Datenschutz bei korall

Stand: 15. Oktober 2026

Diese Hinweise gelten für korall.news und deine von uns betriebene korall-Instanz. Wir verwenden keine Analyse- oder Trackingdienste und keine Trackingcookies.

Verantwortlicher und Kontakt

Verantwortlich ist Oktavius Wiesner, Havelweg 24, 47239 Duisburg, Deutschland. Für Datenschutzanliegen erreichst du uns unter [email protected]. Ein Datenschutzbeauftragter ist nicht benannt; hierzu besteht keine Pflicht.

Welche Daten wir wofür verarbeiten

Website und Sicherheit

Beim Abruf verarbeiten wir IP-Adresse, Zeitpunkt, angeforderte Adresse, Browser- und Verbindungsinformationen zur Auslieferung, Fehlerbehebung und Abwehr von Missbrauch. Betriebs- und Fehlerprotokolle können außerdem Instanzkennungen und Fehlermeldungen enthalten. Rechtsgrundlage ist Art. 6 Abs. 1 Buchst. f DSGVO; unser berechtigtes Interesse ist ein sicherer und zuverlässiger Betrieb. Für die vereinbarte Nutzung gilt auch Art. 6 Abs. 1 Buchst. b DSGVO.

Konto, Beta-Anfrage und Bestellung

Wir verarbeiten deine E-Mail-Adresse, interne Kontokennung, gegebenenfalls deinen Namen, Einstellungen, Bestellungen und deren Bearbeitungsstand. Bei einer Beta-Anfrage speichern wir deine Adresse und den Anfragezeitpunkt, um Zugang und Einladung zu bearbeiten. Die Anfrage ist keine Newsletteranmeldung. Ohne E-Mail-Adresse können wir dir kein Konto bereitstellen.

Du meldest dich mit einem einmal nutzbaren E-Mail-Link an, der 20 Minuten gültig ist. Sitzungen gelten höchstens 24 Stunden. Beim Öffnen deiner Instanz erhält sie einen kurz gültigen Anmeldenachweis mit Kontoreferenz, abgeleitetem Benutzernamen, gegebenenfalls Namen, Rolle und Ablaufzeit. Anmeldetokens werden in der Kontodatenbank nur als Hash gespeichert.

Für Bestellungen kommen Instanzname, Bestellkennung, Tarif, Bereitstellungs-, Zahlungs- und Kündigungsstatus hinzu. Dein gewählter Instanzname wird Teil deiner Adresse und technischer Ressourcennamen. Wähle dafür möglichst keine vertraulichen Angaben. Rechtsgrundlage ist Art. 6 Abs. 1 Buchst. b DSGVO für Vertrag und angefragte vorvertragliche Maßnahmen; Missbrauchsschutz beruht auf Art. 6 Abs. 1 Buchst. f DSGVO.

Profile, Nachrichten und Podcasts

In deiner Instanz speichern wir Profile, Themen und Interessen, freiwilligen persönlichen Kontext, Quellenlisten, Artikel, Zusammenfassungen, Feedback, Ausgaben und Lesezustände. Bei Nutzung der Audiofunktionen kommen Sprecherwahl, Skripte, Podcastfolgen, Cover sowie eigene Klangpakete und Aufnahmen hinzu. Reader-Schlüssel und Podcastadressen ermöglichen den Zugang in deinen Apps. Die Verarbeitung dient den von dir gewählten Funktionen nach Art. 6 Abs. 1 Buchst. b DSGVO. Freiwillige Profilangaben sind keine Voraussetzung für dein Konto.

Die Nachrichtenauswahl wird nach deinen Interessen personalisiert. Es gibt keine ausschließlich automatisierten Entscheidungen mit rechtlicher oder vergleichbar erheblicher Wirkung für dich. Trage in Freitextfelder nur Angaben ein, die für deine Nachrichten nötig sind.

Dienstleister und weitere Empfänger

Hetzner

Hetzner Online GmbH betreibt unsere Server in Falkenstein, Deutschland. Dort liegen Konto- und Instanzdaten. Hetzner stellt außerdem die Storage Box für verschlüsselte Sicherungen bereit und verarbeitet diese Daten in unserem Auftrag. Mehr dazu findest du bei Hetzner.

Cloudflare

Cloudflare, Inc., USA, und verbundene Unternehmen übernehmen DNS, Tunnel und CDN. Dabei werden angefragte Adressen, IP-Adressen, Verbindungsdaten und die ausgelieferten Inhalte verarbeitet. Die Transportverschlüsselung schützt die Inhalte nicht gegenüber Cloudflare selbst.

In Cloudflare R2 liegen Podcastfolgen, Feed, Cover und Kapitelinformationen in einem eigenen Speicherbereich je Instanz. Diese können Profilnamen und persönliche Begrüßungen enthalten. Beim Abruf erhält Cloudflare die IP-Adresse und Dateianfrage. Die geheime Feedadresse ermöglicht den Zugriff ohne Anmeldung; auch einzelne Dateiadressen können ohne Kontositzung erreichbar sein. Teile sie nur mit vertrauenswürdigen Apps oder Personen. Während einer Pause der Instanz können veröffentlichte Dateien weiter abrufbar bleiben.

Auf den Anmeldeformularen einschließlich des erneuten Linkversands und auf dem Betaformular schützt Cloudflare Turnstile vor Bots und missbräuchlichem Mailversand. Cloudflare erhält technische Browser- und Verbindungssignale, insbesondere IP-Adresse und Browserinformationen; zur Prüfung übermitteln wir Prüftoken und IP-Adresse. Ohne erfolgreiche Prüfung kann das geschützte Formular nicht abgeschickt werden. Rechtsgrundlage ist Art. 6 Abs. 1 Buchst. f DSGVO. Cloudflare verarbeitet die Signale zum Schutz unserer Formulare in unserem Auftrag und zur Verbesserung seiner Bot-Erkennung auch in eigener Verantwortung. Einzelheiten stehen im Turnstile-Datenschutzhinweis.

Cloudflare Access schützt ausschließlich den Betreiberzugang. Deine Kundenanmeldung läuft nicht über Access.

OpenRouter und KI-Anbieter

OpenRouter, Inc., USA, erhält die für Auswahl, Zusammenfassungen und Profilvorschläge benötigten Inhalte und leitet sie an die ausführenden Modellanbieter weiter. Dazu gehören Artikel einschließlich Volltexten und Quellenangaben, Profilthemen und freiwilliger Kontext, Interessen, Feedback und Prompts. Für Sprache werden Podcastskript, gegebenenfalls persönliche Begrüßung sowie Sprech- und Stilvorgaben übermittelt. Rechtsgrundlage ist Art. 6 Abs. 1 Buchst. b DSGVO.

Für Textfunktionen nutzen wir aktuell DeepSeek, Anthropic (Claude) und Qwen (Alibaba), für die Sprachausgabe Google (Gemini). Je nach Routing können weitere Hostinganbieter das jeweilige Modell ausführen. Anfragen können außerhalb der EU verarbeitet werden, bei DeepSeek auch in China. Dort können andere Datenschutzstandards und staatliche Zugriffsmöglichkeiten bestehen.

Wir übermitteln keine Kontodaten wie deine Konto-E-Mail-Adresse oder Zahlungsdaten an die KI-Anbieter. Wenn du solche Angaben selbst in Profiltexte oder andere Eingaben schreibst, werden sie jedoch als Teil dieser Inhalte mitgesendet. KI-Anfragen sind deshalb nicht automatisch anonym. OpenRouter verarbeitet außerdem instanzbezogene Schlüssel- und Verbrauchsinformationen. Die Regeln zu Inhaltsprotokollen und Aufbewahrung unterscheiden sich nach ausführendem Anbieter; siehe OpenRouter-Datenschutz und Anbieterprotokollierung.

Brevo und E-Mail-Kontakt

Brevo versendet in unserem Auftrag ausschließlich transaktionale E-Mails, etwa Anmeldelinks, Einladungen, Bereitstellungs- und Kündigungsbestätigungen sowie Servicenachrichten. Brevo erhält Empfängeradresse, Betreff, Nachrichteninhalt einschließlich enthaltener Links und Zustellinformationen. Wir verwenden kein Öffnungs- oder Klicktracking. Die beiden Servicemails zur ersten Ausgabe und ersten Podcastfolge kannst du im Konto abstellen; dafür werden Nutzungszähler und gegebenenfalls die Sprecherwahl ausgewertet.

Wenn du uns schreibst, verarbeiten wir deine Adresse, Nachricht und gegebenenfalls Anhänge zur Bearbeitung. Rechtsgrundlage ist Art. 6 Abs. 1 Buchst. b DSGVO bei Vertrags- und Zugangsanliegen, sonst Art. 6 Abs. 1 Buchst. f DSGVO mit dem Interesse, deine Anfrage zu beantworten. Weitere Informationen bietet Brevo.

Stripe/Link

Stripe/Link verkauft das Abonnement als Merchant of Record über Stripe Managed Payments und übernimmt Umsatzsteuer, Rechnungen und die zahlungsbezogene Widerrufsabwicklung. Die konkrete Verkaufsgesellschaft und Kaufbedingungen werden dir im Checkout angezeigt.

Wir übermitteln E-Mail-Adresse oder bestehende Kundenkennung, Tarif und Bestell- beziehungsweise Instanzreferenz. Zahlungs- und Rechnungsdaten gibst du direkt bei Stripe/Link ein; dort werden auch IP-Adresse, Geräte- und Betrugspräventionsdaten verarbeitet. Stripe/Link und beteiligte Zahlungsdienstleister verarbeiten diese Daten für ihre Zahlungs-, Verkaufs- und gesetzlichen Aufgaben in eigener Verantwortung.

Wir erhalten Kunden-, Checkout- und Abonnementkennungen sowie Zahlungs- und Kündigungsstatus. Zahlungsbenachrichtigungen können zusätzlich Kontakt- oder Rechnungsangaben enthalten und werden zur Bearbeitung gespeichert. Wir erfassen keine vollständigen Kartendaten in einem eigenen Zahlungsformular. Für Bestellung und Freischaltung gilt Art. 6 Abs. 1 Buchst. b DSGVO, für gesetzliche Nachweise Buchst. c und für Betrugsabwehr und Rechtsansprüche Buchst. f. Es gelten ergänzend die Datenschutzhinweise von Stripe.

Quellen und deine Apps

Beim Abruf von Feeds und Artikeln erhalten die jeweiligen Anbieter die Server-IP und angefragte Adresse, gewöhnlich keine Konto- oder Profildaten. Persönliche Feedadressen können selbst Identifikationsmerkmale enthalten. Für allgemeine historische Podcastinhalte werden Wikimedia/Wikidata, für den Quellenkatalog GitHub serverseitig abgefragt, jeweils ohne Übermittlung deines Profils.

RSS-Apps können externe Artikelbilder direkt von Verlagen oder deren Bilddiensten laden. Dabei erhalten diese deine IP-Adresse und technische App- oder Browserdaten. Beim Öffnen von Originalartikeln gelten die Hinweise der jeweiligen Website. Von dir verbundene RSS- und Podcast-Apps können Zugangsschlüssel, Feedadressen und Inhalte auf eigenen Servern verarbeiten.

Internationale Übermittlungen

Insbesondere Cloudflare, OpenRouter, ausführende KI-Anbieter und Stripe/Link können Daten außerhalb des Europäischen Wirtschaftsraums verarbeiten. Die Cloudflare-Vertragsregelungen, die OpenRouter-Datenschutzhinweise und der Stripe-Transferzusatz beschreiben ihre Übermittlungsgarantien: je nach Empfänger Angemessenheitsbeschlüsse, einschließlich des EU-US Data Privacy Framework für erfasste US-Unternehmen, oder EU-Standardvertragsklauseln. Für China besteht kein Angemessenheitsbeschluss. Informationen und eine Kopie der für deine Daten geltenden Garantien kannst du bei uns anfordern.

Cookies und Browserspeicher

Wir verwenden folgende Funktionscookies:

__Host-korall: Kontositzung auf korall.news, höchstens 24 Stunden.
__Host-korall-mailbox: verschlüsselter Zwischenstand mit E-Mail-Adresse und Zielseite während der Anmeldung, höchstens 20 Minuten; wird nach erfolgreicher Anmeldung entfernt.
korall_session: Sitzung in deiner Instanz, höchstens 24 Stunden.
korall-thema: gewählte helle, dunkle oder systemabhängige Darstellung, bis zu ein Jahr auf Website und Instanz.
korall_profil: zuletzt geöffnetes Profil in deiner Instanz, bis zu ein Jahr; wird bei Profilaufrufen erneuert.

In der Instanz wird die Darstellungswahl zusätzlich im Local Storage gespeichert, bis du oder dein Browser sie entfernen. Das Klangstudio kann bei einem Speicherfehler einen Bearbeitungsstand im Session Storage des Tabs zur Wiederherstellung halten. Abmelden beendet die jeweilige Sitzung; Aktivität verlängert ihre Höchstdauer nicht.

Diese Speicher ermöglichen Anmeldung, Profilauswahl, gewünschte Darstellung und Wiederherstellung deiner Arbeit. Für erforderliche Endgerätezugriffe gilt § 25 Abs. 2 Nr. 2 TDDDG; die weitere Verarbeitung beruht auf Art. 6 Abs. 1 Buchst. b beziehungsweise f DSGVO. Du kannst Cookies und Website-Speicher im Browser löschen oder sperren; dadurch können diese Funktionen eingeschränkt sein. Für die getrennten Zahlungsseiten gelten deren eigene Cookiehinweise.

Sicherheit und Unterstützung

Jede Instanz hat eigene Datenbanken und einen eigenen Podcast-Speicherbereich. Dessen Zugriffsschlüssel sind auf die jeweilige Instanz beschränkt, kurzlebig und werden regelmäßig erneuert. Sicherungen werden vor der Übertragung verschlüsselt.

Für Betrieb, Sicherheit und Unterstützung kann der Betreiber auf deine Instanz zugreifen. Support-Anmeldungen werden protokolliert; die letzten zehn siehst du als Eigentümer in den Einstellungen. Die Betriebsübersicht erfasst unter anderem Instanzstatus, Fehler, Nutzungszähler, Modellkosten, Audiominuten und Speicherbedarf. Das dient Betrieb, Störungsbehebung und Kapazitätsplanung nach Art. 6 Abs. 1 Buchst. b und f DSGVO, nicht der Werbeanalyse.

Speicherdauer und Löschung

Anmeldelinks gelten 20 Minuten, Sitzungen höchstens 24 Stunden. Abgelaufene Sitzungen werden regelmäßig bereinigt; Einträge zu Anmeldelinks werden entfernt, sobald ihre Ablaufzeit mehr als einen Tag zurückliegt.
Nachrichtenverarbeitung, Feedback, Rückblicke und Betriebsübersichten werden regelmäßig nach 90 Tagen bereinigt. Im Reader gelten grundsätzlich 30 Tage für gewöhnliche Artikel; markierte oder geteilte Einträge können länger bleiben.
Für Podcasts halten wir regulär die letzten 14 Folgen je Profil. Ohne neue Folgen ist das keine feste Tagesfrist. Der Sprachcache wird nach drei Tagen, fehlgeschlagene Podcastskripte nach sieben Tagen bereinigt. Profile, Quellen und eigene Uploads bleiben bis zu ihrer Entfernung oder der Instanzlöschung gespeichert.
Erfolgreich versendete E-Mails werden sieben Tage nach Versand aus unserer Versandwarteschlange entfernt. Noch ausstehende Zustellungen bleiben für die Bearbeitung erhalten.
Mit dem Ende deines Abonnements pausiert die Instanz. Sieben Tage danach löschen wir sie einschließlich Anwendungsdaten, Podcastdateien und Speicherbereich, Instanzschlüsseln und DNS-Einträgen.
Sicherungen werden höchstens sieben Tage aufbewahrt, mit sieben täglichen Sicherungsständen. Auch die zusätzlichen Snapshots des Speicheranbieters sind auf höchstens sieben Tage begrenzt.

Die Instanzlöschung löscht nicht automatisch dein zentrales Konto und die Vertragsnachweise. Konto-, Beta-, Kontakt- und Bearbeitungsdaten speichern wir, solange sie für Konto, Anfrage, Vertrag oder die Klärung von Rechtsansprüchen benötigt werden. Entfällt dieser Zweck, werden sie gelöscht, soweit keine gesetzliche Aufbewahrungspflicht besteht. Betriebsprotokolle werden nur für die erforderliche Dauer zur Fehler- und Sicherheitsklärung vorgehalten.

Bei Stripe/Link bleiben Zahlungsbelege für die jeweils geltenden gesetzlichen Aufbewahrungsfristen erhalten. Weitere Anbieter können Daten nach ihren eigenen gesetzlichen Pflichten und den verlinkten Datenschutzregeln aufbewahren. Bereits an deine Apps oder Geräte ausgelieferte Kopien können wir nicht zurückrufen.

Deine Rechte

Du hast nach den gesetzlichen Voraussetzungen Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung und Datenübertragbarkeit. Eine erteilte Einwilligung kannst du jederzeit für die Zukunft widerrufen; die bis dahin rechtmäßige Verarbeitung bleibt unberührt.

Bei einer Verarbeitung nach Art. 6 Abs. 1 Buchst. f DSGVO kannst du aus Gründen deiner besonderen Situation widersprechen. Wir verarbeiten die Daten dann nur weiter, soweit die gesetzlichen Voraussetzungen vorliegen. Gegen Direktwerbung kannst du jederzeit ohne Begründung widersprechen.

Schreib dafür an [email protected]. Wir beantworten deine Anfrage grundsätzlich innerhalb eines Monats und informieren dich über eine gesetzlich zulässige Verlängerung. Du kannst dich außerdem bei einer Datenschutzaufsichtsbehörde beschweren, insbesondere bei der Landesbeauftragten für Datenschutz und Informationsfreiheit Nordrhein-Westfalen.