Datenschutzerklärung

1. Kurz gesagt

Softbox ist eine Galerie und ein Fotoeditor. Ansehen, Suchen und Bearbeiten deiner Fotos und Videos passiert auf deinem Handy, dafür wird nichts hochgeladen. Das gilt auch für die KI-Masken (Motiv, Himmel, Hintergrund, Personen): Das Modell läuft auf deinem Handy, nur die Modelldatei wird einmal geladen (von Google Play oder unserem CDN), und kein Foto verlässt dafür das Gerät.

Deine Originale erreichen unsere Server nie in lesbarer Form; Übertragungen von Gerät zu Gerät sind Ende-zu-Ende-verschlüsselt; nur das Foto, das du an die KI schickst, ist lesbar, und nur für diese Generierung. Wir scannen deine Fotos nicht. Kein Foto von dir wird von uns oder in unserem Auftrag analysiert, außer du schickst es selbst an eine KI-Funktion; dieses eine Foto wird dann nur für diese Anfrage auf Sicherheit geprüft.

Ein Foto verlässt dein Handy nur, wenn du es für eine Online-Aktion auswählst: KI-Generierung (Studio), „Automatisch beschreiben“ oder ein Profilbild. Beim ersten Mal fragt die App nach deiner Einwilligung und nennt die Anbieter; in den Einstellungen unter Datenschutz kannst du sie widerrufen. Ein Konto ist freiwillig; du brauchst es nur für diese Online-Aktionen und zum Kauf eines Tarifs. Wir schalten keine Werbung, verkaufen keine Daten, trainieren nie KI-Modelle mit deinen Inhalten, und die App enthält kein Analyse- oder Werbe-SDK. Die KI-Funktionen (Studio, „Prompt verbessern“, „Automatisch beschreiben“) sind KI-Systeme und in der App als solche gekennzeichnet.

2. Verantwortlicher

Tincograph DOOEL, Nordmazedonien (Registrierung läuft):

• Name: [DOOEL]
• Sitz / Anschrift: [DOOEL]
• Handelsregisternummer (ЕМБС): [DOOEL]
• Steuernummer (ЕДБ): [DOOEL]
• Geschäftsführer: [DOOEL]

Kontakt für Datenschutz: [email protected]. Wir haben keinen Datenschutzbeauftragten benannt; Datenschutzfragen gehen an diese Adresse. Vertreter in der EU nach Art. 27 DSGVO: [EU-REP] (wird bestellt; bis dahin bieten wir Kontofunktionen in der EU/im EWR, im Vereinigten Königreich und in der Schweiz nicht an).

3. Was wir verarbeiten, wozu und auf welcher Rechtsgrundlage

Daten	Zweck	Rechtsgrundlage (DSGVO)
E-Mail-Adresse, Anzeigename, Benutzername, Passwort-Hash, 2FA-Daten, Konto-ID	Konto anlegen und schützen, Anmeldung, Konto- und Sicherheitsmails	Art. 6 Abs. 1 lit. b Vertrag
Mensch-Prüfung bei der Anmeldung (Cloudflare Turnstile: Browsersignale und IP-Adresse)	Bots bei Anmeldung, E-Mail-Code und Passwort-Reset abhalten	Art. 6 Abs. 1 lit. f berechtigtes Interesse (Sicherheit)
Geräteeintrag: Bezeichnung, Betriebssystemversion, App-Name, ein auf deinem Handy erzeugter öffentlicher Schlüssel, letzte Aktivität	Geräte anzeigen und abmelden, Sicherheit	Art. 6 Abs. 1 lit. b, f
Medien-Index, den du veröffentlichst (Medien-IDs, Fingerabdrücke, Größen, Abmessungen, Daten, Dateinamen; nie die Bilder) — bei Anmeldung standardmäßig an, abschaltbar unter Einstellungen, Datenschutz	deinen anderen Geräten zeigen, was dieses Gerät hat, damit ein Foto von dort geholt werden kann	Art. 6 Abs. 1 lit. b
Übertragungseinträge von Gerät zu Gerät (welche Datei an welches deiner Geräte geht, ihr Hash, Dateiname) und, wenn keine direkte Verbindung möglich ist, die verschlüsselte Datei unterwegs; Überall-löschen-Listen	Originale zwischen deinen eigenen Geräten verschieben oder kopieren, überall löschen, wo du es verlangst	Art. 6 Abs. 1 lit. b
Tarif, Abo-Status, Kauf-Token, Bestellnummer (von Google Play oder Paddle)	gekauften Tarif freischalten, wiederherstellen, Verlängerungen und Erstattungen abwickeln	Art. 6 Abs. 1 lit. b; Rechnungen: lit. c rechtliche Verpflichtung
Ein gemeinsamer Credit-Pool: Gutschriften, Reservierungen, Abbuchungen, Erstattungen, Paketkäufe, Verfallsdaten	Guthaben über Apps und Stores hinweg korrekt und nachvollziehbar halten	Art. 6 Abs. 1 lit. b, f
Deine KI-Einwilligung (Datum, an dem du Uploads an KI-Anbieter erlaubt hast, und ein Widerruf)	nachweisen, dass du vor dem ersten Upload zugestimmt hast	Art. 6 Abs. 1 lit. c, f
Ein Foto, das du für die KI-Generierung wählst, dein Prompt (bis 1000 Zeichen), Einstellungen und die Ergebnisse	das gewünschte Bild erzeugen, in deinem Konto speichern, auf Sicherheit prüfen	Art. 6 Abs. 1 lit. b
Ein Foto, das du für „Automatisch beschreiben“ wählst	eine Beschreibung oder einen Prompt dafür vorschlagen; das Foto wird nicht gespeichert	Art. 6 Abs. 1 lit. b
Profilbild (freiwillig, öffentlich)	Anzeige in deinem Profil	Art. 6 Abs. 1 lit. a Einwilligung (du setzt es selbst)
Prompt-Text bei Prompt verbessern	den Prompt umformulieren	Art. 6 Abs. 1 lit. b
Vom Filter abgewiesene Prompts (Text, Kategorie, Zeitpunkt)	einem Menschen ermöglichen, ein Konto mit wiederholten schweren Abweisungen anzusehen; nichts wird erzeugt und nichts abgebucht	Art. 6 Abs. 1 lit. f
Meldungen, die du zu einem Ergebnis einreichst; Meldungen, die jemand unter tincograph.com/report einreicht (Grund, Kontaktdaten, Erklärung über Treu und Glauben); Prüfergebnisse der Sicherheitsprüfung	Moderation, Melde- und Abhilfeverfahren, Begründung	Art. 6 Abs. 1 lit. c, f
Moderationsdaten: Verwarnungen, Einschränkungen, Begründungen, dein Einspruch (bis 1 000 Zeichen) und die Entscheidung	die Regeln aus Abschnitt 7 der AGB anwenden, dir den Einspruch ermöglichen, das Ergebnis mitteilen	Art. 6 Abs. 1 lit. c, f
Support-Nachrichten	dir antworten	Art. 6 Abs. 1 lit. b, f
Absturz- und Fehlerberichte: bereinigte Meldung und Stack, App-Version, Bildschirm, User-Agent, IP-Adresse als Ratenbegrenzungsschlüssel und deine Konto-ID nur, wenn du angemeldet bist. E-Mail-Adressen, Tokens und Dateipfade werden vor dem Speichern entfernt; nie Fotos, Prompts oder Dateinamen	Abstürze finden und beheben, den Endpunkt vor Überflutung schützen	Art. 6 Abs. 1 lit. f
Ratenbegrenzungs-Zähler	Schutz vor Brute-Force und Missbrauch	Art. 6 Abs. 1 lit. f
Anträge auf Kontolöschung (E-Mail, gehashter Code)	deinen Löschantrag ausführen	Art. 6 Abs. 1 lit. b, c

Nie erhoben: dein Standort (GPS in deinen Fotos wird nur auf dem Gerät für das Infoblatt gelesen und vor jedem Upload an uns oder einen KI-Anbieter entfernt; Originale, die du zwischen deinen eigenen Geräten verschiebst, reisen verschlüsselt und unverändert), deine Kontakte, deine Mediathek als Ganzes, Werbe-IDs. An die KI gesendete Fotos werden ohne EXIF, GPS und andere Metadaten hochgeladen (auf dem Handy entfernt, auf unserem Server noch einmal). Softbox scannt deine Mediathek nie, zu keinem Zweck.

Eine Tabelle je Datenpunkt (Speicherort, Auftragsverarbeiter, Aufbewahrung) steht in unserer internen Datenkarte; die Fristen findest du in Abschnitt 7.

4. Wer für uns Daten verarbeitet (Auftragsverarbeiter und Empfänger)

Auftragsverarbeiter	Aufgabe	Ort	Übermittlungsgrundlage
Supabase	Datenbank, Anmeldung, Serverfunktionen	EU (Frankfurt)	bleibt im EWR; Auftragsverarbeitungsvertrag
Cloudflare	Website-Hosting (Pages), Dateispeicher (R2), CDN, Turnstile, E-Mail-Weiterleitung	weltweites Edge-Netz; Speicher in der EU	Auftragsverarbeitungsvertrag mit Standardvertragsklauseln, EU-US Data Privacy Framework
fal.ai	führt das KI-Generierungsmodell (Googles Nano Banana Pro) auf dem Foto und Prompt aus, die du schickst	USA	Standardvertragsklauseln / Data Privacy Framework
OpenRouter und die Modellanbieter, an die es weiterleitet (die Sicherheitsprüfung läuft auf GLM von Z.ai)	Sicherheitsprüfung von Fotos, Prompts und Ergebnissen; Prompt verbessern; Automatisch beschreiben	USA und weitere	Standardvertragsklauseln / Data Privacy Framework; die Sicherheitsprüfung läuft nur über Anbieter, die keine Daten speichern (data_collection: deny)
Google Play (Asset Delivery)	liefert die KI-Modelldateien für das Gerät an die App	weltweit	Google ist für Store-Daten eigener Verantwortlicher
Resend	versendet Konto-, Beleg-, Moderations- und Löschmails	USA / EU	Standardvertragsklauseln / Data Privacy Framework
Paddle	Merchant of Record für Käufe auf tincograph.com: Zahlung, Rechnung, Steuern, Erstattungen	Vereinigtes Königreich / EU	Paddle ist für Zahlungsdaten eigener Verantwortlicher; wir erhalten Kunden-ID, Tarif und Status
Google Play	wickelt Käufe in der App ab und sendet uns ein Kauf-Token	weltweit	Google ist für Store-Daten eigener Verantwortlicher
Google (Anmeldung)	nur wenn du „Mit Google fortfahren“ wählst; wir erhalten E-Mail und Name	weltweit	Google ist für dein Google-Konto eigener Verantwortlicher

Wir verkaufen keine personenbezogenen Daten und geben sie nicht zu eigenen Zwecken an Dritte weiter. Die genannten Auftragsverarbeiter handeln nach unserer Weisung. Karten- und Bankdaten erreichen uns nie.

Übermittlungen außerhalb des EWR stützen sich auf die Mechanismen in der Tabelle (Standardvertragsklauseln und/oder EU-US Data Privacy Framework). Eine Kopie der Garantien bekommst du auf Anfrage unter [email protected]. [EU-REP: Der Satz zur Garantie für den Zugriff auf in der EU gespeicherte Daten aus Nordmazedonien, wo Tincograph selbst sitzt, wird ergänzt, sobald der Vertreter bestellt ist und die Rechtsberatung den Mechanismus bestätigt hat.]

5. KI-Generierung, „Prompt verbessern“ und „Automatisch beschreiben“

Hochgeladen wird erst, wenn du auf „Bild generieren“ tippst, und nie, bevor du einmal eingewilligt hast (Einstellungen, Datenschutz, KI-Uploads; dort kannst du die Einwilligung widerrufen). Bei jeder Anfrage laufen drei Prüfungen:

1. Auf deinem Handy, vor dem Upload: Der Prompt läuft durch einen Wortfilter, und das Foto wird auf dem Gerät auf eine Person in Verbindung mit Nacktheit geprüft. Ein Foto, das durchfällt, wird nirgendwohin gesendet.
2. Auf unserem Server: Das Foto wird auf dem Handy von EXIF/GPS befreit und auf unserem Server neu kodiert (höchstens 2048 px, alle Metadaten entfernt); dann prüft ein automatischer Sicherheitsdienst Foto und Prompt.
3. Das Ergebnis: Jedes Ergebnis wird geprüft, bevor du es siehst. Ein Ergebnis, das durchfällt, wird verworfen, nie gespeichert oder angezeigt, und deine Credits werden freigegeben.

Die Prüfungen weisen nackte oder sexuelle Darstellungen irgendeiner Person, jede Sexualisierung Minderjähriger, Gewalt-/Gore-Darstellungen, intime Bilder einer realen Person ohne Zustimmung und reale Personen des öffentlichen Lebens in sexuellen, gewalttätigen oder täuschenden Szenen ab. Die Generierung läuft bei fal.ai. Ergebnisse liegen für dich in deinem Konto; du kannst jedes jederzeit löschen, und jedes Ergebnis kann gemeldet werden: von dir in der App und von jeder Person unter tincograph.com/report.

Prompt verbessern sendet nur deinen Prompt-Text an unseren Server, der ihn an einen Modellanbieter weiterleitet. Wir protokollieren eine Zeile pro Anfrage (Konto-ID, Modell, Anbieter, Token-Anzahl), aber nicht den Text. Automatisch beschreiben sendet das gewählte Foto (genauso bereinigt) an ein Bildmodell, das eine Beschreibung vorschlägt; das Foto wird nicht gespeichert.

Wir verwenden deine Fotos, Prompts und Ergebnisse nie zum Training von KI-Modellen, und unsere Anbieter dürfen das auch nicht.

6. Kennzeichnung von KI-Inhalten

Generierte Ergebnisse tragen, soweit das Format es erlaubt, einen Inhaltsnachweis (C2PA) und werden in Softbox mit einer sichtbaren KI-Kennzeichnung angezeigt. Exporte aus dem Editor vermerken, welche Bearbeitungen vorgenommen wurden, auch KI-Schritte. Studio, „Prompt verbessern“ und „Automatisch beschreiben“ sind dort, wo du sie nutzt, als KI gekennzeichnet.

7. Wie lange wir Daten speichern

Daten	Aufbewahrung bis
Konto, Profil, Geräte, Tarif, Credit-Einträge, Studio-Uploads und -Ergebnisse, Profilbild, Medien-Index, Übertragungseinträge	zur Löschung des Kontos: 14 Tage nach deinem Antrag, Datenbankzeilen innerhalb einer Stunde, Dateien etwa eine weitere Stunde später
Ein einzelnes Studio-Ergebnis	du löschst es (Datei sofort entfernt) oder das Konto wird gelöscht
Der Prompt einer Generierung	mit der Generierung und 90 Tage nach deren Löschung (nötig, um eine Meldung dazu zu prüfen); mit dem Konto weg
Vom Filter abgewiesene Prompts	90 Tage
Nicht bestätigte Anmeldungen	7 Tage
Absturz- und Fehlerberichte	30 Tage (mit einem Konto verknüpfte Berichte werden zusätzlich mit dem Konto entfernt)
Ratenbegrenzungs-Zähler	Minuten bis eine Stunde
Support-Nachrichten	mit dem Konto (bzw. auf Anfrage bei Absendern ohne Konto)
Meldungen, Moderationsdaten und Einsprüche	3 Jahre nach der Entscheidung; der Bezug zu deinem Konto wird mit dem Konto entfernt. Beweise für sexuelle Inhalte mit Minderjährigen werden aufbewahrt, wie das Gesetz es verlangt, mit eingeschränktem Zugriff
Rechnungen und Zahlungsbelege	bei Paddle / Google, solange das Steuerrecht es verlangt (häufig 6 bis 10 Jahre); wir selbst speichern darüber hinaus nur den Tarifstatus
Anonyme Löschquittung und anonyme laufende Summe unserer Anbieterkosten	unbegrenzt, enthält keine personenbezogenen Daten
Anonyme Jahreszahlen zu Meldungen, Entscheidungen und Einsprüchen für die Transparenzseite	unbegrenzt, enthält keine personenbezogenen Daten
Sperrliste für E-Mail-Adressen (Rückläufer, Abmeldungen)	solange nötig, damit wir die Adresse nicht erneut anschreiben

Daten auf deinem Handy bleiben dort, bis du sie löschst oder die App deinstallierst. Die Kopien von Generierungen in DCIM/Softbox/Generations bleiben nach der Deinstallation; lösche sie in deiner Galerie-App. Fotos, die du in Softbox löschst, landen zuerst im Papierkorb der App und werden nach 30 Tagen endgültig entfernt, oder früher, wenn du ihn leerst.

8. Deine Rechte

Du hast das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und auf Widerspruch gegen Verarbeitung aufgrund berechtigten Interesses, und du kannst eine Einwilligung jederzeit widerrufen. Zwei Rechte kannst du selbst ausüben: Export (Kontoseite, eine JSON-Kopie von allem, was zu deinem Konto gehört, samt Download-Links für deine Dateien) und Löschung (in der App: Profil, Konto löschen; oder ohne App unter tincograph.com/de/account-deletion). Für alles Weitere schreib an [email protected]; wir antworten innerhalb eines Monats. Du kannst dich bei einer Aufsichtsbehörde beschweren, zum Beispiel in deinem Wohnsitzland.

Du unterliegst keiner ausschließlich automatisierten Entscheidung mit erheblicher Wirkung. Die automatischen Prüfungen können einen einzelnen Upload, Prompt oder ein Ergebnis abweisen; dann wird nichts abgebucht. Eine Entscheidung, dein Konto einzuschränken, trifft immer ein Mensch; sie kommt mit einer Begründung, und du kannst in der App Einspruch erheben (AGB, Abschnitt 7); über den Einspruch entscheidet ein Mensch.

9. Kinder

Softbox richtet sich nicht an Kinder. Für ein Konto musst du mindestens 18 Jahre alt sein. Teilt uns Google Play mit, dass ein Konto einer minderjährigen Person gehört, sind KI-Generierung und Käufe abgeschaltet. Wir erheben wissentlich keine Daten von Kindern; falls du meinst, wir hätten es getan, schreib an [email protected], dann löschen wir sie.

10. Sicherheit

Deine Originale erreichen unsere Server nie in lesbarer Form; Übertragungen von Gerät zu Gerät sind Ende-zu-Ende-verschlüsselt; nur das Foto, das du an die KI schickst, ist lesbar, und nur für diese Generierung. Eine Übertragung zwischen deinen Geräten wird auf dem sendenden Handy mit einem Schlüssel versiegelt, den nur das empfangende Handy öffnen kann; muss sie auf unseren Servern zwischengelagert werden, liegt sie dort verschlüsselt, und wir können sie nicht lesen.

Der gesamte Verkehr nutzt HTTPS. Der Zugriff auf deine Daten wird in der Datenbank erzwungen (Row-Level-Security), nicht nur im Anwendungscode. Die privaten Schlüssel deines Geräts verlassen den sicheren Speicher des Handys nie. Zwei-Faktor-Authentifizierung ist verfügbar. Kein System ist vollkommen sicher; falls eine Verletzung dich betrifft, informieren wir dich, wie es das Gesetz verlangt (unser Notfallplan verpflichtet uns, die Aufsichtsbehörde innerhalb von 72 Stunden zu benachrichtigen).

11. Google-Nutzerdaten

Wenn du dich mit Google anmeldest, erhält Softbox über Google Sign-In deine E-Mail-Adresse und deinen Namen, ausschließlich mit dem Scope email. Wir verwenden sie nur, um dein Tincograph-Konto anzulegen und zu schützen und dir Kontomails zu senden. Wir geben Google-Nutzerdaten nicht zu eigenen Zwecken an Dritte weiter, nutzen sie nicht für Werbung und übermitteln sie nur an die oben genannten Auftragsverarbeiter, um den Dienst bereitzustellen. Die Nutzung von Informationen, die Softbox von Google-APIs erhält, entspricht der Google API Services User Data Policy einschließlich der Limited-Use-Anforderungen. Die Google-Verknüpfung entfernst du, indem du dein Konto löschst.

12. Cookies und Website

tincograph.com setzt keine Cookies und lädt keine Tracker von Dritten. Die Sprachauswahl speichert deine Wahl im lokalen Speicher deines Browsers; das ist rein funktional und braucht keine Einwilligung. Falls wir die cookielose Cloudflare Web Analytics aktivieren, erstellt sie keine Fingerabdrücke und verfolgt keine Personen über Websites hinweg.

13. Änderungen

Wenn sich diese Erklärung wesentlich ändert, informieren wir dich vor Inkrafttreten in der App oder per E-Mail. Das Datum oben nennt die aktuelle Fassung.

Entwurf, rechtliche Prüfung steht aus. Die [DOOEL]-Felder werden nach der Firmenregistrierung ausgefüllt, die [EU-REP]-Felder nach Bestellung des EU-Vertreters.