Datenschutz · Heldenflug

1. Verantwortlicher

Verantwortlich für die Verarbeitung personenbezogener Daten auf https://heldenflug.de ist:

Tiamat UG (haftungsbeschränkt)
An der Strusbek 12
22926 Ahrensburg
Deutschland
E-Mail: hallo@heldenflug.de

Vertreten durch den Geschäftsführer Ansgar Holtmann.

2. Ein Wort vorab

Wir bauen mit Heldenflug ein Produkt, in dem ihr uns persönliche Daten anvertraut — euren Namen, den eures Kindes, manchmal ein Foto. Wir nehmen das ernst und behandeln diese Daten so sparsam wie möglich. Diese Erklärung beschreibt im Detail, was wir tun und warum.

3. Welche Daten wir verarbeiten

3.1 Zugriffsdaten beim Aufruf der Website

Wenn ihr unsere Website aufruft, übermittelt euer Browser automatisch technische Daten an unseren Server, die wir in Logdateien speichern:

IP-Adresse (gekürzt, anonymisiert)
Datum und Uhrzeit der Anfrage
Aufgerufene Seite/Datei
Übertragene Datenmenge
Browser-Typ und Sprache, Betriebssystem
Referrer-URL (woher ihr kommt)

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse — sicherer Betrieb).
Speicherdauer: 7 Tage, danach automatische Löschung. Bei Angriffsverdacht bis zur Aufklärung.

3.2 Konto-Daten (wenn ihr ein Eltern-Konto erstellt)

E-Mail-Adresse
Anzeigename (frei wählbar, z. B. Vorname)
Verschlüsselt gespeichertes Passwort (Bcrypt-Hash)
Datum der Registrierung und letzten Anmeldung
E-Mail-Verifizierungs-Status

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).
Speicherdauer: Solange das Konto besteht. Bei Löschung des Kontos: sofortige Löschung der Konto-Daten, mit Ausnahme der gesetzlich aufzubewahrenden Bestelldaten (s. u.).

3.3 Daten aus dem Konzept-Chat (Bestellung eines Buches)

Eure Eingaben zu Kind und Geschichte: Name, Alter, Lieblingsthemen, Charakter, Lieblingstier, Geschichte, an die das Buch erinnern soll
Optional: ein Foto eures Kindes (siehe Abschnitt 3.4 — gesonderter Schutz)
Generierte Konzept-Variante (Titel, Outline, Cover-Idee)
Eure Anpassungswünsche / Revisions-Eingaben

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).
Speicherdauer: Solange Konzept-Chat aktiv ist, bis spätestens 30 Tage nach Abschluss der Bestellung (= eBook-Auslieferung + abgeschlossene Revisions-Phase). Danach automatische Löschung der Roh-Eingaben. Die Bestelldaten (Buchtitel, Preis, Rechnungsdaten) bleiben gemäß § 257 HGB und § 147 AO 10 Jahre archiviert.

3.4 Foto eures Kindes — besondere Sorgfalt

Falls ihr optional ein Foto eures Kindes hochladet:

Verarbeitung ausschließlich, um das Aussehen zu beschreiben und die Illustrationen zu zeichnen
Vorher entfernen wir eingebettete Metadaten wie Aufnahmeort und Kameradaten
Speicherung bei uns auf unseren Servern (Deutschland, siehe Abschnitt 5.6)
Automatische Löschung 30 Tage nach Auslieferung des fertigen Buches — für das hochgeladene Foto und die Kopie, mit der wir das Buch zeichnen. Fotos aus Chats, aus denen kein Buch entsteht, und Fotos zu Büchern, die nie ausgeliefert werden, löschen wir 30 Tage nach dem Hochladen bzw. nach der Erstellung des Buchentwurfs. Keine Aufbewahrung als Trainingsdaten, keine Weitergabe an Dritte für Modell-Training
Die aus dem Foto abgeleitete Beschreibung des Aussehens (Haarfarbe, Augenfarbe, Hautton) bleibt Teil des Buchkonzepts, solange das Buch in eurem Konto liegt
Zur Beschreibung des Aussehens übertragen wir das Foto an den KI-Anbieter aus Abschnitt 5.2, zum Zeichnen an den KI-Bildgenerator-Anbieter aus Abschnitt 5.3 — ausschließlich für euer Buch, vertraglich abgesichert über Auftragsverarbeitungsverträge nach Art. 28 DSGVO und EU-Standardvertragsklauseln, falls der Anbieter außerhalb der EU sitzt

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (eure ausdrückliche Einwilligung beim Upload) + Art. 9 Abs. 2 lit. a DSGVO (Einwilligung zur Verarbeitung biometrisch-naher Daten von Minderjährigen).

Einwilligung für euer Kind: Die Einwilligung für die Verarbeitung des Fotos eures Kindes gebt ihr als Erziehungsberechtigte. Vor dem Upload bestätigt ihr ausdrücklich, dass wir das Foto dafür verwenden dürfen. Wir speichern Zeitpunkt und Fassung dieser Einwilligung.

Eure Rechte: Ihr könnt das Foto jederzeit aus eurem Konto löschen lassen. Wenn ihr die Löschung verlangt, ist die Generierung des betroffenen Buches nicht mehr möglich — der Auftrag wird storniert, bereits gezahlte Beträge erstattet.

3.5 Zahlungsdaten

Die Zahlungsabwicklung läuft über Stripe (siehe Abschnitt 5.1). Wir verarbeiten und speichern selbst keine Kreditkartendaten. Wir speichern lediglich:

Stripe-Transaktions-ID
Rechnungsdaten (Name, Adresse, Betrag, MwSt., Datum) für die Buchhaltung

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) und Art. 6 Abs. 1 lit. c DSGVO (gesetzliche Aufbewahrung gemäß HGB/AO).
Speicherdauer: 10 Jahre gemäß § 257 HGB.

3.6 Kommunikations-Daten (E-Mails an unseren Support)

Eure E-Mail-Adresse
Inhalt der Nachricht
Datum und Uhrzeit

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse — Bearbeitung der Anfrage).
Speicherdauer: Bis die Anfrage abgeschlossen ist, maximal 12 Monate.

3.7 Figuren-Bibliothek (Kinderbuch und Hörspiel)

In eurem Konto könnt ihr Figuren speichern und in Kinderbüchern und Hörspielen wiederverwenden: euer Kind, Familienmitglieder, Freundinnen und Freunde, Haustiere und Figuren aus euren Geschichten.

Wir speichern Name, Beziehung, Alter, eure Beschreibung des Aussehens, eine daraus abgeleitete Beschreibung und ein gezeichnetes Bild der Figur.
Diese Angaben bleiben gespeichert, bis ihr die Figur entfernt oder euer Konto löscht. Entfernt ihr eine Figur, löschen wir Name, Alter, alle Beschreibungen und das gezeichnete Bild. Übrig bleiben wenige technische Angaben zur entfernten Figur: Art, Beziehung, Zeitpunkt der Einwilligung, Kostenzähler und die Zuordnung zu eurem Konto, dazu ein Prüfwert des Namens, aus dem sich der Name nicht direkt lesen lässt. Er verhindert, dass die Figur beim nächsten Speichern von selbst wieder angelegt wird. Löscht ihr euer Konto, löschen wir alle Figuren vollständig.
Name und Beschreibung, die ihr schon in eine laufende Hörspielserie oder ein fertiges Buch übernommen habt, bleiben dort, bis ihr die Figur aus der Serie entfernt oder das Buch löscht. Gezeichnete Bilder, die schon in fertigen Büchern oder Folgen-Covern stecken, bleiben dort Teil des Buchs oder der Folge.
Ein Foto, das ihr für eine Figur hochladet, nutzen wir nur, um das Aussehen zu beschreiben und das Bild zu zeichnen. Vorher entfernen wir eingebettete Metadaten wie Aufnahmeort und Kameradaten. Danach löschen wir das Foto, bei uns wird es nicht dauerhaft gespeichert.
Vor dem Upload bestätigt ihr ausdrücklich, dass wir das Foto dafür an unsere KI-Anbieter übertragen dürfen. Wir speichern Zeitpunkt und Fassung dieser Einwilligung.
Fotos und Beschreibungen von Familienmitgliedern oder anderen Personen ladet bitte nur mit deren Einverständnis hoch.
Für Beschreibung und Bild geben wir die Angaben an die KI-Anbieter aus Abschnitt 5.2 (Beschreibung aus Text und Foto, Prüfung der gezeichneten Bilder) und 5.3 (Zeichnen des Bildes) weiter.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Bereitstellung der Figuren in euren Büchern und Hörspielen). Bei Fotos Art. 6 Abs. 1 lit. a DSGVO (eure ausdrückliche Einwilligung beim Upload) und Art. 9 Abs. 2 lit. a DSGVO (Einwilligung zur Verarbeitung biometrisch-naher Daten, auch von Minderjährigen). Die Einwilligung könnt ihr jederzeit mit Wirkung für die Zukunft widerrufen.

4. KI-gestützte Verarbeitung — Transparenz nach EU-AI-Act

Heldenflug nutzt KI-Modelle (Large Language Models und Bildgeneratoren), um aus euren Eingaben Buchinhalte und Illustrationen zu erzeugen. Wir machen das transparent:

Was die KI macht: Sie schlägt euch ein Konzept vor (Titel, Outline, Cover-Idee), schreibt den Geschichten-Text und generiert die Illustrationen.
Was die KI NICHT macht: Sie lernt nicht weiter aus euren Daten oder dem Foto eures Kindes — wir haben das in unseren Verträgen mit den KI-Anbietern (siehe Abschnitt 5) ausgeschlossen.
Eure Kontrolle: Ihr seht und genehmigt das Konzept vor der Buchproduktion. Ihr habt 3 Revisionen inklusive, danach 9,90 € pro Revision.
Kennzeichnung: Die generierten Inhalte sind nicht spezifisch im Buch als „KI-generiert" gekennzeichnet — das wäre für ein Kinderbuch sinnentstellend. Die Tatsache der KI-Erstellung kommunizieren wir transparent auf der Website (Hero, FAQ) und hier in der Datenschutzerklärung.

5. Auftragsverarbeiter (Dritte, die in eurem Auftrag Daten verarbeiten)

Wir setzen folgende Dienstleister ein. Für jeden besteht ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO. Bei Dienstleistern außerhalb der EU/des EWR verwenden wir EU-Standardvertragsklauseln (Art. 46 DSGVO) als Übermittlungsgrundlage.

5.1 Stripe — Zahlungsabwicklung

Anbieter: Stripe Payments Europe, Limited (Irland) / Stripe, Inc. (USA)
Daten: Zahlungsdaten, Transaktions-ID, Rechnungsdaten
Sitz: Irland (EU), Datenübermittlung an Stripe USA mit EU-SCC + zusätzliche Schutzmaßnahmen
Datenschutz: https://stripe.com/de/privacy

5.2 Anthropic — KI-Sprachmodell für Konzept, Geschichten-Text und Bildprüfung

Anbieter: Anthropic PBC, San Francisco, USA
Daten: Eure Texteingaben im Konzept-Chat, Figurennotizen, hochgeladene Fotos (zur Beschreibung des Aussehens) und gezeichnete Bilder (zur Qualitätsprüfung)
Sitz: USA, mit EU-SCC; Verarbeitung erfolgt mit „no training on data"-Klausel
Datenschutz: https://www.anthropic.com/legal/privacy

5.3 KI-Bildgenerator-Anbieter — für Illustrationen und Cover

Anbieter: WaveSpeed AI (USA) / Black Forest Labs GmbH (Deutschland, FLUX-Modelle)
Daten: Geschichten-Text-Auszüge als Bild-Prompts, optional Foto eures Kindes
Sitz: USA / Deutschland; bei US-Anbieter mit EU-SCC und „no training"-Klausel
Datenschutz Black Forest Labs (FLUX): https://blackforestlabs.ai/privacy/
Datenschutz WaveSpeed: https://wavespeed.ai/privacy

5.4 Resend — Versand transaktionaler E-Mails und — mit eurer Einwilligung — von Werbe- und Erinnerungs-E-Mails (siehe 5.7)

Anbieter: Resend, Inc., San Francisco, USA
Daten: Eure E-Mail-Adresse, Inhalt der transaktionalen Mail oder — mit eurer Einwilligung — der Werbe- und Erinnerungs-Mail
Sitz: USA mit EU-SCC
Datenschutz: https://resend.com/legal/privacy-policy

5.5 Signalyr — Marketing-Analytics (Reichweiten-/Conversion-Messung)

Anbieter: Tiamat UG (haftungsbeschränkt), An der Strusbek 12, 22926 Ahrensburg
Daten: pseudonymisierte Nutzungsdaten (Seitenaufrufe, Klick-Events), keine Cookies, keine IP-Speicherung im Klartext
Sitz: Deutschland (Rechenzentrum von netcup GmbH)
Hinweis: Signalyr ist unser eigenes Produkt; die Daten verbleiben in der Tiamat-Infrastruktur und werden nicht an Dritte weitergegeben.

5.6 Hosting

Anbieter: netcup GmbH, Deutschland
Daten: alle Server-Logs, alle bei uns gespeicherten Daten
Sitz: EU (Deutschland)
Auftragsverarbeitungsvertrag liegt vor.

5.7 Werbe- und Erinnerungs-E-Mails

Wenn ihr uns eure Einwilligung gebt, schicken wir euch gelegentlich E-Mails zu Heldenflug-Büchern und Erinnerungen an angefangene Bücher. Die Einwilligung holen wir im Double-Opt-in-Verfahren ein: Nachdem ihr das Kästchen gesetzt habt, bekommt ihr eine Bestätigungsmail. Erst euer Klick darin macht die Anmeldung wirksam. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung) in Verbindung mit § 7 Abs. 2 UWG.

Habt ihr bei uns ein Buch gekauft, dürfen wir euch auch ohne gesonderte Einwilligung E-Mails zu ähnlichen eigenen Produkten schicken. Darauf weisen wir euch im Bestellvorgang hin. Rechtsgrundlage: § 7 Abs. 3 UWG in Verbindung mit Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Direktwerbung, Erwägungsgrund 47).

Ihr könnt jederzeit widersprechen: über den Abmeldelink in jeder dieser E-Mails, über die Abmelde-Funktion eures E-Mail-Programms oder unter „E-Mail-Einstellungen" in eurem Konto. Es entstehen euch dabei keine Kosten außer den Übermittlungskosten nach den Basistarifen. Ein Widerspruch beendet ausschließlich die Werbung; E-Mails zu eurer Bestellung, eurem Konto und eurem Buch bekommt ihr weiterhin, weil wir sie zur Vertragserfüllung brauchen (Art. 6 Abs. 1 lit. b DSGVO).

Was wir dabei protokollieren. Um eure Einwilligung nachweisen zu können (Art. 7 Abs. 1 DSGVO), speichern wir Zeitpunkt, IP-Adresse, Browser-Kennung, Sprache, den genauen Wortlaut, dem ihr zugestimmt habt, und den Zeitpunkt eures Bestätigungsklicks. Diese Angaben bewahren wir auf, solange die Einwilligung gilt, und danach drei Jahre zum Nachweis.

Zustellungsdaten. Unser Versanddienstleister Resend meldet uns per Webhook zurück, ob eine E-Mail zugestellt wurde, ob sie zurückkam (Bounce) und ob ihr sie als Spam markiert habt. Wir nutzen das, um unzustellbare Adressen zu sperren und Beschwerden sofort umzusetzen. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Zustellbarkeit und Missbrauchsabwehr). Diese Daten löschen wir nach 24 Monaten.

Kein Zählpixel. Wir bauen in unsere E-Mails weder ein Zählpixel noch Zählparameter in die Links ein — weder in Werbe- noch in Bestell-E-Mails. Meldet Resend uns darüber hinaus, dass eine E-Mail geöffnet oder ein Link angeklickt wurde, speichern wir diese Meldung zusammen mit den übrigen Zustellungsdaten und werten sie nur zusammen- gefasst aus, um zu erkennen, welche unserer E-Mails überhaupt nützlich sind. Auch das löschen wir nach 24 Monaten.

Wie wir die 24 Monate umsetzen. Ein automatischer Lauf löscht die Zustellungsdaten nach Ablauf der Frist und entfernt zugleich die persönlichen Inhalte aus der Sendehistorie älterer E-Mails — also etwa den Namen eures Kindes und den Buchtitel, aus denen die Mail zusammengesetzt war. Erhalten bleibt nur der Nachweis, dass und wann eine bestimmte E-Mail an euch rausging; den brauchen wir, damit dieselbe Mail nicht erneut verschickt wird. Davon unberührt bleibt euer Einwilligungs-Nachweis (siehe „Was wir dabei protokollieren") — den müssen wir länger aufbewahren.

6. Cookies und vergleichbare Technologien

Wir verwenden:

Funktionale Cookies / Local Storage zur Speicherung eurer Login-Session (Cookie-Name heldenflug_customer), zur Sprachwahl (de/en) und zur Aufrechterhaltung des Konzept-Chats.
Keine Tracking-Cookies, keine Drittanbieter-Cookies, keine Werbe-Pixel.
Signalyr arbeitet cookieless (keine Cookies, keine Browser-Fingerprinting-Techniken).

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse — funktionaler Betrieb) bzw. § 25 Abs. 2 TDDDG (technisch unbedingt erforderlich). Ein Consent-Banner ist daher nicht erforderlich.

7. Eure Rechte als Betroffene

Ihr habt jederzeit das Recht auf:

Auskunft (Art. 15 DSGVO) — was wir über euch gespeichert haben
Berichtigung (Art. 16 DSGVO) — falsche Daten korrigieren
Löschung (Art. 17 DSGVO) — eure Daten löschen lassen, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen
Einschränkung der Verarbeitung (Art. 18 DSGVO)
Datenübertragbarkeit (Art. 20 DSGVO) — eure Daten in einem maschinenlesbaren Format zu erhalten
Widerspruch (Art. 21 DSGVO) — gegen die Verarbeitung auf Basis berechtigter Interessen
Widerruf einer Einwilligung (Art. 7 Abs. 3 DSGVO) — z. B. für die Foto-Verarbeitung
Beschwerde bei einer Aufsichtsbehörde (Art. 77 DSGVO) — zuständig ist für Tiamat das ULD Schleswig-Holstein, Holstenstraße 98, 24103 Kiel (https://www.datenschutzzentrum.de)

Wendet euch für eure Rechte an: hallo@heldenflug.de. Wir antworten innerhalb von 30 Tagen.

8. Datensicherheit

Wir setzen TLS-Verschlüsselung (HTTPS) für alle Verbindungen ein. Passwörter werden mit Bcrypt-Hash gespeichert (irreversibel). Server-Zugriffe sind durch SSH-Key-Authentifizierung und Firewall geschützt. Wir verwenden Content-Security-Policy-Header und weitere Härtungs-Maßnahmen.

9. Änderungen dieser Datenschutzerklärung

Wir aktualisieren diese Erklärung, wenn sich unsere Verarbeitungspraxis ändert (z. B. neue Auftragsverarbeiter, neue Produktfunktionen). Über wesentliche Änderungen informieren wir euch per E-Mail an die im Konto hinterlegte Adresse.

Stand dieser Erklärung: 14.09.2026