1. Controller and contact

The controller responsible for processing personal data in connection with vaultwarden.net and the hosted Vaultwarden service is:

André Schüle

Email: admin@obco.pro

Further provider information is available in the Impressum .

Please use this email address for privacy requests, questions about your account, and account deletion requests. No reason is required for an account deletion request. A separate data protection officer has not been identified for this service; contact the controller using the address above.

2. What this notice covers

This Privacy Notice explains how personal data is processed in connection with the vaultwarden.net website and the Vaultwarden service operated through it. It covers account registration and management, use of the hosted service, website access, technical logs, support requests and related communications.

It does not govern the independent privacy practices of third-party applications or services that you choose to use with your account. Those providers are responsible for explaining their own data processing. However, this notice does cover personal data that the hosted service itself receives or processes when you use compatible third-party clients.

The externally hosted status dashboard at up.obco.pro may have its own logs and data processing arrangements.

3. Categories of data processed

Website and connection data

When a browser requests a page or asset, the website and its hosting/network components may process technical connection data needed to deliver and protect the request. Depending on the component and configuration, this can include IP address, date and time, requested URL/path, response status, browser and device information (such as the user-agent), referrer information and error/security events.

Account and authentication data

When you register or use the Vaultwarden service, it processes information needed to create and operate your account. This can include your email address, account/display name, account identifiers, password-derived authentication information, public/private-key material in its protected form, two-step-login configuration, account preferences and client/device/synchronisation metadata.

Vault and feature data

Compatible Bitwarden clients encrypt vault contents on your device before synchronising them. The service stores encrypted vault records and, where used, encrypted attachments, Sends and related service objects. The service also processes the metadata needed to store, synchronise, share, expire or delete those objects. The normal Vaultwarden admin interface does not decrypt vault contents or reveal plaintext passwords. The operator can administer accounts and has privileged access to the infrastructure and stored server files; this is why you should treat the service as a third-party host and keep your own encrypted export.

Support correspondence

If you email the operators, the email address and any information you choose to include are processed to answer the request, troubleshoot the issue or administer the account. Do not send your master password, two-step codes, recovery codes, API keys or unencrypted vault exports.

4. Purposes and legal bases

• Providing accounts and vault synchronisation: processing account, authentication and encrypted vault data to provide the service you requested (Article 6(1)(b) GDPR).
• Operating, securing and maintaining the website and service: processing connection data, technical logs, device metadata and account status to deliver requests, prevent abuse, troubleshoot faults, protect the infrastructure and maintain backups (Article 6(1)(f) GDPR; legitimate interests in secure and reliable operation).
• Answering support and deletion requests: processing contact and account information to respond to you and carry out the requested action (Article 6(1)(b) GDPR where related to the service, otherwise Article 6(1)(f) GDPR).
• Meeting legal requirements: retaining or disclosing information when required by applicable law or a lawful authority request (Article 6(1)(c) GDPR).

The service is not described as using personal data for advertising, behavioural profiling or sale of user data.

5. Website storage, cookies and third-party assets

The supplied website pages use browser local storage to remember your light/dark theme preference (the key is vw-theme). This is a local display preference. The reviewed page source does not include an advertising or analytics tag. The Vaultwarden web application may use technically necessary browser storage or cookies to keep you signed in and operate the vault.

The public website loads front-end libraries and styles from the jsDelivr content delivery network at cdn.jsdelivr.net (including DaisyUI, Tailwind's browser build and Alpine.js). Your browser therefore contacts that provider to download those files, and connection data such as your IP address, requested asset, browser information and request time may be processed by the CDN. Consult jsDelivr's privacy information for its processing. No analytics or advertising cookies are intentionally set by the local page source reviewed for this notice.

If future versions add non-essential cookies, analytics, embedded media or other technologies that access information on your device, the relevant information and any required consent will be provided before those technologies are used.

6. Recipients and service providers

Personal data may be made available, where necessary, to the following categories of recipients:

• Infrastructure, hosting, network and data-centre providers that operate the website, Vaultwarden server, database, cluster and backup storage.
• Content delivery providers used to deliver public website assets (currently jsDelivr for the libraries identified above).
• Email providers involved in receiving and sending support correspondence.
• Monitoring and security service providers where they are used to operate or protect the service.
• Competent courts, authorities or law-enforcement bodies where disclosure is legally required.

Infrastructure and email provider names, their processing locations and the applicable processor arrangements depend on the operator's current deployment and contracts. This notice does not claim that all processing takes place exclusively in Germany or the EEA. Where a transfer to a country outside the EEA takes place, the controller must rely on a transfer mechanism permitted by Chapter V GDPR, such as an adequacy decision or appropriate safeguards. You can request further information about the providers and applicable safeguards using the contact details in section 1.

7. Retention and account deletion

• Active accounts: account data and encrypted vault objects are retained while the account remains active and the service is being provided, unless deletion is required earlier.
• Deletion on request: you can request deletion by emailing admin@obco.pro from the email address associated with your account. You do not need to give a reason. The account and its active service data are removed from the live service as part of processing the request.
• Inactive accounts: accounts that appear unused or contain no vault data may be removed as part of routine service maintenance. No fixed cleanup interval is published.
• Backups: deleting data from the live database does not instantly erase older backup copies. Backup copies remain only as part of the normal backup rotation and expire/are overwritten as those backup sets age out. No specific number of days is promised in this notice.
• Technical logs: connection and security logs are retained only as needed for secure operation, fault diagnosis and investigation of abuse, and are removed through the applicable log rotation and retention process. A fixed public log-retention period is not stated.
• Support email: messages are retained while needed to respond to the request, administer the account or document a service/security issue, and longer only where a legal obligation or the establishment, exercise or defence of legal claims requires it.

Before deleting your account, export any passwords and other information you wish to keep. Standard vault exports may not include every attachment or organisation-owned item; check the relevant export documentation. Never send your master password to request deletion.

8. Security and encryption

Compatible clients encrypt vault data before synchronising it to the server. This means the service normally stores encrypted vault content, not readable vault entries. Account metadata, connection information and operational logs are not necessarily encrypted in the same way. The operators administer the infrastructure and can access stored server files and backups, but the normal admin interface does not provide a way to decrypt vault items or reset your master password. No internet service can guarantee absolute security or uninterrupted availability.

9. Your rights

Subject to the conditions in the GDPR, you may have the right to request access to your personal data, rectification, erasure, restriction of processing and data portability. You may object to processing based on legitimate interests for reasons relating to your particular situation. Where processing is based on consent, you may withdraw consent at any time; withdrawal does not affect processing carried out before withdrawal.

To exercise these rights, contact admin@obco.pro. You also have the right to lodge a complaint with a supervisory authority. The relevant authority for the controller's stated address is the State Commissioner for Data Protection and Freedom of Information Baden-Württemberg (LfDI Baden-Württemberg).

10. Whether you must provide data

An email address and the account information requested by the registration flow are required to create and operate a Vaultwarden account. Without the required account details, the service cannot create or maintain the account. Information sent in support requests is voluntary, but the operators may be unable to investigate the issue without enough technical detail. Do not include secrets in support messages.

11. Automated decisions

The service does not use automated decision-making or profiling that produces legal effects concerning you or similarly significantly affects you within the meaning of Article 22 GDPR.

12. Changes to this notice

This notice may be updated when the service, software, hosting providers or applicable legal requirements change. The current version will be published on this page with an updated revision date.

1. Verantwortlicher und Kontakt

Verantwortlicher für die Verarbeitung personenbezogener Daten im Zusammenhang mit vaultwarden.net und dem gehosteten Vaultwarden-Dienst ist:

André Schüle

E-Mail: admin@obco.pro

Weitere Anbieterangaben finden Sie im Impressum .

Diese E-Mail-Adresse kann für Datenschutzanfragen, Fragen zum Konto und Löschanträge verwendet werden. Für einen Löschantrag ist keine Begründung erforderlich. Ein gesonderter Datenschutzbeauftragter ist für diesen Dienst nicht benannt.

2. Was diese Datenschutzerklärung umfasst

Diese Datenschutzerklärung erläutert, wie personenbezogene Daten im Zusammenhang mit der Website vaultwarden.net und dem darüber betriebenen Vaultwarden-Dienst verarbeitet werden. Sie umfasst die Registrierung und Verwaltung von Konten, die Nutzung des gehosteten Dienstes, Website-Aufrufe, technische Protokolle, Supportanfragen und damit verbundene Kommunikation.

Die eigenständigen Datenschutzpraktiken von Drittanbieter-Apps und -Diensten, die Sie mit Ihrem Konto verwenden, werden durch diese Erklärung nicht geregelt. Für deren Datenverarbeitung sind die jeweiligen Anbieter verantwortlich und stellen eigene Datenschutzhinweise bereit. Diese Erklärung umfasst jedoch personenbezogene Daten, die der gehostete Dienst selbst beim Einsatz kompatibler Drittanbieter-Clients erhält oder verarbeitet.

Das extern gehostete Status-Dashboard unter up.obco.pro kann eigenen Protokollierungs- und Datenverarbeitungspraktiken unterliegen.

3. Kategorien verarbeiteter Daten

Website- und Verbindungsdaten

Beim Aufruf einer Seite oder einer eingebundenen Datei können Website-, Hosting- und Netzwerkkomponenten technische Verbindungsdaten verarbeiten, die zur Auslieferung und Absicherung der Anfrage erforderlich sind. Je nach Komponente und Konfiguration können dies IP-Adresse, Datum und Uhrzeit, angeforderter URL-Pfad, Antwortstatus, Browser- und Geräteinformationen (z. B. User-Agent), Referrer-Angaben sowie Fehler- und Sicherheitsereignisse sein.

Konto- und Authentifizierungsdaten

Bei Registrierung und Nutzung des Vaultwarden-Dienstes werden Daten verarbeitet, die für Einrichtung und Betrieb des Kontos erforderlich sind. Hierzu gehören insbesondere E-Mail-Adresse, Kontoname/Anzeigename, Konto-Kennungen, aus dem Passwort abgeleitete Authentifizierungsdaten, geschütztes Schlüsselmaterial, Einstellungen für die Zwei-Schritt-Anmeldung sowie Client-, Geräte- und Synchronisationsmetadaten.

Tresor- und Funktionsdaten

Kompatible Bitwarden-Clients verschlüsseln Tresorinhalte auf dem Gerät, bevor sie synchronisiert werden. Der Dienst speichert verschlüsselte Tresordatensätze und — soweit verwendet — verschlüsselte Anhänge, Sends und zugehörige Objekte. Zusätzlich werden Metadaten verarbeitet, die zur Speicherung, Synchronisierung, Freigabe, zum Ablauf oder zur Löschung dieser Objekte erforderlich sind. Die normale Vaultwarden-Administrationsoberfläche entschlüsselt keine Tresorinhalte und zeigt keine Klartext-Passwörter an. Der Betreiber verwaltet jedoch die Infrastruktur und hat privilegierten Zugriff auf gespeicherte Serverdateien; der Dienst bleibt daher ein gehosteter Drittanbieter-Dienst.

Support-Kommunikation

Bei einer E-Mail an den Support werden die Absenderadresse und die freiwillig übermittelten Inhalte verarbeitet, um die Anfrage zu beantworten, Fehler zu untersuchen oder ein Konto zu verwalten. Bitte übermitteln Sie niemals Master-Passwörter, Zwei-Schritt-Codes, Wiederherstellungscodes, API-Schlüssel oder unverschlüsselte Tresorexporte.

4. Zwecke und Rechtsgrundlagen

• Bereitstellung von Konten und Tresor-Synchronisierung: Verarbeitung der Konto-, Authentifizierungs- und verschlüsselten Tresordaten zur Bereitstellung des angeforderten Dienstes (Art. 6 Abs. 1 lit. b DSGVO).
• Betrieb, Sicherheit und Wartung: Verarbeitung von Verbindungsdaten, technischen Protokollen, Geräte-Metadaten und Kontostatus zur Auslieferung von Anfragen, Missbrauchsabwehr, Fehlerbehebung, Absicherung der Infrastruktur und Erstellung von Backups (Art. 6 Abs. 1 lit. f DSGVO; berechtigtes Interesse an einem sicheren und funktionsfähigen Betrieb).
• Support und Löschanfragen: Verarbeitung von Kontakt- und Kontodaten zur Bearbeitung Ihrer Anfrage und Durchführung der gewünschten Maßnahme (Art. 6 Abs. 1 lit. b DSGVO, soweit dienstbezogen, ansonsten Art. 6 Abs. 1 lit. f DSGVO).
• Gesetzliche Pflichten: Speicherung oder Übermittlung von Daten, wenn dies durch geltendes Recht oder eine rechtmäßige behördliche Anordnung vorgeschrieben ist (Art. 6 Abs. 1 lit. c DSGVO).

Der Dienst ist nicht auf Werbung, verhaltensbezogenes Profiling oder den Verkauf von Nutzerdaten ausgerichtet.

5. Lokale Speicherung, Cookies und Drittanbieter-Dateien

Die bereitgestellten Website-Seiten verwenden den lokalen Browserspeicher, um die Einstellung des hellen oder dunklen Designs zu speichern (Schlüssel vw-theme). Dies ist eine lokale Anzeigeeinstellung. Im geprüften Seitenquelltext sind keine Werbe- oder Analyse-Tags enthalten. Die Vaultwarden-Webanwendung kann technisch notwendige Browser-Speicher oder Cookies verwenden, um die Anmeldung aufrechtzuerhalten und den Tresor bereitzustellen.

Die Website lädt Frontend-Bibliotheken und Styles über das Content Delivery Network jsDelivr unter cdn.jsdelivr.net (darunter DaisyUI, Tailwinds Browser-Build und Alpine.js). Ihr Browser stellt dafür eine Verbindung zu diesem Anbieter her. Dabei können Verbindungsdaten wie IP-Adresse, angeforderte Datei, Browserinformationen und Abrufzeit verarbeitet werden. Weitere Informationen finden Sie in den Datenschutzhinweisen von jsDelivr.

Werden künftig nicht notwendige Cookies, Analysewerkzeuge, eingebettete Medien oder andere Technologien eingesetzt, die Informationen auf Ihrem Endgerät speichern oder auslesen, werden die erforderlichen Informationen und gegebenenfalls Einwilligungen vor deren Einsatz bereitgestellt.

6. Empfänger und Dienstleister

Personenbezogene Daten können, soweit erforderlich, an folgende Kategorien von Empfängern übermittelt werden:

• Infrastruktur-, Hosting-, Netzwerk- und Rechenzentrumsanbieter für Website, Vaultwarden-Server, Datenbank, Cluster und Backup-Speicher;
• Content-Delivery-Anbieter für öffentliche Website-Dateien (derzeit jsDelivr für die oben genannten Bibliotheken);
• E-Mail-Anbieter für Support-Kommunikation;
• Monitoring- und Sicherheitsdienstleister, soweit sie für Betrieb und Schutz des Dienstes eingesetzt werden;
• zuständige Gerichte, Behörden und Strafverfolgungsstellen, sofern eine Offenlegung rechtlich vorgeschrieben ist.

Die konkreten Namen der Infrastruktur- und E-Mail-Anbieter, ihre Verarbeitungsorte und die geltenden Auftragsverarbeitungsvereinbarungen richten sich nach der aktuellen Bereitstellung und den Verträgen des Betreibers. Diese Erklärung behauptet nicht, dass sämtliche Verarbeitungen ausschließlich in Deutschland oder im EWR stattfinden. Bei Übermittlungen in Drittländer muss der Verantwortliche einen nach Kapitel V DSGVO zulässigen Übermittlungsmechanismus verwenden, beispielsweise einen Angemessenheitsbeschluss oder geeignete Garantien. Weitere Informationen zu Anbietern und Garantien können über die Kontaktdaten in Abschnitt 1 angefragt werden.

7. Speicherdauer und Kontolöschung

• Aktive Konten: Kontodaten und verschlüsselte Tresorobjekte werden gespeichert, solange das Konto aktiv ist und der Dienst bereitgestellt wird, sofern keine frühere Löschung erforderlich ist.
• Löschung auf Anfrage: Sie können die Löschung Ihres Kontos an admin@obco.pro beantragen. Senden Sie die Anfrage möglichst von der mit dem Konto verknüpften E-Mail-Adresse. Eine Begründung ist nicht erforderlich. Das Konto und die aktiven Dienstdaten werden im Rahmen der Bearbeitung aus dem laufenden Dienst entfernt.
• Inaktive Konten: Konten, die offenbar nicht mehr verwendet werden oder keine Tresordaten enthalten, können im Rahmen der laufenden Dienstwartung entfernt werden. Ein festes Löschintervall wird nicht veröffentlicht.
• Backups: Eine Löschung aus der aktiven Datenbank entfernt ältere Backup-Kopien nicht sofort. Backup-Kopien verbleiben nur im Rahmen der normalen Backup-Rotation und laufen mit dem Alter der jeweiligen Backup-Sätze aus bzw. werden überschrieben. Eine konkrete Anzahl von Tagen wird in dieser Erklärung nicht zugesagt.
• Technische Protokolle: Verbindungs- und Sicherheitsprotokolle werden nur so lange gespeichert, wie dies für sicheren Betrieb, Fehlerdiagnose und Untersuchung von Missbrauch erforderlich ist. Die Löschung erfolgt nach dem jeweils geltenden Log-Rotations- und Aufbewahrungsverfahren; ein fester öffentlicher Zeitraum wird nicht genannt.
• Support-E-Mails: Nachrichten werden so lange aufbewahrt, wie sie zur Beantwortung der Anfrage, Kontoverwaltung oder Dokumentation eines Dienst- bzw. Sicherheitsvorfalls benötigt werden, und darüber hinaus nur, soweit gesetzliche Pflichten oder die Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen dies erfordern.

Exportieren Sie vor einer Kontolöschung alle Daten, die Sie behalten möchten. Standard-Tresorexporte enthalten möglicherweise nicht jeden Anhang oder organisationsbezogene Daten. Übermitteln Sie zur Löschung niemals Ihr Master-Passwort.

8. Sicherheit und Verschlüsselung

Kompatible Clients verschlüsseln Tresordaten vor der Synchronisierung mit dem Server. Der Dienst speichert daher normalerweise verschlüsselte Tresorinhalte und keine lesbaren Tresoreinträge. Kontometadaten, Verbindungsinformationen und Betriebsprotokolle sind nicht notwendigerweise auf dieselbe Weise verschlüsselt. Die Betreiber verwalten die Infrastruktur und können gespeicherte Serverdateien und Backups einsehen; die normale Administrationsoberfläche bietet jedoch keine Funktion zum Entschlüsseln von Tresoreinträgen oder Zurücksetzen des Master-Passworts. Absolute Sicherheit oder durchgehende Verfügbarkeit eines Internetdienstes kann nicht zugesichert werden.

9. Ihre Rechte

Sie können nach Maßgabe der DSGVO Auskunft über Ihre personenbezogenen Daten sowie Berichtigung, Löschung, Einschränkung der Verarbeitung und Datenübertragbarkeit verlangen. Einer Verarbeitung auf Grundlage berechtigter Interessen können Sie aus Gründen widersprechen, die sich aus Ihrer besonderen Situation ergeben. Eine erteilte Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen; die Rechtmäßigkeit der vorherigen Verarbeitung bleibt davon unberührt.

Zur Ausübung Ihrer Rechte wenden Sie sich an admin@obco.pro. Außerdem können Sie sich bei einer Datenschutzaufsichtsbehörde beschweren. Für die angegebene Anschrift des Verantwortlichen ist insbesondere der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg (LfDI BW) erreichbar.

10. Bereitstellung von Daten

Eine E-Mail-Adresse und die vom Registrierungsprozess angeforderten Kontoinformationen sind erforderlich, um ein Vaultwarden-Konto einzurichten und zu betreiben. Ohne die erforderlichen Kontodaten kann das Konto nicht erstellt oder geführt werden. Angaben in Supportanfragen sind freiwillig; ohne ausreichende technische Informationen kann eine Untersuchung jedoch gegebenenfalls nicht möglich sein. Bitte übermitteln Sie keine Geheimnisse in Supportnachrichten.

11. Automatisierte Entscheidungen

Der Dienst verwendet keine automatisierte Entscheidungsfindung und kein Profiling, das Ihnen gegenüber rechtliche Wirkung entfaltet oder Sie in ähnlicher Weise erheblich beeinträchtigt im Sinne von Art. 22 DSGVO.

12. Änderungen dieser Datenschutzerklärung

Diese Datenschutzerklärung kann angepasst werden, wenn sich der Dienst, die Software, die Hosting-Anbieter oder die gesetzlichen Anforderungen ändern. Die aktuelle Fassung wird mit aktualisiertem Stand auf dieser Seite veröffentlicht.