Datenschutz bei PhishFänger
Entwurf, Stand 20.10.2026. Wird vor dem Start geprüft.
Kurz gesagt: Wir prüfen deine weitergeleitete Mail, schicken dir den Bericht und löschen die Mail danach. Wir speichern keine Mailtexte, verkaufen keine Daten, zeigen keine Werbung und verfolgen dich nicht (keine Analyse-Tools, keine Zählpixel).
Wer ist verantwortlich?
Johannes Kollien e. K., Lindenstraße 23B, 23558 Lübeck, E-Mail: info@phish-faenger.de
PhishFänger ist ein kleines Einzelunternehmen. Einen Datenschutzbeauftragten brauchen wir nicht; schreib bei Fragen einfach an die Adresse oben.
1. Mail-Prüfung (check@phish-faenger.de)
Was wir verarbeiten: die Mail, die du weiterleitest, mit allem, was darin steht (Absender, Empfänger, Betreff, Text, Links, Anhänge, technische Kopfzeilen), und deine Absenderadresse.
Wozu: um die Mail auf Betrug zu prüfen und dir den Bericht zu schicken.
Rechtsgrundlage: die Nutzung des Dienstes nach unseren Nutzungsbedingungen (Art. 6 Abs. 1 lit. b DSGVO). Für Daten anderer Personen in der Mail (z. B. des Absenders) unser und dein berechtigtes Interesse, Betrug zu erkennen (Art. 6 Abs. 1 lit. f DSGVO).
Wie lange:
- Die Mail selbst: nur so lange, wie die Prüfung dauert (meist Sekunden). Danach wird sie gelöscht.
- Beim ersten Mal bestätigst du einmalig die Nutzungsbedingungen. Bis dahin wartet die Mail höchstens 24 Stunden ungeprüft bei uns und wird dann gelöscht.
- Der Bericht auf unserer Webseite: 7 Tage, dann automatisch gelöscht. Er enthält Ampel, Punkte und Befunde (z. B. verdächtige Absender-Domain oder Links), aber nicht den Text deiner Mail. Er liegt unter einer zufälligen, nicht erratbaren Adresse und ist für Suchmaschinen gesperrt.
- Damit niemand den Dienst missbraucht, zählen wir die Prüfungen pro Tag und Adresse. Dafür merken wir uns höchstens 24 Stunden lang eine Prüfsumme (SHA-256-Hash) deiner Adresse im Arbeitsspeicher, nicht die Adresse selbst.
Keine Mailinhalte in Protokollen. Unsere Programme schreiben keine Mailtexte, Betreffzeilen oder Adressen in Logdateien.
Automatische Bewertung: Die Ampel entsteht automatisch. Sie ist ein Hinweis für dich und hat keine rechtliche Wirkung; du entscheidest selbst, was du mit der Mail machst.
2. KI bei unklaren Mails
Ist das Ergebnis der technischen Prüfung unklar (Gelb), fragen wir zusätzlich eine KI. Vorher entfernen wir Namen, Mailadressen, Telefonnummern, IBAN und Kundennummern. Die KI bekommt also nur eine anonymisierte Fassung.
Die Anfrage geht über unseren eigenen Server an:
- STACKIT AI Model Serving, STACKIT GmbH & Co. KG, Neckarsulm (Rechenzentren in Deutschland und Österreich). STACKIT speichert die Anfragen nicht und trainiert nicht damit.
- nur bei Ausfall: Mistral AI, Paris (Frankreich), mit vereinbarter Nicht-Speicherung (Zero Data Retention), ohne Training.
Mit beiden haben wir einen Vertrag zur Auftragsverarbeitung (Art. 28 DSGVO). Die Daten verlassen die EU nicht. Rechtsgrundlage wie in Abschnitt 1.
3. Bestätigung der Nutzungsbedingungen
Was wir speichern: deine Mailadresse, welche Fassung der Nutzungsbedingungen du bestätigt hast und wann.
Wozu: als Nachweis, dass du zugestimmt hast und die Adresse dir gehört, damit niemand fremde Mails über deine Adresse prüfen lässt.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Nutzungsvertrag) und lit. c (Nachweis).
Wie lange: bis du sie löschen lässt (Mail an uns genügt). Ändern sich die Nutzungsbedingungen, bestätigst du neu.
4. Newsletter (freiwillig)
Nur wenn du auf der Bestätigungsseite das eigene Häkchen setzt, bekommst du gelegentlich unseren Newsletter (z. B. bei großen Betrugswellen). Wir verschicken ihn selbst über unseren Server, ohne externen Dienst und ohne Zählpixel oder umgeleitete Links. Wir sehen also nicht, ob oder was du liest.
Rechtsgrundlage: deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), jederzeit widerrufbar über „Newsletter abbestellen“ in jeder Ausgabe oder per Mail an uns.
5. Warteliste für die Schutzadresse
Trägst du dich auf der Startseite ein, speichern wir deine Mailadresse und den Zeitpunkt. Unbestätigte Einträge löschen wir nach 24 Stunden. Zum Start der Schutzadresse schicken wir dir eine einzige Mail und löschen deine Adresse danach. Austragen geht jederzeit über den Link in der Bestätigungsmail.
Rechtsgrundlage: deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO).
6. Webseite
Hosting: Webseite, Mail-Empfang und Versand laufen auf Servern in Deutschland. Mit unserem Hoster haben wir einen Vertrag zur Auftragsverarbeitung.
Zugriffsprotokolle: Wir speichern keine Zugriffsprotokolle mit IP-Adressen. Fehlerprotokolle enthalten keine IP-Adressen und keine Mailinhalte.
Cookies: Nur ein technisch notwendiges Sicherheits-Cookie (csrftoken) bei Formularen, damit niemand in deinem Namen Formulare abschickt (§ 25 Abs. 2 TDDDG, Art. 6 Abs. 1 lit. f DSGVO). Keine Analyse-, Werbe- oder Tracking-Cookies.
Keine externen Inhalte: Schriften, Bilder und Skripte kommen von unserem eigenen Server. Dein Browser nimmt beim Besuch keine Verbindung zu anderen Anbietern auf.
7. Prüfung von Links und Domains
Für die Prüfung gleichen wir Links mit öffentlichen Listen bekannter Betrugsseiten ab, die wir regelmäßig herunterladen und auf unserem Server abgleichen (URLhaus von abuse.ch, OpenPhish). Dabei senden wir keine Daten aus deiner Mail nach außen. Um das Alter einer Absender- oder Link-Domain zu prüfen, fragen wir nur den Domainnamen (z. B. paypal-secure.xyz) im öffentlichen Domain-Verzeichnis (RDAP) ab, nie deine Adresse oder Mailinhalte.
8. Deine Rechte
Du kannst jederzeit Auskunft verlangen, welche Daten wir über dich haben, und Berichtigung, Löschung, Einschränkung der Verarbeitung und Datenübertragung verlangen (Art. 15–20 DSGVO). Einer Verarbeitung aus berechtigtem Interesse kannst du widersprechen (Art. 21 DSGVO), Einwilligungen kannst du jederzeit widerrufen. Eine Mail an info@phish-faenger.de genügt.
Du kannst dich auch bei einer Datenschutz-Aufsichtsbehörde beschweren, zum Beispiel bei der für uns zuständigen: Unabhängiges Landeszentrum für Datenschutz Schleswig-Holstein (ULD), Holstenstraße 98, 24103 Kiel, www.datenschutzzentrum.de.
9. Sicherheit
Die Verbindung zur Webseite ist verschlüsselt (HTTPS). Mails werden, wo der andere Server es kann, verschlüsselt übertragen (TLS). Wir prüfen den Dienst regelmäßig auf Sicherheitslücken.