Black Forest Labs

BFL betreibt zwei verbundene Gesellschaften. Die BFL GmbH (Amtsgericht München HRB 291820, eingetragen in der Ingeborg-Krummer-Schroth-Straße 18, 79106 Freiburg im Breisgau, mit den Geschäftsführern Robin Rombach, Andreas Blattmann und Axel Sauer) betreibt die Website, das Impressum und das deutsche Geschäft. Black Forest Labs Inc., eine Gesellschaft nach dem Recht von Delaware, ist sowohl in den Endkunden- als auch in den Entwickler-AGB als Vertragspartner benannt -- diese Verträge unterliegen ausdrücklich „governed by the laws of the State of Delaware, without regard to conflict of laws rules“, Streitigkeiten werden durch verbindliche JAMS-Schiedsverfahren mit Sitz in Delaware entschieden. Das Verhältnis der beiden Gesellschaften zueinander (Mutter-Tochter oder Schwestergesellschaften unter einer gemeinsamen Holding) ist in keiner von uns geprüften Primärquelle öffentlich offengelegt; beide teilen sich Management und Marke.

Ja, die Exponierung ist aus drei sich verstärkenden Gründen als „voll“ einzustufen. (1) Black Forest Labs Inc. ist eine Gesellschaft nach dem Recht von Delaware und in den Endkunden- wie Entwickler-AGB als Vertragspartner benannt; als in den USA inkorporierte Gesellschaft unterliegt sie unmittelbar US-amerikanischen Verfahren einschließlich 18 U.S.C. § 2713 (CLOUD Act). (2) Die zentrale Produktivinfrastruktur läuft auf Microsoft Azure -- BFL hat öffentlich bestätigt: „BFL's collaboration with Microsoft started from our earliest days when we partnered with Azure to build our training and inference clusters“; sowohl der API-Endpunkt api.bfl.ai als auch der Dokumentations-Host docs.bfl.ai werden über Azure Front Door ausgeliefert. (3) Auch der übrige Stack steht unter US-Kontrolle: Vercel für das Web-Frontend (aus der Frankfurt-Edge ausgeliefert), AWS CloudFront für das Hilfecenter und Google Workspace für die Unternehmenskommunikation. Enterprise-Kunden können dedizierte Endpunkte mit Null-Datenspeicherung und eine selbst gehostete Variante verhandeln, bei der die Inferenz vollständig in der eigenen Umgebung läuft -- beides ist auf /enterprise beworben und auf Anfrage erhältlich.

BFL betreibt ein dreistufiges Lizenzmodell. Apache 2.0 (kommerziell uneingeschränkt nutzbar): FLUX.1 [schnell] und FLUX.2 [klein] -- offene Gewichte, fork- und weiterverteilbar. FLUX.1-dev Non-Commercial License: FLUX.1 [dev], FLUX.1 Fill / Canny / Depth / Redux [dev], FLUX.1 Kontext [dev] und FLUX.1 Krea [dev] -- offene Gewichte, aber ausschließlich für Forschungszwecke, ohne gesonderte Lizenz von BFL keine kommerzielle Nutzung. Proprietär und nur über die API: FLUX.1 [pro], FLUX.1.1 [pro] (einschließlich der Ultra- und Raw-Modi), FLUX.1 Kontext [pro] sowie die Modelle FLUX.2 [max] / [pro] / [flex] -- diese laufen ausschließlich auf der BFL API oder über lizenzierte Azure-AI-Foundry-Bereitstellungen und können nicht heruntergeladen werden. Das GitHub-Repository github.com/black-forest-labs/flux stellt den Inferenz-Code unter Apache 2.0 bereit; die modellbezogenen Lizenzen gelten für die Modellgewichte, nicht für den Code.

Die BFL API läuft auf Microsoft Azure -- sowohl Trainings- als auch Inferenz-Cluster sind nach BFL eigenen Angaben Azure-basiert. Der Produktionsendpunkt api.bfl.ai wird über Azure Front Door ausgeliefert, ebenso der Dokumentations-Host docs.bfl.ai. Die Website selbst (bfl.ai) wird von Vercel aus der Frankfurt-Edge (fra1) ausgeliefert, das Hilfecenter liegt auf AWS CloudFront. Die Datenschutzerklärung enthält lediglich eine generische EWR- bzw. SCC-Klausel und benennt keine konkreten Azure-Regionen; ein Drittbericht (Sacra, nicht durch Primärquellen belegt) spricht von „GPU clusters in Frankfurt and Virginia for latency reduction“. Für Bereitstellungen über Azure AI Foundry dokumentiert Microsoft die FLUX-Modelle als „global standard deployment“ und damit in allen Azure-Regionen verfügbar -- die Regionswahl liegt dort beim Azure-Kunden. Es gibt keine öffentlich publizierte Subprozessorenliste und kein öffentliches Vanta-Trust-Portal, das wir verifizieren konnten; wer eine verbindliche EU-Datenhaltung benötigt, sollte Enterprise-Konditionen anfragen.

Die Standard-AGB für Endkunden und Entwickler von BFL behalten sich vor, Ein- und Ausgaben so zu verarbeiten, wie es zur Erbringung des Dienstes erforderlich ist; die Datenschutzerklärung sieht für Übermittlungen außerhalb des EWR eine generische SCC-Klausel vor. Die Enterprise-Stufe auf /enterprise wirbt ausdrücklich mit „zero data retention and auto-scaling infrastructure“ neben dedizierten Endpunkten und einer selbst gehosteten Option („No external calls: all inference runs inside your environment“). Wer eine verbindliche Nicht-Trainings-Zusage benötigt, sollte die Enterprise-Stufe und das auf Anfrage verfügbare DPA anfordern. Eine öffentlich publizierte Subprozessorenliste existiert nicht -- laut Enterprise-Seite gilt: „Security documentation, DPAs, and vendor assessment materials are available on request“. Die Responsible AI Development Policy beschreibt Inhaltsmoderation, Output-Wasserzeichen auf der gehosteten API sowie eine Trust-and-Safety-Partnerschaft mit der Internet Watch Foundation zum CSAM-Hashing.