Datenschutzerklärung

Diese Seite erklärt, welche Daten Etudio verarbeitet, warum, und welche Rechte du hast. Sie beschreibt den aktuellen Stand des Produkts und wird vor dem öffentlichen Launch juristisch geprüft und finalisiert.

Verantwortlicher

Verantwortlich für die Datenverarbeitung auf dieser Website ist der im Impressum genannte Anbieter. [Konkrete Kontaktdaten des Verantwortlichen und ggf. eines Datenschutzbeauftragten sind im Rahmen der juristischen Prüfung zu ergänzen.]

Hosting und Datenstandort

Etudio wird in der EU gehostet. Anwendung, Datenbank, Authentifizierung und Dateispeicher laufen auf unserem eigenen Server bei Hostinger, Rechenzentrum Frankfurt. Deine Konto- und Übungsdaten werden dort und nirgendwo sonst gespeichert. Zwei Anbieter haben ihren Sitz außerhalb der EU. Siehe „Auftragsverarbeiter“ und „Datenübermittlung in Drittländer“.

Welche Daten wir verarbeiten

Kontodaten. E-Mail-Adresse und Anzeigename, die du bei der Registrierung angibst, dazu deine Spracheinstellung, deine Zeitzone und der von dir gewählte erste Wochentag.

Übungsdaten. Alles, was du in der App anlegst: Stücke, Übungen, Aufgaben, Übungssitzungen, Notizen und Zeitangaben.

Anmeldeprotokolle. Die Authentifizierung betreiben wir selbst. Zu jeder aktiven Sitzung speichern wir die IP-Adresse und die Browser-Kennung, mit der sie erstellt wurde. Bei IPv6 speichern wir nur das Netzpräfix (die ersten 64 Bit), nicht die vollständige Adresse. Das dient der Erkennung und Abwehr von Missbrauch.

Begrenzung von Anfragen. Um Missbrauch abzuwehren, etwa das massenhafte Ausprobieren von Passwörtern oder den Versand vieler E-Mails an fremde Adressen, zählen wir, wie oft bestimmte Aktionen in kurzer Zeit ausgelöst werden: je IP-Adresse, je E-Mail-Adresse und je Konto. Gespeichert wird dabei nicht die Adresse selbst, sondern ein mit einem geheimen Schlüssel gebildeter Hashwert (Pseudonymisierung), zusammen mit den Zeitpunkten der gezählten Aktionen. Ist eine Grenze erreicht, lehnen wir weitere Anfragen vorübergehend ab oder versenden vorübergehend keine weitere E-Mail an diese Adresse.

Schutz vor automatisierten Anfragen (Newsletter-Formular). Öffnest du das Newsletter-Formular, laden wir eine Prüfung des Dienstes Cloudflare Turnstile (Cloudflare, Inc., 101 Townsend St, San Francisco, CA 94107, USA), die unterscheidet, ob eine Anmeldung von einem Menschen oder einem automatisierten Programm stammt. Dabei übermittelt dein Browser an Cloudflare deine IP-Adresse, technische Merkmale deiner Verbindung (TLS-Fingerabdruck), die Browser-Kennung, die Kennung unseres Formulars (Sitekey) und die Herkunft der Seite. Unser Server übermittelt an Cloudflare ausschließlich das von der Prüfung erzeugte Prüfzeichen, nicht deine IP-Adresse. Die Prüfung wird erst geladen, wenn du das Formular öffnest; bis dahin findet keine Übermittlung an Cloudflare statt. Ein Cookie wird dabei nicht gesetzt. [Im Rahmen der juristischen Prüfung zu bestätigen: Cloudflare ist für einen Teil der Verarbeitung Auftragsverarbeiter, für die Verbesserung seiner Bot-Erkennung eigener Verantwortlicher; siehe Cloudflares Turnstile Privacy Addendum. Die Cookie-Aussage wurde mit dem Test-Widget gemessen und ist mit dem produktiven Widget zu bestätigen.]

Newsletter. Abonnierst du unseren Newsletter, speichern wir deine E-Mail-Adresse, die Sprache, in der du ihn erhalten möchtest, den Stand deines Abonnements, die Stelle, an der du eingewilligt hast (Formular auf der Website, Kontoeinstellungen oder Registrierung), sowie die Zeitpunkte, zu denen du dich eingetragen, bestätigt und gegebenenfalls abgemeldet hast. Du brauchst kein Konto dafür. Hast du eines, ist dein Abonnement damit verknüpft: Es zieht mit, wenn du die E-Mail-Adresse deines Kontos änderst, und die Löschung des Kontos hebt nur die Verknüpfung auf. Das Abonnement bleibt bestehen, sofern du es nicht beim Löschen ebenfalls beendest.

Altersangabe und Zustimmung zu den AGB. Bei der Registrierung gibst du an, in welche Altersgruppe du fällst (16 oder älter / 14 oder 15 mit Zustimmung deiner Eltern), und stimmst den AGB zu. Wir speichern diese Angabe, den Zeitpunkt und die Fassung der AGB, der du zugestimmt hast.

Rechtsgrundlagen

• Konto- und Übungsdaten. Art. 6 Abs. 1 lit. b DSGVO: die Verarbeitung ist zur Erfüllung des Nutzungsvertrags erforderlich.
• Altersangabe und AGB-Zustimmung. Art. 6 Abs. 1 lit. b DSGVO für den Vertragsschluss selbst, ergänzt um Art. 6 Abs. 1 lit. c in Verbindung mit Art. 5 Abs. 2 DSGVO für den Nachweis, dass wir die Voraussetzungen des Vertragsschlusses geprüft haben.
• Authentifizierungs-E-Mails (Adressbestätigung, Passwort-Zurücksetzung). Art. 6 Abs. 1 lit. b DSGVO.
• Sicherheitsbenachrichtigungen (Passwort geändert, E-Mail-Adresse geändert), Anmeldeprotokolle einschließlich IP-Adresse und die Begrenzung von Anfragen. Art. 6 Abs. 1 lit. f DSGVO: unser berechtigtes Interesse an der Sicherheit der Konten und an der Abwehr von Missbrauch.
• Schutz vor automatisierten Anfragen (Newsletter-Formular). Art. 6 Abs. 1 lit. f DSGVO: unser berechtigtes Interesse daran, den Versand von Bestätigungs-E-Mails an fremde Adressen durch automatisierte Programme zu verhindern. [Im Rahmen der juristischen Prüfung zu bestätigen. Zu prüfen auch, ob das Auslesen von Browsermerkmalen durch die Prüfung § 25 TDDDG unterfällt.]
• Sicherungskopien. Art. 6 Abs. 1 lit. f DSGVO in Verbindung mit Art. 32 DSGVO: unser berechtigtes Interesse daran, deine Daten nach einem technischen Ausfall wiederherstellen zu können. [Im Rahmen der juristischen Prüfung zu bestätigen.]
• Newsletter. Art. 6 Abs. 1 lit. a DSGVO: deine Einwilligung, die du jederzeit mit Wirkung für die Zukunft widerrufen kannst. Nach einem Widerruf bewahren wir den Nachweis der Einwilligung auf, um sie im Streitfall belegen zu können (Art. 6 Abs. 1 lit. f in Verbindung mit Art. 5 Abs. 2 und Art. 7 Abs. 1 DSGVO).
• Durchführung einer Löschung. Art. 6 Abs. 1 lit. c in Verbindung mit Art. 17 DSGVO: solange eine Löschung läuft, müssen wir erkennen können, was gelöscht wird, und sie abschließen können, falls sie nicht vollständig durchläuft. Der Datensatz wird mit der Löschung entfernt. Näheres unter „Speicherdauer“. [Im Rahmen der juristischen Prüfung zu bestätigen.]
• Funktionale Speicherung auf deinem Gerät. § 25 Abs. 2 TDDDG, da unbedingt erforderlich und damit einwilligungsfrei, in Verbindung mit Art. 6 Abs. 1 lit. b DSGVO.
• Reichweitenmessung und statistische Auswertung der Nutzung. Art. 6 Abs. 1 lit. f DSGVO: unser berechtigtes Interesse an der bedarfsgerechten Gestaltung und fortlaufenden Verbesserung unseres Angebots. [Im Rahmen der juristischen Prüfung zu bestätigen.]

Funktionale Speicherung

Wir speichern auf deinem Gerät nur unbedingt erforderliche Elemente: ein Session-Cookie, das dich angemeldet hält, sowie deine Sprach- und Theme-Einstellung. Diese sind für den Betrieb des Dienstes notwendig und einwilligungsfrei.

Analyse

Wir messen die Reichweite unseres Angebots und werten dessen Nutzung statistisch aus, um es bedarfsgerecht zu gestalten und fortlaufend zu verbessern. Dafür setzen wir eine selbst betriebene Analyse-Software auf der unter „Hosting und Datenstandort“ genannten Infrastruktur ein; die Verarbeitung findet ausschließlich dort statt.

Verarbeitet werden: die aufgerufene Seite, die verweisende Seite, Browser, Betriebssystem, Gerätetyp, Bildschirmgröße, Sprache sowie Land, Region und Ort. Die IP-Adresse wird dabei flüchtig verarbeitet, um diese Angaben abzuleiten und mehrere Aufrufe einer Sitzung zuzuordnen.

E-Mail

Authentifizierungs- und Sicherheits-E-Mails. Die Bestätigung deiner Adresse, die Passwort-Zurücksetzung und Benachrichtigungen über sicherheitsrelevante Änderungen (etwa eine geänderte E-Mail-Adresse oder ein geändertes Passwort) werden von Etudio erzeugt und über Resend versendet. Verarbeitet werden dabei deine E-Mail-Adresse, der Inhalt der Nachricht und der Zustellstatus. Diese E-Mails gehören zum Dienst und lassen sich nicht abbestellen, solange dein Konto besteht.

Newsletter. Den Newsletter erhältst du nur, wenn du ihn abonniert und über den Link in unserer Bestätigungs-E-Mail bestätigt hast (Double-Opt-in); ohne Bestätigung senden wir dir nichts weiter. Trägst du dich in deinen Kontoeinstellungen ein oder setzt du bei der Registrierung das Häkchen, entfällt diese zusätzliche E-Mail: Deine Anmeldung beziehungsweise die Bestätigung deiner Adresse belegt bereits, dass dir dieses Postfach gehört. Er enthält gelegentliche Neuigkeiten zu Funktionen und zum Produkt sowie Ankündigungen zu Preisen und richtet sich an Personen ab 16 Jahren. Jede Ausgabe enthält einen Link zum Abbestellen; du brauchst dafür kein Konto und musst dich nicht anmelden. Wir messen weder, ob du den Newsletter öffnest, noch, welche Links du anklickst: Er enthält keine Zählpixel und keine umgeleiteten Links. Versendet wird er über Resend; die Liste der Abonnenten führen wir selbst und geben sie nicht an Resend weiter.

Auftragsverarbeiter

Wir setzen einzelne Dienstleister ein, die personenbezogene Daten ausschließlich in unserem Auftrag und nach unseren Weisungen verarbeiten. Mit jedem dieser Anbieter besteht ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO. [Im Rahmen der juristischen Prüfung zu bestätigen: Für Cloudflare gilt dies nur teilweise, siehe „Schutz vor automatisierten Anfragen“.]

• Hostinger International Ltd., 61 Lordou Vironos Street, 6023 Larnaca, Zypern: Server-Hosting für Anwendung, Datenbank, Authentifizierung und Dateispeicher, Rechenzentrum Frankfurt. Sitz in der EU. Datenschutzerklärung des Anbieters
• Plus Five Five, Inc. (Marke „Resend“), 2261 Market Street #5039, San Francisco, CA 94114, USA: Versand unserer E-Mails (Authentifizierung, Sicherheitsbenachrichtigungen und Newsletter), Versandregion Irland. Sitz in den USA. Auftragsverarbeitungsvertrag
• Cloudflare, Inc., 101 Townsend St, San Francisco, CA 94107, USA: Schutz des Newsletter-Formulars vor automatisierten Anfragen (Cloudflare Turnstile). Sitz in den USA. Turnstile Privacy Addendum des Anbieters [Zertifizierung und Auftragsverarbeitungsvertrag vor dem Launch zu prüfen.]

Weitere Anbieter nehmen wir hier auf, sobald wir sie einsetzen.

Datenübermittlung in Drittländer

Zwei der oben genannten Anbieter haben ihren Sitz außerhalb der EU. Damit findet eine Übermittlung personenbezogener Daten in ein Drittland im Sinne der Art. 44 ff. DSGVO statt.

• Hostinger International Ltd. hat ihren Sitz in Zypern und damit in der EU. Für das Hosting findet keine Drittlandsübermittlung statt.
• Plus Five Five, Inc. („Resend“) hat ihren Sitz in den USA. Unsere E-Mails werden über die Region Irland versendet; die zum Versand gehörenden Daten (insbesondere Empfängeradresse, Betreff und Zustellstatus) werden nach Angaben des Anbieters in den USA gespeichert. Der Anbieter erklärt, nach dem EU-U.S. Data Privacy Framework zertifiziert zu sein; ergänzend enthält der Auftragsverarbeitungsvertrag die Standardvertragsklauseln.
• Cloudflare, Inc. hat ihren Sitz in den USA. Öffnest du das Newsletter-Formular, übermittelt dein Browser die unter „Schutz vor automatisierten Anfragen“ genannten Daten an Cloudflare. Die Übermittlung stützt sich auf das EU-U.S. Data Privacy Framework beziehungsweise auf Standardvertragsklauseln. [Zertifizierung und Auftragsverarbeitungsvertrag vor dem Launch zu prüfen.]

Eine Kopie der Garantien stellen wir dir auf Anfrage über die unten genannte Kontaktadresse zur Verfügung.

[Die Zertifizierung nach dem EU-U.S. Data Privacy Framework ist im Rahmen der juristischen Prüfung gegen die offizielle Liste unter dataprivacyframework.gov auf Aktualität zu prüfen.]

Speicherdauer

• Konto- und Übungsdaten: solange dein Konto besteht. Löschst du es, werden sie entfernt.
• Nicht bestätigte Registrierungen: werden automatisch nach 72 Stunden gelöscht, wenn die E-Mail-Adresse in dieser Zeit nicht bestätigt wurde. Das ist zugleich eine Sicherheitsmaßnahme, weil eine unbestätigte Registrierung die Adresse andernfalls blockiert.
• Datensatz zu einer laufenden Löschung: während dein Konto gelöscht wird, halten wir einen minimalen Datensatz mit deiner E-Mail-Adresse, damit eine Löschung, die nicht vollständig durchläuft, gefunden und zu Ende geführt werden kann. Er wird gelöscht, sobald die Löschung abgeschlossen ist, und mit ihm deine Adresse. Ein Datensatz, der bestehen bleibt, bedeutet eine unvollständige Löschung; genau darauf wird überwacht.
• Datenexport: forderst du eine Kopie deiner Daten an, erstellen wir eine Datei und stellen sie in deinen Kontoeinstellungen zum Download bereit. Sie wird 7 Tage aufbewahrt und danach automatisch gelöscht; du kannst jederzeit eine neue anfordern. Der Vermerk, dass und wann ein Export erstellt wurde, bleibt bis zur Löschung deines Kontos bestehen.
• Altersangabe und AGB-Zustimmung: solange dein Konto besteht; sie werden mit ihm gelöscht.
• Newsletter-Abonnement: solange du es beziehst. Eine nicht bestätigte Anmeldung wird nach 72 Stunden automatisch gelöscht. Bestellst du den Newsletter ab, bewahren wir deine E-Mail-Adresse und die Zeitpunkte von Anmeldung, Bestätigung und Abmeldung 3 Jahre ab der Abmeldung als Nachweis deiner Einwilligung auf und löschen sie danach.
• Analysedaten: 14 Monate; die Spanne erlaubt den Vergleich mit demselben Zeitraum des Vorjahres. Ältere Daten werden automatisch gelöscht.
• Begrenzung von Anfragen: jeder Zählwert wird gelöscht, sobald sein Zeitfenster abgelaufen ist. Das längste Zeitfenster beträgt 24 Stunden; die Löschung läuft stündlich.
• Sicherungskopien: Datenbank und Dateispeicher sichern wir täglich; jede Sicherung wird 14 Tage aufbewahrt und danach automatisch gelöscht. Gelöschte Daten können deshalb bis zu 14 Tage lang noch in einer Sicherung enthalten sein. Wir verwenden Sicherungen ausschließlich, um den Dienst nach einem Ausfall wiederherzustellen. [Vor dem Launch zu bestätigen: Die Aufbewahrung der Sicherungen im Produktivbetrieb steht noch nicht fest, und zusätzliche wöchentliche Gesamtsicherungen des Hosters können länger vorgehalten werden. Im Rahmen der juristischen Prüfung außerdem zu klären: ob nach einer Wiederherstellung zwischenzeitlich erfolgte Löschungen erneut auszuführen sind.]
• Anmeldeprotokolle: die zu einer Sitzung gespeicherte IP-Adresse und Browser-Kennung werden gelöscht, wenn du dich abmeldest, wenn du dein Konto löschst und wenn eine abgelaufene Sitzung das nächste Mal verwendet wird. [Juristische Prüfung: Eine Sitzung, zu der nie zurückgekehrt wird (gelöschte Cookies, ein nicht mehr genutztes Gerät), wird nicht planmäßig entfernt; dies ist damit ein Kriterium und keine feste Frist.]

Automatisierte Entscheidungsfindung

Es findet keine automatisierte Entscheidungsfindung einschließlich Profiling im Sinne von Art. 22 DSGVO statt. Die Kennzahlen, die die App aus deinen Übungsdaten berechnet, sind eine Darstellung für dich selbst.

Pflicht zur Bereitstellung

E-Mail-Adresse, ein Anzeigename, die Altersangabe und die Zustimmung zu den AGB sind zur Einrichtung eines Kontos erforderlich; ohne sie können wir den Vertrag nicht schließen und den Dienst nicht bereitstellen. Deine Übungsdaten gibst du freiwillig ein: Die App funktioniert ohne sie, bleibt dann aber leer. Das Abonnement des Newsletters ist ebenfalls freiwillig.

Deine Rechte

Nach der DSGVO hast du das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18) und Datenübertragbarkeit (Art. 20) sowie das Recht, einer Verarbeitung zu widersprechen (Art. 21), soweit wir sie auf ein berechtigtes Interesse stützen. Eine erteilte Einwilligung kannst du jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3); die bis dahin erfolgte Verarbeitung bleibt rechtmäßig.

Wende dich dafür an hello@etudio.app. Wir antworten innerhalb eines Monats (Art. 12 Abs. 3). Auskunft und Datenübertragbarkeit kannst du außerdem selbst wahrnehmen: in den Kontoeinstellungen erstellst du jederzeit einen Datenexport und lädst ihn als Datei herunter. Dein Konto kannst du dort ebenfalls selbst löschen.

Beschwerderecht. Du kannst dich bei einer Datenschutz-Aufsichtsbehörde beschweren, insbesondere bei der Behörde deines gewöhnlichen Aufenthaltsorts, deines Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes (Art. 77 DSGVO). [Die für uns zuständige Aufsichtsbehörde richtet sich nach dem im Impressum genannten Sitz und ist im Rahmen der juristischen Prüfung namentlich mit Anschrift zu benennen.]

Kontakt

Für Datenschutzanfragen wende dich an hello@etudio.app. [Endgültige Kontakt-/DSB-Angaben sind im Rahmen der juristischen Prüfung zu ergänzen.]