Zum Inhalt springen
    S
    Storyloom

    Datenschutzerklärung

    DSGVO-konform · EU AI Act-konform
    Letzte Aktualisierung: November 2026
    Gilt für: storyloom.app und alle Unterseiten

    1. Verantwortlicher

    Richi AI
    Inhaber: Yves-Marcel Richel
    Homburger Landstr. 851
    60437 Frankfurt am Main, Deutschland
    E-Mail: info@richi.solutions
    Website: storyloom.app

    2. Datenschutzkontakt

    Für Datenschutzanfragen: info@richi.solutions. Ein Datenschutzbeauftragter ist nicht bestellt (keine gesetzliche Pflicht).

    3. KI-Nutzung (EU AI Act)

    Storyloom setzt KI-Systeme gemäß der Verordnung (EU) 2024/1689 (EU AI Act) und der DSGVO ein.

    Einsatzbereiche:

    • Text-Generierung: Projektplanung, Story-Struktur, Szenen-Schreiben (Co-Autor mit Kontextverständnis), Storyboard- und Sprecher-Prompts
    • Bild-Generierung (Storyboard-Frames)
    • Video-Generierung (Bild-zu-Video)
    • Sprachsynthese (Text-to-Speech) und Musik-Generierung
    • Semantische Kontextsuche (Embeddings / RAG) über Worldbook-Inhalte

    Risikokategorie: Geringes Risiko (Transparenzpflichten nach Art. 50 EU AI Act)

    Compliance-Hinweise:

    • Keine vollautomatisierte Entscheidungsfindung mit rechtlichen oder erheblichen Auswirkungen (Art. 22 DSGVO, Art. 86 EU AI Act)
    • KI-generierte Inhalte werden in der Anwendung sichtbar gekennzeichnet; exportierte Videos erhalten eine maschinenlesbare Kennzeichnung in den Datei-Metadaten und eine Begleitdatei mit Angaben zu den verwendeten Modellen (Art. 50 EU AI Act)
    • Nutzerdaten werden nicht zum Training externer KI-Modelle verwendet; wir nutzen API-Zugänge der Anbieter, bei denen Eingaben nicht zum Training verwendet werden
    • Verwendete Modelle/Anbieter: Google LLC (Gemini — Text, Bild, Embeddings), fal.ai (Bild-zu-Video: Kling, Veo, Wan u. a.; Sprache, Musik und Soundeffekte mit ElevenLabs-Modellen)

    An die KI-Anbieter werden nur die für die jeweilige Generierung erforderlichen Inhalte übermittelt (Prompts, Szenentexte, relevante Worldbook-Auszüge, Referenzbilder). Kontodaten werden nicht übermittelt.

    Ihre KI-bezogenen Rechte:

    • Recht auf menschliche Überprüfung automatisierter Entscheidungen
    • Recht auf Erklärung der Logik hinter KI-Vorschlägen
    • Widerspruchsrecht gegen KI-basierte Verarbeitung (Art. 21 DSGVO)

    4. Datenkategorien

    • Kontodaten (E-Mail-Adresse, Passwort-Hash, Anzeigename, Avatar)
    • Technische Daten (IP-Adresse, Browser, Gerät, Betriebssystem, Zeitpunkt des Zugriffs)
    • Projektdaten (Projekte, Szenen, Struktur, Worldbook-Einträge, Storyboards, Timeline)
    • Medien (hochgeladene Dateien, generierte Bilder, Videos, Audio, Exporte)
    • KI-Nutzungsdaten (Prompts, Modellwahl, Kostenschätzungen, Generierungsstatus)
    • Freigabe-Daten (Freigabe-Token, Ablaufzeit, Abrufzähler)
    • Zahlungsdaten (nur bei künftigen kostenpflichtigen Plänen: Stripe-Kunden-ID, Abo-Status — keine Kreditkartendaten)

    5. Rechtsgrundlagen

    • Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO) — Konto, Projektverwaltung, KI-Generierung, Export, Freigabe-Links
    • Berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO) — Sicherheit, Missbrauchsabwehr, Fehleranalyse, Ratenbegrenzung
    • Einwilligung (Art. 6 Abs. 1 lit. a DSGVO) — soweit im Einzelfall eingeholt
    • Rechtliche Verpflichtung (Art. 6 Abs. 1 lit. c DSGVO) — steuerliche Aufbewahrung

    6. Hosting

    Die Web-Anwendung wird von Vercel Inc. ausgeliefert; dabei werden technisch notwendige Verbindungsdaten (z. B. IP-Adresse, Zeitpunkt, angefragte Seite) verarbeitet. Datenbank, Authentifizierung, Dateispeicher und Serverless Functions betreibt Supabase, Inc. mit Serverstandort in der EU (Irland). Der Video-Export (Rendering) erfolgt auf einem von Richi AI betriebenen Render-Worker auf der Infrastruktur von Railway Corp.; der Worker greift ausschließlich auf die für den jeweiligen Auftrag benötigten Medien zu und löscht temporäre Dateien nach Abschluss. Sicherheitsmaßnahmen: TLS-Verschlüsselung, Row-Level Security (RLS), signierte Zugriffs-URLs mit begrenzter Gültigkeit.

    7. Auftragsverarbeiter (Art. 28 DSGVO)

    • Vercel Inc. — Hosting der Web-Anwendung (SCC gem. Art. 46 DSGVO / EU-US Data Privacy Framework)
    • Supabase, Inc. — Datenbank, Authentifizierung, Dateispeicher, Serverless Functions; Serverstandort EU (SCC gem. Art. 46 DSGVO)
    • Railway Corp. — Hosting des Render-Workers für den Video-Export (SCC gem. Art. 46 DSGVO)
    • Google LLC — Gemini-Modelle, Text-Embeddings (SCC gem. Art. 46 DSGVO / EU-US Data Privacy Framework)
    • Features and Labels, Inc. (fal.ai) — Video-, Sprach-, Musik- und Soundeffekt-Generierung (SCC gem. Art. 46 DSGVO)
    • Stripe Payments Europe Ltd. — Zahlungsabwicklung (nur bei künftigen kostenpflichtigen Plänen; EU, PCI DSS-zertifiziert)

    Alle Auftragsverarbeiter sind vertraglich zur DSGVO-Konformität verpflichtet. Für Übermittlungen in Drittstaaten bestehen Standardvertragsklauseln (SCC) und/oder Angemessenheitsbeschlüsse (EU-US Data Privacy Framework).

    8. Cookies und lokale Speicherung

    Storyloom setzt keine Tracking-Cookies und keine Analyse-Tools von Drittanbietern ein. Technisch notwendig ist ausschließlich die lokale Speicherung im Browser (Local Storage) für:

    • Anmeldesitzung (Auth-Token der Supabase-Authentifizierung)
    • Theme-Präferenz (hell/dunkel)

    Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO, § 25 Abs. 2 Nr. 2 TDDDG (unbedingt erforderlich für den vom Nutzer gewünschten Dienst). Eine Einwilligung ist daher nicht erforderlich.

    9. Authentifizierung

    Storyloom nutzt Supabase Auth für die Registrierung und Anmeldung mit E-Mail-Adresse und Passwort. Passwörter werden ausschließlich als Hash gespeichert. Bei der Anmeldung werden E-Mail-Adresse, Zeitpunkt und IP-Adresse zur Missbrauchsabwehr verarbeitet. Rechtsgrundlage: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO).

    10. Öffentliche Freigabe-Links und Leseseiten

    Nutzer können Bücher und Kapitel als öffentliche Leseseite veröffentlichen. Dabei werden der Text, der gewählte Autorenname und die Kurzbeschreibung öffentlich angezeigt; pro Leseseite wird ein Abrufzähler ohne Personenbezug geführt. Die Veröffentlichung kann jederzeit zurückgezogen werden.

    Nutzer können exportierte Videos über zeitlich befristete Freigabe-Links teilen. Jeder Inhaber des Links kann das Video ohne Anmeldung abrufen. Wir speichern pro Link Ablaufzeit, Widerrufsstatus und einen Abrufzähler; beim Abruf werden technische Daten (IP-Adresse, Browser) verarbeitet. Links können jederzeit vom Ersteller widerrufen werden. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Ersteller) bzw. lit. f DSGVO (Abrufende).

    11. Datenspeicherung und Sicherheit

    Technische Maßnahmen: TLS-Verschlüsselung, Row-Level Security (RLS) auf allen Nutzertabellen, serverseitige Eingabevalidierung, Ratenbegrenzung, signierte Zugriffs-URLs für Medien, regelmäßige Backups, Zugriff nach dem Prinzip der minimalen Berechtigung.

    12. Internationale Datenübermittlung

    Soweit Daten an Auftragsverarbeiter in Drittstaaten (insbesondere USA: Google, fal.ai, Vercel, Supabase, Railway) übermittelt werden, erfolgt dies auf Grundlage von Standardvertragsklauseln (SCC) gem. Art. 46 DSGVO und/oder des Angemessenheitsbeschlusses zum EU-US Data Privacy Framework (Art. 45 DSGVO).

    13. Betroffenenrechte (DSGVO)

    • Auskunft (Art. 15)
    • Berichtigung (Art. 16)
    • Löschung / „Recht auf Vergessenwerden" (Art. 17) — Self-Service im Profil unter „Konto löschen"
    • Einschränkung der Verarbeitung (Art. 18)
    • Datenübertragbarkeit (Art. 20)
    • Widerspruch (Art. 21)
    • Recht auf menschliche Überprüfung bei automatisierten Entscheidungen (Art. 22 DSGVO, Art. 86 EU AI Act)
    • Beschwerde bei der zuständigen Aufsichtsbehörde

    Anfragen richten Sie an info@richi.solutions. Zuständige Aufsichtsbehörde: Der Hessische Beauftragte für Datenschutz und Informationsfreiheit (HBDI), Postfach 3163, 65021 Wiesbaden, Deutschland. datenschutz.hessen.de

    14. Aufbewahrungsfristen

    • Kontodaten, Projektdaten und Medien: sofortige Löschung bei Kontolöschung (Self-Service im Profil), spätestens innerhalb von 30 Tagen
    • Vorschau-Exporte: automatische Löschung 7 Tage nach Fertigstellung
    • Finale Exporte: bis zur Löschung durch den Nutzer oder Kontolöschung
    • Freigabe-Links: bis zum gewählten Ablaufzeitpunkt oder Widerruf
    • Server- und Funktionslogs: max. 90 Tage
    • Steuerrelevante Daten: 10 Jahre (§ 147 AO, § 257 HGB)

    15. Aktualisierungen

    Diese Datenschutzerklärung kann aktualisiert werden, wenn sich Dienste, Dienstleister oder rechtliche Anforderungen ändern. Wesentliche Änderungen werden per E-Mail mitgeteilt. Die jeweils aktuelle Version ist auf dieser Seite einsehbar.

    Änderungshistorie: November 2026 — Umzug von Hosting und Backend zu Vercel und Supabase, KI-Anfragen direkt an Google, Audio-Generierung über fal.ai. August 2026 — Anpassung an eigene Authentifizierung, Aktualisierung der KI-Anbieter (Lovable AI Gateway, fal.ai), Ergänzung Export, Freigabe-Links und Aufbewahrungsfristen. Februar 2026 — Erstfassung.