NORA

Datenschutzerklärung

Stand: 5. November 2026

NORA besteht aus dieser Website, aus NORA Web unter nora.trufflecraft.com/app und aus dem Aufnahmegerät NORA note. Wir setzen keine Analyse- oder Werbewerkzeuge ein und geben keine Daten an Werbenetzwerke weiter. Schriften, 3D-Modell und Programmteile dieser Website kommen von unserem eigenen Server, beim Aufruf werden also keine Daten an Dritte wie Google übertragen. Im Folgenden steht, welche Daten trotzdem anfallen, wofür und wie lange.

1. Verantwortlicher

Michel Schieder · TruffleCraft
Köpenicker Straße 40, 10179 Berlin
E-Mail: nora@trufflecraft.de

2. Hosting bei Cloudflare

Website und NORA Web laufen bei Cloudflare, Inc. (101 Townsend St, San Francisco, CA 94107, USA). Beim Aufruf verarbeitet Cloudflare technisch notwendige Verbindungsdaten, unter anderem IP-Adresse, Zeitpunkt der Anfrage, aufgerufene Adresse und Browsertyp. Das dient der Auslieferung sowie der Sicherheit und Stabilität des Angebots. Für Fehlersuche speichern wir technische Protokolle kurzzeitig, ohne Inhalte deiner Notizen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem sicheren, funktionierenden Angebot). Auch die Inhalte deines NORA-Kontos speichert Cloudflare für uns. Für Übermittlungen in die USA ist Cloudflare unter dem EU-US Data Privacy Framework zertifiziert und stützt sich zusätzlich auf die EU-Standardvertragsklauseln.

3. Warteliste

Wenn du dich auf die Warteliste einträgst, speichern wir deine E-Mail-Adresse und den Zeitpunkt der Eintragung. Du bekommst dann eine Mail mit einem Bestätigungslink; erst nach dem Klick darauf stehst du auf der Liste, und wir speichern zusätzlich den Zeitpunkt der Bestätigung. Ohne Bestätigung löschen wir die Adresse nach sieben Tagen.

Wir nutzen die Adresse nur, um dir Bescheid zu geben, sobald die NORA note bestellbar ist. Die Mails verschicken wir über Cloudflare Email Sending (siehe Punkt 2). Rechtsgrundlage ist deine Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO. Du kannst sie jederzeit widerrufen, über den Link in jeder Mail oder mit einer Nachricht an nora@trufflecraft.de. Dann löschen wir die Adresse sofort.

4. Konto in NORA Web

Für ein Konto brauchen wir deine E-Mail-Adresse. Zum Anmelden schicken wir dir einen Link per Mail, wieder über Cloudflare Email Sending. Wenn du einen Passkey einrichtest, speichern wir nur dessen öffentlichen Teil; der private Schlüssel bleibt auf deinem Gerät. Nach der Anmeldung setzen wir ein Cookie, das dich 30 Tage lang angemeldet hält. Es ist für den Dienst technisch notwendig (§ 25 Abs. 2 Nr. 2 TDDDG). Ob du die helle oder dunkle Darstellung gewählt hast, merkt sich nur dein Browser.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Bereitstellung des Dienstes, den du nutzt).

5. Notizen und Aufnahmen

NORA speichert, was du aufnimmst oder hochlädst: Tonaufnahmen, Mitschriften, Zusammenfassungen, Titel, Schlagworte und Namen der Sprechenden, dazu Zeit und Dauer der Aufnahme sowie Angaben zu deinem Gerät wie Akkustand und Softwarestand. Diese Daten bleiben gespeichert, bis du sie löschst. Für Tonaufnahmen kannst du in den Einstellungen festlegen, dass sie nach einer Anzahl von Tagen automatisch gelöscht werden; Mitschrift und Zusammenfassung bleiben dann erhalten.

Unter Einstellungen › Konto › „Alle Daten exportieren“ bekommst du alle Notizen, Aufnahmen und Kontoeinstellungen als eine ZIP-Datei. NORA packt sie im Hintergrund, legt sie in unserem Cloudflare-Speicher ab und schickt dir eine Mail, sobald sie fertig ist. Herunterladen kannst du sie nur angemeldet. Nach sieben Tagen löschen wir die Datei.

Unter Einstellungen › Konto › „Konto löschen“ löschst du dein ganzes Konto. Du bestätigst es über einen Link, den wir an deine Adresse schicken. Danach ist das Konto 48 Stunden lang angehalten, und du kannst das Löschen in dieser Zeit zurücknehmen. Dann löschen wir alle Notizen, Aufnahmen, Geräte, Verbindungen, Schlüssel, Passkeys und den Verlauf. Es bleibt nur ein Vermerk, dass an einem Tag ein Konto gelöscht wurde, ohne Name, Adresse oder Kennung. Unsere Datenbank lässt sich bis zu 30 Tage zurück wiederherstellen; so lange können gelöschte Einträge noch in dieser Sicherung stehen, bis sie dort von selbst verschwinden. Wir stellen daraus nur nach einem Fehler wieder her, nie ein gelöschtes Konto. Was du schon an ein Memory oder einen Webhook übergeben hast, liegt dort und bleibt von diesem Löschen unberührt.

Löschst du eine Notiz, bleibt 90 Tage lang ein Vermerk ohne Inhalt zurück, damit verbundene Programme erfahren, dass sie gelöscht wurde. Jeder Zugriff auf deine Notizen durch Geräte, Programme oder Assistenten steht 90 Tage lang in deinem Verlauf, ebenfalls ohne Inhalte.

Aufnahmen können sehr persönliche Inhalte enthalten, zum Beispiel aus einem Arzttermin. Solche Gesundheitsdaten verarbeiten wir nur, weil und soweit du sie selbst aufnimmst und NORA damit beauftragst (Art. 9 Abs. 2 lit. a DSGVO).

6. Dienste, die du selbst verbindest

Für Mitschrift und Zusammenfassung nutzt NORA Dienste, die du in NORA Web mit deinem eigenen Zugang verbindest. Je nach deiner Wahl sind das:

Bei der Mitschrift über OpenRouter verlangt NORA in jeder Anfrage Endpunkte ohne Datenspeicherung (Zero Data Retention). OpenRouter gibt die Aufnahme dann nur an Anbieter, die zugesagt haben, sie nicht zu speichern. Je nach gewähltem Modell sind das Eleven Labs Inc. (USA), Deepgram, Inc. (USA) oder Mistral AI (Frankreich).

Für die Zusammenfassung über OpenRouter schickt NORA den Text der Mitschrift an das gewählte Modell. Diese Anfragen verlangen keine Endpunkte ohne Datenspeicherung. Es gelten die Bedingungen des Anbieters, bei dem OpenRouter das Modell ausführt (bei Claude zum Beispiel Anthropic oder ein Cloud-Anbieter, der Claude betreibt), und die Einstellungen in deinem OpenRouter-Konto.

Namen für Sprechende schlägt NORA mit demselben Modell vor: Es liest in der Mitschrift, wer sich vorstellt oder mit Namen angesprochen wird. Dafür schickt NORA außer der Mitschrift bis zu 50 Namen, die du in anderen Notizen vergeben hast, und die Namen der Teilnehmenden eines verknüpften Termins mit, keine E-Mail-Adressen. Das passiert nach einer neuen Mitschrift, wenn die automatische Zusammenfassung an ist, oder wenn du „Namen vorschlagen“ antippst. Stimmen wertet NORA nicht aus, Stimmprofile entstehen nicht. Ein Vorschlag wird erst zum Namen, wenn du ihn übernimmst.

NORA schickt Aufnahmen und Texte nur dann an diese Dienste, wenn du eine Mitschrift oder Zusammenfassung anforderst oder das automatisch eingestellt hast. Es gelten die Datenschutzbestimmungen der Dienste, mit denen du einen eigenen Vertrag hast, beim Standardweg also die von OpenRouter. Deine Zugangsdaten speichern wir verschlüsselt und nutzen sie nur für deine Notizen.

Ebenso entscheidest du, ob Kalender, ein digitales Gedächtnis wie gbrain, KI-Assistenten wie Claude oder ChatGPT oder eigene Programme Zugriff auf deine Notizen bekommen. Jede dieser Verbindungen richtest du selbst ein, gibst die Rechte frei und kannst sie jederzeit wieder trennen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, bei Gesundheitsdaten deine Einwilligung nach Art. 9 Abs. 2 lit. a DSGVO.

7. Aufnahmen mit anderen Personen

Wenn du ein Gespräch mit anderen aufnimmst, verarbeitest du auch deren Daten. Nimm Gespräche deshalb nur auf, wenn alle Beteiligten zugestimmt haben. Das verlangt in Deutschland auch das Gesetz (§ 201 StGB).

8. Kontakt per E-Mail

Wenn du uns schreibst, verarbeiten wir deine E-Mail-Adresse, deinen Namen und deine Nachricht, um zu antworten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit es um einen Vertrag geht, sonst Art. 6 Abs. 1 lit. f DSGVO. Wir löschen die Nachricht, sobald sie dafür nicht mehr gebraucht wird und keine Aufbewahrungspflicht besteht.

9. Feedback aus NORA Web

In NORA Web kannst du uns über den Knopf „Feedback“ unten rechts (auf einem großen Bildschirm) oder unter Einstellungen › Hilfe › „Feedback senden“ einen Fehler melden oder etwas vorschlagen. Das Formular kommt von unserem Feedback-Dienst FeedbackKit. Auf einem großen Bildschirm lädt NORA Web es während der Pilotphase gleich beim Öffnen, damit der Knopf immer da ist; auf dem Handy erst, wenn du „Feedback senden“ wählst. Gesendet wird erst, wenn du eine Meldung absendest. Dabei verarbeitet Cloudflare die üblichen Verbindungsdaten (siehe Punkt 2). Mit dem Absenden schickst du uns:

Ein Bildschirmfoto gibt es nur auf Knopfdruck. Es zeigt die Seite so, wie du sie gerade siehst, also auch Notizinhalte, die dort stehen; vor dem Senden siehst du es als Miniatur und kannst es markieren oder wieder entfernen. Mit dem Aufnehmen willigst du ausdrücklich ein, dass das Bildschirmfoto auch Gesundheitsangaben enthalten kann, die mit deiner Meldung verarbeitet werden (Art. 9 Abs. 2 lit. a DSGVO). Nach dem Senden kannst du die Löschung verlangen. Darüber hinaus überträgt das Formular keine Notizen, Aufnahmen oder Mitschriften. Kopiere bitte auch keine Inhalte aus deinen Notizen hinein. Damit niemand den Dienst mit Meldungen überflutet, begrenzt FeedbackKit die Anfragen pro Stunde. Dafür nutzt es deine IP-Adresse nur als gesalzenen Hash, der sich nicht zurückrechnen lässt, und löscht ihn nach spätestens 24 Stunden.

Damit aus deiner Meldung ein vollständiger Eintrag wird, schickt FeedbackKit den Meldungstext, das erste Bild (meist das Bildschirmfoto) sowie Seite und Geräteangaben an ein KI-Modell. Es ordnet die Meldung als Fehler oder Wunsch ein, füllt die Felder des Eintrags und stellt eine Rückfrage, wenn etwas fehlt. Kontokennung und Version bekommt es nicht. Die Anfrage läuft über unseren eigenen KI-Proxy (LiteLLM) auf unserem Server zu Gemini der Google LLC (USA). Ist Gemini gestört, beantwortet ersatzweise ein Modell der OpenAI Ireland Limited (Dublin) die Anfrage. Dabei können Daten in die USA gelangen: Google LLC ist unter dem EU-US Data Privacy Framework zertifiziert, OpenAI stützt Übermittlungen in die USA laut eigener Datenschutzerklärung auf die EU-Standardvertragsklauseln.

Wir nutzen deine Meldung nur, um Fehler zu beheben und NORA zu verbessern. Für die Meldung ist die Rechtsgrundlage Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem funktionierenden Angebot), für Gesundheitsangaben in einem Bildschirmfoto deine Einwilligung. Das Formular nutzt du freiwillig.

FeedbackKit läuft als Cloudflare Worker in unserem eigenen Cloudflare-Konto (siehe Punkt 2). Es macht aus deiner Meldung einen Eintrag (Issue) in unserem nicht öffentlichen Repository bei GitHub, Inc. (88 Colin P. Kelly Jr. Street, San Francisco, CA 94107, USA). Angehängte Bilder bleiben in unserem Cloudflare-Speicher; der Eintrag verlinkt sie über eine zufällige Adresse, die nur dort steht. Für Übermittlungen in die USA ist GitHub unter dem EU-US Data Privacy Framework zertifiziert.

FeedbackKit löscht seine Kopie der Meldung, das Bildschirmfoto und angehängte Bilder nach 90 Tagen. Der Eintrag bei GitHub bleibt als Historie der Produktentwicklung erhalten; auf Wunsch löschen wir ihn.

10. Deine Rechte

Du hast das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21). Eine Einwilligung kannst du jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3). Schreib uns dafür an nora@trufflecraft.de. In NORA Web kannst du einzelne Notizen und unter Einstellungen › Konto auch alle Daten selbst exportieren und dein Konto löschen (Punkt 5). Feedback-Meldungen (Punkt 9) tragen nur eine zufällige Kennung, die nach dem Löschen des Kontos zu niemandem mehr führt; auf Wunsch löschen wir auch sie.

Du kannst dich außerdem bei einer Aufsichtsbehörde beschweren, zum Beispiel bei der Berliner Beauftragten für Datenschutz und Informationsfreiheit.