Datenschutzerklärung

1. Verantwortlicher

StudyClimb ist eine private Lern-App für Familien mit Sitz in Deutschland. Verantwortlicher im Sinne der DSGVO: Name [AUSSTEHEND – vom Betreiber zu ergänzen], Anschrift [AUSSTEHEND – vom Betreiber zu ergänzen], E-Mail fizoid@gmail.com.

Ein Datenschutzbeauftragter ist nach unserem Kenntnisstand nicht benannt.

2. Welche Daten wir verarbeiten

Konto: E-Mail-Adresse, Passwort (nur als Hash beim Anmeldedienst), Anzeigename, Rolle (Elternteil/Kind), Familienzugehörigkeit, Sprache.

Lerndaten: Stundenplan, Prüfungen, Hausaufgaben, Tagebucheinträge zum Unterricht, Lernpläne, Trainings- und Wissenstests, Antworten, Bewertungen, Fortschritt, Lernzeiten.

Uploads: Fotos und Dateien (z. B. Fotos von Hausaufgaben oder Lösungen auf Papier) und Unterrichtsmaterialien.

Optional Google Kalender (nur Eltern): ein verschlüsselt gespeichertes Google-Aktualisierungstoken, die gewählte Kalender-ID und -Name sowie Prüfungstermine, die als Termine in diesen Kalender geschrieben werden.

Technische Daten: Server- und Fehlerprotokolle (z. B. IP-Adresse, Zeitpunkt, aufgerufene Seite, Fehlermeldungen).

3. Sichtbarkeit innerhalb der Familie

Daten eines Kindes sind für die Elternteile derselben Familie sichtbar, damit sie das Lernen begleiten können. Andere Familien haben keinen Zugriff; dies wird serverseitig durch Zugriffsregeln durchgesetzt.

4. Zwecke und Rechtsgrundlagen

Bereitstellung der App, Lernpläne, Übungen und Auswertungen: Art. 6 Abs. 1 lit. b DSGVO (Nutzungsvertrag).

Sicherheit, Missbrauchsabwehr und Fehlerbehebung: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am sicheren Betrieb).

Google-Kalender-Verbindung: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung durch Verbinden; jederzeit durch Trennen widerrufbar).

Daten von Kindern werden unter Aufsicht und mit Zustimmung der Eltern verarbeitet (siehe Abschnitt 9).

Wir nutzen Ihre Daten nicht für Werbung und verkaufen sie nicht.

5. KI-Verarbeitung (OpenAI)

Zum Erstellen von Übungen, Wissenstests, Hinweisen, Bewertungen, Audio und zum Auslesen hochgeladener Fotos sendet unser Server die jeweils nötigen Inhalte (z. B. Thema, Aufgaben, Antworten, Fotos) an die API der OpenAI, L.L.C. bzw. OpenAI Ireland Ltd. Dies geschieht nur serverseitig; Ihr Browser kommuniziert nicht direkt mit OpenAI.

Ob OpenAI API-Daten zum Training nutzt und wie lange sie dort gespeichert werden, richtet sich nach den Bedingungen von OpenAI; ein Auftragsverarbeitungsvertrag: [AUSSTEHEND – vom Betreiber zu ergänzen].

KI-Ergebnisse können fehlerhaft sein; sie sind Lernhilfen, keine Schulnoten.

5a. Google Kalender (optional, nur Eltern)

Status: Die Funktion ist im Code umgesetzt, wird aber erst aktiv, wenn der Betreiber die Google-Anmeldung eingerichtet hat. Bis dahin zeigt die App „noch nicht eingerichtet“ und es fließen keine Daten zu Google Kalender.

Zugriff: Ein Elternteil meldet sich bei Google an und erteilt zwei Berechtigungen: Kalenderliste lesen (calendar.calendarlist.readonly) und Termine bearbeiten (calendar.events). StudyClimb fordert keine Berechtigung zum Anlegen von Kalendern oder Ändern von Freigaben an.

Nutzung: StudyClimb listet nur Kalender, in die das Elternteil schreiben darf; das Elternteil wählt einen Zielkalender. Danach schreibt StudyClimb ausschließlich Prüfungstermine (Datum, Uhrzeit, Fach, Titel, Prüfungsart, Themen) in diesen Kalender und aktualisiert oder löscht nur diese eigenen Termine anhand ihrer festen ID. Inhalte anderer Termine werden nicht gelesen. Hinweis: Die Google-Berechtigung calendar.events würde technisch mehr erlauben; StudyClimb nutzt sie nur wie beschrieben.

Speicherung: Das Google-Aktualisierungstoken wird verschlüsselt (AES-256-GCM) nur auf dem Server gespeichert, dazu Kalender-ID, Kalendername und Synchronisierungsstatus. Kurzlebige Zugriffstoken werden nicht gespeichert.

Weitergabe: Die Termindaten werden an Google übermittelt, soweit das für das gewünschte Eintragen nötig ist, und von unseren technischen Dienstleistern (Abschnitt 6) verarbeitet. Wir verkaufen Google-Daten nicht und geben sie nicht für Werbung an Dritte weiter. Die Nutzung von Google-API-Daten folgt der Google API Services User Data Policy einschließlich der Limited-Use-Anforderungen.

Trennen und Widerruf: „Trennen“ in den Einstellungen widerruft das Token bei Google und löscht es bei uns; danach wird nichts mehr synchronisiert. Bereits erstellte Termine bleiben im Google Kalender und können dort gelöscht werden. Sie können den Zugriff auch unter myaccount.google.com/permissions widerrufen. Wird eine Prüfung in StudyClimb gelöscht, solange die Verbindung besteht, wird ihr Termin auch im Kalender gelöscht.

6. Dienstleister

Datenbank, Anmeldung und Dateispeicher: Supabase Inc. (über Lovable Cloud). Speicherregion: [AUSSTEHEND – vom Betreiber zu ergänzen].

Hosting und Auslieferung der Webanwendung: Lovable (Lovable Labs Incorporated) mit Infrastruktur von Cloudflare, Inc.

Google LLC / Google Ireland Ltd.: Google Kalender (nur bei Verbindung) und Google Fonts. Schriftarten werden beim Laden der Seite von Google-Servern abgerufen; dabei wird Ihre IP-Adresse an Google übermittelt.

OpenAI (siehe Abschnitt 5).

7. Übermittlung in Drittländer

OpenAI, Google, Cloudflare, Supabase und Lovable sind Unternehmen mit Sitz bzw. Konzernsitz in den USA; eine Verarbeitung in den USA ist daher möglich.

Grundlage der Übermittlung (z. B. EU-US Data Privacy Framework oder Standardvertragsklauseln) je Anbieter: [AUSSTEHEND – vom Betreiber zu ergänzen].

8. Speicherdauer und Löschung

Daten werden gespeichert, solange das Konto bzw. die Familie besteht. Eltern können einzelne Prüfungen und Inhalte löschen; zur Löschung des gesamten Kontos wenden Sie sich an die Kontaktadresse oben.

Feste Löschfristen für Protokolle und Sicherungskopien: [AUSSTEHEND – vom Betreiber zu ergänzen].

Beim Trennen von Google Kalender wird das gespeicherte Token gelöscht; bereits angelegte Kalendertermine bleiben in Ihrem Google-Konto.

9. Kinder

StudyClimb ist für Schulkinder unter Aufsicht ihrer Eltern gedacht. Kinderkonten werden einer Familie durch einen Elternteil (Einladungscode) zugeordnet. Bei Kindern unter 16 Jahren ist die Zustimmung der Eltern erforderlich.

10. Ihre Rechte

Sie haben das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch (Art. 15–21 DSGVO) sowie auf Widerruf einer Einwilligung mit Wirkung für die Zukunft.

Sie können sich bei einer Datenschutz-Aufsichtsbehörde beschweren, z. B. der Behörde Ihres Bundeslandes.

11. Cookies und lokale Speicherung

Wir verwenden technisch notwendige Speicherung im Browser (Anmeldesitzung, Spracheinstellung, ein-/ausgeblendete Hinweise). Werbe- oder Analyse-Tracking haben wir nicht eingebunden; daher gibt es keinen Cookie-Banner.

12. Impressum

Ob für diese private, nicht kommerzielle Familien-App eine Anbieterkennzeichnung nach § 5 DDG erforderlich ist, wird vom Betreiber geprüft: [AUSSTEHEND – vom Betreiber zu ergänzen].