KI-Bildbearbeitung DSGVO-konform: Was GPUs in der EU bedeuten

Wo werden meine Fotos verarbeitet, und warum ist das wichtig?

Wer ein Foto in ein KI-Tool hochlädt, schickt eine Datei auf die Reise. Sie verlässt dein Handy oder deinen Rechner, landet auf einem Server, wird dort von einer Grafikkarte verarbeitet und kommt als Ergebnis zurück. Das klingt banal, ist aber der Kern der Frage: Wo werden meine Fotos verarbeitet? Denn der Standort dieses Servers entscheidet, welches Recht für deine Datei gilt, welche Behörden darauf zugreifen dürfen und an wen du dich wendest, wenn etwas schiefgeht.

Für ein Urlaubsfoto mag das zweitrangig sein. Sobald auf dem Bild aber Menschen zu erkennen sind, wird es zu personenbezogenen Daten im Sinne der DSGVO. Ein Gesicht reicht. Ein Kundenfoto, ein Porträt für eine Bewerbung, Bilder von Mitarbeitenden für die Firmenwebsite, eingescannte Familienfotos mit Namen auf der Rückseite: Das alles fällt darunter.

Für Fotografinnen, Agenturen, Onlinehändler und alle, die beruflich mit Bildern anderer Leute arbeiten, ist die Frage deshalb keine Geschmackssache, sondern eine Frage der Compliance. Wenn du ein Kundenfoto an einen Dienst schickst, bist du gegenüber deinem Kunden verantwortlich. Der Dienst wird in der Sprache der DSGVO zum Auftragsverarbeiter, und du musst wissen, was er mit der Datei macht. Verarbeitet er sie außerhalb der EU, brauchst du eine Rechtsgrundlage für die Übermittlung in ein Drittland und musst prüfen, ob dort ein vergleichbares Schutzniveau besteht. Das ist Papierkram, den viele unterschätzen, und er beginnt mit einer einfachen Frage an den Anbieter: Wo steht die Hardware?

Die meisten KI-Tools beantworten das nicht auf der Startseite. Oft steht in der Datenschutzerklärung nur ein allgemeiner Satz über "Server weltweit" oder "unsere Partner". Genau dort lohnt es sich, genauer hinzuschauen, bevor du die erste Datei hochlädst.

Bildverarbeitung in der EU: So ist Airpic aufgebaut

Airpic besteht aus zwei Teilen, die bewusst getrennt sind. Der erste Teil ist die Website selbst und die API: Seiten, Skripte, das Formular, mit dem du eine Datei auswählst. Diese Schicht läuft auf einem globalen Edge-Netzwerk, damit die Seite überall schnell lädt. Dort wird nichts an deinen Bildern gerechnet, und dort bleibt auch nichts von ihnen liegen.

Der zweite Teil ist die eigentliche Arbeit: Vergrößern, Freistellen, Entrauschen, Restaurieren, Transkribieren. Das passiert auf GPUs, die Airpic sekundenweise mietet, und zwar ausschließlich in Rechenzentren in der Europäischen Union und im Europäischen Wirtschaftsraum: in Tschechien, Rumänien und Norwegen. Norwegen ist kein EU-Mitglied, gehört aber zum EWR, und dort gilt die DSGVO genauso. Für dich heißt das: Die Verarbeitung deiner Bilder findet in Europa statt, nicht in einem Drittland.

Der Ablauf, wenn du zum Beispiel ein Bild vergrößern willst, sieht so aus:

1. Du wählst die Datei im Browser aus. Sie geht in einen kurzlebigen Zwischenspeicher, der nur für diesen einen Auftrag existiert.
2. Eine GPU in einem der europäischen Rechenzentren holt die Datei, verarbeitet sie und legt das Ergebnis wieder ab.
3. Die Originaldatei wird gelöscht, sobald der Auftrag fertig ist.
4. Du siehst die Vorschau und lädst das Ergebnis herunter.
5. Das Ergebnis wird eine Stunde nach dem Download gelöscht. Lädst du es nicht herunter, verschwindet es spätestens nach einem Tag.

Es gibt keine Galerie, keinen Verlauf und kein Archiv. Nichts wird dauerhaft gespeichert, weil es kein Konto gibt, an dem etwas hängen könnte. Dasselbe gilt für Videos: Wenn du ein Video in Text transkribieren lässt, läuft auch das auf einer GPU in der EU, und Video wie Transkript werden nach denselben Fristen gelöscht.

Der Vorteil der sekundenweise gemieteten GPUs ist nicht nur der Preis. Eine Maschine, die nur für die Dauer eines Auftrags läuft und danach wieder freigegeben wird, sammelt keine Datenbestände an. Es gibt keinen Server, auf dem sich über Monate Kundenbilder stapeln.

KI-Tools und DSGVO: Was ein Auftragsverarbeiter leisten muss

Die DSGVO verlangt von einem Dienst, der Daten im Auftrag verarbeitet, keine Wunder, sondern ein paar klare Grundsätze. Drei davon sind bei KI-Tools und DSGVO besonders wichtig, und an ihnen lässt sich jeder Anbieter messen.

Datenminimierung. Es dürfen nur die Daten erhoben werden, die für den Zweck wirklich nötig sind. Um ein Foto freizustellen, braucht niemand deinen Namen, deine E-Mail-Adresse oder dein Geburtsdatum. Airpic fragt deshalb nichts davon ab. Es gibt kein Konto und kein Passwort. Bezahlt wird mit Inhaber-Credits, die im Browser gespeichert sind; die Zahlung selbst wickelt ein Zahlungsdienstleister ab, Airpic sieht keine Kartendaten. Die einzige personenbezogene Information, die bei einem Auftrag zwangsläufig anfällt, ist das, was auf dem Bild zu sehen ist, und genau das wird nur für die Dauer der Verarbeitung gebraucht.

Speicherbegrenzung. Daten dürfen nicht länger aufbewahrt werden, als es der Zweck erfordert. Bei Airpic ist das technisch festgelegt und nicht nur ein Versprechen in der Datenschutzerklärung: Das Original wird nach Abschluss des Auftrags gelöscht, das Ergebnis eine Stunde nach dem Download, und ohne Download nach spätestens einem Tag. Es gibt keine Option, Dateien länger aufzuheben, und auch keine Ausnahme für "Qualitätssicherung".

Zweckbindung, also keine Weitergabe für Training. Viele KI-Dienste behalten sich in den Nutzungsbedingungen vor, hochgeladene Inhalte zur Verbesserung ihrer Modelle zu verwenden. Für ein Kundenfoto ist das ein Problem: Dein Kunde hat dir das Bild für einen bestimmten Zweck gegeben, nicht dafür, dass es in einem Trainingsdatensatz landet. Airpic trainiert keine Modelle mit deinen Bildern und gibt sie auch an niemanden weiter, der das tun würde. Die eingesetzten Modelle sind fertig trainiert und werden nur angewendet.

Dazu kommt ein Punkt, der in der Praxis oft unterschätzt wird: Weil die Modelle an deiner Datei arbeiten und keine neue Szene erfinden, bleibt das Ergebnis dein Foto. Allgemeine KI-Assistenten liefern ein neues Bild mit ein bis zwei Megapixeln, das deinem ähnelt. Wenn du ein Porträt eines Kunden bearbeitest, ist das nicht nur eine Qualitätsfrage, sondern auch eine Frage der Integrität: Der Kunde soll sich auf dem Bild wiedererkennen. Mehr dazu steht im Artikel Foto mit KI verbessern, ohne dass es ein anderes wird.

Eine Einschränkung gehört der Ehrlichkeit halber dazu: Die DSGVO-Konformität deines eigenen Workflows hängt nicht nur vom Tool ab. Ob du für ein Kundenfoto eine Einwilligung brauchst und wie du die Verarbeitung dokumentierst, musst du selbst klären. Ein Dienst mit GPUs in der EU, ohne Konto und mit festen Löschfristen macht dir diese Arbeit aber deutlich leichter, weil es weniger zu dokumentieren gibt.

Fünf Fragen an jeden KI-Dienst mit Servern in Europa

Bevor du ein Foto eines Kunden, einer Patientin oder eines Kollegen in irgendein KI-Tool lädst, lohnt sich eine kurze Prüfung. Diese fünf Fragen solltest du jedem KI-Dienst mit Servern in Europa stellen, und auch jedem, der keine hat. Die Antworten stehen meist in der Datenschutzerklärung oder in den FAQ; wenn sie dort nicht stehen, ist das schon eine Antwort.

1. Wo wird verarbeitet? Nicht: Wo sitzt die Firma, sondern: In welchem Land steht die GPU, die mein Bild rechnet? Ein europäischer Firmensitz bedeutet nicht automatisch Verarbeitung in Europa. Achte auf konkrete Länder oder Regionen, nicht auf Formulierungen wie "bei unseren Partnern".
2. Wie lange wird gespeichert? Gibt es eine feste Frist, nach der Original und Ergebnis gelöscht werden? Gilt sie auch, wenn du das Ergebnis nicht herunterlädst? Und gilt sie für Sicherungskopien? Eine Galerie oder ein Verlauf im Konto ist bequem, bedeutet aber, dass deine Bilder liegen bleiben, bis du sie selbst löschst.
3. Wird mit meinen Bildern trainiert? Suche in den Nutzungsbedingungen nach Begriffen wie "Verbesserung unserer Dienste", "Modelltraining" oder "Lizenz an hochgeladenen Inhalten". Manche Anbieter erlauben einen Widerspruch, aber nur in den Einstellungen eines Kontos. Für Kundenmaterial sollte die Antwort ein klares Nein sein.
4. Wer kann die Bilder sehen? Gibt es Menschen, die Uploads stichprobenartig ansehen, etwa zur Moderation? Werden Dateien an Drittanbieter weitergereicht, zum Beispiel an einen anderen KI-Dienst im Hintergrund? Wie viele Unternehmen sind an einem einzigen Auftrag beteiligt?
5. Wie wird gelöscht? Passiert das automatisch oder musst du es anfordern? Bekommst du einen Nachweis? Und was passiert mit deiner E-Mail-Adresse und deinem Zahlungsverlauf, wenn du das Konto kündigst? Ein Dienst ohne Konto hat hier einen eingebauten Vorteil, weil es schlicht weniger zu löschen gibt.

Für Airpic lauten die Antworten: verarbeitet auf GPUs in Tschechien, Rumänien und Norwegen; gelöscht nach Abschluss des Auftrags beziehungsweise eine Stunde nach dem Download, spätestens nach einem Tag; kein Training mit deinen Bildern; keine Galerie, kein Verlauf, keine Weitergabe; Löschung automatisch, ohne dass du etwas tun musst. Der Vergleich mit anderen Modellen ist auf der Seite Warum Airpic zusammengefasst, inklusive der Tabelle, die Airpic, allgemeine KI-Assistenten und typische Abo-Dienste nebeneinanderstellt.

Ein praktischer Tipp für Teams: Halte die fünf Antworten für jedes Tool, das ihr nutzt, in einer kurzen Liste fest. Das ist genau die Information, die du im Verzeichnis der Verarbeitungstätigkeiten brauchst, und sie ist schneller gesammelt, als es klingt.

Wo das bei Airpic schriftlich steht, und so fängst du an

Was du oben gelesen hast, steht bei Airpic auch an drei Stellen schriftlich, damit du es nachprüfen und in deiner eigenen Dokumentation zitieren kannst:

• Was passiert mit deiner Datei: eine eigene Seite mit dem technischen Ablauf vom Upload über die GPU bis zur Löschung, mit den Fristen und mit dem, was Airpic ausdrücklich nicht tut. Du findest sie im Fußbereich jeder Seite. Eine verständliche Zusammenfassung gibt es auch im Blogartikel Was passiert mit meinen Fotos nach dem Hochladen?
• Datenschutzerklärung: der rechtliche Text mit den Empfängern, den Verarbeitungsorten und den Fristen. Ebenfalls im Fußbereich verlinkt.
• Status: eine Seite, die live zeigt, ob Website, Speicher und GPU-Worker gerade erreichbar sind.

Wenn du Airpic mit einem Kundenfoto ausprobieren willst, geht das ohne Anmeldung:

1. Öffne die passende Funktion, zum Beispiel Hintergrund entfernen für Produkt- und Porträtfotos oder alte Fotos restaurieren für eingescannte Familienbilder.
2. Ziehe die Datei in das Feld oder wähle sie aus. JPG, PNG, WebP, TIFF, HEIC und AVIF werden angenommen, die EXIF-Ausrichtung wird angewendet und das ICC-Farbprofil bleibt erhalten.
3. Stelle die Optionen ein und klicke auf Verarbeiten. Die Datei geht an eine GPU in der EU.
4. Prüfe das Ergebnis in der Vorschau. Verarbeiten und Ansehen sind kostenlos.
5. Lade das Ergebnis herunter. Eine vollständige Datei pro Monat ist gratis; danach brauchst du Credits, die nie verfallen, ab 0,099 € pro Bild im 100er-Paket. Wenn du nur Dateien verkleinern willst: Bilder komprimieren ist komplett kostenlos, auch der Download.
6. Fertig. Du musst nichts löschen: Eine Stunde nach dem Download ist die Datei vom Server verschwunden.

Wer vorher alle Argumente auf einen Blick sehen will, findet sie unter Warum Airpic: Bildbearbeitung mit KI in der EU, ohne Konto.

FAQ

Weiterlesen