← zurück zu deldown lens

Datenschutzerklärung

Dienst: deldown lens · Stand: 6. September 2026

Diese Erklärung beschreibt, welche personenbezogenen Daten bei der Nutzung von deldown lens (nachfolgend „der Dienst“) verarbeitet werden, zu welchem Zweck und auf welcher Rechtsgrundlage. deldown lens ist eine Webanwendung, mit der Nutzer ein Foto aufnehmen oder hochladen und dazu eine KI-gestützte Auswertung (Bildüberblick, Texterkennung, Übersetzung, Rückfragen) erhalten.

1. Verantwortlicher

deldown
Vertreten durch: Matti (byMattii) und Max (NotAMonkeIRL)
E-Mail: support@deldown.de
Anschrift und weitere Pflichtangaben: impressum.deldown.de

Ein/e Datenschutzbeauftragte/r ist nach derzeitiger Einschätzung nicht bestellpflichtig. Anfragen zum Datenschutz bitte an die oben genannte E-Mail-Adresse.

2. Überblick über die Datenflüsse

Bei einer Bildanalyse durchläuft Ihre Anfrage folgende Stationen:

1. Ihr Gerät / Browser – Sie wählen ein Bild und einen Modus.
2. deldown lens Server (Infrastruktur cloud.deldown.de, EU) – prüft Ihre Anmeldung, entfernt Metadaten aus dem Bild (siehe 4.2), verkleinert es.
3. Objektspeicher OVH (OVH SAS, Rechenzentrum in der EU) – das bearbeitete Bild wird dort für die Dauer der Auswertung unter einer zufälligen, nicht erratbaren Kennung (UUID) privat abgelegt und kurz nach der Auswertung wieder gelöscht (bis ca. 30 Sekunden). Für die Auswertung stellt der deldown lens Server das Bild kurzzeitig unter lens.deldown.de/i/<UUID> bereit, damit das KI-Modell es abrufen kann.
4. deldown Developers API (developers.deldown.de) – leitet die Anfrage an das KI-Modell weiter.
5. DeepInfra Inc. (USA) – betreibt das KI-Modell „Timur 5.6“ (technische Basis: GLM-5.3-Flash) und erzeugt die Antwort.

3. Zugang nur mit deldown Account

Die Nutzung setzt einen deldown Account voraus. Beim Anmelden geben Sie E-Mail und Passwort (ggf. einen Zwei-Faktor-Code) direkt an account.deldown.de ein. deldown lens erhält von dort ein Sitzungs-Token und prüft bei jeder Anfrage bei account.deldown.de, ob dieses Token gültig ist und zu welchem Konto es gehört (übermittelt werden dabei Ihre Konto-ID und E-Mail-Adresse).

• Zweck: Authentifizierung, Zugangskontrolle, Missbrauchsschutz.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Erfüllung des Nutzungsverhältnisses).
• Speicherung: deldown lens speichert das Token nicht dauerhaft; es wird nur im Arbeitsspeicher für maximal 60 Sekunden zwischengespeichert, um wiederholte Prüfabfragen zu bündeln. Im Browser liegt das Token in localStorage, bis Sie sich abmelden.
• Empfänger: deldown Account (betrieben von deldown, Auftragsverarbeitung innerhalb desselben Verantwortlichen bzw. auf Grundlage eines Vertrags nach Art. 28 DSGVO).

Die Registrierung eines deldown Accounts erfolgt ausschließlich über account.deldown.de (Einladungssystem). deldown lens bietet keine eigene Registrierung an. Es gelten zusätzlich die Datenschutzhinweise von deldown Account.

4. Bildanalyse (Kernfunktion)

4.1 Verarbeitete Daten

• Das von Ihnen ausgewählte Bild und dessen Inhalt.
• Der gewählte Modus (Überblick, Texterkennung, Übersetzung).
• Ihr optionaler Rückfragetext sowie der vorherige KI-Befund, wenn Sie eine Rückfrage stellen.
• Das von deldown lens erzeugte KI-Ergebnis (wird an Ihren Browser zurückgegeben und nicht gespeichert).

4.2 Entfernung von Metadaten

Bevor ein Bild den deldown-lens-Server verlässt, werden sämtliche eingebetteten Metadaten entfernt – insbesondere EXIF-Daten wie GPS-Standort, Aufnahmezeit und Kamera-/Gerätekennungen. Das Bild wird zusätzlich auf maximal 1536 Pixel Kantenlänge verkleinert und neu als JPEG kodiert. An den Objektspeicher und an das KI-Modell gelangt nur diese bereinigte Fassung.

4.3 Speicherung und Löschung

• Das bereinigte Bild wird für die Auswertung kurzzeitig im OVH-Objektspeicher (EU) abgelegt (privat, ohne öffentliche Freigabe) und nur über den deldown lens Server unter einer zufälligen UUID an das KI-Modell ausgeliefert.
• Nach Abschluss der Auswertung wird das Objekt gelöscht – kurz verzögert (bis ca. 30 Sekunden), damit ein Nachladen durch das KI-Modell nicht ins Leere läuft; auch wenn die Auswertung fehlschlägt.
• Als Rückfallsicherung entfernt eine Lebenszyklus-Regel des Speichers alle verbliebenen Objekte spätestens nach 24 Stunden.
• Eine dauerhafte Speicherung von Bildern oder Ergebnissen bei deldown findet nicht statt. Es gibt keinen Verlauf und kein Nutzerprofil.

4.4 Rechtsgrundlage

Art. 6 Abs. 1 lit. b DSGVO: Die Verarbeitung ist zur Erbringung der von Ihnen aktiv angeforderten Analyseleistung erforderlich.

4.5 Übermittlung in die USA (DeepInfra)

Zur Erzeugung der KI-Antwort wird die bereinigte Bildfassung (bzw. bei Text-/Rückfragen der zugehörige Text) an DeepInfra Inc., USA, übermittelt. Nach den Angaben von DeepInfra gilt eine Zero-Retention-Politik: Ein- und Ausgaben werden nach der Verarbeitung aus Arbeitsspeicher und Datenträgern gelöscht und nicht zum Training verwendet. DeepInfra gibt an, nach SOC 2 und ISO 27001 zertifiziert zu sein.

Die Übermittlung stützt sich auf Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO und/oder – soweit DeepInfra zertifiziert ist – auf das EU-U.S. Data Privacy Framework (Angemessenheitsbeschluss der EU-Kommission vom 10. Juli 2023).

Hinweis an den Betreiber (vor Veröffentlichung zu klären und dann diesen Kasten entfernen): konkrete Transfergrundlage mit DeepInfra verbindlich festlegen (DPF-Listung prüfen bzw. SCC + Transfer Impact Assessment abschließen), Auftrags­ verarbeitungsvertrag nach Art. 28 DSGVO mit DeepInfra und mit OVH abschließen, Eintrag im Verzeichnis von Verarbeitungstätigkeiten (Art. 30) ergänzen.

4.6 Web-Recherche & „Visuelle Übereinstimmungen" (nur Modus „Überblick")

Im Modus „Überblick" leitet das KI-Modell aus dem Bild eine kurze Text-Such­ anfrage für das Hauptmotiv ab (z. B. „roter Cartoon-Smiley Meme"). Diese Anfrage – nicht das Bild – wird an Brave Software Inc. (USA) gesendet, und zwar an

• die Websuche: die Textausschnitte der Treffer fließen als Kontext zurück ins KI-Modell, damit die „Übersicht mit KI" fundierter ist;
• die Bildersuche: die Treffer füllen das Feld „Visuelle Übereinstimmungen". Es findet keine Rückwärts-Bildersuche nach genau Ihrem Foto statt.

Stellen Sie eine Rückfrage, wird zusätzlich Ihr Fragetext an die Brave-Websuche gesendet, um die Antwort zu belegen.

• Datenart: der abgeleitete Suchtext bzw. Ihr Fragetext; technisch die IP unseres Servers (nicht Ihre).
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Teil der angeforderten Analyse).
• Drittland USA: Standardvertragsklauseln (Art. 46) bzw. EU-U.S. Data Privacy Framework. Brave bewirbt seine Such-API als datenschutzfreundlich (keine Nutzerprofile); die Suchanfrage kann dennoch beim Anbieter protokolliert werden.
• Abschaltbar: ohne konfigurierten Brave-Schlüssel entfällt dieser Schritt komplett.

Betreiber-Prüfhinweis: Transfergrundlage + AV-Vertrag (Art. 28) mit Brave klären, Art. 30-Verzeichnis ergänzen, Brave-Datenschutzangaben zur Query-Speicherung verifizieren.

4.7 Content Delivery Network (BunnyCDN)

lens.deldown.de wird über das CDN von BunnyWay d.o.o. (BunnyCDN, Slowenien / EU) ausgeliefert. Jede Anfrage an die Website läuft über einen BunnyCDN-Randserver.

• Datenart: Ihre IP-Adresse, HTTP-Header (u. a. User-Agent, Referrer), angefragte Adresse, Zeitpunkt; zwischengespeicherte statische Dateien (CSS/JS – keine personenbezogenen Daten). Uploads, Analyse-Antworten und das an das KI-Modell ausgelieferte Bild werden nicht im CDN zwischengespeichert.
• Zweck: schnellere Auslieferung, Abwehr von Überlast-/DDoS-Angriffen.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem stabilen, schnellen Dienst).
• Speicherdauer: Cache statischer Dateien max. 10 Minuten; BunnyCDN-Zugriffslogs nach dessen Richtlinie (Richtwert wenige Tage).
• Standort / Drittland: BunnyWay ist ein EU-Unternehmen; die Auslieferung erfolgt vom jeweils nächstgelegenen Randserver, für Besucher außerhalb der EU also ggf. außerhalb der EU – abgesichert über die Standardvertragsklauseln (Art. 46) im Auftragsverarbeitungsvertrag mit BunnyCDN.

Betreiber-Prüfhinweis: AV-Vertrag (Art. 28) mit BunnyWay abschließen, Log-Speicherdauer verifizieren, Art. 30-Verzeichnis ergänzen; optional CDN-Routing auf „EU only" beschränken.

5. Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO)

Fotos können sensible Informationen enthalten – etwa erkennbare Gesichter, Gesundheits­ angaben, religiöse oder politische Symbole. deldown lens führt keine Gesichtserkennung, keinen Identitätsabgleich und keine biometrische Auswertung durch. Das KI-Modell wird angewiesen, Personen nicht zu identifizieren und keine Mutmaßungen über sensible Merkmale abgebildeter Personen anzustellen.

Bitte laden Sie keine Bilder hoch, auf denen andere Personen ohne deren Kenntnis erkennbar sind, und keine Bilder mit besonders sensiblen Inhalten. Tun Sie dies dennoch freiwillig, stützt sich die Verarbeitung dieser Inhalte auf Ihre konkludente Einwilligung nach Art. 9 Abs. 2 lit. a DSGVO, die Sie jederzeit mit Wirkung für die Zukunft widerrufen können (der Widerruf berührt eine bereits abgeschlossene Auswertung nicht, da die Daten danach gelöscht sind).

6. Server-Logs und Sicherheit

• Der deldown lens Server protokolliert technische Ereignisse. Dabei können IP-Adresse, Zeitstempel und angefragter Pfad erfasst werden.
• Für die Begrenzung der Anfragehäufigkeit (Schutz vor Missbrauch und Überlast) wird pro Anfrage entweder ein Hash Ihres Sitzungs-Tokens oder Ihre IP-Adresse im Arbeitsspeicher gezählt.
• Die deldown Developers API zählt je Anfrage Konto-ID, Modellname und Token-Anzahl zu Abrechnungs- und Nutzungszwecken.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Betriebssicherheit und Missbrauchsabwehr).
• Speicherdauer: Betriebslogs werden kurzfristig vorgehalten (Richtwert 7 Tage) und dann gelöscht. Die Nutzungszähler der Developers API bestehen bis zur Löschung Ihres deldown Accounts.

7. Cookies und lokale Speicherung

deldown lens setzt keine Tracking- oder Werbe-Cookies. Verwendet werden ausschließlich: das Sitzungs-Cookie von account.deldown.de (für die Anmeldung erforderlich) und ein Eintrag im localStorage Ihres Browsers, der Ihr Anmelde-Token enthält. Der localStorage-Eintrag wird ausschließlich von deldown lens im eigenen Browser-Kontext gelesen, an keinen Dritten übertragen und beim Abmelden gelöscht. Beides ist zur Bereitstellung des von Ihnen aufgerufenen Dienstes unbedingt erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG); eine Einwilligung ist dafür nicht nötig, Rechtsgrundlage der anschließenden Verarbeitung ist Art. 6 Abs. 1 lit. b DSGVO.

8. Keine automatisierten Einzelentscheidungen, kein Profiling

Es findet keine automatisierte Entscheidung mit rechtlicher Wirkung oder ähnlich erheblicher Beeinträchtigung im Sinne von Art. 22 DSGVO statt. Die KI-Ausgaben sind Textvorschläge und werden nicht zur Bewertung Ihrer Person verwendet. Sie sind stets als maschinell erzeugt gekennzeichnet (Art. 50 EU-KI-Verordnung).

9. Empfänger / Auftragsverarbeiter

Empfänger	Zweck	Ort	Grundlage Drittland
deldown Account (deldown)	Anmeldung, Token-Prüfung	EU	—
Betreiber der cloud.deldown.de-Infrastruktur	Hosting des Dienstes	EU	—
OVH SAS	kurzzeitiger Bildspeicher	EU	—
deldown Developers API (deldown)	Weiterleitung an das KI-Modell, Nutzungszählung	EU	—
DeepInfra Inc.	KI-Modellinferenz	USA	SCC (Art. 46) bzw. EU-U.S. DPF
Brave Software Inc.	Web- und Bildersuche zum erkannten Motiv bzw. zur Rückfrage (nur „Überblick")	USA	SCC (Art. 46) bzw. EU-U.S. DPF
BunnyWay d.o.o. (BunnyCDN)	Auslieferung der Website (CDN), Überlastschutz	EU (Randserver ggf. weltweit)	SCC (Art. 46) für Nicht-EU-Randserver

Eine Weitergabe zu Werbe- oder Analysezwecken erfolgt nicht.

10. Speicherdauer – Übersicht

• Hochgeladenes Bild: bis ca. 30 Sekunden nach der Auswertung, spätestens 24 h (Rückfallsicherung).
• KI-Ergebnis: wird nicht gespeichert, nur an Ihren Browser gesendet.
• Anmelde-Token (Server): max. 60 s im Arbeitsspeicher.
• Such-Anfrage „Ähnliche Bilder": von deldown nicht gespeichert; zur Speicherung bei Brave siehe deren Datenschutzangaben.
• Anmelde-Token (Browser): bis zur Abmeldung.
• Betriebslogs: Richtwert 7 Tage.
• Nutzungszähler Developers API: bis zur Löschung des deldown Accounts.

11. Ihre Rechte

• Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18), Datenübertragbarkeit (Art. 20), Widerspruch (Art. 21).
• Widerruf einer erteilten Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3).
• Da deldown lens Bilder und Ergebnisse nicht dauerhaft speichert, beziehen sich Auskunft und Löschung im Wesentlichen auf Ihren deldown Account und die Nutzungszähler; Anfragen richten Sie an support@deldown.de.

12. Beschwerderecht

Sie können sich bei einer Datenschutz-Aufsichtsbehörde beschweren, insbesondere bei der für deldown zuständigen Behörde:

Landesbeauftragte für den Datenschutz Sachsen-Anhalt
Otto-von-Guericke-Straße 34a, 39104 Magdeburg
Tel.: 0391 81803-0 · E-Mail: poststelle@lfd.sachsen-anhalt.de
datenschutz.sachsen-anhalt.de

Betreiber-Prüfhinweis: zuständige Behörde muss dem Sitz laut Impressum entsprechen – vor Veröffentlichung abgleichen.

13. Mindestalter

Der Dienst richtet sich an Personen ab 16 Jahren. Jüngere Personen dürfen deldown lens nur mit Einwilligung der Sorgeberechtigten nutzen.

14. Änderungen dieser Erklärung

Wird der Dienst um Funktionen, Datenflüsse oder Empfänger erweitert, wird diese Erklärung angepasst. Es gilt die auf dieser Seite veröffentlichte Fassung mit dem oben genannten Stand.

← zurück zu deldown lens