c-ray

Datenschutzerklärung

Stand: 18. Oktober 2026

1. Verantwortlicher

Andreas Mennel, Hellbrunnenstraße 9a, 6845 Hohenems, Österreich
E-Mail: info@cray.at

2. Überblick

c-ray ist eine Plattform, auf der Sie Web-Anwendungen im Dialog mit einem KI-System erstellen und betreiben. Dabei verarbeiten wir personenbezogene Daten in folgenden Bereichen: Ausprobieren ohne Konto, Konto und Anmeldung (auch über Google oder Microsoft), Ihre Konversationen und die daraus erstellten Anwendungen, der Verbrauch der KI-Modelle, technischer Betrieb (Server-Logs), das Kontaktformular sowie E-Mail-Kommunikation. Es findet kein Tracking statt — keine Analyse-Werkzeuge, keine Werbung, keine eingebundenen Inhalte Dritter (Schriftarten, Skripte o. Ä.). Eine automatisierte Entscheidungsfindung im Sinne von Art. 22 DSGVO findet nicht statt.

c-ray ist ein privates, unentgeltliches Projekt einer Einzelperson. Wir behandeln Ihre Daten nach bestem Wissen und Gewissen und so sparsam wie möglich; was wir dabei technisch tun, beschreibt diese Erklärung so genau wie möglich.

3. Konto und Anmeldung

Um eine Anwendung zu behalten, zu veröffentlichen oder länger daran zu arbeiten, brauchen Sie ein Konto. Verarbeitet werden E-Mail-Adresse, Anzeigename, Ihre Anmeldedaten (Passwort-Hash, Passkey-Schlüssel, ggf. der Schlüssel Ihrer Authenticator-App), per E-Mail versandte Bestätigungs- und Anmeldecodes sowie Ihre aktiven Anmeldesitzungen. Die Identitätsverwaltung erfolgt über eine selbst betriebene Instanz der Open-Source-Software Zitadel — Ihre Anmeldedaten verlassen unsere Infrastruktur nicht. Melden Sie sich mit Google oder Microsoft an, gilt zusätzlich Abschnitt 4. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).

Ausprobieren ohne Konto. Auf der Startseite können Sie eine erste Anwendung ohne Konto erstellen lassen. Dafür legen wir eine zufällige, nicht mit Ihrer Person verknüpfte Kennung an und speichern sie in einem Cookie (bis zu 30 Tage). Ihre Nachrichten und die entstehende Anwendung werden wie in Abschnitt 5 verarbeitet. Die Sitzung läuft 96 Stunden nach der letzten Nutzung ab; eine Anwendung, die Sie bis dahin nicht durch eine Registrierung übernommen haben, wird automatisch gelöscht. Zur Missbrauchsabwehr zählen wir Anfragen pro IP-Adressbereich; diese Zähler liegen nur im Arbeitsspeicher und verfallen nach kurzer Zeit. Rechtsgrundlage: Art. 6 Abs. 1 lit. b und f DSGVO.

Einsicht durch Administrator:innen. Zur Verwaltung des Dienstes, zur Hilfe bei Problemen und zur Missbrauchsabwehr können die Betreiber Ihre Kontodaten, den Verbrauch (Abschnitt 5) und die Liste Ihrer Anwendungen einsehen sowie auf Ihren Wunsch Anmeldemethoden zurücksetzen.

4. Anmeldung mit Google oder Microsoft

Statt mit Passwort oder Passkey können Sie sich mit Ihrem Google- oder Microsoft-Konto anmelden („Continue with Google“, „Continue with Microsoft“) oder ein solches Konto in Ihren Kontoeinstellungen mit Ihrem c-ray-Konto verbinden. Dieser Abschnitt beschreibt abschließend, welche Daten wir dabei von Google bzw. Microsoft erhalten und was mit ihnen geschieht.

Welche Daten wir erhalten. Wir fragen ausschließlich die Basis-Berechtigungen openid, email und profile an. Damit erhalten wir:

Wir erhalten keinen Zugriff auf Ihre E-Mails, Kontakte, Kalender, Dateien oder sonstige Inhalte Ihres Google- oder Microsoft-Kontos und rufen keine weiteren Schnittstellen dieser Anbieter auf.

Wofür wir sie verwenden. Nur, um Sie anzumelden: die Kennung, um Ihr Google- bzw. Microsoft-Konto Ihrem c-ray-Konto zuzuordnen; E-Mail-Adresse und Namen, um bei der ersten Anmeldung Ihr c-ray-Konto anzulegen (bzw. eine bereits vergebene Adresse zu erkennen) und Ihnen System-E-Mails zu senden. Die Daten werden nicht für Werbung, nicht zur Profilbildung und nicht zum Training von KI-Modellen verwendet und auch nicht an die KI-Modellanbieter aus Abschnitt 5 übermittelt.

Weitergabe. Wir verkaufen diese Daten nicht und geben sie nicht an Dritte weiter — weder an Werbenetzwerke noch an Datenhändler. Sie verbleiben in unserer eigenen Identitätsverwaltung (Zitadel), außer wo wir gesetzlich zur Herausgabe verpflichtet sind.

Schutz. Die Übertragung erfolgt ausschließlich TLS-verschlüsselt über den OAuth-2.0-/OpenID-Connect-Standard. Das Zugriffstoken, das der Anbieter bei der Anmeldung ausstellt, wird nur verschlüsselt im Anmeldevorgang abgelegt und von uns für keinen weiteren Abruf verwendet. Die gespeicherten Daten liegen in unserer selbst betriebenen Infrastruktur und sind nur über Ihr Konto bzw. für Administrator:innen zur Kontoverwaltung zugänglich.

Speicherdauer und Löschung. Kennung, E-Mail-Adresse und Name speichern wir, solange Ihr Konto besteht. Trennen Sie die Verbindung zu Google bzw. Microsoft in den Kontoeinstellungen, löschen wir die Zuordnung sofort; löschen Sie Ihr Konto (ebenfalls in den Kontoeinstellungen), werden alle diese Daten aus Ihrem Konto und der Kontoverwaltung gelöscht. Die Identitätsverwaltung führt technisch bedingt ein internes Änderungsprotokoll, in dem frühere Anmeldevorgänge verzeichnet bleiben; es wird ausschließlich zur Sicherheit und Nachvollziehbarkeit des Betriebs geführt, ist nicht öffentlich zugänglich und wird für keinen anderen Zweck verwendet. Sie können die Berechtigung außerdem jederzeit in Ihrem Google-Konto unter myaccount.google.com/permissions widerrufen.

Die Verwendung von Informationen, die c-ray von Google-APIs erhält, entspricht der Google API Services User Data Policy, einschließlich der Anforderungen zur eingeschränkten Nutzung („Limited Use requirements“).

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).

5. Konversationen und KI-Verarbeitung

Inhalte Ihrer Konversationen (Ihre Nachrichten, hochgeladene Dateien sowie der daraus entstehende Programmcode) werden zur Erbringung des Dienstes an KI-Modellanbieter übermittelt und dort verarbeitet:

Die Übermittlung in die USA stützt sich auf die Standardvertragsklauseln der EU-Kommission (Art. 46 DSGVO), die beide Anbieter verwenden, bzw. auf einen Angemessenheitsbeschluss (Art. 45 DSGVO), soweit ein Anbieter danach zertifiziert ist. Ändert sich die Liste der Anbieter, passen wir diese Erklärung an.

Selbst eingetragene Modelle. Tragen Sie in Ihren Einstellungen einen eigenen Modell-Endpunkt oder Zugangsschlüssel ein, werden Ihre Konversationen an diesen Anbieter übermittelt. Diesen Anbieter wählen Sie selbst; für diese Übermittlung und deren Rechtmäßigkeit sind Sie verantwortlich, und es gelten die Bedingungen dieses Anbieters.

Konversationen und der Programmcode Ihrer Anwendungen werden in unserer eigenen Infrastruktur gespeichert (einschließlich des Gesprächsverlaufs, damit Sie später weiterarbeiten können). Zu jeder Konversation zeichnen wir außerdem den Verbrauch der KI-Modelle auf (Name der Anwendung, Anzahl der verarbeiteten Tokens und die daraus berechneten Kosten — keine Nachrichteninhalte), um Kosten zu überwachen und Missbrauch zu erkennen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, für die Verbrauchsaufzeichnung zusätzlich lit. f (berechtigtes Interesse an der Kostenkontrolle). Geben Sie keine sensiblen Daten in Konversationen ein, deren Verarbeitung Sie nicht wünschen.

6. Von Ihnen erstellte Anwendungen

Für personenbezogene Daten, die in den von Ihnen erstellten und betriebenen Anwendungen verarbeitet werden (etwa Daten von Besucher:innen Ihrer App), sind Sie selbst datenschutzrechtlich verantwortlich. Wir stellen lediglich die technische Infrastruktur unentgeltlich bereit und verwenden diese Daten für keine eigenen Zwecke. Einen Auftragsverarbeitungsvertrag (Art. 28 DSGVO) bieten wir nicht an; benötigen Sie für Ihre Anwendung einen, ist c-ray dafür nicht geeignet.

7. Hosting und Server-Logs

c-ray läuft auf eigener Hardware in Österreich; kein Hosting-Unternehmen hat Zugriff auf die Daten. Die Domains sind bei Namecheap, Inc., USA, und bei der Neue Medien Münnich GmbH (ALL-INKL.COM), Deutschland, registriert; deren Nameserver beantworten die DNS-Anfragen für c-ray. Dabei sehen sie nur die angefragten Namen und die Adresse des DNS-Resolvers, nicht Ihre Inhalte; Ihre Verbindung zu c-ray selbst läuft nicht über diese Anbieter.

Server-Logs. Beim Aufruf unserer Dienste verarbeiten wir technisch notwendige Verbindungsdaten (IP-Adresse, Zeitpunkt, aufgerufene Ressource, User-Agent) zur Bereitstellung, Fehleranalyse und Missbrauchsabwehr. Diese Logs liegen ausschließlich auf unseren eigenen Servern; es gibt keinen externen Log- oder Analysedienst. Ein täglich auf jedem Server laufender Bereinigungsjob löscht alle Log-Einträge, die älter als 14 Tage sind. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am sicheren Betrieb).

8. Cookies und lokale Speicherung

Wir setzen ausschließlich technisch notwendige Cookies und lokale Speicherung in Ihrem Browser ein: für die Anmeldesitzung und deren Sicherheits-Token, die Sitzung beim Ausprobieren ohne Konto (Abschnitt 3), die zuletzt verwendete Anmeldemethode, noch nicht gesendete oder noch nicht zugestellte Nachrichten, die zuletzt geöffnete Anwendung, welche Hinweise Sie schon gesehen haben, und Ihre Darstellungs-Einstellungen (etwa hell/dunkel). Diese Angaben bleiben in Ihrem Browser und lassen sich dort jederzeit löschen. Es gibt keine Tracking-, Analyse- oder Werbe-Cookies; ein Einwilligungsbanner ist daher nicht erforderlich.

9. E-Mail-Kommunikation

System-E-Mails (etwa zur Bestätigung Ihrer E-Mail-Adresse) und Nachrichten über das Kontaktformular versenden wir über den E-Mail-Server der Neue Medien Münnich GmbH (ALL-INKL.COM), Deutschland.

Kontaktformular. Was Sie über das Kontaktformular senden (Name, E-Mail-Adresse, Nachricht), wird per E-Mail an die Betreiber weitergeleitet und nicht anderweitig gespeichert. Ihre Adresse verwenden wir nur, um Ihnen zu antworten; die E-Mail bewahren wir auf, solange es für die Bearbeitung Ihres Anliegens nötig ist. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Beantwortung Ihrer Anfrage). Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

10. Speicherdauer

Kontodaten speichern wir bis zur Löschung Ihres Kontos. Konversationen und Anwendungen speichern wir, bis Sie sie löschen. Darüber hinaus nur, soweit gesetzliche Aufbewahrungspflichten bestehen. Server-Logs: höchstens 14 Tage, durch tägliche Bereinigung (Abschnitt 7). Anwendungen, die ohne Konto erstellt und nicht übernommen wurden: bis 96 Stunden nach der letzten Nutzung (Abschnitt 3). Die Verbrauchsaufzeichnung (Abschnitt 5) bleibt als Abrechnungs- und Kostenprotokoll auch nach dem Löschen einer Konversation oder des Kontos erhalten; sie enthält keine Nachrichteninhalte und ist nur über eine zufällig erscheinende Kennung, nicht über Name oder E-Mail-Adresse, einem Konto zugeordnet.

Offline genommene Anwendungen. Nehmen wir einzelne Anwendungen, Inhalte oder Konten offline oder sperren sie (etwa nach einem Verstoß gegen die Nutzungsbedingungen oder weil eine geänderte Fassung nicht bestätigt wurde), bewahren wir die Daten mindestens zwei Wochen auf, damit Sie eine Kopie anfordern können; danach können wir sie vollständig löschen. Zur Bestätigung der Nutzungsbedingungen speichern wir zu Ihrem Konto, welche Fassung Sie wann bestätigt haben; dieser Eintrag wird mit Ihrem Konto gelöscht.

Wenn c-ray eingestellt wird. Nehmen wir c-ray insgesamt offline, bewahren wir alle Daten noch zwei Wochen auf — ausschließlich, damit Sie eine Kopie Ihrer Anwendungen und Konversationen anfordern können (Art. 15 und 20 DSGVO) und damit der Betrieb ohne Verlust wieder aufgenommen werden kann. Anfragen richten Sie an die oben angegebene E-Mail-Adresse; was innerhalb der zwei Wochen eingeht, erfüllen wir auch danach. Nach Ablauf der zwei Wochen löschen wir sämtliche Daten, einschließlich der Verbrauchsaufzeichnung. Während dieser Zeit bleiben die Daten so geschützt wie im laufenden Betrieb. Rechtsgrundlage: Art. 6 Abs. 1 lit. b und f DSGVO.

11. Ihre Rechte

Ihnen stehen die Rechte auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21 DSGVO) zu. Wenden Sie sich dazu an die oben angegebene E-Mail-Adresse. Ihr Konto samt allen Anwendungen können Sie außerdem jederzeit selbst in den Kontoeinstellungen löschen. Die Bereitstellung Ihrer Daten ist weder gesetzlich noch vertraglich vorgeschrieben; ohne sie können Sie c-ray aber nicht nutzen. Außerdem können Sie sich bei der Österreichischen Datenschutzbehörde beschweren (www.dsb.gv.at).

12. Datensicherheit

Alle Verbindungen sind TLS-verschlüsselt; der Zugriff auf Ihre Daten ist durch Ihr Konto geschützt, intern gelten Zugriffskontrollen nach dem Need-to-know-Prinzip. Jede Anwendung läuft getrennt von den Anwendungen anderer Nutzer:innen.

Wir schützen Ihre Daten nach bestem Wissen und dem Stand unserer Möglichkeiten als private Betreiber. Eine vollständige Sicherheit kann jedoch kein System im Internet gewährleisten; sollte es zu einer Verletzung des Schutzes Ihrer Daten kommen, informieren wir die Datenschutzbehörde und Sie, soweit die DSGVO es verlangt (Art. 33 und 34) — Sie direkt in der Benutzeroberfläche oder, wenn vorhanden, an Ihre E-Mail-Adresse, und wo das nicht möglich ist, durch eine öffentliche Bekanntmachung auf dieser Website.

13. Änderungen

Wir passen diese Erklärung an, wenn sich der Dienst oder die Rechtslage ändert; es gilt die jeweils hier veröffentlichte Fassung. Ändert sich, wie wir Daten aus der Anmeldung mit Google oder Microsoft verwenden, informieren wir Sie vorher — durch einen Hinweis in der Benutzeroberfläche von c-ray, der Ihnen bei der nächsten Anmeldung angezeigt wird, und durch die aktualisierte Fassung dieser Erklärung.