Datenschutzerklärung

5.1 Registrierungs- und Account-Daten

• Bei der Registrierung erheben wir:
• • E-Mail-Adresse (Pflichtangabe)
• • Benutzername (Pflichtangabe)
• • Passwort (verschlüsselt mit bcrypt, mindestens 8 Zeichen)
• • Account-Typ (Personal oder Company)
• • Registrierungszeitpunkt
• • Zwei-Faktor-Authentifizierung (2FA) - optional aber empfohlen
• Zweck: Bereitstellung und Verwaltung Ihres Accounts, Authentifizierung, Sicherheit
• Die 2FA-Daten werden nur lokal auf Ihrem Gerät gespeichert (QR-Code Scan). Wir speichern nur den Aktivierungsstatus.
• Hinweis: Sie können sich alternativ auch über Google, Meta (Facebook), LinkedIn, TikTok oder X registrieren/anmelden - siehe Abschnitt 5.1a für die dabei jeweils abgefragten Daten und Berechtigungen.
• Zum Schutz vor automatisierten Registrierungen (Bots) setzen wir Cloudflare Turnstile ein (siehe Abschnitt 10a.2).

5.1a Registrierung & Anmeldung über Drittanbieter (Social Login)

• Zusätzlich zur klassischen Registrierung mit E-Mail und Passwort können Sie sich bei PostMaestro.ai über die folgenden Drittanbieter registrieren bzw. anmelden. Diese Verbindungen dienen ausschließlich der Konto-Erstellung und Anmeldung und sind unabhängig von den Social-Media-Verknüpfungen zum Veröffentlichen von Beiträgen (siehe Abschnitt 5.5) - es werden jeweils eigene, deutlich schwächer berechtigte OAuth-Berechtigungen (Scopes) angefragt:
• • Google (Scopes: openid, profile, email) - übermittelt werden Google-ID, E-Mail-Adresse, Vor-/Nachname, Profilbild und Sprache
• • Meta / Facebook Login (Scopes: public_profile, email) - übermittelt werden Facebook-ID, E-Mail-Adresse, Vor-/Nachname, Profilbild und Sprache
• • Instagram Business Login (Scope: instagram_business_basic) - übermittelt werden Instagram-ID, Benutzername, Anzeigename und Profilbild (keine E-Mail-Adresse - diese wird separat im Onboarding erfragt)
• • LinkedIn (OpenID Connect, Scopes: openid, profile, email) - übermittelt werden LinkedIn-ID, E-Mail-Adresse, Vor-/Nachname, Profilbild und Sprache
• • TikTok Login Kit (Scopes: user.info.basic, user.info.profile) - übermittelt werden TikTok Open-ID, Benutzername, Anzeigename und Profilbild (TikTok stellt keine E-Mail-Adresse bereit - bis zur Eingabe im Onboarding wird intern eine Platzhalter-Adresse verwendet)
• • X / Twitter (OAuth 2.0 mit PKCE, Scopes: users.read, users.email, tweet.read) - übermittelt werden X-ID, Benutzername, Anzeigename, Profilbild sowie - sofern bei X freigegeben - die bestätigte E-Mail-Adresse
• Diese Scopes erlauben ausschließlich das Auslesen der Basis-Profildaten zur Konto-Erstellung. Es werden keine Beiträge veröffentlicht, keine Nachrichten gelesen und kein Zugriff auf Ihre Kontakte gewährt.
• Meldet sich eine bereits registrierte E-Mail-Adresse über einen anderen Anbieter erneut an, erkennen wir den bestehenden Account anhand der E-Mail-Adresse (unabhängig von Groß-/Kleinschreibung) und verknüpfen die neue Anbieter-ID nachträglich (Account-Linking), statt einen doppelten Account anzulegen.
• Sofern in Ihren Sicherheitseinstellungen aktiviert, versenden wir bei jeder Anmeldung (auch per Social Login) eine E-Mail-Benachrichtigung mit Zeitpunkt, Gerät, Browser und ungefährem Standort. Der Standort wird anhand Ihrer IP-Adresse über den Drittanbieter ipinfo.io ermittelt (siehe Abschnitt 10a.1).
• Meta-Konto-Löschung: Für die Anmeldung über Meta (Facebook/Instagram) stellen wir die von Meta vorgeschriebenen Callback-Endpunkte für Deauthorisierung und Datenlöschung bereit. Entfernen Sie die App in Ihren Facebook-Kontoeinstellungen oder fordern dort eine Datenlöschung an, erhalten wir automatisch eine entsprechende Anfrage und stellen den Bearbeitungsstatus unter einer von Meta angezeigten Status-URL bereit.

5.2 Markenprofile und Brand-Daten

• Bei Erstellung eines Markenprofils speichern wir:
• • Markenname und Beschreibung
• • Website-URL (für Brand Analyzer)
• • Hochgeladene Brand-Guidelines und Dokumente
• • Analysierte Markendaten (Farben, Fonts, Tone-of-Voice)
• • Logo und visuelle Assets
• • Zielgruppen-Definitionen
• • Branche und Kategorie
• Zweck: Erstellung markkonformer Inhalte, Brand Identity Management

5.3 Content-Daten (Posts, Medien, Kampagnen)

• Bei der Nutzung der Content-Erstellung speichern wir:
• • Erstellte und geplante Social-Media-Posts (Text, Captions, Hashtags)
• • Hochgeladene und generierte Bilder, Videos, Grafiken
• • Kampagnendaten und Templates
• • Ideenvalidierungen (Swipe-Daten im Idea Generator)
• • Recherche-Dokumente
• • Content-Status (Entwurf, Review, Geplant, Veröffentlicht)
• • Veröffentlichungszeitpunkte und -plattformen
• • Kennzeichnungs- und Herkunftsdaten zu generierten Medien (Inhaltsklasse, Kennzeichnungsstatus, Metadaten-Status) sowie Ihre Bestätigung der redaktionellen Prüfung generierter Texte
• Zweck: Content-Management, Planung, Automatisierung, Archivierung sowie Nachweis der KI-Transparenzpflichten
• Soweit technisch anwendbar, enthalten generierte Mediendateien Kennzeichnungsinformationen, Metadaten oder vergleichbare technische Indikatoren, die anzeigen, dass es sich um KI-generierte oder KI-unterstützte Inhalte handelt (siehe Abschnitt 8.2).

5.4 Nutzungsdaten und Analytics

• Zur Verbesserung der Plattform speichern wir:
• • Login-Zeiten und Session-Dauer
• • Genutzte Features und Funktionen
• • Token-Verbrauch und Abrechnungsdaten
• • Fehlerberichte und Performance-Daten
• • Feedback und Support-Anfragen
• Zweck: Plattform-Verbesserung, Fehleranalyse, Support, Abrechnung

5.5 Social-Media-Plattform-Verknüpfungen (Veröffentlichung)

• Wenn Sie Social-Media-Accounts zum Veröffentlichen verbinden (LinkedIn, Instagram, Facebook, Threads, WhatsApp Business, X, YouTube, TikTok, Wix, WordPress, eigene Website), fragt jede Plattform über OAuth nur die dafür notwendigen Berechtigungen (Scopes) ab. Diese Verbindungen sind unabhängig vom Social Login zur Konto-Anmeldung (siehe Abschnitt 5.1a).
• OAuth Access- und Refresh-Token werden je Plattform AES-256-GCM-verschlüsselt in der Datenbank gespeichert (siehe Abschnitt 10). Abgelaufene, nicht erneuerbare Token werden automatisch invalidiert.
• Die nachfolgenden Abschnitte beschreiben je Plattform, welche Daten verarbeitet werden, wofür sie verwendet werden und wann sie gelöscht werden. Plattformdaten werden ausschließlich für die Verwaltung der verbundenen Präsenz des jeweiligen Kunden genutzt.
• Sie können jede Verbindung jederzeit in den Einstellungen trennen. Wir empfehlen zusätzlich, die App-Berechtigung direkt bei der jeweiligen Plattform zu widerrufen (z. B. in den LinkedIn- oder Meta-Kontoeinstellungen).

5.6 Team- und Company-Account-Daten

• Bei Company Accounts mit mehreren Nutzern speichern wir zusätzlich:
• • Team-Mitglieder und deren Rollen
• • Berechtigungen und Zugriffskontrolle
• • Freigabe-Workflows und Kommentare
• • Aktivitätsprotokolle (Audit Log)
• Zweck: Team-Kollaboration, Zugriffskontrolle, Compliance

5.7 Benachrichtigungen (in der App, Push und E-Mail)

• PostMaestro.ai informiert Sie über Ereignisse in Ihrem Konto, z. B. Kommentare und Erwähnungen, abgeschlossene Generierungen, Veröffentlichungen, Team-Einladungen, Abrechnung, Sicherheit und Wartung. Dafür verarbeiten wir:
• • Benachrichtigungen in Ihrem Posteingang (Glocke) inklusive Lese- und Ausblende-Status
• • Ihre Benachrichtigungs-Einstellungen je Kanal, Kategorie, Bereich und Team-Gruppe
• • Für Push-Benachrichtigungen (Mobile App und Browser): Geräte-Token, eine zufällige Geräte-ID, Gerätename, Plattform, App-Version sowie den Zeitpunkt der letzten Nutzung
• • Ob die App auf einem Gerät gerade geöffnet ist (Sichtbarkeits-Signal, gültig für 90 Sekunden), damit Sie auf dem Gerät, das Sie gerade nutzen, keinen zusätzlichen Push erhalten
• Push-Benachrichtigungen versenden wir über Firebase Cloud Messaging (Google), E-Mail-Benachrichtigungen über SendGrid (siehe Abschnitt 6.3).
• Optionale Benachrichtigungen können Sie unter Einstellungen → Benachrichtigungen je Kanal ein- und ausschalten; Push zusätzlich in den Einstellungen Ihres Geräts bzw. Browsers.
• Hinweise, die für die Nutzung Ihres Kontos erforderlich sind (z. B. Zahlungsprobleme, Pflicht zur Zwei-Faktor-Authentifizierung, Wartung, Änderungen der AGB), stellen wir unabhängig von diesen Einstellungen in der App und per E-Mail zu. Login-Benachrichtigungen sind davon ausgenommen und freiwillig (siehe Abschnitt 12.1). In Ausnahmefällen – etwa bei Wartungsarbeiten oder sicherheitsrelevanten Hinweisen – können wir Ankündigungen auch unabhängig von Ihren Kategorie-Einstellungen in der App und per Push anzeigen; solche Hinweise sind als „Wichtig“ gekennzeichnet.
• Werbliche E-Mails (z. B. zu neuen Funktionen) erhalten Sie nur, wenn Sie den Newsletter abonniert haben (Abschnitt 6).

5.8 News, Research und RSS-Feeds

• Die Plattform bietet eine News-Funktion, die standardmäßig KI-gestützte Recherchen (via Perplexity AI) nutzt, um relevante Branchen-News bereitzustellen. Zusätzlich können Sie eigene RSS-Feeds hinzufügen. Dabei verarbeiten wir:
• • Suchanfragen und Themenpräferenzen für die KI-gestützte News-Suche
• • Die URLs der von Ihnen hinzugefügten RSS-Feeds
• • Ihre Präferenzen und Kategorisierungen für diese Feeds
• • Gelesene oder gespeicherte Artikel
• Die Plattform ruft die Inhalte der Drittanbieter-Feeds über unsere Server ab, sodass Ihre IP-Adresse nicht an die Betreiber der RSS-Feeds übermittelt wird. Bei der Nutzung der KI-gestützten News-Suche werden Ihre Suchanfragen an Perplexity AI übermittelt (siehe Abschnitt 7.3).
• Zweck: Bereitstellung personalisierter Branchen-News, Recherche und Content-Inspiration

6.1 Double-Opt-in-Verfahren

Nach der Anmeldung über die Website erhalten Sie eine E-Mail mit einem Bestätigungslink. Erst nach dem Klick darauf nehmen wir Sie in den Verteiler auf. Nicht bestätigte Anmeldungen löschen wir nach 30 Tagen; eine Erinnerung senden wir nicht.

Bei der Registrierung in der App bestätigen Sie das Abonnement mit dem Klick auf den Link in der Bestätigungs-E-Mail Ihres Kontos, in der wir darauf gesondert hinweisen.

Dies schützt vor der Anmeldung fremder E-Mail-Adressen.

6.2 Nachweis Ihrer Einwilligung

Um nachweisen zu können, dass Sie eingewilligt haben (Art. 7 Abs. 1 DSGVO), protokollieren wir Anmeldung, Bestätigung und Abmeldung mit Zeitpunkt, Herkunft, IP-Adresse, Browser-Kennung und der Version des angezeigten Einwilligungstextes.

Dieses Protokoll bewahren wir nach Ihrer Abmeldung 3 Jahre auf und löschen es danach automatisch.

6.3 SendGrid (E-Mail-Versand)

Für den Versand des Newsletters sowie von Service- und Benachrichtigungs-E-Mails nutzen wir SendGrid (Twilio Inc., USA).

SendGrid verarbeitet Ihre E-Mail-Adresse und die Inhalte der E-Mail in unserem Auftrag und meldet uns technische Zustellereignisse (zugestellt, nicht zustellbar, als Spam gemeldet, abgemeldet). Diese Ereignisse nutzen wir, um den Verteiler aktuell zu halten: Nicht zustellbare Adressen und Spam-Meldungen führen zur Sperrung der Adresse.

Wir haben mit SendGrid einen Auftragsverarbeitungsvertrag (AVV) gemäß Art. 28 DSGVO geschlossen. SendGrid ist nach dem EU-US Data Privacy Framework zertifiziert.

Weitere Informationen: https://www.twilio.com/legal/privacy

Datenschutzerklärung von Twilio (SendGrid)

6.4 Newsletter-Tracking

Wir messen derzeit weder Öffnungen noch Klicks.

Bevor wir solche Statistiken einführen, informieren wir Sie vorab und holen – soweit erforderlich – Ihre Einwilligung ein.

6.5 Abmeldung

Sie können den Newsletter jederzeit abbestellen:

• über den Abmelde-Link in jeder E-Mail oder die Abmelde-Funktion Ihres E-Mail-Programms

• über das Formular unten in diesem Abschnitt: Geben Sie Ihre E-Mail-Adresse ein, wir senden Ihnen einen Link zur Bestätigung der Abmeldung

• in Ihrem PostMaestro-Konto unter Einstellungen → Benachrichtigungen

• per E-Mail an support@postmaestro.ai

Nach der Abmeldung erhalten Sie keine Newsletter mehr. Ihre Adresse steht dann nicht mehr im Verteiler; aufbewahrt wird nur der Nachweis nach Abschnitt 6.2.

8.1 Offenlegung der Interaktion mit einem KI-System

• Sie interagieren in PostMaestro.ai unmittelbar mit KI-Systemen. Alle Funktionen, die Inhalte erzeugen, bewerten, zusammenfassen, übersetzen oder umschreiben, sind KI-gestützt und in der Benutzeroberfläche als solche gekennzeichnet.
• Der Hinweis erfolgt vor der ersten Interaktion, klar, verständlich und deutlich unterscheidbar von den übrigen Bedienelementen (Art. 50 Abs. 1 EU AI Act).
• Wir stellen diese Hinweise barrierefrei bereit und richten sie an den anerkannten Barrierefreiheitsanforderungen aus (Art. 50 Abs. 5 EU AI Act).
• Antworten und Vorschläge der KI können unvollständig, veraltet oder sachlich falsch sein. Sie stellen keine Rechts-, Steuer-, Medizin- oder Finanzberatung dar.

8.2 Maschinenlesbare Markierung generierter Inhalte

• Nach Art. 50 Abs. 2 EU AI Act müssen die Ausgaben von KI-Systemen, die synthetische Bild-, Audio-, Video- oder Textinhalte erzeugen, in einem maschinenlesbaren Format als künstlich erzeugt oder manipuliert markiert werden. Die Markierung muss wirksam, interoperabel, robust und zuverlässig sein.
• Wir setzen diese Anforderung über mehrere, sich ergänzende Verfahren um, da nach dem Stand der Technik kein Einzelverfahren allein die geforderte Robustheit erreicht:
• • Herkunftsmetadaten in der Datei: Beim Export schreiben wir XMP- und IPTC-Metadaten in die erzeugten Mediendateien, insbesondere das IPTC-Feld „Digital Source Type“ mit dem Wert „trainedAlgorithmicMedia“ sowie Angaben zu eingesetztem KI-System, Modellversion und Erzeugungszeitpunkt.
• • Content Credentials (C2PA): Für erzeugte Bild- und Videodateien binden wir eine kryptografisch signierte Herkunftsangabe nach dem C2PA-Standard in die Ausgabe-Pipeline ein.
• • Anbieterseitige Wasserzeichen: Soweit der jeweilige Modellanbieter unsichtbare Wasserzeichen mitliefert, bleiben diese erhalten und werden nicht entfernt. Bei den Bildmodellen von Google Gemini ist dies das Wasserzeichenverfahren SynthID.
• • Validierung: Nach dem Schreiben lesen wir die Markierung erneut aus und protokollieren pro Datei einen Status (ausstehend, gültig, fehlend, entfernt). Schlägt die Einbettung fehl, erzwingen wir bei sensiblen Inhaltsklassen eine sichtbare Kennzeichnung.
• Die Markierung wird serverseitig gesetzt, bevor eine Datei im Speicher abgelegt oder ausgeliefert wird, damit sie Rendering, Upload und Download übersteht. Technisch nicht auszuschließen ist, dass Dritte oder Zielplattformen Metadaten beim erneuten Hochladen, Komprimieren oder Zuschneiden entfernen. In diesem Fall bleibt die sichtbare Kennzeichnung Ihre Absicherung (siehe 8.3).
• Umsetzungsstand und Frist: Die Transparenzpflichten des Art. 50 EU AI Act gelten seit dem 2. August 2026. Für KI-Systeme, die – wie PostMaestro.ai – bereits vor diesem Zeitpunkt am Markt waren, greift die Übergangsfrist bis zum 2. Dezember 2026. Wir setzen die vorstehend beschriebenen Verfahren innerhalb dieser Frist vollständig um und dokumentieren den Umsetzungsstand intern.
• Ein Hinweis in dieser Datenschutzerklärung allein erfüllt Art. 50 Abs. 2 EU AI Act nicht. Maßgeblich ist die maschinenlesbare Markierung an der Datei selbst.

8.3 Ihre Pflichten als Betreiber bei Deepfakes

• Wenn Sie mit PostMaestro.ai erzeugte Inhalte veröffentlichen, sind Sie „Betreiber“ im Sinne des EU AI Act. Die Offenlegungspflicht nach Art. 50 Abs. 4 EU AI Act trifft in diesem Fall Sie und nicht uns.
• Erzeugen oder bearbeiten Sie Bild-, Audio- oder Videoinhalte, die realen Personen, Gegenständen, Orten, Einrichtungen oder Ereignissen zum Verwechseln ähnlich sehen („Deepfakes“), müssen Sie bei der Veröffentlichung offenlegen, dass der Inhalt künstlich erzeugt oder manipuliert wurde.
• Nach den Leitlinien der Europäischen Kommission gilt diese Pflicht unabhängig von einer Täuschungsabsicht und auch dann, wenn keine konkrete reale Person abgebildet ist. Für Veröffentlichungen in sozialen Medien ist sie daher regelmäßig einschlägig.
• Zur Unterstützung stellen wir bereit: eine sichtbare Kennzeichnung als Voreinstellung für sensible Inhaltsklassen, einen Vorschlag für einen Hinweistext beim Export und einen Hinweis im Veröffentlichungs-Ablauf.
• Die Voreinstellung ist stets „gekennzeichnet“. Ein Abschalten ist dokumentationspflichtig: Wir speichern Zeitpunkt, Nutzerkonto, Arbeitsbereich und die Version des Bestätigungstextes. Für fotorealistische Personendarstellungen und synthetische Stimmen ist ein Abschalten ausgeschlossen.
• Die von uns bereitgestellten Kennzeichnungs- und Offenlegungsmechanismen dürfen Sie nicht entfernen, deaktivieren, umgehen oder in ihrer Funktion beeinträchtigen (siehe AGB Abschnitt 6.4).
• Diese Pflicht besteht zusätzlich zu den Kennzeichnungsvorgaben der jeweiligen Social-Media-Plattform. Ob im Einzelfall eine Offenlegungspflicht besteht, müssen Sie selbst prüfen.

8.4 KI-generierte Texte und redaktionelle Verantwortung

• Für Texte ist Art. 50 EU AI Act deutlich enger gefasst als für Bild, Audio und Video. Eine Offenlegungspflicht besteht nur, wenn alle drei folgenden Voraussetzungen zusammentreffen:
• 1. Der Text wurde durch KI erzeugt oder manipuliert.
• 2. Der Text wird veröffentlicht.
• 3. Die Veröffentlichung dient dazu, die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse zu informieren – etwa Nachrichten, politische oder gesellschaftliche Stellungnahmen und Beiträge zu öffentlichen Debatten.
• Die Kennzeichnungspflicht entfällt, wenn der Inhalt einer menschlichen Überprüfung oder redaktionellen Kontrolle unterzogen wurde und eine natürliche oder juristische Person die redaktionelle Verantwortung für die Veröffentlichung trägt.
• Eine allgemeine Kennzeichnungspflicht für jeden KI-generierten Text besteht nicht. Wer KI als Assistenzwerkzeug einsetzt, die Texte redaktionell prüft und selbst verantwortet, unterliegt in der Regel keiner zusätzlichen Kennzeichnungspflicht.
• PostMaestro.ai ist genau darauf ausgelegt: Generierte Texte sind Vorschläge. Vor dem Einplanen oder Veröffentlichen fordern wir eine ausdrückliche Bestätigung, dass Sie den Text geprüft haben und die redaktionelle Verantwortung übernehmen. Diese Bestätigung protokollieren wir mit Zeitpunkt, Nutzerkonto und Textversion, damit die Ausnahme nachweisbar bleibt.
• Der Hinweis in der Anwendung lautet: „Dieser Text ist ein Vorschlag. Bitte prüfen Sie ihn vor der Veröffentlichung. Mit Ihrer Prüfung übernehmen Sie die redaktionelle Verantwortung.“
• Ohne diese Prüfung dürfen Sie generierte Texte nicht als redaktionell verantwortete Inhalte veröffentlichen; die Offenlegungspflicht nach Art. 50 Abs. 4 EU AI Act kann dann greifen.

8.5 Keine Emotionserkennung und keine biometrische Kategorisierung

• PostMaestro.ai setzt keine Systeme zur Emotionserkennung ein und leitet keine Emotionen, Gefühlszustände oder Absichten aus biometrischen Daten ab.
• Wir betreiben keine biometrische Kategorisierung, keine Gesichtserkennung, keine biometrische Identifizierung und keine Erkennung geschützter Merkmale wie ethnischer Herkunft, politischer Einstellung, Religion, Gewerkschaftszugehörigkeit, Gesundheit oder sexueller Orientierung.
• Bewertende Funktionen wie Idea Validation, Brand Analyser oder Performance-Auswertungen beziehen sich ausschließlich auf Inhalte, Marken- und Reichweitendaten – nicht auf Personen und nicht auf biometrische Merkmale.
• Die Informationspflichten nach Art. 50 Abs. 3 EU AI Act für Emotionserkennungs- und biometrische Kategorisierungssysteme greifen bei uns daher nicht ein.

8.6 Verbotene Nutzung: intime Darstellungen ohne Einwilligung und Darstellungen von Kindesmissbrauch

• Art. 5 EU AI Act verbietet KI-Systeme, deren vernünftigerweise vorhersehbares Ergebnis nicht-einvernehmliche intime Darstellungen (NCII) oder Darstellungen sexuellen Kindesmissbrauchs (CSAM) ist. Als Anbieter eines allgemeinen Bild- und Videogenerierungswerkzeugs bewerten wir dieses Missbrauchsrisiko bereits in der Entwurfsphase und sehen technische Schutzvorkehrungen vor.
• Umgesetzte Schutzmaßnahmen:
• • Eingabefilter, die einschlägige Prompts bereits vor dem Aufruf der Bild- und Videomodelle blockieren
• • Ausgabefilter sowie die Sicherheitseinstellungen der eingesetzten Modellanbieter
• • Blockieren von Eingaben, die auf Minderjährige in sexualisiertem Kontext oder auf intime Darstellungen identifizierbarer Personen gerichtet sind
• • Sperrung der Persona- und Voice-Funktionen ohne dokumentierte Einwilligung der betroffenen Person (siehe Abschnitt 5.9)
• • Protokollierung blockierter Anfragen zur Missbrauchserkennung sowie die Möglichkeit, betroffene Konten zu sperren
• Jede Nutzung der Plattform zu diesen Zwecken ist streng untersagt und führt zur sofortigen Sperrung des Kontos sowie, bei Anhaltspunkten für Straftaten, zur Einschaltung der zuständigen Behörden.
• Missbrauch melden: Sie und Dritte können Verstöße jederzeit unter info@nexaluna.ai mit dem Betreff „KI-Missbrauch melden“ anzeigen. Wir prüfen eingehende Meldungen vorrangig und bestätigen den Eingang.
• Unsere Risikobewertung aus der Entwurfsphase, die eingesetzten Filter und die Bearbeitung von Meldungen dokumentieren wir intern und legen sie auf Anforderung der zuständigen Behörden vor.

8.7 Rollenverteilung: Anbieter und Betreiber

• Anbieter im Sinne des EU AI Act ist die Nexaluna AI Solutions UG (haftungsbeschränkt) für das KI-System PostMaestro.ai. Uns treffen die Anbieterpflichten, insbesondere die maschinenlesbare Markierung der Ausgaben nach Art. 50 Abs. 2 und die Offenlegung der KI-Interaktion nach Art. 50 Abs. 1.
• Betreiber sind Sie, sobald Sie die Plattform unter Ihrer Verantwortung nutzen und erzeugte Inhalte veröffentlichen. Sie treffen die Betreiberpflichten, insbesondere die Offenlegung nach Art. 50 Abs. 4 bei Deepfakes und bei Texten von öffentlichem Interesse.
• Die eingesetzten Basismodelle stammen von Dritten (siehe Abschnitt 7). Deren Anbieter sind Anbieter der jeweiligen KI-Modelle; wir sind Anbieter des darauf aufbauenden KI-Systems.
• Ein Register aller eingesetzten Modelle mit der jeweiligen Rollenzuordnung führen wir intern und aktualisieren es bei Änderungen.
• Zur KI-Kompetenz nach Art. 4 EU AI Act schulen wir unsere Mitarbeitenden im Umgang mit den eingesetzten KI-Systemen und dokumentieren die Schulungen.

8.8 Aufsicht und Beschwerden

• Zuständige Marktüberwachungsbehörde, zentrale Anlaufstelle und Beschwerdestelle für den EU AI Act in Deutschland ist seit dem 29. Juli 2026 die Bundesnetzagentur.
• Bundesnetzagentur, Tulpenfeld 4, 53113 Bonn, https://www.bundesnetzagentur.de
• Beschwerden zur KI-Transparenz können Sie jederzeit dort einlegen. Wir bitten Sie, uns vorab unter info@nexaluna.ai zu kontaktieren, damit wir Ihr Anliegen unmittelbar klären können.