Wer sieht, was du generierst, und wie lange wir es behalten

Jeder Generator im Internet sagt, deine Daten seien bei ihm sicher, und fast keiner sagt, was das mechanisch bedeutet. Wo liegen die Bytes physisch? Welche Anfragen erreichen sie? Wann wird die Datei tatsächlich zerstört und nicht bloß versteckt? Was löscht der Löschen-Knopf?

Das sind beantwortbare Fragen, und die Antworten sind konkret statt beruhigend. Hier sind unsere. Eine davon ist ein Eingeständnis.

Wo die Bytes liegen

Generierte Bilder und Videos liegen in unserer eigenen Postgres-Datenbank, nicht in einem Cloud-Speicher. Das ist eine ungewöhnliche Entscheidung und erklärungswürdig, denn sie ist der Grund für die Hälfte der folgenden Eigenschaften: kein Bucket, das falsch konfiguriert werden kann, keine signierte URL, die auslecken kann, und kein öffentlicher Objektpfad, der unabhängig davon existiert, ob jemand berechtigt ist, ihn abzurufen. Eine Generierung hat schlicht keine Adresse im offenen Web.

Was du stattdessen bekommst, ist ein Endpunkt, der die Zeile nachschlägt, ihren Eigentümer mit der anfragenden Sitzung vergleicht und ablehnt, wenn beide auseinandergehen. Nirgends im Entwurf steckt ein Trick mit unerratbaren URLs, denn eine unerratbare URL ist immer noch eine URL.

Wer sie öffnen kann

Du. Dein Generierungsverlauf ist an dein Konto gebunden, ebenso der Endpunkt, der die Bytes ausliefert. Es gibt keine öffentliche Galerie, keinen geteilten Feed, keine Erkundungsseite und keine Möglichkeit für andere Nutzer, das von dir Erstellte aufzuzählen oder zu erreichen.

Und zwei Konten außer deinem können es: die Betreiber von Fellowi. Adminzugang ist eine in die App kompilierte Adressliste und keine Rolle, die jemandem verliehen werden kann; derzeit sind das diese beiden Personen. Es gibt ihn, weil jemand in der Lage sein muss, „warum ist diese Generierung fehlgeschlagen“ zu beantworten und einer Meldung nachzugehen. Dieser Bereich zeigt den Prompt, den Status und das Bild.

Wir schreiben das lieber hin, als dich aus dem Schweigen schließen zu lassen, dass es „niemand sehen kann“. Ein Produkt, das deine Dateien speichert und dir versichert, kein Mensch werde je hineinsehen, lügt entweder oder hat keinerlei Weg, ein Supportticket zu bearbeiten.

Wie lange sie bleiben

Dreißig Tage. Ein geplanter Durchlauf zerstört die gespeicherten Bytes von allem Älteren, ersetzt sie durch nichts und versieht die Zeile mit dem Zeitpunkt. Bilder, Videos und jedes für einen Clip hochgeladene Startbild folgen demselben Fenster.

Die Zeile überlebt den Durchlauf, und das soll sie: Sie ist der Nachweis, dass eine Generierung stattfand, was sie gekostet hat und ob sie gelungen ist, und genau dagegen gleicht das Coin-Hauptbuch ab. Das Bild ist weg. Die Zeile, dass du einmal 40 Coins ausgegeben hast, nicht, und du wirst wollen, dass sie da ist, wenn dir eine Abbuchung zum ersten Mal falsch vorkommt.

Dreißig Tage sind auch der Grund, alles herunterzuladen, woran dir liegt. Das Aufbewahrungsfenster ist kein Backup, und nach Ablauf halten wir keine Kopie anderswo. Du kannst jede einzelne Generierung auch vorher selbst löschen, was die Bytes sofort zerstört, statt den Eintrag nur aus einer Liste auszublenden.

Was das Kontolöschen entfernt und was es früher zurückließ

Das Löschen deines Kontos widerruft jede Sitzung, anonymisiert deine Adresse, damit sie neu registriert werden kann, markiert gespeicherte Erinnerungen als gelöscht und zerstört nun in derselben Transaktion die Bytes jedes Bildes, Videos und Uploads, den du gemacht hast.

Der letzte Halbsatz kam am 12. September 2026 dazu, weil er vorher nicht stimmte. Das Löschen tat alles andere und ließ deine Generierungen in der Datenbank, wo sie lagen, bis der Dreißig-Tage-Durchlauf zufällig zu ihnen kam. Beim Nachsehen waren vierzehn Bilder von bereits gelöschten Konten noch gespeichert. Sie wurden am selben Tag getilgt, an dem die Korrektur ausgeliefert wurde.

Gemeldet hatte es niemand. Wir fanden es beim Zusammentragen der Fakten für diesen Text, was ein recht gutes Argument dafür ist, so etwas aufzuschreiben: Eine konkrete Behauptung lässt sich schwer veröffentlichen, ohne vorher zu prüfen, ob sie zutrifft.

Was unsere Server verlässt

Dein Prompt geht an den Rendering-Anbieter, der das Bild tatsächlich zeichnet. Das ist so unvermeidlich, wie einen Brief zu verschicken eine Post voraussetzt, und unsere Datenschutzerklärung benennt die beteiligten Auftragsverarbeiter, statt sie vage zu umschreiben.

Was nicht passiert: Wir trainieren keine Modelle mit deinen Inhalten, verkaufen sie nicht und schreiben generierte Inhalte weder in Analytics noch in Anwendungslogs. Wenn du in Marketing eingewilligt hast, teilen wir gehashte Konversionsdaten mit einer Werbeplattform - das ist ein Kaufereignis, nie ein Prompt und nie ein Bild - und ein Widerruf stoppt das sofort.

Eine ehrliche Einschränkung speziell zu Inhalten ab 18. Nichts davon verhindert, dass eine Zahlung auf einer Kartenabrechnung als Belastung von uns auftaucht, und nichts davon ändert, was dein eigenes Gerät mit einer heruntergeladenen Datei tut. Privatsphäre auf unserer Seite ist der Teil, den wir steuern; über den Rest lohnt es sich getrennt nachzudenken.

Kurzfassung

• Keine öffentliche Galerie, kein teilbarer Link, kein Objektspeicher.
• Zugriff nur für dich, dazu zwei benannte Admins für Support- und Missbrauchsfälle.
• Bytes nach 30 Tagen zerstört, oder in dem Moment, in dem du den Eintrag löschst.
• Das Löschen deines Kontos zerstört sie sofort.
• Kein Training mit deinen Inhalten, kein Verkauf, keine Prompts in Logs.

Ändert sich etwas davon, ändern wir diese Seite; und findest du hier etwas Unwahres, sag Bescheid, dann reparieren wir das Produkt und nicht den Satz. Ungefähr so ist dieser Text überhaupt entstanden. Generieren kannst du in Fellowi Images oder Fellowi Video, und was unzensiert hier bedeutet erklärt die Inhaltsregeln neben diesen hier.