Datenschutzerklärung

1. Verantwortlicher

Koray Altinay, Krugstr. 15, 38268 Lengede, Deutschland — E-Mail: kontakt@lernkurve.app (siehe Impressum).

2. Das Wichtigste vorab: Zero-Knowledge-Architektur

Lernkurve ist so gebaut, dass wir Ihre Inhalte nicht lesen können. Alle fachlichen Inhalte der App (z. B. Namen von Schülerinnen und Schülern, Noten, Bewertungen, Notizen, Stundenplan- Inhalte) werden bereits auf Ihrem Gerät Ende-zu-Ende verschlüsselt (AES-GCM; Schlüsselableitung mit Argon2id). Auf unseren Servern liegen diese Daten ausschließlich als Chiffrate. Den Schlüssel dazu besitzen nur Sie — er verlässt Ihr Gerät nicht und kann von uns weder eingesehen noch wiederhergestellt werden.

3. Welche Daten wir im Klartext verarbeiten

Für Betrieb und Vertrag verarbeiten wir nur ein Minimum an Daten:

• Konto: E-Mail-Adresse und Anmeldedaten in abgeleiteter Form. Ihr Passwort wird bereits auf Ihrem Gerät zu einem Anmeldeschlüssel verrechnet (Argon2id) — das Passwort selbst erreicht unsere Server nie im Klartext. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertrag).
• Transaktions-E-Mails: Zum Zurücksetzen des Passworts versenden wir eine E-Mail mit einem zeitlich begrenzten Link an Ihre Konto-Adresse. Der Versand erfolgt über einen von uns selbst betriebenen Mailserver in Deutschland (kein externer E-Mail-Dienst, keine Weitergabe an Dritte). Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
• Abonnement (Lernkurve Pro): Die Zahlungsabwicklung erfolgt über den Zahlungsdienstleister Mollie B.V. (Amsterdam, Niederlande — EU). Wir speichern keine Zahlungsdaten wie IBAN oder Kartennummern; wir erhalten von Mollie den Abo-Status und eine Kundenreferenz. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Es gilt ergänzend die Datenschutzerklärung von Mollie.
• Technische Server-Logs: Beim Zugriff auf unsere Server fallen Verbindungsdaten (Zeitpunkt, aufgerufener Endpunkt, IP-Adresse) an — zur Betriebssicherheit und Missbrauchsabwehr (z. B. Rate-Limiting). Die IP-Adresse wird dabei bereits beim Schreiben gekürzt (die letzten Stellen werden durch Nullen ersetzt), sodass sich aus dem Protokoll keine einzelne Person mehr ergibt. Zur Speicherdauer siehe Ziffer 7. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse).
• Fehlerberichte (nur native Apps): Die iOS-/Android-Apps senden technische Absturzberichte an eine von uns selbst betriebene Instanz (kein US-Dienst, keine Weitergabe an Dritte). Die Web-Version sendet keine Fehlerberichte. Die Berichte sind so eingestellt, dass sie keine personenbezogenen Angaben mitsenden; Berichte, bei denen das nicht sicher auszuschließen ist, werden bereits auf dem Gerät verworfen. Zur Speicherdauer siehe Ziffer 7. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.

4. Empfänger Ihrer Daten

Außer uns bekommen nur die folgenden Stellen Daten zu sehen — und auch sie sehen Ihre Inhalte nur als Chiffrat, weil diese Ende-zu-Ende-verschlüsselt sind.

• STRATO (Deutschland) — Auftragsverarbeiter nach Art. 28 DSGVO: Betrieb unserer Server. Es besteht eine Vereinbarung zur Auftragsverarbeitung. Der Server, auf dem Ihr Konto und Ihre verschlüsselten Inhalte liegen, steht in Deutschland; zwei weitere Server für Entwicklung und Betriebsüberwachung stehen in der EU. Eine Übermittlung in ein Drittland findet nicht statt.
• Mollie B.V. (Amsterdam, Niederlande — EU):Zahlungsabwicklung des Abonnements, siehe Ziffer 3. Mollie ist als Zahlungsdienstleister für die Abwicklung eigenständig verantwortlich und handelt insoweit nicht auf unsere Weisung; es gilt die Datenschutzerklärung von Mollie.

Bewusst ohne Dienstleister: Der Versand unserer E-Mails läuft über einen eigenen Mailserver, die Fehlerberichte über eine eigene Instanz. Beides sind bei anderen Anbietern übliche Stellen, an denen Daten an Dritte abfließen — bei uns nicht.

5. Was wir bewusst NICHT tun

• Keine Analyse-/Tracking-Dienste, keine Werbe-Cookies.
• Keine Übermittlung in Drittländer außerhalb der EU; sämtliche Server stehen in Deutschland bzw. der EU.
• Ihre App lädt zur Laufzeit keine Inhalte von Dritt-Servern nach — auch Referenzdaten wie Schulferien bezieht sie ausschließlich über unsere eigenen Server.

6. Cookies und lokale Speicherung

Diese Website setzt keine Cookies. Die Web-App speichert technisch notwendige Daten (z. B. Ihre verschlüsselte lokale Datenbank und Sitzungs-Token) ausschließlich lokal in Ihrem Browser; ohne diese Speicherung ist die Nutzung nicht möglich (§ 25 Abs. 2 Nr. 2 TDDDG).

7. Speicherdauer und Löschung

• Inhalte der App: liegen als Chiffrate auf unseren Servern, solange Ihr Konto besteht. Löschungen, die Sie in der App vornehmen (z. B. abgelaufene Schuljahre), werden auch serverseitig vollzogen; zugehörige Synchronisations-Metadaten werden automatisiert nach festen Fristen bereinigt.
• Aufbewahrungsdauer alter Schuljahre: Sie legen sie in der App unter Einstellungen → Datenschutz & Aufbewahrung selbst fest (Voreinstellung: 3 Jahre (Deutschland) bzw. 6 Jahre (Österreich/Schweiz); „nie löschen“ ist möglich). Nach Ablauf fragt die App nach. Wahlweise können Sie das Löschen automatisieren: Die App kündigt es dann 14 Tage vorher in der App an und führt es danach ohne weitere Nachfrage aus; die Automatik ist jederzeit abschaltbar, und was zuletzt gelöscht wurde, steht dauerhaft in derselben Einstellung. Da wir Ihre Inhalte nicht entschlüsseln können, findet diese Löschung in der App statt und wird von dort auf unsere Server übertragen — ein Gerät, das nie synchronisiert, löscht nichts automatisch.
• Abgebrochene Registrierungen werden automatisiert nach 30 Tagen gelöscht.
• Technische Server-Logs: längstens 14 Tage. Die Protokolle unserer Betriebssysteme (u. a. Zustellprotokolle unserer E-Mails) werden längstens 30 Tageaufbewahrt.
• Fehlerberichte der nativen Apps: längstens 90 Tage.
• Sicherungskopien: Von der Datenbank werden verschlüsselte Sicherungen erstellt und für längstens 30 Tage aufbewahrt. Gelöschte Daten können daher noch bis zu 30 Tage in Sicherungskopien enthalten sein; danach sind sie auch dort entfernt.
• Nicht mehr genutzte Konten: Meldet sich in einem Konto 24 Monate lang niemand mehr an, löschen wir es. Vorher warnen wir zweimal per E-Mail — rund 60 Tage und noch einmal 14 Tage vor dem Termin; die Mail nennt das Datum und enthält einen Link, mit dem Sie die Löschung ohne Anmeldung abwenden können (falls Sie Ihr Passwort nicht mehr haben). Eine Anmeldung in der App genügt ebenso. Kostenpflichtige Konten sind ausgenommen, solange das Abonnement läuft.
• Kontolöschung: Im Konto-Bereich (lernkurve.app/konto) können Sie Ihr Konto jederzeit selbst und unwiderruflich löschen — mit Passwort-Bestätigung und anschließender Bestätigung über einen per E-Mail zugesandten Link (Schutz vor Löschung durch Dritte); Konto und sämtliche zugehörigen Daten werden dabei entfernt. Alternativ genügt eine formlose E-Mail an die im Impressum genannte Kontaktadresse.
• Vertrags- und Zahlungsdaten trotz Kontolöschung: Buchungs- und Zahlungsbelege eines kostenpflichtigen Abonnements (bei unserem Zahlungsdienstleister Mollie sowie in unseren Buchhaltungsunterlagen, ohne App-Inhalte) bewahren wir auch nach einer Kontolöschung auf, solange handels- und steuerrechtliche Aufbewahrungspflichten bestehen (§ 147 AO: bis zu 10 Jahre). Rechtsgrundlage: Art. 6 Abs. 1 lit. c DSGVO; die Weiterspeicherung trotz Löschungsverlangen stützt sich auf Art. 17 Abs. 3 lit. b DSGVO.
• Protokoll der Pflicht-Mails: Rechtlich geschuldete Transaktions-Mails (z. B. Buchungsbestätigung, Widerrufs- und Kündigungs-Quittungen) werden zum Nachweis protokolliert; Empfängeradresse und Inhalt werden 90 Tage nach dem Versand entfernt, nur das Sende-Metadatum (Art und Zeitpunkt) bleibt erhalten.

8. Ihre Rechte

Sie haben nach der DSGVO das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21) sowie das Recht auf Beschwerde bei einer Datenschutz-Aufsichtsbehörde (Art. 77). Bitte beachten Sie: Zu den Ende-zu-Ende-verschlüsselten Inhalten können wir prinzipbedingt keine inhaltliche Auskunft geben — wir können sie nicht entschlüsseln.

9. Hinweis für Lehrkräfte (Daten von Schülerinnen und Schülern)

Lernkurve ist so gestaltet, dass personenbezogene Daten von Schülerinnen und Schülern ausschließlich Ende-zu-Ende verschlüsselt verarbeitet werden — wir haben zu keinem Zeitpunkt Zugriff auf diese Inhalte.

Wer für diese Daten datenschutzrechtlich verantwortlich ist, richtet sich im Schulkontext nach dem Schulrecht Ihres Landes — in der Regel ist das die Schule, nicht die einzelne Lehrkraft. In Niedersachsen etwa ist die Schule, vertreten durch die Schulleitung, Verantwortlicher; die Verarbeitung von Schülerdaten auf privaten IT-Systemen bedarf der schriftlichen Genehmigung der Schulleitung, und der Einsatz externer Dienste ist zulässig, wenn zuvor ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO geschlossen wurde (RdErl. d. MK).

Bitte klären Sie vor der Nutzung, welche Vorgaben für Sie gelten. Wir verarbeiten die Inhalte ausschließlich im Auftrag der verantwortlichen Stelle und nach deren Vorgaben — verschlüsselt und ohne die Möglichkeit, hineinzusehen. Wie lange alte Schuljahre aufbewahrt werden, stellen Sie in der App ein (siehe Ziffer 7); welche Frist dabei gilt, gibt die verantwortliche Stelle vor.