Datenschutzerklärung — Veloda Pass

Zuletzt aktualisiert: 11. Oktober 2026

Veloda Pass ist ein Passwortmanager. Diese Seite sagt, was wir sehen können, was nicht, und wo die Dinge liegen.

Kurz gesagt

Alles, was du speicherst, wird auf deinem eigenen Gerät mit einem aus deinem Master-Passwort gebildeten Schlüssel verschlüsselt, bevor es an uns gesendet wird. Master-Passwort und Wiederherstellungsschlüssel verlassen dein Gerät nie. Wir speichern, was wir nicht lesen können, und haben keine Möglichkeit, deinen Tresor zu öffnen – weder für dich noch für uns noch für irgendwen, der danach fragt.

Was wir speichern

Deine E-Mail-Adresse, um das Konto zu identifizieren und dir Registrierungscodes und Sicherheitshinweise zu senden.
Deine verschlüsselten Einträge. Wir sehen, wie viele es sind und wie groß jeder ist, nie ihren Inhalt.
Dateien, die du an Einträge anhängst, jede auf deinem Gerät verschlüsselt, bevor sie gesendet wird, und in Cloudflare-Speicher innerhalb der Europäischen Union abgelegt. Wir sehen, wie viele es sind und wie groß jede ist, nie ihren Inhalt. Eine Datei wird entfernt, wenn du sie entfernst, wenn ihr Eintrag endgültig gelöscht wird und wenn du das Konto löschst.
Verschlüsselte Kopien deines Tresorschlüssels (eine mit dem Master-Passwort gesichert, eine mit dem Wiederherstellungsschlüssel). Ohne diese sind sie nutzlos.
Identitätsnachweise: gesalzene Hashes zweier Werte, die dein Gerät aus dem Master-Passwort und dem Wiederherstellungsschlüssel ableitet. Damit prüfen wir, wer sich anmeldet; sie lassen sich in keines der beiden Geheimnisse zurückverwandeln und öffnen nichts.
Deine angemeldeten Geräte: Modellname, Zeitpunkt der Anmeldung und letzte Nutzung.
Wenn du die Anmeldung in zwei Schritten einschaltest: das Geheimnis, das deine Authenticator-App nutzt, und Hashes deiner Ersatzcodes.
Wenn du den Notfallzugriff nutzt: ein Schlüsselpaar für dein Konto (die private Hälfte mit deinem Tresorschlüssel verschlossen), die E-Mail-Adressen der Personen, die du nennst, und für jede von ihnen eine Kopie deines Tresorschlüssels, so versiegelt, dass nur das Gerät dieser Person sie öffnen kann. Wir können sie nicht öffnen. Wir senden der Person eine Einladungs-E-Mail, geben ihr die versiegelte Kopie erst, wenn die von dir gewählte Wartezeit ohne deine Ablehnung vergangen ist, und schreiben dir, wenn sie anfragt, einen Tag vor dem Öffnen und beim Öffnen.
Wenn du ein Abonnement anfragst: der gewählte Plan, die Nummer oder das Konto, von dem du gezahlt hast, die eingegebene Referenz und, bis wir über deine Anfrage entschieden haben, das hochgeladene Bild des Belegs; es wird gelöscht, sobald entschieden ist. Das Datum, bis zu dem dein Abonnement läuft, wird bei deinem Konto gespeichert.
Kurzlebige Codes (als Hashes) und Zähler fehlgeschlagener Versuche, um Raten zu verhindern.

Was wir nicht erheben

Keine Nutzungsanalyse, keine Werbekennungen, keine Absturzberichte, kein Protokoll darüber, was du wann öffnest. Wir verkaufen oder teilen deine Daten nicht.

Wo es liegt und wer sonst beteiligt ist

Cloudflare betreibt unseren Server und dessen Datenbank. Die Datenbank ist so eingestellt, dass sie innerhalb der Europäischen Union läuft und dort speichert. Wie jeder Hoster verarbeitet Cloudflare die IP-Adresse und technische Details jeder Anfrage.
Resend stellt unsere E-Mails zu (Registrierungscodes, Sicherheitshinweise). Es erhält deine E-Mail-Adresse und die Nachricht.

Weitere Verbindungen der App

Have I Been Pwned, während der Leak-Prüfung, die bei jedem Öffnen des Tresors läuft, solange du sie nicht in den Einstellungen abschaltest: Die ersten fünf Zeichen eines Fingerabdrucks (SHA-1) jedes Passworts werden gesendet, nie das Passwort.
2fa.directory, nur wenn du prüfst, welche Websites die Bestätigung in zwei Schritten anbieten: Eine öffentliche Liste wird heruntergeladen.
Die Websites deiner gespeicherten Zugänge, nur solange „Website-Logos anzeigen“ in den Einstellungen eingeschaltet ist: Jede Website wird nach ihrer Startseite und ihrem eigenen Symbol gefragt, wie ein Browser es täte, ohne Konto, ohne Cookie und ohne Dritte dazwischen. Ein Zugang, der nur unter einem bekannten Namen ohne Adresse gespeichert ist, fragt die Website, für die dieser Name steht (facebook.com für „Facebook“). Die Symbole bleiben auf deinem Telefon.
velodaapp.com, um zu sehen, ob eine neuere Version veröffentlicht wurde: Eine öffentliche Versionsliste wird heruntergeladen. Wenn du in der App aktualisierst, wird die Datei der neuen Version von dl.velodaapp.com geladen, geprüft und an Android übergeben, das deine Bestätigung verlangt.

Auf deinem Gerät

Die App hält eine verschlüsselte Kopie deines Tresors vor, damit sie ohne Verbindung funktioniert, dazu deine Einstellungen und wie oft du jeden Eintrag öffnest (für die Listen auf dem Startbildschirm). Das bleibt auf dem Gerät und wird beim Abmelden entfernt.

Aufbewahrung und Löschung

Du kannst dein Konto jederzeit in der App löschen; deine Einträge, Schlüssel und Geräte werden sofort aus unserer Datenbank entfernt. „Neu anfangen“ auf dem Anmeldebildschirm bewirkt dasselbe, wenn du beide Geheimnisse verloren hast. Ein Gerät, das 90 Tage nicht genutzt wurde, wird abgemeldet. Unser Datenbankanbieter hält für begrenzte Zeit (bis etwa 30 Tage) Wiederherstellungsstände vor, in denen gelöschte – stets verschlüsselte – Daten bis zu deren Ablauf verbleiben können. Für den Katastrophenfall erstellen wir außerdem täglich eine Sicherung der Datenbank, die vor dem Speichern verschlüsselt wird, und bewahren sie bis zu etwa 90 Tage bei GitHub und bei Backblaze (in der Europäischen Union) auf; gelöschte Daten können bis dahin in diesen Sicherungen enthalten sein. Deine gespeicherten Einträge bleiben darin mit deinem eigenen Schlüssel verschlüsselt, sodass wir sie auch dort nicht lesen können.

Sicherheit, offen gesagt

Veloda Pass nutzt standardisierte, breit untersuchte Bausteine (Argon2id, AES-256-GCM, HKDF) und ist so entworfen, dass ein Einbruch in unseren Server nur Chiffretext offenlegen würde. Es ist ein neues Produkt eines Einzelentwicklers und hat noch kein unabhängiges Sicherheitsaudit durchlaufen.

Kinder

Veloda Pass richtet sich nicht an Kinder unter 13 Jahren, und wir erheben wissentlich keine Daten von ihnen.

Änderungen

Ändert sich diese Erklärung in einem wesentlichen Punkt, ändert sich das Datum oben, und die Datenschutzseite in der App wird mit aktualisiert.

Kontakt

Fragen zum Datenschutz? Schreib an [email protected].