Datenschutzerklärung

This document is provided in German. The German version is the legally binding one; if you have questions, contact us at hello@noacall.com.

Stand: 11. August 2026

1. Verantwortlicher

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) ist die

Datargo GmbH Omniturm, Neue Mainzer Straße 52–58 60311 Frankfurt am Main, Deutschland E-Mail: hello@noacall.com

2. Das Wichtigste vorab

noacall ist ein Videokonferenzdienst. Unser Grundsatz ist Datensparsamkeit:

• Von sich aus zeichnen wir nichts auf. Der Dienst hat eine Aufnahmefunktion, aber sie startet nie automatisch: Die Moderation kann eine Aufnahme nur ankündigen, aufgenommen wird erst, wenn jede anwesende Person zugestimmt hat, und ein Widerruf stoppt sie sofort für alle (Einzelheiten in Ziff. 4.4). Ohne Aufnahme werden Audio- und Videoströme übertragen, nicht gespeichert.
• Wir setzen keine Tracking- oder Werbe-Werkzeuge ein. Keine Analyse-Dienste, keine Werbe-Cookies, keine Schriften fremder Anbieter. Genau ein Skript kommt von einem anderen Host: der Support-Chat von crm.datargo.com – ein eigener Server derselben Datargo GmbH und damit kein fremder Anbieter (Ziff. 9). Auf den Rechtsseiten und im laufenden Gespräch laden wir ihn gar nicht erst.
• Ein Konto ist nicht erforderlich. Sie können Räume als Gast erstellen und betreten.
• Unsere Server stehen ausschließlich in der Europäischen Union, betrieben von einem deutschen Unternehmen in Rechenzentren in Deutschland. Das gilt für die Gespräche wie für die Aufnahmen (Einzelheiten in Ziff. 9).

3. Bereitstellung der Website (Server-Protokolle)

Beim Aufruf unserer Seiten verarbeitet unser Server die technisch notwendigen Verbindungsdaten (IP-Adresse, Zeitpunkt, aufgerufene Ressource, übertragene Datenmenge, User-Agent). Diese Daten dienen der Auslieferung, der Stabilität und der Abwehr von Angriffen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem sicheren, funktionsfähigen Betrieb). Protokolle bewahren wir nur so lange auf, wie es für Betrieb und Sicherheit erforderlich ist; sie werden regelmäßig gelöscht, in der Regel nach spätestens 14 Tagen, sofern kein sicherheitsrelevanter Vorfall eine längere Aufbewahrung erfordert.

4. Videokonferenzen

4.1 Audio- und Videoübertragung

Ihre Kamera- und Mikrofonsignale werden ausschließlich nach Ihrer Freigabe im Browser erfasst und transportverschlüsselt (DTLS-SRTP) übertragen. Ohne eine Aufnahme nach Ziff. 4.4 speichern wir die Medienströme nicht.

Je nach Raumgröße, Ausstattung der Teilnehmenden und Netzwerksituation läuft die Übertragung auf einem von drei Wegen:

• Direktverbindung (Peer-to-Peer): Die Medienströme fließen direkt zwischen den Browsern der Teilnehmenden; so beginnt jedes Gespräch. Dabei werden die IP-Adressen der Teilnehmenden untereinander ausgetauscht. Das ist technisch notwendig, um die Direktverbindung aufzubauen.
• Relay-Server: Ist eine Direktverbindung nicht möglich (z. B. in manchen Mobilfunk- oder Firmennetzen), leiten unsere Server in der EU die Medienströme weiter. Sie transportieren dabei ausschließlich verschlüsselte Datenpakete (DTLS-SRTP) und können deren Inhalt nicht entschlüsseln oder mitlesen.
• Konferenzserver (SFU): Bei aktivierter Echtheitsprüfung, bei einer Regie-Ansicht, bei einer Aufnahme oder ab dem vierten Teilnehmenden kann der Raum während des laufenden Gesprächs auf unseren Konferenzserver umschalten (Bedingungen siehe unten). Läuft ein Raum über ihn, läuft auch eine Bildschirmfreigabe über ihn. Einmal umgeschaltet, bleibt der Raum auf diesem Weg, auch wenn er später wieder kleiner wird.

Was der Konferenzserver bedeutet – bitte lesen Sie das genau. Auf diesem Weg endet die Transportverschlüsselung auf unserem Server. Er entschlüsselt die Medienströme, um sie an die übrigen Teilnehmenden weiterzuleiten, und verschlüsselt sie dafür neu. Anders als beim Relay ist der Inhalt für uns damit technisch zugänglich. Die Verarbeitung geschieht flüchtig im Arbeitsspeicher; eine Speicherung findet nicht statt, solange im Raum keine Aufnahme nach Ziff. 4.4 läuft.

Wann umgeschaltet wird – und wann nicht. Wählen können Sie den Weg nicht direkt, und an der Teilnehmerzahl allein hängt er nicht. Umgeschaltet wird, wenn der Raum einen fachlichen Grund dafür hat – etwa aktivierte Echtheitsprüfung, Regie-Ansicht, Aufnahme oder mindestens vier Personen – und jedes einzelne der beteiligten Programme diesen Weg beherrscht. Der Konferenzserver selbst ist auf unserer Seite eingerichtet und in Betrieb. Eine ältere App oder ein älterer Browser genügt, damit ein kleiner Raum in der Direktverbindung bleibt. Ist ein Raum bereits umgeschaltet, kann ein Programm ohne diese Fähigkeit zwar beitreten, bekommt aber sichtbar mitgeteilt, dass ihm der Konferenzpfad fehlt.

Zusätzliche fachliche Auslöser: Aktivierte Echtheitsprüfung (Ziff. 5), eine Regie-Ansicht (Ziff. 4.7) und eine Aufnahme (Ziff. 4.4) können den Konferenzserver schon bei einer Person erforderlich machen, weil diese Funktionen ohne serverseitigen Medienpfad nicht zuverlässig oder gar nicht funktionieren.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Durchführung der von Ihnen angeforderten Konferenz).

4.2 Text-Chat

Nachrichten im Raum-Chat werden gespeichert, damit später Beitretende den Verlauf sehen. Wird das Meeting beendet, sei es ausdrücklich durch die Moderation oder mit Ablauf der Zeitgrenze, löschen wir den Verlauf dieses Raums sofort; danach kann ihn auch niemand mehr abrufen. Bleibt ein Raum bestehen, wird sein Verlauf spätestens nach 30 Tagen automatisch gelöscht. Private Direktnachrichten zwischen zwei Teilnehmenden werden nicht gespeichert. Räume ohne Aktivität werden nach 24 Stunden gelöscht; mit ihnen der zugehörige Verlauf.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

4.3 Anzeigename

Der von Ihnen beim Beitritt gewählte Anzeigename ist für die anderen Teilnehmenden des Raums sichtbar. Er kann frei gewählt werden; ein Klarname ist nicht erforderlich.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

4.4 Aufnahmen

Ein Gespräch kann aufgezeichnet werden. Das geschieht nie automatisch und nie ohne Ihre Zustimmung:

• Ankündigung, nicht Tatsache. Nur die Moderation kann eine Aufnahme anfragen. Diese Anfrage ist sichtbar für alle im Raum – aufgenommen wird zunächst nichts.
• Erst wenn alle zugestimmt haben. Die Aufnahme beginnt in dem Augenblick, in dem jede anwesende Person zugestimmt hat. Wer anfragt, stimmt damit selbst zu. Lehnt eine Person ab, ist die Anfrage beendet – nicht nur aufgeschoben: Alle erfahren, dass abgelehnt wurde (ohne zu erfahren, von wem), und die Moderation muss neu fragen, wenn sie es noch einmal versuchen will. Für eine Minute geht das nicht; wer dreimal hintereinander gefragt wird, bis er nachgibt, hat nicht frei entschieden (Art. 7 Abs. 4 DSGVO).
• Sichtbar, solange sie läuft. Alle Teilnehmenden sehen durchgehend, dass aufgezeichnet wird.
• Wer später dazukommt, wird erst nach eigener Zustimmung aufgenommen.
• Widerruf wirkt sofort (Art. 7 Abs. 3 DSGVO). Nimmt eine Person ihre Zustimmung zurück, stoppt die laufende Aufnahme sofort für alle. Das bis dahin Aufgezeichnete bleibt bestehen – die Zustimmung galt, als es entstand; der Widerruf wirkt für die Zukunft.
• Wir protokollieren die Zustimmungen. Zu jeder Aufnahme legen wir neben den Mediendateien eine Datei mit dem Zustimmungsverlauf ab (Anzeigename und Rolle zum Zeitpunkt der Erklärung, Zeitpunkt, Art der Erklärung). Sie ist der Nachweis nach Art. 7 Abs. 1 DSGVO und teilt Frist und Löschung mit der Aufnahme.

Aufnahmen sind nur auf dem Weg über den Konferenzserver möglich (Ziff. 4.1); ein Gespräch in Direktverbindung ist technisch nicht aufnehmbar. Sie liegen in einem Objektspeicher in Deutschland, verschlüsselt, bevor sie unseren Server verlassen (Ziff. 9). Die Aufnahmefunktion setzt diesen Speicher und den zugehörigen Schlüssel voraus: Fehlt eines von beidem, verweigert der Dienst die Aufnahme sichtbar, statt ohne beides aufzuzeichnen. Bis zum 8. August 2026 war genau das der Fall; seither liegt beides vor (Näheres in Ziff. 9). Hat die anfragende Person ein Konto, gehört die Aufnahme diesem Konto und ist ausschließlich darüber abrufbar; ein Download-Link läuft nach kurzer Zeit ab (voreingestellt zehn Minuten, länger als eine Stunde lässt der Dienst nicht zu). Ohne Konto gibt es keine Aufnahme: Der Dienst lehnt die Anfrage ab, wenn der Raum ohne angemeldetes Konto betreten wurde – eine Aufnahme, die niemandem gehört, könnte niemand abrufen und niemand löschen lassen. Nach 30 Tagen löschen wir Aufnahmen automatisch, samt Zustimmungsprotokoll; früher löschen kann das Konto jederzeit selbst. Diese Löschung hängt nicht allein an unserem Aufräumlauf: Der Speicher selbst wirft nach 35 Tagen weg, was dann noch daliegt. Fällt bei uns etwas aus, verlängert das die Frist also nicht ins Offene. Die 30 Tage sind unsere Voreinstellung; die Aufnahme-Übersicht im Konto nennt die Frist, die tatsächlich gilt, und holt sie sich dafür beim Server.

Aus einer Aufnahme kann das Konto, dem sie gehört, eine schriftliche Mitschrift erstellen lassen; was das bedeutet, steht in Ziff. 4.6. Der Zustimmungstext im Raum nennt diese Möglichkeit, bevor zugestimmt wird.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung aller Aufgezeichneten), Nachweis nach Art. 7 Abs. 1 DSGVO.

4.5 Gesprächsprotokoll

Für einen Raum kann ein Gesprächsprotokoll geführt werden. Es hält fest, wer an einem Gespräch teilgenommen hat und was die Echtheitsprüfung (Ziff. 5) dabei messen konnte. Der Zweck ist ein Nachweis für den Gastgeber: dass ein Gespräch stattgefunden hat, mit wem, und ob die Prüfung überhaupt zu einem Ergebnis kam.

Es entsteht nur auf ausdrücklichen Wunsch. Der Gastgeber schaltet es beim Erstellen des Raums ein; ohne diesen Schalter entsteht kein Protokoll, auch nicht im Hintergrund. Ohne Benutzerkonto gibt es kein Protokoll: Ein Nachweis, der niemandem gehört, könnte niemand abrufen und niemand löschen lassen.

Gespeichert wird zu jedem Gespräch:

• Raum-Code und Raumname, wie sie zur Gesprächszeit galten
• Beginn und Ende des Gesprächs
• ob die Echtheitsprüfung eingeschaltet war und mit welcher Empfindlichkeit
• je teilnehmender Person: der selbst gewählte Anzeigename (Ziff. 4.3), die Rolle im Raum, der Zeitpunkt des Beitritts und des Verlassens
• je teilnehmender Person, sofern die Prüfung lief: wie viele Messungen beantwortet und wie viele verpasst wurden, ob es zwischendurch einen Zweifel gab, und wie es ausging („unauffällig", „auffällig" oder „nicht messbar")
• je teilnehmender Person, sofern der Gastgeber um Mitwirkung gebeten hat: wie oft das geschah und wie oft die Person selbst „erledigt" gemeldet hat. Kein Urteil, sondern zwei Zahlen: Die Differenz kann ebenso heißen, dass der Gastgeber die Ausführung längst gesehen und die Runde vorzeitig beendet hat. Wer mehr wissen will, fragt den Menschen, der zugesehen hat
• je teilnehmender Person, sofern eine Regie-Ansicht mitgesehen hat (Ziff. 4.7): ob sie der Übertragung zugestimmt hat, ob sie nicht zugestimmt hat, oder ob in ihrem Beisein gar keine lief. Drei Angaben und nicht zwei, weil „nicht gefragt" etwas anderes ist als „nicht zugestimmt": Stünde beides gleich da, läse sich jedes Gespräch ohne Regie-Ansicht so, als hätten alle abgelehnt

Nicht gespeichert wird, was ein Gespräch ausmacht: kein Bild, kein Ton, keine Aufnahme, keine Chat-Nachricht, kein Klarname, keine E-Mail-Adresse und keine IP-Adresse der Teilnehmenden. Das Protokoll sagt, dass und wie lange jemand dabei war, nicht, was gesprochen wurde. Seit dem 21. August 2026 sagt es eine Sache mehr, und wir nennen sie hier ausdrücklich, weil sie von anderer Art ist als alles darüber: wie Sie sich zur Regie-Ansicht entschieden haben. Das ist eine Willenserklärung und keine Anwesenheit. Sie steht dort, weil eine Einwilligung, die niemand nachweisen kann, ihren Zweck verfehlt (Art. 7 Abs. 1 DSGVO) - und weil ohne diesen Vermerk gerade die Ablehnung spurlos bliebe.

Das Dokument nennt Ausstellerin und Standort, damit erkennbar ist, wer es ausgestellt hat und wo die Daten lagen. Es ist nicht signiert: Wir sichern nicht zu, dass sich eine nachträgliche Änderung daran erkennen lässt.

Die Grenzen der Prüfung stehen im Dokument selbst. Jedes Protokoll führt sie im Wortlaut auf; sie kommen aus dem Server und gehen mit jedem Blatt hinaus. Was dort steht, gilt, und nicht diese Zusammenfassung: Ein Nachweis, der mehr behauptet als die Software leistet, wäre gegen die gerichtet, über die er ausgestellt ist.

Transparenz: Ob für einen Raum ein Protokoll geführt wird, sehen Sie vor dem Beitritt auf der Beitrittsseite, so wie bei der Echtheitsprüfung und bei einer Aufnahme. Wenn Sie damit nicht einverstanden sind, treten Sie dem Raum bitte nicht bei.

Abruf und Löschung: Das Protokoll ist ausschließlich über das Konto des Gastgebers abrufbar. Nach 180 Tagen löschen wir es automatisch, samt allen Teilnahme-Einträgen; früher löschen kann das Konto jederzeit selbst.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse des Gastgebers, den Ablauf und das Ergebnis der Prüfung nachweisen zu können, etwa in einem Bewerbungsverfahren). Wir haben Ihr Interesse dagegen abgewogen: Das Protokoll enthält keinen Gesprächsinhalt, keinen Klarnamen und keine Kennung, die Sie über dieses eine Gespräch hinaus wiedererkennbar macht; die Teilnehmer-Kennung ist zufällig und gilt nur für dieses Gespräch. Sie erfahren vor dem Beitritt, dass ein Protokoll geführt wird. Sie können der Verarbeitung nach Art. 21 Abs. 1 DSGVO widersprechen; die Anschrift dafür steht in Ziff. 1, Ihre weiteren Rechte in Ziff. 12.

4.6 Mitschrift einer Aufnahme (Transkript)

Aus einer bestehenden Aufnahme kann das Konto, dem sie gehört, eine schriftliche Mitschrift erstellen lassen. Sie entsteht nicht von selbst: Es gibt einen Knopf, und ohne ihn wird nichts geschrieben.

• Sie entsteht auf unserem eigenen Server. Der Ton geht dafür an keinen fremden Dienst und verlässt Deutschland nicht. Es kommt kein weiterer Auftragsverarbeiter hinzu (Ziff. 9 bleibt unverändert).
• Wer spricht, kommt aus der Tonspur, nicht aus der Stimme. Jede Person hat im Mitschnitt ihre eigene Spur, und daraus ergibt sich die Zuordnung. Wir erkennen niemanden an der Stimme; eine Stimmerkennung wäre eine Verarbeitung besonderer Kategorien (Art. 9 DSGVO) und findet nicht statt.
• Sie ist maschinell geschrieben und nicht wortgetreu. Die Mitschrift ist eine Hilfe, kein Wortprotokoll. Das steht auch in der Oberfläche über jeder Mitschrift.
• Sie liegt verschlüsselt neben der Aufnahme, mit deren Datenschlüssel, und ist ausschließlich über dasselbe Konto abrufbar. Entschlüsselt wird sie erst im Browser der abrufenden Person; unser Dienst reicht sie verschlüsselt durch.
• Keine Auswertung. Wir erstellen aus der Mitschrift keine Zusammenfassung, keine Stimmungs- oder Persönlichkeitsanalyse und keine Bewertung von Antworten. Sie ist eine Mitschrift und sonst nichts (siehe auch Ziff. 11).

Zwei Wege, zwei Fristen:

1. Mitschrift neben der Aufnahme. Sie teilt Frist und Löschung mit der Aufnahme: Nach 30 Tagen geht beides zusammen, und wer die Aufnahme früher löscht, löscht die Mitschrift mit.
2. Mitschrift statt Aufnahme. Auf ausdrücklichen Wunsch löschen wir die Aufnahme, sobald die Mitschrift fertig ist. Bild und Ton sind dann nach Minuten weg statt nach 30 Tagen; es bleiben die Mitschrift und das Zustimmungsprotokoll. Für diese Mitschrift gilt dann eine eigene Frist von 30 Tagen ab ihrer Erstellung; früher löschen kann das Konto jederzeit selbst. Scheitert die Mitschrift, bleibt die Aufnahme unangetastet.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO. Die Mitschrift ist von derselben Einwilligung gedeckt wie die Aufnahme, aus der sie entsteht: Der Zustimmungstext im Raum nennt sie ausdrücklich, bevor zugestimmt wird. Ohne rechtmäßige Aufnahme gibt es keine Mitschrift, und ein Widerruf der Aufnahme-Einwilligung wirkt auf beides.

Was es hier nicht gibt: Wir schreiben nicht mit, wenn nicht aufgenommen wird. Ein Gespräch ohne Aufnahme hinterlässt keinen Ton und keinen Text.

4.7 Regie-Ansicht (Übertragung aus dem Raum hinaus)

Ein Gastgeber kann eine Regie-Ansicht öffnen. Das ist ein stiller Zuschauer: Er sendet weder Bild noch Ton und kann im Raum nichts tun. Wozu es ihn gibt: Der Gastgeber bindet diese Ansicht in seine eigene Technik ein, etwa in eine Streaming-Software, und trägt das Gespräch damit nach außen – live, aufgezeichnet, öffentlich oder in einen geschlossenen Kreis. Das ist der Zweck, und deshalb steht dieser Abschnitt hier und nicht bei der Übertragung im Raum (Ziff. 4.1).

Ohne Ihre Einwilligung erreicht die Regie-Ansicht nichts von Ihnen. Solange Sie nicht zugestimmt haben, hält unser Server Ihr Bild und Ihre Stimme von ihr zurück; im Raum selbst ändert sich dabei nichts, das Gespräch läuft für alle Anwesenden normal weiter. Dass beides zurückgehalten wird und nicht nur das Bild, ist Absicht: Wer einer Übertragung widerspricht, meint sich ganz, und das gesprochene Wort ist gesondert geschützt (§ 201 StGB).

Sie erfahren es, bevor es Sie betrifft. Sobald eine Regie-Ansicht mitsieht, zeigt der Raum es dauerhaft an, und Sie werden gefragt. Ihre Antwort können Sie jederzeit zurücknehmen (Art. 7 Abs. 3 DSGVO); mit dem Widerruf hört die Übertragung Ihrer Person sofort auf. Verlässt die Regie-Ansicht den Raum, verfallen alle Einwilligungen: Die nächste Übertragung ist eine neue Frage.

Der Weg ist der Konferenzserver. Ein Raum mit Regie-Ansicht läuft immer über ihn, auch mit zwei Personen. Was das bedeutet, steht in Ziff. 4.1 unter „Was der Konferenzserver bedeutet": Die Transportverschlüsselung endet auf unserem Server, der Inhalt ist für uns technisch zugänglich. Anders geht es nicht – ein Riegel, der die Bilder erst im Programm des Zuschauers ausblendet, wäre keiner.

Wohin es von dort geht, wissen wir nicht. Wir liefern die Ansicht an das Programm des Gastgebers aus. Was er damit tut, entscheidet er: Ob er sendet, wohin, für wen und wie lange, sehen wir nicht und speichern wir nicht. Für diese weitere Verarbeitung ist der Gastgeber verantwortlich, nicht wir. Bei uns entsteht dabei keine Kopie: Wir zeichnen die Regie-Ansicht nicht auf (eine Aufnahme ist etwas anderes und steht in Ziff. 4.4).

Wer zusieht, entscheidet der Gastgeber. Er kann den Zugang auch jemandem geben, der sonst nicht am Gespräch beteiligt ist, etwa einer Produktionsfirma. Wir prüfen nicht, wer ihn nutzt. Ihre Einwilligung gilt deshalb der Übertragung als solcher, nicht einer bestimmten Person am anderen Ende. Wollen Sie wissen, wer mitsieht, fragen Sie den Gastgeber; wir können es Ihnen nicht sagen.

Was wir festhalten, ist allein Ihre Entscheidung, und auch das nur, wenn für das Gespräch ein Protokoll geführt wird (Ziff. 4.5): dass Sie zugestimmt haben, dass Sie nicht zugestimmt haben, oder dass in Ihrem Beisein gar keine Regie-Ansicht lief. Der Vermerk ist der Nachweis nach Art. 7 Abs. 1 DSGVO und teilt Frist und Löschung mit dem Protokoll.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Ihre Einwilligung). Ohne sie findet die Übertragung Ihrer Person nicht statt.

5. Echtheitsprüfung („Liveness“)

Gastgeber können für einen Raum eine Echtheitsprüfung aktivieren. Sie prüft die Lichtantwort: ob das Kamerabild auf einen Reiz reagiert, den nur ein wirklich vor dem Bildschirm sitzender Mensch im selben Augenblick tragen kann. Sie ist damit ein Anhaltspunkt dafür, ob am anderen Ende jemand live anwesend ist – kein Nachweis und keine Erkennung synthetischer Medien. Ein Ergebnis „unecht“ gibt es nicht; die Prüfung meldet dem Gastgeber begründeten Zweifel, entscheiden tut ein Mensch (Ziff. 11).

So funktioniert sie: Der Bildschirm gibt einen zufälligen, kaum wahrnehmbaren Lichtreiz aus, derzeit als wandernden Schein. Ihr Browser misst lokal, wie stark und wann Ihr Gesicht diesen Reiz zurückwirft, dazu abgeleitete Kennwerte des Audiosignals (z. B. Frequenzmerkmale) und der Verbindungsqualität. Soweit der Raum dafür auf dem Konferenzserver läuft, erreichen Bild und Ton unsere Server wie in Ziff. 4.1 beschrieben flüchtig im Arbeitsspeicher; die Echtheitsprüfung speichert daraus aber kein Bild, keinen Videoausschnitt und keine Tonaufnahme. Aus den Messdaten wird ein fortlaufender Vertrauenswert berechnet, den ausschließlich der Gastgeber sieht.

Der vorstehende Satz ist eine Aussage über die Speicherung durch die Echtheitsprüfung, nicht über den Medienweg des Gesprächs insgesamt. Ihr Kamera- und Mikrofonsignal nimmt den Weg aus Ziff. 4.1: Läuft ein Raum über den Konferenzserver, erreichen Bild und Ton unsere Server sehr wohl, und bei einer Aufnahme nach Ziff. 4.4 werden sie dort auch gespeichert.

Was sie nicht kann: Kann Ihr Gerät gerade nicht messen – etwa weil der Browser im Hintergrund läuft oder die Bildrate zu niedrig ist –, gilt das ausdrücklich nicht als Verdacht; die betroffenen Signale werden aus der Bewertung genommen.

Auch die Messung in Ihrem Browser ist eine Datenverarbeitung, für die wir verantwortlich sind. Soweit die Prüfung nur lokal misst, verlassen die Rohdaten, also Kamerabild und Ton, Ihr Gerät dafür nicht; auf dem Konferenzserverweg gilt zusätzlich Ziff. 4.1.

Wichtig: Die Kennwerte ermöglichen keine eindeutige Identifizierung einer Person und werden nicht mit Referenzdaten abgeglichen; es handelt sich daher nicht um biometrische Daten im Sinne von Art. 4 Nr. 14, Art. 9 Abs. 1 DSGVO. Sie werden weder zur Identifizierung verwendet noch in einer dafür geeigneten Form gespeichert. Die Werte beziehen sich allein auf die laufende Sitzung und werden mit deren Ende gelöscht. Eine Ausnahme gibt es, und nur diese eine: Wurde für den Raum ein Gesprächsprotokoll eingeschaltet (Ziff. 4.5), bleiben je Person vier abgeleitete Angaben erhalten, nämlich die Zahl der beantworteten und der verpassten Messungen, ob es zwischendurch einen Zweifel gab, und wie es ausging. Die Kennwerte selbst, aus denen sie entstanden sind, bleiben auch dann nicht gespeichert.

Zur Abgrenzung, weil zwei Regelwerke hier verschiedene Fragen stellen. Art. 4 Nr. 14 DSGVO fragt, ob Daten eine natürliche Person eindeutig identifizieren – das leisten diese Kennwerte nicht, und darauf bezieht sich der vorstehende Absatz. Die Datenschutzangaben, die App-Stores von uns verlangen, fragen etwas anderes: ob Daten an eine Identität oder ein Gerät geknüpft sind. In diesem zweiten Sinn sind die Kennwerte während des Gesprächs sehr wohl zugeordnet – sie gehören zu Ihrem Teilnehmer-Eintrag in diesem Raum, sonst könnte der Gastgeber sie niemandem zuordnen. Fällt die Antwort in einem App-Store anders aus als hier, ist das deshalb kein Widerspruch, sondern eine andere Frage: Zuordnung innerhalb einer Sitzung ist keine Identifizierung.

Transparenz: Ob die Prüfung in einem Raum aktiv ist, sehen Sie vor dem Beitritt auf der Beitrittsseite. Wenn Sie damit nicht einverstanden sind, treten Sie dem Raum bitte nicht bei.

Rechtsgrundlage: Der Zugriff auf Kamera- und Mikrofonsignale Ihres Geräts zur lokalen Messung erfolgt auf Grundlage Ihrer Einwilligung (§ 25 Abs. 1 TDDDG). Diese erteilen Sie, indem Sie einem Raum mit aktivierter Prüfung nach dem Hinweis auf der Beitrittsseite beitreten; Sie können den Zugriff jederzeit beenden, indem Sie den Raum verlassen. Die Verarbeitung der an uns übermittelten Kennwerte stützen wir auf Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse des Gastgebers und der übrigen Teilnehmenden an der Integrität der Konferenz und dem Schutz vor Täuschung); die Prüfung ist auf abgeleitete Kennwerte beschränkt und damit das mildeste geeignete Mittel.

6. Benutzerkonto (optional)

Für die Nutzung ist kein Konto erforderlich. Legen Sie eines an, verarbeiten wir Ihre E-Mail-Adresse, Ihren Anzeigenamen und Ihr Passwort (gespeichert ausschließlich als salted Hash nach Stand der Technik, Argon2). Sitzungen werden über signierte Token verwaltet.

Dazu kommt, was Sie im Konto selbst anlegen oder auslösen:

• Ein Profilbild, wenn Sie eines hochladen. Es liegt als Datei auf unserem Server und lässt sich jederzeit wieder entfernen. Ohne Upload gibt es keines – ein aus Ihrer Adresse abgeleitetes Bild von einem fremden Dienst laden wir nicht nach.
• Token für Aktivierung und Passwort-Zurücksetzung. Beide gehen per E-Mail an Sie und sind kurz gültig (Aktivierung 48 Stunden, Zurücksetzen 2 Stunden); danach werden sie automatisch entfernt. Gespeichert wird nicht der Wert aus der E-Mail, sondern nur seine Prüfsumme. Setzen Sie Ihr Passwort über den Token zum Zurücksetzen neu, werden damit alle bestehenden Anmeldungen dieses Kontos ungültig – auf jedem Gerät, und dazu alle API-Token aus der Zeit davor. Das ist der Weg, ein Konto wieder allein in die eigene Hand zu bekommen; ausgelöst wird er von Ihnen, nicht von uns. Einen Schalter, mit dem wir Ihre Sitzungen von uns aus beendeten, hat die Anwendung nicht (Ziff. 13).
• API-Token, wenn Sie welche anlegen: ein von Ihnen vergebener Name, die erteilten Rechte, Ablauf und Widerruf sowie – gedrosselt geschrieben – der Zeitpunkt der letzten Benutzung. Der Token-Wert selbst wird nur als Prüfsumme gespeichert und ist nach dem Anlegen kein zweites Mal einsehbar. Widerrufene und abgelaufene Einträge bleiben in Ihrer Liste stehen, damit Sie sehen, was Sie widerrufen haben.
• Abo-Angaben, wenn Sie einen entgeltlichen Tarif buchen: Tarif, Status und die Kennungen, unter denen Sie bei Stripe geführt werden (Ziff. 9).

Ein Konto kann auch ohne Ihr Zutun im Einzelnen entstehen, nämlich bei der ersten Anmeldung über den Identitätsanbieter Ihres Unternehmens. Dann kommt die Adresse von dort, und das Passwort besteht aus Zufall und ist niemandem bekannt (Ziff. 6a).

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Konten werden auf Ihren Wunsch gelöscht (E-Mail genügt).

6.1 Adressbuch (Ihre Kontakte)

Im angemeldeten Bereich können Sie ein persönliches Adressbuch führen. Zu jedem Kontakt speichern wir genau das, was Sie eintragen: einen Namen, eine E-Mail-Adresse und wahlweise eine kurze Notiz. Diese Angaben betreffen andere Personen, nicht Sie – deshalb gilt hier Folgendes:

• Nur Sie sehen Ihre Kontakte. Sie sind Ihrem Konto zugeordnet und für andere Nutzende und für andere Konten desselben Unternehmens nicht abrufbar.
• Wir gleichen sie mit nichts ab. Insbesondere prüfen wir nicht, ob zu einer eingetragenen Adresse bei uns ein Konto besteht, und wir bilden aus Ihren Kontakten keine Verbindungen zwischen Personen.
• Wir verwenden sie nur, wenn Sie es auslösen – nämlich um auf Ihren Klick hin eine Einladung an diese Adresse zu senden (Ziff. 7). Es gibt keine Werbung, keine Erinnerungen und keinen automatischen Versand.
• Löschen heißt löschen. Entfernen Sie einen Kontakt, wird der Datensatz sofort und vollständig aus unserer Datenbank entfernt. Es gibt keinen Papierkorb und keine Aufbewahrungsfrist.
• Wenn das ganze Konto weg soll. Ein Konto löschen Sie nicht im Konto selbst – die Anwendung hat dafür keinen Weg –, sondern indem Sie es uns schreiben (hello@noacall.com, Ziff. 6). Wir führen die Löschung dann von Hand aus, und das Adressbuch gehört dazu. Von selbst geschieht es nicht: Ihre Kontakte hängen technisch nicht am Konto-Datensatz, sie tragen nur dessen Kennung; es gibt also nichts, was sie beim Entfernen des Kontos automatisch mitnähme. Wollen Sie darauf nicht warten, leeren Sie Ihr Adressbuch vorher selbst – jeder Kontakt, den Sie löschen, ist im selben Augenblick weg.

Wichtig zu Ihrer eigenen Rolle: Wenn Sie Angaben über andere Personen bei uns hinterlegen, sind Sie dafür verantwortlich, dass Sie das dürfen. Für private Kontakte greift in der Regel die Haushaltsausnahme (Art. 2 Abs. 2 lit. c DSGVO); nutzen Sie noacall beruflich, sind Sie oder Ihr Unternehmen für diese Verarbeitung verantwortlich, und wir verarbeiten die Daten insoweit in Ihrem Auftrag. Tragen Sie deshalb bitte nur ein, was Sie für die Kontaktaufnahme wirklich brauchen – die Notiz ist ein Freitextfeld und kein Ort für Gesundheits-, Bonitäts- oder Bewertungsangaben.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO – die Führung des Adressbuchs ist Teil der von Ihnen angeforderten Leistung. Betroffenenrechte der eingetragenen Personen (Auskunft, Löschung) richten sich bei beruflicher Nutzung an Sie als verantwortliche Stelle; erreicht uns eine solche Anfrage unmittelbar, leiten wir sie an Sie weiter und unterstützen bei der Erledigung.

6.2 Angemeldete Geräte und Push-Nachrichten

Diese Verarbeitung findet seit dem 22. August 2026 nicht mehr statt. Bis dahin konnte ein Anruf auf einem angemeldeten Telefon klingeln; dafür speicherten wir Plattform, den vom Gerät gemeldeten Namen und die Push-Marken, und für die Zustellung führte der Weg über einen Dienst der Apple Inc. in den USA.

Die iOS-App meldet seither kein Gerät mehr an, und kein anderes Programm tut es. Es entstehen keine neuen Push-Marken, und es geht nichts mehr an Apple. Der Abschnitt steht hier und ist nicht gelöscht, weil er beschreibt, was bis zu diesem Tag geschah; wer damals ein Gerät angemeldet hatte, soll nachlesen können, was das bedeutete.

Was von damals noch liegt, löschen wir: Zeilen ohne Zweck sind Zeilen ohne Rechtsgrundlage (Art. 5 Abs. 1 lit. e DSGVO).

Kommt das Klingeln zurück, kommt dieser Abschnitt in voller Länge zurück, bevor die Funktion wieder läuft, und nicht danach.

6a. Anmeldung über Ihr Unternehmen (SSO)

Bringt Ihr Unternehmen einen eigenen Identitätsanbieter mit (Entra ID, Okta, Auth0, Datargo ID und andere), können Sie sich damit bei uns anmelden. Für Sie ändert sich dabei mehr, als es aussieht, und deshalb steht es hier so genau:

Ihr Passwort bekommen wir nicht. Sie tippen es beim Anbieter Ihres Unternehmens ein, nicht bei uns. Unsere Anmeldeseite fragt zuerst nur Ihre E-Mail-Adresse und schickt Sie dann weiter; ein Passwortfeld erscheint bei uns erst, wenn für Ihre Domäne kein eigener Anbieter eingerichtet ist.

Der Anbieter ist der Ihres Unternehmens, nicht unserer. Er ist damit kein Auftragsverarbeiter von uns: Was dort geschieht – die Anmeldung selbst, ein zweiter Faktor, die Protokollierung – verantwortet Ihr Unternehmen. Von dort erhalten wir genau drei Angaben:

• Ihre E-Mail-Adresse samt der Bestätigung des Anbieters, dass sie Ihnen gehört;
• Ihren Anzeigenamen, wenn der Anbieter einen mitsendet;
• Ihre Kennung bei diesem Anbieter – eine Zeichenfolge, die dort für Sie steht und die wir nicht in eine andere Angabe zurückverwandeln können.

Daraus entsteht bei der ersten Anmeldung ein Konto bei uns (Ziff. 6), mit einem Passwort, das aus Zufall besteht und niemandem bekannt ist, auch uns nicht. Gab es zu Ihrer Adresse schon ein Konto mit Passwort, wird es verknüpft und nicht ersetzt; der Passwortweg bleibt bestehen.

Wir nehmen nur Adressen der eingerichteten Domäne an. Behauptet der Anbieter eines Unternehmens eine Adresse einer anderen Domäne, wird die Anmeldung abgelehnt. Ebenso, wenn der Anbieter die Adresse nicht selbst als bestätigt meldet.

Der Nachweis über die Domäne ist öffentlich sichtbar. Eine Anbindung wirkt erst, wenn im DNS Ihrer Domäne ein TXT-Eintrag mit einem Zufallswert von uns steht (`noacall-sso-verification=…`). DNS-Einträge kann jeder abfragen; der Wert selbst sagt nichts über Personen und dient nur dem Beleg, dass die Einrichtung von jemandem kommt, der über die Domäne verfügt. Fällt der Eintrag später weg, legen wir die Anbindung still, statt sie weiterlaufen zu lassen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO – ohne diese Verarbeitung gibt es keine Anmeldung. Eingerichtet wird eine Anbindung über den internen Verwaltungszugang (Ziff. 13), nicht durch einzelne Nutzende.

7. E-Mail-Versand

Wir versenden Transaktions-E-Mails (z. B. Willkommensnachricht, Sicherheitshinweise bei Passwortänderung, Einladungen zu Konferenzen) über eigene Mailserver. Unsere E-Mails enthalten keine Zählpixel und keine nachgeladenen Inhalte; wir erfassen nicht, ob oder wann Sie eine E-Mail öffnen.

Einladungs-E-Mails werden nur auf Veranlassung eines Teilnehmenden versendet. Die Empfängeradresse erhalten wir dabei vom Einladenden, nicht von der eingeladenen Person selbst; wir verwenden sie ausschließlich für den Versand dieser Einladung. Bei einer Einladung aus einem laufenden Gespräch heraus speichern wir die Adresse darüber hinaus nicht. Laden Sie dagegen aus Ihrem Adressbuch ein (Ziff. 6.1), bleibt die Adresse dort gespeichert, weil Sie sie selbst dort abgelegt haben – bis Sie den Kontakt löschen. Einladungs-E-Mails sind rein transaktional und enthalten keine Werbung. Für Einzelheiten zur Datenverarbeitung verweisen sie auf diese Erklärung.

Die persönliche Notiz in einer Einladung. Beide Einladungswege – aus dem Gespräch und aus dem Adressbuch – bieten ein Freitextfeld. Was Sie dort schreiben, geht als Ihr Text in die E-Mail an die eingeladene Person – abgesetzt vom übrigen Inhalt, damit es nicht wie eine Aussage von uns aussieht. Wir fügen nichts hinzu und formulieren nichts um; begrenzt ist allein die Länge, eine sehr lange Notiz wird gekürzt. Wir werten sie nicht aus, prüfen sie inhaltlich nicht und speichern sie nicht: Es wird für diesen einen Versand verwendet und danach nicht aufbewahrt. Weil hier ein von Ihnen verfasster Text zusammen mit der Adresse einer anderen Person durch unsere Systeme läuft, gilt dieselbe Bitte wie beim Adressbuch (Ziff. 6.1) – schreiben Sie in die Notiz nur, was der Anlass der Einladung wirklich verlangt.

Geplante Termine. Ein Konto kann ein Gespräch im Voraus ansetzen und dazu einladen. Anders als bei den beiden Wegen oben bleibt die Gästeliste dabei gespeichert, und zwar so lange wie der Termin: Titel, Beginn, Dauer, Zeitzone, der Raum und je eingeladener Person die Adresse samt Zustellstand („versandt", „nicht zustellbar"). Ohne diese Liste ließe sich weder eine Verschiebung noch eine Absage an dieselben Personen schicken – ein Kalender übernimmt eine Änderung nur, wenn sie von derselben Absenderin zum selben Termin kommt. Der Zustellstand beantwortet die häufigste Frage nach einem verpassten Termin, nämlich ob die Einladung überhaupt ankam.

Termin und Gästeliste werden 90 Tage nach dem Beginn automatisch gelöscht, gemeinsam und ohne Zutun. Das Gesprächsprotokoll liegt länger (180 Tage, Ziff. 4.5), weil es ein Nachweis über ein geführtes Gespräch ist; ein Termin ist eine Verabredung, und für die gibt es nach drei Monaten nichts mehr zu belegen. Wer früher löschen will, sagt den Termin ab und entfernt ihn im Konto.

Rechtsgrundlage: Für kontobezogene Transaktions-E-Mails Art. 6 Abs. 1 lit. b DSGVO; für Einladungs-E-Mails Art. 6 Abs. 1 lit. f DSGVO, wobei das berechtigte Interesse aus dem Kommunikationswunsch des Einladenden folgt.

8. Lokale Speicherung auf Ihrem Gerät

Diese Ziffer beschreibt, was auf Ihrem Gerät gespeichert wird. Das meiste davon bleibt liegen, wenn Sie die Seite oder die App schließen; wo das ausdrücklich nicht so ist, steht es unten dabei. An diese Ablagen kommt nur das Programm auf Ihrem Gerät heran – von unseren Servern aus lässt sich dort nichts auslesen. Unsere eigene Oberfläche ist allerdings genau so ein Programm: Sie liest, was sie braucht, und schickt es mit; Ihr Sitzungs-Token weist Sie damit bei jedem Aufruf im angemeldeten Bereich aus. „Bleibt auf Ihrem Gerät" heißt hier also: Es wandert nicht von selbst, sondern nur dort, wo diese Erklärung es sagt. Weil Web und App verschiedene Ablagen des Betriebssystems benutzen, sind beide einzeln aufgeführt.

Im Browser speichern wir wenige, rein funktionale Werte (localStorage/sessionStorage): den zuletzt verwendeten Anzeigenamen, Ihre Voreinstellungen beim Raum-Erstellen, die zuletzt gewählten Geräte (Kamera, Mikrofon, Lautsprecher), Ihre Einstellungen für Hintergrund und Bildwirkung, Ihre Wahl der Darstellung (hell/dunkel), Kachel-Anordnung und Teilnehmerliste sowie die Quittung, dass Sie den Hinweis auf ebendiese Speicherung gesehen haben. Sind Sie angemeldet, liegt dort außerdem Ihr Sitzungs-Token samt Anzeigename; es wandert bewusst nicht automatisch mit jeder Anfrage mit, sondern nur dort, wo es als Ausweis gebraucht wird. Der Gastgeber-Schlüssel eines von Ihnen erstellten Raums liegt nur im jeweiligen Tab und verschwindet mit dessen Schließen – er ist das eine Stück aus dieser Ziffer, das die Seite nicht überlebt. Eigene Hintergrundbilder legt der Browser als Dateien in einer lokalen Datenbank (IndexedDB) ab – sie werden dabei verkleinert und neu kodiert, wodurch auch enthaltene Aufnahmeorte verschwinden, und sie verlassen Ihr Gerät nur als Teil des fertigen Videobildes. Haben Sie im Sprachschalter eine Sprache gewählt, merkt sich ein funktionales Cookie („noa_lang“, ein Jahr) allein dieses Sprachkürzel. Ohne Auswahl entscheidet zuerst die Adresse, die Sie aufgerufen haben (eine Seite unter „/de“ ist deutsch), danach die Spracheinstellung Ihres Browsers.

Die App für iPhone, iPad und Mac ist noch nicht öffentlich zu haben. Sie ist gebaut und läuft, steht aber bislang nur in einem geschlossenen Test bereit; im App Store gibt es sie zum Stand dieser Erklärung nicht. Der folgende Absatz beschreibt sie trotzdem vollständig, damit er nicht erst nachgezogen werden muss, wenn sie erscheint. Bis dahin betrifft Sie allein der Absatz darüber.

In der App für iPhone, iPad und Mac gibt es diese Browser-Ablagen nicht; an ihre Stelle treten die des Betriebssystems. In den App-Einstellungen (`UserDefaults`) liegen der zuletzt verwendete Anzeigename und Ihre Einstellungen für Hintergrund und Bildwirkung. Eigene Hintergrundbilder legt die App als Dateien in ihrem eigenen Verzeichnis unter „Application Support“ ab. Sind Sie angemeldet, liegt Ihr Sitzungs-Token im Schlüsselbund des Geräts und bewusst nicht in den App-Einstellungen: Dort läge es als Klartext in einer Datei, die jedes Backup mitnimmt. Es ist an dieses eine Gerät gebunden und wandert deshalb weder in ein Backup noch auf ein neues Gerät. Löschen Sie die App, verschwindet alles davon mit ihr.

Diese Speicherung ist für den von Ihnen genutzten Dienst erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG) und erfolgt ohne Einwilligungsbanner, weil kein Tracking stattfindet. Im Browser können Sie die Werte jederzeit über die Browser-Einstellungen löschen; in der App über das Löschen der App. Melden Sie sich ab, entfernen wir das Sitzungs-Token in beiden Fällen sofort.

9. Auftragsverarbeiter und Empfänger

Unsere Server betreiben wir bei der OVH GmbH, Oskar-Jäger-Straße 173/K6, 50825 Köln, eingetragen im Handelsregister Saarbrücken unter HRB 15369, in deren Rechenzentren in Deutschland. Das gilt für die Konferenz- und Signalisierungsserver ebenso wie für den Objektspeicher, in dem Aufnahmen liegen (Ziff. 4.4). Der Auftragsverarbeitungsvertrag nach Art. 28 DSGVO besteht seit dem 5. August 2026.

Anbieter, Vertragspartner und Rechenzentren liegen damit sämtlich in der EU. Ein Drittlandbezug entsteht auf diesem Weg nicht, und Standardvertragsklauseln nach Art. 46 DSGVO brauchen wir dafür nicht. Was auf unseren Servern liegt, liegt in der EU; eine Speicherung dieser Daten außerhalb der EU ist nicht vorgesehen. Von den übrigen Empfängern dieser Ziffer gilt das nicht für Stripe, dazu unten. Die OVH GmbH gehört zur französischen OVH SAS.

Was wir für Aufnahmen tatsächlich eingerichtet haben. Ein Rechenzentrum in Deutschland ist eine Zusage über den Ort, nicht über den Zugriff. Deshalb nennen wir an dieser Stelle, was darüber hinaus eingerichtet ist, und zwar nur das:

• Standortbindung, erzwungen und nicht nur zugesagt. Für den Objektspeicher sind Endpunkt und Region Pflichtangaben ohne Voreinstellung: Fehlt die Region, startet der Dienst gar nicht erst, statt still in ein anderes Land zu schreiben. Eingetragen ist die Region Deutschland.
• Verschlüsselte Übertragung auf allen Wegen (TLS für Web und Signalisierung, DTLS-SRTP für Medien). Was sie leistet, steht in Ziff. 13. Was sie nicht leistet, gehört hierher: Sie schützt die Strecke, nicht die Maschine am Ende der Strecke – und die Maschine steht beim Anbieter.
• Aufnahmen verschlüsseln wir selbst, bevor sie den Server verlassen. Jede Aufnahme bekommt einen eigenen Datenschlüssel; er verschlüsselt die Mediendateien und das Zustimmungsprotokoll (AES-256-GCM), und aufgeschlossen wird erst wieder im Browser der Person, der die Aufnahme gehört. Dieser Datenschlüssel liegt verpackt neben der Aufnahme im Speicher – der Anbieter hat ihn also in Händen, aufbekommen kann er ihn nicht. Der Schlüssel, mit dem er verpackt ist, liegt allein auf unserem eigenen Rechenknoten; ihn geben wir dem Speicheranbieter nicht. Das hängt nicht an unserer Sorgfalt: Fehlt dieser Schlüssel, nimmt der Dienst gar nicht erst auf – der Aufnahmeknopf bleibt dann verweigert und sagt es. Eine unverschlüsselt abgelegte Aufnahme kann auf diesem Weg nicht entstehen.
• Wogegen diese Verschlüsselung nicht hilft, und das sagen wir deutlich. Sie schützt gegen jeden, der nur an den Speicher kommt: gestohlene Zugangsdaten, einen falsch geöffneten Bucket, die Datenträger und Sicherungen des Anbieters. Sie schützt nicht gegen jemanden, der zugleich an den Rechenknoten kommt, denn dort liegt der Schlüssel, mit dem die Aufnahme verpackt ist. Rechnen und Speichern stehen bei demselben Anbieter. Wer beides erreicht, bekommt die Aufnahmen. Diese Lücke lässt sich mit Verschlüsselung nicht schließen, sondern nur dadurch, dass Schlüssel und Aufnahme bei verschiedenen Unternehmen liegen; das ist derzeit nicht der Fall, und wir schreiben es hierher, statt es unter der Aufzählung verschwinden zu lassen.
• Der Anbieter verschlüsselt zusätzlich auf seiner Seite (AES-256). Wir haben das am 8. August 2026 gegen sein System geprüft; die Antwort des Speichers weist es aus. Das ist eine Lage obendrauf und kein Ersatz für die eigene: Diese Schlüssel verwaltet er selbst, gegen ihn schützt sie deshalb nicht. Was gegen ihn schützt, steht im Absatz darüber.
• Keine Versionierung, keine Aufbewahrungssperre. Beides ist am Speicher abgeschaltet. Wäre es an, würde ein Löschbefehl nur eine Markierung setzen und die Daten lägen weiter da; die Löschfristen aus Ziff. 10 wären dann eine Behauptung statt einer Tatsache.
• Unverschlüsselt bleiben die Bezeichnungen der abgelegten Objekte. Verschlüsselt ist der Inhalt eines Objekts, nicht der Name, unter dem es liegt. Wer die Ablage einsehen kann, liest daraus den Raum-Code, wie viele Teilnehmende aufgenommen wurden und ob – und wie oft – dabei ein Bildschirm geteilt wurde; aus Zahl und Größe der Teilstücke lässt sich außerdem der Umfang und damit ungefähr die Dauer der Aufnahme abschätzen. Nicht darin stehen der Raumname, die Anzeigenamen der Teilnehmenden, E-Mail-Adressen oder irgendein Stück Gesprächsinhalt: Die Teilnehmenden erscheinen als zufällige Kennungen, die nur für dieses eine Gespräch gelten.
• Datensparsamkeit und kurze Fristen. Was dauerhaft entsteht, steht mit seiner Frist in Ziff. 10 und verschwindet zu der dort genannten Frist. Ohne eine Aufnahme nach Ziff. 4.4 entsteht von einem Gespräch überhaupt keine Datei.
• Enge Zugriffswege. Produktionszugriff nur für das erforderliche Personal; der interne Verwaltungszugang ist auf namentlich benannte Personen beschränkt und protokolliert (Ziff. 13); Download-Links zu Aufnahmen laufen nach kurzer Zeit ab – voreingestellt sind zehn Minuten, länger als eine Stunde lässt der Dienst nicht zu. Passwörter liegen ausschließlich als Argon2-Hash.
• Auf zwei der drei Übertragungswege erreicht uns der Gesprächsinhalt nicht. In der Direktverbindung und über den Relay-Server (Ziff. 4.1) kommt bei unseren Servern kein entschlüsselbarer Medieninhalt an; den Inhalt dieser Gespräche gibt ein Zugriff auf die Maschine deshalb nicht her. Die Umstände gibt er sehr wohl her: Dieselben Server vermitteln die Signalisierung und sehen dabei IP-Adressen, wer mit wem in welchem Raum ist, Zeitpunkte und Dauer sowie die Aushandlungsdaten der Medienverschlüsselung.

Und die Lücken, die wir nicht verschweigen. An zwei Stellen liegen Daten im Ruhezustand unverschlüsselt: Der Raum-Chat liegt in unserer Datenbank im Klartext, und auf dem Weg über den Konferenzserver liegen die Medien für die Dauer der Weiterleitung unverschlüsselt in dessen Arbeitsspeicher (Ziff. 4.1). Beides hängt nicht daran, wie gut Aufnahmen verschlüsselt sind; es sind andere Wege. Ob ein Anbieter seine Datenträger auf eigener Ebene verschlüsselt, ist im Übrigen eine Zusage von ihm, die wir nicht nachprüfen können. Wir geben sie nicht als unsere weiter.

Wie es zum Stand dieser Erklärung tatsächlich aussieht. Der Objektspeicher ist seit dem 8. August 2026 eingerichtet, mit den hier beschriebenen Einstellungen. Bis zu diesem Tag gab es ihn nicht: Der Aufnahmeknopf war in Produktion verweigert, und es existierte keine einzige Aufnahme. Was oben über die Verschlüsselung von Aufnahmen steht, beschrieb bis dahin einen künftigen Zustand. Ab jetzt beschreibt es den laufenden Betrieb.

Wir halten das alles hier fest, weil eine Maßnahme nur zählt, wenn es sie gibt. Bis zum 7. August 2026 standen an dieser Stelle zwei Angaben, die diesem Anspruch nicht standhielten: die verschlüsselte Übertragung, die gegen einen Zugriff beim Anbieter der Maschine nichts ausrichtet, und eine Zusage über Medienströme, die seit der Einführung der Aufnahmefunktion nicht mehr zutraf. Beide sind ersetzt durch die Aufzählung oben und diese Absätze.

Support-Chat – bei uns selbst, nicht bei einem fremden Anbieter. Das Chat-Fenster auf unseren Seiten wird von crm.datargo.com nachgeladen. Das ist eine andere Adresse, aber derselbe Betreiber: Der Server gehört der Datargo GmbH und steht unter unserer eigenen Verantwortung. Weil das Fenster von dort kommt, erreicht Ihre IP-Adresse beim Laden diesen Server – wie bei jedem Abruf im Netz. Sie erreicht damit aber niemanden außer uns, und das ist der Grund für diese Bauweise: Hätten wir einen der üblichen Chat-Anbieter eingekauft, gingen die Verbindungsdaten jedes einzelnen Besuchs an ein fremdes Unternehmen. Einen Auftragsverarbeiter oder Empfänger gibt es hier deshalb nicht – mit sich selbst schließt niemand einen Vertrag nach Art. 28 DSGVO. Auf den Rechtsseiten und im laufenden Gespräch laden wir das Fenster gar nicht erst. Schreiben Sie uns dort, verarbeiten wir Ihre Nachricht und die technischen Verbindungsdaten zur Beantwortung Ihrer Anfrage (Art. 6 Abs. 1 lit. f DSGVO).

Zahlungsabwicklung. Buchen Sie einen entgeltlichen Tarif, führt der Bezahlvorgang zu Stripe. Zahlungsdaten geben Sie ausschließlich dort ein; Kartennummern erreichen unsere Server zu keinem Zeitpunkt. Wir übermitteln an Stripe Ihre E-Mail-Adresse, eine interne Kennung Ihres Kontos und den gebuchten Tarif und erhalten zurück, ob das Abonnement läuft. Rechnungs- und Steuerdaten liegen bei Stripe. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Durchführung des Vertrags).

Push-Nachrichten an Apple-Geräte: entfallen. Bis zum 22. August 2026 führte der Weg für ein klingelndes Telefon über einen Dienst der Apple Inc., One Apple Park Way, Cupertino, Kalifornien, USA, und das war eine Übermittlung in ein Drittland. Seit dem 22. August 2026 gibt es diese Funktion nicht mehr (Ziff. 6.2), und damit keine Übermittlung an Apple. Übrig bleiben als Empfänger die beiden oben genannten.

Darüber hinaus geben wir personenbezogene Daten nur weiter, wenn wir gesetzlich dazu verpflichtet sind.

10. Speicherdauern im Überblick

11. Keine automatisierte Entscheidungsfindung, keine Pflicht zur Bereitstellung

Eine automatisierte Entscheidungsfindung einschließlich Profiling im Sinne von Art. 22 DSGVO findet nicht statt. Auch der Vertrauenswert der Echtheitsprüfung (Ziff. 5) führt zu keiner automatisierten Entscheidung: Über etwaige Konsequenzen, zum Beispiel den Ausschluss aus einem Raum, entscheidet allein der menschliche Gastgeber.

Sie sind weder gesetzlich noch vertraglich verpflichtet, uns personenbezogene Daten bereitzustellen. Ohne die jeweils genannten Daten können Sie den Dienst allerdings unter Umständen nicht oder nur eingeschränkt nutzen: ohne Kamera- und Mikrofonfreigabe etwa keine Übertragung, ohne E-Mail-Adresse kein Konto.

12. Ihre Rechte

Sie haben gegenüber uns das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18) und Datenübertragbarkeit (Art. 20). Soweit eine Verarbeitung auf Ihrer Einwilligung beruht, können Sie diese jederzeit mit Wirkung für die Zukunft widerrufen. Wenden Sie sich dazu formlos an hello@noacall.com.

Widerspruchsrecht (Art. 21 DSGVO): Soweit wir Daten auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO verarbeiten, haben Sie das Recht, aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit Widerspruch gegen diese Verarbeitung einzulegen. Das betrifft die Server-Protokolle (Ziff. 3), die Echtheitsprüfung (Ziff. 5) und Einladungs-E-Mails (Ziff. 7). Wir verarbeiten die betroffenen Daten dann nicht mehr, es sei denn, wir können zwingende schutzwürdige Gründe nachweisen, die Ihre Interessen, Rechte und Freiheiten überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen. Für den Widerspruch genügt eine E-Mail an hello@noacall.com.

Außerdem haben Sie das Recht auf Beschwerde bei einer Datenschutz-Aufsichtsbehörde (Art. 77 DSGVO). Für uns zuständig ist der Hessische Beauftragte für Datenschutz und Informationsfreiheit (HBDI), Gustav-Stresemann-Ring 1, 65189 Wiesbaden.

13. Datensicherheit

Alle Verbindungen sind verschlüsselt (TLS für Web und Signalisierung, DTLS-SRTP für Medienströme). Passwörter speichern wir ausschließlich als Hash. Der Zugriff auf Produktionssysteme ist auf das erforderliche Personal beschränkt.

Das ist eine Aussage über die Übertragung. Im Ruhezustand gilt sie nicht überall: Wo gespeicherte Daten heute unverschlüsselt liegen und warum, steht in Ziff. 9. Wir führen es dort und nicht hier auf, weil es zur Bewertung des Anbieters gehört, bei dem unsere Maschinen stehen; verschwiegen wird es an keiner der beiden Stellen.

Für Betrieb und Support unterhalten wir einen internen Verwaltungszugang. Er besteht aus zwei Listen und einer Einrichtungsmaske:

• die Kundenliste: interne Kontokennung, E-Mail-Adresse, Anzeigename, ob die Adresse bestätigt ist, ob dieses Konto selbst den Verwaltungszugang hat, sowie der freigeschaltete Tarif und der Abo-Status;
• der Abo-Spiegel: dasselbe Konto (Kennung und E-Mail-Adresse), Tarif, Status, Abrechnungszeitraum samt Ende, die Kennung, unter der das Konto bei Stripe geführt wird, und ob daraus unbegrenzte Sitzungen folgen.

Die beiden Listen sind reine Ansichten – ändern lässt sich über sie nichts. Der Passwort-Hash wird auch dort nicht mit ausgegeben.

Seit dem 11. August 2026 kommt eine dritte Ansicht hinzu, und sie ist keine reine Ansicht mehr: die Einrichtung der Unternehmens-Anmeldung (Ziff. 6a). Darin richten wir für ein Unternehmen, das seinen eigenen Identitätsanbieter mitbringt, die Anbindung ein, prüfen den Nachweis über die Domäne und schalten sie scharf oder still. Was dort steht, sind Angaben über ein Unternehmen und nicht über einzelne Menschen: die E-Mail-Domäne, die Adresse des Identitätsanbieters, die Kennung, unter der wir dort geführt werden, der Nachweiswert für den DNS-Eintrag, sowie wann die Anbindung nachgewiesen und ob sie stillgelegt wurde. Dazu die Kontokennung derjenigen Person bei uns, die sie eingerichtet hat.

Das dort hinterlegte Geheimnis des Identitätsanbieters wird verschlüsselt gespeichert und von keiner Ansicht und keiner Schnittstelle zurückgegeben, auch nicht gekürzt. Wer es ersetzen will, trägt ein neues ein; auslesen kann es niemand.

Diese Maske verändert nichts an Konten und nichts an laufenden Gesprächen. Was sie bewirkt, ist eine Aussage darüber, welcher Anmeldeweg für eine Domäne gilt – und weil das eine folgenreiche Aussage ist, wirkt eine Anbindung erst, wenn der DNS-Eintrag unter der Domäne unseren Nachweiswert trägt (Ziff. 6a). Ohne diesen Nachweis bleibt sie unwirksam, gleich wer sie eingetragen hat.

Über diesen Zugang gibt es zu laufenden Gesprächen keine Ansicht. Das ist mehr, als bis zum 7. August 2026 an dieser Stelle stand: Nicht nur Gesprächsinhalte, Chat-Nachrichten, Aufnahmen und die Namen einzelner Teilnehmender sind über diesen Zugang nicht zugänglich, sondern ebenso wenig der Raum-Code, die Teilnehmerzahl und die Dauer eines laufenden Gesprächs. Ein Beitritt zu einem laufenden Gespräch ist darüber erst recht nicht möglich. Die frühere Zusage, über den Zugang seien Kennzahlen zu laufenden Gesprächen abrufbar, beschrieb eine Ansicht, die es nie gegeben hat; sie ist gestrichen. Was unsere Server im Betrieb ohnehin sehen – wer mit wem in welchem Raum ist, Zeitpunkte und Dauer –, steht in Ziff. 9; dieser Zugang macht davon nichts sichtbar.

Auch bestehende Anmeldungen beendet über diesen Zugang niemand: Einen Schalter, mit dem wir Ihre Sitzungen von uns aus beendeten, hat die Anwendung nicht. Wer sein Konto wieder allein in die eigene Hand nehmen will, setzt dazu sein Passwort zurück (Ziff. 6).

Der Zugang wird nicht über die Anwendung vergeben – es gibt keine Maske, die ihn erteilt oder entzieht –, ist auf namentlich benannte Personen beschränkt, und jeder Zugriff darüber wird protokolliert, auch der bloß lesende.

14. Änderungen

Wir passen diese Erklärung an, wenn sich der Dienst oder die Rechtslage ändert. Es gilt die jeweils hier veröffentlichte Fassung; das Stand-Datum oben zeigt die letzte Änderung.