Zur Startseite

Datenschutz­erklärung

Stand: 15. Oktober 2026

Das Wichtigste in Kürze

1. Verantwortlicher

Andreas Scheruebl, Keltenstr. 37d, 93186 Pettendorf, Deutschland
E-Mail: kontakt@figurli.app

2. Aufruf der Website (Hosting)

Die Website läuft bei Cloudflare, Inc., 101 Townsend St., San Francisco, CA 94107, USA („Cloudflare“), auf Grundlage eines Auftragsverarbeitungsvertrags. Beim Aufruf verarbeitet Cloudflare technisch notwendige Daten: IP-Adresse, Datum und Uhrzeit, aufgerufene Adresse, Browser-Kennung (User-Agent) und Fehlercodes. Diese Protokolle enthalten keine Fotos oder Bilder und werden nach wenigen Tagen gelöscht. Rechtsgrundlage ist unser berechtigtes Interesse an einem sicheren, stabilen Betrieb (Art. 6 Abs. 1 lit. f DSGVO). Cloudflare ist unter dem EU-US Data Privacy Framework zertifiziert; zusätzlich gelten die EU-Standardvertragsklauseln.

3. Erstellen deiner Figur

Wenn du ein Foto auswählst, verkleinert dein Browser es und entfernt dabei alle Metadaten (zum Beispiel GPS-Standort und Kameradaten). Erst nachdem du angegeben hast, wer auf dem Foto ist, und eingewilligt hast, wird das Foto verschlüsselt (HTTPS) an unseren Server übertragen. Unser Server verarbeitet das Foto ausschließlich im Arbeitsspeicher, leitet es an den KI-Anbieter weiter und schickt das Ergebnis direkt an deinen Browser zurück. Wir speichern weder dein Foto noch das Ergebnis, und wir schreiben keine Bilddaten in Protokolle.

Zeigt das Foto dich selbst, ist Rechtsgrundlage die Durchführung des von dir angefragten Dienstes (Art. 6 Abs. 1 Buchst. b DSGVO). Zeigt es dein Kind: Bestelldaten verarbeiten wir nach Art. 6 Abs. 1 Buchst. b DSGVO. Die Verarbeitung der Fotos und KI-Ergebnisse des Kindes beruht auf Art. 6 Abs. 1 Buchst. a DSGVO. Bei fehlender Einwilligungsfähigkeit handelt seine gesetzliche Vertretung; einwilligungsfähige Kinder werden selbst einbezogen. Fotos anderer Personen darfst du nicht hochladen. Wir verwenden Fotos nicht, um Personen zu identifizieren, und erstellen keine biometrischen Profile.

Fotos werden durch Cloudflare Workers AI verarbeitet. Wir veröffentlichen sie nicht und verwenden sie nicht zum Modelltraining. Foto und Ergebnis liegen nur für die Dauer der Erstellung (wenige Sekunden) im Arbeitsspeicher unseres Servers und werden danach verworfen; gespeichert wird beides nur auf deinem Gerät. Einwilligungen können jederzeit über unsere angegebenen Kontaktdaten widerrufen werden; die bisherige Verarbeitung bleibt rechtmäßig.

Jedes Bild, das du von uns erhältst, trägt eine unsichtbare Markierung und signierte Herkunftsangaben (Content Credentials nach dem C2PA-Standard), die es als KI-generiert ausweisen. Beide enthalten keine Daten über dich: kein Foto, keinen Namen, keine Bestell- oder Gerätekennung. Als Aussteller der Signatur ist der Betreiber laut Impressum genannt. Für den Zeitstempel der Signatur sendet unser Server nur eine Prüfsumme an einen Zeitstempeldienst (DigiCert, ersatzweise Sectigo), nicht das Bild.

Als Nachweis deiner Einwilligung speichern wir vor jeder Erstellung einen Eintrag mit einer zufälligen Kennung, der Angabe, ob das Foto dich oder dein Kind zeigt, der Version des Einwilligungstexts und dem Zeitpunkt. Der Eintrag enthält weder das Foto noch deinen Namen oder deine IP-Adresse. Rechtsgrundlage ist unsere Pflicht, die Einwilligung nachweisen zu können (Art. 6 Abs. 1 Buchst. c in Verbindung mit Art. 7 Abs. 1 DSGVO). Wir löschen den Eintrag nach zwölf Monaten.

KI-Anbieter: Cloudflare Workers AI

Die Figur erzeugt das Bildmodell FLUX.2 [klein] von Black Forest Labs. Es läuft nicht bei Black Forest Labs, sondern auf der Infrastruktur von Cloudflare (Cloudflare Workers AI), also bei demselben Dienstleister, der auch unsere Website betreibt (siehe Abschnitt 2). Dein Foto geht damit an keinen weiteren Anbieter. Cloudflare handelt als unser Auftragsverarbeiter auf Grundlage des Auftragsverarbeitungsvertrags; für Verarbeitungen außerhalb der EU gelten das EU-US Data Privacy Framework und die EU-Standardvertragsklauseln.

Cloudflare verwendet die Inhalte, die wir an Workers AI übergeben, nach eigenen Angaben nicht zum Training von KI-Modellen. Wir nutzen keine Speicher- oder Protokollfunktion für Ein- oder Ausgaben. Cloudflare prüft das erzeugte Bild automatisch auf unzulässige Inhalte; wird es abgelehnt, versuchen wir es höchstens zweimal erneut und zeigen dir sonst einen Hinweis.

Das Modell arbeitet in zwei Schritten: Aus deinem Foto entsteht zuerst eine einzelne Figur, aus dieser Figur (nicht aus deinem Foto) dann das Charakterblatt. Wenn du Haarfarbe, Augenfarbe oder Extras wie Brille oder Bart auswählst, geben wir diese Angaben als Text an das Modell weiter; auch sie werden nicht gespeichert.

Die Figur erhältst du als Vorschau mit Wasserzeichen. Das Charakterblatt und die Figur ohne Wasserzeichen bekommst du zusätzlich als verschlüsselte Dateien, die nur auf deinem Gerät gespeichert werden. Den Schlüssel dafür bekommst du nach dem Kauf. Wir selbst behalten weder das Foto noch das Ergebnis.

4. Schutz vor Missbrauch (Cloudflare Turnstile)

Damit niemand unseren Dienst automatisiert missbraucht, prüfen wir mit Cloudflare Turnstile, ob eine Anfrage von einem Menschen kommt. Turnstile wird erst geladen, wenn du ein Foto ausgewählt hast. Dabei verarbeitet Cloudflare technische Merkmale deines Browsers und deine IP-Adresse. Rechtsgrundlage ist unser berechtigtes Interesse an der Abwehr von Missbrauch (Art. 6 Abs. 1 lit. f DSGVO). Zusätzlich begrenzen wir die Anzahl der Anfragen pro IP-Adresse; dazu wird die IP-Adresse kurzzeitig (höchstens wenige Minuten) im Arbeitsspeicher von Cloudflare gezählt.

5. Speicherung auf deinem Gerät

Nur wenn du bei einer Figur „Auf diesem Gerät merken“ einschaltest, wird sie im lokalen Speicher deines Browsers (IndexedDB) abgelegt, damit du sie unter „Meine Figuren“ wiederfindest. Dein Foto wird dort nie gespeichert. Die Ergebnisse liegen nur in diesem Browser; wir können sie nicht sehen. Das ist für den von dir gewünschten Dienst unbedingt erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG). Unter „Meine Figuren“ kannst du einzelne oder alle Figuren löschen; auch das Löschen der Browserdaten („Websitedaten löschen“) entfernt sie. Auf einem geteilten Gerät können andere, die denselben Browser nutzen, gemerkte Figuren sehen.

6. Reichweitenmessung

Wir setzen derzeit keine Werkzeuge zur Reichweitenmessung oder Analyse ein. Führen wir eines ein, ergänzen wir diese Erklärung vorher.

7. Kontakt per E-Mail

Wenn du uns schreibst, verarbeiten wir deine Nachricht und Kontaktdaten, um sie zu beantworten (Art. 6 Abs. 1 lit. b bzw. f DSGVO), und löschen sie, sobald die Anfrage erledigt ist und keine Aufbewahrungspflichten bestehen.

8. Deine Rechte

Du hast das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21 DSGVO). Da wir keine Fotos oder Ergebnisse speichern, haben wir dazu in der Regel nichts gespeichert. Du kannst dich außerdem bei einer Datenschutz-Aufsichtsbehörde beschweren, zum Beispiel beim Bayerischen Landesamt für Datenschutzaufsicht (BayLDA), Promenade 18, 91522 Ansbach.

9. Kinder

Figurli richtet sich an Erwachsene. Kinder und Jugendliche unter 18 Jahren dürfen den Dienst nicht selbst nutzen. Fotos von Kindern dürfen nur deren Eltern oder Sorgeberechtigte hochladen.