Datenschutzerklärung

Diese Datenschutzerklärung erläutert, wie wir Ihre personenbezogenen Daten verarbeiten, wenn Sie die Website avpad.com, die kostenlosen Bildwerkzeuge oder das AvPad Studio (zusammen „AvPad" oder „der Dienst") nutzen.

1. Verantwortlicher

Intermac systems
Sendnicher Str. 58a
56072 Koblenz, Deutschland
E-Mail: hello@avpad.com
Telefon: +49 151 2755 5942

Bei Fragen zum Datenschutz erreichen Sie uns unter hello@avpad.com. Ein Datenschutzbeauftragter ist nicht bestellt, da die gesetzlichen Voraussetzungen nicht vorliegen.

2. Was AvPad ist

AvPad ist ein Dienst zur Erzeugung und Bearbeitung von Bildern mit KI-Modellen. Sie geben Textbeschreibungen (Prompts) ein und laden optional eigene Bilder als Vorlage oder Referenz hoch. Die Bilder werden von externen KI-Anbietern (OpenAI, Google) erzeugt. Daneben bieten wir kostenlose Werkzeuge wie Bildverkleinerung, Formatumwandlung und Komprimierung an, die ohne KI auf unseren Servern laufen.

3. Welche Daten wir verarbeiten

3.1 Konto und Anmeldung

Sie melden sich mit Ihrem Google-Konto an. Wir erhalten von Google Ihren Namen, Ihre E-Mail-Adresse, Ihr Profilbild und eine Google-Kennung. Wir speichern diese Daten zusammen mit der von Ihnen gewählten Sprache, dem Anmeldezeitpunkt und Ihrem Credit-Guthaben. Den Anzeigenamen können Sie in Ihrem Profil ändern; spätere Anmeldungen überschreiben ihn nicht.

Zweck: Bereitstellung Ihres Kontos. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).

Solange der Dienst im Einladungsmodus läuft, speichern wir zusätzlich Ihre E-Mail-Adresse auf der Warteliste und den Status Ihrer Einladung. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahme).

3.2 Prompts, hochgeladene Bilder und Ergebnisse

Wenn Sie Bilder erzeugen oder bearbeiten, verarbeiten wir:

• Ihre Texteingaben (Prompts, Titel, Stilangaben)
• von Ihnen hochgeladene Bilder (Eingabebild, Referenzbilder, Skizzen, Masken)
• die erzeugten Ergebnisbilder
• Metadaten der Erzeugung: gewähltes Modell, Format, Zeitpunkt, verbrauchte Credits, Kosten, Fehlermeldungen
• bei 3D-Modellen die Dateien, die der Anbieter liefert (je nach Modell GLB, OBJ, FBX, USDZ, STL oder Blend), und die Versionen mit weniger Flächen oder kleineren Texturen, die wir daraus auf unserem eigenen Server erzeugen

Diese Inhalte werden in Ihrem Konto gespeichert (Verlauf), damit Sie Ergebnisse wiederverwenden, weiterbearbeiten und herunterladen können. Sie können einzelne Bilder jederzeit löschen.

Hinweis zu Bildern von Personen: Wenn Sie Fotos hochladen, auf denen Personen zu sehen sind, verarbeiten wir damit personenbezogene Daten dieser Personen. Sie dürfen solche Fotos nur hochladen, wenn Sie dazu berechtigt sind, etwa weil Sie selbst abgebildet sind oder die Einwilligung der abgebildeten Person haben. Wir werten Gesichter nicht biometrisch aus und erstellen keine Gesichtsdatenbank.

Zweck: Erbringung des Dienstes. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

3.3 Kostenlose Bildwerkzeuge

Bei den kostenlosen Werkzeugen (Verkleinern, Zuschneiden, Umwandeln, Komprimieren, HEIC-Konvertierung) werden Ihre Dateien nur für die Dauer der Verarbeitung auf unserem Server im Arbeitsspeicher gehalten und unmittelbar nach der Antwort verworfen. Wir speichern weder die Dateien noch deren Inhalt. Wir zählen lediglich die Nutzung pro Werkzeug und Tag und speichern zur Begrenzung der Nutzung ohne Konto Ihre IP-Adresse für 24 Stunden.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO für die Verarbeitung, Art. 6 Abs. 1 lit. f DSGVO für die Nutzungsbegrenzung (Schutz vor Missbrauch).

3.4 Zahlungen

Credits kaufen Sie über Stripe. Wir selbst speichern keine vollständigen Zahlungsdaten, sondern nur die Stripe-Kundennummer, das gekaufte Paket, Betrag, Zeitpunkt, Rechnungsnummer und den Zahlungsstatus. Kreditkartendaten werden ausschließlich von Stripe verarbeitet.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, für die Aufbewahrung von Rechnungsdaten Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit § 147 AO.

3.5 E-Mails

Wir senden Ihnen Transaktions-E-Mails: Einladung, Kaufbestätigung und Quittung, Hinweis bei niedrigem Guthaben, Hinweis auf eine Erstattung sowie, wenn Sie sie selbst auslösen, den Link zu Ihrem Datenexport und die Bestätigung eines Löschantrags. Die Kaufquittung ist für den Betrieb des Dienstes erforderlich und kann nicht abbestellt werden, solange Ihr Konto besteht. Den Hinweis bei niedrigem Guthaben und die Erstattungshinweise können Sie jederzeit in Ihrem Profil unter „E-Mails“ abschalten; der Hinweis bei niedrigem Guthaben enthält außerdem einen Abmeldelink. Marketing-E-Mails senden wir nur mit Ihrer Einwilligung.

Wenn Sie uns schreiben, speichern wir Ihre Nachricht und unsere Antwort zur Bearbeitung der Anfrage.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, für Marketing Art. 6 Abs. 1 lit. a DSGVO.

3.6 Automatisch erhobene Daten

Bei jedem Aufruf verarbeiten unsere Server IP-Adresse, Datum und Uhrzeit, aufgerufene Seite, Browser und Betriebssystem, Referrer-URL. Diese Daten werden in Server-Protokollen für 30 Tage gespeichert; IP-Adressen werden nach 14 Tagen anonymisiert.

Für Administratoren führen wir ein Audit-Protokoll administrativer Aktionen (etwa Einladungen, Erstattungen). Es enthält die handelnde Person, die Aktion, den Zeitpunkt und das betroffene Konto.

Zweck: Betrieb, Fehleranalyse, IT-Sicherheit, Nachvollziehbarkeit. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.

3.7 Profil, Datenexport und Kontolöschung

In Ihrem Profil können Sie Ihren Anzeigenamen ändern, sehen, wie viele Bilder und Credits Sie in diesem Monat genutzt haben, und Ihre E-Mail-Einstellungen anpassen. Die Nutzungsübersicht wird aus Ihren gespeicherten Generierungen und Credit-Buchungen berechnet; dabei entstehen keine weiteren Daten.

Datenexport (Art. 15 und 20 DSGVO). Unter „Daten exportieren“ lösen Sie den Versand eines Links an die E-Mail-Adresse Ihres Kontos aus. Der Link führt zu einer JSON-Datei mit Ihren Kontodaten, den Angaben zu Ihren Generierungen (Prompts, Einstellungen, Zeitpunkte), Ihren Referenzen, Ihren Credit-Buchungen und Käufen sowie den E-Mails, die wir Ihnen geschickt haben. Bilddateien sind nicht enthalten. Die Datei wird erst erzeugt, wenn Sie den Link öffnen; wir speichern sie nicht. Der Link ist signiert, gilt 24 Stunden und nur für diesen Antrag: Ein neuer Antrag macht den alten Link ungültig und ist frühestens nach einer Stunde möglich. Dafür speichern wir den Zeitpunkt Ihres letzten Antrags bis zur Löschung Ihres Kontos. Rechtsgrundlage: Art. 6 Abs. 1 lit. c DSGVO (Erfüllung Ihrer Betroffenenrechte).

Kontolöschung (Art. 17 DSGVO). Unter „Konto löschen“ beantragen Sie die Löschung Ihres Kontos, nachdem Sie zur Bestätigung Ihre E-Mail-Adresse eingegeben haben. Wir bestätigen den Antrag per E-Mail. Sieben Tage nach dem Antrag löschen wir das Konto; bis dahin können Sie die Löschung in Ihrem Profil widerrufen und AvPad wie gewohnt nutzen. Mit der Löschung entfernen wir:

• alle Ihre Generierungen mit ihren Ergebnisbildern und 3D-Modellen
• alle von Ihnen hochgeladenen Bilder (Eingabebilder, Referenzbilder, Skizzen, Masken) auf unseren beiden Speicherzonen bei BunnyCDN, der privaten und der öffentlichen
• Ihre Referenzen aus der Bibliothek
• Ihre Credit-Buchungen; übrige Credits verfallen
• die E-Mails an Sie aus unserem Versandprotokoll sowie einen eventuellen Eintrag auf der Warteliste und Ihre Einladung
• Ihren Namen, Ihre E-Mail-Adresse, Ihr Profilbild, Ihre Google-Kennung und Ihre Einstellungen aus dem Kontodatensatz

Nutzungs- und Kostenstatistiken, aus denen wir den Betrieb abrechnen, bleiben ohne Bezug zu Ihnen erhalten.

Aufbewahrt werden die Belege Ihrer Käufe (Zeitpunkt, Paket, Betrag, Umsatzsteuersatz, Stripe-Kennungen und die Angabe zum Verzicht auf das Widerrufsrecht) und die zugehörigen Buchungen. Sie bleiben einem Platzhalter-Datensatz zugeordnet, der die Stripe-Kundennummer enthält, aber weder Namen noch E-Mail-Adresse. Aufbewahrungsdauer: siehe Abschnitt 5. Rechtsgrundlage: Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit § 147 AO. Ihr Kundendatensatz bei Stripe bleibt bestehen; Stripe verarbeitet ihn in eigener Verantwortung. In Sicherungskopien können gelöschte Daten noch bis zu 30 Tage enthalten sein.

4. Empfänger der Daten

4.1 KI-Anbieter

Zur Bilderzeugung übermitteln wir Ihre Prompts und hochgeladenen Bilder an den Anbieter des von Ihnen gewählten Modells:

Alle Anbieter verarbeiten die Daten ausschließlich zur Erzeugung Ihres Bildes. Nach den für die API-Nutzung geltenden Bedingungen werden Ihre Eingaben nicht zum Training der Modelle verwendet. OpenAI und Google behalten Eingaben zur Missbrauchskontrolle für bis zu 30 Tage vor und löschen sie danach. Mit allen Anbietern bestehen Auftragsverarbeitungsverträge nach Art. 28 DSGVO. Für die Verarbeitung in den USA stützen wir uns auf die Zertifizierung der Anbieter unter dem EU-US Data Privacy Framework (Angemessenheitsbeschluss der EU-Kommission) sowie ergänzend auf die EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO).

Replicate, Inc. (San Francisco, USA) setzen wir als weiteren KI-Anbieter für das Vergrößern, Restaurieren und Kolorieren von Bildern sowie für das Entfernen von Hintergründen und Objekten ein; auch das Modell Seedream 5 Pro läuft dort. Die Verarbeitung findet in den USA statt und stützt sich auf das EU-US Data Privacy Framework und die EU-Standardvertragsklauseln. Nach den API-Bedingungen von Replicate werden Ihre Eingaben nach der Verarbeitung gelöscht. Diese Werkzeuge stehen auch ohne Konto zur Verfügung; in diesem Fall speichern wir das Ergebnis nicht, sondern geben es nur an Ihren Browser zurück.

Das Modell Qwen Image 3 stammt von Alibaba Cloud und wird über Replicate angesprochen: Ihr Prompt und Ihre Bilder gehen an Replicate, das sie zur Erzeugung des Bildes an Alibaba Cloud weitergibt. Dafür gelten derselbe Auftragsverarbeitungsvertrag mit Replicate und dieselbe Grundlage für die Übermittlung wie oben, das EU-US Data Privacy Framework und die EU-Standardvertragsklauseln.

Für das Werkzeug „Bild zu 3D“ setzen wir fal.ai (Features & Labels, Inc., USA) ein. Ihr hochgeladenes Bild (bei Meshy bis zu vier Ansichten) und die gewählten Einstellungen gehen an fal.ai, das sie zur Erzeugung des 3D-Modells an den Hersteller des von Ihnen gewählten Modells weitergibt, soweit dieser das Modell selbst betreibt: Meshy (Meshy 7.1), Tripo (Tripo P2) oder Tencent (Hunyuan 3D 3.1 Pro und Rapid). Das fertige 3D-Modell laden wir von dort ab und speichern es bei uns (BunnyCDN); wir geben nur unsere eigene Kopie wieder, nie einen Link des Anbieters. Die Verarbeitung findet in den USA statt, je nach Modell auch beim Hersteller in einem weiteren Drittland. Grundlage der Übermittlung sind die EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO). Es gilt ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO. Aufträge dieses Werkzeugs dauern einige Minuten: fal.ai meldet das Ende an unseren Server zurück, den Aufruf prüfen wir mit der Signatur von fal.ai.

Wenn Sie die Prompt-Hilfe in Create nutzen, senden wir Ihre Eingabe dort, den bisherigen Verlauf und die Einstellungen des Studios (gewähltes Modell, Format, Auflösung, Vorlage und die Zahl der angehängten Bilder, nicht die Bilder selbst) an Anthropic, das daraus mit einem Claude-Modell einen Prompt schreibt. Wir speichern weder Ihren Text noch die Antwort; wir halten nur fest, wann Sie die Hilfe genutzt haben und wie viele Tokens sie gebraucht hat, um die Nutzung zu begrenzen und die Kosten abzurechnen. Nach den für die API-Nutzung geltenden Bedingungen werden Ihre Eingaben nicht zum Training der Modelle verwendet. Die Verarbeitung findet in den USA statt und stützt sich auf die EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO). Es gilt ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO.

Alle Anbieter setzen automatische Inhaltsfilter ein. Prompts oder Bilder, die gegen deren Nutzungsrichtlinien verstoßen, werden abgelehnt. Wir erhalten in diesem Fall nur die Fehlermeldung, nicht die Begründung im Einzelnen.

4.2 Weitere Dienstleister

Mit allen Dienstleistern bestehen Auftragsverarbeitungsverträge nach Art. 28 DSGVO. Soweit Daten in die USA gelangen (Google, Stripe), erfolgt dies auf Grundlage des EU-US Data Privacy Framework und der EU-Standardvertragsklauseln.

4.3 Sonstige Empfänger

An Behörden und Gerichte geben wir Daten nur weiter, wenn wir gesetzlich dazu verpflichtet sind. Bei einem Verkauf des Geschäftsbereichs können Daten auf den Erwerber übergehen; wir informieren Sie in diesem Fall.

5. Speicherdauer

Wenn Sie die Löschung Ihres Kontos beantragen, werden Kontodaten, Prompts, Bilder und Referenzen nach sieben Tagen gelöscht (Abschnitt 3.7). In Sicherungskopien können sie noch bis zu 30 Tage enthalten sein. Rechnungsdaten bleiben aus steuerrechtlichen Gründen erhalten.

6. Cookies und lokale Speicherung

Wir setzen nur technisch notwendige Cookies und lokale Speicherung ein:

Wir verwenden keine Analyse-, Tracking- oder Werbe-Cookies und keine Dienste wie Google Analytics oder Social-Media-Pixel. Rechtsgrundlage: § 25 Abs. 2 Nr. 2 TDDDG, Art. 6 Abs. 1 lit. f DSGVO.

7. Datensicherheit

Alle Verbindungen sind mit TLS verschlüsselt. Die Server stehen in Deutschland und werden durch Firewall, regelmäßige Sicherheitsupdates und tägliche verschlüsselte Sicherungen geschützt. Administrativer Zugriff ist auf wenige Personen beschränkt, mit Zwei-Faktor-Authentifizierung gesichert und wird protokolliert. Ihre Bilder sind nur über Ihr Konto erreichbar; Bild-URLs sind nicht öffentlich auffindbar, solange Sie ein Bild nicht selbst weitergeben.

8. Keine automatisierten Entscheidungen

Die KI-Modelle erzeugen Bilder auf Ihre Anweisung hin. Es findet keine automatisierte Entscheidungsfindung mit rechtlicher Wirkung im Sinne von Art. 22 DSGVO statt. Wir erstellen keine Nutzerprofile zu Werbezwecken.

9. Minderjährige

AvPad richtet sich an Personen ab 18 Jahren. Wir erheben wissentlich keine Daten von Minderjährigen.

10. Ihre Rechte

Sie haben das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21). Eine erteilte Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen.

Zur Ausübung Ihrer Rechte schreiben Sie an hello@avpad.com. Wir antworten innerhalb eines Monats. Ihre Bilder und Prompts können Sie jederzeit selbst herunterladen und löschen. In Ihrem Profil fordern Sie unter „Daten exportieren“ eine Kopie Ihrer Daten an und beantragen unter „Konto löschen“ die Löschung Ihres Kontos.

Sie haben zudem das Recht, sich bei einer Datenschutzaufsichtsbehörde zu beschweren. Für uns zuständig ist der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Rheinland-Pfalz, Hintere Bleiche 34, 55116 Mainz.

11. Änderungen

Wir passen diese Datenschutzerklärung an, wenn sich der Dienst oder die Rechtslage ändert. Die aktuelle Fassung finden Sie stets unter avpad.com/de/datenschutz. Bei wesentlichen Änderungen informieren wir Sie per E-Mail.