Datenschutz

Stand: [TODO: Datum]

1. Verantwortlicher

Verantwortlich für die Verarbeitung personenbezogener Daten im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:
[TODO: Firmenwortlaut], [TODO: Anschrift], Österreich
E-Mail: [TODO: privacy@…]

Datenschutzbeauftragter: [TODO: Name und Kontakt, falls bestellt; sonst diesen Satz streichen]

2. Überblick

Wir verarbeiten personenbezogene Daten nur, soweit dies für den Betrieb dieser Website und des Lernprogramms Noventa nötig ist, auf Grundlage der DSGVO und des österreichischen Datenschutzgesetzes (DSG). Wir verkaufen keine Daten, betreiben kein Werbe-Tracking und setzen keine Analyse-Cookies ein. [TODO: bestätigen; falls ein Analyse-Tool eingesetzt wird, hier ergänzen]

3. Hosting

Die Website und die App werden bei [TODO: Hosting-Anbieter, Firmenwortlaut, Anschrift] gehostet. Serverstandort: [TODO: Land, möglichst EU]. Mit dem Anbieter besteht ein Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO. [TODO: AVV abschließen und bestätigen]

4. Server-Logfiles

Beim Aufruf der Website verarbeitet unser Server automatisch technische Daten: IP-Adresse, Datum und Uhrzeit, aufgerufene Seite, Referrer, Browser und Betriebssystem. Das dient dem sicheren und stabilen Betrieb (Art. 6 Abs. 1 lit. f DSGVO; berechtigtes Interesse: IT-Sicherheit und Fehleranalyse). Logfiles werden nach [TODO: z. B. 14] Tagen gelöscht.

5. Cookies

Wir verwenden ausschließlich technisch notwendige Cookies: ein Sitzungs-Cookie (Anmeldung, gewählte Sprache) und ein Sicherheits-Cookie zum Schutz vor Cross-Site-Request-Forgery. Diese sind für den von dir gewünschten Dienst unbedingt erforderlich (§ 165 Abs. 3 TKG 2021; Art. 6 Abs. 1 lit. b und f DSGVO) und erfordern keine Einwilligung. Sie werden mit dem Ende der Sitzung bzw. nach [TODO: Laufzeit, z. B. 2 Stunden] gelöscht.

6. Benutzerkonto und Lernprogramm

Für die Nutzung von Noventa verarbeiten wir: Name, E-Mail-Adresse, Passwort (nur als Hash gespeichert) oder Passkey-Daten, gewählte Sprache, gewählter Kurs, Lernfortschritt (erledigte Tage, Karten-Wiederholungen, Quiz-Ergebnisse) sowie Texte, die du in dein Journal schreibst. Rechtsgrundlage ist die Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO). Die Daten werden gespeichert, solange dein Konto besteht, und nach Löschung des Kontos binnen [TODO: z. B. 30] Tagen entfernt, soweit keine gesetzlichen Aufbewahrungspflichten bestehen.

7. Anmeldung mit Google (Google Sign-In)

Du kannst dich optional mit deinem Google-Konto anmelden. Anbieter ist Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland („Google“). Dabei übermittelt Google uns nach deiner Bestätigung Name, E-Mail-Adresse, Profilbild und eine Google-Nutzerkennung. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Durchführung der von dir gewählten Anmeldung). Dabei kann es zu einer Übermittlung von Daten an Google LLC in den USA kommen; Google LLC ist unter dem EU-US Data Privacy Framework zertifiziert (Angemessenheitsbeschluss der EU-Kommission, Art. 45 DSGVO). Datenschutzerklärung von Google: policies.google.com/privacy.

8. Zahlungsabwicklung mit Stripe

Zahlungen wickeln wir über Stripe Payments Europe, Limited, 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, D02 H210, Irland („Stripe“) ab. Stripe verarbeitet Name, E-Mail-Adresse, Zahlungsdaten (z. B. Kartendaten), Rechnungsadresse, IP-Adresse und Transaktionsdaten. Wir selbst speichern keine vollständigen Kartendaten, sondern nur eine Kunden-ID, den Abostatus und die Rechnungshistorie. Rechtsgrundlagen sind Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) und lit. c (gesetzliche Pflichten, z. B. Buchhaltung). Stripe ist für bestimmte Verarbeitungen (z. B. Betrugsprävention, Einhaltung von Finanzvorschriften) selbst Verantwortlicher. Eine Übermittlung an Stripe, Inc. in den USA ist möglich; Stripe ist unter dem EU-US Data Privacy Framework zertifiziert und setzt zusätzlich Standardvertragsklauseln ein. Datenschutzerklärung von Stripe: stripe.com/de/privacy.

Rechnungs- und Buchhaltungsdaten bewahren wir gemäß § 132 BAO sieben Jahre auf.

9. Schriftarten (Bunny Fonts)

Wir verwenden die Schriftarten „Inter Tight“ und „Instrument Serif“ aus dem Verzeichnis Bunny Fonts (BunnyWay d.o.o., Cesta komandanta Staneta 4A, 1215 Medvode, Slowenien). Die Schriftdateien werden beim Erstellen der Website heruntergeladen und von unserem eigenen Server ausgeliefert. Beim Besuch der Website wird daher keine Verbindung zu Bunny Fonts aufgebaut. [TODO: technisch bestätigen; falls Schriften doch direkt von fonts.bunny.net geladen werden: Übermittlung der IP-Adresse an BunnyWay, Rechtsgrundlage Art. 6 Abs. 1 lit. f DSGVO ergänzen]

10. E-Mails

Wir senden dir nur E-Mails, die für den Dienst nötig sind (z. B. Bestätigung der E-Mail-Adresse, Passwort zurücksetzen, Zahlungsbelege). Versanddienstleister: [TODO: Anbieter, Sitz, AVV]. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Newsletter versenden wir nur mit deiner ausdrücklichen Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). [TODO: streichen, falls kein Newsletter]

11. Audio und Sprachausgabe

[TODO: Beschreiben, wie Audio/Text-to-Speech umgesetzt ist (z. B. Sprachsynthese des Browsers, keine Übermittlung an uns; oder externer TTS-Dienst mit Anbieter, Sitz, AVV). Falls Mikrofonaufnahmen verarbeitet werden: Zweck, Speicherort, Löschfrist.]

12. Empfänger und Drittlandübermittlung

Empfänger deiner Daten sind nur die oben genannten Auftragsverarbeiter und Dienstleister. Eine Übermittlung in Drittländer erfolgt nur im oben beschriebenen Umfang und auf Grundlage eines Angemessenheitsbeschlusses oder geeigneter Garantien (Art. 44 ff. DSGVO).

13. Deine Rechte

Du hast das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21 DSGVO). Eine erteilte Einwilligung kannst du jederzeit mit Wirkung für die Zukunft widerrufen. Schreib uns dazu an [TODO: privacy@…].

Du hast außerdem das Recht, dich bei der Aufsichtsbehörde zu beschweren. In Österreich ist das die Österreichische Datenschutzbehörde, Barichgasse 40–42, 1030 Wien, www.dsb.gv.at.

14. Automatisierte Entscheidungen

Es findet keine automatisierte Entscheidungsfindung einschließlich Profiling im Sinne von Art. 22 DSGVO statt. Die Planung deiner Wiederholungen (Spaced Repetition) ist eine reine Lernfunktion ohne rechtliche Wirkung.