Datenschutzerklärung

Stand: 16. August 2026

1. Verantwortlicher

Yannick Kupferschmidt
Gräfstraße 45
60486 Frankfurt am Main, Deutschland
E-Mail: [email protected]

Ein Datenschutzbeauftragter ist nicht bestellt und gesetzlich nicht erforderlich.

2. Hosting und Server-Logfiles

Die Anwendung wird bei Laravel Cloud (Laravel Holdings Inc., USA) auf Infrastruktur von Amazon Web Services betrieben. Beim Aufruf der Website werden automatisch technische Zugriffsdaten verarbeitet (IP-Adresse, Datum und Uhrzeit, aufgerufene Seite, Browser- und Betriebssysteminformationen), soweit dies für die Auslieferung und die Sicherheit der Anwendung erforderlich ist.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem sicheren und stabilen Betrieb). Mit dem Hosting-Anbieter besteht ein Auftragsverarbeitungsvertrag (Art. 28 DSGVO); soweit Daten in die USA übermittelt werden, erfolgt dies auf Grundlage der EU-Standardvertragsklauseln bzw. des EU-US Data Privacy Framework.

3. Cookies und lokale Speicherung

Wir setzen ausschließlich technisch notwendige Cookies und Speichertechniken ein:

• Session-Cookie — hält Ihre Sitzung (z. B. Ihren Hörverlauf) zusammen.
• Geräte-Kennung — eine zufällige Kennung, die Ihrem Endgerät das kostenlose Kontingent und einen erworbenen Tagespass zuordnet sowie Ihre Gespräche mit den Künstlern (Ziffer 5b).

Rufen Sie die Anwendung über einen gekennzeichneten Link oder QR-Code auf, etwa von einer Karte, die in einem Museum ausliegt, so speichern wir zu dieser Geräte-Kennung zusätzlich die in der Adresse übergebene Herkunftsangabe (Parameter src, beispielsweise der Name des Museums). Sie wird beim ersten Aufruf gesetzt und danach nicht mehr verändert. Zweck ist allein die Auswertung, ob eine solche Aktion Besucherinnen und Besucher erreicht hat.

Rechtsgrundlage ist § 25 Abs. 2 Nr. 2 TDDDG sowie Art. 6 Abs. 1 lit. b DSGVO (Vertragsdurchführung), für die Herkunftsangabe Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Auswertung der eigenen Aktionen); dieser können Sie nach Art. 21 DSGVO jederzeit unter [email protected] widersprechen. Analyse- oder Werbetechniken Dritter setzen wir nicht ein: in Ihrem Browser wird kein Skript und kein Zählpixel eines Dritten geladen.

4. Foto-Aufnahme und KI-gestützte Werkerkennung (Google, Anthropic)

Kernfunktion der Anwendung ist die Erkennung von Kunstwerken anhand eines von Ihnen aufgenommenen Fotos. Das Foto wird zunächst an Google Cloud Vision (Google Ireland Limited, Irland, bzw. Google LLC, USA) übermittelt, um es mit öffentlich im Web auffindbaren Werkabbildungen abzugleichen und, falls Ihre Aufnahme das Werkschild zeigt, dessen Text zu erkennen. Anschließend werden das Foto und diese Ergebnisse zur Identifikation des Kunstwerks und zur Erzeugung der Erzähltexte an Anthropic (Anthropic PBC, USA / Anthropic Ireland Ltd.) übermittelt. Zusätzlich speichern wir eine nicht umkehrbare Prüfsumme (Hash) des Bildes, um bereits erkannte Werke wiederzuverwenden.

Wir speichern Ihre Aufnahmen. Jedes aufgenommene Foto wird zusammen mit dem Ergebnis des Erkennungsvorgangs (erkannt / nicht erkannt / Werkschild) auf unseren Servern abgelegt. Zweck ist ausschließlich die Verbesserung der Werkerkennung: nur an echten Aufnahmen lässt sich messen, welche Fotos falsch oder gar nicht erkannt werden. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer funktionierenden und sich verbessernden Erkennung). Die Aufnahmen werden nach 24 Monaten gelöscht. Ihre Aufnahmen werden anderen Besucherinnen und Besuchern zu keinem Zeitpunkt angezeigt und nicht veröffentlicht; das Bild, das Sie nach der Aufnahme auf dem Ergebnisbildschirm sehen, stammt aus Ihrem eigenen Browser und nicht von unserem Server. Sie können dieser Speicherung nach Art. 21 DSGVO jederzeit unter [email protected] widersprechen.

Bitte fotografieren Sie deshalb nur Kunstwerke und deren Werkschilder und achten Sie darauf, dass keine anderen Personen erkennbar im Bild sind. Rechtsgrundlage für die Erkennung selbst ist Art. 6 Abs. 1 lit. b DSGVO (Bereitstellung der von Ihnen angeforderten Funktion). Nach den mit Anthropic und Google geltenden kommerziellen Bedingungen werden übermittelte Inhalte nicht zum Training von KI-Modellen verwendet. Übermittlungen in die USA erfolgen auf Grundlage der EU-Standardvertragsklauseln bzw. des EU-US Data Privacy Framework.

5. Sprachsynthese (ElevenLabs)

Die erzeugten Erzähltexte werden zur Umwandlung in Audio an ElevenLabs (ElevenLabs Inc., USA) übermittelt. Dabei werden keine personenbezogenen Daten von Ihnen übermittelt — nur der generierte Text über das Kunstwerk.

5a. Technische Weiterleitung der KI-Anfragen (Cloudflare)

Die Anfragen an Anthropic (Ziffer 4 und Ziffer 5b) und ElevenLabs (Ziffer 5) leiten wir über Cloudflare AI Gateway (Cloudflare, Inc., USA, bzw. Cloudflare Germany GmbH) weiter. Cloudflare erfasst dabei technische Kennzahlen je Anfrage, etwa Zeitpunkt, Dauer, verwendetes Modell und entstandene Kosten. Die Speicherung von Anfrage- und Antwortinhalten ist abgeschaltet, sodass weder Ihr Foto noch der Erzähltext noch Ihre Fragen an den Künstler bei Cloudflare gespeichert werden; alles durchläuft den Dienst lediglich auf dem Transportweg.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Kostenkontrolle, Betriebsstabilität und Missbrauchsschutz). Es besteht ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO; Übermittlungen in die USA erfolgen auf Grundlage der EU-Standardvertragsklauseln.

5b. Gespräch mit dem Künstler (Anthropic)

Zu einem Werk, das Sie freigeschaltet haben, können Sie dem Künstler Fragen stellen und erhalten eine Antwort in dessen Rolle. Ihre Frage wird dafür zusammen mit dem bisherigen Gesprächsverlauf an Anthropic (Ziffer 4) übermittelt. Wir speichern Ihre Fragen und die Antworten zu Ihrer Geräte-Kennung (Ziffer 3), zusammen mit einer technischen Markierung, falls eine Antwort von unserer automatischen Prüfung beanstandet wurde.

Rechtsgrundlage für die Führung des Gesprächs und die Speicherung des Verlaufs, ohne den ein Gespräch nicht fortgesetzt werden kann, ist Art. 6 Abs. 1 lit. b DSGVO (Bereitstellung der von Ihnen angeforderten Funktion). Die darüber hinausgehende Aufbewahrung dient der Prüfung beanstandeter Antworten und der Verbesserung der Anwendung; Rechtsgrundlage hierfür ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer sicheren und sich verbessernden Anwendung). Dieser Speicherung können Sie nach Art. 21 DSGVO jederzeit unter [email protected] widersprechen. Gesprächsverläufe werden 24 Monate nach der letzten Nachricht gelöscht.

Bitte geben Sie in Ihren Fragen keine personenbezogenen Daten an — weder Ihre eigenen noch die anderer Personen. Der Text, den Sie eingeben, wird so gespeichert und übermittelt, wie Sie ihn schreiben. Gesprächsinhalte werden anderen Besucherinnen und Besuchern zu keinem Zeitpunkt angezeigt. Nach den mit Anthropic geltenden kommerziellen Bedingungen werden auch Gesprächsinhalte nicht zum Training von KI-Modellen verwendet; Übermittlungen in die USA erfolgen auf Grundlage der EU-Standardvertragsklauseln bzw. des EU-US Data Privacy Framework.

6. Zahlungsabwicklung (Stripe)

Der Kauf des Tagespasses wird über Stripe (Stripe Payments Europe, Ltd., Irland; Muttergesellschaft Stripe Inc., USA) abgewickelt. Ihre Zahlungsdaten (z. B. Kartendaten) geben Sie direkt bei Stripe ein; wir erhalten keine vollständigen Zahlungsdaten, sondern nur die von Ihnen angegebene E-Mail-Adresse, den Zahlungsstatus und eine Transaktionsreferenz.

Die E-Mail-Adresse verwenden wir, um Ihren Tagespass zuzuordnen und Ihnen auf Wunsch Anmeldelinks für weitere Geräte zu senden. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertragsdurchführung) sowie Art. 6 Abs. 1 lit. c DSGVO (handels- und steuerrechtliche Aufbewahrungspflichten). Stripe ist für die eigentliche Zahlungsabwicklung teilweise eigenständig Verantwortlicher; es gelten ergänzend die Datenschutzhinweise von Stripe.

7. E-Mail-Versand und E-Mail-Empfang

7.1 Versand an Sie (Cloudflare)

Für den Versand von Kaufbestätigungen und Anmeldelinks nutzen wir den E-Mail-Versanddienst von Cloudflare, Inc. (101 Townsend St, San Francisco, CA 94107, USA). Verarbeitet werden Ihre E-Mail-Adresse und der Nachrichteninhalt. Cloudflare ist nach dem EU-US Data Privacy Framework zertifiziert; ergänzend gelten die EU-Standardvertragsklauseln (Art. 46 DSGVO). Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

7.2 Empfang Ihrer Nachrichten (Purelymail)

Das Postfach [email protected] wird von Add Rabbit, LLC (Dienst: Purelymail), 502 W 7th St, Suite 100, Erie, PA 16502, USA betrieben. Wenn Sie uns schreiben, verarbeitet dieser Anbieter Ihre E-Mail-Adresse, den Betreff, den Nachrichteninhalt, etwaige Anhänge und technische Versanddaten. Die Nachrichten werden dort passwortverschlüsselt gespeichert. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit Ihre Nachricht die Durchführung des Vertrags betrifft, sonst Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Beantwortung von Anfragen).

Für diesen Anbieter liegt kein Angemessenheitsbeschluss der EU-Kommission vor, und es bestehen derzeit keine EU-Standardvertragsklauseln. Die Übermittlung in die USA stützt sich deshalb auf Art. 49 Abs. 1 lit. b DSGVO: Sie veranlassen die Kommunikation selbst, und die Übermittlung ist erforderlich, um Ihre Nachricht zu empfangen und zu beantworten. Wir weisen Sie darauf hin, dass US-Behörden auf diese Daten zugreifen können und Ihnen dagegen möglicherweise keine mit der DSGVO vergleichbaren Rechtsbehelfe zur Verfügung stehen. Wenn Sie das vermeiden möchten, erreichen Sie uns auf dem Postweg unter der in Ziffer 1 genannten Anschrift.

8. Warteliste und Launch-Benachrichtigung

Wenn Sie sich vor dem Start in die Warteliste eingetragen haben, speichern wir Ihre E-Mail-Adresse sowie technische Angaben zur Herkunft der Anmeldung (z. B. besuchte Landing-Page-Variante, Werbe-Klick-Kennung), um Sie über den Start zu informieren und die Wirksamkeit unserer Werbung auszuwerten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. a DSGVO (Einwilligung); Sie können sich jederzeit per E-Mail an [email protected] austragen.

9. Speicherdauer

• Sitzungs- und Verlaufsdaten: für die Dauer der Sitzung bzw. bis zum Löschen des Cookies.
• Aufgenommene Fotos (Ziffer 4): 24 Monate ab der Aufnahme, danach Löschung.
• Gesprächsverläufe (Ziffer 5b): 24 Monate nach der letzten Nachricht, danach Löschung.
• Kauf- und Abrechnungsdaten: gemäß den gesetzlichen Aufbewahrungsfristen (bis zu 10 Jahre).
• Wartelisten-Daten: bis zum Abschluss der Launch-Kommunikation oder bis zu Ihrem Widerruf.
• E-Mail-Korrespondenz: bis zu 24 Monate nach abschließender Bearbeitung Ihres Anliegens; gesetzliche Aufbewahrungspflichten bleiben unberührt.

10. Ihre Rechte

Sie haben gegenüber uns das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) sowie Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21). Erteilte Einwilligungen können Sie jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3 DSGVO). Außerdem haben Sie das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren (Art. 77 DSGVO).

11. Änderungen

Wir passen diese Datenschutzerklärung an, wenn sich die Anwendung oder die Rechtslage ändert. Es gilt die jeweils hier veröffentlichte Fassung.