Datenschutzerklärung

Diese Erklärung beschreibt, welche personenbezogenen Daten AbiDash verarbeitet, zu welchem Zweck und auf welcher Rechtsgrundlage. Sie gilt für die Website und die Web-App inklusive der Installation als PWA.

1. Verantwortlicher

Ein Datenschutzbeauftragter ist nicht bestellt. Zuständige Aufsichtsbehörde ist der Hessische Beauftragte für Datenschutz und Informationsfreiheit, Gustav-Stresemann-Ring 1, 65189 Wiesbaden, datenschutz.hessen.de.

2. Welche Daten wir verarbeiten

Konto und Profil

Bei der Registrierung speichern wir E-Mail-Adresse, Passwort-Hash (kein Klartextpasswort) und den angegebenen Namen. Optional meldest du dich über Google an; dann erhalten wir von Google die für die Anmeldung nötige Kennung sowie in der Regel Name und E-Mail. Im Profil hinterlegst du Bundesland, Schulform (G8/G9), Klassenstufe, Abiturjahrgang und Lernstreak.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Nutzung des Dienstes).

Transaktionsmails (Resend)

Bestätigung der E-Mail, erneutes Senden des Links und ähnliche Anmelde-Mails verschickt Supabase über Resend (Resend, Inc., USA). Dafür gehen Empfängeradresse, Zeitpunkt und der Inhalt der Mail an Resend. Der Versand für die Domain abidash.de läuft in der Region Irland (eu-west-1). Wir setzen kein Open- oder Klick-Tracking. Resend kann als US-Unternehmen Plattform-Logs trotzdem auch außerhalb der EU verarbeiten.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Ohne diese Mail kannst du ein Konto per E-Mail nicht bestätigen. Transfer in die USA: Angemessenheitsbeschluss EU-US Data Privacy Framework sowie Standardvertragsklauseln im Auftragsverarbeitungsvertrag.

Lerninhalte

Gespeichert werden von dir erzeugte Handouts als HTML, Lernkarten, Wiederholungsprotokolle (Bewertung und Zeitpunkt), Noten (in Punkten), Klausurtermine und optional ein öffentlicher Share-Token, damit du ein Handout per Link teilen kannst. Das Originalfoto oder -PDF speichern wir nicht dauerhaft - nur den Dateinamen zur Orientierung. Große Dateien liegen kurz in einem privaten Objektspeicher bei Supabase (EU), nur für die Umwandlung, und werden danach gelöscht. Kleinere Uploads bleiben nur im Arbeitsspeicher der jeweiligen Anfrage. Um Missbrauch der KI zu begrenzen, zählen wir Erzeugungen (Handouts je nach Plan pro Woche oder Tag, Quizze pro Tag; Wochenstart Montag, Europe/Berlin).

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

Geteilte Handouts

Wenn du den Teilen-Link kopierst, ist das Blatt unter einer öffentlichen Adresse /h/… ohne Login lesbar - für alle, die den Token kennen. Angezeigt werden Titel, Inhalt und höchstens der Vorname aus dem Profil, kein Nachname, keine E-Mail. Die Seiten sind für Suchmaschinen auf noindex gesetzt. Wer den Link hat, kann das Handout lesen; du kannst das Teilen beenden, indem du das Handout löschst.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Funktion, die du auslöst).

Warteliste

Wenn du dich für Pro oder Ultra vormerkst, speichern wir die gewählte Stufe und den Zeitpunkt an deinem Konto - keine extra E-Mail, keine Zahlungsdaten.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

KI-Umwandlung (Google Vertex AI)

Wenn du ein Foto oder PDF hochlädst oder frische Quizfragen erzeugt werden, geht der Inhalt an Google Vertex AI (Gemini) in der Region EU-Location eu (Verarbeitung in der EU, unter anderem Frankfurt am Main). Die Datei dient nur der Umwandlung in ein Handout bzw. in Lernkarten. Nach der Anfrage löschen wir das Original. Google sieht den Inhalt während der Verarbeitung. Die Auftragsverarbeitungsverträge (DPAs) mit Google Cloud sind geschlossen; nach den geltenden Bedingungen werden diese Inhalte nicht zum Training der Modelle verwendet. Google LLC hat ihren Sitz in den USA.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Ohne diese Übermittlung kann der Kern des Dienstes nicht erbracht werden.

Hosting der Website (Vercel)

Die Website und die Serverless-Funktionen (Anmeldung, Generate, Cron) hostet Vercel Inc., USA. Die Funktionen laufen in der Region Frankfurt (fra1). Vercel speichert unsere App-Datenbank nicht: Konten, Handouts und Karten liegen bei Supabase in der EU. Vercel ist kein dauerhafter EU-Speicher. Cache und Funktionsantworten in der EU sind nach Angaben von Vercel nur kurzzeitig. Plattformdaten des Hosters (unter anderem IP-Adresse für Betrieb und DDoS-Schutz, aufgerufene URL, User-Agent, Deploy- und Server-Logs) kann Vercel als US-Unternehmen auch in den USA verarbeiten. Ein Aufruf der Seite kommt ohne solche technischen Daten nicht aus.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO für den Betrieb der App, Art. 6 Abs. 1 lit. f DSGVO für Sicherheit und Missbrauchsabwehr. Transfer in die USA: Angemessenheitsbeschluss EU-US Data Privacy Framework (Vercel ist zertifiziert) sowie Standardvertragsklauseln im Auftragsverarbeitungsvertrag.

Technische Daten und Analytics

Zusätzlich zu den Hoster-Logs setzen wir Vercel Analytics (Seitenaufrufe) und PostHog Cloud EU (Frankfurt) ein: Interaktionsereignisse (zum Beispiel Upload gestartet, Handout erzeugt, Quiz bewertet, Link geteilt) - ohne Dateiinhalte, ohne E-Mail, ohne Namen und ohne Werbeprofil. Bist du angemeldet, verknüpfen wir die Ereignisse mit einer gehashten internen Konto-ID. PostHog speichert die Produktdaten im EU-Cluster, ohne Tracking-Cookies (nur Sitzungsspeicher). IP-Adressen werden gekürzt verarbeitet. Vercel Analytics läuft über denselben US-Anbieter wie das Hosting.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO, soweit du zustimmst Art. 6 Abs. 1 lit. a DSGVO. Vercel Analytics und PostHog starten erst nach deiner Einwilligung im Banner bzw. in den Einstellungen.

Zahlungen (geplant)

AbiDash ist derzeit kostenlos. Ein Abo über Stripe ist vorgesehen. Sobald es live geht, verarbeitet Stripe Zahlungsdaten in eigener Verantwortlichkeit; wir speichern dann den Abo-Status, keine vollständigen Kartendaten. Bis dahin findet keine Zahlungsverarbeitung statt.

3. Cookies und lokale Speicherung

Wir setzen nur ein, was für den Betrieb nötig ist:

• Session-Cookies von Supabase Auth, damit du eingeloggt bleibst
• Die Darstellung (Hell/Dunkel/System) im lokalen Speicher deines Browsers (localStorage)
• Eine kurzfristige Zwischenspeicherung der gewählten Datei in IndexedDB, damit der Upload vom Dashboard zum Generator nicht verloren geht
• Optional: ein Push-Abo auf diesem Gerät (Streak- und Klausur-Erinnerungen), nur nach deiner ausdrücklichen Erlaubnis in der installierten App. Das Abo liegt in unserer Datenbank und kann in den Einstellungen gelöscht werden.

Session-Cookies für die Anmeldung sind für den Betrieb nötig (Art. 6 Abs. 1 lit. b DSGVO). Vercel Analytics und PostHog starten erst, nachdem du im Banner zugestimmt hast. Die Wahl speichern wir auf diesem Gerät und du kannst sie in den Einstellungen ändern.

4. Empfänger und Auftragsverarbeitung

Die Auftragsverarbeitungsverträge (DPAs) mit allen Dienstleistern sind aktiv.

• PostHog Inc. (Product Analytics, EU-Cloud Frankfurt). Datenschutzerklärung
• Vercel Inc. (Hosting der Website und Functions in Frankfurt; Analytics; Plattform-Logs). Konzernsitz USA. Kein dauerhafter EU-Speicher für App-Inhalte. Datenschutzerklärung
• Supabase (Authentifizierung, PostgreSQL-Datenbank und privater Objektspeicher für kurzlebige Uploads, EU). Datenschutzerklärung
• Resend, Inc. (Transaktionsmails über Custom-SMTP von Supabase, Versandregion Irland). Konzernsitz USA. Datenschutzerklärung
• Google Ireland Ltd. / Google LLC - Anmeldung mit Google und Vertex AI (Gemini, EU-Location eu). Datenschutzerklärung
• Stripe - erst, wenn das Abo eingeschaltet ist. Datenschutzerklärung

Dauerhafte Nutzdaten (Konto, Handouts, Karten, kurzlebige Uploads) speichern wir bei Supabase in der EU. Product Analytics liegt bei PostHog in der EU. Die KI-Umwandlung läuft über Vertex AI in der EU. Transaktionsmails versendet Resend in Irland. Soweit Daten in die USA gelangen - insbesondere technische Daten beim Hoster Vercel, Mail-Logs bei Resend und, als Konzernmutter, bei Google - stützen wir uns auf den Angemessenheitsbeschluss zum EU-US Data Privacy Framework (zertifizierte Empfänger) und auf die Standardvertragsklauseln in den jeweiligen DPAs. Wir behaupten nicht, dass keinerlei Daten die EU verlassen.

5. Speicherdauer

Kontodaten, Handouts, Karten, Noten und Klausuren bleiben, bis du sie selbst löschst, das Schuljahr in den Einstellungen zurücksetzt oder das Konto löschst. Originalfotos und -PDFs löschen wir in der Regel sofort nach der Umwandlung; bleibt eine Datei ausnahmsweise liegen (etwa weil der Upload abgebrochen wurde), wird sie zeitnah entfernt. Server-Logs beim Hoster (Vercel) werden in dessen üblichem Zeitraum gelöscht; sie können außerhalb der EU anfallen. Versandprotokolle bei Resend löscht der Anbieter nach seiner üblichen Frist. Vertex AI erhält die Dateiinhalte nur für die jeweilige Anfrage.

6. Deine Rechte

Du kannst jederzeit verlangen:

• Auskunft über die gespeicherten Daten (Art. 15 DSGVO)
• Berichtigung (Art. 16 DSGVO)
• Löschung (Art. 17 DSGVO)
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruch gegen Verarbeitungen auf Basis von Art. 6 Abs. 1 lit. f (Art. 21 DSGVO)

Praktisch: Profil und Kurse änderst du unter Einstellungen, Handouts kannst du in den Fächern löschen, das Schuljahr zurücksetzen oder das Konto vollständig entfernen. Für Auskunft, Berichtigung, Löschung und die übrigen Rechte schreib an datenschutz@abidash.de.

Außerdem hast du das Recht, dich bei einer Datenschutzaufsicht zu beschweren - in Hessen beim Hessischen Beauftragten für Datenschutz und Informationsfreiheit.

7. Minderjährige

AbiDash richtet sich an die gymnasiale Oberstufe. Bei der Registrierung per E-Mail bestätigst du, mindestens 16 Jahre alt zu sein (Art. 8 DSGVO). Bei Google-Anmeldung gilt dasselbe; ohne diese Voraussetzung darfst du den Dienst nicht nutzen. Bei unter 16-Jährigen entscheiden die Sorgeberechtigten. Wir geben keine Daten an Schulen oder Lehrer weiter.

8. Pflicht zur Bereitstellung

Ohne E-Mail (oder Google-Konto) kann kein Zugang angelegt werden. Die Bestätigungsmail läuft über Resend. Ohne Übermittlung an Vertex AI können keine Handouts oder On-the-fly-Fragen erzeugt werden. Die übrigen Profilangaben sind für die Zuordnung der Kurse nötig, sobald du das Onboarding abschließt.

9. Automatisierte Entscheidungen

Es findet keine automatisierte Entscheidung mit rechtlicher Wirkung statt. Der Spaced-Repetition-Algorithmus bestimmt nur, welche Karten im Quiz erscheinen.

Anbieterkennzeichnung: Impressum.