Die Rechtstexte auf dieser Seite liegen auf Deutsch vor, dem Recht des Betreibersitzes entsprechend.
Verantwortlich für die Verarbeitung personenbezogener Daten im Sinne der DSGVO ist die im Impressum genannte Person, unter der dort angeführten Anschrift und E-Mail-Adresse. Für eine Nachricht ohne Abtippen gibt es das Kontaktformular.
Dies ist der wichtigste Punkt dieser Erklärung. Während einer Sitzung werden Bildschirminhalte, Maus- und Tastatureingaben, Zwischenablage, Chatnachrichten, übertragene Dateien sowie die Auslastungsanzeige des ferngewarteten Rechners (Prozessor, Arbeitsspeicher, Speicherplatz, Laufzeit) Ende-zu-Ende-verschlüsselt zwischen den beiden beteiligten Geräten ausgetauscht (WebRTC). Meist geht das direkt. Lässt eine Firewall das nicht zu, laufen dieselben verschlüsselten Daten über einen TURN-Weiterleitungsdienst von Cloudflare, siehe Abschnitt 7. Die Schlüssel haben nur die beiden Geräte. Unsere Server vermitteln nur den Verbindungsaufbau. Weder sie noch der Weiterleitungsdienst können Bildschirminhalte, Eingaben, Chatnachrichten, Dateiinhalte und Auslastungswerte lesen, und gespeichert werden sie dort nicht.
Die Auslastungswerte werden ausschließlich während einer laufenden Sitzung gemessen und nirgends gespeichert — weder auf unseren Servern noch auf einem der beiden beteiligten Computer. Endet die Sitzung, endet auch die Messung.
Eine Kommandozeile lässt sich nur benutzen, wenn die Person, der der ferngewartete Rechner gehört, sie an diesem Rechner eingeschaltet hat; standardmäßig ist sie ausgeschaltet. Befehle laufen auf dem ferngewarteten Gerät mit den Rechten des Remoto-Programms: auf einem Rechner mit Desktop mit denen des angemeldeten Benutzers, auf einem Linux-Server ohne Desktop mit denen des Kontos, unter dem Remoto läuft (ohne weitere Einstellung root), unter Android nur mit denen der App. Was eingetippt und ausgegeben wird, ist wie oben beschrieben Ende-zu-Ende-verschlüsselt. Wir können es nicht lesen und speichern es nicht. Die Person am Rechner kann die Kommandozeile jederzeit wieder ausschalten.
Ein optionaler KI-Assistent ist standardmäßig ausgeschaltet. Er lässt sich nur benutzen, wenn der Techniker angemeldet ist, ihn in der Sitzung einschaltet und bestätigt, dass die Person am ferngewarteten Rechner einverstanden ist, und wenn die Person, der dieser Rechner gehört, den Assistenten dort erlaubt hat (ein eigener Schalter, ebenfalls standardmäßig aus, der außerdem die Kommandozeile voraussetzt). Solange der Assistent Befehle ausführen darf, wird das auf dem ferngewarteten Rechner im Statusfenster der Remoto-Software angezeigt, unter Linux zusätzlich als Desktop-Benachrichtigung, sofern das System sie anbietet, und unter Android in der Benachrichtigung der App. Der Techniker verwendet dafür seinen eigenen Schlüssel von Anthropic oder OpenAI oder ein Sprachmodell, das er selbst betreibt.
Die Daten gehen direkt vom Browser des Technikers an den Anbieter, den dieser gewählt hat: an Anthropic PBC oder an OpenAI in den USA (eine Übermittlung in ein Drittland) oder, bei einem lokalen Modell, an die Serveradresse, die der Techniker dafür eingetragen hat und die er selbst betreibt (keine Weitergabe an einen Dritten). In keinem Fall laufen sie über unsere Server, und wir speichern sie nicht. An den Anbieter gehen: der vom Techniker eingegebene Aufgabentext, Betriebssystem, Shell und Oberflächensprache sowie die vom Assistenten vorgeschlagenen Befehle und das, was sie ausgegeben haben. Aus dieser Ausgabe entfernen wir vorher erkennbare Geheimnisse (private Schlüssel, Token, Passwörter in gängigen Schreibweisen) und E-Mail-Adressen. Diese Filterung ist ein Bestmöglichkeitsverfahren und keine Garantie: die Ausgabe kann weiterhin personenbezogene Daten enthalten, zum Beispiel Benutzernamen, Dateinamen oder Adressen.
Jeder Befehl wird erst nach Freigabe durch den Techniker ausgeführt. Nur wenn der Techniker den Autopilot einschaltet, führt der Assistent Befehle, die als reine Lesebefehle erkannt werden, selbst aus; alles andere fragt weiterhin nach. Die Befehle laufen mit denselben Rechten wie bei der Kommandozeile. Für das, was an den Anbieter geht, gelten dessen Nutzungsbedingungen und Datenschutzerklärung; wir erhalten diese Daten nicht und sind dafür kein Auftragsverarbeiter.
Dasselbe gilt für den Zusatz für Claude Code, mit dem ein Techniker aus seiner Entwicklungsumgebung arbeitet. Auch dort braucht es die Geräte-ID, das Passwort und den Schalter am ferngewarteten Rechner, und auch dort sieht die Person am Rechner den Hinweis. Was der Assistent dabei liest (Dateiinhalte, Befehlsausgaben, Ordnerlisten), wird Teil der Unterhaltung in Claude Code und geht vom Rechner des Technikers an Anthropic PBC in den USA, unter den Bedingungen von dessen Konto. Das Passwort gibt der Techniker in einem lokalen Formular ein, es erreicht das Sprachmodell nicht. Auch diese Daten laufen nicht über unsere Server.
Der Bildschirm wird erst aufgenommen, wenn die Person am Gerät die Freigabe startet und im Dialog von Android zustimmt. Das Bild geht wie in diesem Abschnitt beschrieben Ende-zu-Ende-verschlüsselt zur Gegenseite, wir können es nicht sehen. Solange die Freigabe läuft, sieht die helfende Person alles, was auf dem Bildschirm angezeigt wird, auch Benachrichtigungen.
Die Bedienungshilfe von Android nutzt die App nur für die Fernsteuerung. Sie ist aus, bis die Person sie in den Einstellungen des Geräts selbst einschaltet. Sie führt die Gesten der helfenden Person aus und trägt Text ein. Dafür liest sie den Inhalt des gerade ausgewählten Eingabefelds, und zwar nur auf dem Gerät. Sie zeichnet nichts auf und überträgt nichts davon. Über andere Apps legt die App nur den sichtbaren Zeiger der helfenden Person.
Der Zugriff auf alle Dateien ist ein eigener Schalter. Ohne ihn sieht die helfende Person nur den Ordner der App. Die Kommandozeile und der KI-Agent sind bei jedem Start aus und laufen im eigenen Bereich der App. Die Fassung aus Google Play hat weder den Zugriff auf alle Dateien noch die Kommandozeile oder den KI-Agenten.
Startet eine andere App auf einem Android-Gerät Remoto, erhält sie die ID und das Passwort nur, wenn die Person am Gerät im Dialog zustimmt, wenn sie zuvor „Für diese App immer erlauben“ gewählt hat oder wenn die App beim Erstellen von Remoto fest eingetragen wurde; die beiden letzten Wege gelten nur, solange auch das Signaturzertifikat der App stimmt. In der Fassung aus Google Play ist keine App fest eingetragen. Jede Übergabe zeigt Remoto auf dem Gerät an. Unter Linux liest ein Programm, das Remoto selbst startet, beide Werte über eine Verbindung, die nur ihm gehört. Was die andere App oder das andere Programm mit den Werten macht, bestimmt deren Anbieter, nicht wir.
Auch das Gerätepasswort erreicht unsere Server nicht. Die Prüfung erfolgt mit OPAQUE (RFC 9807): gespeichert wird ausschließlich ein Verifizierer, aus dem sich das Passwort nicht zurückrechnen lässt, und die Prüfung selbst läuft zwischen den beiden Computern.
Anders verhält es sich beim Kontopasswort für das Web-Dashboard: dieses wird beim Registrieren und Anmelden TLS-verschlüsselt an unsere Server übertragen und dort geprüft. Gespeichert wird es nicht im Klartext, sondern als gesalzener PBKDF2-SHA256-Wert mit 100.000 Iterationen.
E-Mail-Adresse und ob sie bestätigt ist, der Passwortwert nach Abschnitt 2, Erstellungszeitpunkt, Kontoart, Tarif und Gerätegrenze, die Sprache bei der Registrierung, soweit angegeben Anzeigename, Firmenname, UID-Nummer und Land, sowie — falls Sie Zwei-Faktor-Authentifizierung einschalten — das zugehörige TOTP-Geheimnis bzw. die WebAuthn-Registrierungsdaten.
Geräte-ID (zehnstellig), öffentlicher Schlüssel des Geräts, Gerätename (selbst vergeben; unter Linux und Android meldet sich ein neues Gerät zunächst mit dem Namen an, den es sich selbst gibt), Betriebssystem und Programmversion, Zuordnung zu Konto und Gruppe, Zeitpunkt der letzten Verbindung sowie der OPAQUE-Verifizierer nach Abschnitt 2.
Von Ihnen selbst vergebene Namen, Aliasse und Notizen sowie die Information, welches Konto auf welches Gerät zugreifen darf.
Von Token für die unbeaufsichtigte Einrichtung speichern wir ausschließlich einen SHA-256-Hashwert, nie den Token selbst.
Zu jeder Sitzung protokollieren wir Zeitpunkt, Sitzungskennung, Geräte-ID, das zugreifende Konto, die Art des Ereignisses (Sitzung angefragt oder beendet, Anmeldung am Gerät fehlgeschlagen, Gerät offline, Gerät vom Konto getrennt, Sprachanruf begonnen oder beendet, Einsicht durch den Betreiber) und, soweit wir sie kennen, einen Hashwert der IP-Adresse. Dieser Hash wird mit einem Schlüssel gebildet, der das jeweilige Tagesdatum enthält: dieselbe IP-Adresse ergibt an zwei Tagen zwei verschiedene Werte, lässt sich also weder zurückrechnen noch über Tage hinweg zusammenführen. Die IP-Adresse selbst wird nicht gespeichert.
Wenn Sie das Formular auf der Kontaktseite verwenden, speichern wir Ihren Namen, Ihre E-Mail-Adresse, Betreff und Nachrichtentext, den Zeitpunkt, die Sprache der Seite sowie einen Hashwert Ihrer IP-Adresse nach demselben Verfahren wie beim Sitzungsprotokoll (tagesabhängiger Schlüssel, nicht zurückrechenbar, nicht über Tage hinweg zusammenführbar). Zweck ist ausschließlich die Beantwortung Ihrer Anfrage sowie die Abwehr von Missbrauch. Vorgeschaltet ist eine Bot-Prüfung mit Cloudflare Turnstile (siehe Abschnitt 7).
Wenn Sie das Formular auf der Seite Rückmeldung verwenden, speichern wir Ihre Nachricht, den Zeitpunkt, die Sprache der Seite und einen Hashwert Ihrer IP-Adresse wie beim Kontaktformular, dazu Ihre E-Mail-Adresse, falls Sie eine angeben. Zweck ist, Remoto zu verbessern und Missbrauch abzuwehren. Auch hier läuft vorher die Bot-Prüfung.
Wenn Sie als angemeldeter Techniker einen KI-Anbieter in Ihrem Konto hinterlegen, werden API-Schlüssel und Serveradresse in Ihrem Browser verschlüsselt, und zwar mit einem Tresor-Passwort, das nie an uns übertragen wird (PBKDF2-SHA256 mit 600.000 Iterationen, AES-GCM). Wir speichern nur den verschlüsselten Wert und den ebenfalls verschlüsselten Tresor-Schlüssel, außerdem im Klartext die von Ihnen vergebene Bezeichnung, die Art des Anbieters (Anthropic, OpenAI oder lokaler bzw. OpenAI-kompatibler Server) und, falls Sie ihn angeben, einen Modellnamen, dazu die öffentlichen Parameter der Schlüsselableitung und Zeitpunkte. Wir können den Schlüssel weder lesen noch verwenden. Das Tresor-Passwort lässt sich nicht wiederherstellen. Entfernen Sie einen Anbieter oder setzen Sie den Tresor zurück, löschen wir den Eintrag bzw. alle Einträge dieses Kontos.
Wenn Sie dem Hinweis am unteren Seitenrand zustimmen, laden wir Google Analytics 4
(Messkennung G-EW1BFXK38W). Ohne Ihre Einwilligung geschieht das
nicht: solange Sie nicht zugestimmt haben, wird kein Skript von Google geladen, es
wird nichts in Ihrem Browser gespeichert und es geht keine Anfrage an Google. Die Seite
funktioniert dabei vollständig — eine Ablehnung schränkt nichts ein.
Nach einer Zustimmung verarbeitet Google in unserem Auftrag: die aufgerufenen Seiten und den
Zeitpunkt, die zuvor besuchte Seite, Geräte- und Browsertyp, Bildschirmgröße und Sprache,
eine aus der IP-Adresse abgeleitete ungefähre Region sowie eine zufällige Kennung, die in den
Cookies _ga und _ga_G-EW1BFXK38W abgelegt wird (Laufzeit bis zu zwei
Jahre). Google Analytics 4 kürzt die IP-Adresse, bevor sie gespeichert wird; eine
vollständige IP-Adresse wird nicht abgelegt.
Empfänger ist die Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland. Eine Übermittlung an die Google LLC in den USA ist dabei möglich; sie stützt sich auf den Angemessenheitsbeschluss der Europäischen Kommission zum EU-US Data Privacy Framework, unter dem Google LLC zertifiziert ist, ergänzt um die EU-Standardvertragsklauseln. Die ereignisbezogenen Daten werden nach der in Google Analytics eingestellten Frist gelöscht (Voreinstellung zwei Monate, längstens 14 Monate).
Rechtsgrundlage ist Ihre Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO sowie § 165 Abs. 3 TKG 2021 für den Zugriff auf den Speicher Ihres Geräts. Sie können sie jederzeit mit Wirkung für die Zukunft widerrufen; die bis dahin erfolgte Verarbeitung bleibt rechtmäßig.
Beim Widerruf werden die von Google Analytics gesetzten Cookies gelöscht und die Seite neu geladen, damit auch ein bereits laufendes Skript endet.
Darüber hinaus erheben wir keine Nutzungsstatistiken und setzen keine weiteren Analyse- oder Werbedienste ein. Außer den in Abschnitt 4 genannten Cookies setzt diese Seite keine: Ihr Anmeldetoken, Ihre Konto-Kennung, Ihre Sprachwahl, Ihre Designeinstellung und Ihre Entscheidung über die Reichweitenmessung werden im Speicher Ihres Browsers abgelegt. Das Anmeldetoken geht bei jeder Anfrage an unsere Server, für die Sie angemeldet sein müssen, denn daran erkennen sie Sie. Die Sprache erhalten wir, wenn Sie ein Konto anlegen oder ein Formular absenden. Designeinstellung und Entscheidung über die Reichweitenmessung werden nicht an uns übertragen.
Nur wenn Sie im KI-Tresor „Diesem Gerät vertrauen“ wählen, legt Ihr Browser zusätzlich einen nicht auslesbaren Schlüssel in seiner eigenen Datenbank (IndexedDB) ab, damit Sie das Tresor-Passwort auf diesem Computer nicht jedes Mal eintippen müssen. Auch dieser Schlüssel wird nie an uns übertragen; beim ausdrücklichen Abmelden wird er entfernt (läuft nur die Anmeldung nach einer Stunde ab, bleibt er bestehen) und ebenso mit „Diesem Gerät nicht mehr vertrauen“.
Konto-, Geräte- und Freigabedaten verarbeiten wir zur Erfüllung des Nutzungsvertrags (Art. 6 Abs. 1 lit. b DSGVO). Das Sitzungsprotokoll und der Bot-Schutz beim Anmelden stützen sich auf unser berechtigtes Interesse an der Sicherheit des Dienstes und daran, unbefugte Zugriffe auf fremde Rechner nachvollziehbar zu machen (Art. 6 Abs. 1 lit. f DSGVO). Die Reichweitenmessung nach Abschnitt 4 beruht ausschließlich auf Ihrer Einwilligung (Art. 6 Abs. 1 lit. a DSGVO).
Der Dienst wird auf der Infrastruktur der Cloudflare, Inc. betrieben (Workers, D1, R2, KV, Durable Objects, Queues, Realtime TURN) einschließlich Cloudflare Turnstile zum Schutz von Registrierung, Anmeldung, erneutem Versand der Bestätigungs-E-Mail, Passwort-Zurücksetzung, Kontakt- und Rückmeldeformular vor automatisierten Zugriffen. Turnstile erhält dabei Ihre IP-Adresse und technische Merkmale Ihres Browsers. Der TURN-Dienst sieht die IP-Adressen der beiden Geräte, aber keine Inhalte (Abschnitt 2). Cloudflare betreibt Rechenzentren weltweit; eine Übermittlung in Drittländer erfolgt auf Grundlage der EU-Standardvertragsklauseln.
E-Mails unseres Dienstes (Bestätigung der E-Mail-Adresse, Zurücksetzen des Passworts) verschicken wir über Brevo (Sendinblue SAS, Paris, Frankreich) als Auftragsverarbeiter. Brevo erhält dafür Ihre E-Mail-Adresse und den Inhalt der Nachricht.
Hinzu kommt — und erst nach Ihrer Einwilligung — die Google Ireland Limited als Auftragsverarbeiterin für die Reichweitenmessung nach Abschnitt 4.
Anthropic PBC und OpenAI sind für den optionalen KI-Assistenten (Abschnitt 2) keine Auftragsverarbeiter von uns. Sie erhalten Daten nur dann, wenn der Techniker sie als Anbieter wählt, und nur direkt aus dessen Browser oder aus Claude Code auf dessen Rechner, nicht von uns.
Konto- und Gerätedaten speichern wir, solange Ihr Konto besteht. Auf Ihre Anforderung löschen wir sie; die Schritte stehen unter Daten löschen lassen.
Ein Gerät ohne Konto bleibt gespeichert, bis Sie seine Löschung anfordern. Wird nur die App oder das Programm entfernt, bleibt der Eintrag bei uns bestehen.
Nachrichten über das Kontakt- und das Rückmeldeformular werden nach 6 Monaten automatisch gelöscht. Das reicht, um eine Unterhaltung vom Frühjahr wiederzufinden, und verhindert, dass ein Formular, das jede Person im Internet ausfüllen kann, zu einem unbefristeten Archiv wird.
Einträge im Sitzungsprotokoll — wer wann mit welchem Gerät verbunden war — werden nach 12 Monaten automatisch gelöscht. Ein Jahr ist die Zeit, in der die Frage „war am 14. jemand auf meinem Rechner?" noch beantwortbar sein soll; danach ist ein dauerhaft wachsendes Verzeichnis aller Fernsitzungen für niemanden mehr nützlich.
Beide Löschungen laufen als nächtlicher Vorgang im Backend.
Sie haben das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch gegen eine auf berechtigtem Interesse beruhende Verarbeitung (Art. 21 DSGVO). Wenden Sie sich dazu an die oben genannte Adresse; schreiben Sie dabei bitte von der E-Mail-Adresse, die Ihr Konto verwendet, damit wir Ihre Anfrage zuordnen können. Ohne Konto nennen Sie uns die Geräte-ID; die Schritte für eine Löschung stehen unter Daten löschen lassen.
Unabhängig davon steht Ihnen ein Beschwerderecht bei einer Datenschutz-Aufsichtsbehörde zu, insbesondere am Ort Ihres gewöhnlichen Aufenthalts oder unseres Sitzes. Für den Sitz des Verantwortlichen ist das die Österreichische Datenschutzbehörde, Barichgasse 40–42, 1030 Wien (www.dsb.gv.at).