N.O.R.A. („Named-entity Obfuscation & Redaction Assistant") ist eine reine Browser-Anwendung. Es gibt kein Nutzerkonto, keine Registrierung, keine serverseitige Datenbank und keine Zahlungsabwicklung. Sämtliche von Ihnen eingegebenen oder hochgeladenen Inhalte, die daraus erzeugten Pseudonyme und das zugehörige Mapping werden ausschließlich lokal in Ihrem Browser verarbeitet und gespeichert. Es findet keine Übertragung dieser Inhalte an uns oder an Dritte statt.

Die einzige inhaltsunabhängige Verbindung nach außen entsteht beim erstmaligen Herunterladen eines KI-Modells zur Erkennung personenbezogener Daten sowie beim Abruf der Website selbst. Wenn die App veröffentlicht ist, erhebt der Hosting-Plattformanbieter Lovable für uns zudem aggregierte Besucherstatistiken zur Betriebsanalyse (z. B. Seitenaufrufe, Verweildauer, Gerätetyp, Herkunftsland). Dabei werden keine Inhalte Ihrer Dokumente oder Mappings übertragen.

Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO ist:

Richard Weigmann
Postfach 11 61
21601 Buxtehude
Deutschland
E-Mail: info@nora-ai.de

Es handelt sich um kein eingetragenes Unternehmen; eine Telefonnummer wird nicht angeboten. Weitere Angaben finden Sie im Impressum.

Ein Datenschutzbeauftragter ist nicht bestellt. Eine Bestellpflicht besteht nicht: Es sind nicht mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt (§ 38 Abs. 1 BDSG) und es liegt keine Verarbeitung vor, die nach Art. 37 Abs. 1 DSGVO eine Bestellung erfordert. Für alle datenschutzrechtlichen Anliegen wenden Sie sich bitte direkt an den unter Ziffer 2 genannten Verantwortlichen.

• Inhaltsdaten (nur lokal): Texte und Dokumente (z. B. DOCX), die Sie zur Pseudonymisierung oder Rückübersetzung eingeben oder öffnen. Diese können personenbezogene Daten Dritter enthalten. Sie verlassen Ihren Browser nicht.
• Mapping- und Arbeitsbereichsdaten (nur lokal): die Zuordnung zwischen Originalwert und Pseudonym, Namen und Farben Ihrer Arbeitsbereiche sowie deren Pseudonymisierungs-Konfiguration. Speicherung erfolgt in der IndexedDB Ihres Browsers; die Mapping-Werte werden dabei mit AES-GCM (256 Bit) verschlüsselt.
• Besucherstatistiken (aggregiert): wenn die App über Lovable veröffentlicht ist, werden beim Aufruf der Seiten durch den Hosting-Plattformanbieter technisch bedingt Verbindungsdaten wie IP-Adresse, User-Agent, aufgerufene Seite, Zeitstempel, Verweildauer, Traffic-Quelle, Gerätetyp und Herkunftsland (aus der Browser-Zeitzone) erfasst. Diese Daten werden aggregiert ausgewertet; es werden keine individuellen Profile erstellt und keine Besucher über mehrere Sitzungen hinweg verfolgt.
• Verbindungsdaten beim Abruf der Website: beim Aufruf werden vom Hoster technisch bedingt IP-Adresse, Datum und Uhrzeit, angeforderte Ressource, Referrer und User-Agent verarbeitet (Server-Logfiles).
• Verbindungsdaten beim KI-Modell-Download: laden Sie erstmals ein Erkennungsmodell, ruft Ihr Browser die Modelldateien direkt von huggingface.co ab. Dabei erhält Hugging Face Ihre IP-Adresse sowie übliche Verbindungsdaten (User-Agent, Zeitpunkt, angeforderte Datei). Inhalte aus Ihren Dokumenten werden dabei nicht übertragen.
• Kontaktdaten: nehmen Sie per E-Mail Kontakt auf, verarbeiten wir Ihre Adresse und den Inhalt Ihrer Nachricht zur Bearbeitung der Anfrage.
• Feedback-Daten: wenn Sie über das Formular auf /feedback Rückmeldung geben, übermitteln wir Ihren Betreff, Ihre Nachricht, optional Ihre E-Mail-Adresse sowie technische Angaben (Browser, Sprache, Bildschirmgröße, Zeitstempel, aufgerufene Seite) an GitHub, wo sie als Issue gespeichert werden. Die Übermittlung erfolgt nur mit Ihrer ausdrücklichen Einwilligung.

Bestands-, Nutzerkonto- oder Abrechnungsdaten werden nicht erhoben, da der Dienst weder eine Registrierung noch eine Bezahlfunktion vorsieht.

• Bereitstellung, Sicherheit und Stabilität der Website (Server-Logfiles, Missbrauchsabwehr) — Art. 6 Abs. 1 lit. f DSGVO; berechtigtes Interesse an einem störungsfreien und sicheren Betrieb.
• Betriebsanalyse und Verbesserung der Website durch aggregierte Besucherstatistiken des Hosting-Plattformanbieters Lovable — Art. 6 Abs. 1 lit. f DSGVO; berechtigtes Interesse an Stabilität, Reichweitenmessung und Verbesserung des unentgeltlichen Angebots. Sie können der Analyse in den Lovable-Projekteinstellungen widersprechen (Deaktivierung von „Visitor analytics").
• Lokale Pseudonymisierung und Rückübersetzung Ihrer Inhalte einschließlich der verschlüsselten lokalen Speicherung von Mapping und Arbeitsbereichen — Art. 6 Abs. 1 lit. b DSGVO (Erfüllung des Nutzungsverhältnisses) sowie Art. 6 Abs. 1 lit. f DSGVO i. V. m. Art. 32 DSGVO (datensparsamer, sicherer Betrieb).
• Bereitstellung der KI-Erkennungsmodelle durch Abruf von Hugging Face — Art. 6 Abs. 1 lit. b DSGVO, da der Modellabruf zur Nutzung der Kernfunktion technisch erforderlich ist; ergänzend Art. 6 Abs. 1 lit. f DSGVO.
• Bearbeitung von Kontaktanfragen — Art. 6 Abs. 1 lit. b DSGVO bei vertragsbezogenen Anfragen, sonst Art. 6 Abs. 1 lit. f DSGVO.
• Übermittlung von Feedback an GitHub (Betreff, Nachricht, optionale E-Mail, technische Angaben) — Art. 6 Abs. 1 lit. a DSGVO (Ihre ausdrückliche Einwilligung, die Sie jederzeit widerrufen können) sowie Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Verbesserung des Dienstes).
• Erfüllung gesetzlicher Pflichten, soweit einschlägig — Art. 6 Abs. 1 lit. c DSGVO.

Kernbestandteil des Dienstes ist die Pseudonymisierung im Sinne des Art. 4 Nr. 5 DSGVO. Die Erkennung identifizierender Angaben erfolgt vollständig im Browser: Ein KI-Modell wird einmalig heruntergeladen und anschließend lokal ausgeführt — bevorzugt über WebGPU, ersatzweise über WebAssembly (WASM). Ein Server des Anbieters ist an der Verarbeitung nicht beteiligt.

• Direkt identifizierende Merkmale — etwa Klarnamen, Kontaktdaten, Anschriften oder Konto- und Vertragsnummern — werden durch generische Tokens ersetzt (z. B. „[PERSON_1]", „[EMAIL_2]").
• Die Zuordnung zwischen Originalwert und Token („Mapping") wird ausschließlich lokal in der IndexedDB Ihres Browsers und dort mit AES-GCM (256 Bit) verschlüsselt gespeichert. Der Schlüssel ist ein nicht exportierbarer Schlüssel der WebCrypto-API und liegt ebenfalls nur in Ihrem Browser.
• Eine Re-Identifizierung ist ausschließlich Ihnen selbst und ausschließlich in Ihrem Browser möglich, da nur dort das Mapping vorliegt.
• Weder Originaltexte noch pseudonymisierte Texte noch das Mapping werden an den Anbieter oder an Dritte übermittelt.

Wichtiger Hinweis zur Erkennungsrate: Die automatische Erkennung sensibler Inhalte ist nach dem Stand der Technik nicht vollständig fehlerfrei. Es besteht ein Restrisiko, dass einzelne personenbezogene oder sonst schutzwürdige Angaben nicht erkannt werden. Die abschließende inhaltliche Prüfung des Ergebnisses — insbesondere vor einer Weitergabe an Dritte — liegt bei Ihnen.

Wir setzen ausschließlich technisch notwendige Speicher auf Ihrem Endgerät ein. Die Besucherstatistiken der veröffentlichten App werden durch den Hosting-Plattformanbieter Lovable auf Server-Ebene erhoben; dafür werden nach aktuellem Stand keine zusätzlichen Analyse-Cookies oder Tracking-Technologien in Ihrem Browser eingebunden. Rechtsgrundlage für die nachfolgend genannten Zugriffe auf Ihr Endgerät ist § 25 Abs. 2 Nr. 2 TDDDG i. V. m. Art. 6 Abs. 1 lit. f DSGVO.

• IndexedDB: Arbeitsbereiche, Konfigurationen und verschlüsselte Mappings sowie der lokale Verschlüsselungsschlüssel.
• Lokaler Speicher (localStorage): Ihre Cookie-Entscheidung (nora.cookieConsent), der zuletzt gewählte Arbeitsbereich (currentProjectId) sowie ein Protokoll darüber, wann welche KI-Modelle heruntergeladen wurden.
• Cookie: ein technisch notwendiges Cookie, das den ein- oder ausgeklappten Zustand des Seitenmenüs speichert.
• Cache Storage: die heruntergeladenen KI-Modelldateien, damit sie nicht bei jeder Nutzung erneut geladen werden müssen.

Sie können sämtliche lokalen Daten jederzeit löschen: einzelne Arbeitsbereiche und Mappings über die Oberfläche, heruntergeladene Modelle über die Cache-Übersicht in den Einstellungen sowie insgesamt über die Funktion „Browserdaten löschen" Ihres Browsers. Ihre Cookie-Entscheidung können Sie jederzeit über den Link „Cookie-Einstellungen" im Footer anpassen oder widerrufen. Sollten wir künftig einwilligungspflichtige Dienste einsetzen, holen wir Ihre Einwilligung vorab über den Cookie-Banner ein (§ 25 Abs. 1 TDDDG i. V. m. Art. 6 Abs. 1 lit. a DSGVO).

Eine Weitergabe Ihrer Inhalte findet nicht statt. Empfänger im Sinne des Art. 4 Nr. 9 DSGVO sind lediglich:

• Hosting- und Analytics-Plattformanbieter: Die Website wird als statische Anwendung über die Hosting- und Edge-Infrastruktur der Lovable Labs Incorporated ausgeliefert; dabei fallen die unter Ziffer 4 genannten Server-Logfiles an. Bei veröffentlichter App stellt Lovable zudem aggregierte Besucherstatistiken (Visitor Analytics) bereit; es werden keine Inhalte oder Mappings der Nutzer übermittelt. Details zu Lovables Datenverarbeitung entnehmen Sie der Datenschutzerklärung von Lovable.
• Hugging Face, Inc., 20 Jay Street, Brooklyn, NY 11201, USA — Auslieferung der KI-Modelldateien beim erstmaligen Download. Übermittelt werden dabei nur Verbindungsdaten, keine Inhalte.
• GitHub, Inc., 88 Colin P Kelly Jr Street, San Francisco, CA 94107, USA — beim Absenden des Feedback-Formulars werden Betreff, Nachricht, optionale Kontakt-E-Mail und technische Angaben an GitHub übertragen und dort als Issue gespeichert.

Darüber hinaus geben wir Daten nur weiter, wenn wir gesetzlich dazu verpflichtet sind.

Beim erstmaligen Herunterladen eines KI-Modells ruft Ihr Browser Dateien von Hugging Face, Inc. (USA) ab. Dabei können Verbindungsdaten — insbesondere Ihre IP-Adresse — in die USA übertragen werden. Inhalte aus Ihren Dokumenten werden nicht übertragen. Die USA gelten seit dem Angemessenheitsbeschluss der Europäischen Kommission vom 10. Juli 2023 für zertifizierte Unternehmen als sicheres Drittland; soweit keine Zertifizierung vorliegt, stützt sich die Übermittlung auf Standardvertragsklauseln bzw. auf Art. 49 Abs. 1 lit. b DSGVO, da der Abruf zur Erbringung der von Ihnen angeforderten Funktion erforderlich ist. Weitere Drittlandübermittlungen finden nicht statt.

Feedback-Formular: Wenn Sie das Feedback-Formular nutzen, werden Ihre Angaben (Betreff, Nachricht, optionale E-Mail-Adresse, technische Angaben wie Browser und Bildschirmgröße) an GitHub, Inc. (88 Colin P Kelly Jr Street, San Francisco, CA 94107, USA) übermittelt und dort als Issue in einem öffentlich einsehbaren Repository gespeichert. GitHub ist unter dem EU-US Data Privacy Framework zertifiziert; soweit keine Zertifizierung greift, kommen Standardvertragsklauseln zur Anwendung. Details: GitHub Privacy Statement. Feedback-Texte öffentlich einsehbar zu machen ist freiwillig — senden Sie keine sensiblen Daten, die für die Meldung nicht erforderlich sind.

• Inhalte, Mappings, Arbeitsbereiche und Modell-Cache: verbleiben lokal in Ihrem Browser, bis Sie sie löschen — über die Anwendung (Arbeitsbereich löschen, Mapping löschen, Modell aus dem Cache entfernen) oder über die Browserfunktion zum Löschen von Websitedaten. Eine serverseitige Speicherung durch den Anbieter findet nicht statt.
• Server-Logfiles des Hostings: werden von Lovable Labs zur Sicherung und zum Betrieb des Dienstes kurzfristig vorgehalten und nach den dort geltenden Löschfristen gelöscht. Die genauen Fristen entnehmen Sie der Datenschutzerklärung von Lovable.
• Besucherstatistiken (Visitor Analytics): aggregierte Daten zur Betriebsanalyse verbleiben bei Lovable Labs für die Dauer der Bereitstellung der Analytics-Funktion. Sie können die Erfassung in den Lovable-Projekteinstellungen deaktivieren („Visitor analytics").
• Kontaktanfragen: bis zur vollständigen Bearbeitung Ihres Anliegens, anschließend Löschung, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen.
• Feedback-Issues auf GitHub: verbleiben als Issue im Feedback-Repo, bis Sie uns zur Löschung auffordern oder das Issue von uns manuell geschlossen und gelöscht wird.
• Cookie-Entscheidung: bis zum Widerruf bzw. bis zum Löschen der Websitedaten in Ihrem Browser.

Verarbeiten Sie mit N.O.R.A. Texte oder Dokumente, die personenbezogene Daten anderer Personen enthalten, geschieht dies ausschließlich lokal auf Ihrem Endgerät und in Ihrer eigenen datenschutzrechtlichen Verantwortung. Der Anbieter erhält zu keinem Zeitpunkt Zugriff auf diese Daten und ist insoweit weder Verantwortlicher noch Auftragsverarbeiter; ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO ist deshalb nicht erforderlich. Für die Rechtmäßigkeit dieser Verarbeitung sowie für die Erfüllung von Informations- und Betroffenenrechten gegenüber den betroffenen Personen sind Sie selbst verantwortlich.

Die Website wird ausschließlich über eine TLS-verschlüsselte Verbindung (HTTPS) ausgeliefert. Ihre Mappings werden vor der Ablage in der IndexedDB mit AES-GCM (256 Bit) über die WebCrypto-API des Browsers verschlüsselt; der Schlüssel wird als nicht exportierbarer Schlüssel erzeugt und verlässt Ihren Browser nicht. Da die Daten lokal auf Ihrem Endgerät liegen, sind zusätzlich Ihre eigenen Schutzmaßnahmen maßgeblich — insbesondere ein gesichertes Benutzerkonto, eine aktuelle Browserversion und die Nutzung eines nicht öffentlich zugänglichen Geräts.

Eine automatisierte Entscheidungsfindung im Einzelfall einschließlich Profiling gemäß Art. 22 Abs. 1 und 4 DSGVO findet nicht statt. Die eingesetzten KI-Modelle dienen ausschließlich der Erkennung personenbezogener Angaben in Ihren Texten und treffen keine Sie betreffenden Entscheidungen mit rechtlicher Wirkung.

Sie sind weder gesetzlich noch vertraglich verpflichtet, personenbezogene Daten bereitzustellen. Für die Nutzung des Dienstes ist keine Angabe von Daten an uns erforderlich. Ohne die technisch notwendige Verarbeitung von Verbindungsdaten beim Abruf der Website und der KI-Modelle kann der Dienst allerdings nicht bereitgestellt werden.

Ihnen stehen gemäß Art. 12 bis 22 DSGVO folgende Rechte zu:

• Recht auf Auskunft (Art. 15 DSGVO)
• Recht auf Berichtigung (Art. 16 DSGVO)
• Recht auf Löschung (Art. 17 DSGVO)
• Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Recht auf Datenübertragbarkeit (Art. 20 DSGVO)
• Recht auf Widerspruch gegen Verarbeitungen, die auf Art. 6 Abs. 1 lit. e oder f DSGVO beruhen (Art. 21 DSGVO)
• Recht, eine erteilte Einwilligung jederzeit mit Wirkung für die Zukunft zu widerrufen (Art. 7 Abs. 3 DSGVO)
• Feedback-Einwilligung widerrufen: Wenn Sie Ihre Einwilligung zur Übermittlung von Feedback an GitHub widerrufen möchten oder ein bereits erstelltes Issue gelöscht werden soll, wenden Sie sich an info@nora-ai.de — wir entfernen die Daten dann zeitnah aus dem Feedback-Repository.

Zur Ausübung genügt eine formlose Nachricht an info@nora-ai.de. Bitte beachten Sie: Daten, die ausschließlich lokal in Ihrem Browser gespeichert sind, liegen uns nicht vor — diese können Sie jederzeit selbst einsehen, exportieren und löschen. Sie können der Verarbeitung zu Zwecken der Betriebsanalyse zudem direkt in den Lovable-Projekteinstellungen widersprechen (Deaktivierung von „Visitor analytics").

Unbeschadet anderer Rechtsbehelfe haben Sie das Recht auf Beschwerde bei einer Datenschutz-Aufsichtsbehörde (Art. 77 DSGVO), insbesondere in dem Mitgliedstaat Ihres gewöhnlichen Aufenthalts, Ihres Arbeitsplatzes oder des Ortes des mutmaßlichen Verstoßes. Für uns zuständig ist:

Die Landesbeauftragte für den Datenschutz Niedersachsen
Prinzenstraße 5, 30159 Hannover
E-Mail: poststelle@lfd.niedersachsen.de
www.lfd.niedersachsen.de

Wir passen diese Datenschutzerklärung an, sobald Änderungen der Verarbeitung oder gesetzliche Vorgaben dies erforderlich machen. Es gilt die jeweils bei Ihrem Besuch abrufbare Fassung.

Stand: August 2026