Datenschutzerklärung

1. Verantwortlicher

Verantwortlich für die Verarbeitung personenbezogener Daten auf dieser Seite ist:

[Name bzw. Firma]
[Anschrift]
E-Mail: [kontakt@deine-domain.de]

[Ein Datenschutzbeauftragter ist nicht bestellt; die Voraussetzungen des § 38 BDSG liegen nicht vor. — Diesen Satz prüfen, sobald mehr als 20 Personen ständig mit der Verarbeitung beschäftigt sind.]

2. Hosting und Server-Protokolle

Die Anwendung läuft auf Servern von [Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen] in Deutschland. Mit dem Anbieter besteht ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO. Datenbank und Dateispeicher werden auf derselben Infrastruktur betrieben; hochgeladene Dateien verlassen die EU nicht.

Beim Aufruf der Seite werden technisch bedingt Verbindungsdaten verarbeitet (IP-Adresse, Zeitpunkt, aufgerufene Adresse, übertragene Datenmenge, Browserkennung). Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; das berechtigte Interesse liegt im sicheren und störungsfreien Betrieb. Diese Protokolle werden nach [Aufbewahrungsdauer eintragen — üblich sind 7 bis 14 Tage] gelöscht.

3. Konto und Anmeldung

Für ein Konto verarbeiten wir deine E-Mail-Adresse, deinen Anzeigenamen, dein Passwort und deine Spracheinstellung. Das Passwort wird ausschließlich als Argon2id-Hash gespeichert; die Klartextfassung ist uns zu keinem Zeitpunkt bekannt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).

Anmeldesitzungen werden serverseitig als Hash gespeichert und laufen nach 30 Tagen ab. Wenn du die Zwei-Faktor-Anmeldung einrichtest, speichern wir das dafür nötige Geheimnis verschlüsselt (AES-256-GCM) sowie Wiederherstellungscodes als Hash.

4. Anmeldung über Google

Du kannst dich wahlweise über ein Google-Konto anmelden. Dabei erhalten wir von Google deine E-Mail-Adresse, deinen Namen, dein Profilbild und eine dauerhafte Kennung deines Google-Kontos. Ein Passwort wird in diesem Fall nicht gespeichert. Google erfährt, dass du dich bei uns anmeldest.

Anbieter ist Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO — die Anmeldung erfolgt auf deine Veranlassung.

5. Verarbeitung durch künstliche Intelligenz

Wenn du eine KI-Funktion nutzt — Tutor, Zusammenfassung, Lernkarten, Mindmap, Hörbuch, Probeklausur oder den Textassistenten —, übermitteln wir die dafür nötigen Inhalte an die Gemini-Schnittstelle von Google. Das umfasst je nach Funktion den Inhalt der von dir hochgeladenen Dateien, deiner Zusammenfassungen, deiner Karten sowie deine Eingaben im Tutor-Chat und deine Freitextantworten in Probeklausuren.

Wir nutzen die kostenpflichtige Stufe der Schnittstelle. Nach Angaben des Anbieters werden die übermittelten Inhalte dort nicht zum Training von Modellen verwendet. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, da die Verarbeitung die von dir angeforderte Leistung selbst darstellt.

Ohne KI-Funktionen verlässt kein Inhalt das Haus. Dateien ansehen, selbst geschriebene Zusammenfassungen, selbst angelegte Karten, der Lernmodus, der Lernplan und die Lerngruppen kommen ohne jede Übermittlung an Dritte aus.

[Vom Betreiber zu ergänzen: Angaben zum Vertragspartner (Google Ireland Limited oder Google LLC), zum Auftragsverarbeitungsvertrag nach Art. 28 DSGVO, zum Verarbeitungsstandort und — falls Daten in die USA gelangen — zur Grundlage des Drittlandtransfers nach Art. 44 ff. DSGVO. Diese Angaben hängen davon ab, welchen Vertrag und welche Regionseinstellung du bei Google gewählt hast, und lassen sich nicht aus dem Quelltext ablesen.]

6. Automatisierte Bewertung von Probeklausuren

In Probeklausuren werden Ankreuzfragen automatisch verglichen und Freitextantworten durch das Sprachmodell bewertet. Daraus entsteht eine Punktzahl und, je nach gewähltem Schlüssel, eine Note.

Diese Bewertung ist keine automatisierte Entscheidung im Sinne des Art. 22 DSGVO: Sie entfaltet dir gegenüber keine rechtliche Wirkung und beeinträchtigt dich nicht in ähnlich erheblicher Weise. Es handelt sich um eine Selbsteinschätzung zu Übungszwecken; die Ergebnisse werden an niemanden weitergegeben und haben auf keine Prüfung, Ausbildung oder Anstellung Einfluss.

7. Lerngruppen

In einer Lerngruppe sind dein Anzeigename, dein Beitrittsdatum und die von dir geteilten Inhalte für die übrigen Mitglieder sichtbar. Der Gruppenverlauf hält zusätzlich fest, wer wann etwas geteilt, jemanden aufgenommen, eine Rolle vergeben oder einen Inhalt entfernt hat. Er ist für alle Mitglieder einsehbar und dient der Nachvollziehbarkeit von Entscheidungen der Gruppenverwaltung. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, da die Sichtbarkeit den Zweck der Funktion ausmacht.

Der Verlauf lebt so lange wie die Gruppe und wird mit ihr gelöscht. Deine eigenen Freigaben kannst du jederzeit zurückziehen, auch nachdem du die Gruppe verlassen hast. Dein Lernstand an geteilten Karten bleibt privat und ist für andere Mitglieder nicht sichtbar.

Nachrichten im Gruppenchat sind für alle Mitglieder der Gruppe sichtbar und werden mit der Gruppe gelöscht. Der Chat ist an die Gruppe gebunden und kann ohne sie nicht bestehen.

8. Öffentliche Teilen-Links

Du kannst für eigene Zusammenfassungen, Kartensets und Mindmaps einen Link erzeugen, über den der Inhalt ohne Anmeldung lesbar ist. Sichtbar werden dabei der Titel, dein Anzeigename und — je nach Berechtigung des Betrachters — der Inhalt ganz oder auszugsweise. Wir zählen, wie oft ein Link aufgerufen wurde; einzelne Aufrufe werden nicht protokolliert.

Solche Seiten sind für Suchmaschinen gesperrt. Du kannst jeden Link jederzeit zurückziehen; er funktioniert danach sofort nicht mehr.

9. Support-Anfragen

Wenn du eine Support-Anfrage stellst, verarbeiten wir deinen Betreff, den Nachrichtentext und den Verlauf der Unterhaltung. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Anfragen werden mit deinem Konto gelöscht.

Zu einer Anfrage können interne Vermerke unseres Teams gehören, die für dich nicht sichtbar sind. Sie enthalten keine besonderen Kategorien personenbezogener Daten und werden ebenfalls mit dem Vorgang gelöscht. Auf Auskunftsersuchen nach Art. 15 DSGVO erhältst du auch diese Vermerke.

10. Feedback

Bewertungen und Rückmeldungen speichern wir mit deiner Kennung, damit wir bei Rückfragen zuordnen können. Löschst du dein Konto, bleibt die Rückmeldung ohne Bezug zu dir bestehen und ist danach nicht mehr dir zuzuordnen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; das berechtigte Interesse liegt in der Verbesserung des Angebots.

11. Zugriff durch den Betreiber und Protokollierung

Für Betrieb und Betreuung gibt es zwei Rollen mit erweitertem Zugriff. Beide sehen Stammdaten, Zahlen und Verlaufsdaten — aber keine Inhalte: nicht deine Zusammenfassungen, nicht deine Karten, nicht deine Chats mit dem Tutor, nicht deine Gruppennachrichten und keine hochgeladene Datei.

• Moderation: gemeldete Inhalte bearbeiten, Rückmeldungen und Support-Anfragen lesen, Konten suchen und ihre Stammdaten einsehen, Konten sperren und Sitzungen beenden.
• Administration: zusätzlich Tarife ändern, Guthaben gutschreiben, Rollen vergeben und die betriebswirtschaftlichen Auswertungen einsehen.

Die einzige Ausnahme von der Regel „keine Inhalte“ ist ein gemeldeter Inhalt: Wer eine Meldung beurteilen soll, muss ihn ansehen dürfen. Jeder solche Zugriff wird protokolliert.

Jede Verwaltungshandlung an einem Konto — Tarifänderung, Gutschrift, Sperre, Rollenvergabe, Beendigung von Sitzungen — wird mit Zeitpunkt, handelnder Person und betroffenem Konto festgehalten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; das berechtigte Interesse liegt in der Nachvollziehbarkeit von Eingriffen in fremde Konten und im Schutz vor Missbrauch dieser Rechte. Das Protokoll wird nicht gelöscht, solange der Zweck fortbesteht.

Zur Betriebsüberwachung speichern wir außerdem Aufrufe der Hintergrundprozesse sowie unbehandelte Serverfehler mit Adresse, Meldung und gegebenenfalls der Kennung des betroffenen Kontos. Beides wird nach 30 Tagen gelöscht.

12. Zahlungsabwicklung

[Noch nicht aktiv. Sobald kostenpflichtige Abos angeboten werden, ist dieser Abschnitt vor dem ersten Verkauf zu ergänzen: Anbieter (voraussichtlich Stripe Payments Europe Ltd., Dublin), übermittelte Daten, Rechtsgrundlage Art. 6 Abs. 1 lit. b DSGVO, Grundlage des Drittlandtransfers sowie die steuerlichen Aufbewahrungsfristen nach § 147 AO und § 14b UStG, die einer Löschung von Rechnungsdaten für zehn Jahre entgegenstehen.]

13. Cookies

Wir setzen ausschließlich technisch notwendige Cookies ein: eines für deine Anmeldesitzung und eines für die gewählte Sprache. Beide sind nach § 25 Abs. 2 Nr. 2 TDDDG von der Einwilligungspflicht ausgenommen. Es findet keine Analyse, keine Reichweitenmessung und kein Einsatz von Werbe- oder Fremdanbieter-Cookies statt.

Für eine kleine Zahl von Anzeigeeinstellungen — etwa ob du einen Hinweis weggeklickt hast — nutzen wir den lokalen Speicher deines Browsers. Diese Angaben verlassen dein Gerät nicht.

14. Speicherdauer

Wir speichern nicht länger, als der jeweilige Zweck es verlangt. Konkret:

• Kontodaten und Inhalte: bis zur Löschung des Kontos
• Anmeldesitzungen: 30 Tage, danach automatisch ungültig
• Archivierte Kurse, Dateien, Zusammenfassungen, Karten, Mindmaps, Hörbücher, Lernpläne und Lerngruppen: 7 Tage, danach endgültig gelöscht
• Kontolöschung: 30 Tage Frist, in der du die Löschung zurücknehmen kannst; danach werden Konto und alle zugehörigen Inhalte einschließlich der Dateien im Objektspeicher entfernt
• Betriebs- und Fehlerprotokolle: 30 Tage
• Verwaltungsprotokoll: solange der Zweck der Nachvollziehbarkeit besteht
• Rückmeldungen: unbefristet, nach einer Kontolöschung ohne Bezug zu dir

15. Deine Rechte

Du hast das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) sowie das Recht, einer auf Art. 6 Abs. 1 lit. f DSGVO gestützten Verarbeitung zu widersprechen (Art. 21).

Einen vollständigen Datenexport im JSON-Format kannst du jederzeit selbst über dein Profil anfordern; die Löschung deines Kontos ebenfalls. Du brauchst uns dafür nicht zu schreiben.

Unabhängig davon steht dir ein Beschwerderecht bei einer Datenschutz-Aufsichtsbehörde zu. Zuständig ist die Behörde deines Aufenthaltsorts oder die für uns zuständige Stelle: [Aufsichtsbehörde des Bundeslandes eintragen].