Datenschutzerklärung

Beim Aufruf der Website werden technisch erforderliche Daten automatisch verarbeitet (z.B. IP-Adresse, Datum und Uhrzeit des Zugriffs, abgerufene Ressource, übertragene Datenmenge, Browsertyp und Betriebssystem). Dies dient der Bereitstellung, Stabilität und Sicherheit der Plattform.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem sicheren und stabilen Betrieb).

Zur Nutzung der Plattform legst du ein Konto an. Dabei und im laufenden Betrieb verarbeiten wir:

• E-Mail-Adresse
• Passwort (ausschließlich als bcrypt-Hash, niemals im Klartext)
• Nutzername (optional, für Lerngruppen)
• Zeitpunkt des letzten Logins
• E-Mail-Präferenzen (Einwilligungen zu E-Mail-Kategorien)
• Zeitstempel zu Erstellung und Aktualisierung

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Durchführung des Nutzungsvertrags).

Für die Anmeldung verwenden wir ein Token-System mit Cookies (HttpOnly). Es werden ein Access Token (Gültigkeit 60 Minuten) sowie ein Refresh Token (Gültigkeit 30 Tage) eingesetzt; aktive Refresh Tokens werden serverseitig gespeichert und können bei Logout invalidiert werden. Diese Cookies sind für den Betrieb der Plattform technisch erforderlich (siehe § 7).

Rechtsgrundlage: Art. 6 Abs. 1 lit. b und lit. f DSGVO; § 25 Abs. 2 TDDDG (technisch notwendige Speicherung).

Lädst du ein Skript hoch (PDF oder PPTX), extrahieren wir den Text, zerlegen ihn in Abschnitte, berechnen Vektor-Embeddings und erkennen automatisch Themengebiete. Verarbeitet bzw. gespeichert werden:

• der extrahierte Volltext (max. 500.000 Zeichen pro Lernraum)
• Datei-Metadaten (Dateiname, Dateityp, Dateigröße, Verarbeitungsstatus)
• Textabschnitte und daraus berechnete Vektor-Embeddings
• erkannte Themen (Name, Beschreibung, Modul- und Quellzuordnung)

Originaldateien (PDF/PPTX) werden nach der Verarbeitung nicht dauerhaft gespeichert – gespeichert werden nur der extrahierte Text und die Vektordaten. Soweit hochgeladene Materialien personenbezogene Daten enthalten, bist du für deren Rechtmäßigkeit verantwortlich.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

Zur Bereitstellung der Lernfunktionen verarbeiten wir die von dir bzw. für dich erzeugten Inhalte und Fortschrittsdaten:

• Karteikarten inkl. Spaced-Repetition-Daten (Intervall, Easefaktor, nächste Wiederholung)
• Quizze (Fragen, Optionen, richtige Antworten, Erklärungen)
• Probeklausuren (Fragen, deine Antworten, KI-Bewertungen, Gesamtergebnis)
• Erklärungen (KI-generiert, gecacht)
• Lernfortschritt (Score 0–100 je Thema, Wiederholungsanzahl)
• abgeschlossene Lernpfad-Aktivitäten

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

Wenn du eine Lerngruppe erstellst oder ihr beitrittst, verarbeiten wir die Gruppenzugehörigkeit, das Beitrittsdatum, den Einladungstoken sowie deinen Nutzernamen. Innerhalb einer Lerngruppe ist dein Nutzername für die anderen Mitglieder sichtbar, ebenso die im geteilten Lernraum enthaltenen Inhalte. Dein individueller Lernfortschritt bleibt privat und ist nur für dich einsehbar.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

Für kostenpflichtige Abonnements nutzen wir den Zahlungsdienstleister Stripe. Deine Zahlungsdaten (z.B. Kreditkartendaten) gibst du direkt bei Stripe ein – wir sehen und speichern keine vollständigen Zahlungsdaten. In deinem Profil speichern wir intern eine Stripe-Kunden-ID, eine Stripe-Abo-ID, das Datum des nächsten Abrechnungszeitraums sowie den Abo-Status.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragsabwicklung) sowie Art. 6 Abs. 1 lit. c DSGVO (handels- und steuerrechtliche Pflichten).

Du kannst einwilligen, E-Mails zu Lernerinnerungen, Lernfortschritts-Updates sowie Neuigkeiten & Updates zu erhalten. Diese Einwilligung kannst du jederzeit mit Wirkung für die Zukunft widerrufen (z.B. in den Einstellungen). Davon unberührt bleiben für die Vertragsabwicklung erforderliche Mitteilungen (z.B. zu Sicherheit, Zahlung oder Vertragsänderungen).

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung) für werbliche/informierende E-Mails; Art. 6 Abs. 1 lit. b/f DSGVO für systemrelevante Mitteilungen.

Sendest du uns Feedback oder kontaktierst du uns per E-Mail, verarbeiten wir deine Angaben (z.B. Feedback-Text und E-Mail-Adresse) zur Bearbeitung deines Anliegens.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (sofern vertragsbezogen) bzw. Art. 6 Abs. 1 lit. f DSGVO (Bearbeitung von Anfragen und Produktverbesserung).

Trägst du dich vor einer Kontoerstellung in die Warteliste ein, speichern wir deine E-Mail-Adresse und den Zeitpunkt der Eintragung, um dich zu informieren.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung).

Für Teilnehmer des Partnerprogramms verarbeiten wir die für die Abwicklung erforderlichen Daten:

• Partnerprofil: Status, Referral-Code/-Slug, Social-Handle, Bewerbungstext
• Auszahlungsdaten: IBAN (verschlüsselt gespeichert) und IBAN-Inhaber
• Provisionen: zugehörige Zahlungs-ID, Beträge, Status, Auszahlungsdatum
• Klick-Tracking: Hash der IP-Adresse (HMAC-SHA-256, nicht reversibel), User-Agent, Zeitstempel, Conversion-Status

Die IP-Adresse wird beim Affiliate-Tracking nicht im Klartext, sondern nur als nicht umkehrbarer Hash gespeichert.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Partnervertrag), Art. 6 Abs. 1 lit. f DSGVO (Zuordnung von Conversions, Betrugsprävention) sowie Art. 6 Abs. 1 lit. c DSGVO (steuerliche Pflichten bei Auszahlungen).

Zur Nachvollziehbarkeit und Sicherheit protokollieren wir bestimmte administrative Eingriffe (z.B. Aktion, betroffenes Objekt, Zeitpunkt).

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Sicherheit, Missbrauchsprävention) bzw. lit. c DSGVO.

Für die KI-Funktionen (Karteikarten, Quiz, Erklärungen, Probeklausuren samt Bewertung und Vektor-Embeddings) setzen wir Dienste von OpenAI (OpenAI, L.L.C.; für Nutzer im EWR regelmäßig OpenAI Ireland Ltd.) ein.

Übermittelt werden: Textauszüge aus deinem Skript (jeweils die relevantesten Passagen über das RAG-Verfahren), Themen-Metadaten sowie deine Antworten bei der Probeklausur-Bewertung. Verwendete Modelle: gpt-4o-mini und text-embedding-3-small. Über die API übermittelte Daten werden von OpenAI nach eigenen Angaben standardmäßig nicht zum Training der Modelle verwendet. Eine Verarbeitung erfolgt auch in den USA (siehe § 6).

Die Zahlungsabwicklung, Abo-Verwaltung und das Kundenportal werden über Stripe (Stripe, Inc. bzw. Stripe Payments Europe, Ltd.) bereitgestellt. Stripe erhält die für die Zahlung erforderlichen Daten sowie die Zahlungsdaten direkt von dir. Eine Verarbeitung erfolgt auch in den USA (siehe § 6).

Die Plattform wird bei der Hetzner Online GmbH (Industriestraße 25, 91710 Gunzenhausen, Deutschland) betrieben. Der Server befindet sich in Helsinki, Finnland (EU). Hetzner verarbeitet Daten als Auftragsverarbeiter in unserem Auftrag; ein Vertrag zur Auftragsverarbeitung gemäß Art. 28 DSGVO besteht.

Für den Versand transaktionaler E-Mails (z.B. Bestätigungscodes, Passwort-Reset) setzen wir Resend (Resend Inc., 2261 Market Street #5670, San Francisco, CA 94114, USA) ein. Resend verarbeitet Daten als Auftragsverarbeiter in unserem Auftrag. Eine Übermittlung in die USA erfolgt auf Grundlage geeigneter Garantien (Standardvertragsklauseln gemäß Art. 46 DSGVO); siehe auch § 6.

Die Vektordatenbank (Qdrant) sowie die Verarbeitungs-Queue (Redis/BullMQ) werden selbst gehostet und stellen keine Weitergabe an einen Drittanbieter-Cloud-Dienst dar. Redis/BullMQ speichert Job-Daten nur temporär während der Verarbeitung.