Datenschutzerklärung
Informationen zur Verarbeitung personenbezogener Daten gemäß Art. 13, 14 DSGVO.
Zuletzt aktualisiert: 20. April 2026
1. Verantwortlicher
Markus Schütze
Im Siefchen 1
51643 Gummersbach
Deutschland
E-Mail: hello@snipkit.eu
Telefon: +49 152 59646698
Bei Fragen zum Datenschutz wenden Sie sich bitte per E-Mail an hello@snipkit.eu.
2. Überblick
SnipKit ist eine DSGVO-konforme Video-Orchestrierungs-API (SaaS) für den DACH-Markt. Aus einem Text-Briefing wird vollautomatisch ein gebrandetes MP4-Video generiert — via KI-Storyboard (Mistral AI), Video-Generierung, Text-to-Speech und FFmpeg-Compositing.
Wir verarbeiten personenbezogene Daten ausschließlich zur Erbringung dieses Dienstes. Die gesamte Kerninfrastruktur (Datenbank, Storage, KI, Server) befindet sich innerhalb der Europäischen Union. Wir verkaufen, vermieten oder handeln keine personenbezogenen Daten.
3. Erhobene Daten
3.1 Kontodaten
Bei der Registrierung über Supabase Auth erheben wir Ihre E-Mail-Adresse. Diese wird zur Kontoerstellung, Authentifizierung und für transaktionale Kommunikation (z. B. Passwort-Reset) verwendet.
3.2 API-Nutzungsdaten
Bei der Nutzung der API erfassen wir Job-IDs, Template-Nutzung, Credit-Verbrauch und Zeitstempel der API-Aufrufe. Diese Daten werden zur Leistungserbringung, Abrechnung und Missbrauchsprävention benötigt.
3.3 Video-Briefings und generierte Inhalte
Text-Briefings werden zur Storyboard-Generierung an Mistral AI (Paris, Frankreich, EU) übermittelt. Briefings werden auf 100 Zeichen gekürzt in Log-Ausgaben erfasst — vollständige Briefingtexte werden nicht dauerhaft gespeichert. Storyboards und intermediäre Video-Assets werden temporär (maximal 24 Stunden) gespeichert und nach Fertigstellung des Videos automatisch gelöscht. Fertige Videos verbleiben 30 Tage im Storage.
3.4 BYOK-Schlüssel (Bring Your Own Key)
Kunden können eigene API-Keys für Video-KI-Provider (Veo, Runway, Kling) und TTS-Anbieter (ElevenLabs, OpenAI TTS) hinterlegen. Diese werden AES-256-GCM-verschlüsselt in der Supabase-Datenbank (Frankfurt) gespeichert und ausschließlich zur Auftragserfüllung an die jeweiligen Provider weitergeleitet. BYOK-Keys werden niemals geloggt.
3.5 Technische Daten
Beim Besuch der Website werden technisch notwendige Daten erhoben: IP-Adresse (anonymisiert nach 24h), Browser-Typ, Betriebssystem und Zugriffszeitpunkt. Diese Daten dienen der Sicherheit, Fehlerdiagnose und technischen Bereitstellung des Dienstes.
3.6 Zahlungsdaten (geplant)
Zahlungen werden über Stripe Payments Europe Ltd. (Irland, EU) abgewickelt. Wir erhalten keine vollständigen Kreditkartennummern oder Bankdaten. Stripe verarbeitet Zahlungsdaten direkt und unterliegt dem EU-US Data Privacy Framework.
4. Zwecke und Rechtsgrundlagen
| Rechtsgrundlage | Verarbeitungszweck |
|---|---|
| Art. 6 Abs. 1 lit. b DSGVO Vertragserfüllung | Kontoerstellung, API-Bereitstellung, Video-Generierung, Credit-Verwaltung, Job-Verarbeitung |
| Art. 6 Abs. 1 lit. f DSGVO Berechtigte Interessen | Sicherheit, Missbrauchsprävention, Systemstabilität, technische Fehlerbehebung |
| Art. 6 Abs. 1 lit. a DSGVO Einwilligung | Statistik-Cookies (optional, widerruflich) |
| Art. 6 Abs. 1 lit. c DSGVO Rechtliche Pflicht | Aufbewahrung von Rechnungs- und Buchhaltungsdaten (§ 147 AO, 10 Jahre) |
5. Auftragsverarbeiter und Dienstleister
Wir setzen folgende sorgfältig ausgewählte Dienstleister ein, mit denen Auftragsverarbeitungsverträge (AVV) gemäß Art. 28 DSGVO bestehen:
| Anbieter | Zweck | Standort |
|---|---|---|
| Supabase GmbH | Datenbank, Authentifizierung, Storage | Frankfurt, EU |
| Hostinger International Ltd. | API-Server, Video-Rendering-VPS | EU (Serverstandort) |
| Mistral AI SAS | KI-Storyboard-Generierung | Paris, Frankreich, EU |
| Vercel Inc. | Website-Hosting (snipkit.eu) | USA (EU-US DPF zertifiziert) |
| Stripe Payments Europe Ltd. | Zahlungsabwicklung (geplant) | Dublin, Irland, EU |
6. BYOK-Verantwortungsmodell
Das BYOK-Modell (Bring Your Own Key) schafft eine klare Verantwortungstrennung:
- SnipKit als Auftragsverarbeiter: SnipKit verarbeitet Text-Briefings, orchestriert die KI-Pipeline und führt das Video-Compositing durch. Für diese Kerntätigkeit ist SnipKit Auftragsverarbeiter im Sinne des Art. 28 DSGVO.
- BYOK-Keys werden nur durchgeleitet: Kundeneigene API-Keys werden AES-256-GCM-verschlüsselt gespeichert und ausschließlich zur Auftragserfüllung an die jeweiligen Provider weitergegeben. Eine Nutzung für andere Zwecke findet nicht statt.
- Kunde als Verantwortlicher für BYOK-Provider: Der Kunde ist selbst Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO für die Datenverarbeitung durch seine BYOK-Provider. Der Kunde schließt eigenständige Verträge und ggf. AVVs mit diesen Providern.
- Keine Trainingsnutzung: SnipKit nutzt Kundeninhalte (Briefings, generierte Videos) nicht für das Training eigener KI-Modelle.
7. Drittlandübermittlungen
Die Kerninfrastruktur von SnipKit ist vollständig in der EU angesiedelt. Es findet kein Transfer personenbezogener Daten in Drittländer statt, soweit SnipKit die Verarbeitung allein kontrolliert.
- Supabase (Frankfurt), Hostinger (EU), Mistral AI (Paris): Kein Drittlandtransfer.
- Vercel Inc. (USA): Vercel ist nach dem EU-US Data Privacy Framework (DPF) zertifiziert. Website-Anfragen können über globale Edge-Nodes geroutet werden; Verarbeitung personenbezogener Daten erfolgt im Rahmen des DPF.
- Stripe (Irland, EU): Kein Drittlandtransfer im EU-Kontext.
- BYOK-Provider (Veo, Runway, ElevenLabs): Diese Provider können Daten in den USA oder anderen Drittländern verarbeiten. Die datenschutzrechtliche Verantwortung liegt beim Kunden als BYOK-Nutzer.
8. Cookies und lokale Speicherung
| Kategorie | Zweck | Einwilligung |
|---|---|---|
| Notwendige Cookies | Session-Verwaltung, Authentifizierung (Supabase Auth) | Nicht erforderlich |
| Statistik-Cookies | Anonyme Nutzungsanalyse (nur wenn aktiviert) | Erforderlich (opt-in) |
| Präferenz (localStorage) | Speicherung der Cookie-Einwilligung | Technisch notwendig |
Cookie-Einstellungen können jederzeit über das Banner beim nächsten Seitenbesuch geändert werden, indem der Browser-Speicher (localStorage) geleert wird.
9. Speicherdauer
| Datenkategorie | Speicherdauer |
|---|---|
| Kontodaten (E-Mail) | Dauer der Nutzung + 90 Tage nach Löschung |
| API-Nutzungslogs | 90 Tage (rollierend) |
| Video-Briefings | Nicht dauerhaft gespeichert; nur temporär während der Verarbeitung |
| Intermediäre Assets (Storyboards, Szenen) | Maximal 24 Stunden, danach automatische Löschung |
| Fertige Videos (MP4) | 30 Tage, danach automatische Löschung |
| BYOK API-Keys | Sofortige Löschung bei Kontolöschung oder Key-Widerruf |
| Rechnungs- und Buchhaltungsdaten | 10 Jahre (gesetzliche Aufbewahrungspflicht, § 147 AO) |
10. Ihre Rechte als betroffene Person
Gemäß DSGVO stehen Ihnen folgende Rechte zu:
- Auskunft (Art. 15 DSGVO): Sie können jederzeit Auskunft über die zu Ihrer Person gespeicherten Daten verlangen.
- Berichtigung (Art. 16 DSGVO): Sie können die Berichtigung unrichtiger oder unvollständiger Daten verlangen.
- Löschung (Art. 17 DSGVO): Sie können die Löschung Ihrer Daten verlangen, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen.
- Einschränkung (Art. 18 DSGVO): Sie können die Einschränkung der Verarbeitung verlangen.
- Datenübertragbarkeit (Art. 20 DSGVO): Sie können Ihre Daten in einem strukturierten, maschinenlesbaren Format erhalten.
- Widerspruch (Art. 21 DSGVO): Sie können der Verarbeitung auf Basis berechtigter Interessen widersprechen.
- Widerruf der Einwilligung (Art. 7 Abs. 3 DSGVO): Einwilligungen (z. B. für Statistik-Cookies) können jederzeit mit Wirkung für die Zukunft widerrufen werden.
Zur Ausübung Ihrer Rechte wenden Sie sich an hello@snipkit.eu. Zur Kontolöschung: senden Sie eine E-Mail mit dem Betreff „Konto löschen" — alle Daten werden innerhalb von 30 Tagen vollständig gelöscht.
Sie haben zudem das Recht, sich bei der zuständigen Datenschutz-Aufsichtsbehörde zu beschweren: Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW), www.ldi.nrw.de.
11. Datensicherheit
Wir setzen technische und organisatorische Maßnahmen (TOMs) ein, um Ihre Daten vor unbefugtem Zugriff, Verlust oder Manipulation zu schützen:
- TLS 1.3 für alle Verbindungen zwischen Client, Website und API
- AES-256-GCM für die Verschlüsselung von BYOK-API-Keys im Ruhezustand
- Supabase Row Level Security (RLS) — Kunden können ausschließlich auf eigene Daten zugreifen
- SHA-256 API-Key-Hashing — Rohe API-Keys werden nie gespeichert; nur kryptographische Hashes
- SSH-Key-Authentifizierung auf allen Servern, keine Passwort-Anmeldung
Bei einer Datenschutzverletzung werden betroffene Nutzer und die zuständige Aufsichtsbehörde gemäß Art. 33, 34 DSGVO unverzüglich informiert.
12. KI-Einsatz und EU AI Act
KI-generierte Storyboards und Videos können Fehler oder unerwünschte Inhalte enthalten. Der Nutzer ist für die Überprüfung und rechtskonforme Verwendung der generierten Inhalte selbst verantwortlich. SnipKit nutzt Kundeninhalte nicht für das Training eigener KI-Modelle.
Generierte Videos können optional C2PA-Metadaten (Content Credentials) enthalten, die den KI-Ursprung kennzeichnen.