Leonardo.Ai Premium

Leonardo.Ai ist eine cloudbasierte KI-Plattform für die Erzeugung von Bildern und Videos aus Text-Prompts. Nutzer geben Prompts ein; die Plattform generiert Bilder via eigener Modelle (Phoenix mit FLUX-Architektur ab Juni 2024; Lucid Origin ab August 2025) oder via Stable-Diffusion-basierten Fine-Tunes und Community-Modellen. Für Video integriert Leonardo Google Veo 3. Eigene LoRA-Modelle (Low-Rank-Adaptation-Fine-Tunes) sind im Premium-Tarif erstellbar (bis 20 pro Monat).

Der Zugang erfolgt ausschließlich über den Web-Browser (app.leonardo.ai). Im Premium-Plan stehen 25.000 Fast Tokens pro Monat zur Verfügung, zusätzlich ein Token-Bank-Rollover von 75.000. Bezahlte Nutzer können zwischen Public-Generierungen (erscheinen im Community-Feed) und Private-Generierungen (nur für den Kontoinhaber sichtbar) umschalten. Der Privacy-Toggle muss aktiv gesetzt werden; Free-Nutzer haben keinen Zugang zu Private Mode.

Verarbeitete Daten im typischen Betrieb: Text-Prompts, generierte Bilder und Videos, hochgeladene Referenzbilder (für LoRA-Training), E-Mail-Adresse, Username, Zahlungsinformationen, IP-Adresse sowie Nutzungs- und Interaktionsdaten. Infrastruktur: Amazon Web Services (AWS, AES-256 at rest, TLS 1.2+ in transit); konkrete AWS-Region nicht dokumentiert.

Produktfamilien-Eigenschaft (Familie leonardo): Diese Beschreibung gilt für die Plattformfunktionen auf Familienebene; tarifspezifische Einschränkungen (Token-Volumen, Private Mode, API-Zugang nur im Ultimate-Tarif) sind tarif-individuell.

Leonardo Interactive Pty Ltd T/A Leonardo.Ai ist für Individual-Tarife (inkl. Premium) datenschutzrechtlicher Verantwortlicher (Controller) gemäß DSGVO Art. 4 Nr. 7. Eine Auftragsverarbeitung (Art. 28) liegt für den Premium-Tarif nicht vor; ein DPA ist ausschließlich für Multi-Seat-/Team-Abonnements erhältlich. Das DPA definiert explizit: Individual-Plans werden unter Leonardos Controller-Rolle verarbeitet und durch die Privacy Policy geregelt.

Der Anbieter sitzt in Australien, das keinen EU-Angemessenheitsbeschluss genießt. Für Transfers in Drittländer ohne Angemessenheitsbeschluss verweist Leonardo auf Standardvertragsklauseln (EU Model Clauses 2021/914) sowie UK-Addendum und Schweizer Anpassung. Konkrete AWS-Speicherregion nicht bekannt; eine EU-Datenresidenz ist für Consumer-Tarife nicht dokumentiert.

Für den geschäftlichen Einsatz mit personenbezogenen Daten Dritter (z.B. Bilder von Personen als Referenz-Upload oder personenbezogene Prompt-Inhalte) fehlt ohne DPA die Grundlage für eine DSGVO-konforme Auftragsverarbeitung. Unternehmen ohne Team-/Enterprise-Plan können Leonardo.Ai Premium nicht als Auftragsverarbeiter einsetzen.

Zweckbindung (Art. 5 Abs. 1 lit. b): Private Content (Private Mode ON) wird laut ToS ausschließlich zur Leistungserbringung genutzt und nicht für Training, Produktentwicklung oder andere Zwecke ohne ausdrückliche schriftliche Einwilligung. Public Content unterliegt einer breiten Lizenz (Training, Produktentwicklung, kommerzielle Verwertung). Die Zweckbindung hängt daher unmittelbar vom Privacy-Toggle-Zustand ab.

Datenminimierung (Art. 5 Abs. 1 lit. c): Verarbeitete Datenarten (Prompts, Bilder, Nutzungsdaten) sind funktionsimmanent. Referenz-Uploads für LoRA-Training gehen über den unmittelbaren Generierungszweck hinaus; Nutzer sollten darauf achten, keine personenbezogenen Drittdaten hochzuladen.

Integrität und Vertraulichkeit (Art. 5 Abs. 1 lit. f): AES-256 at rest und TLS 1.2+ dokumentiert. Konkrete Sicherheitsarchitektur über Consumer-Tarife hinaus nicht primärbelegt; SOC2-Selbstverpflichtung gilt formal nur für Multi-Seat-Tarife.

Speicherbegrenzung (Art. 5 Abs. 1 lit. e): Keine konkrete Aufbewahrungsfrist dokumentiert. Daten werden gehalten, "as long as account is active or as needed." Keine automatische Löschung nach festgelegter Frist belegt.

Für den Einsatz durch Unternehmen (Leonardo als Controller, kein DPA verfügbar): Der Nutzer schließt einen Vertrag mit Leonardo (ToS). Rechtsgrundlage für die eigene Nutzung: Art. 6 Abs. 1 lit. b (Erfüllung des Nutzungsvertrags) für eigene Kontodaten. Für personenbezogene Daten Dritter in Prompts oder Uploads ist Art. 6 Abs. 1 lit. f (berechtigtes Interesse) oder Einwilligung (lit. a) zu prüfen; ohne AVV kann Leonardo nicht als Auftragsverarbeiter eingesetzt werden.

Drittlandtransfer: Art. 46 Abs. 2 lit. c (Standardvertragsklauseln) als Transferbasis dokumentiert. Australien als Anbieterland hat keinen Angemessenheitsbeschluss der EU-Kommission; die SCC-Basis erfordert ein Transfer Impact Assessment (TIA) durch den europäischen Datenexporteur.

Empfehlung für Unternehmen: Ohne Team-Plan (mit DPA) ist eine rechtskonforme Auftragsverarbeitung im Sinne von Art. 28 nicht darstellbar. Für den Einsatz mit ausschließlich eigenen Arbeitsdaten (ohne Drittbezug) kann Art. 6 Abs. 1 lit. f greifbar sein; dies ist im Einzelfall zu prüfen.