HeyGen

HeyGen ist eine cloudbasierte KI-Plattform mit den Kernfunktionen Avatar-Video-Generierung, Text-to-Video, Video-Übersetzung, Voice Cloning und KI-Sprachausgabe.

Im Creator-Tarif stehen 600 Credits/Monat zur Verfügung. Videos können bis zu 30 Minuten lang sein und werden in 1080p exportiert. Wasserzeichen werden im Creator-Tarif entfernt. Voice Cloning erlaubt das Training individueller Stimmmodelle auf Basis eigener Sprachaufnahmen. Photo Avatars (unbegrenzt) ermöglichen die Erstellung animierter Avatar-Videos aus Fotos. Custom Digital Twins (dedizierte, fotorealistische Avatare) sind erst ab dem Business-Tarif verfügbar (5 Stück).

Inputs: Textskripte, Fotos, Videoaufnahmen (Gesicht, Stimme), Audiodateien. Outputs: Avatar-Videos, KI-Sprachausgabe, Bild-zu-Avatar-Animationen.

Bei Avatar-Erstellung mit Video-Footage (Gesicht) und Voice Cloning (Stimme) werden biometrische Daten verarbeitet. Die Biometric Information Privacy Notice regelt explizit Einwilligungspflichten, Retention (EEA: innerhalb 60 Tage nach Avatar-Löschung) und anwendbare Gesetze (DSGVO, UK GDPR, Swiss FADP, Illinois BIPA, Texas CUBI).

Teamfunktionen, SAML/SSO und Audit-Logs sind dem Business- bzw. Enterprise-Tarif vorbehalten; der Creator-Tarif ist ein Einzelnutzer-Abo ohne organisationale Verwaltungsfunktionen.

Quellen: HeyGen Pricing; Biometric Information Privacy Notice; Terms; Privacy Policy

HeyGen Technology Inc. agiert bei der Nutzung des Creator-Tarifs als datenschutzrechtlicher Verantwortlicher (Controller) im Sinne der DSGVO hinsichtlich Kontodaten und Abrechnungsdaten. Für Inputs, die personenbezogene Daten enthalten (Textskripte, Bildinhalte, Videoaufnahmen), ist die Rolle als Auftragsverarbeiter nicht explizit dokumentiert; die DPA-Verfügbarkeit für den Creator-Tarif ist strittig (siehe unresolvedQuestions).

Besondere Sensibilität besteht bei Avatar-Erstellung und Voice Cloning: HeyGen erhebt Gesichtsdaten und Voiceprint-Daten und stuft diese in der Biometric Information Privacy Notice explizit als biometrische Daten ein. Für die Verarbeitung biometrischer Daten nach Art. 9 DSGVO ist eine ausdrückliche Einwilligung (Art. 9 Abs. 2 lit. a) Voraussetzung; HeyGen fordert diese bei Avatar-Erstellung als „clear affirmative action" ein. Das Klonen der Stimme oder des Gesichts einer anderen Person ohne deren Einwilligung ist nach der Moderation Policy verboten; die Durchsetzung obliegt dem Anbieter (ML-Scanning + manuelle Prüfung).

Alle Kundendaten werden in den USA auf AWS gespeichert. Als Transfergrundlage werden EU-US DPF und SCCs beansprucht (Privacy Policy, DPA); die DPF-Registrierung ist nicht per Primärquelle belegbar. Ein EU-Vertreter nach Art. 27 DSGVO (Jan Czarnocki, [email protected]) ist in der Privacy Policy benannt.

Für den Creator-Tarif steht kein Master SaaS Agreement zur Verfügung; dessen Trainings-Ausschlussklausel gilt ausschließlich für Enterprise-Kunden. Die ToS erlauben HeyGen eine irrevocable Trainingslizenz auf Inputs und Outputs von Paid-Nutzern; die PP erlaubt einen E-Mail-Opt-out; der Widerspruch ist vom Anbieter nicht aufgelöst. Quelle: Privacy Policy; DPA; Biometric Notice

Zweckbindung (Art. 5 Abs. 1 lit. b): Die Terms of Service (Stand 15.05.2026) räumen eine Lizenz auf Inputs und Outputs von Paid-Nutzern ein, die u.a. das Training oder die Verbesserung von KI-Modellen umfasst. Eine eindeutige Zweckbeschränkung auf die Erbringung des Dienstes ist für den Creator-Tarif nicht dokumentiert; der E-Mail-Opt-out in der PP beansprucht die datenschutzrechtliche Dimension, der ToS-Text die urheberrechtliche Nutzungsebene. Die Abgrenzung ist nicht primärbelegt geklärt.

Datenminimierung (Art. 5 Abs. 1 lit. c): Avatar-Erstellung und Voice Cloning erfordern strukturell Gesichts- und Stimmdaten; der Umfang ist durch die Funktion bedingt. Für Textskripte und Fotos gibt es keine dokumentierten Minimierungsvorgaben.

Speicherbegrenzung (Art. 5 Abs. 1 lit. e): Die PP nennt eine 30-Tage-Backup-Frist nach Löschung (Daten aus Backups innerhalb 30 Tage permanent gelöscht). Für biometrische Avatar-Daten gilt eine Frist von innerhalb 60 Tagen nach Avatar-Löschung (EEA/UK/CH); Verifizierungsdaten werden sofort nach Abschluss gelöscht. Für reguläre Nutzerdaten und generierte Inhalte lautet der Grundsatz „only as long as necessary to provide the Service" ohne konkrete Frist.

Integrität und Vertraulichkeit (Art. 5 Abs. 1 lit. f): TLS 1.2+ in Transit, AES-256 at Rest sind belegt. Mandantentrennung und detaillierte Zugriffskontrolle sind in öffentlichen Primärquellen nicht spezifiziert; Angabe nicht per Primärquelle belegbar. Quelle: Privacy Policy; Terms; Security; Biometric Notice

Für den Einsatz des HeyGen Creator-Tarifs in einer Organisation kommen folgende Rechtsgrundlagen in Betracht:

Vertragserfüllung (Art. 6 Abs. 1 lit. b): Trägt, soweit die Avatar-Video-Generierung unmittelbar zur Erbringung einer vertraglich geschuldeten Leistung eingesetzt wird und keine überschießenden Verarbeitungszwecke (Training) vorliegen.

Berechtigtes Interesse (Art. 6 Abs. 1 lit. f): Denkbar für Marketing- oder E-Learning-Inhalte ohne personenbezogene Inputs; Training auf Basis von Nutzerdaten ohne klaren Opt-out in den ToS ist als berechtigtes Interesse problematisch, wenn personenbezogene Inhalte in Uploads vorhanden sind.

Einwilligung (Art. 6 Abs. 1 lit. a / Art. 9 Abs. 2 lit. a): Zwingend für biometrische Gesichts- und Stimmdaten Dritter. Die Biometric Information Privacy Notice fordert expliziten Consent vor jeder biometrischen Verarbeitung für Training-Zwecke und stellt fest, dass Nutzung des Dienstes ohne Consent zur biometrischen Training-Verarbeitung möglich ist. Für Gesichts-Footage Dritter (Actors) ist die Moderation Policy Einwilligungsgrundlage; der Deployer trägt die Beweislast.

Für Verarbeitungen im Beschäftigungskontext (Mitarbeiter-Stimmen oder -Gesichtsaufnahmen) sind Art. 88 DSGVO und nationales Beschäftigtendatenschutzrecht gesondert zu prüfen. Quelle: Privacy Policy; Terms; Biometric Notice; Moderation Policy