{
  "id": "2026-003",
  "slug": "black-forest-labs-zero-data-retention",
  "anbieter": "black-forest-labs",
  "feld": "vertrag.zero_data_retention",
  "titel": "Black Forest Labs: „Zero data retention“ — und eine unbefristete Lizenz zum Speichern und Trainieren in den eigenen API-Terms",
  "kurz": "Die Enterprise-Seite von Black Forest Labs bewirbt die Managed API mit „Zero data retention“, ohne Einschränkung auf einen Vertragstyp. Die für dieselbe FLUX API geltenden Terms — auch die am 26.08.2026 revidierte EU-Fassung — räumen dem Unternehmen eine unbefristete, weltweite Lizenz ein, Inputs und Outputs zu speichern und zum Training zu nutzen; Privacy Policy und Terms of Service sagen dasselbe. Beide Aussagen können nicht zugleich für den öffentlichen API-Zugang gelten.",
  "eroeffnet": "2026-09-10",
  "anbieter_informiert": "2026-09-10",
  "status": "bestaetigt",
  "antwort_frist": "2026-09-24",
  "behauptung": [
    {
      "zitat": "Zero data retention and auto-scaling infrastructure. Go from integration to production in minutes. Already powering billions of image generations per year.",
      "quelle": "https://bfl.ai/enterprise",
      "kontext": "Enterprise-Seite, Abschnitt „Our models, your choice“, Karte „Managed API“. Keine Einschränkung auf Enterprise-Verträge oder eine bestimmte Konfiguration; die Karte beschreibt die öffentliche API („Explore API“).",
      "abgerufen": "2026-09-06T13:48:16Z",
      "sha256": "0d0d78643f5235d33f1d1976fec19b7ac117948ad84cf2e401fffa848db13cac",
      "archiv": "https://web.archive.org/web/20260906134902/https://bfl.ai/enterprise"
    },
    {
      "zitat": "Dedicated instances with zero data retention and network isolation",
      "quelle": "https://bfl.ai/enterprise",
      "kontext": "Dieselbe Seite, Karte „Co-development“. Hier ist „zero data retention“ an dedizierte Instanzen gebunden — die Managed-API-Karte darüber macht diese Einschränkung nicht.",
      "abgerufen": "2026-09-06T13:48:16Z",
      "sha256": "0d0d78643f5235d33f1d1976fec19b7ac117948ad84cf2e401fffa848db13cac",
      "archiv": "https://web.archive.org/web/20260906134902/https://bfl.ai/enterprise"
    }
  ],
  "beleg": [
    {
      "zitat": "Developer grants the Company a fully paid, royalty-free, perpetual, irrevocable, worldwide, non-exclusive, and fully sublicensable right and license to use, sub-license, distribute, reproduce, modify, adapt, publicly perform, and publicly display Developer's Input and Output for the purpose of operating the FLUX Services, improving the Company's products and services, and developing new products and services. Developer acknowledges that the foregoing means the Company may use Inputs and Outputs to train and improve its artificial intelligence models, algorithms, and related technology, products, and services.",
      "quelle": "https://bfl.ai/legal/eu-api-service-terms",
      "kontext": "EU FLUX API Service Terms, „Last Revised on August 26, 2026“, Abschnitt 2 b „License to the Company“. Die Einleitung derselben Terms: Wo ein Order Form zu einem FLUX Model API Services Agreement diese Terms nennt, sind sie „also incorporated by reference into the applicable FLUX Model API Services Agreement and accompanying Order Form“ — sie gelten also auch für Vertragskunden, sofern der Vertrag nichts anderes regelt. Wortgleich in den (Nicht-EU-)FLUX API Service Terms, Abschnitt 2 b.",
      "abgerufen": "2026-09-06T13:48:22Z",
      "sha256": "8138b6b503013b92587fbab73756144728535c8192598d0d03ce1063b1db0ca7",
      "archiv": "https://web.archive.org/web/20260906134921/https://bfl.ai/legal/eu-api-service-terms"
    },
    {
      "zitat": "We may collect, store and use information you provide via the Services, including text prompts, uploaded content (like images) (together, the “Inputs”), tasks the Service undertakes on your behalf, such as system interactions, research activities and visual grounding (“Tasks”) and the corresponding generated outputs to train and improve our AI models after implementing appropriate technical safeguards like data minimisation and deidentification techniques.",
      "quelle": "https://bfl.ai/legal/privacy-policy",
      "kontext": "Privacy Policy, „Last Revised on August 1, 2026“, Abschnitt 2. Dieselbe Policy nimmt Inhalte aus, die „pursuant to an enterprise contract“ verarbeitet werden — für diese gelten die Kundenverträge.",
      "abgerufen": "2026-09-06T13:48:36Z",
      "sha256": "e884d4ec3c4eb4d815672910bf20b7527f1ac7d0af3274253a5954b56606f739",
      "archiv": "https://web.archive.org/web/20260906135040/https://bfl.ai/legal/privacy-policy"
    },
    {
      "zitat": "You grant us a nonexclusive, royalty-free, transferable, sub-licensable, worldwide, perpetual and, except as set out below, irrevocable license to access, use, host, cache, store, reproduce, transmit, display, publish, distribute, and modify any Input, Output, or Tasks to provide, develop, train and improve our technologies, products and services, including the Services.",
      "quelle": "https://bfl.ai/legal/terms-of-service",
      "kontext": "Terms of Service, Abschnitt 1.2 (e). Derselbe Absatz nennt ein Opt-out: „you may opt out of Company using your Input and Output to train our Flux models by contacting us at legal@blackforestlabs.ai“ — das Opt-out betrifft das Training, nicht die Speicherung.",
      "abgerufen": "2026-09-06T13:48:42Z",
      "sha256": "5ad490871dad2ae87ffd9d891fb7327922d5d1492375913ace462c6788ea5d5c",
      "archiv": "https://web.archive.org/web/20260906135058/https://bfl.ai/legal/terms-of-service"
    }
  ],
  "widerspruch": "„Zero data retention“ heißt: Anfrage und Ergebnis werden nicht aufbewahrt. Die Enterprise-Seite verspricht das für die Managed API ohne Vorbehalt. Die drei Dokumente, die für genau diese API gelten — EU-API-Terms, Privacy Policy, Terms of Service — räumen dem Unternehmen ausdrücklich das Recht ein, Inputs und Outputs zu speichern („store“, „host, cache, store“) und damit Modelle zu trainieren, unbefristet („perpetual“) und weltweit. Eine Speicherung, die das Training ermöglicht, ist keine Zero Data Retention. Wer die Enterprise-Seite liest, nimmt an, seine Bilder und Prompts würden nicht aufbewahrt; wer die Terms akzeptiert, räumt das Gegenteil ein. Beides kann für den öffentlichen API-Zugang nicht zugleich gelten.",
  "was_es_nicht_heisst": "Dies ist kein Vorwurf der Täuschung. Black Forest Labs dokumentiert die Lizenz und das Training in drei Dokumenten offen, nennt ein Opt-out für das Training (legal@blackforestlabs.ai) und nimmt in der Privacy Policy Inhalte unter Enterprise-Verträgen ausdrücklich aus. Es ist gut möglich, dass Enterprise-Verträge Zero Data Retention tatsächlich vereinbaren. Der Fall betrifft ausschließlich die vorbehaltlose Formulierung auf einer öffentlichen Seite neben öffentlichen Terms, die das Gegenteil erlauben. Ob Speicherung und Training für einen konkreten Einsatz ein Problem sind, bewerten wir nicht. Das Unternehmen hat seinen Sitz in Freiburg, die Muttergesellschaft ist Black Forest Labs Inc. (Delaware); auch das bewerten wir nicht, es steht im Profil.",
  "aufloesung": [
    "Black Forest Labs qualifiziert die Aussage auf der Enterprise-Seite (z. B. „Zero data retention available under enterprise agreements; under the public API terms, inputs and outputs may be stored and used for training unless you opt out“). Dann ist der Widerspruch ausgeräumt.",
    "Black Forest Labs macht Zero Data Retention zum Standard der öffentlichen API und passt die Terms an (Speicherlizenz gestrichen oder auf die Dauer der Verarbeitung begrenzt). Dann ist die Aussage richtig und der Widerspruch ausgeräumt.",
    "Black Forest Labs legt dar, warum beide Aussagen zugleich zutreffen — etwa weil „Managed API“ auf der Enterprise-Seite ausschließlich vertraglich gebundene Kunden meint. Wir veröffentlichen die Erklärung wörtlich und prüfen sie."
  ],
  "antworten": [],
  "verlauf": [
    {
      "datum": "2026-09-06",
      "ereignis": "Widerspruch im ersten Widerspruchs-Scan über alle Anbieter gefunden (Kandidat Nr. 1 in outreach/fall-kandidaten.md). Fünf Seiten abgerufen (13:48 UTC), SHA-256-Hashes gebildet, Rohkopien nach belege/faelle/2026-003/, Internet-Archive-Snapshots für alle fünf Seiten angelegt. Fall-Entwurf und Anschreiben vorbereitet; noch nicht veröffentlicht, Anbieter noch nicht informiert."
    },
    {
      "datum": "2026-09-10",
      "ereignis": "Anbieter per E-Mail (legal@blackforestlabs.ai, CC privacy@ und dpo@blackforestlabs.ai) mit dem vollständigen Text des Falls informiert. Antwortfrist bis 24.09.2026. Fall veröffentlicht."
    },
    {
      "datum": "2026-09-19",
      "ereignis": "Halbzeit-Erinnerung an den Anbieter gesendet (09:07 UTC, im Thread der Mail vom 10.09.; technisch als Antwort-an-alle von felix.h.lind@gmail.com mit hallo@belegbar.eu im An-Feld und legal@, privacy@, dpo@blackforestlabs.ai in CC). Inhalt: Frist 24.09.2026 bleibt, danach Status „bestätigt“, eine Zeile Antwort genügt, um „offen“ zu halten. Bis dahin keine Antwort des Anbieters eingegangen."
    },
    {
      "datum": "2026-10-03",
      "ereignis": "Prüfung nach Ablauf der Antwortfrist (24.09.2026). Keine Antwort des Anbieters eingegangen, auch nicht auf die Halbzeit-Erinnerung vom 19.09. Alle vier Seiten erneut abgerufen (11:38 UTC): Die Zusage „Zero data retention“ auf der Enterprise-Seite und die Lizenz zur Nutzung von Inputs und Outputs für Training in den EU FLUX API Service Terms und den Terms of Service stehen unverändert; die Privacy Policy enthält den zitierten Satz unverändert, ergänzt um einen nachgestellten Satz zum Zweck des Trainings. Rohkopien belege/faelle/2026-003/*-2026-10-03.html, SHA-256 in SHA256SUMS (Enterprise-Seite 37e2e11f8368fc2df4cb9322f34081716049e6dd5cb7225edd9c3e69584dff9b). Snapshot: https://web.archive.org/web/20261003113917/https://bfl.ai/enterprise. Status auf „bestätigt“ gesetzt: Frist verstrichen, keine Antwort, beide Aussagen unverändert. Eine spätere Antwort wird wörtlich eingetragen; sobald eine der Auflösungen eintritt, geht der Fall auf „ausgeräumt“."
    }
  ],
  "url": "https://belegbar.eu/faelle/black-forest-labs-zero-data-retention/",
  "lizenz": "CC BY 4.0",
  "stand": "2026-10-16"
}