Verantwortlicher für die hier beschriebene Verarbeitung im Sinne von Art. 4 Nr. 7 DSGVO ist:

• Kontodaten: Name, E-Mail-Adresse, Profilbild, Kontokennungen und Anmeldevorgänge.
• E-Mail-Präferenz: ob du optionale Oryn-Tipps und Produktneuigkeiten erhalten möchtest, wann du entschieden hast sowie Sprache und Version des dir gezeigten Textes.
• Projektdaten: Prompts, Chatnachrichten, hochgeladene und importierte Assets, generierte Dateien, Builds, Vorschauen, Versionen und Projekteinstellungen.
• Von dir hochgeladene Audiodateien für Sprachausgabe oder Voice-Cloning, einschließlich der aufgenommenen Stimme selbst.
• Community-Aktivität: veröffentlichte Spiele, Kommentare, Likes, Follows, Remix-Beziehungen und Inhaltsmeldungen.
• Abrechnungsdaten: Plan, Abo-Status, Credit-Konto, Rechnungen und die für die Umsatzsteuer nötige Rechnungsanschrift.
• Nutzungs- und Sicherheitsdaten: Funktionsnutzung, Credit-Verbrauch, Geräte- und Browserangaben, Diagnosen, Fehler und sicherheitsrelevante Ereignisse.

• Art. 6 Abs. 1 lit. b DSGVO — Vertragserfüllung: dein Konto, deine Projekte, Generierungs- und Build-Läufe, Veröffentlichung, Plan- und Credit-Abrechnung sowie die Zahlungsabwicklung. Ohne sie gibt es keine Leistung.
• Art. 6 Abs. 1 lit. c DSGVO — rechtliche Verpflichtung: Rechnungen, umsatzsteuerliche Aufzeichnungen samt Aufbewahrungsfristen sowie das Tätigwerden auf Meldungen rechtswidriger Inhalte.
• Art. 6 Abs. 1 lit. f DSGVO — berechtigte Interessen: serverseitige Betriebsmessung (wie oft eine Generierung gelingt oder scheitert), Missbrauchsprävention und Sicherheitsprotokollierung. Dabei werden keine Cookies gesetzt und nichts von deinem Gerät ausgelesen.
• Art. 6 Abs. 1 lit. a DSGVO — Einwilligung: die browserseitige Produktanalyse aus Abschnitt 7 und, nur wenn du dich dafür entscheidest, gelegentliche Oryn-Tipps und Produktneuigkeiten per E-Mail. Du kannst beide Entscheidungen jederzeit widerrufen, ohne dass sich am Dienst etwas ändert; jede Marketing-E-Mail enthält einen Abmeldelink.

Um auszuführen, was du verlangst, übermitteln wir Prompts und die für die Aufgabe erforderlichen Teile deines Projekts — Dateiinhalte, Fehlerausgaben, Projekteinstellungen — an KI-Modellanbieter. Angehängte Bilder und Audiodateien gehen mit, wenn eine Aufgabe sie nutzt.

Deine Prompts werden nicht zum Modelltraining verwendet. Anfragen über OpenRouter tragen eine Anweisung, die jeden dahinterstehenden Anbieter ausschließt, dessen Richtlinie das Speichern von Prompts oder das Training damit erlaubt. OpenRouter selbst trainiert nicht mit dem, was durchläuft. Das kostet uns Verfügbarkeit bei einzelnen Modellen — nicht dich deine Arbeit.

Gib keine Zugangsdaten, API-Schlüssel oder nicht benötigte personenbezogene Daten in Prompts oder Projektdateien. Für die Funktion des Dienstes ist nichts davon erforderlich.

Erzeugst du Sprache oder klonst du eine Stimme, wird die von dir bereitgestellte Audiodatei zu fal.ai hochgeladen und an das Sprachmodell übergeben, das daraus eine wiederverwendbare Stimmkennung ableitet. Die Aufnahme einer identifizierbaren Person ist deren personenbezogenes Datum, und das Klonen einer Stimme berührt ihr Persönlichkeitsrecht.

Lade nur eine Stimme hoch, die du verwenden darfst, und nur mit Einverständnis der betreffenden Person. Die hochgeladene Audiodatei löschen wir mit dem Projekt, zu dem sie gehört.

Ein Projekt ist privat, bis du es veröffentlichst. Danach sind das Spiel, sein Titel, Artwork, die Beschreibung, dein Creator-Name und Profilbild sowie Spiel- und Like-Zahlen für alle sichtbar, angemeldet oder nicht. Kommentare, die du schreibst, sind ebenso öffentlich.

Inhaltsmeldungen speichern wir mit der Kontokennung der meldenden Person, damit wir tätig werden und dir antworten können. Über Entscheidungen zu gemeldeten Inhalten führen wir Aufzeichnungen.

Wie ein Spielaufruf gezählt wird. Damit die Zahl unter einem Spiel etwas bedeutet, zählt eine Besucherin oder ein Besucher pro Spiel und Stunde einmal. Deine IP-Adresse speichern wir dafür nicht: Sie wird mit dem Spiel, der Stunde und einem Geheimnis von uns zu einem Einweg-Hash verrechnet, und nur dieser Hash wird aufbewahrt. Er lässt sich nicht in eine Adresse zurückrechnen, und da die Stunde Teil davon ist, lassen sich zwei Besuche im Abstand einer Stunde nicht miteinander verknüpfen. Angemeldet verwenden wir stattdessen deine Kontokennung. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO — das Interesse der Creator und unseres an einer Zahl, die sich nicht trivial aufblähen lässt.

• Anmelde- und Sitzungscookies von Clerk. Unbedingt erforderlich — ohne sie bleibst du nicht angemeldet.
• Einwilligungscookie für die Analyse (oryn-analytics-consent), das deine Antwort auf den Hinweis ein Jahr lang speichert, damit wir nicht erneut fragen.
• Empfehlungscookie (oryn_ref), gesetzt für neunzig Tage, wenn du über einen Einladungslink kommst, damit die einladende Person bei deiner Registrierung gutgeschrieben wird.
• Präferenzcookies (oryn-theme, oryn-language), jeweils ein Jahr gespeichert, damit die Oberfläche in dem Design und der Sprache zurückkommt, die du gewählt hast. Sie werden erst geschrieben, wenn du eine dieser Einstellungen änderst, und brauchen keine Einwilligung: eine Einstellung, um die du selbst gebeten hast, ist davon ausgenommen.
• Produktanalyse (PostHog, Hosting in der EU), erst nach deiner Zustimmung. PostHog setzt dabei ein eigenes Cookie (ph_…_posthog), um diesen Browser über mehrere Seiten hinweg wiederzuerkennen. Eine Ablehnung ändert nichts am Dienst.
• Support im Produkt (Featurebase), nur im angemeldeten Studio geladen. Featurebase kann Cookies und lokale Speicherung verwenden, damit deine Support-Unterhaltung und der Ungelesen-Status erhalten bleiben.
• Lokale Speicherung für Oberflächenzustände wie Editor-Layout und weggeklickte Hinweise. Das bleibt auf deinem Gerät.

Diese Anbieter verarbeiten personenbezogene Daten in unserem Auftrag nach Art. 28 DSGVO. Übermittlungen außerhalb der EU stützen sich auf die Standardvertragsklauseln der Europäischen Kommission.

• Clerk — Anmeldung, Sitzungen und Kontodaten (USA).
• Convex — Projekte, Chatverlauf, Läufe, Versionen, Abrechnungsdaten und Nutzung (USA).
• Cloudflare — Hosting, die isolierten Container, in denen dein Projekt gebaut und exportiert wird, sowie Projekt-, Versions- und Build-Speicher (EU und USA).
• Stripe — Zahlungen, Abonnements, Steuerermittlung und Rechnungen (Irland und USA).
• PostHog — Produktanalyse, Hosting in der EU, nur mit deiner Einwilligung.
• Featurebase — der Support-Messenger im Produkt, Support-Unterhaltungen und Anhänge, verknüpft mit deiner signierten Kontokennung.
• KI-Modellanbieter — OpenRouter, OpenAI und die darüber vermittelten Modelle, für Prompts und Projektkontext.
• fal.ai — Erzeugung von Bildern, 3D-Modellen, Audio, Sprache und Video sowie die dahinterliegenden Stimmmodelle.
• GitHub — nur, wenn du ein Repository verbindest. Deine Projektdateien gehen dann unter deinem eigenen Konto und den Bedingungen von GitHub an GitHub.

• Konto und Projekte: bis du sie löschst. Mit der Kontolöschung entfallen Projekte, veröffentlichte Spiele, Chatverlauf und Community-Einträge; nach Vertragsende kannst du Projekte außerdem dreißig Tage lang exportieren.
• Rechnungen und die zugrunde liegenden Abrechnungsdaten: zehn Jahre, weil Steuer- und Handelsrecht das verlangen.
• Inhaltsmeldungen und Moderationsentscheidungen: drei Jahre, damit Wiederholungsmuster erkennbar bleiben und eine Entscheidung erklärbar ist.
• Sicherheits- und Fehlerprotokolle: neunzig Tage.
• Analyse: wie in PostHog konfiguriert und nur, solange deine Einwilligung besteht.
• Support-Unterhaltungen: wie in Featurebase konfiguriert und so lange, wie es für die Beantwortung und Dokumentation deiner Anfrage erforderlich ist.
• E-Mail-Präferenz: bis du sie änderst oder dein Konto löschst. Der Nachweis einer widerrufenen Einwilligung kann drei Jahre lang aufbewahrt werden, um die Einhaltung rechtlicher Pflichten belegen zu können.

Nach der DSGVO hast du das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch gegen Verarbeitungen auf Grundlage unserer berechtigten Interessen (Art. 21). Beruht eine Verarbeitung auf deiner Einwilligung, kannst du sie jederzeit mit Wirkung für die Zukunft widerrufen.

Dein Konto und alles darin kannst du in den Kontoeinstellungen selbst löschen. Einzelne Daten können weiter aufbewahrt werden, soweit Abrechnung, Sicherheit, Betrugsprävention oder gesetzliche Pflichten das erfordern.

Außerdem hast du das Recht, dich bei einer Aufsichtsbehörde zu beschweren — für Baden-Württemberg bei der Landesbeauftragten für den Datenschutz und die Informationsfreiheit.

Oryn richtet sich nicht an Kinder. Für die Nutzung musst du mindestens 16 Jahre alt sein; das ist in Deutschland zugleich das Alter, ab dem du in die oben beschriebene Analyse einwilligen kannst.

Diese Erklärung kann sich ändern, wenn sich das Produkt oder die rechtlichen Anforderungen ändern. Der jeweils aktuelle Stand steht oben.

Für Fragen zum Datenschutz oder zur Ausübung der genannten Rechte schreib an lukas@brombach-technologies.de.