Datenschutzerklärung

Stand: Oktober 2026

Bei Widersprüchen zwischen der deutschen und einer übersetzten Fassung ist die deutsche Fassung maßgeblich.

§ 1 Verantwortlicher

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:

Alex Trupp NordvindAI (Einzelunternehmen) Vahrenwalder Str. 213 30165 Hannover Deutschland Telefon: +49 176 43198566 E-Mail: alex.trupp@nordvind-ai.de Website: https://community.nordvind-ai.de

Ein Datenschutzbeauftragter ist nicht benannt, da die gesetzlichen Voraussetzungen nicht vorliegen.

§ 2 Überblick der Verarbeitungen

NordvindAI ist ein KI-gestütztes Studio: Aus einem Foto und einer Sprachaufnahme wird ein digitaler Avatar erstellt, mit dem vertikale Kurzvideos („Reels“) generiert werden.

Arten der verarbeiteten Daten:

E-Mail-Adresse (Registrierung, Login, Bestellung)
Passwort (verschlüsselt gespeichert; entfällt bei Google-Anmeldung)
Foto und Sprachaufnahme zur Erstellung von Avatar und Stimmklon
Ihre Einwilligung zur Verarbeitung von Foto/Stimme samt Zeitpunkt
Themen-/Skript-Eingaben für die Video-Generierung
Generierte Videos, Skripte, Untertitel
Vertrags- und Zahlungsdaten (Tarif, Zahlungsstatus, Stripe-Kunden-ID; Kartendaten nur bei Stripe)
Nutzungsdaten (Anzahl erzeugter Videos, Kontingent)
bei Verbindung sozialer Kanäle: Zugangstoken und Kanal-ID
bei Aktivierung: Push-Abonnement Ihres Browsers
Protokolldaten (IP-Adresse, Browsertyp, Zugriffszeiten — durch Infrastrukturanbieter)

§ 3 Rechtsgrundlagen

Einwilligung (Art. 6 Abs. 1 lit. a, Art. 9 Abs. 2 lit. a DSGVO; § 25 Abs. 1 TDDDG): Foto und Stimme für Avatar/Stimmklon, Analyse- und Marketing-Cookies, Push-Benachrichtigungen, Verbindung sozialer Kanäle
Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO): Konto, Video-Generierung, Zahlungsabwicklung, Kündigung
Berechtigte Interessen (Art. 6 Abs. 1 lit. f DSGVO): Sicherheit, Missbrauchsprävention, Systembetrieb
Rechtliche Verpflichtung (Art. 6 Abs. 1 lit. c DSGVO): handels- und steuerrechtliche Aufbewahrungspflichten

§ 4 Sicherheitsmaßnahmen

TLS-Verschlüsselung aller Verbindungen
Verschlüsselte Speicherung von Passwörtern
Row Level Security (RLS) in der Datenbank — Zugriff nur auf eigene Daten
Zeitlich begrenzte, signierte URLs für Medienzugriffe
Zugriffsbeschränkung auf Infrastruktur und API-Schlüssel

§ 5 Registrierung und Benutzerkonto

Ein Konto kann per E-Mail und Passwort, über Google (OAuth; Google Ireland Limited) oder im Rahmen einer Bestellung angelegt werden; im letzten Fall wird die im Checkout angegebene E-Mail-Adresse verwendet und der Zugang per Magic-Link bereitgestellt.

Gespeichert werden: E-Mail-Adresse, ggf. verschlüsseltes Passwort, Nutzer-ID, Zeitpunkt der Registrierung.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Sie können Ihr Konto jederzeit in den Kontoeinstellungen löschen; danach ist eine erneute Registrierung mit derselben E-Mail-Adresse für 30 Tage gesperrt (Missbrauchsschutz).

§ 6 Avatar- und Stimmklon-Erstellung

Für Ihren KI-Avatar laden Sie ein Foto und eine kurze Sprachaufnahme hoch. Vor dem Hochladen erteilen Sie Ihre ausdrückliche Einwilligung, indem Sie den entsprechenden Haken selbst setzen; wir speichern den Zeitpunkt der Einwilligung.

Ihr Foto wird an HeyGen (HeyGen Technology Inc., USA) zur Erstellung des Foto-Avatars übermittelt, Ihre Sprachaufnahme an ElevenLabs (Eleven Labs Inc., USA) zur Erstellung des Stimmklons. Für die Sprachausgabe kann zusätzlich Google Gemini (Google Ireland Limited) eingesetzt werden; dabei wird nur der Skripttext übermittelt.

Foto und Stimme können geeignet sein, Sie eindeutig zu identifizieren; die Verarbeitung erfolgt ausschließlich auf Grundlage Ihrer Einwilligung (Art. 9 Abs. 2 lit. a DSGVO). Sie können sie jederzeit mit Wirkung für die Zukunft widerrufen — per E-Mail oder durch Löschen des Avatars bzw. Kontos; wir veranlassen dann die Löschung bei den Dienstleistern, soweit technisch möglich.

HeyGen: https://www.heygen.com/privacy-policy ElevenLabs: https://elevenlabs.io/privacy Google: https://policies.google.com/privacy

§ 7 Video-Generierung und B-Roll-Recherche

Für die Erstellung Ihrer Videos verarbeiten wir Ihre Themen- und Skript-Eingaben. Hooks, Skripte und die Qualitätsprüfung von Bildmaterial erstellt Anthropic (Anthropic Ireland, Limited; Verarbeitung auch durch Anthropic, PBC, USA); KI-generiertes Hintergrundmaterial erzeugt xAI (SpaceXAI LLC, USA).

Bei der automatischen B-Roll-Recherche suchen unsere Server anhand von Suchbegriffen aus Ihrem Thema öffentlich zugängliches Videomaterial (z. B. auf YouTube oder X) und laden passende Ausschnitte; dabei werden keine personenbezogenen Daten von Ihnen an diese Plattformen übermittelt.

Fertige Videos werden auf Cloudflare R2 gespeichert, solange Sie sie in Ihrer Galerie behalten; Sie können sie jederzeit löschen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

Anthropic: https://www.anthropic.com/legal/privacy xAI: https://x.ai/legal/privacy-policy

§ 8 Zahlungsabwicklung

Zahlungen wickeln wir über Stripe ab (Stripe Payments Europe, Ltd., Dublin, Irland; Stripe, Inc., USA). Angeboten werden Einzelkäufe und monatliche Abonnements.

An Stripe übermittelt werden Ihre E-Mail-Adresse, ggf. Ihre Nutzer-ID sowie Tarif und Ihre Bestell-Einwilligungen (Zeitpunkt, Fassung der AGB). Zahlungsdaten (z. B. Kartendaten) verarbeitet ausschließlich Stripe; bei uns gespeichert werden Stripe-Kunden-ID, Abonnement- und Zahlungsstatus. Stripe.js wird nur auf den Bestell- und Bezahlseiten geladen und setzt dort zur Betrugserkennung Cookies (§ 25 Abs. 2 Nr. 2 TDDDG).

Rechtsgrundlage: Art. 6 Abs. 1 lit. b und lit. c DSGVO (Aufbewahrung von Buchungsbelegen: 8 bzw. 10 Jahre).

Stripe: https://stripe.com/de/privacy

§ 9 Cookies und ähnliche Technologien

Technisch notwendig (§ 25 Abs. 2 Nr. 2 TDDDG — keine Einwilligung erforderlich):

Supabase-Authentifizierungs-Cookies (sb-*-auth-token): Login und Sitzung
NEXT_LOCALE: gewählte Oberflächensprache
nv_consent: Ihre Cookie-Entscheidung samt Zeitpunkt, Laufzeit sechs Monate
Stripe (__stripe_mid, __stripe_sid): Betrugserkennung, nur auf Bestell- und Bezahlseiten

Einwilligungspflichtig (§ 25 Abs. 1 TDDDG, Art. 6 Abs. 1 lit. a DSGVO):

Analyse: Google Analytics über den Google Tag Manager
Marketing: Google Ads über den Google Tag Manager, einschließlich erweiterter Conversions (Ihre E-Mail-Adresse wird dabei nur als SHA-256-Hashwert an Google übermittelt)

Der Google Tag Manager wird erst geladen, nachdem Sie im Cookie-Banner zugestimmt haben. Zusätzlich nutzen wir den Google Consent Mode v2 mit der Voreinstellung „abgelehnt“. Anbieter: Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland.

Sie können Ihre Entscheidung jederzeit über „Cookie-Einstellungen“ im Fuß jeder Seite ändern oder widerrufen; der Widerruf wirkt für die Zukunft.

§ 10 Hosting und Infrastruktur

Die Anwendung läuft auf Cloudflare (Cloudflare, Inc., USA): Cloudflare Workers und Containers (Ausführung und Video-Rendering), Cloudflare R2 (Medienspeicher), CDN und DDoS-Schutz. Bei jedem Zugriff verarbeitet Cloudflare Server-Logdaten (IP-Adresse, Zeitstempel, aufgerufene URL, Statuscode, Referrer, Browser/Betriebssystem).

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (sicherer und stabiler Betrieb).

Cloudflare: https://www.cloudflare.com/privacypolicy/

§ 11 Datenbank, E-Mail und Benachrichtigungen

Konten, Profile, Video-Metadaten und Authentifizierung verwaltet Supabase (Supabase Pte. Ltd., Singapur; Datenbank-Server in der EU: AWS, Region Stockholm). Transaktions-E-Mails (z. B. Login-Links, Bestellbestätigungen, Hinweise auf fertige Videos) versenden wir über Resend (Resend, Inc., USA).

Push-Benachrichtigungen erhalten Sie nur, wenn Sie sie in Ihrem Browser erlauben. Dafür speichern wir das Push-Abonnement Ihres Browsers; die Zustellung läuft über den Push-Dienst Ihres Browserherstellers (z. B. Google, Mozilla, Apple). Sie können die Erlaubnis jederzeit in den Einstellungen oder im Browser widerrufen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO; für Push-Benachrichtigungen Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG.

Supabase: https://supabase.com/privacy Resend: https://resend.com/legal/privacy-policy

§ 13 Empfänger und Auftragsverarbeiter

Wir setzen folgende Dienstleister ein:

Cloudflare, Inc. (USA): Hosting, Rendering, CDN, Medienspeicher
Supabase Pte. Ltd. (Singapur; Server in der EU): Datenbank, Authentifizierung
Stripe Payments Europe, Ltd. / Stripe, Inc.: Zahlungsabwicklung
HeyGen Technology Inc. (USA): Foto-Avatar und Avatar-Video
Eleven Labs Inc. (USA): Stimmklon und Sprachausgabe
Google Ireland Limited: Sprachausgabe (Gemini), Google-Anmeldung, YouTube-Veröffentlichung; Tag Manager, Analytics und Ads nur nach Einwilligung
Anthropic Ireland, Limited / Anthropic, PBC (USA): KI-Texterstellung, Bildprüfung
SpaceXAI LLC (xAI, USA): KI-Generierung von Hintergrundmaterial
Resend, Inc. (USA): Versand von E-Mails
Meta Platforms Ireland Limited: nur bei Verbindung Ihres Instagram-Kontos

Mit allen Auftragsverarbeitern bestehen Verträge nach Art. 28 DSGVO (jeweils Bestandteil der Nutzungsbedingungen der Anbieter).

§ 14 Übermittlung in Drittländer

Mehrere Dienstleister haben ihren Sitz außerhalb des Europäischen Wirtschaftsraums. Grundlage der Übermittlung ist je Empfänger:

EU-U.S. Data Privacy Framework (Angemessenheitsbeschluss, Art. 45 DSGVO), ergänzend Standardvertragsklauseln: Cloudflare, Stripe, HeyGen, ElevenLabs, Google, Resend, Meta, Microsoft
Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO), Bestandteil der jeweiligen Auftragsverarbeitungsverträge: Anthropic, SpaceXAI (xAI), Supabase (Singapur; die Datenbank selbst liegt in der EU)

Foto und Stimme gehen ausschließlich an HeyGen und ElevenLabs, die beide unter dem Data Privacy Framework zertifiziert sind. Daten werden bei Übertragung und Speicherung verschlüsselt.

§ 15 Speicherdauer

Foto, Sprachaufnahme und Einwilligungsnachweis: bis zum Widerruf der Einwilligung, Löschung des Avatars oder des Kontos
Generierte Videos: bis zur Löschung durch Sie oder bis zur Kontolöschung
Kontodaten: während der Nutzung; bei Kontolöschung werden sie gelöscht
Rechnungs- und Buchungsdaten: gemäß handels- und steuerrechtlichen Aufbewahrungsfristen (8 bzw. 10 Jahre)
Kündigungserklärungen und Bestätigungen: bis zum Ablauf der Verjährungsfrist (3 Jahre)
Server- und Anwendungsprotokolle (Cloudflare): höchstens 7 Tage

Nach Kontolöschung ist eine erneute Registrierung mit derselben E-Mail-Adresse für 30 Tage gesperrt.

§ 16 Ihre Rechte

Auskunft (Art. 15 DSGVO)
Berichtigung (Art. 16 DSGVO)
Löschung (Art. 17 DSGVO) — auch über „Konto löschen“ in den Kontoeinstellungen
Einschränkung der Verarbeitung (Art. 18 DSGVO)
Datenübertragbarkeit (Art. 20 DSGVO)
Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21 DSGVO)
Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO)

Eine formlose Nachricht an alex.trupp@nordvind-ai.de genügt.

§ 17 Beschwerderecht

Sie können sich bei einer Datenschutz-Aufsichtsbehörde beschweren (Art. 77 DSGVO). Für uns zuständig ist: Die Landesbeauftragte für den Datenschutz Niedersachsen, Prinzenstraße 5, 30159 Hannover, https://www.lfd.niedersachsen.de

§ 18 Minderjährige

Unser Dienst richtet sich nicht an Personen unter 18 Jahren. Wir erheben wissentlich keine Daten von Minderjährigen.

§ 19 KI-Kennzeichnung (EU AI Act)

Mit unserem Dienst erstellte Videos enthalten KI-generierte Inhalte (Avatar-Video, Stimme, ggf. KI-generiertes B-Roll). Gemäß Art. 50 der KI-Verordnung (EU) 2024/1689 kennzeichnen wir sie sichtbar im Video und maschinenlesbar in den Metadaten der Videodatei.

§ 20 Keine automatisierte Entscheidungsfindung

Eine automatisierte Entscheidungsfindung einschließlich Profiling mit rechtlicher Wirkung (Art. 22 DSGVO) findet nicht statt.

§ 21 Änderungen

Wir passen diese Datenschutzerklärung an, wenn sich Rechtslage oder Dienst ändern. Die aktuelle Fassung ist stets unter https://community.nordvind-ai.de/privacy abrufbar.