Datenschutzerklärung

Diese Richtlinie erklärt, was CreArt erhebt, warum, und was du dagegen tun kannst. Sie gilt sowohl für die Website creartai.com als auch für die mobile CreArt-App für iOS und Android. Wo sich beide unterscheiden – und das tun sie, vor allem bei der Werbung –, steht es ausdrücklich dabei.

1. Wer für deine Daten verantwortlich ist

YAWAI LLC, 30 N Gould St, Ste N, Sheridan, WY 82801, United States – eine Gesellschaft mit beschränkter Haftung nach dem Recht des US-Bundesstaats Wyoming, Registrierungsnummer 2025-001813265 – ist der Verantwortliche für die hier beschriebenen personenbezogenen Daten. Du erreichst uns unter yawaiapps@gmail.com.

In früheren Fassungen der App-Bedingungen wurde WAITOS AI SL als Anbieter genannt. Heute ist YAWAI LLC die für den Dienst verantwortliche Gesellschaft.

2. Was wir erheben

Angaben, die du uns machst

Wenn du ein Konto anlegst: deine E-Mail-Adresse sowie deinen Namen und dein Profilbild, falls du dich mit Google oder Apple anmeldest. Bei „Mit Apple anmelden“ kannst du deine Adresse verbergen; mit der Weiterleitungsadresse, die wir dann bekommen, funktioniert bei uns alles genauso.

Wenn du die Tools benutzt: die Prompts, die du schreibst, und jedes Bild, das du hochlädst oder aufnimmst. In der App braucht das Zugriff auf deine Kamera oder deine Fotomediathek – den erteilst du pro Gerät und kannst ihn in den Systemeinstellungen wieder entziehen.

Wenn du ohne Konto generierst

Das Generieren ohne Konto ist kostenlos und auf eine bestimmte Zahl von Generierungen pro Tag begrenzt. Um dieses Limit anzuwenden, müssen wir dein Gerät zwischen zwei Besuchen wiedererkennen – sonst würde das Löschen der Browserdaten das Kontingent beliebig oft zurücksetzen, und wir könnten überhaupt nichts kostenlos anbieten.

Deshalb berechnen wir eine Gerätekennung: einen Code, der aus technischen Eigenschaften deines Browsers abgeleitet wird, etwa Bildschirmgröße, Zeitzone, installierten Schriften und der Art, wie er Grafiken zeichnet. Gespeichert wird nur der daraus entstehende Code, nie diese Eigenschaften selbst. Er liegt auf deinem Gerät und auf unseren Servern, zusammen mit dem Datum deiner letzten Nutzung.

Er ist darauf ausgelegt, erhalten zu bleiben – auch wenn du Cookies löschst oder in einem privaten Fenster surfst. Genau das ist sein Zweck: ohne ihn lässt sich das kostenlose Kontingent nicht durchsetzen. Wir nutzen ihn ausschließlich, um deine kostenlosen Generierungen zu zählen und Missbrauch zu verhindern – nie für Werbung, nie um ein Profil von dir zu bilden, und er wird nie an Dritte für deren eigene Zwecke weitergegeben. Nach 7 Tagen ohne Aktivität wird er automatisch gelöscht, zusammen mit den damit verknüpften Bildern. Rechtsgrundlage ist unser berechtigtes Interesse daran, den Missbrauch eines kostenlosen Angebots zu verhindern. Wenn du ein Konto anlegst, wandern deine Limits stattdessen auf dieses Konto.

Wenn du uns schreibst: was immer du in deine Nachricht schreibst.

Informationen, die durch die Nutzung des Dienstes entstehen

Die Bilder, die die Tools für dich erzeugen, dein Generierungsverlauf, dein Guthaben und dein Tarif und – wenn eine Kreation in der Community ist – dieser öffentliche Beitrag samt der Interaktionen damit. Text-zu-Bild-Generierungen eines angemeldeten Kontos werden standardmäßig in der Community veröffentlicht, einschließlich des Prompts. Kreationen, die von einem hochgeladenen Foto ausgehen, bleiben privat.

Informationen, die automatisch erhoben werden

Deine IP-Adresse, aus der sich auch dein ungefähres Land ergibt; Typ und Version von Gerät und Browser; sowie Aufzeichnungen darüber, was du im Dienst getan hast und wann. In der App erheben wir außerdem Absturzdiagnosen über Firebase Crashlytics und ein Push-Token, wenn du Benachrichtigungen erlaubst.

Die App verwendet zusätzlich die Werbekennung deines Geräts (IDFA unter iOS, Advertising ID unter Android). Abschnitt 5 erklärt, wofür und wie du das abstellst.

Zahlungsdaten

Deine Kartendaten bekommen wir nie zu sehen. Käufe in der App wickeln Apple oder Google ab und werden über RevenueCat erfasst; Käufe auf der Website wickelt Paddle ab, das dabei als Verkäufer im eigenen Namen (Merchant of Record) auftritt. Bei uns kommt nur das Ergebnis an: welchen Tarif du hast, ob er verlängert wurde und ob er erstattet wurde.

3. Wofür wir sie nutzen und auf welcher Rechtsgrundlage

Um zu liefern, worum du gebeten hast – Generierungen auszuführen, deinen Verlauf zu speichern, die Limits deines Tarifs anzuwenden und dich anmelden zu lassen. Das ist zur Erfüllung unseres Vertrags mit dir erforderlich.

Um den Dienst funktionsfähig und sicher zu halten – automatisierten Missbrauch der Generatoren zu verhindern, Missbrauchsfällen nachzugehen, Abstürze zu beheben und vor Betrug zu schützen. Das ist unser berechtigtes Interesse an einem Dienst, der verfügbar bleibt und nicht ausgenutzt wird.

Um gesetzliche Pflichten zu erfüllen, einschließlich der steuer- und buchhaltungsrechtlichen Pflichten, die an Käufe geknüpft sind.

Für Werbung und Attribution in der mobilen App sowie für eine mögliche künftige Analyse auf der Website stützen wir uns auf deine Einwilligung, die du jederzeit widerrufen kannst.

4. Was die Website macht

Die Website setzt keine Werbe- und keine seitenübergreifenden Tracking-Cookies. Der Traffic wird mit Vercel Analytics und Vercel Speed Insights gemessen; beide verwenden keine Cookies und erstellen kein Profil von dir.

Wenn – und nur wenn – du im Cookie-Banner der Analyse zustimmst, laden wir zusätzlich PostHog, gehostet in der Europäischen Union. PostHog misst, wie die Website genutzt wird, und zeichnet Sitzungen auf: welche Seiten du besuchst, worauf du klickst und wie sich die Oberfläche verhält. Text, den du in Felder eingibst, wird maskiert und nicht aufgezeichnet. Vor deiner Zustimmung wird nichts von PostHog geladen, und du kannst deine Einwilligung jederzeit über den Link im Fußbereich widerrufen.

Wenn ein Fehler auftritt, senden wir einen Diagnosebericht an Sentry, gehostet in Deutschland. Prompts, E-Mail-Adressen und Kennungen werden entfernt, bevor der Bericht deinen Browser verlässt. Wenn du der Analyse zugestimmt hast, enthält der Bericht zusätzlich einen Verweis auf die zugehörige PostHog-Sitzung, damit wir sehen können, was zu dem Fehler geführt hat.

Google reCAPTCHA Enterprise läuft über Firebase App Check und verhindert, dass die Generatoren per Skript gesteuert werden. Es setzt eigene Cookies und unterliegt der Datenschutzerklärung von Google. Schriften kommen von unserer eigenen Domain, nicht von Google.

Unsere Cookie-Richtlinie listet namentlich alles auf, was in deinem Browser gespeichert wird.

5. Werbung in der mobilen App

Die kostenlose Stufe der App finanziert sich über Werbung mit Google AdMob, und wir arbeiten mit Meta zusammen, um zu verstehen, welche Kampagnen Leute zur App bringen.

Unter iOS setzt personalisierte Werbung deine Erlaubnis über Apples App-Tracking-Transparenz-Abfrage voraus. Lehnst du ab, siehst du weiterhin Werbung, sie wird aber nicht anhand deiner Gerätekennung personalisiert. Du kannst das jederzeit unter Einstellungen › Datenschutz & Sicherheit › Tracking ändern.

Unter Android kannst du deine Advertising ID unter Einstellungen › Google › Anzeigen zurücksetzen oder löschen.

Mit einem kostenpflichtigen Tarif verschwindet die Werbung.

Auf der Website gibt es überhaupt keine Werbung.

6. Wer deine Daten sonst noch verarbeitet

Wir setzen andere Unternehmen ein, um den Dienst zu betreiben. Sie handeln als Auftragsverarbeiter nach unseren Weisungen und dürfen die Daten nur nutzen, um ihre Leistung für uns zu erbringen:

Google (Firebase) – Konten, Datenbank, Dateispeicher, Push-Benachrichtigungen, Absturzberichte, Missbrauchsprävention und Analyse in der App. Vercel – Hosting der Website und cookielose Traffic-Messung. Cloudflare – Speicherung der erzeugten Bilder in R2. fal.ai und unsere eigenen GPU-Server – Ausführung der Bild- und Videomodelle. Google (Gemini) – Verbesserung der Prompts, die du schreibst, und Erstellung von Werbetexten in den Ad-Tools. PostHog – Produktanalyse und Sitzungsaufzeichnung, nur mit deiner Einwilligung. Sentry – Fehlerdiagnose. RevenueCat, Apple, Google Play und Paddle – Käufe und Abonnements. Meta – Attribution und Kampagnenmessung, nur in der App.

Deine Prompts und die von dir hochgeladenen Bilder gehen an den Anbieter, der das von dir gewählte Modell betreibt, weil sich das Ergebnis anders nicht erzeugen lässt. fal.ai ist dabei die Plattform, über die wir Zugang zu Modellen Dritter bekommen, nicht das Unternehmen, das sie betreibt: je nach gewähltem Modell steht dahinter OpenAI, Google, xAI, ByteDance, Kuaishou, MiniMax, Black Forest Labs, Alibaba, ElevenLabs oder HeyGen. Die Modellauswahl jedes Tools zeigt dir, welches du gleich verwendest. Im Avatar-Generator senden wir das Foto zusammen mit dem Text, den die Person sagen soll. Wir verkaufen deine personenbezogenen Daten nicht, und wir nutzen deine Bilder nicht, um KI-Modelle zu trainieren; was der jeweilige Anbieter mit dem tun darf, was er erhält, regelt unser Vertrag mit ihm.

7. Wohin deine Daten gehen

Wir sind außerhalb des Europäischen Wirtschaftsraums niedergelassen, und mehrere der oben genannten Anbieter verarbeiten Daten in den Vereinigten Staaten und in anderen Ländern. Unsere eigenen Generierungsserver laufen auf Infrastruktur, die wir von Dritten in Taiwan und den Vereinigten Staaten mieten. Wo Daten den EWR oder das Vereinigte Königreich verlassen, stützen sich die Übermittlungen je nach Anbieter auf die Standardvertragsklauseln der Europäischen Kommission oder auf einen Angemessenheitsbeschluss. Du kannst bei uns Einzelheiten zu den jeweils geltenden Garantien anfordern.

8. Wie lange wir sie aufbewahren

Kontodaten, Generierungsverlauf und Guthaben bleiben gespeichert, solange dein Konto besteht. Wenn du dein Konto löschst, löschen wir sie – bis auf das, was wir aus steuer- und buchhaltungsrechtlichen Gründen aufbewahren müssen, und einen begrenzten Abrechnungsdatensatz einschließlich deiner E-Mail-Adresse, den wir behalten, damit bezahlte Credits und erstattete Guthaben nicht durch Löschen und Neuanlegen eines Kontos zurückgesetzt werden. Rechtsgrundlage für diesen Datensatz ist unser berechtigtes Interesse an der Betrugsprävention.

Wenn du die Generatoren ohne Konto nutzt, werden die Bilder 24 Stunden nach ihrer Erstellung gelöscht, und der Rest des Gastdatensatzes nach 7 Tagen ohne Aktivität. Diese Aufräumläufe finden täglich statt.

Bilder, die du als Ausgangsmaterial hochlädst, werden getrennt von den erzeugten Bildern gespeichert und entfernt, sobald die Generierung, die sie verwendet hat, abgeschlossen ist. Löschst du dein Konto, gehen sie mit.

Der Generierungsverlauf ist zusätzlich vom Tarif begrenzt: Ältere Einträge werden entfernt, sobald der gespeicherte Verlauf das Kontingent deines Tarifs überschreitet.

Text-zu-Bild-Generierungen eines angemeldeten Kontos erscheinen nach dem Fertigstellen in der Community, sofern sie zulässig sind (zum Beispiel nicht, wenn sie von einem hochgeladenen Foto ausgehen). Sie bleiben sichtbar, bis du sie verbirgst, löschst oder dein Konto löschst. Eine Veröffentlichung wieder zu verbergen ist ein Premium-Merkmal; im kostenlosen Tarif bleibt eine veröffentlichte Kreation öffentlich, bis du sie löschst.

9. Deine Rechte

Du kannst von uns verlangen, dir eine Kopie deiner Daten zu geben, sie zu berichtigen, sie zu löschen oder sie an einen anderen Anbieter zu übertragen. Du kannst der Verarbeitung widersprechen, die wir auf ein berechtigtes Interesse stützen, die Einschränkung der Verarbeitung verlangen und jede erteilte Einwilligung widerrufen – der Widerruf ändert nichts an dem, was vorher geschehen ist.

Schreib an yawaiapps@gmail.com, wir antworten innerhalb eines Monats. Unter Umständen müssen wir vorher prüfen, wer du bist, damit niemand sonst Anfragen zu deinem Konto stellen kann.

Wenn du dich im EWR oder im Vereinigten Königreich befindest, kannst du dich außerdem bei deiner nationalen Datenschutzbehörde beschweren. In Spanien ist das die Agencia Española de Protección de Datos (aepd.es), im Vereinigten Königreich das Information Commissioner's Office (ico.org.uk).

Wenn du in Kalifornien wohnst, kannst du die Kategorien und die konkreten personenbezogenen Daten anfordern, die wir erhoben haben, ihre Löschung verlangen und darfst dafür nicht benachteiligt werden. Wir verkaufen und teilen keine personenbezogenen Daten im Sinne des CCPA.

10. Kinder

CreArt richtet sich nicht an Kinder. Wir fragen nicht nach Alter oder Geburtsdatum. Du meldest dich mit Google oder Apple an; diese Dienste wenden ihre eigenen Altersregeln an. Käufe laufen über Apple, Google oder Paddle, die ihre eigenen Alters- und Zahlungsregeln anwenden. Wenn du glaubst, dass uns ein Kind personenbezogene Daten gegeben hat, schreib an yawaiapps@gmail.com, dann löschen wir sie.

11. Sicherheit

Der Datenverkehr ist auf dem Transportweg verschlüsselt. Erzeugte Bilder werden über ablaufende Links ausgeliefert statt über öffentliche URLs. Der Zugang zu den Produktivsystemen ist beschränkt, und die API-Routen, die Daten löschen können, liegen hinter eigenen Zugangsdaten. Kein Dienst kann perfekte Sicherheit versprechen, und wir tun es auch nicht.

12. Änderungen

Wir aktualisieren diese Seite, wenn sich ändert, was wir tun, und passen das Datum unten an. Wenn eine Änderung deine Rechte wesentlich betrifft, sagen wir dir in der App oder per E-Mail Bescheid, statt darauf zu bauen, dass du es selbst bemerkst.

Zuletzt aktualisiert: 14. August 2026.