Vertrauen & Sicherheit
Die Belege hinter unserem Datenschutzversprechen. Zuletzt aktualisiert: 2. Mai 2026.
Datenschutzversprechen, in klarer Sprache
- ✓Du wählst, wie lange Audio gespeichert bleibt. Standard sind 90 Tage ab Upload, aber im Wahlfeld auf der Upload-Seite kannst du alles zwischen „sofort nach Abschluss löschen“ und einem Jahr einstellen.
- ✓Verschlüsselt bei Übertragung und Speicherung. Sämtlicher Datenverkehr läuft über HTTPS. Audio im Ruhezustand in Cloudflare R2 ist mit AES-256 verschlüsselt.
- ✓Nie zum KI-Training verwendet. Die OpenAI-API-Vereinbarung schließt API-Traffic ausdrücklich vom Modelltraining aus. Wir feintunen auch keine Modelle auf Nutzerdaten.
- ✓Nie verkauft oder weitergegeben. Wir haben kein Datenverkaufsgeschäft. Nur die unten aufgelisteten Auftragsverarbeiter sehen deine Daten, und nur für den dort genannten Zweck.
- ✓Jederzeit löschen. Ein-Klick-Löschung für einzelne Transkripte oder dein gesamtes Konto.
Auftragsverarbeiter
Das sind die Drittanbieter, die deine Daten verarbeiten, wozu, wo sie laufen und ein Link zu ihrer DPA.
| Anbieter | Zweck | Region | DPA |
|---|---|---|---|
| Vercel | Anwendungs-Hosting (Next.js-Runtime, Edge-Netzwerk) Request-Metadaten, Server-Logs | EU (Frankfurt) | DPA → |
| Cloudflare R2 | Verschlüsselter Objektspeicher für hochgeladene Audiodateien Audio-/Videodateien (hochgeladen), im Ruhezustand verschlüsselt | EU | DPA → |
| Modal | Serverless-Compute, das den Transkriptions-Worker ausführt Audio wird während der Transkription kurzzeitig durch das flüchtige Container-Dateisystem gestreamt. Modal bietet für unsere Workload-Stufe noch keine EU-Regionen. | US | DPA → |
| OpenAI | Sprache-zu-Text-Transkription über die API (gpt-4o-transcribe-diarize) Audio zur Transkription gesendet. Laut OpenAI-Richtlinie: nicht fürs Training genutzt, ≤30 Tage zur Missbrauchsüberwachung gespeichert. EU-Datenresidenz nur in der Enterprise-Stufe. | US | DPA → |
| Neon | PostgreSQL-Datenbank-Hosting (Transkripte, Kontodaten — kein Audio) Kontodaten, Transkripte, Abrechnungsreferenzen | EU (Frankfurt) | DPA → |
| Stripe | Zahlungsabwicklung Kartendaten (von Stripe verwaltet — berühren nie unsere Server), Abrechnungs-E-Mail | EU / Global (PCI-DSS) | DPA → |
| Clerk | Authentifizierung und Nutzerverwaltung E-Mail, Name, OAuth-Tokens, Sitzungsdaten | EU | DPA → |
| Resend | Versand transaktionaler E-Mails Empfänger-E-Mail, Nachrichteninhalt (Transkript-fertig-Benachrichtigungen) | EU | DPA → |
| Plausible | Datenschutzfreundliche Website-Analytik (keine Cookies, keine PII) Seitenaufrufe, aggregierte Eventzählungen. Keine persönlichen Kennungen. | EU | DPA → |
| Google Analytics 4 (Opt-in) | Seitenaufruf- + Conversion-Analytik, nur nach Einwilligung Seiten-URL, IP (anonymisiert), Sitzungs-Events, von GA vergebene Client-ID. Wird erst geladen, wenn der Nutzer Analyse-Cookies im Consent-Banner akzeptiert. | US (Google operates globally; SCCs + IP anonymisation apply) | DPA → |
| Google Ads (Opt-in) | Conversion-Messung für Werbe-Attribution, nur nach Einwilligung Conversion-Events: Stripe-Sitzungs-ID (transaction_id), gezahlter Betrag (USD), Conversion-Action-Label, gclid-Abgleich. Wird erst geladen, wenn der Nutzer Werbe-Cookies akzeptiert. | US (same as GA4) | DPA → |
Datenresidenz
Wir sind ein EU-Unternehmen (Klarweb, Oslo) und wählen überall dort EU-Datenresidenz, wo der Anbieter es unterstützt. Aktuell heißt das:
- Audio-Speicher — Cloudflare R2, EU-Jurisdiktion.
- Datenbank — Neon, Frankfurt (eu-central-1).
- Hosting — Vercel, Frankfurt (fra1).
- Authentifizierung — Clerk, EU-Instanz.
- E-Mail — Resend, EU-Versandregion.
- Always-on-Analytik — Plausible, EU.
Auftragsverarbeiter, die in den USA laufen:
- Modal (der Transkriptions-Worker) und OpenAI (das Sprachmodell) — Audio durchläuft beide während der wenigen Minuten der Transkription und hinterlässt danach auf keinem davon eine dauerhafte Kopie.
- Stripe — Zahlungsabwicklung.
- Google Analytics 4 und Google Ads — nur Opt-in, hinter dem Cookie-Banner. Standardmäßig per Consent Mode v2 abgelehnt; an Google wird nichts gesendet, solange du nicht zustimmst. Wenn du ablehnst, gehen überhaupt keine Daten an Google.
EU/US-Übermittlungen bei diesen Verarbeitern stützen sich auf Standardvertragsklauseln (SCC). Speziell für Google stützen wir uns zusätzlich auf Einwilligung (Opt-in im Banner) und IP-Anonymisierung. Wenn dein Anwendungsfall keinen US-Transit erlaubt, schreib uns vor dem Upload sensibler Inhalte über die Kontaktseite — und lehne den Cookie-Banner ab, damit die Google-Verarbeiter nie geladen werden.
DSGVO-Haltung
Wenn du in der EU/EWR bist, hast du das Recht auf Auskunft, Berichtigung, Übertragbarkeit und Löschung deiner personenbezogenen Daten. Die Abkürzungen:
- Auskunft / Übertragbarkeit — exportiere jedes Transkript und jeden Kontodatensatz von deiner Profilseite.
- Löschung — lösche einzelne Transkripte oder dein gesamtes Konto (Profil → Konto löschen). Die Kontolöschung entfernt Audio, Transkripte, Abrechnungsreferenzen und alle zugehörigen Auftragsverarbeiter-Datensätze.
- Berichtigung / Widerspruch — schreib uns über deinen In-App-Posteingang, und wir antworten innerhalb der DSGVO-vorgegebenen 30 Tage.
Verschlüsselung
- Bei Übertragung — Sämtlicher Browser-↔-Server-Traffic ist TLS 1.2+. Datenbankverbindungen zu Neon nutzen SSL.
- Im Ruhezustand — Cloudflare R2 verschlüsselt hochgeladenes Audio serverseitig mit AES-256. Der Speicher der Neon-Datenbank ist verschlüsselt.
- Kartendaten — ausschließlich von Stripe verwaltet (PCI-DSS Level 1). Kartennummern berühren nie unsere Server.
Was wir nicht haben
Im Sinne der Ehrlichkeit darüber, was wir sind und nicht sind:
- SOC 2 / ISO 27001 — nicht zertifiziert. Wir sind ein kleines Team und haben noch keine formellen Audits verfolgt. Wenn du SOC 2 für deinen Einkauf brauchst, schreib uns — wir können über Zeitpläne sprechen.
- HIPAA BAA — Wir unterzeichnen keine Business Associate Agreements. Lade keine PHI hoch.
- 100 % EU-only Datenresidenz — Speicher, Datenbank, Hosting, Auth, E-Mail und Plausible-Analytik liegen in der EU. Modal-Compute, OpenAI-Transkription und Stripe-Zahlungen laufen in den USA (SCC vorhanden). Google Analytics und Google Ads liegen ebenfalls in den USA, aber nur Opt-in — sie werden nie geladen, wenn du den Cookie-Banner ablehnst. Melde dich, wenn dein Anwendungsfall vor dem Upload keinen US-Transit erlaubt.
Sicherheitslücke melden
Schwachstelle gefunden? Schreib uns die Details über /contact. Wir antworten auf Sicherheitsmeldungen innerhalb von 72 Stunden.