Datenschutzerklärung

Ghost Creative (ghostcreative.ai) Stand: 31.08.2026 · Version 1.6 (Interim)

Version v1.6-interim (2026-08-31). Verbindlich ist diese deutsche Fassung. Zusammenfassungen auf Englisch und Spanisch werden nachgereicht. The German version of this privacy policy is authoritative; English and Spanish summaries will follow.

Diese Datenschutzerklärung informiert Sie gemäß Art. 13 und Art. 14 der Datenschutz-Grundverordnung (DSGVO) darüber, welche personenbezogenen Daten wir verarbeiten, zu welchen Zwecken, auf welcher Rechtsgrundlage, wer sie erhält, wohin sie übermittelt werden und wie lange wir sie speichern — wenn Sie unsere Website besuchen, ein Konto anlegen oder unsere KI-gestützten Dienste zur Erstellung von Werbeinhalten („der Dienst") nutzen.

1. Verantwortlicher

Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO ist:

Jan Stoltenberg einzelkaufmännisch handelnd unter der Geschäftsbezeichnung „Ghost Creative" Lerchenhöhe 38 22359 Hamburg Deutschland

E-Mail: jan.stoltenberg@t-online.de Telefon: +49 1590 1488445 USt-IdNr.: DE406978676

Datenschutzbeauftragter: Ein Datenschutzbeauftragter ist nicht bestellt; eine Benennungspflicht besteht nicht (Einzelunternehmen ohne Beschäftigte; die Schwellen des § 38 BDSG und des Art. 37 Abs. 1 DSGVO sind nicht erreicht). Datenschutzanfragen richten Sie bitte an die oben genannte E-Mail-Adresse.

2. Geltungsbereich, Rollen und Grundsätze

2.1 Geltungsbereich. Diese Erklärung gilt für die Website ghostcreative.ai einschließlich aller Unterseiten, für das Nutzer-Dashboard und für alle damit verbundenen Verarbeitungen.

2.2 Unsere Rolle — Verantwortlicher und Auftragsverarbeiter. Für die in dieser Erklärung beschriebenen Verarbeitungen sind wir grundsätzlich Verantwortlicher (Art. 4 Nr. 7 DSGVO): für Konto-, Login-, Abrechnungs-, Nutzungs- und Analysedaten, für den Betrieb des Dienstes sowie für personenbezogene Daten, die Sie über sich selbst einbringen (einschließlich eigener Gesichts- und Stimmreferenzen). Soweit Geschäftskunden über den Dienst Inhalte hochladen, die personenbezogene Daten dritter Personen enthalten (z. B. Fotos von Mitarbeitenden oder Models), verarbeiten wir diese Inhalte als Auftragsverarbeiter (Art. 4 Nr. 8 DSGVO) im Auftrag des Kunden; Verantwortlicher für diese Inhalte ist der Kunde, der für eine Rechtsgrundlage und erforderliche Einwilligungen der abgebildeten Personen einzustehen hat. Die Rechte der abgebildeten Personen uns gegenüber bleiben davon unberührt (Abschnitt 16).

2.3 Keine Schönfärberei. Wir beschreiben in dieser Erklärung nur Verarbeitungen, die tatsächlich stattfinden. Funktionen, die erst künftig aktiviert werden, sind ausdrücklich als solche gekennzeichnet. Wo eine schriftliche Bestätigung eines Dienstleisters noch aussteht, sagen wir das offen (Abschnitte 12 und 13).

2.4 Was wir NICHT einsetzen. Auf ghostcreative.ai laufen kein Google Analytics und keine Werbe-Tracker außer den in Abschnitt 4.4 beschriebenen Meta-Technologien. Schriftarten werden lokal ausgeliefert (Systemschriften); es findet kein Abruf von Google Fonts und damit keine diesbezügliche Datenübermittlung an Google statt.

2.5 Meta-Pixel und Conversions API (seit 11.08.2026 vorhanden, nur mit Einwilligung). Seit dem 11.08.2026 binden wir den Meta-Pixel ein und können Ereignisse zusätzlich serverseitig über Metas Conversions API melden. Beides ist vollständig einwilligungsabhängig: ohne Ihre ausdrückliche Einwilligung in die Kategorie „Marketing" wird weder das Pixel-Skript geladen noch ein serverseitiges Ereignis gesendet. Einzelheiten in Abschnitt 4.4.

3. Website-Besuch und Hosting (Server-Logfiles)

Zweck: Auslieferung der Website, Stabilität, Fehlerdiagnose, Abwehr von Angriffen (z. B. Rate-Limiting bei Login-Versuchen).

Verarbeitete Daten: IP-Adresse, Datum und Uhrzeit des Abrufs, aufgerufene URL, Referrer-URL, übertragene Datenmenge, HTTP-Statuscode, Browsertyp/-version, Betriebssystem (technische Server- und Anwendungs-Logs).

Empfänger: Unser Hosting-Anbieter Render (Render Services, Inc., USA) als Auftragsverarbeiter. Unser zeitgesteuerter Hintergrunddienst (Cron) läuft in der Region Frankfurt (EU). Beim Haupt-Webdienst können Server-Logs (einschließlich IP-Adressen) auch in den USA verarbeitet werden; wir behandeln die Zugriffsdaten deshalb vorsorglich als Gegenstand einer Drittlandübermittlung (Abschnitt 13).

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am sicheren, stabilen Betrieb der Website).

Drittlandtransfer: Render ist ein US-Unternehmen. Die Übermittlung stützen wir auf EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO), die Bestandteil der Auftragsverarbeitungsbedingungen des Anbieters sind, sowie ergänzend auf den Angemessenheitsbeschluss zum EU-US Data Privacy Framework (DPF), soweit der Anbieter aktuell zertifiziert ist (Abschnitt 13).

Speicherdauer: Server- und Anwendungs-Logs werden automatisch nach kurzer Zeit überschrieben bzw. gelöscht (Render-Standard, in der Regel maximal 30 Tage). Rohe IP-Adressen werden von uns nicht darüber hinaus dauerhaft gespeichert; bei der Feedback-Funktion wird lediglich das aus der IP abgeleitete Herkunftsland (nicht die IP selbst) gespeichert.

4. Cookies und Einwilligungsverwaltung

4.1 Essenzielle Cookies und Speicherzugriffe

Ohne Ihre Einwilligung setzen wir ausschließlich die folgenden Cookies und Speicherzugriffe ein — sie sind für den Betrieb des Dienstes bzw. für eine von Ihnen aktiv angestoßene Funktion erforderlich:

Rechtsgrundlage: § 25 Abs. 2 Nr. 2 TDDDG (unbedingte Erforderlichkeit) i. V. m. Art. 6 Abs. 1 lit. b DSGVO (Login, Spracheinstellung als Teil des angeforderten Dienstes) bzw. Art. 6 Abs. 1 lit. f DSGVO (Nachweis und Beachtung Ihrer Consent-Entscheidung). Für gc_ref: § 25 Abs. 2 Nr. 2 TDDDG i. V. m. Art. 6 Abs. 1 lit. f DSGVO — unser berechtigtes Interesse ist die korrekte Zuordnung von Empfehlungen in unserem Referral-Programm; das Cookie wird nur beim aktiven Aufruf eines Empfehlungslinks gesetzt und dient keiner weitergehenden Profilbildung. Für diese Cookies ist keine Einwilligung erforderlich.

4.2 Cookie-Banner, Widerruf, Global Privacy Control

Nicht-essenzielle Cookies und Analyse-Tools sind standardmäßig deaktiviert. Beim ersten Besuch zeigen wir einen Cookie-Banner mit gleichwertigen Schaltflächen („Akzeptieren" / „Ablehnen"); ohne Ihre ausdrückliche Einwilligung wird das unten beschriebene Analyse-Tool nicht geladen und es werden keine Analyse-Cookies gesetzt.

• Widerruf: Sie können Ihre Entscheidung jederzeit mit Wirkung für die Zukunft ändern — über den Link „Cookie-Einstellungen" im Seitenfuß oder auf der Seite https://ghostcreative.ai/cookies.
• Bei Ablehnung oder Widerruf werden die Analyse-Cookies (_clck, _clsk) aktiv gelöscht und das Tool wird nicht (mehr) geladen.
• Global Privacy Control (GPC): Sendet Ihr Browser ein GPC-Signal, werten wir dies als Ablehnung; der Banner erscheint dann gar nicht erst und es wird keine Einwilligung abgefragt.

Hinweis zur Historie: In einer früheren Version der Website wurde das Analyse-Tool ohne vorherige Einwilligung geladen; dieses Verhalten wurde am 09.06.2026 korrigiert. Seither sind nicht-essenzielle Tools standardmäßig deaktiviert und werden erst nach Ihrer ausdrücklichen Einwilligung geladen.

4.3 Microsoft Clarity (Sitzungsanalyse — nur mit Einwilligung)

Was es ist: Wir nutzen als einziges Analyse-Tool Microsoft Clarity (Microsoft Ireland Operations Ltd., One Microsoft Place, Dublin, Irland; Mutterkonzern: Microsoft Corporation, USA) zur Analyse des Nutzungsverhaltens, einschließlich Session-Replay (Aufzeichnung von Maus-, Klick-, Scroll- und Seitenereignissen einer Sitzung).

Verarbeitete Daten: Interaktionsereignisse (Klicks, Scrollen, Mausbewegungen), besuchte Seiten, Geräte- und Browserinformationen, ungefähre Herkunft (aus der IP-Adresse abgeleitet), Cookies _clck (Wiedererkennung des Browsers, Laufzeit ca. 12 Monate) und _clsk (Sitzungszuordnung, Laufzeit 1 Tag). Eingabefelder (z. B. Formulareingaben) werden in den Aufzeichnungen maskiert. Inhalte, die Sie im Dashboard hochgeladen oder generiert haben (einschließlich Bildern mit Gesichtern), sind in den Aufzeichnungen dagegen sichtbar und werden nicht maskiert. Bei eingeloggten Nutzern übergeben wir an Clarity eine pseudonyme Nutzer-Kennung (Ihre interne Auth-User-ID, nicht Ihre E-Mail-Adresse als Kennung) sowie als Anzeigenamen Ihren Vornamen (ist kein Vorname hinterlegt, ersatzweise Ihre E-Mail-Adresse) und Segmentierungs-Tags (z. B. Kontotyp, Tarif, Sprache). Wird ersatzweise die E-Mail-Adresse als Anzeigename übermittelt, hebt dies die Pseudonymisierung faktisch auf und kann Sie in den Sitzungsaufzeichnungen identifizierbar machen; Sie können Ihre Einwilligung jederzeit widerrufen (Abschnitt 4.2).

Zweck: Verständnis der Nutzung, Auffinden von Bedienproblemen und Fehlern, Verbesserung des Dienstes.

Rechtsgrundlage: Ihre Einwilligung — § 25 Abs. 1 TDDDG (Speicherzugriff) i. V. m. Art. 6 Abs. 1 lit. a DSGVO (nachgelagerte Verarbeitung). Ohne Einwilligung findet keine Aufzeichnung statt. Widerruf jederzeit gemäß Abschnitt 4.2 (Art. 7 Abs. 3 DSGVO); die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt.

Drittlandtransfer: Die Verarbeitung erfolgt (auch) in den USA. Microsoft Corporation ist unter dem EU-US Data Privacy Framework zertifiziert; ergänzend bestehen EU-Standardvertragsklauseln.

Speicherdauer: Nach Angaben von Microsoft werden Sitzungsaufzeichnungen ca. 30 Tage, aggregierte Analysedaten bis zu 13 Monate gespeichert.

4.4 Meta-Pixel und Conversions API (Reichweitenmessung — nur mit Einwilligung)

Was es ist: Um zu messen, welche unserer Werbeanzeigen tatsächlich zu Registrierungen führen, setzen wir Technologien der Meta Platforms Ireland Limited (Merrion Road, Dublin 4, D04 X2K5, Irland) ein: den Meta-Pixel (JavaScript im Browser) und die Conversions API (Meldung von Ereignissen unmittelbar von unserem Server an Meta). Der Pixel wird erst geladen, nachdem Sie in die Kategorie „Marketing" eingewilligt haben; ohne Einwilligung wird die Domain connect.facebook.net nicht einmal kontaktiert.

Verarbeitete Daten: Seitenaufruf und die Ereignisse Lead (abgeschlossene Registrierung) und Purchase (Kauf), jeweils mit Zeitpunkt und Ereignis-Kennung; die Meta-eigenen Cookies _fbp (Browser-Kennung, Laufzeit ca. 90 Tage) und _fbc (Klick-Kennung aus der Anzeige, Laufzeit ca. 90 Tage); die Kampagnen-Kennungen der Anzeige (utm_*); Ihre IP-Adresse und die Browserkennung (technisch unvermeidbar beim Verbindungsaufbau). Bei den serverseitigen Ereignissen übermitteln wir Ihre E-Mail-Adresse ausschließlich als SHA-256-Hashwert (Abgleich mit Meta-Konten), niemals im Klartext, und keine IP-Adresse; ebenso eine gehashte Kennung Ihres Nutzerkontos (SHA-256) und beim Ereignis Purchase zusätzlich Kaufbetrag und Währung. Inhalte, die Sie hochladen oder erzeugen, werden nicht übermittelt.

Zweck: Messung des Werbeerfolgs (welche Anzeige führte zu einer Registrierung) sowie Optimierung der Auslieferung unserer Anzeigen. Browser- und Servermeldung tragen dabei eine gemeinsame Ereignis-Kennung, damit dasselbe Ereignis nicht doppelt gezählt wird.

Rechtsgrundlage: Ihre Einwilligung — § 25 Abs. 1 TDDDG (Speicherzugriff) i. V. m. Art. 6 Abs. 1 lit. a DSGVO. Widerruf jederzeit gemäß Abschnitt 4.2 (Art. 7 Abs. 3 DSGVO); ein gesetztes Global-Privacy-Control-Signal Ihres Browsers behandeln wir als wirksamen Widerspruch und unterbinden dann sowohl das Pixel als auch die serverseitige Meldung. Eine Ausnahme betrifft den Bezahlvorgang: Ihre Marketing-Entscheidung wird bei dessen Start festgehalten, weil die spätere Zahlungsbestätigung von unserem Zahlungsdienstleister kommt und Ihr Browser daran nicht mehr beteiligt ist. Ein Widerruf während eines bereits laufenden Bezahlvorgangs kann diese eine Meldung daher nicht mehr verhindern; alle späteren Verarbeitungen unterbleiben.

Gemeinsame Verantwortlichkeit: Für die Erhebung und Übermittlung der Daten an Meta sind wir und Meta Platforms Ireland gemeinsam Verantwortliche (Art. 26 DSGVO); für die anschließende Weiterverarbeitung durch Meta ist Meta allein verantwortlich. Grundlage ist der Zusatz für Verantwortliche; die wesentlichen Inhalte der Vereinbarung stellt Meta dort bereit. Betroffenenrechte können Sie sowohl uns gegenüber als auch gegenüber Meta geltend machen.

Drittlandtransfer: Eine Verarbeitung in den USA ist nicht ausgeschlossen. Meta Platforms, Inc. ist unter dem EU-US Data Privacy Framework zertifiziert; ergänzend bestehen EU-Standardvertragsklauseln.

Speicherdauer: Die Laufzeit der genannten Cookies beträgt jeweils ca. 90 Tage; Ereignisdaten speichert Meta nach eigenen Angaben in aggregierter Form. Bei einem Widerruf löschen wir _fbp, _fbc und unsere eigene Kampagnen-Kennung im Browser.

Eigene Zuordnung ohne Meta: Unabhängig davon speichern wir bei einer Registrierung die Kampagnen-Kennungen der Anzeige (utm_*) an Ihrem Konto, um zu wissen, über welche Anzeige Sie zu uns gefunden haben. Auch diese Erfassung ist an Ihre Marketing-Einwilligung geknüpft; die Daten verlassen dabei unsere eigenen Systeme nicht.

5. Registrierung und Nutzerkonto

Zweck: Bereitstellung Ihres Kontos, Authentifizierung (Login per E-Mail-Code/„Magic Link"; in einem älteren Login-Pfad auch per Passwort), Verwaltung Ihrer Markenprofile und Guthaben (Credits), Kundenbetreuung.

Verarbeitete Daten: E-Mail-Adresse, Vorname, ggf. Passwort (ausschließlich als kryptografischer Hash gespeichert), ggf. Telefonnummer (sofern Sie diese für Benachrichtigungen angegeben haben), Markendaten (Markenname, Beschreibung, Farben, Tonalität, Zielgruppe, Social-Media-Handles, Produktinformationen), Kontoeinstellungen, Tarif- und Guthabenstand, Nutzungsdaten des Dashboards.

Empfänger: Supabase (Supabase, Inc., USA) für Authentifizierung, Datenbank und Datei-Speicher; eine Verarbeitung (auch) in den USA können wir derzeit nicht ausschließen und behandeln die Übermittlung deshalb vorsorglich als Drittlandtransfer (Abschnitt 13); Airtable (Formagrid, Inc., USA) als Auftragsverarbeiter für die Speicherung und Verwaltung von Konto-, Profil- und Inhaltsdatensätzen unter unserer Kontrolle — Airtable verarbeitet diese Daten ausschließlich nach unserer Weisung und erhält keinen darüber hinausgehenden Zugriff; Make.com (Make Automation s.r.o., Prag, Tschechien — Teil der Celonis-Gruppe) für Workflow-Automatisierung; unser Make-Konto läuft in der US-Zone (us2), d. h. die in Workflows verarbeiteten Daten werden in den USA verarbeitet.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung bzw. vorvertragliche Maßnahmen).

Drittlandtransfer: siehe Abschnitt 13.

Speicherdauer: Für die Dauer des Vertragsverhältnisses. Sie können Ihr Konto im Dashboard selbst schließen (Abschnitt 15); ein automatischer Lösch-Lauf, der danach sämtliche zugehörigen Inhalts- und Datensätze entfernt, existiert derzeit noch nicht. Die vollständige Löschung Ihrer Daten erfolgt auf Anfrage (Abschnitt 15), soweit keine gesetzlichen Aufbewahrungspflichten (insb. § 147 AO) entgegenstehen.

6. Onboarding: Chat, Datei-Uploads, Website-Analyse und Instagram-Import

6.1 Onboarding-Chat und Uploads (auch vor Registrierung)

Beim Einstieg in den Dienst — teilweise bevor ein Konto besteht — können Sie im Chat-Onboarding Angaben machen und Dateien hochladen:

Verarbeitete Daten: Vorname, E-Mail-Adresse, ggf. Telefonnummer und bevorzugter Benachrichtigungskanal; hochgeladene Fotos (einschließlich Gesichts-Nahaufnahmen von Ihnen), Produkt- und Markenbilder, Logos, ggf. Sprachaufnahmen; Freitexte aus dem Chat. Die Chat-Verläufe des Onboardings werden zu Qualitäts- und Supportzwecken gespeichert (Airtable). Hochgeladene Dateien werden im Supabase-Datei-Speicher abgelegt; Metadaten und extrahierte Informationen — gegebenenfalls auch Datei-Kopien als Anhänge — werden zusätzlich in Airtable gespeichert. Beide Anbieter sind Auftragsverarbeiter und Empfänger (Abschnitt 12). Geben Sie vor der Registrierung Daten an, legen wir einen Interessenten-Datensatz („Lead") an; schließen Sie die Registrierung mit derselben E-Mail-Adresse ab, wird dieser mit Ihrem Konto zusammengeführt.

Automatische KI-Analyse der Uploads: Hochgeladene Bilder werden zur Einordnung (Kategorie, beschreibende Tags) und — bei Referenzbildern für die Video-Generierung — zur Erkennung, OB ein Gesicht im Bild vorhanden ist (Klassifikation „kein / teilweises / vollständiges Gesicht" mit Konfidenzwert), an OpenAI (OpenAI, L.L.C., USA; Vision-Modelle) übermittelt. Dabei werden keine biometrischen Templates („Faceprints"), keine Gesichtsgeometrie-Merkmale und keine Identifikationsvektoren erzeugt oder gespeichert; es findet keine Gesichtserkennung (Identifizierung, Abgleich gegen Datenbanken) statt. Das Klassifikationsergebnis wird als Metadatum zum jeweiligen Bild gespeichert. Nach den OpenAI-API-Bedingungen werden über die API übermittelte Daten nicht zum Training der Modelle verwendet (Abschnitt 7.4).

Zwecke: Einrichtung Ihres Markenprofils, Vorbereitung der Inhalte-Generierung, Inhalts-Sicherheitsprüfung (Routing von Gesichtsbildern in eine geschützte Verarbeitung).

Rechtsgrundlagen: Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahmen auf Ihre Anfrage bzw. Vertragserfüllung) für Entgegennahme und Speicherung; für die KI-Analyse von Bildern mit erkennbaren Personen sowie von Stimmaufnahmen Ihre ausdrückliche Einwilligung (Art. 6 Abs. 1 lit. a, Art. 9 Abs. 2 lit. a DSGVO — Abschnitt 7.3). Diese Einwilligung holen wir in einem gesonderten Einwilligungs-Dialog ein, bevor Gesichts- oder Stimmdaten verarbeitet werden; ohne erteilte Einwilligung werden entsprechende Uploads für die Gesichts-/Stimm-Verarbeitung gesperrt. Jede erteilte Einwilligung protokollieren wir revisionssicher mit Zeitstempel und Versionsstand der Einwilligungserklärung.

Speicherdauer: Uploads und Analyse-Metadaten werden für die Dauer Ihres Kontos gespeichert; Löschung auf Anfrage (Abschnitt 15). Lead-Daten ohne Kontoanlage löschen wir auf Anfrage innerhalb eines Monats (Art. 12 Abs. 3 DSGVO); eine automatische Löschfrist für nicht konvertierte Leads besteht derzeit nicht — wir sagen deshalb bewusst nur die Löschung auf Anfrage zu.

6.2 Website-Analyse („Analyze my website")

Auf Ihren Wunsch analysieren wir eine von Ihnen angegebene Website (z. B. Ihre Unternehmensseite), um Ihr Markenprofil automatisch zu befüllen.

Verarbeitete Daten: Inhalte der angegebenen Startseite und einzelner Unterseiten (z. B. „Über uns"/„Team"): Texte, strukturierte Daten, Bilder. Diese können personenbezogene Daten Dritter enthalten (z. B. Namen, Funktionen und Fotos von Teammitgliedern oder Gründern). Die extrahierten Texte und Bild-URLs werden zur Auswertung an OpenAI übermittelt. Sollten wir für den technischen Abruf oder die Auswertung künftig weitere Dienstleister einsetzen, nehmen wir sie vor deren Aktivierung in die Empfängerübersicht in Abschnitt 12 auf.

Zweck: Automatisierte Erstellung Ihres Markenprofils aus öffentlich zugänglichen Informationen Ihrer eigenen Website.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Leistungserbringung Ihnen gegenüber); hinsichtlich personenbezogener Daten Dritter auf der analysierten Website Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse besteht darin, aus öffentlich verfügbaren Geschäftsinformationen automatisiert ein Markenprofil zu erstellen, um die von Ihnen angeforderte Leistung zu erbringen. Die extrahierten Texte können berufliche Angaben und Namen Dritter enthalten, die an OpenAI übermittelt werden; Sie dürfen nur Websites angeben, zu deren Analyse — einschließlich der Übermittlung dieser öffentlichen Daten an OpenAI — Sie berechtigt sind. Für abgebildete oder genannte Dritte (z. B. auf einer Team-Seite) gelten die Informationen nach Art. 14 DSGVO; siehe Abschnitt 16.

Information genannter bzw. abgebildeter Dritter (Art. 14 DSGVO): Eine individuelle Benachrichtigung der auf der analysierten Website genannten oder abgebildeten Personen erfolgt nicht; wir berufen uns insoweit auf die Ausnahme des Art. 14 Abs. 5 lit. b DSGVO (unverhältnismäßiger Aufwand), da uns keine Kontaktdaten dieser Personen vorliegen, die Daten öffentlich verfügbar sind und ausschließlich der Beschreibung der Marke des Nutzers dienen — nicht einer eigenständigen Zweckverarbeitung. Betroffene Dritte können jederzeit Auskunft, Löschung oder Widerspruch nach Abschnitt 16 geltend machen.

Speicherdauer: Extrahierte Profilinformationen werden Teil Ihres Markenprofils (Speicherdauer wie Abschnitt 5); Roh-Scrape-Daten werden nicht dauerhaft vorgehalten.

6.3 Instagram-Import („Profil von Instagram übernehmen")

Auf Ihren Wunsch können wir Ihr Markenprofil aus einem von Ihnen angegebenen, öffentlichen Instagram-Profil (in der Regel Ihrem eigenen Unternehmens-Profil) automatisch befüllen bzw. aktualisieren („Instagram-Import"). Der Import startet ausschließlich auf Ihre ausdrückliche Anforderung hin — niemals automatisch. Dabei bestätigen Sie, dass Sie berechtigt sind, das angegebene Profil für diesen Zweck zu nutzen.

Verarbeitete Daten: öffentlich zugängliche Informationen des angegebenen Kontos — Profilbeschreibung (Bio), Profilbild, in der Bio hinterlegte Links, Follower- und Beitragszahlen sowie die jüngsten Beiträge (derzeit bis zu ca. 12) einschließlich Bildunterschriften und Bildern. Beiträge und Bilder können personenbezogene Daten Dritter enthalten (z. B. abgebildete Mitarbeitende, Kundinnen und Kunden oder andere Personen sowie in Bildunterschriften genannte Namen und @-Handles). Nicht-öffentliche (private) Profile können auf diesem Weg nicht abgerufen werden; Stories werden nicht abgerufen.

Ablauf und Empfänger: Der Abruf erfolgt zunächst direkt über die öffentliche Instagram-Webschnittstelle, ohne Login. Schlägt dieser Abruf fehl (z. B. wegen technischer Blockierung), setzen wir als Ausweichweg den Dienst Apify (Apify Technologies s.r.o., Prag, Tschechien) als Auftragsverarbeiter für den technischen Abruf ein; Apify nutzt dabei u. a. Residential-Proxy- und Cloud-Infrastruktur, eine Verarbeitung (auch) in den USA ist nicht ausgeschlossen (Abschnitte 12 und 13). Importierte Bilder werden zur Einordnung (Kategorie, beschreibende Tags) sowie zur Erkennung, OB ein Gesicht im Bild vorhanden ist, an OpenAI (Vision-Modelle, USA) übermittelt — wie in Abschnitt 6.1 gilt: keine biometrischen Templates, keine Gesichtsgeometrie-Merkmale, keine Gesichtserkennung. Für die Text-Extraktion und die Profil-Synthese können wir neben OpenAI auch Anthropic (Anthropic, PBC, USA) einsetzen. Weil die von Instagram ausgelieferten Bild-URLs nach kurzer Zeit ablaufen, laden wir die importierten Bilder herunter und speichern sie erneut in unserem Supabase-Datei-Speicher („Re-Hosting"); Metadaten und extrahierte Profilinformationen werden zusätzlich in Airtable gespeichert (Abschnitt 12).

Zweck: Automatisierte Ersteinrichtung bzw. Aktualisierung Ihres Markenprofils (Markenbeschreibung, Tonalität, Referenzbilder) aus den öffentlichen Informationen des angegebenen Instagram-Profils.

Rechtsgrundlagen: Ihnen gegenüber Art. 6 Abs. 1 lit. b DSGVO (Leistungserbringung auf Ihre Anforderung). Hinsichtlich personenbezogener Daten Dritter in den importierten Inhalten Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse besteht darin, aus den öffentlich verfügbaren Informationen des vom Nutzer angegebenen Geschäfts-Profils automatisiert dessen Markenprofil zu erstellen. Bei der Abwägung haben wir insbesondere berücksichtigt: Verarbeitet werden ausschließlich Daten, die der Profilinhaber selbst öffentlich eingestellt hat; die Verarbeitung dient allein der Beschreibung der Marke des Nutzers und keiner eigenständigen Auswertung, Profilbildung oder Identifizierung der abgebildeten bzw. genannten Personen; und betroffene Dritte können der Verarbeitung jederzeit widersprechen (Art. 21 DSGVO, Abschnitt 16). Sie dürfen nur Instagram-Profile angeben, zu deren Nutzung für diesen Zweck Sie berechtigt sind.

Information genannter bzw. abgebildeter Dritter (Art. 14 DSGVO): Eine individuelle Benachrichtigung der in importierten Beiträgen abgebildeten oder genannten Personen erfolgt nicht; wir berufen uns insoweit auf die Ausnahme des Art. 14 Abs. 5 lit. b DSGVO (unverhältnismäßiger Aufwand), da uns keine Kontaktdaten dieser Personen vorliegen, die Daten öffentlich verfügbar sind und ausschließlich der Beschreibung der Marke des Nutzers dienen — nicht einer eigenständigen Zweckverarbeitung. Betroffene Dritte können jederzeit Auskunft, Löschung oder Widerspruch nach Abschnitt 16 geltend machen.

Speicherdauer: Importierte Profilinformationen und re-gehostete Bilder werden Teil Ihres Markenprofils und für dessen Dauer gespeichert. Löschen Sie das Markenprofil oder Ihr Konto, werden die zugehörigen Dateien in unserem Datei-Speicher gelöscht; bei der Kontolöschung geschieht dies durch Löschung des gesamten nutzerbezogenen Speicherbereichs. Roh-Abrufdaten werden nicht dauerhaft vorgehalten. Im Übrigen gilt Abschnitt 15 (Löschung auf Anfrage).

7. KI-Generierung von Werbeinhalten (einschließlich Gesichts- und Stimmreferenzen)

7.1 Was passiert

Kern des Dienstes ist die Erstellung von Werbebildern, Karussells, Stories und Videos durch KI-Modelle. Dazu werden Ihre Eingaben (Briefings, Prompts, Markendaten) und Ihre Referenzdateien (Bilder — auch mit Ihrem Gesicht —, ggf. Stimmaufnahmen, Produktfotos) an externe KI-Anbieter übermittelt:

• OpenAI (USA): Text-/Bildverständnis, Konzept- und Prompt-Erstellung. Wenn Sie ein Ergebnis als „Winner" markieren, speichern wir den zugehörigen Prompt-Text und senden ihn als Kontext in spätere Generierungsläufe an OpenAI („Prompt-Gedächtnis" — kein Modelltraining, die Modellgewichte werden nicht verändert).
• fal.ai (Features & Labels, Inc., USA): Routing bzw. GPU-Inferenz für Bild- und Video-Generierung. fal.ai leitet die Generierung an die jeweiligen Modellbetreiber weiter — derzeit insbesondere an ByteDance-Modelle („Seedance"/„Seedream"); für diese Modelle erfolgt die eigentliche Verarbeitung nach Anbieterauskunft auf ByteDance-Seite (Abschnitt 13.3). ByteDance ist ein Konzern mit Hauptsitz in der Volksrepublik China; nach Anbieterauskunft (schriftliche Bestätigung ausstehend) erfolgt die Verarbeitung auf Infrastruktur in Singapur und Indonesien (Einzelheiten und Risiken: Abschnitt 13.3).
• Segmind (Segmind, Inc., USA): zweiter Inference-Anbieter für die Seedance-Video-Generierung; leitet ebenfalls an die ByteDance-Seedance-Modelle weiter (Abschnitt 13.3 gilt entsprechend). Personen-Referenzen (Gesichts-/Stimmreferenzen) sind vom Segmind-Pfad technisch ausgeschlossen und werden ausschließlich über fal.ai verarbeitet.
• Kling (Kuaishou) — über fal.ai: Das Modell „Kling" wird von Kuaishou Technology betrieben, einem Konzern mit Hauptsitz in Peking, Volksrepublik China. Wir setzen es ausschließlich als Ausweichmodell für Video-Generierungen mit Gesichts-Referenz ein: wenn das primäre Modell (Seedance) eine erkennbare reale Person ablehnt, kann genau dieser eine Auftrag über Kling erzeugt werden — nur wenn er dafür geeignet ist. Stimmaufnahmen und Audio-Referenzen gehen NIE an Kling (das Modell hat gar keinen Audio-Eingang); solche Aufträge sind vom Kling-Pfad ausgeschlossen, ebenso 4K-Aufträge und Aufträge ohne erzeugtes Startbild. Der Zugang erfolgt nur über fal.ai; wir haben keinen direkten Vertrag mit Kuaishou. Zum Verarbeitungsstandort liegt uns keine Anbieterauskunft vor — anders als bei ByteDance können wir also nicht einmal eine Angabe zu Singapur/Indonesien wiedergeben; eine Verarbeitung in der VR China ist damit nicht ausgeschlossen (Einzelheiten und Risiken: Abschnitt 13.3).
• Generierte Inhalte werden in unserer Infrastruktur (Supabase-Speicher, Airtable) gespeichert und Ihnen im Dashboard bereitgestellt.

An die Generierungs-Anbieter übermitteln wir keine Kontodaten des Nutzers (Name, E-Mail-Adresse); übertragen werden die Referenzdateien bzw. deren Abruf-URLs, die Prompts und technische Parameter. In Referenzdateien und Prompts können jedoch personenbezogene Daten enthalten sein, die Sie selbst eingebracht haben — einschließlich personenbezogener Daten Dritter (z. B. aus der Website-Analyse nach Abschnitt 6.2 übernommene Namen).

7.2 Zwecke und Rechtsgrundlagen

Zweck: Erbringung der vertraglich geschuldeten Leistung — Generierung der von Ihnen angeforderten Inhalte.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung). Für Gesichts- und Stimmdaten zusätzlich Abschnitt 7.3.

7.3 Gesichts- und Stimmreferenzen — besondere Kategorien (Art. 9 DSGVO)

Wenn Sie Fotos Ihres Gesichts oder Aufnahmen Ihrer Stimme als Referenz hochladen, damit generierte Anzeigen Sie zeigen bzw. wie Sie klingen, behandeln wir diese Daten mit besonderer Vorsicht. Auch wenn wir keine biometrischen Identifikations-Templates erzeugen (Abschnitt 6.1), stützen wir die Verarbeitung vorsorglich auf Ihre ausdrückliche Einwilligung nach Art. 9 Abs. 2 lit. a i. V. m. Art. 6 Abs. 1 lit. a DSGVO, die wir in einem gesonderten Einwilligungs-Dialog vor der Verarbeitung einholen. Ohne diese Einwilligung findet keine Gesichts-/Stimm-Verarbeitung statt; jede Einwilligung wird mit Zeitstempel und Versionsstand revisionssicher protokolliert.

Es gilt:

• Kein KI-Training: Wir verwenden Ihre Inhalte — insbesondere Gesichts- und Stimmdaten — nicht zum Trainieren, Feinabstimmen oder Entwickeln von KI-Modellen. Eine Nutzung Ihrer eigenen Gesichts-/Stimmdaten zu Trainingszwecken käme ausschließlich auf Grundlage einer gesonderten, freiwilligen, nicht vorangekreuzten und jederzeit widerruflichen Einwilligung in Betracht; eine solche Opt-in-Funktion wird derzeit nicht angeboten. Gesichter, Stimmen oder Bildnisse anderer Personen als der einwilligenden Person werden niemals für Training verwendet — mit oder ohne Opt-in des Hochladenden.
• Keine Gesichtserkennung: Wir identifizieren niemanden, gleichen keine Gesichter ab und erstellen keine Faceprints (Abschnitt 6.1).
• Drittland-Einwilligung (China): Für Generierungen über fal.ai mit Modellen chinesischer Anbieter — Seedance/Seedream (ByteDance) und Kling (Kuaishou) — holen wir vor dem ersten Upload einer Gesichts- oder Stimmreferenz zusätzlich Ihre ausdrückliche Einwilligung in die mögliche Verarbeitung über China-verbundene Infrastruktur nach Art. 49 Abs. 1 lit. a DSGVO ein — im selben Einwilligungs-Dialog, mit Risikoaufklärung (Abschnitt 13.3). Sie können diese Einwilligung jederzeit widerrufen; nach Widerruf führen wir keine Verarbeitung über fal.ai/ByteDance/Kuaishou mehr für Sie durch, bis Sie sie erneut erteilen. Stimmreferenzen erreichen nur die ByteDance-Modelle, nie Kling/Kuaishou.
• Widerruf: Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3 DSGVO) — formlos an die in Abschnitt 1 genannte E-Mail-Adresse. Nach Widerruf verwenden wir Ihre Gesichts-/Stimmreferenzen nicht mehr für neue Generierungen und löschen sie auf Wunsch (Abschnitt 15).
• Dritte Personen in Ihren Uploads: Laden Sie Inhalte hoch, die andere erkennbare Personen zeigen, sind Sie dafür verantwortlich, deren vorherige, ausdrückliche und dokumentierte Einwilligung einzuholen — einschließlich der KI-Verarbeitung und der Drittlandübermittlung. Die Rechte der abgebildeten Personen uns gegenüber bleiben unberührt (Abschnitt 16).

7.4 Speicherdauer

Referenzdateien, Prompts und generierte Inhalte speichern wir für die Dauer Ihres Kontos; Löschung auf Anfrage (Abschnitt 15). Bei OpenAI gelten kurzfristige Aufbewahrungen nach den OpenAI-API-Bedingungen (bis zu 30 Tage zur Missbrauchskontrolle; kein Training auf API-Daten). Für fal.ai und die nachgelagerten Modellbetreiber liegen uns derzeit keine schriftlich bestätigten Speicherfristen vor; wir sagen deshalb keine konkrete Frist zu und arbeiten an der schriftlichen Bestätigung. Für Segmind weist die Anbieter-Dokumentation aus, dass Ausgaben (generierte Videos) rund 7 Tage vorgehalten und danach automatisch gelöscht werden, während Prompts und Konfigurationsparameter gespeichert werden; ob dies auch für die nachgelagerte ByteDance-Verarbeitung gilt, ist offen — eine schriftliche vertragliche Bestätigung steht auch hier aus. Für Kuaishou („Kling", nur als Ausweichmodell über fal.ai) liegen uns keinerlei bestätigte Speicherfristen vor.

8. Öffentliche Freigabe-Links

Wenn Sie für ein generiertes Ergebnis einen öffentlichen Freigabe-Link erstellen (z. B. /g/<code>), ist der verlinkte Inhalt für jede Person mit Kenntnis des Links abrufbar — ohne Login. Optional von Ihnen angegebene Empfängernamen werden auf der Freigabeseite angezeigt. Erstellen Sie einen solchen Link nur, wenn Sie zur Veröffentlichung des Inhalts berechtigt sind und alle abgebildeten Personen eingewilligt haben. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Ausführung Ihrer Freigabe-Anweisung). Speicherdauer: bis Sie den Link deaktivieren bzw. löschen oder die Löschung des Inhalts verlangen. Bitte beachten Sie: Auch nach Deaktivierung eines Freigabe-Links können die zugrunde liegenden Datei-URLs im Speicher technisch noch abrufbar bleiben, bis die Datei selbst gelöscht ist; die Löschung der Datei können Sie jederzeit nach Abschnitt 15 verlangen.

9. Zahlungsabwicklung (Stripe)

Die Online-Zahlungsabwicklung ist seit dem 18.06.2026 aktiviert. Zahlungen (Tarif-Abonnements und Credit-Pakete) werden über Stripe abgewickelt (Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Dublin 2, Irland; Konzernmutter: Stripe, Inc., USA). Stripe erhält dabei: Name, E-Mail-Adresse, Rechnungsdaten, Zahlungsmittel-Informationen (Kartendaten werden ausschließlich bei Stripe verarbeitet — wir erhalten nur eine tokenisierte Referenz sowie Transaktionsstatus und Betrugs-Signale), Betrag, Währung, Tarif. Stripe ist insoweit teils Auftragsverarbeiter, teils eigenständig Verantwortlicher (z. B. für regulatorische Pflichten der Zahlungsabwicklung).

Rechtsgrundlagen: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung/Bezahlung) und Art. 6 Abs. 1 lit. c DSGVO (handels- und steuerrechtliche Pflichten).

Drittlandtransfer: Stripe, Inc. ist auf Grundlage von EU-Standardvertragsklauseln bzw. des EU-US Data Privacy Framework, soweit zertifiziert, eingebunden (Abschnitt 13).

Speicherdauer: Abrechnungs- und Buchungsunterlagen bewahren wir entsprechend den gesetzlichen Fristen auf (bis zu zehn Jahre, § 147 AO).

10. Transaktionale E-Mails

Zweck: Versand funktionaler E-Mails — Login-Codes/„Magic Links", Benachrichtigungen über fertige Generierungen, Guthaben- und Service-Mitteilungen.

Empfänger: Resend (Resend, Inc., USA) für Produkt-Benachrichtigungen; Login-E-Mails werden derzeit über die E-Mail-Infrastruktur von Supabase versendet. Übermittelt werden Empfänger-Adresse, Vorname/Markenname, Sprache und der funktionale Inhalt der jeweiligen Nachricht. Das bedeutet: Transaktionale E-Mails werden zusammen mit Ihrem Vornamen bzw. Markennamen an Resend übermittelt; dies ist erforderlich, um personalisierte Benachrichtigungen zuzustellen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung); für betriebsnotwendige Hinweise außerhalb der Kernleistung Art. 6 Abs. 1 lit. f DSGVO.

Service- und Re-Engagement-E-Mails: Gelegentlich senden wir registrierten Nutzern Hinweise zu ihrem eigenen Konto — z. B. eine einmalige Erinnerung kurz nach der Registrierung, dass ungenutzte Credits im Konto bereitliegen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse, Nutzer über den Stand ihres Kontos und die Nutzbarkeit bereits eingeräumter Leistungen zu informieren) bzw. — soweit es sich um Werbung für eigene ähnliche Leistungen gegenüber Bestandskunden handelt — § 7 Abs. 3 UWG. Sie können solchen E-Mails jederzeit mit Wirkung für die Zukunft widersprechen (Art. 21 Abs. 2 DSGVO): über den Abmelde-Hinweis in der jeweiligen E-Mail oder formlos an die in Abschnitt 1 genannte E-Mail-Adresse. Den Widerspruch vermerken wir in Ihrem Konto; danach erhalten Sie keine solchen E-Mails mehr. Darüber hinausgehende Werbe-E-Mails versenden wir nur mit Ihrer vorherigen Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 7 UWG).

Einwilligung in Produkt- und Tipp-E-Mails (seit 31. August 2026). Bei der Registrierung weisen wir alle Nutzerinnen und Nutzer sichtbar darauf hin, dass wir gelegentlich Tipps und Produktneuigkeiten per E-Mail versenden. Erfolgt der Zugriff aus der Europäischen Union, dem Europäischen Wirtschaftsraum oder dem Vereinigten Königreich, legen wir hierfür zusätzlich ein gesondertes, nicht vorangekreuztes Kontrollkästchen vor; ohne dessen aktive Betätigung versenden wir an diese Nutzer keine solchen E-Mails. Die Zuordnung erfolgt anhand des Landes, das sich aus Ihrer IP-Adresse ergibt; lässt sich das Land nicht bestimmen, zeigen wir das Kontrollkästchen vorsorglich ebenfalls an. Rechtsgrundlage ist insoweit Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 7 Abs. 2 Nr. 2 UWG). Zu jeder Einwilligung speichern wir den Zeitpunkt, die Sprachfassung und die Versionsnummer des Ihnen angezeigten Einwilligungstextes, um die Einwilligung nach Art. 7 Abs. 1 DSGVO nachweisen zu können; einen späteren Widerruf halten wir in derselben Weise fest. Ihre Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3 DSGVO), über den Abmelde-Link in jeder dieser E-Mails oder formlos an die in Abschnitt 1 genannte E-Mail-Adresse. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt. Jede dieser E-Mails enthält unsere vollständige Postanschrift sowie einen Abmelde-Link; zusätzlich unterstützen wir das Ein-Klick-Abmelden nach RFC 8058.

Drittlandtransfer: Resend verarbeitet in den USA; Grundlage sind EU-Standardvertragsklauseln (Bestandteil der Auftragsverarbeitungsbedingungen des Anbieters).

Speicherdauer: Versand-Metadaten werden beim Anbieter nach dessen Bedingungen kurzfristig vorgehalten; wir führen keine darüber hinausgehende E-Mail-Archivierung zu Analysezwecken.

11. Administratives Betriebsmonitoring

Zur Überwachung des technischen Betriebs (z. B. „Pipeline hängt", „Guthaben des KI-Anbieters niedrig") sendet unser System an uns selbst (den Betreiber) Push-Benachrichtigungen über den Dienst ntfy.sh. Diese Meldungen enthalten keine personenbezogenen Kundendaten, sondern ausschließlich technische Status- und Ereignisinformationen. Wir nutzen die öffentliche Instanz von ntfy.sh (https://ntfy.sh) mit einer zufällig generierten, schwer erratbaren Kanal-Kennung; der Dienst bietet keine Ende-zu-Ende-Verschlüsselung. Da ausschließlich technische Betriebsmeldungen ohne Kundendaten übermittelt werden, ist das Datenschutzrisiko begrenzt. Daneben werten wir Ausführungsprotokolle unserer Workflow-Automatisierung (Make.com) und Anwendungs-Logs (Render) aus, die Auftrags-IDs und technische Metadaten enthalten können.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am zuverlässigen, sicheren Betrieb des Dienstes).

Speicherdauer: Workflow-Ausführungsprotokolle und Anwendungs-Logs werden nach den Standardfristen der Anbieter automatisch gelöscht (in der Regel ≤ 30 Tage, abhängig vom jeweiligen Anbieter-Tarif).

12. Empfänger und Auftragsverarbeiter — Übersicht

Wir geben personenbezogene Daten nur an die folgenden Kategorien von Empfängern weiter:

Klarstellung zur Speicherung von Uploads: Hochgeladene Dateien liegen im Supabase-Datei-Bucket (Auslieferung über schwer erratbare URLs, Abschnitt 19); Metadaten und extrahierte Informationen — gegebenenfalls auch Datei-Kopien als Anhänge — werden zusätzlich in Airtable gespeichert. Beide Anbieter sind Auftragsverarbeiter und Empfänger.

Hinweis zur Aktivierung von Stripe: Die Zahlungsabwicklung über Stripe ist seit dem 18.06.2026 aktiv; Stripe ist seither Empfänger personenbezogener Daten und in der obenstehenden Tabelle aufgeführt (Einzelheiten: Abschnitt 9).

Daneben können Daten an Berufsgeheimnisträger und Berater (Steuerberatung, Rechtsberatung, Buchprüfung) sowie — bei entsprechender rechtlicher Verpflichtung — an Behörden (z. B. Finanzbehörden, Strafverfolgung bei gültiger Rechtsgrundlage) übermittelt werden. Im Fall einer Umwandlung der Rechtsform oder Unternehmensübertragung können Daten an den Rechtsnachfolger übergehen; die Schutzstandards dieser Erklärung gelten dann fort.

Wir verkaufen keine personenbezogenen Daten und geben sie nicht für fremde Werbezwecke weiter.

13. Drittlandübermittlungen (Art. 44–49 DSGVO)

13.1 Grundsatz

Mehrere unserer Dienstleister verarbeiten Daten außerhalb der EU/des EWR, insbesondere in den USA. Für diese Übermittlungen stützen wir uns:

• auf die EU-Standardvertragsklauseln (Durchführungsbeschluss (EU) 2021/914; Art. 46 Abs. 2 lit. c DSGVO), ergänzt um technische Maßnahmen (Transportverschlüsselung, Datenminimierung — insbesondere übermitteln wir an KI-Generierungsanbieter keine Kontodaten des Nutzers, vgl. Abschnitt 7.1), und
• auf den Angemessenheitsbeschluss zum EU-US Data Privacy Framework (DPF) (Art. 45 DSGVO), soweit der jeweilige Anbieter aktuell zertifiziert ist.

Mit unseren Auftragsverarbeitern bestehen Datenverarbeitungsverträge nach Art. 28 Abs. 3 DSGVO, in der Regel als Bestandteil der Standard-Vertragsbedingungen des jeweiligen Anbieters; bei Drittlandverarbeitung beziehen diese die EU-Standardvertragsklauseln ein. Für einzelne Anbieter — insbesondere fal.ai und Segmind sowie deren Modellbetreiber (ByteDance und, für das Ausweichmodell Kling, Kuaishou) — arbeiten wir an der schriftlichen Bestätigung der vollständigen Vertragskette; bis dahin übermitteln wir Gesichts- und Stimmreferenzen dorthin ausschließlich auf Grundlage Ihrer ausdrücklichen Einwilligung (Art. 49 Abs. 1 lit. a DSGVO, Abschnitte 7.3 und 13.3). Personen-Referenzen laufen dabei ausschließlich über fal.ai; der Segmind-Pfad ist für Personen-Referenzen technisch ausgeschlossen.

Den jeweils einschlägigen Mechanismus je Anbieter finden Sie in der Tabelle in Abschnitt 12.

13.2 USA

Die USA verfügen über keinen allgemeinen Angemessenheitsbeschluss; das DPF gilt nur für zertifizierte Unternehmen. Bei nicht zertifizierten Anbietern besteht trotz Standardvertragsklauseln das Risiko, dass US-Behörden auf Grundlage US-amerikanischen Rechts (z. B. FISA 702, CLOUD Act) auf Daten zugreifen, ohne dass Ihnen dagegen wirksame Rechtsbehelfe wie in der EU zustehen.

13.3 Volksrepublik China (Modelle chinesischer Anbieter) — besondere Hinweise

Für die KI-Bild- und Video-Generierung nutzen wir über fal.ai und Segmind derzeit Modelle von ByteDance („Seedance"/„Seedream") und — als Ausweichmodell für Video-Generierungen mit Personen-Referenz — über fal.ai das Modell „Kling" von Kuaishou Technology. Beide sind Konzerne mit Hauptsitz in der Volksrepublik China (VRC); ByteDance in Peking bzw. Shanghai, Kuaishou in Peking. Wir legen offen:

• Nach Auskunft von fal.ai (Support, Juli 2026) erfolgt die Verarbeitung der Seedance-/Seedream-Generierungen auf ByteDance-Seite auf Infrastruktur in Singapur und Indonesien; eine vertragliche bzw. schriftliche Bestätigung dieser Angabe liegt uns noch nicht vor (schriftliche Bestätigung ausstehend), weshalb die nachstehenden Hinweise unverändert gelten. Für Singapur und Indonesien besteht ebenfalls kein Angemessenheitsbeschluss der EU-Kommission.
• Für die VRC besteht kein Angemessenheitsbeschluss der EU-Kommission. ByteDance bleibt ein Konzern mit Sitz in der VRC; die Verlagerung der eigentlichen Verarbeitung nach Singapur/Indonesien beseitigt das Konzern-Zugriffsrisiko nicht.
• Chinesisches Recht (u. a. Cybersicherheitsgesetz, Datensicherheitsgesetz, Gesetz über den Schutz persönlicher Informationen, Nationales Nachrichtendienstgesetz) enthält staatliche Zugriffs- und Mitwirkungspflichten, die Behörden der VRC Zugang zu Daten verschaffen können, ohne dass Betroffene in der EU wirksame Rechtsbehelfe hätten.
• Wir haben keinen direkten Vertrag mit ByteDance; der Zugang erfolgt über fal.ai bzw. Segmind. Wir können Infrastruktur-Standorte und Protokollierung bei ByteDance nicht unabhängig verifizieren. Eine Verarbeitung Ihrer Referenzdaten (einschließlich Gesichtsbildern und Stimmaufnahmen) über China-verbundene Infrastruktur kann daher nicht ausgeschlossen werden. Personen-Referenzen (Gesichts-/Stimmreferenzen) werden ausschließlich über fal.ai verarbeitet; der Segmind-Pfad ist hierfür technisch ausgeschlossen.
• Die vertragliche Absicherung der Kette fal.ai/Segmind → Modellbetreiber (Standardvertragsklauseln mit Weitergabeverpflichtung) liegt uns derzeit nicht schriftlich bestätigt vor; wir arbeiten an dieser Bestätigung.
• Zu Kling (Kuaishou) gilt zusätzlich: Wir haben keinen direkten Vertrag mit Kuaishou Technology; der Zugang erfolgt ausschließlich über fal.ai. Zum tatsächlichen Verarbeitungsstandort liegt uns keine Anbieterauskunft vor — wir können also nicht einmal eine Aussage wie die oben zu Singapur/Indonesien wiedergeben. Eine Verarbeitung in der VR China ist damit nicht ausgeschlossen, und die oben beschriebenen staatlichen Zugriffs- und Mitwirkungspflichten des chinesischen Rechts gelten für Kuaishou entsprechend. Kling wird ausschließlich als Ausweichmodell eingesetzt: nur wenn das primäre Modell eine Video-Generierung mit einer erkennbaren realen Person ablehnt und der Auftrag dafür geeignet ist, wird genau dieser Auftrag über Kling erzeugt — es findet also keine Routine-Übermittlung an Kuaishou statt. An Kuaishou werden ausschließlich Gesichtsbilder übermittelt, niemals Stimmaufnahmen; Aufträge mit Stimm-/Audio-Referenz sind vom Kling-Pfad technisch ausgeschlossen.

Schutzmaßnahmen: Gerade weil die vertragliche Kette derzeit nicht schriftlich bestätigt ist, übermitteln wir Gesichts- und Stimmreferenzen in diese Generierungskette ausschließlich auf Grundlage Ihrer ausdrücklichen, vorherigen Einwilligung nach Art. 49 Abs. 1 lit. a i. V. m. Art. 6 Abs. 1 lit. a DSGVO, die wir vor dem ersten Upload einer Gesichts- oder Stimmreferenz nach Risikoaufklärung in einem gesonderten Einwilligungs-Dialog einholen (Abschnitt 7.3). Diese Einwilligung ist freiwillig und kann jederzeit widerrufen werden; nach Widerruf wird keine weitere Verarbeitung über ByteDance oder Kuaishou für Sie durchgeführt. Ergänzend gilt Datenminimierung: Wir übermitteln keine Kontodaten des Nutzers an die Generierungskette und keine dauerhafte personenbezogene Kennung pro Kunde gegenüber dem Modellbetreiber.

Ihre Wahl: Wenn Sie eine mögliche Verarbeitung über China-verbundene Infrastruktur nicht akzeptieren möchten, sollten Sie keine Inhalte mit personenbezogenen Daten (insbesondere keine Gesichts- oder Stimmreferenzen) hochladen bzw. den Dienst nicht nutzen.

14. Speicherdauer (Zusammenfassung)

Nach Ablauf der jeweiligen Frist werden Daten gelöscht oder irreversibel anonymisiert. Daten, die einem gesetzlichen Aufbewahrungsgebot oder einer dokumentierten Rechtsverteidigung (§§ 195, 199 BGB) unterliegen, werden bis zu deren Ablauf gesperrt aufbewahrt.

15. Ihre Rechte als betroffene Person

Ihnen stehen gegenüber dem Verantwortlichen (Abschnitt 1) folgende Rechte zu:

• Auskunft (Art. 15 DSGVO): über die zu Ihrer Person verarbeiteten Daten, einschließlich Kopie.
• Berichtigung (Art. 16 DSGVO): unrichtiger oder unvollständiger Daten.
• Löschung (Art. 17 DSGVO): soweit keine Aufbewahrungspflichten oder Rechtsverteidigungsgründe entgegenstehen. Richten Sie Ihr Löschverlangen formlos an die in Abschnitt 1 genannte E-Mail-Adresse; wir bearbeiten es innerhalb der gesetzlichen Frist (in der Regel ein Monat, Art. 12 Abs. 3 DSGVO). Im Dashboard können Sie Ihr Konto zusätzlich selbst schließen (Konto-Einstellungen → Konto löschen); dabei werden Ihr Login-Zugang gelöscht und Ihr Konto deaktiviert. Die vollständige Löschung aller zugehörigen Inhalts- und Datensätze erfolgt derzeit noch nicht automatisch mit der Kontoschließung — stellen Sie hierfür bitte das genannte Löschverlangen per E-Mail.
• Einschränkung der Verarbeitung (Art. 18 DSGVO).
• Datenübertragbarkeit (Art. 20 DSGVO): Erhalt der von Ihnen bereitgestellten Daten in einem strukturierten, gängigen, maschinenlesbaren Format.
• Widerspruch (Art. 21 DSGVO): gegen Verarbeitungen auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO aus Gründen, die sich aus Ihrer besonderen Situation ergeben; gegen Direktwerbung jederzeit ohne Begründung. Zu gelegentlichen Service- und Re-Engagement-E-Mails und deren Abbestellung siehe Abschnitt 10.
• Widerruf von Einwilligungen (Art. 7 Abs. 3 DSGVO): jederzeit mit Wirkung für die Zukunft — für Cookies/Analyse über die „Cookie-Einstellungen" (Abschnitt 4.2), im Übrigen formlos per E-Mail. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt.

Beschwerderecht (Art. 77 DSGVO): Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren, insbesondere in dem Mitgliedstaat Ihres Aufenthaltsorts, Ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes. Für uns zuständig ist:

Der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit (HmbBfDI) Ludwig-Erhard-Straße 22, 7. OG 20459 Hamburg Telefon: +49 40 428 54-4040 E-Mail: mailbox@datenschutz.hamburg.de https://datenschutz-hamburg.de

Zur Bearbeitung von Betroffenenanfragen können wir einen Identitätsnachweis verlangen, soweit dies zum Schutz vor missbräuchlichen Anfragen erforderlich ist.

16. Rechte abgebildeter Personen, die keine Nutzer sind (Art. 14 DSGVO)

Wenn Ihr Gesicht, Ihre Stimme oder andere personenbezogene Daten in Inhalten erscheinen, die ein Nutzer hochgeladen oder generiert hat — oder auf einer Website oder in einem öffentlichen Instagram-Profil, deren Analyse bzw. Import ein Nutzer angefordert hat (Abschnitte 6.2 und 6.3) —, ohne dass Sie selbst Nutzer sind, gilt für Sie:

• Kategorien und Herkunft der Daten: Bild-/Tonaufnahmen und beschreibende Metadaten; Quelle ist der jeweilige hochladende Nutzer bzw. die von ihm angegebene öffentliche Website oder das von ihm angegebene öffentliche Instagram-Profil (Art. 14 Abs. 2 lit. f DSGVO).
• Zwecke und Empfänger: wie in den Abschnitten 6, 7, 12 und 13 beschrieben.
• Ihre Rechte: Ihnen stehen sämtliche Rechte aus Abschnitt 15 unabhängig von jedem Vertragsverhältnis zu — insbesondere Auskunft, Löschung und Widerspruch. Die Zustimmung oder Zusicherung des hochladenden Nutzers ersetzt nicht Ihre eigene Einwilligung; fehlt sie, wird die Verarbeitung nicht durch den Vertrag des Nutzers mit uns rechtmäßig.
• Kontakt: Wenden Sie sich direkt an die in Abschnitt 1 genannte E-Mail-Adresse. Wir verweisen Sie nicht vorab an den Hochladenden und antworten innerhalb der gesetzlichen Frist. Auch rechtsverletzende Inhalte können Sie an diese Adresse melden.

17. Keine automatisierte Entscheidungsfindung (Art. 22 DSGVO)

Wir treffen keine ausschließlich auf automatisierter Verarbeitung beruhenden Entscheidungen, die Ihnen gegenüber rechtliche Wirkung entfalten oder Sie in ähnlicher Weise erheblich beeinträchtigen. Die automatisierten Inhalts-Klassifikationen (Abschnitt 6.1) dienen der technischen Verarbeitung und Sicherheit; inhaltliche Freigabe-Entscheidungen mit Wirkung für Ihr Konto werden von einem Menschen getroffen oder überprüft.

18. Pflicht zur Bereitstellung von Daten

Sie sind weder gesetzlich noch vertraglich verpflichtet, uns personenbezogene Daten bereitzustellen. Ohne bestimmte Daten können wir jedoch einzelne Leistungen nicht erbringen: Ohne E-Mail-Adresse ist keine Registrierung möglich; ohne Gesichts-/Stimmreferenzen können keine Inhalte mit Ihrer Person generiert werden (der übrige Dienst bleibt nutzbar); ohne Zahlungsdaten ist kein kostenpflichtiger Bezug möglich. Die Einwilligung in die Sitzungsanalyse (Abschnitt 4.3) ist vollständig freiwillig und für die Nutzung des Dienstes nicht erforderlich.

19. Datensicherheit

Wir treffen technische und organisatorische Maßnahmen nach Art. 32 DSGVO, u. a.: Transportverschlüsselung (TLS) für alle Verbindungen, Verschlüsselung gespeicherter Daten, soweit der jeweilige Speicherdienst dies unterstützt, Zugriffskontrolle nach dem Need-to-know-Prinzip, passwortlose Authentifizierung per E-Mail-Code als Standard-Login sowie Maskierung von Eingabefeldern in der Sitzungsanalyse (hochgeladene und generierte Inhalte sind dort nicht maskiert, Abschnitt 4.3). Hochgeladene Dateien und generierte Inhalte werden über nicht öffentlich verlinkte, schwer erratbare URLs ausgeliefert; eine darüber hinausgehende Zugriffsbeschränkung auf Datei-Ebene besteht derzeit nicht.

Meldung von Datenpannen: Verletzungen des Schutzes personenbezogener Daten melden wir der zuständigen Aufsichtsbehörde innerhalb von 72 Stunden (Art. 33 DSGVO) und benachrichtigen betroffene Personen bei voraussichtlich hohem Risiko unverzüglich (Art. 34 DSGVO).

20. Mindestalter

Der Dienst richtet sich ausschließlich an Personen ab 18 Jahren und primär an Unternehmen. Wir verarbeiten wissentlich keine Daten Minderjähriger. Wenn Sie Anhaltspunkte haben, dass eine minderjährige Person uns Daten übermittelt hat, kontaktieren Sie uns bitte (Abschnitt 1); wir löschen diese Daten umgehend.

21. Nutzer außerhalb der EU/des EWR

Der Dienst steht auch Nutzern in Mexiko, den USA und Kanada offen. Soweit wir länderspezifische Datenschutzhinweise bereitstellen, gelten diese ergänzend zu dieser Erklärung. Besondere Hinweise zu US-Biometriegesetzen (Illinois, Texas, Washington) erteilen wir im Einwilligungs-Dialog vor dem ersten Gesichts-/Stimm-Upload (Abschnitt 7.3); der Dienst darf aus diesen Bundesstaaten heraus nicht für Gesichts-/Stimm-Uploads genutzt werden.

22. Änderungen dieser Datenschutzerklärung

Wir passen diese Erklärung an, wenn sich unsere Verarbeitungen, Dienstleister oder die Rechtslage ändern. Es gilt jeweils die auf dieser Seite veröffentlichte Fassung mit dem angegebenen Stand. Über wesentliche Änderungen — insbesondere neue Empfänger, neue Drittlandtransfers oder neue Verarbeitungszwecke — informieren wir registrierte Nutzer vorab in Textform (z. B. per E-Mail oder Hinweis im Dashboard); soweit eine Verarbeitung auf Ihrer Einwilligung beruht, holen wir bei wesentlichen Änderungen eine neue Einwilligung ein.

Stand: 31.08.2026 · Version 1.6 (Interim) — verbindlich ist die deutsche Fassung; englische und spanische Zusammenfassungen folgen.