Datenschutzerklärung

5.1 Registrierungs- und Account-Daten

• Bei der Registrierung erheben wir:
• • E-Mail-Adresse (Pflichtangabe)
• • Benutzername (Pflichtangabe)
• • Passwort (verschlüsselt mit bcrypt, mindestens 8 Zeichen)
• • Account-Typ (Personal oder Company)
• • Registrierungszeitpunkt
• • Zwei-Faktor-Authentifizierung (2FA) - optional aber empfohlen
• Zweck: Bereitstellung und Verwaltung Ihres Accounts, Authentifizierung, Sicherheit
• Die 2FA-Daten werden nur lokal auf Ihrem Gerät gespeichert (QR-Code Scan). Wir speichern nur den Aktivierungsstatus.
• Hinweis: Sie können sich alternativ auch über Google, Meta (Facebook), LinkedIn, TikTok oder X registrieren/anmelden - siehe Abschnitt 5.1a für die dabei jeweils abgefragten Daten und Berechtigungen.
• Zum Schutz vor automatisierten Registrierungen (Bots) setzen wir Cloudflare Turnstile ein (siehe Abschnitt 10a.2).

5.1a Registrierung & Anmeldung über Drittanbieter (Social Login)

• Zusätzlich zur klassischen Registrierung mit E-Mail und Passwort können Sie sich bei PostMaestro.ai über die folgenden Drittanbieter registrieren bzw. anmelden. Diese Verbindungen dienen ausschließlich der Konto-Erstellung und Anmeldung und sind unabhängig von den Social-Media-Verknüpfungen zum Veröffentlichen von Beiträgen (siehe Abschnitt 5.5) - es werden jeweils eigene, deutlich schwächer berechtigte OAuth-Berechtigungen (Scopes) angefragt:
• • Google (Scopes: openid, profile, email) - übermittelt werden Google-ID, E-Mail-Adresse, Vor-/Nachname, Profilbild und Sprache
• • Meta / Facebook Login (Scopes: public_profile, email) - übermittelt werden Facebook-ID, E-Mail-Adresse, Vor-/Nachname, Profilbild und Sprache
• • Instagram Business Login (Scope: instagram_business_basic) - übermittelt werden Instagram-ID, Benutzername, Anzeigename und Profilbild (keine E-Mail-Adresse - diese wird separat im Onboarding erfragt)
• • LinkedIn (OpenID Connect, Scopes: openid, profile, email) - übermittelt werden LinkedIn-ID, E-Mail-Adresse, Vor-/Nachname, Profilbild und Sprache
• • TikTok Login Kit (Scopes: user.info.basic, user.info.profile) - übermittelt werden TikTok Open-ID, Benutzername, Anzeigename und Profilbild (TikTok stellt keine E-Mail-Adresse bereit - bis zur Eingabe im Onboarding wird intern eine Platzhalter-Adresse verwendet)
• • X / Twitter (OAuth 2.0 mit PKCE, Scopes: users.read, users.email, tweet.read) - übermittelt werden X-ID, Benutzername, Anzeigename, Profilbild sowie - sofern bei X freigegeben - die bestätigte E-Mail-Adresse
• Diese Scopes erlauben ausschließlich das Auslesen der Basis-Profildaten zur Konto-Erstellung. Es werden keine Beiträge veröffentlicht, keine Nachrichten gelesen und kein Zugriff auf Ihre Kontakte gewährt.
• Meldet sich eine bereits registrierte E-Mail-Adresse über einen anderen Anbieter erneut an, erkennen wir den bestehenden Account anhand der E-Mail-Adresse (unabhängig von Groß-/Kleinschreibung) und verknüpfen die neue Anbieter-ID nachträglich (Account-Linking), statt einen doppelten Account anzulegen.
• Sofern in Ihren Sicherheitseinstellungen aktiviert, versenden wir bei jeder Anmeldung (auch per Social Login) eine E-Mail-Benachrichtigung mit Zeitpunkt, Gerät, Browser und ungefährem Standort. Der Standort wird anhand Ihrer IP-Adresse über den Drittanbieter ipinfo.io ermittelt (siehe Abschnitt 10a.1).
• Meta-Konto-Löschung: Für die Anmeldung über Meta (Facebook/Instagram) stellen wir die von Meta vorgeschriebenen Callback-Endpunkte für Deauthorisierung und Datenlöschung bereit. Entfernen Sie die App in Ihren Facebook-Kontoeinstellungen oder fordern dort eine Datenlöschung an, erhalten wir automatisch eine entsprechende Anfrage und stellen den Bearbeitungsstatus unter einer von Meta angezeigten Status-URL bereit.

5.2 Markenprofile und Brand-Daten

• Bei Erstellung eines Markenprofils speichern wir:
• • Markenname und Beschreibung
• • Website-URL (für Brand Analyzer)
• • Hochgeladene Brand-Guidelines und Dokumente
• • Analysierte Markendaten (Farben, Fonts, Tone-of-Voice)
• • Logo und visuelle Assets
• • Zielgruppen-Definitionen
• • Branche und Kategorie
• Zweck: Erstellung markkonformer Inhalte, Brand Identity Management

5.3 Content-Daten (Posts, Medien, Kampagnen)

• Bei der Nutzung der Content-Erstellung speichern wir:
• • Erstellte und geplante Social-Media-Posts (Text, Captions, Hashtags)
• • Hochgeladene und generierte Bilder, Videos, Grafiken
• • Kampagnendaten und Templates
• • Ideenvalidierungen (Swipe-Daten im Idea Generator)
• • Recherche-Dokumente
• • Content-Status (Entwurf, Review, Geplant, Veröffentlicht)
• • Veröffentlichungszeitpunkte und -plattformen
• • Kennzeichnungs- und Herkunftsdaten zu generierten Medien (Inhaltsklasse, Kennzeichnungsstatus, Metadaten-Status) sowie Ihre Bestätigung der redaktionellen Prüfung generierter Texte
• Zweck: Content-Management, Planung, Automatisierung, Archivierung sowie Nachweis der KI-Transparenzpflichten
• Soweit technisch anwendbar, enthalten generierte Mediendateien Kennzeichnungsinformationen, Metadaten oder vergleichbare technische Indikatoren, die anzeigen, dass es sich um KI-generierte oder KI-unterstützte Inhalte handelt (siehe Abschnitt 8.2).

5.4 Nutzungsdaten und Analytics

• Zur Verbesserung der Plattform speichern wir:
• • Login-Zeiten und Session-Dauer
• • Genutzte Features und Funktionen
• • Token-Verbrauch und Abrechnungsdaten
• • Fehlerberichte und Performance-Daten
• • Feedback und Support-Anfragen
• Zweck: Plattform-Verbesserung, Fehleranalyse, Support, Abrechnung

5.5 Social-Media-Plattform-Verknüpfungen (Veröffentlichung)

• Wenn Sie Social-Media-Accounts zum Veröffentlichen verbinden (LinkedIn, Instagram, Facebook, Threads, X, YouTube, TikTok, Wix, WordPress, eigene Website), fragt jede Plattform über OAuth nur die dafür notwendigen Berechtigungen (Scopes) ab. Diese Verbindungen sind unabhängig vom Social Login zur Konto-Anmeldung (siehe Abschnitt 5.1a).
• OAuth Access- und Refresh-Token werden je Plattform AES-256-GCM-verschlüsselt in der Datenbank gespeichert (siehe Abschnitt 10). Abgelaufene, nicht erneuerbare Token werden automatisch invalidiert.
• Für die zeitgenaue Veröffentlichung und Terminierung wird die Zeitzone vorrangig vom jeweiligen Plattform-Anbieter abgefragt (sofern von der Plattform unterstützt, z. B. bei Facebook, Instagram, Wix, WordPress, YouTube) oder aus Ihrer manuellen Festlegung übernommen. Unterstützt eine Plattform keine Zeitzonenabfrage (wie LinkedIn, wo aus Datenschutzgründen keine Standort-Derivate gebildet werden), leiten wir die Zeitzone primär aus dem im Markenprofil hinterlegten Land (Country) ab, hilfsweise aus der Sprache oder der Standardzeitzone der Marke.
• Die nachfolgenden Abschnitte beschreiben je Plattform, welche Daten verarbeitet werden, wofür sie verwendet werden und wann sie gelöscht werden. Plattformdaten werden ausschließlich für die Verwaltung der verbundenen Präsenz des jeweiligen Kunden genutzt.
• Sie können jede Verbindung jederzeit in den Einstellungen trennen. Wir empfehlen zusätzlich, die App-Berechtigung direkt bei der jeweiligen Plattform zu widerrufen (z. B. in den LinkedIn- oder Meta-Kontoeinstellungen).

5.6 Team- und Company-Account-Daten

• Bei Company Accounts mit mehreren Nutzern speichern wir zusätzlich:
• • Team-Mitglieder und deren Rollen
• • Berechtigungen und Zugriffskontrolle (inklusive rollenbasierter Zugriff auf Markenprofile und Social-Media-Verbindungen; Hinweise auf ablaufende Verbindungen erhalten nur berechtigte Rollen)
• • Freigabe-Workflows und Kommentare
• • Aktivitätsprotokolle (Audit Log)
• Zweck: Team-Kollaboration, Zugriffskontrolle, Compliance

5.7 Benachrichtigungen (in der App, Push und E-Mail)

• PostMaestro.ai informiert Sie über Ereignisse in Ihrem Konto, z. B. Kommentare und Erwähnungen, abgeschlossene Generierungen, Veröffentlichungen, Team-Einladungen, Abrechnung, Sicherheit und Wartung. Dafür verarbeiten wir:
• • Benachrichtigungen in Ihrem Posteingang (Glocke) inklusive Lese- und Ausblende-Status
• • Ihre Benachrichtigungs-Einstellungen je Kanal, Kategorie, Bereich und Team-Gruppe
• • Für Push-Benachrichtigungen (Mobile App und Browser): Geräte-Token, eine zufällige Geräte-ID, Gerätename, Plattform, App-Version sowie den Zeitpunkt der letzten Nutzung
• • Ob die App auf einem Gerät gerade geöffnet ist (Sichtbarkeits-Signal, gültig für 90 Sekunden), damit Sie auf dem Gerät, das Sie gerade nutzen, keinen zusätzlichen Push erhalten
• Push-Benachrichtigungen versenden wir über Firebase Cloud Messaging (Google), E-Mail-Benachrichtigungen über SendGrid (siehe Abschnitt 6.3).
• Optionale Benachrichtigungen können Sie unter Einstellungen → Benachrichtigungen je Kanal ein- und ausschalten; Push zusätzlich in den Einstellungen Ihres Geräts bzw. Browsers.
• Hinweise, die für die Nutzung Ihres Kontos erforderlich sind (z. B. Zahlungsprobleme, Pflicht zur Zwei-Faktor-Authentifizierung, Wartung, Änderungen der AGB), stellen wir unabhängig von diesen Einstellungen in der App und per E-Mail zu. Login-Benachrichtigungen sind davon ausgenommen und freiwillig (siehe Abschnitt 12.1). In Ausnahmefällen – etwa bei Wartungsarbeiten oder sicherheitsrelevanten Hinweisen – können wir Ankündigungen auch unabhängig von Ihren Kategorie-Einstellungen in der App und per Push anzeigen; solche Hinweise sind als „Wichtig“ gekennzeichnet.
• Werbliche E-Mails (z. B. zu neuen Funktionen) erhalten Sie nur, wenn Sie den Newsletter abonniert haben (Abschnitt 6).

5.8 News, Research und RSS-Feeds

• Die Plattform bietet eine News-Funktion, die standardmäßig KI-gestützte Recherchen (via Perplexity AI) nutzt, um relevante Branchen-News bereitzustellen. Zusätzlich können Sie eigene RSS-Feeds hinzufügen. Dabei verarbeiten wir:
• • Suchanfragen und Themenpräferenzen für die KI-gestützte News-Suche
• • Die URLs der von Ihnen hinzugefügten RSS-Feeds
• • Ihre Präferenzen und Kategorisierungen für diese Feeds
• • Gelesene oder gespeicherte Artikel
• Die Plattform ruft die Inhalte der Drittanbieter-Feeds über unsere Server ab, sodass Ihre IP-Adresse nicht an die Betreiber der RSS-Feeds übermittelt wird. Bei der Nutzung der KI-gestützten News-Suche werden Ihre Suchanfragen an Perplexity AI übermittelt (siehe Abschnitt 7.3).
• Zweck: Bereitstellung personalisierter Branchen-News, Recherche und Content-Inspiration

6.1 Double-Opt-in-Verfahren

Nach der Anmeldung über die Website erhalten Sie eine E-Mail mit einem Bestätigungslink. Erst nach dem Klick darauf nehmen wir Sie in den Verteiler auf. Nicht bestätigte Anmeldungen löschen wir nach 30 Tagen; eine Erinnerung senden wir nicht.

Bei der Registrierung in der App bestätigen Sie das Abonnement mit dem Klick auf den Link in der Bestätigungs-E-Mail Ihres Kontos, in der wir darauf gesondert hinweisen.

Dies schützt vor der Anmeldung fremder E-Mail-Adressen.

6.2 Nachweis Ihrer Einwilligung

Um nachweisen zu können, dass Sie eingewilligt haben (Art. 7 Abs. 1 DSGVO), protokollieren wir Anmeldung, Bestätigung und Abmeldung mit Zeitpunkt, Herkunft, IP-Adresse, Browser-Kennung und der Version des angezeigten Einwilligungstextes.

Dieses Protokoll bewahren wir nach Ihrer Abmeldung 3 Jahre auf und löschen es danach automatisch.

6.3 SendGrid (E-Mail-Versand)

Für den Versand des Newsletters sowie von Service- und Benachrichtigungs-E-Mails nutzen wir SendGrid (Twilio Inc., USA).

SendGrid verarbeitet Ihre E-Mail-Adresse und die Inhalte der E-Mail in unserem Auftrag und meldet uns technische Zustellereignisse (zugestellt, nicht zustellbar, als Spam gemeldet, abgemeldet). Diese Ereignisse nutzen wir, um den Verteiler aktuell zu halten: Nicht zustellbare Adressen und Spam-Meldungen führen zur Sperrung der Adresse.

Wir haben mit SendGrid einen Auftragsverarbeitungsvertrag (AVV) gemäß Art. 28 DSGVO geschlossen. SendGrid ist nach dem EU-US Data Privacy Framework zertifiziert.

Weitere Informationen: https://www.twilio.com/legal/privacy

Datenschutzerklärung von Twilio (SendGrid)

6.4 Newsletter-Tracking

Wir messen derzeit weder Öffnungen noch Klicks.

Bevor wir solche Statistiken einführen, informieren wir Sie vorab und holen – soweit erforderlich – Ihre Einwilligung ein.

6.5 Abmeldung

Sie können den Newsletter jederzeit abbestellen:

• über den Abmelde-Link in jeder E-Mail oder die Abmelde-Funktion Ihres E-Mail-Programms

• über das Formular unten in diesem Abschnitt: Geben Sie Ihre E-Mail-Adresse ein, wir senden Ihnen einen Link zur Bestätigung der Abmeldung

• in Ihrem PostMaestro-Konto unter Einstellungen → Benachrichtigungen

• per E-Mail an support@postmaestro.ai

Nach der Abmeldung erhalten Sie keine Newsletter mehr. Ihre Adresse steht dann nicht mehr im Verteiler; aufbewahrt wird nur der Nachweis nach Abschnitt 6.2.

8.1 Offenlegung der Interaktion mit einem KI-System

• Sie interagieren in PostMaestro.ai unmittelbar mit KI-Systemen. Alle Funktionen, die Inhalte erzeugen, bewerten, zusammenfassen, übersetzen oder umschreiben, sind KI-gestützt und in der Benutzeroberfläche als solche gekennzeichnet.
• Der Hinweis erfolgt vor der ersten Interaktion, klar, verständlich und deutlich unterscheidbar von den übrigen Bedienelementen (Art. 50 Abs. 1 EU AI Act).
• Wir stellen diese Hinweise barrierefrei bereit und richten sie an den anerkannten Barrierefreiheitsanforderungen aus (Art. 50 Abs. 5 EU AI Act).
• Antworten und Vorschläge der KI können unvollständig, veraltet oder sachlich falsch sein. Sie stellen keine Rechts-, Steuer-, Medizin- oder Finanzberatung dar.

8.2 Maschinenlesbare Markierung generierter Inhalte

• Nach Art. 50 Abs. 2 EU AI Act müssen die Ausgaben von KI-Systemen, die synthetische Bild-, Audio-, Video- oder Textinhalte erzeugen, in einem maschinenlesbaren Format als künstlich erzeugt oder manipuliert markiert werden. Die Markierung muss wirksam, interoperabel, robust und zuverlässig sein.
• Wir setzen diese Anforderung über mehrere, sich ergänzende Verfahren um, da nach dem Stand der Technik kein Einzelverfahren allein die geforderte Robustheit erreicht:
• • Herkunfts-Metadaten in der Datei: Wir betten standardisierte Metadaten direkt in die Bild- und Videodateien ein. Dies umfasst das IPTC-Feld „Digital Source Type“ (mit den Werten „trainedAlgorithmicMedia“ für vollständig synthetische Medien sowie „compositeWithTrainedAlgorithmicMedia“ für KI-bearbeitete reale Aufnahmen), Dublin-Core-Beschreibungen („AI GENERATED“), EXIF-Angaben sowie einen dedizierten XMP-Namespace (https://postmaestro.ai/ns/ai-transparency/1.0/) mit Angaben zum KI-System, Modellversion, Inhaltsklasse, Erzeugungszeitpunkt und Kennzeichnungsstatus.
• • Content Credentials (C2PA): Bilder, Videos und Audiodateien erhalten zusätzlich einen kryptografisch signierten Herkunftsnachweis nach dem C2PA-Standard (Einzelheiten in 8.2a).
• • Anbieterseitige Wasserzeichen: Soweit der jeweilige Modellanbieter unsichtbare Wasserzeichen mitliefert, bleiben diese erhalten und werden nicht entfernt. Bei den Bildmodellen von Google Gemini ist dies das Wasserzeichenverfahren SynthID.
• • Validierung: Nach dem Schreiben lesen wir die Markierung erneut aus und protokollieren pro Datei einen Status (ausstehend, gültig, fehlend, entfernt). Schlägt die Einbettung fehl, erzwingen wir bei sensiblen Inhaltsklassen eine sichtbare Kennzeichnung.
• • Format-Resistenz: Sollte eine Plattform oder ein Konvertierungsschritt Metadaten entfernen, bleibt das eingebrannte optische Kennzeichen als primärer Schutzmechanismus wirksam (siehe 8.3).
• Umsetzungsstand und Frist: Die Transparenzpflichten des Art. 50 EU AI Act gelten seit dem 2. August 2026. Für KI-Systeme, die – wie PostMaestro.ai – bereits vor diesem Zeitpunkt am Markt waren, greift die Übergangsfrist bis zum 2. Dezember 2026. Wir setzen die vorstehend beschriebenen Verfahren innerhalb dieser Frist vollständig um und dokumentieren den Umsetzungsstand intern.
• Ein Hinweis in dieser Datenschutzerklärung allein erfüllt Art. 50 Abs. 2 EU AI Act nicht. Maßgeblich ist die maschinenlesbare Markierung an der Datei selbst.

8.2a Signierte Herkunftsnachweise (C2PA Content Credentials)

• Zusätzlich zu den Metadaten aus 8.2 versehen wir KI-generierte und KI-bearbeitete Bilder (JPEG, PNG, WebP), Videos (MP4) und Audiodateien (MP3, WAV) mit einem kryptografisch signierten Herkunftsnachweis nach dem offenen Standard der Coalition for Content Provenance and Authenticity (C2PA). Plattformen und Prüfwerkzeuge können diesen Nachweis auslesen und z. B. als „CR“-Symbol (Content Credentials) anzeigen.
• Die C2PA hat PostMaestro.ai am 18. Oktober 2026 in ihrem Conformance Program als konformes Generator Product (Assurance Level 1) bestätigt.
• Inhalt des Nachweises: Name und Version der Software („PostMaestro.ai“), Art der Entstehung (vollständig KI-generiert oder KI-bearbeitet), Name des verwendeten KI-Systems bzw. Modells, Zeitpunkt der Erzeugung, ob ein sichtbares KI-Kennzeichen eingefügt wurde, sowie die digitale Signatur. Bei Bearbeitungen und bei Medien, die als Vorlage an das KI-Modell übergeben wurden (z. B. Referenz-, Produkt- oder Personenfotos, Logo), enthält der Nachweis deren Dateinamen, Dateiformat und einen kryptografischen Hashwert. Trägt eine Vorlage selbst einen C2PA-Nachweis, wird dieser übernommen. Vorschaubilder der Vorlagen werden nicht eingebettet.
• Nicht enthalten sind Name, E-Mail-Adresse oder Konto-Kennungen des Nutzers oder seines Unternehmens. Dateinamen von Vorlagen übernehmen wir so, wie die Datei hochgeladen wurde; vergeben Sie keine Dateinamen mit personenbezogenen Angaben (z. B. „max-mustermann.jpg“), wenn diese nicht im veröffentlichten Medium stehen sollen.
• Signiert wird mit einem Zertifikat der Nexaluna AI Solutions UG (haftungsbeschränkt). Der private Signaturschlüssel liegt im AWS Key Management Service (Region Frankfurt), wird dort in Hardware-Sicherheitsmodulen geschützt und verlässt diesen Dienst nicht. Ob ein Prüfwerkzeug den Nachweis als vertrauenswürdig anzeigt, hängt davon ab, ob es die ausstellende Zertifizierungsstelle kennt (z. B. über die C2PA Trust List).
• Zeitstempel: Damit die Signatur auch nach Ablauf des Zertifikats prüfbar bleibt, kann sie mit dem Zeitstempel eines Zeitstempeldienstes versehen werden. Dabei wird ausschließlich ein Hashwert übermittelt, weder die Datei noch personenbezogene Daten.
• Der Nachweis ist Teil der Datei und wird mit ihr veröffentlicht. Bei der Stufe „Keine EU-Kennzeichnung“ wird kein Herkunftsnachweis eingebettet. Plattformen, die Dateien beim Hochladen neu kodieren oder umwandeln, können den Nachweis entfernen; ein eingebranntes sichtbares Kennzeichen bleibt davon unberührt (siehe 8.3).

Rechtsgrundlage: Art. 6 Abs. 1 lit. c DSGVO i. V. m. Art. 50 Abs. 2 der Verordnung (EU) 2024/1689 (maschinenlesbare Kennzeichnung KI-erzeugter Inhalte) sowie Art. 6 Abs. 1 lit. b DSGVO (Bereitstellung der vertraglich vereinbarten Kennzeichnungsfunktion).

8.3 Ihre Pflichten als Betreiber bei Deepfakes & Sichtbare EU-Kennzeichnung

• Wenn Sie von PostMaestro.ai erzeugte Inhalte veröffentlichen, gelten Sie nach dem EU AI Act als „Betreiber“ (Operator). Die Offenlegungspflicht nach Art. 50 Abs. 4 EU AI Act für Bild-, Video- und Audioinhalte, die realen Personen, Orten oder Ereignissen täuschend ähnlich sehen („Deepfakes“), trifft Sie unmittelbar.
• Offizielle EU-Kennzeichen: Zur Erfüllung dieser Pflicht stellt PostMaestro.ai die offiziellen Kennzeichen der Europäischen Kommission bereit, die als Vektorgrafik direkt in das Bildmaterial eingebrannt werden:
• 1. „AI GENERATED“ (Pill-Badge): Für vollständig synthetisch erzeugte Bild- und Medieninhalte.
• 2. „AI MODIFIED“ (Pill-Badge): Für bestehende reale Aufnahmen oder Fotos, die mittels generativer KI verändert oder retuschiert wurden.
• 3. „AI“ (Rundes Icon): Für synthetische Sprachinhalte sowie als Fallback für extrem schmale Bildformate oder kleine Vorschauen, bei denen Text unlesbar wäre.
• Drei Kennzeichnungsstufen: Vor der Veröffentlichung können Sie für jedes Medium im EU-Menü zwischen drei Stufen wählen:
• • KI-Badge + Metadaten (Standard bei generierten Inhalten): Eingebranntes optisches EU-Badge plus maschinenlesbare XMP/IPTC-Dateimetadaten und signierter C2PA-Herkunftsnachweis (siehe 8.2a).
• • Nur Metadaten: Vollständige maschinenlesbare XMP/IPTC-Herkunftsmetadaten und C2PA-Herkunftsnachweis in der Datei, jedoch ohne sichtbares Badge im Bild.
• • Keine EU-Kennzeichnung: Vollständiger Verzicht auf sichtbare Badges, Bereinigung der KI-Herkunftsmetadaten aus der Datei und kein C2PA-Herkunftsnachweis.
• Zwingende Sperren für sensible Inhalte: Für fotorealistische Personenbilder (Inhaltsklasse A1) und synthetische Stimmen (Inhaltsklasse V1) ist das sichtbare Kennzeichen gesetzlich zwingend. Solange der EU-AI-Act-Schalter der Marke für die jeweilige Sprache aktiv ist, deaktiviert das System für diese Klassen die Optionen „Nur Metadaten“ und „Keine EU-Kennzeichnung“ („LABEL_REQUIRED“). Ist der Schalter für eine Sprache ausgeschaltet, weil die Inhalte nicht für den EU-Markt bestimmt sind, kann der Nutzer auf „Nur Metadaten“ wechseln; die maschinenlesbare Kennzeichnung bleibt stets erhalten („METADATA_REQUIRED“). Für die Einhaltung der Kennzeichnungspflichten im jeweiligen Zielmarkt ist der Nutzer verantwortlich.
• Sie sind verpflichtet, vor der Veröffentlichung eigenverantwortlich zu prüfen, ob der gewählte Modus den Anforderungen des EU AI Act und den Richtlinien der jeweiligen Zielplattform genügt.

8.3a Badge-Farbgestaltung, Kontrastprüfung und Komposition

• Damit das gesetzliche Kennzeichen die visuelle Qualität Ihres Beitrags nicht beeinträchtigt und zugleich lesbar bleibt, bietet PostMaestro.ai flexible Gestaltungsmöglichkeiten:
• • Verfügbare Farbvarianten: Sie können im EU-Menü zwischen fünf Varianten wählen: „Auto“ (Standard), „Schwarz“, „Weiß“, „Schwarz 50 % transparent“ und „Weiß 50 % transparent“.
• • Standardmodus „Auto“: Wählt automatisch eine 50 % halbtransparente Plakette im optimalen Kontrast zum Hintergrund – Weiß 50 % auf dunklen Ecken, Schwarz 50 % auf hellen Ecken.
• • KI-Kompositionsplanung: Unsere Prompt-Agenten (Visual Agent, Thumbnail Agent, Visual Creator) planen bei der Prompt-Erstellung vorausschauend eine ruhige, detailarme Bildecke (disclosureCorner) frei von Texten, Gesichtern oder Logos ein und schlagen eine passende Farbe (disclosureStyle) vor.
• • Algorithmische Kontrastprüfung: Beim Rendern misst das System die tatsächliche Luminanz und Standardabweichung der Zielecke. Weicht die tatsächliche Bildhelligkeit vom Vorschlag des Agenten ab, korrigiert der Renderer die Farbe automatisch, um unleserliche Darstellungen (z. B. dunkles Badge auf dunklem Schatten) auszuschließen.

8.3b Eigene Uploads („Kein KI-Bild“) und Lebenszyklus unmarkierter Fassungen

• Keine Fehlklassifizierung realer Medien: Von Ihnen selbst hochgeladene Dateien oder reale Medien aus der Content Library werden vom System als nicht KI-generiert erkannt (aiOrigin: false) und in der Oberfläche mit einem neutralen grauen Status als „Kein KI-Bild“ markiert. Für diese Medien wird standardmäßig kein KI-Kennzeichen gesetzt.
• Freiwilliges KI-Tagging: Sie können auf Wunsch auch für eigene Uploads freiwillig ein EU-Kennzeichen und Metadaten setzen (z. B. bei unternehmensinternen Richtlinien oder hybriden Bearbeitungen). Dieses freiwillige Kennzeichen kann jederzeit wieder entfernt werden.
• Temporäre unmarkierte Fassung (Clean Source): Um Ihnen bis zur Veröffentlichung den flexiblen Wechsel zwischen den Stufen („Badge + Metadaten“, „Nur Metadaten“, „Keine Kennzeichnung“) zu ermöglichen, speichert PostMaestro.ai während der Entwurfsphase eine unmarkierte Rohfassung des Bildes im geschützten Speicher.
• Unwiderrufliche Löschung nach Veröffentlichung: Sobald ein Beitrag veröffentlicht wird (Status „published“), greift unsere automatische Datenbereinigung (post-media-cleanup): Alle unmarkierten Rohfassungen werden unwiderruflich von unseren Servern gelöscht. Der Veröffentlichungszustand des Beitrags wird dauerhaft fixiert, sodass nachträglich keine Kennzeichen unbemerkt entfernt werden können.

Speicherdauer: Unmarkierte Rohfassungen verbleiben nur bis zum Veröffentlichungszeitpunkt bzw. bis zum Löschen des Beitragsentwurfs auf unseren Systemen.

8.4 KI-generierte Texte und redaktionelle Verantwortung

• Für Texte ist Art. 50 EU AI Act deutlich enger gefasst als für Bild, Audio und Video. Eine Offenlegungspflicht besteht nur, wenn alle drei folgenden Voraussetzungen zusammentreffen:
• 1. Der Text wurde durch KI erzeugt oder manipuliert.
• 2. Der Text wird veröffentlicht.
• 3. Die Veröffentlichung dient dazu, die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse zu informieren – etwa Nachrichten, politische oder gesellschaftliche Stellungnahmen und Beiträge zu öffentlichen Debatten.
• Die Kennzeichnungspflicht entfällt, wenn der Inhalt einer menschlichen Überprüfung oder redaktionellen Kontrolle unterzogen wurde und eine natürliche oder juristische Person die redaktionelle Verantwortung für die Veröffentlichung trägt.
• Eine allgemeine Kennzeichnungspflicht für jeden KI-generierten Text besteht nicht. Wer KI als Assistenzwerkzeug einsetzt, die Texte redaktionell prüft und selbst verantwortet, unterliegt in der Regel keiner zusätzlichen Kennzeichnungspflicht.
• PostMaestro.ai ist genau darauf ausgelegt: Generierte Texte sind Vorschläge. Vor dem Einplanen oder Veröffentlichen fordern wir eine ausdrückliche Bestätigung, dass Sie den Text geprüft haben und die redaktionelle Verantwortung übernehmen. Diese Bestätigung protokollieren wir mit Zeitpunkt, Nutzerkonto und Textversion, damit die Ausnahme nachweisbar bleibt.
• Der Hinweis in der Anwendung lautet: „Dieser Text ist ein Vorschlag. Bitte prüfen Sie ihn vor der Veröffentlichung. Mit Ihrer Prüfung übernehmen Sie die redaktionelle Verantwortung.“
• Ohne diese Prüfung dürfen Sie generierte Texte nicht als redaktionell verantwortete Inhalte veröffentlichen; die Offenlegungspflicht nach Art. 50 Abs. 4 EU AI Act kann dann greifen.

8.5 Keine Emotionserkennung und keine biometrische Kategorisierung

• PostMaestro.ai setzt keine Systeme zur Emotionserkennung ein und leitet keine Emotionen, Gefühlszustände oder Absichten aus biometrischen Daten ab.
• Wir betreiben keine biometrische Kategorisierung, keine Gesichtserkennung, keine biometrische Identifizierung und keine Erkennung geschützter Merkmale wie ethnischer Herkunft, politischer Einstellung, Religion, Gewerkschaftszugehörigkeit, Gesundheit oder sexueller Orientierung.
• Bewertende Funktionen wie Idea Validation, Brand Analyser oder Performance-Auswertungen beziehen sich ausschließlich auf Inhalte, Marken- und Reichweitendaten – nicht auf Personen und nicht auf biometrische Merkmale.
• Die Informationspflichten nach Art. 50 Abs. 3 EU AI Act für Emotionserkennungs- und biometrische Kategorisierungssysteme greifen bei uns daher nicht ein.

8.6 Verbotene Nutzung: intime Darstellungen ohne Einwilligung und Darstellungen von Kindesmissbrauch

• Art. 5 EU AI Act verbietet KI-Systeme, deren vernünftigerweise vorhersehbares Ergebnis nicht-einvernehmliche intime Darstellungen (NCII) oder Darstellungen sexuellen Kindesmissbrauchs (CSAM) ist. Als Anbieter eines allgemeinen Bild- und Videogenerierungswerkzeugs bewerten wir dieses Missbrauchsrisiko bereits in der Entwurfsphase und sehen technische Schutzvorkehrungen vor.
• Umgesetzte Schutzmaßnahmen:
• • Eingabefilter, die einschlägige Prompts bereits vor dem Aufruf der Bild- und Videomodelle blockieren
• • Ausgabefilter sowie die Sicherheitseinstellungen der eingesetzten Modellanbieter
• • Blockieren von Eingaben, die auf Minderjährige in sexualisiertem Kontext oder auf intime Darstellungen identifizierbarer Personen gerichtet sind
• • Sperrung der Persona- und Voice-Funktionen ohne dokumentierte Einwilligung der betroffenen Person (siehe Abschnitt 5.9)
• • Protokollierung blockierter Anfragen zur Missbrauchserkennung sowie die Möglichkeit, betroffene Konten zu sperren
• Jede Nutzung der Plattform zu diesen Zwecken ist streng untersagt und führt zur sofortigen Sperrung des Kontos sowie, bei Anhaltspunkten für Straftaten, zur Einschaltung der zuständigen Behörden.
• Missbrauch melden: Sie und Dritte können Verstöße jederzeit unter info@nexaluna.ai mit dem Betreff „KI-Missbrauch melden“ anzeigen. Wir prüfen eingehende Meldungen vorrangig und bestätigen den Eingang.
• Unsere Risikobewertung aus der Entwurfsphase, die eingesetzten Filter und die Bearbeitung von Meldungen dokumentieren wir intern und legen sie auf Anforderung der zuständigen Behörden vor.

8.7 Rollenverteilung: Anbieter und Betreiber

• Anbieter im Sinne des EU AI Act ist die Nexaluna AI Solutions UG (haftungsbeschränkt) für das KI-System PostMaestro.ai. Uns treffen die Anbieterpflichten, insbesondere die maschinenlesbare Markierung der Ausgaben nach Art. 50 Abs. 2 und die Offenlegung der KI-Interaktion nach Art. 50 Abs. 1.
• Betreiber sind Sie, sobald Sie die Plattform unter Ihrer Verantwortung nutzen und erzeugte Inhalte veröffentlichen. Sie treffen die Betreiberpflichten, insbesondere die Offenlegung nach Art. 50 Abs. 4 bei Deepfakes und bei Texten von öffentlichem Interesse.
• Die eingesetzten Basismodelle stammen von Dritten (siehe Abschnitt 7). Deren Anbieter sind Anbieter der jeweiligen KI-Modelle; wir sind Anbieter des darauf aufbauenden KI-Systems.
• Ein Register aller eingesetzten Modelle mit der jeweiligen Rollenzuordnung führen wir intern und aktualisieren es bei Änderungen.
• Zur KI-Kompetenz nach Art. 4 EU AI Act schulen wir unsere Mitarbeitenden im Umgang mit den eingesetzten KI-Systemen und dokumentieren die Schulungen.

8.8 Aufsicht und Beschwerden

• Zuständige Marktüberwachungsbehörde, zentrale Anlaufstelle und Beschwerdestelle für den EU AI Act in Deutschland ist seit dem 29. Juli 2026 die Bundesnetzagentur.
• Bundesnetzagentur, Tulpenfeld 4, 53113 Bonn, https://www.bundesnetzagentur.de
• Beschwerden zur KI-Transparenz können Sie jederzeit dort einlegen. Wir bitten Sie, uns vorab unter info@nexaluna.ai zu kontaktieren, damit wir Ihr Anliegen unmittelbar klären können.