Datenschutzerklärung

Diese Erklärung informiert dich nach Art. 13 und 14 der Datenschutz-Grundverordnung (DSGVO) darüber, welche personenbezogenen Daten bei der Nutzung von Osirus verarbeitet werden, zu welchem Zweck, auf welcher Rechtsgrundlage, an wen sie gehen und wie lange sie gespeichert werden. Sie gilt für die Website, den Workspace unter /app und alle darin enthaltenen Bereiche (Agents, Rouge Agent, Code, Bots, Gruppenchats, Automationen und Verbindungen).

Inhalt

  1. Verantwortliche
  2. Begriffe und Grundsätze
  3. Aufruf der Website und Server-Protokolle
  4. Konto, Anmeldung und Zustimmungen
  5. Inhalte im Workspace
  6. Verarbeitung durch KI-Modelle
  7. Bots, Gedächtnis und Gruppenchats
  8. Rouge Agent, Code und Freigaben
  9. Verbundene Dienste (GitHub, Vercel, Neon, Supabase, MCP)
  10. Dateien, Websuche und Links
  11. Sprachfunktionen (Diktieren und Vorlesen)
  12. Geteilte Chats
  13. Automationen und Benachrichtigungen
  14. Abonnements, Testphase, Zahlung und Kündigung
  15. Kontingente und Nutzungsdaten
  16. Sicherheit und Missbrauchsabwehr
  17. Cookies und Speicher im Browser
  18. Empfänger
  19. Übermittlung in Drittländer
  20. Speicherdauer und Löschung
  21. Deine Rechte
  22. Widerspruchsrecht
  23. Keine automatisierte Entscheidung im Einzelfall
  24. Pflicht zur Bereitstellung
  25. Mindestalter
  26. Stand und Änderungen

1. Verantwortliche

Verantwortliche im Sinne von Art. 4 Nr. 7 DSGVO ist:
ClarityCompassAI
Inhaberin: Bärbel Westerop
Drinhausstraße 22
47447 Moers-Kapellen
Deutschland
Telefon: +49 160 94486598
E-Mail: clarityos.baerbelwesterop@gmail.com

Eine Pflicht zur Benennung eines Datenschutzbeauftragten besteht nicht (Art. 37 DSGVO, § 38 BDSG); es ist keiner benannt. Anfragen zum Datenschutz und zur Ausübung deiner Rechte richtest du an die oben genannte Adresse oder E-Mail.

2. Begriffe und Grundsätze

„Personenbezogene Daten“ sind alle Informationen, die sich auf eine identifizierte oder identifizierbare Person beziehen (Art. 4 Nr. 1 DSGVO). Wir verarbeiten sie nur, soweit es für die genannten Zwecke erforderlich ist (Datenminimierung), und schützen sie durch technische und organisatorische Maßnahmen nach Art. 32 DSGVO: verschlüsselte Übertragung (TLS), Trennung jedes Workspace auf Datenbankebene (Row-Level Security), verschlüsselte Ablage hinterlegter Zugangsdaten (AES-256-GCM), Protokollierung sicherheitsrelevanter Ereignisse und Freigaben vor jeder Aktion nach außen.

Osirus verkauft keine personenbezogenen Daten und nutzt deine Inhalte nicht, um eigene KI-Modelle zu trainieren. Werbung, Tracking oder Profilbildung zu Marketingzwecken finden nicht statt.

3. Aufruf der Website und Server-Protokolle

Beim Aufruf jeder Seite verarbeitet unser Hosting-Dienstleister Vercel technisch notwendige Verbindungsdaten: IP-Adresse, Datum und Uhrzeit, aufgerufene Adresse, Statuscode, übertragene Datenmenge, Referrer, Browser und Betriebssystem (User-Agent) sowie die Region des verarbeitenden Rechenzentrums. Zweck ist die Auslieferung der Seiten, die Stabilität und die Abwehr von Angriffen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt im sicheren und funktionsfähigen Betrieb. Fehlermeldungen der Anwendung enthalten keine Zugangsdaten und keine Inhalte von Modellantworten. Protokolle werden nach den Fristen des Hosting-Dienstleisters automatisch gelöscht, üblicherweise innerhalb weniger Tage bis höchstens 30 Tage.

4. Konto, Anmeldung und Zustimmungen

5. Inhalte im Workspace

Gespeichert werden die Inhalte, die du in Osirus anlegst oder erzeugen lässt: Unterhaltungen mit ihren Titeln, Nachrichten und Antworten, Aufträge des Rouge Agent und von Code samt Plan, Schritten, Ereignissen, Prüfergebnissen und Artefakten, deine Bots mit Name, Rolle und Anweisungen, Gruppenchats, angeheftete und archivierte Verläufe sowie Einstellungen. Zweck ist, die Funktionen auszuführen und dir den Verlauf jederzeit anzuzeigen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Mitglieder eines gemeinsamen Workspace sehen die Inhalte, die diesem Workspace gehören; ein Bot greift für sein Gedächtnis nur auf deine eigenen Unterhaltungen mit ihm zu (siehe Abschnitt 7).

Bitte gib keine besonderen Kategorien personenbezogener Daten nach Art. 9 DSGVO (etwa Gesundheitsdaten) und keine Daten Dritter ein, wenn du dafür keine Rechtsgrundlage hast. Für Inhalte, die du über Dritte eingibst, bist du nach den AGB selbst verantwortlich.

6. Verarbeitung durch KI-Modelle

Um eine Antwort zu erzeugen, sendet Osirus deine Nachricht und den dafür nötigen Kontext an ein Sprachmodell: frühere Nachrichten derselben Unterhaltung, passende Auszüge angehängter Dateien, Webquellen, das Gedächtnis eines Bots, Ergebnisse von Werkzeugen und, wenn du ein Repository nennst, dessen Übersicht. Welches Modell antwortet, wählt Osirus nach Art und Schwierigkeit der Aufgabe; nur in Code kannst du es selbst wählen. Die Modelle werden über die in Abschnitt 18 genannten Anbieter aufgerufen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Die Anbieter verarbeiten die Inhalte zur Beantwortung der Anfrage nach ihren eigenen Bedingungen; einige speichern Anfragen für eine begrenzte Zeit zur Missbrauchsabwehr. Bei kostenlos bereitgestellten Modellen (vor allem im Free-Plan) können Anbieter Ein- und Ausgaben nach ihren Bedingungen protokollieren und zur Verbesserung ihrer Dienste verwenden. Gib deshalb keine besonderen Kategorien personenbezogener Daten (Art. 9 DSGVO, etwa Gesundheitsdaten) und keine Geheimnisse Dritter ein. Osirus selbst trainiert keine Modelle mit deinen Inhalten. Gleiche Anfragen können für kurze Zeit zwischengespeichert werden, damit eine wiederholte Frage nicht erneut abgerechnet wird; der Zwischenspeicher ist an deinen Workspace gebunden.

Hinweis nach Art. 50 der KI-Verordnung (EU) 2024/1689: Du interagierst in Osirus mit KI-Systemen. Texte, Code und andere Ergebnisse werden durch KI erzeugt und können Fehler enthalten. Prüfe sie vor dem Einsatz.

7. Bots, Gedächtnis und Gruppenchats

Rechtsgrundlage ist jeweils Art. 6 Abs. 1 lit. b DSGVO.

8. Rouge Agent, Code und Freigaben

Der Rouge Agent und Code arbeiten Aufträge in mehreren Schritten ab. Dafür speichern wir den Plan, jeden Schritt, die genutzten Werkzeuge mit ihren Eingaben und Ergebnissen, Prüfergebnisse sowie deine Entscheidungen zu Freigaben (wer hat wann was erlaubt oder abgelehnt). Code klont das gewählte Repository in eine abgeschottete, kurzlebige Sandbox, ändert dort Dateien, führt Prüfungen aus und schreibt Änderungen erst nach deiner Freigabe zurück. Die Sandbox wird nach dem Auftrag beendet. Der Rouge Agent kann deine Bots befragen und Aufgaben an Code übergeben; die Antworten der Bots werden Teil des Auftrags. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, für die Protokolle der Freigaben zusätzlich Art. 6 Abs. 1 lit. f DSGVO (Nachvollziehbarkeit und Sicherheit).

9. Verbundene Dienste (GitHub, Vercel, Neon, Supabase, MCP)

Verbindest du unter „Connections“ einen Dienst, speichern wir den dafür hinterlegten Zugangsschlüssel verschlüsselt und nutzen ihn nur, wenn ein Auftrag ihn braucht. Er wird nie angezeigt, nie in eine Modellanfrage geschrieben und nicht in Protokolle aufgenommen.

Für die Verarbeitung bei diesen Diensten gelten deren eigene Datenschutzbestimmungen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Du kannst jede Verbindung jederzeit trennen; der gespeicherte Schlüssel wird dann gelöscht.

10. Dateien, Websuche und Links

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

11. Sprachfunktionen (Diktieren und Vorlesen)

Diktieren nutzt die Spracherkennung deines Browsers (Web Speech API). Der Browser fragt dich vorher nach der Erlaubnis für das Mikrofon. Die Erkennung führt der Hersteller deines Browsers durch, nicht Osirus: In Google Chrome geht die Aufnahme an Google, in Safari an Apple. Osirus erhält nur den erkannten Text, so als hättest du ihn getippt, und speichert keine Audiodaten. Vorlesen nutzt die Sprachausgabe deines Geräts und überträgt nichts. Rechtsgrundlage ist deine Einwilligung durch die Freigabe des Mikrofons (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG); du kannst sie in den Browser-Einstellungen jederzeit widerrufen. Ohne Diktieren funktioniert Osirus unverändert.

12. Geteilte Chats

Erstellst du einen Teilen-Link, kann jede Person mit diesem Link die Fragen und Antworten des Chats bis zum Zeitpunkt des Teilens lesen, bis du den Link deaktivierst. Dateien, Denkschritte und spätere Nachrichten werden nicht geteilt. Geteilte Seiten sind von Suchmaschinen ausgeschlossen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Teile keine Inhalte mit personenbezogenen Daten Dritter ohne deren Einverständnis.

13. Automationen und Benachrichtigungen

Legst du eine Automation an, speichern wir ihren Zeitplan oder Auslöser und führen den Auftrag zu diesem Zeitpunkt in deinem Namen aus. Ergebnisse und Hinweise erscheinen in deiner Inbox. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

14. Abonnements, Testphase, Zahlung und Kündigung

Für kostenpflichtige Abonnements nutzen wir Stripe. Im Checkout gibst du deine Zahlungsdaten direkt bei Stripe ein; Osirus erhält sie nicht, sondern nur eine Kunden- und Abonnementkennung, den Tarif, den Status (etwa Testphase, aktiv, gekündigt) und die Abrechnungszeiträume. Beim ersten Pro-Abonnement kann eine kostenlose Testphase gelten; ob sie dir zusteht, prüfen wir anhand deines Kontos. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, für Rechnungs- und Buchungsdaten Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit § 147 AO und § 257 HGB. Stripe ist für die Zahlungsabwicklung teils eigenständig verantwortlich.

Kündigst du über die Kündigungsseite, speichern wir deine Erklärung so, wie sie eingegangen ist: Name, E-Mail-Adresse, Vertrag, freiwillig eine Kunden- oder Rechnungsnummer, Art der Kündigung, bei einer außerordentlichen Kündigung den Grund, den gewünschten Zeitpunkt sowie Datum und Uhrzeit des Eingangs. Wir ordnen die Kündigung anhand der Anmeldung oder der E-Mail-Adresse deinem Konto und Abonnement zu, setzen das Vertragsende bei Stripe und schicken dir die Bestätigung per E-Mail; ist die angegebene Adresse nicht die deines Kontos, geht die Bestätigung zusätzlich an die Kontoadresse. Zur Abwehr von Missbrauch speichern wir außerdem einen gekürzten Hashwert deiner IP-Adresse, aus dem sich die Adresse nicht zurückrechnen lässt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b und c DSGVO in Verbindung mit § 312k BGB, für den Hashwert Art. 6 Abs. 1 lit. f DSGVO (Schutz vor missbräuchlichen Kündigungen).

15. Kontingente und Nutzungsdaten

Für die Abrechnung des 5-Stunden- und des Wochenkontingents speichern wir je Modellaufruf: Bereich, Modellkennung, Anzahl der Tokens, Kosten, Laufzeit und bei einem Fehler eine Fehlerkategorie, jedoch keine Inhalte. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, für die Kapazitätssteuerung und Fehlerauswertung Art. 6 Abs. 1 lit. f DSGVO.

16. Sicherheit und Missbrauchsabwehr

Wir protokollieren sicherheitsrelevante Ereignisse: abgelehnte oder abgelaufene Freigaben, verweigerte Werkzeugaufrufe, blockierte Verbindungen zu privaten Adressen, Zugriffsversuche auf fremde Inhalte und Zähler für Anfragebegrenzungen. Zweck ist der Schutz deines Kontos, anderer Nutzer und des Dienstes. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO.

17. Cookies und Speicher im Browser

Osirus setzt nur technisch notwendige Cookies und speichert Einstellungen, die du ausdrücklich wählst (§ 25 Abs. 2 TDDDG). Es gibt keine Analyse- oder Marketing-Cookies. Die vollständige Liste mit Namen, Zweck und Dauer steht in der Cookie-Erklärung.

18. Empfänger

19. Übermittlung in Drittländer

Mehrere der genannten Empfänger sitzen in den USA oder anderen Ländern außerhalb des Europäischen Wirtschaftsraums oder verarbeiten Daten dort. Soweit ein Empfänger nach dem EU-US Data Privacy Framework zertifiziert ist, stützt sich die Übermittlung auf den Angemessenheitsbeschluss der EU-Kommission (Durchführungsbeschluss (EU) 2023/1795). Andernfalls erfolgt sie auf Grundlage von Standardvertragsklauseln nach dem Durchführungsbeschluss (EU) 2021/914, soweit der Empfänger sie anbietet, oder, wo das nicht der Fall ist, weil sie zur Erfüllung des mit dir geschlossenen Vertrags erforderlich ist (Art. 49 Abs. 1 lit. b DSGVO). Vercel Inc. und Databricks, Inc. sind nach dem Data Privacy Framework zertifiziert; das lässt sich unter dataprivacyframework.gov prüfen. In Drittländern kann das Datenschutzniveau geringer sein als in der EU; insbesondere können Behörden dort Zugriffsrechte haben.

20. Speicherdauer und Löschung

21. Deine Rechte

Dir stehen gegenüber der Verantwortlichen folgende Rechte zu:

Auskunft und Datenübertragbarkeit bekommst du jederzeit selbst: Unter Einstellungen → Datenschutz lädst du alle zu dir gespeicherten Daten als JSON-Datei herunter (gespeicherte Zugangsschlüssel nur verschlüsselt und daher nicht enthalten). Dort löschst du auch dein Konto.

Wende dich dafür formlos an clarityos.baerbelwesterop@gmail.com. Wir antworten innerhalb eines Monats (Art. 12 Abs. 3 DSGVO) und können dich bitten, deine Identität zu bestätigen. Außerdem hast du das Recht, dich bei einer Aufsichtsbehörde zu beschweren (Art. 77 DSGVO). Zuständig für den Sitz der Verantwortlichen ist die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW), Kavalleriestraße 2–4, 40213 Düsseldorf, www.ldi.nrw.de.

22. Widerspruchsrecht

Soweit wir Daten auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO verarbeiten, kannst du aus Gründen, die sich aus deiner besonderen Situation ergeben, jederzeit widersprechen (Art. 21 Abs. 1 DSGVO). Wir verarbeiten die Daten dann nicht mehr, es sei denn, wir können zwingende schutzwürdige Gründe nachweisen, die deine Interessen, Rechte und Freiheiten überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.

23. Keine automatisierte Entscheidung im Einzelfall

Wir treffen keine Entscheidungen, die ausschließlich auf einer automatisierten Verarbeitung beruhen und dir gegenüber rechtliche Wirkung entfalten oder dich in ähnlicher Weise erheblich beeinträchtigen (Art. 22 DSGVO). Die automatische Wahl eines Sprachmodells und das Pausieren bei erschöpftem Kontingent sind technische Abläufe zur Vertragserfüllung.

24. Pflicht zur Bereitstellung

Name, E-Mail und ein Passwort oder die Anmeldung über GitHub sind für das Konto erforderlich; ohne sie kommt der Vertrag nicht zustande. Für ein Abonnement sind zusätzlich die Zahlungsdaten bei Stripe nötig. Alle weiteren Angaben, Verbindungen und Funktionen wie Diktieren sind freiwillig.

25. Mindestalter

Osirus richtet sich an Personen ab 18 Jahren. Wir verarbeiten nicht wissentlich Daten von Kindern. Erfahren wir davon, löschen wir das Konto.

26. Stand und Änderungen

Stand: 3. November 2026.

Ändert sich die Verarbeitung, passen wir diese Erklärung an. Bei wesentlichen Änderungen bitten wir dich in der Anwendung, die neue Fassung zu bestätigen. Frühere Fassungen erhältst du auf Anfrage.