Datenschutzerklärung

1. Kurzüberblick

Diese Datenschutzerklärung beschreibt, wie Cao Hung Nguyen als Betreiber von Rintori personenbezogene Daten verarbeitet, wenn Sie die Website, die Anwendung, die Aufnahme- und Importfunktionen, die KI-Funktionen, Zahlungsfunktionen oder sonstige Teile des Dienstes nutzen.

Rintori macht aus Aufnahmen, die Sie bereits haben, eine Erinnerung, die Sie durchsuchen und mit der Sie sprechen können. Dabei geht es um das Privateste, was ein Mensch besitzt. Deshalb nennt diese Seite jeden Dienst, der Ihre Inhalte erhält, was er jeweils bekommt und wofür.

• Ihr Originalaudio wird nie überschrieben. Transkripte, Korrekturen und KI-Ergebnisse werden daneben gespeichert.
• Spracherkennung und KI-Analyse erfolgen durch externe Anbieter. Einige davon sitzen außerhalb der EU. Sie sind unten einzeln benannt.
• Wir verkaufen keine personenbezogenen Daten und nutzen Ihre Aufnahmen weder für Werbung noch auf unsere Weisung zum Training fremder Modelle.
• Die Website selbst setzt keine Analyse- oder Werbe-Cookies und lädt keine Schriften, Skripte oder Einbettungen von Dritten.

Deutsches und europäisches Datenschutzrecht steht für uns an erster Stelle. Maßgeblich sind insbesondere DSGVO, BDSG und für Cookies, Local Storage und ähnliche Technologien § 25 TDDDG.

2. Verantwortlicher

Verantwortlich im Sinne der Datenschutz-Grundverordnung (Art. 4 Nr. 7 DSGVO) ist:

E-Mail: E-Mail-Adresse: hung, at, theaiwhisperer, Punkt, dehung@theaiwhisperer.de

Da der Verantwortliche in Deutschland niedergelassen ist, ist kein gesonderter Vertreter nach Art. 27 DSGVO erforderlich.

3. Welche Daten wir verarbeiten

• Accountdaten: E-Mail-Adresse, Authentifizierungsdaten, ggf. Google-Login-Daten, Sprache, Theme, Oberflächeneinstellungen und Kontostatus.
• Von Ihnen bereitgestellte Inhalte: Audioaufnahmen und importierte Audiodateien, Transkripte, Ihre Korrekturen, getippte Notizen, Tagebuchbilder und Dateien, die Sie einer Aufnahme als Kontext beifügen.
• Daraus abgeleitete Daten: Zusammenfassungen, vorgeschlagene Aufgaben und Kalendereinträge, Sprecherzuordnungen, Textstimmung, Notizen und Spark-Lesefassungen sowie Suchindizes (Vektor-Embeddings).
• Stimmprofile: Wenn Sie eine Person anlernen, eine mathematische Stimmvorlage. Das sind biometrische Daten im Sinne von Art. 9 DSGVO; sie werden nur mit Ihrer ausdrücklichen Einwilligung verarbeitet.
• Verbundene Konten: Wenn Sie Google oder Plaud verbinden, die für die Verbindung nötigen Token und die von Ihnen ausgewählten Elemente.
• Nutzungsdaten: Funktionsereignisse, Verarbeitungsstufen, Kontingent- und Reservierungsereignisse sowie technische Sicherheitsereignisse.
• Automatisch erhobene technische Daten: IP-Adresse, Browser- und Gerätemerkmale, Betriebssystem, Spracheinstellungen, verweisende URLs, Zeitstempel, Logdaten und Fehlerberichte.
• Zahlungsdaten: Tarif-, Rechnungs- und Stripe-Zahlungsereignisse. Vollständige Kartendaten verarbeiten wir nicht selbst.
• Optionaler Orts- und Wetterkontext: nur wenn Sie ihn einschalten. Er ist standardmäßig aus.

Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO fragen wir nicht gezielt ab, sie können aber in einer Aufnahme enthalten sein — ein Gespräch über Gesundheit, Überzeugungen oder das Privatleben einer Person. Laden Sie solches Material nur hoch, wenn Sie dazu berechtigt sind.

4. Zwecke und Rechtsgrundlagen

• Vertragserfüllung, Art. 6 Abs. 1 lit. b DSGVO: Konto, Login, Upload und Import, Transkription, Suche, Gespräche mit Tori, Speicherung, Kontingente, Zahlungen und Support.
• Ausdrückliche Einwilligung, Art. 9 Abs. 2 lit. a i. V. m. Art. 6 Abs. 1 lit. a DSGVO: Sprechererkennung und Stimmprofile. Sie können sie jederzeit widerrufen; die Vorlage wird dann gelöscht.
• Einwilligung, Art. 6 Abs. 1 lit. a DSGVO: optionale Verarbeitungen, nach denen wir vorab gesondert fragen — Mikrofonzugriff im Browser, Google OAuth, Verbindung zu Plaud, Orts- und Wetterkontext sowie die KI-Umformulierung einer gesprochenen Zusage in einen Aufgabentitel.
• Berechtigte Interessen, Art. 6 Abs. 1 lit. f DSGVO: Sicherheit, Missbrauchsabwehr, Fehleranalyse, stabiler Betrieb sowie Geltendmachung und Verteidigung von Rechtsansprüchen.
• Rechtliche Pflichten, Art. 6 Abs. 1 lit. c DSGVO: steuerliche und handelsrechtliche Aufbewahrung, Zahlungsnachweise sowie gesetzliche Auskunfts-, Melde- und Streitbeilegungspflichten.

Die Bereitstellung von Inhalten ist freiwillig. Ohne E-Mail-Adresse und Passwort ist kein Konto möglich; ohne Audio hat der Dienst nichts, womit er arbeiten kann. Eine automatisierte Entscheidung mit rechtlicher Wirkung im Sinne von Art. 22 DSGVO findet nicht statt, ebenso wenig Profiling zu Werbezwecken.

5. KI-Verarbeitung und Inhalte

Rintori nutzt externe KI-Anbieter, um Ihr Audio zu transkribieren, aus dem Transkript Titel, Zusammenfassungen, Entscheidungen, Aufgaben und Einordnungen zu erzeugen, Ihre Erinnerungen inhaltlich durchsuchbar zu machen und Fragen dazu zu beantworten. Welche Anbieter das sind und was jeder erhält, steht im nächsten Abschnitt.

• Audio geht ausschließlich an die Spracherkennungsanbieter. Es geht nie an den KI-Anbieter, nie an den Embedding-Anbieter und an keinen anderen Empfänger.
• KI-Ausgaben können falsch, unvollständig oder veraltet sein. Generierte Inhalte sind als generiert gekennzeichnet, und ein extraktiver Auszug wird nie als KI-Zusammenfassung dargestellt.
• Generierte Ausgaben ersetzen nie Ihre Belege. Ihr Originalaudio und das Originaltranskript bleiben unverändert daneben erhalten.
• Sie dürfen keine personenbezogenen Daten Dritter hochladen, wenn Ihnen dafür keine Rechtsgrundlage oder Einwilligung vorliegt. Für Inhalte, die Sie selbst einbringen, bleiben Sie für die rechtmäßige Quelle und Nutzung verantwortlich.

6. Dienstleister und Empfänger

Es handelt sich um Auftragsverarbeiter nach Art. 28 DSGVO auf unsere Weisung oder, wo angegeben, um eigene Verantwortliche. Zu jedem Empfänger steht, was er tatsächlich erhält.

• Vercel Inc. (USA / EU-Region) — Hosting, Serverless-Funktionen, Auslieferung und technische Logs für Website und Anwendungs-Frontend.
• IONOS SE (Deutschland) — der Server, auf dem die Programmierschnittstelle läuft und Ihr verschlüsseltes Audio liegt.
• Supabase Inc. (Datenbankregion eu-central-1, Frankfurt am Main) — Authentifizierung, Postgres-Datenbank, Row-Level-Security und Suchindex.
• Deepgram Inc. (USA; EU-Regionalendpunkt) — stellt die Produktoption Transcription Pro bereit und erhält Audio, wenn sie ausgewählt ist. Rintori sendet diese Anfragen ausschließlich an den EU-Regionalendpunkt von Deepgram und schließt sie von der Modellverbesserung aus. Laut Deepgram werden Inhalte auf diesem Pfad innerhalb der EU verarbeitet und gespeichert.
• Mistral AI SAS (Frankreich; EU-Regionalendpunkt) — stellt mit Voxtral Mini Transcribe 2 die Produktoption Transcription Standard bereit und erhält Audio, wenn sie ausgewählt ist. Mistral Small 4 ist Rintoris Standardmodell für die Analyse und erhält das zeitmarkierte Transkript, um Titel, Zusammenfassungen, Entscheidungen, Aufgaben und Einordnungen zu erzeugen; einzelne Passagen zusammen mit Ihrer Frage, wenn Sie etwas fragen; und einzelne Sätze, wenn Sie einen Aufgabentitel umformulieren lassen. Außerdem erzeugt Mistral Such-Embeddings aus Transkriptpassagen, Ihren Fragen, Tori-Chatnachrichten, Titel, Startzeit und Kalendername von Terminen aus den von Ihnen angehakten Kalendern sowie Dateiname und kurzem Anfangsauszug eines beigefügten Google-Drive-Dokuments; Terminbeschreibungen und Teilnehmerlisten werden vor der Indexierung verworfen, der vollständige Text eines Dokuments wird nie indexiert. Regionale Inferenz ist nicht dasselbe wie eine Aufbewahrung von null Tagen; dies ist eine gesonderte Konto- und Vertragskontrolle.
• Modulate Inc. (USA) — früherer Spracherkennungsanbieter für Aufnahmen, die bereits vor der Mistral-Umstellung eingereiht waren. Für neue Aufnahmen wird Modulate nicht angeboten.
• OpenAI Ireland Ltd. / OpenAI, L.L.C. und DeepSeek (Volksrepublik China) — optionale Analyseanbieter, nur wenn sie ausdrücklich als Primäranbieter oder Fallback konfiguriert sind. Dann erhalten sie dasselbe begrenzte Transkriptmaterial wie das oben beschriebene Analysemodell.
• Google Ireland Ltd. (Vertex AI, EU-Region europe-west4) — Live-Gespräch: Ihre Stimme, der begrenzte Gesprächskontext und Werkzeugergebnisse, solange ein Live-Gespräch läuft. Bis zur Umstellung auf Mistral erzeugte die Gemini-API von Google auch die oben beschriebenen Such-Embeddings; Inhalte, die bis dahin übermittelt wurden, wurden nach den Bedingungen von Google verarbeitet und können von uns nicht zurückgeholt werden.
• Google Ireland Ltd. (Anmeldung, Kalender, Drive) — nur wenn Sie Ihr Google-Konto verbinden, und nur für die von Ihnen freigegebenen Berechtigungen. Unsere Nutzung von Informationen aus Google APIs richtet sich nach der Google API Services User Data Policy einschließlich der Limited-Use-Anforderungen.
• Plaud — nur wenn Sie ein Plaud-Konto verbinden, um die von Ihnen ausgewählten Aufnahmen zu importieren. Plaud verarbeitet diese Daten auf eigener Infrastruktur, außerhalb der EU-Verarbeitung von Rintori.
• Brave Software, Inc. (USA) — nur wenn Sie die Websuche einschalten (Pro) und den Hinweis bestätigen. Erhält die Frage so, wie Sie sie eingegeben haben (bis zu 300 Zeichen), und bei Fragen zu Orten in Ihrer Nähe Ihre übliche Gegend, auf etwa 11 km gerundet. Nie eine Aufnahme, ein Transkript, eine Person oder eine Kontokennung. Brave veröffentlicht nicht, wo seine Schnittstelle Anfragen verarbeitet; dies geschieht daher außerhalb der EU-Verarbeitung von Rintori.
• Stripe Payments Europe Ltd. — Zahlungsabwicklung, Abrechnung und Webhook-Ereignisse für kostenpflichtige Tarife. Abrechnungsdatensätze enthalten keine Aufnahmetitel, Transkripte, Anhänge, Stimmvorlagen oder abgeleiteten Erinnerungsinhalte.
• Open-Meteo (Deutschland) — nur wenn Sie den Wetterkontext einschalten. Erhält eine auf 0,1° (rund 11 km) gerundete Koordinate mit einem Zeitpunkt sowie, getrennt davon, einen von Ihnen getippten Ortsnamen. Transkripte, Audio oder eine exakte Position erhält der Dienst nie.
• Mailjet (Sinch, EU) — versendet in unserem Auftrag Kontomails wie Registrierungsbestätigung und Passwort-Zurücksetzung. Erhält Ihre E-Mail-Adresse und die Nachricht.
• Strato AG (Deutschland) — Rintoris eigene Postfächer und ausgehende E-Mails von rintori.com, einschließlich Ihrer Nachrichten an uns und unserer Antworten.

7. Drittlandübermittlungen

Einige der oben genannten Anbieter verarbeiten Daten außerhalb der EU/des EWR. Teile Ihres Transkripttextes und Ihr Audio werden daher in Drittländern verarbeitet.

• Vereinigte Staaten (Deepgram, frühere Modulate-Vorgänge, Vercel, Stripe-Konzern, Brave bei eingeschalteter Websuche, OpenAI soweit ausdrücklich konfiguriert): Die Übermittlung stützt sich auf die EU-Standardvertragsklauseln nach Art. 46 DSGVO und, soweit der Empfänger teilnimmt, auf das EU-US Data Privacy Framework nach Art. 45 DSGVO. Deepgram-Transkriptionsinhalte werden an den EU-Regionalendpunkt geleitet; Deepgram bleibt ein US-Anbieter, und Datenresidenz in der EU ist keine Garantie einer souveränen Cloud.
• Volksrepublik China (DeepSeek, nur wenn ausdrücklich konfiguriert): Für China besteht kein Angemessenheitsbeschluss. Die Übermittlung stützt sich auf die Standardvertragsklauseln. Beachten Sie, dass das Schutzniveau dem der DSGVO möglicherweise nicht entspricht, insbesondere hinsichtlich des Zugriffs staatlicher Stellen und der Durchsetzung Ihrer Rechte.

Der Standardpfad für die Analyse nutzt den EU-Regionalendpunkt von Mistral. Das bedeutet weder, dass jeder Datenfluss von Rintori in der EU bleibt, noch dass Mistral keinerlei Daten aufbewahrt. Schreiben Sie uns, und wir teilen Ihnen mit, welcher Anbieter und welche Aufbewahrungskontrollen zum Zeitpunkt Ihrer Anfrage aktiv sind.

Details zu den jeweils eingesetzten Transfermechanismen und Auftragsverarbeitungsvereinbarungen stellen wir auf Anfrage bereit, soweit sie nicht bereits in den Anbieterinformationen dokumentiert sind.

8. Google-Login

Sie können sich über Google anmelden, wenn diese Option angezeigt wird. In diesem Fall erhalten wir von Google die für Login und Kontoerstellung erforderlichen Profildaten, typischerweise E-Mail-Adresse, Name, Profilbild und technische Authentifizierungsdaten.

Wir verwenden diese Daten nur für Authentifizierung, Kontoverwaltung, Sicherheit und die hier beschriebenen Zwecke. Die weitere Verarbeitung durch Google richtet sich nach den Datenschutzinformationen von Google.

9. Cookies, lokaler Speicher und Tracking

Wir nutzen Cookies und lokalen Browser-Speicher nur, soweit dies für Login, Sicherheit, Sprache, Theme, Einstellungen, Sitzungen und Kontingente erforderlich ist. Rechtsgrundlage für den Zugriff auf diese Informationen im Endgerät ist § 25 Abs. 2 TDDDG.

Die öffentliche Website setzt keine Analyse-, Werbe- oder Trackingtechnologien ein und bindet keine Schriften, Karten, Videos oder Skripte Dritter ein. Sie speichert einen Wert — die von Ihnen gewählte Sprache — damit ein erneuter Besuch in derselben Sprache öffnet.

Da hier nichts eingesetzt wird, was nach § 25 Abs. 1 TDDDG einer Einwilligung bedarf, gibt es kein Cookie-Banner. Sollten wir jemals eine einwilligungsbedürftige Technologie einsetzen, holen wir die Einwilligung vorher ein und bieten eine Widerrufsmöglichkeit an.

10. Speicherdauer

• Aufnahmen, Transkripte und abgeleitete Inhalte: bis Sie sie löschen oder Ihr Konto löschen.
• Beim Löschen eines Gesprächs wird die Wiedergabe sofort gesperrt; anschließend werden verschlüsseltes Audio, Schlüssel, Transkript und abgeleitete Daten einschließlich der Suchindex-Einträge entfernt.
• Stimmvorlagen: bis zum Widerruf der Einwilligung oder zur Löschung der Person, je nachdem, was zuerst eintritt.
• Server-, Sicherheits- und Missbrauchslogs: nur so lange, wie es für den Zweck erforderlich ist.
• Abrechnungs- und steuerrelevante Unterlagen: die gesetzlichen Aufbewahrungsfristen des Handels- und Steuerrechts, getrennt von Ihren Erinnerungsdaten.

Wenn keine laufende vertragliche, rechtliche oder berechtigte Notwendigkeit mehr besteht, löschen oder anonymisieren wir personenbezogene Daten. Backups können aus Sicherheitsgründen noch für einen begrenzten Zeitraum bestehen bleiben und werden bis zur Löschung nicht produktiv genutzt.

11. Sicherheit

• Der Transport ist mit TLS verschlüsselt; gespeichertes Audio ist mit einem Schlüssel pro Aufnahme verschlüsselt.
• Anbieterschlüssel bleiben auf dem Server und werden nie an den Browser ausgeliefert.
• Stimmvorlagen, Embeddings, Fehlermeldungen von Anbietern und Ihre Inhalte werden konstruktiv aus Logs herausgehalten.
• Der Browser-Cache der installierten App enthält nur das Anwendungsgerüst — nie eine Antwort mit Ihren Inhalten.

12. Ihre Rechte

• Auskunft über die zu Ihnen gespeicherten personenbezogenen Daten (Art. 15 DSGVO).
• Berichtigung unrichtiger Daten (Art. 16 DSGVO).
• Löschung (Art. 17 DSGVO) — Aufnahmen und Ihr gesamtes Konto können Sie auch direkt im Produkt löschen.
• Einschränkung der Verarbeitung (Art. 18 DSGVO).
• Datenübertragbarkeit (Art. 20 DSGVO).
• Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21 DSGVO).
• Widerruf einer Einwilligung jederzeit mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO).

Zur Ausübung eines Rechts schreiben Sie an E-Mail-Adresse: hung, at, theaiwhisperer, Punkt, dehung@theaiwhisperer.de.

Wir können zur Bearbeitung einen Identitätsnachweis verlangen, wenn dies zum Schutz Ihres Kontos erforderlich ist. Anfragen bearbeiten wir nach den anwendbaren Datenschutzgesetzen.

Sie haben außerdem das Recht, sich bei einer Datenschutzaufsichtsbehörde zu beschweren (Art. 77 DSGVO). Zuständig ist insbesondere die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen, Kavalleriestraße 2–4, 40213 Düsseldorf (https://www.ldi.nrw.de). Eine EU-Übersicht finden Sie unter https://ec.europa.eu/justice/data-protection/bodies/authorities. Sie können sich auch an die Behörde an Ihrem Wohnort wenden.

13. Aufnahmen anderer Personen

Wenn Sie ein Gespräch aufnehmen oder hochladen, sind darin die Stimmen anderer Menschen. Für dieses Material sind Sie der Verantwortliche, und wir handeln auf Ihre Weisung. Für die Aufnahme anderer Personen kann deren Einwilligung erforderlich sein; die Vertraulichkeit des gesprochenen Wortes ist in Deutschland strafrechtlich geschützt (§ 201 StGB). Kennen Sie die Rechtslage an Ihrem Ort und informieren Sie die Menschen, die Sie aufnehmen.

Wenn Sie selbst in einer Aufnahme vorkommen, die jemand anderes hochgeladen hat, und Ihre Rechte ausüben möchten, schreiben Sie an E-Mail-Adresse: hung, at, theaiwhisperer, Punkt, dehung@theaiwhisperer.de — wir leiten die Anfrage an den verantwortlichen Kontoinhaber weiter und unterstützen ihn bei der Beantwortung.

14. Minderjährige

Rintori richtet sich nicht gezielt an Kinder. Nach unseren AGB müssen Nutzer mindestens 18 Jahre alt sein.

Wenn wir erfahren, dass wir personenbezogene Daten eines Kindes ohne erforderliche Zustimmung verarbeitet haben, deaktivieren wir das Konto und löschen die Daten, soweit keine gesetzlichen Pflichten entgegenstehen.

15. Datenschutzbeauftragter

Es ist kein Datenschutzbeauftragter benannt; eine Benennung ist nach Art. 37 DSGVO und § 38 BDSG nicht erforderlich. Datenschutzanfragen richten Sie an den oben genannten Verantwortlichen.

16. Änderungen

Wir passen diese Datenschutzerklärung an, wenn sich der Dienst, die eingesetzten Anbieter oder die Rechtslage ändern — insbesondere wenn ein Auftragsverarbeiter hinzukommt oder der konfigurierte KI-Anbieter wechselt. Die jeweils aktuelle Fassung ist dauerhaft unter /de/legal/privacy abrufbar; das Datum oben zeigt den Stand. Wo eine Änderung Ihre Einwilligung erfordert, holen wir sie ein, bevor die Änderung wirksam wird.