Datenschutzerklärung

Allgemeine Hinweise

Die folgenden Hinweise geben einen einfachen Überblick darüber, was mit Ihren personenbezogenen Daten passiert, wenn Sie diese Website besuchen. Personenbezogene Daten sind alle Daten, mit denen Sie persönlich identifiziert werden können.

Verantwortliche Stelle

Verantwortlich für die Datenverarbeitung auf dieser Website ist die Gesellschaft bürgerlichen Rechts (GbR):

Hosting

Die statischen Dateien der Website und der App werden bei der Fritz Managed IT GmbH, Ötterichweg 7, 90411 Nürnberg, gehostet; Unterauftragsverarbeiter sind die Hetzner Online GmbH (Rechenzentren in Deutschland) und Global Switch (Rechenzentrum in Frankfurt am Main). Mit dem Hoster besteht ein Vertrag zur Auftragsverarbeitung (Art. 28 DSGVO).

Die Verwendung des Hosters erfolgt auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO. Wir haben ein berechtigtes Interesse an einer technisch fehlerfreien und sicheren Darstellung unserer Website.

Technisch notwendige Cookies

Unsere Website verwendet ausschließlich technisch notwendige Session-Cookies. Diese dienen dazu, Ihre bevorzugten Einstellungen für die folgenden Funktionen lokal in Ihrem Browser zu speichern:

• Spracheinstellung
• Darstellungsmodus (Light- oder Darkmode)

Unter dem folgenden Link finden Sie weitere Angaben: Cookie-Richtlinie

Die Speicherung erfolgt auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt in der Bereitstellung einer nutzerfreundlichen Website. Diese Cookies werden nach Ende Ihres Besuchs oder nach Ablauf der Browsersitzung gelöscht, sofern Sie diese nicht dauerhaft in Ihren Browsereinstellungen speichern.

Server-Log-Dateien

Der Provider der Seiten erhebt und speichert fakultativ und automatisch Informationen in Log-Dateien, die Ihr Browser automatisch an uns übermittelt:

• Browsertyp und -version
• Verwendetes Betriebssystem
• Referrer URL (die zuvor besuchte Seite)
• Hostname des zugreifenden Rechners
• Uhrzeit der Serveranfrage
• IP-Adresse

Die Server-Log-Dateien enthalten IP-Adressen und werden beim Hoster nach spätestens 30 Tagen gelöscht.

Diese Daten sind für den sicheren Betrieb der Website technisch erforderlich. Die Verarbeitung erfolgt gemäß Art. 6 Abs. 1 lit. f DSGVO.

Schriftarten (Local Hosting)

Wir nutzen Web-Fonts zur einheitlichen Darstellung von Schriftarten. Diese sind lokal auf unserem Webserver installiert. Eine Verbindung zu externen Servern (z. B. Google Fonts) findet nicht statt.

Anfrage per E-Mail, Telefon oder Telefax

Wenn Sie uns per E-Mail, Telefon oder Telefax kontaktieren, wird Ihre Anfrage inklusive aller daraus hervorgehenden personenbezogenen Daten (Name, Anfrage) zum Zwecke der Bearbeitung Ihres Anliegens bei uns gespeichert und verarbeitet. Diese Daten geben wir nicht ohne Ihre Einwilligung weiter.

Die Verarbeitung dieser Daten erfolgt auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO, sofern Ihre Anfrage mit der Erfüllung eines Vertrags zusammenhängt oder zur Durchführung vorvertraglicher Maßnahmen erforderlich ist. In allen übrigen Fällen beruht die Verarbeitung auf unserem berechtigten Interesse an der effektiven Bearbeitung der an uns gerichteten Anfragen (Art. 6 Abs. 1 lit. f DSGVO) oder auf Ihrer Einwilligung (Art. 6 Abs. 1 lit. a DSGVO) sofern diese abgefragt wurde; die Einwilligung ist jederzeit widerrufbar.

Die von Ihnen an uns per Kontaktanfragen übersandten Daten verbleiben bei uns, bis Sie uns zur Löschung auffordern, Ihre Einwilligung zur Speicherung widerrufen oder der Zweck für die Datenspeicherung entfällt (z. B. nach abgeschlossener Bearbeitung Ihres Anliegens). Zwingende gesetzliche Bestimmungen – insbesondere gesetzliche Aufbewahrungsfristen – bleiben unberührt.

Datenschutz

Wir behandeln Ihre personenbezogenen Daten vertraulich und entsprechend der gesetzlichen Datenschutzvorschriften sowie dieser Datenschutzerklärung. Durch die reine informative Nutzung dieser Website werden nur Daten erhoben, die technisch für den Betrieb notwendig sind.

SSL- bzw. TLS-Verschlüsselung

Diese Seite nutzt aus Sicherheitsgründen und zum Schutz der Übertragung vertraulicher Inhalte eine SSL- bzw. TLS-Verschlüsselung. Eine verschlüsselte Verbindung erkennen Sie daran, dass die Adresszeile des Browsers von „http://" auf „https://" wechselt und an dem Schloss-Symbol in Ihrer Browserzeile.

Hinweis zur Datenweitergabe in Drittstaaten

Für den Betrieb der Anwendung setzen wir unter anderem Google Firebase, hCaptcha und Stripe ein. Dabei können Daten in Drittländer übermittelt werden. Verantwortlich für die Datenverarbeitung bei Stripe ist die Stripe Technology Company, Limited (STC), One Wilton Park, Wilton Place, Dublin 2, D02 FX04, Irland, als europäische Hauptniederlassung von Stripe und Verantwortliche für Daten, die außerhalb Nord- und Südamerikas verarbeitet werden. Für regulierte Zahlungsdienste sind STC, die Stripe Payments Europe, Limited (SPEL) und die jeweils lokal regulierte Stripe-Gesellschaft gemeinsam Verantwortliche; E-Geld-Institut ist die von der irischen Zentralbank regulierte Stripe Technology Europe, Limited. Für Übermittlungen in Drittländer nutzt Stripe das EU-US Data Privacy Framework und Standardvertragsklauseln. Einzelheiten zu den jeweiligen Diensten, Zwecken und Garantien finden Sie in den folgenden Abschnitten und in der Cookie-Richtlinie.

Ihre Rechte (Auskunft, Löschung, Beschwerde)

Sie haben jederzeit das Recht, unentgeltlich Auskunft über Herkunft, Empfänger und Zweck Ihrer gespeicherten personenbezogenen Daten zu erhalten. Ihnen steht zudem ein Beschwerderecht bei der zuständigen Aufsichtsbehörde zu.

Cloud-Speicherung mit Google Firebase

Zur Bereitstellung der Lernfortschritte über verschiedene Geräte hinweg und zur Synchronisierung von Eltern- und Kinderkonten nutzen wir Dienste der Google Cloud Platform, insbesondere Firebase Authentication und Cloud Firestore (Anbieter: Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland).

Folgende personenbezogene Daten werden in Cloud Firestore gespeichert:

• E-Mail-Adresse, Anzeigename und Account-Typ (Eltern, Lehrkraft, Kind)
• Lernfortschritt, abgeschlossene Lektionen, Auszeichnungen und Statistiken
• Spracheinstellung, Darstellungsmodus, Lernpläne und Timer-Einstellungen
• Kinderprofile, die Sie als Erziehungsberechtigte/r oder Lehrkraft anlegen

Datenstandort: Die benannte Cloud-Firestore-Datenbank und die Cloud Functions von Hurra Mathe sind in der Region „europe-west3" (Frankfurt, Deutschland) konfiguriert. Diese Regionswahl gilt nicht automatisch für sämtliche Firebase-Dienste: Firebase Authentication wird nach Angaben von Google ausschließlich in US-Rechenzentren betrieben; Firebase App Check nutzt globale Infrastruktur.

Mit Google haben wir einen Vertrag zur Auftragsverarbeitung gemäß Art. 28 DSGVO geschlossen. Soweit Datenübertragungen außerhalb der EU/des EWR stattfinden, stützen sie sich nach Angaben des Anbieters auf geeignete Garantien, insbesondere EU-Standardvertragsklauseln und – soweit anwendbar – das EU-US Data Privacy Framework.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) für registrierte Nutzer sowie Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse) zur technischen Bereitstellung der Synchronisierungsfunktion. Bei Kinderkonten erfolgt die Verarbeitung zusätzlich auf Grundlage der Einwilligung der Erziehungsberechtigten (Art. 6 Abs. 1 lit. a, Art. 8 DSGVO).

E-Mail-Versand

Transaktions-E-Mails (z. B. Bestätigungs-, Einladungs-, Vertrags- und Kündigungsbestätigungen) versenden wir über den Auftragsverarbeiter Mailjet (Sinch-Gruppe), deutsche Niederlassung: Mailjet GmbH, Alt-Moabit 2, 10557 Berlin. Verarbeitet werden E-Mail-Adresse, Name, Inhalt der Nachricht sowie Versand- und Zustelldaten; der Versand erfolgt über Server in der EU. Der Vertrag zur Auftragsverarbeitung (Art. 28 DSGVO) ist über die Nutzungsbedingungen von Mailjet (Data Processing Agreement) geschlossen.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertragsdurchführung) bzw. Art. 6 Abs. 1 lit. f DSGVO (zuverlässige Zustellung).

Einmalige Testphase (Prüfregister)

Damit die kostenlose 7-tägige Testphase je E-Mail-Adresse nur einmal genutzt werden kann, speichern wir beim Start einer Testphase in einem Prüfregister ausschließlich einen pseudonymisierten Prüfwert Ihrer E-Mail-Adresse (HMAC-SHA256 mit geheimem Schlüssel über die normalisierte Adresse) sowie Beginn und Ablaufdatum des Eintrags. Die E-Mail-Adresse selbst wird dort nicht gespeichert; ein Rückschluss ist ohne den getrennt verwahrten Schlüssel nicht möglich. Bei einer erneuten Registrierung mit derselben E-Mail-Adresse wird lediglich geprüft, ob ein Eintrag besteht.

Der Eintrag bleibt auch nach Löschung des Kontos bestehen und wird 36 Monate nach dem Start der Testphase automatisch gelöscht.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse besteht darin, die mehrfache Inanspruchnahme der kostenlosen Testphase zu verhindern. Sie können der Verarbeitung aus Gründen, die sich aus Ihrer besonderen Situation ergeben, widersprechen (Art. 21 DSGVO).

Offline-Modus und lokale Speicherung

Die Anwendung funktioniert auch ohne Internetverbindung. In diesem Fall werden Ihre Eingaben zunächst im lokalen Speicher (localStorage) Ihres Browsers abgelegt und beim nächsten Online-Zugriff automatisch mit Cloud Firestore synchronisiert. Lokal gespeicherte Daten verlassen Ihr Gerät bis zur Synchronisierung nicht.

Im Demo-Modus (ohne Anmeldung) werden Ihre Übungsstände ausschließlich lokal in diesem Browser gespeichert und nicht in die Cloud übertragen. Wird die Demo länger als sieben Tage nicht genutzt, werden diese lokalen Stände beim nächsten Aufruf automatisch gelöscht. Vor dem Löschen bieten wir an, die Stände durch Anlegen eines Kontos zu sichern; die Übertragung erfolgt dann ausschließlich innerhalb dieses Browsers in Ihr Konto.

Speicherdauer und Löschung

Wir speichern Ihre Daten so lange, wie Ihr Account besteht. Sie können Ihren Account und damit alle zugehörigen Daten jederzeit in den Einstellungen löschen; sämtliche personenbezogenen Daten in Cloud Firestore werden anschließend unverzüglich entfernt. Zwingende gesetzliche Aufbewahrungspflichten bleiben unberührt.

Registriert sich ein Kind selbst, ist die Bestätigungsanfrage an die Eltern 14 Tage gültig. Lehnen die Eltern ab oder bestätigen sie nicht innerhalb von 14 Tagen, löschen wir das Kinderkonto mit allen Daten. Als Nachweis (Art. 6 Abs. 1 lit. c und f DSGVO) speichern wir nur Ergebnis, Zeitpunkte, Kennung des gelöschten Kontos sowie Prüfwerte (Hash) der E-Mail-Adresse der Eltern und – bei einer Ablehnung – der IP-Adresse, jedoch keine Klartext-E-Mail-Adresse und keinen Namen; dieser Nachweis wird mit Ablauf des dritten auf das Ereignis folgenden Kalenderjahres gelöscht.

Speicherfristen im Überblick: Unentgeltliche Konten werden nach 24 Monaten vollständiger Inaktivität gelöscht (Hinweis per E-Mail vier Wochen vorher). Nach einem Downgrade eingefrorene Kinderkonten werden nach 12 Monaten gelöscht (Hinweis per E-Mail 30 Tage vorher). Nachweise über Vertragsschluss, Kündigungen und Zustimmungen bewahren wir nach der Löschung eines Kontos bis zum 31. Dezember des dritten Folgejahres auf. Der Prüfwert zur einmaligen Testphase wird nach 36 Monaten gelöscht, Server-Logdateien spätestens nach 30 Tagen.