Datenschutzerklärung

Stand: Juli 2026

1. Verantwortlicher

Lukas Maier, LUKAS LEERTASTE FOTOGRAF, Freibühlstr. 13, 78224 Singen, Telefon: +49 151 20030165, E-Mail: info@lukasleertaste.de

2. Überblick über die Datenverarbeitung

TeamportrAIt.ai verarbeitet personenbezogene Daten ausschließlich zur Erbringung des Dienstes: der Erstellung KI-generierter Business Portraits. Wir verarbeiten nur die Daten, die für diesen Zweck erforderlich sind, und löschen sie nach Erfüllung des Zwecks.

3. Erhobene Daten und Rechtsgrundlagen

3.1 Bestandsdaten des Auftraggebers (HR)

Daten: E-Mail-Adresse, Unternehmensname, Konfigurationseinstellungen. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung). Speicherdauer: Für die Dauer des Vertragsverhältnisses, danach gemäß gesetzlicher Aufbewahrungsfristen (bis zu 10 Jahre für steuerrelevante Daten gemäß § 147 AO).

3.2 Mitarbeiterdaten

Daten: Name, E-Mail-Adresse, Geschlecht, Altersgruppe und ggf. Angabe zu Kopfbedeckung/Haaren (jeweils ausschließlich zur korrekten Darstellung im Portrait) sowie Selfie-Fotos, die als Referenzbilder für die Bildgenerierung dienen.

Keine biometrische Identifizierung: Die Fotos werden ausschließlich zur Erzeugung neuer Portrait-Bilder verwendet. Es findet keine Gesichtserkennung und kein Gesichtsabgleich statt, es werden keine biometrischen Templates erzeugt und es wird kein personenbezogenes KI-Modell trainiert oder gespeichert. Eine spezifische technische Verarbeitung zur eindeutigen Identifizierung einer Person im Sinne von Art. 9 DSGVO in Verbindung mit Erwägungsgrund 51 erfolgt damit nicht. Auch die automatische Qualitätsprüfung der Fotos (Helligkeit, Schärfe, Bildausschnitt) läuft vollständig lokal im Browser der betroffenen Person; hierbei werden keine Analysedaten übertragen oder gespeichert.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung); vorsorglich wird die Einwilligung zugleich als ausdrückliche Einwilligung im Sinne von Art. 9 Abs. 2 lit. a DSGVO eingeholt. Die Einwilligung wird vor dem Upload der Fotos über gesonderte Checkboxen erklärt und kann jederzeit mit Wirkung für die Zukunft widerrufen werden.

3.3 Technische Daten beim Websitebesuch

Beim Besuch der Website werden durch den Hosting-Anbieter automatisch Serverlogfiles erstellt (IP-Adresse, Browsertyp, Zeitpunkt des Zugriffs). Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der technischen Bereitstellung der Website). Diese Daten werden nicht mit anderen Datenquellen zusammengeführt.

3.4 Kontaktanfragen (Demo-Formular)

Daten: Name, E-Mail-Adresse, optional Unternehmensname und Nachricht. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahmen). Speicherdauer: Bis zur Erledigung der Anfrage, maximal 6 Monate.

4. Speicherdauer und Löschung

Selfie-Fotos (Referenzbilder): Die hochgeladenen Fotos werden — nach lokaler Aufbereitung im Browser der betroffenen Person — auf EU-Servern des Anbieters (Supabase, Frankfurt am Main) gespeichert. Sie dienen als Referenzbilder für die Bildgenerierung und für eventuelle Nachgenerierungen. Bei Einzelprojekten werden sie 60 Tage nach Zahlung automatisch gelöscht; eine Erinnerung wird 7 Tage vor der Löschung an den Auftraggeber versandt. Bei aktivem Cloud-Abo bleiben sie für die Dauer des Abonnements gespeichert. Bei Widerruf der Einwilligung werden sie unverzüglich gelöscht.

Verarbeitung bei der Generierung: Für jede Bildgenerierung werden die Referenzbilder einzeln und vorübergehend (transient) an den Generierungsdienst (Microsoft Azure, siehe Ziffer 5.1) übermittelt und dort ausschließlich zur Erzeugung des jeweiligen Bildes verarbeitet. Beim Generierungsdienst verbleiben keine Kopien; es wird kein KI-Modell mit den Fotos trainiert und kein Modell-Artefakt gespeichert.

Generierte Portraits: Werden auf EU-Servern des Anbieters gespeichert. Bei Einzelprojekten 60 Tage ab Zahlung zum Download verfügbar, bei Cloud-Abo für die Dauer des Abonnements. Nach Kündigung eines Cloud-Abos verbleiben 30 Tage zur Sicherung der Daten; danach erfolgt die endgültige Löschung.

E-Mail-Adressen der Mitarbeiter: Werden nach Projektabschluss gelöscht, sofern kein aktives Abo besteht.

DSGVO-Löschprotokoll: Der Anbieter dokumentiert jede automatische Löschung in einer internen Protokolldatenbank (ohne Fotoinhalte, nur Metadaten zu Zeitpunkt, Mitarbeiter-ID und Verarbeitungsschritt), um die Nachweispflicht gemäß Art. 5 Abs. 2 DSGVO zu erfüllen.

5. Eingesetzte Dienstleister (Auftragsverarbeiter)

5.1 Microsoft Azure (KI-Bildgenerierung)

Zweck: Generierung der Business-Portraits aus den Referenzbildern (KI-Bildgenerierung im Referenzbild-Verfahren). Betreiber: Microsoft Ireland Operations Ltd., One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, Irland.

Verarbeitungsort EU: Die von uns genutzte Azure-Ressource liegt in Deutschland. Microsoft sichert vertraglich zu, dass sowohl die Speicherung als auch die Verarbeitung der Daten ausschließlich in Rechenzentren innerhalb der Europäischen Union erfolgen.

Kein Training, keine Weitergabe: Microsoft verwendet die übermittelten Daten nicht zum Training von KI-Modellen. Die Generierung läuft vollständig auf Microsoft-Infrastruktur; die Daten werden nicht an den Hersteller des eingesetzten KI-Modells weitergegeben. Die Referenzbilder werden je Generierungsanfrage nur vorübergehend verarbeitet; es verbleiben keine Kopien und es entsteht kein personenbezogenes Modell-Artefakt.

Grundlage: Auftragsverarbeitung auf Basis des Microsoft-Datenschutznachtrags für Produkte und Services (Microsoft Products and Services Data Protection Addendum), der die EU-Standardvertragsklauseln einschließt und Bestandteil unseres Vertrags mit Microsoft ist.

5.2 Supabase (Datenbank)

Zweck: Speicherung von Projekt- und Mitarbeiterdaten, Status-Tracking. Standort: EU (Frankfurt). Grundlage: Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO.

5.3 Resend (E-Mail-Versand)

Zweck: Versand von Einladungs-E-Mails, Portrait-Zustellungen und Benachrichtigungen. Grundlage: Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO.

5.4 Vercel (Hosting)

Zweck: Betrieb und Bereitstellung der Webanwendung. Standort: Vercel Inc., USA, mit Edge-Netzwerk in der EU. Grundlage: EU-US Data Privacy Framework.

5.5 Cloudflare (CDN und DNS)

Zweck: Bereitstellung der Domain teamportrait.ai, DDoS-Schutz, Content Delivery. Standort: Cloudflare Inc., USA, mit Rechenzentren weltweit. Grundlage: EU-US Data Privacy Framework.

5.6 Stripe (Zahlungsabwicklung)

Zweck: Abwicklung der Zahlungen bei Beauftragung von Einzelprojekten, Nachbuchungen und Cloud-Abos. Verarbeitete Daten: Name, E-Mail-Adresse, Firmenanschrift, USt-ID, Zahlungsmitteldaten. Betreiber: Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Dublin, Irland. Standort: EU (Irland), mit Untervereinbarungen an Stripe Inc. (USA). Grundlage: Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO (Stripe Data Processing Agreement), EU-Standardvertragsklauseln sowie EU-US Data Privacy Framework. Rechnungen werden automatisch über Stripe erzeugt und per E-Mail zugestellt.

6. Datenübermittlung in Drittländer

Die Selfie-Fotos (Referenzbilder) und die generierten Portraits werden ausschließlich innerhalb der Europäischen Union gespeichert und verarbeitet (Supabase Frankfurt, Microsoft Azure mit vertraglicher EU-Zusicherung — siehe Ziffern 4 und 5.1). Soweit einzelne weitere Dienstleister Daten außerhalb des Europäischen Wirtschaftsraums verarbeiten (Resend für den E-Mail-Versand, Vercel und Cloudflare für Hosting/CDN — jeweils keine Fotoverarbeitung im Kundenauftrag), erfolgt die Übermittlung auf Grundlage des EU-US Data Privacy Framework (Angemessenheitsbeschluss der EU-Kommission gemäß Art. 45 DSGVO) oder auf Grundlage von Standardvertragsklauseln gemäß Art. 46 Abs. 2 lit. c DSGVO.

7. Rechte der betroffenen Personen

Sie haben folgende Rechte bezüglich Ihrer personenbezogenen Daten:

Recht auf Auskunft (Art. 15 DSGVO): Sie können Auskunft über die zu Ihrer Person gespeicherten Daten verlangen.

Recht auf Berichtigung (Art. 16 DSGVO): Sie können die Berichtigung unrichtiger Daten verlangen.

Recht auf Löschung (Art. 17 DSGVO): Sie können die Löschung Ihrer Daten verlangen, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO).

Recht auf Datenübertragbarkeit (Art. 20 DSGVO): Sie können die Herausgabe Ihrer Daten in einem maschinenlesbaren Format verlangen.

Recht auf Widerspruch (Art. 21 DSGVO): Soweit wir personenbezogene Daten auf Grundlage berechtigter Interessen verarbeiten, können Sie der Verarbeitung aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit widersprechen.

Widerrufsrecht (Art. 7 Abs. 3 DSGVO): Eine erteilte Einwilligung kann jederzeit mit Wirkung für die Zukunft widerrufen werden. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt.

Zur Ausübung Ihrer Rechte wenden Sie sich an: info@lukasleertaste.de

8. Beschwerderecht

Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren. Zuständige Aufsichtsbehörde: Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg, Lautenschlagerstraße 20, 70173 Stuttgart.

9. Cookies und lokale Speicherung

Zur Dokumentation der Einwilligung in den Einsatz etwaiger nicht notwendiger Cookies wird beim Aufruf der Website ein Cookie-Hinweisbanner eingeblendet. Die Entscheidung des Nutzers wird in einem Eintrag im lokalen Speicher (localStorage) des Browsers unter dem Schlüssel tpai_cookies gespeichert. Diese Speicherung ist technisch erforderlich, um eine wiederholte Anzeige des Banners zu vermeiden (§ 25 Abs. 2 Nr. 2 TTDSG), und findet ausschließlich im Browser des Nutzers statt; eine Übermittlung an den Anbieter erfolgt nicht.

Ferner wird die vom Kunden im Konfigurator vorgenommene Auswahl (Fotostile, Hintergründe, Kleidung etc.) zwischenzeitlich im localStorage gespeichert, damit der Kunde den Konfigurationsprozess bei Unterbrechung fortsetzen kann. Auch diese Daten verlassen den Browser nicht.

10. Google Ads Conversion-Tracking und Google Analytics 4

Auf dieser Website nutzen wir Dienste der Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland („Google"). Konkret kommen folgende Dienste zum Einsatz:

Google Ads Conversion-Tracking: Wenn Sie eine Werbeanzeige in Google angeklickt haben und auf unserer Website eine bestimmte Aktion vornehmen (z.B. ein Angebot anfordern, einen Kauf abschließen), erzeugt Google für uns eine anonymisierte Statistik darüber, welche Anzeige zu welcher Aktion geführt hat. Wir erhalten ausschließlich aggregierte Werte (Anzahl der Conversions, Gesamtwert) — keine personenbezogenen Daten einzelner Nutzer.

Google Analytics 4: Wir nutzen Google Analytics 4, um zu verstehen, wie unsere Website genutzt wird (z.B. welche Seiten am häufigsten aufgerufen werden, wo Besucher abbrechen). Hierbei werden pseudonymisierte Nutzungsdaten (gekürzte IP-Adressen, Geräte- und Browser-Informationen, besuchte Seiten, Verweildauer) an Google übertragen.

Rechtsgrundlage: Die Nutzung der Google-Dienste erfolgt ausschließlich auf Grundlage Ihrer ausdrücklichen Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TTDSG). Sie erteilen diese Einwilligung über unseren Cookie-Hinweisbanner durch Klick auf „Akzeptieren". Wenn Sie „Nur notwendige" wählen, werden keinerlei Daten an Google übertragen.

Consent Mode v2: Wir setzen den von Google bereitgestellten „Consent Mode v2" ein. Dieser sorgt technisch dafür, dass vor Ihrer Einwilligung keinerlei personenbezogene Daten an Google gesendet werden. Erst nach Ihrer Zustimmung werden die Tracking-Funktionen aktiviert.

Datentransfer in die USA: Google kann die erhobenen Daten an Server in den USA übertragen. Es besteht ein Angemessenheitsbeschluss der EU-Kommission für das EU-US Data Privacy Framework, dem sich Google verpflichtet hat. Die Übertragung erfolgt auf Grundlage des Art. 45 DSGVO.

Widerruf Ihrer Einwilligung: Sie können Ihre Einwilligung jederzeit widerrufen, indem Sie in den Browser-Einstellungen den localStorage-Eintrag „tpai_cookies" löschen und die Seite neu laden — daraufhin erscheint der Cookie-Banner erneut.

Weitere Informationen: Datenschutzerklärung von Google: policies.google.com/privacy. Opt-Out-Möglichkeit speziell für Google Analytics: tools.google.com/dlpage/gaoptout.

11. Änderungen dieser Datenschutzerklärung

Wir behalten uns vor, diese Datenschutzerklärung bei Bedarf anzupassen, um sie an geänderte Rechtslagen oder Änderungen des Dienstes anzupassen. Die jeweils aktuelle Version ist auf teamportrait.ai/datenschutz einsehbar.