Diese Erklärung setzt um, was Artikel 13 DSGVO verlangt, und stützt sich auf das Verarbeitungsverzeichnis. Sie wurde am 7. September 2026 anwaltlich geprüft.
Stand 15. September 2026. Die Angaben zu OpenAI wurden am 3. September 2026 gegen OpenAIs eigene Unterlagen geprüft (DPA, Europa-Datenschutzerklärung, Endpunkt-Tabelle „Data controls"), am 7. September um die zweite Prüfstufe ergänzt und am 10. September erneut nachgesehen. Am 15. September wurden nach der zweiten anwaltlichen Durchsicht die Punkte 7 und 8 (Alpenhost als Betreiber des Wiener Servers) und die Aufbewahrung der Sicherungen in Punkt 9 und 10 berichtigt; am selben Tag wurde die Rechtsgrundlage der Prüfung auf die ausdrückliche Einwilligung umgestellt (Punkt 4) — auch das eine Anmerkung aus der Durchsicht, und seit der App-Fassung 0.1 (9) fragt die App danach.
meditāmur kennt deinen Namen nicht, deine Mailadresse nicht und dein Alter nicht. Es gibt kein Profil. Was es gibt: eine zufällige Kennung, deine Texte, und dein Guthaben.
Eines musst du trotzdem wissen, bevor du schreibst: Jeder Text läuft durch eine automatische Prüfung bei OpenAI, bevor ihn ein anderer Mensch liest. Zum Training verwendet wird er nicht. Die erste Stufe bewahrt nichts auf; die zweite läuft bei fast jedem Text, und dort gilt OpenAIs übliche Aufbewahrung von bis zu 30 Tagen. Warum wir überhaupt prüfen und was genau wohin geht, steht unter Punkt 4.
Felix Rath, Seitenstettengasse 5/37, 1010 Wien, Österreich, kontakt@meditamur.app. Einen Datenschutzbeauftragten haben wir nicht bestellt; die Voraussetzungen des Art. 37 DSGVO liegen nicht vor. Zuständige Aufsichtsbehörde: Österreichische Datenschutzbehörde, Barichgasse 40–42, 1030 Wien.
Wenn du beginnst, erzeugen wir eine zufällige Kennung und ein Geheimnis. Das Geheimnis liegt im Schlüsselbund deines Geräts und wird nicht mit iCloud geteilt. Dazu speichern wir die Sprache und die Region, die du wählst — die Sprache bestimmt deinen Kreis, die Region, welche Krisen-Anlaufstellen dir die App im Notfall zeigt.
Rechtsgrundlage: Vertragserfüllung, Art. 6 Abs. 1 lit. b.
Antworten und eingereichte Fragen speichern wir, um sie deinem Kreis anzuzeigen. Innerhalb eines Kreises sieht niemand, von wem ein Text stammt. Die Kennung, die deine App dabei bekommt, ist für jeden Leser eine andere — zwei Menschen, die ihre Morgen vergleichen, können daraus nicht ableiten, dass derselbe Mensch dahintersteckt.
Rechtsgrundlage: Vertragserfüllung, Art. 6 Abs. 1 lit. b.
Bevor ein Text einen anderen Menschen erreicht, prüfen wir ihn. Das schützt vor Hassrede und Bedrohung, und es erkennt Hinweise darauf, dass es dem Verfasser gerade nicht gut geht.
Dafür senden wir den reinen Text an unseren Auftragsverarbeiter OpenAI Ireland Limited, 1st Floor, The Liffey Trust Centre, 117–126 Sheriff Street Upper, Dublin 1, D01 YC43, Irland — ohne Kontokennung, ohne Angabe deines Kreises, ohne Zeitpunkt. OpenAI kann den Text also niemandem zuordnen. Es besteht ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO.
Was dort mit deinem Text passiert. Die Prüfung hat zwei Stufen, und sie werden unterschiedlich behandelt.
Stufe eins ist der Endpunkt omni-moderation-latest. Für ihn gilt nach OpenAIs eigener Endpunkt-Übersicht: kein Training auf den Daten, keine Missbrauchsprotokollierung, keine Speicherung des Anwendungszustands. Dieser Text wird geprüft und nicht aufbewahrt.
Stufe zwei läuft bei fast jedem Text. Sie entfällt nur dann, wenn die erste Stufe bereits Gewalt, Bedrohung oder Selbstgefährdung erkannt hat — dann ist die Sache entschieden und der Text geht nicht weiter. In allen übrigen Fällen, also im Regelfall, fragt sie ein Sprachmodell über die reguläre Programmierschnittstelle, weil die erste Stufe eine bestimmte Art von Herabwürdigung nicht erkennt — Sätze, die niemanden beschimpfen, aber eine Abwertung über eine Gruppe voraussetzen. Für diese Schnittstelle gilt OpenAIs übliche Aufbewahrung von bis zu 30 Tagen zur Missbrauchskontrolle. Auf den Daten trainiert wird auch hier nicht. Es geht weiterhin nur der reine Text hin, ohne Kontokennung, ohne Kreis, ohne Zeitpunkt.
Was das praktisch heißt: Fast jeder Text, den du schreibst, liegt bis zu 30 Tage bei OpenAI, bevor er dort gelöscht wird. Wir sagen das so ausführlich, weil es der einzige Punkt ist, an dem ein Text von dir länger als für den Moment der Prüfung woanders liegt.
Verlässt der Text die EU? Vertragspartner ist die irische Gesellschaft, also zunächst nicht. Gibt OpenAI Daten an verbundene Unternehmen außerhalb des Europäischen Wirtschaftsraums weiter, geschieht das nach Abschnitt 4.1 des Auftragsverarbeitungsvertrags auf Grundlage der Standardvertrags- klauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO) oder eines Angemessenheitsbeschlusses nach Art. 45. Eine Kopie der Klauseln bekommst du auf Anfrage.
Das Ergebnis entscheidet nichts allein: Es hält einen Text höchstens zurück und legt ihn einem Menschen vor.
Rechtsgrundlage: berechtigtes Interesse an der Sicherheit der Nutzer, Art. 6 Abs. 1 lit. f, gestützt auf Art. 7 DSA. Enthält ein Text Hinweise auf deine Gesundheit, verarbeiten wir ihn auf Grundlage deiner ausdrücklichen Einwilligung (Art. 9 Abs. 2 lit. a DSGVO). Wir holen sie ein, bevor der erste Text von dir verteilt wird, und du kannst sie in den Einstellungen jederzeit widerrufen. Ohne sie können wir deine Texte nicht prüfen und daher nicht verteilen; lesen, notieren und nachdenken kannst du weiter. Der Widerruf wirkt für die Zukunft — was schon in Kreisen liegt, holt er nicht zurück. Im akuten Krisenfall stützen wir uns zusätzlich auf Art. 9 Abs. 2 lit. c.
Damit nicht ein Einzelner beliebig viele Konten anlegt, merken wir uns bei der Anlage einen Hash deiner IP-Adresse — nicht die Adresse selbst — und löschen ihn nach 24 Stunden. Er wird nie mit deinem Konto verknüpft.
Rechtsgrundlage: berechtigtes Interesse, Art. 6 Abs. 1 lit. f. Du kannst dem nach Art. 21 widersprechen; dann können wir dir allerdings kein Konto anlegen.
Meldest du einen Text, speichern wir die Meldung samt Grund. Entscheiden wir etwas, das dich betrifft, entsteht ein Bescheid mit Tatsachen und Grundlage. Blockierst du jemanden, speichern wir das Paar — ohne diese Zeile könnten wir „nie wieder" nicht halten.
Rechtsgrundlage: rechtliche Verpflichtung aus Art. 16 und 17 DSA, Art. 6 Abs. 1 lit. c.
Der Dienst läuft auf einem Server in Deutschland, betrieben von IONOS, mit dem ein Auftragsverarbeitungsvertrag besteht. Die Datenbank ist von außen nicht erreichbar. Verbindungen sind durchgehend verschlüsselt.
Mehr Auftragsverarbeiter gibt es nicht — nur IONOS für den Betrieb, OpenAI Ireland für die Prüfung aus Punkt 4 und Alpenhost e.U. in Wien für den zweiten Server, auf dem wir die Seitenaufrufe aus Punkt 8 auswerten und auf dem eine verschlüsselte Kopie der Sicherung liegt. Kein fremder Analysedienst, kein Absturzmelder, kein Werbenetzwerk. Wie wir selbst zählen, steht in Punkt 8.
Der Name api.meditamur.app wird bei Cloudflare aufgelöst, aber bewusst ohne Proxy: Der Datenverkehr läuft direkt zu unserem Server, Cloudflare sieht deine Texte nicht.
Wir möchten wissen, welche Seiten aufgerufen werden — ob jemand die Nutzungsbedingungen liest, ob die Hilfeseite gefunden wird. Dafür werten wir das Zugriffsprotokoll unseres Webservers aus, also das, was beim Aufrufen einer Seite ohnehin entsteht.
In deinem Browser wird dabei nichts gespeichert — kein Cookie, kein Skript, keine Kennung. Wir greifen auf dein Gerät nicht zu und fragen dich deshalb auch nicht um Erlaubnis.
Und wir bilden keine Kennziffer, die Aufrufe einander zuordnet. Wir können deshalb nicht sagen, wie viele Menschen hier waren — nur, wie oft welche Seite geöffnet wurde. Auf die Zahl verzichten wir bewusst: Eine App, die dein Alter nicht kennt und kein Profil führt, soll auch nicht heimlich mitzählen, wer wiederkommt.
Das Protokoll mit deiner IP-Adresse wird nach 24 Stunden gelöscht, die Einzelaufrufe nach 7 Tagen. Danach bleiben nur Summen je Tag: Seitenaufrufe, welche Seite, woher der Verweis kam, welche Geräteklasse.
Ausgewertet wird auf einem zweiten Server in Wien, den wir bei Alpenhost e.U. (1070 Wien) gemietet haben; mit Alpenhost besteht ein Auftragsverarbeitungsvertrag. Das Protokoll wird verschlüsselt dorthin übertragen und verlässt die EU nicht.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO — unser berechtigtes Interesse daran zu erfahren, ob die Seiten gefunden werden und nützen.
| Was | Wie lange |
|---|---|
| Hash der Herkunft | längstens 48 Stunden |
| Guthaben | verfällt 90 Tage nach dem Verdienen |
| Antworten | 365 Tage nach dem Aufdecken |
| Meldungen | mit der gemeldeten Antwort |
| Deine eingereichten Fragen | bis du dein Konto löschst |
| Bescheide und Einsprüche | bis du dein Konto löschst |
| Sperren zwischen Konten | dauerhaft, bis das Konto gelöscht wird |
| Zugriffsprotokoll mit IP-Adresse (Punkt 8) | 24 Stunden |
| Einzelne Seitenaufrufe (Punkt 8) | 7 Tage |
| Sicherungen (verschlüsselt; Kopie in Wien) | rollierend bis zu 90 Tage |
Zurückgehaltene Fragen kommen nach längstens 7 Tagen ungeprüft zu dir zurück, samt Guthaben. Zurückgehaltene Antworten warten, bis ein Mensch entschieden hat. Gelöscht werden beide mit ihrem Kreis nach 365 Tagen.
Der Hash der Herkunft wird geräumt, sobald jemand ein Konto anlegt, und zusätzlich einmal täglich um sieben Uhr früh. An einem Tag ohne Neuanmeldung liegt er deshalb bis zu 48 Stunden — die Grenze selbst ist 24.
Auskunft (Art. 15), Berichtigung (16), Löschung (17), Einschränkung (18), Übertragbarkeit (20) und Widerspruch (21). Dazu das Recht auf Beschwerde bei einer Aufsichtsbehörde (77).
Eine Einschränkung, die wir offen sagen müssen: Weil wir dich an nichts außer deinem Geheimnis erkennen, können wir eine Auskunft nur erteilen, wenn die Anfrage aus deiner App kommt. Sonst könnten wir jedem beliebigen Fremden deine Texte geben. Ist dein Gerät weg, ist auch dieser Weg weg.
Was Löschen wirklich löscht. Nach „Konto und alle Texte löschen" steht in der laufenden Datenbank nichts mehr, was auf dich zeigt: kein Konto, keine Antworten, keine Meldungen, keine Bescheide, keine Sperren. Zwei Reste nennen wir offen. Von deinen eingereichten Fragen bleibt eine leere Zeile ohne Urheber stehen, damit fremden Kreisen nicht rückwirkend ihre Frage abhandenkommt. Und in den verschlüsselten nächtlichen Sicherungen liegt der Abzug noch bis zu 90 Tage, bis er turnusmäßig ausläuft — die letzten Wochen täglich, danach nur noch wöchentliche und monatliche Stände. Erst danach ist wirklich nichts mehr da.
Den Export deiner eigenen Texte bekommst du jederzeit kostenlos in der App — Einstellungen, „Meine Texte ausgeben". Enthalten sind deine Fragen, deine Antworten, deine Meldungen und deine Bescheide. Nicht enthalten sind die Antworten der anderen Menschen aus deinen Kreisen und der Wortlaut von Texten, die du gemeldet hast. Sie standen in deinem Kreis, aber sie sind nicht deine Daten; sie herauszugeben hieße, fremde Texte weiterzureichen.
Kein Tracking, keine Werbe-Kennungen, kein Fingerprinting, keine Analyse deines Verhaltens, keine Weitergabe an Dritte außer den unter 4 und 7 genannten. Das Zählen aus Punkt 8 ist keine Ausnahme davon: Es ordnet Aufrufe keiner Person zu und kann es nicht — es wird gar keine Kennziffer gebildet. Apple Health beschreiben wir gesondert: Die App schreibt Achtsame Minuten, wenn du es einschaltest, und liest niemals etwas aus Health aus.
Hier standen bis zum 7. September „Meldungen 12 Monate" und „Bescheide und Einsprüche 3 Jahre". Eine Gegenprobe gegen den Quelltext hat gezeigt, dass beide Fristen nie umgesetzt wurden: Es gibt keine zeitgesteuerte Löschung von Bescheiden, und Meldungen verschwinden mit der gemeldeten Antwort. Auch eingereichte Fragen werden nicht nach 365 Tagen geräumt.
Die Tabelle sagt jetzt, was der Code tut. Der Gedanke hinter den ursprünglichen Fristen war richtig — ein Bescheid muss so lange belegbar bleiben, wie er angegriffen werden kann, und die allgemeine Verjährung nach § 1489 ABGB beträgt drei Jahre. Der bessere Weg wäre deshalb, die Fristen im Code nachzuziehen statt sie aus dem Text zu streichen. Bis das geschehen ist, steht hier die Wahrheit und nicht die Absicht.