaft (Zero-Retention, kein Logging des Inhalts) und begrenzt die Verarbeitung serverseitig durch tägliche Obergrenzen und eine feste Modell-Auswahl. Zusätzlich existiert ein manueller Kill-Switch, mit dem wir den Dienst jederzeit ohne App-Update deaktivieren können.

Technisch laufen Analyse und Rückfragen über unseren eigenen AI-Gateway, der den Text an unseren Auftragsverarbeiter Anthropic, PBC, San Francisco, Kalifornien, USA, weiterleitet (Auftragsverarbeitung nach Art. 28 DSGVO). Anthropic nutzt den übermittelten Text nicht zum Training eigener Modelle, und die oben beschriebene Zero-Retention-Konfiguration wird auch in dieser Vertragskette beibehalten. Die Übermittlung in die USA erfolgt auf Grundlage der EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO).

Wenn Sie der Funktion beim ersten Auslösen nicht zustimmen, bleibt die Analyse vollständig auf dem Gerät; Ihre Zustimmung können Sie jederzeit in den App-Einstellungen widerrufen.

12. Weitergabe an Dritte

Über die in den Abschnitten 9 und 11 beschriebenen Fälle hinaus (Apple als Zahlungsabwickler; optionaler Cloud-Analyse-Dienst nach Ihrer Zustimmung) geben wir keine Daten an Dritte weiter. Ohne Ihre Zustimmung zur Cloud-Analyse oder zu Rückfragen findet keine Übermittlung Ihrer Dokumente oder Dokumentinhalte an uns oder an Server statt. Eine verschlüsselte Weitergabe nach Abschnitt 5b veranlassen Sie selbst an eine von Ihnen gewählte Person; wir sind daran nicht beteiligt.

13. Speicherdauer und Löschung

Ihre Dokumente verbleiben so lange lokal gespeichert, bis Sie sie in der App selbst löschen oder die App von Ihrem Gerät deinstallieren. Bei einer Deinstallation werden die im App-Datencontainer gespeicherten Daten entfernt (vorbehaltlich eines eigenen Geräte-Backups, das außerhalb unseres Einflussbereichs liegt). Das gilt ebenso für die Bereiche weiterer Personen nach Abschnitt 5a.

14. Wichtiger Hinweis zur Nutzung (RDG)

Papierpilot erklärt Ihnen Briefe in verständlicher Sprache und bietet allgemeine Vorlagen für Antwortschreiben. Die App ist damit ein Erklärungs- und Organisationswerkzeug. Sie ersetzt keine Rechtsberatung im Einzelfall und keine Prüfung durch eine Rechtsanwältin, einen Rechtsanwalt oder eine sonst nach dem Rechtsdienstleistungsgesetz (RDG) befugte Person. Bei rechtlich bedeutsamen oder unklaren Angelegenheiten empfehlen wir, fachkundigen Rat einzuholen.

15. Ihre Rechte

Ihnen stehen nach der DSGVO folgende Rechte zu, soweit personenbezogene Daten von uns verarbeitet werden: Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) sowie Widerspruch gegen die Verarbeitung (Art. 21). Erteilte Einwilligungen (z. B. zur Cloud-Analyse-Funktion aus Abschnitt 11) können Sie jederzeit mit Wirkung für die Zukunft widerrufen.

Ihnen steht zudem ein Beschwerderecht bei einer Datenschutzaufsichtsbehörde zu (Art. 77 DSGVO), insbesondere bei:

Solange Sie die optionale Cloud-Analyse aus Abschnitt 11 nicht nutzen, werden keine personenbezogenen Daten an uns übermittelt und diese Rechte laufen praktisch weitgehend leer. Sie werden relevant, sobald Sie z. B. per E-Mail Kontakt zu uns aufnehmen oder der Cloud-Analyse zustimmen.

16. App-Store-Datenschutzangaben

Zusätzlich zu dieser Erklärung finden Sie im Apple App Store bei der Produktseite von Papierpilot die von Apple standardisierte Datenschutzangabe („App Privacy“/Datenschutz-Kennzeichnung), die denselben Stand widerspiegelt.

17. Änderungen dieser Datenschutzerklärung

Wir passen diese Erklärung an, sobald sich an der Datenverarbeitung etwas ändert, insbesondere bei Änderungen an der in Abschnitt 11 beschriebenen Cloud-Analyse-Funktion. Die jeweils aktuelle Fassung finden Sie in der App bzw. auf dieser Seite.