Miramail

Was ist Miramail?

Miramail ist eine kleine E-Mail-App für das Smartphone. Sie begleitet dich beim Lesen deiner E-Mails und hilft dir einzuschätzen, ob du einer Nachricht vertrauen kannst – bevor du auf einen Link tippst oder einen Anhang öffnest.

Dabei ist Mira kein bloßer Spamfilter, sondern viel mehr eine Begleiterin, die dir zeigt, wo du vertrauen darfst und wann du dich schützen solltest. Die Prüfung findet direkt auf deinem Gerät statt.

Miramail befindet sich derzeit in der Entwicklung und wird mit einer kleinen Gruppe von Testpersonen erprobt.

Wer macht Miramail?

Miramail wird von Menschen gemacht, denen es wichtig ist, dass sich alle im Internet ohne Angst und mit möglichst wenig Risiko bewegen können.

Kaum jemand kommt heute noch ohne E-Mail aus – ob man einen Arzttermin bestätigt oder online einkauft. In vielen Abläufen ist die E-Mail ein fester Schritt, um sich anzumelden oder etwas zu bestätigen. Kein Wunder also, dass E-Mails auch ein Einfallstor für Betrüger sind.

Wir möchten Menschen ein Stück Sicherheit zurückgeben. Dafür tun wir das technisch Mögliche, um zu prüfen, ob eine E-Mail wirklich von dem Absender stammt, der angegeben ist, und ob die Links darin dorthin führen, wo sie hinzuführen scheinen.

Impressum

Angaben gemäß § 5 DDG

Jennifer Schwanenberg
Rosenbach 36
53225 Bonn
Deutschland

Kontakt

E-Mail: admin@miramail.me

Verantwortlich für den Inhalt nach § 18 Abs. 2 MStV

Jennifer Schwanenberg
Rosenbach 36
53225 Bonn

Datenschutzerklärung

Stand: 22. Oktober 2026

1. Kurz gesagt

Miramail hat keinen eigenen Server. Deine E-Mails werden nur auf deinem Gerät verarbeitet und nie an mich geschickt. Es gibt keine Werbung, kein Tracking und keine Nutzungsstatistik. Um Links zu prüfen, schickt die App aber die Namen der verlinkten Server an zwei Dienste und baut eine verschlüsselte Verbindung zu diesen Servern auf (Abschnitt 4).

2. Verantwortliche

Jennifer Schwanenberg
Rosenbach 36
53225 Bonn
Deutschland
E-Mail: admin@miramail.me

Eine Datenschutzbeauftragte ist nicht bestellt; dazu besteht keine Pflicht.

3. Anmeldung mit Google und Zugriff auf Gmail

Du meldest dich mit deinem Google-Konto an. Die Anmeldung läuft über Google (Google Sign-In; unter Android über die Google Play-Dienste). Die App bittet um diese Berechtigungen:

gmail.modify: E-Mails lesen, archivieren, verschieben und in den Papierkorb legen.
gmail.send: E-Mails senden, die du in der App schreibst.

Die App ruft deine E-Mails direkt von der Gmail-Schnittstelle (gmail.googleapis.com) auf dein Gerät ab. Dort prüft sie Absender (SPF, DKIM, DMARC anhand der Angaben von Gmail) und Links. Um zu sehen, ob du mit einem Absender schon Kontakt hattest, sucht die App in deinem Gmail-Postfach nach früheren E-Mails von oder an diese Adresse. Inhalte deiner E-Mails gelangen dabei nur zwischen deinem Gerät und Google hin und her.

Die Verwendung und Übertragung von Informationen, die Miramail von Google-APIs erhält, an andere Apps hält sich an die Google API Services User Data Policy, einschließlich der Anforderungen zur eingeschränkten Nutzung (Limited Use). Die Daten werden nicht verkauft, nicht für Werbung genutzt und nicht von Menschen gelesen.

Für die Verarbeitung durch Google selbst gilt die Datenschutzerklärung von Google.

4. Prüfung von Links

Erst wenn du eine E-Mail öffnest, prüft die App jeden Link darin. Dabei wird niemals die Adresse des Links selbst aufgerufen, und Pfad und Parameter des Links (der Teil nach dem Servernamen) verlassen dein Gerät nicht. Folgendes geschieht:

4.1 DNS-Abfrage über dein Netz

Die App fragt über den Namensdienst deines Geräts ab, zu welcher Adresse der Servername gehört. Diese Anfrage sieht, wer deinen Namensdienst betreibt (meist dein Internet- oder Mobilfunkanbieter).

4.2 DNS-Abfrage bei Cloudflare

Um Manipulationen in deinem Netz zu erkennen, fragt die App denselben Servernamen zusätzlich bei Cloudflare ab (DNS-over-HTTPS, cloudflare-dns.com). Cloudflare erhält dabei den Servernamen und deine IP-Adresse. Nach eigenen Angaben speichert Cloudflare die IP-Adresse nicht dauerhaft und löscht die Protokolle innerhalb von 25 Stunden (Angaben von Cloudflare). Anbieter: Cloudflare, Inc., USA.

4.3 Zertifikatsverlauf bei Cert Spotter

Um zu erkennen, ob eine Domain erst seit Kurzem existiert, fragt die App bei Cert Spotter nach, seit wann es Zertifikate für diese Domain gibt (api.certspotter.com). Cert Spotter erhält den Domainnamen und deine IP-Adresse. Für rund 900 sehr bekannte Domains entfällt diese Abfrage. Anbieter: Opsmate, Inc. (SSLMate), USA (Datenschutzerklärung).

4.4 Verbindung zum verlinkten Server

Um das Sicherheitszertifikat zu prüfen, baut die App eine verschlüsselte Verbindung (TLS) zum verlinkten Server auf und, falls abweichend, zu dessen Hauptdomain. Danach wird die Verbindung beendet, ohne eine Seite abzurufen. Der Betreiber dieses Servers sieht dabei deine IP-Adresse und den Zeitpunkt. Weil Betrüger manchmal für jede Empfängerin einen eigenen Servernamen verwenden, kann er daraus schließen, dass du die E-Mail geöffnet hast.

Die Ergebnisse werden während der Nutzung kurz zwischengespeichert, damit derselbe Server nicht mehrfach geprüft wird.

5. Anzeige von E-Mails

E-Mails werden in einer abgesicherten Ansicht dargestellt. Skripte in E-Mails laufen nur, wenn du das in den Einstellungen ausdrücklich erlaubst (standardmäßig aus).

Bilder, Schriften und Formatvorlagen, die eine E-Mail aus dem Internet nachlädt, werden geladen. Der Absender oder ein von ihm beauftragter Dienst kann dadurch deine IP-Adresse, die Uhrzeit des Öffnens und dein Gerät erfahren (sogenannte Zählpixel).

Wenn du einen Link öffnest oder eine E-Mail sendest, geschieht das auf deine Veranlassung; für die aufgerufene Website gilt deren Datenschutzerklärung.

6. Was auf deinem Gerät gespeichert wird

Posteingangsliste: deine Google-Adresse sowie Absender, Betreff, Vorschautext, Gelesen-Status und Gmail-Prüfergebnisse der E-Mails im Posteingang. So zeigt die App ihn auch ohne Netz an. E-Mail-Texte werden nicht gespeichert.
Bekannte Absender: Absenderadressen, von denen du schon E-Mails bekommen hast, jeweils mit der Kennung der ersten E-Mail.
Einstellungen: z. B. ob Skripte erlaubt sind und ob du die Einführung gesehen hast.
Anmeldung: die Zugangsdaten von Google, verwaltet von Google Sign-In bzw. den Google Play-Diensten.

Unter iOS sind diese Dateien verschlüsselt, solange das Gerät gesperrt ist. Sie sind auf beiden Systemen vom Backup ausgenommen. Beim Abmelden werden Posteingangsliste und bekannte Absender gelöscht; beim Deinstallieren alles.

7. Kontakt per E-Mail

Wenn du mir schreibst, verwende ich deine Adresse und Nachricht nur, um zu antworten, und lösche sie, sobald die Sache erledigt ist, sofern keine Aufbewahrungspflicht besteht.

8. Rechtsgrundlagen

Verarbeitung	Rechtsgrundlage
Gmail-Zugriff, Absender- und Linkprüfung (Abschnitte 3 und 4)	Art. 6 Abs. 1 lit. b DSGVO: Bereitstellung der App-Funktionen, die du nutzen willst
Laden externer Inhalte beim Anzeigen (Abschnitt 5)	Art. 6 Abs. 1 lit. b DSGVO: Anzeige der E-Mail, wie der Absender sie gestaltet hat
Speichern auf dem Gerät (Abschnitt 6)	§ 25 Abs. 2 Nr. 2 TDDDG: für die von dir gewünschte Funktion unbedingt erforderlich; im Übrigen Art. 6 Abs. 1 lit. b DSGVO
Kontakt per E-Mail (Abschnitt 7)	Art. 6 Abs. 1 lit. f DSGVO: berechtigtes Interesse, Anfragen zu beantworten

9. Übermittlung in Drittländer

Google LLC und Cloudflare, Inc. sitzen in den USA und sind nach dem EU-US Data Privacy Framework zertifiziert (Angemessenheitsbeschluss der EU-Kommission). Opsmate, Inc. (Cert Spotter) sitzt in den USA und ist nach meinem Kenntnisstand nicht zertifiziert; dort gilt das europäische Datenschutzniveau also nicht. Übermittelt wird nur der Domainname und deine IP-Adresse.

10. Was es nicht gibt

Kein eigener Server, keine Nutzungsstatistik, keine Absturzberichte, keine Werbung, keine Cookies, kein Verkauf von Daten, keine automatisierte Entscheidung mit rechtlicher Wirkung (Art. 22 DSGVO). Die Bewertung einer E-Mail ist nur ein Hinweis für dich.

11. Deine Rechte

Du hast das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21 DSGVO). Da ich keine Daten von dir auf einem Server habe, löschst du die Daten auf dem Gerät selbst, indem du dich abmeldest oder die App deinstallierst. Den Zugriff auf dein Google-Konto widerrufst du jederzeit unter myaccount.google.com/permissions.

Falls nötig, kannst dich bei einer Datenschutz-Aufsichtsbehörde beschweren. Zuständig für mich ist:

Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen
Kavalleriestraße 2–4, 40213 Düsseldorf
Telefon: +49 211 38424-0
E-Mail: poststelle@ldi.nrw.de
www.ldi.nrw.de

Aber ich bin auch ein sehr netter Mensch und durchaus kritikfähig, wenn du also ein Problem entdeckst - schreib mir einfach eine E-Mail.

12. Kinder

Miramail richtet sich nicht an Kinder unter 16 Jahren. Warum das hier steht, wissen wir auch nicht so genau. Ein KI-Assistent hielt es für eine gute Idee. Aber wenn du deinem Kind Zugriff auf E-Mails gibst, wäre es eh sehr gut, wenn du es dabei begleiten würdest. Also richten wir uns ganz audrücklich an dich mit der Bitte deine Kinder im Internet nicht allein zu lassen. Auch nicht mit Mira (es sei denn ein vertrauensvolles (Wahl-)familienmitglied heißt Mira.

13. Änderungen

Wenn sich die App ändert, passe ich diese Erklärung an und ändere das Datum oben. Bei wesentlichen Änderungen weise ich in der App darauf hin. Und ich bin mir ganz sicher, dass wir das nicht vergessen werden, da ich meinem KI-Assistenten eine Anweisung gegeben habe, mich daran zu erinnern. Zur Sicherheit habe ich außerdem einen Post-it-Zettel geschrieben und ihn an meinen Bildschirm geklebt.

What is Miramail?

Miramail is a small email app for smartphones. It accompanies you while you read your emails and helps you judge whether you can trust a message – before you tap a link or open an attachment.

Mira isn't just a spam filter—she's much more than that: she's a companion who shows you where you can trust and when you should protect yourself. All checks run directly on your device.

Miramail is currently under development and is being tested with a small group of test users.

Who makes Miramail?

Miramail is made by people who care about everyone being able to move around the internet without fear and with as little risk as possible.

Hardly anyone can get by without email these days – whether it's confirming a doctor's appointment or shopping online. In many processes, email is a fixed step for signing in or confirming something. No wonder, then, that emails are also a gateway for scammers.

We want to give people back a bit of security. To do this, we do what is technically possible to check whether an email really comes from the sender it claims to come from, and whether the links in it lead where they appear to lead.

Legal notice (Impressum)

Information pursuant to § 5 DDG (German Digital Services Act)

Jennifer Schwanenberg
Rosenbach 36
53225 Bonn
Germany

Contact

Email: admin@miramail.me

Responsible for content pursuant to § 18 (2) MStV

Jennifer Schwanenberg
Rosenbach 36
53225 Bonn, Germany

Privacy policy

Effective: 22 October 2026

1. In short

Miramail has no server of its own. Your emails are processed only on your device and are never sent to me. There are no ads, no tracking and no usage statistics. To check links, however, the app sends the names of linked servers to two services and opens an encrypted connection to those servers (section 4).

2. Controller

Jennifer Schwanenberg
Rosenbach 36
53225 Bonn
Germany
Email: admin@miramail.me

No data protection officer has been appointed, as none is required.

3. Google sign-in and Gmail access

You sign in with your Google account. Sign-in is handled by Google (Google Sign-In; on Android through Google Play services). The app asks for these permissions:

gmail.modify: read emails, archive them, move them and put them in the trash.
gmail.send: send emails you write in the app.

The app fetches your emails directly from the Gmail API (gmail.googleapis.com) to your device. There it checks senders (SPF, DKIM, DMARC, based on Gmail's own results) and links. To see whether you have been in touch with a sender before, the app searches your Gmail mailbox for earlier emails from or to that address. Your email content only travels between your device and Google.

Miramail's use and transfer to any other app of information received from Google APIs will adhere to the Google API Services User Data Policy, including the Limited Use requirements. The data is not sold, not used for advertising and not read by humans.

Google's own processing is governed by Google's Privacy Policy.

4. Link checks

When you open an email, the app checks every link in it. It never requests the link's address itself, and the link's path and parameters (everything after the server name) never leave your device. This is what happens:

4.1 DNS lookup through your network

The app asks your device's name service which address the server name points to. Whoever runs your name service (usually your internet or mobile provider) sees this request.

4.2 DNS lookup at Cloudflare

To detect tampering in your network, the app also looks up the same server name at Cloudflare (DNS over HTTPS, cloudflare-dns.com). Cloudflare receives the server name and your IP address. According to Cloudflare, it does not store the IP address permanently and deletes its logs within 25 hours (Cloudflare's statement). Provider: Cloudflare, Inc., USA.

4.3 Certificate history at Cert Spotter

To detect whether a domain is brand new, the app asks Cert Spotter (api.certspotter.com) since when certificates have existed for that domain. Cert Spotter receives the domain name and your IP address. This lookup is skipped for about 900 very well-known domains. Provider: Opsmate, Inc. (SSLMate), USA (privacy policy).

4.4 Connection to the linked server

To check its security certificate, the app opens an encrypted connection (TLS) to the linked server and, if different, to its main domain. The connection is closed without requesting any page. The operator of that server sees your IP address and the time. Because scammers sometimes give each recipient a unique server name, the operator may conclude that you opened the email.

Results are cached briefly while you use the app, so the same server isn't checked repeatedly.

5. Displaying emails

Emails are shown in a hardened view. Scripts in emails only run if you explicitly allow them in the settings (off by default).

Images, fonts and style sheets that an email loads from the internet are loaded. The sender, or a service working for them, can therefore learn your IP address, when you opened the email and what device you use (tracking pixels).

Opening a link or sending an email happens at your request; the website you visit is governed by its own privacy policy.

6. What is stored on your device

Inbox list: your Google address and the sender, subject, preview text, read status and Gmail check results of the emails in your inbox, so the app can show it offline. Email bodies are not stored.
Known senders: sender addresses you have received email from, each with the ID of the first such email.
Settings: for example whether scripts are allowed and whether you have seen the introduction.
Sign-in: Google's credentials, managed by Google Sign-In or Google Play services.

On iOS these files are encrypted while the device is locked. On both systems they are excluded from backups. Signing out deletes the inbox list and known senders; uninstalling deletes everything.

7. Contacting me by email

If you write to me, I use your address and message only to reply, and delete them once the matter is settled unless I am legally required to keep them.

8. Legal bases

Processing	Legal basis
Gmail access, sender and link checks (sections 3 and 4)	Art. 6(1)(b) GDPR: providing the app features you choose to use
Loading external content when displaying emails (section 5)	Art. 6(1)(b) GDPR: showing the email as its sender designed it
Storage on your device (section 6)	Section 25(2) no. 2 TDDDG (German Telecommunications Digital Services Data Protection Act): strictly necessary for the feature you requested; otherwise Art. 6(1)(b) GDPR
Contact by email (section 7)	Art. 6(1)(f) GDPR: legitimate interest in answering enquiries

9. Transfers outside the EU

Google LLC and Cloudflare, Inc. are based in the USA and certified under the EU-U.S. Data Privacy Framework (European Commission adequacy decision). Opsmate, Inc. (Cert Spotter) is based in the USA and, to my knowledge, is not certified, so the European level of data protection does not apply there. Only the domain name and your IP address are transferred.

10. What Miramail does not do

No server of its own, no usage statistics, no crash reports, no ads, no cookies, no sale of data, no automated decisions with legal effect (Art. 22 GDPR). The app's rating of an email is only a hint for you.

11. Your rights

You have the right of access (Art. 15), rectification (Art. 16), erasure (Art. 17), restriction (Art. 18), data portability (Art. 20) and to object to processing based on legitimate interests (Art. 21 GDPR). Since I hold no data about you on any server, you delete the data on your device yourself by signing out or uninstalling the app. You can revoke the app's access to your Google account at any time at myaccount.google.com/permissions.

You may lodge a complaint with a data protection supervisory authority. The authority responsible for me is:

Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (State Commissioner for Data Protection and Freedom of Information, North Rhine-Westphalia)
Kavalleriestraße 2–4, 40213 Düsseldorf, Germany
Phone: +49 211 38424-0
Email: poststelle@ldi.nrw.de
www.ldi.nrw.de

But I'm also a very nice person and open to criticism, so if you spot a problem, just send me an email.

12. Children

Miramail is not intended for children under 16. We’re not entirely sure why that’s mentioned here, either. An AI assistant thought it was a good idea. But if you give your child access to email, it would be a very good idea for you to supervise them anyway. So we’re specifically addressing you with the request that you not leave your children alone on the internet — not even with Mira (unless a trusted (chosen) family member happens to be named Mira).

13. Changes

When the app changes, I update this policy and the date above. I will point out material changes in the app. And I am very sure, that we will not forget, since I wrote a prompt to my AI assistent to remind me of that. As backup, I also wrote a post it and attached it to my screen.