Datenschutzerklärung

Ein Datenschutzbeauftragter ist gesetzlich nicht bestellt; Anfragen richten Sie bitte an die genannte Adresse.

Die Anwendung wird bei einem Auftragsverarbeiter in der EU betrieben (Hosting, Datenbank, Objektspeicher). Für Video-Rendering setzen wir einen dedizierten Server in Deutschland ein (Hetzner Online GmbH). Mit allen Hostern bestehen Verträge zur Auftragsverarbeitung nach Art. 28 DSGVO. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (sicherer, effizienter Betrieb) bzw. Art. 6 Abs. 1 lit. b DSGVO im Vertragsverhältnis.

Webfonts: Schriften werden lokal von unserem Server ausgeliefert. Es besteht keine Verbindung zu Google Fonts oder gstatic.com.

Beim Aufruf werden automatisch Zugriffsdaten erfasst: IP-Adresse (gekürzt bzw. kurz gespeichert), Datum und Uhrzeit, angeforderte Ressource, Referrer, Browsertyp und Betriebssystem. Zweck: Betriebssicherheit, Fehleranalyse und Missbrauchsabwehr. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Speicherdauer: maximal 14 Tage, danach automatische Löschung.

Wir speichern nur technisch notwendige Informationen auf Ihrem Endgerät (Anmeldung, Mandantenauswahl, Sicherheit) – § 25 Abs. 2 Nr. 2 TDDDG. Präferenzen und anonyme Analyse setzen wir ausschließlich nach Ihrer Einwilligung nach § 25 Abs. 1 TDDDG, Art. 6 Abs. 1 lit. a DSGVO ein. Ein IAB-TCF-Framework und Werbe-Vendor-Listen kommen nicht zum Einsatz.

Cookie-Einstellungen öffnen und Einwilligung jederzeit widerrufen

Für die Nutzung der Anwendung verarbeiten wir E-Mail-Adresse, Name und Authentifizierungsdaten. Bei Anmeldung über Google OAuth erhalten wir von Google Kennung, Name, E-Mail und Profilbild. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

Der Zugriff auf Ihr Mikrofon erfolgt ausschließlich nach aktivem Klick auf „Aufnahme starten“; ohne diesen Klick wird kein Mikrofonzugriff angefordert. Die Aufnahme (Audiodatei) wird an einen Speech-to-Text-Dienst übermittelt und in Text umgewandelt.

Rechtsgrundlagen: Art. 6 Abs. 1 lit. b DSGVO (Erbringung der beauftragten Leistung) sowie Art. 6 Abs. 1 lit. a DSGVO für den Mikrofonzugriff und die Verarbeitung des Stimmsignals. Die Einwilligung ist jederzeit für die Zukunft widerrufbar.

Löschung: Die Audiodatei wird unmittelbar nach erfolgreicher Transkription gelöscht. Für den Fehlerfall gilt eine harte Maximalfrist von 24 Stunden (mandantenspezifisch konfigurierbar, Standard 24 h), danach erfolgt die Löschung automatisiert. Das Transkript verbleibt als Entwurf im Konto und wird spätestens nach 30 Tagen ohne Weiterverwendung gelöscht.

Bitte nehmen Sie keine Gesundheitsdaten oder Angaben zu Dritten auf, sofern keine Einwilligung der betroffenen Person vorliegt.

Transkripte, Prompts, Marken- und Produktangaben werden zur Erzeugung von Texten, Bildern und Videos an KI-Dienste übermittelt. Eingesetzte Subprozessoren (je nach Funktion):

• OpenAI Ireland Ltd. – Sprach- und Texterkennung/-erzeugung
• Anthropic PBC – Texterzeugung (Claude)
• ElevenLabs Inc. – Sprachsynthese (optional)
• Bildmodell-Anbieter für die Bilderzeugung sowie unser Render-Server in Deutschland

Mit den Anbietern bestehen Auftragsverarbeitungsverträge nach Art. 28 DSGVO; für Übermittlungen in Drittländer gelten EU-Standardvertragsklauseln nebst Zusatzmaßnahmen. Wir nutzen soweit verfügbar Zero Data Retention bzw. die kürzest mögliche Speicherfrist und haben das Training mit unseren Daten abgewählt (Opt-out). Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

KI-Ausgaben können fehlerhaft sein. Jede Veröffentlichung erfordert eine menschliche Freigabe; es findet keine automatisierte Entscheidung mit rechtlicher Wirkung nach Art. 22 DSGVO statt. KI-generierte Bilder und Videos werden sichtbar gekennzeichnet und tragen XMP/IPTC-Metadaten (DigitalSourceType = trainedAlgorithmicMedia) gemäß Art. 50 EU-AI-Act.

Die Anwendung ist mandantenfähig. Alle Datensätze sind einer Organisation zugeordnet und werden auf Datenbankebene durch Row Level Security (RLS) getrennt: Jede Abfrage wird serverseitig auf die Organisation der angemeldeten Person eingeschränkt, ein Zugriff über Mandantengrenzen hinweg ist technisch ausgeschlossen. Rollen (Owner, Admin, Staff) steuern zusätzlich die Berechtigungen innerhalb einer Organisation. Objektspeicher-Buckets sind privat; Downloads laufen ausschließlich über zeitlich begrenzte, signierte URLs. Zugriffe auf Kundendaten durch uns erfolgen nur anlassbezogen zur Störungsbeseitigung.

Die Anwendung kann freigegebene Inhalte an eine WhatsApp-Business-Schnittstelle übergeben. Wir stellen ausschließlich die technische Schnittstelle bereit. Der Versand selbst, die Auswahl der Empfänger sowie das Vorliegen einer wirksamen Einwilligung zum Empfang von Werbenachrichten (§ 7 UWG, Art. 6 Abs. 1 lit. a DSGVO) liegen in der Verantwortung des jeweiligen Studios als eigenständigem Verantwortlichen.

Für die Verarbeitung in unserem System handeln wir insoweit als Auftragsverarbeiter des Studios; Grundlage ist ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO. Die Übermittlung an WhatsApp Ireland Ltd. bzw. Meta Platforms erfolgt nach deren Bedingungen; Telefonnummern und Nachrichteninhalte werden dorthin übertragen.

• Sprachaufnahmen: nach Transkription, spätestens nach 24 Stunden
• Trainingsbilder für eigene Bildmodelle: 7 Tage
• Nicht verwendete Entwürfe und verwaiste Medien: 30 Tage
• Server-Logfiles: 14 Tage
• Rechnungs- und Buchungsdaten: 10 Jahre (§ 147 AO, § 257 HGB)

Für personalisierte Bildmodelle verarbeitete Gesichtsbilder gelten als besondere Kategorie personenbezogener Daten (Art. 9 DSGVO) und werden nur mit ausdrücklicher Einwilligung nach Art. 9 Abs. 2 lit. a DSGVO verarbeitet. Jede Einwilligung wird im Consent-Register protokolliert. Beim Widerruf werden Trainingsbilder und das trainierte Modell gelöscht (Art. 7 Abs. 3, Art. 17 DSGVO).

Zahlungen und Abonnements wickeln wir über Stripe ab. Zahlungsdaten werden direkt bei Stripe erhoben; wir erhalten lediglich Statusinformationen. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

Sie haben das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18), Datenübertragbarkeit (Art. 20) sowie das Recht, einer Verarbeitung nach Art. 6 Abs. 1 lit. f DSGVO zu widersprechen (Art. 21). Erteilte Einwilligungen können Sie jederzeit mit Wirkung für die Zukunft widerrufen.

Beschwerderecht bei einer Aufsichtsbehörde, für uns zuständig: Der Hessische Beauftragte für Datenschutz und Informationsfreiheit, Postfach 3163, 65021 Wiesbaden.

Wir passen diese Erklärung an, sobald sich Funktionen oder Rechtslage ändern. Es gilt die jeweils hier veröffentlichte Fassung.