Datenschutzerklärung – SmartInboxPilot

Stand: 17. Oktober 2026

Diese Datenschutzerklärung gilt für die macOS-App SmartInboxPilot.

1. Verantwortlicher

Verantwortlich für die Datenverarbeitung im Zusammenhang mit dieser App im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:

SeaSparks GmbH
Kirchenweg 1
20099 Hamburg
Deutschland

Vertreten durch die Geschäftsführer: Dominik Gorsler, Dr. Philipp Hägler
Telefon: +49 (40) 24859333
E-Mail: privacy@smartinboxpilot.com

Es ist derzeit kein Datenschutzbeauftragter benannt.

2. Grundsatz: local-first

SmartInboxPilot ist ein local-first E-Mail-Programm. Deine E-Mails, Konten, Einstellungen und lokalen Diagnoseprotokolle werden grundsätzlich auf deinem Mac verarbeitet und gespeichert.

SeaSparks betreibt keinen SmartInboxPilot-Server für Mail-Inhalte.
Es gibt kein zentrales SmartInboxPilot-Nutzerkonto bei SeaSparks.
Die App enthält kein Tracking, keine Telemetrie, keine Nutzungsanalyse und keine Werbung.

3. Welche Daten lokal auf deinem Gerät verarbeitet werden

Daten	Zweck	Speicherung
Zugangsdaten deiner E-Mail-Konten, insbesondere Passwörter oder App-Passwörter	Verbindung zu deinem Mail-Anbieter	im macOS-Schlüsselbund
E-Mail-Inhalte, Metadaten und Anhänge	Anzeige, Suche, Offline-Zugriff, lokale Verarbeitung	lokal verschlüsselte Datenbank (SQLCipher)
Einstellungen, Favoriten, Triage-Daten und Ansichtsoptionen	Nutzung der App	lokal verschlüsselte Datenbank
Diagnose- und Absturzprotokolle	lokale Fehleranalyse	lokal auf deinem Gerät
Betriebsstatistiken des Maschinenraums (Laufzeiten, Zähler, feste Kennungen – keine Mailinhalte, keine Adressen)	Anzeige, wie gut die App arbeitet	lokal verschlüsselte Datenbank, höchstens 30 Tage
Lerndaten der Einordnung, darunter deine Phishing-Korrekturen (Kennung der Mail, deine Einstufung, betroffene Prüfmerkmale – keine Mailinhalte)	Anpassung von Einordnung und Phishing-Einstufung an dich	lokal verschlüsselte Datenbank; mit dem Konto gelöscht, über „Gelernte Phishing-Gewichte zurücksetzen“ einzeln löschbar
Bilder aus Mails, die du ausdrücklich nachlädst	Anzeige der Mail	Zwischenspeicher der Anzeigekomponente von macOS (WebKit) auf deinem Mac; liegt außerhalb der verschlüsselten Datenbank und wird beim Neuanfang „Alles löschen“ entfernt

Diese Daten werden nicht an SeaSparks übertragen, solange du sie nicht aktiv an uns sendest.

4. Netzwerkverbindungen und Empfänger

Damit SmartInboxPilot funktioniert, verbindet sich die App mit Diensten, die du selbst nutzt oder auswählst:

Dein E-Mail-Anbieter (IMAP/SMTP)
Zum Abrufen und Senden von Nachrichten verbindet sich die App direkt mit den Servern deines Anbieters. Welche Daten dort verarbeitet werden, richtet sich nach den Datenschutzbestimmungen deines Anbieters.
Automatische Server-Erkennung
Wenn du ein Konto einrichtest, ermittelt die App die Serverdaten automatisch; du kannst sie auch selbst eingeben. Bei der Ermittlung kann die Domain deiner E-Mail-Adresse an einen Autoconfig-Dienst übermittelt werden, etwa an autoconfig.thunderbird.net oder autoconfig.<deine-domain>. Zusätzlich werden DNS-Abfragen über einen DNS-over-HTTPS-Anbieter durchgeführt, primär Cloudflare und ersatzweise Google. Führen diese Schritte zu keinem Ergebnis, wird zur Erkennung von Microsoft-365-Konten abschließend eine Abfrage an login.microsoftonline.com (Microsoft) gesendet. Bei allen genannten Schritten wird ausschließlich die Domain deiner E-Mail-Adresse übertragen – keine E-Mail-Inhalte und keine Zugangsdaten.
Externe Inhalte in E-Mails
Externe Bilder und Schriften in HTML-Mails werden standardmäßig blockiert. Wenn du das Nachladen ausdrücklich erlaubst, ruft die App die jeweilige Ressource direkt vom Fremdserver ab.
Apple App Store / TestFlight
Download, Kauf, Wiederherstellung, Updates und TestFlight-Bereitstellung laufen über Apple. Dabei verarbeitet Apple Daten nach seinen eigenen Datenschutzbestimmungen.
Hugging Face (nur bei ausdrücklichem Modell-Download)
Entscheidest du dich für ein lokales KI-Modell, lädt die App die Modelldatei von huggingface.co bzw. dem zugehörigen Auslieferungsnetz herunter. Übertragen werden dabei ausschließlich die technischen Angaben, die jeder Dateiabruf mit sich bringt (u. a. IP-Adresse und Zeitpunkt) – keine E-Mail-Inhalte, keine Adressen, keine Zugangsdaten. Ohne deinen ausdrücklichen Klick auf „Herunterladen" findet diese Verbindung nicht statt. Einzelheiten in Abschnitt 5.2.

4.1 Anmeldung mit Microsoft (OAuth)

Verbindest du ein Microsoft-Konto (z. B. outlook.com, Hotmail, Live oder Microsoft 365), erfolgt die Anmeldung über das offizielle Microsoft-Login im Browser (OAuth 2.0). Ein Passwort wird dabei nicht in SmartInboxPilot eingegeben oder gespeichert; die Anmeldung erfolgt ausschließlich über OAuth. Derzeit bietet SmartInboxPilot diese Anmeldung nur für Microsoft-Konten an; eine Anmeldung mit Google ist nicht enthalten.

Was gespeichert wird: ein von Microsoft ausgestelltes Zugriffs- und Auffrischungs-Token (statt eines Passworts). Diese Token liegen ausschließlich lokal in der macOS-Schlüsselbundverwaltung bzw. der verschlüsselten lokalen Datenbank; SeaSparks hat keinen Zugriff darauf.
Welche Berechtigungen: SmartInboxPilot fordert nur die minimal nötigen Rechte an – Postfachzugriff und Versand über die Microsoft Graph Mail API (https://graph.microsoft.com/Mail.ReadWrite, https://graph.microsoft.com/Mail.Send) und das Auffrischen der Anmeldung (offline_access) sowie die Anmeldung selbst (openid, profile, email: damit erfährt die App nur, welches Konto angemeldet wurde, insbesondere dessen E-Mail-Adresse). Ein darüberhinausgehender Zugriff auf dein Microsoft-Konto erfolgt nicht.
Wozu: ausschließlich, um deine Mails abzurufen und zu senden – wie bei einem klassischen Mailkonto. Die Analyse deiner Mails (Sortierung, Priorisierung, Antwortentwürfe) läuft lokal auf deinem Gerät; siehe Abschnitt 5.
Widerruf: Du kannst die Verbindung jederzeit beenden, indem du das Konto in der App entfernst und die Berechtigung von SmartInboxPilot in deinem Microsoft-Konto entziehst: für persönliche Microsoft-Konten unter https://account.live.com/consent/Manage, für Arbeits- oder Schulkonten unter https://myapps.microsoft.com.
Löschung: Entfernst du das Konto in der App, werden die Token und alle kontobezogenen lokalen Daten gelöscht (siehe Abschnitt 8).

5. KI-Funktionen

SmartInboxPilot setzt KI an zwei Stellen ein, die getrennt zu betrachten sind. Sie unterscheiden sich in der Technik, im Zweck und vor allem darin, ob sie eine Einwilligung brauchen. In keinem der beiden Fälle wird eine Nachricht automatisch versendet, verschoben oder gelöscht; Ergebnisse sind Vorschläge, über deren Verwendung du entscheidest.

Gruppe A — Einsortierung und Erkennung: ohne Sprachmodell, ohne Einwilligung

Dazu gehören die automatische Einsortierung (Zielordner), die Erkennung „Antwort erwartet", die Phishing-Einstufung und die Einstufung, ob eine Mail eine Aufgabe sein könnte.

Sie arbeiten ohne Sprachmodell, mit eigenen Lernmodellen, die ausschließlich aus deinen eigenen Mails auf deinem Gerät lernen.
Phishing-Einstufung: Sie prüft Merkmale der Mail, etwa Absender, Links, Anhänge und den Absendernachweis, und berücksichtigt dabei auch, ob du dem Absender schon geschrieben hast, ob er in deinem Adressbuch steht und wie du frühere Mails eingestuft hast. Aus deinen Korrekturen passt sie ihre Gewichtung für dein Konto an. Wie vorsichtig sie ist, stellst du je Konto ein. Ist die KI nach Gruppe B eingeschaltet, fließt zusätzlich die Kopfprüfung ein (siehe dort).
Sie gehören zur Grundfunktion der App und hängen nicht an der Einwilligung aus Gruppe B. Der Haken „Einschalten" unter Einstellungen → KI schaltet sie weder ein noch aus. Einzelne dieser Funktionen kannst du in den Kontoeinstellungen abschalten (etwa die Antworterkennung oder das automatische Anlegen von Aufgaben) und die Lernquellen dort selbst bestimmen.
Diese Modelle verlassen dein Gerät nie, werden nicht mit anderen Nutzern zusammengeführt und mit dem Konto gelöscht. SeaSparks verwendet deine Mailinhalte nicht zum Training eigener oder fremder Modelle und beauftragt hierfür keine Unterauftragnehmer. Dies gilt auch für Postfächer, die du per Microsoft-Login verbindest. Für diese rein lokale Verarbeitung empfangen wir keine Daten (Abschnitt 7).

Gruppe B — Analyse und Textentwürfe mit Sprachmodell: nur mit deiner Einwilligung

Dazu gehören die Analyse einzelner Nachrichten durch ein Sprachmodell (Phishing-Kopfprüfung, Zweitprüfung auffälliger Nachrichten auf erwartete Antwort und offene Aufgaben, Aufgabenbeschreibungen) und die Erzeugung von Text (Antwortentwürfe, Thread-Zusammenfassungen, Textverbesserung und Korrektur).

Nur diese Gruppe ist standardmäßig deaktiviert und muss von dir ausdrücklich eingeschaltet werden — in der App im Assistenten „KI einrichten" oder unter Einstellungen → KI, Abschnitt „Einschalten", mit einem Haken, dessen Text den gewählten Verarbeitungsweg nennt. Ohne diese Einwilligung findet keine Sprachmodell-Verarbeitung statt.
Standardmäßig und bevorzugt läuft sie on-device über Apple Intelligence oder ein von dir ausdrücklich heruntergeladenes lokales Modell. Inhalte verlassen dafür nicht dein Gerät.
Die Auswahl eines Verarbeitungswegs aktiviert keine KI-Verarbeitung. Erst wenn du den Haken „Einschalten" ausdrücklich setzt, verarbeitet SmartInboxPilot Maildaten für diese Funktionen. Die Auswahl legt nur fest, wo gerechnet wird — auch das Herunterladen eines lokalen Modells oder die Prüfung einer Cloud-Verbindung ist für sich noch keine Aktivierung. Beim Cloud-Weg nennt dir der Einwilligungstext zusätzlich den Anbieter und den Umfang der übermittelten Daten (Abschnitt 5.1); Anbieter, Endpunkt und Modell werden dir vor der Einwilligung angezeigt.
Lokale Phishing-Kopfprüfung: Ist eine on-device-KI oder ein lokales Modell aktiv, liest das Modell auf deinem Gerät Absendername, Absenderadresse und Betreff neuer Mails im Posteingang, um Anzeichen für Phishing zu erkennen. Diese Prüfung läuft nie über einen Cloud-Anbieter. Ihr Ergebnis ist eines von mehreren Merkmalen der Phishing-Einstufung (Gruppe A); sie verschiebt, löscht oder verändert keine Nachricht.
Lokale Inbox-Zweitprüfung: Ist eine on-device-KI oder ein lokales Modell aktiv, kann die App auffällige Nachrichten automatisch auf erwartete Antwort und offene Aufgaben prüfen. Diese Prüfung bleibt auf deinem Gerät. Ein positives, validiertes Aufgaben-Ergebnis kann die Nachricht lokal als Aufgabe markieren; die Prüfung verschiebt, versendet oder verändert keine Nachricht.
Die Einwilligung ist jederzeit widerrufbar, indem du die Funktionen wieder ausschaltest. Der Widerruf wirkt für die Zukunft; Gruppe A läuft unverändert weiter.

5.1 Optionale Cloud-KI mit eigenem API-Schlüssel

Wenn dein Gerät die on-device-KI nicht unterstützt, kannst du optional einen eigenen, von dir gewählten KI-Dienst („Bring your own key") einrichten. Diese Funktion ist standardmäßig aus und wird nur wirksam, wenn du sie ausdrücklich einschaltest; der Einwilligungstext nennt dabei den Anbieter und den Umfang der übermittelten Daten.

Was übermittelt wird: Wenn du eine Cloud-KI-Aktion ausdrücklich auslöst (z. B. „Zusammenfassung erzeugen", „Antwort erzeugen" oder „Antwort korrigieren"), werden die für diese Aktion ausgewählten Inhalte der Nachricht (z. B. Betreff, Nachrichtentext, Thread-Verlauf) an den von dir konfigurierten Endpunkt gesendet, damit dieser den KI-Text erzeugt. Klickst du auf „Verbindung prüfen", sendet die App nur eine feste Testanfrage ohne Mailinhalte zusammen mit deinem API-Schlüssel an diesen Endpunkt — auch bevor du eingewilligt hast.
Inbox-Zweitprüfung: Neben der allgemeinen Cloud-KI-Einwilligung benötigt diese Funktion eine eigene, zweckgebundene Zustimmung in den Einstellungen. Erst wenn du anschließend bis zu fünf Nachrichten auswählst und die konkrete Übermittlung bestätigst, sendet die App Absenderadresse, Betreff und den für die Prüfung benötigten Nachrichteninhalt an deinen konfigurierten Endpunkt. Die Cloud-Zweitprüfung läuft nie automatisch; ein positives, validiertes Aufgaben-Ergebnis kann die Nachricht lokal als Aufgabe markieren, verschiebt, versendet oder verändert aber keine Nachricht.
Ordnerberater: Der Ordnerberater schlägt für ein Konto mit vollem Posteingang eine Ordnerstruktur vor und ordnet dafür die neuesten Mails des Posteingangs (höchstens 2.000) in Kategorien ein. Läuft die KI auf deinem Gerät, verlässt dafür nichts deinen Mac. Hast du einen Cloud-KI-Dienst eingerichtet, fragt dich die App vor dem Einordnen gesondert um deine Einwilligung und nennt dabei Anbieter, Modell und Umfang: Übertragen werden je Mail Absendername und -adresse, Betreff und die ersten 400 Zeichen des Textes. Die Einwilligung gilt für diesen Anbieter, dieses Modell und die genannte Mailzahl, höchstens sieben Tage, und wird lokal protokolliert (Zeitpunkt, Anbieter, Modell, Umfang). Du kannst sie jederzeit im Ordnerberater zurückziehen; danach findet keine weitere Übertragung statt. Ein Wechsel des Anbieters oder Modells beendet sie ebenfalls. Ordner werden erst nach deiner Rückfrage angelegt; verschoben wird nichts.
An wen: an den KI-Anbieter, dessen Endpunkt-Adresse und API-Schlüssel du selbst hinterlegst. Du gehst dieses Verhältnis direkt mit dem von dir gewählten Anbieter ein; es gelten dessen Vertrags- und Datenschutzbedingungen. Die Verbindung wird unmittelbar von deinem Gerät zu diesem Endpunkt hergestellt. SeaSparks betreibt für die Cloud-KI keinen eigenen Server, verwendet keinen Standardanbieter und leitet keine Inhalte über eigene Systeme.
Rechtsgrundlage: Deine ausdrückliche Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), die du jederzeit durch Deaktivieren der Cloud-KI und, für die Inbox-Zweitprüfung, zusätzlich durch Deaktivieren dieser gesonderten Zustimmung in den Einstellungen widerrufen kannst.
Kein Zugriff von SeaSparks: Dein API-Schlüssel wird ausschließlich lokal in der macOS-Schlüsselbundverwaltung gespeichert und nicht an SeaSparks übertragen. SeaSparks erhält weder den Schlüssel noch die übermittelten Inhalte.

5.2 Optionales lokales KI-Modell (Download von einer Drittquelle)

Als dritten Weg kannst du optional ein KI-Modell auf dein Gerät laden und die generativen Funktionen vollständig offline betreiben. Diese Funktion ist standardmäßig aus; das Modell ist nicht Teil der App und wird erst auf deine ausdrückliche Auswahl hin geladen.

Woher: Die App bietet eine feste, von uns geprüfte Auswahl von Modellen an. Die Dateien liegen bei Hugging Face (Hugging Face, Inc., USA) und werden direkt von deinem Gerät dorthin abgerufen – nicht über Server von SeaSparks. Gibst du in den Einstellungen selbst die Adresse eines Modells ein, lädt die App die Datei von dem Anbieter, den du damit wählst; es gelten dessen Bedingungen, und diese Datei ist nicht von uns geprüft.
Was dabei übermittelt wird: ausschließlich das, was ein Dateiabruf technisch erfordert, insbesondere deine IP-Adresse, der Zeitpunkt und die angeforderte Datei. Es werden keine E-Mail-Inhalte, keine E-Mail-Adressen, keine Betreffzeilen und keine Zugangsdaten übertragen. Ein Nutzerkonto bei Hugging Face ist nicht erforderlich, und die App legt dort keines an.
Wann: nur nach deinem ausdrücklichen Klick auf „Herunterladen". Ohne diesen Klick nimmt die App zu Hugging Face keine Verbindung auf.
Danach: Das Modell liegt lokal auf deinem Gerät. Alle damit erzeugten Texte entstehen ausschließlich offline; für die Nutzung des Modells verlassen keine Inhalte dein Gerät. Du kannst das Modell jederzeit in den Einstellungen wieder löschen.
Rechtsgrundlage: Deine ausdrückliche Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), erteilt durch die Auswahl und den Download; widerrufbar durch Löschen des Modells.
Drittlandbezug: Hugging Face, Inc. hat seinen Sitz in den USA; der Abruf kann daher eine Übermittlung in ein Drittland darstellen. Siehe Abschnitt 10.
Lizenzen: Wir bieten ausschließlich Modelle unter freizügigen Lizenzen (Apache-2.0 oder MIT) an. Die jeweilige Lizenz wird dir vor dem Download angezeigt. Modelle, deren Nutzung eine gesonderte Zustimmung beim Anbieter verlangt, bieten wir bewusst nicht an.

6. Wenn du uns kontaktierst

Wenn du uns per E-Mail kontaktierst oder uns freiwillig Diagnoseprotokolle, Screenshots oder sonstige Informationen sendest, verarbeiten wir die von dir übermittelten Daten, um dein Anliegen zu bearbeiten.

Das betrifft insbesondere:

Kontaktdaten wie Name und E-Mail-Adresse
Inhalt deiner Nachricht
freiwillig gesendete technische Informationen oder Log-Dateien

Bitte beachte: Von dir übermittelte Log-Dateien oder Screenshots können je nach Einzelfall auch personenbezogene Daten oder Ausschnitte lokaler Inhalte enthalten, etwa E-Mail-Adressen, Betreffzeilen oder technische Metadaten. Du entscheidest selbst, was du uns sendest.

7. Rechtsgrundlagen

Soweit überhaupt eine Verarbeitung personenbezogener Daten durch SeaSparks stattfindet, stützen wir sie auf folgende Rechtsgrundlagen:

Art. 6 Abs. 1 lit. b DSGVO, soweit die Verarbeitung zur Bearbeitung eines von dir angeforderten Support- oder Vertragsanliegens erforderlich ist
Art. 6 Abs. 1 lit. f DSGVO, soweit die Verarbeitung unserem berechtigten Interesse an einer funktionsfähigen, sicheren und supportfähigen Software dient
Art. 6 Abs. 1 lit. c DSGVO, soweit gesetzliche Aufbewahrungspflichten bestehen

Für die rein lokale Verarbeitung auf deinem Gerät empfangen wir grundsätzlich keine Daten.

8. Speicherdauer und Löschung

Lokale App-Daten bleiben auf deinem Gerät, bis du sie selbst löschst.
Wenn du ein Konto in der App entfernst, werden der lokale Zwischenspeicher, Einstellungen und zugehörige Schlüsselbund-Einträge auf deinem Gerät entfernt.
Mit „Alle lokalen Daten löschen“ (in den Einstellungen) entfernst du alles, was SmartInboxPilot auf deinem Mac angelegt hat: die verschlüsselte Datenbank mit allen Zwischenspeichern und gelernten Modellen, heruntergeladene KI-Modelle, Protokolldateien, Einstellungen und die Schlüsselbund-Einträge dieser Installation. Auf deinem Mailserver ändert sich dabei nichts. Nach einer Rückfrage startet die App neu, als wäre sie frisch installiert.
Beim bloßen Löschen von SmartInboxPilot.app werden lokale Daten und Schlüsselbund-Einträge nicht automatisch vollständig entfernt. Wie du SmartInboxPilot restlos entfernst, steht Schritt für Schritt auf der Support-Seite („Wie entferne ich SmartInboxPilot restlos von meinem Mac?").
Kontakt- und Supportdaten, die du uns aktiv sendest, speichern wir nur so lange, wie es zur Bearbeitung deines Anliegens und zur Erfüllung gesetzlicher Pflichten erforderlich ist.

9. Deine Rechte

Dir stehen nach der DSGVO grundsätzlich die Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch zu. Außerdem hast du das Recht, dich bei einer Datenschutz-Aufsichtsbehörde zu beschweren.

Soweit Daten ausschließlich lokal auf deinem Gerät oder bei deinem Mail-Anbieter liegen, können wir dazu in der Regel keine inhaltliche Auskunft erteilen, weil wir diese Daten nicht bei uns speichern. Das gilt nicht für Daten, die du uns aktiv im Rahmen von Support- oder Kontaktanfragen übermittelst.

10. Datenübermittlung in Drittländer

SeaSparks übermittelt im Rahmen des normalen local-first-App-Betriebs keine personenbezogenen Mail-Inhalte in Drittländer.

Allerdings können im Rahmen der von dir genutzten Infrastruktur Drittlandbezüge entstehen:

bei deinem Mail-Anbieter
bei Apple
bei den genannten Autoconfig-, DNS-over-HTTPS- und Microsoft-365-Erkennungsdiensten
bei E-Mail-Kommunikation mit uns über die jeweiligen Mail-Anbieter
bei Hugging Face, Inc. (USA), wenn du dich ausdrücklich für den Download eines lokalen KI-Modells entscheidest (Abschnitt 5.2). Übermittelt werden dabei nur die technischen Angaben eines Dateiabrufs (IP-Adresse, Zeitpunkt, angeforderte Datei) – keine E-Mail-Inhalte und keine Zugangsdaten. Ohne diesen Schritt entsteht hier kein Drittlandbezug.
bei dem von dir selbst eingerichteten Cloud-KI-Anbieter (Abschnitt 5.1), falls dieser seinen Sitz oder seine Server in einem Drittland hat. Die direkte Verbindung zu diesem Anbieter stellst du mit deinem eigenen API-Schlüssel von deinem Gerät her. SeaSparks wählt weder den Anbieter noch dessen Standort und übermittelt keine Inhalte über eigene Systeme. Informationen über die Verarbeitung und mögliche Drittlandübermittlungen dieses Anbieters findest du in dessen Datenschutzinformationen.

Zur Transparenz: Die in Abschnitt 4 genannten Dienste Mozilla ISPDB, Cloudflare, Google und Microsoft werden von Anbietern mit Sitz in den USA betrieben. Bei der automatischen Server-Erkennung wird dabei nur die Domain deiner E-Mail-Adresse übermittelt, nicht die vollständige E-Mail-Adresse und nicht der Inhalt deiner Nachrichten.

11. Änderungen dieser Datenschutzerklärung

Wir passen diese Datenschutzerklärung an, wenn sich die App oder die rechtlichen Rahmenbedingungen ändern. Maßgeblich ist die jeweils veröffentlichte Fassung mit Datum.

12. Kontakt

Fragen zum Datenschutz kannst du an privacy@smartinboxpilot.com richten.

Last updated: 17 October 2026

This Privacy Policy applies to the macOS app SmartInboxPilot.

1. Controller

The controller responsible for data processing in connection with this app within the meaning of the General Data Protection Regulation (GDPR) is:

SeaSparks GmbH
Kirchenweg 1
20099 Hamburg
Germany

Represented by the managing directors: Dominik Gorsler, Dr. Philipp Hägler
Phone: +49 (40) 24859333
E-mail: privacy@smartinboxpilot.com

No data protection officer has currently been appointed.

2. Principle: local-first

SmartInboxPilot is a local-first e-mail application. Your e-mails, accounts, settings and local diagnostic logs are generally processed and stored on your Mac.

SeaSparks does not operate a SmartInboxPilot server for mail content.
There is no central SmartInboxPilot user account with SeaSparks.
The app contains no tracking, telemetry, usage analytics or advertising.

3. Which data is processed locally on your device

Data	Purpose	Storage
Credentials for your e-mail accounts, in particular passwords or app passwords	connecting to your mail provider	in the macOS Keychain
E-mail content, metadata and attachments	display, search, offline access, local processing	locally encrypted database (SQLCipher)
Settings, favourites, triage data and view options	using the app	locally encrypted database
Diagnostic and crash logs	local troubleshooting	locally on your device
Operating statistics of the Machinery (run times, counters, fixed identifiers – no mail content, no addresses)	showing how well the app is working	locally encrypted database, at most 30 days
Learning data for classification, including your phishing corrections (message identifier, your classification, affected check features – no mail content)	adapting filing and phishing classification to you	locally encrypted database; deleted with the account, can be cleared via “Reset learned phishing weights”
Images from mails that you explicitly load	displaying the mail	cache of the macOS display component (WebKit) on your Mac; it sits outside the encrypted database and is removed by the fresh start “Delete everything”

This data is not transmitted to SeaSparks unless you actively send it to us.

4. Network connections and recipients

For SmartInboxPilot to work, the app connects to services that you use or choose yourself:

Your e-mail provider (IMAP/SMTP)
To retrieve and send messages, the app connects directly to your provider's servers. What data is processed there is governed by your provider's privacy policy.
Automatic server detection
When you set up an account, the app detects the server settings automatically; you can also enter them yourself. During detection, the domain of your e-mail address may be sent to an autoconfig service such as autoconfig.thunderbird.net or autoconfig.<your-domain>. In addition, DNS lookups are performed via a DNS-over-HTTPS provider, primarily Cloudflare and Google as a fallback. If these steps yield no result, a final query is sent to login.microsoftonline.com (Microsoft) to detect Microsoft 365 accounts. In all of these steps only the domain of your e-mail address is transmitted — no e-mail content and no credentials.
External content in e-mails
External images and fonts in HTML e-mails are blocked by default. If you explicitly allow loading them, the app retrieves the respective resource directly from the third-party server.
Apple App Store / TestFlight
Download, purchase, restore, updates and TestFlight distribution are handled by Apple. Apple processes data under its own privacy terms.
Hugging Face (only on an explicit model download)
If you choose a local AI model, the app downloads the model file from huggingface.co or its content delivery network. Only the technical details that any file download entails are transmitted (including your IP address and the time of the request) — no e-mail content, no addresses, no credentials. Without your explicit click on "Download", this connection is not established. Details in section 5.2.

4.1 Sign in with Microsoft (OAuth)

If you connect a Microsoft account (e.g. outlook.com, Hotmail, Live or Microsoft 365), sign-in happens through Microsoft's official browser login (OAuth 2.0). You do not enter or store a password in SmartInboxPilot; sign-in uses OAuth only. SmartInboxPilot currently offers this sign-in for Microsoft accounts only; sign-in with Google is not included.

What is stored: an access and refresh token issued by Microsoft (instead of a password). These tokens live locally only, in the macOS keychain or the encrypted local database; SeaSparks has no access to them.
Which permissions: SmartInboxPilot requests only the minimum needed — mailbox access and sending over the Microsoft Graph Mail API (https://graph.microsoft.com/Mail.ReadWrite, https://graph.microsoft.com/Mail.Send) and refreshing the sign-in (offline_access) and the sign-in itself (openid, profile, email: this only tells the app which account was signed in, in particular its e-mail address). No further access to your Microsoft account takes place.
Purpose: solely to retrieve and send your mail, like a classic mail account. Analysis of your mail (sorting, prioritising, reply drafts) runs locally on your device; see section 5.
Revocation: you can end the connection at any time by removing the account in the app and revoking SmartInboxPilot's permission in your Microsoft account: for a personal Microsoft account at https://account.live.com/consent/Manage, or for a work or school account at https://myapps.microsoft.com.
Deletion: removing the account in the app deletes the tokens and all account-related local data (see section 8).

5. AI features

SmartInboxPilot uses AI in two places that must be considered separately. They differ in technology, in purpose and above all in whether they require consent. In neither case is a message sent, moved or deleted automatically; results are suggestions and you decide whether to use them.

Group A — filing and detection: no language model, no consent

This covers automatic filing (target folder), the "reply expected" detection, the phishing classification and the classification of whether a mail might be a task.

They work without a language model, using dedicated learning models that learn exclusively from your own mail on your device.
Phishing classification: it checks features of the message, such as the sender, links, attachments and sender authentication, and also takes into account whether you have written to the sender before, whether the sender is in your address book and how you classified earlier messages. It adjusts its weighting for your account from your corrections. You set how cautious it is per account. If AI is turned on under group B, the header check is added as well (see there).
They are part of the app's core function and do not depend on the consent in group B. The "Turn on" checkbox under Settings → AI neither turns them on nor off. Individual functions can be switched off in the account settings (for example reply detection or the automatic creation of tasks), and you choose the learning sources there yourself.
These models never leave your device, are never merged with other users, and are deleted together with the account. SeaSparks does not use your mail content to train its own or third-party models and engages no processors for this. This also applies to mailboxes you connect via Microsoft sign-in. For this purely local processing we receive no data (section 7).

Group B — analysis and text drafts with a language model: only with your consent

This covers the analysis of individual messages by a language model (phishing header check, second opinion on unusual messages regarding an expected reply and open tasks, task descriptions) and the generation of text (reply drafts, thread summaries, text improvement and correction).

Only this group is off by default and must be enabled by you explicitly — in the app in the "Set up AI" assistant or under Settings → AI, section "Turn on", with one checkbox whose text names the chosen processing path. Without that consent no language-model processing takes place.
By default it runs on-device using Apple Intelligence or a local model you explicitly download. No content leaves your device for this.
Choosing a processing path does not activate any AI processing. Only once you explicitly tick "Turn on" does SmartInboxPilot process mail data for these functions. The choice only decides where the computation happens — downloading a local model or checking a cloud connection is not an activation either. For the cloud path, the consent text additionally names the provider and the scope of the data transmitted (section 5.1); provider, endpoint and model are shown to you before you consent.
Local phishing header check: where on-device AI or a local model is active, the model on your device reads the sender name, sender address and subject of new messages in the inbox to detect signs of phishing. This check never runs through a cloud provider. Its result is one of several features of the phishing classification (group A); it does not move, delete or otherwise alter a message.
Local Inbox second opinion: where on-device AI or a local model is active, the app may automatically review unusual messages for an expected reply and open tasks. The review stays on your device. A positive, validated task result may mark the message as a local task; the review does not move, send or otherwise alter a message.
The consent can be withdrawn at any time by switching the features off again. Withdrawal takes effect for the future; group A continues unchanged.

5.1 Optional cloud AI with your own API key

If your device does not support on-device AI, you may optionally configure an AI service of your own choice ("bring your own key"). This feature is off by default and only takes effect after you explicitly turn it on; the consent text names the provider and the scope of the data transmitted.

What is transmitted: when you expressly trigger a cloud-AI action (for example, “Generate summary”, “Generate reply” or “Improve reply”), the content selected for that action (for example, subject, message text and thread history) is sent to the endpoint you configure to generate the AI text. When you click "Check connection", the app sends only a fixed test request without any mail content, together with your API key, to that endpoint — even before you have consented.
Inbox second opinion: in addition to the general cloud-AI consent, this function requires separate purpose-specific consent in Settings. Only after you select up to five messages and confirm the specific transfer does the app send the sender address, subject and message content required for the review to your configured endpoint. The cloud second opinion never runs automatically; a positive, validated task result may mark the message as a local task, but does not move, send or otherwise alter a message.
Folder advisor: For an account with a full inbox, the folder advisor suggests a folder structure and, to do so, classifies the newest inbox messages (at most 2,000) into categories. If the AI runs on your device, nothing leaves your Mac for this. If you have configured a cloud AI service, the app asks for your separate consent before classifying and names the provider, model and scope: for each message, the sender name and address, the subject and the first 400 characters of the text are transmitted. The consent applies to that provider, that model and the stated number of messages, for at most seven days, and is logged locally (time, provider, model, scope). You can withdraw it at any time in the folder advisor; no further transfer takes place afterwards. Changing the provider or model ends it as well. Folders are only created after you confirm; nothing is moved.
Recipient: the AI provider whose endpoint address and API key you enter. You enter into this relationship directly with the provider you choose; its contractual and privacy terms apply. The connection is established directly from your device to that endpoint. SeaSparks operates no server for cloud AI, uses no default provider and does not route content through its own systems.
Legal basis: your explicit consent under Art. 6(1)(a) GDPR, which you may withdraw at any time by disabling cloud AI and, for the Inbox second opinion, by disabling that separate consent in Settings.
No SeaSparks access: your API key is stored only in the macOS Keychain and is not transmitted to SeaSparks. SeaSparks receives neither the key nor the transmitted content.

5.2 Optional local AI model (download from a third-party source)

As a third option you can optionally download an AI model to your device and run the generative features entirely offline. This feature is off by default; the model is not part of the app and is only fetched once you explicitly select it.

Where from: The app offers a fixed selection of models reviewed by us. The files are hosted at Hugging Face (Hugging Face, Inc., USA) and are fetched directly from your device — not via SeaSparks servers. If you enter the address of a model yourself in the settings, the app downloads the file from the provider you choose that way; its terms apply, and that file has not been reviewed by us.
What is transmitted: only what a file download technically requires, in particular your IP address, the time of the request and the requested file. No e-mail content, no e-mail addresses, no subject lines and no credentials are transmitted. A Hugging Face account is not required, and the app does not create one.
When: only after your explicit click on "Download". Without that click the app establishes no connection to Hugging Face.
Afterwards: The model resides locally on your device. Any text generated with it is produced entirely offline; using the model sends no content off your device. You can delete the model again at any time in the settings.
Legal basis: Your explicit consent (Art. 6(1)(a) GDPR), given by selecting and downloading the model; revocable by deleting it.
Third-country transfer: Hugging Face, Inc. is based in the USA, so the download may constitute a transfer to a third country. See section 10.
Licences: We only offer models under permissive licences (Apache-2.0 or MIT). The applicable licence is shown to you before the download. Models whose use requires separate consent from the provider are deliberately not offered.

6. If you contact us

If you contact us by e-mail or voluntarily send us diagnostic logs, screenshots or other information, we process the data you submit in order to handle your request.

This may include:

contact data such as your name and e-mail address
the content of your message
technical information or log files that you voluntarily send

Please note that log files or screenshots you send may, depending on the case, also contain personal data or excerpts of local content, such as e-mail addresses, subject lines or technical metadata. You decide what you send us.

7. Legal bases

To the extent SeaSparks processes personal data at all, we rely on the following legal bases:

Art. 6(1)(b) GDPR, where processing is necessary to handle a support or contractual request you asked us to handle
Art. 6(1)(f) GDPR, where processing serves our legitimate interest in a functional, secure and supportable software product
Art. 6(1)(c) GDPR, where statutory retention obligations apply

For the purely local processing on your device, we generally do not receive the data ourselves.

8. Storage duration and deletion

Local app data remains on your device until you delete it yourself.
If you remove an account in the app, the local cache, settings and related Keychain entries are removed on your device.
“Delete all local data” (in Settings) removes everything SmartInboxPilot has created on your Mac: the encrypted database with all caches and learned models, downloaded AI models, log files, settings and this installation’s Keychain entries. Nothing changes on your mail server. After a confirmation the app restarts as if freshly installed.
Simply deleting SmartInboxPilot.app does not automatically remove all local data or Keychain entries. Step-by-step instructions for removing SmartInboxPilot completely are on the support page ("How do I remove SmartInboxPilot completely from my Mac?").
Contact and support data that you actively send to us is stored only for as long as necessary to handle your request and comply with legal obligations.

9. Your rights

Under the GDPR, you generally have rights of access, rectification, erasure, restriction of processing, data portability and objection. You also have the right to lodge a complaint with a data protection supervisory authority.

Where data exists only locally on your device or with your mail provider, we generally cannot provide substantive access to that data because we do not store it ourselves. This does not apply to data you actively send to us in the course of support or contact requests.

10. Transfers to third countries

SeaSparks does not transfer personal mail content to third countries as part of the normal local-first operation of the app.

However, third-country aspects may arise through infrastructure that you use:

your mail provider
Apple
the autoconfig, DNS-over-HTTPS and Microsoft 365 detection services named above
e-mail communication with us through the respective mail providers
Hugging Face, Inc. (USA), if you explicitly choose to download a local AI model (section 5.2). Only the technical details of a file download are transmitted (IP address, time, requested file) — no e-mail content and no credentials. Without that step no third-country transfer arises here.
the cloud-AI provider you personally configure (section 5.1), if that provider is established in, or processes data in, a third country. You establish the direct connection to that provider from your device with your own API key. SeaSparks neither chooses the provider nor its location and does not transmit content through its own systems. Refer to that provider's privacy information for its processing and potential third-country transfers.

For transparency: the Mozilla ISPDB, Cloudflare, Google and Microsoft services named in Section 4 are operated by providers based in the United States. During automatic server detection, only the domain of your e-mail address is transmitted, not the full e-mail address and not the content of your messages.

11. Changes to this Privacy Policy

We will update this Privacy Policy if the app or the legal framework changes. The version published with its date is the controlling version.

12. Contact

Privacy questions can be sent to privacy@smartinboxpilot.com.