Datenschutzerklärung

1. Verantwortlicher

Richi AI
Inhaber: Yves-Marcel Richel
Homburger Landstr. 851
60437 Frankfurt am Main, Deutschland
E-Mail: info@richi.solutions
Website: storyloom.app

2. Datenschutzkontakt

Für Datenschutzanfragen: info@richi.solutions. Ein Datenschutzbeauftragter ist nicht bestellt (keine gesetzliche Pflicht).

3. KI-Nutzung (EU AI Act)

Storyloom setzt KI-Systeme gemäß der Verordnung (EU) 2024/1689 (EU AI Act) und der DSGVO ein.

Einsatzbereiche:

• Text-Generierung: Projektplanung, Story-Struktur, Szenen-Schreiben (Co-Autor mit Kontextverständnis), Storyboard- und Sprecher-Prompts
• Bild-Generierung (Storyboard-Frames)
• Video-Generierung (Bild-zu-Video)
• Sprachsynthese (Text-to-Speech) und Musik-Generierung
• Semantische Kontextsuche (Embeddings / RAG) über Worldbook-Inhalte

Risikokategorie: Geringes Risiko (Transparenzpflichten nach Art. 50 EU AI Act)

Compliance-Hinweise:

• Keine vollautomatisierte Entscheidungsfindung mit rechtlichen oder erheblichen Auswirkungen (Art. 22 DSGVO, Art. 86 EU AI Act)
• KI-generierte Inhalte werden in der Anwendung sichtbar gekennzeichnet; exportierte Videos erhalten eine maschinenlesbare Kennzeichnung in den Datei-Metadaten und eine Begleitdatei mit Angaben zu den verwendeten Modellen (Art. 50 EU AI Act)
• Nutzerdaten werden nicht zum Training externer KI-Modelle verwendet; wir nutzen API-Zugänge der Anbieter, bei denen Eingaben nicht zum Training verwendet werden
• Verwendete Modelle/Anbieter: Google LLC (Gemini — Text, Bild, Embeddings), fal.ai (Bild-zu-Video: Kling, Veo, Wan u. a.; Sprache, Musik und Soundeffekte mit ElevenLabs-Modellen)

An die KI-Anbieter werden nur die für die jeweilige Generierung erforderlichen Inhalte übermittelt (Prompts, Szenentexte, relevante Worldbook-Auszüge, Referenzbilder). Kontodaten werden nicht übermittelt.

Ihre KI-bezogenen Rechte:

• Recht auf menschliche Überprüfung automatisierter Entscheidungen
• Recht auf Erklärung der Logik hinter KI-Vorschlägen
• Widerspruchsrecht gegen KI-basierte Verarbeitung (Art. 21 DSGVO)

4. Datenkategorien

• Kontodaten (E-Mail-Adresse, Passwort-Hash, Anzeigename, Avatar)
• Technische Daten (IP-Adresse, Browser, Gerät, Betriebssystem, Zeitpunkt des Zugriffs)
• Projektdaten (Projekte, Szenen, Struktur, Worldbook-Einträge, Storyboards, Timeline)
• Medien (hochgeladene Dateien, generierte Bilder, Videos, Audio, Exporte)
• KI-Nutzungsdaten (Prompts, Modellwahl, Kostenschätzungen, Generierungsstatus)
• Freigabe-Daten (Freigabe-Token, Ablaufzeit, Abrufzähler)
• Leseprofil (Bücher aus dem Katalog, die du als „Will ich lesen“, „Lese ich gerade“, „Gelesen“ oder „Kein Interesse“ markierst, deine Bewertung von 1 bis 10 sowie Start- und Enddatum) — nur für dich sichtbar, gelöscht mit deinem Konto
• Zahlungsdaten (nur bei künftigen kostenpflichtigen Plänen: Stripe-Kunden-ID, Abo-Status — keine Kreditkartendaten)

5. Rechtsgrundlagen

• Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO) — Konto, Projektverwaltung, KI-Generierung, Export, Freigabe-Links, Leseprofil
• Berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO) — Sicherheit, Missbrauchsabwehr, Fehleranalyse, Ratenbegrenzung
• Einwilligung (Art. 6 Abs. 1 lit. a DSGVO) — soweit im Einzelfall eingeholt
• Rechtliche Verpflichtung (Art. 6 Abs. 1 lit. c DSGVO) — steuerliche Aufbewahrung

6. Hosting

Die Web-Anwendung wird von Vercel Inc. ausgeliefert; dabei werden technisch notwendige Verbindungsdaten (z. B. IP-Adresse, Zeitpunkt, angefragte Seite) verarbeitet. Datenbank, Authentifizierung, Dateispeicher und Serverless Functions betreibt Supabase, Inc. mit Serverstandort in der EU (Irland). Der Video-Export (Rendering) erfolgt auf einem von Richi AI betriebenen Render-Worker auf der Infrastruktur von Railway Corp.; der Worker greift ausschließlich auf die für den jeweiligen Auftrag benötigten Medien zu und löscht temporäre Dateien nach Abschluss. Sicherheitsmaßnahmen: TLS-Verschlüsselung, Row-Level Security (RLS), signierte Zugriffs-URLs mit begrenzter Gültigkeit.

7. Auftragsverarbeiter (Art. 28 DSGVO)

• Vercel Inc. — Hosting der Web-Anwendung (SCC gem. Art. 46 DSGVO / EU-US Data Privacy Framework)
• Supabase, Inc. — Datenbank, Authentifizierung, Dateispeicher, Serverless Functions; Serverstandort EU (SCC gem. Art. 46 DSGVO)
• Resend, Inc. – Versand der Konto-E-Mails (Registrierungsbestätigung, Anmeldelinks, Änderung der E-Mail-Adresse); verarbeitet E-Mail-Adresse und Sprache (SCC gem. Art. 46 DSGVO / EU-US Data Privacy Framework)
• Railway Corp. — Hosting des Render-Workers für den Video-Export (SCC gem. Art. 46 DSGVO)
• Google LLC — Gemini-Modelle, Text-Embeddings (SCC gem. Art. 46 DSGVO / EU-US Data Privacy Framework)
• Features and Labels, Inc. (fal.ai) — Video-, Sprach-, Musik- und Soundeffekt-Generierung (SCC gem. Art. 46 DSGVO)
• Stripe Payments Europe Ltd. — Zahlungsabwicklung (nur bei künftigen kostenpflichtigen Plänen; EU, PCI DSS-zertifiziert)

Alle Auftragsverarbeiter sind vertraglich zur DSGVO-Konformität verpflichtet. Für Übermittlungen in Drittstaaten bestehen Standardvertragsklauseln (SCC) und/oder Angemessenheitsbeschlüsse (EU-US Data Privacy Framework).

8. Cookies und lokale Speicherung

Storyloom setzt keine Tracking-Cookies und keine Analyse-Tools von Drittanbietern ein. Wir nutzen die lokale Speicherung im Browser (Local Storage) in zwei Kategorien.

Notwendig (immer aktiv):

• Anmeldesitzung (Auth-Token der Supabase-Authentifizierung)
• Theme-Präferenz (hell/dunkel)
• Deine Cookie-Auswahl

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO, § 25 Abs. 2 Nr. 2 TDDDG (unbedingt erforderlich für den vom Nutzer gewünschten Dienst).

Statistik (nur mit Einwilligung): Eine zufällige Kennung und eine Sitzungskennung im Browser. Damit zählen wir, welche Seiten und Funktionen genutzt werden (z. B. Seitenaufrufe, Registrierung, angelegte Projekte). Übermittelt werden Seitenpfad ohne Parameter, Referrer, Browser-Kennung und Gerätetyp an unseren eigenen Server bei Supabase (EU) und von dort an die Analyse-Datenbank von Richi AI; bist du angemeldet, wird das Ereignis deinem Konto zugeordnet. Eine Weitergabe an Dritte findet nicht statt.

Rechtsgrundlage: Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG). Du kannst sie jederzeit über „Cookie-Einstellungen“ im Footer bzw. im Menü widerrufen; die Kennungen werden dann aus deinem Browser gelöscht. Ein Global-Privacy-Control-Signal deines Browsers werten wir als Ablehnung.

9. Authentifizierung

Storyloom nutzt Supabase Auth für die Registrierung und Anmeldung mit E-Mail-Adresse und Passwort. Passwörter werden ausschließlich als Hash gespeichert. Bei der Anmeldung werden E-Mail-Adresse, Zeitpunkt und IP-Adresse zur Missbrauchsabwehr verarbeitet. Die E-Mails zur Bestätigung der Registrierung, zur Anmeldung und zur Änderung der E-Mail-Adresse versenden wir über Resend, in der Sprache, die du auf Storyloom gewählt hast. Rechtsgrundlage: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO).

10. Öffentliche Freigabe-Links, Leseseiten und Autorenprofile

Nutzer können Bücher und Kapitel als öffentliche Leseseite veröffentlichen. Dabei werden der Text, der gewählte Autorenname und die Kurzbeschreibung öffentlich angezeigt; pro Leseseite wird ein Abrufzähler ohne Personenbezug geführt. Als „öffentlich gelistet“ veröffentlichte Werke erscheinen zusätzlich unter storyloom.app/de/werke und können von Suchmaschinen indexiert werden. Die Veröffentlichung kann jederzeit zurückgezogen werden; die Seite ist dann nach spätestens zehn Minuten nicht mehr erreichbar.

Nutzer können ein öffentliches Autorenprofil unter storyloom.app/@handle anlegen. Ein Profil bleibt privat, bis die Inhaberin oder der Inhaber es öffentlich schaltet. Ein öffentliches Profil zeigt Name, Handle, Profilbild, Beschreibung, Website, Social-Media-Konten und die öffentlich gelisteten Werke; es kann von Suchmaschinen indexiert werden. Das Profilbild wird vor dem Hochladen in deinem Browser auf 400 × 400 Pixel verkleinert, sodass die Originaldatei mit ihren Metadaten uns nie erreicht. Links zur eigenen Website und zu Social-Media-Konten werden nur angezeigt; an diese Seiten werden erst Daten übermittelt, wenn Besucher einen Link anklicken. Wird das Profil auf privat gestellt oder das Konto gelöscht, verschwindet es nach spätestens zehn Minuten aus der öffentlichen Ansicht. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

Zur Verifizierung einer Autoren-Website ruft unser Server die Seite unter der angegebenen Adresse pro Prüfung einmal ab und sucht darin nach dem Verifizierungs-Tag oder -Link; gespeichert wird nur das Ergebnis, nicht die Seite. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

Autorinnen und Autoren können ihre veröffentlichten Bücher mit ihrem Profil verknüpfen: einen Eintrag aus dem Bücherkatalog, einzelne Bücher daraus oder ein Buch bei Amazon (ASIN oder ISBN und Titel). Wir speichern die Verknüpfung, den freiwillig angegebenen Nachweis und unsere Entscheidung, um zu prüfen, ob die Person das Buch geschrieben hat; erst nach der Freigabe erscheint das Buch im öffentlichen Profil. Die Verknüpfung kann jederzeit entfernt werden und wird mit dem Konto gelöscht. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO sowie Art. 6 Abs. 1 lit. f DSGVO (Schutz vor falschen Zuordnungen).

Jede Person kann ein öffentliches Profil oder Werk als rechtswidrig oder AGB-widrig melden (Art. 16 Digital Services Act). Wir speichern die Meldung, den Grund, die Beschreibung und, falls angegeben, die E-Mail-Adresse der meldenden Person, um die Meldung zu prüfen und über unsere Entscheidung zu informieren; bei angemeldeten Nutzern wird das Konto mit der Meldung verknüpft. Meldungen werden ein Jahr nach der Entscheidung gelöscht. Rechtsgrundlage: Art. 6 Abs. 1 lit. c DSGVO i. V. m. Art. 16 DSA sowie Art. 6 Abs. 1 lit. f DSGVO (Missbrauchsabwehr).

Im Bücherkatalog (storyloom.app/de/buecher) verweisen wir auf Angebote bei Amazon. Diese Links sind als Anzeige gekennzeichnet; als Amazon-Partner verdienen wir an qualifizierten Verkäufen. Beim Aufruf der Katalogseiten werden keine Daten an Amazon übermittelt. Damit Besucher aus den USA, Großbritannien und Irland auf ihren eigenen Amazon-Shop verwiesen werden, leiten wir aus der IP-Adresse beim Aufruf einer Buchseite das Land ab (über unseren Hoster Vercel); das Land wird nur für diese Antwort verwendet und weder gespeichert noch an Amazon weitergegeben. Erst wenn du einen solchen Link anklickst, gelangst du zu Amazon (für amazon.de: Amazon EU S.à r.l., Luxemburg; für amazon.co.uk: Amazon UK Services Ltd., London; für amazon.com: Amazon.com Services LLC, Seattle, USA); dort gelten die Datenschutzbestimmungen von Amazon, und Amazon kann über Cookies erfassen, dass du über unseren Link gekommen bist. Buchcover werden über unseren eigenen Server ausgeliefert, nicht direkt von der Datenquelle (Open Library).

Nutzer können exportierte Videos über zeitlich befristete Freigabe-Links teilen. Jeder Inhaber des Links kann das Video ohne Anmeldung abrufen. Wir speichern pro Link Ablaufzeit, Widerrufsstatus und einen Abrufzähler; beim Abruf werden technische Daten (IP-Adresse, Browser) verarbeitet. Links können jederzeit vom Ersteller widerrufen werden. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Ersteller) bzw. lit. f DSGVO (Abrufende).

11. Datenspeicherung und Sicherheit

Technische Maßnahmen: TLS-Verschlüsselung, Row-Level Security (RLS) auf allen Nutzertabellen, serverseitige Eingabevalidierung, Ratenbegrenzung, signierte Zugriffs-URLs für Medien, regelmäßige Backups, Zugriff nach dem Prinzip der minimalen Berechtigung.

12. Internationale Datenübermittlung

Soweit Daten an Auftragsverarbeiter in Drittstaaten (insbesondere USA: Google, fal.ai, Vercel, Supabase, Railway, Resend) übermittelt werden, erfolgt dies auf Grundlage von Standardvertragsklauseln (SCC) gem. Art. 46 DSGVO und/oder des Angemessenheitsbeschlusses zum EU-US Data Privacy Framework (Art. 45 DSGVO).

13. Betroffenenrechte (DSGVO)

• Auskunft (Art. 15)
• Berichtigung (Art. 16)
• Löschung / „Recht auf Vergessenwerden" (Art. 17) — Self-Service im Profil unter „Konto löschen"
• Einschränkung der Verarbeitung (Art. 18)
• Datenübertragbarkeit (Art. 20)
• Widerspruch (Art. 21)
• Recht auf menschliche Überprüfung bei automatisierten Entscheidungen (Art. 22 DSGVO, Art. 86 EU AI Act)
• Beschwerde bei der zuständigen Aufsichtsbehörde

Anfragen richten Sie an info@richi.solutions. Zuständige Aufsichtsbehörde: Der Hessische Beauftragte für Datenschutz und Informationsfreiheit (HBDI), Postfach 3163, 65021 Wiesbaden, Deutschland. datenschutz.hessen.de

14. Aufbewahrungsfristen

• Kontodaten, Projektdaten und Medien: sofortige Löschung bei Kontolöschung (Self-Service im Profil), spätestens innerhalb von 30 Tagen
• Vorschau-Exporte: automatische Löschung 7 Tage nach Fertigstellung
• Finale Exporte: bis zur Löschung durch den Nutzer oder Kontolöschung
• Freigabe-Links: bis zum gewählten Ablaufzeitpunkt oder Widerruf
• Server- und Funktionslogs: max. 90 Tage
• Steuerrelevante Daten: 10 Jahre (§ 147 AO, § 257 HGB)

15. Aktualisierungen

Diese Datenschutzerklärung kann aktualisiert werden, wenn sich Dienste, Dienstleister oder rechtliche Anforderungen ändern. Wesentliche Änderungen werden per E-Mail mitgeteilt. Die jeweils aktuelle Version ist auf dieser Seite einsehbar.

Änderungshistorie: November 2026 — öffentliche Autorenprofile mit Website-Prüfung und Bücher-Verknüpfungen sowie Meldungen zu öffentlichen Inhalten, Leseprofil für Bücher aus dem Katalog, Nutzungsstatistik nur noch mit Einwilligung (Cookie-Banner), Umzug von Hosting und Backend zu Vercel und Supabase, KI-Anfragen direkt an Google, Audio-Generierung über fal.ai. August 2026 — Anpassung an eigene Authentifizierung, Aktualisierung der KI-Anbieter (Lovable AI Gateway, fal.ai), Ergänzung Export, Freigabe-Links und Aufbewahrungsfristen. Februar 2026 — Erstfassung.