Was gespeichert wird

Diese Seite listet auf, was Formdall tatsächlich ablegt: die Einstellungen deiner Formulare, die Inhalte gespeicherter Einsendungen, die Zählwerke hinter den Diagrammen und die Daten deines Kontos. Wie lange das alles liegen bleibt, steht unter Aufbewahrung und Löschung; wie du daraus eine Auskunft erteilst, unter Betroffenenrechte.

Der Inhalt einer Einsendung ist die Ausnahme

Ob Formdall den Inhalt einer Einsendung überhaupt speichert, entscheidest du je Formular. Die Voreinstellung ist, ihn nicht zu speichern: Die Einsendung läuft dann durch die Aktionen und ist danach bei Formdall nirgends abgelegt.

Formulardaten

Zu jedem Formular liegt seine Konfiguration bei Formdall - das, was du im Dashboard oder über MCP eingestellt hast:

• Name und Formular-Schlüssel, dazu der Arbeitsbereich, dem es gehört, und das Konto, das es angelegt hat.
• Ob es aktiv ist, die Weiterleitungs-URL und die erlaubten Herkunftsdomains.
• Das Feld-Schema mit seinem Modus, also die Namen, Typen und Regeln deiner Felder.
• Die Einstellungen der Spam-Abwehr samt Captcha-Modus und Sitekey.
• Ob Einsendungen gespeichert werden und wie lange.

Dazu kommt je Aktion ihr Typ, ihre Reihenfolge, ob sie eingeschaltet ist, ihre Konfiguration - Empfängeradressen, Ziel-URL, Betreffzeilen, Bedingungen - und ihre Zugangsdaten. Alles Geheime daran liegt verschlüsselt: das Signatur-Secret eines Webhooks, die Webhook-URL eines Chat-Kanals, die Topic-URL und der Zugangs-Token eines ntfy-Pushs und das Captcha-Secret des Formulars. Die Topic-URL zählt mit dazu, weil auf einer öffentlichen ntfy-Instanz der Topic-Name selbst der Zugang ist.

Einsendungsdaten

Steht der Schalter Einsendungen speichern an, legt Formdall zu jeder angenommenen Einsendung einen Datensatz an. Er besteht aus fünf Teilen:

Was	Inhalt
Feldinhalte	die gesendeten Felder mit Name und Wert, so wie sie das Feld-Schema passiert haben
Herkunfts-Host	der Hostname aus Origin beziehungsweise Referer, also die Seite, auf der das Formular steht
IP-Hash	ein Hashwert der Absender-IP, nie die Adresse selbst
Zeitstempel	Eingang, erstes Öffnen im Posteingang und das errechnete Löschdatum
Zustellprotokoll	je Aktion ein Eintrag, siehe unten

Die Feldinhalte liegen verschlüsselt in der Datenbank. Deshalb durchsucht der Posteingang auch nicht die Datenbank selbst, sondern höchstens die 2.000 neuesten Einsendungen des aktuellen Filters.

Steuerfelder sortiert Formdall vor dem Speichern aus: Die Antwort eines Captcha-Widgets und die versteckten Felder aus dem Snippet gehören zur Prüfung, nicht zum Inhalt, und tauchen im Posteingang und im CSV-Export nicht auf. Was ankommt, sind die Werte deiner eigenen Felder - Text, so wie das Formular ihn gesendet hat.

Die IP-Adresse des Absenders

Die IP-Adresse einer Einsendung speichert Formdall nie im Klartext. Beim Eingang wird sie mit einem Schlüssel gehasht, der täglich wechselt: Innerhalb eines Tages lassen sich damit mehrere Einsendungen derselben Quelle erkennen - genug für die Spam-Abwehr -, über Tagesgrenzen hinweg ergibt dieselbe Adresse einen anderen Hashwert. Zurückrechnen lässt sich aus dem Hash keine Adresse.

Einen User-Agent, ein Cookie oder eine Kennung des Besuchers erhebt Formdall beim Absenden nicht. Der Einsende-Endpunkt kommt ohne Sitzung aus und setzt im Browser der ausfüllenden Person nichts.

Metadaten

Neben den Einsendungen selbst führt Formdall ein paar Aufzeichnungen, die auch dann entstehen, wenn du Einsendungen gar nicht speicherst.

Zählwerke

Alle Zahlen im Dashboard kommen aus reinen Zählern, nicht aus den Inhalten:

• Einsendungen je Formular und Tag, die Grundlage der Verlaufsdiagramme.
• Abgewiesene Einsendungen je Formular, Tag und Grund - die Spam-Statistik, also wie oft honeypot_filled, captcha_failed, quota_exceeded und die übrigen Ablehnungsgründe gegriffen haben.
• Verbrauch je Arbeitsbereich und Monat, an dem das Kontingent hängt.

Ein Zähler ist eine Zahl je Tag und Formular. Er enthält keine Feldinhalte und keinen Bezug zu einer einzelnen Einsendung.

Zustellprotokolle

Jede ausgelöste Aktion hinterlässt einen Eintrag: um welche Aktion es ging, ihr Status, die Zahl der Versuche, bei HTTP-Zielen der Antwortcode und im Fehlerfall die Meldung des Ziels, dazu die Zeitstempel. Den Inhalt der Einsendung enthält ein solcher Eintrag nicht. Sichtbar sind die Einträge in der Detailansicht einer Einsendung, und sie werden zusammen mit ihr gelöscht.

Prüfprotokoll

Sicherheitsrelevante Vorgänge an einem Konto hält Formdall aus Sicherheitsgründen im Prüfprotokoll fest, damit sich später nachvollziehen lässt, wer was ausgelöst hat. Ein Eintrag besteht aus dem Ereignis, dem handelnden Konto und dem Zeitpunkt; die IP-Adresse steht auch hier nur als Hashwert.

Kontodaten

Zu deinem Konto liegen bei Formdall dein Name, deine E-Mail-Adresse, deine Sprache und deine Zeitzone und die Verfahren, mit denen du dich anmeldest: der Hashwert deines Passworts, die verknüpften Anbieterkonten mit Anbieter und dortiger Kennung, deine Passkeys mit Name und öffentlichem Schlüssel sowie - bei aktiver Zwei-Faktor-Authentifizierung - das verschlüsselte TOTP-Geheimnis und die verschlüsselten Wiederherstellungscodes. Änderst du deine Adresse, kommt die neue bis zur Bestätigung als vorgemerkte Adresse dazu. Festgehalten wird außerdem der Zeitpunkt, zu dem du bei der Registrierung den AGB zugestimmt hast; er datiert nach AGB § 9 zugleich den Auftragsverarbeitungsvertrag deines Arbeitsbereichs.

Dazu kommen die Verbindungen, die du über den MCP-Server erteilt hast, jeweils mit Anwendung, Berechtigungen und Datum, und - sobald ein Arbeitsbereich ein Abo hat - die Kundenkennung bei Creem und die Eckdaten des Abos. Die Zahlungsdaten selbst liegen bei Creem, nicht bei Formdall.

Eine Kündigung über den Kündigungsbutton wird gesondert festgehalten: mit dem erklärten Namen, der erklärten E-Mail-Adresse, dem bezeichneten Vertrag, dem Zeitpunkt und der IP-Adresse im Klartext. Diese Zeile ist der Nachweis der Kündigungserklärung nach § 312k BGB und steht deshalb als Einzige nicht unter der Hash-Regel der übrigen Protokolle.