Datenschutzerklärung

Stand: 9 September 2026

1. Verantwortlicher

Ein Datenschutzbeauftragter ist nicht bestellt; die Voraussetzungen des Art. 37 DSGVO bzw. § 38 BDSG liegen nicht vor.

2. Welche Daten wir verarbeiten

Kontodaten

Benutzername, Passwort (ausschließlich gesalzen und gehasht — im Klartext weder gespeichert noch für uns lesbar), eine E-Mail-Adresse (bei der Registrierung erforderlich, sofern die E-Mail-Bestätigung eingeschaltet ist; ältere Konten haben sie gegebenenfalls nicht) und deren Bestätigungsstatus, Ihre Einstellung, ob Sie Ankündigungen erhalten möchten, Registrierungsdatum, gebuchter Tarif sowie Version und Zeitpunkt der von Ihnen akzeptierten Nutzungsbedingungen.

Von Ihnen gespeicherte Inhalte

Ihre Dokumente und deren Versionsverlauf, eingebettete Bilder, Ordnerstrukturen sowie Dateien in Quill Drive. Bei Dateien von klassischen Macintosh-Rechnern gehören dazu auch Ressourcen-Forks und Finder-Metadaten (Typ- und Erzeuger-Codes, Fensterposition).

Diese Inhalte werden für uns technisch zugänglich gespeichert; sie sind nicht Ende-zu-Ende-verschlüsselt. Wir sehen sie nicht an, außer soweit es zur Fehlerbehebung unumgänglich ist oder wir rechtlich dazu verpflichtet sind.

Freigaben

Freigabelinks sowie die Zuordnung, welches Konto auf welches Dokument oder welchen Ordner Zugriff hat.

Nachrichten über das Kontaktformular

Wenn Sie uns über das Kontaktformular schreiben: die von Ihnen angegebene E-Mail-Adresse, optional Ihr Name und Betreff, sowie der Text Ihrer Nachricht. Diese Angaben werden bei uns gespeichert, damit wir sie beantworten können — auch dann, wenn der E-Mail-Versand nicht eingerichtet ist. Sind Sie angemeldet, wird die Nachricht Ihrem Konto zugeordnet.

Ihre IP-Adresse wird dabei nicht gespeichert. Zur Missbrauchsabwehr wird sie ausschließlich flüchtig im Arbeitsspeicher gezählt (siehe „Technische Daten"); die Nachricht selbst enthält keinen Hinweis darauf, woher sie kam.

Registrierte Geräte

Für klassische Macintosh-Clients: der öffentliche X25519-Schlüssel des Geräts, eine von Ihnen vergebene Bezeichnung und der Zeitpunkt der letzten Verbindung. Der öffentliche Schlüssel identifiziert ein Ihrem Konto zugeordnetes Gerät und ist damit ein personenbezogenes Datum.

Sitzungen

Gehashte Sitzungstoken mit Erstellungs-, letztem Nutzungs- und Ablaufzeitpunkt.

Zahlungsdaten

Bei einem kostenpflichtigen Tarif: die Abonnement-Kennung von PayPal, der Tarif und der Status des Abonnements. Kreditkarten- oder Kontodaten erreichen unsere Server nicht — diese verarbeitet ausschließlich PayPal.

Technische Daten

Zur Abwehr von Missbrauch (etwa automatisierten Anmeldeversuchen) werden IP-Adressen ausschließlich flüchtig im Arbeitsspeicher gezählt. Sie werden nicht in der Datenbank gespeichert. Unabhängig davon führt unser Hosting-Anbieter eigene Server-Protokolle; siehe Abschnitt 4.

3. Zwecke und Rechtsgrundlagen

4. Empfänger und Auftragsverarbeiter

Wir geben personenbezogene Daten nicht zum Zweck der Werbung weiter und verkaufen sie nicht. Eingesetzt werden ausschließlich die folgenden Dienstleister:

Mit diesen Dienstleistern bestehen, soweit erforderlich, Verträge zur Auftragsverarbeitung nach Art. 28 DSGVO.

Übermittlung in Drittländer

Die Verarbeitung findet in den USA statt. Grundlage der Übermittlung sind Standardvertragsklauseln nach Art. 46 DSGVO bzw. das EU-US Data Privacy Framework, soweit der Anbieter darunter zertifiziert ist.

5. Speicherdauer

• Konto- und Inhaltsdaten: bis zur Löschung Ihres Kontos. Danach werden sie aus dem laufenden Betrieb entfernt; Sicherungskopien können sie noch für kurze Zeit enthalten.
• Web-Sitzungen: spätestens 90 Tage nach Erstellung, bei Inaktivität bereits nach 30 Tagen.
• Sitzungen klassischer Clients: bis zum Ablauf oder bis das Gerät abgemeldet wird.
• Nachrichten aus dem Kontaktformular: bis die Anfrage erledigt ist und kein Anlass zur weiteren Aufbewahrung besteht; erledigte Nachrichten werden gelöscht.
• Rechnungsbelege: zehn Jahre nach § 147 AO und § 257 HGB.
• IP-Adressen zur Ratenbegrenzung: nur flüchtig im Arbeitsspeicher, typischerweise wenige Minuten.

6. Cookies und lokale Speicherung

Quill setzt keine Cookies. Einige Daten legt Quill jedoch im lokalen Speicher (Local Storage) und im Sitzungsspeicher (Session Storage) Ihres Browsers ab — in den Quill-Apps für iPhone, iPad und Mac im entsprechenden Speicher des in die App eingebauten Editors. Andere Browserspeicher (IndexedDB, Cache Storage, Service Worker) nutzt Quill nicht. Die gespeicherten Daten gehören zu fünf Gruppen:

• Anmeldung. Ein Sitzungstoken und Ihr Benutzername, damit Sie angemeldet bleiben. Beides wird beim Abmelden gelöscht.
• Von Ihnen gewählte Einstellungen. Zum Beispiel automatisches Speichern oder Speichern per Commit, die Darstellung des Lesemodus, Exportoptionen, die Zoomstufe und welche Ordner Sie aufgeklappt haben. Sie enthalten keinen Dokumenttext und bleiben erhalten, bis Sie sie ändern oder die Websitedaten in Ihrem Browser löschen.
• Lesepositionen und Lesezeichen. Wo Sie in einem Dokument aufgehört haben zu lesen, und Ihre Lesezeichen darin. Die Bezeichnung eines Lesezeichens ist der Text der nächstgelegenen Überschrift und enthält damit ein kurzes Stück Dokumenttext. Sie bleiben erhalten, bis Sie sie entfernen oder die Websitedaten löschen.
• Nicht gespeicherte Arbeit. Dokumenttext, der unseren Server noch nicht erreicht hat und aufbewahrt wird, damit er nicht verloren geht:
  • eine Wiederherstellungskopie, solange Sie mit Speichern per Commit oder mit ausgeschaltetem automatischem Speichern arbeiten, damit Ihre Änderungen erhalten bleiben, wenn Browser oder App unerwartet beendet werden. Sie wird gelöscht, sobald Sie speichern oder committen, wenn Sie das Dokument regulär schließen, wenn Sie sie in dem dann angezeigten Hinweis wiederherstellen oder verwerfen, und in jedem Fall automatisch 30 Tage nach dem letzten Schreiben. Beim Abmelden bleibt sie erhalten, damit bei einem Absturz verlorene Arbeit nicht ein zweites Mal verloren geht;
  • eine Offline-Kopie, wenn Sie weiterarbeiten, während unser Server nicht erreichbar ist; sie wird gelöscht, sobald Sie das Dokument wieder einchecken;
  • Änderungen, die während einer Aktualisierung von Quill nicht gespeichert werden konnten; sie werden gelöscht, wenn Sie sie in dem angezeigten Hinweis verwerfen.
• Kurzlebiger Sitzungsspeicher. Welches Dokument nach einem Neuladen für eine Aktualisierung wieder geöffnet werden soll und für welche Version dieses Neuladen erfolgte, sowie während eines Abo-Abschlusses dessen Beginn und Ihr bisheriger Tarif. Diese Daten werden beim Schließen des Tabs gelöscht.

Nichts davon wird übertragen, mit Ausnahme des Sitzungstokens, das Ihre Anfragen an unseren Server begleitet. Hier aufbewahrter Dokumenttext erreicht unseren Server erst, wenn Sie speichern, committen oder einchecken. Sie können alle diese Daten jederzeit entfernen, indem Sie die Websitedaten dieser Seite in Ihrem Browser löschen (in den Apps: indem Sie die App löschen); eine einzelne Wiederherstellungskopie lässt sich auch über die Schaltfläche Discard im Hinweis entfernen.

Jeder dieser Werte wird nur gespeichert, weil Sie die zugehörige Funktion nutzen, und dient nur dieser Funktion. Er ist damit für den von Ihnen ausdrücklich gewünschten Dienst unbedingt erforderlich und nach § 25 Abs. 2 Nr. 2 TDDDG einwilligungsfrei. Deshalb gibt es auf dieser Seite kein Cookie-Banner.

Es findet keine Reichweitenmessung, kein Tracking und keine Werbung statt. Die Weboberfläche bindet keinerlei Skripte, Schriften oder Ressourcen von Dritten ein.

7. Keine automatisierte Entscheidungsfindung

Eine automatisierte Entscheidungsfindung einschließlich Profiling nach Art. 22 DSGVO findet nicht statt.

8. Ihre Rechte

Sie haben das Recht auf

• Auskunft über die zu Ihnen gespeicherten Daten (Art. 15 DSGVO),
• Berichtigung unrichtiger Daten (Art. 16 DSGVO),
• Löschung (Art. 17 DSGVO),
• Einschränkung der Verarbeitung (Art. 18 DSGVO),
• Datenübertragbarkeit (Art. 20 DSGVO) und
• Widerspruch gegen Verarbeitungen, die auf Art. 6 Abs. 1 lit. f DSGVO gestützt sind (Art. 21 DSGVO).

Für Auskunft und Übertragbarkeit brauchen Sie uns nicht zu schreiben: Quill kann Ihre Dokumente jederzeit selbst exportieren, und Ihr Konto lässt sich in den Einstellungen löschen.

Unabhängig davon steht Ihnen ein Beschwerderecht bei einer Datenschutz-Aufsichtsbehörde zu (Art. 77 DSGVO). Für uns zuständig ist: Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg

9. Änderungen dieser Erklärung

Ändert sich, welche Daten Quill verarbeitet, wird diese Erklärung angepasst und das Datum oben aktualisiert.

Privacy policy

This is an English rendering of the German text above, provided for readability. The German version is the legally operative one.

1. Controller

No data protection officer has been appointed; the thresholds in Art. 37 GDPR and § 38 BDSG are not met.

2. What we process

Account data. Username; password (salted and hashed only — never stored in clear and not readable by us); an email address (required at sign-up where email verification is switched on; older accounts may have none) and its verification status; whether you want to receive announcements; sign-up date; your plan; and the version and time of the Terms of Use you accepted.

Content you store. Your documents and their revision history, embedded images, folder structure, and files in Quill Drive. For files from classic Macintosh computers this includes resource forks and Finder metadata (type and creator codes, window position). This content is stored in a form we can technically access; it is not end-to-end encrypted. We do not look at it except where unavoidable for fault diagnosis or where we are legally required to.

Sharing. Share links, and which account has access to which document or folder.

Contact-form messages. If you write to us through the contact form: the email address you give, optionally your name and a subject, and the text of your message. We store these so that we can answer them — including when email delivery is not configured. If you are signed in, the message is associated with your account. Your IP address is not stored with it — for abuse prevention it is counted in memory only (see "Technical data"), and the message itself carries no record of where it came from.

Enrolled devices. For classic Macintosh clients: the device's X25519 public key, a label you choose, and the time it last connected. The public key identifies a device tied to your account and is therefore personal data.

Sessions. Hashed session tokens with creation, last-use and expiry times.

Payment data. On a paid plan: the PayPal subscription identifier, the plan, and its status. Card and bank details never reach our servers — PayPal alone handles those.

Technical data. To prevent abuse, IP addresses are counted in memory only and are not written to the database. Our hosting provider keeps its own server logs separately; see section 4.

3. Purposes and legal bases

4. Recipients and processors

We do not share personal data for advertising and we do not sell it. Only the following providers are used:

Where required, data processing agreements under Art. 28 GDPR are in place with these providers.

Transfers outside the EU/EEA. Processing takes place in the United States. Such transfers are based on EU standard contractual clauses under Art. 46 GDPR, or on the EU-US Data Privacy Framework where the provider is certified under it.

5. Retention

• Account and content data: until you delete your account. It is then removed from live operation; backups may still contain it for a short period.
• Web sessions: at most 90 days from creation, or 30 days idle.
• Classic client sessions: until expiry or until the device is unenrolled.
• Contact-form messages: until the enquiry is dealt with and there is no reason to keep it; resolved messages are deleted.
• Invoices: ten years, under § 147 AO and § 257 HGB.
• IP addresses used for rate limiting: in memory only, typically a few minutes.

6. Cookies and local storage

Quill sets no cookies. It does keep some data in your browser's local storage and session storage — and, in the Quill apps for iPhone, iPad and Mac, in the equivalent storage of the editor built into the app. It uses no other browser storage (no IndexedDB, no cache storage, no service worker). What it keeps falls into five groups:

• Sign-in. A session token and your username, so that you stay signed in. Both are deleted when you sign out.
• Settings you choose. For example automatic or commit saving, the appearance of reading mode, export options, the zoom level and which folders you have expanded. They contain no document text and stay until you change them or clear your browser's site data.
• Reading positions and bookmarks. Where you stopped reading a document, and your bookmarks in it. A bookmark's label is the text of the nearest heading, so it contains a short piece of document text. They stay until you remove them or clear the site data.
• Unsaved work. Document text that has not yet reached our server, kept so that it is not lost:
  • a recovery copy while you work with commit saving or with automatic saving switched off, so that your changes survive if the browser or app closes unexpectedly. It is deleted as soon as you save or commit, when you close the document normally, when you restore or discard it in the notice then shown, and in any case automatically 30 days after it was last written. It is kept when you sign out, so that work lost in a crash is not lost a second time;
  • an offline copy when you keep working while our server cannot be reached; it is deleted when you check the document back in;
  • changes that could not be saved while Quill was updating itself; they are deleted when you discard them in the notice shown.
• Short-lived session storage. Which document to reopen after a reload for an update and which version that reload was for, and, during a subscription checkout, when it started and which plan you had before. This is deleted when you close the tab.

None of this is transmitted, except the session token, which accompanies your requests to our server. Document text kept here reaches our server only when you save, commit or check it in. You can remove all of it at any time by clearing this site's data in your browser (in the apps: by deleting the app); a single recovery copy can also be removed with the Discard button in the notice.

Each of these values is stored only because you use the function it belongs to, and serves only that function. It is therefore strictly necessary for a service you have actively requested and exempt from consent under § 25(2) No. 2 TDDDG, which is why this site has no cookie banner.

There is no analytics, no tracking and no advertising. The web interface loads no third-party scripts, fonts or resources of any kind.

7. No automated decision-making

There is no automated decision-making or profiling within the meaning of Art. 22 GDPR.

8. Your rights

You have the right to

• access the data held about you (Art. 15 GDPR),
• have inaccurate data corrected (Art. 16 GDPR),
• erasure (Art. 17 GDPR),
• restriction of processing (Art. 18 GDPR),
• data portability (Art. 20 GDPR), and
• object to processing based on Art. 6(1)(f) GDPR (Art. 21 GDPR).

For access and portability you do not need to write to us: Quill can export your documents at any time, and your account can be deleted from the settings screen.

You also have the right to complain to a data protection supervisory authority (Art. 77 GDPR). The competent authority for us is: Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg

9. Changes to this notice

If what Quill processes changes, this notice is updated and the date at the top changes with it.