Datenschutzhinweise
Entwurf. Dieser Text wird vor dem öffentlichen Start anwaltlich geprüft. Gelb markierte Stellen werden noch ergänzt.
1. Wer ist verantwortlich?
Verantwortlich für die Verarbeitung Ihrer Daten ist [Name bzw. Firma, Anschrift des Betreibers], E-Mail [Kontaktadresse]. Die vollständigen Angaben stehen im Impressum. Für Fragen zum Datenschutz erreichen Sie uns unter [Datenschutz-Kontakt].
2. Kurz zusammengefasst
- StorySpark macht aus Ihren Fotos und Angaben eine bebilderte Kindergeschichte. Text und Bilder entstehen mit KI-Diensten anderer Unternehmen, auch in den USA. Das geschieht nur mit Ihrer Einwilligung.
- Ihre Fotos löschen wir spätestens nach 7 Tagen, meist früher.
- Wir verwenden keine Analyse-, Tracking- oder Werbe-Cookies und laden nichts von fremden Servern in Ihren Browser.
- Ihre Daten werden in Deutschland gespeichert (Server bei Strato).
3. Welche Daten wir verarbeiten, wozu und auf welcher Grundlage
| Daten | Wozu | Rechtsgrundlage (DSGVO) |
|---|---|---|
| Konto: E-Mail-Adresse, Name, Anmeldemethoden (Passwort als Hash, Passkeys, verknüpftes Google-Konto), Anmeldevorgänge | Ihr Konto und die sichere Anmeldung | Vertrag, Art. 6 Abs. 1 lit. b |
| Familienbereich: Mitglieder und ihre Rollen | Geschichten in der Familie teilen | Vertrag, Art. 6 Abs. 1 lit. b |
| Angaben zur Geschichte: Namen, Alter und Eigenschaften der Figuren, Werte, Stil, Notizen | Die Geschichte schreiben und die Bilder planen | Vertrag, Art. 6 Abs. 1 lit. b; die Übermittlung an KI-Dienste: Einwilligung, Art. 6 Abs. 1 lit. a (Abschnitt 5) |
| Fotos, die Sie hochladen | Die Fotos beschreiben lassen und daraus neue Bilder malen | Vertrag, Art. 6 Abs. 1 lit. b; die Übermittlung an KI-Dienste: Einwilligung, Art. 6 Abs. 1 lit. a (Abschnitt 5) |
| Fertige Geschichten, Bildbeschreibungen, Bilder, Ihre Rückmeldungen | Ihnen die Geschichten zeigen | Vertrag, Art. 6 Abs. 1 lit. b |
| Zustimmungen und Einwilligungen mit Textversion und Zeitpunkt, auch Widerrufe | Nachweisen, wozu Sie wann zugestimmt haben | Rechtliche Pflicht, Art. 7 Abs. 1 und Art. 6 Abs. 1 lit. c |
| Technische Daten: IP-Adresse, Zeitpunkt, aufgerufene Adresse, Ergebnis; Sicherheitsereignisse | Den Dienst betreiben und vor Missbrauch schützen | Berechtigtes Interesse, Art. 6 Abs. 1 lit. f |
Personen auf den Fotos, die selbst kein Konto haben (zum Beispiel Ihre Kinder): Wir verarbeiten ihre Bilder, weil Sie uns versichern, dass Sie die Fotos verwenden dürfen und die Personen beziehungsweise ihre Sorgeberechtigten einverstanden sind (Nutzungsbedingungen § 4). Sie können sich jederzeit an uns wenden (Abschnitt 11).
Bitte laden Sie keine Fotos hoch, die Gesundheit, Religion, ethnische Herkunft, Sexualleben oder andere besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) erkennen lassen.
4. Konto und Anmeldung
Die Anmeldung läuft über unseren eigenen Anmeldedienst auf auth.wonderfultimes.life, der auf unserem Server in Deutschland läuft. Wenn Sie sich mit Google anmelden, erhält Google die technischen Daten dieser Anmeldung; Google ist dafür selbst verantwortlich (Datenschutzerklärung von Google). Wir erhalten von Google Ihren Namen, Ihre E-Mail-Adresse und eine Kennung Ihres Google-Kontos.
5. KI-Dienste
Geschichten, Bildbeschreibungen und Bilder entstehen mit KI-Modellen, die andere Unternehmen betreiben. Wir erreichen sie über OpenRouter, Inc. (USA), die unsere Anfragen an das jeweilige Unternehmen weiterleitet. Das geschieht nur, wenn Sie in der App eingewilligt haben (Einwilligung 1 für Angaben und Entwürfe, Einwilligung 2 für Fotos).
Was die KI-Dienste erhalten
Die Fotos einer Geschichte (Einwilligung 2), Ihre Angaben zur Geschichte und die Entwürfe der Geschichte (Einwilligung 1). Ihren Kontonamen, Ihre E-Mail-Adresse und andere Kontodaten erhalten sie nicht, es sei denn, Sie schreiben sie selbst in die Angaben zur Geschichte.
Wer sie erhält
| Empfänger | Rolle | Ort |
|---|---|---|
| OpenRouter, Inc. | Auftragsverarbeiter: leitet Anfragen an die Modellbetreiber weiter | USA |
| Betreiber der KI-Modelle, zurzeit: Amazon Web Services (Modelle von Anthropic), Parasail (Modelle von Qwen), Venice (Modelle von Mistral), Black Forest Labs (Bildmodelle). Die Liste ändert sich, wenn ein Betreiber nicht verfügbar ist; wir halten sie hier aktuell. [Prüfen, ob die Betreiber fest vorgegeben werden] | Unterauftragsverarbeiter von OpenRouter | USA, EU |
Was sie mit den Daten tun dürfen
- Jede Anfrage verlangt Anbieter, die Anfragen nicht speichern und nicht zum Training verwenden (OpenRouter-Einstellungen „data_collection: deny“ und „Zero Data Retention“). Ein Modell ohne solchen Anbieter wird nicht verwendet.
- OpenRouter löscht Anfragen und Antworten nach eigener Zusage unmittelbar nach der Antwort und verwendet sie nicht zum Training.
- Für OpenRouter gilt deren Vertrag über die Auftragsverarbeitung (Art. 28 DSGVO) mit den Standardvertragsklauseln der EU-Kommission (Modul 2) für die Übermittlung in die USA. [Vertragsstand und Unterzeichnung prüfen]
Übermittlung in Länder außerhalb der EU
OpenRouter und einige Modellbetreiber verarbeiten Daten in den USA. Für die USA gibt es einen Angemessenheitsbeschluss nur für Unternehmen, die nach dem EU-US Data Privacy Framework zertifiziert sind; für OpenRouter stützen wir die Übermittlung auf die Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO) und zusätzlich auf Ihre ausdrückliche Einwilligung (Art. 49 Abs. 1 lit. a DSGVO). Risiken: Behörden in den USA können unter Umständen auf Daten zugreifen, ohne dass Sie davon erfahren, und Ihre Rechte lassen sich dort schwerer durchsetzen als in der EU.
Kennzeichnung
Geschichten und Bilder, die eine KI erstellt hat, kennzeichnen wir in der App als „von einer KI erstellt“. Zusätzlich steht in jeder Bilddatei maschinenlesbar, dass sie von einer KI stammt (IPTC-Angabe „trainedAlgorithmicMedia“ bzw. die signierten C2PA-Herkunftsdaten des Bildmodells). Bitte entfernen Sie diese Angaben nicht, wenn Sie Bilder weitergeben. Nutzt StorySpark ausnahmsweise Ihr eigenes Foto als Bild, weil kein Bildmodell verfügbar ist, ist es nicht als KI-Bild gekennzeichnet.
6. Fotos
- Wir löschen Ihre Fotos, sobald Sie das Buch annehmen, wenn Sie sie selbst löschen, wenn Sie Einwilligung 2 widerrufen, spätestens aber 7 Tage nach dem Hochladen. In den Einstellungen können Sie eine kürzere Frist wählen. Die 7-Tage-Grenze ist in unserer Datenbank fest hinterlegt.
- Mit dem Foto löschen wir auch jede Kopie, die bei der Erstellung entstanden ist (zum Beispiel Vorschaubilder).
- Nach jeder Löschung zeigt die App eine Löschbestätigung.
- Die Bilder in der Geschichte sind neu gemalt; sie können den Personen auf Ihren Fotos ähneln.
7. Cookies und Speicher auf Ihrem Gerät
Wir speichern auf Ihrem Gerät nur, was für den Dienst, den Sie nutzen, unbedingt nötig ist, oder was Sie selbst einstellen. Dafür braucht es keine Einwilligung (§ 25 Abs. 2 Nr. 2 TDDDG), deshalb gibt es keinen Cookie-Banner. Es gibt keine Analyse-, Tracking- oder Werbe-Cookies, und die Seiten laden keine Inhalte von fremden Servern (auch keine Schriftarten).
| Name | Art, Ort | Wozu | Dauer |
|---|---|---|---|
__Host-ap_session | Cookie, wonderfultimes.life | Hält Sie angemeldet (zufällige Kennung, die Anmeldedaten bleiben auf dem Server) | bis zur Abmeldung, höchstens 30 Tage |
__Host-ap_oidc | Cookie, wonderfultimes.life | Schützt den Anmeldevorgang vor Fälschung | 5 Minuten |
__Host-ap_link | Cookie, wonderfultimes.life | Schützt das Verknüpfen eines Google-Kontos vor Fälschung | 5 Minuten |
sessions | Cookie, auth.wonderfultimes.life | Merkt sich die Anmeldung auf der Anmeldeseite | bis zum Schließen des Browsers |
__Host-zitadel.useragent, fingerprintId | Cookies, auth.wonderfultimes.life | Erkennen das Gerät wieder, um Anmeldungen abzusichern (zum Beispiel ungewöhnliche Anmeldungen zu erkennen) | 1 Jahr [Erforderlichkeit und Dauer prüfen] |
ss-lang, ss-text-size, ss-scene | Local Storage, wonderfultimes.life | Ihre Sprache, Textgröße und das Hintergrundbild, nur wenn Sie sie selbst wählen | bis Sie sie im Browser löschen |
8. Weitere Empfänger
- Strato GmbH (Berlin): betreibt unseren Server und versendet unsere E-Mails (Auftragsverarbeiter, Deutschland). [Auftragsverarbeitungsvertrag mit Strato abschließen bzw. belegen]
- Administratorinnen und Administratoren von StorySpark können Familienbereiche einsehen, um Fehler zu beheben, Missbrauch zu stoppen und rechtliche Anfragen zu beantworten. Jeder solche Zugriff wird protokolliert.
- Behörden nur, wenn wir dazu gesetzlich verpflichtet sind.
Wir verkaufen keine Daten und geben sie nicht für Werbung weiter.
9. Wie lange wir Daten speichern
| Daten | Speicherdauer |
|---|---|
| Fotos | höchstens 7 Tage (Abschnitt 6) |
| Bei KI-Diensten | nicht über die einzelne Anfrage hinaus (Abschnitt 5) |
| Geschichten und Bilder | bis Sie sie oder Ihr Konto löschen |
| Konto und Familienbereich | bis zur Löschung des Kontos; danach innerhalb von [30] Tagen, in Sicherungskopien nach spätestens 8 weiteren Tagen |
| Sicherungskopien | verschlüsselt, 7 Tage; Fotos sind nie darin enthalten |
| Zustimmungen und Einwilligungen | solange das Konto besteht, danach solange wir sie zum Nachweis benötigen, höchstens [3 Jahre] |
| Technische Protokolle | [Frist festlegen]; Sicherheitsereignisse bis zu 2 Jahre |
10. Sicherheit
Verschlüsselte Verbindungen (HTTPS), Speicherung in Deutschland, Anmeldung mit Passkeys oder Sicherheitsschlüsseln möglich, Verwaltungszugang nur mit Sicherheitsschlüssel. Der Schlüssel für die KI-Dienste liegt verschlüsselt auf dem Server und wird nur von einem getrennten Baustein benutzt.
11. Ihre Rechte
Sie haben das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21). Eine Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3), am einfachsten in der App unter „Einstellungen“. Die Rechtmäßigkeit der Verarbeitung bis zum Widerruf bleibt unberührt. Um Ihr Konto zu löschen oder Ihre Rechte auszuüben, schreiben Sie uns an [Kontaktadresse].
Sie können sich bei einer Datenschutz-Aufsichtsbehörde beschweren, zum Beispiel bei der für uns zuständigen: [Aufsichtsbehörde des Bundeslandes des Betreibers].
12. Keine automatisierten Entscheidungen
Wir treffen keine Entscheidungen, die Ihnen gegenüber rechtliche Wirkung entfalten oder Sie ähnlich erheblich beeinträchtigen, ausschließlich automatisiert (Art. 22 DSGVO). Die KI erstellt nur Inhalte.
13. Änderungen
Ändern sich diese Hinweise, erhält die neue Fassung eine neue Version. Betrifft die Änderung eine Einwilligung, fragen wir Sie in der App erneut.