Datenschutzerklärung

1. Verantwortlicher

Verantwortlich für die Datenverarbeitung im Sinne der DSGVO ist:

Ein Datenschutzbeauftragter ist gesetzlich nicht zu benennen, da die Voraussetzungen des § 38 BDSG nicht vorliegen. Für alle Datenschutzfragen wende dich bitte an die oben genannte Adresse.

2. Welche Daten wir erheben

a) Account-Daten

• Vorname (wird in der App zur Begrüßung angezeigt)
• E-Mail-Adresse
• Passwort (ausschließlich als kryptografischer Hash gespeichert, niemals im Klartext)
• Geburtsjahr
• Zeitpunkt der Registrierung und der letzten Anmeldung
• Bei Nutzenden unter 16 Jahren: die Bestätigung, dass eine Einwilligung der Erziehungsberechtigten vorliegt, samt Zeitstempel

b) Lern-Inhalte, die du aktiv hochlädst oder erstellst

• Fotos von Schulnotizen, Tafelbildern und Heftseiten
• Der aus diesen Fotos extrahierte Text sowie die daraus KI-generierten Inhalte (Lernzettel, Karteikarten, Quizfragen, Klausurpläne)
• Selbst eingegebene Fächer, Themen und Notizen
• Lernfortschritt (welche Karten du wann bearbeitet hast)
• Klausurtermine, die du selbst einträgst

c) Daten im Zusammenhang mit kostenpflichtigen Abonnements

Wenn ein kostenpflichtiges Abonnement gebucht wird, verarbeiten wir zusätzlich:

• Name und E-Mail-Adresse der bestellenden Person
• Bei Nutzenden unter 18 Jahren: Name und E-Mail-Adresse des bestellenden Erziehungsberechtigten sowie dessen Bestätigung, volljährig und sorgeberechtigt zu sein
• Rechnungsanschrift
• Gebuchtes Produkt, Preis, Laufzeit, Beginn und Ende des Abonnements, Zahlungsstatus
• Transaktions- und Kundenkennungen unseres Zahlungsdienstleisters
• Rechnungen und Zahlungsbelege

Wichtig: Kreditkartennummern, Kontodaten oder vergleichbare Zahlungsmittel-Daten erreichen unsere Systeme zu keinem Zeitpunkt. Sie werden ausschließlich von unserem Zahlungsdienstleister Stripe erhoben und verarbeitet (siehe Ziffer 5). Wir erhalten von Stripe lediglich die Information, ob eine Zahlung erfolgreich war, sowie den Typ und die letzten Ziffern des verwendeten Zahlungsmittels.

d) Freiwillige Angaben

• Deine Einwilligung, Mitteilungen von Klio per E-Mail zu erhalten
• Deine Angabe, dass grundsätzliches Interesse an einer Mitwirkung an Klio besteht
• Als Lehrkraft über das Formular unter /lehrkraefte: Name, E-Mail-Adresse, Wunschtermin, ggf. Klasse und freiwillige Anmerkungen, um dich wegen eines Beta-Tests oder einer Vorstellung von Klio im Unterricht zu kontaktieren. Auf Wunsch löschen wir die Angaben jederzeit.
• Anonymes Feedback unter /feedback (Bewertung und optionale Bemerkung, ohne Namen oder Kontodaten)

Alle diese Angaben sind freiwillig. Die Nutzung von Klio ist ohne sie in vollem Umfang möglich.

e) Technische Daten

Beim Aufruf von Klio fallen technisch bedingt Daten an, die unsere Hosting-Dienstleister in Server-Logs speichern:

• IP-Adresse
• Browsertyp und -version, Betriebssystem
• Zeitpunkt des Zugriffs
• Aufgerufene Seiten innerhalb von Klio

Diese Daten werden nicht mit deinem Account zusammengeführt und nicht zur Profilbildung verwendet.

f) Sprachdaten des Voice-Tutors

Wenn du den Voice-Tutor nutzt, wird deine gesprochene Eingabe in Echtzeit in Text umgewandelt (transkribiert). Die Audioaufnahme selbst wird nicht gespeichert. Verarbeitet und gespeichert wird nur der transkribierte Text – damit der Tutor dir antworten kann und um dein persönliches Lernprofil (Themen, Stärken und Schwächen) fortzuschreiben. Die Sprachverarbeitung erfolgt über Google (siehe Ziffer 5); die übermittelten Daten werden nicht zum Training der Google-Modelle verwendet.

3. Wofür wir deine Daten verwenden und auf welcher Rechtsgrundlage

Widerruf der Einwilligung: Soweit wir Daten auf Grundlage einer Einwilligung verarbeiten, kann diese jederzeit mit Wirkung für die Zukunft widerrufen werden – formlos per E-Mail an louis.hantke@icloud.com oder über den Abmeldelink in jeder Mitteilung. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt.

Erforderlichkeit der Bereitstellung (Art. 13 Abs. 2 lit. e DSGVO): Vorname, E-Mail-Adresse, Passwort und Geburtsjahr sind zur Nutzung von Klio erforderlich; ohne sie können wir keinen Account bereitstellen. Für ein kostenpflichtiges Abonnement sind zusätzlich die unter 2c genannten Daten erforderlich. Alle übrigen Angaben sind freiwillig.

Keine automatisierte Entscheidungsfindung (Art. 22 DSGVO): Es findet keine automatisierte Entscheidungsfindung einschließlich Profiling statt, die dir gegenüber rechtliche Wirkung entfaltet oder dich in ähnlicher Weise erheblich beeinträchtigt. Die KI-Analyse der Lernmaterialien dient ausschließlich der Erstellung von Lerninhalten und trifft keine Entscheidungen über dich. Die Betrugsprüfung durch Stripe kann eine automatisierte Risikobewertung einer einzelnen Zahlung umfassen; sie führt allenfalls zur Ablehnung dieser Zahlung und nicht zur Sperrung deines Accounts.

4. Besonders sensible Inhalte in deinen Uploads

Fotos aus dem Schulunterricht können ungewollt Informationen enthalten, die besonders geschützt sind – etwa Gesundheitsdaten aus dem Biologieunterricht, religiöse oder weltanschauliche Inhalte aus Religion und Ethik oder Namen und Handschriften von Mitschülerinnen und Mitschülern.

Bitte lade nur Material hoch, das du selbst erstellt hast oder das keine Angaben zu anderen Personen enthält. Wenn du solche Inhalte hochlädst, tust du dies auf Grundlage deiner ausdrücklichen Einwilligung nach Art. 9 Abs. 2 lit. a DSGVO. Du kannst jedes hochgeladene Bild jederzeit in der App löschen.

5. Weitergabe an Dienstleister

Wir geben Daten ausschließlich an die folgenden Dienstleister weiter. Alle sind vertraglich zur Einhaltung der DSGVO verpflichtet.

Supabase – Authentifizierung, Datenbank, Bildspeicher

Supabase Inc., 970 Toa Payoh North #07-04, Singapur. Speicherort der Daten: Europäische Union (Region Frankfurt). Es besteht ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO. Datenschutzerklärung: https://supabase.com/privacy

Google – KI-Analyse der Fotos und Sprachverarbeitung des Voice-Tutors (Gemini API)

Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland; Verarbeitung ggf. auch durch Google LLC in den USA. Fotos sowie die Spracheingaben des Voice-Tutors werden zur Analyse bzw. zur Umwandlung in Text an die Gemini API übertragen und dort nur für die Dauer der Verarbeitung vorgehalten. Wir nutzen die kostenpflichtige Variante der Gemini API. Nach den Nutzungsbedingungen von Google werden über diese Variante übermittelte Daten nicht zum Training der Google-Modelle verwendet.

Grundlage für die Übermittlung in die USA: Zertifizierung von Google nach dem EU-US Data Privacy Framework (Angemessenheitsbeschluss der EU-Kommission vom 10. Juli 2023) sowie ergänzend Standardvertragsklauseln. Datenschutzerklärung: https://policies.google.com/privacy

Stripe – Zahlungsabwicklung

Stripe Payments Europe Limited, 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, D02 H210, Irland; ggf. unter Einbeziehung der Stripe, Inc., 354 Oyster Point Boulevard, South San Francisco, CA 94080, USA. Bei einem kostenpflichtigen Abonnement werden die Zahlungsdaten unmittelbar von Stripe erhoben. Stripe verarbeitet diese Daten teilweise als eigenständig Verantwortlicher, insbesondere zur Erfüllung eigener gesetzlicher Pflichten aus dem Zahlungsdiensteaufsichts- und Geldwäscherecht sowie zur Betrugsprävention. Auf diesen Teil der Verarbeitung haben wir keinen Einfluss. An Stripe übermitteln wir Name, E-Mail-Adresse, Rechnungsanschrift sowie Angaben zum gebuchten Produkt. Von Stripe erhalten wir Zahlungsstatus und Transaktionskennungen zurück. Grundlage für Übermittlungen in die USA: Zertifizierung von Stripe, Inc. nach dem EU-US Data Privacy Framework sowie Standardvertragsklauseln. Datenschutzerklärung: https://stripe.com/de/privacy

Vercel – Hosting

Vercel Inc., 340 S Lemon Ave #4133, Walnut, CA 91789, USA. Vercel stellt die Website bereit und speichert dabei technische Zugriffsdaten einschließlich der IP-Adresse in Server-Logs. Grundlage für die Übermittlung in die USA: Zertifizierung von Vercel nach dem EU-US Data Privacy Framework sowie Standardvertragsklauseln; es besteht ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO. Datenschutzerklärung: https://vercel.com/legal/privacy-policy

Steuerberatung und Behörden

Rechnungen und Buchungsbelege geben wir im gesetzlich erforderlichen Umfang an eine Steuerberatung sowie an das Finanzamt weiter. Rechtsgrundlage: Art. 6 Abs. 1 lit. c DSGVO. Eine darüber hinausgehende Weitergabe an Dritte findet nicht statt. Wir verkaufen keine Daten und setzen keine Werbe-Tracker ein.

6. Speicherdauer

• Account-Daten, Lern-Inhalte und Lernprofil: solange der Account besteht. Nach einer Löschanfrage werden sie unverzüglich, spätestens innerhalb von 30 Tagen, vollständig gelöscht.
• Nachweis der Einwilligung der Erziehungsberechtigten: wie die Account-Daten; wird mit dem Account gelöscht. Soweit die Angaben Teil eines kostenpflichtigen Vertragsvorgangs sind, gelten die steuerlichen Fristen.
• Rechnungen, Zahlungsbelege und Vertragsdaten: Diese unterliegen gesetzlichen Aufbewahrungspflichten nach § 147 AO und § 257 HGB und werden entsprechend acht beziehungsweise zehn Jahre aufbewahrt. Auch nach Löschung des Accounts bleiben diese Unterlagen erhalten, in der Verarbeitung eingeschränkt und nicht anderweitig genutzt.
• Einwilligung in Mitteilungen: bis zum Widerruf. Nach dem Widerruf speichern wir die Tatsache des Widerrufs, um nicht erneut anzuschreiben.
• Angaben von Lehrkräften (/lehrkraefte): bis der Beta-Test bzw. die Vorstellung abgeschlossen ist, längstens zwölf Monate, oder bis zum Widerruf.
• Anonymes Feedback (/feedback): längstens zwölf Monate. Es enthält keine Angaben, die sich einer Person zuordnen lassen.
• Server-Logs: nach den Vorgaben unserer Hosting-Dienstleister, in der Regel wenige Tage. Wir werten diese Logs nicht systematisch aus.

7. Deine Rechte

Nach der DSGVO stehen dir jederzeit folgende Rechte zu:

• Auskunft über die zu dir gespeicherten Daten (Art. 15)
• Berichtigung unrichtiger Daten (Art. 16)
• Löschung deiner Daten (Art. 17)
• Einschränkung der Verarbeitung (Art. 18)
• Datenübertragbarkeit in einem maschinenlesbaren Format (Art. 20)
• Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21)
• Widerruf erteilter Einwilligungen (Art. 7 Abs. 3)

Eine formlose E-Mail an louis.hantke@icloud.com genügt. Wir antworten unverzüglich, spätestens innerhalb eines Monats. Bitte beachte: Das Recht auf Löschung besteht nicht, soweit die Daten gesetzlichen Aufbewahrungspflichten unterliegen (siehe Ziffer 6). Diese Daten werden dann in der Verarbeitung eingeschränkt statt gelöscht. Wenn du unter 18 bist, kannst du diese Rechte selbst ausüben. Auch deine Erziehungsberechtigten können sie für dich geltend machen.

Beschwerderecht: Du hast das Recht, dich bei einer Datenschutz-Aufsichtsbehörde zu beschweren. Für uns zuständig ist: Die Landesbeauftragte für Datenschutz und Informationsfreiheit der Freien Hansestadt Bremen, Arndtstraße 1, 27570 Bremerhaven, https://www.datenschutz.bremen.de

8. Cookies und lokale Speicherung

• Technisch notwendige Cookies: für das Login-System (Supabase Auth) sowie für die sichere Abwicklung von Zahlungen und die Betrugsprävention durch Stripe. Rechtsgrundlage: § 25 Abs. 2 Nr. 2 TDDDG – eine Einwilligung ist hierfür nicht erforderlich.
• Local Storage im Browser: für Oberflächeneinstellungen wie Onboarding-Status und Streak-Zähler. Diese Daten verlassen dein Gerät nicht.
• Wir setzen keine Tracking-Cookies, kein Google Analytics, kein Facebook- oder TikTok-Pixel und keine Werbe-IDs ein.

9. Nutzung durch Minderjährige

Klio richtet sich an Schülerinnen und Schüler und damit ausdrücklich auch an Minderjährige. Uns ist bewusst, dass das besondere Sorgfalt verlangt.

Ab 16 Jahren kannst du die kostenlose Version von Klio eigenständig nutzen. Wir empfehlen dir trotzdem, deine Eltern zu informieren. Unter 16 Jahren ist nach Art. 8 DSGVO die Einwilligung deiner Erziehungsberechtigten erforderlich. Bei der Registrierung fragen wir daher dein Geburtsjahr ab. Liegt es unter 16 Jahren, musst du bestätigen, dass deine Erziehungsberechtigten mit der Nutzung einverstanden sind. Diese Bestätigung speichern wir mit Zeitstempel als Nachweis.

Kostenpflichtige Abonnements für unter 18-Jährige können ausschließlich von einem Erziehungsberechtigten abgeschlossen werden. Der Vertrag kommt in diesem Fall zwischen uns und dem Erziehungsberechtigten zustande. Dieser gibt im Bestellvorgang seinen Namen, seine E-Mail-Adresse und die Rechnungsanschrift an und bestätigt, volljährig und sorgeberechtigt zu sein. Rechnungen und alle vertragsbezogenen Mitteilungen gehen an ihn. Damit liegt zugleich die nach Art. 8 DSGVO erforderliche Einwilligung vor.

Für Eltern und Erziehungsberechtigte: Wenn Sie Fragen zur Nutzung durch Ihr Kind haben, dessen Daten einsehen, ein Abonnement kündigen oder den Account löschen lassen möchten, schreiben Sie an louis.hantke@icloud.com. Wir bearbeiten solche Anfragen vorrangig. Wenn Sie uns mitteilen, dass Ihr Kind Klio ohne Ihre Einwilligung nutzt, sperren wir den Account und löschen die Daten.

10. Datensicherheit

Die Verbindung zu Klio ist durchgehend per TLS verschlüsselt. Der Zugriff auf Lern-Inhalte ist über Zugriffsregeln auf Datenbankebene (Row Level Security) technisch auf den jeweils eigenen Account beschränkt. Passwörter speichern wir ausschließlich als kryptografischen Hash. Zahlungsmittel-Daten werden ausschließlich bei unserem PCI-DSS-zertifizierten Zahlungsdienstleister verarbeitet und berühren unsere Systeme nicht.

11. Änderungen dieser Erklärung

Wir passen diese Datenschutzerklärung an, wenn sich Funktionen von Klio oder die Rechtslage ändern. Die jeweils aktuelle Fassung findest du immer unter https://www.klio-lernen.de/datenschutz. Bei wesentlichen Änderungen informieren wir zusätzlich per E-Mail.