Datenschutzerklärung

Diese Erklärung beschreibt, welche personenbezogenen Daten Maude verarbeitet, wohin sie gehen und welche Möglichkeiten du hast. Sie gilt für die Maude-App für iPhone, iPad und Android, die Website maude.pilotdev.fr, das Maude-Relay und den Update-Kanal, den der Maude-Daemon abfragt.

Maude wird von Pilot Dev (Lucas Bastien) mit Sitz in Frankreich herausgegeben. Für die hier beschriebene Verarbeitung ist Pilot Dev der Verantwortliche. Du erreichst uns unter pilotdevelopper@gmail.com.

Die Kurzfassung

• Deine Unterhaltungen, dein Code, deine Dateien und die Logins deiner Agenten bleiben auf deinem eigenen Server. Maude installiert dort ein kleines Programm (den Daemon), und dort laufen und liegen die Sessions. Wir erhalten sie nicht.
• Deine SSH-Passwörter und -Schlüssel bleiben auf deinem Handy, im Schlüsselbund des Systems. Sie werden nie an uns gesendet.
• Das Relay kann deine Sessions nicht lesen. Erreicht dein Handy deinen Server über unser Relay, ist der Verkehr Ende-zu-Ende-verschlüsselt, mit einem Schlüssel, den nur deine Geräte besitzen.
• Einige Daten erreichen uns oder unsere Dienstleister: Nutzungsanalysen und Absturzberichte (abschaltbar), der Abo-Status, Push-Tokens, kurze Benachrichtigungstexte und die Einträge, die das Relay braucht, um Nachrichten zuzustellen.
• Wir verkaufen keine Daten, zeigen keine Werbung und verfolgen dich nicht über andere Apps und Websites hinweg. Die Website setzt keine Cookies und nutzt keine Analysewerkzeuge.

Was uns nie erreicht

Maude ist so gebaut, dass das Wichtige auf Hardware bleibt, die du kontrollierst:

• Sessions und Transkripte. Der Daemon speichert den Verlauf jeder Session in ~/.maude/sessions auf deinem Server. Die App hält eine zwischengespeicherte Kopie auf deinem Handy, um Sessions schnell anzeigen zu können. Keine der beiden Kopien wird an uns gesendet.
• Zugangsdaten und API-Schlüssel der Agenten. Wenn du dich bei Claude Code, Codex, OpenCode, Grok Build oder Antigravity anmeldest oder einen API-Schlüssel einfügst, findet die Anmeldung auf deinem Server statt. Schlüssel, die du in der App eingibst, werden in ~/.maude/secrets.json auf deinem Server gespeichert (nur für diesen Benutzer lesbar).
• SSH-Zugangsdaten. Hostnamen, Benutzernamen, Passwörter, private Schlüssel und Schlüssel-Passphrasen werden im Schlüsselbund deines Handys (iOS) bzw. im verschlüsselten Speicher (Android) abgelegt.
• Dateien und Fotos, die du anhängst. Sie gehen von deinem Handy zu deinem Server, per SSH oder über das verschlüsselte Relay.

Sobald etwas auf deinem Server liegt, kann der Agent, den du gewählt hast, es an seinen Anbieter senden. Das betrifft das Verhältnis zwischen dir und diesem Anbieter; siehe KI-Agenten und andere Dienste unten.

Daten, die wir verarbeiten

Daten	Speicherort	Zweck	Rechtsgrundlage	Speicherdauer
Nutzungsereignisse: Bildschirme und Schritte, die du durchläufst (Onboarding, Paywall, Server hinzufügen, Verbindungsergebnisse und Fehlerkategorien, Ergebnisse der Daemon-Installation, Benachrichtigungsberechtigung), dazu App-Version, Gerätemodell, Betriebssystemversion, Sprache und ein aus deiner IP-Adresse abgeleiteter ungefährer Standort. Verknüpft mit einer zufälligen Analyse-ID.	PostHog, EU-Cloud (Frankfurt)	Verstehen, wo die Einrichtung scheitert und welche Funktionen genutzt werden	Berechtigte Interessen (Verbesserung der App). Du kannst widersprechen.	Bis zu 12 Monate
Session-Aufzeichnungen: eine Aufzeichnung der App-Oberfläche während der Nutzung. Inhalte von Unterhaltungen, Code, Dateiinhalte, Terminal-Ausgaben, eingegebene Nachrichten, Zugangsdaten, Hostnamen und Benutzernamen werden maskiert, bevor irgendetwas das Handy verlässt.	PostHog, EU-Cloud	Sehen, wie Menschen sich tatsächlich durch die App bewegen, um verwirrende Bildschirme zu verbessern	Berechtigte Interessen. Du kannst widersprechen.	Bis zu 30 Tage
Absturz- und Fehlerberichte: Fehlertyp und -meldung, Stacktrace, App-Version, Gerät und Betriebssystem.	PostHog, EU-Cloud	Fehler finden und beheben	Berechtigte Interessen. Du kannst widersprechen.	Bis zu 12 Monate
Abo-Daten: eine anonyme Kauf-ID, gekaufte Produkte, Test- und Verlängerungsdaten, Store-Land und Währung, verknüpft mit deiner Analyse-ID.	RevenueCat (USA); Apple oder Google	Dein Abo verkaufen und prüfen, Käufe wiederherstellen	Vertragserfüllung	Solange du Kunde bist, danach so lange, wie steuer- und handelsrechtliche Vorschriften es verlangen
Relay-Identität: eine zufällige Konto-ID, ein Eintrag pro Gerät (ein allgemeiner Name wie „Maude iOS“, Plattform, öffentlicher Schlüssel, gehashtes Zugriffstoken, Erstellungs- und letzter Aktivitätszeitpunkt).	Unser Relay-Server	Deinen Geräten ermöglichen, deine Server und einander zu erreichen	Vertragserfüllung	Bis du das Gerät unter Einstellungen → Relay & Geräte entfernst
Server-Einträge im Relay: der Anzeigename, den du jedem Server gegeben hast, ein gehashtes Zugriffstoken, Erstellungs- und letzter Aktivitätszeitpunkt sowie der Datenschlüssel deines Servers, für jedes deiner Geräte versiegelt (wir können diese nicht öffnen).	Unser Relay-Server	Verschlüsselten Verkehr an den richtigen Server leiten	Vertragserfüllung	Bis du das Relay für diesen Server abschaltest oder den Server entfernst
Zwischengespeicherte Nachrichten: verschlüsselte Nachrichten, die gesendet wurden, während dein Server offline war.	Unser Relay-Server	Sie zustellen, sobald der Server sich wieder verbindet	Vertragserfüllung	Mit der Zustellung gelöscht, spätestens nach 24 Stunden
Push-Tokens: das Token, das Firebase Cloud Messaging deinem Gerät zuweist.	Unser Relay-Server; Google	Dir Benachrichtigungen senden	Vertragserfüllung	Bis du Benachrichtigungen abschaltest, das Gerät entfernst oder das Token abläuft
Benachrichtigungstext: ein Titel und ein Text von jeweils bis zu 80 Zeichen, dazu zufällige Session- und Server-IDs.	Läuft über unser Relay, Google (FCM) und unter iOS Apple (APNs). Das Relay speichert ihn nicht.	Dir mitteilen, wenn ein Agent eine Freigabe braucht, eine Frage stellt, fertig ist oder scheitert	Vertragserfüllung	Von uns nicht gespeichert
Update-Abfragen des Daemons: Build-Nummer, Betriebssystem, CPU-Architektur, C-Bibliothek, ein CPU-Feature-Flag, Laufzeitversion, die Agent-Versionen, für die er gebaut wurde, und die älteste Maude-App-Version, die diesen Server in den letzten 30 Tagen genutzt hat. Unser Server sieht die IP-Adresse deines Servers.	Unser Server (Request-Logs)	Dem Daemon mitteilen, welche getesteten Agent-Versionen und Daemon-Updates er installieren soll	Berechtigte Interessen (Installationen funktionsfähig und sicher halten). Du kannst es abschalten.	Request-Logs: bis zu 30 Tage
Web-Anfragen: IP-Adresse, Zeitpunkt, aufgerufene Seite und User-Agent des Browsers, wenn du die Website besuchst oder die App den Feed „Neuigkeiten“ abruft.	Unser Server (Request-Logs)	Die Website ausliefern und absichern	Berechtigte Interessen	Bis zu 30 Tage
E-Mails, die du uns schickst.	Unser Postfach (Google)	Dir antworten	Berechtigte Interessen; Vertragserfüllung, soweit es um deinen Kauf geht	So lange wie nötig, um dir zu helfen, danach bis zu 3 Jahre

Analysen, Absturzberichte und Session-Aufzeichnung

Release-Builds der App senden Nutzungsereignisse, Absturzberichte und Session-Aufzeichnungen an PostHog, einen Analysedienst, den wir in seiner EU-Cloud nutzen (Server in Frankfurt). Wir nutzen das, um herauszufinden, wo Menschen hängen bleiben – meist beim Verbinden eines Servers, wo die meisten Probleme auftreten.

Was das umfasst:

• Kennung. PostHog weist deiner Installation eine zufällige ID zu. Wir verknüpfen sie nicht mit deinem Namen oder deiner E-Mail-Adresse. Dieselbe ID geben wir an RevenueCat weiter, damit wir erkennen können, ob ein Kauf abgeschlossen wurde.
• Ereignisse. Dinge wie „Onboarding-Seite angesehen“, „Server hinzugefügt“, „Verbindung fehlgeschlagen“ mit einer Fehlerkategorie wie „Timeout“ oder „Auth“, „Daemon installiert“ mit Build-Nummern und Fehlercodes, „Relay eingerichtet“ sowie App geöffnet oder in den Hintergrund geschickt.
• Fehlerberichte enthalten die Fehlermeldung und den Stacktrace. Die Meldungen stammen aus dem Code der App, gelegentlich kann eine aber einen Pfad oder Hostnamen enthalten.
• Die Session-Aufzeichnung zeichnet die Bildschirme der App auf, damit wir sehen können, wie sich ein Ablauf angefühlt hat. Jeder Teil der App, der Inhalte von Unterhaltungen, Code, Diffs, Dateien, Terminal-Ausgaben, deine Eingaben an einen Agenten, Zugangsdaten, Hostnamen oder Benutzernamen zeigt, wird auf dem Handy maskiert, bevor die Aufzeichnung gesendet wird. Schaltflächen, Menüs und Überschriften bleiben sichtbar.

Abschalten: Geh zu Einstellungen → Datenschutz → Nutzungsanalysen teilen. Solange das aus ist, sendet die App keine Ereignisse, Absturzberichte oder Aufzeichnungen an PostHog.

Das Relay

Das Relay unter relay.maude.pilotdev.fr lässt die App deine Server erreichen, wenn SSH unpraktisch ist (zum Beispiel über mobile Daten oder hinter einer Firewall), und lässt deinen Server dich benachrichtigen. Es ist standardmäßig aktiv. Du kannst es für alle Server unter Einstellungen → Relay & Geräte abschalten oder für einen Server auf dessen Seite. Ist es aus, spricht die App direkt per SSH mit deinem Server, und du bekommst keine Push-Benachrichtigungen.

So funktioniert die Verschlüsselung: Wenn du einen Server verbindest, erzeugt dein Handy einen zufälligen 256-Bit-Schlüssel für diesen Server und bewahrt ihn im Schlüsselbund auf. Jede Nachricht zwischen deinen Geräten und diesem Server wird mit diesem Schlüssel (AES-256-GCM) verschlüsselt, bevor sie das Gerät verlässt. Um deinen anderen verknüpften Geräten Zugang zu geben, verschlüsselt („versiegelt“) dein Handy den Schlüssel für jedes einzeln mit dem öffentlichen Schlüssel des jeweiligen Geräts. Das Relay speichert diese versiegelten Kopien, besitzt aber keinen Schlüssel, der sie öffnen könnte.

Was das Relay sehen kann: welches deiner Geräte wann mit welchem deiner Server spricht, wie groß die Nachrichten sind, ob jedes Gerät und jeder Server online ist, die Anzeigenamen, die du deinen Servern gegeben hast, und den Text von Push-Benachrichtigungen (nächster Abschnitt). Außerdem sieht es IP-Adressen, die es nur im Arbeitsspeicher nutzt, um missbräuchliche Anfrageraten zu begrenzen. Seine eigenen Logs erfassen IDs, Ereignistypen und Fehlercodes, keine Nachrichteninhalte, Tokens oder IP-Adressen. Die Netzwerktechnik unseres Hosting-Anbieters kann IP-Adressen separat protokollieren.

Daten aus dem Relay entfernen: Entfernst du ein Gerät unter Einstellungen → Relay & Geräte, werden der Eintrag dieses Geräts, sein Zugriffstoken, seine versiegelten Schlüssel und seine Push-Tokens gelöscht. Löschst du einen Server in der App oder schaltest das Relay für ihn ab, werden der Eintrag des Servers, seine versiegelten Schlüssel und alle zwischengespeicherten Nachrichten gelöscht. Um alles auf einmal zu löschen, einschließlich des Kontoeintrags, schreib uns eine E-Mail.

Push-Benachrichtigungen

Erlaubst du Benachrichtigungen, bekommt dein Handy ein Token von Firebase Cloud Messaging (ein Dienst von Google; auf dem iPhone gibt er die Nachricht an Apples Push-Dienst weiter). Die App registriert dieses Token beim Relay. Braucht ein Agent dich, schickt der Daemon auf deinem Server dem Relay eine kurze Benachrichtigung, und das Relay gibt sie an Google zur Zustellung an jedes deiner Geräte weiter, das die App nicht gerade anzeigt.

Benachrichtigungstexte werden kurz gehalten, sind aber während der Übertragung für das Relay, Google und Apple lesbar. Sie können enthalten:

• den Titel der Session (den du umbenennen kannst);
• eine einzeilige Zusammenfassung dessen, was der Agent tun will, etwa die erste Zeile eines Befehls oder einen Dateinamen („Allow Run npm test?“, „Allow Edit src/app.ts?“);
• die ersten Wörter einer Frage, die der Agent dir stellt;
• die ersten Wörter einer Fehlermeldung.

Jeder Teil wird auf 80 Zeichen gekürzt. Das Relay speichert keine Benachrichtigungstexte. Du kannst jede Art von Benachrichtigung oder alle unter Einstellungen → Mitteilungen stummschalten. Sind deine Session-Titel oder Befehle sensibel, schalte die Kategorien stumm, die du nicht brauchst.

Der Daemon auf deinem Server

Um Agenten zu betreiben, installiert Maude auf jedem Server, den du verbindest, ein Programm namens Maude-Daemon, in ~/.maude für den Benutzer, mit dem du dich angemeldet hast. Er speichert, ausschließlich auf diesem Server:

• Session-Verläufe (~/.maude/sessions) und das eigene Log des Daemons (daemon.log);
• API-Schlüssel, die du in der App eingegeben hast (secrets.json), die Verbindungsdaten des Relays (relay.json), Benachrichtigungs- und Sicherheitseinstellungen;
• die Agent-Programme, die er installiert (~/.maude/engines), und die JavaScript-Laufzeitumgebung, auf der er läuft;
• die Versionen der Maude-App, die sich in den letzten 30 Tagen verbunden haben (nur Versionsnummern).

Der Daemon sendet diese Inhalte nie an uns. Er stellt aber folgende eigene Netzwerkanfragen:

• Update-Abfrage alle 6 Stunden an maude.pilotdev.fr. Sie sendet die technischen Angaben aus der Tabelle oben, nichts über dich oder deine Sessions. Die Antwort teilt ihm mit, welche getesteten Agent-Versionen er nutzen soll und ob ein neuerer Daemon verfügbar ist. Jeder Download wird vor der Verwendung gegen einen veröffentlichten SHA-256-Hash geprüft. Setz MAUDE_CHANNEL=off in der Umgebung des Daemons, um die Abfrage zu beenden, oder MAUDE_SELF_UPDATE=off, um nur die Selbstaktualisierung des Daemons zu beenden.
• Downloads bei Anbietern, wenn er einen Agenten oder dessen Laufzeitumgebung installiert oder aktualisiert: Anthropic (downloads.claude.ai), GitHub (Codex, die Bun-Laufzeitumgebung), die npm-Registry, Google Cloud Storage (Grok Build, Antigravity) und die Installationsskripte der Anbieter. Diese Anbieter sehen, wie bei jedem Download, die IP-Adresse deines Servers.
• Das Relay, sofern aktiviert, über eine verschlüsselte WebSocket-Verbindung.

Um den Daemon zu entfernen, führ ~/.maude/bin/maude uninstall-service auf dem Server aus und lösche ~/.maude. Löschst du eine Session in der App, wird ihr Verlauf auf dem Server gelöscht.

KI-Agenten und andere Dienste

Maude startet und steuert Agenten, die du wählst: Claude Code (Anthropic), Codex (OpenAI), OpenCode (das viele Modell-Anbieter nutzen kann), Grok Build (xAI) und Antigravity (Google). Sie laufen auf deinem Server, unter deinen eigenen Konten. Sendest du einen Prompt, schickt der Agent deinen Prompt sowie den Code und die Dateien, die er liest, zur Verarbeitung an seinen Anbieter. Dieser Anbieter verarbeitet die Daten nach seinen eigenen Bedingungen und seiner eigenen Datenschutzerklärung, als deren Verantwortlicher. Wir sind an diesem Austausch nicht beteiligt und können ihn nicht einsehen.

Prüf die Datenschutzerklärung des Anbieters, bevor du einen Agenten für sensiblen Code nutzt: Anthropic, OpenAI, xAI, Google und die Erklärung des Anbieters, den du in OpenCode konfigurierst.

Dasselbe gilt für alles andere, mit dem deine Agenten oder dein Server kommunizieren, etwa GitHub, wenn du aus der App Code pushst oder einen Pull Request öffnest (Maude führt git und GitHubs Tool gh auf deinem Server mit deinen Zugangsdaten aus).

Die Website

maude.pilotdev.fr setzt keine Cookies, nutzt keine Analyse- oder Tracking-Skripte und lädt ihre Schriften von unserem eigenen Server. Links zum App Store und zu Google Play tragen eine Kennzeichnung der Seite, von der aus du geklickt hast, damit Apple und Google uns in aggregierter Form mitteilen können, wie viele Installationen eine Seite gebracht hat. Unser Server führt gewöhnliche Request-Logs (siehe Tabelle).

Abos und Zahlungen

Käufe laufen über Apples App Store oder Google Play. Wir sehen nie deine Kartendaten, deinen Namen oder deine Rechnungsadresse. RevenueCat, der Abo-Dienst, den wir nutzen, erhält den Beleg vom Store und teilt der App mit, ob dein Abo aktiv ist. RevenueCat nutzt eine anonyme ID; es weiß nicht, wer du bist, sofern der Store es ihm nicht mitteilt. Apple und Google verarbeiten deine Zahlung nach ihren eigenen Datenschutzerklärungen.

Auf deinem Handy

Die App speichert auf deinem Gerät: deine Serverliste und Einstellungen, einen Zwischenspeicher der letzten Sessions, nicht gesendete Entwürfe, Präferenzen sowie im Schlüsselbund oder verschlüsselten Speicher deine SSH-Zugangsdaten, Relay-Schlüssel und einige zufällige IDs. Die Deinstallation der App entfernt das meiste davon. Unter iOS können Einträge im Schlüsselbund eine Neuinstallation überdauern.

Die App fragt nur dann nach der Kamera, wenn du einen Setup-Code scannst oder ein Foto zum Anhängen aufnimmst, und nur dann nach Fotos, wenn du eines zum Anhängen auswählst. Bilder gehen an deinen Server, nicht an uns. Die App nutzt weder deinen Standort noch deine Kontakte noch deine Werbe-ID.

Mit wem wir Daten teilen

Wir verkaufen keine personenbezogenen Daten und geben sie nicht für Werbezwecke weiter. Diese Dienstleister verarbeiten Daten in unserem Auftrag:

Dienstleister	Wofür	Standort
PostHog Inc.	Analysen, Absturzberichte, Session-Aufzeichnung	EU (Frankfurt)
RevenueCat Inc.	Abo-Verwaltung	Vereinigte Staaten
Google LLC (Firebase Cloud Messaging), Google Play	Push-Zustellung; Käufe unter Android	Vereinigte Staaten und weltweit
Apple Inc. (APNs, App Store)	Push-Zustellung unter iOS; Käufe unter iOS	Vereinigte Staaten und weltweit
Hetzner Online GmbH	Hosting für Website, Relay und Update-Kanal	EU (Deutschland / Finnland)

Wir können Daten außerdem offenlegen, wenn das Gesetz es verlangt, oder um unsere Nutzer oder den Dienst vor Missbrauch zu schützen.

Internationale Datenübermittlungen

Einige der oben genannten Dienstleister sitzen in den Vereinigten Staaten. Verlassen personenbezogene Daten den Europäischen Wirtschaftsraum, stützt sich die Übermittlung auf den EU-US-Datenschutzrahmen (EU–US Data Privacy Framework), sofern der Dienstleister zertifiziert ist, oder auf die Standardvertragsklauseln der Europäischen Kommission.

Sicherheit

Der Relay-Verkehr zwischen deinen Geräten und deinen Servern ist Ende-zu-Ende-verschlüsselt. Das Relay speichert nur Hashes von Zugriffstokens, nie die Tokens selbst. Zugangsdaten auf deinem Handy liegen im sicheren Speicher der Plattform. Daemon-Dateien mit Geheimnissen sind nur für den Server-Benutzer lesbar. Downloads, die der Daemon installiert, werden gegen SHA-256-Hashes geprüft. Kein System ist allerdings vollkommen sicher: Ist dein Handy entsperrt und verknüpft, kann jeder, der es in der Hand hat, über Maude deine Server erreichen – nutze also eine Bildschirmsperre.

Deine Rechte

Befindest du dich in der EU, im Vereinigten Königreich oder an einem anderen Ort mit vergleichbaren Gesetzen, hast du das Recht auf Auskunft über die personenbezogenen Daten, die wir über dich speichern, auf Berichtigung, auf Löschung, auf Einschränkung der Verarbeitung, auf Widerspruch gegen die Verarbeitung (einschließlich des jederzeitigen Widerspruchs gegen Analysen) und auf Datenübertragbarkeit. Wo wir uns auf berechtigte Interessen stützen, kannst du widersprechen, und wir stellen die Verarbeitung ein, sofern wir keine zwingenden Gründe haben. Einwohner Kaliforniens haben gleichwertige Rechte auf Auskunft und Löschung, und wir verkaufen oder teilen keine personenbezogenen Daten im Sinne des kalifornischen Rechts.

Einiges davon kannst du selbst in der App erledigen: Analysen abschalten, Geräte aus dem Relay entfernen, das Relay abschalten, Server und Sessions löschen. Für alles andere schreib an pilotdevelopper@gmail.com. Wir kennen deinen Namen und deine E-Mail-Adresse nicht, sofern du sie uns nicht mitteilst, daher bitten wir dich eventuell um etwas, das uns hilft, deine Daten zu finden, etwa den Zeitpunkt, zu dem du ein Gerät verknüpft hast, oder die Bestellnummer deines Abos. Wir antworten innerhalb eines Monats.

Du kannst dich außerdem bei einer Datenschutz-Aufsichtsbehörde beschweren. In Frankreich ist das die CNIL; du kannst dich auch an die Behörde an deinem Wohnort wenden.

Kinder

Maude ist ein Werkzeug für Softwareentwickler und nicht für Kinder gedacht. Nutze es nicht, wenn du unter 16 bist (oder unter dem Alter der digitalen Einwilligung an deinem Wohnort, falls dieses höher ist). Glaubst du, dass ein Kind uns personenbezogene Daten gegeben hat, schreib uns eine E-Mail, und wir löschen sie.

Änderungen dieser Erklärung

Wenn Maude beginnt, Daten anders zu verarbeiten, aktualisieren wir diese Seite und ändern das Datum oben. Wirkt sich eine Änderung wesentlich darauf aus, wie deine Daten verwendet werden, teilen wir das außerdem in der App mit, bevor sie wirksam wird. Frühere Fassungen sind auf Anfrage erhältlich.

Kontakt

Pilot Dev (Lucas Bastien), Frankreich. E-Mail: pilotdevelopper@gmail.com. Siehe auch unsere Nutzungsbedingungen.