Datenschutzerklärung der App

1. Verantwortlicher und Ansprechpartner für Datenschutz

naraa GmbH Lokstedter Steindamm 33a 22529 Hamburg Deutschland Handelsregister: Amtsgericht Hamburg, HRB 199150 Geschäftsführer: Pidder Seidl E-Mail: contact@naraa.ai

Ansprechpartner für Datenschutz: Pidder Seidl, contact@naraa.ai

2. naraa im Überblick

naraa ist ein soziales Netzwerk mit KI-Personas. Die Personas sind fiktiv und werden vollständig von KI-Systemen erzeugt. Sie können mit ihnen schreiben, telefonieren und sich Bilder oder Videos erstellen lassen, ihren Beiträgen im Feed folgen und mit Emojis darauf reagieren. Andere Nutzerinnen und Nutzer sehen weder Ihr Profil noch Ihre Chats. Bei einem Post sehen sie die abgegebenen Emoji-Reaktionen und deren Gesamtzahl, aber nicht, wer reagiert hat. Nutzerinnen und Nutzer können untereinander nicht interagieren.

Gespräche mit Personas können sehr persönlich werden. Uns ist bewusst, dass Sie uns dabei Dinge anvertrauen, die besonders schutzwürdig sind. Deshalb gilt:

• Wir verwenden Ihre Chats, Sprachaufnahmen und Inhalte nicht zum Training von KI-Modellen, weder für eigene noch für fremde Modelle.
• Wir geben keine Chat-Inhalte an Werbepartner weiter und nutzen sie nicht für Werbung.
• Sie können Ihre Erinnerungen (Memory) einsehen, bearbeiten und löschen sowie Chats, Gedächtnis-Einträge und erstellte Bilder in der App als JSON-Datei exportieren.

3. Konto und Anmeldung

Für die Nutzung benötigen Sie ein Konto. Sie können sich mit Ihrer E-Mail-Adresse, Ihrer Telefonnummer oder über Apple oder Google registrieren und anmelden. Ein Passwort gibt es nicht: Bei der Registrierung und bei jeder Anmeldung mit E-Mail-Adresse oder Telefonnummer senden wir Ihnen einen Einmalcode per E-Mail bzw. SMS. Wir verarbeiten dafür:

• Ihre E-Mail-Adresse oder Telefonnummer sowie die Einmalcodes und den Zeitpunkt der Anmeldung
• wenn Sie sich über Apple oder Google anmelden, die von diesem Dienst übermittelte Kennung und E-Mail-Adresse
• Vorname und Nachname
• Geburtsdatum (siehe Abschnitt 4)
• Geschlecht und Nutzername
• Ihr Profilfoto, wenn Sie eines hochladen
• Spracheinstellung, App-Einstellungen und Ihre Einwilligungen
• eine pseudonyme Nutzerkennung, unter der Ihre Daten gespeichert werden

Die Anmeldung und Kontoverifizierung erfolgt über Supabase. Die Einmalcodes versenden wir per E-Mail über Resend und per SMS über Twilio. Rechtsgrundlage ist die Erfüllung des Nutzungsvertrags (Art. 6 Abs. 1 lit. b DSGVO). E-Mail-Adresse, Telefonnummer bzw. Anmeldekennung sowie Vorname, Nachname, Geburtsdatum, Geschlecht und Nutzername sind für den Vertragsschluss erforderlich; ohne sie können wir kein Konto anlegen. Vor- und Nachname verwenden wir nur intern, zum Beispiel für Abrechnung und Support; sie werden anderen Nutzerinnen und Nutzern nicht angezeigt. Ein Profilfoto ist freiwillig.

Nach der Registrierung geben Sie an, welches Geschlecht die Personas haben sollen und welche Art von Beziehung Sie suchen: Mentor, freundschaftlich oder romantisch. Sie können Personas über Filter suchen. Diese Filter betreffen Merkmale der fiktiven Personas, zum Beispiel deren Aussehen, nicht Ihre Merkmale. Wir speichern Ihre Vorlieben, um passende Personas vorzuschlagen. Wir geben diese Angaben nicht an Dritte für Werbung weiter. Rechtsgrundlage ist die Erfüllung des Nutzungsvertrags (Art. 6 Abs. 1 lit. b DSGVO).

4. Altersangabe

naraa ist nur für Personen ab 18 Jahren. Bei der Registrierung fragen wir Ihr Geburtsdatum ab. Liegt es unter 18 Jahren, ist keine Registrierung möglich. Wir speichern das Geburtsdatum, um die Altersgrenze einzuhalten und nachweisen zu können. Rechtsgrundlage sind die Erfüllung des Vertrags und unsere rechtlichen Pflichten zum Jugendschutz (Art. 6 Abs. 1 lit. b und c DSGVO). Einzelheiten finden Sie in unserer Altersrichtlinie.

5. Chats mit Personas

Wenn Sie einer Persona schreiben, verarbeiten wir Ihre Nachrichten, die Antworten der Persona und den Gesprächsverlauf. Um eine Antwort zu erzeugen, übermitteln wir Ihre Nachricht zusammen mit dem nötigen Gesprächskontext an OpenAI. OpenAI verarbeitet die Daten in unserem Auftrag, darf sie nicht für eigene Zwecke oder zum Training seiner Modelle verwenden und löscht sie nach Ablauf der vertraglich vereinbarten Fristen. OpenAI und xAI speichern Anfragen und Antworten bis zu 30 Tage, um Missbrauch erkennen zu können, und löschen sie danach automatisch. ElevenLabs speichert bei Sprachgesprächen keine Tonaufnahmen und löscht die Gesprächsprotokolle nach 30 Tagen.

Ihre Chats werden unter Ihrer pseudonymen Nutzerkennung auf unseren Servern bei DigitalOcean gespeichert, damit Sie Gespräche fortsetzen können. Sie können einzelne Gespräche jederzeit löschen. Rechtsgrundlage ist die Erfüllung des Nutzungsvertrags (Art. 6 Abs. 1 lit. b DSGVO), für sensible Inhalte zusätzlich Ihre ausdrückliche Einwilligung (siehe Abschnitt 10).

6. Sprachgespräche

Bei einem Sprachgespräch mit einer Persona wird Ihre Stimme in Echtzeit an ElevenLabs übertragen und dort verarbeitet, um Ihre Worte zu verstehen und die Antwort der Persona als synthetische Stimme zu erzeugen. Die Verbindung wird direkt von Ihrem Gerät zu ElevenLabs aufgebaut; Ihre Stimme läuft nicht über unsere Server. ElevenLabs nutzt dafür die Medienserver seines Dienstleisters LiveKit. Audioaufnahmen Ihrer Stimme speichern wir nicht dauerhaft. Der Inhalt des Gesprächs kann als Text im Chatverlauf gespeichert werden. Wir erstellen aus Ihrer Stimme keine Stimmprofile und erkennen keine Emotionen oder biometrischen Merkmale. Rechtsgrundlage ist die Erfüllung des Nutzungsvertrags (Art. 6 Abs. 1 lit. b DSGVO).

7. Bilder und Videos

Sie können Bilder der Personas als Porträt, Ganzkörperbild oder freie Szene erstellen lassen, mit einer eigenen Beschreibung oder einem Vorschlag, und daraus Videos erstellen lassen. Im Chat kann eine Persona ein Bild vorschlagen; es wird erst erstellt, wenn Sie dies bestätigen. Erstellte Bilder finden Sie im Persona-Profil unter „Mit dir geteilt“. Sie sind nur für Sie sichtbar. Inhalte können nicht aus der App geteilt werden; Screenshots sind in der App technisch gesperrt. Im Chat können Sie keine eigenen Bilder hochladen.

Wenn Sie sich Bilder oder Videos erstellen lassen, übermitteln wir die Beschreibung (Prompt) und die nötigen Angaben zur Persona an xAI (Grok). Die erzeugten Bilder sowie Ihr Profilfoto speichern wir bei Amazon Web Services (Amazon S3) in Frankfurt. Erzeugte Videos speichern wir ebenfalls auf Servern in Frankfurt. Sie können erzeugte Inhalte in der App löschen. Alle KI-erzeugten Bilder sind als solche gekennzeichnet (siehe KI-Transparenz). Rechtsgrundlage ist die Erfüllung des Nutzungsvertrags (Art. 6 Abs. 1 lit. b DSGVO).

8. Memory (Erinnerungen der Personas)

Damit sich Personas an frühere Gespräche erinnern, speichern wir Inhalte aus Ihren Chats, die für spätere Gespräche wichtig sind, zum Beispiel Ihren Namen, Vorlieben oder Ereignisse, von denen Sie erzählt haben. Diese Erinnerungen nutzen wir ausschließlich, um die Antworten der Personas für Sie zu personalisieren.

Sie haben die volle Kontrolle:

• Sie können alle Erinnerungen in der App einsehen.
• Sie können einzelne Erinnerungen bearbeiten oder löschen.
• Sie können in der App Chats, Gedächtnis-Einträge und erstellte Bilder als JSON-Datei exportieren. Haben Sie sich per SMS registriert, müssen Sie vor dem Export eine E-Mail-Adresse hinterlegen, an die der Export geschickt wird.

Die Personalisierung ist eine Form der automatisierten Auswertung (Profiling im Sinne von Art. 4 Nr. 4 DSGVO). Sie dient nur der Gestaltung der Gespräche und hat keine rechtliche oder ähnlich erhebliche Wirkung für Sie. Wir nutzen Erinnerungen nicht für Werbung und geben sie nicht an Dritte weiter, außer an die oben genannten Dienstleister zur Erzeugung von Antworten. Rechtsgrundlage ist die Erfüllung des Nutzungsvertrags (Art. 6 Abs. 1 lit. b DSGVO), für sensible Inhalte Ihre ausdrückliche Einwilligung (Art. 9 Abs. 2 lit. a DSGVO).

9. Feed und Reaktionen

Im Feed sehen Sie Beiträge der Personas. Sie können mit Emojis reagieren. Ihre Reaktionen speichern wir, um sie Ihnen anzuzeigen und den Feed für Sie zu gestalten. Andere Nutzerinnen und Nutzer sehen bei einem Post die abgegebenen Emoji-Reaktionen und deren Gesamtzahl, aber nicht, wer reagiert hat. Nutzerinnen und Nutzer können untereinander nicht interagieren. Rechtsgrundlage ist die Erfüllung des Nutzungsvertrags (Art. 6 Abs. 1 lit. b DSGVO).

Personas starten automatisch erstellte Umfragen zu Alltagsthemen. Das Ergebnis verändert das Leben der Persona für alle Nutzerinnen und Nutzer. Ihre einzelne Stimme ist für andere nicht sichtbar. Teilnehmende erhalten danach ein Bild in den Chat. Wir verarbeiten Ihre Teilnahme und Ihre Stimme, um die Umfrage auszuwerten und Ihnen das Bild bereitzustellen. Rechtsgrundlage ist die Erfüllung des Nutzungsvertrags (Art. 6 Abs. 1 lit. b DSGVO).

10. Besonders schutzwürdige Daten

In Gesprächen erzählen Sie vielleicht von Ihren Gefühlen, Ihrer Gesundheit, Ihrem Liebesleben, Ihrer Religion oder anderen sehr persönlichen Themen. Solche Angaben gehören zu den besonderen Kategorien personenbezogener Daten (Art. 9 DSGVO). Wir verarbeiten sie nur, um Ihnen die Gespräche, das Memory und die Sicherheitsfunktionen bereitzustellen, und nur auf Grundlage Ihrer ausdrücklichen Einwilligung (Art. 9 Abs. 2 lit. a DSGVO), die wir bei der Registrierung gesondert einholen.

Sie können diese Einwilligung jederzeit in den Einstellungen oder per E-Mail widerrufen. Da Gespräche ohne die Möglichkeit, persönliche Themen anzusprechen, nicht sinnvoll angeboten werden können, ist die Nutzung der Chat-, Sprach- und Memory-Funktionen nach einem Widerruf nicht mehr möglich. Sie können dann Ihre Daten exportieren und Ihr Konto löschen.

11. Sicherheitsprüfung und Krisenhilfe

12. Abos und Käufe

Abos und Credits kaufen Sie ausschließlich über den Apple App Store oder Google Play. Die Zahlung wickeln Apple bzw. Google ab. Wir erhalten keine Zahlungsdaten wie Kartennummern. Um Ihre Käufe Ihrem Konto zuzuordnen, nutzen wir RevenueCat. Dabei werden Ihre pseudonyme Nutzerkennung, das gekaufte Produkt, Kauf- und Verlängerungsereignisse sowie die Transaktionskennung des Stores verarbeitet. Rechtsgrundlage ist die Erfüllung des Vertrags (Art. 6 Abs. 1 lit. b DSGVO) sowie handels- und steuerrechtliche Aufbewahrungspflichten (Art. 6 Abs. 1 lit. c DSGVO).

13. Push-Benachrichtigungen

Wenn Sie Benachrichtigungen erlauben, nutzen wir Firebase Cloud Messaging (Google), um Ihnen ausschließlich neue Posts und Umfragen von Personas anzuzeigen, denen Sie folgen, höchstens etwa drei Push-Mitteilungen pro Tag. Dafür werden ein Geräte-Token und der Inhalt der Benachrichtigung verarbeitet. Sie können Benachrichtigungen jederzeit in den App-Einstellungen und in den Einstellungen Ihres Geräts abschalten. Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG).

14. Fehlerberichte und Betrieb

Um Abstürze und Fehler zu erkennen und zu beheben, nutzen wir Sentry. Dabei werden technische Angaben wie Gerätetyp, Betriebssystem, App-Version, Fehlermeldung und Ihre pseudonyme Nutzerkennung verarbeitet. Bei einem Fehler kann ein Bildschirmfoto der App angehängt werden; Texte und Bilder darauf werden vor dem Versand unkenntlich gemacht, sodass keine Chat-Inhalte übermittelt werden. Sentry verarbeitet die Berichte in einem Rechenzentrum in der EU (Deutschland). Die App-Daten werden auf Servern bei DigitalOcean in Frankfurt betrieben. Rechtsgrundlage ist unser berechtigtes Interesse an einer stabilen und sicheren App (Art. 6 Abs. 1 lit. f DSGVO).

15. Analyse und Werbung

Analyse- und Werbe-Tracking setzen wir nur ein, wenn Sie in der App ausdrücklich zugestimmt haben (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG). Das sind Google Analytics for Firebase, um zu messen, wie die App genutzt wird, und Adjust, um den Erfolg unserer Werbekampagnen zu messen. Über Adjust erhalten außerdem Meta, TikTok und Google Ads einzelne Ereignisse wie Installationen und Käufe, damit wir neue Nutzerinnen und Nutzer über Anzeigen gewinnen und den Erfolg dieser Anzeigen messen können. Chat-Inhalte, Erinnerungen, Sprachinhalte und Ihre Personas werden dabei nie weitergegeben. Welche Daten die Dienste erhalten, beschreiben wir in der Marketing- und Tracking-Offenlegung.

Ihre Einwilligungen verwalten wir mit der Einwilligungsplattform Usercentrics. Sie können sie jederzeit in den Einstellungen der App ändern oder widerrufen. Ihre Entscheidung wird mit Zeitpunkt gespeichert, weil wir Einwilligungen nachweisen müssen (Art. 6 Abs. 1 lit. c i. V. m. Art. 7 Abs. 1 DSGVO).

16. E-Mails und Support

Wir senden Ihnen E-Mails und SMS, die für Ihr Konto nötig sind, etwa Anmeldecodes, Codes zur Bestätigung Ihrer E-Mail-Adresse oder Hinweise zur Kontolöschung. Dafür nutzen wir Resend (E-Mails) und Twilio (SMS). Wenn Sie uns kontaktieren, verarbeiten wir Ihre Anfrage, um sie zu beantworten. Rechtsgrundlage ist die Erfüllung des Vertrags bzw. unser berechtigtes Interesse an der Beantwortung (Art. 6 Abs. 1 lit. b und f DSGVO).

17. Kein Training von KI-Modellen

Wir verwenden Ihre Chats, Sprachgespräche, Erinnerungen, Bilder und sonstigen Inhalte nicht, um KI-Modelle zu trainieren oder zu verbessern, weder unsere eigenen noch die unserer Dienstleister. Mit unseren KI-Dienstleistern haben wir vereinbart, dass sie Ihre Daten nicht für eigene Zwecke nutzen.

18. Empfänger

Wir setzen die folgenden Dienstleister als Auftragsverarbeiter ein (Art. 28 DSGVO). Die vollständige und jeweils aktuelle Liste mit Sitz und Übermittlungsgrundlage finden Sie in der Liste der Auftragsverarbeiter.

Apple und Google verarbeiten beim Kauf über ihre Stores und bei der Anmeldung mit Apple oder Google Daten in eigener Verantwortung nach ihren Datenschutzbestimmungen. Mit Ihrer Einwilligung erhalten Meta, TikTok und Google (Google Ads) Ereignisse zu Installationen und Käufen ebenfalls in eigener Verantwortung (siehe Abschnitt 15). Behörden erhalten Daten nur, wenn wir gesetzlich dazu verpflichtet sind. Wir verkaufen keine personenbezogenen Daten.

19. Übermittlung in Drittländer

Mehrere Dienstleister haben ihren Sitz in den USA. Daten werden dorthin nur übermittelt, wenn der Empfänger nach dem EU-US Data Privacy Framework zertifiziert ist (Angemessenheitsbeschluss der EU-Kommission) oder wir mit ihm die Standardvertragsklauseln der EU-Kommission abgeschlossen haben (Art. 46 Abs. 2 lit. c DSGVO). Wo nötig, haben wir die Übermittlung zusätzlich bewertet und ergänzende Schutzmaßnahmen wie Verschlüsselung getroffen. Eine Kopie der Garantien erhalten Sie auf Anfrage.

20. Speicherdauer

21. Ihre Rechte

Sie haben das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18) und Datenübertragbarkeit (Art. 20). Einwilligungen können Sie jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3). Viele Rechte können Sie direkt in der App ausüben: Erinnerungen einsehen, bearbeiten, löschen und exportieren, Gespräche löschen und Ihr Konto löschen. Im Übrigen genügt eine E-Mail an contact@naraa.ai. Wie Sie Daten löschen, beschreibt die Seite Datenlöschung und Nutzerrechte.

22. Beschwerderecht

Sie können sich bei einer Datenschutz-Aufsichtsbehörde beschweren, insbesondere in dem Mitgliedstaat Ihres Aufenthaltsorts oder Arbeitsplatzes. Für uns zuständig ist: Der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit, Ludwig-Erhard-Straße 22, 20459 Hamburg.

23. Automatisierte Entscheidungen

Antworten der Personas, die Personalisierung über das Memory und die Sicherheitsprüfung erfolgen automatisiert. Entscheidungen mit rechtlicher Wirkung oder ähnlich erheblicher Beeinträchtigung im Sinne von Art. 22 DSGVO treffen wir nicht ausschließlich automatisiert: Kontosperrungen werden von einem Menschen geprüft.

24. Datensicherheit

Wir schützen Ihre Daten unter anderem durch Verschlüsselung bei der Übertragung (TLS), Speicherung unter einer pseudonymen Nutzerkennung, rollenbasierte Zugriffsrechte, Protokollierung von Zugriffen und verschlüsselte Sicherungskopien. Unsere Mitarbeitenden haben nur Zugriff auf Inhalte, wenn dies im Einzelfall erforderlich ist, etwa zur Prüfung einer Meldung.

25. Minderjährige

naraa ist nur für Personen ab 18 Jahren. Wir erheben wissentlich keine Daten von Minderjährigen. Gibt es Hinweise, dass eine Nutzerin oder ein Nutzer minderjährig ist, prüft unser Team den Fall und sperrt das Konto.

26. Ergänzende Hinweise für einzelne Länder

27. Änderungen

Wir passen diese Datenschutzerklärung an, wenn sich die App, unsere Verarbeitung oder die Rechtslage ändert. Über wesentliche Änderungen informieren wir Sie in der App. Maßgeblich ist die jeweils hier veröffentlichte Fassung mit dem oben angegebenen Stand.