Datenschutzerklärung

1. Verantwortlicher

Verantwortlich im Sinne der DSGVO ist Mohammed Sayed Mahmod (Kontakt: hilfe@sprechverlauf.de). Weitere Angaben finden Sie im Impressum unter /imprint.

2. Überblick

Sie laden eine Audiodatei hoch oder geben einen Link an; mit einem kostenpflichtigen Paket können Sie auch Videos hochladen. Sprechverlauf legt die Datei kurz auf unserem Server in Deutschland ab, wandelt sie in ein platzsparendes Audioformat um, übermittelt sie über OpenRouter, Inc. (USA) zur Transkription an einen KI-Anbieter und zeigt Ihnen das Ergebnis im Browser an. Für die kostenlose Nutzung ist kein Nutzerkonto nötig; die kostenpflichtigen Angebote setzen eines voraus (Abschnitt 15). Ohne Konto speichern wir Transkripte nicht dauerhaft; mit Konto legen wir sie verschlüsselt ab (Abschnitt 8).

3. Verarbeitete personenbezogene Daten

Je nach Nutzung: Audio- und Videoaufnahmen und deren Inhalt (einschließlich Stimmen, Gesichtern, Namen und Gesprächsinhalten), selbst vergebene Sprechernamen, angegebene Audio-URLs, die gewählte Sprache, das erzeugte Transkript, technische Zugriffsdaten beim Hosting sowie lokale Browser-Daten. Für Betrieb und Kosten speichern wir ohne Gesprächsinhalt: Auftrags-ID und Status, verwendetes Modell, Dateityp und -größe, Audiodauer, Sprache, Sprecherzahl, Verarbeitungszeit und Kosten des Laufs. Bei Statistik-Einwilligung wird zusätzlich eine zufällige Besucher-ID gesetzt und nur als HMAC-Pseudonym gespeichert. Mit Konto kommen E-Mail-Adresse, Zeitpunkt der letzten Anmeldung, Tarif, Guthaben und Laufzeitende hinzu (Abschnitt 15).

4. Zwecke der Verarbeitung

Bereitstellung der Transkription, Anzeige und Wiedergabe, Fortsetzen eines laufenden Vorgangs, technischer Betrieb, Kostenkontrolle und Absicherung der Website. Mit Ihrer Einwilligung: pseudonyme First-Party-Statistik zu eindeutigen und wiederkehrenden Besuchen sowie Google Analytics 4 zur Verbesserung des Angebots.

5. Rechtsgrundlagen

Transkription und Ergebnisanzeige erfolgen nach Art. 6 Abs. 1 lit. b DSGVO. Technischer Betrieb, Missbrauchsprävention und Kostenkontrolle stützen sich auf Art. 6 Abs. 1 lit. f DSGVO. First-Party-Besucherstatistik und Google Analytics erfolgen nur nach Ihrer Einwilligung gemäß Art. 6 Abs. 1 lit. a DSGVO; Widerruf jederzeit über Cookie-Einstellungen. Sie sind selbst für eine Rechtsgrundlage der Audioaufnahme und -verarbeitung verantwortlich.

6. Empfänger und Auftragsverarbeiter

OpenRouter, Inc., 169 Madison Avenue, New York, NY 10016, USA — Weiterleitung der Transkriptionsanfragen an das jeweilige KI-Modell (openrouter.ai/privacy). OpenRouter speichert Audiodateien nach eigenen Angaben nicht über die Dauer der Weiterleitung hinaus und protokolliert keine Anfrageinhalte, solange dies nicht ausdrücklich eingeschaltet wird. Jede Anfrage ist auf Anbieter ohne Datenspeicherung (Zero Data Retention) beschränkt. Ausführende KI-Anbieter: im kostenlosen Test das Modell openai/whisper-large-v3-turbo bei DeepInfra, Inc. oder Groq, Inc. (beide USA); mit Tagespass, Guthaben oder Pro das Modell microsoft/mai-transcribe-2 bei Microsoft Corporation (Azure, USA). IONOS SE, Elgendorfer Str. 57, 56410 Montabaur, Deutschland — Hosting dieser Website auf einem Server in Deutschland; dort werden hochgeladene Dateien bis zur Verarbeitung zwischengespeichert und umgewandelt, und das fertige Transkript wird vorübergehend bereitgehalten. Auch API-Aufrufe und der Audio-Proxy für die Wiedergabe laufen über diesen Server. Sold through Link, LLC (Lemon Squeezy), 354 Oyster Point Blvd, South San Francisco, CA 94080, USA — Zahlungsabwicklung für Tagespass, Guthaben und Pro-Tarif als Merchant of Record. Cloudflare Germany GmbH, Rosental 7, 80331 München (Konzernmutter: Cloudflare, Inc., USA) — Bot- und Missbrauchsschutz mit Cloudflare Turnstile vor dem Start einer Transkription; dabei werden IP-Adresse, Browserangaben und Interaktionssignale an Cloudflare übermittelt (cloudflare.com/privacypolicy). Google Ireland Limited / Google LLC (USA) — Webanalyse mit Google Analytics 4, sofern Sie eingewilligt haben (policies.google.com/privacy).

7. Übermittlung in Drittländer (USA)

Audiodaten werden zur Transkription in die USA übermittelt. Die USA gelten datenschutzrechtlich als Drittland. OpenRouter stützt internationale Übermittlungen nach eigenen Angaben auf Angemessenheitsbeschlüsse der EU-Kommission (Art. 45 DSGVO) und auf Standardvertragsklauseln (Art. 46 DSGVO); für die ausführenden KI-Anbieter gelten zusätzlich deren Vertragsbedingungen und Datenschutzinformationen. Weil diese Anbieter ohne Datenspeicherung arbeiten, verbleibt das Audio dort nur für die Dauer der Verarbeitung. Auch der Bot-Schutz über Cloudflare und — bei kostenpflichtigen Angeboten — die Zahlungsabwicklung über Lemon Squeezy berühren die USA. Trotz vertraglicher Schutzmaßnahmen kann ein Restrisiko durch Zugriff US-amerikanischer Behörden nicht ausgeschlossen werden.

8. Speicherdauer

Hochgeladene oder per Link geladene Audiodateien liegen auf unserem Server nur bis zur Verarbeitung und werden unmittelbar danach gelöscht; was durch abgebrochene Vorgänge liegen bleibt, wird nach spätestens zwei Stunden automatisch entfernt. Das fertige Transkript halten wir ausschließlich im Arbeitsspeicher des Servers bis zu zwei Stunden bereit, damit Sie einen Vorgang nach einem Neuladen der Seite fortsetzen können; ohne Konto wird es nicht auf Datenträger geschrieben. Starten Sie eine Transkription, während Sie angemeldet sind, speichern wir das Transkript samt Dateiname, Sprache und Dauer verschlüsselt (AES-256-GCM) in Ihrem Konto, damit Sie es unter „Konto“ wieder aufrufen können (Art. 6 Abs. 1 lit. b DSGVO). Der Schlüssel wird je Konto aus einem Geheimnis abgeleitet, das getrennt von der Datenbank auf dem Server liegt; entschlüsselt wird erst in Ihrem Browser. Gespeicherte Transkripte bleiben, bis Sie sie einzeln oder mit dem Konto löschen. OpenRouter und die KI-Anbieter speichern Audio und Transkript nicht über die Verarbeitung hinaus (Zero Data Retention). Technische Nutzungs- und Kostendaten werden standardmäßig 365 Tage gespeichert. Die optionale Besucher-ID läuft nach 180 Tagen ab; bei Widerruf werden Besuchstage gelöscht und Job-Verknüpfungen aufgehoben. Kontodaten (E-Mail-Adresse, Tarif, Laufzeitende) speichern wir, solange das Konto besteht, und löschen sie auf Ihre Anfrage; Anmeldelinks verfallen nach 30 Minuten und werden danach automatisch entfernt. Zu den Verbrauchszählern siehe Abschnitt 14. Lokale Browser-Daten bleiben bis zur Löschung durch Sie.

9. Cookies und lokale Speicherung

Notwendige Browser-Speicherung betrifft Sprache, Cookie-Entscheidung, ggf. die ID eines laufenden Vorgangs und bei URL-Nutzung den Audio-Link. Dazu kommen zwei technische Cookies: „sv_session“ sichert eine Nutzungssitzung gegen Missbrauch ab (24 Stunden) und „sv_account“ hält Ihre Anmeldung im Pro-Tarif (90 Tage). Beide sind HttpOnly, enthalten keine Werbekennung und werden ohne Einwilligung gesetzt, weil ohne sie Missbrauchsschutz und Anmeldung nicht funktionieren. Mit Einwilligung setzen wir eine zufällige, 180 Tage gültige HttpOnly-First-Party-ID für eindeutige und wiederkehrende Besuche sowie Google-Analytics-Cookies. Werbung und personalisierte Anzeigen sind deaktiviert. Ein Widerruf über Cookie-Einstellungen löscht die First-Party-ID und ihre Besuchsverknüpfungen.

10. Pflichten und Hinweise für Nutzer

Verarbeiten Sie nur Ton und Bild, zu denen Sie berechtigt sind. Informieren Sie beteiligte Personen, wenn erforderlich. Die unbefugte Aufnahme oder Zugänglichmachung nicht öffentlich gesprochener Worte kann nach § 201 StGB strafbar sein. Laden Sie keine besonders sensiblen Daten (z. B. Gesundheitsdaten) hoch, sofern Sie nicht die erforderlichen Rechtsgrundlagen und Schutzmaßnahmen sichergestellt haben.

11. Ihre Rechte

Sie haben Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch (Art. 15–21 DSGVO) sowie das Recht auf Beschwerde bei einer Aufsichtsbehörde. Anfragen richten Sie an hilfe@sprechverlauf.de.

12. Keine Pflicht zur Bereitstellung

Ohne Audio oder Link ist keine Transkription möglich. Die beschriebene notwendige Speicherung dient Sprache, Fortsetzung und Wiedergabe. First-Party-Besucherstatistik und Google Analytics sind freiwillig; die Transkription funktioniert auch ohne Statistik-Einwilligung.

13. First-Party-Statistik und Google Analytics

Bei Einwilligung misst unsere First-Party-Statistik eindeutige und wiederkehrende Besuche über eine zufällige ID; serverseitig wird nur ein mit geheimem Schlüssel erzeugtes Pseudonym gespeichert, keine rohe ID, IP-Adresse oder User-Agent. Zusätzlich nutzen wir Google Analytics 4 (Google Ireland Limited / Google LLC, USA) für Seitenaufrufe und Funktionsereignisse. Niemals erfasst werden Audio, Transkripttexte, Dateinamen, Audio-URLs, Prompts oder Gesprächsinhalte. Google kann Daten in den USA verarbeiten; Werbe-Features sind aus. Widerruf: Cookie-Einstellungen → „Nur notwendig“.

14. Missbrauchs- und Kostenschutz

Um Missbrauch und unkontrollierte Verarbeitungskosten zu verhindern, speichern wir tageweise, wie viele Audiominuten von einem Anschluss verarbeitet wurden. Dazu wird die IP-Adresse mit einem geheimen Schlüssel in ein Pseudonym umgerechnet; die IP-Adresse selbst wird dafür nicht gespeichert. Diese Zähler enthalten keine Inhalte, keine Dateinamen und keinen Bezug zur Besucherstatistik. Die tagesgenauen Zähler werden nach spätestens drei Tagen automatisch gelöscht. Für das Monatskontingent speichern wir getrennt davon nur eine einzige Summe je Monat und Pseudonym — daraus lässt sich nicht ablesen, an welchen Tagen jemand den Dienst genutzt hat; diese Summe wird nach dem folgenden Kalendermonat gelöscht. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (Schutz vor Missbrauch, Kostenkontrolle), für angemeldete Konten zusätzlich Art. 6 Abs. 1 lit. b DSGVO (Abrechnung des vereinbarten Kontingents).

15. Konto, Anmeldung und Bezahlung

Für den kostenlosen Dienst ist kein Konto nötig. Wenn Sie den Pro-Tarif nutzen möchten, speichern wir Ihre E-Mail-Adresse, den Zeitpunkt der letzten Anmeldung sowie Tarif und Laufzeitende. Die Anmeldung erfolgt über einen Einmal-Link per E-Mail; von diesem Link speichern wir nur einen Hashwert, der nach 30 Minuten verfällt und nach einmaliger Nutzung ungültig ist. Ein Passwort gibt es nicht. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung). Die Zahlungsabwicklung übernimmt Sold through Link, LLC (Lemon Squeezy), 354 Oyster Point Blvd, South San Francisco, CA 94080, USA, als Merchant of Record — dort entstehen Vertrag und Rechnung. Zahlungsdaten wie Kartennummern erreichen unseren Server nicht; wir erhalten nur E-Mail-Adresse, Abo-Kennung und Laufzeitende. Ihr Konto können Sie jederzeit unter hilfe@sprechverlauf.de löschen lassen; mit der Löschung entfallen auch alle offenen Anmeldelinks. Für Pro-Konten wird der Verbrauch je Konto und Tag gezählt, um das monatliche Kontingent abzurechnen.

Kontoverlauf und interne Administration

Mit Statistik-Einwilligung erfassen wir zusätzlich besuchte Seitenpfade ohne URL-Parameter und die grobe Geräteklasse sowie Funktionsereignisse (Transkriptionsstart, Ergebnisanzeige und Exportformat). Bei angemeldeten Nutzern werden diese Aufrufe dem Konto zugeordnet. Der Verlauf wird nach 90 Tagen gelöscht. Sie können die Einwilligung jederzeit in den Cookie-Einstellungen widerrufen; die Statistikereignisse Ihrer aktuellen Statistik-ID werden dann entfernt.

Zur Kontosicherheit und zur Bereitstellung der Leistung speichern wir erfolgreiche Anmeldungen und Abmeldungen mit Zeitpunkt und grober Geräteklasse für 90 Tage sowie die Kontozuordnung technischer Transkriptionsläufe innerhalb deren Aufbewahrungsfrist. Dafür verwenden wir keine vollständigen IP-Adressen oder Browserkennungen. Im geschützten internen Admin-Bereich können berechtigte Administratoren Konten, Guthaben, technische Läufe und gespeicherte Transkripte einsehen. Transkripte bleiben verschlüsselt gespeichert; das gezielte Öffnen ihres Inhalts wird im Admin-Protokoll vermerkt. Diese Verarbeitung dient dem Betrieb und der Betreuung des Dienstes (Art. 6 Abs. 1 lit. b und f DSGVO). Admin-Sitzungen laufen nach acht Stunden ab; die Anmeldung erfolgt mit Passkey.

Video-Uploads, Sprechernamen und Untertitel

Kostenpflichtige Pakete ermöglichen Video-Uploads und eigene Sprechernamen. Die Audiospur wird auf unserem Server extrahiert; nur Audio wird über OpenRouter zur Transkription übertragen. Das Originalvideo liegt zur Vorschau vorübergehend auf unserem Server in Deutschland, ist nur über Ihr angemeldetes Konto abrufbar und wird nach einer Stunde gelöscht. Nach einem Serverstillstand werden überfällige Dateien beim Start entfernt. Das verschlüsselte Transkript, Sprechernamen und die Referenz mit Ablaufzeit bleiben bis zur Löschung im Konto; Untertiteldateien entstehen im Browser. Einstellungen zur Darstellung verbleiben in der geöffneten Seite. Die Verarbeitung dient der angeforderten Leistung (Art. 6 Abs. 1 lit. b DSGVO). Sie benötigen die erforderlichen Rechte und Einwilligungen für Ton und Bild. KI-Transkripte und geschätzte Untertitelzeiten müssen vor Verwendung geprüft werden.