BlattPilot – Datenschutz / Privacy

KLARFINK · BLATTPILOT FÜR WINDOWS · Stand: 25. Oktober 2026 · Version 1.3

Datenschutzhinweise für BlattPilot

BlattPilot verarbeitet Ihre ausgewählten Dokumente auf Ihrem Windows-Gerät. Die App hat keine eigene Dokumentcloud, kein App-Konto und keine eingebaute Telemetrie oder automatische Übermittlung von Fehlerberichten an den Anbieter.

Geöffnete Dokumente können personenbezogene und vertrauliche Angaben enthalten. BlattPilot liest diese Inhalte zur Anzeige und Bearbeitung. Auch Dateinamen, Pfade und gespeicherte Seitenvorschauen können personenbezogene Daten enthalten.

1. Anbieter und Kontakt

Anbieter von BlattPilot und verantwortlich für personenbezogene Daten, die Sie dem Anbieter direkt übermitteln:

Stephan Prietz
Thomas-Mann-Str. 7
23564 Lübeck
Deutschland
E-Mail: prietz-consulting@outlook.de
Telefon: +49 172 3201343

Durch die gewöhnliche lokale Nutzung von BlattPilot erhält der Anbieter keinen Zugriff auf Ihre Dokumente. Wenn Sie Dokumente anderer Personen verarbeiten, wählen Sie selbst die Dateien, Zwecke, Speicherorte und Empfänger aus.

2. Welche Daten die App lokal verarbeitet

Daten	Zweck und Speicherort
Dokumentinhalte	Ausgewählte Dateien, Text, Bilder, Formularwerte, Kommentare, Anmerkungen und vorhandene Dokumentmetadaten werden für Lesen, Bearbeiten, Suche, Konvertierung und Ausgabe verarbeitet. Ihre Originaldateien und gespeicherten Ausgaben liegen an den von Ihnen gewählten Orten.
Bibliothek	Dokumentname, vollständiger Dateipfad, Format, Seitenzahl sowie Öffnungs-, Änderungs- und Größenangaben werden standardmäßig in `%LOCALAPPDATA%\BlattPilot\library.json` gespeichert. Die Bibliothek enthält keinen Volltextindex.
Seitenvorschauen	PNG-Bilder der ersten Dokumentseite liegen in `%LOCALAPPDATA%\BlattPilot\thumbnails`. Diese Bilder können sichtbare personenbezogene Angaben enthalten. Die Dateinamen verwenden Hashwerte; dadurch werden die Bildinhalte und die Dateipfade in der Bibliothek nicht anonymisiert.
Einstellungen	Oberflächen- und Dokumentsprache, Farbschema, Animationseinstellung und gegebenenfalls der Pfad zu einer selbst gewählten OCR-Installation liegen in `%LOCALAPPDATA%\BlattPilot\settings.json`.
Stempel- und Unterschriftvorlagen	Auf ausdrückliches Speichern werden Vorlagenamen, Stempeltext, eingegebener Name und Farbe oder neu kodierte Unterschriftbilder in `%LOCALAPPDATA%\BlattPilot\annotation-presets.dat` abgelegt. Windows-DPAPI verschlüsselt diese Datei für das aktuelle Benutzerkonto. Bildmetadaten und Quellbildpfade werden nicht gespeichert. Es erfolgt keine Übertragung; pro Typ sind höchstens 32 Vorlagen möglich. Bereits in PDF-Ausgaben eingefügte Unterschriften bleiben Bestandteil dieser Dateien und sind damit nicht durch die Vorlagenverschlüsselung geschützt.
Temporäre Verarbeitung	OCR kann Seitenbilder und Zwischen-PDFs im Windows-Temporärverzeichnis erzeugen. Bei einer Office-Konvertierung können eine lokale Dateikopie, ein Zwischen-PDF und Prozessangaben dort liegen. Arbeits- und Undo-Zwischenstände werden außerdem im Arbeitsspeicher gehalten.

Die App verschlüsselt die Bibliotheks-JSON-Dateien und PNG-Vorschauen nicht zusätzlich. Ihr Schutz hängt von den Zugriffsrechten Ihres Windows-Kontos, dem Gerät und gegebenenfalls Ihrer Laufwerksverschlüsselung ab.

3. Aufbewahrung und Löschmöglichkeiten

Einstellungen und Bibliothek bleiben für spätere Programmstarts erhalten. Es gibt keine feste Löschfrist nach einer bestimmten Zahl von Tagen. Die Bibliothek ist auf 200 Einträge begrenzt; der Vorschaucache wird auf höchstens 256 MiB begrenzt und nicht mehr benötigte Cachebilder werden entfernt.

Vorlage entfernen: Unter Werkzeuge → Prüfen → Stempel oder Unterschrift die gespeicherte Vorlage auswählen und „Vorlage löschen“ verwenden. Bereits gesetzte PDF-Markierungen können im Markierungsfeld entfernt werden; gespeicherte PDF-Kopien bleiben erhalten.
Einzelnes Dokument vergessen: In der Bibliothek die Kachel rechts anklicken und „Aus Bibliothek entfernen“ wählen. Dadurch werden der Eintrag und seine nicht mehr benötigte Vorschau entfernt. Die Originaldatei und bereits gespeicherte Ausgaben bleiben erhalten.
Alle App-Einstellungen und Bibliotheksdaten zurücksetzen: BlattPilot vollständig schließen. Im Windows-Explorer %LOCALAPPDATA%\BlattPilot öffnen und ausschließlich diesen BlattPilot-Ordner löschen. Beim nächsten Start werden benötigte App-Daten neu angelegt. Damit werden auch gegebenenfalls erhaltene Bibliothekssicherungen entfernt.
Originale, Exporte und Sicherungen löschen: Diese Dateien an ihren jeweiligen Speicherorten getrennt entfernen. Windows-Papierkorb, eigene Backups und synchronisierte Kopien werden dadurch nicht automatisch bereinigt.

Bei beschädigten Bibliotheksdaten kann die App eine lokale Sicherung mit dem Namen library.json.corrupt-… aufbewahren. Diese kann alte Namen und Pfade enthalten und bleibt bis zu Ihrer Löschung bestehen.

Die app-eigenen temporären OCR- und Office-Verzeichnisse werden nach regulärem Abschluss oder Abbruch bereinigt. Bei einem Absturz oder einer Unterbrechung können Dateien zurückbleiben. Betriebssystem und Office können außerdem eigene temporäre Dateien, Auslagerungsdateien, Druckdaten oder Fehlerabbilder verwalten. Eine normale Dateilöschung ist keine zugesicherte sichere Löschung von Datenträgern.

Eine Schwärzung oder Änderung in einer neuen Ausgabedatei bereinigt nicht automatisch Ihre Originale, alte Exporte, Backups oder bereits gespeicherten Bibliotheksvorschauen.

4. Dienste außerhalb der App

Office-Konvertierung: Beim Öffnen oder Konvertieren unterstützter Office-Dateien kann BlattPilot eine vorhandene lokale Installation von Word, Excel oder PowerPoint nutzen. Der Konvertierungshelfer deaktiviert Makros und Linkaktualisierungen. Office ist ein eigenständiges Produkt; dessen Diagnose- und verbundene Dienste richten sich nach Ihrer Office-Installation und deren Einstellungen.
Drucken: Ein von Ihnen bestätigter Druckauftrag wird an das Windows-Drucksystem und den ausgewählten Drucker weitergegeben. Je nach Druckereinrichtung kann dies ein Netzwerk- oder Cloud-Druckdienst sein.
Teilen: BlattPilot speichert eine Freigabe-PDF am gewählten Ort und zeigt sie im Windows-Explorer. Die App versendet die Datei dabei nicht selbst. Eine anschließende Freigabe über E-Mail, Cloudspeicher oder andere Programme erfolgt über Ihre gewählten Dienste.
Links und Zwischenablage: Nach Ihrer Bestätigung kann ein Link im Standardbrowser oder E-Mail-Programm geöffnet werden. Kopierter Text gelangt in die Windows-Zwischenablage. Für Webseiten, E-Mail-Versand und eine gegebenenfalls aktivierte Zwischenablagesynchronisierung gelten die jeweiligen Dienste und Einstellungen.
Speicherorte und Betriebssystem: OneDrive-Ordner, Netzlaufwerke, Backupsoftware, Sicherheitssoftware und Windows-Diagnose können Daten unabhängig von BlattPilot verarbeiten. Lokale Verarbeitung durch BlattPilot bedeutet deshalb nicht, dass jede von Ihnen gewählte Datei oder jeder Dienst ausschließlich auf dem Gerät verbleibt.

BlattPilot selbst lädt keine externen Dokumentressourcen für die passive Konvertierung oder EPUB-Anzeige nach und bietet keinen automatischen Dokumentupload an den Anbieter.

5. Kauf, Download und Kontakt mit dem Anbieter

Kauf-, Zahlungs-, Konto- und Downloadvorgänge im Shop oder Microsoft Store sind von der lokalen Dokumentverarbeitung getrennt. Sie richten sich nach der Datenschutzerklärung des Klarfink-Shops und den Microsoft-Datenschutzbestimmungen. Auch für den Besuch dieser im Shop gehosteten Informationsseite gelten die Datenschutzhinweise des Shops.

Wenn Sie den Anbieter freiwillig kontaktieren, verarbeitet er Ihre Kontaktdaten und den Inhalt Ihrer Nachricht zur Bearbeitung des Anliegens. E-Mail wird über das angegebene Microsoft-Outlook-Postfach abgewickelt. Senden Sie nur die für Ihr Anliegen erforderlichen Angaben; Dokumentanhänge sind für die gewöhnliche App-Nutzung nicht erforderlich.

Vertragsbezogene Anliegen werden auf Grundlage von Art. 6 Abs. 1 Buchst. b DSGVO bearbeitet; allgemeine Anfragen auf Grundlage des berechtigten Interesses an ihrer Beantwortung nach Buchst. f. Gesetzlich erforderliche Aufbewahrung beruht auf Buchst. c. Kontaktdaten werden für die Bearbeitung des Anliegens und gegebenenfalls erforderliche Nachweise aufbewahrt; ergänzende Angaben zur Shop-Verarbeitung stehen in dessen Datenschutzerklärung.

6. Ihre Rechte

Soweit die gesetzlichen Voraussetzungen vorliegen, können Sie Auskunft, Berichtigung, Löschung, Einschränkung und Datenübertragbarkeit verlangen. Bei Verarbeitung aufgrund berechtigter Interessen besteht ein Widerspruchsrecht; eine erteilte Einwilligung können Sie für die Zukunft widerrufen. Richten Sie Anliegen zu Daten beim Anbieter an die oben genannte Kontaktadresse.

Sie können sich bei einer zuständigen Datenschutzaufsichtsbehörde beschweren, beispielsweise beim Unabhängigen Landeszentrum für Datenschutz Schleswig-Holstein. Ihre nur lokal gespeicherten Dokumente und App-Daten kann der Anbieter nicht aus der Ferne einsehen oder löschen; dafür stehen Ihnen die oben beschriebenen lokalen Löschmöglichkeiten zur Verfügung.

Diese Hinweise beschreiben die Desktop-App und die genannten Datenwege. Sie sind keine Nutzungs- oder Lizenzvereinbarung. Informationen zu gesetzlichen Datenschutzrechten: Datenschutz-Grundverordnung.

Neue optionale Datenwege in Version 1.3

Lesepositionen werden lokal unter %LOCALAPPDATA%\BlattPilot\reading-progress.json gespeichert: Hash eines Pfads, Dateigröße/Änderungszeit, Seitenzahl, Position und Zeitstempel; höchstens 200 Einträge. Optional speichert ein ausdrücklich gewählter Fortschrittsordner geräteweise Dateien mit SHA-256 der Originalbytes und Leseposition. Die Datei enthält keine Dokumenttexte oder Dateinamen; Hashwerte sind keine zugesicherte Anonymisierung. Die gewählte externe Ordnersynchronisation unterliegt Ihren Diensten und Berechtigungen. Abschalten beendet künftige Exporte, vorhandene Dateien sind am gewählten Ort separat zu löschen.

Die optionale KI übergibt erst bei einer ausdrücklichen Aufgabe den ausgewählten Seitentext und Ihre Frage/Zielsprache an einen lokalen Ollama-Server auf Loopback. Dateipfade werden nicht angefügt; Cloudmodelle, Proxys und Weiterleitungen werden abgelehnt. Ollama und das gewählte Modell werden separat betrieben und können eigene Protokolle/Datenspeicher haben. Verwenden Sie OLLAMA_NO_CLOUD=1. BlattPilot speichert Aufgaben und Antworten nicht dauerhaft.

Die optionale gemeinsame Durchsicht teilt eine bereinigte PDF-Kopie über einen selbst betriebenen Server: standardmäßig nur auf diesem Rechner; private LAN-Adressen erfordern ein selbst gewähltes TLS-Zertifikat und einen Schlüssel. Alle Inhaber des geheimen, kurzlebigen Sitzungslinks können die Kopie und neue Kommentare/Marker/Stiftstriche sehen, ergänzen und entfernen. Die Sitzung hält Inhalte im Arbeitsspeicher; Endgeräte können Kopien herunterladen. Im Browser werden Sitzungsschlüssel und Client-ID im Sitzungsspeicher sowie Lesepositionen im lokalen Browserspeicher abgelegt. Sitzung beenden widerruft den Link; heruntergeladene Dateien und Browserdaten werden dadurch nicht gelöscht. Keine automatische Übermittlung an Klarfink, keine Konten, keine Serverprotokollierung von Zugriffen.

Lokale Erweiterungen in Version 1.3

Automatische Wiederherstellungsstände enthalten ausgewählte PDF-Arbeitskopien, Anmerkungen, offene Schwärzungskandidaten, Lesepositionen und noch nicht gespeicherte Kommentarentwürfe. Sie liegen mit Windows-DPAPI für Ihr Benutzerkonto verschlüsselt in %LOCALAPPDATA%\BlattPilot\recovery. Grenzen: zwölf Stände, 512 MiB und 14 Tage, einzelne PDF-Quellen höchstens 128 MiB. Abgelaufene Stände werden beim nächsten Zugriff bereinigt; bei geschlossener Anwendung läuft kein Löschdienst. Nach einer Unterbrechung entscheiden Sie über Wiederherstellen, Verwerfen oder Aufbewahren bis zum nächsten Start. Bei einem normalen, ausdrücklich bestätigten Verwerfen oder erfolgreichem Speichern wird der betreffende Dokumentstand entfernt. Nicht exportierte gemeinsame Sitzungen bleiben separat wiederherstellbar; Zugangstoken werden nicht gespeichert. Die Verschlüsselung schützt nicht vor Prozessen, die bereits unter Ihrem Benutzerkonto auf Daten zugreifen dürfen.

Eigene Exportprofile speichern nur selbst gewählte Profilnamen, Ausgabeformat, Modus und DPI in export-profiles.json im BlattPilot-App-Datenordner. Profilnamen können selbst eingegebene personenbezogene Angaben enthalten; sie sind nicht zusätzlich verschlüsselt. Seitenbilder langer Exporte werden vorübergehend in einem privaten Betriebssystem-Temporärordner abgelegt (höchstens 512 MiB). Diese Export-Zwischenbilder sind nicht DPAPI-verschlüsselt und werden nach regulärem Abschluss oder Abbruch entfernt; nach einem Absturz können sie zurückbleiben.

Die Windows-UI-Automation-Schnittstelle stellt lokalen Hilfsprogrammen Namen, Zustände, auswählbaren Seitentext und Aktionen der Oberfläche bereit. Sie benötigt keine COM-Registrierung, keinen Cloud-Dienst und keine zusätzlichen Administratorrechte. Passwortfelder werden nicht als Klartext bereitgestellt. Für die normale Zwischenablage gelten weiterhin Ihre Windows-Einstellungen.

KLARFINK · BLATTPILOT FOR WINDOWS · Last updated: 25 October 2026 · Version 1.3

Privacy notice for BlattPilot

BlattPilot processes your selected documents on your Windows device. The app has no document cloud, app account, built-in telemetry or automatic transmission of crash reports to its provider.

Documents you open may contain personal and confidential information. BlattPilot reads this content to display and edit it. File names, paths and saved page previews can also contain personal information.

1. Provider and contact

Provider of BlattPilot and controller for personal information you send directly to the provider:

Stephan Prietz
Thomas-Mann-Str. 7
23564 Lübeck
Germany
Email: prietz-consulting@outlook.de
Phone: +49 172 3201343

Ordinary local use of BlattPilot does not give the provider access to your documents. When you process documents concerning other people, you choose the files, purposes, storage locations and recipients.

2. Information processed locally by the app

Information	Purpose and storage location
Document content	Selected files, text, images, form values, comments, annotations and existing document metadata are processed for reading, editing, search, conversion and output. Your original files and saved outputs remain in the locations you choose.
Library	Document name, full file path, format, page count, opening and modification information and file size are saved by default in `%LOCALAPPDATA%\BlattPilot\library.json`. The library has no full-text index.
Page previews	PNG images of the first document page are saved in `%LOCALAPPDATA%\BlattPilot\thumbnails`. These images can contain visible personal information. Their file names use hashes; this does not anonymize the image content or the file paths in the library.
Preferences	Interface and document language, color scheme, animation preference and, if selected, the path to your own OCR installation are saved in `%LOCALAPPDATA%\BlattPilot\settings.json`.
Stamp and signature presets	When you explicitly save a preset, its label, stamp text, entered name and color or re-encoded signature image are stored in `%LOCALAPPDATA%\BlattPilot\annotation-presets.dat`. Windows DPAPI encrypts this file for the current user account. Image metadata and source image paths are discarded. There is no upload; each kind is limited to 32 presets. Signatures inserted into PDF outputs remain part of those files and are outside preset encryption.
Temporary processing	OCR may create page images and intermediate PDFs in the Windows temporary directory. Office conversion may store a local file copy, intermediate PDF and process information there. Working copies and undo states are also held in memory.

The app does not additionally encrypt its library JSON files or PNG previews. Their protection depends on the permissions of your Windows account, your device and any drive encryption you use.

3. Retention and deletion controls

Preferences and the library are retained for later app launches. They do not expire after a fixed number of days. The library is limited to 200 entries; the preview cache is limited to 256 MiB and unused cached images are removed.

Remove a preset: Under Tools → Review → Stamp or Signature, select the saved preset and use “Delete preset”. Inserted PDF marks can be removed in the annotation panel; saved PDF copies remain.
Forget an individual document: Right-click its tile in the library and select “Remove from library”. This removes its entry and unused preview. The original file and previously saved outputs remain.
Reset all app preferences and library data: Close BlattPilot completely. Open %LOCALAPPDATA%\BlattPilot in Windows Explorer and delete only that BlattPilot folder. Required app data is recreated on the next launch. This also removes any library backups retained there.
Delete originals, exports and backups: Remove these files separately from their respective storage locations. Windows Recycle Bin, your own backups and synchronized copies are not automatically cleared.

If library data is damaged, the app may keep a local backup named library.json.corrupt-…. It may contain old names and paths and remains until you delete it.

The app's temporary OCR and Office directories are cleaned up after normal completion or cancellation. A crash or interruption can leave files behind. The operating system and Office may also maintain their own temporary files, paging files, print data or crash dumps. Ordinary file deletion is not a promise of secure erasure from storage media.

Redacting or changing a new output file does not automatically clear your originals, older exports, backups or previously saved library previews.

4. Services outside the app

Office conversion: When you open or convert supported Office files, BlattPilot may use an existing local installation of Word, Excel or PowerPoint. Its conversion helper disables macros and link updates. Office is a separate product; its diagnostic and connected services depend on your Office installation and settings.
Printing: A print job you confirm is passed to the Windows printing system and selected printer. Depending on the printer configuration, this may involve a network or cloud printing service.
Sharing: BlattPilot saves a sharing PDF in your chosen location and shows it in Windows Explorer. The app does not send the file itself. Subsequent sharing through email, cloud storage or another program uses the services you choose.
Links and clipboard: After your confirmation, a link may open in your default browser or email program. Copied text is placed on the Windows clipboard. Websites, email delivery and any enabled clipboard synchronization are governed by the respective services and settings.
Storage locations and operating system: OneDrive folders, network drives, backup software, security software and Windows diagnostics can process information independently of BlattPilot. Local processing by BlattPilot therefore does not mean that every file or service you choose stays exclusively on your device.

BlattPilot itself does not fetch external document resources for passive conversion or EPUB display and does not provide an automatic document upload to its provider.

5. Purchase, download and contact with the provider

Purchase, payment, account and download activities in the shop or Microsoft Store are separate from local document processing. They are covered by the Klarfink shop privacy policy (German) and the Microsoft Privacy Statement. Visiting this information page when hosted in the shop is also covered by the shop's privacy notice.

If you voluntarily contact the provider, your contact details and message content are processed to handle your request. Email is handled through the stated Microsoft Outlook mailbox. Send only information needed for your request; document attachments are not required for ordinary app use.

Contract-related requests rely on Article 6(1)(b) GDPR; general inquiries rely on the legitimate interest in responding under point (f). Legally required retention relies on point (c). Contact information is retained for handling the request and any necessary records; the shop privacy policy provides additional details about shop processing.

6. Your rights

Where the statutory conditions apply, you may request access, rectification, erasure, restriction and data portability. You may object to processing based on legitimate interests and withdraw any consent for the future. Send requests concerning information held by the provider to the contact address above.

You may complain to a competent supervisory authority, such as the Independent Centre for Data Protection Schleswig-Holstein. The provider cannot remotely access or delete documents and app data held only on your device; use the local deletion controls described above.

This notice describes the desktop app and the stated data flows. It is not a terms-of-use or license agreement. Information about statutory privacy rights: General Data Protection Regulation.

New optional data paths in version 1.2

Reading positions are stored in %LOCALAPPDATA%\BlattPilot\reading-progress.json: a path hash, source size/modification time, page count, position and timestamp; up to 200 records. An explicitly selected progress folder may receive device-specific files containing the SHA-256 of source bytes and reading position. These files contain no document text or filenames; hashes are not a guarantee of anonymization. Your folder synchronization uses your chosen services and permissions. Disabling sync stops future exports; existing files must be removed separately.

Optional AI sends selected page text and your question/target language to a loopback Ollama server only after an explicit task. No file paths are appended. Cloud models, proxies and redirects are rejected. Ollama and the model run separately and may keep their own logs/storage. Use OLLAMA_NO_CLOUD=1. BlattPilot does not persist tasks or responses.

Optional shared review serves a sanitized PDF copy from your own server: loopback by default; private LAN addresses require your own TLS certificate and key. Every holder of the secret temporary session link can read the copy and add/remove shared comments, highlights and strokes. Session contents are in memory; devices may download copies. The browser stores the session key/client ID in session storage and reading positions in local browser storage. Stopping revokes the link; it does not delete downloaded files or browser data. No automatic upload to Klarfink, accounts or access logging.

Local additions in version 1.3

Automatic recovery snapshots contain PDF working copies, annotations, pending redaction candidates, reading positions and unsaved comment drafts. Windows DPAPI encrypts them for your account in %LOCALAPPDATA%\BlattPilot\recovery. Limits: twelve snapshots, 512 MiB and fourteen days, individual source PDFs up to 128 MiB. Expired snapshots are pruned on the next access; no deletion service runs while the application is closed. After interruption you explicitly choose restore, discard or later. Confirmed discard or successful saving removes that document snapshot. Unexported shared-review sessions remain separately recoverable; access tokens are not stored. Encryption does not protect against processes already permitted to access your Windows account's data.

Custom export profiles store user-chosen labels, output format, mode and DPI in export-profiles.json in the application data folder. Labels may contain personal information you enter and are not additionally encrypted. Long exports temporarily spool page images to a private operating-system temporary directory (up to 512 MiB). These export images are not DPAPI-encrypted; normal completion and cancellation remove them, while a crash may leave them behind.

The Windows UI Automation provider exposes interface names, states, selectable page text and actions to local assistive software. No COM registration, cloud service or additional administrator rights are required. Password fields do not expose clear text. Your Windows settings continue to govern the clipboard.