2. Datenschutzerklärung

1. Verantwortlicher

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:

CONFIDO Commerce & Services GbR
San-Vincenzo-Bogen 4
84347 Pfarrkirchen
Deutschland

Vertreten durch: Carsten Conrad
Telefon: +49 151 29067573
E-Mail: kontakt@scooly.dev

2. Datenschutzkontakt

Für Fragen zum Datenschutz sowie zur Ausübung von Datenschutzrechten kann die E-Mail-Adresse kontakt@scooly.dev verwendet werden.

Interner Ansprechpartner für Datenschutzfragen ist Elias Conrad. Ein betrieblicher Datenschutzbeauftragter ist derzeit nicht benannt.

3. Zuständige Aufsichtsbehörde

Betroffene Personen können sich bei einer Datenschutzaufsichtsbehörde beschweren. Für unseren Unternehmenssitz ist voraussichtlich zuständig:

Bayerisches Landesamt für Datenschutzaufsicht (BayLDA)
Promenade 18
91522 Ansbach
Deutschland
www.lda.bayern.de

Das Recht, sich an eine andere nach Art. 77 DSGVO zuständige Aufsichtsbehörde zu wenden, bleibt unberührt.

4. Überblick über Scooly

Scooly ist eine KI-gestützte Lernhilfe für Schülerinnen und Schüler. Der Dienst unterstützt insbesondere bei der Organisation von Stundenplänen, Hausaufgaben und Prüfungen, der Verarbeitung von Lernmaterialien, der Erstellung von Lernplänen, Fokus-Sessions, Quizzen und Karteikarten sowie durch einen KI-Chat.

Scooly trifft keine Entscheidungen über Noten, Versetzungen, Prüfungen oder offizielle Nachteilsausgleiche und ersetzt keine Lehrkraft. KI-Ausgaben können fehlerhaft sein und müssen von Nutzern geprüft werden.

5. Mindestalter und Daten von Minderjährigen

Scooly ist für Personen ab 13 Jahren vorgesehen. Bei der Registrierung wird das Alter abgefragt. Konten für Personen unter 13 Jahren werden nicht zugelassen.

Kostenpflichtige Abonnements dürfen Minderjährige nicht ohne die erforderliche Zustimmung ihrer gesetzlichen Vertreter abschließen. Der kostenpflichtige Vertrag soll durch eine volljährige Person, regelmäßig ein Elternteil, abgeschlossen werden.

6. Aufruf der Website und Serverprotokolle

Beim Aufruf unserer Website und App verarbeiten unsere Systeme und Hostinganbieter technisch erforderliche Verbindungsdaten. Dazu können insbesondere gehören:

IP-Adresse,
Datum und Uhrzeit des Zugriffs,
aufgerufene URL,
Referrer-URL,
Browser- und Geräteinformationen,
Betriebssystem,
HTTP-Statuscode,
technische Fehler- und Sicherheitsinformationen.

Die Verarbeitung ist erforderlich, um Website und App auszuliefern, ihre Stabilität und Sicherheit zu gewährleisten und Missbrauch abzuwehren. Rechtsgrundlage ist Art. 6 Abs. 1 Buchst. f DSGVO. Unser berechtigtes Interesse liegt im sicheren und zuverlässigen Betrieb von Scooly.

7. Registrierung und Nutzerkonto

Bei der Registrierung verarbeiten wir insbesondere:

Vor- und Nachname,
E-Mail-Adresse,
verschlüsseltes beziehungsweise gehashtes Passwort,
angegebene Altersinformation,
Zeitpunkt und Version der akzeptierten AGB,
Kenntnisnahme der Datenschutzerklärung,
optional die Einwilligung in E-Mail-Neuigkeiten,
technische Konto- und Sitzungsdaten.

Diese Daten werden verarbeitet, um das Nutzerkonto einzurichten, den Zugang zu sichern, den Vertrag zu erfüllen und Erklärungen nachzuweisen. Rechtsgrundlage ist Art. 6 Abs. 1 Buchst. b DSGVO; für gesetzliche Nachweis- und Aufbewahrungspflichten Art. 6 Abs. 1 Buchst. c DSGVO. Soweit eine Einwilligung erteilt wird, ist Art. 6 Abs. 1 Buchst. a DSGVO Rechtsgrundlage.

Die Authentifizierung wird technisch über Supabase bereitgestellt.

Beim Anlegen und beim Ändern eines Passworts wird geprüft, ob das gewählte Passwort in bekannten Datenlecks vorkommt. Dazu wird der Dienst „Have I Been Pwned“ (Pwned Passwords) abgefragt. Das Passwort selbst wird dabei nicht übertragen: Übermittelt werden lediglich die ersten fünf Zeichen seines SHA-1-Prüfwerts; der Abgleich der zurückgegebenen Liste findet auf unserem Server statt (Verfahren der k-Anonymität). Ein Personenbezug entsteht dabei nicht, da weder das Passwort noch Konto- oder Gerätedaten übermittelt werden. Rechtsgrundlage ist Art. 6 Abs. 1 Buchst. f DSGVO; unser berechtigtes Interesse liegt darin, die Übernahme von Konten durch bekannte, geleakte Passwörter zu verhindern. Ist der Dienst nicht erreichbar, unterbleibt die Prüfung und die Registrierung läuft normal weiter.

8. Schul- und Lernprofil

Nutzer können Angaben hinterlegen, die Scooly zur Anpassung der Lernunterstützung verwendet. Dazu können insbesondere Klasse oder Jahrgang, Schulform, Bundesland, Fächer, Lernpräferenzen und gewünschte Antwortform gehören.

Die Verarbeitung erfolgt zur Bereitstellung der vom Nutzer gewünschten Personalisierung und damit zur Vertragserfüllung gemäß Art. 6 Abs. 1 Buchst. b DSGVO. Freiwillige Angaben können in den Einstellungen geändert oder gelöscht werden.

9. Stundenpläne, Hausaufgaben und Prüfungen

Scooly verarbeitet vom Nutzer eingegebene oder hochgeladene Stundenpläne, Fächer, Hausaufgaben, Unterrichtstermine, Prüfungstermine, Stoffpläne, Aufgabenstatus und zugeordnete Lernmaterialien. Die Daten dienen dazu, Termine vorzuschlagen, Aufgaben zu organisieren, Erinnerungen auszulösen und passende Lernschritte zu erstellen.

Rechtsgrundlage ist Art. 6 Abs. 1 Buchst. b DSGVO.

Automatisch erkannte Aufgaben und Termine werden als Vorschläge dargestellt und vor der endgültigen Speicherung vom Nutzer bestätigt oder korrigiert.

10. Fotos, PDFs und andere Uploads

Nutzer können insbesondere Fotos, Arbeitsblätter, Tafelbilder, Hefteinträge, Terminlisten, Stoffpläne und PDF-Dateien hochladen. Dabei können Dateiinhalte, Dateiname, Dateityp, Dateigröße und technische Metadaten verarbeitet werden. Die Inhalte werden analysiert, um Aufgaben, Termine und Lernstoff zu erkennen und die gewünschten Lernfunktionen bereitzustellen.

Rechtsgrundlage ist Art. 6 Abs. 1 Buchst. b DSGVO.

Nutzer dürfen grundsätzlich nur Inhalte hochladen, zu deren Nutzung sie berechtigt sind. Sie sollen unnötige Angaben über andere Personen vermeiden und insbesondere keine sensiblen Daten über Mitschüler, Lehrkräfte oder sonstige Dritte hochladen.

11. Chat, Fokus-Sessions, Quizze und Karteikarten

Wir verarbeiten Chatnachrichten, Aufgaben, Antworten, verwendete Hilfestufen, Quiz- und Karteikarteninhalte, Fokus-Sessions und daraus abgeleitete Lernbeobachtungen. Dies ermöglicht kontextbezogene Antworten, die Anpassung der Schwierigkeit und die Anzeige des Lernfortschritts.

Rechtsgrundlage ist Art. 6 Abs. 1 Buchst. b DSGVO. Die daraus gewonnenen Lernbeobachtungen dienen ausschließlich der Lernunterstützung. Sie sind keine Noten, Diagnosen oder verbindlichen Leistungsprognosen.

Nutzer können Inhalte und Lernangaben berichtigen oder löschen.

12. Nachteilsausgleich und Gesundheitsdaten

Nutzer können freiwillig auswählen, dass Scooly seine Antwortweise an Angaben wie Lese-Rechtschreib-Schwäche, Rechenschwäche, ADHS oder Autismus anpasst. Solche Angaben können Gesundheitsdaten im Sinne von Art. 9 DSGVO sein.

Die Auswahl ist freiwillig und nicht erforderlich, um Scooly grundsätzlich zu nutzen. Eine Auswahl wird erst gespeichert, nachdem der Nutzer ausdrücklich in die Verarbeitung für den konkret beschriebenen Zweck eingewilligt hat. Rechtsgrundlagen sind Art. 6 Abs. 1 Buchst. a und Art. 9 Abs. 2 Buchst. a DSGVO.

Die Einwilligung kann jederzeit in den Einstellungen mit Wirkung für die Zukunft widerrufen werden. Nach dem Widerruf wird die betreffende Angabe gelöscht und nicht mehr zur Personalisierung oder für KI-Anfragen verwendet. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt.

13. KI-Verarbeitung in Deutschland

Scooly verwendet Sprachmodelle, die bei der IONOS SE in einem deutschen Rechenzentrum betrieben werden (Standort de-txl, Berlin). Eingesetzt werden derzeit Mistral Small 24B für Text- und Aufgabenverarbeitung sowie zwei Modelle zum Ablesen von Handschrift. Die Verarbeitung findet damit innerhalb der Europäischen Union statt; eine Übermittlung an einen Anbieter in einem Drittland erfolgt für die KI-Verarbeitung nicht. Je nach Funktion können Eingaben, ausgewählte Kontextinformationen, extrahierte Inhalte aus Uploads sowie bisherige Lern- oder Chatinformationen an den KI-Dienst übermittelt werden, soweit dies für die angeforderte Funktion erforderlich ist. Dazu gehören auch Fotos handschriftlicher Seiten, wenn die Funktion zum Ablesen von Handschrift genutzt wird.

Eine Verwendung für eigene Werbeprofile findet nicht statt. Scooly trainiert kein eigenes KI-Modell mit den Nutzerdaten.

Rechtsgrundlage der für die gewünschte Funktion erforderlichen Übermittlung ist Art. 6 Abs. 1 Buchst. b DSGVO. Soweit Gesundheitsdaten einbezogen werden, ist zusätzlich eine wirksame ausdrückliche Einwilligung nach Art. 9 Abs. 2 Buchst. a DSGVO erforderlich.

Es werden die für die jeweilige Anfrage und die gewählte Personalisierung erforderlichen Informationen verarbeitet.

14. Zahlungen und Abonnements über Stripe

Für Scooly Pro nutzen wir Stripe zur Zahlungsabwicklung und Verwaltung des Kundenportals. Dabei können insbesondere Name, E-Mail-Adresse, Rechnungsdaten, Zahlungsdaten, Transaktionsdaten, Abo-Status, Steuerinformationen und Betrugspräventionsdaten verarbeitet werden. Vollständige Kartendaten werden grundsätzlich unmittelbar von Stripe verarbeitet und nicht von Scooly gespeichert.

Empfänger ist Stripe Payments Europe, Limited, 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, Irland, sowie gegebenenfalls verbundene Stripe-Unternehmen und Unterauftragnehmer.

Rechtsgrundlagen sind Art. 6 Abs. 1 Buchst. b DSGVO zur Vertrags- und Zahlungsabwicklung sowie Art. 6 Abs. 1 Buchst. c DSGVO für steuer- und handelsrechtliche Pflichten. Maßnahmen zur Betrugs- und Missbrauchsprävention können auf Art. 6 Abs. 1 Buchst. f DSGVO beruhen.

Stripe kann Daten teilweise in Drittländern verarbeiten. Weitere Informationen stellt Stripe in seinen Datenschutzhinweisen bereit.

15. Vertrags- und Abrechnungsunterlagen

Vertragsbestätigungen, Rechnungen, Zahlungsnachweise und steuerrechtlich relevante Daten werden entsprechend den gesetzlichen Aufbewahrungspflichten gespeichert. Rechtsgrundlage ist Art. 6 Abs. 1 Buchst. c DSGVO.

16. E-Mails über Resend

Wir verwenden Resend zum Versand von transaktionalen E-Mails, insbesondere zur Registrierung, Kontobestätigung, Passwortwiederherstellung und gegebenenfalls für funktionsbezogene Benachrichtigungen. Dabei werden insbesondere E-Mail-Adresse, Nachrichteninhalt, Versandzeitpunkt, Zustellstatus und technische Versandinformationen verarbeitet.

Empfänger ist Resend, Inc. Weitere Informationen stellt Resend in seinen Datenschutzhinweisen bereit.

Rechtsgrundlage ist Art. 6 Abs. 1 Buchst. b DSGVO, soweit die E-Mail zur Bereitstellung des Kontos oder Dienstes erforderlich ist. Sicherheits- und Zustellprotokolle können auf Art. 6 Abs. 1 Buchst. f DSGVO beruhen.

Bei der Registrierung kann freiwillig eingewilligt werden, gelegentlich Neuigkeiten zu Scooly per E-Mail zu erhalten. Rechtsgrundlage ist Art. 6 Abs. 1 Buchst. a DSGVO.

Die Einwilligung kann jederzeit über einen Abmeldelink oder per E-Mail an kontakt@scooly.dev widerrufen werden. Der Widerruf berührt nicht die Rechtmäßigkeit der Verarbeitung vor dem Widerruf.

18. Hosting über Vercel

Die Website und Teile der Anwendung werden über Vercel bereitgestellt. Vercel verarbeitet dabei insbesondere Verbindungs-, Auslieferungs-, Sicherheits- und Fehlerdaten.

Empfänger: Vercel Inc., 340 S Lemon Ave #4133, Walnut, CA 91789, USA.
Rechtsgrundlage ist Art. 6 Abs. 1 Buchst. f DSGVO. Unser berechtigtes Interesse liegt im sicheren, performanten und zuverlässigen Betrieb des Dienstes.

Vercel Analytics wird nicht eingesetzt. Zur Produktanalyse verwenden wir PostHog, betrieben über die europäische Instanz des Anbieters (eu.i.posthog.com, Rechenzentrum in der Europäischen Union). Erhoben werden Nutzungsereignisse wie aufgerufene Bereiche, genutzte Funktionen und technische Rahmendaten, um Fehler zu finden und den Dienst zu verbessern.

Die Produktanalyse ist einwilligungsbedürftig und wird erst nach Zustimmung im Cookie-Hinweis aktiviert; die Zustimmung kann jederzeit mit Wirkung für die Zukunft widerrufen werden. Rechtsgrundlage ist Art. 6 Abs. 1 Buchst. a DSGVO. Eine Auswertung zu Werbeprofilen findet nicht statt, und Inhalte von Lernmaterialien werden nicht zu Analysezwecken übermittelt.

Für die Reichweitenmessung der öffentlichen Website setzen wir zusätzlich DataFast (datafa.st) ein. Erhoben werden Aufrufe einzelner Seiten sowie technische Rahmendaten wie Herkunftsseite, ungefährer Standort auf Länderebene, Gerätetyp und Browser. Zweck ist ausschließlich die Frage, über welche Wege Besucherinnen und Besucher zu Scooly finden.

DataFast läuft nur auf den öffentlichen Seiten. Im angemeldeten Bereich wird es nicht geladen: Dort geht es nicht mehr um die Reichweite, sondern um die Nutzung durch eine bestimmte Person, und dafür verwenden wir keine externe Messung. Auch DataFast wird erst nach Zustimmung im Cookie-Hinweis geladen; ohne Zustimmung gelangt das Skript nicht auf die Seite. Rechtsgrundlage ist Art. 6 Abs. 1 Buchst. a DSGVO.

19. Backend, Datenbank und Authentifizierung über Supabase

Scooly nutzt Supabase für Authentifizierung und Backend-Funktionen. Dabei werden Konto-, Inhalts-, Datei-, Sitzungs- und technische Protokolldaten verarbeitet.

Empfänger ist Supabase, Inc. Weitere Informationen stellt Supabase in seinen Datenschutzhinweisen bereit.

Rechtsgrundlage ist für die Bereitstellung des Nutzerkontos und der angeforderten Funktionen Art. 6 Abs. 1 Buchst. b DSGVO; für Sicherheitsprotokolle Art. 6 Abs. 1 Buchst. f DSGVO.

20. Cookies und lokale Speicherung

Scooly setzt technisch notwendige Cookies beziehungsweise vergleichbare Speichertechniken ein, insbesondere zur sicheren Anmeldung, Sitzungsverwaltung, Betrugsabwehr und Speicherung erforderlicher Einstellungen.

Die Speicherung beziehungsweise der Zugriff auf dem Endgerät erfolgt, soweit unbedingt erforderlich, auf Grundlage von § 25 Abs. 2 Nr. 2 TDDDG. Die anschließende Verarbeitung personenbezogener Daten beruht je nach Zweck auf Art. 6 Abs. 1 Buchst. b oder f DSGVO.

Werbe- und Marketingcookies werden nicht eingesetzt. Es findet kein Tracking zu Werbezwecken und keine Weitergabe an Werbenetzwerke statt.

Zur Produktanalyse wird PostHog eingesetzt, zur Reichweitenmessung der öffentlichen Website zusätzlich DataFast (beide siehe Abschnitt 18). Beide Messungen sind einwilligungsbedürftig und werden erst nach Zustimmung im Cookie-Hinweis aktiviert. Ohne Zustimmung findet keine von beiden statt.

21. Empfänger und Auftragsverarbeiter

Personenbezogene Daten erhalten nur diejenigen internen Personen und Dienstleister, die sie zur Erfüllung ihrer Aufgaben benötigen. Derzeit gehören hierzu insbesondere:

Vercel für Hosting und Auslieferung; die Anwendung wird in der Region Frankfurt am Main ausgeführt,
Supabase für Authentifizierung, Backend, Datenbank und Dateispeicherung; die Daten liegen in der Region Frankfurt am Main,
IONOS SE für die KI-Verarbeitung; Rechenzentrum in Deutschland,
PostHog für die Produktanalyse; europäische Instanz des Anbieters,
Resend für E-Mail-Versand,
Stripe für Zahlung und Abonnementverwaltung,
Have I Been Pwned (Pwned Passwords) für den Abgleich gewählter Passwörter gegen bekannte Datenlecks; übermittelt werden nur fünf Zeichen eines Prüfwerts, keine personenbezogenen Daten (siehe Abschnitt 7).

Wir schließen erforderliche Verträge zur Auftragsverarbeitung und prüfen die eingesetzten Unterauftragnehmer.

22. Drittlandübermittlungen

Einige Anbieter oder deren Unterauftragnehmer können Daten außerhalb der Europäischen Union und des Europäischen Wirtschaftsraums, insbesondere in den USA, verarbeiten. Eine Übermittlung erfolgt nur, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind, etwa aufgrund eines Angemessenheitsbeschlusses, einer gültigen Zertifizierung nach dem EU-US Data Privacy Framework oder geeigneter Garantien wie EU-Standardvertragsklauseln.

23. Speicherdauer

Wir speichern personenbezogene Daten nur so lange, wie dies für den jeweiligen Zweck erforderlich ist oder gesetzliche Pflichten bestehen.

Kontodaten: bis zur Löschung des Kontos beziehungsweise Vertragsbeendigung, soweit keine Aufbewahrungspflicht entgegensteht.
Lern- und Inhaltsdaten: bis zur Löschung durch den Nutzer oder des Kontos.
Gesundheitsangaben: bis zum Widerruf der Einwilligung, zur Löschung der Angabe oder des Kontos.
Vertrags- und Zahlungsunterlagen: entsprechend den gesetzlichen Aufbewahrungsfristen.
Newsletter-Nachweisdaten: solange die Einwilligung genutzt wird und darüber hinaus, soweit dies zum Nachweis erforderlich ist.
Server-, Sicherheits- und Fehlerprotokolle: solange sie für Betrieb, Sicherheit und Fehlerbehebung erforderlich sind.
Original-Uploads: bis zur Löschung durch den Nutzer oder des Kontos, soweit sie nicht bereits zuvor funktionsbedingt gelöscht werden.
Backups: bis zur planmäßigen Überschreibung im Rahmen der Sicherungszyklen.

Bei Kontolöschung werden die aktiv gespeicherten personenbezogenen Konto- und Inhaltsdaten gelöscht oder gesperrt. Daten in Sicherungskopien werden im Rahmen des festgelegten Backup-Zyklus überschrieben und bis dahin nicht mehr produktiv verwendet.

24. Automatisierte Entscheidungen

Scooly trifft keine ausschließlich automatisierten Entscheidungen, die gegenüber Nutzern rechtliche Wirkung entfalten oder sie in ähnlich erheblicher Weise beeinträchtigen. Lernstandseinschätzungen und Empfehlungen sind unverbindliche Hilfen und können korrigiert oder zurückgesetzt werden. Sie werden nicht für Notenentscheidungen verwendet.

25. Datensicherheit

Wir treffen angemessene technische und organisatorische Maßnahmen zum Schutz personenbezogener Daten. Dazu gehören insbesondere verschlüsselte Datenübertragung, Zugriffsbeschränkungen, geschützte Zugangsdaten, rollenbezogene Zugriffe, Sicherungsmaßnahmen und die Auswahl geeigneter Dienstleister.

Kein internetbasierter Dienst kann absolute Sicherheit garantieren. Sicherheitsmaßnahmen werden regelmäßig überprüft und an Risiken sowie den Stand der Technik angepasst.

26. Rechte betroffener Personen

Betroffene Personen haben nach Maßgabe der gesetzlichen Voraussetzungen insbesondere das Recht auf:

Auskunft nach Art. 15 DSGVO,
Berichtigung nach Art. 16 DSGVO,
Löschung nach Art. 17 DSGVO,
Einschränkung der Verarbeitung nach Art. 18 DSGVO,
Datenübertragbarkeit nach Art. 20 DSGVO,
Widerspruch nach Art. 21 DSGVO,
Widerruf erteilter Einwilligungen nach Art. 7 Abs. 3 DSGVO,
Beschwerde bei einer Aufsichtsbehörde nach Art. 77 DSGVO.

Anfragen können an kontakt@scooly.dev gerichtet werden. Zum Schutz der Nutzerdaten können wir einen geeigneten Nachweis der Identität oder Vertretungsberechtigung verlangen.

27. Lösch- und Elternanfragen

Angemeldete Nutzer können ihr Konto und gespeicherte Daten über die vorgesehenen Einstellungen verwalten oder löschen. Zusätzlich können Nutzer und, soweit rechtlich befugt, Sorgeberechtigte Anfragen per E-Mail stellen.

Bei Anfragen eines Sorgeberechtigten prüfen wir die Identität, die Sorgeberechtigung und die Rechte des betroffenen Kindes. Eine bloße Behauptung der Elternstellung genügt nicht automatisch, um Zugang zu privaten Lern- oder Chatdaten zu erhalten.

28. Änderungen dieser Datenschutzerklärung

Wir passen diese Datenschutzerklärung an, wenn sich Funktionen, Dienstleister, Datenverarbeitungen oder die Rechtslage ändern. Die jeweils aktuelle Fassung ist auf der Website abrufbar. Bei wesentlichen Änderungen informieren wir registrierte Nutzer in geeigneter Weise.