Datenschutzerklärung

Zuletzt aktualisiert: 9. Oktober 2026

Inkrafttreten: 9. Oktober 2026 (US-Pazifikzeit)

Fassung der Erklärung: privacy_v4_ios_launch

Diese Übersetzung dient nur der Information; bei Abweichungen ist die englische Fassung maßgeblich.

Übergangshinweis zu dieser Fassung. Diese Fassung (privacy_v4_ios_launch) aktualisiert die Angaben zur AISnapEdit-iOS-Anwendung vor ihrer öffentlichen Veröffentlichung. Sie entfernt RevenueCat, das wir nicht mehr verwenden (In-App-Käufe werden unmittelbar über die App Store Server API von Apple validiert, siehe §7.1); sie beschreibt, wie KI-Generierungsanfragen über einen einzigen Anbieter von KI-API-Infrastruktur geleitet werden, und nennt die Modellbetreiber (§6.2 und die Seite KI-Anbieter von Drittparteien); sie korrigiert die Aussage zu Trainingsdaten (§6.3) sowie die Aufbewahrung hochgeladener Medien (§6.4 und §9); und sie legt drei ausschließlich in der iOS-Anwendung verwendete Betrugsabwehr- und Sicherheitsdatensätze offen: Apple DeviceCheck, eine gehashte App-Store-App-Transaktionskennung und ein Zugriffsprotokoll für den App-Review-Login (§3.4). Diese Fassung tritt am oben genannten Datum der letzten Aktualisierung in Kraft. Sie führt keine zusätzliche Verarbeitung für Nutzer der Website ein, und die iOS-spezifischen Bestimmungen gelten nur ab den nachstehend aufgeführten Zeitpunkten; die iOS-Anwendung ist noch nicht öffentlich verfügbar, sodass keine dieser Verarbeitungen beginnt, bevor Sie die Anwendung erstmals nutzen. Die RevenueCat-Bestimmungen der Fassung vom 6. September 2026 (privacy_v3_ios_iap) sind nie in Kraft getreten: Der Client-Build, der RevenueCat verwendete, wurde nie veröffentlicht, es wurden nie Nutzerdaten an RevenueCat gesendet, und die einzigen damit ausgetauschten Daten waren interne Testdaten. Die iOS-Anwendung validiert Käufe unmittelbar bei Apple. Die Benachrichtigung über diese Fassung erfolgt über die in §19.2 aufgeführten Kanäle.

Für die iOS-Anwendung gelten die Bestimmungen ab folgenden Zeitpunkten:

• Sign in with Apple (§3.3): sobald Sie sich in der Anwendung für die Anmeldung mit Apple entscheiden.
• DeviceCheck und die gehashte App-Transaktionskennung (§3.4): wenn Sie in der Anwendung die einmaligen Willkommens-Credits einlösen.
• Käufe und Betreuung nach dem Kauf (§3.3, §7.1, §9): ab Ihrem ersten App-Store-Kauf in der Anwendung. Sobald ein Kauf getätigt wurde, verarbeiten wir App-Store-Server-Benachrichtigungen zu dieser Transaktion (Verlängerungen, Kündigungen, Abläufe, Abrechnungsprobleme, Rückerstattungen und Abstimmung) auch dann weiter, wenn wir später keine neuen Käufe mehr anbieten, weil diese Verarbeitung erforderlich ist, um das bereits Erworbene zu liefern und abzurechnen und die Aufbewahrungspflichten gemäß §9 zu erfüllen.
• Zugriffsprotokoll des App-Review-Logins (§3.4): nur solange der dedizierte Review-Zugang während einer App-Store-Prüfung aktiviert ist; es gilt nie für die gewöhnliche Anmeldung.

Präambel

AISnapEdit (nachstehend „AISnapEdit", „wir", „uns", „unser" oder „die Plattform") betreibt die Website https://aisnapedit.com, die AISnapEdit-iOS-Anwendung sowie sämtliche zugehörigen Subdomains, API-Endpunkte und Client-Anwendungen (zusammen „der Dienst") — eine weltweit verfügbare All-In-One-KI-SaaS-Plattform, die KI-gestützte Inhaltserzeugung für Bilder, Videos, Audio, Musik und mehr anbietet.

Diese Datenschutzerklärung (nachstehend „diese Erklärung") erläutert ausführlich, welche Informationen wir erheben, wie wir sie nutzen, an wen wir sie weitergeben, wie lange wir sie aufbewahren, welche Rechte Ihnen zustehen und wie Sie diese Rechte ausüben können, wenn Sie auf den Dienst zugreifen, sich dafür registrieren oder ihn nutzen.

Diese Erklärung soll den Transparenzanforderungen an die Verarbeitung personenbezogener Daten unter anderem nach folgenden Regelwerken gerecht werden:

• EU-Datenschutz-Grundverordnung (DSGVO, Verordnung (EU) 2016/679)
• UK-Datenschutz-Grundverordnung (UK GDPR) und Data Protection Act 2018
• Schweizer Bundesgesetz über den Datenschutz (FADP)
• California Consumer Privacy Act / California Privacy Rights Act (CCPA / CPRA)
• Virginia Consumer Data Protection Act (VCDPA)
• Colorado Privacy Act (CPA)
• Connecticut Data Privacy Act (CTDPA)
• Utah Consumer Privacy Act (UCPA)
• Texas Data Privacy and Security Act (TDPSA)
• Washington My Health My Data Act (MHMDA)
• Nevada SB220
• U.S. Children's Online Privacy Protection Act (COPPA)
• EU-KI-Verordnung (EU AI Act, Verordnung (EU) 2024/1689)
• Art. 4 (Text- und Data-Mining) der EU-Richtlinie über das Urheberrecht im digitalen Binnenmarkt (DSM, Richtlinie (EU) 2019/790)
• sonstige einschlägige Datenschutz- und Verbraucherschutzgesetze

Verhältnis zu anderen Dokumenten: Diese Erklärung bildet zusammen mit den Nutzungsbedingungen und der Rückerstattungsrichtlinie das vollständige Vertragsverhältnis zwischen Ihnen und AISnapEdit. Begriffe und Querverweise zwischen den drei Dokumenten sind im jeweiligen Text ausdrücklich gekennzeichnet; bei einem unmittelbaren Widerspruch zwischen den drei Dokumenten hat diese Erklärung Vorrang, jedoch nur in Bezug auf Fragen der Datenverarbeitung.

Mit dem Zugriff auf oder der Nutzung des Dienstes bestätigen Sie, diese Erklärung gelesen und verstanden zu haben und an sie gebunden zu sein. Wenn Sie mit einzelnen Teilen dieser Erklärung nicht einverstanden sind, nutzen Sie den Dienst bitte nicht.

1. Begriffsbestimmungen

Diese Erklärung verwendet die folgenden definierten Begriffe; Begriffe, die mit den Nutzungsbedingungen und der Rückerstattungsrichtlinie gemeinsam verwendet werden, sind in allen drei Dokumenten vollständig einheitlich.

Gemeinsame Begriffe (einheitlich in allen drei Dokumenten):

• Erstabonnent: eine eindeutige natürliche Person, die erstmals eine zahlungspflichtige Leistung bezieht und anhand einer Kombination aus E-Mail-Adresse, Zahlungsmittel, Geräte-Fingerabdruck, IP-Adresse und verwandten Signalen identifiziert wird; das Anlegen mehrerer Konten zur Umgehung dieser Definition stellt einen Verstoß dar.
• Eigenes Ermessen: eine von AISnapEdit nach vernünftiger Beurteilung getroffene Entscheidung, die endgültig ist.
• Werktag: ein US-Bundeswerktag (Montag bis Freitag, ausgenommen gesetzliche US-Bundesfeiertage), berechnet nach der pazifischen Zeitzone der USA (PT), in der sich unser operativer Hauptsitz befindet.
• Endgültige Ausgabedatei: ein vom Nutzer erfolgreich durch KI erzeugter Bild-, Video-, Audio-, Text- oder ähnlicher Inhalt, der mindestens einmal heruntergeladen, kopiert, geteilt oder exportiert wurde.
• Nutzung: jeder erfolgreiche API-Aufruf, jeder Credit-Verbrauch und jede Inhaltserzeugung, unabhängig davon, ob der Nutzer das erzeugte Ergebnis behalten hat.
• Credits: von AISnapEdit an Nutzer ausgegebene virtuelle Konsumgüter; Credits stellen weder eine Vorauszahlung noch eine Kaution, ein Guthaben oder ein vergleichbares Finanzinstrument dar.
• Dienstausfall: ein ununterbrochener Zeitraum von mehr als 24 Stunden, in dem der Dienst aufgrund technischer Probleme auf unserer Seite nicht verfügbar ist.
• Chargeback (Rückbuchung): ein Zahlungsstreit, den der Nutzer unmittelbar beim kartenausgebenden Institut einleitet.
• Sperrliste (Blocklist): ein Risikokontroll-Datenbestand von Kennungen, die mit Verstößen in Verbindung stehen, darunter gehashte E-Mail-Adressen, Zahlungskarten-Fingerprints, IP-Adressen und Geräte-Fingerabdrücke.

Datenschutzspezifische Begriffe:

• Personenbezogene Daten (Personal Data): Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen, im Sinne von Art. 4 Nr. 1 DSGVO.
• Personal Information: Informationen, die einen bestimmten Einwohner Kaliforniens identifizieren, sich auf ihn beziehen oder vernünftigerweise mit ihm verknüpft werden könnten, im Sinne von CCPA / CPRA §1798.140(v).
• Sensible personenbezogene Informationen (Sensitive Personal Information): die neun Kategorien sensibler Informationen nach CPRA §1798.140(ae).
• Verarbeitung: jeder mit oder ohne Hilfe automatisierter Verfahren ausgeführte Vorgang im Zusammenhang mit personenbezogenen Daten, im Sinne von Art. 4 Nr. 2 DSGVO.
• Verantwortlicher: die Stelle, die über die Zwecke und Mittel der Verarbeitung entscheidet, im Sinne von Art. 4 Nr. 7 DSGVO.
• Auftragsverarbeiter: die Stelle, die personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet, im Sinne von Art. 4 Nr. 8 DSGVO.
• Unterauftragsverarbeiter: eine vom Auftragsverarbeiter eingesetzte Partei, die in dessen Auftrag nachgelagerte Verarbeitungen durchführt.
• SCCs: die von der Europäischen Kommission angenommenen modularen Standardvertragsklauseln von 2021.
• DPF: das Datenschutzrahmenabkommen EU-USA (EU-US Data Privacy Framework; Durchführungsbeschluss (EU) 2023/1795 der Kommission).
• GPC: Global Privacy Control, ein von einem Browser oder einer Erweiterung an Websites übermitteltes Opt-out-Präferenzsignal.
• DPIA: Datenschutz-Folgenabschätzung (Art. 35 DSGVO).
• ROPA: Verzeichnis von Verarbeitungstätigkeiten (Art. 30 DSGVO).
• TIA: Transfer-Folgenabschätzung (Transfer Impact Assessment; erforderlich nach dem Schrems-II-Urteil).
• LIA: Abwägung berechtigter Interessen (Legitimate Interest Assessment; Art. 6 Abs. 1 lit. f DSGVO).
• ADMT: Technologie zur automatisierten Entscheidungsfindung (Automated Decision-Making Technology; CCPA-Verordnungen 2026).

2. Angaben zum Verantwortlichen

2.1 Verantwortlicher

Gilt für den Europäischen Wirtschaftsraum (EWR), das Vereinigte Königreich, die Schweiz und andere Rechtsordnungen, die die Benennung des Verantwortlichen verlangen:

AISnapEdit

• Website: https://aisnapedit.com
• Datenschutz-E-Mail: [email protected]
• Allgemeine Anfragen: [email protected]
• Rechtsordnung des operativen Hauptsitzes: Kalifornien, Vereinigte Staaten (Betrieb nach US-Pazifikzeit, PT)

AISnapEdit ist für die in dieser Erklärung beschriebenen Verarbeitungstätigkeiten „Verantwortlicher" im Sinne der DSGVO. Mitteilungen von Nutzern und Anfragen zur Ausübung von Betroffenenrechten nehmen wir ausschließlich über die oben genannten E-Mail-Adressen entgegen; die vollständigen Angaben zur Eintragung der juristischen Person werden mit der förmlich in Kraft tretenden Fassung dieser Erklärung veröffentlicht.

2.2 Datenschutz-Ansprechpartner

Wir erfüllen nicht die Schwelle nach Art. 37 DSGVO, die die zwingende Benennung eines Datenschutzbeauftragten (DSB) verlangt (wir führen weder umfangreiche Verarbeitungen besonderer Datenkategorien durch noch eine umfangreiche systematische Überwachung). Wir haben dennoch einen eigenen Datenschutz-Ansprechpartner benannt, der von unserem Leiter Recht (Legal Lead) geführt wird und verantwortlich ist für:

• die Beantwortung von Anfragen zur Ausübung von Betroffenenrechten
• die Koordination der Bearbeitung von und der Benachrichtigung über Datenpannen
• die Zusammenarbeit bei behördlichen Untersuchungen und Anfragen
• die Abstimmung mit unseren Vertretern in der EU und im Vereinigten Königreich

Kontakt: [email protected]

2.3 Vertreter in der EU (Art. 27 DSGVO)

Gemäß Art. 27 DSGVO hat AISnapEdit das folgende externe Dienstleistungsunternehmen als unseren Vertreter in der Europäischen Union benannt:

• Name der Stelle: Instant EU GDPR Representative Limited
• Eingetragene Anschrift: Office 2, 12a Lower Main Street, Lucan, Dublin, Irland
• Kontakt: über [email protected] (wir leiten Anfragen nach Eingang an unseren Vertreter in der EU weiter)

Betroffene in der Europäischen Union können ihre Rechte über den oben genannten Kanal ausüben; Aufsichtsbehörden können den Vertreter in der EU oder AISnapEdit ebenfalls über dieselben Kontaktdaten erreichen.

2.4 Vertreter im Vereinigten Königreich (Art. 27 UK GDPR)

Gemäß Art. 27 UK GDPR hat AISnapEdit dieselbe Stelle sowohl als Vertreter in der EU als auch als Vertreter im Vereinigten Königreich benannt:

• Name der Stelle: Instant EU GDPR Representative Limited
• Eingetragene Anschrift: Office 2, 12a Lower Main Street, Lucan, Dublin, Irland
• Kontakt: über [email protected] (wir leiten Anfragen nach Eingang an unseren Vertreter im Vereinigten Königreich weiter)

3. Von uns erhobene Informationen

Dieser Abschnitt legt nach Quelle und Kategorie alle von uns erhobenen Daten offen. Zu jeder Kategorie finden sich weitere Einzelheiten in §4 (Rechtsgrundlage), §5 (Zwecke), §7 (Empfänger) und §9 (Aufbewahrungsfristen).

3.1 Von Ihnen unmittelbar bereitgestellte Informationen

3.2 Von uns automatisch erhobene Informationen

3.3 Informationen von Dritten

3.4 Betrugsabwehr- und Kontosicherheitsdaten [Neue Offenlegung]

Um Zahlungsbetrug, Missbrauch durch mehrere Konten und Rückerstattungsmissbrauch zu verhindern und die Interessen regelkonformer Nutzer sowie die Geschäftskontinuität zu schützen, erheben, verarbeiten und speichern wir die folgenden Risikokontrolldaten:

Die DeviceCheck-Bits werden von Apple gehalten, die gehashte App-Transaktionskennung wird beim zugehörigen Kontodatensatz geführt, und das Zugriffsprotokoll des App-Review-Logins wird als Sicherheitsnachweis über Zugriffe während App-Store-Prüfzeiträumen aufbewahrt (§9). Die oben beschriebenen Daten entsprechen unmittelbar den in Rückerstattungsrichtlinie §4 offengelegten Betrugsabwehrregeln. Für geplante, aber noch nicht eingesetzte Techniken des Geräte-Fingerprintings verpflichten wir uns, vor jedem tatsächlichen Einsatz den Offenlegungsumfang in dieser Erklärung zu aktualisieren und die Aufbewahrungstabelle entsprechend anzupassen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO, berechtigtes Interesse — Verhinderung von Betrug, Schutz der Interessen regelkonformer Nutzer und Aufrechterhaltung der Geschäftskontinuität. Für diese Verarbeitungstätigkeit haben wir eine Abwägung berechtigter Interessen (Legitimate Interest Assessment, LIA) durchgeführt und dokumentiert; eine Zusammenfassung der Interessenabwägung können Sie per E-Mail an [email protected] anfordern.

3.5 Schlussfolgerungen und abgeleitete Daten [Pflichtangabe nach CCPA / CPRA]

Aus den in §3.1–§3.4 beschriebenen Quelldaten erzeugen wir bestimmte Schlussfolgerungen (Inferenzen) oder abgeleitete Daten:

• Schlussfolgerungen zu Nutzungspräferenzen: Anhand der Häufigkeit Ihrer Modellauswahl und der Neigungen bei den Inhaltskategorien Ihrer Generierungen schließen wir auf Ihre bevorzugten Funktionsmodule, um die Nutzererfahrung zu verbessern;
• Aggregierte Risikobewertungen: die Gesamteinschätzung des Risikoniveaus Ihres Kontos durch das Betrugsabwehrsystem;
• Abonnement- und Credit-Nutzungsprofile: Zustandsberechnungen, die Funktionen wie Erinnerungen an Abonnementverlängerungen und Hinweise zum Credit-Stand unterstützen.

Folgende Kategorien schließen wir ausdrücklich nicht:

• Rassische oder ethnische Herkunft
• Politische Meinungen, religiöse oder weltanschauliche Überzeugungen
• Gewerkschaftszugehörigkeit
• Gesundheitszustand oder medizinische Daten
• Sexuelle Orientierung oder Sexualleben
• Genetische Daten oder biometrische Identifikationsvorlagen

4. Rechtsgrundlage der Verarbeitung

Gemäß Art. 6 und Art. 9 DSGVO sowie gleichwertigen Bestimmungen anderer Rechtsordnungen ergibt sich die Rechtsgrundlage für jede Datenkategorie und jeden Verarbeitungszweck wie folgt.

4.1 Matrix der Rechtsgrundlagen

4.2 Erklärung zu besonderen Datenkategorien (Art. 9 DSGVO)

Folgende besondere Datenkategorien erheben wir nicht aktiv:

• Daten, aus denen die rassische oder ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen oder die Gewerkschaftszugehörigkeit hervorgehen
• Biometrische Daten (biometrische Vorlagen zur eindeutigen Identifizierung einer natürlichen Person)
• Genetische Daten
• Gesundheitsbezogene Daten
• Daten zum Sexualleben oder zur sexuellen Orientierung

Bei Gesichtern, die auf in den Dienst hochgeladenen Bildern erscheinen können, führen wir keine Gesichtserkennung, keinen Identitätsabgleich und keine Extraktion biometrischer Vorlagen durch und bauen keine biometrische Datenbank auf. Zu den Grenzen des Produkts bei Deepfakes, Face-Swapping, Stimmklonen realer Personen und verwandten sensiblen Funktionen siehe §6.5.

4.3 Recht auf Widerruf der Einwilligung

Für jede Verarbeitungstätigkeit, deren Rechtsgrundlage Ihre Einwilligung ist (etwa Marketing-E-Mails und bestimmte optionale Cookies), können Sie Ihre Einwilligung jederzeit widerrufen; der Widerruf berührt nicht die Rechtmäßigkeit der aufgrund der Einwilligung bis zum Widerruf erfolgten Verarbeitung. Zur Art und Weise des Widerrufs siehe §10 (Verwaltung der Cookie-Präferenzen) und §11 (Ausübung von Rechten).

5. Wie wir Ihre Informationen verwenden

Dieser Abschnitt entspricht der Spalte „Verarbeitungszweck" der Matrix der Rechtsgrundlagen in §4 und liefert zusätzliche Einzelheiten.

5.1 Konto und Erbringung des Dienstes

• Ihr Konto erstellen und verwalten und Ihre Identität authentifizieren
• Ihnen KI-Generierungsdienste bereitstellen (siehe §6)
• Endgültige Ausgabedateien darstellen und Herunterladen, Teilen und Exportieren unterstützen
• Credit-Stand, Abonnementstatus und Verlauf verwalten
• Transaktionsbezogene Benachrichtigungen zu Ihrem Konto senden (Bestellbestätigungen, Erinnerungen an Abonnementverlängerungen, Passwortzurücksetzungen)

5.2 Zahlungen und Betrugsprävention

• Zahlungen, Abonnementverlängerungen und Rückerstattungen abwickeln
• Die in Rückerstattungsrichtlinie §4 beschriebenen Betrugsabwehrregeln durchsetzen
• Automatisierte Risikokontrollbewertungen durchführen (siehe §14.2)
• Sperrlisten führen, um zu verhindern, dass gesperrte Nutzer unsere Durchsetzungsmaßnahmen umgehen und sich erneut registrieren

5.3 Verbesserung des Dienstes und Analysen

• Nutzungsverhalten analysieren, um Funktionen und Nutzererfahrung zu verbessern
• Fehler anhand von Protokollen beheben
• A/B-Tests und Usability-Untersuchungen durchführen (unter Verwendung anonymisierter oder pseudonymisierter Daten)
• Aggregierte Statistiken zur Gesamtleistung des Dienstes erstellen

5.4 Compliance und Sicherheit

• Geltende Gesetze, Vorschriften und behördliche Anordnungen einhalten
• Auf rechtmäßige Anfragen von Strafverfolgungsbehörden, Vorladungen und gerichtliche Anordnungen reagieren
• Die Rechte, das Eigentum und die Sicherheit von AISnapEdit und anderen Nutzern schützen
• Betrug, Missbrauch und andere rechtswidrige Handlungen verhindern

5.5 Kommunikation und Marketing

• Transaktions-E-Mails zu Ihrem Konto und zu Aktualisierungen des Dienstes senden (auf Grundlage der Vertragserfüllung)
• Marketing-E-Mails senden (auf Grundlage Ihrer ausdrücklichen Einwilligung; jederzeit widerruflich über den Link „Abbestellen" am Ende der E-Mail oder durch Kontaktaufnahme unter [email protected])
• Produktinterne Benachrichtigungen nutzen, um Sie über wesentliche Änderungen der Richtlinien oder über Sicherheitsvorfälle zu informieren

6. KI-Generierung und Ihre Daten

6.1 Architektur des KI-Dienstes

AISnapEdit ist für den KI-Generierungsdienst Verantwortlicher; wenn Sie eine KI-Generierungsaufgabe auslösen, senden wir Ihren Prompt und hochgeladene Mediendateien zur Inferenz an einen Anbieter von KI-API-Infrastruktur, der sie an den Betreiber des von Ihnen gewählten Modells weiterleitet (beide als Auftragsverarbeiter tätig); nach Abschluss der Verarbeitung wird die erzeugte Ausgabe zurückgegeben und in unseren Speichersystemen abgelegt.

Wir trainieren keine eigenen KI-Modelle und betreiben keine serverseitigen Feinabstimmungs-Pipelines für Modelle. Das jeweils verwendete Modell richtet sich nach dem Modell, das Sie in der Benutzeroberfläche aktiv auswählen.

6.2 Datenweitergabe an KI-Modellanbieter

Alle Generierungsanfragen laufen über einen Anbieter von KI-API-Infrastruktur mit Sitz in den Vereinigten Staaten. Er erhält den Prompt, die von Ihnen angehängten Dateien und die Modellparameter, leitet sie an den Betreiber des von Ihnen gewählten Modells weiter und gibt das Ergebnis an uns zurück. Er hat uns schriftlich bestätigt, dass er Kundeninhalte nicht zum Trainieren von Modellen verwendet; seine veröffentlichten Aufbewahrungsregeln lauten: Erzeugte Mediendateien werden nach 14 Tagen gelöscht, Anfrageprotokolle (Text und Metadaten) nach 2 Monaten; von Ihnen angehängte Dateien werden ihm als Download-Links bereitgestellt, und er hat für die von ihm abgerufenen Kopien keine Aufbewahrungsdauer veröffentlicht.

Die Modellbetreiber, die derzeit im Dienst erreichbar sind, nach Kategorie:

Die Modellauswahl im Dienst zeigt den Betreiber hinter jedem Modell an, und die Seite KI-Anbieter von Drittparteien hält diese Liste zusammen mit Angaben zu Aufbewahrung und Training aktuell. Wir senden nur das, was die Generierung benötigt: Wir senden Ihren Namen, Ihre E-Mail-Adresse, Kontokennungen, Zahlungsdaten oder Gerätekennungen weder an den API-Anbieter noch an einen Modellbetreiber.

Bitte beachten Sie: Der Dienst bietet derzeit keine KI-Chat-Funktion an; die zugehörigen Einstiegspunkte und Chat-Routing-Dienste wie OpenRouter wurden aus dem Produkt entfernt, und Gesprächsnachrichten werden nicht mehr erhoben oder weitergegeben.

Jeder Modellbetreiber verarbeitet Ihre Daten nach seinen eigenen API-Bedingungen und seiner eigenen Datenschutzerklärung. Wir können die internen Verfahren der einzelnen Betreiber nicht prüfen; wir bemühen uns mit wirtschaftlich vertretbarem Aufwand, nachgelagert nur die Daten weiterzuleiten, die für die Erbringung des Generierungsdienstes unbedingt erforderlich sind.

6.3 Richtlinie zu Trainingsdaten

AISnapEdit verwendet Ihre Prompts oder erzeugten Ausgaben nicht, um eigene KI-Modelle zu trainieren (wir trainieren keine eigenen Modelle).

In Bezug auf den Anbieter der KI-API-Infrastruktur und die Modellbetreiber gilt:

• API-Infrastrukturanbieter: hat uns schriftlich bestätigt, dass er Kundeninhalte nicht zum Trainieren oder Verbessern von Modellen verwendet; er leitet Anfragen nur weiter und bewahrt sie für die in §6.2 genannten Zeiträume auf.
• Modellbetreiber: erhalten Ihre Inhalte über kommerzielle API-Endpunkte, für die ihre eigenen Entwicklerbedingungen gelten. Wir räumen keinem Betreiber ein Recht ein, Ihre Inhalte zum Training zu verwenden, und wir können die Verfahren der einzelnen Betreiber nicht unabhängig prüfen. Der Dienst bietet keine kontobezogene Einstellung „nicht trainieren" an, weil auf unserer Seite keine Trainingsnutzung aktiviert ist.
• Daten, die nie für die Generierung gesendet werden: Zahlungsinformationen, Kontozugangsdaten und Betrugsabwehrdaten werden nie an den API-Anbieter oder an einen Modellbetreiber übermittelt.

Art. 4 der EU-DSM-Richtlinie (TDM-Opt-out):

Nach Art. 4 der EU-Richtlinie über das Urheberrecht im digitalen Binnenmarkt haben Sie das Recht, Ihr Werk vom Text- und Data-Mining auszunehmen. Für Inhalte, die Sie auf unseren Galerie-/Showcase-Seiten öffentlich zugänglich gemacht haben, können Sie eine schriftliche Anfrage an [email protected] richten und uns bitten, für bestimmte Inhalte Opt-out-Markierungen anzubringen.

6.4 Aufbewahrung von KI-Verarbeitungsdaten

6.5 Grenzen bei Biometrie, Gesichtern und Deepfakes

• Wir führen keine Gesichtserkennung, keinen Identitätsabgleich, keine Altersschätzung, keine Emotionserkennung und keine Extraktion biometrischer Vorlagen durch;
• Von Nutzern hochgeladene Bilder mit menschlichen Gesichtern werden ausschließlich als Pixeldaten zur Generierungsverarbeitung an nachgelagerte KI-Anbieter übermittelt und nach der Verarbeitung nicht zum Aufbau einer Identifizierungsdatenbank verwendet;
• Das Produkt unterstützt keine Gesichtstausche realer Personen, kein Stimmklonen realer Personen, keine Deepfake-Erzeugung, die auf reale natürliche Personen abzielt, und keine ähnlichen Funktionen, die das Potenzial haben, andere erheblich zu täuschen oder ihren Ruf zu schädigen;
• Sollten künftige Weiterentwicklungen des Dienstes Funktionen mit biometrischer Identifizierung einführen, werden wir Ihre gesonderte, ausdrückliche Einwilligung einholen (Art. 9 Abs. 2 lit. a DSGVO, BIPA §15(b), CPRA §1798.121) und Ihnen vor der Aktivierung solcher Funktionen den konkreten Verarbeitungsumfang und den Opt-out-Mechanismus deutlich offenlegen.

7. Wie wir Ihre Informationen offenlegen

Außer in den nachstehend ausdrücklich genannten Fällen legen wir Ihre personenbezogenen Informationen nicht nach außen offen.

7.1 Dienstleister (Liste der Unterauftragsverarbeiter)

Um den Dienst bereitzustellen, zu pflegen und zu verbessern, setzen wir die folgenden geprüften Dienstleister ein, die relevante Daten verarbeiten. Alle Dienstleister sind durch einen schriftlichen Auftragsverarbeitungsvertrag (Data Processing Agreement, DPA) gebunden, und der Verarbeitungsumfang ist auf das für die jeweilige Leistung Erforderliche beschränkt.

Wichtige Hinweise:

• Diese Tabelle legt nur die Dienstleister offen, die derzeit aktiv im Einsatz sind, sowie Apple für die App-Store-Zahlungsabwicklung, dessen Eintrag unter „Eingesetzter Anbieter" angibt, wann er für Ihr Konto zu gelten beginnt (siehe Übergangshinweis am Anfang dieser Erklärung). Unsere Codebasis enthält möglicherweise weitere Integrationsoptionen (etwa alternative Zahlungsanbieter oder alternative Support-Werkzeuge), doch stellen solche Integrationen eine tatsächliche Offenlegung von Daten nur dann dar, wenn sie in der Produktion aktiviert sind.
• Änderungen bei Unterauftragsverarbeitern machen wir durch Überarbeitungen dieser Erklärung bekannt; die KI-Generierungsanbieter sind bereits auf der Seite KI-Anbieter von Drittparteien offengelegt, und wir planen, die vollständige Liste künftig unter /legal/sub-processors zu veröffentlichen.

In-App-Käufe werden unmittelbar über die App Store Server API von Apple validiert; eine Kaufplattform eines Dritten ist nicht beteiligt. Die Anwendung versieht jeden Kauf mit einem zufälligen Konto-Token (appAccountToken, eine UUID, die unser Server für Ihr Konto erzeugt), damit Transaktionen und Server-Benachrichtigungen von Apple Ihrem AISnapEdit-Konto zugeordnet werden können; dieses Token ist weder Ihre E-Mail-Adresse noch Ihr Name oder Ihre Nutzer-ID. Wir speichern die Transaktionskennungen, das Produkt, die Umgebung, die Kauf-, Ablauf- und Widerrufsdaten, Preis und Währung sowie den Status der gewährten Credits, und wir speichern einen SHA-256-Hash der signierten Transaktion anstelle der signierten Nutzlast selbst. Wir verwenden App-Store-Kaufdaten nicht, um Sie für Werbezwecke über Apps anderer Unternehmen hinweg zu verfolgen. Sollten wir später keine neuen Käufe mehr anbieten, verarbeiten wir weiterhin Benachrichtigungen zu bereits getätigten Transaktionen, wie im Übergangshinweis beschrieben.

7.2 Rechtskonformität und Anfragen von Strafverfolgungsbehörden

Wir können Ihre Informationen unter Beachtung rechtlicher Vorgaben und in angemessenem Umfang in den folgenden Fällen offenlegen:

• Einhaltung geltender Gesetze, Vorschriften, gerichtlicher Anordnungen oder rechtmäßiger Vorladungen von Strafverfolgungsbehörden
• Mitwirkung bei laufenden Ermittlungen oder Gerichtsverfahren
• Schutz der Rechte, des Eigentums und der Sicherheit von AISnapEdit, unserer Nutzer oder der Öffentlichkeit
• Untersuchung, Verhinderung oder Bekämpfung möglicher rechtswidriger Handlungen oder Verstöße gegen unsere Nutzungsbedingungen

7.3 Unternehmensübertragungen

Im Zusammenhang mit einer Fusion, Übernahme, Umstrukturierung, einem Vermögensverkauf oder einer ähnlichen gesellschaftsrechtlichen Transaktion können Ihre Informationen als Teil der übertragenen Vermögenswerte auf die neue Einheit übergehen. Wir benachrichtigen Sie vor einer solchen Übertragung auf angemessenem Wege und stellen sicher, dass die übernehmende Einheit Ihre Informationen weiterhin nach Standards verarbeitet, die nicht weniger schützend sind als diese Erklärung.

7.4 Offenlegungen auf Grundlage Ihrer Einwilligung

Mit Ihrer ausdrücklichen Genehmigung können wir Ihre Informationen für Zwecke, die diese Erklärung nicht abdeckt, an Dritte weitergeben. Eine solche Genehmigung kann jederzeit widerrufen werden.

7.5 Kontextübergreifende verhaltensbasierte Werbung und Offenlegung des „Sharing" [CPRA-spezifisch]

Nach der erweiterten Definition des „Sharing" im CPRA können bestimmte Drittanbieter-Cookies (insbesondere solche für Analyse und Werbung) eine „kontextübergreifende verhaltensbasierte Werbeweitergabe" darstellen, auch wenn sie keinen herkömmlichen „Verkauf" begründen.

• Wir verkaufen Ihre personenbezogenen Informationen nicht gegen Geld;
• Auf Seiten, auf denen Google Analytics und Microsoft Clarity aktiviert sind, können die damit verbundenen Datenübertragungen jedoch ein „Sharing" im Sinne des CPRA darstellen;
• Einwohner Kaliforniens und andere Nutzer, die vergleichbare Rechte ausüben, können wie folgt widersprechen (Opt-out):
  • Klicken Sie auf den Link „Do Not Sell or Share My Personal Information" (Meine personenbezogenen Informationen nicht verkaufen oder weitergeben) in der Fußzeile der Website;
  • Aktivieren Sie das Signal Global Privacy Control (GPC) über Ihren Browser oder eine Erweiterung — wir erkennen es automatisch und behandeln es als Opt-out-Anweisung;
  • Senden Sie eine E-Mail an [email protected].

7.6 Links Dritter

Der Dienst kann Links zu Websites, Plugins oder Anwendungen Dritter enthalten. Wir kontrollieren diese Dritten nicht und sind für deren Datenschutzpraktiken nicht verantwortlich. Wir empfehlen, vor dem Anklicken externer Links deren Datenschutzerklärungen zu lesen.

8. Internationale Datenübermittlungen

Aufgrund der Multi-Region-Architektur des Dienstes können Ihre personenbezogenen Daten in andere Länder als Ihr Wohnsitzland übermittelt und dort verarbeitet werden.

8.1 Übermittlungsmechanismen

Für Übermittlungen aus dem Europäischen Wirtschaftsraum, dem Vereinigten Königreich oder der Schweiz in ein Land, für das kein Angemessenheitsbeschluss vorliegt, stützen wir uns je nach Empfänger auf einen der folgenden Mechanismen:

• Datenschutzrahmenabkommen EU-USA (EU-US DPF): Hat sich der Empfänger nach dem DPF selbst zertifiziert (Durchführungsbeschluss (EU) 2023/1795 der Kommission), stützen wir uns auf das DPF als Garantie der Angemessenheit — so sind beispielsweise Stripe, Google, Cloudflare, AWS, Microsoft und Resend dem DPF beigetreten;
• UK-Erweiterung des DPF: für Übermittlungen aus dem Vereinigten Königreich in die USA;
• Datenschutzrahmenabkommen Schweiz-USA (Swiss-US DPF): für Übermittlungen aus der Schweiz in die USA;
• EU-Standardvertragsklauseln (SCCs) (modulare Fassung von 2021): für Empfänger, die dem DPF nicht beigetreten sind;
• UK International Data Transfer Agreement (IDTA) oder UK SCC Addendum: für Übermittlungen unter Beteiligung des Vereinigten Königreichs;
• Angemessenheitsbeschlüsse: wenn die Übermittlung in ein Land erfolgt, für das die Europäische Kommission ein angemessenes Schutzniveau festgestellt hat (z. B. Japan, Südkorea und der kanadische Wirtschaftssektor).

8.2 Hauptsächliche Empfängerregionen

Auf Grundlage der in §7 dieser Erklärung aufgeführten Dienstleister können Ihre Daten übermittelt werden an:

• Vereinigte Staaten: Stripe, Google, AWS, Cloudflare, Resend, Microsoft Clarity und andere; für Nutzer der iOS-Anwendung zusätzlich Apple (Sign in with Apple, DeviceCheck und App-Store-Transaktionen) und der Anbieter der KI-API-Infrastruktur
• Europäische Union: Stripe Europe, einige AWS-/Cloudflare-Knoten
• Andere Regionen: Die in §6.2 genannten Modellbetreiber verarbeiten Generierungsanfragen in ihren jeweiligen Regionen
• Vereinigtes Königreich: bestimmte Cloudflare-Edge-Knoten
• Singapur: SeeAPI (GROWCRAFT PTE. LTD.) für die Inhaltsmoderation von Prompts sowie erzeugten Bildern und Videos (§7.1)

8.3 Ihre Rechte in Bezug auf Übermittlungen

Sie haben das Recht,

• zu erfahren, in welche Länder Ihre Daten übermittelt werden
• die für bestimmte Übermittlungen angewandten Garantiedokumente anzufordern (etwa die nicht geschäftlich sensiblen Teile einer Kopie der SCCs)
• bestimmten Übermittlungen zu widersprechen

8.4 Transfer-Folgenabschätzung (TIA)

Nach dem Urteil des Gerichtshofs der Europäischen Union in der Rechtssache Schrems II (Rs. C-311/18) haben wir für jeden nicht dem DPF angehörigen US-Empfänger und für andere Zielorte mit höherem Risiko eine Transfer-Folgenabschätzung (TIA) durchgeführt oder führen sie derzeit durch; dabei wird beurteilt, ob das Rechtsumfeld und die Garantien im Empfängerland ausreichen, um die Grundrechte der betroffenen Personen zu schützen. Eine Zusammenfassung der TIA können Sie per E-Mail an [email protected] anfordern.

9. Datenaufbewahrung

Wir bewahren Ihre personenbezogenen Daten nur so lange auf, wie es erforderlich ist, um die in dieser Erklärung beschriebenen Zwecke zu erfüllen, rechtliche Verpflichtungen einzuhalten, Streitigkeiten beizulegen und unsere Vereinbarungen durchzusetzen. Die konkreten Aufbewahrungsfristen lauten wie folgt:

Hinweis zur unbefristeten Aufbewahrung der Sperrliste: Nach Art. 17 Abs. 3 lit. e DSGVO gilt das Recht auf Löschung nicht, soweit die Verarbeitung „zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen" erforderlich ist. Die Sperrlistendaten zur Betrugsabwehr sind erforderlich, um (a) sich gegen Streitansprüche zu verteidigen, die gesperrte Nutzer später unter anderen Identitäten erheben; (b) zu verhindern, dass gesperrte Nutzer die Beschränkungen der Nutzungsbedingungen umgehen und neue Schäden verursachen; und (c) die branchenweite Erkennung bekannter Betrugsmuster zu unterstützen. Wir legen daher keine feste Löschfrist fest, prüfen die Erforderlichkeit der Sperrliste aber jährlich.

Nach Ablauf der Aufbewahrungsfrist werden die Daten entweder sicher gelöscht oder unumkehrbar anonymisiert.

10. Cookies und Tracking-Technologien

10.1 Von uns verwendete Cookie-Arten

10.2 Cookies von Drittanbietern und Opt-out

10.3 Verwaltung von Cookies

Sie können Cookies auf folgende Weise verwalten:

• Browsereinstellungen (Cookies blockieren oder löschen)
• Das Cookie-Einwilligungsbanner des Dienstes (schrittweise Einführung geplant): Nutzer im EWR, im Vereinigten Königreich und in der Schweiz sehen beim ersten Besuch standardmäßig Opt-in; Nutzer in den USA sehen standardmäßig Opt-out mit automatischer GPC-Erkennung
• Die Opt-out-Links der einzelnen oben genannten Anbieter

Hinweis: Das Deaktivieren unbedingt erforderlicher Cookies kann die Anmeldung verhindern oder Kernfunktionen unbrauchbar machen.

10.4 Do-Not-Track-Signale (DNT)

Da es für DNT-Signale keinen einheitlichen branchenweiten Umsetzungsstandard gibt, reagieren wir nicht auf von Browsern gesendete DNT-Signale, wohl aber auf das neuere GPC-Signal (siehe §10.5).

10.5 Global Privacy Control (GPC) [Neu — nach CPRA erforderlich]

Gemäß dem CPRA und gleichwertigen Gesetzen in Colorado, Connecticut und ähnlichen Bundesstaaten erkennen und beachten wir automatisch das Signal Global Privacy Control (GPC). Erkennen wir von Ihrem Browser oder Ihrer Erweiterung ein GPC-Signal, behandeln wir es als gültige Anweisung nach dem CCPA / CPRA, dem „Verkauf oder Sharing personenbezogener Informationen zu widersprechen", und passen das Laden von Analyse- und Werbe-Cookies sowie die Datenweitergabe über diese entsprechend an.

11. Ihre Datenschutzrechte

11.1 Rechte nach der DSGVO (EWR, Vereinigtes Königreich, Schweiz)

Wenn Sie sich im EWR, im Vereinigten Königreich oder in der Schweiz befinden, stehen Ihnen folgende Rechte zu:

Ausnahmen vom Recht auf Löschung: Nach Art. 17 Abs. 3 DSGVO kann ein Löschungsantrag in folgenden Fällen abgelehnt werden:

• Die Aufbewahrung ist gesetzlich vorgeschrieben (etwa bei Transaktionsdaten innerhalb der gesetzlichen steuerlichen Aufbewahrungsfristen)
• Die Aufbewahrung ist zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich (dies gilt für die Sperrlistendaten zur Betrugsabwehr)
• Die Aufbewahrung ist aus Gründen des öffentlichen Interesses oder der wissenschaftlichen Forschung erforderlich

Antwortfrist: Wir antworten innerhalb von 30 Tagen nach Eingang des Antrags; ist der Antrag komplex oder gehen zahlreiche Anträge ein, kann die Frist um 60 Tage verlängert werden; in diesem Fall werden Sie innerhalb der ersten 30 Tage informiert.

11.2 Rechte nach dem CCPA / CPRA (Einwohner Kaliforniens)

Wenn Sie Einwohner Kaliforniens sind, stehen Ihnen folgende Rechte zu:

Kategorien sensibler personenbezogener Informationen, die wir erheben (CPRA §1798.140(ae)):

• Anmeldedaten des Kontos (E-Mail + Passwort / OAuth-Token)
• Präziser Standort (nur wenn Sie die Standortberechtigung des Browsers erteilen)
• Sensible Inhalte, die Sie nach eigenem Ermessen in Ihre Uploads aufnehmen

Wir verwenden die oben genannten sensiblen personenbezogenen Informationen nicht, um auf sensible Merkmale zu schließen; wir verwenden sie nur für nach dem CPRA zulässige Geschäftszwecke (Authentifizierung, Betrugsprävention und Vertragserfüllung). Sie müssen das „Recht auf Beschränkung der Verwendung" nicht gesondert ausüben, um diesen Standardschutz zu erhalten.

Antwortfrist: 45 Tage; bei komplexen Anträgen um weitere 45 Tage verlängerbar.

Bevollmächtigte Vertreter: Sie können einen Bevollmächtigten benennen, der Anträge in Ihrem Namen stellt, vorbehaltlich einer angemessenen Identitätsprüfung.

California Shine the Light Act (§1798.83): Siehe §17.

11.3 Rechte nach anderen US-Bundesstaatengesetzen

Widerspruchsverfahren (Appeals): Wird Ihr Antrag auf Ausübung von Rechten abgelehnt, können Sie innerhalb von 45 Tagen Widerspruch einlegen; der Widerspruch wird von einer dafür benannten Person geprüft.

11.4 Washington My Health My Data Act (MHMDA)

Der Dienst verarbeitet keine „Consumer Health Data" im Sinne des MHMDA und führt keine gesundheitsbezogenen Schlussfolgerungen, Diagnosen oder ergänzenden medizinischen Leistungen durch. Wenn Sie bei der Nutzung des Dienstes freiwillig gesundheitsbezogene persönliche Inhalte hochladen, werden wir diese Inhalte weder zu kommerziellen Zwecken verwenden oder offenlegen noch an Datenbroker oder ähnliche Dritte verkaufen.

11.5 So üben Sie Ihre Rechte aus

• Per E-Mail: Senden Sie eine E-Mail an [email protected] mit dem Betreff „Privacy Rights Request - [Art des Rechts]";
• Website-Formular: Reichen Sie einen strukturierten Antrag unter /privacy/rights-request ein (wird schrittweise eingeführt);
• Identitätsprüfung: Um betrügerische Anträge zu verhindern, können wir verlangen, dass Sie Ihre Identität über Ihre registrierte E-Mail-Adresse, die verknüpfte Zahlungsmethode oder ähnliche Mittel bestätigen; diese werden ausschließlich zur Identitätsprüfung verwendet;
• Antwortfristen: Innerhalb der nach dem Recht Ihrer Rechtsordnung geltenden Fristen (DSGVO: 30 Tage + 60 Tage Verlängerung; CCPA / CPRA: 45 Tage + 45 Tage Verlängerung);
• Ablehnungen und Widerspruch: Lehnen wir Ihren Antrag ab, erläutern wir die Gründe schriftlich; Sie können sich an [email protected] wenden, wobei Widersprüche von einer Person geprüft und innerhalb von 5 Werktagen beantwortet werden.

11.6 Beschwerden bei Aufsichtsbehörden

Wenn Sie der Ansicht sind, dass unsere Verarbeitung gegen geltendes Recht verstößt, haben Sie das Recht, bei einer Aufsichtsbehörde Beschwerde einzulegen:

• Einwohner des EWR: die Datenschutzbehörde Ihres Mitgliedstaats; eine vollständige Liste finden Sie auf der Website des EDSA
• Einwohner des Vereinigten Königreichs: Information Commissioner's Office (ICO), https://ico.org.uk
• Einwohner der Schweiz: Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter (EDÖB)
• Einwohner der USA: Federal Trade Commission (FTC) unter https://ftc.gov oder die Dienststelle des Attorney General Ihres Bundesstaats

12. Datensicherheit

Wir setzen technische und organisatorische Maßnahmen um, die dem Risiko unserer Verarbeitungstätigkeiten angemessen sind, um Ihre personenbezogenen Daten vor unbefugtem Zugriff, unbefugter Offenlegung, Veränderung oder Zerstörung zu schützen.

12.1 Technische Maßnahmen

• Verschlüsselung bei der Übertragung: durchgängige TLS-1.3-Verschlüsselung der gesamten Website;
• Verschlüsselung im ruhenden Zustand: AES-256-Verschlüsselung für Datenbanken und Objektspeicher;
• Zugriffskontrolle: rollenbasierte Zugriffskontrolle (Role-Based Access Control, RBAC), das Prinzip der geringsten Rechte und verpflichtende Multi-Faktor-Authentifizierung (MFA) für kritische administrative Vorgänge;
• Sitzungssicherheit: auf Better-Auth basierende Sitzungsverwaltung mit kurzlebigen Zugriffstoken und Aktualisierungsmechanismen;
• Überwachung und Alarmierung: rund um die Uhr (24/7) laufende Überwachung auffälligen Datenverkehrs und Zugriffsmuster;
• Regelmäßige Audits: regelmäßige interne und externe Sicherheitsaudits und Schwachstellenscans.

12.2 Organisatorische Maßnahmen

• Datenminimierung: Wir erheben und speichern nur die Daten, die zur Erreichung unserer Verarbeitungszwecke erforderlich sind;
• Mitarbeiterschulung: Alle Mitarbeiter erhalten regelmäßige Schulungen zu Datenschutz-Compliance und Sicherheit;
• Anbieterprüfung: Alle Auftragsverarbeiter und Unterauftragsverarbeiter durchlaufen eine Sorgfaltsprüfung und unterzeichnen standardisierte DPAs;
• Reaktion auf Sicherheitsvorfälle: schriftliche Prozesse zur Reaktion auf Vorfälle und dokumentierte Übungsprotokolle;
• Datenlebenszyklus-Management: klare Mechanismen für Klassifizierung, Aufbewahrung und Löschung von Daten.

12.3 Benachrichtigung bei Datenpannen

Wenn wir einen Vorfall bestätigen, der Ihre personenbezogenen Daten betreffen kann:

• Benachrichtigung der Aufsichtsbehörden: Wir benachrichtigen die zuständige Datenschutzbehörde innerhalb von 72 Stunden nach Kenntniserlangung (Art. 33 DSGVO);
• Benachrichtigung der Betroffenen: Wenn die Verletzung voraussichtlich ein hohes Risiko für Ihre Rechte und Freiheiten zur Folge hat, benachrichtigen wir Sie spätestens 72 Stunden, nachdem der Umfang der Auswirkungen feststeht (Art. 34 DSGVO). Die Mitteilung enthält: die Art des Vorfalls, die ungefähren Kategorien der betroffenen Daten, die voraussichtlichen Folgen, die von uns ergriffenen und Ihnen empfohlenen Maßnahmen sowie den Datenschutz-Ansprechpartner;
• Anforderungen des Rechts der US-Bundesstaaten: Wir halten die bundesstaatsspezifischen Fristen ein (etwa die Fristen von 30–45 Tagen nach California §1798.82 und dem New York SHIELD Act).

13. Datenschutz bei Kindern

Der Dienst richtet sich an Nutzer ab 18 Jahren.

• Einheitliche Altersgrenze: Im Einklang mit den Nutzungsbedingungen legen wir für alle Nutzer weltweit ein Mindestalter von 18 Jahren fest; diese Grenze liegt über der gesetzlichen Untergrenze nach dem COPPA (13 in den Vereinigten Staaten), Art. 8 DSGVO (standardmäßig 16 in der EU) und der UK GDPR (13);
• Keine wissentliche Erhebung: Wir erheben nicht wissentlich personenbezogene Informationen von Minderjährigen unter 18 Jahren;
• Altersverifizierung: Das Alter wird bei der Registrierung über ein Bestätigungskästchen erklärt; wir werden die Altersverifizierung im Laufe der Zeit in Verbindung mit Hinweisen zur Registrierungsregion weiter verstärken;
• Kanal für Eltern / Erziehungsberechtigte: Stellen Eltern oder Erziehungsberechtigte fest, dass ein Minderjähriger ohne Einwilligung personenbezogene Informationen an uns übermittelt hat, können sie die Löschung über [email protected] verlangen; wir bearbeiten den Antrag nach Verifizierung umgehend.

14. Automatisierte Entscheidungsfindung und Profiling

14.1 KI-Inhaltserzeugung

Unsere KI-Inhaltserzeugung beruht vollständig auf Ihrer ausdrücklichen Eingabe (dem von Ihnen gewählten Modell sowie den von Ihnen übermittelten Prompts und Medien). Eine solche Verarbeitung:

• stellt ihrer Natur nach keine „ausschließlich auf einer automatisierten Verarbeitung beruhende Entscheidung, die Ihnen gegenüber rechtliche Wirkung entfaltet oder Sie in ähnlicher Weise erheblich beeinträchtigt" im Sinne von Art. 22 Abs. 1 DSGVO dar;
• stützt sich auf die Rechtsgrundlage der Vertragserfüllung (Art. 6 Abs. 1 lit. b) + Erforderlichkeit für den Vertrag (Art. 22 Abs. 2 lit. a);
• Sie können die Nutzung der Generierungsfunktionen jederzeit beenden.

14.2 Automatisierte Betrugsabwehr-Entscheidungen [Wesentliche Offenlegung — Einhaltung von Art. 22 DSGVO]

Wir weisen Sie ausdrücklich darauf hin: Um Zahlungsbetrug und Kontomissbrauch zu verhindern, betreiben wir ein automatisiertes Risikokontrollsystem (einschließlich Stripe Radar und unserer internen Regel-Engine), das unter bestimmten Umständen automatisch:

• einen Rückerstattungsantrag ablehnen kann;
• ein Konto sperren oder dauerhaft beenden kann;
• Credits im Konto sofort für ungültig erklären kann;
• die zugehörige E-Mail-Hash, den Zahlungskarten-Fingerprint, die IP-Adresse und den Geräte-Fingerabdruck auf unsere Sperrliste setzen kann.

Die vorstehenden Entscheidungen stellen automatisierte Entscheidungen im Sinne von Art. 22 DSGVO dar, die rechtliche Wirkung entfalten oder Sie in ähnlicher Weise erheblich beeinträchtigen können.

Entscheidungslogik (Offenlegung auf hoher Ebene):

Um sensible Einzelheiten unserer Betrugsabwehrstrategie nicht offenzulegen, was böswillige Umgehung ermöglichen würde, legen wir nur die Kategorien und allgemeinen Dimensionen der Entscheidungslogik offen:

• Zahlungsrisiko-Dimensionen: mehrere fehlgeschlagene Zahlungen, häufiger Wechsel der Zahlungsmethode in einem kurzen Zeitfenster, Stripe-Radar-Betrugsbewertung über internen Schwellenwerten;
• Kontoverknüpfungs-Dimensionen: mehrdimensionale Übereinstimmungssignale bei E-Mail-Hash, Zahlungskarten-Fingerprint, Geräte-Fingerabdruck und IP;
• Rückerstattungsauffälligkeits-Dimensionen: Rückerstattungsantrag, der innerhalb sehr kurzer Zeit (Stunden) nach dem Kauf gestellt wird, mehrere Rückerstattungen innerhalb von 6 Monaten, frühere Chargeback-Vorgänge;
• Kontoverhaltens-Dimensionen: Nutzung von Bots / Crawlern / automatisierten Skripten für den Zugriff auf den Dienst, Verkauf oder Weitergabe von Konten und Credits, Anlegen mehrerer Konten zur Umgehung dieser Erklärung.

Ihre Rechte nach Art. 22 Abs. 3 DSGVO:

• Recht auf Eingreifen einer Person: Sie können eine menschliche Überprüfung einer automatisierten Entscheidung verlangen;
• Recht auf Darlegung des eigenen Standpunkts: Sie können unterstützende Unterlagen (Nutzungsnachweise, Zahlungsbelege, Korrespondenz, plausible Erklärungen zu Ihrem Standort usw.) vorlegen, um die Feststellung des Systems anzufechten;
• Recht auf Anfechtung: Nach dem in Rückerstattungsrichtlinie §10 beschriebenen Verfahren können Sie innerhalb von 14 Tagen nach Erhalt einer Entscheidung per E-Mail an [email protected] Widerspruch einlegen; Widersprüche werden von einer Person geprüft und innerhalb von 5 Werktagen beantwortet;
• Recht auf Erläuterung: Sie haben das Recht, eine allgemeine Erläuterung der Entscheidungslogik zu erhalten (d. h. den in diesem Abschnitt dargelegten Inhalt); aus Gründen der Wirksamkeit der Betrugsabwehr legen wir keine konkreten Schwellenwerte, Gewichtungen oder Regelparameter offen;
• Recht auf Beschwerde: Sie haben das Recht, bei Ihrer örtlichen Datenschutzbehörde Beschwerde einzulegen (siehe §11.6).

Rechtsgrundlage: Art. 22 Abs. 2 lit. a DSGVO, Erforderlichkeit für den Vertrag (Erfüllung der in den Nutzungsbedingungen und der Rückerstattungsrichtlinie festgelegten Betrugsabwehrpflichten) + Art. 6 Abs. 1 lit. f, berechtigtes Interesse (Verhinderung von Betrug, Schutz regelkonformer Nutzer). Für diese Verarbeitung haben wir die entsprechende Abwägung berechtigter Interessen (LIA) und Datenschutz-Folgenabschätzung (DPIA) durchgeführt (siehe §15).

14.3 Profiling zur Verbesserung des Dienstes

Schlussfolgerungen aus Nutzungsdaten über Ihre Funktionspräferenzen (siehe §3.5) wirken sich nicht auf den Status Ihres Kontos aus und werden nur zur Produktverbesserung und für personalisierte Empfehlungen verwendet; personalisierte Empfehlungen können Sie in Ihren Kontoeinstellungen deaktivieren.

15. Datenschutz-Folgenabschätzung (DPIA)

Gemäß Art. 35 DSGVO haben wir für Verarbeitungstätigkeiten, die ein hohes Risiko für die Rechte und Freiheiten betroffener Personen bergen können, Datenschutz-Folgenabschätzungen durchgeführt oder führen sie derzeit durch:

• DPIA zu automatisierten Betrugsabwehr-Entscheidungen: abgeschlossen (umfasst die in §3.4 beschriebenen Datenkategorien und den in §14.2 beschriebenen Entscheidungsablauf);
• DPIA zur Erkennung KI-erzeugten Missbrauchs: in Bearbeitung;
• DPIA zum geplanten Geräte-Fingerprinting: wird vor dem Einsatz abgeschlossen.

Die vorstehenden DPIAs benennen geeignete Maßnahmen zur Risikominderung (Datenminimierung, irreversibles Hashing, begrenzte Aufbewahrungsfristen, Widerspruchskanäle mit menschlicher Prüfung usw.). Eine Zusammenfassung der DPIA (ohne geschäftlich und sicherheitsrelevant sensible Einzelheiten) können Sie per E-Mail an [email protected] anfordern.

16. Einhaltung der EU-KI-Verordnung

Die transparenzbezogenen Bestimmungen der EU-KI-Verordnung (EU AI Act, Verordnung (EU) 2024/1689) beginnen ab dem 2. August 2026 stufenweise zu gelten. In Bezug auf den Dienst gilt:

16.1 Risikoklassifizierung des KI-Systems

Als nachgelagerter Betreiber (Deployer) von KI-Systemen fallen die von uns angebotenen Leistungen unter generative KI, die nach der KI-Verordnung im Allgemeinen als begrenztes Risiko eingestuft wird. Wir betreiben nicht:

• verbotene KI-Systeme nach Art. 5 (Social Scoring, unterschwellige Manipulation usw.);
• Hochrisiko-KI-Systeme nach Anhang III (Bewerberauswahl, Kreditscoring, Entscheidungsfindung in der Strafverfolgung usw.).

16.2 Transparenz der Trainingsdaten

Wir trainieren keine eigenen KI-Modelle; die von uns genutzten Modelle werden sämtlich von nachgelagerten KI-Modellanbietern betrieben, die die entsprechenden Transparenzpflichten erfüllt haben. Der von uns genutzte Anbieter der KI-API-Infrastruktur und die Modellbetreiber werden auf der Seite KI-Anbieter von Drittparteien zusammen mit dem beschrieben, was uns über ihre Praktiken bei Trainingsdaten bekannt ist; weitere Informationen zu einem bestimmten Betreiber können Sie unter [email protected] anfordern.

16.3 Kennzeichnung KI-erzeugter Inhalte (Art. 50 Abs. 2)

Für KI-erzeugte synthetische Inhalte (Bilder, Videos, Audio):

• bringen wir maschinenlesbare Markierungen (wie C2PA Content Credentials) an, soweit sie von den nachgelagerten KI-Anbietern unterstützt werden;
• können manche Ausgaben zusätzlich sichtbare Wasserzeichen enthalten;
• dürfen Sie diese Markierungen nicht entfernen, manipulieren oder umgehen (siehe Nutzungsbedingungen §5.4).

16.4 Offenlegung der KI-Interaktion (Art. 50 Abs. 1 lit. a)

Wenn Sie mit den KI-Generierungsfunktionen des Dienstes interagieren (einschließlich Bildbearbeitung, Videoerzeugung usw.), weist die Benutzeroberfläche deutlich darauf hin, dass Sie mit einem KI-System und nicht mit einem Menschen interagieren.

16.5 Offenlegungspflichten bei Deepfakes (Art. 50 Abs. 4)

Obwohl das Produkt die Erzeugung von Deepfake-Inhalten, die mit realen Personen, Ereignissen oder Orten verwechselt werden könnten, nicht unterstützt (siehe die Grenzziehung in §6.5), müssen Sie, wenn Sie KI-erzeugte Inhalte für Angelegenheiten von öffentlichem Interesse (Nachrichten, Politik, medizinische Themen usw.) verwenden, bei deren Veröffentlichung dennoch deutlich offenlegen, dass die Inhalte KI-erzeugt oder KI-gestützt sind. Die entsprechende vertragliche Pflicht ist in Nutzungsbedingungen §5.4 festgelegt.

17. California Shine the Light Act

Nach California Civil Code §1798.83 (dem „Shine the Light Act") können Einwohner Kaliforniens eine Liste der personenbezogenen Informationen anfordern, die zu Direktmarketingzwecken Dritter an diese Dritten weitergegeben wurden. Wir geben Ihre personenbezogenen Informationen nicht zu deren Direktmarketingzwecken an Dritte weiter; damit zusammenhängende Verarbeitungen und Anfragen können Sie an [email protected] richten.

18. Datenschutzrechte in Nevada

Nach Nevada SB220 können Einwohner Nevadas dem Verkauf personenbezogener Informationen widersprechen. Wir verkaufen Ihre personenbezogenen Informationen nicht gegen Geld; Sie können dennoch einen bestätigenden Opt-out-Antrag an [email protected] richten, den wir innerhalb von 60 Tagen beantworten.

19. Änderungen dieser Erklärung

19.1 Änderungsmechanismus

Wir können diese Erklärung von Zeit zu Zeit überarbeiten. Alle Überarbeitungen werden auf dieser Seite mit aktualisierten Feldern „Zuletzt aktualisiert" und „Inkrafttreten" veröffentlicht.

19.2 Benachrichtigung über wesentliche Änderungen

Bei Überarbeitungen, die Ihre Rechte wesentlich berühren (etwa neue Verarbeitungszwecke, Änderungen der Regelungen zu internationalen Übermittlungen oder neue Kategorien von Unterauftragsverarbeitern), benachrichtigen wir Sie mindestens 30 Tage vor Inkrafttreten der Überarbeitungen, und zwar durch:

• Versand einer Mitteilung an Ihre registrierte E-Mail-Adresse;
• Veröffentlichung eines deutlichen Hinweises an gut sichtbarer Stelle auf der Website;
• Benachrichtigung in der Anwendung bei Ihrer nächsten Anmeldung.

19.3 Frühere Fassungen

Alle früheren Fassungen werden archiviert und auf der künftigen Seite /privacy-policy/history veröffentlicht; bis diese Seite online ist, können Sie frühere Fassungen unter [email protected] anfordern.

19.4 Fortgesetzte Nutzung gilt als Zustimmung

Die fortgesetzte Nutzung des Dienstes nach Inkrafttreten einer überarbeiteten Erklärung gilt als Zustimmung zur überarbeiteten Erklärung. Wenn Sie mit den Überarbeitungen nicht einverstanden sind, beenden Sie bitte die Nutzung des Dienstes und üben Sie Ihr Recht auf Löschung gemäß §11 aus.

20. Kontakt

20.1 Spezielle Kontaktadressen

20.2 Kommunikationsweg

AISnapEdit

• Website: https://aisnapedit.com
• Rechtsordnung des operativen Hauptsitzes: Kalifornien, Vereinigte Staaten (Betrieb nach US-Pazifikzeit, PT)
• Mitteilungen von Nutzern, Anträge auf Rechteausübung und die Zustellung rechtlicher Verfahrensdokumente nehmen wir ausschließlich per E-Mail entgegen; bitte verwenden Sie die in §20.1 aufgeführten speziellen E-Mail-Adressen.
• Die vollständigen Angaben zur Eintragung der juristischen Person werden mit der förmlich in Kraft tretenden Fassung dieser Erklärung veröffentlicht.

20.3 Vertreter in der EU / Vertreter im Vereinigten Königreich

Unser Vertreter in der EU (Art. 27 DSGVO) und unser Vertreter im Vereinigten Königreich (Art. 27 UK GDPR) sind dieselbe Stelle:

• Name der Stelle: Instant EU GDPR Representative Limited
• Eingetragene Anschrift: Office 2, 12a Lower Main Street, Lucan, Dublin, Irland
• Kontakt: über [email protected] (wir leiten Anfragen an den Vertreter in der EU / im Vereinigten Königreich weiter)

Einzelheiten finden Sie in §2.3 und §2.4.

20.4 Antwortfristen

Mit der Nutzung von AISnapEdit bestätigen Sie, diese Datenschutzerklärung gelesen und verstanden zu haben und ihr zuzustimmen.

© 2026 AISnapEdit. Alle Rechte vorbehalten.