Datenschutzerklärung

Digital Services LLC betreibt ForestVPN. Diese Richtlinie gilt für die ForestVPN-Apps für iPhone, iPad, Mac und Apple TV, für Android-Smartphones und -Tablets sowie für Android TV, die Desktop-Apps für Windows und Linux, den Linux-Kommandozeilen-Client und die Router-App, die Server, die Ihren Datenverkehr transportieren, und diese Website.

Unser Versprechen

ForestVPN verkauft, nutzt oder gibt die in dieser Richtlinie beschriebenen Daten für keinen Zweck an Dritte weiter, außer soweit unbedingt nötig, um den Dienst zu betreiben — das heißt Apple oder Google für Zahlungen sowie die unten aufgeführten Infrastrukturanbieter, jeder Einzelne rein als Auftragsverarbeiter nach unseren Weisungen und vertraglich gebunden. Wir betreiben keine Werbung, wir erstellen keine Profile über Sie, und wir teilen nichts mit Datenhändlern, Analyseanbietern oder Attributionsnetzwerken. Solche gibt es in der App nicht. Eine Ausnahme ist kein Auftragsverarbeiter von uns: Wenn das DNS Ihres Netzwerks versagt oder unsere Server unter den von ihm genannten Adressen nicht erreichbar sind, kann die App einen öffentlichen DNS-Resolver (Cloudflare, Google oder Quad9) nach der Adresse unserer eigenen Server fragen, und dieser Resolver sieht Ihre IP-Adresse nach seiner eigenen Datenschutzerklärung. Siehe Was beim Verbinden passiert.

Die App enthält auf keiner Plattform ein Analyse-SDK, ein Attributions-SDK oder eine Werbekennung. Auf Apple-Plattformen steht das im Privacy-Manifest der App, das kein Tracking und keine Tracking-Domains erklärt. Es erklärt zehn Datentypen. Neun sind als mit Ihrer Identität verknüpft gekennzeichnet: eine Nutzerkennung, eine Gerätekennung (ein Pseudonym, das mit Ihrem Konto verbunden wird, sobald Sie eines zuordnen), der Kaufverlauf, der ungefähre Standort, Inhalte für den Kundensupport, sonstige Nutzerinhalte, Diagnosedaten, Leistungsdaten und sonstige Nutzungsdaten. Einer, die Produktinteraktion, ist nicht verknüpft: Der Support-Assistent zählt, von welchem Bildschirm aus er geöffnet wurde, ob Sie Diagnosedaten teilen wollten und ob seine Antwort das Problem gelöst hat, ohne Geräte- oder Kontokennung. Apples Formular nimmt nur eine Antwort pro Datentyp an; deshalb sind Diagnosedaten und ungefährer Standort als verknüpft gekennzeichnet, weil der Bericht, den Sie bewusst senden, und die Zähler der Berechtigungsausstellung es sind, auch wenn Routenberichte es nicht sind. Neun Typen dienen der App-Funktionalität, und acht außerdem unseren eigenen Betriebszählern, die unter Analyse beschrieben sind. Auf Android fragt die App nie nach der Werbe-ID und fügt kein eigenes Analyse-, Attributions- oder Absturzbericht-SDK hinzu. Die einzige Drittanbieter-Bibliothek, die Google erreicht, ist die Google Play Billing Library, die Google für In-App-Käufe verlangt und die nach Googles eigener Datenschutzerklärung arbeitet.

Was wir nie haben

• Ihr Surfverhalten. Es gibt in unseren Systemen nirgendwo ein Feld für die Seiten, die Sie besuchen, die Namen, die Sie nachschlagen, oder die Adressen, mit denen Sie sich verbinden. Keine kurze Aufbewahrungsfrist — eine solche Spalte existiert schlicht nicht.
• Ihre Identität. Es gibt keine E-Mail-Adresse, kein Passwort, keine Telefonnummer und keinen Namen. Ein Konto, falls Sie eines anlegen, ist eine 128-Bit-Zufallszahl. Die Kontentabelle hat kein Kontaktfeld jeglicher Art.
• Ihre Karte. Die Zahlung erfolgt bei Apple oder Google oder — kaufen Sie im Web — beim Prozessor Ihrer Wahl: Stripe, CloudPayments oder NOWPayments. Apple gibt uns einen signierten Beleg und ein geräteabgeleitetes Token; bei einem Google-Play-Kauf prüfen wir das Kauf-Token, das die App weiterreicht — zusammen mit einem geräteabgeleiteten Token, das dem Kauf beigefügt ist — direkt bei Googles eigenen Servern, statt der App allein zu vertrauen. Ein Web-Kauf gibt uns eine einmalige, von uns selbst erzeugte Referenznummer, nie Ihre Karte. So oder so sehen wir nie eine Kartennummer, und bei einer Krypto-Zahlung ist der Prozessor die einzige Partei, die überhaupt etwas sieht. Siehe Zahlen per Karte oder Krypto.
• Zusätzliche Berechtigungen auf Android. Die App fragt zur Laufzeit nach zwei Dingen: dem systemeigenen VPN-Verbindungs-Einwilligungsdialog und, ab Android 13, der Berechtigung, Benachrichtigungen anzuzeigen — einmal abgefragt, beim ersten Verbindungsaufbau, nie beim Kaltstart — für den laufenden Verbindungsstatus, Warnungen, wenn Ihr Datenkontingent knapp wird oder endet, und Verbindungsprobleme. Sie fragt nicht nach Ihrem Standort oder Ihren Kontakten. Zwei weitere Berechtigungen, die sie deklariert, bleiben vollständig auf dem Gerät und werden nie an uns gesendet: das Lesen der Liste installierter Apps, für den Split-Tunneling-Bildschirm, der ausgewählte Apps vom Tunnel ausschließt, und die Fingerabdruck-, Gesichts- oder Bildschirmsperren-Abfrage des Systems, um die Anzeige Ihrer eigenen Kontonummer auf dem Bildschirm abzusichern.

Was auf Ihrem Gerät liegt

Ein Maschinenschlüssel

Beim ersten Start erzeugt die App ein Schlüsselpaar, das auf dem Gerät bleibt: im System-Schlüsselbund auf Apple-Plattformen; auf Android im privaten Speicher der App, verschlüsselt mit einem Schlüssel, der im Android Keystore liegt. Er ist so markiert, dass er das Gerät nie verlässt — nicht zu Ihren anderen Geräten, nicht zu iCloud, und auf Android auch nicht in ein Backup oder eine Gerätewechsel-Kopie. Er ist keine Werbekennung und wird mit niemandem geteilt. Wir speichern einen Hash seiner öffentlichen Hälfte, woran ein Gerät über Starts hinweg erkannt wird.

Auf Apple-Plattformen ist er dauerhaft. Er wird nie rotiert und übersteht das Löschen der App. Eine Neuinstallation gibt Ihnen dort keine neue Identität — die neu installierte App legt denselben Schlüssel vor und wird als dasselbe Gerät erkannt. Das ist Absicht: Es verhindert, dass ein Gerät eine unbegrenzte Zahl kostenloser Kontingente beansprucht, und es bedeutet, dass eine Deinstallation dort kein Zurücksetzen ist — das sollten Sie wissen, bevor Sie installieren. Auf Android übersteht der Schlüssel weder das Deinstallieren der App noch das Löschen ihres Speichers. Eine Neuinstallation erzeugt einen neuen Schlüssel und wird als neues Gerät registriert, und der alte Gerätedatensatz bleibt auf unserer Seite bestehen, verwaist, gemäß der Aufbewahrungsfrist in der Tabelle unten. Die App ersetzt ihren Schlüssel außerdem einmalig, an Ort und Stelle, falls unsere Server den alten jemals als unbekannt melden.

Ein Sitzungsschlüssel

Jedes Ticket trägt seinen eigenen Sitzungsschlüssel, erzeugt auf dem Gerät, wenn das Ticket ausgestellt wird, bevor überhaupt eine Verbindung versucht wird. Er wird verschlüsselt im eigenen lokalen Speicher der Plattform aufbewahrt — dem System-Schlüsselbund auf Apple-Plattformen, dem privaten Speicher der App auf Android —, bis das Ticket genutzt wird oder abläuft, und ein Ersatzticket, das für dieselbe Verbindung ausgestellt wird, kann sich den Schlüssel des Tickets teilen, das es absichert. Er verlässt das Gerät nie, außer in seiner öffentlichen Hälfte.

Konten, Abos und Kontingente

Ein Dienst stellt Verbindungs-Berechtigungen aus und führt die Datensätze, die ein Abo braucht. Er enthält:

Die Ticket-Bindungs-Zeile oben ist die eine Ausnahme, und sie wird hier genannt, statt aus der Tabelle wegzulassen: Solange sie existiert, benennt sie sowohl Ihr Gerät als auch die Sitzung, zu der es gehört, was es ermöglicht, eine abgeschlossene Sitzung gegen Ihr Kontingent anzurechnen und ein gesperrtes Gerät mitten in der Sitzung zu trennen. Sie wird automatisch gelöscht, nicht auf Anfrage — eine Stunde, nachdem die Sitzung, die sie benennt, endet, oder wenn das Ticket selbst ungenutzt abläuft, je nachdem, was zuerst eintritt. Keiner dieser Datensätze, auch dieser nicht, enthält einen Exit-Server, die Adresse, von der aus Sie sich verbunden haben, oder wohin Sie gegangen sind: Der ausstellende Dienst erfährt nichts davon. Sie existieren nur bei dem separaten Dienst, der unter [was beim Verbinden passiert](#session) beschrieben ist, der keine Möglichkeit hat, nachzuschlagen, wer Sie sind. Die Diagnosebericht-Zeile oben wird zusätzlich bei einem dritten, separaten Dienst gehalten — ein unsigniertes Upload, das der ausstellende Dienst nie sieht und nicht mit einem Gerät verknüpfen kann.

Der Berechtigungsnachweis selbst

Um sich zu verbinden, fragt Ihr Gerät diesen Dienst nach einem Ticket. Das Ticket ist blind signiert: Die Signatur wird über einen Wert erzeugt, den wir nie sehen, sodass das Ticket, das Sie beim Verbinden vorlegen, nicht als das erkannt werden kann, das Ihnen ausgestellt wurde. Es trägt genau zwei Fakten — welche Stufe es signiert hat und welcher Zwei-Wochen-Schlüssel verwendet wurde — und sonst nichts. Der ausstellende Dienst erfährt nie einen Standort, einen Exit, eine Sitzung, oder ob je ein Tunnel zustande kam.

Zahlen per Karte oder Krypto

Apple oder Google rechnet jedes in der App gekaufte Abo ab, und wir sehen nie eine Kartennummer. Auf Apple-Plattformen schickt uns Apple einen signierten Beleg und ein geräteabgeleitetes Token. Auf Android geben unsere Server der App vor dem Checkout ein vom Geräteschlüssel abgeleitetes Token; die App hängt es dem Kauf als Googles obfuskierte Konto-ID an, und Google gibt es zurück, wann immer wir den Kauf verifizieren, sodass das Abo dem Gerät zugeordnet werden kann, das es gekauft hat — es trägt weder Namen noch E-Mail noch Karte. Die App reicht außerdem das Kauf-Token und die Produkt-ID, die Google Play ihr übergibt, an unsere Server weiter, die den Kauf direkt bei Googles eigener API verifizieren, statt der App zu vertrauen; Google schickt uns separat eine Real-Time Developer Notification, wenn sich ein Abo ändert, was wir als Anlass behandeln, erneut bei Google zu verifizieren, nie als eigenständigen Beweis. Ein Abo kann auch im Web gekauft werden, über einen Kartenprozessor — Stripe oder CloudPayments — oder einen Krypto-Prozessor, NOWPayments, und dieser Weg unterscheidet sich genug, um ihn eigens zu beschreiben.

Wenn Sie im Web zur Kasse gehen, erzeugen wir selbst eine einmalige Referenznummer und geben diese dem Prozessor — nie Ihre Kontonummer. Nach dieser Richtlinie ist die Kontonummer ein Berechtigungsnachweis; sie in das Dashboard, die Webhook-Nutzdaten oder die Support-Werkzeuge eines Zahlungsprozessors zu legen, würde einem veröffentlichten Passwort gleichkommen. Die Referenz läuft innerhalb einer Stunde ab und öffnet für sich genommen nichts.

Was wir aus einem Web-Kauf behalten: welcher Prozessor abgerechnet hat, dessen eigene Abo-ID, die Stufe, das Datum, bis zu dem bezahlt ist, und ob gekündigt oder widerrufen wurde. Was wir nie erhalten und nie speichern: Ihren Namen, Ihre E-Mail, Ihre Rechnungsadresse, Ihren Karten-Fingerabdruck oder — bei einer Krypto-Zahlung — irgendetwas über Sie überhaupt. Der Code, der eine Zahlungszeile schreibt, hat kein Feld, das eines davon aufnehmen könnte; eines hinzuzufügen wäre eine sichtbare, geprüfte Änderung an einer Datei, die jeder anfassen muss, der eine Zahlungsschiene baut — kein stiller Fehler.

So klar gesagt, wie wir können: Eine an uns gerichtete Auskunftsanfrage ergibt eine Stufe und ein Bezahlt-bis-Datum. Dieselbe Anfrage an den Zahlungsprozessor ergibt eine Person und eine Karte. Das ist Absicht. Das ist der Tausch dafür, im Web statt über Apple oder Google zu zahlen, und es ist auch der Grund, warum wir lieber wollen, dass diese Daten bei einem Unternehmen liegen, das eigens dafür gebaut ist, sie zu halten, als dass sie zusätzlich bei uns liegen.

Ein App-Store-Abo zu kündigen geschieht in den eigenen Einstellungen des Stores: Einstellungen → Apple Account → Abos auf Apple-Plattformen, oder im Bildschirm Abos in der Google-Play-Store-App auf Android. Ein Karten-Abo wird über das eigene Kundenportal des Prozessors gekündigt, das Sie über die dort hinterlegte E-Mail-Adresse authentifiziert — nicht über uns, weil wir keine haben. Eine Krypto-Zahlung erwirbt eine feste Laufzeit und läuft einfach aus; es gibt nichts zu kündigen.

Verlieren Sie Ihre Kontonummer nach einem Web-Kauf, kann der Support den Prozessor um eine Rückerstattung bitten, kann aber den Zugang nicht wiederherstellen — es gibt bei uns keine E-Mail und kein Passwort, mit dem sich beweisen ließe, dass der Kauf Ihrer war. Eine Krypto-Zahlung kann überhaupt nicht erstattet werden. Wir lesen Ihnen beide Sätze lieber vor der Zahlung vor als danach.

Was beim Verbinden passiert

Ein separater Dienst nimmt das Ticket an und eröffnet die Sitzung. Er sieht die Adresse, von der aus Sie sich verbinden, den von Ihnen gewählten Standort und Ihren einmaligen Sitzungsschlüssel, und er führt einen Sitzungsdatensatz mit der Stufe, der Epoche, diesem Sitzungsschlüssel, dem Exit, Ihren Tunneladressen, einem Ablauf und einem Byte-Budget. Der Datensatz löscht sich selbst, wenn die Sitzung abläuft. Ihre Quelladresse wird nie hineingeschrieben.

Dieser Dienst hat überhaupt keine Datenbankbindung. Er hat keinen Zugriffspfad, über den ein Konto oder ein Gerät erreicht werden könnte, sodass ein Fehler im Verbindungspfad Ihre Identität nicht in einen Sitzungsdatensatz schreiben kann — es gibt nichts, womit man sie schreiben könnte. Ein Build-Job namens „the privacy seam holds“ lässt den Build fehlschlagen, sollte diese Bindung je hinzugefügt werden. Das ist die eine Datenschutzeigenschaft hier, die nicht davon abhängt, dass wir uns gut verhalten.

Vor dem Verbinden braucht die App die Adressen unserer eigenen Server. Sie fragt zuerst das DNS Ihres Netzwerks. Schlägt das fehl, antwortet es zu langsam oder liefert es eine falsche Antwort, hat es das in demselben Netzwerk schon einmal getan oder sind unsere Server unter den von ihm genannten Adressen nicht erreichbar, kann die App zusätzlich – neben ihm, nicht an seiner Stelle – Cloudflare (1.1.1.1), Google (8.8.8.8) oder Quad9 (9.9.9.9) per verschlüsseltem DNS fragen, und zwar nur nach den Adressen unserer eigenen Server, nie nach einer Seite, die Sie besuchen. Jeder dieser Anbieter hat weitere öffentliche Adressen, die die App nutzen kann. In einem Netzwerk, dessen DNS prompt und richtig antwortet und in dem unsere Server unter diesen Adressen erreichbar sind, wird keiner von ihnen gefragt. Jeder gefragte Anbieter erfährt die IP-Adresse, von der die Frage kommt, die Uhrzeit und dass dieses Gerät einen unserer Servernamen nachgeschlagen hat – sonst nichts: keine Kontonummer, keine Sitzungs-Berechtigungsnachweise, nichts von dem, was Sie aufrufen. Wir senden ihnen nichts außer der Abfrage selbst, und jeder von ihnen wendet auf das Empfangene seine eigene Datenschutzerklärung an. Sollten wir die App je einen weiteren DNS-Anbieter fragen lassen, nennen wir ihn hier, bevor sie es tut.

Ihre Verbindung über ein CDN transportieren

In manchen Netzen werden unsere eigenen Server nach Adresse oder Name blockiert oder gedrosselt. Passiert das, kann die App automatisch ein Content Delivery Network (CDN) nutzen, statt sich direkt mit uns zu verbinden. Es gibt zwei solche Wege: Auf den Tarifen Pro und Premium kann die App Ihren verschlüsselten Tunnel über das CDN leiten, statt sich direkt mit unserem Server zu verbinden; und für ihre eigenen Anfragen an unsere Steuerungsdienste, etwa die signierte Serverliste und Sitzungstickets, kann sie das CDN ebenfalls nutzen. Heute kann Bunny.net beide Wege übernehmen, während Gcore nur die eigenen Anfragen der App an unsere Steuerungsdienste übernehmen kann, nicht den Tunnel; Fastly ist auf dieselbe Art angebunden und könnte diesen Datenverkehr künftig übernehmen. Das geschieht automatisch und nur dann, wenn Ihre Verbindung es braucht. Es ändert nie, was wir über Sie erfassen: Das CDN leitet nur Bytes weiter, genauso wie es den Datenverkehr jeder gewöhnlichen Website weiterleitet, und es kann weder Ihre Kontonummer noch Ihren Sitzungs-Berechtigungsnachweis lesen.

Ein CDN, das Ihre Verbindung weiterleitet, ist so eingerichtet, dass es einen bestimmten Server von uns erreicht — einen Exit-Server für den Tunnel, einen Relay-Server für Anfragen an unsere Steuerungsdienste —, und solange Ihre Verbindung dort hindurchläuft, sieht es die IP-Adresse, von der aus Sie sich verbinden, den Hostnamen unseres Relay-Endpunkts, die Uhrzeit und das Timing Ihres Datenverkehrs sowie ein grobes Bild der Verbindung — Ihren ungefähren Standort und einen Fingerabdruck davon, wie Ihr Gerät eine TLS-Verbindung aufbaut, dasselbe Signal, das jedes HTTPS-Relais berechnen kann — genau wie bei jeder anderen verschlüsselten Website, die es weiterleitet. Es sieht nicht, was darin steckt: WireGuard verschlüsselt den Tunnel Ende-zu-Ende zwischen Ihrem Gerät und unserem Exit-Server, Anfragen an unsere Steuerungsdienste werden zwischen der App und unserem Relay-Server verschlüsselt, und das CDN trägt beides, ohne es zu öffnen — es erfährt also nie, für welchen unserer Dienste eine Anfrage bestimmt ist. Unsere eigenen Server verwerfen dieses grobe Bild bei Ankunft und speichern es nie; was sich je nach Anbieter unterscheidet, unten, ist, ob das CDN selbst einen Datensatz führt, der Ihre IP-Adresse mit dem Server verknüpft, zu dem es Sie weitergeleitet hat.

• Bunny.net transportiert diesen Datenverkehr heute. Wir schalten die Anfrage-Protokollierung auf unseren Zonen ab, sodass Bunny keinen Datensatz führt, der Ihre IP-Adresse mit dem Server verknüpft, den Sie erreicht haben.
• Gcore kann nur die eigenen Anfragen der App an unsere Steuerungsdienste transportieren, nicht den Tunnel, und wird den Tunnel nicht transportieren, ohne dass wir das zuvor hier sagen. Anders als bei Bunny lässt sich Gcores Protokollierung auf unserem Konto nicht abschalten: Sie hält die IP-Adresse, von der aus Sie sich verbinden, den Hostnamen, an den die Anfrage gerichtet war, und die Uhrzeit 3 Tage lang fest und kann von jedem gelesen werden, der ein Token für dieses Konto besitzt. Gcore gibt Ihre IP-Adresse außerdem in einem Anfrage-Header an unseren Server weiter; dieser verwirft sie bei Ankunft und speichert sie nie. Wir legen das offen, statt es zu verbergen, und wir werden aufhören, uns dafür auf Gcore zu verlassen, oder es abschalten, sobald Gcore uns das erlaubt.
• Fastly transportiert bislang keinen unserer Daten. Sollte sich das ändern, beschreiben wir hier, was es sehen kann, genau wie bei den anderen beiden, bevor es irgendetwas transportiert.

Keiner dieser drei kann Ihre Kontonummer oder einen Anmeldenachweis lesen, und keinem wird ein Weg gegeben, die Verbindung, die er weiterleitet, zurück zu Ihnen zu verknüpfen. Um zu entscheiden, ob ein Netz das CDN braucht, führt die App auf Ihrem Gerät eine kleine Notiz für jedes Netz, mit dem sie verbunden war, abgelegt unter einem gehashten Namen für dieses Netz: ob das CDN dort gebraucht wurde, an welchem Tag sie das zuletzt festgestellt hat, und die öffentlichen Standortnamen, die funktioniert haben. Sie hält nie eine Adresse, einen Server oder einen Netzwerknamen im Klartext, und sie bleibt aus jedem Diagnosebericht, den Sie uns senden, außen vor. Die App kontaktiert das CDN nur in einem Netz, in dem die direkte Verbindung zu unserem Server jetzt oder innerhalb des letzten Tages fehlgeschlagen ist. Damit die Premium-Route bezahlbar bleibt, zählen wir pro Gerät und Kalendermonat, wie viele Bytes darüber gelaufen sind. Wir erfassen nie, welcher Server, wann oder von wo.

Exit-Server

Exit-Server starten aus dem Arbeitsspeicher. Es gibt keine Festplatte, auf die geschrieben wird, der Zustand wird bei jedem Neustart gelöscht, und es gibt keine protokollierenden Codepfade in der Software, die sie betreibt.

Während eine Sitzung läuft, verarbeitet ein Exit zwangsläufig die Adresse, von der aus Sie sich verbinden — er beendet den Tunnel —, zusammen mit einem Sitzungsschlüssel, den er nie wiedersehen wird, und dem Datenverkehr selbst. Er zeichnet nichts davon auf. Was er zurückmeldet, ist aggregiert, verzögert und gerundet: Bytes je Peer und Zeitraum, nie je Verbindung oder Ziel.

Um die Server hostbar zu halten, kann ein Exit missbräuchliche Verkehrsmuster lokal begrenzen oder verweigern, nur anhand dessen, was im Arbeitsspeicher dieses Servers liegt, und geschlüsselt nach dem Netz, aus dem der Verkehr kam, nie nach einem Abonnenten. Es gibt keinen Missbrauchsdatensatz, der eine Sitzung überdauert, weil einen zu führen bedeuten würde, eine Sitzung einer Person zuzuordnen.

Das Teilen eines Geräts oder eines Exits

Wenn Sie jemanden einladen, einen Ihrer Exits zu nutzen, geht diese Person über Ihre Verbindung online, so wie es jeder Gast in Ihrem Netzwerk tun würde: Websites, Spiele und Ihr Internetanbieter sehen deren Datenverkehr als von Ihrer Verbindung kommend, und Sie erscheinen ihnen als die Person, die sie nutzt. Wenn Sie jemanden einladen, nur ein Gerät zu erreichen, kann diese Person nur dieses eine Gerät erreichen und sonst nichts in Ihrem Netzwerk.

Der Datenverkehr zwischen Ihren Geräten und der Datenverkehr eines Gasts über eine Freigabe ist Ende-zu-Ende-verschlüsselt. Wenn eine direkte Verbindung nicht möglich ist, läuft er über ein ForestVPN-Relay, das ihn nicht lesen kann und keine Aufzeichnung darüber führt, welche Geräte miteinander sprechen. In Netzwerken, die uns blockieren, kann er zusätzlich über ein Content-Delivery-Network laufen, das nur sieht, dass verschlüsselte Daten fließen – genau wie beim übrigen ForestVPN-Datenverkehr (siehe oben, „Ihre Verbindung über ein CDN leiten“).

Es gibt keine Aufzeichnung darüber, wer was getan hat. ForestVPN führt kein Protokoll darüber, was ein Gast über eine Freigabe tut, sodass weder der Host noch wir zeigen können, wer etwas getan hat.

Eine Freigabe wird als zwei zufällige Mesh-Kennungen und ein kleiner Zustand gespeichert – für wen sie gilt, was sie erlaubt und wann sie endet – niemals als Nutzungsprotokoll. Nach dem Beenden wird sie nach 30 Tagen gelöscht. Unser Hosting-Anbieter Cloudflare kann sie danach noch bis zu 30 weitere Tage zu eigenen Zwecken der Notfallwiederherstellung wiederherstellen.

Analyse

Wir führen betriebliche Zähler: wie viele Berechtigungsnachweise ausgestellt und abgelehnt wurden, Verbindungsergebnisse und -zeiten, Byte-Summen, und Aggregate je Server, tägliche Zahlen neuer Geräte, neuer Konten, zahlender Kunden und Abo-Änderungen sowie Zähler des Support-Assistenten (Thema, Einstiegspunkt, ob Diagnosedaten geteilt wurden, ob die Antwort geholfen hat), von denen keiner ein Gerät, ein Konto oder irgendeinen Text enthält. Sie werden in einen Analyse-Speicher geschrieben, den nichts im Anfragepfad zurückliest.

Zwei Dinge sollten dazu klar gesagt werden.

• Die Zeilen zu Ausstellung und Abrechnung von Berechtigungsnachweisen tragen ein pseudonymes Pro-Gerät-Kennzeichen — einen geschlüsselten Hash des Hashs Ihres Geräteschlüssels, nicht den Hash selbst —, zusammen mit einem Ländercode und einer Netzbetreibernummer. Das sind personenbezogene Daten im Sinne der DSGVO – keine Daten, die niemandem zuzuordnen sind.
• Die Aufbewahrung beträgt 90 Tage und kann nicht geändert werden, und es gibt keine Lösch-API. Wir können die Analysezeilen einer Einzelperson nicht auf Anfrage löschen; wir können nur warten, bis sie ablaufen. Den Schlüssel zu rotieren, der das Kennzeichen erzeugt, verwaist künftige Zeilen gegenüber vergangenen; er entfernt die vergangenen nicht, und er widerruft keine Verknüpfung, die gemacht wurde, während der alte Schlüssel in Gebrauch war.

Keine Zeile trägt einen Betroffenen und einen Exit-Server zusammen. Die Datensätze, die ein Gerätekennzeichen tragen, tragen keinen Server, und die Datensätze, die einen Server tragen, tragen keinen Betroffenen. Routenberichte sind Aggregate ohne Gerätekennzeichen und werden unseren Dashboards nur für Tage mit mindestens 10 Geräten bereitgestellt.

Diese Website betreibt überhaupt keine Analyse. Sie setzt ein einziges funktionales Cookie (fvpn_locale), das Ihre Sprache ein Jahr lang speichert und sonst nichts tut. Sie lädt keine Skripte von Drittanbietern, bettet nichts ein, und hostet ihre Schriftarten selbst.

Wer sie sonst noch verarbeitet

Jeder von ihnen handelt nach unseren Weisungen, vertraglich gebunden, und ist verpflichtet, die Daten mindestens auf dem hier festgelegten Niveau zu schützen. Die öffentlichen DNS-Resolver sind die Ausnahme: Sie handeln nach ihrer eigenen Datenschutzerklärung, nicht nach unserer.

Cloudflare

Hostet die Kontrolldienste, deren Datenbanken und diese Website, terminiert TLS für unsere Domains, und speichert den Diagnosebericht, den Sie uns wahlweise senden können, in einem Bucket, der nur unter Ihrem Support-Code liegt und von jedem Gerätedatensatz getrennt ist. Weil TLS dort terminiert, ist Cloudflare in der Lage, die Metadaten von Anfragen an unsere Hostnamen zu sehen, unabhängig davon, was unser eigener Code aufzeichnet. Das ist eine reale Grenze, und wir sagen das lieber, als es wegzuinterpretieren.

Nebius

Betreibt das Sprachmodell hinter dem Support-Assistenten, in der EU, unter einem Vertrag mit null Datenspeicherung — es behält Ihr Gespräch nach der Antwort nicht und trainiert nicht damit. Es erhält nie Ihre Kontonummer, Ihre IP-Adresse, oder mit welchen Servern Sie sich verbinden. Siehe Support-Assistent.

Apple

Verkauft und rechnet jedes in der App gekaufte Abo ab und teilt uns mit, dass ein Abo besteht. Apple hat seine eigene Datenschutzerklärung und seine eigene Beziehung zu Ihnen. Wir erhalten einen signierten Beleg und ein geräteabgeleitetes Token, nie eine Kartennummer, einen Namen oder eine E-Mail.

Google

Verkauft und rechnet jedes in der Android-App gekaufte Abo ab und teilt uns mit, dass ein Abo besteht. Google hat seine eigene Datenschutzerklärung und seine eigene Beziehung zu Ihnen. Die App reicht ein Kauf-Token und eine Produkt-ID an uns weiter, zusammen mit einem geräteabgeleiteten Token, das dem Kauf als Googles obfuskierte Konto-ID beigefügt ist; wir verifizieren alles davon direkt bei Googles eigenen Servern, und Google schickt uns separat eine Real-Time Developer Notification, wenn sich ein Abo ändert — nie eine Kartennummer, einen Namen oder eine E-Mail.

Stripe

Verarbeitet Kartenzahlungen für im Web gekaufte Abos und betreibt das Kundenportal, in dem ein Karten-Abo verwaltet und gekündigt wird. Stripe hält den Namen, die E-Mail, die Rechnungsadresse und die Kartendaten des Käufers — nichts davon erreicht uns.

CloudPayments

Ein alternativer Kartenprozessor für Web-Käufe, angeboten, wo er Käufern besser dient als Stripe. Dieselbe Grenze: Er hält die Zahlungsidentität, wir halten eine Abo-Zeile ohne daran hängenden Namen.

NOWPayments

Verarbeitet Kryptowährungszahlungen für Web-Käufe. Es ist die Zahlungsmethode, bei der selbst der Prozessor am wenigsten über Sie hält — keine Karte, kein Bankkonto — und, anders als bei den anderen, kann eine Krypto-Zahlung nicht erstattet werden. Siehe Zahlen per Karte oder Krypto.

Server-Anbieter

Die Unternehmen, die unsere Exit-Server hosten. Sie können das Verkehrsvolumen an ihrem eigenen Netzwerkrand sehen, wie jeder Host das kann. Sie haben keinen Zugriff auf den Arbeitsspeicher der Server oder auf Ihren Datenverkehr.

Bunny.net

Leitet den verschlüsselten Tunnel einer Pro- oder Premium-Verbindung sowie die verschlüsselten eigenen Anfragen der App an unsere Steuerungsdienste weiter, wenn ein Netz unsere eigenen Server blockiert, und nur dann. Während es weiterleitet, sieht es die IP-Adresse, von der aus Sie sich verbinden, den Hostnamen unseres Relay-Endpunkts und die Uhrzeit des Datenverkehrs, nie, was darin steckt, welchen unserer Dienste Sie erreichen, Ihr Konto oder Ihren Geräteschlüssel. Seine Anfrage-Protokollierung ist auf unseren Zonen abgeschaltet. Siehe Ihre Verbindung über ein CDN transportieren.

Gcore

Kann nur die eigenen verschlüsselten Anfragen der App an unsere Steuerungsdienste weiterleiten, nicht den Tunnel, wenn ein Netz unsere eigenen Server blockiert, und nur dann. Während es weiterleitet, sieht es die IP-Adresse, von der aus Sie sich verbinden, den Hostnamen unseres Relay-Endpunkts und die Uhrzeit des Datenverkehrs, nie, was darin steckt, welchen unserer Dienste Sie erreichen, Ihr Konto oder Ihren Geräteschlüssel. Anders als bei Bunny.net lässt sich seine Protokollierung auf unserem Konto nicht abschalten: Es hält die IP-Adresse, von der aus Sie sich verbinden, den Hostnamen, an den die Anfrage gerichtet war, und die Uhrzeit 3 Tage lang fest. Siehe Ihre Verbindung über ein CDN transportieren.

AWS

Spiegelt die signierte Serverliste, damit ein Gerät, das unsere eigene Domain nicht erreichen kann, dennoch eine abrufen kann. Fällt ein Gerät auf diesen Spiegel zurück, sieht AWS die IP-Adresse, von der aus es sich verbindet, und den Zeitpunkt dieses Abrufs — nie Ihr Konto, Ihren Geräteschlüssel, oder welchen Server Sie anschließend nutzen.

Öffentliche DNS-Resolver

Cloudflare, Google und Quad9 betreiben öffentliche DNS-Resolver, die die App per verschlüsseltem DNS nach den Adressen unserer eigenen Server fragen kann, wenn das DNS Ihres Netzwerks versagt, zu langsam ist, falsch antwortet oder unsere Server unter den von ihm genannten Adressen nicht erreichbar sind. Sie sind nicht unsere Auftragsverarbeiter: Jeder handelt nach seiner eigenen Datenschutzerklärung, nicht nach unserer, und erfährt Ihre IP-Adresse, die Uhrzeit und den nachgeschlagenen Servernamen, nie Ihr Konto oder was Sie aufrufen. Siehe Was beim Verbinden passiert.

Aufbewahrung

Die Aufbewahrung ist je Datensatz in der Tabelle oben aufgeführt. Zusammengefasst: Sitzungsdatensätze bestehen nur so lange wie die Sitzung; Ticket-Bindungen — der eine Datensatz mit einem Gerät und einer Sitzung in derselben Zeile — werden eine Stunde nach Abrechnung oder mit dem eigenen Ablauf des Tickets gelöscht, nie mehr als etwa 17 Tage später; Support-Codes und Diagnoseberichte bestehen 72 Stunden; tägliche Nutzung läuft nach 31 Tagen ab; Analysedaten laufen nach 90 Tagen ab und können nicht vorzeitig gelöscht werden; Gerätezeilen, Kontenzeilen, Abo- und Abrechnungsdatensätze, monatliche Byte-Summen und das Entscheidungsjournal werden unbegrenzt aufbewahrt, weil ein Abo-Streit oder ein abgelehntes Kontingent später erklärbar sein muss. Das ist die Aufbewahrung für das, was wir halten — der Beleg eines Web-Kaufs, Streitkorrespondenz und der Kartendatensatz liegen beim Prozessor und folgen dessen eigener Aufbewahrungsrichtlinie, nicht dieser.

Löschung, und was ein Antrag tatsächlich erreicht

Schreiben Sie eine E-Mail an support@fvpn.net mit einem Support-Code aus der App — Account → Get help auf Apple-Plattformen; auf Android tippen Sie oben in der App auf den Verbindungsstatus, dann Health → Report a problem → Get a support code auf einem Smartphone oder Tablet, oder Connection details → Report a problem → Get a support code auf Android TV. Der Code ist der einzige Weg, mit dem wir feststellen können, welcher Gerätedatensatz Ihrer ist: Wir haben keine E-Mail-Adresse, keinen Benutzernamen und keinen Kontonamen, mit dem wir Sie authentifizieren könnten. Ohne ihn können wir auf einen Antrag zu einem bestimmten Gerät nicht reagieren.

Genau gesagt, was dieser Antrag heute erreicht:

• Zeilen zur täglichen Nutzung können entfernt werden und laufen ohnehin nach 31 Tagen ab.
• Ein Gerät lässt sich lösen, ohne das Konto zu löschen. Ein Gerät kann sich auf der Kontoseite in der App selbst abmelden, und jedes andere Gerät am Konto kann es entfernen, in der App oder in der Konsole unter fvpn.net; das Gerät funktioniert danach im Free-Tarif weiter. Ein Konto fasst bis zu zehn Geräte, ein Gerät, das in den letzten 7 Tagen beigetreten ist, kann keine älteren Geräte entfernen, und ein Router kann sich selbst abmelden, aber keine anderen Geräte entfernen. Das Löschen des ganzen Kontos ist etwas anderes, siehe unten.
• Die In-App-Kontolöschung ist verfügbar: Account → Delete account. Sie ist endgültig — sie entfernt das Konto, setzt jedes damit verknüpfte Gerät wieder in einen Zustand ohne Konto-Zuordnung zurück (jedes behält, was es separat gekauft hat), und kann kontogebundene Abos nicht kündigen, die der Store — Apple oder Google — weiter abrechnet, bis Sie sie selbst in dessen eigenen Abo-Einstellungen kündigen. Sie verlangt die vollständige Nummer des Kontos, statt darauf zu vertrauen, dass Sie auf einem Gerät angemeldet sind, weil jedes Gerät am Konto dieselbe Berechtigung teilt und keines davon es im Namen der anderen zerstören können sollte. Sie löscht nur ein Konto: Ein Gerät ohne angehängtes Konto hat hier nichts zu löschen.
• Analysezeilen können überhaupt nicht gelöscht werden und laufen nach 90 Tagen ab.
• Monatliche Byte-Summen, Abrechnungsdatensätze und das Entscheidungsjournal werden aufbewahrt. Das Journal ist absichtlich unveränderlich: Ein Datensatz, der still bearbeitet werden kann, kann einen Streit nicht klären.

Sie können jede Erfassung jederzeit beenden, indem Sie die App löschen und sich nicht verbinden. Beachten Sie, dass das die Datensätze oben nicht entfernt, und dass der Maschinenschlüssel das Löschen auf Apple-Plattformen übersteht — siehe was auf Ihrem Gerät liegt.

Sind Sie in der EU, im Vereinigten Königreich oder in Kalifornien, haben Sie Rechte auf Auskunft, Berichtigung, Löschung und Übertragbarkeit hinsichtlich personenbezogener Daten, die wir über Sie halten. Ein Geräteschlüssel-Hash ist pseudonymisierte personenbezogene Daten, keine Daten ohne jeden Personenbezug, und wir behandeln ihn entsprechend. Können wir einem Antrag nicht nachkommen — die oben genannten Fälle —, sagen wir, welcher Fall zutrifft und warum, statt zu behaupten, wir könnten Sie nicht identifizieren.

Wovor das nicht schützt

Eine Zeile verknüpft Ihr Gerät mit einer Sitzung, und über das Gerät mit Ihrem Konto, falls Sie eines verknüpft haben. Es ist die Ticket-Bindung, die unter Konten und Abos beschrieben ist: Sie existiert, damit das Kontingent gemessen und ein gesperrtes Gerät mitten in der Sitzung getrennt werden kann, und sie wird eine Stunde nach Abschluss dieser Sitzung gelöscht. Nichts verknüpft eines von beidem mit einem Exit. Wir sagen das so, statt eine Trennung zu behaupten, die wir nicht haben — und das sind die weiteren Grenzen, aus demselben Grund:

• Der Dienst, der Berechtigungsnachweise ausstellt, und der Exit, der Ihren Datenverkehr trägt, sehen Ihren Sitzungsschlüssel jeweils zu unterschiedlichen Zeitpunkten. Parteien, die gemeinsam gezwungen wurden oder die zusammengewirkt haben, könnten das nutzen, um eine Sitzung Ende-zu-Ende zusammenzufügen. Wir führen keinen Datensatz, der das täte, und keine einzelne dieser Parteien kann es allein.
• Nutzen Sie die Geräteseite, um einen Router zu einem anderen Exit zu schicken, wird der von Ihnen gewählte Standort gegen dieses Gerät gespeichert — und, ist das Gerät mit einem Konto verknüpft, gegen Ihr Konto —, bis Sie einen anderen wählen. Es ist, worum Sie gebeten haben, nie, was wir beobachtet haben: Die Bestätigung des Geräts ist eine zurückgemeldete Nummer, kein Ort.
• TLS für unsere Domains terminiert bei Cloudflare, sodass Metadaten zu Anfragen an unsere Hostnamen dort unabhängig von unserem eigenen Code existieren.
• Der Hash Ihres Geräteschlüssels ist stabil, und pseudonyme Analysezeilen, die ihm zugeordnet sind, bestehen 90 Tage.
• Die Menge der Menschen, von denen Sie ununterscheidbar sind, ist jeder, der ein von demselben Stufenschlüssel in derselben zwei Wochen langen Periode signiertes Ticket hält — nicht „alle unsere Nutzer“. Beim Start ist diese Menge klein. Das sagen wir lieber so, als eine Nichtidentifizierbarkeit zu beschreiben, die es noch nicht gibt.

Ein VPN verändert, wer Ihren Datenverkehr sehen kann. Es macht Sie nicht unidentifizierbar, und das behauptet dieses hier auch nicht.

Kinder, Änderungen und Kontakt

Der Dienst richtet sich nicht an Kinder unter 13 Jahren, und wir erfassen wissentlich keine Daten von ihnen. Wir haben keine Möglichkeit, das Alter eines Nutzers zu kennen, weil wir nichts erfassen, das es uns sagen würde.

Ändert sich diese Richtlinie wesentlich, ändern wir das Datum oben, beschreiben hier, was sich geändert hat, und zeigen einen Hinweis in den Apps, die das unterstützen. Weil keine E-Mail-Adresse hinterlegt ist, können wir Sie nicht per Post benachrichtigen.

11 October 2026: Neuer Abschnitt zum Teilen eines Geräts oder eines Exits mit einer anderen Person: wie der Datenverkehr eines Gasts erscheint, was unsere Relays sehen können und was nicht, und was über eine Freigabe gespeichert wird. Siehe Gerät oder Exit teilen.

4. Oktober 2026: Wenn das DNS Ihres Netzwerks versagt, zu langsam antwortet, eine falsche Antwort liefert oder unsere Server unter den von ihm genannten Adressen nicht erreichbar sind, kann die App zusätzlich Cloudflare, Google oder Quad9 per verschlüsseltem DNS nach den Adressen unserer eigenen Server fragen; jeder gefragte Anbieter erfährt Ihre IP-Adresse, die Uhrzeit und dass das Gerät einen unserer Servernamen nachgeschlagen hat, und sonst nichts. Siehe Was beim Verbinden passiert.

4. Oktober 2026: Gcore (gcore.com) kommt neben Bunny.net (bunny.net) als CDN hinzu, und ein CDN kann jetzt auch die eigenen Anfragen der App an unsere Steuerungsdienste weiterleiten, nicht nur den Tunnel; Gcore kann nur diese Anfragen weiterleiten, nicht den Tunnel. Ein CDN auf einem der beiden Wege kann Ihre IP-Adresse, den Hostnamen unseres Relay-Endpunkts und die Uhrzeit sehen, nie den Inhalt und nie, welchen unserer Dienste Sie erreichen. Gcore bewahrt Ihre IP-Adresse, den Hostnamen, an den die Anfrage gerichtet war, und die Uhrzeit 3 Tage lang auf; die Protokollierung von Bunny ist auf unseren Zonen abgeschaltet. Siehe Ihre Verbindung über ein CDN transportieren.

10. Oktober 2026: Die Apps können jetzt Routenberichte senden — anonyme, aggregierte Netzwerkdiagnosen, nicht mit Ihrer Identität oder Ihrem Konto verknüpft. Wir haben sie unter was unsere Kontrolldienste speichern ergänzt und unsere Beschreibung des Apple-Privacy-Manifests korrigiert.

Fragen, Anträge oder Beschwerden: support@fvpn.net. Verantwortlich ist Digital Services LLC.