Privacy Policy

This policy covers the website amberald.com and the Amberald application. In short: this site sets no cookies, uses no analytics and loads nothing from third-party servers. The application keeps your photos, your catalogue and the AI models on your own computer. Every connection it makes at all is listed in section 7, one by one.

Last updated: 17 October 2026

1. Controller

Luca Zidane Bartl (zidArts), Mohnweg 2, 67346 Speyer, Germany.
Email: support@amberald.com · Imprint

No data protection officer has been appointed; we are not required to appoint one.

2. Hosting and connection data

This website is delivered by Cloudflare Germany GmbH (Rosental 7, 80331 Munich) and its group companies including Cloudflare, Inc. in the USA, as a processor under Art. 28 GDPR. Delivering a page necessarily processes technical connection data (IP address, requested URL, time, browser identification, referrer). Legal basis: Art. 6(1)(f) GDPR, our legitimate interest in operating the site securely and defending it against attacks.

Because this provider runs a worldwide network, that data may be processed outside the EU, including in the USA. The transfer is covered by the EU Commission's standard contractual clauses agreed with the provider, supplemented by its own technical and organisational measures. We do not enable any access logging of our own and keep no access logs; the provider processes connection data for the duration of the request and for its own security purposes according to its retention periods. See the Cloudflare privacy policy.

3. Cookies, analytics, tracking

This website sets no cookies. It uses no analytics services, no counting pixels, no advertising networks and no consent banner, because there is nothing to consent to. It also loads no fonts, scripts, videos or images from third-party servers: everything the page needs comes from this domain.

The payment provider is contacted only after you click a buy button. Until then no connection to Paddle is made: the price you see on our pages is a fixed value stored in this website, not a live lookup. That is a deliberate design decision, not a coincidence, and it is why there is no banner.

One thing is stored on your device: if you use the EN/DE language switch, your choice is saved in your browser's local storage under the key amb-lang so the site opens in that language next time. It holds nothing but the two letters of the language, is never transmitted to us, and is written only once you actually use the switch. That is storage strictly necessary for a service you expressly requested (§ 25(2)(2) TDDG). You can delete it at any time in your browser settings for this site.

4. Contacting us

The buttons on this site open your own email program; there is no form and no server of ours in between. If you write to us, we process your email address, your name where you give it, and the content of your message in order to answer it. Legal basis: Art. 6(1)(f) GDPR (legitimate interest in answering enquiries addressed to us) and, where your message concerns a contract, Art. 6(1)(b) GDPR.

Our mailboxes are operated by netcup GmbH (Daimlerstraße 25, 76185 Karlsruhe) on servers in Germany, as a processor under Art. 28 GDPR. Email reaches us over the open internet; unless you encrypt it yourself, confidentiality cannot be guaranteed for the transport path.

5. Buying: Paddle

Purchases are processed by Paddle.com Market Ltd. (Judd House, 18-29 Mora Street, London EC1V 8BT, United Kingdom) as merchant of record. That means Paddle is the seller towards you: it takes the payment, issues the invoice and handles sales tax and VAT. For the payment data, Paddle is its own controller, not our processor. Which data Paddle collects and on what basis is described in the Paddle privacy policy.

What we receive from Paddle: your name, your email address, your country, the order number and the product bought. We do not receive card numbers, bank details or any other payment details, and we have no way of accessing them. Legal basis: Art. 6(1)(b) GDPR, because without those details we cannot issue your licence.

Loading the Paddle checkout transfers data to Paddle, including your IP address, and lets Paddle store data on your device. That happens only after you click a buy button, and clicking it is your decision to enter into the purchase. Paddle also transfers data to third countries; it uses the EU Commission's standard contractual clauses for that.

6. Our own records

To issue and manage licences we keep, on a server operated by netcup GmbH in Germany: the licence identifier, your name and email address, the country from the order, the order number from Paddle, and, for each device you activate, a device identifier and the time of activation.

The device identifier is a SHA-256 hash of a machine identifier of your operating system with a fixed prefix. It cannot be turned back into that machine identifier and contains neither a name nor a serial number. Its only purpose is to count how many of your three devices are in use, which is the contractual core of the purchase.

Legal basis: Art. 6(1)(b) GDPR (performance of the licence agreement). Retention: for as long as the licence exists, plus the statutory retention periods for commercial and tax records (six and ten years under German law). A device you release disappears from the list immediately.

7. The Amberald application

Your photos, your catalogue and the AI models stay on your computer. Image analysis, search in natural language, face recognition and every AI tool run locally on your machine. The application has no user account, uploads nothing and needs no cloud service to do its work. It works completely without an internet connection; only starting the trial needs one, once (section 7.1).

There is no telemetry, no usage statistics, no crash reports sent to us and no counting pixel. The connections listed below are the complete set. Where a legal basis is Art. 6(1)(b) GDPR, that is because the feature in question cannot exist without the connection.

7.1 Licence activation and trial

When you enter your licence, the application activates it once via our activation server (license.zidarts.com, operated on our behalf by netcup GmbH in Germany). It transmits the licence identifier, the device identifier described in section 6 and the program version. It transmits no photos, file names, catalogue data or usage data. Legal basis: Art. 6(1)(b) GDPR.

After that one-time activation the licence runs offline indefinitely. Where a connection exists anyway, the application revalidates in the background every six hours; if that check never happens, nothing changes for you. There is no grace period and no recurring obligation to go online. This step cannot be switched off, because without it the three-device limit could not be enforced at all.

Trial. When you start the free trial, the application asks the same server for it, once. It transmits the product name, the device identifier described in section 6 and the program version. The server keeps, per device, when the trial began, how long it runs and when it was last asked for, so that each device gets one trial; it stores no name, no email address and no IP address. After that the trial runs offline. Legal basis: Art. 6(1)(f) GDPR; our legitimate interest is to grant one free trial per device and not an unlimited number.

7.2 Update notice

At most once a day the application fetches the file amberald.com/latest.json to see whether a newer release exists. That request carries no identifier: no licence, no device identifier, not even the installed version. The server learns only what any HTTP request reveals, namely IP address and user agent. The application downloads and installs nothing by itself; the notice is a link.

Legal basis: Art. 6(1)(f) GDPR, our legitimate interest in customers learning about fixes. The check can be switched off under Settings; it is on when the program is delivered.

7.3 AI models

Amberald’s AI models weigh about 1.5 GB in total. They are therefore not part of the installer: the application offers to download them, and only does so when you ask it to. There is no periodic check — whether a model is missing, or no longer matches the installed release, Amberald knows by itself, without a network.

The files come from amberald.com/models/pointer.json and dl.amberald.com, the same address Amberald itself is downloaded from. Those requests carry no identifier: no licence, no device identifier, not even the installed version; the user agent is just “Amberald”. Which files you fetch shows which AI features you wanted — nothing more. Each file is checked against a checksum built into the program and is only accepted if it matches, and downloads happen only from addresses under amberald.com.

The models are stored in your own user folder and can be deleted there at any time (Settings has a button for it). They can also be installed from a folder, for instance from a USB stick — then no connection is made at all. Legal basis: Art. 6(1)(b) GDPR, since you requested the feature; without the files it does not exist.

7.4 Map view

If you open the map view or place a photo on the map, the application loads map tiles from OpenStreetMap (tile.openstreetmap.org, OpenStreetMap Foundation, United Kingdom).

Please read this one carefully, because the request itself is the location. A tile address consists of the coordinates of the section you are looking at. Anyone reading those requests learns not only that you opened the map, but where you were looking, and you look at the places where your photos were taken. No photo, no coordinate of your files and no identifier is transmitted, but that does not make the tile coordinates harmless.

Tiles already fetched are cached on your disk, so looking at the same place twice makes no second request. This connection only happens when you open the map view. You can enter a different tile provider in the settings, including one you run yourself, and an empty field switches the download off entirely. Legal basis: Art. 6(1)(b) GDPR.

7.5 Sharing with clients

You can make a selection of your photos available to a client for review and rating. There are several routes, and they differ; describing them in one sentence would be wrong for most of them. In none of them are your photos stored on a server of ours or of a third party. Only downscaled previews are ever transmitted, never the original files.

Offline package. No server, no connection at all. The application writes a folder that you send however you like.
Your own server. The application opens a port on your computer and serves the previews itself; the images travel directly from you to your client. To find out your public IP address, the application may ask api.ipify.org; to open the port on your router automatically it uses UPnP inside your own network, which does not leave it.
Direct link via a rendezvous server. The server learns the share identifier, the port and the public IP address the heartbeat came from, and answers your client with a redirect of roughly 300 bytes. It carries no image data at all. Unless you enter your own, this is our server photoshare.zidarts.com, which also sets up peer-to-peer connections (below); it keeps these details in memory only while the share is running.
Relay server. The only route where image data passes through another machine. The previews are passed through live while the share is running and are not stored there.
Peer to peer. Images travel directly from your computer into your client's browser. Only the connection setup runs over a server, plus a STUN server (stun.l.google.com by default, Google LLC) to find out how your computer is reachable. Any other STUN server can be entered instead.

Legal basis: Art. 6(1)(b) GDPR, triggered by your choice. When you share photos of other people, you become the controller for that processing. Ensuring a legal basis for it, giving the link only to the right people and ending the share afterwards are your decisions, not ours. Where you use a relay or rendezvous server operated by us, we process the data passed through solely on your instructions; a data processing agreement under Art. 28 GDPR is available on request.

7.6 What the application deliberately does not do

No telemetry, no usage statistics, no anonymous improvement programme.
No crash reports sent to us. The diagnostic file stays on your machine and you decide whether to attach it to an email.
No AI in the cloud. Every model ships with the program and runs on your processor and graphics card; nothing is loaded at runtime.
No user account, no login, no email address inside the application.

7.7 The iPad app

Everything above applies to Amberald for iPad as well, with these differences:

Purchase and trial through Apple. The iPad app is bought in the App Store, and its free 14-day trial is a free in-app purchase. Payment, receipts and refunds are handled by Apple under Apple’s privacy policy. We receive no payment details and do not learn your Apple ID. Whether you own the full version is checked on your iPad with Apple and is not reported to us. Paddle (section 5) is not involved.
No licence activation, no update notice. Sections 7.1 and 7.2 do not apply. The iPad app contacts no licence server and asks for no updates; updates come through the App Store.
Your local network. Handing photos over to Amberald on your computer, finding that computer on the network (Bonjour) and receiving photos from your camera over FTP all happen directly between your own devices, inside your local network. Nothing passes through a server of ours. iPadOS asks for your permission the first time the app looks for your computer.
Network drives. If you import from a network drive (SMB), the app connects only to the server you enter. Your user name and password are stored in the iPad keychain and are sent only to that server.
Photos library. The app reads your Photos library only when you choose photos to import, and writes to it only when you export there.

Legal basis: Art. 6(1)(b) GDPR, triggered by your use of the feature.

8. Face recognition: biometric data

Amberald can find faces in your photos, compute comparison features from them and recognise people across your library. Comparison features of faces are biometric data and a special category of personal data under Art. 9(1) GDPR once they serve to identify a person uniquely, and that is exactly what this feature is for.

We never receive that data. Detection, comparison features and the assignment of names all happen on your computer and stay in your catalogue. There is no endpoint of ours that would accept them, and switching the feature on transmits nothing.

For you the picture depends on what you use it for. In a purely personal or household context, such as your own family photos, the GDPR does not apply to this processing at all (Art. 2(2)(c) GDPR). If you use face recognition professionally, as a photographer, agency, association or public body, you are the controller for it and you need a ground under Art. 9(2) GDPR; which one applies depends on the use, and in many cases it will be the explicit consent of the people depicted. We can neither obtain that consent for you nor replace it.

The feature can be switched off under Settings (AI analysis), and the application is fully usable without it; without it no biometric data is created in the first place. Comparison features already computed can be deleted at any time.

9. Recipients

We do not sell personal data and do not pass it on for advertising. Apart from the processors named above (hosting: Cloudflare; email and licence server: netcup) and Paddle as merchant of record and own controller for payment, data is passed on only where we are legally obliged to do so.

The services the application contacts on your instruction (OpenStreetMap for map tiles, ipify for your public IP, a STUN server for peer-to-peer setup) receive the data described in section 7 and are not our processors: you address them directly from your own computer.

10. Your rights

You have the right of access (Art. 15), rectification (Art. 16), erasure (Art. 17), restriction of processing (Art. 18), data portability (Art. 20), withdrawal of a consent with effect for the future (Art. 7(3)) and objection to processing based on legitimate interests (Art. 21 GDPR).

Write to support@amberald.com; we answer within one month (Art. 12(3) GDPR). Since the data we hold about you is tied to your licence and your email address, we normally do not ask for identification.

You also have the right to lodge a complaint with a supervisory authority (Art. 77 GDPR). For us that is the Landesbeauftragter für den Datenschutz und die Informationsfreiheit Rheinland-Pfalz, Hintere Bleiche 34, 55116 Mainz; you may also contact the authority where you live.

11. Changes

We update this policy when the website or the product changes in a way that affects data processing. The current version is always available at this address.

Datenschutzerklärung

Diese Erklärung gilt für die Website amberald.com und für die Anwendung Amberald. Kurz gesagt: Diese Seite setzt keine Cookies, nutzt keine Analyse-Dienste und lädt nichts von fremden Servern. Die Anwendung behält deine Fotos, deinen Katalog und die KI-Modelle auf deinem Rechner. Jede Verbindung, die sie überhaupt aufbaut, steht einzeln in Abschnitt 7.

Stand: 17. Oktober 2026

1. Verantwortlicher

Luca Zidane Bartl (zidArts), Mohnweg 2, 67346 Speyer, Deutschland.
E-Mail: support@amberald.com · Impressum

Ein Datenschutzbeauftragter ist nicht bestellt; dazu sind wir nicht verpflichtet.

2. Hosting und Verbindungsdaten

Diese Website wird von der Cloudflare Germany GmbH (Rosental 7, 80331 München) und ihren Konzerngesellschaften einschließlich der Cloudflare, Inc. in den USA ausgeliefert, als Auftragsverarbeiter nach Art. 28 DSGVO. Die Auslieferung einer Seite verarbeitet zwangsläufig technische Verbindungsdaten (IP-Adresse, angeforderte URL, Zeitpunkt, Browserkennung, Referrer). Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO, unser berechtigtes Interesse am sicheren Betrieb der Seite und an ihrer Verteidigung gegen Angriffe.

Da dieser Anbieter ein weltweites Netz betreibt, können diese Daten außerhalb der EU, auch in den USA, verarbeitet werden. Die Übermittlung ist durch die mit dem Anbieter vereinbarten Standardvertragsklauseln der EU-Kommission abgesichert, ergänzt um dessen eigene technische und organisatorische Maßnahmen. Wir schalten keine eigene Zugriffsprotokollierung ein und führen selbst keine Zugriffsprotokolle; der Anbieter verarbeitet Verbindungsdaten für die Dauer der Anfrage und zu eigenen Sicherheitszwecken nach seinen Löschfristen. Siehe die Datenschutzerklärung von Cloudflare.

3. Cookies, Analyse, Tracking

Diese Website setzt keine Cookies. Sie nutzt keine Analyse-Dienste, keine Zählpixel, keine Werbenetzwerke und keinen Einwilligungsbanner, weil es nichts einzuwilligen gibt. Sie lädt auch keine Schriften, Skripte, Videos oder Bilder von fremden Servern: Alles, was die Seite braucht, kommt von dieser Domain.

Der Zahlungsanbieter wird erst kontaktiert, wenn du auf einen Kaufknopf klickst. Bis dahin besteht keine Verbindung zu Paddle: Der Preis, den du auf unseren Seiten siehst, ist ein in dieser Website hinterlegter fester Wert und keine Live-Abfrage. Das ist eine bewusste Bauentscheidung und kein Zufall, und es ist der Grund, warum es hier keinen Banner gibt.

Eines wird auf deinem Gerät gespeichert: Wenn du den Sprachumschalter EN/DE benutzt, wird deine Wahl im lokalen Speicher deines Browsers unter dem Schlüssel amb-lang abgelegt, damit die Seite beim nächsten Mal in dieser Sprache öffnet. Er enthält nichts als die zwei Buchstaben der Sprache, wird nie an uns übertragen und erst geschrieben, wenn du den Schalter tatsächlich betätigst. Das ist eine Speicherung, die für den von dir ausdrücklich gewünschten Dienst unbedingt erforderlich ist (§ 25 Abs. 2 Nr. 2 TDDG). Du kannst sie jederzeit in den Browsereinstellungen für diese Seite löschen.

4. Kontaktaufnahme

Die Schaltflächen auf dieser Seite öffnen dein eigenes E-Mail-Programm; es gibt kein Formular und keinen Server von uns dazwischen. Wenn du uns schreibst, verarbeiten wir deine E-Mail-Adresse, deinen Namen, sofern du ihn angibst, und den Inhalt deiner Nachricht, um sie zu beantworten. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Beantwortung an uns gerichteter Anfragen) und, soweit deine Nachricht einen Vertrag betrifft, Art. 6 Abs. 1 lit. b DSGVO.

Unsere Postfächer werden von der netcup GmbH (Daimlerstraße 25, 76185 Karlsruhe) auf Servern in Deutschland betrieben, als Auftragsverarbeiter nach Art. 28 DSGVO. E-Mail erreicht uns über das offene Internet; wenn du sie nicht selbst verschlüsselst, kann für den Transportweg keine Vertraulichkeit garantiert werden.

5. Kauf: Paddle

Bestellungen wickelt Paddle.com Market Ltd. (Judd House, 18-29 Mora Street, London EC1V 8BT, Vereinigtes Königreich) als Merchant of Record ab. Das bedeutet: Paddle ist dir gegenüber der Verkäufer, nimmt die Zahlung entgegen, stellt die Rechnung und führt die Umsatzsteuer ab. Für die Zahlungsdaten ist Paddle eigener Verantwortlicher und nicht unser Auftragsverarbeiter. Welche Daten Paddle erhebt und auf welcher Grundlage, steht in der Datenschutzerklärung von Paddle.

Was wir von Paddle erhalten: deinen Namen, deine E-Mail-Adresse, dein Land, die Bestellnummer und das gekaufte Produkt. Wir erhalten keine Kartennummern, keine Kontodaten und keine sonstigen Zahlungsdaten, und wir haben auch keine Möglichkeit, sie einzusehen. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, denn ohne diese Angaben können wir dir keine Lizenz ausstellen.

Mit dem Laden der Paddle-Kasse werden Daten an Paddle übertragen, darunter deine IP-Adresse, und Paddle darf Daten auf deinem Gerät speichern. Das geschieht erst nach deinem Klick auf einen Kaufknopf, und dieser Klick ist deine Entscheidung, den Kauf einzuleiten. Paddle übermittelt Daten auch in Drittländer und stützt sich dabei auf die Standardvertragsklauseln der EU-Kommission.

6. Unsere eigenen Aufzeichnungen

Zur Ausstellung und Verwaltung von Lizenzen speichern wir auf einem Server der netcup GmbH in Deutschland: die Lizenzkennung, deinen Namen und deine E-Mail-Adresse, das Land aus der Bestellung, die Bestellnummer von Paddle sowie je aktiviertem Gerät eine Geräte-Kennung und den Zeitpunkt der Aktivierung.

Die Geräte-Kennung ist ein SHA-256-Hash aus einer Maschinen-Kennung deines Betriebssystems mit festem Präfix. Sie lässt sich nicht in diese Maschinen-Kennung zurückrechnen und enthält weder einen Namen noch eine Seriennummer. Ihr einziger Zweck ist zu zählen, wie viele deiner drei Geräte belegt sind, und das ist der vertragliche Kern des Kaufs.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Erfüllung des Lizenzvertrags). Aufbewahrung: solange die Lizenz besteht, danach im Rahmen der handels- und steuerrechtlichen Aufbewahrungsfristen (sechs und zehn Jahre). Ein Gerät, das du freigibst, verschwindet sofort aus der Liste.

7. Die Anwendung Amberald

Deine Fotos, dein Katalog und die KI-Modelle bleiben auf deinem Rechner. Bildanalyse, Suche in natürlicher Sprache, Gesichtserkennung und sämtliche KI-Werkzeuge laufen lokal auf deinem Computer. Die Anwendung hat kein Benutzerkonto, lädt nichts hoch und braucht für ihre Arbeit keinen Cloud-Dienst. Sie funktioniert vollständig ohne Internetverbindung; nur der Start der Testphase braucht einmalig eine (Abschnitt 7.1).

Es gibt keine Telemetrie, keine Nutzungsstatistik, keine an uns gesendeten Absturzberichte und keinen Zählpixel. Die unten aufgeführten Verbindungen sind vollständig. Wo als Rechtsgrundlage Art. 6 Abs. 1 lit. b DSGVO steht, liegt das daran, dass die jeweilige Funktion ohne die Verbindung nicht existieren kann.

7.1 Lizenzaktivierung und Testphase

Sobald du eine Lizenz einträgst, aktiviert die Anwendung sie einmalig über unseren Aktivierungsserver (license.zidarts.com, für uns betrieben von der netcup GmbH in Deutschland). Sie übermittelt die Lizenzkennung, die in Abschnitt 6 beschriebene Geräte-Kennung und die Programmversion. Sie übermittelt keine Fotos, keine Dateinamen, keine Katalogdaten und keine Nutzungsdaten. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

Nach dieser einmaligen Aktivierung läuft die Lizenz offline unbegrenzt weiter. Besteht ohnehin eine Verbindung, prüft die Anwendung alle sechs Stunden im Hintergrund nach; bleibt diese Prüfung dauerhaft aus, ändert sich für dich nichts. Es gibt weder eine Karenzfrist noch eine wiederkehrende Pflicht, online zu gehen. Dieser Schritt ist nicht abschaltbar, weil sich die Begrenzung auf drei Geräte sonst überhaupt nicht durchsetzen ließe.

Testphase. Startest du die kostenlose Testphase, fragt die Anwendung sie einmalig beim selben Server an. Sie übermittelt den Produktnamen, die in Abschnitt 6 beschriebene Geräte-Kennung und die Programmversion. Der Server bewahrt je Gerät auf, wann die Testphase begann, wie lange sie läuft und wann sie zuletzt angefragt wurde, damit jedes Gerät eine Testphase bekommt; er speichert keinen Namen, keine E-Mail-Adresse und keine IP-Adresse. Danach läuft die Testphase offline. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist, je Gerät eine kostenlose Testphase zu gewähren und nicht beliebig viele.

7.2 Update-Hinweis

Höchstens einmal am Tag holt die Anwendung die Datei amberald.com/latest.json, um nachzusehen, ob eine neuere Fassung erschienen ist. Diese Anfrage trägt keine Kennung: keine Lizenz, keine Geräte-Kennung, nicht einmal die installierte Version. Der Server erfährt nur, was jeder HTTP-Abruf verrät, nämlich IP-Adresse und Browserkennung. Die Anwendung lädt und installiert von sich aus nichts; der Hinweis ist ein Link.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO, unser berechtigtes Interesse daran, dass Kunden von Fehlerbehebungen erfahren. Die Abfrage lässt sich in den Einstellungen abschalten; im Auslieferungszustand ist sie an.

7.3 KI-Modelle

Die KI-Modelle von Amberald wiegen zusammen rund 1,5 GB. Sie sind deshalb nicht Teil des Installationsprogramms: die Anwendung bietet an, sie zu laden, und tut es nur auf Ihren Wunsch. Es gibt keine regelmäßige Abfrage — ob ein Modell fehlt oder nicht mehr zur installierten Fassung passt, weiß Amberald aus sich selbst heraus, ohne Netz.

Die Dateien kommen von amberald.com/models/pointer.json und dl.amberald.com, derselben Adresse, von der auch Amberald selbst geladen wird. Diese Anfragen tragen keine Kennung: keine Lizenz, keine Geräte-Kennung, nicht einmal die installierte Fassung; die Browserkennung lautet nur „Amberald“. Welche Dateien Sie holen, zeigt, welche KI-Funktionen Sie einschalten wollten — mehr nicht. Jede Datei wird gegen eine im Programm hinterlegte Prüfsumme geprüft und nur bei Übereinstimmung übernommen, und geladen wird ausschließlich von Adressen unter amberald.com.

Die Modelle liegen in Ihrem eigenen Benutzerordner und lassen sich dort jederzeit löschen (die Einstellungen haben einen Knopf dafür). Sie lassen sich auch aus einem Ordner übernehmen, etwa von einem USB-Stick — dann entsteht überhaupt keine Verbindung. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, da Sie die Funktion angefordert haben; ohne die Dateien gibt es sie nicht.

7.4 Kartenansicht

Wenn du die Kartenansicht öffnest oder ein Foto auf der Karte verortest, lädt die Anwendung Kartenkacheln von OpenStreetMap (tile.openstreetmap.org, OpenStreetMap Foundation, Vereinigtes Königreich).

Diesen Absatz bitte genau lesen, denn die Anfrage selbst ist die Ortsangabe. Eine Kachel-Adresse besteht aus den Koordinaten des Ausschnitts, den du gerade ansiehst. Wer diese Anfragen mitliest, erfährt nicht nur, dass du die Karte geöffnet hast, sondern wohin du geschaut hast, und geschaut wird auf die Orte deiner eigenen Fotos. Übertragen wird dabei kein Foto, keine Koordinate aus deinen Dateien und keine Kennung, aber das macht die Kachel-Koordinaten nicht harmlos.

Bereits geholte Kacheln liegen in einem Zwischenspeicher auf deiner Platte; ein zweiter Blick auf denselben Ort erzeugt keine neue Anfrage. Diese Verbindung entsteht ausschließlich, wenn du die Kartenansicht öffnest. In den Einstellungen kannst du einen anderen Kachel-Anbieter eintragen, auch einen selbst betriebenen, und ein leeres Feld schaltet den Abruf ganz ab. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

7.5 Freigabe an Kunden

Du kannst eine Auswahl deiner Fotos einem Kunden zum Sichten und Bewerten freigeben. Dafür gibt es mehrere Wege, und sie unterscheiden sich; sie in einen Satz zu fassen wäre für die meisten von ihnen falsch. Bei keinem davon liegen deine Fotos auf einem Server von uns oder einem Dritten. Übertragen werden immer nur heruntergerechnete Vorschaubilder, nie die Originaldateien.

Offline-Paket. Kein Server, überhaupt keine Verbindung. Die Anwendung schreibt einen Ordner, den du verschickst, wie du willst.
Eigener Server. Die Anwendung öffnet einen Port auf deinem Rechner und liefert die Vorschauen selbst aus; die Bilder gehen direkt von dir zu deinem Kunden. Um deine öffentliche IP-Adresse zu erfahren, fragt die Anwendung gegebenenfalls api.ipify.org; um den Port an deinem Router automatisch zu öffnen, nutzt sie UPnP in deinem eigenen Netz, das dieses nicht verlässt.
Direktlink über einen Rendezvous-Server. Der Server erfährt die Freigabe-Kennung, den Port und die öffentliche IP-Adresse, von der das Lebenszeichen kam, und antwortet deinem Kunden mit einer Weiterleitung von rund 300 Byte. Er trägt keinerlei Bilddaten. Trägst du keinen eigenen ein, ist das unser Server photoshare.zidarts.com, der auch den Aufbau von Verbindungen direkt von Gerät zu Gerät vermittelt (unten); er hält diese Angaben nur im Arbeitsspeicher, solange die Freigabe läuft.
Vermittlungsserver. Der einzige Weg, bei dem Bilddaten über einen fremden Rechner laufen. Die Vorschauen werden live durchgereicht, solange die Freigabe läuft, und dort nicht gespeichert.
Direkt von Gerät zu Gerät. Die Bilder fließen unmittelbar von deinem Rechner in den Browser deines Kunden. Über einen Server läuft nur der Verbindungsaufbau, dazu ein STUN-Server (voreingestellt stun.l.google.com, Google LLC), um zu ermitteln, wie dein Rechner erreichbar ist. Es lässt sich jeder andere STUN-Server eintragen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, ausgelöst durch deine Wahl. Wenn du Fotos anderer Menschen freigibst, wirst du dafür selbst Verantwortlicher. Eine Rechtsgrundlage dafür sicherzustellen, den Link nur den Richtigen zu geben und die Freigabe danach zu beenden, sind deine Entscheidungen, nicht unsere. Soweit du einen von uns betriebenen Vermittlungs- oder Rendezvous-Server nutzt, verarbeiten wir die durchgereichten Daten ausschließlich weisungsgebunden für dich; einen Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO stellen wir auf Anfrage bereit.

7.6 Was die Anwendung ausdrücklich nicht tut

Keine Telemetrie, keine Nutzungsstatistik, kein anonymes Verbesserungsprogramm.
Keine Absturzberichte an uns. Die Diagnosedatei bleibt auf deinem Rechner, und du entscheidest, ob du sie einer E-Mail beilegst.
Keine KI in der Cloud. Jedes Modell liegt dem Programm bei und rechnet auf deinem Prozessor und deiner Grafikkarte; zur Laufzeit wird nichts nachgeladen.
Kein Benutzerkonto, keine Anmeldung, keine E-Mail-Adresse in der Anwendung.

7.7 Die iPad-App

Alles oben Gesagte gilt auch für Amberald auf dem iPad, mit diesen Unterschieden:

Kauf und Testphase über Apple. Die iPad-App wird im App Store gekauft, und ihre kostenlose 14-tägige Testphase ist ein kostenloser In-App-Kauf. Zahlung, Belege und Erstattungen wickelt Apple ab, nach Apples Datenschutzerklärung. Wir erhalten keine Zahlungsdaten und erfahren deine Apple-ID nicht. Ob du die Vollversion besitzt, prüft dein iPad bei Apple, und das Ergebnis wird uns nicht gemeldet. Paddle (Abschnitt 5) ist nicht beteiligt.
Keine Lizenzaktivierung, kein Update-Hinweis. Die Abschnitte 7.1 und 7.2 gelten nicht. Die iPad-App fragt keinen Lizenzserver und sucht nicht nach Updates; Updates kommen über den App Store.
Dein lokales Netz. Die Übergabe von Fotos an Amberald auf deinem Rechner, das Finden dieses Rechners im Netz (Bonjour) und der Empfang von Fotos per FTP von deiner Kamera laufen direkt zwischen deinen eigenen Geräten, innerhalb deines lokalen Netzes. Nichts davon geht über einen Server von uns. iPadOS fragt dich um Erlaubnis, wenn die App zum ersten Mal nach deinem Rechner sucht.
Netzlaufwerke. Importierst du von einem Netzlaufwerk (SMB), verbindet sich die App nur mit dem Server, den du angibst. Benutzername und Kennwort liegen im Schlüsselbund des iPads und gehen nur an diesen Server.
Fotos-Mediathek. Die App liest deine Fotos-Mediathek nur, wenn du Fotos zum Importieren auswählst, und schreibt nur hinein, wenn du dorthin exportierst.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, ausgelöst durch deine Nutzung der Funktion.

8. Gesichtserkennung: biometrische Daten

Amberald kann Gesichter in deinen Fotos finden, daraus Vergleichsmerkmale berechnen und Personen über deine ganze Bibliothek hinweg wiedererkennen. Vergleichsmerkmale von Gesichtern sind biometrische Daten und damit eine besondere Kategorie personenbezogener Daten nach Art. 9 Abs. 1 DSGVO, sobald sie der eindeutigen Identifizierung einer Person dienen, und genau dafür ist diese Funktion da.

Wir bekommen diese Daten nie. Erkennung, Vergleichsmerkmale und die Zuordnung von Namen entstehen auf deinem Rechner und bleiben in deinem Katalog. Es gibt keinen Endpunkt von uns, der sie annehmen würde, und das Einschalten der Funktion überträgt nichts.

Für dich hängt die Lage davon ab, wofür du sie einsetzt. Im rein persönlichen oder familiären Bereich, etwa bei den eigenen Familienfotos, ist die Datenschutz-Grundverordnung auf diese Verarbeitung überhaupt nicht anwendbar (Art. 2 Abs. 2 lit. c DSGVO). Nutzt du die Gesichtserkennung beruflich, als Fotograf, Agentur, Verein oder Behörde, bist du dafür Verantwortlicher und brauchst einen Erlaubnistatbestand nach Art. 9 Abs. 2 DSGVO; welcher trägt, hängt vom Einsatz ab, in vielen Fällen wird es die ausdrückliche Einwilligung der abgebildeten Personen sein. Diese Einwilligung können wir weder für dich einholen noch ersetzen.

Die Funktion ist abschaltbar (Einstellungen, KI-Analyse), und die Anwendung ist ohne sie in vollem Umfang nutzbar; ohne sie entstehen biometrische Daten gar nicht erst. Bereits berechnete Vergleichsmerkmale kannst du jederzeit löschen.

9. Empfänger

Wir verkaufen keine personenbezogenen Daten und geben sie nicht zu Werbezwecken weiter. Außer an die oben genannten Auftragsverarbeiter (Hosting: Cloudflare; E-Mail und Lizenzserver: netcup) und an Paddle als Merchant of Record und eigenen Verantwortlichen für die Zahlung werden Daten nur weitergegeben, wo wir gesetzlich dazu verpflichtet sind.

Die Dienste, die die Anwendung auf deine Veranlassung kontaktiert (OpenStreetMap für Kartenkacheln, ipify für deine öffentliche IP, ein STUN-Server für den Verbindungsaufbau), erhalten die in Abschnitt 7 beschriebenen Daten und sind keine Auftragsverarbeiter von uns: Du wendest dich von deinem eigenen Rechner aus unmittelbar an sie.

10. Deine Rechte

Du hast das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20), auf Widerruf einer erteilten Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3) sowie auf Widerspruch gegen eine Verarbeitung auf Grundlage berechtigter Interessen (Art. 21 DSGVO).

Schreib an support@amberald.com; wir antworten innerhalb eines Monats (Art. 12 Abs. 3 DSGVO). Da die Daten, die wir über dich haben, an deiner Lizenz und deiner E-Mail-Adresse hängen, verlangen wir in der Regel keinen Ausweis.

Du hast außerdem das Recht auf Beschwerde bei einer Aufsichtsbehörde (Art. 77 DSGVO). Für uns ist das der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Rheinland-Pfalz, Hintere Bleiche 34, 55116 Mainz; du kannst dich auch an die Behörde deines Wohnorts wenden.

11. Änderungen

Wir aktualisieren diese Erklärung, wenn sich Website oder Produkt in einer Weise ändern, die die Datenverarbeitung betrifft. Die jeweils aktuelle Fassung ist immer unter dieser Adresse abrufbar.