Datenschutz

Verantwortlicher

Verantwortlich für die auf dieser Seite beschriebene Verarbeitung ist der Betreiber von NORA:

Aufruf der Website

NORA wird bei Vercel betrieben. Beim Aufruf einer Seite fallen dort die technisch üblichen Verbindungsdaten an: IP-Adresse, Zeitpunkt, aufgerufene Adresse, Angaben zu Browser und Gerät sowie der Antwortstatus. Diese Daten sind nötig, um die Seite auszuliefern, Fehler zu erkennen und Missbrauch abzuwehren. NORAs eigene Protokolle sind bewusst inhaltsfrei: Sie enthalten keine Recherchetexte, Antworten, Bilder oder API-Keys. Die Laufzeit-Protokolle sind nur kurze Zeit einsehbar – derzeit etwa eine Stunde. Unabhängig davon verarbeitet Vercel eigene Dienst- und Sicherheitsdaten nach seinen Bedingungen.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO – das berechtigte Interesse, NORA zuverlässig und sicher zu betreiben.

Account und Anmeldung

Du meldest dich nach deiner Wahl mit einem Google- oder Microsoft-Konto an; die Anmeldung läuft über Supabase Auth. Dabei werden die üblichen Profil- und Anmeldedaten zwischen dem gewählten Anbieter, Supabase und NORA ausgetauscht: Anbieterkennung, Name, verifizierte E-Mail-Adresse sowie Sitzungsangaben.

In NORAs Datenbank werden zu deinem Account Identität, Status (etwa die Freigabe durch einen Administrator), Rolle, Credits und Credit-Zuschüsse gespeichert. Administratoren sehen genau diese Verwaltungsangaben – niemals die Inhalte deiner Recherchen. Sobald ein Administrator deinen Account freigibt, sendet NORA dir einmalig eine Benachrichtigung an deine verifizierte E-Mail-Adresse. Die Verarbeitung ermöglicht den Zugang zu NORA und schützt die von NORA finanzierten Funktionen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit sie für das Nutzungsverhältnis erforderlich ist, im Übrigen Art. 6 Abs. 1 lit. f DSGVO.

Recherchen mit deinem Account

Startest du mit einem freigegebenen Account eine Recherche, sendet NORA deine Eingaben, die gewählten Recherche-Sprachen, hochgeladene Bilder und – bei Folgefragen – den bisherigen Gesprächsverlauf serverseitig an Gemini von Google. Die Kosten trägt NORA. Jede Anfrage nutzt Google Search zur Quellenfindung und ist mit store: false gekennzeichnet: NORA fordert damit keine dauerhafte Speicherung der Unterhaltung bei Google an. Google bewahrt Daten nach eigenen Bedingungen dennoch begrenzt auf: Für die Missbrauchskontrolle nennt Google derzeit 55 Tage. Bei der Einbindung von Google Search werden Eingaben, Kontextinformationen und erzeugte Ausgaben nach Googles Angaben 30 Tage lang gespeichert.

Erfolgreiche Research Sessions speichert NORA dauerhaft: Eingaben, Antworten, Quellen, technische Zwischenschritte und zugehörige Bilder liegen in NORAs Datenbank und privatem Speicher, damit du eine Recherche später fortsetzen kannst. Diese Inhalte sind privat – es gibt keine Einsicht durch Administratoren und keine automatische Löschung; eine Löschung kannst du jederzeit beim Verantwortlichen verlangen. Hochgeladene Bilder, die keiner Research Session zugeordnet werden, entfernt die tägliche Wartung nach 24 Stunden.

Daneben speichert NORA inhaltsfreie Betriebsdaten zu jeder Recherche: Status, Zeitpunkte, Dauer, verwendetes Modell, bereinigte Fehlercodes und die von Gemini gemeldeten Nutzungsmengen. Sie dienen der Credit-Abrechnung, der Fehleranalyse und dem sicheren Wiederholen fehlgeschlagener Anfragen. Rechtsgrundlage für diesen Abschnitt ist Art. 6 Abs. 1 lit. b und lit. f DSGVO.

Nutzung mit eigenem Gemini API-Key

Alternativ kannst du NORA ohne Account mit einem eigenen Gemini API-Key nutzen. Dieser Weg ist technisch vollständig getrennt: Dein Browser spricht direkt mit Google. API-Key, Eingaben, Bilder, Antworten und Gesprächsverlauf erreichen zu keinem Zeitpunkt NORAs Server, Datenbank, Speicher oder Protokolle. Die Unterhaltung lebt nur im aktuellen Browser-Tab und geht beim Neuladen oder Schließen verloren. Für die Verarbeitung bei Google gelten die Bedingungen des Google-Kontos, zu dem der Key gehört; auch hier wird Google Search genutzt.

Beim Eingeben des Keys kannst du „Diesen Key auf diesem Gerät merken“ wählen. Nur dann legt NORA den Key im localStorage dieses Browsers ab, bis du ihn ersetzt oder entfernst; andernfalls bleibt er nur im Arbeitsspeicher der geöffneten Seite. Das Merken beruht auf deiner Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG); du kannst sie jederzeit mit Wirkung für die Zukunft widerrufen, indem du „Key entfernen“ wählst.

Cookies und Browser-Speicher

NORA setzt ausschließlich technisch erforderliche Anmelde-Cookies von Supabase. Sie enthalten die Zugriffs- und Aktualisierungs-Token deiner Sitzung und werden beim Abmelden entfernt beziehungsweise nach Ablauf erneuert. Ohne sie funktioniert der Account-Bereich nicht (§ 25 Abs. 2 Nr. 2 TDDDG; Art. 6 Abs. 1 lit. b beziehungsweise lit. f DSGVO). Daneben nutzt nur das oben beschriebene, optionale Merken des API-Keys den Browser-Speicher.

Es gibt keine Werbe- oder Analyse-Cookies, keine Reichweitenmessung und keine automatisch geladenen Inhalte von Drittanbietern. Externe Dienste werden erst tätig, wenn du dich anmeldest, eine Recherche startest oder einen Link öffnest.

Kontakt per E-Mail

Schreibst du dem Betreiber eine E-Mail, verarbeitet er Absenderadresse, Nachrichteninhalt, Anhänge und technische Zustellangaben, um dein Anliegen zu beantworten. Ein Kontaktformular gibt es nicht. Empfänger sind der Betreiber und die beteiligten E-Mail-Anbieter. Die Daten werden gelöscht, sobald das Anliegen erledigt ist und keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Rechtsgrundlage ist je nach Anliegen Art. 6 Abs. 1 lit. b, lit. c oder lit. f DSGVO.

Empfänger und Drittlandübermittlung

Daten erhalten nur die Dienstleister, die für den jeweiligen Vorgang erforderlich sind: Vercel für Auslieferung und Serverbetrieb; Supabase mit seinen Infrastrukturpartnern für Anmeldung, Datenbank und privaten Speicher; Google oder Microsoft für die gewählte Anmeldung; Google für Gemini und Google Search; sowie die beteiligten E-Mail-Anbieter. Diese Anbieter können ihrerseits Unterauftragsverarbeiter einsetzen.

Dabei kann eine Verarbeitung außerhalb von EU und EWR stattfinden, insbesondere in den USA. Die Übermittlung stützt sich auf Angemessenheitsbeschlüsse der EU-Kommission – für US-Anbieter insbesondere das EU-US Data Privacy Framework, soweit der Anbieter dort zertifiziert ist – sowie ergänzend auf EU-Standardvertragsklauseln.

Speicherdauer

• Research Sessions und zugehörige Bilder bleiben gespeichert, damit du sie fortsetzen kannst – bis du ihre Löschung verlangst oder der Dienst eingestellt wird.
• Account-, Status-, Rollen-, Credit- und inhaltsfreie Betriebsdaten bleiben gespeichert, solange sie für Zugang, Missbrauchsschutz und Abrechnung erforderlich sind; gesetzliche Pflichten können eine längere Aufbewahrung verlangen.
• Nicht zugeordnete Bild-Uploads werden nach 24 Stunden entfernt. Signierte Leseadressen für Bilder laufen nach etwa zehn Minuten ab, signierte Upload-Freigaben nach zwei Stunden.
• Server-Protokolle, E-Mails und Browserdaten folgen den oben beschriebenen Kriterien. Die eingesetzten Anbieter können daneben eigene Sicherheits- und Abrechnungsdaten nach ihren Bedingungen aufbewahren.

Deine Rechte

Du hast – soweit die gesetzlichen Voraussetzungen vorliegen – das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung und Datenübertragbarkeit sowie das Recht, aus Gründen deiner besonderen Situation Widerspruch gegen eine auf berechtigten Interessen beruhende Verarbeitung einzulegen. Eine erteilte Einwilligung kannst du jederzeit mit Wirkung für die Zukunft widerrufen. Wende dich dafür an den oben genannten Verantwortlichen.

Außerdem kannst du dich bei einer Datenschutzaufsichtsbehörde beschweren, insbesondere beim Landesbeauftragten für den Datenschutz und die Informationsfreiheit Rheinland-Pfalz.