Stand: Juli 2026 · Gilt für Deutschland und Österreich
Verantwortlich im Sinne der DSGVO (Art. 4 Nr. 7 DSGVO) ist:
[Dein vollständiger Name / Unternehmensname]
[Straße, PLZ, Ort]
[Land]
E-Mail: datenschutz@[DEINE-DOMAIN].de
⚠️ Platzhalter – bitte vor dem Launch mit echten Kontaktdaten ersetzen.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) — ohne diese Daten kann die KI keinen personalisierten Unterricht anbieten.
| Datenart | Speicherort | Zweck | Frist |
|---|---|---|---|
| Profildaten (Vorname, Klasse, Schultyp, Bundesland, Lernziel) | Unsere Datenbank (Supabase, EU) + lokaler Zwischenspeicher (localStorage) | Personalisierter Unterricht, Geräte-Sync | Bis zur Kontolöschung |
| Lernfortschritt (Übungen, Mastery, Lernpläne, Karteikarten) | Supabase (EU) + lokaler Zwischenspeicher | Lernstand fortführen auf jedem Gerät | Bis zur Kontolöschung |
| Persönliche Merk-Fakten (was du Aura freiwillig erzählst) | Supabase (EU) + lokaler Zwischenspeicher | Persönlichere Antworten | Bis du sie löschst |
| Sitzungs-Zusammenfassungen | Supabase (EU) | Eltern-Bericht, Anknüpfen an letzte Stunde | Bis zur Kontolöschung |
| Chat-Nachrichten (Inhalt) | OpenAI (USA) — nur zur Antwort-Generierung | KI-Antwort erzeugen | 30 Tage (OpenAI-Richtlinie) |
| Diagnose-Protokolle (Chat-Verlauf, pseudonymisiert: Vorname als Hash) | Supabase (EU) | Fehlerdiagnose, Qualitätssicherung | Automatische Löschung nach 90 Tagen |
| Produktanalyse-Events (aggregiert, cookielos) | PostHog (EU) | Stabilität & Produktverbesserung | PostHog-Standardretention |
| Server-Logs | Vercel | Betrieb & Sicherheit | 30 Tage |
| Abo- & Zahlungsdaten | Stripe / Supabase (EU) | Vertragsabwicklung | Gesetzliche Aufbewahrungsfristen |
Rechtsgrundlagen: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO) für Unterricht, Sync und Abrechnung; berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO) für pseudonymisierte Fehlerdiagnose und cookielose Produktanalyse; für Drittlandtransfers gelten Standardvertragsklauseln (SCCs). Alle Serverdaten sind per Row-Level-Security ausschließlich deinem Konto zugeordnet.
Jede Nachricht, die du an Aura sendest, wird zur Verarbeitung an OpenAI(USA) übermittelt. Dein Vorname und Kontext (Klasse, Schwächen) sind im System-Prompt enthalten, damit Aura personalisiert antworten kann.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) + Standardvertragsklauseln (SCCs) für den Drittlandtransfer.
Wir verwenden deine Gespräche nicht für das Training von KI-Modellen. Zur Fehlerdiagnose speichern wir Gesprächsverläufe pseudonymisiert (dein Vorname wird durch einen nicht rückrechenbaren Hash ersetzt) für maximal 90 Tage in unserer EU-Datenbank — danach werden sie automatisch gelöscht. Details siehe Tabelle in 2.2.
| Anbieter | Zweck | Sitz | Schutzmaßnahme |
|---|---|---|---|
| OpenAI, Inc. | KI-Sprachmodell (gpt-4o) | USA | SCCs + DPA |
| Supabase, Inc. | Datenbank (PostgreSQL) | EU (Irland) | EU-Hosting + DPA |
| ElevenLabs, Inc. | Sprachsynthese (TTS) | USA | SCCs + DPA |
| Vercel, Inc. | Hosting & Edge-Netzwerk | USA / EU-Region | SCCs + DPA |
| PostHog, Inc. | Produktanalyse (datensparsam, cookielos) | EU (Frankfurt) | EU-Hosting + DPA |
| Sentry (Functional Software, Inc.) | Fehler-Monitoring (technischer Betrieb) | ⚠️ Region vom Betreiber zu bestätigen (EU de.sentry.io vs. US+SCC) | DPA (SCCs falls US-Region) |
| Stripe, Inc. | Zahlungsabwicklung (Abos) | USA | SCCs + DPA |
Diese App richtet sich an Schülerinnen und Schüler ab der 5. Klasse (ca. 10 Jahre). Nutzer unter 16 Jahren benötigen zur Nutzung die Zustimmung ihrer Erziehungsberechtigten. Wir erheben keine besonderen Kategorien personenbezogener Daten (Art. 9 DSGVO).
Wir nutzen datensparsame, cookielose Produktanalyse (PostHog, EU-Hosting) und Fehler-Monitoring (Sentry) auf Grundlage unseres berechtigten Interesses (Art. 6 Abs. 1 lit. f DSGVO) an der Stabilität, Sicherheit und Verbesserung der Plattform. Es werden keine Tracking-Cookies gesetzt und kein geräteübergreifendes Tracking betrieben. Da unsere Zielgruppe teils minderjährig ist, halten wir die erhobenen Daten bewusst knapp: keine Werbe-IDs, kein Fingerprinting, keine Weitergabe an Dritte zu Marketingzwecken. Der Browser-localStoragewird zusätzlich für die App-Funktion selbst genutzt (z. B. Offline-Zwischenspeicher von Lernfortschritt, siehe Abschnitt 2.2).
Alle Speicherorte und Fristen sind in der Tabelle unter Abschnitt 2.2 zusammengefasst. Kurzfassung: Konto-Daten bis zur Kontolöschung; Diagnose-Protokolle automatisch nach 90 Tagen; OpenAI-Chatverarbeitung 30 Tage; Server-Logs 30 Tage; Analyse-Events gemäß PostHog-Standardretention; Zahlungsdaten nach gesetzlichen Fristen.
Für Fragen zum Datenschutz, zur Auskunft oder zur Löschung aller Daten wende dich an:
datenschutz@[DEINE-DOMAIN].de
Alternativ kannst du in der App unter Profil → Alle Daten löschenalle serverseitig gespeicherten Daten sofort und unwiderruflich löschen.