Datenschutzerklärung

1. Verantwortlicher

Markus Schütze
Im Siefchen 1
51643 Gummersbach
Deutschland

E-Mail: hello@snipkit.eu
Telefon: +49 152 59646698

Bei Fragen zum Datenschutz wenden Sie sich bitte per E-Mail an hello@snipkit.eu.

2. Überblick

SnipKit ist eine DSGVO-konforme Video-Orchestrierungs-API (SaaS) für den DACH-Markt. Aus einem Text-Briefing wird vollautomatisch ein gebrandetes MP4-Video generiert — via KI-Storyboard (Mistral AI), Video-Generierung, Text-to-Speech und FFmpeg-Compositing.

Wir verarbeiten personenbezogene Daten ausschließlich zur Erbringung dieses Dienstes. Die gesamte Kerninfrastruktur (Datenbank, Storage, KI, Server) befindet sich innerhalb der Europäischen Union. Wir verkaufen, vermieten oder handeln keine personenbezogenen Daten.

3. Erhobene Daten

3.1 Kontodaten

Bei der Registrierung über Supabase Auth erheben wir Ihre E-Mail-Adresse. Diese wird zur Kontoerstellung, Authentifizierung und für transaktionale Kommunikation (z. B. Passwort-Reset) verwendet.

3.2 API-Nutzungsdaten

Bei der Nutzung der API erfassen wir Job-IDs, Template-Nutzung, Credit-Verbrauch und Zeitstempel der API-Aufrufe. Diese Daten werden zur Leistungserbringung, Abrechnung und Missbrauchsprävention benötigt.

3.3 Video-Briefings und generierte Inhalte

Text-Briefings werden zur Storyboard-Generierung an Mistral AI (Paris, Frankreich, EU) übermittelt. Briefings werden auf 100 Zeichen gekürzt in Log-Ausgaben erfasst — vollständige Briefingtexte werden nicht dauerhaft gespeichert. Storyboards und intermediäre Video-Assets werden temporär (maximal 24 Stunden) gespeichert und nach Fertigstellung des Videos automatisch gelöscht. Fertige Videos verbleiben 30 Tage im Storage.

3.4 BYOK-Schlüssel (Bring Your Own Key)

Kunden können eigene API-Keys für Video-KI-Provider (Veo, Runway, Kling) und TTS-Anbieter (ElevenLabs, OpenAI TTS) hinterlegen. Diese werden AES-256-GCM-verschlüsselt in der Supabase-Datenbank (Frankfurt) gespeichert und ausschließlich zur Auftragserfüllung an die jeweiligen Provider weitergeleitet. BYOK-Keys werden niemals geloggt.

3.5 Technische Daten

Beim Besuch der Website werden technisch notwendige Daten erhoben: IP-Adresse (anonymisiert nach 24h), Browser-Typ, Betriebssystem und Zugriffszeitpunkt. Diese Daten dienen der Sicherheit, Fehlerdiagnose und technischen Bereitstellung des Dienstes.

3.6 Zahlungsdaten (geplant)

Zahlungen werden über Stripe Payments Europe Ltd. (Irland, EU) abgewickelt. Wir erhalten keine vollständigen Kreditkartennummern oder Bankdaten. Stripe verarbeitet Zahlungsdaten direkt und unterliegt dem EU-US Data Privacy Framework.

4. Zwecke und Rechtsgrundlagen

5. Auftragsverarbeiter und Dienstleister

Wir setzen folgende sorgfältig ausgewählte Dienstleister ein, mit denen Auftragsverarbeitungsverträge (AVV) gemäß Art. 28 DSGVO bestehen:

6. BYOK-Verantwortungsmodell

Das BYOK-Modell (Bring Your Own Key) schafft eine klare Verantwortungstrennung:

• SnipKit als Auftragsverarbeiter: SnipKit verarbeitet Text-Briefings, orchestriert die KI-Pipeline und führt das Video-Compositing durch. Für diese Kerntätigkeit ist SnipKit Auftragsverarbeiter im Sinne des Art. 28 DSGVO.
• BYOK-Keys werden nur durchgeleitet: Kundeneigene API-Keys werden AES-256-GCM-verschlüsselt gespeichert und ausschließlich zur Auftragserfüllung an die jeweiligen Provider weitergegeben. Eine Nutzung für andere Zwecke findet nicht statt.
• Kunde als Verantwortlicher für BYOK-Provider: Der Kunde ist selbst Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO für die Datenverarbeitung durch seine BYOK-Provider. Der Kunde schließt eigenständige Verträge und ggf. AVVs mit diesen Providern.
• Keine Trainingsnutzung: SnipKit nutzt Kundeninhalte (Briefings, generierte Videos) nicht für das Training eigener KI-Modelle.

7. Drittlandübermittlungen

Die Kerninfrastruktur von SnipKit ist vollständig in der EU angesiedelt. Es findet kein Transfer personenbezogener Daten in Drittländer statt, soweit SnipKit die Verarbeitung allein kontrolliert.

• Supabase (Frankfurt), Hostinger (EU), Mistral AI (Paris): Kein Drittlandtransfer.
• Vercel Inc. (USA): Vercel ist nach dem EU-US Data Privacy Framework (DPF) zertifiziert. Website-Anfragen können über globale Edge-Nodes geroutet werden; Verarbeitung personenbezogener Daten erfolgt im Rahmen des DPF.
• Stripe (Irland, EU): Kein Drittlandtransfer im EU-Kontext.
• BYOK-Provider (Veo, Runway, ElevenLabs): Diese Provider können Daten in den USA oder anderen Drittländern verarbeiten. Die datenschutzrechtliche Verantwortung liegt beim Kunden als BYOK-Nutzer.

8. Cookies und lokale Speicherung

Cookie-Einstellungen können jederzeit über das Banner beim nächsten Seitenbesuch geändert werden, indem der Browser-Speicher (localStorage) geleert wird.

9. Speicherdauer

10. Ihre Rechte als betroffene Person

Gemäß DSGVO stehen Ihnen folgende Rechte zu:

• Auskunft (Art. 15 DSGVO): Sie können jederzeit Auskunft über die zu Ihrer Person gespeicherten Daten verlangen.
• Berichtigung (Art. 16 DSGVO): Sie können die Berichtigung unrichtiger oder unvollständiger Daten verlangen.
• Löschung (Art. 17 DSGVO): Sie können die Löschung Ihrer Daten verlangen, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen.
• Einschränkung (Art. 18 DSGVO): Sie können die Einschränkung der Verarbeitung verlangen.
• Datenübertragbarkeit (Art. 20 DSGVO): Sie können Ihre Daten in einem strukturierten, maschinenlesbaren Format erhalten.
• Widerspruch (Art. 21 DSGVO): Sie können der Verarbeitung auf Basis berechtigter Interessen widersprechen.
• Widerruf der Einwilligung (Art. 7 Abs. 3 DSGVO): Einwilligungen (z. B. für Statistik-Cookies) können jederzeit mit Wirkung für die Zukunft widerrufen werden.

Zur Ausübung Ihrer Rechte wenden Sie sich an hello@snipkit.eu. Zur Kontolöschung: senden Sie eine E-Mail mit dem Betreff „Konto löschen" — alle Daten werden innerhalb von 30 Tagen vollständig gelöscht.

Sie haben zudem das Recht, sich bei der zuständigen Datenschutz-Aufsichtsbehörde zu beschweren: Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW), www.ldi.nrw.de.

11. Datensicherheit

Wir setzen technische und organisatorische Maßnahmen (TOMs) ein, um Ihre Daten vor unbefugtem Zugriff, Verlust oder Manipulation zu schützen:

• TLS 1.3 für alle Verbindungen zwischen Client, Website und API
• AES-256-GCM für die Verschlüsselung von BYOK-API-Keys im Ruhezustand
• Supabase Row Level Security (RLS) — Kunden können ausschließlich auf eigene Daten zugreifen
• SHA-256 API-Key-Hashing — Rohe API-Keys werden nie gespeichert; nur kryptographische Hashes
• SSH-Key-Authentifizierung auf allen Servern, keine Passwort-Anmeldung

Bei einer Datenschutzverletzung werden betroffene Nutzer und die zuständige Aufsichtsbehörde gemäß Art. 33, 34 DSGVO unverzüglich informiert.

12. KI-Einsatz und EU AI Act

KI-generierte Storyboards und Videos können Fehler oder unerwünschte Inhalte enthalten. Der Nutzer ist für die Überprüfung und rechtskonforme Verwendung der generierten Inhalte selbst verantwortlich. SnipKit nutzt Kundeninhalte nicht für das Training eigener KI-Modelle.

Generierte Videos können optional C2PA-Metadaten (Content Credentials) enthalten, die den KI-Ursprung kennzeichnen.