Zum Inhalt
lenas.ai
Kostenlos testen

Stand: 5. November 2026

Vereinbarung zur Auftragsverarbeitung

Worum es geht

Lädst du bei lenas.ai Fotos hoch, sind darauf oft Räume, Gebäude oder Grundstücke deiner Kunden zu sehen, manchmal auch Personen oder Kfz-Kennzeichen. Für diese Daten bist du als Betrieb verantwortlich, wir verarbeiten sie nur in deinem Auftrag. Diese Vereinbarung nach Art. 28 der Datenschutz-Grundverordnung (DSGVO) regelt, wie wir das tun. Sie ist Teil der AGB und gilt ab deiner ersten Nutzung, ohne gesonderte Unterschrift.

Verantwortlicher ist der Betrieb, der lenas.ai nutzt („du“). Auftragsverarbeiter ist die REVIS1 LLC, 2645 Executive Park Dr, Weston, FL 33331, USA („wir“), vertreten in der EU durch Michael Braginski, c/o POSTFLEX PFX-185-489, Emsdettener Straße 10, 48268 Greven, Deutschland.

1. Gegenstand und Dauer

  1. Gegenstand ist die Verarbeitung personenbezogener Daten, die in deinen Fotos, Wünschen und Angebots-PDFs enthalten sind, um daraus Visualisierungen zu erzeugen, sie zu speichern und dir bereitzustellen.
  2. Die Vereinbarung gilt, solange du lenas.ai nutzt, und endet mit der Löschung deines Kontos. Pflichten, die über das Ende hinaus wirken, bleiben bestehen.

2. Art, Zweck, Daten und Betroffene

  1. Art der Verarbeitung: Hochladen, Speichern, Verkleinern und Bearbeiten von Fotos, Übermittlung an den Anbieter des gewählten KI-Modells, Speichern der Ergebnisse, Bereitstellung im Konto, Export und Löschen.
  2. Zweck: Erzeugen von Vorher-Nachher-Visualisierungen und Angeboten für deine Kunden.
  3. Arten von Daten: Fotos von Räumen, Gebäuden und Grundstücken, darauf gegebenenfalls Personen, Kfz-Kennzeichen, Hausnummern oder Gegenstände, die auf eine Person schließen lassen; Texte in Wünschen und Korrekturen; im Angebots-PDF Projektname, Kundenname und Anmerkung. Beim Hochladen entfernen wir alle Metadaten aus dem Foto, auch Aufnahmeort und Gerät.
  4. Betroffene: deine Kunden und Interessenten, Personen auf den Fotos, deine Mitarbeiter.
  5. Besondere Kategorien von Daten nach Art. 9 DSGVO sind nicht Gegenstand dieser Vereinbarung. Lade keine Fotos hoch, die solche Daten zeigen.

3. Weisungen

  1. Wir verarbeiten die Daten nur auf deine dokumentierte Weisung. Deine Weisungen sind diese Vereinbarung und das, was du in lenas.ai auslöst: Hochladen, Auftrag absenden, Teilen, Exportieren, Löschen. Weitere Weisungen schickst du per E-Mail an die Adresse im Impressum.
  2. Hält eine Weisung nach unserer Ansicht gegen Datenschutzrecht, sagen wir dir das sofort. Bis du sie bestätigst oder änderst, dürfen wir sie aussetzen.
  3. Eigene Zwecke verfolgen wir mit den Daten nicht. Wir nutzen sie insbesondere nicht zum Training von KI-Modellen und veröffentlichen sie nicht. In der Community-Galerie erscheint ein Ergebnis nur, wenn du es selbst teilst.

4. Vertraulichkeit

Wer bei uns Zugang zu den Daten hat, ist zur Vertraulichkeit verpflichtet. Zugang hat nur, wer ihn für den Betrieb von lenas.ai braucht.

5. Sicherheit

Wir treffen die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, die in der Anlage 1 beschrieben sind. Wir dürfen sie weiterentwickeln, solange das Schutzniveau nicht sinkt.

6. Unterauftragsverarbeiter

  1. Du genehmigst die in Anlage 2 genannten Unterauftragsverarbeiter.
  2. Neue oder andere Unterauftragsverarbeiter kündigen wir mindestens 14 Tage vorher per E-Mail an. Du kannst aus wichtigem datenschutzrechtlichem Grund widersprechen. Können wir uns nicht einigen, darfst du den Vertrag zum Wirksamwerden der Änderung kündigen.
  3. Unterauftragsverarbeiter verpflichten wir vertraglich auf dieselben Datenschutzpflichten wie uns. Sitzt einer außerhalb der EU oder des EWR, sorgen wir für eine Grundlage nach Kapitel V DSGVO, etwa eine Zertifizierung nach dem EU-US Data Privacy Framework oder die Standardvertragsklauseln der EU-Kommission.

7. Übermittlung an uns in die USA

  1. Wir sitzen in den USA, speichern deine Daten aber in Deutschland. Soweit unsere Verarbeitung trotzdem als Übermittlung in ein Drittland gilt, schließen wir mit dir mit dieser Vereinbarung die Standardvertragsklauseln der EU-Kommission (Durchführungsbeschluss (EU) 2021/914), Modul 2: du als Datenexporteur, wir als Datenimporteur. Für Kunden aus der Schweiz gelten sie mit den Anpassungen für das Schweizer Recht.
  2. Dabei gilt: Klausel 7 (Beitritt weiterer Parteien) ist vereinbart. Für Unterauftragsverarbeiter gilt Klausel 9 Buchstabe a Option 2 (allgemeine Genehmigung) mit der Frist aus Abschnitt 6 dieser Vereinbarung. Die Wahlmöglichkeit in Klausel 11 entfällt. Zuständige Aufsichtsbehörde nach Klausel 13 ist die, die für dich zuständig ist. Es gilt deutsches Recht (Klausel 17), zuständig sind die Gerichte in Deutschland (Klausel 18). Anhang I der Klauseln sind die Abschnitte 1 und 2, Anhang II die Anlage 1 und Anhang III die Anlage 2 dieser Vereinbarung.
  3. Gehen die Standardvertragsklauseln dieser Vereinbarung vor, gelten die Klauseln.

8. Rechte der Betroffenen

Wendet sich ein Betroffener an uns, leiten wir die Anfrage an dich weiter. Wir unterstützen dich dabei, Auskunft zu geben, Daten zu berichtigen oder zu löschen. Vieles kannst du selbst erledigen: Bilder einzeln löschen, alle Bilder exportieren, das Konto löschen.

9. Unterstützung und Datenpannen

  1. Wir unterstützen dich bei der Sicherheit der Verarbeitung, bei Meldungen an die Aufsichtsbehörde, bei der Benachrichtigung Betroffener und bei einer Datenschutz-Folgenabschätzung, soweit es um unsere Verarbeitung geht.
  2. Bemerken wir eine Verletzung des Schutzes deiner Daten, informieren wir dich unverzüglich, spätestens innerhalb von 24 Stunden, mit allen Angaben, die du für eine Meldung nach Art. 33 DSGVO brauchst.

10. Löschung am Ende

  1. Bilder, die du löschst, entfernen wir sofort aus dem Speicher. Löschst du dein Konto, entfernen wir alle Fotos, Ergebnisse und Clips. Vorher kannst du alles als ZIP exportieren.
  2. Was der Anbieter eines KI-Modells für einen Auftrag zwischenspeichert, löscht er nach seinen in Anlage 2 genannten Fristen.
  3. Rechnungen sind nicht Gegenstand dieser Vereinbarung.

11. Nachweise und Kontrollen

Auf Anfrage geben wir dir die Informationen, die du zum Nachweis der Pflichten aus Art. 28 DSGVO brauchst. Kontrollen, auch durch einen von dir beauftragten Prüfer, sind nach Absprache mit angemessener Vorankündigung möglich. Prüfer müssen zur Vertraulichkeit verpflichtet sein.

12. Haftung und Rangfolge

Für die Haftung gilt Art. 82 DSGVO, im Übrigen § 13 der AGB. Widerspricht diese Vereinbarung den AGB, geht diese Vereinbarung beim Datenschutz vor.

Anlage 1: Technische und organisatorische Maßnahmen

  • Standort: Server, Datenbank und Bildspeicher liegen in Rechenzentren der Hetzner Online GmbH in Deutschland.
  • Verschlüsselung: Die Verbindung zu lenas.ai ist per HTTPS verschlüsselt, ebenso die Übermittlung an die Anbieter der KI-Modelle.
  • Zugang: Anmeldung ohne Passwort über einen Link per E-Mail, der 15 Minuten gilt, nur einmal funktioniert und bei uns nur als Prüfwert gespeichert ist. Eine Anmeldung endet 30 Tage nach der letzten Nutzung. Zähler begrenzen Anmeldeversuche und Aufträge.
  • Zugriff: Fotos und Ergebnisse sind privat. Abrufen kann sie nur das eigene Konto, fremde Anfragen erhalten keine Datei. Öffentlich wird nur, was du in der Community-Galerie teilst und wir freigeben.
  • Datensparsamkeit: Beim Hochladen entfernen wir alle Metadaten aus dem Foto, auch den Aufnahmeort. An den Anbieter eines KI-Modells geht nur, was der Auftrag braucht: Foto und Auftragstext, keine Namen und keine Kontodaten.
  • Löschung: Einzelne Bilder und das ganze Konto löschst du selbst. Gastkonten löschen wir 90 Tage nach der Anlage.
  • Verwaltung: Zugang zur Verwaltung hat nur der Betreiber. Jede Sperre braucht eine Begründung.
  • Sicherung: Die Datenbank wird jede Nacht gesichert, die Bilder werden einmal pro Woche gespiegelt, jeweils in einen getrennten Speicher bei Hetzner in Deutschland. Abzüge der Datenbank werden nach 14 Tagen gelöscht, gelöschte Bilder fallen mit der nächsten Spiegelung weg. Die Wiederherstellung ist im Betriebshandbuch beschrieben und wird vor dem Live-Gang geprobt.
  • Protokollierung: Der Webserver protokolliert Zugriffe mit IP-Adresse; die Protokolle werden nach 14 Tagen gelöscht.
  • Serverzugang: [ANPASSEN: Anmeldung am Server nur per SSH-Schlüssel für den Betreiber, Bestätigung mit der Server-Einrichtung]

Anlage 2: Unterauftragsverarbeiter

  • Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland: Server, Datenbank und Bildspeicher in Deutschland.
  • Features & Labels, Inc. (fal.ai), 2261 Market St. Suite 10467, San Francisco, CA 94114, USA: Erzeugung von Bildern und Clips mit den Modellen ohne Kennzeichen „EU“. Grundlage für die Übermittlung sind die EU-Standardvertragsklauseln im Vertrag zur Auftragsverarbeitung mit fal.ai. Den Auftragsverlauf bei fal.ai schalten wir ab, hochgeladene Fotos und Ergebnisse löscht fal.ai nach einem Tag.
  • Google LLC, USA, Dienst Vertex AI über den EU-Endpunkt: Erzeugung mit den Modellen mit Kennzeichen „EU“ und Übersetzung von Wünschen ins Englische, Verarbeitung in der EU. Google ist nach dem EU-US Data Privacy Framework zertifiziert.