Datenschutzerklärung

Diese Richtlinie erklärt, was CreArt erhebt, warum, und was du dagegen tun kannst. Sie gilt sowohl für die Website creartai.com als auch für die mobile CreArt-App für iOS und Android. Wo sich beide unterscheiden – und das tun sie, vor allem bei der Werbung –, steht es ausdrücklich dabei.

1. Wer für deine Daten verantwortlich ist

YAWAI LLC, 30 N Gould St, Ste N, Sheridan, WY 82801, United States – eine Gesellschaft mit beschränkter Haftung nach dem Recht des US-Bundesstaats Wyoming, Registrierungsnummer 2025-001813265 – ist der Verantwortliche für die hier beschriebenen personenbezogenen Daten. Du erreichst uns unter yawaiapps@gmail.com.

In früheren Fassungen der App-Bedingungen wurde WAITOS AI SL als Anbieter genannt. Heute ist YAWAI LLC die für den Dienst verantwortliche Gesellschaft.

2. Was wir erheben

Angaben, die du uns machst

Wenn du ein Konto anlegst: deine E-Mail-Adresse sowie deinen Namen und dein Profilbild, falls du dich mit Google oder Apple anmeldest. Bei „Mit Apple anmelden“ kannst du deine Adresse verbergen; mit der Weiterleitungsadresse, die wir dann bekommen, funktioniert bei uns alles genauso.

Wenn du die Tools benutzt: die Prompts, die du schreibst, und jedes Bild, das du hochlädst oder aufnimmst. In der App braucht das Zugriff auf deine Kamera oder deine Fotomediathek – den erteilst du pro Gerät und kannst ihn in den Systemeinstellungen wieder entziehen.

Wenn du ohne Konto generierst

Das Generieren ohne Konto ist kostenlos und auf eine bestimmte Zahl von Generierungen pro Tag begrenzt. Um dieses Limit anzuwenden, müssen wir dein Gerät zwischen zwei Besuchen wiedererkennen – sonst würde das Löschen der Browserdaten das Kontingent beliebig oft zurücksetzen, und wir könnten überhaupt nichts kostenlos anbieten.

Deshalb berechnen wir eine Gerätekennung: einen Code, der aus technischen Eigenschaften deines Browsers abgeleitet wird, etwa Bildschirmgröße, Zeitzone, installierten Schriften und der Art, wie er Grafiken zeichnet. Gespeichert wird nur der daraus entstehende Code, nie diese Eigenschaften selbst. Er liegt auf deinem Gerät und auf unseren Servern, zusammen mit dem Datum deiner letzten Nutzung.

Er ist darauf ausgelegt, erhalten zu bleiben – auch wenn du Cookies löschst oder in einem privaten Fenster surfst. Genau das ist sein Zweck: ohne ihn lässt sich das kostenlose Kontingent nicht durchsetzen. Wir nutzen ihn ausschließlich, um deine kostenlosen Generierungen zu zählen und Missbrauch zu verhindern – nie für Werbung, nie um ein Profil von dir zu bilden, und er wird nie an Dritte für deren eigene Zwecke weitergegeben. Nach 7 Tagen ohne Aktivität wird er automatisch gelöscht, zusammen mit den damit verknüpften Bildern. Rechtsgrundlage ist unser berechtigtes Interesse daran, den Missbrauch eines kostenlosen Angebots zu verhindern. Wenn du ein Konto anlegst, wandern deine Limits stattdessen auf dieses Konto.

In der App unter Android verknüpfen wir dein Gastprofil mit deinem Gerät, damit du nach einer Neuinstallation der App oder dem Löschen ihrer Daten dasselbe Profil zurückbekommst – deine Erstellungen, deine Credits und das, was du vom heutigen kostenlosen Kontingent schon genutzt hast –, statt als neuer Gast von vorn zu beginnen; sonst könnte jeder das kostenlose Kontingent beliebig oft zurücksetzen. Dafür nutzt die App die Kennung, die Android jeder App zuweist (Android-ID). Sie sendet davon nur einen nicht umkehrbaren Hash und nur dann, wenn sie dein Gastprofil speichert oder wiederherstellt; unsere Server wandeln ihn mit einem geheimen Schlüssel erneut um, sodass das Gespeicherte nicht auf dein Gerät zurückgeführt werden kann. Die Verknüpfung besteht, solange das Gastprofil existiert. Sie wird gelöscht, wenn genau dieses Gastprofil zu einem Google- oder Apple-Konto wird oder wenn das Profil gelöscht wird; meldest du dich dagegen bei einem anderen, schon bestehenden Konto an, bleibt sie erhalten, damit du dein Gastprofil zurückbekommst, wenn du dich abmeldest. Auf dem iPhone wird kein Gerätecode verwendet: Der Gastschlüssel bleibt im Schlüsselbund deines Geräts, der eine Neuinstallation der App übersteht. Rechtsgrundlage ist unser berechtigtes Interesse daran, dein Gastprofil zu erhalten und den Missbrauch eines kostenlosen Angebots zu verhindern.

Wenn du uns schreibst: was immer du in deine Nachricht schreibst.

Informationen, die durch die Nutzung des Dienstes entstehen

Die Bilder, die die Tools für dich erzeugen, dein Generierungsverlauf, dein Guthaben und dein Tarif und – wenn eine Kreation in der Community ist – dieser öffentliche Beitrag samt der Interaktionen damit. Text-zu-Bild-Generierungen eines angemeldeten Kontos werden standardmäßig in der Community veröffentlicht, einschließlich des Prompts. Kreationen, die von einem hochgeladenen Foto ausgehen, bleiben privat.

Informationen, die automatisch erhoben werden

Deine IP-Adresse, aus der sich auch dein ungefähres Land ergibt; Typ und Version von Gerät und Browser; sowie Aufzeichnungen darüber, was du im Dienst getan hast und wann. In der App erheben wir außerdem Absturzdiagnosen über Firebase Crashlytics und ein Push-Token, wenn du Benachrichtigungen erlaubst.

Die App verwendet zusätzlich die Werbekennung deines Geräts (IDFA unter iOS, Advertising ID unter Android). Abschnitt 5 erklärt, wofür und wie du das abstellst.

Zahlungsdaten

Deine Kartendaten bekommen wir nie zu sehen. Käufe in der App wickeln Apple oder Google ab und werden über RevenueCat erfasst. Käufe auf der Website wickelt Stripe ab; Website-Abos, die vor dem 15. September 2026 abgeschlossen wurden, wickelt Paddle ab, das dabei als Verkäufer im eigenen Namen (Merchant of Record) auftritt. Bei uns kommt nur das Ergebnis an: welchen Tarif du hast, ob er verlängert wurde und ob er erstattet wurde.

3. Wofür wir sie nutzen und auf welcher Rechtsgrundlage

Um zu liefern, worum du gebeten hast – Generierungen auszuführen, deinen Verlauf zu speichern, die Limits deines Tarifs anzuwenden und dich anmelden zu lassen. Das ist zur Erfüllung unseres Vertrags mit dir erforderlich.

Um den Dienst funktionsfähig und sicher zu halten – automatisierten Missbrauch der Generatoren zu verhindern, Missbrauchsfällen nachzugehen, Abstürze zu beheben und vor Betrug zu schützen. Das ist unser berechtigtes Interesse an einem Dienst, der verfügbar bleibt und nicht ausgenutzt wird.

Um gesetzliche Pflichten zu erfüllen, einschließlich der steuer- und buchhaltungsrechtlichen Pflichten, die an Käufe geknüpft sind.

Für Werbung und Attribution in der mobilen App sowie für die Analyse auf der Website stützen wir uns auf deine Einwilligung, die du jederzeit widerrufen kannst.

4. Was die Website macht

Die Website setzt keine Werbe- und keine seitenübergreifenden Tracking-Cookies. Der Traffic wird mit Vercel Analytics und Vercel Speed Insights gemessen; beide verwenden keine Cookies und erstellen kein Profil von dir.

Wenn – und nur wenn – du im Cookie-Banner der Analyse zustimmst, laden wir zusätzlich PostHog, gehostet in der Europäischen Union. PostHog misst, wie die Website genutzt wird, und zeichnet Sitzungen auf: welche Seiten du besuchst, worauf du klickst und wie sich die Oberfläche verhält. Text, den du in Felder eingibst, wird maskiert und nicht aufgezeichnet. Vor deiner Zustimmung wird nichts von PostHog geladen, und du kannst deine Einwilligung jederzeit über den Link im Fußbereich widerrufen.

Mit derselben Einwilligung laden wir außerdem Google Analytics 4 von Google Ireland Limited – dieselbe Analyse, die auch die App verwendet. Es zählt, welche Seiten du besuchst und was du dort tust, etwa eine Kreation starten oder einen Kauf abschließen (mit dessen Betrag), und setzt die Cookies "_ga" und "_ga_SV2KME0XR5", um deinen Browser wiederzuerkennen. Wenn du angemeldet bist, erhält es außerdem die Kennung deines CreArt-Kontos, damit deine Besuche auf der Website und in der App als eine Person zählen. Vor deiner Zustimmung wird nichts von Google Analytics geladen, und du kannst deine Einwilligung jederzeit über den Link im Fußbereich widerrufen.

Wenn ein Fehler auftritt, senden wir einen Diagnosebericht an Sentry, gehostet in Deutschland. Prompts, E-Mail-Adressen und Kennungen werden entfernt, bevor der Bericht deinen Browser verlässt. Wenn du der Analyse zugestimmt hast, enthält der Bericht zusätzlich einen Verweis auf die zugehörige PostHog-Sitzung, damit wir sehen können, was zu dem Fehler geführt hat.

Google reCAPTCHA Enterprise läuft über Firebase App Check und verhindert, dass die Generatoren per Skript gesteuert werden. Es setzt eigene Cookies und unterliegt der Datenschutzerklärung von Google. Schriften kommen von unserer eigenen Domain, nicht von Google.

Unsere Cookie-Richtlinie listet namentlich alles auf, was in deinem Browser gespeichert wird.

5. Werbung in der mobilen App

Die kostenlose Stufe der App finanziert sich über Werbung mit Google AdMob, und wir arbeiten mit Meta zusammen, um zu verstehen, welche Kampagnen Leute zur App bringen.

Unter iOS setzt personalisierte Werbung deine Erlaubnis über Apples App-Tracking-Transparenz-Abfrage voraus. Lehnst du ab, siehst du weiterhin Werbung, sie wird aber nicht anhand deiner Gerätekennung personalisiert. Du kannst das jederzeit unter Einstellungen › Datenschutz & Sicherheit › Tracking ändern.

Unter Android kannst du deine Advertising ID unter Einstellungen › Google › Anzeigen zurücksetzen oder löschen.

Mit einem kostenpflichtigen Tarif verschwindet die Werbung.

Auf der Website gibt es überhaupt keine Werbung.

6. Wer deine Daten sonst noch verarbeitet

Wir setzen andere Unternehmen ein, um den Dienst zu betreiben. Sie handeln als Auftragsverarbeiter nach unseren Weisungen und dürfen die Daten nur nutzen, um ihre Leistung für uns zu erbringen:

Google (Firebase und Google Analytics) – Konten, Datenbank, Dateispeicher, Push-Benachrichtigungen, Absturzberichte, Missbrauchsprävention, Analyse in der App und, wenn du zustimmst, Analyse auf der Website. Vercel – Hosting der Website und cookielose Traffic-Messung. Cloudflare – Speicherung der erzeugten Bilder in R2. fal.ai und unsere eigenen GPU-Server – Ausführung der Bild- und Videomodelle. OpenRouter – Verbesserung der Prompts, die du schreibst: OpenRouter leitet sie an das Unternehmen weiter, das das Sprachmodell betreibt (derzeit CoreWeave, ModelRun oder DeepInfra), und wir lassen nur Anbieter zu, die sie weder speichern noch damit trainieren. Über denselben Weg geht der fertige Prompt auch an TypeSafe (Modell Jev), das entscheidet, ob eine Kreation in der Community erscheinen darf (reale Personen, urheberrechtlich geschützte Figuren, sexuelle oder anzügliche Inhalte), ebenfalls ohne ihn zu speichern oder damit zu trainieren. Google (Gemini) – derselbe Schritt, wenn OpenRouter zu langsam antwortet oder nicht verfügbar ist, und Erstellung von Werbetexten in den Ad-Tools. PostHog – Produktanalyse und Sitzungsaufzeichnung, nur mit deiner Einwilligung. Sentry – Fehlerdiagnose. RevenueCat, Apple, Google Play, Stripe und Paddle – Käufe und Abonnements. Meta – Attribution und Kampagnenmessung, nur in der App.

Deine Prompts und die von dir hochgeladenen Bilder gehen an den Anbieter, der das von dir gewählte Modell betreibt, weil sich das Ergebnis anders nicht erzeugen lässt. fal.ai ist dabei die Plattform, über die wir Zugang zu Modellen Dritter bekommen, nicht das Unternehmen, das sie betreibt: je nach gewähltem Modell steht dahinter OpenAI, Google, xAI, ByteDance, Kuaishou, MiniMax, Black Forest Labs, Alibaba, ElevenLabs oder HeyGen. Die Modellauswahl jedes Tools zeigt dir, welches du gleich verwendest. Im Avatar-Generator senden wir das Foto zusammen mit dem Text, den die Person sagen soll. Wir verkaufen deine personenbezogenen Daten nicht, und wir nutzen deine Bilder nicht, um KI-Modelle zu trainieren; was der jeweilige Anbieter mit dem tun darf, was er erhält, regelt unser Vertrag mit ihm.

7. Wohin deine Daten gehen

Wir sind außerhalb des Europäischen Wirtschaftsraums niedergelassen, und mehrere der oben genannten Anbieter verarbeiten Daten in den Vereinigten Staaten und in anderen Ländern. Unsere eigenen Generierungsserver laufen auf Infrastruktur, die wir von Dritten mieten; je nach Verfügbarkeit steht sie in Kanada, Taiwan, den Vereinigten Staaten oder der Europäischen Union. Wo Daten den EWR oder das Vereinigte Königreich verlassen, stützen sich die Übermittlungen je nach Anbieter auf die Standardvertragsklauseln der Europäischen Kommission oder auf einen Angemessenheitsbeschluss. Du kannst bei uns Einzelheiten zu den jeweils geltenden Garantien anfordern.

8. Wie lange wir sie aufbewahren

Kontodaten, Generierungsverlauf und Guthaben bleiben gespeichert, solange dein Konto besteht, und jede Änderung am Guthaben eines Kontos oder eines Gastprofils in der App – was eine Kreation gekostet hat, eine Erstattung, ein Credit-Paket oder eine Aufladung des Tarifs – wird 400 Tage lang aufgezeichnet. Wenn du dein Konto löschst, löschen wir sie – bis auf das, was wir aus steuer- und buchhaltungsrechtlichen Gründen aufbewahren müssen, und einen begrenzten Abrechnungsdatensatz einschließlich deiner E-Mail-Adresse und, bis zum Ende ihrer 400 Tage, der Aufzeichnung der Credit-Pakete, die du gekauft hast oder die erstattet wurden. Ihn behalten wir, damit bezahlte Credits und erstattete Guthaben nicht durch Löschen und Neuanlegen eines Kontos zurückgesetzt werden, und um Reklamationen zu einer Zahlung beantworten zu können. Rechtsgrundlage für diesen Datensatz ist unser berechtigtes Interesse an der Betrugsprävention.

Wenn du die Generatoren ohne Konto nutzt, werden die Bilder 24 Stunden nach ihrer Erstellung gelöscht, und auf der Website der Rest des Gastdatensatzes nach 7 Tagen ohne Aktivität. Diese Aufräumläufe finden täglich statt. In der App hat das Gastprofil selbst – sein Guthaben und unter Android die Verknüpfung mit deinem Gerät – kein Ablaufdatum: Es bleibt erhalten, damit du es wiederfindest, wenn du zurückkommst, und du kannst jederzeit verlangen, dass wir es löschen.

Anfragen, die unsere Server erreichen und von unseren Schutzfiltern blockiert oder abgeschwächt werden, sowie solche, deren Bild unsere Sicherheitsprüfung verwirft, bewahren wir ein Jahr lang zusammen mit dem Konto oder Gastdatensatz auf, von dem sie kamen: was geschrieben wurde, welcher Filter eingegriffen hat und warum. Wir nutzen diese Aufzeichnung nur, um Fehler der Filter zu prüfen und gegen wiederholten Missbrauch vorzugehen, und sie bleibt dieses Jahr über bestehen, auch wenn das Konto gelöscht wird. Rechtsgrundlage ist unser berechtigtes Interesse an einem sicheren Dienst.

Bilder, die du als Ausgangsmaterial hochlädst, werden getrennt von den erzeugten Bildern gespeichert und entfernt, sobald die Generierung, die sie verwendet hat, abgeschlossen ist. Löschst du dein Konto, gehen sie mit.

In der App bleibt das Push-Token jedes Geräts gespeichert, solange die App es erneuert, was sie beim Öffnen tut; es wird 60 Tage nach der letzten Erneuerung gelöscht oder wenn du dein Konto löschst. Wenn wir eine Änderung testen – zum Beispiel ein anderes kostenloses Tageskontingent –, halten wir 400 Tage lang fest, welcher Gruppe dein Konto oder dein Gastdatensatz zugeteilt wurde und welche Werte dafür galten, oder bis du dein Konto löschst.

Der Generierungsverlauf ist zusätzlich vom Tarif begrenzt: Ältere Einträge werden entfernt, sobald der gespeicherte Verlauf das Kontingent deines Tarifs überschreitet.

Text-zu-Bild-Generierungen eines angemeldeten Kontos erscheinen nach dem Fertigstellen in der Community, sofern sie zulässig sind (zum Beispiel nicht, wenn sie von einem hochgeladenen Foto ausgehen). Sie bleiben sichtbar, bis du sie verbirgst, löschst oder dein Konto löschst. Eine Veröffentlichung wieder zu verbergen ist ein Premium-Merkmal; im kostenlosen Tarif bleibt eine veröffentlichte Kreation öffentlich, bis du sie löschst.

9. Deine Rechte

Du kannst von uns verlangen, dir eine Kopie deiner Daten zu geben, sie zu berichtigen, sie zu löschen oder sie an einen anderen Anbieter zu übertragen. Du kannst der Verarbeitung widersprechen, die wir auf ein berechtigtes Interesse stützen, die Einschränkung der Verarbeitung verlangen und jede erteilte Einwilligung widerrufen – der Widerruf ändert nichts an dem, was vorher geschehen ist.

Schreib an yawaiapps@gmail.com, wir antworten innerhalb eines Monats. Unter Umständen müssen wir vorher prüfen, wer du bist, damit niemand sonst Anfragen zu deinem Konto stellen kann.

Wenn du dich im EWR oder im Vereinigten Königreich befindest, kannst du dich außerdem bei deiner nationalen Datenschutzbehörde beschweren. In Spanien ist das die Agencia Española de Protección de Datos (aepd.es), im Vereinigten Königreich das Information Commissioner's Office (ico.org.uk).

Wenn du in Kalifornien wohnst, kannst du die Kategorien und die konkreten personenbezogenen Daten anfordern, die wir erhoben haben, ihre Löschung verlangen und darfst dafür nicht benachteiligt werden. Wir verkaufen und teilen keine personenbezogenen Daten im Sinne des CCPA.

10. Kinder

CreArt richtet sich nicht an Kinder. Wir fragen nicht nach Alter oder Geburtsdatum. Du meldest dich mit Google oder Apple an; diese Dienste wenden ihre eigenen Altersregeln an. Käufe laufen über Apple, Google, Stripe oder Paddle, die ihre eigenen Alters- und Zahlungsregeln anwenden. Wenn du glaubst, dass uns ein Kind personenbezogene Daten gegeben hat, schreib an yawaiapps@gmail.com, dann löschen wir sie.

11. Sicherheit

Der Datenverkehr ist auf dem Transportweg verschlüsselt. Erzeugte Bilder werden über ablaufende Links ausgeliefert statt über öffentliche URLs. Der Zugang zu den Produktivsystemen ist beschränkt, und die API-Routen, die Daten löschen können, liegen hinter eigenen Zugangsdaten. Kein Dienst kann perfekte Sicherheit versprechen, und wir tun es auch nicht.

12. Änderungen

Wir aktualisieren diese Seite, wenn sich ändert, was wir tun, und passen das Datum unten an. Wenn eine Änderung deine Rechte wesentlich betrifft, sagen wir dir in der App oder per E-Mail Bescheid, statt darauf zu bauen, dass du es selbst bemerkst.

Zuletzt aktualisiert: 10. Oktober 2026.