Datenschutzerklärung

Version 1.2 · Stand: 3. Oktober 2026

Diese Datenschutzerklärung gilt für die Website www.ora-ai.de, den Konto-Bereich konto.ora-ai.de, den Ora-Dienst api.ora-ai.de und die Desktop-App „Ora“ für macOS (zusammen „Ora AI“). Sie erklärt, welche personenbezogenen Daten wir verarbeiten, wozu, auf welcher Rechtsgrundlage, an wen sie gehen und wie lange wir sie aufbewahren.

1. Verantwortlicher

Gianmarco Colaiacolo
Einzelunternehmer, handelnd unter „Ora AI“
Roman-Herzog-Str. 26
81248 München
Deutschland

E-Mail: support@ora-ai.de (auch für alle Anliegen zum Datenschutz)
Kontaktformular: https://konto.ora-ai.de/kontakt

Einen Datenschutzbeauftragten haben wir nicht benannt, weil dafür keine gesetzliche Pflicht besteht. Wenden Sie sich mit allen Fragen zum Datenschutz an die oben genannte Adresse.

2. Das Wichtigste in Kürze

• Ora AI wandelt gesprochene Sprache in Text um und bereitet ihn mit künstlicher Intelligenz auf. Dafür gibt es zwei Modi:
  • Schneller Modus: Ihr Audio wird während des Sprechens verschlüsselt über den Ora-Dienst an Mistral AI (Frankreich) übertragen und dort in der EU in Text umgewandelt und aufbereitet.
  • Sicherer Modus: Die Spracherkennung läuft auf Ihrem Mac. Ihr Audio verlässt den Mac nicht. Nur der erkannte Text geht zur Aufbereitung über den Ora-Dienst an Mistral AI (EU).
• Die KI-Aufbereitung können Sie ausschalten. Im Sicheren Modus verlässt dann kein Diktatinhalt Ihren Mac.
• Der Ora-Dienst speichert weder Ihren Diktattext noch Ihr Audio – nicht in einer Datenbank, nicht in Dateien und nicht in Protokollen. Er reicht die Inhalte nur durch.
• Einstellungen, Wörterbuch, Verlauf, Meetings und Fortschrittsdaten liegen nur auf Ihrem Mac.
• Für Ihr Konto speichern wir Ihre E-Mail-Adresse und wenige technische Angaben (Abschnitt 5).
• Auf Wunsch schreiben wir Ihnen einmal zum Start von Ora AI bzw. von Ora Pro – nur mit Ihrer bestätigten Einwilligung, jederzeit abbestellbar (Abschnitt 4.5).
• Die App prüft einmal täglich, ob es eine neue Version gibt, und lädt sie still herunter; dabei erfahren unsere Dienstleister nur technisch notwendige Verbindungsdaten. Sie können das ausschalten (Abschnitt 6.6).
• Wir setzen keine Analyse-, Werbe- oder Tracking-Dienste ein, und die App sendet keine Nutzungsstatistiken oder Absturzberichte.

3. Website ora-ai.de

Die Website ora-ai.de (auch erreichbar unter www.ora-ai.de) wird zusammen mit dem Konto-Bereich und dem Ora-Dienst bei Vercel Inc. (USA) im Rechenzentrum Frankfurt am Main betrieben (Abschnitt 4.1). Beim Aufruf verarbeitet Vercel technisch notwendige Daten, die Ihr Browser übermittelt: IP-Adresse, Datum und Uhrzeit, aufgerufene Seite, übertragene Datenmenge, Referrer und Angaben zu Browser und Betriebssystem. Diese Daten sind nötig, um die Seiten auszuliefern und den sicheren Betrieb zu gewährleisten. Wir führen sie nicht mit anderen Daten zusammen und werten sie nicht zu Analysezwecken aus. Die Server-Protokolle werden nur so lange aufbewahrt, wie es für die Sicherheit des Betriebs erforderlich ist, und danach gelöscht.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt in der sicheren und fehlerfreien Bereitstellung der Website.

Die Website setzt keine Cookies zu Analyse- oder Werbezwecken. Ihre Wahl zwischen heller und dunkler Darstellung speichern wir nur in Ihrem Browser (Abschnitt 4.4). Inhalte von Dritten werden nur im Formular „Benachrichtigen“ geladen, wo Cloudflare Turnstile Anfragen prüft (Abschnitte 4.3 und 4.5).

4. Konto-Bereich konto.ora-ai.de

4.1 Hosting

Der Konto-Bereich und der Ora-Dienst werden bei Vercel Inc. (USA) im Rechenzentrum Frankfurt am Main betrieben. Beim Aufruf verarbeitet Vercel technisch notwendige Verbindungsdaten wie Ihre IP-Adresse, Datum und Uhrzeit und die aufgerufene Adresse, um die Seiten auszuliefern und Angriffe abzuwehren. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (sicherer Betrieb). Zur Übermittlung in die USA siehe Abschnitt 11.

4.2 Cookies

Im Konto-Bereich verwenden wir ausschließlich Cookies, die für die von Ihnen gewünschte Anmeldung unbedingt erforderlich sind (§ 25 Abs. 2 Nr. 2 TDDDG). Eine Einwilligung ist dafür nicht erforderlich; deshalb zeigen wir keinen Cookie-Banner.

Alle Cookies gelten nur für den Konto-Bereich, der ausschließlich über verschlüsselte Verbindungen (HTTPS) erreichbar ist. Die Inhalte dieser Cookies werden nicht für Analyse- oder Werbezwecke verwendet. Rechtsgrundlage für die damit verbundene Verarbeitung ist Art. 6 Abs. 1 lit. b DSGVO.

4.3 Schutz vor automatisierten Anfragen (Cloudflare Turnstile)

Auf der Anmeldeseite (Anmeldung per E-Mail-Link), im Kontaktformular und im Formular „Benachrichtigen“ (Abschnitt 4.5) setzen wir Cloudflare Turnstile der Cloudflare, Inc. (USA) ein. Turnstile prüft, ob eine Anfrage von einem Menschen stammt. Dazu lädt Ihr Browser ein Skript von Cloudflare, und Cloudflare verarbeitet Ihre IP-Adresse sowie technische Angaben zu Browser und Gerät. Das Ergebnis der Prüfung lassen wir uns vom Server bestätigen; wir speichern es nicht. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt im Schutz der Anmeldung und der Formulare vor automatisierten Massenanfragen und Missbrauch. Zur Übermittlung in die USA siehe Abschnitt 11.

4.4 Darstellung hell oder dunkel

Die Seiten von ora-ai.de und konto.ora-ai.de erscheinen hell. Wählen Sie über den Umschalter in der Navigation die dunkle Darstellung, speichern wir diese Wahl nur in Ihrem Browser (Local Storage, Eintrag ora-theme mit dem Wert „dark“ oder „light“), damit sie beim nächsten Besuch wieder gilt. Das ist kein Cookie; der Eintrag wird nicht an uns oder Dritte übertragen und nicht ausgewertet. Er ist für die von Ihnen gewünschte Darstellung unbedingt erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG). Sie können ihn jederzeit über die Einstellungen Ihres Browsers löschen.

4.5 Benachrichtigung zum Start

Auf der Startseite von konto.ora-ai.de können Sie sich mit Ihrer E-Mail-Adresse eintragen, damit wir Ihnen schreiben, sobald Ora AI startet bzw. sobald Ora Pro verfügbar ist.

• Zweck: eine Benachrichtigung zum Start bzw. zu Ora Pro. Wir nutzen die Liste für nichts anderes, insbesondere nicht für Werbung oder Analysen.
• Daten: Ihre E-Mail-Adresse, Ihr Wunsch („Start“ oder „Pro“), der Zeitpunkt der Eintragung und der Zeitpunkt Ihrer Bestätigung. Dazu speichern wir einen verschlüsselten Prüfwert (Hash) für die Links zum Bestätigen und Abmelden.
• Double-Opt-in: Nach dem Eintragen erhalten Sie eine E-Mail mit einem Bestätigungslink. Erst wenn Sie ihn öffnen und die Bestätigung absenden, stehen Sie auf der Liste.
• Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Die Bereitstellung ist freiwillig.
• Widerruf: Jede E-Mail an die Liste enthält einen Abmelde-Link. Damit widerrufen Sie Ihre Einwilligung jederzeit mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO), und Ihr Eintrag wird sofort gelöscht. Sie können auch an support@ora-ai.de schreiben.
• Löschfristen: Unbestätigte Einträge löschen wir nach 7 Tagen automatisch. Bestätigte Einträge löschen wir, sobald die Benachrichtigung zum Start bzw. zu Ora Pro verschickt ist, spätestens mit der Einstellung der Liste.
• Empfänger: Die E-Mails versenden wir über Brevo (Sendinblue SAS, Frankreich); die Liste liegt in unserer Datenbank bei Supabase im Rechenzentrum Frankfurt am Main (Abschnitt 11).
• Schutz vor Missbrauch: Das Formular prüfen wir mit Cloudflare Turnstile (Abschnitt 4.3). Wir begrenzen die Eintragungen je IP-Adresse und die Bestätigungsmails je E-Mail-Adresse; dafür speichern wir verschlüsselte Fingerabdrücke der IP- bzw. E-Mail-Adresse für höchstens 2 Stunden (Art. 6 Abs. 1 lit. f DSGVO; berechtigtes Interesse: Schutz vor Massenanfragen und davor, dass Dritte fremde Adressen mit Mails überhäufen).

5. Konto und Anmeldung

5.1 Welche Daten wir speichern

Zur Nutzung von Ora AI brauchen Sie ein Konto. Zu Ihrem Konto speichern wir:

• Ihre E-Mail-Adresse,
• die Art der Anmeldung (E-Mail-Link oder Google) und eine Anmelde-Kennung,
• bei Anmeldung mit Google die Angaben, die Google übermittelt (Abschnitt 5.3), darunter Ihren Namen, soweit er in Ihrem Google-Konto hinterlegt ist,
• den Zeitpunkt der Registrierung und der letzten Anmeldung,
• Zeitpunkt und Version der Nutzungsbedingungen und der Datenschutzerklärung, die Sie bei der Registrierung bestätigt haben, sowie Ihre Kenntnisnahme des Auftragsverarbeitungsvertrags,
• Ihre Geräte-Anmeldungen (Abschnitt 6.4) und die Zähler für das Wochenlimit und die Meeting-Grenze (Abschnitt 6.5).

Wir speichern kein Passwort, keinen Diktattext und kein Audio.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Nutzungsvertrag). Die Speicherung von Zeitpunkt und Version Ihrer Bestätigung dient zusätzlich dem Nachweis (Art. 6 Abs. 1 lit. c und lit. f DSGVO).

Die Konto-Datenbank und die Anmeldung betreibt Supabase im Rechenzentrum Frankfurt am Main (Abschnitt 11).

5.2 Anmeldung mit E-Mail-Link

Wenn Sie sich per E-Mail-Link anmelden, senden wir Ihnen einen Anmeldelink an Ihre E-Mail-Adresse. Er gilt 15 Minuten und nur einmal. Für den Versand nutzen wir Brevo (Sendinblue SAS, Frankreich). Fordern Sie einen Link für eine Adresse an, mit der Sie sich danach nie anmelden, löschen wir diese Adresse nach 24 Stunden.

5.3 Anmeldung mit Google

Wenn Sie „Mit Google fortfahren“ wählen, werden Sie zu Google weitergeleitet. Google Ireland Limited (Irland) verarbeitet Ihre Anmeldung dort als eigener Verantwortlicher nach der Datenschutzerklärung von Google und erfährt dabei, dass Sie sich bei Ora AI anmelden. Wir erhalten von Google nur die Angaben, die zu den Berechtigungen „openid“, „email“ und „profile“ gehören: Ihre E-Mail-Adresse, Ihren Namen, eine Kennung Ihres Google-Kontos und gegebenenfalls die Adresse Ihres Profilbilds. Auf Kontakte, Dokumente, Kalender oder andere Google-Dienste erhalten wir keinen Zugriff. Die Anmeldung mit Google ist freiwillig; Sie können stattdessen jederzeit den E-Mail-Link nutzen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

5.4 Schutz vor Missbrauch der Anmeldung

Um das Durchprobieren von Anmeldungen und den massenhaften Versand von Anmeldelinks zu verhindern, zählen wir Anfragen je E-Mail-Adresse, je IP-Adresse und je App-Installation. Gespeichert wird dabei nicht die Adresse selbst, sondern nur ein mit einem geheimen Schlüssel verschlüsselter Fingerabdruck (HMAC) und der Zeitpunkt der Anfrage. Diese Einträge werden spätestens nach 2 Stunden gelöscht. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (Schutz vor Missbrauch und Sicherheit der Verarbeitung).

5.5 Löschung und Export

Im Konto-Bereich können Sie Ihre Daten jederzeit als Datei herunterladen („Meine Daten herunterladen“) und Ihr Konto selbst löschen. Bei der Löschung entfernen wir Ihr Konto, Ihre Geräte-Anmeldungen und Ihre Zähler sofort.

Konten, die lange nicht genutzt wurden, löschen wir automatisch: Nach 23 Monaten ohne Anmeldung und ohne Statusabfrage eines Ihrer Geräte erhalten Sie eine E-Mail mit dem Hinweis, dass Ihr Konto in 30 Tagen gelöscht wird. Melden Sie sich in dieser Zeit an, bleibt das Konto bestehen.

6. Diktieren mit der App

6.1 Wie Ihre Daten durch Ora AI laufen

Den Modus wählen Sie im Einrichtungs-Assistenten und können ihn jederzeit in den Einstellungen ändern. Ist Ihr Mac im Schnellen Modus offline oder ist die Spracherkennung bei Mistral nicht erreichbar, erkennt Ora AI das Diktat stattdessen auf Ihrem Mac, sofern das Sprachmodell geladen ist (Abschnitt 9). Die Aufnahme bleibt dafür nur im Arbeitsspeicher, bis das Ergebnis vorliegt.

Sie können die KI-Aufbereitung in den Einstellungen ausschalten („Text durch Mistral aufbereiten“). Dann fügt Ora AI den erkannten Text unbearbeitet ein; im Sicheren Modus verlässt dann kein Diktatinhalt Ihren Mac.

Rechtsgrundlage für die Verarbeitung Ihrer Diktate ist Art. 6 Abs. 1 lit. b DSGVO (Erbringung des von Ihnen genutzten Dienstes). Nutzen Sie Ora AI beruflich oder geschäftlich, verarbeiten wir die Diktatinhalte in Ihrem Auftrag (Abschnitt 13).

6.2 Der Ora-Dienst

Die App enthält keinen Zugangsschlüssel zu Mistral. Alle Anfragen an Mistral laufen über den Ora-Dienst (api.ora-ai.de, Vercel, Rechenzentrum Frankfurt am Main). Der Ora-Dienst prüft Ihre Geräte-Anmeldung und Ihr Wochenlimit, leitet die Anfrage mit unserem Schlüssel an Mistral weiter und gibt die Antwort an die App zurück. Er speichert dabei weder Text noch Audio.

Für den Betrieb schreibt der Ora-Dienst je Anfrage eine Protokollzeile mit Zeitpunkt, Art der Anfrage, Ergebnis-Code, Dauer, Textlänge in Zeichen bzw. Audiodauer in Sekunden und einer nicht rückführbaren Kurzkennung des Geräts. Diese Protokolle enthalten nie Text, Audio, E-Mail-Adressen, Zugangs-Token oder IP-Adressen und werden nach höchstens 14 Tagen gelöscht. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (Betrieb, Fehlersuche und Sicherheit).

6.3 Mistral AI

Spracherkennung (nur im Schnellen Modus) und Textaufbereitung übernimmt Mistral AI SAS (Frankreich) als unser Auftragsverarbeiter. Der Ora-Dienst nutzt ausschließlich den EU-Endpunkt von Mistral (api.eu.mistral.ai). An Mistral gehen:

• im Schnellen Modus das Audio Ihres Diktats,
• der erkannte Text,
• die Anweisung der gewählten Vorlage und des Profils,
• nur diejenigen Ihrer eigenen Begriffe aus dem Wörterbuch, die im Diktat vorkommen oder ähnlich klingen – nie die ganze Liste.

Nicht an Mistral gehen Ihre E-Mail-Adresse, Ihre Konto-, Geräte- oder Installations-Kennung und Ihre IP-Adresse. Die Namen und Fachbegriffe, die Ora AI vom Bildschirm liest (Abschnitt 7), gehen nie an Mistral.

6.4 Anmeldung der App und Statusabfrage

Um die App mit Ihrem Konto zu verbinden, öffnet Ora AI den Konto-Bereich in Ihrem Browser. Nach Ihrer Bestätigung erhält die App einen Geräte-Token, den sie in der macOS-Schlüsselbundverwaltung (Keychain) nur auf diesem Mac ablegt. Für diesen Vorgang speichern wir kurzzeitig eine Anmelde-Anfrage, die nur verschlüsselte Fingerabdrücke enthält und nach höchstens 10 Minuten abläuft; nicht eingelöste Anfragen werden spätestens 2 Stunden danach gelöscht.

Je angemeldetem Gerät speichern wir einen verschlüsselten Fingerabdruck der zufällig erzeugten Installations-Kennung, einen Prüfwert (Hash) des Geräte-Tokens, das Anmeldedatum und den Tag der letzten Prüfung. Wir speichern keine Geräte- oder Computernamen und keine Seriennummern. Pro Konto sind höchstens zwei Geräte möglich. Der Eintrag wird sofort gelöscht, wenn Sie das Gerät abmelden, es durch ein anderes ersetzen, Ihr Konto löschen oder das Gerät sich 60 Tage nicht gemeldet hat.

Beim Start und danach höchstens alle 24 Stunden fragt die App beim Ora-Dienst ab, ob Ihr Gerät angemeldet ist und wie viel Ihres Wochenlimits verbraucht ist. Übertragen werden dabei der Geräte-Token und die App-Version.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

6.5 Wochenlimit und Meeting-Grenze

Ora AI ist derzeit kostenlos und hat ein Wochenlimit für diktierte Wörter sowie eine Grenze für Meeting-Mitschriften (Nutzungsbedingungen). Dafür speichern wir:

• je Konto und Kalenderwoche die Zahl der verarbeiteten Wörter – nur Zahlen, nie Text. Aufbewahrt werden die laufende und die vier vorangegangenen Wochen;
• je Diktat einen Beleg aus einer zufälligen Kennung und der bereits gezählten Wortzahl, damit ein Diktat nur einmal zählt. Belege werden nach 2 Stunden gelöscht;
• je Meeting, für das eine Zusammenfassung erstellt wurde, eine zufällige Meeting-Kennung mit der Kalenderwoche. Nie Inhalt, Titel, Dauer oder Notizen. Diese Einträge werden nach 8 Wochen gelöscht.

Zum Schutz vor Überlastung und Kostenmissbrauch begrenzt der Ora-Dienst außerdem die Zahl der Anfragen je Gerät und Konto pro Minute; diese Zähler werden spätestens nach 2 Stunden gelöscht.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, für die Missbrauchsbegrenzung Art. 6 Abs. 1 lit. f DSGVO.

6.6 Automatische App-Updates

Ora AI prüft im Hintergrund etwa einmal täglich, ob es eine neue Version der App gibt. Dazu ruft die App eine kleine Beschreibungsdatei („appcast.xml“) von unserer Website ora-ai.de ab. Ist eine neuere Version verfügbar, lädt die App das Update von unserem Dateispeicher bei Supabase (Rechenzentrum Frankfurt am Main) herunter, prüft dessen digitale Signatur und installiert es erst, wenn Sie Ora AI das nächste Mal beenden. Ein Update unterbricht daher nie ein laufendes Diktat oder eine Meeting-Mitschrift. Update-Dateien ohne gültige Signatur werden nicht installiert.

Bei diesen Abrufen verarbeiten der Hosting-Anbieter der Website (Abschnitte 3 und 4.1) und Supabase technisch notwendige Verbindungsdaten: Ihre IP-Adresse, Datum und Uhrzeit, die angefragte Datei sowie die Kennung der App mit ihrer Versionsnummer, wie sie jeder Abruf einer Datei mitschickt. Wir übertragen dabei keine Konto-, Geräte- oder Installations-Kennung, keinen Geräte-Token und keine Angaben zu Ihrem Mac (kein Systemprofil), und wir führen diese Abrufe nicht mit anderen Daten zusammen und werten sie nicht aus. Die Protokolle der Anbieter werden nur so lange aufbewahrt, wie es für den sicheren Betrieb erforderlich ist.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt darin, Fehler und Sicherheitslücken der App zeitnah zu beheben. Sie können die automatischen Updates jederzeit unter „Einstellungen“ → „System“ → „Automatisch aktualisieren“ ausschalten; dann ruft die App weder die Beschreibungsdatei ab noch lädt sie Updates. Neue Versionen erhalten Sie in diesem Fall über die Download-Seite unserer Website.

7. Was nur auf Ihrem Mac bleibt

Die folgenden Daten verarbeitet die App ausschließlich auf Ihrem Mac. Sie werden nicht an uns übertragen; wir haben keinen Zugriff darauf.

• Einstellungen, darunter Diktier-Taste, Modus, Profil, Mikrofon und – falls Sie es eintragen – Ihr Name und Ihre Kanzlei bzw. Firma für die Begrüßung in der App.
• Eigenes Wörterbuch: Begriffe und Namen, die Sie selbst eintragen. Es bleibt, bis Sie Begriffe entfernen oder Ora AI deinstallieren.
• Gesammelte Wörter für Vorschläge im Wörterbuch: einzelne Wörter aus Ihren Diktaten (nie ganze Sätze), höchstens 200, die nach 30 Tagen ohne neues Vorkommen gelöscht werden. Die Funktion lässt sich abschalten; dann werden die gesammelten Wörter sofort gelöscht.
• Diktatverlauf (optional, standardmäßig ausgeschaltet): eingefügter und erkannter Text vergangener Diktate mit Zeitpunkt und Vorlage. Einträge werden nach 30 Tagen automatisch gelöscht, lassen sich einzeln löschen und werden beim Ausschalten des Verlaufs sofort gelöscht.
• Meetings (Abschnitt 8): Mitschrift, Zusammenfassung, Titel und Ihre Notizen, höchstens 30 Tage.
• Fortschrittsdaten: nur Zahlen, Daten und Kennungen zu Ihrem Diktierverhalten (zum Beispiel Anzahl der Diktate und Wörter je Tag, gesparte Zeit, Serie, Erfolge). Nie Text, nie Namen. Programme, in denen Sie diktieren, werden nur als nicht rückführbare Kennung gespeichert. Die Tageswerte werden nach 13 Monaten gelöscht; die Funktion lässt sich abschalten und zurücksetzen.
• Bildschirm-Begriffe: Zu Beginn eines Diktats liest Ora AI den Text um den Cursor im aktiven Textfeld, um daraus Namen und Fachbegriffe für die richtige Schreibweise zu gewinnen. Der gelesene Text wird sofort verworfen; die Begriffe gelten nur für dieses eine Diktat und werden weder gespeichert noch übertragen. Die Funktion lässt sich abschalten.
• Chat-Modus: Ora AI erkennt am Namen des aktiven Programms, ob Sie in einem Chat-Programm schreiben, und wählt dann einen kürzeren Stil. Der Programmname bleibt auf Ihrem Mac; an Mistral geht nur die Stil-Anweisung.

Die Dateien liegen im Ordner „Ora“ unter ~/Library/Application Support/, sind nur für Ihren macOS-Benutzer lesbar und von Time-Machine-Backups ausgenommen. Der Geräte-Token liegt in Ihrer Keychain, nur für diesen Mac und ohne Synchronisierung. Audio speichert Ora AI nie auf der Festplatte.

8. Meeting-Mitschrift

Wenn Sie die Meeting-Mitschrift starten, erkennt Ora AI das Mikrofon („Ich“) und den Ton Ihres Macs („Andere“) lokal auf Ihrem Mac. Das Audio wird nicht gespeichert und nicht übertragen. Gespeichert werden die erkannte Mitschrift, die Zusammenfassung, ein Titel und Ihre eigenen Notizen – nur auf Ihrem Mac, höchstens 30 Tage; Sie können Meetings jederzeit einzeln oder alle löschen.

Für die Zusammenfassung geht die Mitschrift wie in Abschnitt 6.3 über den Ora-Dienst an Mistral AI (EU); den Titel bildet Mistral in derselben Anfrage aus der Mitschrift. Ihre Notizen und ein selbst vergebener Titel gehen nie an Mistral. Für die Meeting-Grenze erfährt der Ora-Dienst nur eine zufällige Meeting-Kennung und die Dauer, nie den Inhalt.

Wichtig: Bei Gesprächen mit anderen Personen sind Sie dafür verantwortlich, die Teilnehmer vorher zu informieren und, soweit erforderlich, ihr Einverständnis einzuholen. Das unbefugte Aufnehmen des nichtöffentlich gesprochenen Wortes ist nach § 201 StGB strafbar. Die App bietet dafür einen Hinweistext für Teilnehmer zum Kopieren an.

9. Download des Sprachmodells (Hugging Face)

Für die Spracherkennung auf Ihrem Mac (Sicherer Modus und Ausweichen bei fehlender Verbindung) lädt Ora AI einmalig ein Sprachmodell von den Servern der Hugging Face, Inc. (USA) herunter. Dabei erhält Hugging Face Ihre IP-Adresse und technische Anfragedaten (Zeitpunkt, angefragte Datei, App-Kennung). Diktat-, Audio- oder Kontodaten erhält Hugging Face nicht. Hugging Face verarbeitet diese Daten als eigener Verantwortlicher. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt darin, Ihnen die lokale Spracherkennung bereitzustellen. Zur Übermittlung in die USA siehe Abschnitt 11.

10. Kontaktformular, E-Mail und Feedback

Wenn Sie uns über das Kontaktformular, per E-Mail an support@ora-ai.de oder über die Feedback-Funktion der App schreiben, verarbeiten wir Ihre E-Mail-Adresse, Ihren Namen (falls angegeben) und Ihre Nachricht, um Ihr Anliegen zu bearbeiten. Die Feedback-Funktion der App bereitet nur eine E-Mail in Ihrem eigenen Mailprogramm vor; Ora AI sendet dabei selbst nichts.

Nachrichten aus dem Kontaktformular stellen wir über Brevo (Sendinblue SAS, Frankreich) als E-Mail an unser Postfach zu; das Formular selbst speichert nichts. Zum Schutz vor Missbrauch prüfen wir Anfragen mit Cloudflare Turnstile (Abschnitt 4.3) und begrenzen die Zahl der Nachrichten je IP-Adresse; dafür speichern wir einen verschlüsselten Fingerabdruck der IP-Adresse für höchstens 2 Stunden.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (Beantwortung Ihrer Anfrage), bei Anfragen zu Ihrem Konto Art. 6 Abs. 1 lit. b DSGVO. Wir löschen Anfragen, sobald sie erledigt sind, spätestens nach 12 Monaten, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

Bitte senden Sie uns keine Mandanten-, Patienten- oder Gesundheitsdaten. Erhalten wir solche Daten versehentlich, löschen wir sie.

11. Empfänger und Übermittlung in Drittländer

Wir setzen folgende Dienstleister ein. Mit allen, die in unserem Auftrag tätig sind, haben wir Verträge zur Auftragsverarbeitung nach Art. 28 DSGVO geschlossen.

Eigenständige Verantwortliche für ihre jeweilige Verarbeitung sind Google Ireland Limited (Irland) bei der optionalen Anmeldung mit Google (Abschnitt 5.3) und Hugging Face, Inc. (USA) beim Download des Sprachmodells (Abschnitt 9).

Übermittlung in Drittländer: Diktatinhalte (Audio und Text) werden ausschließlich in Rechenzentren in der EU verarbeitet – beim Ora-Dienst in Frankfurt am Main und bei Mistral AI über deren EU-Endpunkt. Einige Dienstleister haben ihren Sitz jedoch außerhalb der EU. Soweit Daten an sie übermittelt werden oder ein Zugriff von dort möglich ist, gilt:

• USA (Vercel, Cloudflare): Die Übermittlung stützt sich auf die Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO) und, soweit der jeweilige Anbieter unter dem EU-US Data Privacy Framework zertifiziert ist, auf den Angemessenheitsbeschluss der EU-Kommission (Art. 45 DSGVO).
• Singapur (Supabase): Die Daten liegen im Rechenzentrum Frankfurt am Main. Soweit Supabase oder dessen Unterauftragnehmer – auch in den USA – darauf zugreifen können, stützt sich das auf die Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO).
• USA (Hugging Face): Den Download lösen Sie selbst aus, um die lokale Spracherkennung zu nutzen. Soweit Hugging Face unter dem EU-US Data Privacy Framework zertifiziert ist, gilt der Angemessenheitsbeschluss (Art. 45 DSGVO); im Übrigen ist die Übermittlung zur Erfüllung des Nutzungsvertrags erforderlich (Art. 49 Abs. 1 lit. b DSGVO).

Eine Kopie der Standardvertragsklauseln können Sie unter support@ora-ai.de anfordern.

12. Hinweise für Berufsgeheimnisträger

Ora AI wird auch von Steuerberatern und anderen Berufsgeheimnisträgern genutzt (§ 62a StBerG, § 203 StGB). Dafür gilt:

• Wir verpflichten uns im Auftragsverarbeitungsvertrag zur Verschwiegenheit, verpflichten die bei uns mitwirkenden Personen und unsere Dienstleister ebenfalls dazu und weisen auf die Strafbarkeit einer Verletzung hin.
• Diktatinhalte werden nur durchgeleitet und beim Ora-Dienst nicht gespeichert. An Mistral gehen nur die Inhalte, die für das einzelne Diktat nötig sind (Abschnitt 6.3).
• Im Sicheren Modus verlässt das Audio Ihren Mac nicht. Ist die KI-Aufbereitung zusätzlich ausgeschaltet, verlässt kein Diktatinhalt Ihren Mac.

Ob und in welchem Modus der Einsatz von Ora AI mit Ihren berufsrechtlichen Pflichten vereinbar ist und ob Sie Ihre Mandanten informieren oder deren Einwilligung einholen müssen, prüfen Sie bitte eigenverantwortlich. Diese Hinweise sind keine Rechtsberatung.

13. Berufliche und geschäftliche Nutzung

Nutzen Sie Ora AI für berufliche oder geschäftliche Zwecke, sind Sie für die personenbezogenen Daten in Ihren Diktaten und Meeting-Mitschriften der Verantwortliche, und wir verarbeiten sie in Ihrem Auftrag. Dafür gilt unser Auftragsverarbeitungsvertrag nach Art. 28 DSGVO mit Verschwiegenheitsverpflichtung. Er ist auf der Seite „AVV & Berufsgeheimnis“ (www.ora-ai.de/avv) abrufbar und als PDF herunterladbar.

Für Ihr Konto (Abschnitt 5) und die Durchsetzung von Wochenlimit und Meeting-Grenze bleiben wir selbst Verantwortlicher.

14. KI-Hinweis (Art. 50 KI-Verordnung)

Ora AI erkennt, formuliert und gliedert Ihren Text mit Hilfe künstlicher Intelligenz (Sprachmodelle von Mistral AI und, im Sicheren Modus, ein Spracherkennungsmodell auf Ihrem Mac). Meeting-Zusammenfassungen werden von KI erstellt und in der App so gekennzeichnet. KI-Ergebnisse können Fehler enthalten. Bitte prüfen Sie den eingefügten Text und jede Zusammenfassung, bevor Sie sie weiterverwenden oder versenden.

15. Keine Analyse, keine automatisierte Entscheidung

Wir setzen weder auf der Website noch im Konto-Bereich noch in der App Analyse-, Werbe- oder Tracking-Dienste ein. Die App sendet keine Nutzungsstatistiken, keine Absturzberichte und keine Telemetrie.

Es findet keine ausschließlich automatisierte Entscheidung einschließlich Profiling statt, die Ihnen gegenüber rechtliche Wirkung entfaltet oder Sie in ähnlicher Weise erheblich beeinträchtigt (Art. 22 DSGVO). Wochenlimit und Meeting-Grenze sind für alle Nutzer gleiche technische Nutzungsgrenzen.

16. Pflicht zur Bereitstellung

Die Angabe Ihrer E-Mail-Adresse und die Geräte-Anmeldung sind für die Nutzung von Ora AI erforderlich; ohne sie können wir Ihnen den Dienst nicht bereitstellen. Darüber hinaus sind Sie nicht verpflichtet, uns Daten bereitzustellen.

17. Ihre Rechte

Sie haben gegenüber uns das Recht auf

• Auskunft über die bei uns gespeicherten Daten (Art. 15 DSGVO),
• Berichtigung unrichtiger Daten (Art. 16 DSGVO),
• Löschung (Art. 17 DSGVO),
• Einschränkung der Verarbeitung (Art. 18 DSGVO),
• Datenübertragbarkeit (Art. 20 DSGVO),
• Widerruf einer erteilten Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO), etwa für die Benachrichtigung zum Start (Abschnitt 4.5).

Widerspruchsrecht (Art. 21 DSGVO): Soweit wir Daten auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO verarbeiten, können Sie aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit widersprechen. Wir verarbeiten die Daten dann nicht mehr, es sei denn, wir können zwingende schutzwürdige Gründe nachweisen, die Ihre Interessen überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.

Ihre Kontodaten können Sie im Konto-Bereich selbst herunterladen und löschen. Alle anderen Anfragen richten Sie bitte an support@ora-ai.de. Wir antworten innerhalb eines Monats. Daten, die nur auf Ihrem Mac liegen (Abschnitt 7 und 8), verwalten und löschen Sie selbst in der App.

Nutzen Sie Ora AI beruflich oder geschäftlich und wendet sich eine im Diktat genannte Person an uns, leiten wir die Anfrage an Sie als Verantwortlichen weiter.

18. Beschwerderecht

Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren, insbesondere in dem Mitgliedstaat Ihres Aufenthaltsorts, Ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes (Art. 77 DSGVO). Für uns zuständig ist das Bayerische Landesamt für Datenschutzaufsicht (BayLDA).

19. Änderungen

Wir passen diese Datenschutzerklärung an, wenn sich Ora AI oder die Rechtslage ändert. Die jeweils aktuelle Fassung finden Sie auf www.ora-ai.de/datenschutz und in der App. Über wesentliche Änderungen informieren wir Sie in der App oder per E-Mail.