Datenschutzerklärung

1. Verantwortlicher

Sebastian Krummenacher · skrummen.de, Brückengasse 1b, 78462 Konstanz, Deutschland.

Datenschutzkontakt: datenschutz@skrummen.de

2. Welche Daten wir wofür verarbeiten

• Konto: E-Mail-Adresse, Name, Anmeldedaten und Kontoeinstellungen, um dein Konto bereitzustellen (Art. 6 Abs. 1 lit. b DSGVO).
• Lernen: Lernstände, Markierungen, Filter, Projekte, Gespräche mit dem Buddy, hochgeladene Dateien und ausgewählte Quellen, um das Lernangebot zu erbringen (Art. 6 Abs. 1 lit. b DSGVO).
• Zahlungen und Rechnungen: gebuchte Zeiträume, Credits, Zahlungsstatus und Rechnungen, um den Vertrag abzurechnen und gesetzliche Aufbewahrungspflichten zu erfüllen (Art. 6 Abs. 1 lit. b und c DSGVO). Karten- und Kontodaten erhält nur Stripe, nicht wir.
• Kontakt, Widerruf und Kündigung: die Angaben in den Formularen, um deine Anfrage oder Erklärung zu bearbeiten und ihren Eingang nachzuweisen (Art. 6 Abs. 1 lit. b und c DSGVO).
• Betrieb und Sicherheit: technisch notwendige Protokolldaten wie IP-Adresse, Zeitpunkt und aufgerufene Funktion, um den Dienst sicher und stabil zu betreiben und Missbrauch abzuwehren, etwa durch Begrenzung der Anfragen (Art. 6 Abs. 1 lit. f DSGVO).
• Reichweite der öffentlichen Seiten: Auf Startseite, „So funktioniert's“, FAQ, Preisen und „Über Psychotera“ messen wir mit Vercel Web Analytics und Vercel Speed Insights ohne Cookies Seitenaufrufe, Herkunftsseite, Gerätetyp, Browser, Land und Ladezeiten. Abfrageparameter außer den Kampagnenangaben utm_source, utm_medium und utm_campaign werden vorher entfernt (Art. 6 Abs. 1 lit. f DSGVO, unser Interesse an der Reichweite unseres Angebots).
• Nutzung und Geschwindigkeit der App: Bist du angemeldet, messen wir mit denselben Werkzeugen und ebenfalls ohne Cookies, welche Bereiche der App aufgerufen werden und wie schnell sie laden und reagieren, mit Gerätetyp, Browser und Land. Übermittelt wird nur die Art der Seite, etwa „MC-Deck“, nie die konkrete Adresse, keine Kennungen von Decks, Fragen oder Unterhaltungen, keine Eingaben oder Inhalte und nichts, was dich als Person erkennbar macht. Anmelde-, Registrierungs- und Passwortseiten messen wir nicht (Art. 6 Abs. 1 lit. f DSGVO, unser Interesse an einer schnellen und gut nutzbaren App).
• Herkunft und Erfolg des Angebots: Kommst du über einen Link mit Kampagnenangabe zur Registrierung, speichern wir die Quelle (etwa „google“) einmal an deinem Konto. Nach der ersten Zahlung fragen wir einmal freiwillig, wie du von uns erfahren hast. Erfolgreiche Vorgänge wie Registrierungen oder Käufe zählen wir nur als Tagessummen ohne Bezug zu einer Person und löschen sie nach 14 Monaten. Diese Angaben sieht nur der Plattformbetrieb (Art. 6 Abs. 1 lit. f DSGVO).
• Feedback: Schickst du uns über „Feedback“ eine Rückmeldung, speichern wir deinen Text, die aufgerufene Seite, Gerät und Bildschirmgröße, die gerade geöffnete Frage und, wenn du sie teilst, eine Kopie der Unterhaltung, um Fehler zu beheben und das Angebot zu verbessern (Art. 6 Abs. 1 lit. f DSGVO). Rückmeldungen sehen der Plattformbetrieb sowie die Schulverwaltung und die Lehrkräfte der Schule, über deren Angebot du die Rückmeldung schickst.

Ohne die für den Vertrag nötigen Daten können wir das Lernangebot nicht bereitstellen. Automatisierte Entscheidungen im Sinne von Art. 22 DSGVO treffen wir nicht.

3. KI-Funktionen

Wenn du den Buddy fragst, senden wir deine Frage, den bisherigen Gesprächsverlauf und die passenden Ausschnitte aus den ausgewählten Quellen an ein KI-Modell. Lädst du Dateien hoch, werden sie für die Suche in Abschnitte zerlegt und als Vektoren gespeichert; Bilder und gescannte Dokumente werden dafür ausgelesen, Audioaufnahmen transkribiert.

Die Modelle erreichen wir über das AI Gateway von Vercel. Wir lassen jede Anfrage nur an Anbieter weiterleiten, die die Daten weder speichern noch zum Training verwenden. Derzeit sind das Modelle von Anthropic, Google, Alibaba (Qwen) und xAI. Mit jeder Anfrage erhält Vercel die zufällige Kennung deines Kontos und die Art der Anfrage, etwa Buddy oder Zusammenfassung, aber weder deinen Namen noch deine E-Mail-Adresse; so sehen wir, welche Kosten bei den Anbietern für welches Konto entstehen. Das Auslesen gescannter Dokumente übernimmt Mistral AI (Frankreich): Die Datei liegt dort nur für die Verarbeitung und wird danach gelöscht.

4. Empfänger

Wir setzen folgende Dienstleister als Auftragsverarbeiter nach Art. 28 DSGVO ein:

• Supabase (Supabase Inc., USA): Datenbank, Anmeldung und Dateispeicher; die Daten liegen in Frankfurt am Main.
• Vercel (Vercel Inc., USA): Hosting der App, AI Gateway und Reichweitenmessung.
• KI-Anbieter über das AI Gateway: Anthropic, Google, Alibaba und xAI, siehe Abschnitt 3.
• Mistral AI (Mistral AI SAS, Frankreich): Auslesen von Dokumenten.
• Resend (USA): Versand von System-E-Mails.
• Microsoft (Microsoft Ireland Operations Ltd., Irland): verschlüsselte Sicherungskopien in OneDrive for Business innerhalb der EU.

Stripe (Stripe Payments Europe Ltd., Irland) wickelt Zahlungen ab und ist für die Zahlungsdaten selbst verantwortlich; dafür gilt die Datenschutzerklärung von Stripe unter stripe.com/de/privacy.

Deine Schule sieht für die Kursverwaltung deinen Namen, deinen Freigabestatus, deine bezahlten Zeiträume und die genutzten vergünstigten Zeiträume. Lernergebnisse sieht sie nur als anonyme Statistik je Frage und Deck, deine Gespräche und persönlichen Bibliotheken nicht.

Übermittlungen in die USA stützen wir auf das EU-US Data Privacy Framework, soweit der Empfänger zertifiziert ist, sonst auf die Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO).

5. Gespräche und Freigaben

Gespräche sind standardmäßig privat und für Schule und Plattformbetrieb nicht einsehbar. Technisch notwendige, eng begrenzte Zugriffe sind nur für Sicherheit, Fehlerbehebung oder rechtliche Pflichten möglich. Erstellst du selbst einen Freigabelink, können angemeldete Personen mit dem Link die Unterhaltung sehen und als eigene fortsetzen, bis du den Link widerrufst.

6. Speicherdauer

• Kontodaten und Lerninhalte speichern wir für die Dauer des Vertrags. Löschst du dein Konto, entfernen wir sie nach 30 Tagen endgültig.
• Rechnungen bewahren wir acht Jahre, Buchungsunterlagen zehn Jahre auf (§ 147 AO).
• Widerrufe und Kündigungen bewahren wir als Nachweis bis zum Ende des dritten Jahres nach ihrem Eingang auf. Von Kontaktanfragen behalten wir im System nur den Eingang für 30 Tage; die Nachricht selbst bearbeiten wir per E-Mail.
• Rückmeldungen löschen wir 90 Tage nach ihrer Erledigung, spätestens mit deinem Konto.
• Sicherungskopien werden nach 90 Tagen überschrieben.
• Protokolldaten speichern wir nur kurzfristig für Fehlersuche und Sicherheit.

7. Speicherung im Browser

psychotera-App speichert im Browser nur, was für Anmeldung, Sicherheit und deine Einstellungen technisch erforderlich ist (§ 25 Abs. 2 TDDDG). Die Reichweitenmessung aus Abschnitt 2 kommt ohne Cookies aus; Werbe-Tracking setzen wir nicht ein.

8. Deine Rechte

Du hast das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch (Art. 15 bis 21 DSGVO). Verarbeitungen auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO kannst du aus Gründen, die sich aus deiner besonderen Situation ergeben, widersprechen. Anfragen richtest du an datenschutz@skrummen.de.

Du kannst dich bei einer Datenschutzaufsichtsbehörde beschweren, etwa beim Landesbeauftragten für den Datenschutz und die Informationsfreiheit Baden-Württemberg, Lautenschlagerstraße 20, 70173 Stuttgart.