Midjourney Standard

Midjourney ist ein cloudbasierter KI-Bildgenerator von Midjourney, Inc. (South San Francisco, USA). Nutzer geben Text-Prompts ein, die das System mittels proprietärer Diffusionsmodelle (aktuell V7+) in Bilder umsetzt. Der Zugang erfolgt über die Web-Anwendung unter midjourney.com; historisch war Discord der primäre Zugangspunkt, der weiterhin unterstützt wird.

Im Standard Plan stehen 15 Fast GPU Hours pro Monat zur Verfügung sowie unbegrenzte Generierungen im Relax-Modus (niedrigere Priorität). Hochgeladene Referenzbilder, Textprompts und die erzeugten Bilder werden an die Server von Midjourney übertragen und dort verarbeitet. Alle im Standard Plan erzeugten Inhalte erscheinen standardmäßig im öffentlichen Explore-Feed unter midjourney.com/explore; eine Privatisierung (Stealth Mode) ist erst ab dem Pro Plan ($60/Monat) verfügbar.

Die verarbeiteten Datentypen umfassen Text-Prompts, hochgeladene Referenzbilder, Nutzerkonto-Daten (E-Mail, Nutzername), Zahlungsinformationen sowie technische Nutzungsdaten (IP-Adresse, Session-Daten). Midjourney speichert die gesamte Generierungshistorie für die Laufzeit des aktiven Kontos; nach Löschungsantrag werden Konto und zugehörige Daten laut Anbieter-FAQ innerhalb von 30 Tagen gelöscht.

Midjourney, Inc. (USA) verarbeitet als Cloud-Anbieter personenbezogene Daten der Nutzer: E-Mail-Adressen, Nutzerprofile, Zahlungsdaten, IP-Adressen, Text-Prompts und erzeugte Bilder. Im Standard Plan fehlt ein öffentliches DPA (AVV nach Art. 28 DSGVO), was den Einsatz für die Verarbeitung von Mitarbeiterdaten oder Kundendaten im Unternehmenskontext ohne gesonderte Vereinbarung ausschließt. Hinweis zum Quellenstand: Die primäre Grundlage für hasDPA=no ist die Purchase Order Terms and Conditions (https://docs.midjourney.com/hc/en-us/articles/32084601469581-Purchase-Order-Terms-and-Conditions); ihr Inhalt ist nicht per Primärquelle belegbar. Ein separates DPA-Dokument unter docs.midjourney.com kann nicht ausgeschlossen werden. Die Datenspeicherung findet in den USA statt; als Drittlandtransfer-Grundlage sind SCCs belegt. Da alle Generierungen standardmäßig öffentlich im Community-Feed erscheinen, besteht ein strukturelles Risiko für Datenschutzverletzungen, wenn personenbezogene Daten in Prompts oder Referenzbildern eingegeben werden. Eine Datenschutz-Folgenabschätzung (DSFA/DPIA) ist für Unternehmenseinsätze jedenfalls anzuraten.

Zweckbindung (Art. 5 Abs. 1 lit. b DSGVO): Midjourney verwendet Nutzungsdaten laut Privacy Policy auch zur Modellverbesserung und zum Training. Der Standard Plan enthält keinen tarif-seitigen Ausschluss dieser Zwecke; eine Opt-out-Möglichkeit ist belegt, aber die ursprüngliche Zweckerweiterung (Training) ist Standard. Für Unternehmenseinsätze muss die Zweckerweiterung durch Midjourney gegen die eigene Zweckbindung des Verantwortlichen geprüft werden.

Datenminimierung (Art. 5 Abs. 1 lit. c): Die Anwendung verarbeitet strukturell alle eingegebenen Prompts und hochgeladenen Bilder vollständig auf den Servern von Midjourney. Eine technische Minimierung auf Anbieterseite ist nicht dokumentiert; die Minimierungspflicht liegt damit vollständig beim Nutzer (keine sensiblen Daten in Prompts eingeben).

Integrität und Vertraulichkeit (Art. 5 Abs. 1 lit. f): Da alle Generierungen im Standard Plan öffentlich sichtbar sind, ist Vertraulichkeit bei Prompt-Inhalten strukturell nicht gewährleistet. Kein Trust Center, keine SOC-2-Zertifizierung belegt.

Art. 6 Abs. 1 lit. b (Vertragserfüllung): Grundlage für die Verarbeitung der Konto- und Zahlungsdaten im Rahmen des Abonnementvertrags.

Art. 6 Abs. 1 lit. f (Berechtigtes Interesse): Midjourney führt Training und Modellverbesserung als legitimes Interesse an; ein Opt-out ist möglich, aber der Default-Zustand ist Verarbeitung für Training.

Art. 6 Abs. 1 lit. a (Einwilligung): Für darüber hinausgehende Verarbeitungen (z. B. Marketing) denkbar, aber nicht primär belegt.

Organisationen, die Midjourney im Unternehmenskontext einsetzen und dabei personenbezogene Daten verarbeiten (z. B. Bilder von Personen, Kundendaten in Prompts), benötigen eine eigenständige Rechtsgrundlage. Das Fehlen eines DPA macht Art. 28 DSGVO-Konformität für Unternehmenseinsätze nicht herstellbar. Der Consumer-Standard-Plan ist nicht auf eine Auftragsverarbeitungsrolle ausgelegt. Vorbehalt: hasDPA=no basiert auf der Purchase Order Terms-Quelle, deren Inhalt nicht per Primärquelle belegbar ist; ein bisher nicht gefundenes separates DPA-Dokument ist nicht mit Sicherheit ausgeschlossen.