M24 PDF-Scanner

Privacy Policy

This Privacy Policy applies to the Android app PDF Scanner with the package name info.meuse24.pdf_scanner.

Provider Guenther Meusburger
Contact guenther.meusburger@gmail.com
Source code github.com/meuse24/PDF_Scanner
Last updated July 5, 2026

Diese Datenschutzerklaerung gilt fuer die Android-App PDF Scanner mit dem Paketnamen info.meuse24.pdf_scanner.

Anbieter Guenther Meusburger
Kontakt guenther.meusburger@gmail.com
Quellcode github.com/meuse24/PDF_Scanner
Stand 5. Juli 2026

1. Summary

The app stores scanned documents locally on the device. There is no user account, no advertising, no own tracking, no own backend, and no transfer of scans to servers operated by the developer.

The scan feature uses Google ML Kit Document Scanner via Google Play Services. According to Google, input data and scan results are processed on-device. Google also states that ML Kit may occasionally contact Google servers for updates and compatibility information and may send performance and usage metrics to Google.

The optional OCR (text extraction) feature uses ML Kit Text Recognition, which runs entirely on-device. No document content or extracted text is transmitted to any server.

If the user creates a searchable PDF, the app may store the extracted OCR text and automatically derived tags locally in its database so the archive search and on-device auto-tagging work.

The optional secure redaction feature also runs locally. It creates a separate redacted copy, rebuilds affected pages as image-only output, and removes OCR text, metadata, forms, links, attachments, and actions from the saved redacted result where applicable.

The optional table extraction feature detects table-like content on a page using on-device ML Kit OCR and lets the user review and correct it before exporting as CSV or TSV. Recognition and reconstruction run entirely on-device; no document content is transmitted. While reviewing, a small draft of the current edits may be cached temporarily in the app's cache folder so it survives an unexpected app restart; this cache is not a permanent record. It is deleted after a successful export or automatically after 24 hours, and the operating system may clear it at any time.

The optional PDF form-filling feature and the optional SHA-256 file-hash calculation also run entirely locally: form field values are written directly into the PDF file on the device, and file hashes are computed directly from the file's bytes. Neither feature transmits any data.

Folders, favorites, app shortcuts, the Quick Settings tile, the home-screen widget, Android Share import, Android Print, and business-card vCard export are local app or Android system integrations. The optional app lock is a UI gate using Android biometric or device-credential authentication; it does not encrypt stored PDFs or the database.

The app uses the DM Sans font via the Google Fonts API, which is delivered through Google Play Services. The app itself does not make direct internet requests for fonts.

The app includes a dedicated Privacy screen summarising these points in-app.

The app can create and restore password-protected .m24backup files only after explicit user action. The backup password cannot be recovered. A backup protects the exported file outside the app sandbox; restored documents are stored again in the app's normal local archive.

1. Kurzfassung

Die App speichert gescannte Dokumente grundsaetzlich lokal auf dem Geraet. Es gibt kein Benutzerkonto, keine Werbung, kein eigenes Tracking, kein eigenes Backend und keine Uebermittlung von Scans an Server des Entwicklers.

Fuer die Scan-Funktion wird der Google ML Kit Document Scanner ueber Google Play Services verwendet. Laut Google erfolgt die Verarbeitung der Eingabedaten und der Scan-Ergebnisse auf dem Geraet. Google weist jedoch darauf hin, dass ML Kit gelegentlich Server fuer Updates und Kompatibilitaetsinformationen kontaktieren und Leistungs- bzw. Nutzungsmetriken an Google uebermitteln kann.

Die optionale OCR-Funktion (Texterkennung) nutzt ML Kit Text Recognition, das vollstaendig auf dem Geraet laeuft. Dokumentinhalte oder erkannter Text werden nicht an Server uebertragen.

Wenn der Nutzer eine durchsuchbare PDF erstellt, kann die App den erkannten OCR-Text sowie automatisch abgeleitete Tags lokal in ihrer Datenbank speichern, damit Archivsuche und Auto-Tagging auf dem Geraet funktionieren.

Auch die optionale sichere Schwaerzung laeuft lokal. Sie erzeugt eine separate geschwaerzte Kopie, baut betroffene Seiten bildbasiert neu auf und entfernt im gespeicherten Ergebnis soweit zutreffend OCR-Text, Metadaten, Formulare, Links, Anhaenge und Aktionen.

Die optionale Tabellenextraktion erkennt tabellenartige Inhalte auf einer Seite mittels ML Kit OCR auf dem Geraet und ermoeglicht deren Pruefung und Korrektur vor dem Export als CSV oder TSV. Erkennung und Rekonstruktion laufen vollstaendig auf dem Geraet; es werden keine Dokumentinhalte uebertragen. Waehrend der Bearbeitung kann ein kleiner Entwurf der aktuellen Aenderungen voruebergehend im App-Cache zwischengespeichert werden, damit er einen unerwarteten Neustart der App uebersteht; dieser Zwischenspeicher ist keine dauerhafte Aufzeichnung. Er wird nach erfolgreichem Export bzw. automatisch nach 24 Stunden geloescht, und das Betriebssystem kann ihn jederzeit raeumen.

Auch die optionale Funktion zum Ausfuellen von PDF-Formularen sowie die optionale Berechnung des SHA-256-Datei-Hashes laufen vollstaendig lokal: Formularwerte werden direkt in die PDF-Datei auf dem Geraet geschrieben, Datei-Hashes werden direkt aus den Dateibytes berechnet. Beide Funktionen uebertragen keine Daten.

Ordner, Favoriten, App-Shortcuts, Schnelleinstellungskachel, Homescreen-Widget, Android-Share-Import, Android-Drucken und Visitenkarten-vCard-Export sind lokale App- bzw. Android-Systemintegrationen. Die optionale App-Sperre ist ein UI-Gate ueber Android-Biometrie oder Geraete-PIN; sie verschluesselt gespeicherte PDFs oder die Datenbank nicht.

Die App verwendet die Schriftart DM Sans ueber die Google Fonts API, die ueber Google Play Services bereitgestellt wird. Die App selbst stellt keine direkten Internetanfragen fuer Schriftarten.

Die App enthaelt einen eigenen Datenschutz-Screen, der diese Punkte zusammenfasst.

Die App kann nur nach ausdruecklicher Nutzeraktion passwortgeschuetzte .m24backup-Dateien erstellen und wiederherstellen. Das Backup-Passwort kann nicht wiederhergestellt werden. Ein Backup schuetzt die exportierte Datei ausserhalb der App-Sandbox; wiederhergestellte Dokumente liegen wieder in der normalen lokalen App-Ablage.

2. Data processed by the app

The app only processes data required to manage documents on the device, in particular:

  • scanned PDF files
  • optional preview image of the first page
  • file name
  • local file path
  • creation timestamp
  • page count
  • file size
  • optional extracted OCR text for searchable PDFs
  • optional automatically derived local tags
  • optional folder assignment and favorite status
  • optional encrypted backup files created by the user
  • optional redacted PDF copies created by the user
  • optional business-card contact fields and generated vCard files
  • optional app-lock setting and timeout
  • optional filled PDF form field values (stored in the PDF file itself)
  • optional temporary table-extraction draft cache (deleted after export or after 24 hours)
  • optional generated CSV/TSV table-export files

This information is stored locally in app storage and in a local database on the device so that the archive, preview, sharing, export, and deletion functions work.

When the OCR feature is used, the document image is processed locally by ML Kit Text Recognition. If the user creates a searchable PDF, the extracted text and derived tags may be stored locally in the app database for archive search and auto-tagging. They are not transmitted to any server.

If the user creates a redacted copy, that new file is also stored locally in app storage. The original file remains available until the user deletes it.

2. Welche Daten in der App verarbeitet werden

Die App verarbeitet ausschliesslich Daten, die fuer die Dokumentenverwaltung auf dem Geraet erforderlich sind. Dazu gehoeren insbesondere:

  • gescannte PDF-Dateien
  • optional erzeugte Vorschaubilder der ersten Seite
  • Dateiname
  • lokaler Dateipfad
  • Erstellungszeitpunkt
  • Seitenanzahl
  • Dateigroesse
  • optional erkannter OCR-Text bei durchsuchbaren PDFs
  • optional automatisch abgeleitete lokale Tags
  • optionale Ordnerzuordnung und Favoritenstatus
  • optional vom Nutzer erzeugte verschluesselte Backup-Dateien
  • optional vom Nutzer erzeugte geschwaerzte PDF-Kopien
  • optionale Visitenkarten-Kontaktfelder und erzeugte vCard-Dateien
  • optionale App-Sperren-Einstellung und Timeout
  • optional ausgefuellte PDF-Formularwerte (gespeichert in der PDF-Datei selbst)
  • optionaler temporaerer Tabellenextraktions-Zwischenspeicher (geloescht nach Export bzw. nach 24 Stunden)
  • optional erzeugte CSV-/TSV-Exportdateien

Diese Informationen werden lokal im App-Speicher und in einer lokalen Datenbank auf dem Geraet abgelegt, damit die Ablage, Vorschau, Freigabe, der Export und das Loeschen von Scans funktionieren.

Bei Verwendung der OCR-Funktion wird das Dokumentbild lokal durch ML Kit Text Recognition verarbeitet. Wenn der Nutzer eine durchsuchbare PDF erstellt, kann der erkannte Text zusammen mit abgeleiteten Tags lokal in der App-Datenbank fuer Archivsuche und Auto-Tagging gespeichert werden. An Server wird er nicht uebertragen.

Wenn der Nutzer eine geschwaerzte Kopie erstellt, wird auch diese neue Datei lokal im App-Speicher abgelegt. Die Originaldatei bleibt vorhanden, bis der Nutzer sie loescht.

3. Where data is stored

Scanned PDFs and preview images are stored in the app-internal storage. Metadata is additionally stored in a local Room database.

The local database may also contain OCR text and automatically derived tags for searchable PDFs.

Newly created redacted copies are stored alongside the originals unless the user deletes the original document later.

Generated vCard files are written to the app cache for sharing or adding to contacts. App-lock preferences are stored locally in SharedPreferences.

Table-extraction drafts are cached temporarily in the app's cache directory (cacheDir/table_drafts), and CSV/TSV files prepared for sharing are cached in cacheDir/csv. Both are cleared automatically (drafts after 24 hours or a successful export, share files after 24 hours) and may also be cleared by the operating system at any time.

In the current implementation, scanned PDFs and the local database are also explicitly excluded from Android cloud backups and device-to-device transfer.

3. Wo die Daten gespeichert werden

Gescannte PDFs und Vorschaubilder werden im app-internen Speicher gespeichert. Zusaetzlich speichert die App Metadaten in einer lokalen Room-Datenbank.

Die lokale Datenbank kann bei durchsuchbaren PDFs ausserdem OCR-Text und automatisch abgeleitete Tags enthalten.

Neu erzeugte geschwaerzte Kopien werden neben den Originalen gespeichert, solange der Nutzer die Originaldatei nicht spaeter selbst loescht.

Erzeugte vCard-Dateien werden zum Teilen oder Hinzufuegen zu Kontakten im App-Cache geschrieben. App-Sperren-Einstellungen werden lokal in SharedPreferences gespeichert.

Tabellenextraktions-Entwuerfe werden voruebergehend im App-Cache-Verzeichnis (cacheDir/table_drafts) zwischengespeichert, zum Teilen vorbereitete CSV-/TSV-Dateien im Verzeichnis cacheDir/csv. Beide werden automatisch geraeumt (Entwuerfe nach 24 Stunden oder erfolgreichem Export, Teilen-Dateien nach 24 Stunden) und koennen zudem jederzeit vom Betriebssystem geleert werden.

Nach der aktuellen Implementierung sind die gescannten PDFs und die lokale Datenbank ausserdem explizit von Android-Cloud-Backups und vom Device-to-Device-Transfer ausgeschlossen.

4. Network, advertising, accounts, and permissions

  • The app requests the internet permission only for the optional local Wi-Fi PC connection feature described below; it is not used for any other network traffic.
  • The app requests FOREGROUND_SERVICE, FOREGROUND_SERVICE_DATA_SYNC, and POST_NOTIFICATIONS solely to keep the local Wi-Fi PC connection running and visible (as a persistent notification) while a computer may be transferring files; none of these permissions are used for any other purpose.
  • The app contains no advertising.
  • The app uses no own analytics or crash reporting service.
  • The app requires no user account and no subscription.
  • The app does not request camera, contacts, microphone, or location permissions.

The actual scan flow is started through Google ML Kit Document Scanner without the app requesting a camera permission itself.

Local Wi-Fi PC connection

The optional "PC connection" feature starts a small web server on the device so a computer on the same local Wi-Fi network can browse, download, and upload PDF documents through a regular browser. This connection is strictly local: no document content or connection data is sent to the internet, to Google, or to any other external server. Access requires a 4-digit PIN shown on the device; failed login attempts are rate-limited. The server only runs while the feature is actively started by the user, stops automatically when the app is locked or after a period of inactivity, and can be stopped manually at any time from the notification shown while it is running. Because the connection is unencrypted (there is no way to obtain a valid TLS certificate for a private, device-local IP address), it should only be used on trusted private networks.

While this feature is running, Android requires the app to show a persistent, ongoing notification and to hold the FOREGROUND_SERVICE_DATA_SYNC permission so the local file-transfer connection is not interrupted by the system while the screen is off or another app is in use. The notification and the underlying network connection stop as soon as the feature is stopped, the app is locked, or the inactivity timeout is reached.

4. Netzwerk, Werbung, Konten und Berechtigungen

  • Die App fordert die Internet-Berechtigung ausschliesslich fuer die optionale lokale WLAN-PC-Verbindung (siehe unten) an; sie wird fuer keinen anderen Netzwerkverkehr verwendet.
  • Die App fordert FOREGROUND_SERVICE, FOREGROUND_SERVICE_DATA_SYNC und POST_NOTIFICATIONS ausschliesslich dazu an, die lokale WLAN-PC-Verbindung waehrend eines laufenden Dateitransfers aktiv und ueber eine dauerhafte Benachrichtigung sichtbar zu halten; keine dieser Berechtigungen wird fuer einen anderen Zweck verwendet.
  • Die App enthaelt keine Werbung.
  • Die App verwendet kein eigenes Analytics- oder Crash-Reporting-System.
  • Die App verlangt kein Benutzerkonto und kein Abonnement.
  • Die App fordert keine Kamera-, Kontakt-, Mikrofon- oder Standortberechtigung an.

Der eigentliche Scan-Vorgang wird ueber Google ML Kit Document Scanner gestartet, ohne dass die App selbst eine Kamera-Berechtigung anfordert.

Lokale WLAN-PC-Verbindung

Die optionale Funktion "PC-Verbindung" startet einen kleinen Webserver auf dem Geraet, damit ein Computer im selben lokalen WLAN per gewoehnlichem Browser auf PDF-Dokumente zugreifen, sie herunterladen und hochladen kann. Diese Verbindung ist ausschliesslich lokal: Es werden keine Dokumentinhalte oder Verbindungsdaten ins Internet, an Google oder an andere externe Server uebertragen. Der Zugriff erfordert eine 4-stellige PIN, die auf dem Geraet angezeigt wird; fehlgeschlagene Anmeldeversuche werden begrenzt (Rate-Limiting). Der Server laeuft nur, solange die Funktion aktiv vom Nutzer gestartet wurde, stoppt automatisch bei gesperrter App oder nach einer Zeit ohne Aktivitaet und kann jederzeit manuell ueber die waehrend des Betriebs angezeigte Benachrichtigung beendet werden. Da die Verbindung unverschluesselt ist (fuer eine private, geraetelokale IP-Adresse laesst sich kein gueltiges TLS-Zertifikat ausstellen), sollte sie nur in vertrauenswuerdigen privaten Netzwerken genutzt werden.

Waehrend diese Funktion laeuft, verlangt Android von der App, eine dauerhafte, laufende Benachrichtigung anzuzeigen und die Berechtigung FOREGROUND_SERVICE_DATA_SYNC zu halten, damit die lokale Dateitransfer-Verbindung nicht vom System unterbrochen wird, waehrend der Bildschirm aus ist oder eine andere App genutzt wird. Die Benachrichtigung und die zugrunde liegende Netzwerkverbindung enden, sobald die Funktion gestoppt wird, die App gesperrt wird oder die Inaktivitaets-Zeitspanne erreicht ist.

5. Use of Google ML Kit and Google Play Services

ML Kit Document Scanner

The app uses ML Kit Document Scanner provided by Google via Google Play Services to scan documents.

According to Google's official ML Kit information, processing of input data such as images and scan results happens fully on-device and is not sent to Google servers. However, Google also states that ML Kit APIs may occasionally contact Google servers to receive bug fixes, updated models, or hardware compatibility information. In addition, performance and usage metrics of the API may be sent to Google.

ML Kit Text Recognition (OCR)

The app includes an optional text extraction (OCR) feature powered by ML Kit Text Recognition. All OCR recognizers, including the Latin recognizer used by automatic mode, are delivered as GMS-unbundled modules through Google Play Services. The app requests background preloading of the Latin module during installation. If a required module is still missing, for example after installation without network access, it is downloaded with visible progress on the first OCR request. The Hindi, Chinese, Japanese, and Korean modules are downloaded on first use of the respective language. Recognition runs on-device; document images are never transmitted to Google servers or any other external service. Extracted text can optionally be stored locally in the app database when the user creates a searchable PDF.

The same ML Kit update and metrics conditions described above also apply to this component.

ML Kit Translate

The app includes an optional Translate PDF feature powered by ML Kit Translate. Translation runs fully on-device. Language models (~15–30 MB each) are downloaded automatically on first use via Google Play Services and remain on the device thereafter. No document text or extracted OCR text is transmitted to any server by this feature.

The same ML Kit update and metrics conditions described above also apply to this component.

Google Fonts (DM Sans)

The app loads the DM Sans typeface via the Google Fonts API, which is delivered through Google Play Services as a downloadable fonts provider. The app itself does not make direct network requests for fonts; the download is handled by the GMS font provider. Cached fonts reside on the device after the first use. Google Play Services may contact Google servers to fetch or update font files.

Google Play Services may also process additional data depending on device settings and the user's Google account settings. The developer of this app does not have full control over that processing. Google's privacy terms apply to that part.

Official information:
ML Kit Terms & Privacy
About Google Play Services
Google Privacy Policy

5. Einsatz von Google ML Kit und Google Play Services

ML Kit Document Scanner

Die App nutzt fuer das Scannen von Dokumenten die von Google bereitgestellte Komponente ML Kit Document Scanner, die ueber Google Play Services bereitgestellt wird.

Nach den offiziellen ML-Kit-Hinweisen von Google findet die Verarbeitung der Eingabedaten wie Bilder und Scan-Ergebnisse vollstaendig auf dem Geraet statt; diese Daten werden nicht an Google-Server gesendet. Google weist jedoch ebenfalls darauf hin, dass ML Kit APIs gelegentlich Google-Server kontaktieren koennen, um Fehlerbehebungen, aktualisierte Modelle oder Hardware-Kompatibilitaetsinformationen zu beziehen. Ausserdem koennen Leistungs- und Nutzungsmetriken der API an Google uebermittelt werden.

ML Kit Text Recognition (OCR)

Die App bietet eine optionale Texterkennungs-Funktion (OCR) auf Basis von ML Kit Text Recognition. Alle OCR-Erkenner, einschliesslich des im automatischen Modus verwendeten Latin-Modells, werden als GMS-unbundled-Module ueber Google Play Services bereitgestellt. Die App fordert den Hintergrund-Download des Latin-Moduls bereits bei der Installation an. Fehlt ein benoetigtes Modul dennoch, etwa nach einer Installation ohne Netzwerkverbindung, wird es beim ersten OCR-Aufruf mit sichtbarer Fortschrittsanzeige nachgeladen. Die Module fuer Hindi, Chinesisch, Japanisch und Koreanisch werden bei der ersten Nutzung der jeweiligen Sprache geladen. Die Erkennung erfolgt auf dem Geraet; Dokumentbilder werden weder an Google-Server noch an sonstige externe Dienste uebertragen. Erkannter Text kann optional lokal in der App-Datenbank gespeichert werden, wenn der Nutzer eine durchsuchbare PDF erstellt.

Die oben beschriebenen ML-Kit-Bedingungen fuer Updates und Metriken gelten gleichermassen fuer diese Komponente.

ML Kit Translate

Die App bietet eine optionale Funktion PDF uebersetzen auf Basis von ML Kit Translate. Die Uebersetzung laeuft vollstaendig auf dem Geraet. Sprachmodelle (~15–30 MB) werden beim ersten Einsatz automatisch ueber Google Play Services heruntergeladen und verbleiben danach auf dem Geraet. Dokumenttext oder erkannter OCR-Text wird durch diese Funktion nicht an Server uebertragen.

Die oben beschriebenen ML-Kit-Bedingungen fuer Updates und Metriken gelten gleichermassen fuer diese Komponente.

Google Fonts (DM Sans)

Die App laedt die Schriftart DM Sans ueber die Google Fonts API, die als Downloadable-Fonts-Anbieter ueber Google Play Services bereitgestellt wird. Die App selbst stellt keine direkten Netzwerkanfragen fuer Schriftarten; der Download wird vom GMS-Schriftartenanbieter uebernommen. Gecachte Schriftarten verbleiben nach der ersten Verwendung auf dem Geraet. Google Play Services kann Google-Server kontaktieren, um Schriftartdateien abzurufen oder zu aktualisieren.

Daneben kann Google Play Services gemaess den Einstellungen des Geraets und des Google-Kontos weitere Daten verarbeiten. Darauf hat der Entwickler dieser App keinen vollstaendigen Einfluss. Fuer diese Verarbeitung gelten die Datenschutzbestimmungen von Google.

Offizielle Informationen:
ML Kit Terms & Privacy
Informationen zu Google Play Services
Google Datenschutzerklaerung

6. Sharing and exporting files

The app can pass scans to other apps or export them into the device's Downloads area only when the user explicitly triggers that action.

  • When sharing, the file is passed to the app selected by the user.
  • Copy AI correction or summary prompt creates clipboard content locally only after the user chooses it. The app does not send document text to an AI provider. It then opens the user-selected chatbot website in the default browser, without passing the prompt to the browser. Opening that website may connect to its provider. If the user pastes the prompt into a chatbot, that provider may process the text under its own privacy policy. The chatbot destinations are stored locally in the app settings. If no stored OCR text is available, the app reads an existing PDF text layer locally for this action without starting OCR or saving the text; clipboard content can also be visible to system features on some devices.
  • When exporting, a copy of the file is written to the device's Downloads area.
  • When printing, the file is passed to the Android system print dialog.
  • When another app shares into this app, the file is copied into the archive only after user confirmation.
  • When creating an encrypted backup, the app writes a password-protected .m24backup file to the user-selected location.

For secure redaction this means the user should share or export the redacted copy, because the original document remains unchanged inside the app until it is deleted.

From that point on, further processing depends on the privacy policy of the selected target app, service, or device manufacturer.

6. Teilen und Exportieren von Dateien

Die App kann Scans auf ausdrueckliche Aktion des Nutzers an andere Apps weitergeben oder in den Download-Bereich des Geraets exportieren.

  • Beim Teilen wird die Datei an die vom Nutzer ausgewaehlte Ziel-App uebergeben.
  • KI-Korrektur- oder Zusammenfassungsprompt kopieren erstellt erst nach ausdruecklicher Auswahl lokalen Zwischenablageinhalt. Die App sendet keinen Dokumenttext an einen KI-Anbieter. Danach oeffnet sie die vom Nutzer gewaehlte Chatbot-Website im Standardbrowser, ohne den Prompt an den Browser zu uebergeben. Das Oeffnen der Website kann eine Verbindung zu diesem Anbieter herstellen. Erst wenn der Nutzer den Prompt in den Chatbot einfuegt, kann dieser Anbieter den Text nach seinen eigenen Datenschutzbestimmungen verarbeiten. Die Chatbot-Ziele werden lokal in den App-Einstellungen gespeichert. Fehlt gespeicherter OCR-Text, liest die App dafuer eine vorhandene PDF-Textschicht lokal aus, ohne OCR zu starten oder Text zu speichern; Zwischenablageinhalte koennen auf manchen Geraeten auch fuer Systemfunktionen sichtbar sein.
  • Beim Export wird eine Kopie der Datei in den Download-Bereich des Geraets geschrieben.
  • Beim Drucken wird die Datei an den Android-Systemdialog fuer Drucken uebergeben.
  • Wenn eine andere App eine Datei an diese App teilt, wird sie erst nach Bestaetigung in die Ablage kopiert.
  • Beim Erstellen eines verschluesselten Backups schreibt die App eine passwortgeschuetzte .m24backup-Datei an den vom Nutzer gewaehlten Speicherort.

Bei sicherer Schwaerzung bedeutet das: Der Nutzer sollte die geschwaerzte Kopie teilen oder exportieren, weil das Originaldokument in der App unveraendert erhalten bleibt, bis es geloescht wird.

Ab diesem Zeitpunkt richtet sich die weitere Verarbeitung nach der Datenschutzerklaerung der jeweils genutzten Ziel-App, des Dienstes oder des Geraeteherstellers.

7. Encrypted backups

Backup files use standard cryptography for file and backup protection: Argon2id for password-based key derivation, AES-256-GCM to wrap a random backup keyset, and Tink StreamingAead for the encrypted payload. Document names, OCR text, tags, folders, thumbnails, and PDF files are stored only inside the encrypted payload. This is user-controlled file and backup protection; the app does not provide a general-purpose cryptographic service.

During restore, the app decrypts and validates the backup in a temporary app-cache staging directory. This staging directory is deleted after errors, cancellation, and successful restore. Per-file checksums are used for error detection; cryptographic integrity comes from authenticated encryption.

7. Verschluesselte Backups

Backup-Dateien nutzen Standard-Kryptografie fuer Datei- und Backup-Schutz: Argon2id fuer die passwortbasierte Schluesselableitung, AES-256-GCM fuer das Wrapping eines zufaelligen Backup-Keysets und Tink StreamingAead fuer den verschluesselten Payload. Dokumentnamen, OCR-Text, Tags, Ordner, Vorschaubilder und PDF-Dateien liegen nur im verschluesselten Payload. Dies ist nutzergesteuerter Datei- und Backup-Schutz; die App bietet keinen allgemeinen Kryptografie-Dienst.

Beim Restore entschluesselt und validiert die App das Backup zunaechst in einem temporaeren App-Cache-Staging-Verzeichnis. Dieses Verzeichnis wird bei Fehlern, Abbruch und erfolgreichem Restore geloescht. Per-Datei-Checksummen dienen der Fehlererkennung; die kryptografische Integritaet kommt von authentifizierter Verschluesselung.

8. Storage duration

Locally stored scans, preview images, and metadata remain on the device until the user deletes them in the app or uninstalls the app. Exported or shared copies may continue to exist outside the app.

Deleting a document in the app first moves it to the local app trash. Items may remain there for up to 30 days and are removed earlier if the user deletes them permanently or empties the trash.

This also applies to original files after secure redaction: creating a redacted copy does not remove the source document automatically.

8. Speicherdauer

Lokal gespeicherte Scans, Vorschaubilder und Metadaten bleiben auf dem Geraet, bis sie durch den Nutzer in der App geloescht oder die App deinstalliert wird. Exportierte oder geteilte Kopien koennen ausserhalb der App weiter bestehen.

Beim Loeschen in der App werden Dokumente zunaechst lokal in den Papierkorb verschoben. Eintraege koennen dort bis zu 30 Tage verbleiben und werden frueher entfernt, wenn der Nutzer sie endgueltig loescht oder den Papierkorb leert.

Das gilt auch fuer Originaldateien nach einer sicheren Schwaerzung: Das Erzeugen einer geschwaerzten Kopie entfernt das Ausgangsdokument nicht automatisch.

9. Legal basis under GDPR

To the extent personal data is processed, this is done to provide the app functions requested by the user in accordance with Art. 6(1)(b) GDPR and based on the legitimate interest in a stable, secure, and compatible provision of the app in accordance with Art. 6(1)(f) GDPR.

9. Rechtsgrundlagen nach DSGVO

Soweit personenbezogene Daten verarbeitet werden, erfolgt dies zur Bereitstellung der vom Nutzer angeforderten App-Funktionen gemaess Art. 6 Abs. 1 lit. b DSGVO sowie auf Grundlage des berechtigten Interesses an einer stabilen, sicheren und kompatiblen Bereitstellung der App gemaess Art. 6 Abs. 1 lit. f DSGVO.

10. Data subject rights

If the legal requirements under the GDPR are met, data subjects may in particular have rights to access, rectification, erasure, restriction of processing, objection, and data portability. Requests can be sent to the contact address listed above.

10. Rechte betroffener Personen

Sofern die Voraussetzungen der DSGVO vorliegen, bestehen insbesondere Rechte auf Auskunft, Berichtigung, Loeschung, Einschraenkung der Verarbeitung, Widerspruch sowie Datenuebertragbarkeit. Anfragen koennen an die oben genannte Kontaktadresse gerichtet werden.

11. Changes to this Privacy Policy

This Privacy Policy may be updated if the app, its functions, or legal requirements change. The version published on this page is authoritative.

11. Aenderungen dieser Datenschutzerklaerung

Diese Datenschutzerklaerung kann angepasst werden, wenn sich die App, ihre Funktionen oder die rechtlichen Anforderungen aendern. Massgeblich ist die jeweils auf dieser Seite veroeffentlichte Fassung.