Stand: Juli 2026 · Gilt für Deutschland und Österreich
Verantwortlich im Sinne der DSGVO (Art. 4 Nr. 7 DSGVO) ist:
[Dein vollständiger Name / Unternehmensname]
[Straße, PLZ, Ort]
[Land]
E-Mail: datenschutz@[DEINE-DOMAIN].de
⚠️ Platzhalter – bitte vor dem Launch mit echten Kontaktdaten ersetzen.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) — ohne diese Daten kann die KI keinen personalisierten Unterricht anbieten.
| Datenart | Speicherort | Zweck | Frist |
|---|---|---|---|
| Profildaten (Vorname, Klasse, Schultyp, Bundesland, Lernziel) | Unsere Datenbank (Supabase, EU) + lokaler Zwischenspeicher (localStorage) | Personalisierter Unterricht, Geräte-Sync | Bis zur Kontolöschung |
| Lernfortschritt (Übungen, Mastery, Lernpläne, Karteikarten) | Supabase (EU) + lokaler Zwischenspeicher | Lernstand fortführen auf jedem Gerät | Bis zur Kontolöschung |
| Persönliche Merk-Fakten (was du Aura freiwillig erzählst) | Supabase (EU) + lokaler Zwischenspeicher | Persönlichere Antworten | Bis du sie löschst |
| Sitzungs-Zusammenfassungen | Supabase (EU) | Eltern-Bericht, Anknüpfen an letzte Stunde | Bis zur Kontolöschung; Aufgaben- und Antworttexte im Aufgaben-Protokoll, die Beschreibung offener Punkte, Aufgabentexte, Hinweise und Lösungen zugewiesener Hausaufgaben sowie die Stichworte zu Schwierigkeiten, Erfolgen und Anknüpfungspunkten für die nächste Stunde werden nach 30 Tagen entfernt; Thema, Ergebnis und Schwierigkeitsgrad bleiben. Die kurze Sitzungs-Zusammenfassung bleibt bis zur Kontolöschung |
| Chat-Nachrichten (Inhalt) | OpenAI (USA) — Antwort-Generierung; Google/Gemini (USA) — Bewertung deiner Antwort (Grader-Zweitmeinung); ElevenLabs (USA) — Sprachausgabe (Text-to-Speech) | KI-Antwort erzeugen, Antwort bewerten, vorlesen | 30 Tage (OpenAI-Richtlinie); bei Google/ElevenLabs gemäß deren jeweiliger Richtlinie |
| Sprachaufnahmen (nur im Sprachmodus, zur Transkription) | Groq (USA), bei Ausfall OpenAI (USA) — nur zur Transkription | Sprache in Text umwandeln | Von uns nicht gespeichert; Aufbewahrung beim jeweiligen Anbieter gemäß dessen Richtlinie |
| Fotos von Aufgaben (nur zur Lösung übermittelt, nicht gespeichert) | OpenAI (USA) — nur zur Bildanalyse | Aufgabe aus Foto lösen | Von uns nicht gespeichert; Aufbewahrung beim Anbieter gemäß dessen Richtlinie (OpenAI: 30 Tage) |
| Chatverlauf auf deinem Gerät (Wiederaufnahme nach Tab-Neuladen) | Nur dein Browser (sessionStorage) | Gespräch nach Neuladen fortsetzen können | Bis der Tab geschlossen wird; Wiederaufnahme nur innerhalb von 60 Minuten |
| Diagnose-Protokolle (Chat-Verlauf, pseudonymisiert: Vorname als Hash) | Supabase (EU) | Fehlerdiagnose, Qualitätssicherung | Automatische Löschung — Chat-Verläufe darin nach 30 Tagen, übrige Diagnose-Einträge nach 90 Tagen |
| Produktanalyse-Events (aggregiert, cookielos) | PostHog (EU) | Stabilität & Produktverbesserung | PostHog-Standardretention |
| Server-Logs | Vercel | Betrieb & Sicherheit | 30 Tage |
| Abo- & Zahlungsdaten | Stripe / Supabase (EU) | Vertragsabwicklung | Gesetzliche Aufbewahrungsfristen |
| Kurze Rückmeldungen im Unterricht (Stimmung, Schwierigkeit per Antwort-Chip) | Supabase (EU) — keine Weitergabe, nicht im Eltern-Bereich sichtbar | Anpassung der Erklärweise in der laufenden Sitzung | 30 Tage (wie Inhaltsdaten) |
Rechtsgrundlagen: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO) für Unterricht, Sync und Abrechnung; berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO) für pseudonymisierte Fehlerdiagnose und cookielose Produktanalyse; für Drittlandtransfers gelten Standardvertragsklauseln (SCCs). Alle Serverdaten sind per Row-Level-Security ausschließlich deinem Konto zugeordnet.
Jede Nachricht, die du an Aura sendest, wird zur Verarbeitung an OpenAI(USA) übermittelt. Dein Vorname und Kontext (Klasse, Schwächen) sind im System-Prompt enthalten, damit Aura personalisiert antworten kann.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) + Standardvertragsklauseln (SCCs) für den Drittlandtransfer.
Wir verwenden deine Gespräche nicht für das Training von KI-Modellen. Zur Fehlerdiagnose speichern wir Gesprächsverläufe pseudonymisiert (dein Vorname wird durch einen nicht rückrechenbaren Hash ersetzt) für maximal 30 Tage in unserer EU-Datenbank — danach werden sie automatisch gelöscht. Details siehe Tabelle in 2.2.
| Anbieter | Zweck | Sitz | Schutzmaßnahme |
|---|---|---|---|
| OpenAI, Inc. | KI-Sprachmodell (gpt-4o), Bildanalyse (Fotos von Aufgaben), Sprachtranskription (Ausfallpfad) | USA | SCCs + DPA |
| Supabase, Inc. | Datenbank (PostgreSQL) | EU (Irland) | EU-Hosting + DPA |
| ElevenLabs, Inc. | Sprachsynthese (TTS) | USA | SCCs + DPA |
| Vercel, Inc. | Hosting & Edge-Netzwerk | USA / EU-Region | SCCs + DPA |
| PostHog, Inc. | Produktanalyse (datensparsam, cookielos) | EU (Frankfurt) | EU-Hosting + DPA |
| Sentry (Functional Software, Inc.) | Fehler-Monitoring (technischer Betrieb) | ⚠️ Region vom Betreiber zu bestätigen (EU de.sentry.io vs. US+SCC) | DPA (SCCs falls US-Region) |
| Stripe, Inc. | Zahlungsabwicklung (Abos) | USA | SCCs + DPA |
| Groq, Inc. | Sprachtranskription (Speech-to-Text im Sprachmodus) | USA | SCCs + DPA |
| Google LLC (Gemini API) | Bewertung von Lösungen (KI-Sprachmodell, Grader-Zweitmeinung) | USA | SCCs + DPA |
| Simli AS | Avatar-Video/-Audio (Streaming) | Norwegen (⚠️ Verarbeitungsregion vom Betreiber zu bestätigen) | DPA (SCCs falls Verarbeitung außerhalb EU/EWR) |
Diese App richtet sich an Schülerinnen und Schüler ab der 5. Klasse (ca. 10 Jahre). Die Verarbeitung zur Bereitstellung der Lernfunktionen erfolgt auf Grundlage des Nutzungsvertrags (Art. 6 Abs. 1 lit. b DSGVO); eine elterliche Einwilligung nach Art. 8 DSGVO ist hierfür nicht erforderlich. Soweit einzelne Funktionen ausnahmsweise auf einer Einwilligung beruhen, holen wir diese bei Nutzern unter 16 Jahren von den Erziehungsberechtigten ein. Kostenpflichtige Abonnements können nur von volljährigen Personen (in der Regel den Eltern) abgeschlossen werden; dies bestätigen wir vor jedem Kauf ausdrücklich. Wir erheben keine besonderen Kategorien personenbezogener Daten (Art. 9 DSGVO) und fragen bewusst kein Geburtsdatum ab (Datenminimierung, Art. 5 Abs. 1 lit. c DSGVO).
Wir nutzen datensparsame, cookielose Produktanalyse (PostHog, EU-Hosting) und Fehler-Monitoring (Sentry) auf Grundlage unseres berechtigten Interesses (Art. 6 Abs. 1 lit. f DSGVO) an der Stabilität, Sicherheit und Verbesserung der Plattform. Es werden keine Tracking-Cookies gesetzt und kein geräteübergreifendes Tracking betrieben. Da unsere Zielgruppe teils minderjährig ist, halten wir die erhobenen Daten bewusst knapp: keine Werbe-IDs, kein Fingerprinting, keine Weitergabe an Dritte zu Marketingzwecken. Der Browser-localStoragewird zusätzlich für die App-Funktion selbst genutzt (z. B. Offline-Zwischenspeicher von Lernfortschritt, siehe Abschnitt 2.2).
Alle Speicherorte und Fristen sind in der Tabelle unter Abschnitt 2.2 zusammengefasst. Kurzfassung: Konto-Daten bis zur Kontolöschung; Diagnose-Protokolle automatisch nach 90 Tagen, Chat-Verläufe darin bereits nach 30 Tagen; OpenAI-Chatverarbeitung 30 Tage; Server-Logs 30 Tage; Analyse-Events gemäß PostHog-Standardretention; Zahlungsdaten nach gesetzlichen Fristen.
Für Fragen zum Datenschutz, zur Auskunft oder zur Löschung aller Daten wende dich an:
datenschutz@[DEINE-DOMAIN].de
Alternativ kannst du in der App unter Profil → Alle Daten löschenalle serverseitig gespeicherten Daten sofort und unwiderruflich löschen.