Datenschutzerklärung

Stand: 02.11.2026 (Ergänzungen Abschnitt 2 f Herkunft der Anmeldung, 2 g Anmeldung mit Google, Microsoft oder Apple, 3 Text-KI und Qualitätsprüfung, 4 Objektspeicher) · ENTWURF — zur Prüfung durch Rechtsanwalt/Kanzlei (österreichisches Recht).

Diese Datenschutzerklärung informiert über die Verarbeitung personenbezogener Daten auf dieser Plattform nach der Datenschutz-Grundverordnung (DSGVO) und dem österreichischen Datenschutzgesetz (DSG).

1. Verantwortlicher

Suayip Daraz, Nöstlbachstraße 3, 4502 Nöstlbach, Österreich, partner@veylumia.com. Ein Datenschutzbeauftragter ist nicht benannt [prüfen: Art. 37 Abs. 1 lit. c DSGVO — umfangreiche Verarbeitung biometrischer Daten als Kerntätigkeit].

2. Verarbeitete Daten und Zwecke

a) Konto: E-Mail, Passwort-Hash, Tarif, Credit-Stand — Vertragsdurchführung (Art. 6 Abs. 1 lit. b DSGVO).
b) Zahlungen: Abwicklung über Stripe Payments Europe Ltd. (Irland); wir speichern keine vollständigen Zahlungsdaten. Stripe kann Daten in die USA übermitteln (EU-US Data Privacy Framework / Standardvertragsklauseln, Art. 44 ff. DSGVO).
c) Hochgeladene Medien & Ergebnisse: Fotos, Videos, Audio, Texte sowie erzeugte Inhalte — Vertragsdurchführung (Art. 6 Abs. 1 lit. b DSGVO). Speicherung, bis der Nutzer sie löscht bzw. das Konto gelöscht wird.
d) Stimm- und Gesichtsdaten: Stimmklone und Charakter-Bibliotheken können biometriebezogene Daten enthalten. Verarbeitung ausschließlich auf ausdrückliche Einwilligung (Art. 9 Abs. 2 lit. a DSGVO), erteilt über die Rechte-Bestätigung beim Anlegen; jederzeit widerruflich durch Löschen des Klons/Charakters (Art. 7 Abs. 3 DSGVO); die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt.
e) Protokolldaten: technische Logs (IP, Zeitstempel, Fehlerberichte) für Betrieb und Sicherheit — berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO), Löschung nach [14/30 Tagen].
f) Herkunft der Anmeldung: Tragen Sie sich in die Warteliste ein oder registrieren Sie sich, speichern wir, über welchen Kanal Sie gekommen sind (Kampagnen-Angaben des aufgerufenen Links wie utm_source, utm_medium, utm_campaign und utm_content, ein Empfehlungscode, eine verweisende Website oder die Herkunft Ihres Wartelisten-Eintrags); bis zum Absenden hält Ihr Browser diese Angaben nur für die laufende Sitzung (sessionStorage, kein Cookie, gelöscht mit dem Schließen des Tabs). Wir nutzen diese Angaben ausschließlich, um Käufe und Abos je Herkunftskanal auszuwerten und so zu entscheiden, welche Kanäle wir weiter einsetzen; ausgewertet werden nur Summen je Kanal, ohne Profilbildung und ohne Weitergabe an Dritte — berechtigtes Interesse an der Messung unserer eigenen Werbung (Art. 6 Abs. 1 lit. f DSGVO), Widerspruch nach Abschnitt 9. [Kanzlei-Prüfvermerk: sessionStorage nach § 165 Abs. 3 TKG 2021 – wie Abschnitt 11 a]
g) Anmeldung mit Google, Microsoft oder Apple (sofern auf der Anmeldeseite angeboten): Melden Sie sich über einen dieser Anbieter an, übermittelt er uns eine pseudonyme Kennung Ihres dortigen Kontos, Ihre E-Mail-Adresse und die Angabe, ob diese bestätigt ist. Wir speichern Anbieter, Kennung und E-Mail-Adresse, um Ihr Konto zuzuordnen; einen vom Anbieter mitgesendeten Namen übernehmen wir nicht. Rechtsgrundlage ist die Vertragsdurchführung auf Ihren Wunsch (Art. 6 Abs. 1 lit. b DSGVO). Für die Anmeldung beim Anbieter selbst ist dieser eigener Verantwortlicher, es gelten seine Datenschutzbestimmungen: Google Ireland Limited (Irland), Microsoft Ireland Operations Limited (Irland) bzw. Apple Distribution International Ltd. (Irland). [Kanzlei-Prüfvermerk: Rollen als eigene Verantwortliche und Drittlandbezug der Mutterkonzerne prüfen; Stand 02.11.2026 ist in der Produktion noch kein Anbieter aktiviert]

Die Bereitstellung der Kontodaten (E-Mail, Passwort) ist für den Vertragsschluss erforderlich; ohne sie kann kein Nutzerkonto angelegt werden. Alle übrigen Angaben sind freiwillig; ohne sie stehen lediglich die jeweiligen Funktionen (z. B. Generierung aus eigenen Medien) nicht zur Verfügung.

3. KI-Verarbeitung: lokal vs. Premium

Standard: Generierungen laufen auf anbietereigener bzw. angemieteter Infrastruktur in der EU (dedizierte GPU-Server, EU-Rechenzentren) mit Open-Source-Modellen; Inhalte verlassen diesen Verarbeitungskreis nicht und werden nicht zum Modell-Training verwendet.
Premium-Engines (optional, gekennzeichnet): Auf Wunsch werden einzelne Aufträge an fal.ai (USA) mit Drittmodellen (u. a. Google Veo, Kling, Topaz, ElevenLabs) übermittelt — Rechtsgrundlage Vertragserfüllung auf Nutzerwunsch (Art. 6 Abs. 1 lit. b DSGVO); Übermittlung in Drittländer auf Basis von Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO) [AV-/SCC-Verträge prüfen]. Organisationen können Premium-Engines technisch sperren („local_only").

Text-KI für Planung und Texte: Für den Director (Planung mehrstufiger Aufträge), den Studio-Assistenten, „Prompt verbessern“ sowie Skript- und Storyboard-Vorschläge übermitteln wir Ihren Wunsch- bzw. Eingabetext und, beim Director, eine Liste Ihrer Vorlagen mit Namen und Kennungen (keine Dateien) an Mistral AI SAS (Paris, Frankreich; Verarbeitung in der EU) als Auftragsverarbeiter. Ist Mistral nicht erreichbar, kann derselbe Inhalt an Anthropic (USA) gehen, sofern wir diesen Rückfall aktiviert haben; die Übermittlung in die USA erfolgt dann auf Grundlage des EU-US Data Privacy Framework bzw. von Standardvertragsklauseln (Art. 44 ff. DSGVO). Rechtsgrundlage ist die Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO). Wir protokollieren je Aufruf nur Anbieter, Modell, Token-Zahl und Kosten, nicht den Inhalt. [Stand 02.11.2026: Anthropic-Rückfall nicht aktiviert; vor Aktivierung Vertragspartner, DPA und No-Training-Zusage prüfen, vgl. AGB § 6 Abs. 3]
Qualitätsprüfung mehrstufiger Aufträge (Director): Nach jedem Schritt prüft ein KI-Modell bis zu fünf Einzelbilder des Ergebnisses (bzw. das erzeugte Bild), ob es zu Ihrem Auftrag passt und sichtbare Fehler hat. Diese Bilder können Personen aus Ihren Vorlagen zeigen. Sie gehen an Mistral AI (EU) und, nur wenn der oben genannte Rückfall aktiviert ist, an Anthropic (USA). Rechtsgrundlage ist die Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO). [Kanzlei-Prüfvermerk: Rechtsgrundlage für Bilder mit Gesichtern, Art. 9 DSGVO, Opt-out]

4. Hosting

Web-Anwendung und Datenbank: Hetzner Online GmbH, Rechenzentren Falkenstein/Nürnberg (Deutschland); GPU-Verarbeitung: eigene Hardware sowie Runpod EU Secure Cloud [AVV + Drittlandsübermittlung/SCC prüfen — US-Mutterkonzern]; Speicherung von Ergebnissen, hochgeladenen Medien und verschlüsselten Sicherungskopien: Hetzner Object Storage (Hetzner Online GmbH, Rechenzentrum Nürnberg, Deutschland). Soweit dabei trotz EU-Rechenzentrum ein Zugriff aus einem Drittland nicht ausgeschlossen werden kann, erfolgt eine Übermittlung nur auf Grundlage geeigneter Garantien nach Art. 46 DSGVO (insbesondere Standardvertragsklauseln). Mit allen Auftragsverarbeitern bestehen Verträge nach Art. 28 DSGVO.

5. Cookies und lokale Speicherung

Wir verwenden keine Tracking-Cookies und keine Analyse-Dienste Dritter. Zur Anmeldung wird ein Sitzungs-Token im localStorage des Browsers gespeichert. Diese Speicherung ist für den vom Nutzer ausdrücklich gewünschten Dienst (Anmeldung/Sitzung) unbedingt erforderlich und daher ohne Einwilligung zulässig (§ 165 Abs. 3 TKG 2021).

6. Bot-Schutz (Cloudflare Turnstile)

Öffentliche Formulare (insbesondere die Warteliste) schützen wir mit Cloudflare Turnstile (Cloudflare, Inc., 101 Townsend St, San Francisco, CA 94107, USA) im unsichtbaren Modus vor automatisierten Zugriffen (Spam/Bots). Turnstile wertet dazu technische Browser- und Interaktionssignale sowie die IP-Adresse aus; eine Identifizierung des Nutzers oder eine werbliche Profilbildung findet nicht statt, es werden keine Tracking-Cookies gesetzt. Rechtsgrundlage ist unser berechtigtes Interesse am Schutz der Plattform vor Missbrauch (Art. 6 Abs. 1 lit. f DSGVO). Eine Übermittlung in die USA erfolgt auf Grundlage des EU-US Data Privacy Framework bzw. von Standardvertragsklauseln (Art. 44 ff. DSGVO) [DPF-Status Cloudflare prüfen]. Einzelheiten: Cloudflare Turnstile Privacy Addendum.

7. E-Mail-Kommunikation

Transaktionale E-Mails (Verifizierung, Passwort, Rechnungen) über Resend, Inc. (USA); eingehende E-Mails werden über Cloudflare, Inc. (E-Mail-Routing) zugestellt. Übermittlungen in die USA erfolgen auf Grundlage des EU-US Data Privacy Framework bzw. von Standardvertragsklauseln (Art. 44 ff. DSGVO) [DPF-/AVV-Status prüfen]. Werbliche E-Mails versenden wir nur mit vorheriger Einwilligung bzw. an Bestandskunden im Rahmen des § 174 Abs. 4 TKG 2021; sie sind jederzeit abbestellbar (jede Nachricht enthält eine Abmeldemöglichkeit).

8. Speicherdauer und Löschung

Kontodaten bis zur Kontolöschung; gesetzliche Aufbewahrungspflichten (insbesondere Buchhaltungsunterlagen und Rechnungen, 7 Jahre gemäß § 132 BAO bzw. § 212 UGB) bleiben unberührt. Medien und Ergebnisse löscht der Nutzer jederzeit selbst; bei Kontolöschung erfolgt die Löschung binnen [30 Tagen].

9. Ihre Rechte

Sie haben das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) sowie auf Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO); die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt. Ergänzend gilt das Grundrecht auf Datenschutz nach § 1 DSG.

Gesondertes Widerspruchsrecht (Art. 21 DSGVO) — auf dieses Recht weisen wir Sie nach Art. 21 Abs. 4 DSGVO ausdrücklich und in von den übrigen Informationen getrennter, hervorgehobener Form hin:
Direktwerbung (Art. 21 Abs. 2 DSGVO): Soweit wir personenbezogene Daten zum Zweck der Direktwerbung verarbeiten — etwa den Versand werblicher E-Mails an Bestandskunden nach Abschnitt 7 —, haben Sie das Recht, jederzeit und ohne Angabe von Gründen Widerspruch gegen diese Verarbeitung einzulegen; nach dem Widerspruch werden Ihre Daten nicht mehr für Zwecke der Direktwerbung verarbeitet.
Berechtigte Interessen (Art. 21 Abs. 1 DSGVO): Soweit wir personenbezogene Daten auf Grundlage berechtigter Interessen (Art. 6 Abs. 1 lit. f DSGVO) verarbeiten — etwa die Protokolldaten nach Abschnitt 2 e) —, haben Sie das Recht, aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit Widerspruch gegen diese Verarbeitung einzulegen. Wir verarbeiten die Daten dann nicht mehr, es sei denn, es liegen zwingende schutzwürdige Gründe für die Verarbeitung vor, die Ihre Interessen, Rechte und Freiheiten überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.

Beschwerden richten Sie an die Aufsichtsbehörde: Österreichische Datenschutzbehörde, Barichgasse 40–42, 1030 Wien, E-Mail: dsb@dsb.gv.at, www.dsb.gv.at (Art. 77 DSGVO). Bei gewöhnlichem Aufenthalt in einem anderen EU-Mitgliedstaat können Sie sich auch an die dortige Aufsichtsbehörde wenden.

10. Automatisierte Entscheidungen

Automatische Inhaltsfilter prüfen Aufträge auf unzulässige Inhalte; abgelehnte Aufträge werden erstattet. Eine Überprüfung durch einen Menschen kann über den Support verlangt werden (Art. 22 Abs. 3 DSGVO).

11. Empfehlungs- und Partnerprogramm (First-Party-Attribution)

a) Empfehlungslinks: Rufen Sie die Plattform über einen Empfehlungs- oder Partner-Link auf (URL-Parameter „ref"), speichert Ihr Browser den Empfehlungscode sowie den Zeitpunkt des Klicks für 30 Tage lokal (localStorage, Last-Click-Prinzip). Es kommen keine Cookies oder Dienste Dritter zum Einsatz; der gespeicherte Wert wird ausschließlich an uns übermittelt, wenn Sie sich registrieren oder in die Warteliste eintragen. [Kanzlei-Prüfvermerk: Einwilligungsbedürftigkeit der localStorage-Speicherung nach § 165 Abs. 3 TKG 2021 (Attribution ist nicht „unbedingt erforderlich") — ggf. Hinweis-/Consent-Lösung beim ersten Aufruf mit ref-Parameter vorsehen.]
b) Klickzählung: Klicks auf Empfehlungslinks zählen wir ausschließlich aggregiert je Code und Kalendertag — ohne IP-Adresse, ohne Gerätekennung, ohne Personenbezug.
c) Zuordnung bei Registrierung: Registrieren Sie sich mit einem Empfehlungscode, speichern wir die Zuordnung (Code, Zeitpunkt, ggf. UTM-Quelle) zu Ihrem Konto. Zur Erkennung von Missbrauch (z. B. Selbstwerbung über Mehrfachkonten) speichern wir dabei die IP-Adresse ausschließlich als gekürzten Hash-Wert; die vollständige IP-Adresse wird nicht gespeichert. Rechtsgrundlagen: Vertragsdurchführung (Art. 6 Abs. 1 lit. b DSGVO — Gutschrift der Prämien-Credits) und berechtigtes Interesse an der Verhinderung von Prämienmissbrauch (Art. 6 Abs. 1 lit. f DSGVO). Für die Verarbeitung auf Grundlage berechtigter Interessen besteht das Widerspruchsrecht nach Abschnitt 9.
d) Partner-Bewerbungen: Bei einer Bewerbung für das Partnerprogramm verarbeiten wir Name bzw. Kanalname, E-Mail-Adresse, angegebene Kanal-Links, Reichweiten-Selbstauskunft und Nachricht zur Prüfung der Bewerbung und Durchführung des Partnervertrags (Art. 6 Abs. 1 lit. b DSGVO). Bei Ablehnung löschen wir die Bewerbungsdaten nach [6 Monaten]; bei Freigabe speichern wir die Vertrags- und Abrechnungsdaten für die Dauer des Partnerverhältnisses zuzüglich gesetzlicher Aufbewahrungsfristen (Abschnitt 8).
e) Partner-Dashboard: Freigegebene Partner erhalten Zugang zu ihrem Dashboard über einen signierten, zeitlich begrenzten Link (ohne Nutzerkonto). Dort werden ausschließlich die eigenen Programmdaten angezeigt (Klicks aggregiert, Zahl der Anmeldungen und Vergütungen); Namen oder E-Mail-Adressen geworbener Personen werden Partnern nicht offengelegt.
f) Eine Weitergabe der vorstehenden Daten an Dritte findet nicht statt; externe Werbe- oder Affiliate-Netzwerke werden nicht eingesetzt.