Datenschutzerklärung

1. Verantwortlicher

Verantwortlich für die Verarbeitung personenbezogener Daten auf dieser Website und in der App SuperGrade im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:

[Vor- und Nachname bzw. Firma des Betreibers] [Straße und Hausnummer] [PLZ und Ort] Deutschland E-Mail: [E-Mail-Adresse, z. B. kontakt@supergrade.de]

Unter dieser E-Mail-Adresse erreichen Sie uns auch für alle Fragen zum Datenschutz und zur Ausübung Ihrer Rechte.

2. Überblick

SuperGrade ist eine Lern-App für Studenten. Wir verarbeiten personenbezogene Daten nur, soweit dies für den Betrieb der Website, Ihr Nutzerkonto, die gebuchten Leistungen, die Abrechnung und die Sicherheit des Dienstes erforderlich ist. Wir setzen keine Werbe- oder Reichweitenanalyse-Dienste ein, verkaufen keine Daten und nutzen Ihre Lerninhalte nicht für Werbung. Eine automatisierte Entscheidungsfindung einschließlich Profiling im Sinne von Art. 22 DSGVO findet nicht statt.

Wir setzen die nachfolgend genannten Dienstleister als Auftragsverarbeiter ein (Art. 28 DSGVO). Sie verarbeiten Daten nur nach unserer Weisung, soweit nicht ausdrücklich anders angegeben.

3. Aufruf der Website und Hosting (Vercel)

Website und App werden bei der Vercel Inc. (USA) betrieben. Bei jedem Aufruf verarbeitet Vercel die technisch notwendigen Verbindungsdaten: IP-Adresse, Datum und Uhrzeit, aufgerufene Adresse, Referrer, Browsertyp und Betriebssystem sowie den Statuscode der Antwort. Diese Daten werden benötigt, um die Seiten auszuliefern, und für die Fehlersuche und die Abwehr von Angriffen kurzzeitig in Server-Protokollen gespeichert. Eine Zusammenführung mit anderen Daten findet nicht statt.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt in der sicheren und stabilen Bereitstellung des Dienstes. Sind Sie angemeldet, erfolgt die Verarbeitung außerdem zur Erfüllung des Nutzungsvertrags (Art. 6 Abs. 1 lit. b DSGVO). Zur Übermittlung in die USA siehe Abschnitt 13.

4. Cookies und Speicherung auf Ihrem Endgerät

Wir verwenden keine Analyse-, Marketing- oder Drittanbieter-Cookies. Auf Ihrem Endgerät werden nur die folgenden Informationen gespeichert:

• Anmelde-Cookies von Supabase (Name beginnt mit „sb-“): halten Sie nach dem Login angemeldet und werden beim Abmelden gelöscht oder laufen ab.
• Sprach-Cookie „NEXT_LOCALE“: merkt sich die gewählte Sprache für die Dauer der Browsersitzung.
• Einträge im lokalen Speicher Ihres Browsers (localStorage): Ihre Wahl zwischen hellem und dunklem Design, die gewählte Listenansicht, der gewählte Lernfokus je Kurs sowie Angaben zur laufenden Lernsitzung, damit eine unterbrochene Sitzung korrekt beendet werden kann. Diese Einträge bleiben gespeichert, bis Sie sie in Ihrem Browser löschen.

Rechtsgrundlage für das Speichern und Auslesen dieser Informationen ist § 25 Abs. 2 Nr. 2 TDDDG, weil sie für die Bereitstellung des von Ihnen genutzten Dienstes erforderlich sind. Die weitere Verarbeitung stützen wir auf Art. 6 Abs. 1 lit. b DSGVO (Anmeldung, Einstellungen, Lernsitzung) und Art. 6 Abs. 1 lit. f DSGVO (Fehleranalyse).

5. Registrierung und Nutzerkonto (Supabase)

Für die Nutzung der App legen Sie ein Konto an. Dabei verarbeiten wir Ihre E-Mail-Adresse, Ihr Passwort (gespeichert nur als kryptografischer Hashwert), optional einen Anzeigenamen sowie technische Angaben zur Anmeldung, etwa den Zeitpunkt der Registrierung und der letzten Anmeldung. Zur Absicherung der Anmeldung protokolliert unser Anbieter außerdem IP-Adressen von Anmeldevorgängen.

Datenbank, Anmeldung und Dateispeicher stellt uns die Supabase, Inc. (USA) bereit. Die Daten werden in einem Rechenzentrum in Frankfurt am Main (Region eu-central-1) gespeichert. Ein Zugriff von Supabase aus Drittländern, etwa für Wartung und Support, ist nicht ausgeschlossen; dafür gelten die in Abschnitt 13 genannten Garantien.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Durchführung des Nutzungsvertrags). E-Mail-Adresse und Passwort sind für die Nutzung erforderlich; ohne sie kann kein Konto angelegt werden.

6. E-Mails zur Kontoverwaltung

E-Mails zur Kontoverwaltung, etwa zur Bestätigung Ihrer E-Mail-Adresse bei der Registrierung, versenden wir über [E-Mail-Versanddienstleister: Name und Sitzland]. Dabei werden Ihre E-Mail-Adresse, der Inhalt der E-Mail und technische Zustelldaten verarbeitet. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Newsletter oder Werbe-E-Mails versenden wir nicht.

Ebenfalls über [E-Mail-Versanddienstleister: Name und Sitzland] senden wir Ihnen nach einem Kauf eine Vertragsbestätigung und nach einer Kündigung über „Verträge hier kündigen“ oder einem Widerruf über „Vertrag widerrufen“ eine Eingangsbestätigung. Dazu speichern wir Ihre Erklärung mit dem Zeitpunkt ihres Eingangs und den Angaben, die Sie dabei machen: E-Mail-Adresse, bei einem Widerruf Ihren Namen, den betroffenen Vertrag, Art und gewünschten Zeitpunkt der Kündigung sowie gegebenenfalls ihren Grund. Rechtsgrundlage ist Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit §§ 312f, 312k und 356a BGB.

7. Ihre Lerninhalte und hochgeladene PDF-Dateien

Wenn Sie die App nutzen, speichern wir die Inhalte, die Sie anlegen, und die Daten, die beim Lernen entstehen:

• Kurse und Übungen mit Ihren Angaben (z. B. Bezeichnung, Beschreibung, Quelle, Wichtigkeit)
• hochgeladene PDF-Dateien (z. B. Übungsblätter) und die daraus erzeugten Übungen
• Ihre Bewertungen beim Wiederholen, den daraus berechneten Lernstand und den Wiederholungsverlauf
• Lernsitzungen mit Beginn, Ende und Dauer
• Ihren Abo-Status: gebuchter Plan, Ende des Abrechnungszeitraums, Gültigkeit eines Semestertickets sowie Ihre Kunden- und Abo-Kennung bei Stripe

Wir verwenden diese Daten, um Ihnen die App bereitzustellen, Wiederholungen zu planen und Ihren Fortschritt anzuzeigen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Bitte laden Sie keine Dokumente hoch, die unnötig personenbezogene Daten Dritter enthalten.

8. KI-gestützte Funktionen (Anthropic)

Einige Funktionen nutzen ein KI-Sprachmodell (Claude) der Anthropic, PBC (USA). Daten werden nur übermittelt, wenn Sie eine dieser Funktionen selbst auslösen:

• PDF-Import: Wir übermitteln den aus Ihrer PDF-Datei ausgelesenen Text an Anthropic. Lässt sich kein brauchbarer Text auslesen, übermitteln wir die ersten Seiten der PDF-Datei selbst. Das Modell erkennt darin Übungen und gibt sie strukturiert zurück.
• Wichtigkeit zuordnen: Wir übermitteln den von Ihnen eingefügten Text (z. B. Hinweise zur Klausurrelevanz) zusammen mit Namen, Bezeichnungen und Beschreibungen der Übungen des Kurses, damit das Modell den Übungen eine Wichtigkeit zuordnet.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, da die Übermittlung für die von Ihnen angeforderte Funktion erforderlich ist. Anthropic verarbeitet die Daten als Auftragsverarbeiter, verwendet Daten aus der kommerziellen Schnittstelle nach eigenen Angaben nicht zum Training seiner Modelle und speichert Ein- und Ausgaben nur für begrenzte Zeit. Die Ergebnisse speichern wir in Ihrem Konto. Zur Übermittlung in die USA siehe Abschnitt 13.

9. Zahlungsabwicklung (Stripe)

Kostenpflichtige Pläne und das Semesterticket bezahlen Sie über Stripe. Beim Kauf werden Sie auf eine Bezahlseite von Stripe weitergeleitet. Zahlungsdaten wie Kartennummern geben Sie dort direkt ein; wir erhalten sie nicht. Wir übermitteln an Stripe Ihre E-Mail-Adresse und eine interne Kennung Ihres Kontos und erhalten von Stripe den Zahlungs- und Abo-Status zurück. Über das Kundenportal von Stripe verwalten Sie Ihr Abo, Ihr Zahlungsmittel und Ihre Rechnungen.

Anbieter ist die Stripe Payments Europe, Limited (Irland). Stripe verarbeitet Daten teilweise als eigener Verantwortlicher, etwa zur Betrugsprävention und zur Erfüllung gesetzlicher Pflichten, und kann Daten an die Stripe, Inc. (USA) übermitteln. Rechtsgrundlagen sind Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) und Art. 6 Abs. 1 lit. c DSGVO (steuer- und handelsrechtliche Aufbewahrungspflichten). Weitere Informationen finden Sie in der Datenschutzerklärung von Stripe.

10. Fehlerüberwachung (Sentry)

Um Fehler zu erkennen und zu beheben, nutzen wir den Dienst Sentry der Functional Software, Inc. (USA). Tritt ein Fehler auf, übermitteln Browser oder Server einen Fehlerbericht mit Fehlermeldung, Programmablauf (Stacktrace), aufgerufener Adresse, Browser, Betriebssystem und Zeitpunkt. Sind Sie angemeldet, enthält der Bericht nur Ihre interne Nutzerkennung, nicht Ihre E-Mail-Adresse oder Ihren Namen. Bei einem Teil der Seitenaufrufe messen wir zusätzlich Ladezeiten.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt in einem stabilen und sicheren Dienst. Sentry löscht die Daten nach Ablauf der Speicherfrist unseres Tarifs, spätestens nach 90 Tagen. Zur Übermittlung in die USA siehe Abschnitt 13.

11. Schutz vor Missbrauch (Upstash)

Um Missbrauch und Überlastung zu verhindern, begrenzen wir, wie oft bestimmte Aktionen pro Konto in einem Zeitraum ausgeführt werden können, etwa PDF-Importe oder Bezahlvorgänge. Dafür speichern wir bei der Upstash, Inc. (USA) einen Zähler zu Ihrer internen Nutzerkennung. Der Zähler wird nach Ablauf des jeweiligen Zeitfensters automatisch gelöscht, spätestens nach zwei Stunden. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt im Schutz des Dienstes und in der Begrenzung von Kosten.

12. Kontakt per E-Mail

Wenn Sie uns per E-Mail schreiben, verarbeiten wir Ihre Angaben, um Ihre Anfrage zu beantworten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, wenn Ihre Anfrage Ihr Konto oder einen Vertrag betrifft, sonst Art. 6 Abs. 1 lit. f DSGVO. Wir löschen die Korrespondenz, sobald sie nicht mehr benötigt wird, soweit keine gesetzlichen Aufbewahrungspflichten bestehen.

13. Übermittlung in Drittländer

Vercel, Supabase, Anthropic, Sentry und Upstash haben ihren Sitz in den USA; Stripe kann Daten an die Stripe, Inc. in den USA übermitteln. Soweit dabei personenbezogene Daten in die USA übermittelt werden, stützen wir uns auf den Angemessenheitsbeschluss der EU-Kommission zum EU-US Data Privacy Framework (Art. 45 DSGVO), soweit der jeweilige Empfänger danach zertifiziert ist, und im Übrigen auf die Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO), die Bestandteil der Verträge mit den Anbietern sind. Dasselbe gilt für den E-Mail-Versanddienstleister, falls er seinen Sitz außerhalb der EU hat. Eine Kopie der Garantien erhalten Sie auf Anfrage.

14. Speicherdauer und Löschung

Wir speichern Ihre Kontodaten und Lerninhalte, solange Ihr Konto besteht. Sie können Ihr Konto jederzeit in den Einstellungen löschen. Dabei beenden wir ein laufendes Abo bei Stripe, löschen Ihre hochgeladenen PDF-Dateien und anschließend Ihr Konto mit allen Kursen, Übungen, Wiederholungen und Lernsitzungen. Die Löschung erfolgt sofort und kann nicht rückgängig gemacht werden.

Ausgenommen sind Daten, die wir aus rechtlichen Gründen aufbewahren müssen: Rechnungen und Zahlungsbelege bewahren wir und Stripe nach § 147 AO und § 257 HGB bis zu zehn Jahre auf; Ihr Kundendatensatz bei Stripe bleibt hierfür bestehen. In Datensicherungen unseres Datenbankanbieters können gelöschte Daten bis zu deren turnusmäßiger Überschreibung enthalten sein. Server-Protokolle, Fehlerberichte und Zähler zum Missbrauchsschutz werden nach den oben genannten Fristen gelöscht.

Kündigungen und Widerrufe bewahren wir als Nachweis auch nach der Löschung Ihres Kontos auf, bis die Verjährungsfrist für Ansprüche aus dem Vertrag abgelaufen ist, in der Regel drei Jahre ab dem Ende des Jahres ihres Eingangs. Die Verknüpfung mit Ihrem Konto wird bei der Kontolöschung entfernt.

15. Ihre Rechte

Sie haben das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16 DSGVO), Löschung (Art. 17 DSGVO), Einschränkung der Verarbeitung (Art. 18 DSGVO) und Datenübertragbarkeit (Art. 20 DSGVO). Eine erteilte Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3 DSGVO). Wenden Sie sich dazu an [E-Mail-Adresse, z. B. kontakt@supergrade.de].

Widerspruchsrecht (Art. 21 DSGVO)

Soweit wir Daten auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO verarbeiten, können Sie dieser Verarbeitung aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit widersprechen. Wir verarbeiten die Daten dann nicht mehr, es sei denn, wir können zwingende schutzwürdige Gründe nachweisen, die Ihre Interessen, Rechte und Freiheiten überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.

Beschwerderecht

Sie können sich bei einer Datenschutz-Aufsichtsbehörde beschweren (Art. 77 DSGVO), insbesondere in dem Mitgliedstaat Ihres Aufenthaltsorts, Ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes. Für uns zuständig ist [Datenschutz-Aufsichtsbehörde des Bundeslands des Betreibers].

16. Änderungen

Wir passen diese Datenschutzerklärung an, wenn sich unser Dienst oder die Rechtslage ändert. Es gilt die jeweils auf dieser Seite veröffentlichte Fassung.