Datenschutzerklärung

1. Verantwortlicher

Vincent Adler
Donnerbrink 3
33619 Bielefeld
Deutschland
E-Mail: kontakt@deinstudienweg.de

Ein Datenschutzbeauftragter ist gesetzlich nicht erforderlich. Für alle Anfragen zum Datenschutz ist der Verantwortliche direkt erreichbar.

2. Überblick der Verarbeitungszwecke

Wir verarbeiten personenbezogene Daten, um dir folgende Funktionen bereitzustellen:

• Kostenloses Quiz mit KI-gestützten Studiengang-Vorschlägen
• Nutzerkonto (E-Mail/Passwort oder Google-Login) und Dashboard
• Kostenpflichtiger Report (einmalig 10 €) und Pro-Abo (9 €/Monat oder 39 €/Jahr)
• Zahlungsabwicklung über Paddle als Merchant of Record
• Kaufbestätigungen, Rechnungen und servicebezogene E-Mails
• Warteliste für neue Funktionen mit Double-Opt-In
• Betrieb, Sicherheit und Missbrauchsprävention

3. Rechtsgrundlagen

Die Verarbeitung erfolgt je nach Zweck auf einer der folgenden Rechtsgrundlagen:

• Art. 6 Abs. 1 lit. b DSGVO – Vertragserfüllung und vorvertragliche Maßnahmen (Konto, Report, Pro-Abo, Kaufabwicklung).
• Art. 6 Abs. 1 lit. a DSGVO – Einwilligung (Warteliste per Double-Opt-In, ausdrücklicher Widerrufsverzicht bei sofortiger Freischaltung digitaler Inhalte).
• Art. 6 Abs. 1 lit. c DSGVO – Rechtliche Verpflichtungen (z. B. handels- und steuerrechtliche Aufbewahrungsfristen für Rechnungsdaten).
• Art. 6 Abs. 1 lit. f DSGVO – Berechtigtes Interesse an einem sicheren, funktionalen und missbrauchsfreien Angebot (Server-Logs, Betrugsprävention, Rate-Limits).

4. Konto und Authentifizierung

Für Login und Konto nutzen wir den Auth-Dienst unseres Backend-Anbieters (siehe Abschnitt 10). Verarbeitet werden E-Mail-Adresse, ein sicher gehashtes Passwort sowie Metadaten wie Anmelde-Zeitstempel und IP-Adresse zur Betrugserkennung.

Google-Login (OAuth 2.0): Wenn du dich mit Google anmeldest, werden die von Google freigegebenen Basis-Profildaten (E-Mail, Google-Nutzer-ID, ggf. Name) an uns übermittelt. Es werden keine Google-Kontakte, Kalender oder Drive-Inhalte abgerufen. Anbieter: Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland. Weitere Informationen: policies.google.com/privacy.

5. Quiz-, Assessment- und Reportdaten

Deine Antworten aus Free Quiz und Deep Assessment sowie die daraus generierten Empfehlungen (Report) werden in unserer Datenbank gespeichert, damit du sie in deinem Dashboard erneut aufrufen, den Report erneut generieren und deine Abi-Note bei Bedarf aktualisieren kannst.

Zur Bewertung der NC-Ampel verarbeiten wir deine Abi-Note lokal in unserer Anwendung gegen einen statischen Referenzdatensatz. Es findet keine automatisierte Einzelfall-Entscheidung mit rechtlicher Wirkung im Sinne von Art. 22 DSGVO statt; die Empfehlungen dienen ausschließlich der Orientierung.

6. KI-gestützte Empfehlungen (Lovable AI Gateway)

Zur Erstellung der Studiengang-Empfehlungen werden deine Quiz-Antworten und – im Fall des Deep Assessments – deine erweiterten Angaben an unseren KI-Anbieter (Lovable AI Gateway) übermittelt und dort im Rahmen der Anfrage verarbeitet. Wir übermitteln keine direkt-identifizierenden Daten wie Name, E-Mail-Adresse oder Konto-ID; die Anfrage enthält ausschließlich die für die Empfehlung notwendigen Antworten.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung). Die Verarbeitung durch den KI-Anbieter erfolgt auf Grundlage eines Auftrags­verarbeitungs­vertrags. Die Inhalte deiner Prompts werden vom Anbieter nicht zum Training eigener Modelle verwendet.

7. Zahlungsabwicklung (Paddle als Merchant of Record)

Für den einmaligen Report (10 €) sowie das Pro-Abo (9 €/Monat bzw. 39 €/Jahr) nutzen wir Paddle.com Market Ltd., Judd House, 18–29 Mora Street, London EC1V 8BT, Vereinigtes Königreich, bzw. Paddle.com Inc. (USA) als Merchant of Record. Paddle wickelt Zahlung, Rechnungsstellung, Umsatzsteuer/Sales Tax, Rückerstattungen und Rückbuchungen eigenverantwortlich als Verkäufer ab.

An Paddle übermitteln wir deine interne Nutzer-ID (UUID) sowie – sofern von dir eingegeben – deine E-Mail-Adresse und Rechnungsdaten. Zahlungsmitteldaten (Karte, PayPal, SEPA etc.) werden ausschließlich bei Paddle verarbeitet; wir erhalten lediglich Zahlungsstatus, Betrag, Währung, Transaktions-ID sowie – im Fall eines Abos – die Abrechnungsperiode. Details: paddle.com/legal/privacy.

8. Warteliste (Double-Opt-In)

Wenn du dich für die Warteliste („Studienweg Plus" bzw. neue Funktionen) einträgst, speichern wir deine E-Mail-Adresse und einen einmaligen Bestätigungs-Token. Du erhältst eine Bestätigungsmail und musst deine Anmeldung aktiv per Klick bestätigen (Double-Opt-In). Ohne Bestätigung wird dein Eintrag nach 30 Tagen automatisch gelöscht. Du kannst dich jederzeit per E-Mail an kontakt@deinstudienweg.de austragen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung).

9. Transaktionale E-Mails

Wir versenden servicebezogene E-Mails (z. B. Registrierungs-Bestätigung, Passwort-Reset, Kaufbestätigung mit Rechnungslink, Warteliste-Bestätigung) über einen spezialisierten Mail-Dienstleister. Verarbeitet werden E-Mail-Adresse, Inhalt und Zustellmetadaten (Zeitpunkt, Zustellstatus). Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Werbe- oder Newsletter-Mails versenden wir ohne separate Einwilligung nicht.

10. Auftragsverarbeiter und Subprozessoren

Wir setzen sorgfältig ausgewählte Dienstleister ein, mit denen jeweils ein Auftragsverarbeitungs­vertrag nach Art. 28 DSGVO besteht:

• Lovable (Hosting-Plattform, EU/USA) – Bereitstellung der Anwendung, Deployment und Domainanbindung.
• Cloudflare, Inc. (USA/global) – Ausspielung der Anwendung über Edge-Nodes, DDoS-Schutz, TLS-Terminierung. Verarbeitung von IP-Adresse, User-Agent, angeforderter URL im Rahmen technischer Logs.
• Supabase (Datenbank, Auth, Storage; EU-Region) – Speicherung von Konto-, Quiz-, Assessment-, Report- und Kaufdaten in einer EU-gehosteten PostgreSQL-Datenbank mit Row-Level-Security.
• Paddle.com Market Ltd. (UK) / Paddle.com Inc. (USA) – Merchant of Record für Zahlungsabwicklung, Rechnungsstellung, Umsatzsteuer und Rückerstattungen.
• Lovable AI Gateway (EU/USA) – Ausführung der KI-Modelle für Studiengang-Empfehlungen. Prompts werden nicht zum Modell-Training verwendet.
• Resend (E-Mail-Versand, EU/USA) – Versand transaktionaler E-Mails.
• Google Ireland Ltd. (Irland) – nur bei aktivem Google-Login, siehe Abschnitt 4.

11. Datenübermittlung in Drittländer

Einige Auftragsverarbeiter (u. a. Cloudflare, Paddle, Lovable AI Gateway, Resend) verarbeiten Daten teilweise in den USA oder im Vereinigten Königreich. Für das Vereinigte Königreich besteht ein Angemessenheits­beschluss der EU-Kommission. Für Übermittlungen in die USA stützen wir uns auf Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO) und – soweit anwendbar – auf die Zertifizierung des Empfängers unter dem EU-U.S. Data Privacy Framework.

12. Hosting, Server-Logs und Sicherheit

Bei jedem Aufruf verarbeiten unsere Hoster (Lovable/Cloudflare) technisch notwendige Server-Logs: IP-Adresse, Zeitstempel, Referrer, User-Agent, angeforderte URL und HTTP-Status. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Betrieb, Fehleranalyse, Missbrauchsabwehr).

Technisch-organisatorische Maßnahmen: TLS-Verschlüsselung (HTTPS) im Transport, Verschlüsselung der Datenbank at rest, rollenbasierte Zugriffskontrolle, Row-Level-Security in der Datenbank, gehashte Passwörter, Rate-Limits gegen Brute-Force sowie regelmäßige Sicherheits-Scans der Anwendung.

13. Cookies und lokale Speicherung

Wir verwenden ausschließlich technisch notwendige Cookies bzw. Local Storage:

• Session-Token deines Logins (bis zum Ausloggen bzw. Ablauf)
• Theme-Präferenz (hell/dunkel)
• Zwischenspeicherung deiner Quiz-Entwürfe, damit du sie nicht verlierst

Es werden keine Tracking-, Analyse- oder Werbe-Cookies gesetzt. Ein Cookie-Banner ist daher nicht erforderlich.

14. Speicher- und Aufbewahrungsfristen

• Konto- und Quizdaten: bis zu deinem Löschantrag; spätestens 24 Monate nach der letzten Anmeldung werden inaktive Konten gelöscht.
• Report-Inhalte: so lange dein Konto besteht, damit du sie erneut aufrufen kannst.
• Kaufbezogene Daten (Kaufstatus, Transaktions-ID): 10 Jahre gemäß § 147 AO / § 257 HGB.
• Rechnungen: werden von Paddle als Merchant of Record 10 Jahre aufbewahrt.
• Warteliste: bis zur Austragung; unbestätigte Einträge nach 30 Tagen.
• Server-Logs: in der Regel 14 Tage, danach automatisierte Löschung bzw. Anonymisierung.

15. Deine Rechte

Dir stehen nach der DSGVO die folgenden Rechte zu:

• Auskunft über die zu deiner Person verarbeiteten Daten (Art. 15)
• Berichtigung unrichtiger Daten (Art. 16)
• Löschung (Art. 17)
• Einschränkung der Verarbeitung (Art. 18)
• Datenübertragbarkeit (Art. 20)
• Widerspruch gegen Verarbeitungen auf Basis berechtigter Interessen (Art. 21)
• Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft (Art. 7 Abs. 3)

Zur Ausübung reicht eine formlose Nachricht an kontakt@deinstudienweg.de. Zusätzlich hast du das Recht, dich bei einer Aufsichtsbehörde zu beschweren – für uns zuständig ist die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW).

16. Änderungen dieser Datenschutzerklärung

Wir passen diese Erklärung an, wenn sich unsere Verarbeitungen oder die Rechtslage ändern. Die jeweils aktuelle Fassung findest du stets auf dieser Seite.