Datenschutzerklärung

Stand: Oktober 2026

1. Verantwortlicher

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:

Ali Hariri Movahed Am Spick 8, 40668 Meerbusch, Deutschland E-Mail: ali@noboru.ai Telefon: +49 176 70904603

2. Allgemeines zur Datenverarbeitung

Wir verarbeiten personenbezogene Daten unserer Nutzer grundsätzlich nur, soweit dies zur Bereitstellung einer funktionsfähigen Website sowie unserer Inhalte und Leistungen erforderlich ist. Personenbezogene Daten sind alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen.

3. Hosting

Diese Website wird bei der Vercel Inc., 340 S Lemon Ave #4133, Walnut, CA 91789, USA, gehostet. Die Domain wird über die GoDaddy.com, LLC bereitgestellt. Beim Aufruf der Website werden technisch notwendige Daten (insbesondere die unter Ziffer 4 genannten Server-Logfiles) durch diese Anbieter verarbeitet.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt in einer sicheren und effizienten Bereitstellung der Website. Mit den Anbietern bestehen bzw. werden Auftragsverarbeitungsverträge gemäß Art. 28 DSGVO geschlossen.

Eine Datenübermittlung in die USA findet statt. Diese erfolgt auf Grundlage der Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO) bzw., soweit der jeweilige Anbieter zertifiziert ist, auf Grundlage des EU-U.S. Data Privacy Framework (Angemessenheitsbeschluss gemäß Art. 45 DSGVO). Wir weisen darauf hin, dass in den USA kein dem europäischen Recht vollständig vergleichbares Datenschutzniveau garantiert werden kann.

4. Bereitstellung der Website und Server-Logfiles

Bei jedem Aufruf der Website erfasst das System automatisiert Daten des zugreifenden Geräts. Folgende Daten werden hierbei erhoben: IP-Adresse, Datum und Uhrzeit des Zugriffs, aufgerufene Seite/Datei, übertragene Datenmenge, Browsertyp und -version, Betriebssystem sowie Referrer-URL.

Die Verarbeitung erfolgt zur Auslieferung der Website sowie zur Gewährleistung der Systemsicherheit und -stabilität. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Die Logfiles werden aus Sicherheitsgründen gespeichert und nach spätestens 30 Tagen gelöscht.

5. Kontaktaufnahme und Warteliste (Waitlist)

Auf unserer Website besteht die Möglichkeit, sich über ein Formular für eine Warteliste einzutragen bzw. mit uns Kontakt aufzunehmen. Hierbei werden die von Ihnen eingegebenen Daten, insbesondere Ihre E-Mail-Adresse sowie gegebenenfalls eine von Ihnen freiwillig angegebene Website-URL, an uns übermittelt und gespeichert. Zum Nachweis Ihrer Einwilligung speichern wir zudem den Zeitpunkt der Absendung des Formulars.

Die Übermittlung und Verarbeitung der Wartelisten-Daten erfolgt über unseren Dienstleister Resend (Plus Five Five, Inc., USA), den wir als Auftragsverarbeiter gemäß Art. 28 DSGVO einsetzen; auch hierbei findet eine Datenübermittlung in die USA auf Grundlage der unter Ziffer 3 genannten Garantien statt.

Rechtsgrundlage für die Verarbeitung ist:

bei einer Anfrage im Rahmen einer (vor-)vertraglichen Beziehung Art. 6 Abs. 1 lit. b DSGVO;
im Übrigen Ihre Einwilligung gemäß Art. 6 Abs. 1 lit. a DSGVO, die Sie durch Setzen des Häkchens und Absenden des Formulars erteilen und die Sie jederzeit mit Wirkung für die Zukunft widerrufen können.

Die Daten werden gelöscht, sobald sie für die Erreichung des Zwecks ihrer Erhebung nicht mehr erforderlich sind, spätestens jedoch bei Widerruf Ihrer Einwilligung bzw. nach Abschluss der Wartelisten-Phase, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

6. Reichweitenmessung (Vercel Web Analytics)

Zur statistischen Auswertung der Websitenutzung setzen wir Vercel Web Analytics ein, einen Dienst unseres Hosting-Anbieters Vercel Inc. Dieser Dienst arbeitet ohne Cookies und ohne die Speicherung geräteübergreifender Kennungen; es werden keine Daten erhoben, die eine Identifizierung einzelner Besucher ermöglichen. Erfasst werden lediglich aggregierte, nicht personenbezogene Nutzungsdaten (z. B. aufgerufene Seiten, ungefähre Herkunftsregion auf Länderebene, Gerätetyp). Da kein Zugriff auf Endgeräte-Informationen im Sinne des § 25 TDDDG erfolgt, ist keine Einwilligung erforderlich. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt in der bedarfsgerechten Gestaltung und Verbesserung unserer Website.

7. Nutzung der Web-App (app.noboru.ai)

Kunden nutzen Noboru über die Web-App. Anmeldung und Nutzerkonten verwaltet Clerk, Inc. (USA). Für die Wartung der Website des Kunden verarbeiten wir im Auftrag des Kunden Inhalte seiner Website sowie Freigaben und Rückmeldungen seiner Nutzer; hierfür gilt der Auftragsverarbeitungsvertrag. Die eingesetzten Dienstleister, ihre Aufgaben und die Grundlage einer Übermittlung in Drittländer sind auf der Seite Unterauftragsverarbeiter aufgeführt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertrag) und, für Sicherheit und Fehleranalyse, lit. f.

8. Chat-Kanäle: Slack, WhatsApp und Telegram (optional)

Kunden können Slack, WhatsApp Business oder Telegram mit Noboru verbinden. Noboru sendet dann Nachrichten über diesen Kanal (zum Beispiel, dass eine Änderung freigegeben werden muss, dass eine Änderung live gegangen ist, einen Wochenbericht), und der Kunde kann per Antwort Änderungen freigeben, ablehnen oder rückgängig machen, einen Bericht anfordern oder in eigenen Worten Arbeit anfragen. Die Nutzung eines Kanals ist freiwillig: alles ist auch in der Web-App verfügbar.

Was wir verarbeiten, wenn ein Kanal verbunden ist:

die Kennung des Kontos auf diesem Kanal: Slack-Nutzer- und Workspace-Kennung, die WhatsApp-Telefonnummer und, soweit WhatsApp ihn übermittelt, der Profilname, oder die Telegram-Nutzerkennung und der Vorname;
die Nachrichten, die Sie an Noboru senden (Befehle, Antworten, Notizen zu einer Ablehnung und Anweisungen in eigenen Worten), und die Nachrichten, die Noboru Ihnen sendet (Titel und Kurzfassung von Änderungsvorschlägen, Status und Wochenbericht);
der Zeitpunkt Ihrer letzten Nachricht an Noboru, den wir kennen müssen, weil WhatsApp freie Nachrichten nur innerhalb von 24 Stunden nach Ihrer letzten Nachricht erlaubt;
über welchen Kanal eine Entscheidung getroffen wurde, gespeichert mit der Entscheidung, damit jede Änderung nachvollziehbar bleibt;
bei Slack das Zugriffstoken des verbundenen Workspaces, das wir verschlüsselt speichern.

Wir verknüpfen ein Chat-Konto erst, nachdem ein in der angemeldeten App erzeugter Einmalcode von diesem Konto gesendet wurde. Sie können die Verbindung jederzeit in der App unter Einstellungen oder durch Senden von trennen bzw. disconnect im Chat beenden; Noboru schreibt Ihnen dann nicht mehr. Wir senden keine Passwörter, Zugriffstokens oder Zahlungsdaten über Chat-Kanäle. Anweisungen, die Sie in eigenen Worten senden, verarbeitet der in Ziffer 9 genannte KI-Anbieter, um einen Vorschlag vorzubereiten; ein Vorschlag wird nie ohne Freigabe veröffentlicht, außer Sie haben den Autopiloten eingeschaltet.

Zweck ist die Erbringung der vereinbarten Leistung; Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO und, für Sicherheit und Missbrauchsabwehr (etwa Mengenbegrenzungen), Art. 6 Abs. 1 lit. f DSGVO. Die Verknüpfung mit Ihrem Chat-Konto speichern wir, bis Sie sie trennen, den technischen Eintrag einer getrennten Verknüpfung, bis Sie uns um Löschung bitten, und eine Entscheidung samt Notiz, solange das Konto des Kunden besteht.

Die Anbieter der Kanäle verarbeiten Nachrichten nach ihren eigenen Bedingungen und Datenschutzerklärungen als Betreiber der von Ihnen gewählten Dienste. Sie sind mit der Grundlage für eine Übermittlung in Drittländer in Ziffer 9 aufgeführt. Der Anbieter von Telegram hat seinen Sitz außerhalb der EU; bedenken Sie dies, bevor Sie Telegram verbinden, und nutzen Sie bei Bedarf Slack, WhatsApp oder die Web-App.

9. Dienstleister

Die folgenden Dienste erhalten personenbezogene Daten. Als optional gekennzeichnete Dienste werden nur eingesetzt, wenn der Kunde sie verbindet.

Vercel

Anbieter: Vercel Inc., USA
Zweck: Hosting dieser Website und der Web-App app.noboru.ai, Server-Logfiles, cookielose Reichweitenmessung (Vercel Web Analytics, Speed Insights).
Daten: IP-Adresse, Zeitpunkt, aufgerufene URL, Browser, Betriebssystem, Referrer; in der App zusätzlich die angezeigten Inhalte.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO; in der App Art. 6 Abs. 1 lit. b DSGVO.
Drittland: USA. Grundlage: Angemessenheitsbeschluss zum EU-U.S. Data Privacy Framework (Art. 45 DSGVO), soweit der Anbieter zertifiziert ist, im Übrigen EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO).

Railway

Anbieter: Railway Corporation, USA
Zweck: Betrieb des Backends (Programmierschnittstelle, Hintergrundaufgaben) und der Datenbank.
Daten: Konto- und Vertragsdaten, Inhalte der Kunden-Website, Änderungsvorschläge, Freigaben und Feedback, verschlüsselte Zugangsdaten, technische Protokolle.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b und f DSGVO.
Drittland: USA. Grundlage: Angemessenheitsbeschluss zum EU-U.S. Data Privacy Framework (Art. 45 DSGVO), soweit der Anbieter zertifiziert ist, im Übrigen EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO).

Cloudflare R2

Anbieter: Cloudflare, Inc., USA
Zweck: Objektspeicher für Seiten-Snapshots, Vorher-Zustände von Änderungen und Berichte.
Daten: Inhalte und Bildschirmaufnahmen der Kunden-Website, die personenbezogene Daten enthalten können.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
Drittland: USA. Grundlage: Angemessenheitsbeschluss zum EU-U.S. Data Privacy Framework (Art. 45 DSGVO), soweit der Anbieter zertifiziert ist, im Übrigen EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO).

Anthropic

Anbieter: Anthropic, PBC, USA
Zweck: KI-Modelle (Claude), die Inhalte der Kunden-Website analysieren und Änderungen vorschlagen. Eingaben werden nach den Vertragsbedingungen des Anbieters nicht zum Training seiner Modelle verwendet.
Daten: Inhalte der Kunden-Website, Anweisungen und Feedback der Nutzer.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
Drittland: USA. Grundlage: Angemessenheitsbeschluss zum EU-U.S. Data Privacy Framework (Art. 45 DSGVO), soweit der Anbieter zertifiziert ist, im Übrigen EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO).

Voyage AI

Anbieter: Voyage AI (MongoDB, Inc.), USA
Zweck: Berechnung von Text-Embeddings, damit frühere Entscheidungen und Präferenzen eines Kunden wiedergefunden werden.
Daten: Textausschnitte der Kunden-Website, Feedback der Nutzer.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
Drittland: USA. Grundlage: Angemessenheitsbeschluss zum EU-U.S. Data Privacy Framework (Art. 45 DSGVO), soweit der Anbieter zertifiziert ist, im Übrigen EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO).

Resend

Anbieter: Plus Five Five, Inc., USA
Zweck: Versand von E-Mails: Bestätigungen der Warteliste, Benachrichtigungen und Berichte aus der App.
Daten: E-Mail-Adresse, Name, Inhalt der E-Mail, Zustellstatus.
Rechtsgrundlage: Warteliste: Art. 6 Abs. 1 lit. a DSGVO; Kunden: Art. 6 Abs. 1 lit. b DSGVO.
Drittland: USA. Grundlage: Angemessenheitsbeschluss zum EU-U.S. Data Privacy Framework (Art. 45 DSGVO), soweit der Anbieter zertifiziert ist, im Übrigen EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO).

Clerk

Anbieter: Clerk, Inc., USA
Zweck: Anmeldung, Nutzerkonten und Organisationen in der App, Sitzungsverwaltung.
Daten: Name, E-Mail-Adresse, Anmeldedaten, IP-Adresse, Browser- und Sitzungsdaten.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b und f DSGVO.
Drittland: USA. Grundlage: Angemessenheitsbeschluss zum EU-U.S. Data Privacy Framework (Art. 45 DSGVO), soweit der Anbieter zertifiziert ist, im Übrigen EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO).

Sentry

Anbieter: Functional Software, Inc., USA
Zweck: Erkennung und Analyse technischer Fehler.
Daten: Technische Fehlerberichte. Zugangsdaten und Geheimnisse werden vor der Übermittlung entfernt, Kennungen werden pseudonymisiert.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.
Drittland: USA. Grundlage: Angemessenheitsbeschluss zum EU-U.S. Data Privacy Framework (Art. 45 DSGVO), soweit der Anbieter zertifiziert ist, im Übrigen EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO).

Langfuse

Anbieter: Langfuse GmbH, Deutschland
Zweck: Protokollierung der Abläufe des KI-Agenten zur Qualitätssicherung und Fehlersuche.
Daten: Ein- und Ausgaben der KI-Modelle, also Inhalte der Kunden-Website und Feedback der Nutzer.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b und f DSGVO.
Drittland: Keine Übermittlung in ein Drittland (Rechenzentrum in der EU).

Firecrawl

Anbieter: SideGuide Technologies, Inc., USA
Zweck: Abruf öffentlich zugänglicher Seiten der Kunden-Website und von Vergleichsseiten, etwa zur Prüfung defekter Links.
Daten: Öffentlich abrufbare Seiteninhalte.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
Drittland: USA. Grundlage: Angemessenheitsbeschluss zum EU-U.S. Data Privacy Framework (Art. 45 DSGVO), soweit der Anbieter zertifiziert ist, im Übrigen EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO).

SE Ranking

Anbieter: Seranking Ltd. / SER Acquisition Inc.
Zweck: Keyword-, Ranking- und Backlink-Daten zur Kunden-Website.
Daten: Domain und Suchbegriffe; in der Regel keine personenbezogenen Daten.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
Drittland: Anbieter mit Sitz außerhalb der EU. Grundlage: EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO).

Google Search Console

Anbieter: Google Ireland Limited, Irland
Zweck: Abruf von Suchleistungsdaten und Verifizierung der Kunden-Website, nachdem der Kunde den Zugriff freigegeben hat.
Daten: Aggregierte Suchanfragen, Klicks und Impressionen, Kennung des freigebenden Google-Kontos.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
Drittland: Übermittlung an Google LLC, USA, möglich. Grundlage: EU-U.S. Data Privacy Framework (Art. 45 DSGVO).

Microsoft Bing Webmaster Tools

Anbieter: Microsoft Ireland Operations Limited, Irland
Zweck: Abruf von Suchleistungsdaten der Kunden-Website, nachdem der Kunde den Zugriff freigegeben hat.
Daten: Aggregierte Suchanfragen, Klicks und Impressionen.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
Drittland: Übermittlung an Microsoft Corporation, USA, möglich. Grundlage: EU-U.S. Data Privacy Framework (Art. 45 DSGVO).

Slack (optional)

Anbieter: Slack Technologies, Salesforce-Gruppe
Zweck: Optionaler Chat-Kanal: Benachrichtigungen, Freigaben und Anfragen per Slack, wenn der Kunde Slack verbindet.
Daten: Slack-Nutzer- und Workspace-Kennung, Nachrichten an Noboru, Nachrichten von Noboru (Titel und Kurzfassung von Änderungsvorschlägen, Status, Wochenbericht).
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
Drittland: USA. Grundlage: Angemessenheitsbeschluss zum EU-U.S. Data Privacy Framework (Art. 45 DSGVO), soweit der Anbieter zertifiziert ist, im Übrigen EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO).

WhatsApp Business (optional)

Anbieter: WhatsApp Ireland Limited, Irland
Zweck: Optionaler Chat-Kanal: Benachrichtigungen, Freigaben und Anfragen per WhatsApp, wenn der Kunde WhatsApp verbindet.
Daten: Telefonnummer und, soweit von WhatsApp übermittelt, Profilname, Nachrichten an Noboru, Nachrichten von Noboru (Titel und Kurzfassung von Änderungsvorschlägen, Status, Wochenbericht).
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
Drittland: Übermittlung an WhatsApp LLC und Meta Platforms, Inc., USA, möglich. Grundlage: EU-U.S. Data Privacy Framework (Art. 45 DSGVO) bzw. andere Garantien nach Art. 46 DSGVO.

Telegram (optional)

Anbieter: Telegram Messenger Inc. und Konzerngesellschaften außerhalb der EU
Zweck: Optionaler Chat-Kanal: Benachrichtigungen, Freigaben und Anfragen per Telegram, wenn der Kunde Telegram verbindet.
Daten: Telegram-Nutzerkennung und Vorname, Nachrichten an Noboru, Nachrichten von Noboru (Titel und Kurzfassung von Änderungsvorschlägen, Status, Wochenbericht).
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
Drittland: Der Anbieter hat seinen Sitz außerhalb der EU; für Konzerngesellschaften außerhalb der EU nennt er EU-Standardvertragsklauseln als Grundlage. Näheres in der Datenschutzerklärung von Telegram. Die Nutzung dieses Kanals ist freiwillig.

Stripe

Anbieter: Stripe Payments Europe, Limited, Irland
Zweck: Zahlungsabwicklung, Abonnements und Rechnungen.
Daten: Firmen- und Rechnungsdaten, E-Mail-Adresse, Zahlungsdaten (Karten- und Kontodaten verarbeitet ausschließlich Stripe).
Rechtsgrundlage: Art. 6 Abs. 1 lit. b und c DSGVO.
Drittland: Übermittlung an Stripe, Inc., USA, möglich. Grundlage: EU-U.S. Data Privacy Framework (Art. 45 DSGVO) bzw. EU-Standardvertragsklauseln.

Calendly

Anbieter: Calendly LLC, USA
Zweck: Buchung von Onboarding-Gesprächen. Calendly wird erst geöffnet, wenn Sie auf einen entsprechenden Link klicken.
Daten: Name, E-Mail-Adresse, gewählter Termin, Angaben im Buchungsformular; beim Aufruf von calendly.com zudem technische Verbindungsdaten.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahmen).
Drittland: USA. Grundlage: Angemessenheitsbeschluss zum EU-U.S. Data Privacy Framework (Art. 45 DSGVO), soweit der Anbieter zertifiziert ist, im Übrigen EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO).

GoDaddy

Anbieter: GoDaddy.com, LLC, USA
Zweck: Registrierung der Domain noboru.ai und Namensauflösung (DNS).
Daten: DNS-Anfragen, dabei die IP-Adresse des anfragenden Servers.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.
Drittland: USA. Grundlage: Angemessenheitsbeschluss zum EU-U.S. Data Privacy Framework (Art. 45 DSGVO), soweit der Anbieter zertifiziert ist, im Übrigen EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO).

10. Ihre Rechte

Sie haben das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16 DSGVO), Löschung (Art. 17 DSGVO), Einschränkung der Verarbeitung (Art. 18 DSGVO), Datenübertragbarkeit (Art. 20 DSGVO) sowie ein Widerspruchsrecht (Art. 21 DSGVO). Eine erteilte Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3 DSGVO).

Ihnen steht zudem ein Beschwerderecht bei einer Aufsichtsbehörde zu (Art. 77 DSGVO). Zuständig ist die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen, Postfach 20 04 44, 40102 Düsseldorf.

11. Aktualität

Diese Datenschutzerklärung hat den Stand Oktober 2026. Durch die Weiterentwicklung unserer Website kann es notwendig werden, diese Datenschutzerklärung anzupassen.