Datenschutzerklärung

Kurzfassung

• Zwei Tools laufen vollständig in Ihrem Browser — Circle Crop und der Vorschau-/Bearbeitungsschritt von Compress nutzen die HTML5-Canvas-API auf Ihrem Gerät. Es werden keine Daten hochgeladen.
• Zwei Tools leiten eine einzelne Anfrage über unsere Infrastruktur — der finale Compress-Download (wenn Sie auf „Download” klicken) und Remove Background. Beide löschen Ihr Bild unmittelbar nach der Antwort; es wird weder gespeichert, noch indiziert, protokolliert oder zum Training verwendet.
• Wir setzen auf unseren eigenen Seiten keine Tracking-Cookies. Cloudflare Web Analytics erfasst aggregierte Seitenaufruf-Daten ohne Cookies. Werbe-Cookies von Drittanbietern (AdSense) werden nur auf Tool-Seiten und nur nach Ihrer Einwilligung in Regionen geladen, die dies vorschreiben.
• Sie können die clientseitigen Aussagen selbst überprüfen. Öffnen Sie DevTools → Netzwerk und beobachten Sie, wie Circle Crop und die Compress-Vorschau ohne Upload-Anfragen ausgeführt werden.

Wer wir sind — Identifikation des Verantwortlichen

Araluma wird als persönliches Projekt von Guilherme Campos, einem unabhängigen Entwickler mit Sitz in Brasilien, betrieben.

Im Sinne der DSGVO (EU), LGPD (Brasilien), CCPA/CPRA (Kalifornien) und ähnlicher Gesetze ist der Verantwortliche Guilherme Campos, erreichbar unter guilherme@araluma.com für datenschutzrechtliche Anfragen. Allgemeiner Support ist unter support@araluma.com erreichbar.

Gemäß der brasilianischen Resolução CD/ANPD nº 2/2022 gilt dieses Projekt als „agente de tratamento de pequeno porte” und ist nicht verpflichtet, formell einen Datenschutzbeauftragten (Encarregado) zu benennen; der oben genannte Verantwortliche dient als direkter Kommunikationskanal mit betroffenen Personen, wie von Art. 11 dieser Resolução und §2 des Art. 41 der LGPD gefordert.

Welche Informationen wir verarbeiten — und auf welcher Rechtsgrundlage

Jeder der nachfolgenden Vorgänge ist seiner Rechtsgrundlage nach LGPD Art. 7 (Brasilien) und dem entsprechenden DSGVO Art. 6 (EU) zugeordnet. Wir legen diese ausdrücklich offen, damit Sie nachvollziehen können, auf welche Grundlage wir uns für welchen Verarbeitungsweg stützen.

Ihre Bilder — Circle Crop und Compress-Vorschau

Wenn Sie Circle Crop verwenden oder im Compress-Tool den Qualitäts-Regler, das Format oder die Split-View anpassen, findet die Verarbeitung vollständig in Ihrem Browser über <canvas> und canvas.toBlob statt. Die Bild-Bytes verlassen Ihr Gerät nicht. Es wird keine Version an unsere Infrastruktur gesendet, zwischengespeichert oder protokolliert — da keine Anfrage mit Ihrem Bild gestellt wird. Rechtsgrundlage: entfällt — eine Verarbeitung durch uns findet nicht statt.

Ihre Bilder — Compress-Download und Remove Background

Zwei Vorgänge werden über unsere Infrastruktur geleitet. Rechtsgrundlage für beide: LGPD Art. 7, V — Erfüllung des vom Nutzer angeforderten Vertrags (kostenloser Dienst), ergänzt durch unser berechtigtes Interesse (Art. 7, IX) an einem nachhaltigen Betrieb des Dienstes.

Compress-Download. Wenn Sie im Compress-Tool auf „Download” klicken, wird Ihr Bild einmalig an api.araluma.com gesendet (ein Fastify-Dienst auf einem VPS in Deutschland, betrieben von Hostinger). Es wird von sharp 0.34 + libvips 8.17 — denselben C-Bibliotheken, die Squoosh serverseitig einsetzt — neu kodiert und das Ergebnis an Ihren Browser zurückgegeben. Der Dienst unterhält einen mandanten-isolierten, inhaltsadressierten Cache (ein Hash der Bytes und Parameter): Ein erneutes Herunterladen desselben Bildes mit denselben Einstellungen liefert das gecachte Ergebnis, ohne es neu zu kodieren. Cache-Einträge werden per LRU verdrängt und sind auf 500 MB begrenzt, mit einer typischen Lebenszeit von einigen Minuten bis wenigen Stunden je nach Datenaufkommen; signierte kanonische URLs, die auf Cache-Einträge verweisen, haben eine TTL von 900 Sekunden. Der Cache wird nicht nach Nutzer, IP oder Dateiname indiziert, nicht protokolliert, nicht zum Training eines Modells verwendet und nicht an Dritte außerhalb des Kodierungsdienstes weitergegeben.

Remove Background. Ihr Bild wird einmalig an einen Cloudflare Worker (araluma-bg-remover) hochgeladen, in einem privaten R2-Bucket (araluma-bg-temp) zwischengespeichert, durch Cloudflares cf.image.segment-Transformation geleitet (die das BiRefNet-Modell auf den Edge-GPUs von Cloudflare ausführt) und der resultierende Ausschnitt wird an Ihren Browser zurückgesendet. Das zwischengespeicherte R2-Objekt wird unabhängig vom Ergebnis innerhalb einer Stunde automatisch durch eine R2-Lifecycle-Regel gelöscht. Uploads sind auf 5 MB und 30 Anfragen pro IP und Tag begrenzt. Sollte unser Worker nicht erreichbar sein, greift das Tool auf ein lokales Modell (@imgly/background-removal) zurück, das in Ihrem Browser via WebAssembly läuft — in diesem Fallback-Pfad findet kein Upload statt.

In keinem Fall wird Ihr Bild aufbewahrt, indiziert, verkauft oder an Dritte außer dem genannten Subauftragsverarbeiter, der die Kodierung oder Segmentierung durchführt, weitergegeben. Wir sehen Ihre Bilder nicht und verfügen über keinen Prozess, der sie uns zugänglich machen würde.

Daten des Seitenbesuchs

Wir verwenden Cloudflare Web Analytics, um aggregiert zu verstehen, welche Seiten besucht werden, und so Verbesserungen priorisieren zu können. Cloudflare Web Analytics ist serverseitig, setzt keine Tracking-Cookies, erstellt kein Geräteprofil und vergibt keine persistente Kennung. Rechtsgrundlage: LGPD Art. 7, IX — berechtigtes Interesse an der aggregierten Messung der Seitennutzung. DSGVO-Entsprechung: Art. 6(1)(f).

Die erfassten Daten beschränken sich auf: die Seiten-URL, die verweisende URL, Ihr Land (abgeleitet aus Ihrer IP, nicht individuell gespeichert), die Browser-Familie (z. B. „Chrome 130”) und Leistungswerte der Core Web Vitals. Keines dieser Daten wird einer Person zugeordnet.

Technisch notwendige Cookies

Cloudflare kann als unser Hosting-, DNS- und Edge-Computing-Anbieter eine geringe Anzahl technisch notwendiger Cookies setzen, um die Website bereitzustellen und vor automatisiertem Missbrauch zu schützen (z. B. das __cf_bm-Cookie zur Bot-Erkennung). Diese Cookies sind für den Betrieb der Website erforderlich und werden nicht für Werbung oder Tracking genutzt. Rechtsgrundlage: LGPD Art. 7, IX — berechtigtes Interesse an der Website-Sicherheit. Gemäß dem Cookie-Leitfaden der ANPD von 2022 benötigen technisch notwendige Cookies keine vorherige Einwilligung. Siehe die Cloudflare-Cookie-Richtlinie für die vollständige Liste.

Lokaler Browser-Speicher

Um die Website über Besuche hinaus nutzbar zu machen, speichert Araluma kleine Datenmengen im localStorage Ihres Browsers: Ihr gewähltes Thema (hell oder dunkel), Ihre bevorzugte Sprache und ein Flag, das anzeigt, ob Sie den Sprachauswahl-Hinweis geschlossen haben. Diese Daten verlassen Ihren Browser nicht und sind für uns nicht einsehbar. Rechtsgrundlage: LGPD Art. 7, V — Erfüllung des vom Nutzer angeforderten Dienstes (Ihre Einstellungen).

Rate-Limiting

Um Missbrauch des Remove Background Workers zu verhindern, führen wir einen täglichen IP-basierten Zähler in einem Cloudflare-KV-Namespace (araluma-bg-ratelimit). Der Zähler wird alle 24 Stunden zurückgesetzt und speichert ausschließlich den Zählerstand, nicht die Bilder oder andere Inhalte. Rechtsgrundlage: LGPD Art. 7, IX — berechtigtes Interesse an der Dienstverfügbarkeit.

Werbung

Araluma zeigt auf Tool-Seiten eine einzelne, von Google über AdSense ausgelieferte Werbeeinheit an. Die Startseite, Satelliten-Seiten und rechtliche Seiten bleiben werbefrei.

Rechtsgrundlage: LGPD Art. 7, I — Einwilligung der betroffenen Person. Gemäß dem Cookie-Leitfaden der ANPD von 2022 sind Werbe-Cookies nicht technisch notwendig und erfordern eine ausdrückliche vorherige Einwilligung mit einem Banner, das „Akzeptieren” und „Ablehnen” gleichwertig anbietet.

Wir setzen Google Funding Choices als Consent Management Platform (CMP) ein. Es handelt sich um die native CMP von AdSense, die das IAB-TCF-v2.2-Einwilligungssignal implementiert und den von Google empfohlenen Weg zur Einhaltung von LGPD, DSGVO und CPRA für werbetreibende Publisher darstellt. Das CMP-Banner wird Besuchern aus Regionen, die eine vorherige Einwilligung gesetzlich vorschreiben (EU, Vereinigtes Königreich, Brasilien, Kalifornien), automatisch angezeigt. Ihre Entscheidung — alle akzeptieren, alle ablehnen oder individuell anpassen — wird gespeichert und bei späteren Besuchen berücksichtigt. Sie können die Einwilligungseinstellungen jederzeit über den Link „Datenschutz” erneut aufrufen, den die CMP bei aktiver Einbindung in die Fußzeile der Seite einfügt.

Wenn Sie einwilligen, können Drittanbieter einschließlich Google Cookies und Web-Beacons verwenden, um Ihnen personalisierte Anzeigen auf Grundlage Ihrer Besuche bei Araluma und anderen Websites auszuspielen. Lehnen Sie ab, schaltet AdSense weiterhin Anzeigen, jedoch ausschließlich nicht-personalisierte — allein basierend auf dem Seiteninhalt, nicht auf Ihrem Browserverlauf. Personalisierte Werbung können Sie darüber hinaus global über die Google-Anzeigeneinstellungen deaktivieren oder unter aboutads.info einen branchenweiten Opt-out vornehmen.

Premium-Stufe (zukünftig)

Wir planen, in Zukunft eine optionale kostenpflichtige Stufe „Araluma Pro” anzubieten, die über Lemon Squeezy als Merchant of Record abgewickelt wird. Sollten Sie zu diesem Zeitpunkt ein Abonnement abschließen, verarbeitet Lemon Squeezy Ihre Abrechnungsdaten (Name, E-Mail-Adresse, Rechnungsadresse, Zahlungsmittel) gemäß ihrer eigenen Datenschutzrichtlinie als Subauftragsverarbeiter. Wir erhalten lediglich eine Bestätigung, dass Ihre Lizenz gültig ist, sowie Ihre E-Mail-Adresse für die Lizenzkommunikation. Rechtsgrundlage: LGPD Art. 7, V — Erfüllung des Vertrags, den Sie mit dem Abonnement eingehen.

Bis zum Start der Pro-Stufe werden von uns oder in unserem Auftrag keinerlei Zahlungsdaten verarbeitet.

Internationale Datenübermittlung

Zwei unserer Subauftragsverarbeiter sind außerhalb Brasiliens tätig:

• Hostinger International Ltd. betreibt den VPS für den Compress-Download in Deutschland.
• Cloudflare, Inc. betreibt ein globales Edge-Netzwerk; Ihre Remove-Background-Anfrage kann in jedem Cloudflare-Rechenzentrum verarbeitet werden, typischerweise in dem, das Ihnen geografisch am nächsten liegt.

Rechtsgrundlage für die Übermittlung: LGPD Art. 33, II — Standardvertragsklauseln, die Hostinger und Cloudflare für internationale Übermittlungen veröffentlichen, kombiniert mit Art. 33, V — Übermittlung, die zur Erbringung des vom Betroffenen angeforderten Dienstes erforderlich ist. DSGVO-Entsprechung: Art. 46(2)(c) SCCs. Die ANPD hat (zum Zeitpunkt dieser Aktualisierung) noch keine Liste angemessener Länder gemäß Art. 34 der LGPD veröffentlicht; wir werden diesen Abschnitt aktualisieren, sollte Deutschland oder ein anderer Betriebsstandort in diese Liste aufgenommen werden.

Subauftragsverarbeiter

• Cloudflare, Inc. — DNS, Edge-Hosting (Cloudflare Pages), Web Analytics, DDoS-Schutz, Workers (araluma-bg-remover), R2-Speicher (araluma-bg-temp, stündlich automatisch geleert), KV (araluma-bg-ratelimit) und die cf.image.segment-Transformation, die BiRefNet ausführt. Datenschutzrichtlinie.
• Hostinger International Ltd. — VPS-Hosting für den Compress-Download-Dienst (api.araluma.com) in Deutschland. Datenschutzrichtlinie.
• Google LLC (AdSense) — Anzeigenauslieferung auf Tool-Seiten, abhängig von der Nutzereinwilligung in Regionen, die dies erfordern. Datenschutzrichtlinie.
• Lemon Squeezy (Lemon Squeezy LLC) — nur bei zukünftigem Erwerb einer Pro-Lizenz. Datenschutzrichtlinie.

Ihre Rechte als betroffene Person

Je nachdem, wo Sie leben, stehen Ihnen Rechte nach der DSGVO der EU, der brasilianischen LGPD (Art. 18), der CCPA/CPRA Kaliforniens und ähnlichen Regelungen zu.

Gemäß der brasilianischen LGPD (Art. 18) haben Sie das Recht, von uns zu erhalten:

1. Bestätigung, dass wir Ihre personenbezogenen Daten verarbeiten (inciso I).
2. Auskunft über die Daten, die wir über Sie gespeichert haben (inciso II).
3. Berichtigung unvollständiger, unrichtiger oder veralteter Daten (inciso III).
4. Anonymisierung, Sperrung oder Löschung unnötiger oder übermäßiger Daten oder Daten, die unter Verstoß gegen die LGPD verarbeitet werden (inciso IV).
5. Übertragbarkeit Ihrer Daten zu einem anderen Dienstanbieter, vorbehaltlich der ANPD-Regulierung und kaufmännischer/industrieller Geheimnisse (inciso V).
6. Löschung von Daten, die auf Grundlage Ihrer Einwilligung verarbeitet wurden, mit Ausnahme der Fälle, in denen die LGPD selbst eine Aufbewahrung zulässt (inciso VI).
7. Auskunft über öffentliche und private Stellen, an die wir Ihre Daten weitergegeben haben (inciso VII).
8. Auskunft über die Möglichkeit, die Einwilligung zu verweigern, und über die Folgen dieser Verweigerung (inciso VIII).
9. Widerruf der Einwilligung jederzeit (inciso IX).

Um eines dieser Rechte auszuüben, senden Sie eine E-Mail an guilherme@araluma.com. Gemäß dem Kleinverarbeitungs-Regime der Resolução CD/ANPD nº 2/2022 (Art. 14, I) beträgt unsere maximale Antwortfrist 30 Tage — wir streben eine Antwort innerhalb von 5 Werktagen an.

Da unser Servicedesign im Wesentlichen keine personenbezogenen Daten enthält, die Ihnen zugeordnet sind (keine Konten, keine persistenten Kennungen, keine protokollierten Bildinhalte), wird den meisten dieser Rechte bereits durch das Design selbst Rechnung getragen. Wenn Sie eine schriftliche Bestätigung wünschen, dass keine Daten über Sie gespeichert sind, senden Sie eine E-Mail an die oben genannte Adresse.

Recht auf Beschwerde bei der Aufsichtsbehörde

In Brasilien können Sie auch eine Beschwerde bei der Autoridade Nacional de Proteção de Dados (ANPD) unter gov.br/anpd einreichen. In der EU wenden Sie sich an Ihre nationale Datenschutzbehörde.

Kinder und Jugendliche

Die LGPD definiert ein Kind als Person bis zum vollendeten 12. Lebensjahr und einen Jugendlichen als Person zwischen 12 und 17 Jahren (Art. 14). Araluma ist ein Tool für die Allgemeinheit und richtet sich nicht an Kinder.

Die Verarbeitung von Daten eines Kindes erfordert die spezifische und ausdrückliche Einwilligung mindestens eines Elternteils oder gesetzlichen Vormunds (Art. 14 §1) — da sich unser Dienst nicht an Kinder richtet und von keinem Nutzer identifizierende Informationen anfordert, erfassen wir wissentlich keine personenbezogenen Daten von Kindern im normalen Nutzungsbetrieb. Sollten Sie feststellen, dass ein Kind persönliche Informationen über die Website übermittelt hat, kontaktieren Sie bitte guilherme@araluma.com — wir werden diese unverzüglich löschen.

Änderungen dieser Richtlinie

Bei wesentlichen Änderungen — zum Beispiel beim Start der Pro-Stufe oder bei Hinzufügen eines neuen Tools, das den Datenfluss verändert — aktualisieren wir das Datum „Zuletzt aktualisiert” unten und veröffentlichen gegebenenfalls einen Hinweis auf der Startseite.

Kontakt {#contact}

Fragen zu dieser Richtlinie oder zur Datenverarbeitung durch Araluma? Senden Sie eine E-Mail an guilherme@araluma.com. Wir streben eine Antwort innerhalb von 5 Werktagen an; die gesetzliche Höchstfrist gemäß dem Kleinverarbeitungs-Regime der LGPD beträgt 30 Tage.

Verantwortlicher: Guilherme Campos — Brasilien — guilherme@araluma.com Zuletzt aktualisiert: 2026-05-15