Datenschutzerklärung

1. Verantwortlicher

Ein Datenschutzbeauftragter ist nicht bestellt; die Voraussetzungen des Art. 37 DSGVO und § 38 BDSG liegen nicht vor.

2. Wenn du ein Bild verarbeiten lässt

Das ist der eigentliche Zweck des Dienstes, und dabei passiert Folgendes:

• Dein Browser verkleinert das Bild bereits vor dem Hochladen. Es verlässt dein Gerät also kleiner, als es aufgenommen wurde.
• Auf dem Server läuft zuerst eine lokale Texterkennung. Sie kommt ohne Internet aus, das Bild bleibt dabei auf der Maschine.
• Reicht das Ergebnis nicht, geht das Bild zusammen mit dem Rohtext an ein Sprachmodell von Anthropic, das die Erkennung korrigiert. Dieser zweite Schritt ist der Grund für die Qualität — und der einzige Punkt, an dem dein Bild den Server verlässt.
• Das Ergebnis geht an deinen Browser. Danach ist das Bild aus dem Speicher.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO — die Verarbeitung ist genau die Leistung, die du angefordert hast.

Empfänger: Anthropic

Für den zweiten Schritt setze ich Anthropic als Auftragsverarbeiter ein. Vertragspartner für Kunden im Europäischen Wirtschaftsraum ist

Es besteht ein Auftragsverarbeitungsvertrag; er ist Bestandteil der Commercial Terms of Service und enthält die EU-Standardvertragsklauseln für Übermittlungen in Drittländer. Eine Verarbeitung in den Vereinigten Staaten findet statt.

Nach den Angaben von Anthropic gilt für so übermittelte Inhalte:

• Sie werden nicht zum Training von Modellen verwendet — die Commercial Terms schließen das ausdrücklich aus.
• Sie werden im Regelfall binnen 30 Tagen gelöscht.
• Schlägt die automatische Missbrauchsprüfung an, verlängert sich das auf bis zu zwei Jahre, Prüfbewertungen können bis zu sieben Jahre aufbewahrt werden. Das steht hier, weil es zutrifft — auch wenn es unwahrscheinlich ist, dass eine Rechnung oder ein Arbeitsblatt eine solche Prüfung auslöst.

Wenn du ein Dokument hast, das diese Verarbeitung nicht durchlaufen soll, lade es hier nicht hoch.

3. Wenn du ein Konto anlegst

Gespeichert werden dazu ausschließlich:

• deine E-Mail-Adresse,
• dein Passwort — nicht im Klartext, sondern als Argon2-Prüfwert. Aus ihm lässt sich das Passwort nicht zurückrechnen;
• der Zeitpunkt der Registrierung, der Bestätigung und des letzten Besuchs, sowie dein Tarif.

Für die Bestätigungsmail und das Zurücksetzen des Passworts entstehen Einmal-Schlüssel. Auch von ihnen wird nur ein Prüfwert gespeichert, und sie verfallen nach 24 Stunden.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Speicherdauer: bis du das Konto löschen lässt — eine formlose Nachricht an kontakt@ocrer.de genügt.

Kontingent

Damit die Tarife funktionieren, wird je Konto und Tag eine Zahl geführt: wie viele Bilder verarbeitet wurden. Nicht wann im Einzelnen, nicht welche, nicht was darauf stand. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

4. Wenn du das Kontaktformular benutzt

Deine Nachricht, deine E-Mail-Adresse und, falls angegeben, dein Name werden unmittelbar per E-Mail an mich weitergeleitet und nirgendwo gespeichert — es gibt keine Datenbank dahinter. Was bleibt, ist die Mail in meinem Postfach; sie lösche ich, sobald die Anfrage erledigt ist.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Beantwortung von Anfragen).

5. Wenn du die Seite nur aufrufst

Wie jeder Webserver protokolliert auch dieser die Zugriffe: IP-Adresse, Zeitpunkt, aufgerufene Adresse, Statuscode, übertragene Datenmenge, Browserkennung und gegebenenfalls die verweisende Seite. Das dient dem Betrieb und der Erkennung von Angriffen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Berechtigtes Interesse ist ein funktionierender, gegen Missbrauch verteidigter Dienst. Speicherdauer: die Protokolle werden fortlaufend überschrieben und spätestens nach 14 Tagen gelöscht.

Missbrauchsbremse

Damit niemand den Dienst durch massenhafte Anfragen lahmlegt oder Kosten verursacht, wird gezählt, wie viele Anfragen von einer Adresse kommen. Dafür wird die IP-Adresse nicht gespeichert, sondern nur ein gesalzener Prüfwert daraus — eine Zeichenkette, die sich nicht zurückrechnen lässt. Die Einträge werden nach Ablauf des Zeitfensters gelöscht, spätestens nach einer Stunde. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO.

6. Nutzungsstatistik ohne Personenbezug

Über jede Verarbeitung wird eine Zeile geschrieben, damit ich sehe, ob der Dienst gut funktioniert und was er kostet. Diese Zeile enthält:

• Zeitpunkt und Tag,
• welcher Weg gewählt wurde (nur lokale Erkennung oder auch der Korrektur-Schritt),
• Anzahl der Zeichen und Zeilen, erkannte Sicherheit, Dauer,
• verbrauchte Token und Bildgröße in Pixeln.

Was nicht darin steht: keine IP-Adresse, keine Kontonummer, kein Dateiname, kein Gerät — und vor allem nicht der erkannte Text. Aus einer solchen Zeile lässt sich weder eine Person noch ein Dokument rekonstruieren. Sie hat damit keinen Personenbezug und fällt nicht unter die DSGVO. Ich nenne sie hier trotzdem, weil das Verschweigen der Zusage widerspräche.

7. Cookies

Es werden zwei Cookies gesetzt, beide erst nach einer Anmeldung:

• ocrer_session — merkt sich, dass du den Zugangscode eingegeben hast.
• ocrer_user — merkt sich, mit welchem Konto du angemeldet bist.

Beide enthalten keine Inhalte, sondern nur eine signierte Kennung, sind für JavaScript nicht lesbar (HttpOnly), werden nur über HTTPS übertragen und laufen nach 90 Tagen ab. Sie sind technisch erforderlich, um dich angemeldet zu halten — genau der Fall des § 25 Abs. 2 Nr. 2 TDDDG. Deshalb ist dafür keine Einwilligung nötig und es gibt kein Banner. Weitere Cookies gibt es nicht.

8. Hosting und Mailversand

Der Server steht in einem deutschen Rechenzentrum der STRATO GmbH, Pascalstraße 10, 10587 Berlin. Es besteht ein Auftragsverarbeitungsvertrag. Der Versand der Bestätigungs- und Kontaktmails läuft über denselben Server; ein externer Maildienst ist nicht eingebunden.

9. Deine Rechte

Du hast jederzeit das Recht auf

• Auskunft über die zu dir gespeicherten Daten (Art. 15 DSGVO),
• Berichtigung unrichtiger Daten (Art. 16 DSGVO),
• Löschung (Art. 17 DSGVO),
• Einschränkung der Verarbeitung (Art. 18 DSGVO),
• Datenübertragbarkeit (Art. 20 DSGVO),
• Widerspruch gegen Verarbeitungen, die auf einem berechtigten Interesse beruhen (Art. 21 DSGVO).

Eine formlose Nachricht an kontakt@ocrer.de genügt. Der Umfang ist überschaubar: außer deinem Konto liegt hier nichts über dich.

Beschwerde bei der Aufsichtsbehörde

Unabhängig davon kannst du dich bei einer Datenschutz-Aufsichtsbehörde beschweren (Art. 77 DSGVO). Zuständig ist:

10. Änderungen

Ändert sich etwas an der Verarbeitung, ändert sich diese Seite mit. Das Datum unten zeigt, wann das zuletzt der Fall war.

Stand: 3. August 2026