Zum Hauptinhalt springen
OCTOVO

Zwei der fünf Ketten enden auf deinem Gerät. Drei führen hinaus: die Denkanfrage, das Konto — und der Bildschirmtext, sobald du etwas dazu fragst.

Datenketten

Welchen Weg deine Daten nehmen

Nicht „wir nehmen Datenschutz ernst“, sondern: fünf Ketten, Station für Station — wer dort sitzt, wo, und wozu.

  • 2 Ketten enden auf deinem Gerät
  • 3 führen darüber hinaus
  • 6 Dienstleister, alle namentlich
Rand deines Geräts 1 2 3 4 5

Die senkrechte Linie ist der Rand deines Geräts. Zwei der fünf Wege enden davor, drei führen darüber hinaus.

In fünf Sätzen

Rot markiert heißt: Diese Kette verlässt dein Gerät. Das ist keine Warnung, sondern eine Ansage.

  1. Die lokale Kette: Alles, was OCTOVO über dich weiß, liegt auf deinem Gerät. Diese Kette hat kein Ende außerhalb davon.

    bleibt auf dem Gerät

  2. Die Denk-Kette: Damit OCTOVO versteht oder schreibt, geht ein Ausschnitt hinaus — nie dein ganzes Postfach, nie dein Gedächtnis am Stück.

    verlässt das Gerät

  3. Die Konto-Kette: Wer du bist und was du gebucht hast — mehr steht auf dieser Kette nicht.

    verlässt das Gerät

  4. Die Mail-Kette: Zwischen deinem Postfach und deinem Gerät steht niemand — auch wir nicht.

    bleibt auf dem Gerät

  5. Die Bildschirm-Kette: Ab Werk aus. Eingeschaltet entsteht Text auf deinem Gerät — hinaus geht ein Ausschnitt erst, wenn du etwas dazu fragst.

    verlässt das Gerät

Zum Schaubild mit jeder einzelnen Station

Station für Station

Die fünf Ketten im Einzelnen

Jede Station nennt Anbieter, Ort und Zweck. Was ausdrücklich nicht unterwegs ist, steht darunter.

Die lokale Kette bleibt auf dem Gerät

Alles, was OCTOVO über dich weiß, liegt auf deinem Gerät. Diese Kette hat kein Ende außerhalb davon.

Die Stationen
  1. Deine Quellen

    Mails, Dateien, Kontakte, Termine, Korrekturen — nur, was du ihm gibst oder erlaubst.

    Wer
    du
    Wo
    dein Gerät
    Was ankommt
    Was du ihm gibst oder erlaubst: Mails, Dateien, Kontakte, Termine, Korrekturen.
    Was gespeichert wird
    Hier nichts — diese Station ist der Anfang der Kette, nicht ihr Lager.
  2. Verschlüsselte Datei

    Eine einzige Datei (SQLite mit SQLCipher). Der Schlüssel liegt im Schlüsselbund deines Betriebssystems — nicht bei uns.

    Wer
    OCTOVO
    Wo
    dein Gerät
    Was ankommt
    Alles Vorige, in eine einzige Datei geschrieben.
    Was gespeichert wird
    Genau diese Datei auf deiner Festplatte, verschlüsselt. Der Schlüssel liegt im Schlüsselbund deines Betriebssystems — nicht bei uns.
  3. Suchen und Erinnern

    Volltext- und Bedeutungssuche laufen mit einem mitinstallierten Modell — ohne Netz, ohne Kontingent.

    Wer
    OCTOVO
    Wo
    dein Gerät
    Was ankommt
    Deine Suchfrage. Sie verlässt das Programm nicht.
    Was gespeichert wird
    Der Suchindex, in derselben verschlüsselten Datei. Kein Netz, kein Kontingent.
  4. Ende der Kette

    Es gibt keine vierte Station. Ansehen, ausleiten, löschen entscheidest du.

    Wer
    —
    Wo
    dein Gerät
    Was ankommt
    Nichts mehr — es gibt keine vierte Station.
    Was gespeichert wird
    Was du behältst. Ansehen, ausleiten, löschen entscheidest du.
?

Was hier ausdrücklich nicht passiert

  • Keine Kopie bei uns, keine fremde Wolke, kein Fernzugriff — technisch nicht vorgesehen.
  • Zugangsdaten liegen nur im Schlüsselbund: nie in Datenbank, Protokoll oder Modellkontext.
  • Die Kehrseite: Verlierst du Gerät und Sicherung, können auch wir nichts wiederherstellen.

Die Denk-Kette verlässt das Gerät

Damit OCTOVO versteht oder schreibt, geht ein Ausschnitt hinaus — nie dein ganzes Postfach, nie dein Gedächtnis am Stück.

Die Stationen
  1. Ausschnitt bauen

    Für eine einzelne Frage: der Vorgang, der Kontakt, die passenden Erinnerungen. Mehr nicht.

    Wer
    OCTOVO
    Wo
    dein Gerät
    Was ankommt
    Deine Frage und der Vorgang, um den es geht.
    Was gespeichert wird
    Auf deinem Gerät der Protokolleintrag dazu — darin steht auch, welcher Ausschnitt gebraucht wurde.
  2. Otto-Server

    Prüft Lizenz, Kontingent und Ausgabenlimit, reicht durch. Kein Inhalt wird gespeichert — nur Zeitpunkt, Konto, Modell, Zeichenzahl, Dauer, Statuscode.

    Wer
    TCB GmbH
    Wo
    Deutschland (Hetzner)
    Was ankommt
    Der Ausschnitt und die Kennung deines Kontos.
    Was gespeichert wird
    Kein Inhalt. Nur Zeitpunkt, Konto, verwendetes Modell, Zeichenzahl, Dauer und Statuscode — für Abrechnung und Betrieb.
  3. Gateway

    Leitet die Anfrage an das Sprachmodell weiter. Auftragsverarbeitungsvertrag liegt vor.

    Wer
    nixo
    Wo
    Europäische Union
    Was ankommt
    Derselbe Ausschnitt, unverändert weitergereicht.
    Was gespeichert wird
    Von uns wird dort nichts abgelegt; für diese Station gilt der Auftragsverarbeitungsvertrag.
  4. Sprachmodell

    Beantwortet die Frage. Für Anthropic ist die Übermittlung über Standardvertragsklauseln abgesichert und Nichtspeicherung beantragt. Antwortet Anthropic nicht, geht dieselbe Anfrage an DeepSeek in China; die Grundlage dieser Übermittlung ist noch nicht abschließend festgelegt (siehe Datenschutzerklärung, Abschnitt 6).

    Wer
    Anthropic PBC — im Rückfall DeepSeek
    Wo
    USA — im Rückfall China
    Was ankommt
    Der Ausschnitt und die Frage dazu — mehr bekommt das Modell nicht.
    Was gespeichert wird
    Nichtspeicherung ist bei Anthropic beantragt; die Übermittlung ist über Standardvertragsklauseln abgesichert. Im Rückfall steht hier DeepSeek in China — was dort gilt, steht in Abschnitt 6 der Datenschutzerklärung.
  5. Zurück zu dir

    Die Antwort landet wieder hier. Was hinausgehen soll, liegt vorher in deiner Freigabe.

    Wer
    OCTOVO
    Wo
    dein Gerät
    Was ankommt
    Die Antwort — und sonst nichts.
    Was gespeichert wird
    Was du freigibst. Bis dahin liegt der Entwurf in deiner Freigabe, auf deinem Gerät.
Gerät Server nixo Modell die Antwort zurück nur der Ausschnitt

Nur der Ausschnitt geht vom Gerät über Server und nixo zum Modell. Die Antwort kommt denselben Weg zurück.

Was hier ausdrücklich nicht passiert

  • Kein Zwischenspeicher, kein Protokoll mit Inhalt, keine Fehlermeldung mit Inhalt.
  • Nur im selbst eingeschalteten Diagnose-Modus wird befristet mitgeschrieben — höchstens 7 Tage, sofort löschbar.
  • Du bist Verantwortlicher, wir Auftragsverarbeiter — der Vertrag wird beim Kauf mitgeschlossen.

Die Konto-Kette verlässt das Gerät

Wer du bist und was du gebucht hast — mehr steht auf dieser Kette nicht.

Die Stationen
  1. Anmeldung

    Name, Mailadresse, Gerätename, öffentlicher Teil eines Schlüsselpaars.

    Wer
    du
    Wo
    dein Gerät
    Was ankommt
    Name, Mailadresse, Gerätename, öffentlicher Teil eines Schlüsselpaars.
    Was gespeichert wird
    Dein Passwort nur als nicht rückrechenbarer Hashwert (Argon2id) — nie im Klartext.
  2. Konto-Datenbank

    Konto, Lizenz, Geräte, Zähler, Rechnungsbezüge. Keine Inhalte.

    Wer
    TCB GmbH
    Wo
    Deutschland (Hetzner)
    Was ankommt
    Konto, Lizenz, Geräte, Zähler, Rechnungsbezüge.
    Was gespeichert wird
    Genau das — dazu der Nachweis, welchen Bedingungen du wann zugestimmt hast. Keine Inhalte.
  3. Zahlung

    Kauf, Kündigung, Rechnung, Umsatzsteuer. Kartendaten erreichen unsere Server nie.

    Wer
    Stripe Payments Europe, Ltd.
    Wo
    Irland / USA
    Was ankommt
    Was du bei Stripe eingibst. Kartendaten erreichen unsere Server nie.
    Was gespeichert wird
    Bei uns: Name, Rechnungsanschrift, Zahlungsstatus, Rechnungsnummer. Rechnungen bleiben zehn Jahre, weil das Steuerrecht es verlangt.
  4. Konto-Mails

    Bestätigungen, Rechnungen und Sicherheitshinweise an deine Mailadresse.

    Wer
    Mailgun (EU-Region)
    Wo
    Europäische Union
    Was ankommt
    Deine Mailadresse und der Text der jeweiligen Nachricht.
    Was gespeichert wird
    Nur, ob und wann eine Mail hinausging. Kein Öffnungszähler, kein Klickzähler.

Was hier ausdrücklich nicht passiert

  • Kein Analysedienst, kein Werbenetzwerk, kein Fehler-Sammeldienst, keine fremden Schriften.
  • Konten werden nicht untereinander verknüpft und nicht ausgewertet.
  • Löschst du dein Konto, geht alles mit — bis auf das, was Handels- und Steuerrecht festhält.

Die Mail-Kette bleibt auf dem Gerät

Zwischen deinem Postfach und deinem Gerät steht niemand — auch wir nicht.

Die Stationen
  1. Dein Gerät

    Baut die Verbindung selbst auf — über IMAP/SMTP oder die Schnittstelle deines Anbieters.

    Wer
    OCTOVO
    Wo
    dein Gerät
    Was ankommt
    Die Zugangsdaten, die du beim Einrichten einträgst.
    Was gespeichert wird
    Sie liegen im Schlüsselbund deines Betriebssystems: nie in der Datenbank, nie im Protokoll, nie im Modellkontext.
  2. Dein Postfach

    Abholen, Ordner pflegen, Senden. Die Zugangsdaten bleiben im Schlüsselbund.

    Wer
    dein Mailanbieter
    Wo
    wo dein Postfach eben liegt
    Was ankommt
    Die Anfragen deines Geräts: abholen, Ordner pflegen, senden.
    Was gespeichert wird
    Was dein Anbieter ohnehin führt. Wir sehen davon nichts — es gelten seine Bedingungen.
rastet ein

Der Zugang rastet im Postfach ein.

Was hier ausdrücklich nicht passiert

  • Kein Umweg über unseren Server: Wir sehen weder Absender noch Betreff noch Inhalt deiner Post.
  • Soll er eine Mail verstehen oder beantworten, geht der nötige Ausschnitt über die Denk-Kette — dieselben Regeln.
  • Für dein Postfach gelten die Bedingungen deines Anbieters; dein Konto dort bleibt deins.

Die Bildschirm-Kette verlässt das Gerät

Ab Werk aus. Eingeschaltet entsteht Text auf deinem Gerät — hinaus geht ein Ausschnitt erst, wenn du etwas dazu fragst.

Die Stationen
  1. Aufnahme

    Ein Bild des Bildschirms im Arbeitsspeicher. Vorher greift die Sperrliste.

    Wer
    OCTOVO
    Wo
    dein Gerät
    Was ankommt
    Ein Bild des Bildschirms, nur im Arbeitsspeicher.
    Was gespeichert wird
    Nichts: Das Bild wird nach dem Auslesen verworfen.
  2. Sperrliste

    Passwortspeicher, Bank- und Anmeldeseiten, private Fenster werden gar nicht erst gelesen.

    Wer
    OCTOVO
    Wo
    dein Gerät
    Was ankommt
    Das aufgenommene Bild, bevor irgendetwas davon gelesen wird.
    Was gespeichert wird
    Nichts: Gesperrte Bereiche werden gar nicht erst gelesen.
  3. Text auslesen

    Die Texterkennung läuft offline. Abgelegt wird Text, kein Bild.

    Wer
    OCTOVO
    Wo
    dein Gerät
    Was ankommt
    Die nicht gesperrten Bildbereiche.
    Was gespeichert wird
    Text, kein Bild. Die Texterkennung läuft auf deinem Gerät, ohne Netz.
  4. Entschärfen und ablegen

    Kartennummern, IBANs, Schlüssel und Codes fliegen vorher raus. Der Rest verfällt automatisch — voreingestellt nach 7 Tagen.

    Wer
    OCTOVO
    Wo
    dein Gerät
    Was ankommt
    Der ausgelesene Text.
    Was gespeichert wird
    Er — ohne Kartennummern, IBANs, Schlüssel und Codes, in derselben verschlüsselten Datei, voreingestellt sieben Tage lang.
  5. Wenn du danach fragst

    Dann reist der Ausschnitt denselben Weg wie in der Denk-Kette — hier verlässt Bildschirminhalt dein Gerät.

    Wer
    TCB GmbH → nixo → Anthropic PBC
    Wo
    Deutschland → EU → USA
    Was ankommt
    Der Ausschnitt zu deiner Frage — kein Bild, kein Video.
    Was gespeichert wird
    Dasselbe wie in der Denk-Kette: bei uns nur die Zahlen zum Vorgang, kein Inhalt.
7 Tage nie gelesen

Gelesenes verfällt nach sieben Tagen. Den Passwortspeicher liest er nie.

Was hier ausdrücklich nicht passiert

  • Kein Video, keine Bilder an das Modell — nur ausgelesener Text, nur der Ausschnitt zur Frage.
  • Was aus Bildschirminhalt entsteht, ist freigabepflichtig — auch im Autopilot.
  • Auf einem Arbeitsgerät ist das Beobachten ohne Betriebsvereinbarung nicht zulässig (§ 87 Abs. 1 Nr. 6 BetrVG). In Verschwiegenheitsberufen (§ 203 StGB) ist es gesperrt und muss einzeln freigegeben werden.
  • „Vergiss die letzte Stunde" löscht sofort — das Gelesene ebenso wie den Suchindex dazu.

Die verbindliche Fassung: die Datenschutzerklärung

Die Modell-Frage

Standard ist Anthropic — der Rückfall sitzt in China.

Wer für dich denkt, steht in der Konfiguration unseres Servers und nicht in einer Broschüre. Deshalb stehen hier beide Modelle mit Namen, Anbieter und Sitz.

Im Normalbetrieb

Claude Sonnet 5

Anbieter
Anthropic PBC
Sitz
USA
Grundlage
Standardvertragsklauseln; Nichtspeicherung ist beantragt.

Wenn Anthropic nicht antwortet

DeepSeek V4 Pro

Anbieter
DeepSeek
Sitz
China
Grundlage
Ein Land außerhalb der EU. Was dabei rechtlich gilt, steht in den verbindlichen Texten und nicht auf dieser Seite.
Wann der Rückfall greift
Nur dann, wenn Anthropic nicht erreichbar ist. Der Rückfall steht bewusst bei einem anderen Anbieter: Fällt Anthropic aus, hilft ein zweites Anthropic-Modell nicht.
Was dann übertragen wird
Derselbe Ausschnitt wie sonst — der Vorgang, der Kontakt, die passenden Erinnerungen. Nie dein ganzes Postfach, nie dein Gedächtnis am Stück.
Was sich am Weg ändert
An den Stationen davor nichts: Der Ausschnitt geht weiter über unseren Server in Deutschland und das Gateway in der EU. Nur die letzte Station ist eine andere.

Diese Seite erklärt den Sachverhalt in Alltagssprache. Verbindlich ist, was in den Rechtstexten steht.

Datenschutzerklärung Wer beteiligt ist Die kurze Antwort auf „Gehen meine Daten nach China?“

Ohne uns

Verbindungen, die dein Gerät selbst aufbaut

Diese Stellen arbeiten nicht in unserem Auftrag: Es besteht kein Vertragsverhältnis, sie handeln nicht auf unsere Weisung, und die Verbindung entsteht auf deinem Gerät, ohne dass wir davon erfahren.

  • Open-Meteo

    Wettervorhersage für die Tafel „Heute" und das Werkzeug „wetter"

    Wo: Deutschland und Schweiz

    Kein Vertragsverhältnis: Übertragen wird ausschließlich der von dir selbst eingetragene Ortsname beziehungsweise dessen Koordinaten — kein Konto, kein Schlüssel, keine Kennung. Der Abruf läuft direkt von deinem Gerät, deine IP-Adresse ist für Open-Meteo sichtbar; höchstens viermal je Stunde. Ohne eingetragenen Ort findet kein Abruf statt.

  • Der Anbieter deines Postfachs

    Abruf und Versand deiner Mails sowie das Finden der richtigen Einstellungen beim Einrichten

    Wo: wo dein Anbieter steht

    Kein Vertragsverhältnis zwischen uns und ihm: Dein Gerät spricht unmittelbar mit dem Mailserver, die Zugangsdaten liegen im Schlüsselbund deines Betriebssystems. Es gelten die Bedingungen deines Anbieters.

  • Die Plattformen deiner verbundenen Kanäle

    Cloud-Speicher, Facebook-Seiten, Instagram-Geschäftskonten, LinkedIn und die übrigen Netze

    Wo: je nach Plattform

    Kein Vertragsverhältnis zwischen uns und ihnen: Du verbindest dein eigenes Konto, dein Gerät spricht direkt mit der Plattform. Es gelten deren Bedingungen und Datenschutzhinweise.

  • Tavily (AlphaAI Technologies Inc.)

    Suche im Web — nur, wenn du unter Einstellungen → „Suche im Web" einen eigenen Zugang hinterlegt und Tavily gewählt hast. Übertragen wird deine Suchanfrage im Klartext und dein Schlüssel.

    Wo: New York, USA

    Kein Vertragsverhältnis zwischen uns und ihm: Du schließt das Konto selbst ab, der Abruf läuft von deinem Gerät, deine IP-Adresse ist für Tavily sichtbar. Drittland ohne Angemessenheitsbeschluss; Tavily stützt Übermittlungen nach eigener Datenschutzerklärung auf Standardvertragsklauseln und ist nicht im EU-US Data Privacy Framework zertifiziert (geprüft am 22.08.2026). Ohne hinterlegten Zugang findet kein Abruf statt.

  • Brave Search (Brave Software, Inc.)

    Suche im Web — nur, wenn du unter Einstellungen → „Suche im Web" einen eigenen Zugang hinterlegt und Brave gewählt hast. Übertragen wird deine Suchanfrage im Klartext und dein Schlüssel.

    Wo: San Francisco, USA

    Kein Vertragsverhältnis zwischen uns und ihm: Du schließt das Konto selbst ab, der Abruf läuft von deinem Gerät, deine IP-Adresse ist für Brave sichtbar. Drittland ohne Angemessenheitsbeschluss; Brave stützt Übermittlungen nach seinem eigenen Auftragsverarbeitungsvertrag auf Standardvertragsklauseln und ist nicht im EU-US Data Privacy Framework zertifiziert (geprüft am 22.08.2026). Ein Vertreter in der Union nach Art. 27 DSGVO ist benannt. Ohne hinterlegten Zugang findet kein Abruf statt.

  • Google News (Google Ireland Limited)

    Nachrichtenfeed (RSS) für Fragen nach Meldungen und für eine selbst angelegte Tafelkachel „Nachrichten". Übertragen wird deine Suchanfrage im Klartext als Teil der Adresse.

    Wo: Irland (Dublin)

    Kein Vertragsverhältnis zwischen uns und ihm, kein Konto und kein Schlüssel: Der Feed ist öffentlich, der Abruf läuft von deinem Gerät, deine IP-Adresse ist für Google sichtbar. Dieser Weg ist der einzige der drei, der ohne dein Zutun laufen kann — er braucht keinen hinterlegten Zugang und wird benutzt, wenn du nach Meldungen fragst oder eine Kachel „Nachrichten" angelegt hast. Verantwortlicher für Nutzer im Europäischen Wirtschaftsraum ist nach der Datenschutzerklärung von Google die Google Ireland Limited, Gordon House, Barrow Street, Dublin 4.

  • GitHub (GitHub, Inc. / GitHub B.V.)

    Blick auf Fehlerberichte, Codeanfragen und Prüfläufe einer Ablage, wenn du danach fragst. Übertragen wird der Name der Ablage als Teil der Adresse — und, falls du unter Einstellungen einen eigenen GitHub-Zugangsschlüssel hinterlegt hast, dieser Schlüssel. OCTOVO liest dort ausschließlich; es wird nichts geschrieben.

    Wo: San Francisco, USA / Amsterdam, Niederlande

    Kein Vertragsverhältnis zwischen uns und ihm: Der Abruf läuft von deinem Gerät, deine IP-Adresse ist für GitHub sichtbar. Für öffentliche Ablagen braucht es keinen Schlüssel — dieser Weg läuft also ohne Einrichtung, aber nur, wenn du danach fragst; von selbst geschieht hier nichts. Verantwortliche ist nach GitHubs eigener Datenschutzerklärung die GitHub, Inc. (88 Colin P. Kelly Jr. St., San Francisco) bzw. die GitHub B.V. (Prins Bernhardplein 200, 1097 JB Amsterdam). GitHub ist im EU-US Data Privacy Framework zertifiziert (Eintrag „GitHub", Non-HR Data, geprüft am 23.08.2026) und stützt Übermittlungen ergänzend auf die Standardvertragsklauseln der Kommission (Durchführungsbeschluss 2021/914). Ein gesonderter Vertreter nach Art. 27 DSGVO wird nicht benannt; mit der GitHub B.V. besteht eine Niederlassung in der Union.

  • Seiten, die OCTOVO für dich nachschlägt

    Recherche im Web, wenn du ihn darum bittest — und das Öffnen der besten Treffer einer Suche

    Wo: wo die jeweilige Seite steht

    Kein Vertragsverhältnis: Der Aufruf geht von deinem Gerät aus und sieht für die Gegenseite aus wie ein Besuch mit deinem Browser. Der Betreiber der Seite sieht deine IP-Adresse und die angeforderte Adresse.

Wie das rechtlich einzuordnen ist