Datenschutzerklärung

1. Verantwortlicher

Lukas Tomasek, gesetzlich vertreten durch Jan Tomasek

Münchener Straße 122, 82054 Sauerlach, Deutschland

E-Mail: info@klausurbuddy.com

2. Verarbeitete Daten

• Account-Daten: E-Mail-Adresse, ggf. Google-Profil (bei OAuth-Login).
• Nutzungsdaten: Hochgeladene PDFs, generierte Klausuren, abgegebene Antworten und KI-Bewertungen.
• Zahlungsdaten: Bei kostenpflichtigem Abo oder Pass verarbeitet Stripe Inc. die Zahlungsinformationen. Wir speichern lediglich eine Stripe-Customer-ID.
• Server-Logs: Technische Zugriffsdaten (IP, Zeitpunkt, User-Agent) zur Sicherstellung des Betriebs.
• Push-Token (nur mobile App): Wenn du in der KlausurBuddy-App Push-Benachrichtigungen erlaubst, speichern wir ein geräte­gebundenes Push-Token (von Expo/Apple/Google vergeben), um dich zu benachrichtigen, sobald eine von dir gestartete Klausur fertig generiert ist. Das Token enthält keine Inhalte deiner Klausuren. Es wird bei der Abmeldung in der App und beim Deaktivieren der Benachrichtigungen gelöscht.
• Beta-Rückmeldungen (nur Test-Versionen der App):In Test- und Beta-Versionen gibt es einen Feedback-Knopf. Schickst du darüber eine Rückmeldung, speichern wir deinen Text sowie – nur wenn du die jeweilige Auswahl im Formular aktiv stehen lässt – die zuletzt besuchten Bildschirme, deine Auswahl in Formularen (z. B. Bundesland, Klasse, Fach), App-Version, Gerätemodell und Betriebssystem-Version. Was genau mitgeschickt wird, zeigt dir die App vor dem Absenden an. Klausur-Antworten, Passwörter, Screenshots und Gerätekennungen werden dabei nicht erfasst. Rechtsgrundlage ist unser berechtigtes Interesse an der Fehlerbehebung (Art. 6 Abs. 1 lit. f DSGVO); die Rückmeldungen werden nach Abschluss der jeweiligen Testphase gelöscht.

3. Speicherort & Auftragsverarbeiter

• Supabase (Dublin, Irland — innerhalb der EU) — Hosting der Datenbank, Authentifizierung und Datei-Speicher. Die hier gespeicherten Daten (Account, Klausuren, Uploads) verbleiben im EU-Rechtsraum.
• Vercel(Vercel Inc., USA) — Hosting der Web-Anwendung. Die Server-Funktionen der App laufen in der EU-Region Frankfurt; Vercel ist unter dem EU-US Data Privacy Framework (DPF) zertifiziert, ergänzend gelten ein Auftragsverarbeitungsvertrag (DPA) mit EU-Standardvertrags­klauseln (SCC).
• Anthropic(Anthropic PBC, USA) — Verarbeitet hochgeladene PDFs und Antworten zur KI-Generierung und verwendet die Daten laut eigener Richtlinie nicht zum Training eigener Modelle. Die Übermittlung in die USA erfolgt auf Basis eines Auftragsverarbeitungsvertrags (DPA) und der EU-Standardvertrags­klauseln (SCC); die Verarbeitung ist auf die KI-Inferenz für deine Anfrage zweckgebunden.
• Stripe (Irland/USA) — Zahlungsabwicklung für Abos und Pässe.
• Sentry (EU-Ingest, sentry.io) — Fehler-Telemetrie zur Stabilität des Dienstes. Erfasst werden Fehlermeldung, Stack-Trace, Browser/OS-Version sowie ein anonymisierter Client-Token. Keine Session-Replays, keine Tastatur-Eingaben.
• Vercel Analytics & Speed Insights (Vercel Inc., USA) — Cookie-lose, aggregierte Reichweiten- und Performance-Messung (z.B. Seitenaufrufe, Web-Vitals wie LCP/INP). Es werden keine personenbezogenen Profile gebildet; aus IP, User-Agent und Pfad wird ein täglich rotierender Hash gebildet, der nach 24 h verfällt (vgl. Vercel Privacy).
• Resend(Resend, Inc., USA) — Versand von Transaktions-E-Mails (z.B. Konto-Bestätigung, Passwort-Reset, Eltern-Zustimmung, Trial-Hinweise, Eltern-Wochenüberblick). Übertragen werden die Empfänger-Adresse und der Mail-Inhalt (ggf. der Vorname des Kindes). Auch die Authentifizierungs-Mails über Supabase werden technisch über diesen Dienst zugestellt. Übermittlung in die USA auf Basis eines Auftragsverarbeitungsvertrags (DPA) und der EU-Standardvertrags­klauseln (SCC).
• Free Dictionary API (dictionaryapi.dev, ausgeliefert über Cloudflare) — nur wenn du im Englisch-/Vokabel-Hilfsmittel ein Wort nachschlägst: der eingegebene Suchbegriff und deine IP-Adresse werden an diesen Wörterbuch-Dienst übertragen, um die Definition abzurufen. Es werden keine Konto-Daten übermittelt.
• Push-Zusteller (nur mobile App):Zur Auslieferung von Push-Benachrichtigungen werden das Push-Token und der Meldungstext („Deine Klausur ist fertig“) über den Expo-Push-Dienst (Expo, USA) und die Plattform-Dienste Apple Push Notification service (Apple, USA) bzw. Firebase Cloud Messaging (Google, USA) zugestellt. Übermittlung in die USA auf Basis der EU-Standardvertrags­klauseln (SCC). Nur aktiv, wenn du Benachrichtigungen in der App erlaubt hast.

4. Rechtsgrundlagen

Die Verarbeitung erfolgt zur Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO), zur Wahrung berechtigter Interessen am sicheren Betrieb (lit. f) sowie auf Grundlage deiner Einwilligung (lit. a) bei Anlage eines Accounts.

5. Deine Rechte

Du hast das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch. Beschwerden kannst du bei der zuständigen Aufsichtsbehörde einreichen (in Bayern: Bayerisches Landesamt für Datenschutzaufsicht, BayLDA). Kontakt für Auskünfte: info@klausurbuddy.com.

6. Löschung

Du kannst deinen Account samt Inhalten jederzeit unter /billing löschen. Materialien, Klausuren und Bewertungen werden dabei unwiderruflich entfernt. Stripe-Rechnungsdaten unterliegen handels- und steuerrechtlichen Aufbewahrungsfristen (bis zu 10 Jahre).

7. Cookies & Einwilligung

Technisch notwendige Cookies (Session, CSRF-Schutz) setzen wir immer — dafür ist nach § 25 Abs. 2 TTDSG keine Einwilligung erforderlich.

Statistik- und Fehleranalyse-Dienste (Vercel Analytics & Speed Insights, Sentry sowie unsere eigene anonyme Reichweitenmessung) aktivieren wir ausschließlich nach deiner ausdrücklichen Einwilligung über unseren Cookie-Banner (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TTDSG). Lehnst du ab, werden diese Dienste nicht geladen bzw. übertragen keine Daten. Marketing-Cookies setzen wir nicht.

Du kannst deine Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen oder erneut erteilen: