Datenschutzerklärung

1. Verantwortlicher

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:

ArchiTech AI UG (haftungsbeschränkt)
Birkenallee 7
21436 Marschacht
Deutschland

E-Mail: support@tutel.app
Telefon: +49 1512 9898273

2. Datenschutzbeauftragter und Datenschutzanfragen

Unser externer Datenschutzbeauftragter ist Jörg ter Beek, Cortina Consult GmbH, Hafenweg 24, 48155 Münster. Sie erreichen ihn unmittelbar und vertraulich unter jtb@cortina-consult.de oder telefonisch unter +49 251 95 20 37 40.

Für die Bearbeitung von Auskunfts-, Lösch- und sonstigen Datenschutzanfragen an Tutel erreichen Sie uns unter datenschutz@tutel.app. Der direkte Kontakt zum Datenschutzbeauftragten bleibt davon unabhängig möglich.

3. Allgemeine Informationen zur Datenverarbeitung

3.1 Umfang der Verarbeitung personenbezogener Daten

Wir verarbeiten personenbezogene Daten zweckgebunden für die angeforderte Leistung, gesetzliche Pflichten, berechtigte Interessen oder eine gesonderte Einwilligung. Die jeweilige Rechtsgrundlage und der Zweck werden nachfolgend beschrieben. Für notwendige Vertrags- oder Sicherheitsverarbeitung wird keine pauschale Einwilligung vorausgesetzt; optionale Funktionen mit Einwilligungsgrundlage bleiben getrennt.

3.2 Rechtsgrundlage für die Verarbeitung personenbezogener Daten

Soweit wir für Verarbeitungsvorgänge personenbezogener Daten eine Einwilligung der betroffenen Person einholen, dient Art. 6 Abs. 1 lit. a EU-Datenschutzgrundverordnung (DSGVO) als Rechtsgrundlage.

Bei der Verarbeitung von personenbezogenen Daten, die zur Erfüllung eines Vertrages, dessen Vertragspartei die betroffene Person ist, erforderlich ist, dient Art. 6 Abs. 1 lit. b DSGVO als Rechtsgrundlage. Dies gilt auch für Verarbeitungsvorgänge, die zur Durchführung vorvertraglicher Maßnahmen erforderlich sind.

Soweit eine Verarbeitung personenbezogener Daten zur Erfüllung einer rechtlichen Verpflichtung erforderlich ist, der unser Unternehmen unterliegt, dient Art. 6 Abs. 1 lit. c DSGVO als Rechtsgrundlage.

Ist die Verarbeitung zur Wahrung eines berechtigten Interesses unseres Unternehmens oder eines Dritten erforderlich und überwiegen die Interessen, Grundrechte und Grundfreiheiten des Betroffenen das erstgenannte Interesse nicht, so dient Art. 6 Abs. 1 lit. f DSGVO als Rechtsgrundlage für die Verarbeitung.

3.3 Datenlöschung und Speicherdauer

Die personenbezogenen Daten der betroffenen Person werden gelöscht oder gesperrt, sobald der Zweck der Speicherung entfällt. Eine Speicherung kann darüber hinaus erfolgen, wenn dies durch den europäischen oder nationalen Gesetzgeber in unionsrechtlichen Verordnungen, Gesetzen oder sonstigen Vorschriften, denen der Verantwortliche unterliegt, vorgesehen wurde. Eine Sperrung oder Löschung der Daten erfolgt auch dann, wenn eine durch die genannten Normen vorgeschriebene Speicherfrist abläuft, es sei denn, dass eine Erforderlichkeit zur weiteren Speicherung der Daten für einen Vertragsabschluss oder eine Vertragserfüllung besteht.

4. Bereitstellung der Website und Erstellung von Logfiles

4.1 Beschreibung und Umfang der Datenverarbeitung

Bei jedem Aufruf unserer Internetseite erfasst unser System automatisiert Daten und Informationen vom Computersystem des aufrufenden Rechners. Folgende Daten werden hierbei erhoben:

• Informationen über den Browsertyp und die verwendete Version
• Das Betriebssystem des Nutzers
• Den Internet-Service-Provider des Nutzers
• Die IP-Adresse des Nutzers zur Auslieferung und Absicherung der Anfrage
• Datum und Uhrzeit des Zugriffs
• Websites, von denen das System des Nutzers auf unsere Internetseite gelangt

Technische Anfragedaten können in Sicherheits- und Betriebsprotokollen der Hostinganbieter verarbeitet werden. Unsere Anwendungsprotokolle werden nach dokumentierten Regeln minimiert; dies bedeutet keine vollständige Anonymisierung sämtlicher Anbieterprotokolle.

4.2 Rechtsgrundlage für die Datenverarbeitung

Rechtsgrundlage für die vorübergehende Speicherung der Daten und der Logfiles ist Art. 6 Abs. 1 lit. f DSGVO.

4.3 Zweck der Datenverarbeitung

Die vorübergehende Speicherung der IP-Adresse durch das System ist notwendig, um eine Auslieferung der Website an den Rechner des Nutzers zu ermöglichen. Hierfür muss die IP-Adresse des Nutzers für die Dauer der Sitzung gespeichert bleiben. Die Speicherung in Logfiles erfolgt, um die Funktionsfähigkeit der Website sicherzustellen. Zudem dienen uns die Daten zur Optimierung der Website und zur Sicherstellung der Sicherheit unserer informationstechnischen Systeme.

4.4 Dauer der Speicherung

Anfragedaten werden für die Auslieferung und die erforderliche Sicherheitsanalyse verarbeitet. Die Speicherdauer richtet sich nach dem jeweiligen Protokolltyp, der konfigurierten Anbieteraufbewahrung und einem gegebenenfalls konkreten Sicherheitsvorfall. Daten werden gelöscht oder anonymisiert, sobald der jeweilige Zweck entfällt; notwendige Nachweise zu einem konkreten Vorfall können bis zu dessen Klärung aufbewahrt werden.

5. Registrierung und Nutzerkonto

5.1 Beschreibung und Umfang der Datenverarbeitung

Auf unserer Internetseite bieten wir Nutzern die Möglichkeit, sich unter Angabe personenbezogener Daten zu registrieren. Dabei werden folgende Daten erhoben:

• E-Mail-Adresse
• Name oder gewählter Anzeigename
• Altersgruppe des Kindes bei der Einrichtung eines Familienkontos
• Rolle (Schüler, Elternteil, Lehrkraft)
• Schule und Klasse (bei Schülern und Lehrkräften)
• Gewähltes Abonnement

Technische Anfragedaten und Registrierungszeitpunkte werden zur Bereitstellung und Absicherung der Anmeldung verarbeitet. Notwendige Konto-/Vertragsverarbeitung und gesonderte optionale Einwilligungen werden unterschieden.

5.2 Besondere Bestimmungen für minderjährige Nutzer

Bei Familienkonten richten Eltern den Zugang ihres Kindes ein und geben dessen Klasse und Altersgruppe an. Eine sorgeberechtigte Person entscheidet nach dem KI-Hinweis über die KI-Nutzung der Familie. Diese kontobezogen gespeicherte Freigabe gilt für die zugeordneten Kinder und kann in den Datenschutzeinstellungen geändert werden. Die in unterstützten iOS-Versionen angebotene Apple-Altersbestätigung betrifft ausschließlich das Elternkonto. Sie ist von der Freigabe für das KI-Lernen getrennt; Kinder werden dafür nicht zu einem eigenen Apple-Altersnachweis aufgefordert.

5.3 Rechtsgrundlage für die Datenverarbeitung

Die erforderliche Konto- und Vertragsverarbeitung beruht auf Art. 6 Abs. 1 lit. b DSGVO; Sicherheitsmaßnahmen auf Art. 6 Abs. 1 lit. f DSGVO. Gesonderte optionale Einwilligungen beruhen auf Art. 6 Abs. 1 lit. a DSGVO. Bei Schulverarbeitung gelten die Weisungen und die von der verantwortlichen Schule festgelegte Rechtsgrundlage.

5.4 Dauer der Speicherung

Die Daten werden gelöscht, sobald sie für die Erreichung des Zweckes ihrer Erhebung nicht mehr erforderlich sind. Dies ist für die während des Registrierungsvorgangs erhobenen Daten der Fall, wenn die Registrierung auf unserer Internetseite aufgehoben oder abgeändert wird. Erforderliche Vertrags- und Buchhaltungsunterlagen werden getrennt aufbewahrt: regelmäßig acht Jahre für Buchungsbelege, zehn Jahre für Bücher und Abschlüsse sowie sechs Jahre für Geschäftsbriefe (§ 257 HGB, § 147 AO), grundsätzlich ab Ende des maßgeblichen Kalenderjahres. Gesetzliche Verlängerungen bleiben vorbehalten. Dies rechtfertigt keine pauschale Speicherung sämtlicher Kontoinhalte nach Vertragsende.

6. Nutzung der KI-Lernplattform

6.1 Verarbeitete Daten

Bei der Nutzung unserer KI-gestützten Lernplattform verarbeiten wir folgende Daten:

• Lernfortschrittsdaten (bearbeitete Übungen, erreichte Punkte, Lernzeit)
• Interaktionen mit dem KI-Tutor (Fragen, Antworten, Chat-Verläufe)
• Präferenzen und Einstellungen
• Hochgeladene Dokumente und Bilder (z.B. bei OCR-Funktion)
• Spracheingaben, sofern eine ausdrücklich gekennzeichnete Sprachfunktion verfügbar ist und aktiv genutzt wird
• Kontobezogene Schutzkategorien, wenn eine Nachricht eindeutige Hinweise etwa auf Selbstgefährdung, Essstörungen oder Medikamentenmissbrauch enthält. Der ursprüngliche Nachrichtentext wird nicht in diesem Schutzdatensatz gespeichert.

6.2 Zweck der Verarbeitung

Diese Daten werden zur Personalisierung des Lernerlebnisses, zur Erstellung von Lernanalysen und zur Bereitstellung unserer Dienste verwendet. Informationen zu den eingesetzten Dienstleistern, Regionen, Transfers und dem jeweiligen Vertragsstatus enthält unsere aktuelle Auftragsverarbeiter-Liste.

6.3 KI-Auftragsverarbeiter

KI-Anfragen werden serverseitig an den für die jeweilige Funktion konfigurierten Anbieter geleitet. Die Standardroute verwendet Google Cloud Vertex AI (Gemini) mit einer auf die EU begrenzten Konfiguration; die technische EU-Route nutzt die Standortkennung „eu“, keine Zusicherung eines einzelnen Rechenzentrums. Für freigeschaltete Texterkennungs- oder Ausweichrouten kann Mistral AI SAS eingesetzt werden. Umfang, Region, Übermittlungsgrundlage und Vertragsstatus sind in der Auftragsverarbeiter-Liste ausgewiesen.

An Google Cloud können für die jeweilige Tutor-Anfrage insbesondere folgende Daten übermittelt werden:

• Nutzeranfragen an den KI-Tutor (Fragen, Aufgabenstellungen)
• Kontextinformationen zur Personalisierung (Klassenstufe, Fach, Schwierigkeitsgrad)

Bei einer ausdrücklich gestarteten Texterkennung können begrenzte Bildpixel oder ein ausgewähltes Dokument an den dafür konfigurierten Anbieter übermittelt werden. Eine zusätzliche Inferenzroute ist nur nach gesonderter Freigabe zulässig. Wir begrenzen Übermittlungen auf die für die konkrete Funktion erforderlichen Daten. Verbindliche Aufbewahrungs- und Trainingsbedingungen ergeben sich aus dem jeweils freigegebenen Vertrag und der dokumentierten Anbieter-Konfiguration.

6.4 KI-Transparenz (EU AI Act)

Gemäß dem EU KI-Gesetz (EU AI Act, Verordnung (EU) 2024/1689) informieren wir Sie über den Einsatz von KI-Systemen auf unserer Plattform:

• Klassifizierung: Die regulatorische Einordnung hängt von Verwendungszweck, Betreiberrolle und konkreter Aktivierung ab. Sie wird vor einem Schuleinsatz gesondert rechtlich geprüft; diese Erklärung behauptet keine pauschale Einstufung oder Zertifizierung.
• Transparenz: Tutel nutzt KI-Sprachmodelle zur Erstellung von Lerninhalten und zur Beantwortung von Fragen und weist in den betroffenen Produktoberflächen auf KI-Unterstützung hin.
• Menschliche Aufsicht: KI-Ausgaben können Fehler enthalten und sind nicht als verbindliche Leistungs- oder Schulentscheidung vorgesehen.
• Genauigkeit und Robustheit: Quellcodegebundene Tests, Sicherheitsfilter und fachbezogene Prüfungen begrenzen bekannte Fehler. Diese Kontrollen sind keine Garantie fehlerfreier oder rechtlich zertifizierter Ausgaben.
• Wir speichern keine biometrischen Daten zur Identifikation.

6.5 KI-generierte Inhalte

Tutel verwendet Google Cloud Vertex AI (Gemini) zur Generierung von:

• Übungsfragen und Erklärungen
• Tutoring-Antworten und Hilfestellungen
• Feedback und Bewertungen
• Lernempfehlungen und Diagnosen

Wichtiger Hinweis: KI-generierte Inhalte können Fehler enthalten. Nutzer werden ermutigt, Inhalte kritisch zu prüfen und bei Unsicherheiten einen qualifizierten Lehrer zu konsultieren. Die Qualität der Inhalte variiert je nach Fach und Themengebiet (Beta-Phase).

6.6 Besondere Hinweise zur iOS-App

Die aktuelle iOS-App verarbeitet für ihre native Bereitstellung zusätzlich eine Apple-Anmeldekennung und – sofern von Apple bereitgestellt – E-Mail-Adresse und Name, einen gerätebezogenen App-Attest-Schlüssel sowie nach ausdrücklicher Zustimmung einen APNs-Push-Token. Diese Daten dienen ausschließlich Anmeldung, Integritätsschutz und Benachrichtigungen. Tutel nutzt in der iOS-App weder die Werbe-ID noch App-Tracking-Transparency, Standort oder Kontakte. Die aktuelle iOS-App fordert keinen Mikrofonzugriff an und erhebt keine Audiodaten. Arbeitsblattbilder werden nur nach einer ausdrücklichen Scan-, Foto- oder Dateiauswahl verarbeitet.

Bei der Apple-Altersbestätigung für ein Elternkonto kann ein unterstütztes Gerät mit Ihrer Freigabe eine Altersgruppe übermitteln. Tutel verarbeitet die Grenzen dieser Altersgruppe, den Freigabe- und Prüfstatus, Angaben zur Art der Erklärung und zu aktiven elterlichen Kontrollen sowie technische Angaben zur App- und Geräteprüfung. Dazu gehören kontobezogene Zuordnungen, Schlüsselkennungen, technische Belege und Zeitpunkte. Sie dienen der Zuordnung und Prüfung des Altersnachweises und dem Schutz vor Missbrauch. Apple übermittelt Tutel dabei kein genaues Geburtsdatum. Tutel fordert für diese Funktion keine Ausweiskopie an. Eine nicht geteilte oder widerrufene Altersfreigabe wird als entsprechender Status verarbeitet.

7. Zahlungsabwicklung

7.1 Stripe

Für die Zahlungsabwicklung nutzen wir den Dienst Stripe (Stripe Payments Europe Ltd., 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, Irland). Bei der Auswahl und Nutzung von Stripe werden folgende Daten an Stripe übermittelt:

• E-Mail-Adresse
• Name
• Zahlungsinformationen (Kreditkartennummer, Ablaufdatum, Prüfziffer)
• Rechnungsadresse
• Bestelldetails

Die Übermittlung dieser Daten ist für die Zahlungsabwicklung erforderlich. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung). Weitere Informationen finden Sie in der Datenschutzerklärung von Stripe: https://stripe.com/de/privacy

7.2 Rechnungsdaten

Für Rechnungen und zugehörige Buchungsbelege bewahren wir die erforderlichen Abrechnungsdaten grundsätzlich acht Jahre auf (§ 257 HGB, § 147 AO), gerechnet ab Ende des maßgeblichen Kalenderjahres; gesetzliche Verlängerungen bleiben vorbehalten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. c DSGVO (rechtliche Verpflichtung).

7.3 Käufe im Apple App Store

Sofern In-App-Käufe in Ihrer iOS-App verfügbar sind und Sie darüber ein Abonnement abschließen oder wiederherstellen, wickelt Apple die Zahlung ab. Zur Zuordnung des Kaufs übermittelt die App die Kennung Ihres Tutel-Elternkontos als App-Account-Token an Apple. Tutel verarbeitet die von Apple bestätigte Produktkennung, die aktuelle und ursprüngliche Transaktionskennung sowie Angaben zu Abonnementzeitraum, Status, Verlängerung und Erstattung beziehungsweise Widerruf des Kaufs.

Diese mit Ihrem Tutel-Konto verknüpften Kaufdaten dienen dazu, Käufe zu prüfen, Zugangsrechte bereitzustellen, Käufe wiederherzustellen und spätere Änderungen des Abonnements abzugleichen. Tutel erhält dabei keine Zahlungskartendaten und kein Passwort Ihres Apple Accounts. Apple-Abonnements verwalten Sie bei Apple; das Löschen Ihres Tutel-Kontos beendet ein Apple-Abonnement nicht automatisch.

8. Datenübermittlung an Dritte

8.1 Hosting

Website-Hosting: Vercel Inc.
Unsere Website (Frontend) wird von Vercel Inc. (340 Pine Street, Suite 701, San Francisco, CA 94104, USA) gehostet. Bei jedem Seitenaufruf werden technische Daten (IP-Adresse, Browser, Zeitstempel) an Vercel übermittelt. Die Übermittlung in die USA erfolgt auf Grundlage von Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO). Mit Vercel haben wir einen Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO abgeschlossen. Weitere Informationen: https://vercel.com/legal/privacy-policy

Datenbank und Backend: Supabase Inc.
Unsere Datenbank und Authentifizierungsdienste werden bei Supabase Inc. in der konfigurierten EU-Datenregion Stockholm (AWS eu-north-1) betrieben. Informationen zu weiteren für Betrieb und Support relevanten Verarbeitungsvorgängen, Transfers und dem aktuellen Vertragsstatus enthält die Auftragsverarbeiter-Liste.

8.2 E-Mail-Kommunikation

Für den Versand transaktionaler E-Mails (Registrierungsbestätigungen, Passwort-Resets, Sicherheits- und Systembenachrichtigungen) sowie freigegebener Lern-, Reaktivierungs- und Rückgewinnungsnachrichten nutzen wir Resend (Resend Inc., 2261 Market Street STE 5731, San Francisco, CA 94114, USA). Dabei können E-Mail-Adresse, Name, E-Mail-Inhalt sowie für die Auswahl und Personalisierung erforderliche Aktivitätsmerkmale (z.B. Inaktivität oder zuletzt genutztes Fach) an Resend übermittelt werden. Werblichen beziehungsweise reaktivierenden Nachrichten kann über die jeweilige Abmeldemöglichkeit widersprochen werden. Die Übermittlung in die USA erfolgt auf Grundlage von Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO). Mit Resend haben wir einen Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO abgeschlossen. Die Rechtsgrundlage richtet sich nach Art und Zweck der jeweiligen Nachricht. Weitere Informationen: https://resend.com/legal/privacy-policy

8.3 Google OAuth (Anmeldung mit Google)

Wir bieten Ihnen die Möglichkeit, sich mit Ihrem Google-Konto bei Tutel anzumelden ("Mit Google anmelden"). Diese Funktion wird von Google Ireland Limited (Gordon House, Barrow Street, Dublin 4, Irland) bereitgestellt.

Bei der Nutzung von Google OAuth werden folgende Daten von Google an uns übermittelt:

• E-Mail-Adresse (zur Identifizierung Ihres Kontos)
• Name (zur Personalisierung Ihres Profils)
• Profilbild-URL (optional, zur Anzeige in Ihrem Profil)

Wichtig: Wir erhalten keinen Zugriff auf Ihre Google-Kontakte, E-Mails, Kalender, Google Drive oder andere Google-Dienste. Wir fragen ausschließlich die für die Anmeldung erforderlichen Basisdaten ab (OpenID Connect Scopes: openid, email, profile).

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) — Sie wählen aktiv die Anmeldung über Google, um ein Konto bei uns zu erstellen.

Datenübermittlung: Die Authentifizierung erfolgt direkt zwischen Ihrem Browser und Google. Ihre Google-Zugangsdaten werden niemals an unsere Server übermittelt. Wir speichern lediglich die oben genannten Profildaten in unserer Datenbank (EU-Datenbankregion, Stockholm (AWS eu-north-1)).

Widerruf: Sie können die Verbindung zwischen Ihrem Google-Konto und Tutel jederzeit in Ihren Google-Kontoeinstellungen widerrufen:https://myaccount.google.com/permissions

Weitere Informationen zum Datenschutz bei Google finden Sie in derGoogle Datenschutzerklärung.

8.4 Bot-Schutz (hCaptcha)

Zum Schutz unserer öffentlichen Anmelde- und Schulanfrageformulare vor automatisierten Zugriffen (Bots) setzen wir hCaptcha ein (Intuition Machines, Inc., USA). hCaptcha analysiert das Nutzerverhalten im Browser (Mausbewegungen, Klicks, Gerätedaten) und übermittelt diese Daten zur Auswertung an Intuition Machines, Inc. Die Übermittlung in die USA erfolgt auf Grundlage von Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO). Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Sicherheit unserer Dienste). Weitere Informationen: https://www.hcaptcha.com/privacy

8.5 Rate-Limiting (Upstash Redis)

Zur Absicherung unserer APIs gegen Missbrauch verwenden wir zeitlich begrenzte Zähler und pseudonymisierte Anfrageschlüssel. Je nach Konfiguration wird dafür Upstash Redis (Upstash, Inc.) oder eine lokale Begrenzung verwendet. Pseudonymisierte Schlüssel können weiterhin personenbezogene Daten sein; Lerninhalte sind dafür nicht vorgesehen. Anbieterregion, Vertragsstatus und die für den jeweiligen Zähler geltende Ablaufzeit richten sich nach der freigegebenen Konfiguration. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (Systemsicherheit).

8.6 KI-Tutoring und Texterkennung (Google Cloud / Mistral AI)

Die Standardroute für KI-Tutoring und Bewertung verwendet Google Cloud Vertex AI (Gemini) mit der EU-Standortkennung „eu“. Die Standortkennung bezeichnet eine EU-Multiregion und keine einzelne Stadt. Übermittelt werden können Lernanfragen, ausgewählte Fächer, Klassenstufe und eine technische Sitzungsreferenz; bei OCR außerdem die lokal neu codierten und begrenzten Bildpixel. Google Cloud erklärt in seinen Dienstbedingungen, Kundendaten nicht ohne vorherige Erlaubnis oder Anweisung zum Trainieren oder Feinabstimmen von KI-/ML-Modellen zu verwenden. Für die von Nutzern ausdrücklich gestartete Texterkennung kann Mistral AI SAS(Frankreich) eingesetzt werden; dabei werden die für diese Funktion erforderlichen Bild- oder Dokumentdaten übermittelt. Die produktive Nutzung setzt die dokumentierte Prüfung der jeweiligen Anbieter-Konfiguration, Aufbewahrung, Trainingsnutzung, Übermittlungsgrundlage und des Vertragsstatus voraus. Der aktuelle Status ist in der Auftragsverarbeiter-Liste ausgewiesen. Rechtsgrundlage für die eigentliche Lernleistung ist Art. 6 Abs. 1 lit. b DSGVO. Weitere Informationen: Google-Cloud-Datenverwendung und Mistral-Bedingungen.

8.7 Apple-Systemdienste in der iOS-App

Für „Mit Apple anmelden“, Push-Benachrichtigungen und die Geräteintegritätsprüfung nutzt die iOS-App Dienste von Apple. Dabei verarbeitet Apple die für den jeweiligen Dienst erforderlichen technischen Daten. Tutel erhält bei der Apple-Anmeldung eine stabile Anmeldekennung sowie – abhängig von der Freigabe des Nutzers – Name und E-Mail-Adresse, bei Push-Benachrichtigungen einen App-spezifischen Gerätetoken und bei App Attest einen technischen Integritätsnachweis. Apple-Zugangsdaten und der Inhalt anderer Apple-Dienste werden nicht an Tutel übermittelt. Sofern Sie In-App-Käufe nutzen, verarbeitet Tutel außerdem die in Abschnitt 7.3 beschriebenen bestätigten Kauf- und Abonnementdaten. Weitere Informationen: Apple Datenschutz.

8.8 Fehler-Monitoring (Sentry)

Zur technischen Fehleranalyse und Sicherstellung der Stabilität unserer Anwendung nutzen wir Sentry (Functional Software, Inc. d/b/a Sentry, betrieben über die EU-Region auf de.sentry.io). Sentry empfängt bei technischen Fehlern Ereignisdaten zur Diagnose. Übermittelt werden:

• Technische Fehlerinformationen (Stacktrace, Browser, Betriebssystem)
• Pseudonymisierte Nutzer-ID (gehashter Hash, keine Klartext-E-Mail oder IP-Adresse)
• Pfad der aufgerufenen Seite (ohne sensible Query-Parameter wie Verifizierungs- oder Wiederherstellungs-Tokens)
• Zeitstempel des Fehlers

Vor der Übertragung filtern wir bekannte Klartext-E-Mail-Adressen, IP-Adressen, Authentifizierungs-Tokens und Lerninhalte nach dokumentierten Regeln. Da eine technische Filterung Fehlkonfigurationen oder unerwartete Felder nicht absolut ausschließen kann, wird die Ereignisstruktur regelmäßig geprüft und minimiert. Aufbewahrungsdauer, Datenregion, Transfers und Vertragsstatus müssen der freigegebenen Sentry-Konfiguration entsprechen und sind in der Auftragsverarbeiter-Liste dokumentiert. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an technischer Stabilität und Sicherheit). Weitere Informationen: https://sentry.io/privacy/ und Sentry-DPA.

8.9 Vollständige Liste der Auftragsverarbeiter

Eine konsolidierte Übersicht aller von uns eingesetzten Auftragsverarbeiter (mit Sitz, Drittlandtransfer-Mechanismus, AVV-Status und Datenflüssen pro Verarbeitungstätigkeit) finden Sie unter /legal/auftragsverarbeiter. Diese Seite wird laufend aktualisiert; Schulen mit aktivem Vertrag werden über Subprozessor-Änderungen vor Inkrafttreten benachrichtigt (Art. 28 Abs. 2 DSGVO).

9. Cookies und Tracking

9.1 Technisch notwendige Cookies

Wir verwenden Cookies, um unsere Website nutzerfreundlicher zu gestalten. Einige Elemente unserer Internetseite erfordern es, dass der aufrufende Browser auch nach einem Seitenwechsel identifiziert werden kann. Folgende technisch notwendige Cookies werden gesetzt:

• Session-Cookie (wird nach Schließen des Browsers gelöscht)
• Authentifizierungs-Cookie (Gültigkeit: 7 Tage)
• Einstellungs-Cookie für Cookie-Banner (Gültigkeit: 1 Jahr)

Rechtsgrundlage für diese Cookies ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Funktionsfähigkeit der Website).

9.2 Webanalyse (Plausible Analytics)

Optionale Seitenaufrufanalysen mit selbst betriebenem Plausible werden erst nach Ihrer Einwilligung in Analytics aktiviert (Art. 6 Abs. 1 lit. a DSGVO). Der Browser sendet begrenzte Seitenaufrufdaten an unseren eigenen Endpunkt /api/proxy/event. Der Server leitet den bereinigten Seitenpfad, eine begrenzte Herkunftsangabe sowie technische Browser- und IP-Daten an die selbst betriebene Analytics-Infrastruktur über einen geschützten Cloudflare-Netzwerktunnel weiter; Besuchercookies und frei wählbare Inhaltsfelder werden nicht weitergegeben. Die Verarbeitung der IP-Adresse bedeutet, dass wir keine pauschale Behauptung vollständiger Anonymität treffen. In verwalteten Schul- und zugangsbeschränkten Bereichen wird diese optionale Analyse unterdrückt. Sie können Ihre Einwilligung jederzeit in den Cookie-Einstellungen widerrufen.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Verbesserung unserer Dienste). Weitere Informationen: https://plausible.io/data-policy

9.3 Schulanfragen und Congress-Demonstration

Das freiwillige Schulanfrageformular erfasst Name und E-Mail-Adresse der erwachsenen Kontaktperson, Schule und Ort sowie gegebenenfalls freiwillige Anfrageangaben und eine begrenzte Kampagnenzuordnung. Bitte tragen Sie keine Daten von Lernenden ein. Wir verwenden die Angaben zur Bearbeitung Ihrer Anfrage und der von Ihnen gewünschten Kontaktaufnahme, nicht als Newsletter-Anmeldung. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO bei eigenen vorvertraglichen Anfragen; bei Anfragen im Namen einer Einrichtung Art. 6 Abs. 1 lit. f DSGVO (Bearbeitung geschäftlicher Anfragen).

Formularangaben werden in unserer Datenbank gespeichert und im täglichen Löschlauf nach 180 Tagen aus dem Anfragespeicher gelöscht. Entsteht daraus ein Vertragsverhältnis, werden hierfür erforderliche Daten getrennt nach den Vertrags- und gesetzlichen Aufbewahrungsregeln verarbeitet. Sie können der Kontaktaufnahme jederzeit unter datenschutz@tutel.app widersprechen. hCaptcha schützt die Übermittlung vor Missbrauch; Hosting und Speicherung erfolgen über die in der Dienstleisterliste genannten Anbieter. Das Absenden verschickt keine automatische E-Mail, eröffnet kein Konto und startet keinen Pilotvertrag.

Die öffentliche Congress-Lerndemonstration verwendet synthetische Beispiele. Eingaben in den untersuchten Lernmodulen bleiben im Arbeitsspeicher des Browsers. Präsentationszustand und statische Offline-Dateien können lokal gespeichert werden. Sie ist kein Teilnehmer- oder Badge-Check-in. Bitte verwenden Sie keine echten Lernenden- oder Teilnehmerdaten in der Demonstration.

10. Rechte der betroffenen Person

Werden personenbezogene Daten von Ihnen verarbeitet, sind Sie Betroffener i.S.d. DSGVO und es stehen Ihnen folgende Rechte gegenüber dem Verantwortlichen zu:

10.1 Auskunftsrecht (Art. 15 DSGVO)

Sie können von dem Verantwortlichen eine Bestätigung darüber verlangen, ob personenbezogene Daten, die Sie betreffen, von uns verarbeitet werden.

10.2 Recht auf Berichtigung (Art. 16 DSGVO)

Sie haben ein Recht auf Berichtigung und/oder Vervollständigung gegenüber dem Verantwortlichen, sofern die verarbeiteten personenbezogenen Daten, die Sie betreffen, unrichtig oder unvollständig sind.

10.3 Recht auf Löschung (Art. 17 DSGVO)

Sie haben das Recht, die Löschung der Sie betreffenden personenbezogenen Daten zu verlangen. Wir prüfen und bearbeiten die Anfrage innerhalb der gesetzlichen Fristen; gesetzliche Aufbewahrungspflichten, Rechtsansprüche und technisch erforderliche Sicherungszyklen werden dabei berücksichtigt und transparent beantwortet.

→ Datenlöschung hier beantragen

10.4 Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO)

Unter bestimmten Voraussetzungen können Sie die Einschränkung der Verarbeitung Ihrer personenbezogenen Daten verlangen.

10.5 Recht auf Datenübertragbarkeit (Art. 20 DSGVO)

Sie haben das Recht, die Sie betreffenden personenbezogenen Daten in einem strukturierten, gängigen und maschinenlesbaren Format zu erhalten. Wir bieten den Export Ihrer Lerndaten als JSON oder CSV an.

10.6 Widerspruchsrecht (Art. 21 DSGVO)

Sie haben das Recht, aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit gegen die Verarbeitung der Sie betreffenden personenbezogenen Daten, die aufgrund von Art. 6 Abs. 1 lit. e oder f DSGVO erfolgt, Widerspruch einzulegen.

10.7 Recht auf Widerruf der datenschutzrechtlichen Einwilligungserklärung (Art. 7 Abs. 3 DSGVO)

Sie haben das Recht, Ihre datenschutzrechtliche Einwilligungserklärung jederzeit zu widerrufen. Durch den Widerruf der Einwilligung wird die Rechtmäßigkeit der aufgrund der Einwilligung bis zum Widerruf erfolgten Verarbeitung nicht berührt.

10.8 Beschwerderecht bei einer Aufsichtsbehörde (Art. 77 DSGVO)

Sie haben das Recht, sich bei einer Aufsichtsbehörde zu beschweren. Zuständig ist:

Die Landesbeauftragte für den Datenschutz Niedersachsen
Prinzenstraße 5
30159 Hannover
Telefon: +49 (0) 511 120-4500
E-Mail: poststelle@lfd.niedersachsen.de

11. Kontakt für Datenschutzanfragen

Für alle Anfragen bezüglich Ihrer Datenschutzrechte wenden Sie sich bitte an:

datenschutz@tutel.app
+49 1512 9898273

Wir bearbeiten Ihre Anfrage unverzüglich, grundsätzlich innerhalb eines Monats nach Eingang. Ist die gesetzlich zulässige Verlängerung wegen Komplexität oder Anzahl der Anfragen erforderlich, informieren wir Sie innerhalb dieses Monats über die Gründe (Art. 12 Abs. 3 DSGVO).

12. Änderung der Datenschutzerklärung

Wir behalten uns vor, diese Datenschutzerklärung anzupassen, damit sie stets den aktuellen rechtlichen Anforderungen entspricht oder um Änderungen unserer Leistungen in der Datenschutzerklärung umzusetzen. Für Ihren erneuten Besuch gilt dann die neue Datenschutzerklärung. Bei wesentlichen Änderungen werden wir Sie per E-Mail informieren.