Datenschutzerklärung

Version 2.8 · Letzte Aktualisierung: 6. Oktober 2026

Diese Datenschutzerklärung (nachfolgend „Erklärung“) erläutert, welche personenbezogenen Daten das Unternehmen, das das SaaS-System Kiult betreibt (nachfolgend „Verantwortlicher“ oder „Kiult“), verarbeitet, zu welchen Zwecken, auf welcher Rechtsgrundlage, wie lange sie gespeichert werden und welche Rechte Sie als betroffene Person haben. Diese Erklärung steht im Einklang mit der Verordnung (EU) 2016/679 (DSGVO), der Verordnung über künstliche Intelligenz (AI Act), der Verordnung über digitale Dienste (DSA) und dem Gesetz Nr. 18/2018 Slg. über den Schutz personenbezogener Daten.

1. Verantwortlicher und Kontakt

Verantwortlicher für die personenbezogenen Daten im Sinne von Art. 4 Nr. 7 DSGVO ist:

Quin.Online, s.r.o.
Sitz: Cabanova 34, 841 02 Bratislava, Slowakische Republik
Ident.-Nr. (IČO): 50 042 106
Steuer-Nr. (DIČ): 2120155444
USt-IdNr. (IČ DPH): SK2120155444
Eintragung: Handelsregister des Stadtgerichts Bratislava III, Abteilung: Sro, Einlage-Nr. 107399/B
(nachfolgend „Verantwortlicher“, „Unternehmen“ oder „Kiult“).

In Angelegenheiten des Datenschutzes kontaktieren Sie uns unter privacy@kiult.com. Sofern ein Datenschutzbeauftragter (Data Protection Officer, DPO) bestellt ist, ist dieser unter derselben Adresse mit dem Betreff „DPO“ erreichbar.

Aufsichtsbehörde: Sie haben das Recht, bei einer Datenschutzaufsichtsbehörde Beschwerde einzulegen. In der Slowakei ist dies das Amt für den Schutz personenbezogener Daten der Slowakischen Republik, Hraničná 12, 820 07 Bratislava 27, www.uoou.sk. Sie können die Beschwerde auch bei der Aufsichtsbehörde des Landes Ihres gewöhnlichen Aufenthalts, Ihres Arbeitsplatzes oder des Ortes des vermuteten Verstoßes einlegen.

2. Welche Daten wir verarbeiten

Wir verarbeiten die folgenden Kategorien personenbezogener Daten:

• Kontodaten: E-Mail-Adresse, Name (sofern angegeben), Status der E-Mail-Verifizierung, gewählter Tarif und Abonnementstatus, Passwort (ausschließlich als kryptografischer Hash gespeichert, niemals in lesbarer Form).
• Altersdaten: Monat und Jahr der Geburt (ohne Tag — Datenminimierung) zur Überprüfung der Altersgrenze von 16 Jahren. Den Tag der Geburt erheben wir nicht.
• Von Ihnen hochgeladene oder erstellte Inhalte: Text-Prompts, Fotos, Audio und Video, die Sie als Eingabe bereitstellen, sowie KI-generierte Inhalte. Die Verarbeitung hochgeladener Eingaben richtet sich nach dem Zero-Retention-Regime gemäß Ziffer 5.
• Avatar-Stimme: Das System erzeugt die Stimme des Avatars maschinell aus einer sprachlichen Beschreibung (Klang, Tempo, Akzent). In den Tarifen Pro und Max können Sie stattdessen eine eigene Stimme erstellen, indem Sie in der App einen Satz laut vorlesen, den Ihnen das System anzeigt; die Aufnahme dient ausschließlich als Vorlage für die Stimme dieses Avatars. Eine fertige Audiodatei als Stimme hochzuladen, ermöglicht das System nicht. Einzelheiten in Ziffer 6.
• Zahlungsdaten: Zahlungen werden von Zahlungsdienstleistern Dritter (Stripe, GoPay) verarbeitet. Kiult speichert keine Zahlungskartennummern; wir erhalten lediglich Zahlungsbestätigungen und Transaktionskennungen.
• Technische und Betriebsdaten: IP-Adresse (und das daraus abgeleitete Land über die Datenbank IP Geolocation by DB-IP, Lizenz CC-BY-4.0, zum Zweck der Auswahl des Zahlungsdienstleisters und des Umsatzsteuersatzes), Geräte- und Browsertyp (User-Agent), Zugriffsprotokolle und Sicherheitsaufzeichnungen.
• Tätigkeitsaufzeichnungen (Audit-Log): Zu Zwecken der Sicherheit, der Missbrauchsprävention und der Buchführung führen wir ein betriebliches Audit-Log ausgewählter Kontoaktionen — insbesondere Anmeldung und Authentifizierungsereignisse, Render-Verbrauch (Minuten), Kreditbewegungen (Gutschrift/Belastung), erteilte Freigabe-Einwilligungen und Kontakt mit dem Support. Zu jedem Eintrag werden Zeit, IP-Adresse und User-Agent gespeichert. Wir führen kein Marketing-Profiling durch und verfolgen Ihren Fortschritt im Erstellungsprozess nicht zu Werbezwecken.
• Kryptografischer Herkunftsidentifikator (metaseal): Die Verknüpfung zwischen dem in generierte Inhalte eingebetteten unsichtbaren Identifikator und dem Konto des Erstellers — zur Prävention und Untersuchung von Missbrauch (siehe Ziffern 8 und 10).
• Daten berechtigter Organisationen für den Detektor: Bei Organisationen, denen wir den Detektor ohne Tageslimit zugänglich machen (Nutzungsbedingungen, Section 8B Ziffer 7), verarbeiten wir den Namen der Organisation, Name und E-Mail-Adresse der Kontaktperson, den Anmeldenamen, das Passwort (ausschließlich als kryptografischen Hash) sowie Aufzeichnungen über Prüfungen (Zeitpunkt, Organisation und Ergebnis je Kennzeichnungsebene). Die geprüften Dateien speichern wir nicht.

3. Zwecke und Rechtsgrundlage der Verarbeitung (Art. 6 DSGVO)

Jede Verarbeitung hat eine bestimmte Rechtsgrundlage:

• Vertragserfüllung (Art. 6 Abs. 1 lit. b): Erstellung und Verwaltung des Kontos, Bereitstellung generativer Dienste, Verwaltung von Abonnement und Zahlungen, Bereitstellung der Ausgaben.
• Einwilligung (Art. 6 Abs. 1 lit. a): optionale Cookies/Analytik und Veröffentlichung von Inhalten im Bereich der Gemeinsamen Werke. Sie können die Einwilligung jederzeit widerrufen, ohne dass die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung berührt wird.
• Berechtigtes Interesse (Art. 6 Abs. 1 lit. f): Sicherheit des SaaS-Systems, Prävention von Missbrauch und Betrug, Inhaltsmoderation, Schutz der Rechte Dritter und Zusammenarbeit mit Behörden. Gegen eine Verarbeitung auf dieser Grundlage haben Sie ein Widerspruchsrecht (Ziffer 9).
• Erfüllung einer rechtlichen Verpflichtung (Art. 6 Abs. 1 lit. c): Buchführungs- und Steuerpflichten, Pflichten nach dem AI Act und dem DSA sowie Reaktion auf rechtmäßige Anfragen von Behörden.

Eigene Avatar-Stimme (Art. 9 DSGVO): Die Aufnahme einer eigenen Stimme nach Ziffer 6 behandeln wir als biometrische Daten und verarbeiten sie nur auf Grundlage einer Einwilligung nach Art. 6 Abs. 1 lit. a und einer ausdrücklichen Einwilligung nach Art. 9 Abs. 2 lit. a DSGVO, die Sie durch Bestätigen der Einwilligung erteilen und zugleich im vorgelesenen Satz laut aussprechen. Wir vergleichen keine Stimmen und nutzen sie weder zur Identifizierung einer Person noch zur Überprüfung ihrer Identität. Andere besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO verarbeiten wir nicht. Die automatisierte Altersprüfung nach Ziffer 4 extrahiert und speichert keine biometrischen Templates und dient nicht der Identifizierung einer Person.

Detektor für berechtigte Organisationen: Die Daten der Kontaktpersonen berechtigter Organisationen und die Aufzeichnungen über Prüfungen verarbeiten wir auf Grundlage eines berechtigten Interesses (Art. 6 Abs. 1 lit. f DSGVO): die Erkennung der maschinenlesbaren Kennzeichnung KI-generierter Inhalte denjenigen zugänglich zu machen, die die Herkunft von Inhalten prüfen, und nachweisen zu können, wer eine Prüfung durchgeführt hat. Betroffene Personen sind die Kontaktpersonen dieser Organisationen.

Beweislast für die Erteilung der Einwilligung: Gemäß Art. 7 Abs. 1 DSGVO erfasst und speichert der Verantwortliche technische Aufzeichnungen über die Erteilung der Einwilligung (Zeitstempel, IP-Adresse zum Zeitpunkt der Erteilung der Einwilligung und Version der Bedingungen/Einwilligung) für die gesamte Dauer der Einwilligung sowie 3 Jahre nach deren Widerruf, um die Rechtmäßigkeit der auf Grundlage der Einwilligung durchgeführten Verarbeitung nachweisen zu können.

4. Alters-Gate und Schutz Minderjähriger

Das SaaS-System ist ausschließlich für Personen ab 16 Jahren bestimmt. Das Alter überprüfen wir anhand des bei der Registrierung angegebenen Geburtsdatums (Monat + Jahr). Hochgeladene Fotos und Videos realer Personen liegen bis zur Prüfung höchstens in einem isolierten Zwischenspeicher (Quarantäne) und durchlaufen eine automatisierte Alterskontrolle (GATE 0) im Arbeitsspeicher, bevor sie in die Bibliothek oder in eine weitere Verarbeitung gelangen; eine Eingabe, die als Darstellung einer minderjährigen Person bewertet wird, wird sofort und unwiderruflich abgelehnt und aus der Quarantäne gelöscht. Wir verarbeiten nicht wissentlich personenbezogene Daten von Personen unter 16 Jahren ohne überprüfbare Einwilligung des gesetzlichen Vertreters gemäß Art. 8 DSGVO.

Die automatisierte Kontrolle (GATE 0) erfolgt ausschließlich im Arbeitsspeicher (RAM) in Echtzeit. Während dieses Vorgangs werden keine biometrischen Daten (z. B. Gesichtsvektoren oder biometrische Vorlagen) zum Zweck der eindeutigen Identifizierung im Sinne von Art. 9 DSGVO extrahiert, gespeichert oder dauerhaft verarbeitet. Wird eine Eingabe (Foto oder Video) als Darstellung einer minderjährigen Person oder als unzulässiger NSFW-Inhalt bewertet, wird sie sofort und unwiderruflich aus der Quarantäne und aus dem RAM gelöscht und gelangt weder in die Bibliothek noch in eine weitere Verarbeitung.

5. Hochgeladene Inhalte und Zero-Retention von Eingaben

Hochgeladenes Material (Fotos, Audio, Video) verarbeiten wir ausschließlich zum Zweck der Erbringung der von Ihnen angeforderten Leistung. Eingaben, die nur als Grundlage für die Generierung dienen (z. B. Quellvideo bei der Gesichtsbearbeitung, Referenzfotos), werden nach Abschluss der Generierung automatisch gelöscht und nicht in Ihrer Bibliothek („Meine Medien“) gespeichert. In der Bibliothek werden ausschließlich generierte oder von Ihnen geteilte Inhalte gespeichert. Von der Sicherheitsschranke abgelehnte Eingaben werden sofort aus der Quarantäne gelöscht und gelangen nicht in die Bibliothek. Für die Rechtmäßigkeit und Berechtigung des hochgeladenen Materials sind Sie verantwortlich (siehe Nutzungsbedingungen); Kiult prüft keine Rechte oder Einwilligungen zum hochgeladenen Material. Von einer Eingabe, die das Bildmodell vor der Generierung liest, verbleibt beim Projekt nur eine maschinelle Beschreibung der Aufnahme (Bildaufbau, Licht, Farben, Umgebung); sie identifiziert keine Personen und wird zusammen mit dem Projekt gelöscht. Fotos und Videobilder, aus denen die Beschreibung entsteht, übermitteln wir dem Modell Gemini (Google, Ziffer 11) erst nach einer Sicherheitsprüfung auf unserem Server.

6. Avatar-Stimme — aus einer Beschreibung oder Ihre eigene

Die Stimme des Avatars entsteht auf einem von zwei Wegen:

• Aus einer Beschreibung (Standard). Das System erzeugt die Stimme maschinell aus einer sprachlichen Beschreibung der Stimme (Klang, Tempo, Akzent), die es aus Ihrer Texteingabe ableitet. Die erzeugte Probe ist nicht von der Stimme einer natürlichen Person abgeleitet und keine biometrischen Daten; sie wird zur Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO) verarbeitet und als Vorlage gespeichert, damit die Figur in allen Szenen gleich klingt.
• Eigene Stimme (Tarife Pro und Max). In der App lesen Sie einen zufälligen Satz laut vor, den Ihnen das System anzeigt, und bestätigen Ihre Einwilligung. Die Stimme auf der Aufnahme muss Ihnen gehören oder einer Person, die den Satz selbst vorliest und damit einverstanden ist. Eine fertige Audiodatei als Stimme hochzuladen, ermöglicht das System nicht.
• Was mit der Aufnahme geschieht: Eine automatische Spracherkennung prüft, ob die Aufnahme den vorgelesenen Satz enthält; danach dient sie ausschließlich als Vorlage für die Stimme dieses Avatars beim Erzeugen seiner Sätze. Wir vergleichen keine Stimmen und identifizieren niemanden, nutzen die Aufnahme für keinen anderen Zweck und nicht zum Training von Modellen und geben sie nicht an Dritte weiter.
• Rechtsgrundlage: Einwilligung und ausdrückliche Einwilligung nach Art. 6 Abs. 1 lit. a und Art. 9 Abs. 2 lit. a DSGVO (Ziffer 3). Sie können Ihre Einwilligung jederzeit widerrufen, indem Sie die Stimme im Avatar-Detail löschen; die Aufnahme wird damit endgültig gelöscht und der Avatar erhält eine Stimme aus der Beschreibung.
• Wasserzeichen: Jede Audioausgabe, die der Avatar spricht — mit einer Stimme aus der Beschreibung ebenso wie mit Ihrer eigenen —, enthält ein unhörbares Audio-Wasserzeichen (AudioSeal), das die KI-Herkunft gemäß Art. 50 Abs. 2 der Verordnung (EU) 2024/1689 (KI-Verordnung) kennzeichnet. Die Aufnahme selbst wird nicht als KI-Ausgabe gekennzeichnet — sie ist Ihre Aufnahme.
• Löschung: Die erzeugte Probe und die Aufnahme Ihrer eigenen Stimme löschen wir, wenn sie ersetzt werden, wenn die Stimme oder der Avatar gelöscht wird, spätestens aber mit der Löschung des Kontos.

7. Cookies und Tracking

Eigene Cookies und lokaler Speicher. Kiult speichert Ihre Anmeldung nicht in eigenen Cookies — das Anmelde-Token (JWT) wird im lokalen Speicher des Browsers (localStorage) Ihres Geräts aufbewahrt und dient ausschließlich der Aufrechterhaltung der angemeldeten Sitzung und der Sicherheit (Rechtsgrundlage: Vertragserfüllung / berechtigtes Interesse). Es handelt sich um technisch notwendige Verarbeitung, die keiner Einwilligung bedarf.

Cookies Dritter (unbedingt erforderlich). Bei Zahlungen und der Anmeldung können technisch notwendige Cookies unserer Partner direkt von deren Domains gesetzt werden: die Zahlungsdienstleister Stripe und GoPay (z. B. zur Betrugsprävention und Zahlungsabwicklung) sowie der Anmeldeanbieter Google (sofern Sie diese Option nutzen). Diese Cookies werden von den jeweiligen Anbietern nach deren eigenen Datenschutzerklärungen verwaltet; sie sind für das Funktionieren der Zahlung bzw. der Anmeldung erforderlich.

Schutz des Detektors (Google reCAPTCHA). Wenn Sie den Detektor ohne Anmeldung öffnen, wird erst dann der Dienst Google reCAPTCHA (Google Ireland Limited) geladen, der Menschen von automatisierten Programmen unterscheidet. Zu diesem Zweck verarbeitet er technische Daten über Ihr Gerät und Ihren Browser (z. B. IP-Adresse, Browserdaten und Ihre Interaktion mit der Seite) und kann eigene Cookies setzen. Rechtsgrundlage ist unser berechtigtes Interesse, den kostenlosen Detektor vor automatisiertem Missbrauch zu schützen (Art. 6 Abs. 1 lit. f DSGVO). Für angemeldete Nutzer und in anderen Bereichen von Kiult wird reCAPTCHA nicht geladen. Google kann die Daten auch außerhalb des EWR verarbeiten (in den USA auf Grundlage des Angemessenheitsbeschlusses zum EU-US-Datenschutzrahmen); Einzelheiten enthalten die Datenschutzerklärung und die Nutzungsbedingungen von Google.

Keine Analytik und kein Marketing. Kiult verwendet keine eigenen Analyse- oder Marketing-Cookies und setzt keine Tracking-Tools Dritter ein (z. B. Google Analytics, Meta Pixel und Ähnliches). Sollten wir künftig optionale Analyse- oder Marketing-Cookies einführen wollen, tun wir dies ausschließlich auf Grundlage Ihrer Einwilligung, die Sie jederzeit widerrufen können; bis zur Einführung einer solchen Funktion verwenden wir derartige Cookies nicht. Cookie-Einstellungen (einschließlich Cookies Dritter) können Sie in Ihrem Browser verwalten.

8. KI-Transparenz und Moderation (AI Act, DSA)

Im Einklang mit dem AI Act werden alle Bild-, Video- und Audioausgaben automatisch mit einem maschinenlesbaren unsichtbaren Wasserzeichen gekennzeichnet, das den Inhalt als KI-Werk identifiziert; bei Audioausgaben handelt es sich um ein akustisches Wasserzeichen (AudioSeal, siehe Ziffer 6). Bild- und Videoausgaben werden zusätzlich um einen kryptografischen Herkunftsidentifikator (metaseal) ergänzt, der die nachträgliche Bestimmung der konkreten Generierung ermöglicht; bei Audioausgaben übernimmt diese Aufgabe das signierte C2PA-Manifest, da die Kapazität des akustischen Wasserzeichens lediglich für die Kennzeichnung der KI-Herkunft ausreicht. Wir moderieren Inhalte durch eine Kombination automatisierter Werkzeuge und menschlicher Aufsicht; schwerwiegende Entscheidungen und Beschwerden werden von einem Menschen beurteilt. Automatisierte Entscheidungsfindung hat Ihnen gegenüber keine Rechtswirkung ohne die Möglichkeit menschlicher Überprüfung — gegen eine Entscheidung über die Entfernung von Inhalten oder die Aussetzung der Erstellung können Sie Beschwerde einlegen (siehe Nutzungsbedingungen, Section 8A).

Neben der maschinenlesbaren Kennzeichnung geben wir Ihnen auch die Wahl einer für Menschen wahrnehmbaren Kennzeichnung. Beim Speichern einer Ausgabe wählen Sie, ob das SaaS-System ein sichtbares Label „KI-generiert“ in der Sprache Ihrer Einstellungen einbrennt; ohne diese Wahl trägt die Ausgabe kein sichtbares Label. In die Datei, die im SaaS-System abgespielt wird, wird das Label nie eingebrannt — Abspielen ist keine Veröffentlichung. Von Ihnen selbst hochgeladene Medien werden nicht gekennzeichnet; Ihre eigene Aufnahme als KI-generiert zu kennzeichnen wäre eine unwahre Angabe. Die Pflicht zur sichtbaren Offenlegung von Inhalten, die einen Deepfake darstellen, nach Art. 50 Abs. 4 der Verordnung (EU) 2024/1689 (KI-Verordnung) trifft den Betreiber, also denjenigen, der den Inhalt veröffentlicht — veröffentlichen Sie die Ausgabe, so trifft sie Sie, und diese Wahl hilft Ihnen, sie zu erfüllen. Ist das Label in der Datei enthalten, ist sein Entfernen, Beschneiden oder Überdecken untersagt (siehe Nutzungsbedingungen, Section 8).

Bei Videos mit Ton kennzeichnen wir auch die Tonspur, und zwar in den Abschnitten, in die KI eingeflossen ist (etwa erzeugte Sprache oder Musik); Ihr unveränderter Ton wird nicht gekennzeichnet. Das sichtbare Label befindet sich nur im Bild — verwenden Sie den Ton des Videos separat, geht das Label nicht mit.

9. Ihre Rechte als betroffene Person (Art. 15–22 DSGVO)

Sie haben das Recht auf: Auskunft über Ihre Daten; Berichtigung unrichtiger Daten; Löschung („Recht auf Vergessenwerden“); Einschränkung der Verarbeitung; Datenübertragbarkeit in einem strukturierten, maschinenlesbaren Format; Widerspruch gegen die Verarbeitung auf Grundlage eines berechtigten Interesses; sowie das Recht, nicht Gegenstand einer ausschließlich automatisierten Entscheidungsfindung mit Rechtswirkung zu sein. Soweit die Verarbeitung auf einer Einwilligung beruht, haben Sie das Recht, die Einwilligung jederzeit zu widerrufen. Ihre Rechte machen Sie über den Bereich Support oder unter privacy@kiult.com geltend; einen Antrag bearbeiten wir in der Regel innerhalb eines Monats. Sie haben zudem das Recht, Beschwerde bei einer Aufsichtsbehörde einzulegen (Ziffer 1).

10. Speicherdauer (Retention)

Wir speichern Daten nur so lange, wie es für den jeweiligen Zweck erforderlich ist:

• Kontodaten und Inhalte — für die Dauer des aktiven Kontos; nach Löschung des Kontos löschen wir sie, sofern das Gesetz keine längere Speicherung verlangt.
• Hochgeladene Eingaben (Ausgangsmaterial) — Zero-Retention, Löschung nach der Generierung (Ziffer 5); die maschinelle Beschreibung der Aufnahme verbleibt beim Projekt und wird mit ihm gelöscht.
• An das Modell Gemini übermittelte Daten (Ziffer 11) — Google nutzt sie nicht zum Training seiner Modelle, und den Zwischenspeicher (Cache) haben wir deaktiviert; Google darf sie nur aufbewahren, wenn seine automatische Prüfung einen Verdacht auf Missbrauch des Dienstes feststellt, und zwar höchstens 90 Tage und innerhalb der EU.
• Avatar-Stimme — die erzeugte Probe, solange der Avatar besteht (bei Neuerzeugung wird die vorherige gelöscht); die Aufnahme Ihrer eigenen Stimme bis zur Löschung der Stimme, des Avatars oder des Kontos (Ziffer 6). Den Nachweis der Einwilligung in die eigene Stimme — ohne Aufnahme und ohne deren Transkript — bewahren wir als Einwilligungsnachweis nach Ziffer 3 auf.
• Daten berechtigter Organisationen für den Detektor — für die Dauer des Zugangs und 1 Jahr nach dessen Ende; Aufzeichnungen über Prüfungen wie Sicherheitsprotokolle, in der Regel höchstens 3 Jahre.
• Buchhaltungs- und Steuerbelege — für den von steuer- und buchhaltungsrechtlichen Vorschriften geforderten Zeitraum.
• Sicherheitsprotokolle (Audit-Log) — für den zur Prävention und Untersuchung von Missbrauch sowie zur Erfüllung rechtlicher Pflichten erforderlichen Zeitraum, in der Regel höchstens 3 Jahre ab Entstehung des Eintrags, sofern eine besondere Vorschrift nichts anderes verlangt.
• Kryptografischer Herkunftsidentifikator (metaseal) und zugehörige Protokolle — die Verknüpfung zwischen dem unsichtbaren Code-Identifikator (metaseal) im generierten Inhalt und der Benutzerkonto-ID speichern wir für die Dauer des Kontos und danach für einen Zeitraum von 3 Jahren ab Löschung des Kontos oder ab Generierung des Werks, und zwar zu Zwecken der Kriminalprävention, des Schutzes von Urheber- und geistigen Eigentumsrechten Dritter, der Durchsetzung von Rechtsansprüchen und der Erfüllung von Pflichten nach der Verordnung über digitale Dienste (DSA).

11. Empfänger und Auftragsverarbeiter (Dritte)

Für den Betrieb nutzen wir Dienstleister (Auftragsverarbeiter), denen wir nur die zur Leistungserbringung notwendigen Daten offenlegen: Zahlungsdienstleister (Stripe, GoPay), den Anbieter von Hosting und KI-/Rechen-Infrastruktur sowie den E-Mail-Dienstleister. Mit Auftragsverarbeitern haben wir Verträge über die Verarbeitung von Daten gemäß Art. 28 DSGVO geschlossen. Personenbezogene Daten verkaufen wir nicht.

Google — Modell Gemini (Vertex AI). Drehbuch und Szenen eines Videos, die Nachrichten des Erstellungsassistenten, Beschreibungen von Figuren, ihrer Stimme, von Umgebungen und Gegenständen, Liedtexte, Ereignisse in der Live-Welt der Avatare (Live) und maschinelle Beschreibungen von Ausgangsmaterial schreibt das Modell Gemini, das die Google Cloud EMEA Limited (Irland) für uns als Auftragsverarbeiter auf Grundlage des Google-Cloud-Vertrags zur Auftragsverarbeitung betreibt. Wir übermitteln ihm nur, was es zum Schreiben des Textes benötigt: Ihre Vorgabe und Ihre Nachrichten im Assistenten, Beschreibungen von Figuren und Umgebungen, Sprache und Format des Videos sowie Fotos und Videobilder, die Sie als Ausgangsmaterial oder als Anhang im Erstellungs-Chat eingefügt haben — diese erst nach einer Sicherheitsprüfung auf unserem Server. Sprachaufnahmen und Zahlungsdaten übermitteln wir ihm nicht. Die Verarbeitung erfolgt in Rechenzentren in der Europäischen Union, und Google nutzt diese Daten nicht zum Training seiner Modelle.

Zum Zweck der Bestimmung des Umsatzsteuersatzes, der Überprüfung des Wohnsitzlandes und der Auswahl des lokal zuständigen Zahlungsdienstleisters nutzen wir die Datenbank IP Geolocation by DB-IP (bereitgestellt unter der Lizenz CC-BY-4.0). Die Verarbeitung der IP-Adresse zu diesem Zweck erfolgt automatisiert mit dem Ziel der Bestimmung des Verbindungslandes, wobei die IP-Adresse auf unserer Seite mit dieser Geolokalisierungsdatenbank verglichen wird; die IP-Adresse selbst wird dem Datenbankanbieter (DB-IP) nicht verkauft oder übermittelt und wird zu keinen anderen Zwecken als der geografischen Zuordnung der Transaktion verwendet.

12. Übermittlungen in Drittländer

Wir verarbeiten Daten vorrangig innerhalb des Europäischen Wirtschaftsraums (EWR). Sollte es im Einzelfall zu einer Übermittlung in ein Drittland außerhalb des EWR kommen, stellen wir diese auf Grundlage angemessener Garantien gemäß Art. 46 DSGVO sicher (z. B. Standardvertragsklauseln der Europäischen Kommission) oder eines Angemessenheitsbeschlusses. Daten für das Modell Gemini (Ziffer 11) verarbeitet Google in Rechenzentren in der Europäischen Union. Sollte Google sie Unterauftragsverarbeitern außerhalb des EWR zugänglich machen, ist die Übermittlung durch den Google-Cloud-Vertrag zur Auftragsverarbeitung auf Grundlage eines Angemessenheitsbeschlusses oder der Standardvertragsklauseln abgesichert.

13. Profiling und automatisierte Entscheidungsfindung

Automatisierte Systeme nutzen wir für Sicherheitskontrollen (GATE 0–3), Moderation und Missbrauchsprävention. Wir führen kein Profiling zu Marketingzwecken durch, das Ihnen gegenüber Rechtswirkung hätte, ohne die Möglichkeit menschlicher Überprüfung. Entscheidungen mit erheblichen Auswirkungen (Entfernung von Inhalten, Aussetzung der Erstellung) sind durch einen Menschen überprüfbar.

14. Teilen und „Sharables“

Inhalte, die Sie teilen möchten, stellen wir entsprechend der von Ihnen gewählten Art des Teilens bereit — entweder direkt einem bestimmten registrierten Nutzer über ein eindeutiges Zugriffstoken oder im internen Bereich Shared Creations. Über die Funktion „Sharables“ geteilte Medien öffnen sich nur innerhalb des Kiult-Kontos des Empfängers (internes geschlossenes Ökosystem) und stehen nicht zum direkten Download auf das Gerät zur Verfügung. Die Lizenzbedingungen eines solchen Teilens regeln die Nutzungsbedingungen (Section 4).

15. Sicherheit

Wir treffen angemessene technische und organisatorische Maßnahmen zum Schutz der Daten (Passwort-Hashing, Zugriffssteuerung, Trennung der Speicher). Keine Übertragung über das Internet ist jedoch vollständig sicher, und absolute Sicherheit können wir nicht garantieren.

16. Änderungen dieser Erklärung

Wir können diese Erklärung aktualisieren. Über wesentliche Änderungen informieren wir Sie in geeigneter Weise (z. B. per E-Mail oder durch einen Hinweis in der Anwendung). Die aktuelle Fassung ist stets im SaaS-System mit Angabe des Datums der letzten Aktualisierung verfügbar.