ndaact.ai — Schutz personenbezogener Daten: Browser-Erweiterung und Desktop-Anwendung

Datenschutzerklärung

Letzte Aktualisierung: 13. Oktober 2026 · Desktop-Anwendung 0.9.15 · Browser-Erweiterung 0.6.5

In einem Satz: ndaact.ai erkennt personenbezogene Daten, bevor sie an eine KI gehen — in Ihren Prompts und PDFs im Web sowie in allem, was Sie aus einer beliebigen Anwendung in die Zwischenablage kopieren — und ersetzt sie durch Markierungen; Erkennung und Ersetzung erfolgen auf Ihrem Gerät. Die technischen Verbindungen der Software, etwa Lizenz, Updates und Fehlerdiagnose, sind weiter unten beschrieben.

Welche Daten werden erkannt

ndaact.ai analysiert zwei getrennte Datenströme: zum einen den von Ihnen eingegebenen Text und die auf claude.ai und chatgpt.com hochgeladenen PDF-Dateien (Browser-Erweiterung), zum anderen den Text, den Sie aus einer beliebigen Anwendung in die Zwischenablage Ihres Geräts kopieren (Desktop-Anwendung). In beiden Fällen sucht es nach folgenden Kategorien personenbezogener Daten:

Vor- und Nachnamen von Personen
Geburtsdaten
Postanschriften
Firmen- und Organisationsnamen
Gesundheitsdaten: Diagnose, Behandlung oder medizinische Situation im Klartext
Französische Sozialversicherungsnummern (NIR)
IBAN und Bankkartennummern
E-Mail-Adressen
Telefonnummern
SIRET-Nummern (französische Unternehmenskennung)
IP-Adressen
Aktenzeichen und Dokumentkennungen

Jedes erkannte Datum wird vor dem Versand durch eine anonyme Markierung ersetzt (zum Beispiel {{PERSON_a1b2}}). Die Antwort des Modells wird anschließend mit den lokal wiederhergestellten Originalwerten angezeigt, ausschließlich in Ihrem Browser.

Gesundheitsdaten verdienen eine eigene Erwähnung: mit einem Namen verknüpft, fallen sie unter die besonderen Kategorien des Artikels 9 DSGVO. Sie haben keine feste Form: „in Behandlung wegen Multipler Sklerose" ist ein Gesundheitsdatum, keine Nummer, und es ist das unten beschriebene Modell, das sie erkennt.

Wie die Erkennung funktioniert

Zwei Mechanismen arbeiten zusammen, aus unterschiedlichen Gründen.

Die deterministischen Regeln übernehmen die Kennungen mit fester Form und Prüfziffer: Sozialversicherungsnummer, IBAN, SIRET-Nummer, Zahlungskarte. Die Software erkennt nicht nur die Form, sie berechnet die Prüfziffer nach. Eine Ziffernfolge, die wie eine IBAN aussieht, ohne eine zu sein, wird deshalb nicht versehentlich geschwärzt, und eine echte IBAN rutscht nicht durch.

Das Modell zur Entitätenerkennung übernimmt alles, was keine Regel beschreiben kann: einen Personennamen, eine Firmenbezeichnung, eine Adresse, ein Gesundheitsdatum. Diese Angaben haben keine feste Form, erst der umgebende Satz macht sie erkennbar. Das Modell läuft auf Ihrem Gerät, ohne ausgehende Verbindung während der Analyse.

Ein Modell je Sprache. Jedes Modell wiegt mehrere hundert Megabyte. Fünf davon in einer einzigen Datei zu bündeln, ergäbe etwas, das ein gewöhnlicher Arbeitsplatz kaum laden kann und das jeden Prompt verlangsamt. ndaact.ai lädt deshalb nur das Modell der Sprache, die Sie nutzen: Französisch, Englisch, Deutsch, Spanisch oder Italienisch. Die Sprache wechseln Sie in der Anwendung, die dann das passende Modell holt.

Die Zwischenablage und die Desktop-Anwendung

Die Desktop-Anwendung ndaact.ai (macOS, Windows) überwacht die Zwischenablage Ihres Geräts, damit der Schutz nicht vom Browser abhängt. Sie liest ausschließlich Klartext: Sobald die Zwischenablage etwas enthält, das sie nicht vollständig neu schreiben könnte — ein Bild, eine Datei, Rich Text im RTF- oder HTML-Format — enthält sie sich und lässt den Inhalt unangetastet.

Zwei absolute Ausschlüsse. Ein von einem Passwort-Manager als vertraulich markierter Inhalt erzwingt vollständiges Schweigen: kein Lesen, keine Protokollierung, kein Zähler, keine Zustandsänderung. Ein als flüchtig markierter Inhalt liegt außerhalb des Anwendungsbereichs.

Nicht blockierendes Verhalten. Anders als die Browser-Erweiterung, die den Versand blockiert, wenn der Schutz nicht aktiv ist, arbeitet die Überwachung der Zwischenablage nach bestem Bemühen: Kann die Schwärzung nicht vollständig erfolgen, bleibt der Inhalt unverändert, statt teilweise neu geschrieben zu werden. Eine teilweise Neuschreibung würde die ungeschwärzte Fassung über den unbehandelten Weg preisgeben — unter einer falschen Zusicherung.

Aussetzen. Sie können die Überwachung jederzeit über das Symbol in der Menüleiste aussetzen, standardmäßig für 30 Minuten.

macOS-Berechtigung. Die Anwendung fordert die Berechtigung „Bedienungshilfen" zu einem einzigen Zweck an: den geschwärzten Inhalt für Sie automatisch wieder einzufügen. Sie nutzt sie weder zum Lesen des Bildschirms noch zum Beobachten von Tastenanschlägen. Eine Ablehnung verhindert die Schwärzung nicht; nur das automatische Einfügen entfällt.

Wo die Verarbeitung stattfindet

Komponente	Wo sie ausgeführt wird	Durchlaufende Daten
Erkennung durch reguläre Ausdrücke	Lokale `ndaact.ai`-Anwendung auf Ihrem Gerät (`127.0.0.1`), von der Erweiterung aufgerufen	Prompt-Text, vor dem Versand
Erweiterte Erkennung (NER-Modell) und PDF-Schwärzung	Lokale `ndaact.ai`-Anwendung auf Ihrem Gerät (`127.0.0.1`)	Prompt-Text / PDF-Inhalt, auf Ihrem Gerät verarbeitet, ohne über einen Server von ndaact.ai zu laufen
Überwachung der Zwischenablage	Lokale `ndaact.ai`-Anwendung, auf Ihrem Gerät	Kopierter Klartext, und nur wenn er vollständig neu geschrieben werden kann; niemals ein von einem Passwort-Manager als vertraulich markierter Inhalt
Zuordnungstabelle Markierung ↔ Wert	Lokaler verschlüsselter Speicher (AES-256), Schlüssel spezifisch für Ihre Installation, beim ersten Start erzeugt und auf Ihrem Gerät aufbewahrt	Die erkannten Originalwerte, nötig um Ihnen die Antwort im Klartext zurückzugeben
Lokales Audit-Protokoll	Lokale Datei im Nur-Anhängen-Modus, per SHA-256-Prüfsumme verkettet, auf Ihrem Gerät	Zeitstempel, Entitätstyp und Position im Text, ohne den Originalwert. Dieses Protokoll wird nicht automatisch bereinigt: Es bleibt, bis Sie es löschen
Erkennungsverlauf (Audit)	Lokaler `chrome.storage`, auf Ihrem Gerät	Art des personenbezogenen Datums, Markierung, Zeitstempel, ohne den Originalwert

Was an ndaact.ai übermittelt wird

Ihre Prompts und Ihre Dokumente, einschließlich der erkannten personenbezogenen Daten, werden weder von der Erweiterung noch von der Desktop-Anwendung an einen von ndaact.ai oder Inkan.link betriebenen Server gesendet. Die Erweiterung kommuniziert nur mit zwei Zielen: der von Ihnen genutzten LLM-Website (claude.ai/chatgpt.com, die Ersatz-Markierungen anstelle der erkannten Entitäten erhält, ohne Zuordnungstabelle, also ohne vernünftige Möglichkeit, Personen zu re-identifizieren) und der lokalen ndaact.ai-Anwendung auf 127.0.0.1, die auf Ihrem eigenen Computer läuft. Eine nicht erkannte Entität bleibt im gesendeten Text im Klartext: ndaact.ai hilft, Ihre Daten zu schützen, ohne dies zu garantieren.

Abgesehen vom analysierten Inhalt tauscht die Software technische Daten mit unseren Diensten aus: Lizenz, Updates, Modell-Download, Fehlerdiagnose. Die Einzelheiten stehen in dieser Datenschutzerklärung.

Begrifflichkeit. Diese Verarbeitung ist eine clientseitige Pseudonymisierung (Art. 4 Abs. 5 DSGVO): für Sie reversibel, da die Zuordnungstabelle auf Ihrem Gerät verbleibt. Wir sprechen daher auf Ihrer Seite nicht von „Anonymisierung". Gegenüber dem LLM-Anbieter und jedem Dritten hingegen zielt sie auf die Wirkung einer De-Identifizierung ab: Die Markierungen sind für sie undurchsichtig, ohne vernünftige Möglichkeit der Re-Identifizierung (relativer Ansatz des EuGH, Urteil in der Rechtssache C-413/23 P vom 4. September 2025). Es werden nur die erkannten Entitäten geschwärzt; wir behaupten nicht, den gesamten Prompt zu anonymisieren.

Technischer Austausch und Fehlerdiagnose

Abgesehen vom analysierten Inhalt tauscht die Software technische Daten mit unseren Diensten und mit Dienstleistern aus. Diese Vorgänge sind nicht dafür ausgelegt, Ihre Prompts, Ihre Dokumente oder die erkannten Werte zu enthalten.

Vorgang	Was gesendet wird	Empfänger und Ort
Lizenz und Anmeldung	Gerätebezeichnung, Hardware-Fingerabdruck (technische Kennung des Geräts) und Anmelde-Token (technischer Code, getrennt von Ihrem Passwort). Einzelheiten unter „Konto, Abonnement und Abrechnung“	Supabase, Europäische Union (Paris)
Updates	Anfrage der Versionsdatei und der Installationsdatei. Der Hosting-Anbieter sieht die IP-Adresse der Anfrage, wie jeder Webserver	Scaleway-Speicher, Frankreich (Paris)
Modell-Download	Anfrage der Modelldateien. Bei einem Modell, das einem Abonnement vorbehalten ist, wird die Lizenz serverseitig geprüft	Scaleway-Speicher (Frankreich) und Supabase-Serverfunktion (Europäische Union)
Fehlerdiagnose	Technischer Bericht, siehe unten	Sentry, Europäische Union (Frankfurt)

Fehlerdiagnose (Sentry)

Zur Behebung von Störungen nutzt ndaact Sentry, einen Fehlerverfolgungsdienst von Functional Software, Inc., in dessen Region der Europäischen Union (Frankfurt, Deutschland). Drei Komponenten senden ihm technische Berichte.

Desktop-Anwendung. Wenn das Erkennungsmodul nicht startet oder nicht verfügbar bleibt oder wenn die Zwischenablage ein nicht erkanntes Format enthält, sendet die Anwendung einen Bericht: Zustand der Engine und Grund der Nichtverfügbarkeit, Version der Anwendung, Betriebssystem, Modell und Name des Rechners, Phase und Dauer des Ladevorgangs und bei einem nicht erkannten Format den technischen Namen dieses Formats. Der Bericht enthält weder den analysierten Text noch die erkannten Werte noch den Inhalt der Zwischenablage oder von PDFs noch Lizenzschlüssel. Versionen vor 0.9.15 senden ihre Berichte an einen in den USA gehosteten Sentry-Server.
Kundenbereich und Serverfunktionen. Fehler dieser beiden Oberflächen werden mit den technischen Angaben der Anfrage gesendet.
Website und Kundenbereich (Sicherheitsberichte). Blockiert der Browser eines Besuchers ein Element der Seite (Content Security Policy, kurz CSP, ein Sicherheitsmechanismus des Browsers), kann er einen Bericht senden: Adresse der Seite, Adresse des blockierten Elements, gegebenenfalls vorherige Seite und verwendeter Browser.

IP-Adresse und Standort. Die IP-Adresse wird in den Berichten nicht gespeichert (Maskierung aktiviert). Sentry leitet aus der Verbindung jedoch ein ungefähres Land und eine ungefähre Stadt ab und speichert sie mit dem Bericht.

Zweck. Fälle erkennen und beheben, in denen der Schutz nicht mehr aktiv ist, sowie Fehler des Dienstes. Deaktivierung. Die Desktop-Anwendung bietet derzeit keine Einstellung, um diese Berichte abzuschalten.

Rechtsgrundlage. Das berechtigte Interesse von ndaact, Fehler seiner Anwendung zu beheben und den Dienst aufrechtzuerhalten (Art. 6 Abs. 1 Buchst. f DSGVO). Sie können dieser Verarbeitung widersprechen, indem Sie an dpo@inkan.link schreiben.

Speicherdauer. Die Berichte werden für die Aufbewahrungsdauer des von ndaact genutzten Sentry-Tarifs gespeichert, die Sentry festlegt. Auftragsverarbeiter. Sentry verarbeitet diese Berichte im Auftrag von ndaact auf Grundlage eines Auftragsverarbeitungsvertrags (AVV) zwischen ndaact und Sentry. Sentry ist ein US-Unternehmen: Für Übermittlungen in die USA sieht der AVV den EU-US-Datenschutzrahmen (Data Privacy Framework) und, hilfsweise, die Standardvertragsklauseln der Europäischen Kommission vor.

Konto, Abonnement und Abrechnung

Die Software übermittelt uns weder Ihre Prompts noch Ihre Dokumente. Ein Abonnement legt jedoch ein Konto an, und dieses Konto bringt Daten mit sich, die wir speichern. Sie liegen in der Europäischen Union (Supabase, Region Paris). Supabase Pte. Ltd. ist ein Unternehmen mit Sitz in Singapur: Ein Zugriff auf diese Daten von Singapur aus ist eine Übermittlung außerhalb der Europäischen Union, die durch die Standardvertragsklauseln der Europäischen Kommission (Module 2 und 3) abgesichert ist, welche Supabase in seine Auftragsverarbeitungsvereinbarung aufnimmt.

Daten	Wozu	Speicherdauer
E-Mail-Adresse	Anmeldung (Einmal-Link oder Passwort) und Nachrichten zum Dienst	Dauer des Kontos. Waren Sie Kunde, wird sie anschließend 10 Jahre mit den Buchführungsunterlagen archiviert, damit Sie Ihre Rechnungen weiterhin anfordern können
Name und Beruf, sofern angegeben	Personalisierung des Kundenbereichs	Dauer des Kontos
Firmenname und USt-IdNr., von Stripe bei der Bestellung erhoben	Geschäftliche Rechnungsstellung und Reverse-Charge-Verfahren in der EU	Dauer des Kontos, danach 10 Jahre mit den Buchhaltungsunterlagen
Abonnement: Tarif, Status, Laufzeitende, Stripe-Kennungen	Freischaltung der kostenpflichtigen Funktionen und Abrechnung	Dauer des Kontos, danach 10 Jahre für Buchhaltungsunterlagen (Art. L123-22 des französischen Handelsgesetzbuchs)
Geräte: Bezeichnung, Hardware-Fingerabdruck, Datum der ersten und letzten Aktivität, Hash des Anmelde-Tokens	Durchsetzung der Gerätegrenze Ihres Tarifs und Widerruf	Bis zum Widerruf des Geräts
Kontoprotokoll: Gerätebindung, Zahlungsereignis, Modellzugriff	Sicherheit und Nachweis im Streitfall	Dauer des Kontos

Die Zahlung wickelt Stripe ab: Keine Bankdaten erreichen unsere Server. Die Kontodatenbank stellt Supabase bereit, die Website Vercel. Rechtsgrundlage: Erfüllung des Abonnementvertrags sowie gesetzliche Pflicht für Buchhaltungsunterlagen.

Was dort nicht steht: Ihre Prompts, Ihre Dokumente und die Einzelheiten Ihrer Erkennungen. Sie bleiben auf Ihrem Gerät, mit oder ohne Abonnement.

Weitergabe an Dritte

ndaact.ai verkauft oder vermietet keine personenbezogenen Daten. Sie werden mit den für den Dienst erforderlichen Dienstleistern geteilt, die in dieser Datenschutzerklärung aufgeführt sind. Keine Daten werden zu Werbe- oder Verhaltensanalysezwecken verwendet. Die Zugriffe auf die Präsentationswebsite werden mit Matomo gemessen, das wir selbst hosten und betreiben: Nutzungs- und Betriebsstatistiken bleiben bei uns und gehen an kein Werbenetzwerk.

Berechtigungen und Autorisierungen

Die Erweiterung fordert einen minimalen Satz an Chrome-Berechtigungen an, von denen jede für die Erkennung und Schwärzung personenbezogener Daten vor dem Versand unbedingt erforderlich ist: Netzwerkzugriff auf claude.ai/chatgpt.com/127.0.0.1, Lesen des aktiven Tabs, Skript-Injektion, lokaler Speicher, periodische Alarme und Benachrichtigungen. Details zu jeder Berechtigung und deren Begründung sind im Eintrag im Chrome Web Store dokumentiert und auf Anfrage erhältlich.

Die Desktop-Anwendung fordert nur eine einzige Systemberechtigung an, und ausschließlich unter macOS: „Bedienungshilfen", für das oben beschriebene automatische Einfügen. Für den Betrieb benötigt sie keinerlei Administratorrechte.

Ihre Rechte

Erkennung und Ersetzung erfolgen auf Ihrem Gerät, und Sie behalten die Kontrolle über den Schutz. Auf Browser-Seite: Sie können den Schutz jederzeit über das Popup der Erweiterung deaktivieren, den vollständigen Erkennungsverlauf einsehen und die Erweiterung deinstallieren, um alle lokal gespeicherten Daten (chrome.storage) sofort zu löschen.

Auf Seiten der Desktop-Anwendung: die Überwachung der Zwischenablage über die Menüleiste aussetzen, das Schutzprotokoll in den Einstellungen einsehen und die Anwendung deinstallieren, um die verschlüsselte Zuordnungstabelle und das Audit-Protokoll zu löschen. Wir greifen auf diese Daten nicht zu und bewahren keine Kopie davon auf: Für diese lokalen Daten gibt es bei uns nichts zu löschen.

Kontakt

Bei Fragen zu dieser Erklärung oder zur Ausübung Ihrer Rechte an den Kontodaten: dpo@inkan.link. Für alles Übrige: contact@ndaact.ai.

Diese Seite ist eine Übersetzung. Maßgeblich ist die französische Fassung.