Rechtliches

Deutsch · English

Datenschutz

Stand: 12. Oktober 2026. Gilt für die Website bumely.com und das Bumely Studio unter studio.bumely.com, auch wenn du Bumely über ChatGPT nutzt. Geändert am 12. Oktober 2026: neuer Abschnitt „Nutzung über ChatGPT“ dazu, was wir erhalten und speichern, wenn du Bumely in ChatGPT nutzt, und wie du die Verbindung trennst; dazu passende Punkte in der Kurzfassung, in Abschnitt 5 und unter „Verbindungen trennen und Daten löschen“; unter „Cookies und Speicher im Browser“ fünf weitere Einträge im Browser-Speicher (Filter, zwei geschlossene Hinweise, Töne, Streak-Stand). Geändert am 11. Oktober 2026: neuer Abschnitt „Google-Nutzerdaten: Zugriff, Verwendung, Weitergabe, Schutz und Löschung“ dazu, was wir von Google erhalten und an wen wir es weitergeben, übermitteln oder offenlegen; Abschnitt 8: Hinweis im Studio und deine Einwilligung vor jeder neuen Verwendung von Google-Nutzerdaten; der Abschnitt zum Veröffentlichen auf TikTok, Instagram und YouTube beschreibt jetzt genauer, was jede Plattform erhält und wer sonst noch. Geändert am 10. Oktober 2026: Spracherkennung und Beitragstext laufen auf der Grundlage deines Auftrags statt einer Einwilligung; Groq speichert Ton und Text nicht mehr (Zero Data Retention); Angaben zum EU-US Data Privacy Framework und zu den Standardvertragsklauseln; Link zum Vertrag zur Auftragsverarbeitung für Unternehmen.

1. Wer verantwortlich ist

tayger, Inhaber Tayger Galster
Regensburger Straße 138
90478 Nürnberg
E-Mail: galster@tayger.de
Telefon: +49 176 66487375

Einen Datenschutzbeauftragten müssen wir nicht bestellen. Bei allen Fragen zum Datenschutz schreib uns einfach an die Adresse oben oder an info@bumely.com.

2. Server und Hosting

Startseite und Studio laufen auf einem eigenen Server in einem Rechenzentrum in Frankfurt am Main. Den Server mieten wir bei der Hostinger International Ltd., 61 Lordou Vironos Street, 6023 Larnaka, Zypern. Hostinger verarbeitet die Daten nur in unserem Auftrag. Einen Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO mit Hostinger haben wir geplant.

Wenn du eine Seite aufrufst, braucht der Server deine IP-Adresse, um die Antwort an dich zu schicken. Er legt dabei keine allgemeinen Zugriffsprotokolle mit IP-Adressen an. Bei Programmfehlern, bei abgewehrten Verbindungen und bei Anmeldeversuchen am Wartungszugang des Servers kann deine IP-Adresse aber im Systemprotokoll des Servers stehen. Dieses Protokoll löschen wir nach spätestens fünf Wochen, die Liste der Anmeldeversuche am Wartungszugang nach spätestens zwei Monaten. Dazu kommt die Sperre bei fehlgeschlagenen Anmeldeversuchen im Studio, siehe unten. Rechtsgrundlage ist unser berechtigtes Interesse, die Seiten sicher und zuverlässig auszuliefern (Art. 6 Abs. 1 lit. f DSGVO).

Vor jedem Update des Studios sichern wir die Kontodaten (ohne deine Videos) kurz auf demselben Server. Diese Sicherungen löschen wir in der Regel nach 7 Tagen, spätestens beim nächsten Update danach. Unser Hoster legt außerdem automatische Sicherungen des ganzen Servers an und überschreibt sie nach spätestens drei Wochen; bis dahin können darin auch Videos stehen, die wir schon gelöscht haben. Wir nutzen diese Sicherungen nur, um den Server nach einem Ausfall wiederherzustellen.

Alle Verbindungen sind per HTTPS verschlüsselt.

3. Die Startseite bumely.com

Die Startseite setzt keine Cookies und nutzt keine Analyse- oder Tracking-Dienste. In deinem Browser speichert sie nur, wenn du unten auf der Seite selbst eine Sprache wählst: diese Wahl unter „bumely-sprache“ (localStorage), damit die Seite in deiner Sprache bleibt. Löschen kannst du sie über die Website-Daten deines Browsers. Bist du im Studio angemeldet, leitet dich die Startseite direkt ins Studio weiter. Dafür erkennt unser Server das Cookie „bumely_drin“, das das Studio beim Anmelden setzt (siehe Abschnitt 4). Hast du es noch nicht, fragt die Startseite einmal beim Studio nach, ob du angemeldet bist; dabei schickt dein Browser, falls vorhanden, das Anmelde-Cookie des Studios mit. Schriften, Bilder und das Produktvideo kommen von unserem eigenen Server, es gibt keine eingebetteten Inhalte fremder Anbieter.

4. Das Bumely Studio

Zugang und Anmeldung

Für das Studio brauchst du ein Konto mit deiner E-Mail-Adresse. Du meldest dich mit einem Code an, den wir dir per E-Mail schicken, mit Google, mit Apple, wenn das Studio es anbietet, oder, wenn du eins gesetzt hast, mit einem Passwort. Ein Passwort liegt nicht bei uns, sondern nur bei Supabase (siehe unten), und dort nur als verschlüsselter Prüfwert (Hash). Ausnahme sind Konten, die vor unserem Wechsel zu Supabase Ende September 2026 angelegt und nicht übernommen wurden: Zu ihnen kann bei uns noch ein solcher Prüfwert liegen. Wir nutzen ihn nicht mehr und löschen ein solches Altkonto sofort, wenn du uns an info@bumely.com schreibst. Beim Anlegen deines Kontos bestätigst du, dass du mindestens 16 Jahre alt bist und die Nutzungsbedingungen akzeptierst, indem du nach dem Hinweis unter dem Knopf „Mit dem Fortfahren akzeptierst du die Nutzungsbedingungen und bestätigst, dass du mindestens 16 Jahre alt bist“ fortfährst.

Bei uns auf dem Server in Frankfurt gespeichert werden deine E-Mail-Adresse, das Datum der Registrierung, dein Plan (kostenlos oder Pro), die Zahl deiner Videos je Tag für die Tagesgrenze und deine Einstellungen, etwa ob du Mails oder Mitteilungen bekommen möchtest. Welche Cookies das Studio für die Anmeldung setzt, steht unten unter „Cookies und Speicher im Browser“. Zu jeder Anmeldung speichern wir außerdem nur eine Prüfsumme (Hash) des Anmelde-Cookies und wann sie abläuft, keine IP-Adresse. Sie endet nach 30 Tagen, beim Abmelden oder wenn du in den Einstellungen „Auf allen Geräten abmelden“ wählst; je Konto gelten höchstens zehn Anmeldungen gleichzeitig.

Konto und Anmeldung laufen über Supabase, einen Dienst der Supabase Pte. Ltd., 65 Chulia Street #38-02/03, OCBC Centre, Singapur 049513. Datenbank und Anmelde-Server stehen in Frankfurt am Main (AWS, Region eu-central-1); dort liegen deine Kontodaten. Supabase speichert zu jeder Anmeldung die IP-Adresse und die Kennung deines Browsers (User-Agent) und protokolliert Anmeldungen mit Zeitpunkt, E-Mail- und IP-Adresse. Für diese Anmeldeprotokolle gibt es noch keine feste Frist; sie bleiben derzeit auch nach einer Kontolöschung bestehen. Schreib uns an info@bumely.com, dann löschen wir sie. Supabase verarbeitet die Daten nur in unserem Auftrag. Einen Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO mit Supabase haben wir geplant. Für den Support kann Supabase in Einzelfällen aus Drittländern auf das System zugreifen. Diese Zugriffe sind durch die Standardvertragsklauseln der EU-Kommission abgesichert (Art. 46 Abs. 2 lit. c DSGVO).

Rechtsgrundlage ist die Bereitstellung des Studios, das du nutzen möchtest (Art. 6 Abs. 1 lit. b DSGVO). Deine Zugangsdaten speichern wir, solange dein Konto besteht. Löschen kannst du dein Konto jederzeit selbst im Studio unter „Konto“ > „Konto löschen“: Damit entfernen wir dein Konto bei Supabase und alle deine Dateien auf unserem Server. Unter „Meine Daten herunterladen“ bekommst du eine Datei mit deinen Kontodaten (Art. 20 DSGVO). Deine E-Mail-Adresse änderst du im Studio unter „Konto“, wenn du ein Passwort gesetzt hast; alte und neue Adresse müssen die Änderung bestätigen. Hast du kein Passwort, schreib uns an info@bumely.com.

Dein Profil

Im Studio hast du einen Nutzernamen und ein Profilbild. Das Profilbild ist ein zufällig erzeugtes Bild oder ein Foto, das du selbst hochlädst. Richtest du dein Profil ein, legst du außerdem einen Anzeigenamen fest; die Einrichtung kannst du mit „Später“ verschieben. Nutzername, Anzeigename und Profilbild speichern wir auf unserem Server in Frankfurt; sie sieht derzeit nur du. Ein hochgeladenes Foto löschen wir, sobald du es entfernst, spätestens mit deinem Konto. Rechtsgrundlage ist die Bereitstellung des Studios (Art. 6 Abs. 1 lit. b DSGVO).

Cookies und Speicher im Browser

Nach der Anmeldung setzt das Studio das Cookie „bumely“, damit du angemeldet bleibst (30 Tage oder bis zur Abmeldung), und das Cookie „bumely_admin“, das der Oberfläche nur sagt, ob ein Link für Betreiber erscheint (30 Tage), sowie das Cookie „bumely_drin“ für bumely.com und studio.bumely.com, das nur „angemeldet: ja“ enthält, damit dich bumely.com direkt ins Studio weiterleitet (30 Tage oder bis zur Abmeldung). Bei der Anmeldung mit Google oder Apple kommen für 10 Minuten die Cookies „bumely_google“ (Google) oder „bumely_pkce“ (Apple und der Ausweichweg für Google über Supabase) dazu, die den Vorgang absichern. Im Speicher deines Browsers (localStorage) merkt sich das Studio:

• „studio-sprache-2“: die Sprache der Oberfläche, wenn du sie selbst gewählt hast,
• „bumely-aussehen“: das Aussehen (hell, dunkel oder wie dein Gerät),
• „bumely-installieren-zu“: dass du den Hinweis zum Installieren geschlossen hast,
• „bumely-gesehen“ und „bumely-gesichert“: welche fertigen Videos du schon gesehen oder gesichert hast (nur interne Nummern),
• „bumely-onboarding-spaeter“: wann du die Einrichtung deines Profils mit „Später“ verschoben hast, damit das Studio erst nach 7 Tagen wieder fragt,
• „bumely-filter“: welchen Filter du in der Bibliothek gewählt hast („Offen“ oder „Erledigt“),
• „bumely-erledigt-hinweis“: wie oft dir das Studio schon gesagt hat, wo ein erledigtes Video liegt, damit dieser Hinweis nach drei Malen wegbleibt (nur eine Zahl),
• „bumely-knopf-hinweis“: dass du in der Vorschau den Hinweis schon gesehen hast, dass der Untertitel auf den Knöpfen der Plattform liegt,
• „bumely-toene“: ob die kleinen Klänge des Studios an oder aus sind (Schalter in den Einstellungen),
• „studio-hinweis-hintergrund-1“: dass du den Hinweis, dass das Studio im Hintergrund weiterarbeitet, mit dem X ausgeblendet hast,
• „bumely-streak-gesehen“: welchen Stand deines Streaks (Tage in Folge) das Studio zuletzt gezeigt hat, damit die Flamme nur einmal je Zuwachs feiert (nur eine Zahl).

Nutzt du das Studio als App vom Home-Bildschirm oder schaltest du Mitteilungen ein, legt es ein Hintergrund-Skript (Service Worker) an. Es speichert nur eine Offline-Seite im Speicher deines Browsers („bumely-offline-1“), damit du ohne Verbindung einen Hinweis statt einer leeren Seite siehst, und stellt Mitteilungen zu. Werbe- oder Analyse-Cookies gibt es nicht. Alle diese Angaben bleiben auf deinem Gerät und sind für die von dir gewählten Funktionen technisch nötig (§ 25 Abs. 2 Nr. 2 TDDDG). Du kannst sie jederzeit in deinem Browser löschen; danach musst du dich neu anmelden.

Anmelden mit Google (freiwillig)

Statt mit einem Code kannst du dich mit deinem Google-Konto anmelden. Dann leitet dich das Studio zu Google weiter. Google fragt dich, ob Bumely deine E-Mail-Adresse erfahren darf, und schickt sie nach deiner Zustimmung an unseren Server, der dich damit bei Supabase anmeldet. Läuft die Anmeldung ausnahmsweise direkt über Supabase, fragt Google zusätzlich nach deinem Namen und deinem Profilbild und schickt diese Angaben an Supabase. Wir verwenden davon nur die E-Mail-Adresse für dein Konto. Ein Passwort gibt es bei dieser Anmeldung nicht. Anbieter ist die Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland. Dabei können Daten an die Google LLC in den USA übermittelt werden. Google ist nach dem EU-US Data Privacy Framework zertifiziert (Art. 45 DSGVO). Was Google selbst verarbeitet, steht in der Datenschutzerklärung von Google. Rechtsgrundlage ist die Bereitstellung des Studios auf dem von dir gewählten Weg (Art. 6 Abs. 1 lit. b DSGVO). Die Verbindung zu Google trennst du in deinem Google-Konto unter „Drittanbieter-Apps und -Dienste“. An wen wir die Angaben aus der Anmeldung mit Google weitergeben, übermitteln oder offenlegen, steht zusammengefasst unter „Google-Nutzerdaten“.

Anmelden mit Apple (freiwillig)

Bietet das Studio „Mit Apple weiter“ an, kannst du dich auch mit deiner Apple-ID anmelden. Dann leitet dich das Studio über Supabase zu Apple weiter. Apple fragt dich, ob Bumely deinen Namen und deine E-Mail-Adresse erfahren darf; statt deiner echten Adresse kannst du dort eine Weiterleitungsadresse von Apple wählen („E-Mail-Adresse verbergen“). Nach deiner Zustimmung schickt Apple diese Angaben an Supabase. Wir verwenden davon nur die E-Mail-Adresse für dein Konto. Ein Passwort gibt es bei dieser Anmeldung nicht. Anbieter ist die Apple Distribution International Ltd., Hollyhill Industrial Estate, Hollyhill, Cork, Irland. Dabei können Daten an die Apple Inc. in den USA übermittelt werden. Was Apple selbst verarbeitet, steht in der Datenschutzrichtlinie von Apple. Rechtsgrundlage ist die Bereitstellung des Studios auf dem von dir gewählten Weg (Art. 6 Abs. 1 lit. b DSGVO). Die Verbindung zu Apple trennst du in den Einstellungen deiner Apple-ID unter „Mit Apple anmelden“.

Mails über Resend

Über Resend verschicken wir die Anmeldecodes, die Bestätigungen bei der Registrierung, beim Wechsel deiner E-Mail-Adresse und beim Zurücksetzen des Passworts sowie, wenn du sie im Studio einschaltest, die Mail „Deine Videos sind fertig“. Die Fertig-Mail enthält nur die Zahl der fertigen Videos und einen Link ins Studio; du schaltest sie in den Einstellungen jederzeit wieder ab. Werbung schicken wir nicht, und die Mails enthalten keine Zählpixel oder Klickverfolgung. Resend ist ein Dienst der Plus Five Five, Inc. (Resend), 2261 Market Street #5039, San Francisco, CA 94114, USA. Der Versand läuft über Irland. Resend speichert aber Empfängeradresse, Mailinhalt und Zustellprotokoll für 30 Tage auf Servern in den USA.

Resend arbeitet in unserem Auftrag. Mit Resend schließen wir dafür einen Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO; er ist Teil der Bedingungen von Resend. Nach eigener Angabe ist Resend nach dem EU-US Data Privacy Framework zertifiziert; für solche Unternehmen besteht ein Angemessenheitsbeschluss der EU-Kommission (Art. 45 DSGVO). Du kannst das in der Liste des Frameworks prüfen. Zusätzlich gelten die Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO). Rechtsgrundlage ist die Bereitstellung deines Zugangs (Art. 6 Abs. 1 lit. b DSGVO), für die Fertig-Mail deine Einwilligung über das Häkchen im Studio (Art. 6 Abs. 1 lit. a DSGVO), die du in den Einstellungen jederzeit widerrufen kannst.

Bot-Schutz über Cloudflare Turnstile

Beim Registrieren, Anmelden und Zurücksetzen des Passworts lädt das Studio ein kleines Prüfmodul (Turnstile) von Cloudflare. Es erkennt, ob ein Mensch oder ein Programm das Formular ausfüllt. Cloudflare verarbeitet dafür deine IP-Adresse, Merkmale deines Browsers (User-Agent, TLS-Fingerabdruck) und den Kennwert unserer Seite. In der Einstellung, die wir nutzen, setzt Turnstile kein Cookie.

Anbieter ist die Cloudflare, Inc., 101 Townsend Street, San Francisco, CA 94107, USA, in Europa vertreten durch die Cloudflare Germany GmbH, Rosenheimer Straße 143C, 81671 München. Cloudflare verwendet diese Signale außerdem in eigener Verantwortung, um Turnstile zu verbessern; dafür gilt die Turnstile-Datenschutzerklärung von Cloudflare. Cloudflare ist nach dem EU-US Data Privacy Framework zertifiziert (Art. 45 DSGVO); nach Annahme des Vertrags zur Datenverarbeitung von Cloudflare gelten zusätzlich die Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO). Rechtsgrundlage ist unser berechtigtes Interesse, das Studio vor Missbrauch und automatisierten Anmeldungen zu schützen (Art. 6 Abs. 1 lit. f DSGVO). Der Zugriff auf deinen Browser dafür ist technisch nötig (§ 25 Abs. 2 Nr. 2 TDDDG).

Sperre bei Fehlversuchen

Schlägt eine Anmeldung mit Passwort fehl, merkt sich das Studio E-Mail-Adresse, Zeitpunkt und IP-Adresse des Versuchs auf unserem Server in Frankfurt und löscht sie nach spätestens 24 Stunden, meist schon nach 20 Minuten. Nach drei Fehlversuchen für eine E-Mail-Adresse oder zwanzig von einer IP-Adresse innerhalb von 10 Minuten wird die Anmeldung für 10 Minuten gesperrt. Dasselbe gilt für die Passwortabfrage beim Ändern der E-Mail-Adresse. So schützen wir Konten davor, dass jemand Passwörter durchprobiert. Gegen massenhaft angelegte Konten zählt das Studio außerdem je IP-Adresse (bei IPv6 nur der vordere Teil), wie viele Anmeldungen in einer Minute (höchstens zehn) und wie viele neue Konten an einem Tag (höchstens zehn) von dort kommen; diese Zähler löschen wir nach spätestens 24 Stunden. Rechtsgrundlage ist unser berechtigtes Interesse an sicheren Konten (Art. 6 Abs. 1 lit. f DSGVO).

Kontingent und Nutzungszahlen

Das Studio zählt je Konto, wie viele Videos du pro Tag erstellst, um das kostenlose Kontingent zu prüfen. Gespeichert wird nur der Zähler, keine Inhalte. Rechtsgrundlage ist die Bereitstellung des Studios (Art. 6 Abs. 1 lit. b DSGVO). Außerdem werten wir diese Zähler ohne Namen und E-Mail-Adresse aus, um zu sehen, wie Bumely genutzt wird, etwa wie viele Konten ein zweites Video erstellen. Rechtsgrundlage dafür ist unser berechtigtes Interesse, Bumely zu verbessern (Art. 6 Abs. 1 lit. f DSGVO). Die Zähler löschen wir nach 90 Tagen, spätestens mit deinem Konto.

Für die „Übersicht“ im Studio führt dein Konto eine eigene Statistik: wie viele Videos fertig wurden, wie viele Sekunden Pausen herausgeschnitten wurden, die Gesamtlänge deiner fertigen Videos, wie oft du welchen Look und welche erkannte Sprache genutzt hast, und wie viele Videos an jedem der letzten 30 Tage fertig wurden. Inhalte, Dateinamen und Texte gehören nicht dazu. Die Statistik bleibt auch nach der 7-Tage-Löschung deiner Videos bestehen, damit die Übersicht dein Gesamtergebnis zeigt; die Tageswerte älter als 30 Tage löschen wir laufend. Sie steht in „Meine Daten herunterladen“ und wird mit deinem Konto gelöscht. Wir werten sie nicht für andere Zwecke aus. Rechtsgrundlage ist die Bereitstellung des Studios (Art. 6 Abs. 1 lit. b DSGVO).

Fehlerberichte über Sentry

Tritt auf unserem Server ein Programmfehler auf, schickt das Studio einen Fehlerbericht an Sentry: den Fehlertext, den Zeitpunkt, die betroffene Stelle im Programm und technische Angaben zum Server. Aus dem Fehlertext entfernt unser Server vorher E-Mail-Adressen, Konto-Kennungen, lange Ziffernfolgen und Dateipfade. Stößt dein Browser im Studio auf einen Fehler oder antwortet unser Server dort mit einem Fehler, schickt das Studio einen kurzen Bericht an unseren Server: die Fehlermeldung (bei Programmfehlern mit Programmdatei und Zeile), die Art des Fehlers und die Seite im Studio ohne den Teil der Adresse nach dem Fragezeichen, höchstens fünf Berichte je Seitenaufruf. Text in Anführungszeichen entfernt schon dein Browser. Unser Server entfernt außerdem E-Mail-Adressen, Konto-Kennungen und lange Ziffernfolgen und gibt den Bericht ohne deine IP-Adresse an Sentry weiter. Um Missbrauch zu bremsen, zählt er dabei nur im Arbeitsspeicher, wie viele Berichte von einer IP-Adresse kommen (höchstens zehn in zehn Minuten), und vergisst das nach zehn Minuten. Videos, Texte aus deinen Videos, Passwörter und IP-Adressen gehen nicht an Sentry. Damit wir Fehler schnell beheben, bekommt der Betreiber zusätzlich eine kurze Mitteilung aufs eigene Gerät, ohne Angaben zu dir.

Sentry ist ein Dienst der Functional Software, Inc. (Sentry), 45 Fremont Street, 8th Floor, San Francisco, CA 94105, USA. Wir haben die Datenhaltung in der EU gewählt; die Berichte liegen in Frankfurt am Main und werden nach höchstens 90 Tagen gelöscht. Sentry arbeitet in unserem Auftrag. Einen Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO mit Sentry haben wir geplant. Für Support-Zugriffe aus den USA ist Sentry nach dem EU-US Data Privacy Framework zertifiziert (Art. 45 DSGVO); nach Annahme dieses Vertrags gelten zusätzlich die Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO). Rechtsgrundlage ist unser berechtigtes Interesse an einem stabilen Studio (Art. 6 Abs. 1 lit. f DSGVO).

Deine Videos

Die Videos, die du hochlädst, speichern und bearbeiten wir auf unserem Server in Frankfurt: Wir schneiden Pausen heraus, erstellen Untertitel und rendern das fertige Video. Dazu gehören auch das Transkript, das Standbild und der Look, den du einstellst.

Jedes Video löschen wir 7 Tage nach dem Hochladen automatisch, samt fertiger Datei. Du kannst Videos jederzeit vorher selbst löschen. Den Namen der Videodatei und den Beitragstext löschen wir mit dem Video, spätestens einige Stunden nach Ablauf der 7 Tage. Nur für eingeplante oder veröffentlichte Beiträge merkt sich das Studio beides länger (siehe „Veröffentlichen über Buffer“ und „Veröffentlichen auf TikTok, Instagram und YouTube“). Wir nutzen deine Videos für nichts anderes als für deinen Auftrag.

Rechtsgrundlage ist die Erfüllung deines Auftrags (Art. 6 Abs. 1 lit. b DSGVO).

Andere Menschen in deinen Videos

Sind in deinem Video außer dir andere Menschen zu sehen oder zu hören, verarbeiten wir auch deren Bild, Stimme und gesprochene Worte. Das geschieht nur, um deinen Auftrag zu erledigen. Dazu gehört, dass wir das Video auf deine Anweisung an den Dienst übergeben, über den du es veröffentlichst (Buffer, TikTok, Instagram oder YouTube); ab dann verarbeitet dieser Dienst es nach seinen eigenen Bedingungen. Bei uns löschen wir sie mit dem Video nach 7 Tagen. Rechtsgrundlage ist unser berechtigtes Interesse, das Video wie beauftragt zu bearbeiten (Art. 6 Abs. 1 lit. f DSGVO). Diese Personen einzeln zu informieren, ist uns nicht möglich (Art. 14 Abs. 5 lit. b DSGVO). Wir werten Stimme und Gesicht nicht aus, um jemanden zu erkennen; es entstehen keine biometrischen Daten (Art. 9 DSGVO). Zeigt dein Video andere Menschen, sorgst du dafür, dass du es verwenden darfst.

Nutzt du Bumely für dein Unternehmen, verarbeiten wir deine Videos als dein Auftragsverarbeiter. Den Vertrag dazu (Art. 28 DSGVO) findest du unter bumely.com/avv; dort steht auch, wie du ihn mit uns abschließt.

Spracherkennung und Beitragstext über Groq

Damit die Untertitel Wort für Wort stimmen, schicken wir die Tonspur deines Videos an unseren Dienstleister Groq UK Limited, 3 Hammersmith Grove, London W6 0ND, Großbritannien. Groq erkennt die gesprochenen Wörter und schickt den Text mit Zeitangaben zurück. Das Bild deines Videos geht nicht an Groq. Das gilt auch, wenn du Bumely über ChatGPT nutzt (siehe „Nutzung über ChatGPT“). Für den Vorschlag des Beitragstexts geht außerdem das Transkript an Groq, bei jedem Video nach der Spracherkennung von selbst und noch einmal, wenn du einen neuen Vorschlag anforderst; den Vorschlag schreibt ein KI-Sprachmodell.

Untertitel und Beitragstext sind der Kern dessen, was Bumely für dich tut. Rechtsgrundlage ist deshalb die Erfüllung deines Auftrags (Art. 6 Abs. 1 lit. b DSGVO); ohne die Spracherkennung kann das Studio keine Untertitel erstellen. Bevor du dein erstes Video hochlädst, zeigt dir das Studio einmal einen Hinweis dazu, den du bestätigst; erst danach lädt es Videos hoch und schickt Ton und Transkript an Groq, das prüft auch unser Server, bevor er etwas an Groq schickt. Wann du bestätigt hast, speichern wir in deinem Studio auf unserem Server in Frankfurt. Hast du vor dem 10. Oktober 2026 eingewilligt, gilt das als diese Bestätigung weiter. Willst du nicht mehr, dass Ton und Text an Groq gehen, lösche dein Konto; was bis dahin verarbeitet wurde, bleibt rechtmäßig.

Groq arbeitet in unserem Auftrag. Mit Groq schließen wir dafür einen Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO (Customer Data Processing Addendum); er gilt mit den Nutzungsbedingungen von Groq. Für Großbritannien, den Sitz unseres Vertragspartners, hat die EU-Kommission festgestellt, dass dort ein angemessenes Datenschutzniveau besteht (Art. 45 DSGVO). Groq verarbeitet die Daten in den USA, bei der Groq LLC und auf Servern von Google Cloud, und kann dafür auch Rechenzentren in anderen Ländern nutzen. Groq ist nicht nach dem EU-US Data Privacy Framework zertifiziert. Diese Übermittlungen sind durch die Standardvertragsklauseln der EU-Kommission abgesichert (Art. 46 Abs. 2 lit. c DSGVO, Beschluss (EU) 2021/914); eine Kopie der Klauseln findest du im Vertrag mit Groq, und wir schicken sie dir auf Anfrage.

Groq darf Ton und Text nicht zum Training von KI-Modellen verwenden. Wir haben bei Groq die Einstellung „Zero Data Retention“ gewählt: Groq speichert Ton und Text nach der Verarbeitung nicht, auch nicht in Protokollen zur Fehlersuche.

Veröffentlichen über Buffer (freiwillig)

Diesen Weg gibt es nur noch für Konten, die Buffer vor dem 7. Oktober 2026 mit dem Studio verbunden haben; neu verbinden lässt sich Buffer nicht mehr. Hast du Buffer verbunden, kannst du fertige Videos über dein eigenes Buffer-Konto auf deinen Kanälen einplanen, zum Beispiel Instagram, TikTok oder YouTube. Dafür speichern wir den Buffer-Schlüssel, den du im Studio eingefügt hast, auf unserem Server in Frankfurt. Trennst du Buffer im Studio oder löschst dein Konto, löschen wir ihn. Beim Einplanen geben wir an Buffer weiter, was dafür nötig ist: das fertige Video, den Beitragstext und den Sendezeitpunkt. Buffer holt das Video über einen Link mit Zufallsnamen von unserem Server ab. Die Kopie dafür löschen wir spätestens nach 7 Tagen. Damit nichts doppelt gepostet wird, merkt sich das Studio zu jedem eingeplanten Beitrag den Dateinamen, den Beitragstext, den Kanal und den Sendezeitpunkt; diese Liste löschen wir mit deinem Konto.

Buffer ist ein Dienst der Buffer, Inc., 2443 Fillmore Street #380-7163, San Francisco, CA 94115, USA. Buffer ist nach dem EU-US Data Privacy Framework zertifiziert; für solche Unternehmen besteht ein Angemessenheitsbeschluss der EU-Kommission (Art. 45 DSGVO). Für alles, was Buffer mit deinem Video macht, gilt dein eigener Vertrag mit Buffer und dessen Datenschutzerklärung. Rechtsgrundlage für die Weitergabe ist dein Auftrag (Art. 6 Abs. 1 lit. b DSGVO). Ohne verbundenes Buffer-Konto geht nichts an Buffer.

Veröffentlichen auf TikTok, Instagram und YouTube (freiwillig)

Du kannst TikTok, Instagram und YouTube mit dem Studio verbinden, damit dein fertiges Video dort auf deinem eigenen Konto veröffentlicht wird. Welche Plattformen du verbinden kannst, zeigt dir das Studio an der Stelle, an der du ein Konto verbindest. Ohne ein verbundenes Konto bei der Plattform geht nichts an sie. Die Verbindung ist freiwillig: Ohne sie kannst du dein fertiges Video herunterladen und selbst hochladen.

Wenn du eine Plattform verbindest, leitet dich das Studio zu deren Anmeldeseite weiter. Dort siehst du, welche Berechtigungen Bumely anfragt, und entscheidest selbst, ob du sie erteilst. Beim Veröffentlichen bestätigst du im Studio jedes Mal, was auf welchem Konto erscheint; planst du eine Veröffentlichung für später, bestätigst du sie bei der Planung. Was du nicht bestätigst, veröffentlichen wir nicht.

Für jede verbundene Plattform speichern wir auf unserem Server in Frankfurt die Zugangsschlüssel (Token), die uns die Plattform nach deiner Freigabe gibt, deine Kennung dort, wo die Plattform eine liefert (TikTok, Instagram), und die Angaben, die wir brauchen, um Veröffentlichungen deinem Konto zuzuordnen. Die Schlüssel speichern wir verschlüsselt. Sie gehen weder an Sentry noch an Groq.

Die Schlüssel speichern wir nur, solange die Verbindung besteht. Bei TikTok, Instagram und YouTube prüfen wir mindestens alle 7 Tage, ob deine Freigabe bei der Plattform noch gilt. Hat die Plattform den Zugriff beendet, etwa weil du ihn dort widerrufen hast oder der Schlüssel abgelaufen ist, löschen wir die Schlüssel, sobald wir es merken. Beendet eine Plattform den Zugang von Bumely zu ihren Entwicklerdiensten, löschen wir die von dieser Plattform erhaltenen Daten unverzüglich. Was beim Trennen im Einzelnen gelöscht wird, steht unten unter „Verbindungen trennen und Daten löschen“.

TikTok. Wir fragen bei TikTok die Berechtigungen „user.info.basic“ (Profilangaben) und „video.publish“ (Videos auf deinem Konto veröffentlichen) an. Von TikTok erhalten wir deine TikTok-Kennung („open_id“), deinen Anzeigenamen und, nur solange du einen Beitrag prüfst, dein Profilbild (wir speichern es nicht), außerdem einen Zugriffs- und einen Aktualisierungsschlüssel. Vor jedem Beitrag fragt das Studio bei TikTok ab, welche Einstellungen dein Konto anbietet, zum Beispiel wer das Video sehen darf; diese Angaben speichern wir nicht. Nach dem Veröffentlichen speichern wir die Kennung und den Stand des Beitrags, die TikTok zurückgibt.

Instagram. Veröffentlichen können wir nur auf Instagram-Konten vom Typ Business oder Creator (professionelle Konten), nicht auf persönlichen Konten. Wir fragen die Berechtigungen „instagram_business_basic“ und „instagram_business_content_publish“ an. Von Instagram erhalten wir deine Instagram-Kennung, deinen Nutzernamen, den Kontotyp, die erteilten Berechtigungen und einen Zugriffsschlüssel. Den Kontotyp nutzen wir nur, um zu prüfen, dass dein Konto ein professionelles Konto ist, und speichern ihn nicht. Der Schlüssel läuft nach 60 Tagen ab, wenn er nicht erneuert wird; solange die Verbindung besteht, erneuern wir ihn rechtzeitig. Nach dem Veröffentlichen speichern wir die Kennung des veröffentlichten Reels (seine Media-ID) und den Stand, die Instagram zurückgibt. Instagram holt das Video selbst bei uns ab: Dafür gibt das Studio die fertige Datei unter einem Link mit Zufallsnamen frei, ohne eine Kopie anzulegen. Der Link funktioniert ohne Anmeldung, der Name ist aber zufällig und nicht zu erraten. Er gilt höchstens 60 Minuten und wird ungültig, sobald das Video gepostet ist.

YouTube. Bumely nutzt die YouTube API Services. Wenn du YouTube verbindest, fragen wir bei Google nur eine Berechtigung an: Videos auf deinen eigenen YouTube-Kanal hochzuladen (youtube.upload). Die Zustimmungsseite von Google kann diese Berechtigung allgemeiner beschreiben, etwa als Verwalten deiner YouTube-Videos. Wir nutzen sie nur zum Hochladen und lesen, ändern oder löschen keine Videos, die schon auf deinem Kanal liegen. Von Google erhalten wir einen Zugriffs- und einen Aktualisierungsschlüssel, nach einem Upload die Kennung des hochgeladenen Videos. Beim Upload schicken wir YouTube das Video, den Titel, die Beschreibung, die Kategorie, die Sichtbarkeit und die Angabe, ob das Video für Kinder gemacht ist. Titel, Beschreibung, Kategorie, Sichtbarkeit und die Kinder-Angabe wählst du dafür im Studio. Jeden Upload bestätigst du ausdrücklich im Studio, bei einer geplanten Veröffentlichung bei der Planung. Die Verbindung zu YouTube ist von der Anmeldung mit Google getrennt: Du brauchst sie nur, um auf YouTube hochzuladen, und kannst dich ohne sie im Studio anmelden. In deinem Google-Konto kann Bumely deshalb mit beiden Berechtigungen erscheinen (E-Mail-Adresse und Hochladen von Videos). Entfernst du den Zugriff dort, kann Bumely nicht mehr auf YouTube veröffentlichen.

Mit dem Verbinden von YouTube gelten außerdem die Nutzungsbedingungen von YouTube und die Datenschutzerklärung von Google. Die Angaben von Google verwenden wir nur dafür, dein eigenes Video auf deinem eigenen Kanal zu veröffentlichen. Wir verkaufen sie nicht, nutzen sie nicht für Werbung und nicht zum Training von KI. Kein Mensch bei uns liest sie, außer das ist zur Aufklärung von Missbrauch, für die Sicherheit oder aus rechtlichen Gründen nötig. Für Angaben aus Google-APIs gilt außerdem die Google API Services User Data Policy; Google schreibt dazu diese Erklärung auf Englisch vor:

Bumely's use and transfer to any other app of information received from Google APIs will adhere to Google API Services User Data Policy, including the Limited Use requirements.

Die Schlüssel für YouTube speichern wir nur, solange du YouTube verbunden hast. Trennst du YouTube im Studio, löschen wir die Schlüssel und die Kennungen deiner hochgeladenen Videos sofort. Damit nichts doppelt hochgeladen wird, behält das Studio zu jedem Upload einen eigenen Merker mit Dateiname, Titel, Zeitpunkt und Stand; er enthält keine Angaben von YouTube und wird mit dem übrigen Protokoll der Veröffentlichungen gelöscht (siehe unten). Löschst du dein Konto oder bittest du uns, deine YouTube-Daten zu löschen, löschen wir alle Angaben, die wir von YouTube erhalten haben, spätestens innerhalb von 7 Tagen, auf Wunsch samt diesem Merker. Das Löschen bei uns ändert nichts bei YouTube: Videos auf deinem Kanal bleiben dort. Hast du deine Freigabe bei Google widerrufen, löschen wir die gespeicherten Schlüssel und Angaben von Google, sobald wir es merken, spätestens 30 Tage nach dem Widerruf. Solange die Verbindung besteht, speichern wir Angaben, die wir von YouTube erhalten (etwa die Kennung eines hochgeladenen Videos), höchstens 30 Tage und löschen oder erneuern sie danach.

Beim Veröffentlichen geben wir an die Plattform weiter, was dafür nötig ist: das fertige Video, den Titel oder Beitragstext und die Einstellungen, die du dafür gewählt hast (zum Beispiel wer das Video sehen darf). Einen geplanten Zeitpunkt schicken wir keiner Plattform: Bei einem geplanten Beitrag startet das Studio die Veröffentlichung selbst zum geplanten Zeitpunkt. Damit nichts doppelt gepostet wird und du den Stand siehst, merkt sich das Studio zu jedem Beitrag die Plattform, den Dateinamen, den Beitragstext oder Titel, den Zeitpunkt, die Sichtbarkeit, den Stand und die Kennung, die die Plattform zurückgibt. Bei geplanten Beiträgen speichert es außerdem alle Einstellungen, die du dafür gewählt hast (bei TikTok etwa die Interaktionen, bei YouTube Beschreibung, Kategorie und Kinder-Angabe), damit der Beitrag zum geplanten Zeitpunkt so erscheint, wie du ihn bestätigt hast. Einen Protokolleintrag löschen wir 90 Tage nach dem Zeitpunkt der Veröffentlichung, spätestens mit deinem Konto. Angaben von YouTube darin löschen oder erneuern wir früher, wie oben beschrieben.

Die Angaben von den Plattformen verwenden wir nur, um dein Video zu veröffentlichen und die Verbindung zu verwalten, etwa einen Schlüssel zu erneuern oder den Stand eines Beitrags zu zeigen. Wir verkaufen sie nicht, zeigen damit keine Werbung, erstellen keine Profile über dich und trainieren damit keine KI.

Rechtsgrundlage für das Verbinden, das Speichern der Schlüssel und das Veröffentlichen auf dein Verlangen ist die Bereitstellung des Studios, das du nutzen möchtest (Art. 6 Abs. 1 lit. b DSGVO). Für die Verbindungsdaten, die wir speichern (Schlüssel, Kennungen, Protokoll), sind wir verantwortlich (siehe Abschnitt 1). Sobald eine Plattform Daten von uns oder von dir erhält, ist sie für ihre eigene Verarbeitung selbst verantwortlich.

Empfänger sind die Plattformen, auf denen du veröffentlichst, und unser Hoster für die gespeicherten Schlüssel (siehe Abschnitt 2). Wer Google-Nutzerdaten erhält, steht unten unter „Google-Nutzerdaten“. Bei TikTok sind das nach der Datenschutzerklärung von TikTok die TikTok Technology Limited, 10 Earlsfort Terrace, Dublin, D02 T380, Irland, und die TikTok Information Technologies UK Limited, Kaleidoscope, 4 Lindsey Street, London EC1A 9HP, Vereinigtes Königreich. Bei Instagram ist es die irische Gesellschaft Meta Platforms Ireland Limited. Bei YouTube ist es die Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland. Wir übermitteln Daten an diese Gesellschaften nur auf deine Anweisung. Für das Vereinigte Königreich hat die EU-Kommission festgestellt, dass dort ein angemessenes Datenschutzniveau besteht (Art. 45 DSGVO). Was die Plattform danach in eigener Verantwortung verarbeitet und ob sie Daten in Drittländer übermittelt, regelt ihre Datenschutzerklärung: TikTok, Instagram, Google. TikTok nennt dort Server in den USA, in Malaysia und in Singapur.

Scheitert ein Schritt mit einer Plattform, erhält unser Dienst für Fehlerberichte Sentry nur den technischen Fehlercode der Plattform und den HTTP-Status, nie Schlüssel, Kennungen oder dein Video. Sonst erhält niemand die Daten, die wir von TikTok, Instagram oder YouTube bekommen. Insbesondere gehen sie nicht an Werbetreibende, Datenhändler, Analyse- oder KI-Anbieter und nicht an andere Apps.

Du kannst jede Verbindung jederzeit trennen, im Studio und bei der Plattform selbst; die Schritte stehen unten unter „Verbindungen trennen und Daten löschen“. Den Zugriff von Bumely auf dein Google-Konto kannst du auch hier widerrufen: https://security.google.com/settings/security/permissions.

Bumely ist ein eigenständiges Produkt von tayger. Es gehört nicht zu TikTok, Meta Platforms, Instagram, Google oder YouTube und wird von diesen Unternehmen weder gesponsert noch empfohlen. TikTok, Instagram, YouTube und Google sind Marken ihrer jeweiligen Inhaber.

Google-Nutzerdaten: Zugriff, Verwendung, Weitergabe, Schutz und Löschung

Hier steht an einer Stelle, wie Bumely mit Google-Nutzerdaten umgeht (englisch „Google user data“), also mit den Angaben, die wir über Google-Schnittstellen erhalten. Es gibt zwei getrennte Verbindungen: die Verbindung zu YouTube (Berechtigung „youtube.upload“, siehe „YouTube“ oben) und davon unabhängig das Anmelden mit Google (siehe „Anmelden mit Google“ oben). Beide sind freiwillig. Dein Video, sein Titel und seine Beschreibung sind deine eigenen Inhalte und keine Google-Nutzerdaten; was mit ihnen geschieht, steht unter „Deine Videos“.

Worauf wir über die YouTube-Verbindung zugreifen. Wir fragen nur die Berechtigung youtube.upload an. Von Google erhalten wir einen Zugriffs- und einen Aktualisierungsschlüssel, die Angabe, wie lange der Zugriffsschlüssel gilt, und die Bestätigung, welche Berechtigung du erteilt hast. Nach einem Upload schickt YouTube Angaben zum neuen Video zurück; davon behalten wir nur die Kennung des Videos. Scheitert eine Anfrage, schickt Google einen technischen Fehlercode zurück, zum Beispiel „quotaExceeded“. Deinen Kanalnamen, deine vorhandenen Videos, Playlists, Kommentare, Abonnenten oder Statistiken fragen wir nicht ab, lesen und speichern sie nicht, und über die YouTube-Verbindung erhalten wir keine E-Mail-Adresse.

Wofür wir sie verwenden. Die Schlüssel für YouTube verwenden wir nur, um die Videos, die du im Studio bestätigst, auf deinen eigenen YouTube-Kanal hochzuladen, den Zugriff zu erneuern, mindestens alle 7 Tage zu prüfen, ob deine Freigabe noch gilt, und den Zugriff zu widerrufen, wenn du YouTube trennst oder dein Konto löschst. Die Kennung eines hochgeladenen Videos verwenden wir nur, um dir im Studio zu zeigen, dass der Upload geklappt hat, und um auf das Video bei YouTube zu verlinken. Wir verkaufen Google-Nutzerdaten nicht, nutzen sie nicht für Werbung, erstellen damit keine Profile und verwenden sie nicht, um KI-Modelle oder Modelle für maschinelles Lernen zu entwickeln, zu verbessern oder zu trainieren, auch keine allgemeinen oder nicht personalisierten.

An wen wir sie weitergeben, übermitteln oder offenlegen. Wir geben Google-Nutzerdaten aus der YouTube-Verbindung nicht an Dritte weiter, übermitteln sie nicht an Dritte und legen sie Dritten nicht offen. Es gibt nur diese Ausnahmen:

• Google selbst (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland; Daten können auch bei der Google LLC in den USA verarbeitet werden, die nach dem EU-US Data Privacy Framework zertifiziert ist, Art. 45 DSGVO). Die Schlüssel schicken wir nur an Google zurück: um dein Video hochzuladen, wenn du es bestätigst oder ein geplanter Upload fällig ist, um den Zugriff zu erneuern und um ihn zu widerrufen. Mit dem Upload erhält YouTube das Video sowie Titel, Beschreibung, Kategorie, Sichtbarkeit und Kinder-Angabe, die du gewählt hast.
• Unser Hoster, die Hostinger International Ltd., 61 Lordou Vironos Street, 6023 Larnaka, Zypern (siehe Abschnitt 2). Die Schlüssel (verschlüsselt), die Kennungen deiner hochgeladenen Videos und das Protokoll der Veröffentlichungen liegen auf dem Server in Frankfurt am Main, den wir bei Hostinger mieten, und können bis zu drei Wochen in den automatischen Sicherungen des ganzen Servers enthalten sein. Hostinger verarbeitet diese Daten nur in unserem Auftrag und nicht für eigene Zwecke.
• Unser Dienst für Fehlerberichte, Sentry (Functional Software, Inc., Datenhaltung in Frankfurt am Main, siehe „Fehlerberichte über Sentry“), nur wenn ein Schritt der YouTube-Verbindung scheitert (zum Beispiel Verbinden, Prüfung der Verbindung, Upload oder Widerruf des Zugriffs): Von den Angaben, die wir von Google erhalten, enthält der Bericht dann höchstens den technischen Fehlercode, den Google zurückgibt (zum Beispiel „quotaExceeded“ oder „invalid_grant“), und den HTTP-Status, nie Schlüssel, Videokennungen oder dein Video. Was ein solcher Bericht sonst enthält, steht unter „Fehlerberichte über Sentry“. Sentry verarbeitet ihn nur in unserem Auftrag und löscht ihn nach höchstens 90 Tagen.
• Behörden und Gerichte, nur wenn wir gesetzlich verpflichtet sind, Daten herauszugeben (Art. 6 Abs. 1 lit. c DSGVO), und nur so weit wie nötig.

Sonst erhält niemand Google-Nutzerdaten aus der YouTube-Verbindung. Insbesondere gehen die Schlüssel und Videokennungen nie an Groq, Supabase, Resend, Cloudflare, Buffer, TikTok oder Meta, nicht an Werbetreibende, Datenhändler, Analyse- oder KI-Anbieter und nicht an andere Apps. Für andere Zwecke als die hier beschriebenen übermitteln wir Google-Nutzerdaten nicht an Dritte und legen sie Dritten nicht offen. Bei Bumely hat nur der Betreiber (siehe Abschnitt 1) technischen Zugriff darauf, und kein Mensch bei uns liest die Schlüssel oder die Angaben von YouTube, außer das ist zur Aufklärung von Missbrauch, für die Sicherheit oder aus rechtlichen Gründen nötig.

Wie wir sie schützen. Alle Verbindungen zu dir und zu Google sind verschlüsselt (HTTPS). Die Schlüssel speichern wir nur verschlüsselt (Fernet: AES-Verschlüsselung mit Echtheitsprüfung). Den Schlüssel dazu hat nur der Teil unseres Servers, der mit Google spricht, nicht die Teile, die deine Videos bearbeiten. Die Datei mit deiner YouTube-Verbindung ist auf dem Server nur für das Systemkonto lesbar, unter dem Bumely läuft, und für den Betreiber als Administrator. Die Schlüssel erscheinen nie im Studio, in „Meine Daten herunterladen“ oder in Fehlerberichten; bevor ein Fehlerbericht unseren Server verlässt, entfernt er Schlüssel und E-Mail-Adressen daraus.

Wie lange wir sie speichern und wie du sie löschst. Die Schlüssel für YouTube speichern wir nur, solange YouTube verbunden ist. Die Kennung eines hochgeladenen Videos löschen wir spätestens 30 Tage nach dem Upload. Trennst du YouTube im Studio (Profil > Einstellungen > Posten), widerrufen wir den Zugriff bei Google und löschen die Schlüssel und die Videokennungen sofort. Löschst du dein Konto oder schreibst du uns an info@bumely.com, löschen wir alle Angaben, die wir von YouTube erhalten haben, spätestens innerhalb von 7 Tagen. Widerrufst du den Zugriff von Bumely in deinem Google-Konto (https://security.google.com/settings/security/permissions), löschen wir die Schlüssel für YouTube und alle Angaben von YouTube, sobald wir es merken, spätestens 30 Tage nach dem Widerruf; das prüfen wir mindestens alle 7 Tage. In den Sicherungen aus Abschnitt 2 können gelöschte Daten bis zu drei Wochen liegen; sobald der Widerruf bei Google durch ist, funktionieren die Schlüssel darin nicht mehr. Einzelheiten: „Verbindungen trennen und Daten löschen“ und Abschnitt 5.

Anmelden mit Google. Das ist eine eigene Verbindung mit einer eigenen Berechtigung (normalerweise deine E-Mail-Adresse und die Kennung deines Google-Kontos). Normalerweise schickt Google unserem Server eine signierte Anmeldebestätigung mit deiner E-Mail-Adresse und der Kennung deines Google-Kontos; unser Server gibt sie an Supabase weiter, das dein Konto für uns führt (siehe „Anmelden mit Google“ und „Zugang und Anmeldung“). Läuft die Anmeldung ausnahmsweise über Supabase, schickt Google deine E-Mail-Adresse, deinen Namen und dein Profilbild an Supabase, das sie an unseren Server weitergibt; wir verwenden nur die E-Mail-Adresse und speichern Name und Profilbild nicht. Die E-Mail-Adresse verwenden wir nur für dein Konto: um es anzulegen, dich anzumelden, dir die Mails aus „Mails über Resend“ zu schicken und Anfragen von dir zuzuordnen. Außer an Google geht sie nur an Supabase, an unseren Hoster Hostinger (unsere Kontenliste liegt auf dem Server in Frankfurt) und, wenn wir dir eine Mail schicken, an Resend; alle drei handeln nur in unserem Auftrag. An niemanden sonst, und aus Fehlerberichten entfernen wir E-Mail-Adressen, bevor sie an Sentry gehen. Wir löschen sie bei Bumely und bei Supabase, wenn du dein Konto löschst; zu den Anmeldeprotokollen bei Supabase und den Mails bei Resend siehe Abschnitt 5. Die Schlüssel für YouTube und die Videokennungen gehen nie an Supabase oder Resend.

Google schreibt dazu diese Erklärung auf Englisch vor; sie gilt für alle Google-Nutzerdaten in diesem Abschnitt:

Bumely's use and transfer to any other app of information received from Google APIs will adhere to Google API Services User Data Policy, including the Limited Use requirements.

Verbindungen trennen und Daten löschen

Das gilt für TikTok, Instagram und YouTube, für Buffer bei Konten, die Buffer vor dem 7. Oktober 2026 verbunden haben, und für die Verbindung mit ChatGPT. Den Trennen-Knopf gibt es für die Plattformen, die du verbunden hast. Du kannst jede Verbindung jederzeit trennen und deine Daten löschen lassen, ohne Kosten. Dafür gibt es diese Wege:

• Im Studio trennen. Unter Profil > Einstellungen > Posten: bei TikTok mit „TikTok trennen“, bei Instagram mit „Instagram trennen“, bei YouTube mit „YouTube trennen“, bei Buffer mit „Buffer trennen“. Den Knopf gibt es für die Plattformen, die du verbunden hast. Wir löschen die gespeicherten Schlüssel sofort, bei TikTok, Instagram und YouTube dazu deine Kennung bei der Plattform und die weiteren Angaben zu dieser Verbindung. Bei diesen drei Plattformen widerrufen wir den Zugriff außerdem gleich bei der Plattform, wo sie das anbietet. Bei YouTube löschen wir dabei auch die Kennungen deiner hochgeladenen Videos sofort; der eigene Merker gegen doppelte Uploads (Dateiname, Titel, Zeitpunkt, Stand) gehört zum übrigen Protokoll. Das übrige Protokoll der Veröffentlichungen bleibt bestehen und wird nach den Fristen in Abschnitt 5 gelöscht, auf Wunsch früher (siehe „Konto löschen“ und „Per E-Mail“).
• Bei der Plattform widerrufen. Du kannst Bumely den Zugriff auch dort entziehen, wo du ihn erteilt hast. TikTok: in den Einstellungen von TikTok bei den App-Berechtigungen (englisch „Manage app permissions“). Instagram: in den Einstellungen von Instagram unter „Apps und Websites“ (je nach App-Version auch „Website-Berechtigungen“). YouTube und Google: https://security.google.com/settings/security/permissions. Bei TikTok, Instagram und YouTube bemerken wir einen Widerruf spätestens bei der nächsten Prüfung der Verbindung (mindestens alle 7 Tage) oder wenn ein Beitrag deshalb fehlschlägt. Bei Instagram meldet uns Meta das in der Regel sofort, wenn du Bumely entfernst; wir löschen dann den Schlüssel und deinen Nutzernamen umgehend. Dann löschen wir die Schlüssel, bei YouTube außerdem die Angaben von Google, sobald wir es merken, spätestens 30 Tage nach dem Widerruf. Kennung und Protokoll bleiben, bis du die Verbindung im Studio trennst, dein Konto löschst oder uns per E-Mail darum bittest; das Protokoll löschen wir sonst nach seinen Fristen in Abschnitt 5. Buffer: den Schlüssel verwaltest du in deinem Buffer-Konto; du löschst oder ersetzt ihn selbst, und wir löschen ihn, wenn du Buffer im Studio trennst oder dein Konto löschst.
• Konto löschen. Im Studio unter „Konto“ > „Konto löschen“. Damit löschen wir alle Schlüssel, Verbindungsdaten und das Protokoll der Veröffentlichungen, bei YouTube alle Angaben von YouTube spätestens innerhalb von 7 Tagen. Bei TikTok, Instagram und YouTube widerrufen wir vorher den Zugriff bei der Plattform, wo sie das anbietet.
• Per E-Mail. Schreib an info@bumely.com, welche Verbindung oder welche Daten wir löschen sollen. Wir löschen die Verbindungsdaten unverzüglich, spätestens innerhalb von 7 Tagen, und bestätigen es dir per E-Mail. Auf Wunsch gehören dazu auch das Protokoll der Veröffentlichungen und bei YouTube alle Angaben von YouTube. Schreib bitte von der E-Mail-Adresse, mit der du dich im Studio anmeldest, so wissen wir, dass die Anfrage von dir kommt. Schreibst du von einer anderen Adresse, antworten wir an die Adresse deines Kontos und fragen dort nach, damit niemand fremde Daten löschen lässt.
• ChatGPT. Die Verbindung zwischen ChatGPT und deinem Bumely-Konto trennst du im Studio unter Profil > Einstellungen > Verbundene Apps mit „ChatGPT trennen“. Dann löschen wir die Verbindung und ihre Zugangsschlüssel sofort, und ChatGPT kann nicht mehr auf dein Konto zugreifen. Das geschieht auch, wenn du dein Konto löschst. Entfernen kannst du die Verbindung auch in ChatGPT. Videos, die du mit deinem Konto über ChatGPT gemacht hast, bleiben in deiner Bibliothek und werden nach den Fristen in Abschnitt 5 gelöscht; ein Video ohne Bumely-Konto löschen wir automatisch nach 24 Stunden. Was OpenAI in ChatGPT über dich speichert, etwa deine Chats, löschst du bei OpenAI.

Was das nicht ändert: Beiträge, die schon auf TikTok, Instagram oder YouTube veröffentlicht oder über Buffer eingeplant sind, bleiben dort. Lösch sie bei der Plattform selbst. Daten, die die Plattform selbst über dich hat, können wir nicht löschen; wende dich dafür an die Plattform (Links oben). In den Sicherungen aus Abschnitt 2 können gelöschte Verbindungsdaten noch bis zum Ablauf von deren Fristen liegen: bei den Sicherungen vor Updates in der Regel 7 Tage, spätestens bis zum nächsten Update danach, bei den automatischen Sicherungen des Hosters bis zu drei Wochen. Wo die Plattform das Widerrufen anbietet, tun wir das vorher; die Schlüssel in den Sicherungen sind dann ungültig. Wir nutzen die Sicherungen nur, um den Server nach einem Ausfall wiederherzustellen.

Aufs Handy holen

Wenn du ein fertiges Video aufs Handy holst oder teilst, erzeugt das Studio einen Link mit Zufallsnamen. Er funktioniert 24 Stunden und läuft dann ab.

Mitteilungen aufs Gerät (freiwillig)

Schaltest du in den Einstellungen „Mitteilungen“ ein und erlaubt dein Gerät das, meldet sich dein Gerät beim Push-Dienst seines Herstellers an: Apple (iPhone, iPad, Safari), Google (Chrome, Android), Mozilla (Firefox) oder Microsoft (Edge unter Windows). Auf unserem Server in Frankfurt speichern wir die Zustelladresse, die dieser Dienst vergibt, zwei technische Schlüssel, deine Sprache und den Zeitpunkt des Einschaltens. Ist ein Video fertig, schicken wir über diesen Dienst eine kurze Mitteilung, etwa „Dein Video ist fertig.“ Der Inhalt ist verschlüsselt, der Push-Dienst sieht nur die Zustelladresse und den Zeitpunkt. Anbieter sind Apple Inc., Google LLC, Mozilla Corporation und Microsoft Corporation, alle USA. Sie stellen die Mitteilung in eigener Verantwortung zu.

Rechtsgrundlage ist deine Einwilligung über den Schalter (Art. 6 Abs. 1 lit. a DSGVO). Das Abo auf deinem Gerät ist für die von dir gewünschte Mitteilung technisch nötig (§ 25 Abs. 2 Nr. 2 TDDDG). Du kannst die Einwilligung jederzeit in den Einstellungen des Studios oder deines Geräts widerrufen. Schaltest du Mitteilungen im Studio aus oder meldest du dich auf dem Gerät ab, löschen wir die Zustelladresse dieses Geräts sofort; stellt der Push-Dienst ein Abo nicht mehr zu, löschen wir es ebenfalls. Spätestens geschieht das mit deinem Konto.

Nutzung über ChatGPT (freiwillig)

Du kannst Bumely auch in ChatGPT nutzen, um ein Video untertiteln oder Pausen herausschneiden zu lassen. Das ist freiwillig: Ohne ChatGPT nutzt du Bumely wie gewohnt im Studio. ChatGPT ist ein Dienst von OpenAI (openai.com). Für die eigene Verarbeitung in ChatGPT, also deine Chats, deine Anhänge und dein Konto bei OpenAI, ist OpenAI selbst verantwortlich; dafür gilt die Datenschutzerklärung von OpenAI. Deine Chatverläufe bekommen wir nicht. Über ChatGPT veröffentlicht Bumely keine Videos, und in ChatGPT verkaufen wir nichts.

Von ChatGPT erhalten wir dein Video, entweder über einen kurzlebigen Download-Link von OpenAI, über den unser Server es sofort lädt, oder über den Upload im Bumely-Fenster in ChatGPT. Dazu kommen deine Wünsche zum Look (Schrift, Farben, Größe, Tempo), die Spracheinstellung und eine pseudonyme ChatGPT-Nutzerkennung, die OpenAI mitschickt. Einen ungefähren Standort, den ChatGPT mitschicken kann, verwenden und speichern wir nicht. An ChatGPT geben wir den Stand der Bearbeitung, den gewählten Look und Links zum fertigen Video zurück, damit du es im Bumely-Fenster in ChatGPT ansehen und herunterladen kannst. Diese Links gelten 60 Minuten. Die Untertitel entstehen wie im Studio über Groq (siehe „Spracherkennung und Beitragstext über Groq“).

Ein Video ohne Bumely-Konto. Über ChatGPT kannst du ein Video ohne Bumely-Konto machen. Bevor wir es bearbeiten, zeigt dir das Bumely-Fenster in ChatGPT einen Hinweis zur Spracherkennung über Groq, zu dieser Datenschutzerklärung, zu den Nutzungsbedingungen und zum Mindestalter von 16 Jahren. Erst wenn du dort „Starten“ drückst, bearbeiten wir dein Video. Ein aus ChatGPT geladenes Video, für das du nicht „Starten“ drückst, löschen wir nach 1 Stunde. Wir bearbeiten das Video in einem vorübergehenden internen Bumely-Konto und löschen Video, Transkript und fertiges Video nach 24 Stunden. Damit jeder ChatGPT-Nutzer nur ein Video ohne Bumely-Konto machen kann, speichern wir deine ChatGPT-Nutzerkennung nur als verschlüsselten Prüfwert (HMAC-Hash), und zwar 12 Monate lang. Rechtsgrundlage dafür ist unser berechtigtes Interesse, Missbrauch des Angebots ohne Konto zu verhindern (Art. 6 Abs. 1 lit. f DSGVO).

Mit deinem Bumely-Konto. Mit deinem Bumely-Konto kannst du über ChatGPT weitere Videos machen. Dafür verbindest du ChatGPT mit deinem Konto: Du meldest dich auf einer Anmeldeseite von Bumely an und stimmst dort der Verbindung zu. Die Zugangsschlüssel (Token) für diese Verbindung speichern wir nur als Prüfwert (Hash); ein Zugriffsschlüssel gilt 1 Stunde, ein Erneuerungsschlüssel 60 Tage. Videos, die du so über ChatGPT machst, liegen in deiner Bibliothek im Studio wie deine anderen Videos und werden genauso lange gespeichert (siehe „Deine Videos“). Die Angaben zu jedem Auftrag aus ChatGPT (Stand, Look, Dateiname, Größe) löschen wir nach 8 Tagen. Die Verbindung trennst du im Studio unter Profil > Einstellungen > Verbundene Apps mit „ChatGPT trennen“ oder indem du dein Konto löschst; entfernen kannst du sie auch in ChatGPT (siehe „Verbindungen trennen und Daten löschen“).

Rechtsgrundlage für das Bearbeiten deines Videos und die Verbindung mit deinem Bumely-Konto ist die Erfüllung deines Auftrags (Art. 6 Abs. 1 lit. b DSGVO). Was wir an ChatGPT zurückgeben, übermitteln wir auf deine Anweisung an OpenAI; ab dann ist OpenAI für die eigene Verarbeitung selbst verantwortlich. Was OpenAI verarbeitet und ob OpenAI Daten in Drittländer übermittelt, regelt die Datenschutzerklärung von OpenAI.

Bumely ist ein eigenständiges Produkt von tayger. Es gehört nicht zu OpenAI und wird von OpenAI weder gesponsert noch empfohlen. ChatGPT und OpenAI sind Marken von OpenAI.

5. Wie lange wir Daten speichern

• Videos, Transkripte, Standbilder und fertige Videos: 7 Tage nach dem Hochladen. Links zum Teilen aufs Handy: 24 Stunden. Kopien für Buffer: höchstens 7 Tage.
• Zugangsschlüssel (Token) zu TikTok, Instagram und YouTube: bis du die Verbindung trennst oder dein Konto löschst. Beendet die Plattform den Zugriff (Widerruf, Ablauf), löschen wir sie, sobald wir es merken; dafür prüfen wir mindestens alle 7 Tage. Buffer-Schlüssel: bis du Buffer trennst oder dein Konto löschst.
• Kennung bei der Plattform und weitere Verbindungsdaten zu TikTok und Instagram: bis du die Verbindung trennst oder dein Konto löschst.
• Angaben, die wir von YouTube erhalten: höchstens 30 Tage, dann löschen oder erneuern wir sie. Beim Trennen von YouTube im Studio, mit deinem Konto oder auf deine Bitte löschen wir sie spätestens innerhalb von 7 Tagen, nach einem Widerruf bei Google spätestens 30 Tage nach dem Widerruf.
• Protokoll der Veröffentlichungen auf TikTok, Instagram und YouTube: ein Eintrag 90 Tage nach dem Zeitpunkt der Veröffentlichung, spätestens mit deinem Konto (Angaben von YouTube darin siehe oben).
• Links mit Zufallsnamen, über die Instagram das fertige Video abholt: höchstens 60 Minuten, danach ungültig.
• Nutzung über ChatGPT: ein Video ohne Bumely-Konto samt Transkript und fertigem Video 24 Stunden; ein aus ChatGPT geladenes Video, für das du nicht „Starten“ drückst, 1 Stunde. Prüfwert der ChatGPT-Nutzerkennung: 12 Monate. Angaben zu Aufträgen aus ChatGPT (Stand, Look, Dateiname, Größe): 8 Tage. Links zum fertigen Video im Bumely-Fenster in ChatGPT: 60 Minuten.
• Zugangsschlüssel für die Verbindung mit ChatGPT (nur als Prüfwert): Zugriffsschlüssel 1 Stunde, Erneuerungsschlüssel 60 Tage. Die Verbindung selbst: bis du sie im Studio trennst oder dein Konto löschst, spätestens 60 Tage nach ihrer letzten Nutzung.
• Bestätigungscodes zu Instagram-Löschanfragen (der Code, der Zeitpunkt und die Zahl der gelöschten Verbindungen, ohne Bezug zu deinem Konto): 90 Tage.
• Fehlgeschlagene Anmeldeversuche und Zähler je IP-Adresse: höchstens 24 Stunden.
• Statistik für die „Übersicht“: bis zur Löschung deines Kontos, Tageswerte 30 Tage.
• Sicherungen vor Updates (Kontodaten ohne Videos): in der Regel 7 Tage, spätestens bis zum nächsten Update danach. Automatische Sicherungen des Hosters: höchstens drei Wochen.
• Systemprotokoll des Servers: höchstens fünf Wochen. Liste der Anmeldeversuche am Wartungszugang: höchstens zwei Monate.
• Fehlerberichte bei Sentry: höchstens 90 Tage. Mails bei Resend: 30 Tage. Bei Groq: keine Speicherung nach der Verarbeitung.
• Cookies und Anmeldungen auf unserem Server: 30 Tage oder bis zur Abmeldung, bei der Anmeldung mit Google oder Apple zusätzlich 10 Minuten. Anmeldeprotokolle bei Supabase: noch ohne feste Frist, auf Anfrage löschen wir sie.
• Tageszähler: 90 Tage. Vermerk, dass die Fertig-Mail oder Mitteilung zu einem Durchgang schon verschickt ist: 30 Tage.
• Konto, Profil, Einstellungen, Einwilligungen samt Verlauf, Mitteilungs-Abos, die Liste eingeplanter Beiträge und technische Protokolle deines Studios: bis du dein Konto löschst.

6. Kontakt

Schreibst du uns per E-Mail, rufst an oder schreibst per WhatsApp, verarbeiten wir deine Angaben, um deine Anfrage zu beantworten (Art. 6 Abs. 1 lit. b oder f DSGVO). Wir löschen sie, sobald sie nicht mehr nötig sind und keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Bei WhatsApp verarbeitet außerdem der Anbieter WhatsApp Ireland Limited deine Daten nach seinen eigenen Bedingungen. Möchtest du das nicht, nimm lieber E-Mail oder Telefon.

7. Deine Rechte

Du hast das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch gegen Verarbeitungen, die auf unserem berechtigten Interesse beruhen (Art. 21). Eine Nachricht an die Adresse oben genügt.

Hast du eingewilligt, etwa in die Fertig-Mail oder in Mitteilungen, kannst du die Einwilligung jederzeit für die Zukunft widerrufen (Art. 7 Abs. 3 DSGVO). Ohne E-Mail-Adresse können wir dir kein Konto anlegen, und ohne die Spracherkennung kann das Studio keine Untertitel erstellen; alle anderen Angaben sind freiwillig. Bumely schneidet und untertitelt deine Videos automatisch, trifft aber keine Entscheidungen über dich, die rechtliche Wirkung haben oder dich ähnlich erheblich beeinträchtigen (Art. 22 DSGVO).

Du kannst dich außerdem bei einer Datenschutz-Aufsichtsbehörde beschweren. Für uns zuständig ist das Bayerische Landesamt für Datenschutzaufsicht (BayLDA), Promenade 18, 91522 Ansbach.

8. Änderungen

Ändert sich etwas an Bumely oder an der Rechtslage, passen wir diese Erklärung an. Vorbehaltlich des Folgenden gilt die Fassung, die hier steht. Wollen wir auf eine neue Art von Google-Nutzerdaten zugreifen oder Google-Nutzerdaten auf eine neue Art oder für einen anderen Zweck verwenden als in dieser Erklärung beschrieben, passen wir zuerst diese Erklärung an, sagen dir das vorher im Studio und bitten dich um deine Einwilligung. Erst wenn du zugestimmt hast, greifen wir darauf zu oder verwenden sie auf die neue Art.