Stand: 25. Oktober 2026

Rechtlich verbindlich ist allein der deutsche Text, und zwar in jedem Land. Jede andere Sprachfassung ist eine Übersetzung und dient nur dem Verständnis. Weicht sie vom deutschen Text ab, gilt der deutsche Text.

Filum: Datenschutz

Diese Seite beschreibt, was die App Filum mit Daten macht. Filum archiviert Projektmails aus Postfächern in Microsoft 365 in einen Speicher, den das Büro selbst wählt.

Zu Website-, Konto-, Lizenz- und Zahlungsdaten von bimover siehe die allgemeine Datenschutzerklärung. Jene Erklärung und diese greifen ineinander: Jene behandelt, was rund um die App geschieht, diese Seite behandelt die App.

1. Verantwortlicher und Kontakt

bimover GmbH, Hammer 19, 5000 Aarau, Schweiz E-Mail: privacy@bimover.ch

Für die Mails in einem Archiv ist das Büro, das Filum betreibt, der Verantwortliche, nicht bimover. Siehe Ziffer 2.

2. Die Mails gelangen nicht zu bimover

Filum archiviert Projektmails aus Postfächern in Microsoft 365 in einen Ordner auf einem Speicher, den das Büro selbst wählt, zum Beispiel auf das eigene NAS des Büros. Die Mails gelangen nicht zu bimover. Sie gehen von Microsoft in die App auf Ihrem Rechner und von dort auf Ihren Speicher.

Wir betreiben auf diesem Weg keinen Server und haben keine Kopie. Das heisst auch: Wir können ein Archiv weder lesen noch ändern noch abschalten. Für die Personendaten in einem Archiv ist das Büro, das Filum betreibt, der Verantwortliche.

3. Was Filum uns meldet

Filum schickt uns die folgenden Angaben, wenn es mit Ihrem bimover-Konto verbunden ist. Die Anmeldung geht mit, damit wir wissen, zu welchem Büro es gehört. Ist es nicht verbunden, gehen nur die Frage nach Lizenzen und die Anfrage vor dem Umstellen hinaus, ohne Anmeldung und ohne einen einzigen Postfach-Hash, und wir weisen sie ab; die Meldung nach einem Lauf unterbleibt dann ganz. Die Anfragen gehen von Ihrem Rechner aus und enthalten, was jede Anfrage enthält, darunter Ihre IP-Adresse.

Beim Einrichten und vor jedem Lauf, auch vor einem Lauf im Hintergrund (Ziffer 5), fragt Filum, ob für jedes Postfach, aus dem ein Projekt archiviert, eine Lizenz da ist. Nachgesehen wird schon beim Einrichten und danach jedes Mal, wenn Filum die Seite des Projekts zeigt; dabei wird nichts belegt. Bevor ein Lauf beginnt, fragt Filum noch einmal und belegt die Lizenzen. Lässt sich die Anmeldung in diesem Moment nicht erneuern, unterbleibt die Anfrage, und wir erhalten nichts. Sonst erhalten wir je Postfach einen Hash statt der Adresse (SHA-256 über ein festes Präfix und die Adresse in Kleinbuchstaben). Ist für ein Postfach keine Lizenz frei, archiviert Filum es nicht; seinen Hash haben wir mit der Anfrage trotzdem erhalten.

Nach einem Archivierungslauf erhalten wir, sofern sich die Anmeldung erneuern liess:

je Postfach, aus dem der Lauf archiviert hat, denselben Hash
eine Kennung des Archivs, die Kennung des Laufs und den Zeitpunkt des Laufs. Die Kennung des Archivs entsteht, wenn das Archiv angelegt wird, und ist weder aus dem Namen des Projekts noch aus einer Mailadresse abgeleitet.
die Prüfsumme des jüngsten Belegs, wie viele Nachrichten das Archiv enthält und wie viele Belege seine Kette zählt

Vor dem Umstellen eines Archivs, wenn Filum schon abgelegte Mails umstellt, weil «Anhänge nur einmal ablegen» ein- oder ausgeschaltet wurde, lädt Filum den Lizenznachweis Ihres Kontos neu, damit die Vorgaben Ihres Büros gelten; lässt sich die Anmeldung gerade nicht erneuern, unterbleibt auch diese Anfrage. Ist Filum verbunden, geht dieselbe Anfrage auch beim Start und vor einem Lauf hinaus, wenn der gespeicherte Nachweis erneuert werden muss, und wenn Sie in den Einstellungen auf «Prüfen» klicken. Sie trägt ausser der Anmeldung nur die Kennung der App.

Auf dem Mac fragt Filum zudem den Stand Ihres Kontos ab, solange es verbunden ist und sich die Anmeldung erneuern lässt: beim Verbinden, wenn die Anmeldung erneuert wird, und von Zeit zu Zeit vor einem Lauf oder wenn Sie auf «Prüfen» klicken. Diese Anfrage trägt die Anmeldung, die Kennung Ihres Kontos und die Kennung der App.

Keine Adressen im Klartext, keine Betreffzeilen, keine Dateinamen, keine Anhänge und keine Nachrichten. Das in Filum eingebaute Beispielprojekt meldet nichts und fragt nichts.

Wir behandeln einen Postfach-Hash als Personendaten. Er ist pseudonym, nicht anonym: Dasselbe Postfach ergibt immer denselben Hash, und wer eine Adresse bereits hat, kann ihn berechnen und vergleichen. Die Adressen hinter diesen Hashes haben wir nicht, und wir versuchen nicht, sie aufzulösen. Wir verwenden diese Angaben für drei Zwecke: um vor einem Lauf zu sagen, für welche Postfächer eine Lizenz da ist, um zu zählen, wie viele verschiedene Postfächer ein Büro in einem Jahr archiviert hat, denn daran wird die Lizenz bemessen, und um später zu bemerken, wenn ein Archiv weniger Belege oder weniger Nachrichten meldet als früher.

Rechtsgrundlage: für die Frage nach freien Lizenzen, das Nachladen des Lizenznachweises, die Abfrage des Kontostands und die Zählung der Postfächer die Erfüllung des Lizenzvertrags (Art. 6 Abs. 1 lit. b DSGVO), für die korrekte Abrechnung und für den Vergleich mit früheren Meldungen unser berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO). Zum Schweizer Recht siehe Ziffer 12 der allgemeinen Datenschutzerklärung.

4. Anmeldung mit Microsoft

Wenn Sie sich mit Microsoft anmelden, verarbeiten wir das Identitätstoken, das Microsoft ausstellt, und entnehmen ihm die Kennung, die Microsoft Ihrem Konto zuweist, sowie Ihre E-Mail-Adresse, um Ihr bimover-Konto zu finden oder anzulegen. Nennt das Token Ihre Microsoft-Organisation, verarbeiten wir auch die Kennung der Organisation. Passwörter verarbeiten wir nicht. Die Authentifizierung übernimmt Microsoft.

Filum meldet sich nur mit Microsoft an, weil dieselbe Anmeldung auch die Postfächer erreicht, die Filum archiviert; eine zweite Anmeldung gibt es nicht.

In Filum berechtigt dieselbe Anmeldung die App zudem, in Ihrem Postfach und in Postfächern zu lesen, die für Sie freigegeben sind. Der Zugriff ist delegiert: Filum handelt in Ihrem Namen und erreicht nur die Postfächer und Ordner, die Sie selbst erreichen. Wir haben keine unternehmensweite Berechtigung für Ihre Postfächer. Filum verlangt Zugriff auf Ihre eigenen Mails und auf Postfächer, die für Sie freigegeben sind (Mail.ReadWrite und Mail.ReadWrite.Shared).

Gelesen wird damit unter anderem:

die Ordnerliste Ihres Postfachs und jedes Postfachs, das Sie in Filum angeben: die Namen der Ordner und wie viele Nachrichten darin liegen, damit Sie den Ordner eines Projekts wählen können.
die Ordner, aus denen Sie ein Projekt archivieren, samt den Nachrichten darin und ihren Absendern und Empfängern. Mails von Adressen und Domains, die Sie in den Einstellungen als privat bezeichnen, holt Filum in keinem Projekt; vertrauliche archiviert es mit einem Vermerk.
bei einem Projekt, das über Kontakte und Projektnummer sammelt (die Vorgabe für neue Projekte), bei jedem Lauf und auch im Hintergrund: die Kopfzeilen der neuesten Nachrichten in Posteingang und gesendeter Post Ihres Postfachs (darunter Betreff, Absender, Empfänger, Datum und die Kennungen) und von praktisch jeder dieser Nachrichten den Text ohne Anhänge, um darin Projektnummer und Projektname zu finden. Nach einer neuen Regel liest Filum ebenso zurück bis zu ihrem Beginn, jede Nachricht samt Text, bei «Alle Mails, auch ältere» bis zur ältesten Nachricht. Ordnen Sie in «Zu klären» eine ältere Nachricht einem Projekt zu, liest der nächste Lauf ebenso bis zu ihr zurück. Ins Archiv kommt nur, was eine Regel oder Sie selbst dem Projekt geben; von den übrigen Nachrichten behält Filum auf Ihrem Mac nur Prüfsummen.
für «Zu klären», nur wenn ein Projekt über Kontakte und Projektnummer sammelt: beim Start der App, nach jeder Anmeldung, wenn sich die eigenen Domains ändern und wenn Sie «Zu klären» öffnen oder dort entscheiden, die Kopfzeilen der Nachrichten der letzten 30 Tage in Posteingang und gesendeter Post, höchstens 500 je Ordner, und höchstens 20 Texte je Durchgang. Was dort steht, sehen nur Sie.
nach jedem Lauf die Kopfangaben der neuesten Nachrichten in Posteingang und gesendeter Post jedes Postfachs, aus dem das Projekt archiviert, höchstens 5000 je Ordner: Betreff, Absender, Datum, ob Anhänge dabei sind, und die Kennungen von Nachricht und Gespräch. Damit zeigt Filum, was aus Gesprächen, die schon im Archiv liegen, noch nicht abgelegt ist; von allen übrigen Nachrichten nennt es nur die Zahl.
beim Einsammeln, also nur wenn Sie es in der App öffnen: dieselben Kopfangaben der neuesten Nachrichten aus dem Ordner des Projekts, aus Posteingang und gesendeter Post, damit Filum vorschlagen kann, was zum Projekt gehört. Übernommen wird nur, was Sie bestätigen.
im Hintergrund, wenn Sie ihm zugestimmt haben: die Kopfzeilen der neuesten Nachrichten im Posteingang (Ziffer 5).

Der Schreibzugriff gehört aus einem einzigen Grund dazu: Auf Ihren Wunsch verschiebt Filum eine Nachricht in den Ordner, aus dem Sie archivieren. Die App versendet keine Nachrichten und löscht keine. Im Admin Center von Microsoft ist die Registrierung als «Filum Mailspace» aufgeführt.

Was Filum so liest, geht zwischen Ihrem Gerät und Microsoft hin und her und bleibt auf Ihrem Rechner, soweit es nicht ins Archiv Ihres Büros kommt. Es läuft nicht über uns, und wir speichern es nie. Die Tokens von Microsoft bleiben auf dem Gerät.

5. Der Lauf im Hintergrund

Nach dem ersten Lauf eines Projekts fragt Filum Sie einmal, ob es im Hintergrund weiterarchivieren soll. Nur wenn Sie zustimmen, meldet es sich bei macOS als Anmeldeobjekt an. Dann startet Filum ohne Fenster, sobald Sie sich am Mac anmelden, und archiviert alle zwei Stunden die neuen Nachrichten jedes Projekts, das Sie eingerichtet haben. Für diese Läufe gilt alles, was diese Seite über einen Lauf sagt, auch Ziffer 3. Lehnen Sie ab, fragt Filum nicht wieder. Ein- und abschalten können Sie es jederzeit in den Einstellungen von Filum, abschalten auch in den Systemeinstellungen von macOS unter den Anmeldeobjekten.

Nach einem solchen Lauf holt Filum ausserdem die Kopfzeilen der neuesten 200 Nachrichten im Posteingang jedes Postfachs, aus dem ein Projekt archiviert, ohne Text und ohne Anhänge. In den Kopfzeilen stehen auch Absender, Empfänger und Betreff. Filum wertet davon nur die Zeile aus, mit der die Domäne eines Absenders ihre Nachricht unterschreibt (DKIM-Signatur), entnimmt ihr die Domäne und den Namen des Schlüssels und holt den öffentlichen Schlüssel dazu (Ziffer 6). Vom Rest behält Filum nichts.

Die Schlüssel legt Filum auf Ihrem Rechner ab, im Speicherbereich der App. Ins Archiv nimmt es einen Schlüssel erst, wenn eine archivierte Nachricht ihn braucht. Einen Schlüssel, den zwölf Monate lang keine Nachricht braucht, löscht Filum. Wozu das Ganze: Eine Absenderdomäne wechselt ihre Schlüssel von Zeit zu Zeit, und ist der alte nicht mehr veröffentlicht, lässt sich die Unterschrift einer älteren Nachricht nicht mehr prüfen. Nichts davon geht an uns; verantwortlich ist das Büro, das Filum betreibt (Ziffer 2).

6. Die Schlüssel der Absender (DNS)

Um den öffentlichen Schlüssel einer Absenderdomäne zu holen, fragt Filum den Namensdienst (DNS), den Ihr Rechner ohnehin benutzt: beim Ablegen einer unterschriebenen Nachricht und im Hintergrund (Ziffer 5). Die Anfrage nennt den Namen des Schlüssels und die Domäne, zum Beispiel selector1._domainkey.example.ch, keine Adresse und keinen Inhalt. Sehen können sie der Namensdienst Ihres Büros oder Ihres Internetanbieters und, über ihn, der Namensserver der Absenderdomäne. Einen weiteren Dienst setzt Filum dafür nicht ein, und wir erhalten davon nichts. Einen Schlüssel, den Filum beim Ablegen holt, legt es ins Archiv Ihres Büros. Einen, den es im Hintergrund holt, legt es zuerst im Speicherbereich der App auf Ihrem Rechner ab und nimmt ihn erst mit der archivierten Nachricht ins Archiv (Ziffer 5). Das Beispielprojekt fragt nichts.

7. Der Zeitstempeldienst

Ein Beleg entsteht am Ende eines Laufs, der den Archivstand ändert: beim ersten Lauf eines Archivs, wenn ein Lauf etwas ablegt, einen Schlüssel ins Archiv nimmt oder eine geänderte Einstellung übernimmt, und wenn Filum ein Archiv umstellt. Eine Löschung hält der nächste Lauf fest. Sonst entsteht ein Beleg beim ersten Lauf eines Tages. Für jeden Beleg fragt Filum unabhängige Dienste nach einem Zeitstempel, damit der Zeitpunkt eines Stands von jemand anderem bestätigt werden kann als vom Büro, dem der Datenträger gehört. Filum schickt diesen Diensten eine Prüfsumme des Belegs und sonst nichts.

Voreingestellt ist OpenTimestamps: Filum schickt die Prüfsumme an vier öffentliche Kalender (a.pool.opentimestamps.org, b.pool.opentimestamps.org, a.pool.eternitywall.com, ots.btc.catallaxy.com). Sie fassen viele Prüfsummen zusammen und verankern sie in der Bitcoin-Blockchain. Einige Stunden später holt Filum bei der Prüfung des Archivs die fertige Bestätigung ab: bei den Kalendern, die die Quittung nennt (alice.btc.calendar.opentimestamps.org, bob.btc.calendar.opentimestamps.org, finney.calendar.eternitywall.com, btc.calendar.catallaxy.com), mit dem Wert aus der Quittung, und bei zwei Diensten, die über Bitcoin-Blöcke Auskunft geben (blockstream.info und mempool.space), mit der Nummer und der Kennung des Blocks. Beide müssen denselben Block nennen. In den Einstellungen lässt sich stattdessen SwissSign (Schweiz, Zeitstempel nach RFC 3161) wählen. Die Anfragen gehen von Ihrem Rechner aus und enthalten, was jede Anfrage enthält, darunter Ihre IP-Adresse. Wir erhalten davon nichts.

8. Support: Anfrage und Diagnoseprotokoll

Schreiben Sie dem Support aus Filum, erhalten wir Betreff und Text Ihrer Anfrage, Ihren Namen und Ihre Mailadresse für die Antwort, Plattform, Fassung und Sprache von Filum, die Angabe, ob ein Diagnoseprotokoll vorliegt, und eine zufällige, zurücksetzbare Installationskennung, damit sich mehrere Tickets aus einer Installation zusammenführen lassen. Ist Filum mit Ihrem bimover-Konto verbunden, geht die Anmeldung mit, und wir ordnen die Anfrage Ihrem Konto zu.

Filum führt auf Ihrem Gerät ein rollierendes Protokoll dessen, was es zuletzt versucht hat: Läufe, Fehler, Ordner- und Dateinamen, Anzahlen und wie lange die einzelnen Schritte dauerten. Von sich aus geht es nirgendwohin. Zu uns gelangt es nur, wenn Sie es freigeben, und die App zeigt Ihnen vorher den ganzen Text.

Dem Protokoll liegt eine Übersicht bei, ohne die der Support den Fall nicht versteht: das Konto, mit dem Sie angemeldet sind, der Stand Ihrer Lizenz und je Projekt der Name, die Nummer, vom Ablagepfad nur der letzte Ordner, ob er erreichbar war, aus wie vielen Postfächern das Projekt archiviert (nicht aus welchen), der Bericht des letzten Laufs und das Ergebnis der letzten Prüfung.

Die Dateinamen im Archiv werden aus Datum, Absender und Betreff gebildet. Bevor ein Protokoll Ihren Rechner verlässt, ersetzt Filum jeden solchen Namen darin durch einen Platzhalter, auch die Namen von Anhängen, entfernt Adressen Ihrer Korrespondenz und kürzt jeden Ablagepfad auf seinen letzten Ordner. Nachrichtentexte und Anhänge enthält ein Protokoll nie. Ist Ihnen ein Fall besonders heikel, senden Sie das Ticket ohne das Protokoll, und wir fragen nach, was wir brauchen.

9. Support: eine Sitzung, die Sie freigeben

Filum kann auch Anweisungen von der Support-App von bimover entgegennehmen, wenn diese App auf demselben Rechner unter demselben Benutzerkonto installiert ist. Die beiden tauschen Dateien in einem gemeinsamen Ordner auf Ihrem Datenträger aus; eine Netzwerkverbindung und einen offenen Port gibt es dafür nicht.

Der Kanal ist geschlossen, bis Sie ihn einschalten, eine Freigabe dauert eine Stunde und schliesst sich dann von selbst, und eine Anweisung, die älter als zwei Minuten ist, wird abgewiesen. Solange eine Freigabe offen ist, kann eine Person vom Support dasselbe abfragen, was Sie sehen können: Ihre Projekte und Ihren Anmeldestatus, den Diagnosebericht, was ein Mailordner gerade enthält, und das Ergebnis der Prüfung eines Archivs. Diese Person kann auch einen Archivierungslauf starten; es ist derselbe Lauf, den Ihr eigener Knopf startet.

Über diesen Kanal lässt sich nichts tun, was nicht auch ein Knopf in der App tun kann, und jede Anweisung wird in der App aufgezeichnet.

10. Das Outlook-Add-in

Das Add-in für Outlook ist ein Knopf, der die App Filum öffnet. Es liest aus Outlook weder Nachrichten noch Angaben zu Ihrem Postfach, und es gibt keine Angaben aus Outlook an bimover weiter. Von Outlook verlangt es die niedrigste Berechtigungsstufe.

Damit Outlook das Add-in anzeigen kann, lädt es dessen Seite von www.bimover.ch und die Programmbibliothek office.js von Microsoft. Dabei gehen wie bei jedem Seitenaufruf Ihre IP-Adresse und die üblichen Angaben Ihres Browsers an diese Server. Outlook hängt dabei üblicherweise Angaben zu Programm, Plattform, Fassung und Sprache an die Adresse. Wie wir damit umgehen, beschreibt die allgemeine Datenschutzerklärung; für Microsoft gilt deren eigene Datenschutzerklärung.

Der Knopf ruft die Adresse www.bimover.ch/filum/oeffnen auf. Ist Filum installiert, übernimmt das Betriebssystem die Adresse und startet die App. Sonst zeigt der Browser eine Seite, die erklärt, wie man Filum öffnet, mit einem Link zum Kontakt. Die Adresse trägt keine Daten.

11. Ihre Rechte

Für die Konto-, Lizenz- und Abrechnungsdaten rund um Filum gelten die Rechte, die in der allgemeinen Datenschutzerklärung dargelegt sind, und Anfragen gehen an privacy@bimover.ch.

Für die Mails in einem Archiv sind wir nicht der Verantwortliche und können nichts unternehmen: Das Archiv liegt auf dem eigenen Speicher des Büros, und wir haben keine Kopie. Anfragen zu diesen Mails gehen an das Büro, das Filum betreibt.