Datenschutzerklärung

Stand: 7. November 2026. Gilt für die Website memogen.app, das Studio, die API und den MCP-Zugang.

1. Verantwortlicher

memo labs UG (haftungsbeschränkt)
vertreten durch den Geschäftsführer Sascha Kaderka
Kolonnenstraße 8
10827 Berlin
Deutschland
Telefon: +49 30 4243 4444
E-Mail (Datenschutz und Support): support@memolabs.de

Einen Datenschutzbeauftragten haben wir nicht benannt, weil die gesetzlichen Voraussetzungen dafür (Art. 37 DSGVO, § 38 BDSG) nicht vorliegen.

2. Das Wichtigste in Kürze

• Konten, Projekte, Uploads und Protokolle liegen bei Hetzner in Deutschland.
• Die KI-Generierung läuft beim jeweiligen Anbieter des gewählten Modells, teils außerhalb der EU, vor allem in den USA. Welche Region ein Modell nutzt, zeigen wir bei der Auswahl an.
• Wir trainieren mit deinen Daten keine KI-Modelle.
• Zahlungsdaten sehen wir nie. Das macht Paddle als eigener Verantwortlicher.
• Keine Werbe-Tracker, keine Analyse-Dienste, keine Cookies außer den technisch nötigen.
• Personen- und Stimm-Assets sind derzeit nicht verfügbar.

3. Website und Betrieb

Hosting. Hetzner Online GmbH, Industriestraße 25, 91710 Gunzenhausen, Deutschland, als Auftragsverarbeiter (Art. 28 DSGVO), Server und Object Storage in Deutschland.

Server-Protokolle. Beim Aufruf verarbeitet der Server technisch notwendig IP-Adresse, Datum und Uhrzeit, aufgerufene Seite, Browser-Typ und Datenmenge. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (sicherer und stabiler Betrieb). Wir löschen die Protokolle nach spätestens 14 Tagen, Sicherheitsereignisse nach Abschnitt 8 später.

Bot-Schutz. Vor Formularen und vor dem Versand von Anmeldecodes nutzen wir ALTCHA, selbst gehostet. Dein Browser löst eine kleine Rechenaufgabe. Es gibt keine Drittanbieter-Cookies und keine Übermittlung an Dritte. IP-Adresse und E-Mail-Adresse dienen in gekürzter oder gehashter Form auch der Begrenzung von Versuchen. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Schutz vor Missbrauch).

Cookies. Wir setzen nur das für die Anmeldung nötige Sitzungs-Cookie (§ 25 Abs. 2 Nr. 2 TDDDG).

4. Warteliste

Trägst du dich in die Warteliste ein, speichern wir deine E-Mail-Adresse, die Sprache, woher du kommst (Quelle und Kampagnen-Parameter der Adresse) und einen Hash deiner IP-Adresse. Wir schicken dir einen Bestätigungslink (Double-Opt-in) und danach Nachrichten zum Start von memogen. Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), die du jederzeit widerrufen kannst, etwa über den Abmeldelink oder per E-Mail. Nicht bestätigte Einträge löschen wir nach 30 Tagen, bestätigte nach dem Widerruf oder spätestens 12 Monate nach dem Start, wenn du kein Konto angelegt hast. Den Nachweis der Einwilligung bewahren wir bis zu drei Jahre auf (Art. 6 Abs. 1 lit. f, Art. 7 Abs. 1 DSGVO).

5. Konto und Anmeldung

Wir verarbeiten E-Mail-Adresse, Name (falls angegeben), Sitzungsdaten, Bestätigung deines Alters ab 18 und deine Einstellungen. Du meldest dich per E-Mail-Code an oder mit einem Google-Konto; dann erhalten wir von Google Name, E-Mail-Adresse und Kennung (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland). Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

E-Mail-Versand. Anmeldecodes und Dienst-Mails verschicken wir über Scaleway SAS, 8 rue de la Ville-l'Évêque, 75008 Paris, Frankreich (Transactional Email), als Auftragsverarbeiter. Support-Mails laufen über Google Workspace der Google Ireland Limited als Auftragsverarbeiter; eine Übermittlung in die USA ist dabei nicht ausgeschlossen.

6. Nutzung von memogen und KI-Anbieter

Was wir verarbeiten: Briefings, Prompts, Uploads und Assets, Marken-Daten, Projekte, Ergebnisse, Kostenvoranschläge, Freigaben, Auftrags- und Verbrauchsdaten, Credit-Buchungen. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Für Daten Dritter in deinen Projekten bist du selbst verantwortlich und musst eine Rechtsgrundlage haben. Lade bitte keine Fotos oder Daten anderer Personen hoch.

Was zu den Anbietern geht: Für einen Auftrag erhält der Anbieter des gewählten Modells den dafür nötigen Text und die nötigen Referenzbilder. Dein Name und deine E-Mail-Adresse gehen dort nicht hin.

Alle Anbieter arbeiten für uns als Auftragsverarbeiter (Art. 28 DSGVO), soweit das nach ihren Bedingungen möglich ist. Der Beschluss zum EU-US Data Privacy Framework gilt, seine Wirksamkeit wird aber gerichtlich angegriffen. Fällt er weg, stützen wir uns auf Standardvertragsklauseln und Zusatzmaßnahmen. Für Teams gibt es einen Schalter, der nur Modelle in der EU zulässt.

Die Tabelle nennt nur Anbieter, die heute Daten erhalten. Weitere kommen erst dazu, wenn wir ihre Modelle oder Funktionen freischalten, etwa fal, Black Forest Labs, Alibaba Cloud, Runware oder Inworld für Bild-, Video- und Sprachmodelle, OpenAI für die automatische Inhaltsprüfung, Anthropic für den KI-Assistenten oder ElevenLabs für Stimmen. Wir ergänzen sie hier, bevor sie Daten erhalten.

7. Inhaltsprüfung und automatisierte Entscheidungen

Wir prüfen Eingaben und Ergebnisse automatisch auf Verstöße gegen unsere Nutzungsrichtlinie, damit wir Recht einhalten, Dritte schützen und Kosten vermeiden. Rechtsgrundlage: Art. 6 Abs. 1 lit. b und f DSGVO. Bei Verstößen zählen wir Vorfälle je Konto.

Ein automatischer Filter kann eine Anfrage ablehnen, für 24 Stunden die Modellauswahl einschränken und die Generierung bis zu einer Prüfung pausieren. Über eine dauerhafte Sperre entscheidet ein Mensch. Einzige Ausnahme ist der Verdacht auf sexualisierte Inhalte mit Minderjährigen: Dort sperren wir sofort automatisch, und ein Mensch prüft danach. Soweit eine dieser Maßnahmen oder der Kostenersatz aus der Nutzungsrichtlinie eine automatisierte Entscheidung nach Art. 22 DSGVO ist, stützen wir sie auf die Vertragserfüllung (Art. 22 Abs. 2 lit. a DSGVO). Du kannst jede Entscheidung beanstanden, deinen Standpunkt darlegen und bekommst eine Prüfung durch einen Menschen.

Zur Erkennung, ob ein Gesicht zu sehen ist, nutzen wir eine reine Detektion. Sie identifiziert niemanden und erzeugt keine biometrischen Muster.

8. Audit-Protokoll

Anmeldeversuche, API-Schlüssel, Credit-Buchungen, Moderationsentscheidungen, Einwilligungen und Schalter-Änderungen protokollieren wir so, dass sie sich nicht ändern lassen, um Missbrauch zu erkennen und Nachweise führen zu können. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.

9. Personen- und Stimm-Assets (derzeit nicht verfügbar)

Diese Funktion ist noch nicht freigeschaltet. Wenn wir sie anbieten, gilt:

• Nur du selbst, ab 18. Wir behandeln Aufnahmen vorsorglich wie besondere Kategorien von Daten. Rechtsgrundlage ist deine ausdrückliche Einwilligung (Art. 6 Abs. 1 lit. a, Art. 9 Abs. 2 lit. a DSGVO, § 22 KUG).
• Einwilligungs-Aufnahme. Du nimmst ein Live-Video (Gesicht) oder Live-Audio (Stimme) mit einem zufälligen Satz auf. Zusätzlich speichern wir Version des Einwilligungstexts, Prüfsumme des Assets, IP-Adresse und Zeitpunkt.
• Consent-Tresor. Aufnahmen liegen in einem getrennten, verschlüsselten Speicher mit eigenen Zugangsdaten bei Hetzner in Deutschland und gehen nicht an KI-Anbieter.
• Kein biometrischer Abgleich. Wir vergleichen Aufnahmen nicht automatisch mit Fotos und speichern keine biometrischen Muster.
• KI-Anbieter. Deine Referenzbilder oder Sprachproben gehen nur an den Anbieter, der das Asset erzeugt. Wir nennen ihn dir vor der Einwilligung.
• Widerruf. Du kannst jederzeit widerrufen. Dann stoppen laufende Aufträge, das Asset wird gesperrt, wir veranlassen die Löschung beim Anbieter (dort gelten seine Fristen) und löschen die Aufnahme binnen 30 Tagen. Den Nachweis ohne Aufnahme (Textversion, Zeitpunkt, Prüfsumme, Widerrufsdatum) bewahren wir drei Jahre auf, um Ansprüche abwehren zu können (Art. 17 Abs. 3 lit. e DSGVO, § 195 BGB).

10. Öffentliche Seiten

Teilst du ein Projekt als Vorlage oder Remix-Seite, wird es für alle sichtbar. Das machst du nur ausdrücklich, und du kannst es jederzeit beenden. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Einen Bezug zu dir zeigen wir nur, wenn du das willst.

11. Zahlung über Paddle

Käufe wickelt für Kunden in der EU und im Vereinigten Königreich Paddle.com Market Limited, 30 Old Bailey, London EC4M 7AU, Vereinigtes Königreich, als Merchant of Record ab, in anderen Ländern eine andere Paddle-Gesellschaft. Paddle ist eigener Verantwortlicher für Name, E-Mail-Adresse, Land, Zahlungsdaten, USt-IdNr., IP-Adresse (auch als Steuernachweis) und Angaben zur Betrugsprävention. Es gilt die Datenschutzerklärung von Paddle. Für das Vereinigte Königreich besteht ein Angemessenheitsbeschluss der EU-Kommission (Art. 45 DSGVO).

Das Bezahlfenster (Paddle.js) lädt erst auf der Kaufseite. Dann verbindet sich dein Browser mit Paddle, das für die Bezahlung nötige Daten speichern kann (§ 25 Abs. 2 Nr. 2 TDDDG, Art. 6 Abs. 1 lit. b DSGVO).

Von Paddle erhalten wir Name, E-Mail-Adresse, Land, Produkt, Preis, Bestellnummer, Abo-Status und Erstattungen. Damit schreiben wir Credits gut und führen unsere Buchhaltung (Art. 6 Abs. 1 lit. b und c DSGVO). Kartennummern und Bankdaten bekommen wir nie zu sehen.

12. Support

Schreibst du uns, verarbeiten wir E-Mail-Adresse, Name und Inhalt, um zu antworten (Art. 6 Abs. 1 lit. b, sonst lit. f DSGVO), über Google Workspace (Abschnitt 5). Wir löschen Anfragen spätestens zwei Jahre nach Erledigung, sofern keine Aufbewahrungspflicht gilt. Meldungen zu Inhalten nach Art. 16 DSA bewahren wir drei Jahre auf.

13. Speicherdauer

14. Empfänger im Überblick

Daneben geben wir Daten nur weiter, wenn wir gesetzlich dazu verpflichtet sind, etwa an Finanz- oder Strafverfolgungsbehörden (auch Art. 18 DSA).

15. Deine Rechte

Du hast das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch gegen Verarbeitungen auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO (Art. 21). Einwilligungen kannst du jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3). Schreib dafür an support@memolabs.de. Für Daten bei Paddle wende dich auch direkt an Paddle.

Du kannst dich bei einer Datenschutz-Aufsichtsbehörde beschweren (Art. 77 DSGVO). Für uns zuständig ist die Berliner Beauftragte für Datenschutz und Informationsfreiheit, Alt-Moabit 59–61, 10555 Berlin, www.datenschutz-berlin.de.

16. Pflicht zur Bereitstellung

Für die Warteliste brauchen wir deine E-Mail-Adresse, für die Nutzung die Angaben aus Abschnitt 5 und die Bestätigung, dass du mindestens 18 bist. Ohne sie geht es nicht. Beim Kauf braucht Paddle die im Bezahlfenster als Pflicht markierten Angaben.

17. Kinder

memogen richtet sich nur an Erwachsene. Konten von Personen unter 18 löschen wir, sobald wir davon erfahren.

18. Änderungen

Wir passen diese Erklärung an, wenn sich memogen, die Anbieter oder die Rechtslage ändern. Die aktuelle Fassung steht auf dieser Seite.