Datenschutzhinweise

Auf einen Blick

• Ohne Konto bleiben deine Lerndaten auf deinem Gerät. Die App kontaktiert dann nur unseren Server (öffentliche Sperrlisten fehlerhafter Aufgaben und Lerntexte, gegebenenfalls noch offene Aufgabenmeldungen aus früheren Versionen), Apple für Käufe und – auf der Kaufseite – die Sicherheitsprüfung von Cloudflare (Abschnitt 5).
• Ein Konto ist freiwillig. Mit Konto speichern wir deine Lerndaten bei Supabase in Frankfurt, damit du sie auf mehreren Geräten und im Web-Portal nutzen kannst (Abschnitte 7 und 8). Eine tägliche, verschlüsselte Sicherungskopie unserer Datenbank bewahren wir 28 Tage bei Scaleway in Paris auf (Abschnitt 15).
• Käufe laufen über Apple. Zahlungsdaten erhalten wir nicht (Abschnitt 10).
• Keine Werbung, keine Werbe- oder Analyse-SDKs, keine Besuchermessung und kein Tracking im Sinne von Apples App-Tracking-Transparenz. Nur der Dienst, über den wir freiwillige Neuigkeiten versenden (Brevo), kann Messbilder einfügen; alle übrigen E-Mails gehen ohne Messbild über Scaleway (Abschnitt 16).
• KI nur mit deiner Einwilligung. Der KI-Coach ist freiwillig. Erst wenn wir ihn in der App freigeschaltet haben und du gesondert einwilligst, übermitteln wir die dafür nötigen Inhalte über unseren Server an Anthropic. Anthropic speichert sie in den USA – verarbeitet werden können sie auch in Rechenzentren in Europa, Asien und Australien –, nutzt sie nicht zum Training und löscht sie grundsätzlich spätestens nach 30 Tagen (Abschnitt 12).
• Deine Rechte: Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch, Widerruf von Einwilligungen und Beschwerde bei einer Aufsichtsbehörde (Abschnitt 25).

1. Verantwortlicher

Laurenz Zuser, Dorotheergasse 6–8, 1010 Wien, Österreich. Für Datenschutzanliegen erreichst du uns unter support@merkfaden.de.

2. Bereitstellung über Cloudflare

Wir nutzen Cloudflare Pages zur Auslieferung der Website merkfaden.de und des Web-Portals portal.merkfaden.de. Formularanfragen der Website leitet ein Cloudflare Worker an unser Backend weiter. Aufgabenpakete für App und Web-Portal sowie die Lerntexte der App liegen im Speicherdienst Cloudflare R2. Anbieter ist Cloudflare, Inc., 101 Townsend St., San Francisco, CA 94107, USA. Beim Abruf verarbeitet Cloudflare technische Verbindungsdaten, insbesondere IP-Adresse, angeforderte Adresse, Zeitpunkt, Browser- und Geräteangaben sowie Sicherheits- und Fehlerdaten. Das ist nötig, um die angeforderten Inhalte auszuliefern, Störungen zu erkennen und Angriffe abzuwehren. Cloudflare kann deinen Browser außerdem anweisen, Verbindungsfehler an Cloudflare zu melden (Network Error Logging).

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt in einer sicheren, zuverlässigen Bereitstellung von Website und Web-Portal; soweit du das Web-Portal oder Aufgabenpakete im Rahmen deines Nutzungsverhältnisses abrufst, zusätzlich Art. 6 Abs. 1 lit. b DSGVO. Ohne die Übermittlung der technisch erforderlichen Verbindungsdaten können die Inhalte nicht ausgeliefert werden.

Die Verarbeitung in unserem Auftrag erfolgt auf Grundlage der Cloudflare-Vereinbarung zur Auftragsverarbeitung gemäß Art. 28 DSGVO. Cloudflare beschreibt daneben eigene Verarbeitungszwecke, insbesondere den Betrieb und Schutz seines Netzwerks, in seiner Datenschutzerklärung. Dort findest du auch Angaben zu Empfängern und Unterauftragnehmern.

Cloudflare betreibt ein weltweites Netzwerk; eine Verarbeitung außerhalb des Europäischen Wirtschaftsraums, insbesondere in den USA, ist möglich. Cloudflare nennt für einschlägige US-Übermittlungen seine Zertifizierung unter dem EU–US Data Privacy Framework. Für weitere erforderliche Garantien sieht die verlinkte Vereinbarung insbesondere die EU-Standardvertragsklauseln vor. Über diese Links kannst du die Garantien einsehen oder bei uns eine Kopie anfragen.

Wir betreiben für Website und Web-Portal keinen eigenen zusätzlichen Zugriffsprotokollspeicher und exportieren keine individuellen Zugriffsprotokolle. Cloudflare bestimmt die Aufbewahrung seiner betrieblichen Daten nach den erforderlichen Betriebs- und Sicherheitszwecken sowie gesetzlichen Pflichten; diese Kriterien sind in Abschnitt 11 seiner Datenschutzerklärung erläutert. Sicherheitsvorfälle können eine längere, auf die Untersuchung begrenzte Aufbewahrung erfordern. Eine feste, für sämtliche Cloudflare-Daten geltende Löschfrist wird damit nicht behauptet.

3. Cookies, Speicher auf deinem Gerät und Messung

Website und Web-Portal setzen keine Cookies. Wir setzen in Website, Web-Portal und App weder Google Analytics noch TikTok-Pixel, Cloudflare Web Analytics, Werbe- oder Absturzanalyse-SDKs noch andere Marketing- und Besuchermessungen ein und verwenden keine Werbe-ID. Die Besuchermessung „Web Analytics“ von Cloudflare ist für unsere Seiten abgeschaltet; zusätzlich verhindert unsere Sicherheitsrichtlinie (Content Security Policy), dass dein Browser ein solches Messskript lädt. Bilder und Schriftgestaltung werden ohne externe Bild- oder Schriftanbieter ausgeliefert.

Website: Beim bloßen Seitenbesuch verwenden wir keine einwilligungspflichtigen Speicher- oder Zugriffstechniken. Deshalb zeigen wir kein allgemeines Cookie-Banner. Die Sicherheitsprüfung Turnstile wird auf der Website erst nach deiner ausdrücklichen Auswahl geladen (Abschnitt 20). Das bedeutet nicht, dass beim Websiteabruf keine personenbezogenen Daten verarbeitet werden: Die in Abschnitt 2 beschriebenen technischen Verbindungsdaten fallen weiterhin an.

Web-Portal: Das Portal speichert im lokalen Speicher deines Browsers deine Anmeldesitzung (Zugangs- und Erneuerungstoken, Kontokennung, E-Mail-Adresse), eine zufällige Geräte-Kennung für die Synchronisation, die gewählte Darstellung (hell/dunkel), gegebenenfalls einen lokalen Coach-Verlauf sowie kurzlebige Bedienzustände in der Sitzung. Für die Echtheitsprüfung der Aufgabenpakete legt es einen technischen Vertrauensstand ohne Personenbezug ab. Beim Abmelden entfernt das Portal Sitzung und persönliche Portaldaten; die Darstellungswahl und der technische Vertrauensstand bleiben erhalten. Auf gemeinsam genutzten Rechnern solltest du dich nach der Nutzung abmelden. Die Sicherheitsprüfung Turnstile lädt das Portal erst, wenn du einen Anmeldecode anforderst (Abschnitt 9).

App: Die App speichert deine Lerndaten und Einstellungen in ihrem eigenen Speicherbereich auf dem Gerät, die Anmeldesitzung im iOS-Schlüsselbund (nur auf diesem Gerät, ohne iCloud-Schlüsselbund) und für das Widget eine kleine Zusammenfassung in einem gemeinsamen App-Bereich (Abschnitte 5 bis 6).

Soweit wir Informationen auf deinem Gerät speichern oder auslesen, geschieht das, weil es für den von dir ausdrücklich gewünschten Dienst unbedingt erforderlich ist (§ 25 Abs. 2 Nr. 2 TDDDG bzw. § 165 Abs. 3 TKG 2021), oder nach deiner Einwilligung (§ 25 Abs. 1 TDDDG bzw. § 165 Abs. 3 TKG 2021). Nicht erforderliche Analyse- oder Werbefunktionen werden ohne vorherige Einwilligung nicht aktiviert.

Verweise auf andere Websites sind einfache Links. Erst wenn du ihnen folgst, rufst du die jeweilige externe Website auf; dort gelten deren Datenschutzhinweise. Ein Besuch über TikTok führt nicht zu einer Anmeldung und wird von unserem Websitecode nicht an TikTok zurückgemeldet.

4. Kontakt per E-Mail und Kontaktformular

Wenn du an support@merkfaden.de schreibst, verarbeiten wir deine Adresse, den Nachrichteninhalt und gegebenenfalls Anhänge zur Bearbeitung deiner Anfrage. Grundlage ist bei vertragsbezogenen Anliegen Art. 6 Abs. 1 lit. b DSGVO, bei Anfragen zu deinen Datenschutzrechten Art. 6 Abs. 1 lit. c DSGVO, ansonsten Art. 6 Abs. 1 lit. f DSGVO mit unserem Interesse, Anfragen zu beantworten.

Aus der App kannst du uns gemeldete Aufgaben auch per E-Mail schicken. Die vorbereitete Nachricht enthält Aufgabenkennung, Testteil, Grund und Zeitpunkt der Meldung, als Anhang gegebenenfalls zusätzlich den Anfang des Aufgabentexts. Sie wird erst verschickt, wenn du sie in deinem Mailprogramm absendest.

Ebenso kannst du jede Antwort der KI-Funktionen (Abschnitt 12) mit „Melden“ als vorbereitete E-Mail an support@merkfaden.de schicken. Sie enthält den App-Bereich, den gewählten Grund, deine freiwillige Anmerkung, die App-Version und den Kalendertag, außerdem – nur solange „Antworttext mitsenden“ angehakt ist – den Text der gemeldeten Antwort (höchstens 1.500 Zeichen). Konto- oder Gerätekennungen, deine Frage und den übrigen Verlauf enthält sie nicht. Die App speichert die Meldung nicht und überträgt selbst nichts; ist keine Mail-App eingerichtet, legt sie den Text in die Zwischenablage. Wir nutzen Meldungen, um fehlerhafte oder unangemessene KI-Antworten zu erkennen und die Vorgaben und Filter des KI-Coachs zu verbessern. Grundlage ist Art. 6 Abs. 1 lit. f DSGVO, unser Interesse an richtigen und sicheren KI-Antworten. Für Postfach, Zugriff und Löschung gelten die folgenden Absätze; eine Meldung bewahren wir nur auf, bis sie erledigt ist.

Nachrichten an unsere Adressen unter merkfaden.de empfangen und speichern wir in einem Postfach bei Zoho Mail. Unser Vertragspartner ist die Zoho Corporation GmbH, II. Hagen 7, 45127 Essen, Deutschland; sie verarbeitet die Postfachdaten als Auftragsverarbeiter. Das Postfach liegt im EU-Rechenzentrum von Zoho (Amsterdam, Niederlande, Ausweichstandort Dublin, Irland). Zoho erhält Absender- und Empfängerangaben, Betreff, Nachrichteninhalt und Anhänge sowie technische Zustell- und Sicherheitsdaten. Für Wartungs- und Supportzugriffe durch Beschäftigte der Zoho-Gruppe außerhalb des EWR, insbesondere in Indien, sieht Zoho EU-Standardvertragsklauseln vor; in diesen Einzelfällen ist ein Zugriff aus einem Drittland möglich. Zoho beschreibt seine eigene Verarbeitung in seiner Datenschutzrichtlinie. Eine Kopie der einschlägigen Garantien kannst du bei uns anfragen.

Zugriff haben die mit der Bearbeitung betrauten Personen und die genannten Dienste. Wir löschen die Korrespondenz, sobald das Anliegen erledigt ist, soweit keine gesetzlichen Aufbewahrungspflichten oder erforderlichen Nachweise für bestehende Ansprüche entgegenstehen. Dann bleibt die Nutzung auf diese Zwecke beschränkt und endet mit dem Wegfall der Grundlage.

Eine Kontaktaufnahme ist keine Newsletter-Einwilligung. Sende nur die erforderlichen Informationen, insbesondere keine Passwörter oder unnötigen Gesundheitsangaben. Beim bloßen Besuch von Website oder Web-Portal wird keine Verbindung zu unserem Postfach hergestellt; ein E-Mail-Link öffnet lediglich dein Mailprogramm.

Kontaktformular: Auf der Kontaktseite der Website kannst du uns auch über ein Formular schreiben. Wir verarbeiten deine E-Mail-Adresse, deine Nachricht und – nur wenn du ihn angibst – deinen Namen, um die Anfrage zu beantworten. Die Sicherheitsprüfung Cloudflare Turnstile startet dort erst, wenn du „Nachricht senden“ wählst; nach der Prüfung wird deine Nachricht automatisch gesendet (Abschnitt 20); für höchstens fünf Formularversuche je Stunde verwenden wir einen stündlich wechselnden, geheimnisgebundenen Hash deiner IP-Adresse (Abschnitt 18). Ein Cloudflare Worker leitet die Anfrage an unsere Datenbank bei Supabase in Frankfurt (Abschnitt 14); dort liegt der Versandauftrag verschlüsselt, bis Scaleway ihn als E-Mail an unser Support-Postfach übermittelt hat (Abschnitt 16). Danach bearbeiten wir die Nachricht wie eine E-Mail an support@merkfaden.de. An die eingetragene Adresse senden wir keine automatische Antwort; sie ist nicht geprüft und berechtigt nicht zu Änderungen oder Löschungen. Die Anfrage meldet dich nicht für Neuigkeiten an.

Grundlage ist bei vertragsbezogenen Anliegen Art. 6 Abs. 1 lit. b DSGVO, bei Anfragen zu deinen Datenschutzrechten Art. 6 Abs. 1 lit. c DSGVO, ansonsten Art. 6 Abs. 1 lit. f DSGVO mit unserem Interesse, Anfragen zu beantworten und das Formular vor Missbrauch zu schützen; für Turnstile deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Den Nachrichteninhalt löschen wir aus der Versandwarteschlange, sobald Scaleway ihn angenommen hat, spätestens nach 30 Tagen; eine zufällige Anfragekennung und ein geheimnisgebundener Fingerabdruck gegen doppelten Versand werden ebenfalls nach 30 Tagen gelöscht. Ohne Formular erreichst du uns jederzeit direkt per E-Mail.

5. Die App ohne Konto

Merkfaden funktioniert ohne Konto. Die App verarbeitet dann auf deinem Gerät insbesondere deine Antworten, Bearbeitungszeiten, Wiederholungsstände und Markierungen, deinen Lernplan und deine Änderungen daran, Statistiken, Prüfungstermin und -art, Tagesziel, Anzeigename, Einstellungen sowie Notizen und Verläufe des Coachs und deinen Stand in den Lerntexten (gelesene Abschnitte, Antworten auf Prüffragen, deine Selbsteinschätzung bei offenen Fragen und fällige Kurzwiederholungen; den Text, den du zu einer offenen Frage schreibst, speichert die App nicht). Ohne deine Einwilligung in die KI-Funktionen arbeitet der Coach regelbasiert auf deinem Gerät; die KI-Funktionen setzen ein Konto voraus (Abschnitt 12). Die Aufgabenpakete und die Lerntexte sind in der App enthalten; weitere Lerntexte lädt sie nur mit einem Konto nach (Abschnitt 8). Wir haben auf diese lokalen Daten keinen Zugriff. Je nach deinen Geräteeinstellungen können sie in deine iCloud- oder Gerätesicherung aufgenommen werden; dafür gelten deine Einstellungen bei Apple.

Auch ohne Konto baut die App einzelne Verbindungen auf:

• Sperrlisten fehlerhafter Aufgaben und Lerntexte: Beim Start und beim Zurückkehren in die App, höchstens etwa alle 15 Minuten, ruft die App bei unserem Server (Supabase, Abschnitt 14) je eine öffentliche, signierte Liste zurückgezogener Aufgaben und zurückgezogener Lerntexte ab. Dabei werden technisch IP-Adresse, Zeitpunkt, angefragte Datei und die übliche Geräte-/App-Kennung des Betriebssystems (User-Agent) übertragen, aber keine Konto- oder Lerndaten. Die Listen enthalten nur Kennungen und Fassungen der zurückgezogenen Inhalte; die Liste der Lerntexte liest unser Server aus unserem Speicher bei Cloudflare R2 (Abschnitt 2) und reicht sie unverändert weiter. Zweck ist, fehlerhafte Aufgaben und Lerntexte auch in Apps ohne Konto zuverlässig zurückzuziehen. Grundlage ist Art. 6 Abs. 1 lit. f DSGVO.
• Apple: Über Apples StoreKit fragt die App Produktangebote und bestehende Käufe ab (Abschnitt 10).
• Sicherheitsprüfung: Wenn du die Kaufseite öffnest – sie erscheint auch einmal automatisch am Ende der Ersteinrichtung –, lädt die App die Sicherheitsprüfung von Cloudflare unsichtbar vor (Abschnitt 9).
• Ältere Aufgabenmeldungen: Hast du in einer früheren App-Version Aufgaben als fehlerhaft gemeldet, überträgt die App noch offene Meldungen beim Start an unseren Server: Aufgabenkennung, Testteil, Grund aus einer festen Liste, App-Version und eine Zufallskennung gegen Doppelmeldungen, ohne Konto- oder Gerätebezug. Grundlage ist Art. 6 Abs. 1 lit. f DSGVO (Qualität der Aufgaben).

Die lokale Verarbeitung dient der Bereitstellung der Lernfunktionen, die du nutzt (Art. 6 Abs. 1 lit. b DSGVO). Du löschst die lokalen Daten unter „Profil → Alle Daten löschen …“ oder indem du die App entfernst. Dabei entfernt die App auch deinen Stand in den Lerntexten und beendet laufende Live-Aktivitäten; die in der App enthaltenen oder geladenen Lerntexte und die Sperrlisten bleiben als Inhalte ohne Personenbezug erhalten. Damit das Löschen nicht als Zurücksetzen von Freigrenzen dient, bleiben die Zähler deines kostenlosen Tageskontingents der letzten 14 Tage und ein inhaltsfreier Vermerk über eine bereits begonnene kostenlose Probeprüfung auf dem Gerät erhalten, außerdem die technischen Kennungen noch nicht bestätigter Lösch- oder Speicheraufträge für Coach-Daten auf unserem Server, damit eine Löschung dort nachgeholt werden kann; sie werden mit der App entfernt. Eine Abmeldung vom Konto lässt die lokalen Daten bestehen.

6. Kalender, Mitteilungen und Widget

Die App kann Lernblöcke als Termine in deinen iOS-Kalender eintragen. Sie fragt erst, wenn du eine Kalenderfunktion auslöst, und iOS fragt jede Berechtigungsstufe gesondert ab. Alle Kalenderfunktionen laufen ausschließlich auf deinem Gerät; die App sendet keine Kalenderdaten an uns oder andere Empfänger.

Nur Eintragen: Mit dieser Stufe kann die App nichts aus deinem Kalender lesen. Sie trägt die gewählten Lernblöcke mit Titel, Beginn, Ende und einer Notiz in deinen Standardkalender ein. Die Notiz enthält eine kurze Begründung aus deinem Lernplan, den Hinweis „Geplant von Merkfaden.“ und eine technische Kennung, an der die App ihre eigenen Termine wiedererkennt. Später ändern oder entfernen kann die App diese Termine mit dieser Stufe nicht.

Freiwilliger Vollzugriff: Nur wenn du ihn ausdrücklich anforderst und im iOS-Dialog zustimmst, liest die App für die Tage, an denen sie Lernblöcke plant, Beginn, Ende und Titel deiner Termine aus allen Kalendern auf dem Gerät, um Überschneidungen zu vermeiden. Diese Angaben verarbeitet sie nur für die Berechnung und speichert sie nicht. Sie legt einen eigenen Kalender „Merkfaden“ im Konto deines Standardkalenders an, gleicht ihre eigenen Termine mit deinem Plan ab und kann sie gesammelt entfernen. Welche Termine sie selbst angelegt hat, merkt sie sich in einer lokalen Datei; Termine in deinen anderen Kalendern ändert oder löscht sie nicht.

Eingetragene Termine sind normale Kalendertermine. Ist dein Kalender mit einem Dienst wie iCloud, Google oder Exchange verbunden oder mit anderen geteilt, synchronisiert bzw. zeigt dieser Dienst sie wie jeden anderen Termin. „Alle Daten löschen“ entfernt die lokale Verknüpfungsliste, nicht die Termine selbst; diese entfernst du in der App (bei Vollzugriff) oder in deiner Kalender-App. Kalenderberechtigungen kannst du jederzeit in den iOS-Einstellungen ändern oder entziehen.

Das Eintragen auf deinen Wunsch beruht auf Art. 6 Abs. 1 lit. b DSGVO und § 25 Abs. 2 Nr. 2 TDDDG bzw. § 165 Abs. 3 TKG 2021. Das Lesen deines Kalenders erfolgt mit deiner Einwilligung, die du über den Vollzugriff erteilst (§ 25 Abs. 1 TDDDG bzw. § 165 Abs. 3 TKG 2021; soweit die DSGVO anwendbar ist, Art. 6 Abs. 1 lit. a DSGVO).

Mitteilungen, Live-Aktivitäten und Widget: Erinnerungen plant die App als lokale Mitteilungen auf deinem Gerät, nachdem iOS dich um Erlaubnis gefragt hat; Push-Mitteilungen über unsere Server gibt es nicht. Inhalte von Mitteilungen und Live-Aktivitäten, etwa Lernzeit, Serie, der Name des Prüfungsteils oder der Aufgabengruppe und ein Countdown, können auf dem Sperrbildschirm sichtbar sein. Eine Live-Aktivität zu einer laufenden Prüfung oder zur Wartezeit beim Fakten-Lernen bleibt auch nach dem Schließen der App bis zum Ende der angezeigten Frist sichtbar; Aufgaben und Antworten zeigt sie nicht. Das Widget liest eine kleine Zusammenfassung (Tagesziel und erledigte Minuten, Serie, nächster Lernblock, Tage bis zur Prüfung, gegebenenfalls dein Wochenziel in Lerntagen), die die App in einem gemeinsamen Bereich auf deinem Gerät ablegt. Grundlage ist Art. 6 Abs. 1 lit. b DSGVO; Empfänger gibt es nicht.

7. Konto

Ein Konto ist freiwillig. Du brauchst es für die Synchronisation zwischen Geräten, das Web-Portal und das Laden aktualisierter Aufgabenpakete. Neue Konten legst du in der App an; das Web-Portal bietet nur die Anmeldung mit einem bestehenden Konto.

• Anmeldung per E-Mail-Code: Wir verarbeiten deine E-Mail-Adresse und senden dir einen Einmalcode (Abschnitt 16). Es gibt kein Passwort. Vor dem Versand findet eine Sicherheitsprüfung statt (Abschnitt 9).
• Mit Apple anmelden (nur App): Apple übermittelt uns eine Apple-Kennung und – je nach deiner Wahl bei Apple – deine E-Mail-Adresse oder eine Apple-Weiterleitungsadresse. Deinen Namen fragen wir nicht ab. Quelle dieser Daten ist Apple.
• Kaufkonto ohne Anmeldung: Kaufst du oder stellst du Käufe wieder her, ohne angemeldet zu sein, legt die App ein Konto ohne E-Mail-Adresse an, damit dein Kauf einem Konto zugeordnet werden kann (Abschnitt 10). Es besteht aus einer zufälligen Kennung. Auch für ein solches Konto kann die App deinen Lernstand wie in Abschnitt 8 beschrieben abgleichen.

Unser Anbieter Supabase speichert zu jedem Konto eine zufällige Kontokennung, die Anmeldeart, Zeitpunkte von Anlage und Anmeldung sowie Sitzungsdaten; dabei werden auch IP-Adresse und Browser- bzw. Geräteangaben (User-Agent) verarbeitet. Die App speichert die Sitzung im iOS-Schlüsselbund, das Portal im lokalen Speicher deines Browsers (Abschnitt 3). Stimmst du in App oder Portal den Nutzungsbedingungen zu, speichern wir mit deinem Konto die Fassung und den Zeitpunkt deiner Zustimmung.

Zweck ist die Einrichtung und der Betrieb deines Kontos (Art. 6 Abs. 1 lit. b DSGVO) sowie die Sicherheit der Anmeldung und der Nachweis von Zustimmungen (Art. 6 Abs. 1 lit. f DSGVO). Empfänger sind Supabase als Auftragsverarbeiter, Scaleway für den Versand der Codes und bei „Mit Apple anmelden“ Apple. Wir speichern die Kontodaten, bis du dein Konto löschst (Abschnitt 13).

8. Synchronisation und Web-Portal

Bist du angemeldet, speichern wir folgende Lerndaten in unserer Datenbank bei Supabase in Frankfurt und gleichen sie zwischen deinen Geräten und dem Web-Portal ab:

• Profil: Prüfungsart, Prüfungstermin, Tagesziel und Darstellungseinstellung, jeweils mit Änderungszeitpunkt;
• Übungsdaten: Übungssitzungen (Testteil, Modus, Beginn und Ende), jede Antwort (Aufgabe, gewählte und richtige Option, richtig oder falsch, Dauer, Zeitpunkt), Wiederholungsstände und Markierungen, Kennzahlen je Testteil sowie deine Änderungen am Lernplan;
• je Eintrag eine zufällige Geräte-Kennung, die nur zeigt, von welchem deiner Geräte ein Eintrag stammt; sie ist keine Werbe- oder Hardwarekennung.

Nicht synchronisiert werden insbesondere dein Anzeigename, der Lernplan selbst (er wird auf jedem Gerät neu berechnet) und Kalenderverknüpfungen. Coach-Verläufe und Einträge der Coach-Merkliste synchronisieren wir nur, wenn du dem gesondert zugestimmt hast (Einwilligung 4 in Abschnitt 12); Grundlage ist diese Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Du kannst sie in der App im Profil unter „KI-Einwilligungen“ oder im Web-Portal unter „Konto“ widerrufen; die Serverkopien werden daraufhin gelöscht. Erteilung und Widerruf solcher Einwilligungen protokollieren wir mit deinem Konto (Bereiche, Textfassung, Aktion und Zeitpunkt, keine Inhalte), um sie nachweisen zu können (Art. 7 Abs. 1 DSGVO). Die App synchronisiert beim Start, beim Zurückkehren in die App, nach Lernrunden und Planänderungen sowie auf deinen Wunsch.

Im Web-Portal meldest du dich mit deinem bestehenden Konto an. Das Portal liest die oben genannten Daten, um Übersicht, Statistik und Lernplan anzuzeigen, und schreibt Übungsrunden, Antworten, Kennzahlen, Planänderungen und Profiländerungen in dein Konto. Aufgabenpakete lädt das Portal wie die App über kurzlebige signierte Adressen direkt aus unserem Speicher bei Cloudflare R2. Die Teilen-Karte und der Kalenderexport des Portals werden lokal in deinem Browser erzeugt.

Aktualisierte Aufgabenpakete lädt die App nur für angemeldete Konten mit E-Mail-Adresse oder Apple-Anmeldung. Unser Server erzeugt dafür kurzlebige, signierte Adressen, über die dein Gerät die Pakete direkt aus dem Speicher bei Cloudflare R2 (laut Konfiguration mit EU-Speicherort) abruft; Cloudflare verarbeitet dabei IP-Adresse, Zeitpunkt und angeforderte Datei. Gegen massenhaftes Abgreifen zählt unser Server die Abrufe je Konto pro Minute und Tag. Die Pakete selbst enthalten keine personenbezogenen Daten.

Lerntexte, die nicht schon in der App enthalten sind, lädt die App ebenso nur für ein solches Konto nach. Die Liste der verfügbaren Lerntexte fragt sie höchstens etwa alle 15 Minuten bei unserem Server ab; diese Abrufe zählen zu den Abrufzählern. Bevor unser Server Adressen für einzelne Lerntexte erzeugt, prüft er anhand des bei uns gespeicherten Kaufstands (Abschnitt 10), ob dein Konto Merkfaden Pro hat. Damit geladene Lerntexte bis zu sieben Tage ohne Verbindung lesbar bleiben, speichert die App auf dem Gerät je Konto den Zeitpunkt der letzten erfolgreichen Prüfung.

Grundlage ist Art. 6 Abs. 1 lit. b DSGVO, für die Abrufbegrenzung Art. 6 Abs. 1 lit. f DSGVO. Empfänger sind Supabase und Cloudflare als Auftragsverarbeiter. Übertragungen sind verschlüsselt (TLS); eine Ende-zu-Ende-Verschlüsselung findet nicht statt. Andere Nutzer haben keinen Zugriff auf deine Daten. Wir speichern die Lerndaten bis zur Löschung deines Kontos; die Abrufzähler werden laufend überschrieben und mit dem Konto gelöscht.

9. Sicherheitsprüfung bei Anmeldung und Kauf in App und Web-Portal

Damit automatisierte Anfragen keine massenhaften E-Mails oder Konten auslösen, verlangt unser Anmeldedienst vor dem Versand eines Anmeldecodes und vor dem Anlegen eines Kaufkontos ohne Anmeldung einen Nachweis der Sicherheitsprüfung Cloudflare Turnstile. Für „Mit Apple anmelden“ ist keine solche Prüfung vorgesehen.

• Web-Portal: Dein Browser lädt Turnstile erst, wenn du auf der Start- oder Anmeldeseite „Anmelde-Code senden“ wählst; der bloße Aufruf dieser Seiten lädt es nicht. Die Prüfung läuft dann sofort; ein Kästchen erscheint nur, wenn Cloudflare eine Bestätigung verlangt.
• App: Die App lädt die Prüfung von unserer Portalseite portal.merkfaden.de/ios-challenge in einer eigenen Webansicht ohne dauerhaften Speicher. Beim Anfordern eines Anmeldecodes zeigt sie die Prüfung sichtbar an. Wenn du die Kaufseite öffnest – auch beim automatischen Öffnen am Ende der Ersteinrichtung –, lädt sie die Prüfung bereits unsichtbar vor, damit ein Kauf ohne Konto ohne Wartezeit möglich ist; gelingt das nicht, erscheint vor dem Kauf eine sichtbare Prüfung.

Cloudflare verarbeitet dafür insbesondere IP-Adresse sowie Browser-, Geräte-, Verbindungs- und Prüfsignale und liest dazu Informationen aus deinem Browser bzw. der Webansicht aus. Deine E-Mail-Adresse und deine Lerndaten werden nicht an die Prüfschnittstelle übergeben. Der Prüfnachweis wird nur im Arbeitsspeicher gehalten, einmal verwendet und nicht dauerhaft gespeichert; für Cloudflares eigene Betriebsdaten gilt Abschnitt 2. Eine Verarbeitung in den USA ist möglich.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit die Prüfung für die von dir angeforderte Anmeldung oder den Kauf erforderlich ist, im Übrigen Art. 6 Abs. 1 lit. f DSGVO mit unserem Interesse am Schutz vor automatisiertem Missbrauch, unnötigem E-Mail-Versand und Kosten. Den Zugriff auf dein Gerät stützen wir auf § 25 Abs. 2 Nr. 2 TDDDG bzw. § 165 Abs. 3 TKG 2021, weil die Prüfung für den von dir genutzten Anmelde- und Kaufweg technisch erforderlich ist. Ohne die Prüfung kannst du dich weiterhin mit Apple anmelden oder uns unter support@merkfaden.de um Unterstützung bitten. Die Sicherheitsprüfung auf der Website beschreibt Abschnitt 20.

10. Käufe über Apple

Käufe in der App, etwa ein Monatsabo oder ein Prüfungspass, wickelt Apple über den App Store ab. Apple ist dafür eigenständig verantwortlich und verarbeitet deine Apple-ID, Zahlungs- und Rechnungsdaten nach seiner eigenen Datenschutzrichtlinie. Wir erhalten keine Zahlungsdaten. Im Web-Portal kannst du nichts kaufen.

Damit ein Kauf deinem Merkfaden-Konto zugeordnet werden kann, übergibt die App beim Kauf deine zufällige Kontokennung an Apple; Apple gibt sie in den signierten Kaufbelegen zurück. Die App prüft deine Käufe über StoreKit auf dem Gerät. Zusätzlich sendet sie die von Apple signierten Kaufbelege an unseren Server, und Apple benachrichtigt unseren Server über Verlängerungen, Kündigungen, Rückerstattungen und Abrechnungsprobleme. Daraus speichern wir Produkt, Art und Status des Kaufs, Kaufzeitpunkt, Laufzeit, gegebenenfalls Widerruf oder Kulanzfrist, Umgebung (Test oder Produktion) und Apples ursprüngliche Transaktionskennung zusammen mit deiner Kontokennung. Benachrichtigungen protokollieren wir ohne Kontobezug mit Kennung, Art und Unterart, Umgebung (Test oder Produktion) und Eingangszeit.

Käufe außerhalb der App: Hast du außerhalb der App gekauft – etwa einen Angebotscode eingelöst oder ein Abo direkt im App Store abgeschlossen –, enthält der Kaufbeleg keine Kontokennung. Sobald wir die Zuordnung solcher Käufe freigeschaltet haben, gilt: Meldet die App einen solchen Beleg, während du angemeldet bist, fragt unser Server den Kauf über Apples App Store Server API ab und übermittelt Apple deine zufällige Kontokennung zusammen mit Apples Transaktionskennung, damit Verlängerungen und Rückerstattungen deinem Konto zugeordnet werden; der Kauf gehört danach diesem Konto. E-Mail-Adresse, Name oder Lerndaten erhält Apple dabei nicht. Grundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Grundlage ist Art. 6 Abs. 1 lit. b DSGVO, für Nachweise zu Käufen zusätzlich Art. 6 Abs. 1 lit. c und f DSGVO. Wir speichern den Kaufstand bis zur Löschung deines Kontos. Die Kontolöschung beendet kein App-Store-Abo; Abos verwaltest und kündigst du in den Einstellungen deiner Apple-ID.

11. Echtheitsprüfung der App (App Attest)

Damit nur echte Installationen unserer App geschützte Serverfunktionen nutzen, ist in der App Apples Verfahren App Attest vorgesehen: Bei Anfragen mit Konto erzeugt die App einmal je Installation einen Schlüssel im Sicherheitschip deines Geräts, lässt ihn von Apple bescheinigen und signiert damit diese Anfragen. Unser Server speichert dazu die öffentliche Schlüsselhälfte, eine Schlüsselkennung, die Umgebung und den Zeitpunkt der letzten Nutzung, ohne Kontokennung in diesem Datensatz. Der Schlüssel auf dem Gerät verschwindet mit der App. Die zugehörige Serverprüfung ist derzeit noch nicht eingerichtet; solange erzeugt die App bei solchen Anfragen jeweils einen neuen Schlüssel nur lokal und fragt bei unserem Server vergeblich einen Prüfauftrag an; eine Bescheinigung durch Apple findet nicht statt, und unser Server speichert dazu nichts. Grundlage ist Art. 6 Abs. 1 lit. f DSGVO (Schutz vor Missbrauch und Kosten) und für den Schlüssel auf deinem Gerät § 25 Abs. 2 Nr. 2 TDDDG bzw. § 165 Abs. 3 TKG 2021.

12. KI-Funktionen

Merkfaden funktioniert vollständig ohne KI. Die KI-Funktionen (KI-Coach mit Chat und Briefing, Berichte, Erklär-Chat zu einer bereits beantworteten Aufgabe, Denk-Hinweise während des Übens und Merkhilfen im Gedächtnis-Training) sind freiwillig. Es gibt sie erst, wenn wir sie in der App freigeschaltet haben; ob das der Fall ist, siehst du in der App. Bis dahin übermitteln wir nichts an Anthropic, und die übrigen Angaben in diesem Abschnitt gelten ab der Freischaltung. Nutzen kannst du sie dann nur, wenn du ein Konto mit E-Mail-Adresse oder „Mit Apple anmelden“ hast, mindestens 18 Jahre alt bist, Merkfaden Pro, KI-Guthaben oder einen Testkauf in Apples Testumgebung hast und vorher gesondert einwilligst. Ohne Einwilligung sendet die App bzw. das Web-Portal keine KI-Anfrage.

Getrennte Einwilligungen. In der App entscheidest du unter „Profil → KI-Einwilligungen“ einzeln. Im Web-Portal willigst du, sobald wir die KI-Funktionen dort anbieten, gemeinsam in 1 und 2 ein; die Einwilligungen 3 und 4 erteilst du nur in der App.

• 1 · KI-Coach, Briefing, Fehlermuster-Analyse und Berichte: deine Nachrichten an den Coach, ein Auszug deiner Lernkennzahlen (zum Beispiel Trefferquoten je Aufgabengruppe, Übungsumfang, Tagesziel und heutiger Fortschritt, Lernserie, Tage bis zur Prüfung und Prüfungsart, häufige Fehler), deine Coach-Merkliste, Name und Stil, die du für deinen Coach gewählt hast, sowie der Name des App-Bereichs, aus dem du den Coach gerade nutzt (etwa „Statistik“), ohne dessen Inhalte.
• 2 · Erklär-Chat und Denk-Hinweise mit Aufgabeninhalten (nur zusammen mit 1): zusätzlich Aufgabentext, Antwortoptionen und – beim Erklär-Chat erst nach deiner Antwort – die hinterlegte Erklärung, die richtige und deine gewählte Antwort; bei Denk-Hinweisen nie die Lösung; bei Merkhilfen der gerade gelernte Übungsinhalt.
• 3 · Persönliche Belastungen im Coach (nur zusammen mit 1, ausdrückliche Einwilligung nach Art. 9 Abs. 2 lit. a DSGVO): deine freiwilligen Antworten aus dem Coach-Kennenlernen zu Stress, Sorgen, Ängsten und anderen persönlichen Angaben. Diese Angaben können deine Gesundheit betreffen. Mit Einwilligung 3 gehen sie zusammen mit deinen Coach-Anfragen über unsere Serverschnittstelle an Anthropic; ohne Einwilligung 3 verlassen sie dein Gerät nicht; sie werden auch mit Einwilligung nicht zwischen deinen Geräten synchronisiert. Der Mental-Check-in ist nicht freigeschaltet.
• 4 · Synchronisation von Chats und Merkliste (unabhängig von 1 bis 3): Speicherung deiner Coach-Verläufe und Merklisteneinträge in deinem Konto bei Supabase in Frankfurt (Abschnitt 8), damit du sie auf mehreren Geräten nutzen kannst. Ohne diese Einwilligung bleiben Chats lokal.

So funktioniert es. App und Web-Portal senden deine Anfrage an unsere eigene Serverschnittstelle bei Supabase in Frankfurt (Abschnitt 14). Sie prüft Anmeldung, Einwilligung, Merkfaden Pro und die Grenzen deiner Nutzung und leitet die Inhalte an ein KI-Sprachmodell (Claude) von Anthropic weiter. Wir fügen dabei weder deinen Namen noch deine E-Mail-Adresse noch deine Kontokennung hinzu. Was du selbst schreibst, kann dich aber identifizieren; bitte trage keine Angaben zu Gesundheit, Diagnosen oder Medikamenten frei in Chat oder Merkliste ein. Antworten der KI sind in App und Web-Portal als KI-Antworten gekennzeichnet. Die KI kann sich irren; sie gibt Lernhinweise, keine medizinische oder psychologische Beratung und keine Prognose deines Testergebnisses. Vorschläge wie eine Planänderung oder ein Merklisteneintrag werden erst wirksam, wenn du sie bestätigst bzw. siehst und behältst; Merklisteneinträge kannst du jederzeit löschen.

Was wir dafür speichern. Unsere Serverschnittstelle speichert keine Inhalte deiner Anfragen und Antworten; ihre Protokolle enthalten nur technische Kennzahlen (Art der Anfrage, Dauer, Textmenge in Token, Fehlercodes) ohne Kontokennung. Mit deinem Konto führen wir Zähler deiner KI-Anfragen je Tag und Kalendermonat sowie je Minute und Stunde, eine Schätzung der verarbeiteten Textmenge und gegebenenfalls dein KI-Guthaben, um die Grenzen der Nutzung einzuhalten, Missbrauch und Kosten zu begrenzen und dir deinen Stand anzuzeigen. Nutzt du den KI-Coach nach einem Testkauf in Apples Testumgebung (Sandbox, etwa über TestFlight oder bei der Prüfung der App durch Apple), zählen wir zusätzlich, wie viele der dafür vorgesehenen höchstens 50 KI-Anfragen dein Konto verbraucht hat, mit Zeitpunkt der ersten und letzten solchen Anfrage; die Monatssumme aller Testanfragen führen wir ohne Kontobezug. Deine Einwilligungen speichern wir auf dem Gerät und, wenn du angemeldet bist, in deinem Konto als Nachweis: gewählte Bereiche, Textfassung, Erteilung oder Widerruf und Zeitpunkt sowie einen fortlaufenden Zähler deiner Entscheidungen, keine Inhalte. Seit Fassung 8 enthält der Einwilligungstext deine Bestätigung, mindestens 18 Jahre alt zu sein; ein Geburtsdatum speichern wir nicht. Der Zähler sorgt dafür, dass ein Widerruf auch dann gilt, wenn ein anderes deiner Geräte eine ältere Erteilung erst später übermittelt. Im Web-Portal liegen der Coach-Verlauf (die letzten 40 Nachrichten) und der Wochenrückblick im lokalen Speicher deines Browsers (Abschnitt 3). Werden die KI-Funktionen missbraucht (Nutzungsbedingungen 11.4 und 11.6), können wir sie für ein einzelnes Konto sperren; dafür führt unser Server dessen Kontokennung in einer Sperrliste, bis wir die Sperre aufheben (Art. 6 Abs. 1 lit. f DSGVO).

Anthropic. Unser Vertragspartner ist die Anthropic Ireland, Limited, 6th Floor, South Bank House, Barrow Street, Dublin 4, D04 TR29, Irland. Anthropic verarbeitet die Inhalte als Auftragsverarbeiter nach seiner Vereinbarung zur Auftragsverarbeitung, die Teil der geschäftlichen Nutzungsbedingungen ist. Anthropic speichert die Inhalte auf Servern in den USA. Zur Verarbeitung kann Anthropic Anfragen nach eigenen Angaben auch an Rechenzentren in Europa, Asien und Australien leiten; beteiligt sind die Anthropic, PBC und weitere Unterauftragsverarbeiter, die Anthropic in seiner Liste nennt. Grundlage dieser Übermittlungen sind die EU-Standardvertragsklauseln (Module 2 und 3) der Vereinbarung; im offiziellen Verzeichnis des EU–US Data Privacy Framework ist Anthropic nicht eingetragen (Abfrage am 18.10.2026), sodass wir die Übermittlung nicht auf diesen Angemessenheitsbeschluss stützen (Abschnitt 22). Anthropic darf die Inhalte nicht zum Training seiner Modelle verwenden. Eingaben und Antworten löscht Anthropic grundsätzlich spätestens 30 Tage nach Eingang bzw. Erzeugung. Stufen die automatischen Sicherheitssysteme von Anthropic eine Anfrage als möglichen Verstoß gegen die Nutzungsrichtlinien ein, kann Anthropic Ein- und Ausgaben bis zu zwei Jahre und die zugehörigen Sicherheitsbewertungen bis zu sieben Jahre aufbewahren; ebenso, soweit ein Gesetz es verlangt.

Rechtsgrundlagen. Für die Übermittlung an Anthropic und die Synchronisation deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), für die Angaben unter Einwilligung 3 deine ausdrückliche Einwilligung (Art. 9 Abs. 2 lit. a DSGVO). Für die Zähler und Grenzen der Nutzung die Durchführung deines Vertrags über Merkfaden Pro (Art. 6 Abs. 1 lit. b DSGVO) und unser berechtigtes Interesse, Missbrauch und Kosten zu begrenzen (Art. 6 Abs. 1 lit. f DSGVO). Für den Einwilligungsnachweis unsere rechtliche Pflicht (Art. 6 Abs. 1 lit. c i. V. m. Art. 7 Abs. 1 DSGVO).

Widerruf. Du kannst jede Einwilligung jederzeit einzeln widerrufen, in der App unter „Profil → KI-Einwilligungen“. Im Web-Portal widerrufst du unter „Konto“ alle vier Einwilligungen zugleich; danach nimmt unser Server keine KI-Anfrage deines Kontos mehr an, bis du erneut einwilligst. Ab dem Widerruf sendet die betroffene Funktion keine Anfragen mehr; widerrufst du Einwilligung 4 – in der App oder mit dem Widerruf im Web-Portal –, löschen wir die Serverkopien deiner Chats und Merkliste. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt. Inhalte, die Anthropic bereits erhalten hat, löscht Anthropic nach den oben genannten Fristen.

Empfehlungsprogramm. Für dein Konto erzeugen wir einen persönlichen Einladungscode. Löst jemand ihn ein, speichern wir, welches Konto welches eingeladen hat, den Code, den Zeitpunkt und die Gutschrift der KI-Credits sowie am einladenden Konto die Zahl der vergüteten Einlösungen (Obergrenze). Rechtsgrundlage ist die Durchführung des Programms nach den Nutzungsbedingungen (Art. 6 Abs. 1 lit. b DSGVO). Der Eintrag über eine Einlösung wird gelöscht, sobald eines der beiden Konten gelöscht wird; bereits gutgeschriebene Credits und der Zähler am anderen Konto bleiben erhalten. Im Datenauszug siehst du die andere Person nicht. Die App liest dafür keine Kontakte aus und verschickt keine Nachrichten an andere Personen; den Code teilst du selbst.

Speicherdauer. Zähler, KI-Guthaben und Einwilligungsnachweise bis zur Löschung deines Kontos (Abschnitt 13); ein Eintrag in der Sperrliste bis zur Aufhebung der Sperre; synchronisierte Chats und Merklisteneinträge bis zu deinem Widerruf, deiner Löschung oder der Kontolöschung. Löschst du einen einzelnen synchronisierten Chat, entfernen wir seine Nachrichten sofort; ein Vermerk mit Anlage-, Änderungs- und Löschzeitpunkt und der Geräte-Kennung bleibt, damit deine anderen Geräte die Löschung übernehmen, bis zu deinem Widerruf von Einwilligung 4 oder der Kontolöschung; bei Anthropic wie oben beschrieben.

13. Kontolöschung

Unter „Profil → Alle Daten löschen …“ löschst du die App-Daten auf dem Gerät und, wenn du angemeldet bist, dein Konto; im Web-Portal findest du die Löschung unter „Konto“. Dabei löschen wir dein Konto bei Supabase mit allen damit verknüpften Daten in unserer Datenbank, insbesondere Profil, Übungsdaten, Zustimmungsnachweise, Kaufstand, die Zuordnung eines Aktionsplatzes und Abrufzähler.

Falls die Löschung in App oder Web-Portal fehlschlägt, löschen wir dein Konto auf formlose Anfrage an support@merkfaden.de.

Konten mit „Mit Apple anmelden“: Löschst du ein solches Konto in der App, bittet dich die App um eine kurze Bestätigung bei Apple. Mit dem dabei von Apple erzeugten Einmalcode widerrufen wir die Verknüpfung zwischen deiner Apple-ID und Merkfaden bei Apple; Apple erhält dafür den Code und die Kennung unserer App. Grundlage ist Art. 6 Abs. 1 lit. c DSGVO i. V. m. Art. 17 DSGVO sowie Apples Vorgabe für die Kontolöschung. Brichst du die Bestätigung ab oder löschst du im Web-Portal, wird dein Konto trotzdem gelöscht; die Verknüpfung entfernst du dann selbst in den Einstellungen deiner Apple-ID unter „Mit Apple anmelden“.

Nach der Löschung können bestehen bleiben: deine Daten in unseren verschlüsselten Sicherungskopien, bis diese 28 Tage nach ihrer Erstellung automatisch gelöscht werden (Abschnitt 15); ein pseudonymer Löschnachweis (Prüfwert der gelöschten Kontokennung, Vorgangskennung und Zeitpunkt, ohne E-Mail-Adresse) in unserer Datenbank und als über Scaleway versandte Nachricht in unserem Support-Postfach (Abschnitt 16), damit ein aus einer Sicherung wiederhergestelltes Konto erneut gelöscht werden kann (Art. 6 Abs. 1 lit. c i. V. m. Art. 17 und Art. 5 Abs. 2 DSGVO); wir benötigen ihn, bis keine Sicherung mehr existiert, die dein Konto noch enthält, löschen ihn danach aber derzeit noch nicht automatisch; Einträge im Protokoll von Anmeldeereignissen unseres Anmeldedienstes (Abschnitt 14); technische Protokolle unserer Dienstleister nach deren Fristen; Daten bei Apple zu Käufen und zu „Mit Apple anmelden“, für die Apple verantwortlich ist. Eine Wartelistenanmeldung auf der Website ist vom App-Konto getrennt (Abschnitt 17).

14. Supabase als Datenbank und Server

Für Konten, Synchronisation, unsere Serverschnittstellen und die Warteliste verwenden wir Supabase. Die Datenbank unseres Projekts liegt in Frankfurt (EU Central). Anbieter ist Supabase Pte. Ltd. Die Verarbeitung in unserem Auftrag richtet sich nach der Supabase-Vereinbarung zur Auftragsverarbeitung. Angaben zu Unterauftragnehmern und Übermittlungsgrundlagen findest du dort und in den Supabase-Datenschutzhinweisen.

Frankfurt als Datenbankstandort bedeutet nicht, dass sämtliche Betriebs-, Support- und Sicherheitsverarbeitung ausschließlich in Deutschland stattfindet. Bei möglichen Drittlandübermittlungen gelten die im Auftragsverarbeitungsvertrag beschriebenen Garantien, insbesondere Standardvertragsklauseln. Die einschlägigen Garantien sind über den verlinkten Vertrag einsehbar oder können bei uns angefragt werden.

Bei jeder Anfrage an unseren Server fallen technische Verbindungsdaten wie IP-Adresse, Zeitpunkt, angefragte Schnittstelle und User-Agent an, die Supabase in Betriebsprotokollen verarbeitet. Unsere eigenen Serverfunktionen protokollieren nur technische Ereignisse ohne Inhalte. Grundlage ist Art. 6 Abs. 1 lit. f DSGVO, unser Interesse an einem sicheren und stabilen Betrieb. Die Aufbewahrung dieser Betriebsprotokolle richtet sich nach den für unseren Tarif geltenden Fristen des Anbieters; eine einheitliche feste Frist für sämtliche Protokolle können wir nicht nennen; die abrufbaren Anfrageprotokolle bewahrt Supabase in unserem Tarif derzeit höchstens sieben Tage auf.

Unser Anmeldedienst führt außerdem ein Protokoll von Anmeldeereignissen, etwa Anmeldung, Abmeldung oder Erneuerung einer Sitzung, mit Zeitpunkt, Art, IP-Adresse sowie E-Mail-Adresse oder Kontokennung. Es liegt auch in unserer Datenbank. Wir nutzen es, um die Anmeldung abzusichern und Missbrauch aufzuklären (Art. 6 Abs. 1 lit. f DSGVO). Eine automatische Löschfrist ist dafür noch nicht eingerichtet; auch eine Kontolöschung entfernt diese Einträge derzeit nicht.

15. Sicherungskopien unserer Datenbank

Damit ein technischer Fehler, ein Bedienfehler oder ein Angriff nicht zum Verlust deiner Daten führt, erstellen wir einmal täglich eine Sicherungskopie unserer gesamten Datenbank bei Supabase (Abschnitt 14). Sie enthält alle dort gespeicherten Daten, insbesondere Konto- und Anmeldedaten, Lern- und Synchronisationsdaten, Zustimmungs- und Einwilligungsnachweise, gegebenenfalls Kaufstand und Löschnachweise sowie die Daten der Warteliste, der freiwilligen Neuigkeiten und des Widerrufsformulars. Daten, die nur auf deinem Gerät oder in deinem Browser liegen, sind nicht enthalten.

Anbieter, Ort und Ablauf: Die Sicherung erstellt und speichert für uns Scaleway SAS, 8 rue de la Ville l'Evêque, 75008 Paris, Frankreich, als Auftragsverarbeiter. Ein Sicherungsprogramm, das wir bei Scaleway in der Region Paris ausführen, liest die Datenbank über eine verschlüsselte Verbindung aus, verschlüsselt die Kopie mit unserem öffentlichen Schlüssel und legt nur diese verschlüsselte Datei im Speicherdienst von Scaleway in derselben Region ab; Scaleway verschlüsselt den Speicher zusätzlich. Während des Laufs liegen die Daten in der Ausführungsumgebung bei Scaleway kurzzeitig unverschlüsselt vor. Den privaten Schlüssel, mit dem sich eine Sicherung wieder lesbar machen lässt, verwahren nur wir, außerhalb von Scaleway; die gespeicherten Sicherungen kann Scaleway deshalb nicht lesen.

Zugriff und Zweck: Das Sicherungsprogramm darf Sicherungen nur ablegen; ein getrenntes Prüfprogramm darf sie nur lesen, um zu prüfen, ob sie vollständig und unverändert abgelegt wurden. Entschlüsseln kann keines von beiden. Ob die Läufe gelingen, melden die Programme an den Überwachungsdienst Healthchecks.io, der uns bei einem Ausfall benachrichtigt; diese Meldungen enthalten keine Daten aus unserer Datenbank. Eine Sicherung spielen wir nur zurück, wenn Daten in unserer Datenbank verloren gegangen oder beschädigt sind; das tut ausschließlich der Verantwortliche (Abschnitt 1). Wir werten Sicherungen nicht aus und nutzen sie für keinen anderen Zweck.

Speicherdauer: Jede Sicherung wird 28 Tage nach ihrer Erstellung automatisch gelöscht. In den ersten 27 Tagen schützt eine Sperre sie davor, vorzeitig gelöscht oder verändert zu werden, auch bei einem Angriff auf unsere Zugänge. Nach Ablauf der Frist hält der Speicher die gelöschte Fassung noch einen Tag vor, und die automatischen Löschregeln laufen zeitversetzt; die endgültige Entfernung kann daher wenige Tage nach Ablauf der 28 Tage liegen.

Löschung und Wiederherstellung: Löschst du dein Konto oder löschen wir andere Daten, entfernen wir sie aus der laufenden Datenbank. In älteren Sicherungen bleiben sie bis zu deren Löschung enthalten, also bis zu 28 Tage, technisch bedingt wenige Tage länger. Einzelne Daten entfernen wir nicht vorzeitig aus bestehenden Sicherungen. Müssen wir eine Sicherung zurückspielen, löschen wir vor der Wiederaufnahme des Betriebs die Konten erneut, die nach dem Zeitpunkt dieser Sicherung gelöscht wurden; dafür dienen die Löschnachweise aus Abschnitt 13 und unsere Unterlagen zu Löschanfragen. Ebenso setzen wir uns bekannte Abmeldungen, Widerrufe von Einwilligungen und Löschungen aus diesem Zeitraum erneut um.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt darin, deine Daten vor Verlust zu schützen und den Betrieb nach einem Fehler oder Angriff wiederherstellen zu können. Die Sicherung ist zugleich eine Sicherheitsmaßnahme nach Art. 32 Abs. 1 lit. b und c DSGVO. Soweit gesicherte Daten auf deiner Einwilligung beruhen, dient ihre Sicherung allein diesem Schutzzweck und eröffnet keinen neuen Verwendungszweck.

Auftragsverarbeitung und Übermittlung: Scaleway verarbeitet die Daten nur nach unserer Weisung auf Grundlage der Scaleway-Vereinbarung zur Auftragsverarbeitung nach Art. 28 DSGVO. Für Ausführung und Speicherung haben wir die Region Paris gewählt. Außerhalb der Europäischen Union verarbeitet Scaleway Daten nach dieser Vereinbarung nur nach vorheriger Information an uns; für Übermittlungen in Länder ohne Angemessenheitsbeschluss sieht sie EU-Standardvertragsklauseln vor. Unterauftragsverarbeiter nennt Scaleway in seiner Liste der Unterauftragsverarbeiter; seine eigene Verarbeitung beschreibt die Scaleway-Datenschutzerklärung.

16. E-Mail-Versand mit Scaleway und Brevo

Anmeldecodes, Website-Nachrichten, Löschnachweise und Kontaktformular über Scaleway: Die Anmeldecodes für App und Web-Portal (Abschnitt 7) versendet unser Anmeldedienst über den Dienst Transactional Email der Scaleway SAS, 8 rue de la Ville l'Evêque, 75008 Paris, Frankreich, als Auftragsverarbeiter; Absender ist eine Adresse unter auth.merkfaden.de. Über denselben Dienst geht der pseudonyme Löschnachweis an unser Support-Postfach (Abschnitt 13); er enthält keine E-Mail-Adresse. Ebenso übermitteln wir Nachrichten aus dem Kontaktformular der Website an unser Support-Postfach (Abschnitt 4); sie enthalten die von dir eingegebenen Angaben. Über denselben Dienst erhältst du die Nachrichten der Website zu Warteliste, Pro-Aktion und Widerruf: den Bestätigungslink, die Platznachricht mit den Teilnahmebedingungen als PDF, die Eingangsbestätigung eines Widerrufs und die Information zum App-Start (Abschnitt 17); Antworten darauf gehen an support@merkfaden.de. Scaleway erhält dafür Empfängeradresse, Absenderangaben, Betreff, Nachrichteninhalt und gegebenenfalls Anhänge, beim Anmeldecode also auch den Code. Der Versand erzeugt technische Daten über Annahme, Zustellung, Zustellversuche und Fehler, die Scaleway für uns in einer Versandübersicht bereithält. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO für die Anmeldecodes und die Nachrichten der Website zu Warteliste, Pro-Aktion und Widerruf, Art. 6 Abs. 1 lit. c DSGVO für Eingangsbestätigungen von Widerrufen und Art. 6 Abs. 1 lit. c i. V. m. Art. 17 und Art. 5 Abs. 2 DSGVO für den Löschnachweis; für Kontaktformular-Nachrichten gelten die Grundlagen aus Abschnitt 4. Soweit wir die Versanddaten nutzen, um Zustellprobleme zu beheben und Missbrauch zu erkennen, stützen wir uns auf Art. 6 Abs. 1 lit. f DSGVO und unser Interesse an einer zuverlässigen und sicheren Anmeldung.

Für diesen Versand haben wir die Region Paris gewählt; nach Angaben von Scaleway verarbeitet der Dienst personenbezogene Daten ausschließlich in der Europäischen Union. Nach den Vertragsbedingungen von Scaleway werden versandte Nachrichten nach ihrer Verarbeitung automatisch gelöscht; der Dienst ist kein E-Mail-Archiv. Für die technischen Versanddaten, etwa Empfängeradresse, Zeitpunkte und Zustellstatus, nennt Scaleway derzeit keine feste Speicherfrist. Wir haben bei Scaleway eine feste Frist angefragt und ergänzen sie hier, sobald Scaleway sie nennt. Öffnungen und Klicks messen wir bei diesem Versandweg nicht. Die Auftragsverarbeitung richtet sich nach der Scaleway-Vereinbarung aus Abschnitt 15.

Freiwillige Neuigkeiten über Brevo: Seltene Neuigkeiten zu Entwicklung und Start, die du bei der Anmeldung zur Warteliste ausdrücklich gewählt hast, versenden wir über die Schnittstelle von Brevo der Brevo GmbH, Köpenicker Straße 126, 10179 Berlin. Brevo erhält dafür die Empfängeradresse, Absenderangaben, Betreff und Nachrichteninhalt. Der Versand erzeugt technische Daten etwa über Annahme, Zustellung oder Fehler. Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Nachrichten zu Warteliste, Pro-Aktion und Widerruf gehen nicht über Brevo, sondern über Scaleway (oben). Vor dieser Fassung gingen auch sie über Brevo.

Die Auftragsverarbeitung ist in Anhang 3 der Brevo-Nutzungsbedingungen geregelt. Dort stehen auch Unterauftragnehmer und internationale Übermittlungen. Der deutsche Vertragspartner schließt Verarbeitung außerhalb des EWR nicht aus. Die Vereinbarung nennt hierfür geeignete Garantien; eine Kopie kann über den Link eingesehen oder bei uns angefragt werden. Brevos eigene Verarbeitung beschreibt die Brevo-Datenschutzrichtlinie.

Unsere Versandprotokolle bei Brevo sind auf einen Monat begrenzt; E-Mail-Vorschauen werden dort nicht aufbewahrt. Brevo kann Nachrichten als HTML ausliefern und unsichtbare Messbilder (Trackingpixel) ergänzen. Beim Laden eines solchen Bildes erhält Brevo einen Abruf, bei dem insbesondere Zeitpunkt, IP-Adresse bzw. Adresse eines vorgeschalteten Mail-Proxys, Angaben zum Mailprogramm oder Browser und eine technische Kennung verarbeitet werden können. Bei entsprechend aufbereiteten Links kann auch ein Klick erfasst werden. Automatische Bildabrufe durch Mailprogramme können solche Ereignisse auslösen, ohne dass du die Nachricht selbst gelesen hast. Wenn du das Laden von Bildern in deinem Mailprogramm abschaltest, bleiben unsere Nachrichten lesbar.

In unserem Brevo-Konto ist die anonymisierte Öffnungs- und Klickauswertung aktiviert. Uns angezeigte Öffnungs- und Klickereignisse werden dabei keinem einzelnen Empfängerkontakt zugeordnet. Diese Einstellung bedeutet nicht, dass überhaupt keine Abrufe oder technischen Daten bei Brevo anfallen. Wir verwenden keine individuellen Öffnungsprofile, kein darauf beruhendes Scoring und keine durch Öffnungen oder Klicks ausgelöste personalisierte Werbung. Die Messung bleibt auf die aggregierte technische Beurteilung des Mailbetriebs beschränkt. Soweit hierbei personenbezogene Daten verarbeitet werden, stützen wir diese Verarbeitung auf Art. 6 Abs. 1 lit. f DSGVO und unser Interesse an einem zuverlässigen Mailversand; die Anforderungen des Endgeräteschutzes bleiben davon unberührt.

Du kannst dich mit Fragen oder einem Widerspruch nach Maßgabe von Art. 21 DSGVO an support@merkfaden.de wenden. Wir prüfen dein Anliegen und eine alternative Kommunikation. Zusätzliche Produkt-E-Mails kannst du unabhängig davon über den Verwaltungslink abbestellen. Ein Brevo-Tracking-Skript wird auf Website und Web-Portal nicht eingebunden; die hier beschriebene Messung betrifft E-Mails.

17. Warteliste, Bestätigung und Pro-Aktion (Website)

Für deine Anmeldung verarbeiten wir deine E-Mail-Adresse, Anmelde- und Bestätigungszeitpunkte, die akzeptierte Bedingungsfassung, deine Teilnahmeerklärung, interne Kennungen und gegebenenfalls den vergebenen Pro-Platz. Grundlage ist Art. 6 Abs. 1 lit. b DSGVO: Anmeldung, nachweisbare Vergabe und Durchführung des von dir angefragten Angebots. Eine Anmeldung ist freiwillig. Ohne erreichbare E-Mail-Adresse können wir sie nicht bestätigen. Wir verlangen weder Zahlungsdaten noch Geburtsdatum, Ausweiskopie oder Gesundheitsdaten.

Nach der Anmeldung senden wir dir eine E-Mail mit einem persönlichen Bestätigungslink. Erst wenn du die Anmeldung über diesen Link bestätigst, ist sie abgeschlossen (Double-Opt-in). Der Link gilt 48 Stunden. Unbestätigte Anmeldungen löschen wir spätestens nach sieben Tagen; eine erneute Anmeldung nach Fristablauf ersetzt den alten, unbestätigten Eintrag. Bereits bestätigte Einträge werden durch erneute Anfragen nicht verändert. Je Person gibt es höchstens einen Aktionsplatz: Dafür vergleichen wir bei der Bestätigung die E-Mail-Adresse in einer Grundform (klein geschrieben, ohne „+“-Zusatz, bei Gmail ohne Punkte) mit den Einträgen, die schon einen Platz haben oder hatten. Besteht für die Grundform schon ein Platz, bleibt die neue Anmeldung auf der Warteliste ohne Platz; das sagen wir dir in der Bestätigung, und du kannst uns antworten, wenn die Adresse einer anderen Person gehört. Die Grundform leiten wir aus der gespeicherten Adresse ab; sie entfällt mit dem Eintrag.

Nach Ende deiner Teilnahme bzw. Ablauf der Aktion löschen wir operative Wartelistendaten innerhalb von 30 Tagen. Soweit konkrete offene Ansprüche oder gesetzliche Pflichten eine weitere Aufbewahrung erfordern, bewahren wir nur die notwendigen Nachweise für diesen Zweck auf und löschen sie nach Wegfall der Grundlage. Ein bloßer Newsletter-Widerruf beendet die Teilnahme nicht. Die Warteliste ist vom App-Konto getrennt: Eine Anmeldung legt kein App-Konto an, und die Löschung eines App-Kontos erfasst eine Wartelistenanmeldung nicht automatisch. Auf Wunsch löschen wir sie mit; nenne uns dafür die betroffene Adresse.

Zuordnung zu deinem App-Konto. Sobald Merkfaden regulär im App Store erschienen ist, ordnen wir einen Aktionsplatz deinem App-Konto zu, wenn du dich in der App oder im Web-Portal mit derselben, von dir bestätigten E-Mail-Adresse anmeldest. Dazu vergleicht eine Serverfunktion in unserer Datenbank bei Supabase in Frankfurt (Abschnitt 14) die bestätigte E-Mail-Adresse eines Kontos mit den bestätigten Einträgen der Warteliste, wenn App oder Web-Portal den Zugangsstand des Kontos abrufen. Die Adresse wird dabei weder an App oder Web-Portal übermittelt noch ein zweites Mal gespeichert; ohne Treffer speichern wir dazu nichts. Bei einem Treffer speichern wir an deinem Konto die Art des Zugangs („Aktion 100 Startplätze“), Beginn und Ende, eine zufällige Kennung deines Wartelistenplatzes, ob die Zuordnung automatisch oder von uns von Hand erfolgte, und gegebenenfalls Zeitpunkt und Grund eines vorzeitigen Endes – keine E-Mail-Adresse. Hast du dich mit „Mit Apple anmelden“ und verborgener E-Mail-Adresse registriert, ist kein automatischer Abgleich möglich; auf deine Nachricht von deiner Wartelisten-Adresse aus ordnen wir den Platz von Hand zu, verwenden dafür nur die Kennung deines Kontos und vermerken am Zugang eine kurze Notiz, worauf die Zuordnung beruht, ohne E-Mail-Adresse.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Durchführung der Aktion nach den Teilnahmebedingungen). Der Abgleich der Adressen von Konten ohne Wartelistenplatz bleibt ohne Treffer folgenlos; er beruht auf Art. 6 Abs. 1 lit. f DSGVO und unserem Interesse, zugesagte Aktionsplätze ohne zusätzliche Angaben zuordnen zu können. Die Zuordnung speichern wir bis zur Löschung deines Kontos; sie ist Teil deines Datenauszugs (Abschnitt 25). Endet deine Teilnahme durch Verzicht oder Widerruf, endet auch der Zugang. Löschen wir deine Wartelistendaten auf deinen Wunsch oder nach Ablauf der Frist, bleibt ein bereits entstandener Zugang bis zu seinem Ende bestehen. Eine reine Abmeldung von den Neuigkeiten ändert daran nichts.

18. Wartelisten-Datenbereich und Missbrauchsschutz

Die Warteliste liegt in einem eigenen Datenbereich unserer Supabase-Datenbank in Frankfurt (Abschnitt 14), auf den App und Web-Portal keinen Zugriff haben; nur die in Abschnitt 17 beschriebene Serverfunktion gleicht bestätigte Adressen ab. Formularanfragen der Website (Warteliste, Widerruf, Kontakt) leitet ein Cloudflare Worker an diesen Bereich weiter; dabei übergibt er deine IP-Adresse für den Missbrauchsschutz.

Bestätigungs- und Verwaltungslinks verwenden zufällige Token; für deren Abgleich speichern wir Hashwerte. Noch benötigte Nachrichteninhalte in der Versandwarteschlange sind zusätzlich verschlüsselt und werden nach Annahme durch den Versanddienst aus dieser Warteschlange entfernt. Zur Missbrauchsbegrenzung verarbeiten wir kurzlebige, aus der IP-Adresse (bei IPv6 aus ihrem Netzpräfix) abgeleitete, mit einem geheimen Wert geschützte Kennungen; IP-bezogene Kennungen löschen wir nach Ablauf des jeweiligen Zeitfensters bei der nächsten Bereinigung. An dieselbe noch unbestätigte Anmeldung senden wir höchstens drei Bestätigungslinks innerhalb von 24 Stunden; der zuletzt gesendete bleibt gültig. Über das Widerrufsformular senden wir an dieselbe E-Mail-Adresse höchstens zwei automatische Eingangsbestätigungen innerhalb von 24 Stunden. Jede angenommene Erklärung wird trotzdem vollständig gespeichert und bearbeitet; eine zurückgehaltene Bestätigung schicken wir nach Prüfung nach. Dafür speichern wir statt der Adresse einen mit dem geheimen Wert gebildeten Prüfwert ihrer Grundform (ohne „+“-Zusatz, bei Gmail ohne Punkte), den wir mit dem Widerrufsfall löschen. Eine Erklärung verdrängt so nie eine spätere. Grundlage ist Art. 6 Abs. 1 lit. f DSGVO, unser Interesse am Schutz vor automatisierten Massenanmeldungen und unbefugtem Versand. Technische Betriebsprotokolle der beteiligten Anbieter bleiben davon unberührt.

19. Freiwillige Neuigkeiten

Wenn du „Dabei sein“ mit dem sichtbaren Hinweis auf seltene Neuigkeiten auswählst, die Auswahl im Anmeldedialog bestätigst und anschließend deine E-Mail-Adresse bestätigst, willigst du in E-Mails von Merkfaden über Entwicklung und Start ein. Wir speichern Auswahl, Erklärungsfassung und Bestätigung als Nachweis. Grundlage sind Art. 6 Abs. 1 lit. a und Art. 7 DSGVO sowie die Regeln für elektronische Werbung. „Nur Warteliste“ ermöglicht dieselbe Teilnahme und dieselbe Chance auf Pro ohne diese zusätzlichen Nachrichten.

Du kannst die Einwilligung jederzeit über den Verwaltungs-/Abmeldelink oder per E-Mail an support@merkfaden.de zurücknehmen. Dein Aktionsplatz bleibt erhalten. Die Rechtmäßigkeit bereits erfolgter Verarbeitung bleibt unberührt. Für weitere Werbung wird die Adresse nach dem Widerruf nicht mehr genutzt. Notwendige Vertragsnachrichten sind davon getrennt. Ohne neue Einwilligung endet dieser Aktionsverteiler spätestens am 31. Mai 2027.

20. Sicherheitsprüfung auf der Website erst nach deiner Auswahl

Das Anmeldefenster öffnet sich erst nach deinem Klick. Erst mit „Zustimmen & anmelden“ lädst du dort Cloudflare Turnstile und willigst in die zugehörige Verarbeitung ein. Verlangt das Widerrufsformular vor dem Absenden eine Sicherheitsprüfung, lädt Turnstile dort ebenfalls erst nach deiner gesonderten Auswahl „Zustimmen & Prüfung laden“. Im Kontaktformular lädt Turnstile erst, wenn du „Nachricht senden“ wählst; der Hinweis direkt beim Knopf nennt die Prüfung (Abschnitt 4). Der reine Seitenbesuch und das bloße Öffnen des Dialogs aktivieren diese Einbindung nicht. Grundlage auf unserer Seite sind Art. 6 Abs. 1 lit. a DSGVO und, soweit erforderlich, § 25 Abs. 1 TDDDG bzw. § 165 Abs. 3 TKG 2021. Für die Sicherheitsprüfung in App und Web-Portal gilt Abschnitt 9.

Cloudflare verarbeitet für die Prüfung insbesondere IP-Adresse, Browser-, Geräte-, Verbindungs- und Prüfsignale. Dabei ist eine Verarbeitung in den USA möglich. Name, E-Mail-Adresse, Neuigkeiten-Auswahl, Widerrufserklärung und Kontaktnachricht werden nicht an die Turnstile-Prüf-API übergeben. Die technische Website-/API-Auslieferung über Cloudflare bleibt davon getrennt und umfasst die Weiterleitung deiner Formularanfrage an unser Backend. Informationen zu Cloudflare und internationalen Übermittlungen stehen in Abschnitt 2; ergänzend gelten die Cloudflare-Datenschutzhinweise.

Du kannst eine laufende Sicherheitsprüfung abbrechen, indem du das Anmeldefenster über das × schließt; wenn das Widerrufsformular eine Prüfung anbietet, auch dort über „Prüfung beenden & Seite neu laden“. Wenn die Prüfung bereits gestartet wurde, wird die Seite neu geladen und die Einbindung beendet; dabei können ungesendete Eingaben verloren gehen. Die Rechtmäßigkeit bereits erfolgter Verarbeitung bleibt bestehen. Ohne Turnstile kannst du uns unter support@merkfaden.de um Unterstützung bei der Anmeldung bitten. Eine solche Nachricht ist keine Newsletter-Einwilligung. Einen Widerruf kannst du ohne diese Prüfung direkt per E-Mail oder Brief erklären; der Mustertext und die Anschrift stehen auf der Widerrufsseite. Die Prüfung verlangt kein Konto und belegt nicht, dass dir eine eingegebene E-Mail-Adresse gehört.

21. Elektronischer Widerruf

Bei Nutzung des Widerrufsformulars verarbeiten wir deine E-Mail-Adresse, die feste Vertragsbezeichnung, deine Erklärung, den Eingang und, nur falls du ihn freiwillig angibst, deinen Namen, um den Widerruf zu dokumentieren und zu bearbeiten. Grundlage sind Art. 6 Abs. 1 lit. b und c DSGVO. Die Eingangsbestätigung versenden wir über Scaleway (Abschnitt 16). Bei einer aktiven Anmeldung an dieselbe Adresse kann die Bestätigung zusätzlich einen persönlichen Verwaltungslink für genau diese Widerrufsmeldung enthalten. Er enthält einen zufälligen Token, den wir nur als Hash speichern; der Token steht ausschließlich im URL-Fragment und wird vor der Serveranfrage aus der Adresszeile entfernt. Erst ein sichtbarer Bestätigungsklick beendet die Teilnahme und markiert diese Meldung als technisch erledigt. Gleichzeitig erhält das zuständige Support-Postfach eine Nachricht mit einer zufälligen Prüfnummer, aber ohne Namen, E-Mail-Adresse oder Inhalt deiner Erklärung. Sie dient allein dazu, die fristgerechte Prüfung zu veranlassen. Der Link ist keine Voraussetzung für die Wirksamkeit der Erklärung. Eine fremde E-Mail-Adresse allein berechtigt nicht zur Löschung. Erklärungen werden nach abschließender Bearbeitung binnen 30 Tagen gelöscht, soweit keine konkreten Nachweis- oder Aufbewahrungspflichten entgegenstehen.

22. Empfänger und Übermittlungen in Drittländer

Wir verkaufen keine personenbezogenen Daten und geben sie nicht zu Werbezwecken weiter. Wir setzen die folgenden Dienstleister ein. Auftragsverarbeiter verarbeiten Daten nur nach unserer Weisung auf Grundlage eines Vertrags nach Art. 28 DSGVO; sie können Unterauftragsverarbeiter einsetzen, die sie in ihren Verträgen bzw. Listen nennen.

• Cloudflare, Inc., USA (Abschnitt 2): Auslieferung von Website und Web-Portal, Weiterleitung der Website-Formulare, Sicherheitsprüfung Turnstile, Speicher der Aufgabenpakete und Lerntexte. Für US-Übermittlungen nennt Cloudflare seine Zertifizierung unter dem EU–US Data Privacy Framework, für das ein Angemessenheitsbeschluss der EU-Kommission besteht; ergänzend sieht die Vereinbarung zur Auftragsverarbeitung EU-Standardvertragsklauseln vor. Für den Betrieb und Schutz seines Netzes verarbeitet Cloudflare Daten auch zu eigenen Zwecken.
• Supabase Pte. Ltd., Singapur, mit unserer Datenbank in Frankfurt (Abschnitt 14): Konto, Synchronisation, Serverschnittstellen und Warteliste. Für den Vertragspartner in Singapur und für Zugriffe von Unterauftragsverarbeitern außerhalb des EWR, etwa in den USA, sieht die Supabase-Vereinbarung EU-Standardvertragsklauseln vor.
• Scaleway SAS, Paris, Frankreich (Abschnitte 15 und 16): Erstellung und Speicherung der täglichen, verschlüsselten Sicherungskopien unserer Datenbank sowie Versand von Anmeldecodes, der Nachrichten der Website an dich (Warteliste, Pro-Aktion, Widerruf) sowie von Löschnachweisen und Kontaktformular-Nachrichten an unser Support-Postfach, jeweils in der Region Paris. Eine Übermittlung in Drittländer ist dafür nicht vorgesehen.
• Brevo GmbH, Berlin (Abschnitt 16): Versand freiwilliger Neuigkeiten, nur mit deiner Einwilligung. Einzelne Unterauftragsverarbeiter können außerhalb des EWR sitzen; die Brevo-Vereinbarung nennt hierfür geeignete Garantien.
• Anthropic Ireland, Limited, Dublin, Irland, als Vertragspartner; gespeichert wird in den USA, verarbeitet werden kann auch in Europa, Asien und Australien, auch durch die Anthropic, PBC und weitere Unterauftragsverarbeiter (Abschnitt 12): KI-Funktionen, erst nach ihrer Freischaltung in der App und nur nach deiner Einwilligung. Grundlage der Übermittlung in die USA und in die übrigen genannten Drittländer sind die EU-Standardvertragsklauseln (Module 2 und 3) der Vereinbarung zur Auftragsverarbeitung; im Verzeichnis des EU–US Data Privacy Framework ist Anthropic nicht eingetragen (Abfrage am 18.10.2026).
• Zoho Corporation GmbH, Essen, Deutschland (Abschnitt 4): Postfach für Nachrichten an support@merkfaden.de im EU-Rechenzentrum von Zoho. Für Supportzugriffe aus Drittländern, insbesondere Indien, sieht Zoho EU-Standardvertragsklauseln vor.
• Apple (Abschnitt 10, Abschnitt 7): App Store, Käufe und „Mit Apple anmelden“. Apple ist dafür eigenständig verantwortlich; es gilt die Datenschutzrichtlinie von Apple.

Für Singapur, Indien, Australien und weitere Länder außerhalb des EWR ohne Angemessenheitsbeschluss, in die Anthropic Anfragen leiten kann, und für US-Empfänger ohne Zertifizierung unter dem Data Privacy Framework besteht kein Angemessenheitsbeschluss der EU-Kommission. Auch mit Standardvertragsklauseln lässt sich dort ein Zugriff staatlicher Stellen nicht ausschließen, gegen den dir möglicherweise keine gleichwertigen Rechtsbehelfe zustehen. Eine Kopie der jeweiligen Garantien kannst du über die verlinkten Anbieterseiten einsehen oder bei uns anfordern. Behörden, Gerichte oder beauftragte Berater erhalten Daten nur, soweit wir rechtlich dazu verpflichtet sind oder es zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich ist (Art. 6 Abs. 1 lit. c bzw. f DSGVO).

23. Speicherdauer im Überblick

• Lokale App- und Browserdaten: bis du sie löschst, dich im Web-Portal abmeldest oder App bzw. Browserdaten entfernst (Ausnahmen in Abschnitt 5 und Abschnitt 3).
• Konto-, Lern- und Kaufdaten sowie Zustimmungsnachweise: bis zur Löschung deines Kontos (Abschnitt 13).
• Zuordnung eines Aktionsplatzes zum App-Konto: bis zur Löschung des Kontos (Abschnitt 17).
• Sicherungskopien der Datenbank: 28 Tage ab Erstellung, danach automatische Löschung; die endgültige Entfernung beim Anbieter kann technisch bedingt wenige Tage später liegen (Abschnitt 15).
• Abrufzähler für Aufgabenpakete und Lerntexte: laufend überschrieben, gelöscht mit dem Konto.
• Pseudonymer Löschnachweis nach einer Kontolöschung: so lange, bis keine Sicherung mehr existiert, die das Konto enthält; eine automatische Löschung danach ist noch nicht eingerichtet (Abschnitt 13).
• Protokoll von Anmeldeereignissen unseres Anmeldedienstes: noch ohne automatische Löschfrist, auch über eine Kontolöschung hinaus (Abschnitt 14).
• Sperrliste der KI-Funktionen: bis zur Aufhebung der Sperre (Abschnitt 12).
• Prüfnachweise der Sicherheitsprüfung: nur kurzzeitig im Arbeitsspeicher, nicht dauerhaft gespeichert.
• Betriebsprotokolle von Cloudflare und Supabase: nach den Betriebs-, Sicherheits- und Tariffristen der Anbieter; eine einheitliche feste Frist können wir nicht nennen; abrufbare Anfrageprotokolle bei Supabase derzeit höchstens sieben Tage (Abschnitt 14).
• Versanddaten bei Scaleway (Anmeldecodes, Website-Nachrichten, Löschnachweise, Kontaktformular): keine feste Frist des Anbieters; die Nachrichteninhalte löscht Scaleway nach dem Versand (Abschnitt 16).
• Brevo-Versandprotokolle (freiwillige Neuigkeiten; vor Fassung V4.5 auch Wartelisten-Nachrichten): ein Monat.
• Warteliste: Bestätigungslink 48 Stunden; unbestätigte Anmeldungen spätestens nach sieben Tagen; operative Daten 30 Tage nach Ende der Teilnahme bzw. der Aktion; IP-bezogene Kennungen nach Ablauf des Zeitfensters; Prüfwert der Adresse für Widerrufsbestätigungen mit dem Widerrufsfall (Abschnitte 17 und 18).
• Freiwillige Neuigkeiten: bis zum Widerruf, spätestens bis 31. Mai 2027.
• Widerrufsformular: 30 Tage nach abschließender Bearbeitung, soweit keine konkreten Nachweis- oder Aufbewahrungspflichten entgegenstehen.
• Kontaktformular: Versandauftrag bis zur Annahme durch Scaleway, höchstens 30 Tage; Anfragekennung und Fingerabdruck 30 Tage (Abschnitt 4).
• Support-Korrespondenz und Meldungen zu KI-Antworten: bis zur Erledigung, danach nur soweit gesetzliche Aufbewahrungspflichten oder erforderliche Nachweise für bestehende Ansprüche bestehen.
• Kalendertermine: bis du oder die App sie entfernst.
• KI-Anfragen und -Antworten bei Anthropic: grundsätzlich spätestens 30 Tage nach Eingang bzw. Erzeugung; bei einem möglichen Verstoß gegen die Nutzungsrichtlinien bis zu zwei Jahre, Sicherheitsbewertungen bis zu sieben Jahre (Abschnitt 12).
• Protokolle unserer KI-Serverschnittstelle: ohne Inhalte und ohne Kontokennung, nach den Betriebsfristen von Supabase.

Gesetzliche Aufbewahrungspflichten gehen vor; betroffene Daten verwenden wir dann nur noch für diesen Zweck.

24. Pflicht zur Bereitstellung, automatisierte Entscheidungen und Altersgrenzen

Eine gesetzliche oder vertragliche Pflicht, uns Daten bereitzustellen, besteht nicht. Die App kannst du ohne Angaben an uns nutzen. Für ein Konto brauchen wir eine E-Mail-Adresse oder die Anmeldung mit Apple, für die Warteliste eine erreichbare E-Mail-Adresse; ohne sie können wir die jeweilige Funktion nicht anbieten. Einwilligungen, etwa in Neuigkeiten oder in den Kalender-Vollzugriff, sind freiwillig; ohne sie stehen nur die jeweiligen Funktionen nicht zur Verfügung.

Die App und das Web-Portal werten deine Antworten aus, um Statistik, Wiederholungen und deinen Lernplan zu berechnen und schwächere Bereiche vorzuschlagen. Das dient ausschließlich deiner eigenen Lernsteuerung. Es gibt keine automatisierte Entscheidung im Sinne von Art. 22 DSGVO, die dir gegenüber rechtliche Wirkung entfaltet oder dich in ähnlicher Weise erheblich beeinträchtigt. Wir erstellen keine Prognose deines Testergebnisses und geben keine Auswertungen an Dritte weiter. Die Vergabe der 100 Aktionsplätze erfolgt nach dem bestätigten Eingang und der serverseitigen Verarbeitungsfolge, ohne Bewertung persönlicher Eigenschaften; auch die Zuordnung zu deinem App-Konto beruht allein auf der übereinstimmenden bestätigten E-Mail-Adresse. Du kannst eine Zuordnung durch uns überprüfen lassen.

Merkfaden richtet sich an Personen, die sich auf den Test TMSnat für das Medizinstudium vorbereiten. Die Teilnahme an Warteliste und Aktion ist nach den Aktionsbedingungen ab 16 Jahren möglich. Die KI-Funktionen kannst du erst ab 18 Jahren nutzen; das bestätigst du bei der Einwilligung selbst (Abschnitt 12), ohne Geburtsdatum oder Ausweis. Grund sind die Vorgaben unseres KI-Anbieters für Angebote, die Minderjährige nutzen. Hast du die KI-Funktionen früher mit der Bestätigung „mindestens 16 Jahre“ freigeschaltet, fragen dich App und Web-Portal einmal nach der neuen Bestätigung; bis dahin bleiben die KI-Funktionen ausgeschaltet, alles andere nutzt du unverändert. Deine bisherige Einwilligung kannst du jederzeit widerrufen (in der App unter „Profil → KI-Einwilligungen“, im Web-Portal unter „Konto“). Käufe laufen über Apple; dort gelten Apples Regeln, etwa zur Familienfreigabe.

25. Deine Rechte

Nach den gesetzlichen Voraussetzungen hast du das Recht auf Auskunft und eine Kopie deiner Daten (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18) und Datenübertragbarkeit (Art. 20). Eine Einwilligung kannst du jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3 DSGVO); die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung bleibt unberührt. Für Neuigkeiten genügt der Abmeldelink, für den Kalender-Vollzugriff die Änderung in den iOS-Einstellungen.

Datenauszug zum Selbstabruf: Eine Kopie der Daten, die zu deinem Konto auf unserem Server gespeichert sind, kannst du im Web-Portal unter „Konto → Meine Daten herunterladen“ selbst als JSON-Datei abrufen; die App verlinkt dorthin unter „Profil → Rechtliches“. Dafür ist eine Anmeldung nötig, die höchstens 15 Minuten zurückliegt. Enthalten sind auch deine Anmeldewege und Anmeldesitzungen (Zeitpunkt, IP-Adresse, Gerät bzw. Browser, Anmeldeverfahren), nicht aber die Zugangsschlüssel dieser Sitzungen. Was die Datei nicht enthält – etwa Daten, die nur in der App auf deinem Gerät oder in deinem Browser liegen, eine Wartelistenanmeldung auf der Website oder Betriebsprotokolle unserer Dienstleister –, nennt sie selbst unter „nicht_enthalten“. Auskunft auch dazu erhältst du auf eine Anfrage per E-Mail an support@merkfaden.de, die daneben jederzeit möglich bleibt.

Widerspruchsrecht: Soweit wir Daten auf Grundlage berechtigter Interessen (Art. 6 Abs. 1 lit. f DSGVO) verarbeiten, kannst du aus Gründen, die sich aus deiner besonderen Situation ergeben, jederzeit widersprechen (Art. 21 DSGVO). Wir verarbeiten die Daten dann nicht mehr, es sei denn, wir können zwingende schutzwürdige Gründe nachweisen, die deine Interessen, Rechte und Freiheiten überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen. Der Verwendung deiner Daten für Direktwerbung kannst du jederzeit ohne Begründung widersprechen.

Für alle Anliegen genügt eine Nachricht an support@merkfaden.de. Lokal gespeicherte Daten in App und Browser können wir nicht einsehen; du kannst sie dort selbst ansehen und löschen. Damit wir Auskünfte nur dir geben, antworten wir grundsätzlich an die E-Mail-Adresse deines Kontos bzw. deiner Anmeldung und dürfen bei begründeten Zweifeln an deiner Identität zusätzliche Angaben verlangen. Hast du ein Kaufkonto ohne E-Mail-Adresse, kannst du den Datenauszug nicht selbst abrufen; schreib uns dann an support@merkfaden.de. Wir ordnen deine Anfrage über geeignete Nachweise zu, etwa die Bestellnummer aus deinem Apple-Kaufbeleg, und verlangen dafür nicht pauschal eine Ausweiskopie. Wir antworten unverzüglich, spätestens innerhalb eines Monats; in komplexen Fällen kann sich die Frist nach Art. 12 Abs. 3 DSGVO um bis zu zwei weitere Monate verlängern, worüber wir dich dann informieren.

Du kannst dich bei einer Datenschutzaufsichtsbehörde beschweren, insbesondere in dem Mitgliedstaat deines gewöhnlichen Aufenthalts, deines Arbeitsplatzes oder des mutmaßlichen Verstoßes (Art. 77 DSGVO). Für unseren österreichischen Sitz ist die Österreichische Datenschutzbehörde eine Anlaufstelle; in Deutschland kannst du dich auch an die Datenschutzaufsichtsbehörde deines Bundeslandes wenden. Du kannst dich natürlich zuerst an uns wenden. Wohnst du in der Schweiz, gilt für dich zusätzlich das Schweizer Datenschutzgesetz; du kannst dich auch an den Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) wenden.

26. Änderungen dieser Datenschutzerklärung

Wir passen diese Datenschutzerklärung an, wenn sich unsere Verarbeitungen oder die Rechtslage ändern, insbesondere bevor wir neue Funktionen wie KI-Funktionen einführen. Die jeweils aktuelle Fassung steht unter dieser Adresse. Frühere Fassungen senden wir dir auf Anfrage zu. Ändert sich eine Verarbeitung, die auf deiner Einwilligung beruht, wesentlich, fragen wir dich erneut, bevor wir sie fortsetzen.