Datenschutzerklärung

1Verantwortlicher

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:

CONFIDO Commerce & Services GbR
San-Vincenzo-Bogen 4
84347 Pfarrkirchen
Deutschland

Vertreten durch: Carsten Conrad
Telefon: +49 151 29067573
E-Mail: kontakt@scooly.dev

2Datenschutzkontakt

Für Fragen zum Datenschutz sowie zur Ausübung von Datenschutzrechten kann die E-Mail-Adresse kontakt@scooly.dev verwendet werden.

Interner Ansprechpartner für Datenschutzfragen ist Elias Conrad. Ein betrieblicher Datenschutzbeauftragter ist derzeit nicht benannt.

3Zuständige Aufsichtsbehörde

Betroffene Personen können sich bei einer Datenschutzaufsichtsbehörde beschweren. Für unseren Unternehmenssitz ist voraussichtlich zuständig:

Bayerisches Landesamt für Datenschutzaufsicht (BayLDA)
Promenade 18
91522 Ansbach
Deutschland
www.lda.bayern.de

Das Recht, sich an eine andere nach Art. 77 DSGVO zuständige Aufsichtsbehörde zu wenden, bleibt unberührt.

4Überblick über Scooly

Scooly ist eine KI-gestützte Lernhilfe für Schülerinnen und Schüler. Der Dienst unterstützt insbesondere bei der Organisation von Stundenplänen, Hausaufgaben und Prüfungen, der Verarbeitung von Lernmaterialien, der Erstellung von Lernplänen, Lernsessions, Quizzen und Karteikarten sowie durch einen KI-Chat.

Scooly trifft keine Entscheidungen über Noten, Versetzungen, Prüfungen oder offizielle Nachteilsausgleiche und ersetzt keine Lehrkraft. KI-Ausgaben können fehlerhaft sein und müssen von Nutzern geprüft werden.

5Mindestalter und Daten von Minderjährigen

Scooly ist für Personen ab 13 Jahren vorgesehen. Bei der Registrierung wird das Alter abgefragt. Konten für Personen unter 13 Jahren werden nicht zugelassen.

Kostenpflichtige Abonnements dürfen Minderjährige nicht ohne die erforderliche Zustimmung ihrer gesetzlichen Vertreter abschließen. Der kostenpflichtige Vertrag soll durch eine volljährige Person, regelmäßig ein Elternteil, abgeschlossen werden.

6Aufruf der Website und Serverprotokolle

Beim Aufruf unserer Website und App verarbeiten unsere Systeme und Hostinganbieter technisch erforderliche Verbindungsdaten. Dazu können insbesondere gehören:

• IP-Adresse,
• Datum und Uhrzeit des Zugriffs,
• aufgerufene URL,
• Referrer-URL,
• Browser- und Geräteinformationen,
• Betriebssystem,
• HTTP-Statuscode,
• technische Fehler- und Sicherheitsinformationen.

Die Verarbeitung ist erforderlich, um Website und App auszuliefern, ihre Stabilität und Sicherheit zu gewährleisten und Missbrauch abzuwehren. Rechtsgrundlage ist Art. 6 Abs. 1 Buchst. f DSGVO. Unser berechtigtes Interesse liegt im sicheren und zuverlässigen Betrieb von Scooly.

7Registrierung und Nutzerkonto

Bei der Registrierung verarbeiten wir insbesondere:

• Vor- und Nachname,
• E-Mail-Adresse,
• verschlüsseltes beziehungsweise gehashtes Passwort,
• angegebene Altersinformation,
• Zeitpunkt und Version der akzeptierten AGB,
• Kenntnisnahme der Datenschutzerklärung,
• optional die Einwilligung in E-Mail-Neuigkeiten,
• technische Konto- und Sitzungsdaten.

Diese Daten werden verarbeitet, um das Nutzerkonto einzurichten, den Zugang zu sichern, den Vertrag zu erfüllen und Erklärungen nachzuweisen. Rechtsgrundlage ist Art. 6 Abs. 1 Buchst. b DSGVO; für gesetzliche Nachweis- und Aufbewahrungspflichten Art. 6 Abs. 1 Buchst. c DSGVO. Soweit eine Einwilligung erteilt wird, ist Art. 6 Abs. 1 Buchst. a DSGVO Rechtsgrundlage.

Die Authentifizierung wird technisch über Supabase bereitgestellt.

In der App für iPhone und iPad kann die Registrierung über „Mit Apple anmelden“ erfolgen. Apple übermittelt uns dann eine Kennung, den Namen und die E-Mail-Adresse. Apple ist für seine eigene Verarbeitung eigenständig verantwortlich. Eine verborgene Weiterleitungsadresse („Hide My Email“) wird derzeit nicht angeboten; wir erhalten die beim Apple-Konto hinterlegte Adresse. Rechtsgrundlage ist Art. 6 Abs. 1 Buchst. b DSGVO.

Beim Anlegen und beim Ändern eines Passworts wird geprüft, ob das gewählte Passwort in bekannten Datenlecks vorkommt. Dazu wird der Dienst „Have I Been Pwned“ (Pwned Passwords) abgefragt. Das Passwort selbst wird dabei nicht übertragen: Übermittelt werden lediglich die ersten fünf Zeichen seines SHA-1-Prüfwerts; der Abgleich der zurückgegebenen Liste findet auf unserem Server statt (Verfahren der k-Anonymität). Ein Personenbezug entsteht dabei nicht, da weder das Passwort noch Konto- oder Gerätedaten übermittelt werden. Rechtsgrundlage ist Art. 6 Abs. 1 Buchst. f DSGVO; unser berechtigtes Interesse liegt darin, die Übernahme von Konten durch bekannte, geleakte Passwörter zu verhindern. Ist der Dienst nicht erreichbar, unterbleibt die Prüfung und die Registrierung läuft normal weiter.

8Schul- und Lernprofil

Nutzer können Angaben hinterlegen, die Scooly zur Anpassung der Lernunterstützung verwendet. Dazu können insbesondere Klasse oder Jahrgang, Schulform, Bundesland, Fächer, Lernpräferenzen und gewünschte Antwortform gehören.

Die Verarbeitung erfolgt zur Bereitstellung der vom Nutzer gewünschten Personalisierung und damit zur Vertragserfüllung gemäß Art. 6 Abs. 1 Buchst. b DSGVO. Freiwillige Angaben können in den Einstellungen geändert oder gelöscht werden.

9Stundenpläne, Hausaufgaben und Prüfungen

Scooly verarbeitet vom Nutzer eingegebene oder hochgeladene Stundenpläne, Fächer, Hausaufgaben, Unterrichtstermine, Prüfungstermine, Stoffpläne, Aufgabenstatus und zugeordnete Lernmaterialien. Die Daten dienen dazu, Termine vorzuschlagen, Aufgaben zu organisieren, Erinnerungen auszulösen und passende Lernschritte zu erstellen.

Rechtsgrundlage ist Art. 6 Abs. 1 Buchst. b DSGVO.

Automatisch erkannte Aufgaben und Termine werden als Vorschläge dargestellt und vor der endgültigen Speicherung vom Nutzer bestätigt oder korrigiert.

10Fotos, PDFs und andere Uploads

Nutzer können insbesondere Fotos, Arbeitsblätter, Tafelbilder, Hefteinträge, Terminlisten, Stoffpläne und PDF-Dateien hochladen. Dabei können Dateiinhalte, Dateiname, Dateityp, Dateigröße und technische Metadaten verarbeitet werden. Die Inhalte werden analysiert, um Aufgaben, Termine und Lernstoff zu erkennen und die gewünschten Lernfunktionen bereitzustellen.

Rechtsgrundlage ist Art. 6 Abs. 1 Buchst. b DSGVO.

Nutzer dürfen grundsätzlich nur Inhalte hochladen, zu deren Nutzung sie berechtigt sind. Sie sollen unnötige Angaben über andere Personen vermeiden und insbesondere keine sensiblen Daten über Mitschüler, Lehrkräfte oder sonstige Dritte hochladen.

11Chat, Lernsessions, Quizze und Karteikarten

Wir verarbeiten Chatnachrichten, Aufgaben, Antworten, verwendete Hilfestufen, Quiz- und Karteikarteninhalte, Lernsessions und daraus abgeleitete Lernbeobachtungen. Dies ermöglicht kontextbezogene Antworten, die Anpassung der Schwierigkeit und die Anzeige des Lernfortschritts.

Rechtsgrundlage ist Art. 6 Abs. 1 Buchst. b DSGVO. Die daraus gewonnenen Lernbeobachtungen dienen ausschließlich der Lernunterstützung. Sie sind keine Noten, Diagnosen oder verbindlichen Leistungsprognosen.

Nutzer können Inhalte und Lernangaben berichtigen oder löschen.

12Nachteilsausgleich und Gesundheitsdaten

Nutzer können freiwillig auswählen, dass Scooly seine Antwortweise an Angaben wie Lese-Rechtschreib-Schwäche, Rechenschwäche, ADHS oder Autismus anpasst. Solche Angaben können Gesundheitsdaten im Sinne von Art. 9 DSGVO sein.

Die Auswahl ist freiwillig und nicht erforderlich, um Scooly grundsätzlich zu nutzen. Eine Auswahl wird erst gespeichert, nachdem der Nutzer ausdrücklich in die Verarbeitung für den konkret beschriebenen Zweck eingewilligt hat. Rechtsgrundlagen sind Art. 6 Abs. 1 Buchst. a und Art. 9 Abs. 2 Buchst. a DSGVO.

Die Einwilligung kann jederzeit in den Einstellungen mit Wirkung für die Zukunft widerrufen werden. Nach dem Widerruf wird die betreffende Angabe gelöscht und nicht mehr zur Personalisierung oder für KI-Anfragen verwendet. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt.

13KI-Verarbeitung

Scooly verwendet Sprachmodelle, die bei der IONOS SE in einem deutschen Rechenzentrum betrieben werden (Standort de-txl, Berlin). Eingesetzt werden derzeit Mistral Small 24B für Text- und Aufgabenverarbeitung sowie zwei Modelle zum Ablesen von Handschrift. Die Verarbeitung von Text-, Aufgaben- und Handschriftinhalten findet damit innerhalb der Europäischen Union statt; eine Übermittlung an einen Anbieter in einem Drittland erfolgt hierfür nicht. Für die Sprachausgabe („Vorlesen"), das Diktieren und die Suche im Internet gilt Abweichendes; siehe die folgenden Absätze. Je nach Funktion können Eingaben, ausgewählte Kontextinformationen, extrahierte Inhalte aus Uploads sowie bisherige Lern- oder Chatinformationen an den KI-Dienst übermittelt werden, soweit dies für die angeforderte Funktion erforderlich ist. Dazu gehören auch Fotos handschriftlicher Seiten, wenn die Funktion zum Ablesen von Handschrift genutzt wird.

Eine Verwendung für eigene Werbeprofile findet nicht statt. Scooly trainiert kein eigenes KI-Modell mit den Nutzerdaten.

Rechtsgrundlage der für die gewünschte Funktion erforderlichen Übermittlung ist Art. 6 Abs. 1 Buchst. b DSGVO. Soweit Gesundheitsdaten einbezogen werden, ist zusätzlich eine wirksame ausdrückliche Einwilligung nach Art. 9 Abs. 2 Buchst. a DSGVO erforderlich.

Es werden die für die jeweilige Anfrage und die gewählte Personalisierung erforderlichen Informationen verarbeitet.

Sprachausgabe („Vorlesen")

Wenn die Funktion „Vorlesen" genutzt wird, wird der vorzulesende Text an OpenAI übermittelt und dort in eine Sprachaufnahme umgewandelt (Modell gpt-4o-mini-tts). Übermittelt werden der vorzulesende Text sowie die gewählte Stimme; der Text kann Lerninhalte und Antworten aus der Anwendung enthalten. Übermittelt wird ausschließlich der Text - kein Name, keine Konto-Kennung, keine Gerätekennung und keine sonstige dauerhafte Kennung. Die Aufnahme wird an das Gerät zurückgegeben und nicht gespeichert. Die Funktion wird ausschließlich auf ausdrückliche Auslösung hin genutzt und ist Teil der kostenpflichtigen Tarife.

Ebenfalls über OpenAI läuft die Spracherkennung („Sprechen", Modell gpt-4o-mini-transcribe), bei der eine Tonaufnahme in Text umgewandelt wird.

Diktieren in der Eingabezeile

Das Diktieren in der Eingabezeile nutzt OpenAI nicht. Es verwendet die Spracherkennung des Betriebssystems. Die App verlangt dabei, dass die Erkennung auf dem Gerät stattfindet, sofern das Gerät das unterstützt; in diesem Fall verlässt die Aufnahme das Gerät nicht, und es wird auch keine Aufnahme bei uns gespeichert.

Unterstützt ein Gerät die Erkennung auf dem Gerät nicht (zum Beispiel, weil das deutsche Sprachpaket dort nicht verfügbar ist), führt das Betriebssystem die Erkennung über die Server von Apple durch. In diesem Fall wird die Tonaufnahme an Apple übermittelt. Empfänger ist dann Apple Inc. bzw. Apple Distribution International Ltd.; Apple ist hierfür eigenständig verantwortlich und verarbeitet die Aufnahme nach den eigenen Datenschutzbestimmungen. Auf diesen Weg haben wir keinen Einfluss; eine Verarbeitung ausserhalb der Europäischen Union ist dabei nicht ausgeschlossen (siehe Abschnitt 23).

Wer nicht diktiert, löst keine Erkennung aus. Rechtsgrundlage ist Art. 6 Abs. 1 Buchst. b DSGVO.

Empfänger ist OpenAI, L.L.C., 1455 3rd Street, San Francisco, CA 94158, USA, sowie verbundene Unternehmen und Unterauftragnehmer. Eine Verarbeitung findet dabei auch in den Vereinigten Staaten statt; es handelt sich um eine Drittlandübermittlung im Sinne der Art. 44 ff. DSGVO (siehe Abschnitt 23). Es besteht ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO. Nach den Angaben des Anbieters werden über die Programmierschnittstelle übermittelte Inhalte nicht zum Training seiner Modelle verwendet.

Rechtsgrundlage ist Art. 6 Abs. 1 Buchst. b DSGVO, soweit die Funktion zur Erfüllung des Nutzungsvertrages erforderlich ist. Wer die Sprachausgabe nicht nutzt, löst keine Übermittlung an OpenAI aus.

Suche im Internet

Der Chat kann auf deine Frage hin im offenen Internet nachschlagen. Dazu wird eine aus deiner Frage gebildete Suchanfrage an Tavily Inc., USA übermittelt, die dort ausgeführt und mit Fundstellen beantwortet wird. Übermittelt wird nur die Suchanfrage - nicht dein Name, nicht deine Konto-Kennung, nicht deine Hausaufgaben und nicht dein hochgeladenes Material. Es handelt sich um eine Drittlandübermittlung im Sinne der Art. 44 ff. DSGVO (siehe Abschnitt 23). Rechtsgrundlage ist Art. 6 Abs. 1 Buchst. b DSGVO.

14Zahlungen und Abonnements

Welcher Zahlungsdienstleister Daten verarbeitet, hängt davon ab, auf welchem Weg das Abonnement abgeschlossen wird. Pro und Max sind auf beiden Wegen erhältlich. Das Scooly-Konto ist dasselbe; die Zahlungsdaten bleiben beim jeweiligen Anbieter.

Website und Mac-App. Für Abonnements, die auf der Website oder in der Mac-App abgeschlossen werden, nutzen wir Stripe zur Zahlungsabwicklung und zur Verwaltung des Kundenportals. Dabei können insbesondere Name, E-Mail-Adresse, Rechnungsdaten, Zahlungsdaten, Transaktionsdaten, Abo-Status, Steuerinformationen und Betrugspräventionsdaten verarbeitet werden. Vollständige Kartendaten werden grundsätzlich unmittelbar von Stripe verarbeitet und nicht von Scooly gespeichert.

Empfänger ist Stripe Payments Europe, Limited, 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, Irland, sowie gegebenenfalls verbundene Stripe-Unternehmen und Unterauftragnehmer.

Rechtsgrundlagen sind Art. 6 Abs. 1 Buchst. b DSGVO zur Vertrags- und Zahlungsabwicklung sowie Art. 6 Abs. 1 Buchst. c DSGVO für steuer- und handelsrechtliche Pflichten. Maßnahmen zur Betrugs- und Missbrauchsprävention können auf Art. 6 Abs. 1 Buchst. f DSGVO beruhen.

Stripe kann Daten teilweise in Drittländern verarbeiten. Weitere Informationen stellt Stripe in seinen Datenschutzhinweisen bereit.

App Store (iPhone und iPad). Wird das Abonnement in der App für iPhone oder iPad über den App Store abgeschlossen, ist Apple Distribution International Ltd., Cork, Vertragspartner für Zahlung, Rechnung, Widerruf und Kündigung. Apple ist für die dortige Verarbeitung eigenständig verantwortlich. Den Abo-Status verarbeitet RevenueCat (RevenueCat, Inc., USA) in unserem Auftrag, damit das Konto den gekauften Tarif erhält. Kartendaten aus dem App Store erreichen uns nicht.

Rechtsgrundlagen sind Art. 6 Abs. 1 Buchst. b DSGVO zur Vertragserfüllung sowie Art. 6 Abs. 1 Buchst. c DSGVO für steuer- und handelsrechtliche Pflichten. Weitere Informationen stellt Apple in seinen Datenschutzhinweisen bereit.

15Vertrags- und Abrechnungsunterlagen

Vertragsbestätigungen, Rechnungen, Zahlungsnachweise und steuerrechtlich relevante Daten werden entsprechend den gesetzlichen Aufbewahrungspflichten gespeichert. Rechtsgrundlage ist Art. 6 Abs. 1 Buchst. c DSGVO.

16E-Mails über Resend

Wir verwenden Resend zum Versand von transaktionalen E-Mails, insbesondere zur Registrierung, Kontobestätigung, Passwortwiederherstellung und gegebenenfalls für funktionsbezogene Benachrichtigungen. Dabei werden insbesondere E-Mail-Adresse, Nachrichteninhalt, Versandzeitpunkt, Zustellstatus und technische Versandinformationen verarbeitet.

Empfänger ist Resend, Inc. Weitere Informationen stellt Resend in seinen Datenschutzhinweisen bereit.

Rechtsgrundlage ist Art. 6 Abs. 1 Buchst. b DSGVO, soweit die E-Mail zur Bereitstellung des Kontos oder Dienstes erforderlich ist. Sicherheits- und Zustellprotokolle können auf Art. 6 Abs. 1 Buchst. f DSGVO beruhen.

17Newsletter und Produktneuigkeiten

Bei der Registrierung kann freiwillig eingewilligt werden, gelegentlich Neuigkeiten zu Scooly per E-Mail zu erhalten. Rechtsgrundlage ist Art. 6 Abs. 1 Buchst. a DSGVO.

Die Einwilligung kann jederzeit über einen Abmeldelink oder per E-Mail an kontakt@scooly.dev widerrufen werden. Der Widerruf berührt nicht die Rechtmäßigkeit der Verarbeitung vor dem Widerruf.

18Hosting über Vercel

Die Website und Teile der Anwendung werden über Vercel bereitgestellt. Vercel verarbeitet dabei insbesondere Verbindungs-, Auslieferungs-, Sicherheits- und Fehlerdaten.

Empfänger: Vercel Inc., 340 S Lemon Ave #4133, Walnut, CA 91789, USA.
Rechtsgrundlage ist Art. 6 Abs. 1 Buchst. f DSGVO. Unser berechtigtes Interesse liegt im sicheren, performanten und zuverlässigen Betrieb des Dienstes.

Vercel Analytics wird nicht eingesetzt. Zur Produktanalyse verwenden wir PostHog, betrieben über die europäische Instanz des Anbieters (eu.i.posthog.com, Rechenzentrum in der Europäischen Union). Erhoben werden Nutzungsereignisse wie aufgerufene Bereiche, genutzte Funktionen und technische Rahmendaten, um Fehler zu finden und den Dienst zu verbessern.

Die Produktanalyse ist einwilligungsbedürftig und wird erst nach Zustimmung im Cookie-Hinweis aktiviert; die Zustimmung kann jederzeit mit Wirkung für die Zukunft widerrufen werden. Rechtsgrundlage ist Art. 6 Abs. 1 Buchst. a DSGVO. Eine Auswertung zu Werbeprofilen findet nicht statt, und Inhalte von Lernmaterialien werden nicht zu Analysezwecken übermittelt.

19Backend, Datenbank und Authentifizierung über Supabase

Scooly nutzt Supabase für Authentifizierung und Backend-Funktionen. Dabei werden Konto-, Inhalts-, Datei-, Sitzungs- und technische Protokolldaten verarbeitet.

Empfänger ist Supabase, Inc. Weitere Informationen stellt Supabase in seinen Datenschutzhinweisen bereit.

Rechtsgrundlage ist für die Bereitstellung des Nutzerkontos und der angeforderten Funktionen Art. 6 Abs. 1 Buchst. b DSGVO; für Sicherheitsprotokolle Art. 6 Abs. 1 Buchst. f DSGVO.

20Cookies und lokale Speicherung

Scooly setzt technisch notwendige Cookies beziehungsweise vergleichbare Speichertechniken ein, insbesondere zur sicheren Anmeldung, Sitzungsverwaltung, Betrugsabwehr und Speicherung erforderlicher Einstellungen.

Die Speicherung beziehungsweise der Zugriff auf dem Endgerät erfolgt, soweit unbedingt erforderlich, auf Grundlage von § 25 Abs. 2 Nr. 2 TDDDG. Die anschließende Verarbeitung personenbezogener Daten beruht je nach Zweck auf Art. 6 Abs. 1 Buchst. b oder f DSGVO.

Ein Cookie zu Marketingzwecken wird eingesetzt: der Empfehlungs-Cookie scooly_ref des Empfehlungsprogramms. Er wird nur gesetzt, wenn im Cookie-Hinweis in die Kategorie „Marketing: Empfehlungslinks“ eingewilligt wurde, und läuft nach 30 Tagen ab. Einzelheiten dazu in Abschnitt 21.

Darüber hinaus werden keine Werbe- oder Marketingcookies eingesetzt. Es findet kein Tracking über fremde Websites hinweg, keine Erstellung von Werbeprofilen und keine Weitergabe an Werbenetzwerke statt.

Zur Produktanalyse wird PostHog eingesetzt (siehe Abschnitt 18). Diese Messung ist einwilligungsbedürftig, wird erst nach Zustimmung im Cookie-Hinweis aktiviert und erfasst dann auch aufgerufene Bereiche der Anwendung. Ohne Zustimmung findet sie nicht statt.

21Empfehlungsprogramm (Empfehlungslinks)

Scooly hat ein Empfehlungsprogramm. Wer daran teilnimmt, erhält einen eigenen Empfehlungslink der Form scooly.dev/r/ gefolgt von seinem Empfehlungscode und einen Anteil an den Zahlungen der Personen, die über diesen Link zu Scooly gekommen sind. Dieser Abschnitt beschreibt, was dabei über die geworbene Person verarbeitet wird - also über diejenige Person, die auf einen solchen Link klickt. Sie muss vom Programm nichts wissen und nimmt daran nicht teil.

Beim Klick auf den Empfehlungslink. Der Aufruf von scooly.dev/r/… leitet auf eine Seite von Scooly weiter und hängt den Empfehlungscode an die Adresse an (?ref=…). Zusätzlich kann der Code in einem eigenen Cookie mit dem Namen scooly_ref gespeichert werden. Dieser Cookie enthält ausschließlich den Empfehlungscode, ist für JavaScript nicht auslesbar, wird nicht an Drittanbieter übermittelt und läuft nach 30 Tagen ab.

Das Speichern dieses Cookies erfolgt nur, wenn im Cookie-Hinweis in die Kategorie „Marketing: Empfehlungslinks“ eingewilligt wurde. Rechtsgrundlage für das Speichern auf dem Endgerät ist § 25 Abs. 1 TDDDG, für die anschließende Verarbeitung Art. 6 Abs. 1 Buchst. a DSGVO. Die Einwilligung ist freiwillig und kann jederzeit mit Wirkung für die Zukunft über „Cookie-Einstellungen“ im Seitenfuß zurückgenommen werden.

Ohne diese Einwilligung funktioniert der Link weiter. Der Empfehlungscode steht dann in der Adresse der aufgerufenen Seite und wird bis zum Absenden des Registrierungsformulars mitgeführt. Wer im selben Besuch ein Konto anlegt, wird also auch ohne Cookie zugeordnet. Verlässt die Person die Seite und kehrt später zurück, entfällt die Zuordnung ersatzlos.

Bei der Registrierung. Liegt zu diesem Zeitpunkt ein Empfehlungscode vor, speichert Scooly eine Zuordnungszeile mit der Kennung des empfehlenden Teilnehmers, der Kennung des neuen Kontos, dem Zeitpunkt und der Angabe, ob der Code aus der Adresse oder aus dem Cookie stammte. Sie ist die Grundlage dafür, eine spätere Zahlung dem richtigen Empfehlenden zuzurechnen. Rechtsgrundlage ist Art. 6 Abs. 1 Buchst. f DSGVO; unser berechtigtes Interesse liegt darin, die vereinbarte Vergütung gegenüber den Teilnehmenden des Programms korrekt und nachvollziehbar abrechnen zu können.

Was der Empfehlende erfährt. Er erfährt nicht, wer über seinen Link gekommen ist: Name, E-Mail-Adresse und Kontokennung werden ihm nicht angezeigt. Sichtbar sind für ihn der Zeitpunkt der Registrierung, ob der Code aus der Adresse oder aus dem Cookie stammte, ob inzwischen ein kostenpflichtiges Abonnement besteht und welcher Betrag daraus für ihn entstanden ist.

Speicherdauer. Der Cookie scooly_ref läuft nach 30 Tagen ab. Eine Zuordnung führt nur dann zu einer Vergütung, wenn die erste Zahlung innerhalb von zwölf Monaten nach der Registrierung erfolgt. Die Zuordnungszeile ist mit dem Nutzerkonto verknüpft und wird mit dessen Löschung gelöscht. Für Provisions- und Auszahlungsunterlagen gelten die gesetzlichen Aufbewahrungsfristen (siehe Abschnitt 24).

Widerspruchsrecht. Soweit die Verarbeitung auf Art. 6 Abs. 1 Buchst. f DSGVO beruht, besteht nach Art. 21 Abs. 1 DSGVO das Recht, ihr aus Gründen der besonderen Situation jederzeit zu widersprechen. Eine Nachricht an kontakt@scooly.dev genügt; die Zuordnungszeile wird dann gelöscht. Die Nutzung von Scooly ist davon nicht berührt.

22Empfänger und Auftragsverarbeiter

Personenbezogene Daten erhalten nur diejenigen internen Personen und Dienstleister, die sie zur Erfüllung ihrer Aufgaben benötigen. Derzeit gehören hierzu insbesondere:

• Vercel für Hosting und Auslieferung; die Anwendung wird in der Region Frankfurt am Main ausgeführt,
• Supabase für Authentifizierung, Backend, Datenbank und Dateispeicherung; die Daten liegen in der Region Frankfurt am Main,
• IONOS SE für die KI-Verarbeitung von Text, Aufgaben und Handschrift; Rechenzentrum in Deutschland,
• OpenAI für die Sprachausgabe („Vorlesen") und die Spracherkennung; Verarbeitung auch in den Vereinigten Staaten,
• Tavily Inc. für die Suche im Internet aus dem Chat heraus; übermittelt wird nur die Suchanfrage; Verarbeitung in den Vereinigten Staaten,
• Apple für die Spracherkennung beim Diktieren, soweit das Gerät die Erkennung auf dem Gerät nicht unterstützt (eigenständig verantwortlich, siehe Abschnitt 13),
• Google Ireland Ltd. bei Nutzung der Anmeldung mit Google; übermittelt werden die für die Anmeldung erforderlichen Angaben (eigenständig verantwortlich),
• PostHog für die Produktanalyse; europäische Instanz des Anbieters,
• Sentry (Functional Software, Inc.) für Absturz- und Fehlerberichte der App und des Servers; die Verarbeitung findet in der europäischen Region des Anbieters statt. Übermittelt werden Fehlerart, Aufrufliste, Fassung der App und Gerätemodell - keine Lerninhalte, keine Eingaben, keine Nutzerkennung und keine Bildschirmfotos,
• Resend für E-Mail-Versand,
• Stripe für Zahlung und Abonnementverwaltung auf der Website und in der Mac-App,
• Apple Distribution International Ltd. für Zahlung und Abonnementverwaltung über den App Store (eigenständig verantwortlich),
• RevenueCat für den Abo-Status von App-Store-Käufen,
• Have I Been Pwned (Pwned Passwords) für den Abgleich gewählter Passwörter gegen bekannte Datenlecks; übermittelt werden nur fünf Zeichen eines Prüfwerts, keine personenbezogenen Daten (siehe Abschnitt 7).

Wir schließen erforderliche Verträge zur Auftragsverarbeitung und prüfen die eingesetzten Unterauftragnehmer.

23Drittlandübermittlungen

Einige Anbieter oder deren Unterauftragnehmer können Daten außerhalb der Europäischen Union und des Europäischen Wirtschaftsraums, insbesondere in den USA, verarbeiten. Dazu gehören OpenAI für die Sprachausgabe und die Spracherkennung (siehe Abschnitt 13), Tavily Inc. für die Suche im Internet, RevenueCat für den Abo-Status von App-Store-Käufen sowie - soweit ein Gerät die Erkennung auf dem Gerät nicht unterstützt - Apple für die Spracherkennung beim Diktieren. Die Fehlerberichte bei Sentry werden in der europäischen Region gespeichert; ein Zugriff durch die US-amerikanische Muttergesellschaft zu Wartungs- und Supportzwecken ist nicht ausgeschlossen. Eine Übermittlung erfolgt nur, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind, etwa aufgrund eines Angemessenheitsbeschlusses, einer gültigen Zertifizierung nach dem EU-US Data Privacy Framework oder geeigneter Garantien wie EU-Standardvertragsklauseln.

24Speicherdauer

Wir speichern personenbezogene Daten nur so lange, wie dies für den jeweiligen Zweck erforderlich ist oder gesetzliche Pflichten bestehen.

• Kontodaten: bis zur Löschung des Kontos beziehungsweise Vertragsbeendigung, soweit keine Aufbewahrungspflicht entgegensteht.
• Lern- und Inhaltsdaten: bis zur Löschung durch den Nutzer oder des Kontos.
• Gesundheitsangaben: bis zum Widerruf der Einwilligung, zur Löschung der Angabe oder des Kontos.
• Vertrags- und Zahlungsunterlagen: entsprechend den gesetzlichen Aufbewahrungsfristen.
• Newsletter-Nachweisdaten: solange die Einwilligung genutzt wird und darüber hinaus, soweit dies zum Nachweis erforderlich ist.
• Server-, Sicherheits- und Fehlerprotokolle: solange sie für Betrieb, Sicherheit und Fehlerbehebung erforderlich sind.
• Absturz- und Fehlerberichte bei Sentry: 90 Tage ab Eingang, danach automatische Löschung.
• Original-Uploads: bis zur Löschung durch den Nutzer oder des Kontos, soweit sie nicht bereits zuvor funktionsbedingt gelöscht werden.
• Empfehlungs-Cookie scooly_ref: 30 Tage ab dem Klick auf den Empfehlungslink.
• Zuordnung einer Registrierung zu einem Empfehlungslink: bis zur Löschung des Kontos oder bis zu einem Widerspruch nach Abschnitt 21.
• Backups: bis zur planmäßigen Überschreibung im Rahmen der Sicherungszyklen.

Bei Kontolöschung werden die aktiv gespeicherten personenbezogenen Konto- und Inhaltsdaten gelöscht oder gesperrt. Daten in Sicherungskopien werden im Rahmen des festgelegten Backup-Zyklus überschrieben und bis dahin nicht mehr produktiv verwendet.

25Automatisierte Entscheidungen

Scooly trifft keine ausschließlich automatisierten Entscheidungen, die gegenüber Nutzern rechtliche Wirkung entfalten oder sie in ähnlich erheblicher Weise beeinträchtigen. Lernstandseinschätzungen und Empfehlungen sind unverbindliche Hilfen und können korrigiert oder zurückgesetzt werden. Sie werden nicht für Notenentscheidungen verwendet.

26Datensicherheit

Wir treffen angemessene technische und organisatorische Maßnahmen zum Schutz personenbezogener Daten. Dazu gehören insbesondere verschlüsselte Datenübertragung, Zugriffsbeschränkungen, geschützte Zugangsdaten, rollenbezogene Zugriffe, Sicherungsmaßnahmen und die Auswahl geeigneter Dienstleister.

Kein internetbasierter Dienst kann absolute Sicherheit garantieren. Sicherheitsmaßnahmen werden regelmäßig überprüft und an Risiken sowie den Stand der Technik angepasst.

27Rechte betroffener Personen

Betroffene Personen haben nach Maßgabe der gesetzlichen Voraussetzungen insbesondere das Recht auf:

• Auskunft nach Art. 15 DSGVO,
• Berichtigung nach Art. 16 DSGVO,
• Löschung nach Art. 17 DSGVO,
• Einschränkung der Verarbeitung nach Art. 18 DSGVO,
• Datenübertragbarkeit nach Art. 20 DSGVO,
• Widerspruch nach Art. 21 DSGVO,
• Widerruf erteilter Einwilligungen nach Art. 7 Abs. 3 DSGVO,
• Beschwerde bei einer Aufsichtsbehörde nach Art. 77 DSGVO.

Anfragen können an kontakt@scooly.dev gerichtet werden. Zum Schutz der Nutzerdaten können wir einen geeigneten Nachweis der Identität oder Vertretungsberechtigung verlangen.

28Lösch- und Elternanfragen

Angemeldete Nutzer können ihr Konto und gespeicherte Daten über die vorgesehenen Einstellungen verwalten oder löschen. Zusätzlich können Nutzer und, soweit rechtlich befugt, Sorgeberechtigte Anfragen per E-Mail stellen.

Bei Anfragen eines Sorgeberechtigten prüfen wir die Identität, die Sorgeberechtigung und die Rechte des betroffenen Kindes. Eine bloße Behauptung der Elternstellung genügt nicht automatisch, um Zugang zu privaten Lern- oder Chatdaten zu erhalten.

29Änderungen dieser Datenschutzerklärung

Wir passen diese Datenschutzerklärung an, wenn sich Funktionen, Dienstleister, Datenverarbeitungen oder die Rechtslage ändern. Die jeweils aktuelle Fassung ist auf der Website abrufbar. Bei wesentlichen Änderungen informieren wir registrierte Nutzer in geeigneter Weise.