Datenschutz
Stand: März 2026
2. Erhebung und Speicherung personenbezogener Daten
Bei der Registrierung erheben wir folgende Daten:
- Name (frei wählbar, kann ein Pseudonym sein)
- E-Mail-Adresse
- Passwort (verschlüsselt gespeichert mit bcrypt)
Beim Nutzen der App speichern wir zusätzlich:
- Lernfortschritt (Kapitel, Lektionen, XP, Sterne)
- Spracheinstellungen (UI-Sprache, Zielsprache, CEFR-Level)
- Vokabel-Trainingsdaten (Spaced Repetition) — lokal auf Ihrem Gerät
- Chat-Nachrichten, CHRONOS-Sitzungen und sichtbare Lern-Memories für Lernkontinuität; Memories können verborgen oder gelöscht werden
3. Zweck der Datenverarbeitung
Wir verarbeiten personenbezogene Daten ausschließlich zum Betrieb der Lernplattform BesserStudy. Dies umfasst:
- Bereitstellung des Benutzerkontos und der Lernfunktionen
- Speicherung und Synchronisierung des Lernfortschritts
- Personalisierung der Lerninhalte (Sprachauswahl, Schwierigkeitsgrad)
- Technische Bereitstellung der Text-to-Speech-Funktion
- KI-gestützte Lernhilfen (Tutor, Übersetzungen, Textbewertung)
4. Rechtsgrundlage
Die Verarbeitung erfolgt auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) und Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Bereitstellung der Plattform).
5. KI-Dienste und Anonymisierung
BesserStudy nutzt KI-Dienste zur Bereitstellung des Tutors, der Übersetzungsfunktion und der automatischen Textbewertung. Dabei setzen wir umfassende Anonymisierungsmaßnahmen ein:
5.1 Verwendete KI-Anbieter
- Mistral AI — für KI-Lernfreund, Tutor, Übersetzungen, Freitext-Bewertung und Lernanalyse. Wir senden minimierten Lernkontext, keine E-Mail, keine Zahlungsdaten und keine internen Nutzer-IDs.
- Google Gemini — für die Foto-Mathe-Funktion (Erkennung handschriftlicher Lösungen)
5.2 Automatische Anonymisierung
Bevor Daten an KI-Anbieter übermittelt werden, durchlaufen sie eine automatische Anonymisierungsschicht. Folgende Maßnahmen werden ergriffen:
- E-Mail-Adressen werden durch
[email] ersetzt - Telefonnummern werden durch
[phone] ersetzt - Straßenadressen und Postleitzahlen werden durch
[address] ersetzt - URLs mit potenziellen Nutzerdaten werden durch
[url] ersetzt - Selbstidentifizierungen („Ich bin Max", „My name is...") werden entfernt
- Bankdaten (IBAN, Kreditkartennummern) werden entfernt
- Familienmitglieder-Erwähnungen mit Namen werden anonymisiert
- Social-Media-Handles werden entfernt
5.3 Was an KI-Anbieter übermittelt wird
Nach der Anonymisierung werden folgende Daten übermittelt:
- Tutor: Anonymisierte Chat-Nachrichten (max. 12 letzte Nachrichten), Zielsprache, CEFR-Level, Lernfortschritt (Kapitelanzahl, Vokabellisten — keine Namen, keine IDs)
- Übersetzungen: Nur das zu übersetzende Wort/die Phrase — keinerlei Nutzerkontext
- Textbewertung: Anonymisierter Schülertext und die Bewertungskriterien — keine Identifikationsdaten
- Schwächenanalyse: Nur aggregierte Statistiken (Thema, Genauigkeit in %) — keine Texte, keine IDs
- Foto-Mathe: Das Foto der handschriftlichen Lösung und die Aufgabenstellung — keine Nutzerdaten
5.4 Was NICHT an KI-Anbieter übermittelt wird
- ❌ Kein Benutzername oder E-Mail-Adresse
- ❌ Keine Benutzer-ID
- ❌ Keine IP-Adresse
- ❌ Keine Geräteinformationen
- ❌ Keine Zahlungsdaten
- ❌ Keine geräteübergreifende Verknüpfung möglich
5.5 Speicherung durch KI-Anbieter
Chat-Nachrichten werden von BesserStudy nicht dauerhaft gespeichert. Bei jedem Seitenwechsel oder Neuladen gehen sie verloren. Die KI-Anbieter verarbeiten Anfragen gemäß ihrer eigenen Datenschutzrichtlinien. BesserStudy hat keine Kontrolle über die Datenaufbewahrung der Anbieter, minimiert jedoch die übermittelten Daten durch die beschriebene Anonymisierung auf das absolute Minimum.
6. Weitere Drittanbieter
Neben den KI-Diensten werden folgende externe Dienste genutzt:
- Google Cloud TTS (Chirp 3 HD) — Text-to-Speech-Generierung. Nur der zu sprechende Text wird übermittelt, ohne Nutzerbezug. Audiodateien werden serverseitig zwischengespeichert.
- Stripe — Zahlungsabwicklung für Premium-Abonnements. Zahlungsdaten werden ausschließlich von Stripe verarbeitet und nicht auf unseren Servern gespeichert.
- Google Fonts — Schriftarten werden von Google-Servern geladen. Dabei wird Ihre IP-Adresse an Google übermittelt.
7. Cookies und lokale Speicherung
Wir verwenden:
- Session-Cookie (besserstudy-session) — für die Authentifizierung, technisch notwendig
- localStorage — für Einstellungen (Sprache, Theme, Lernfortschritt), verbleibt nur auf Ihrem Gerät
Wir verwenden keine Tracking-Cookies, kein Google Analytics und keine Werbung.
8. Datensicherheit
Die Verbindung zur Website ist SSL/TLS-verschlüsselt (HTTPS). Passwörter werden mit bcrypt gehasht gespeichert. Der Zugriff auf die Datenbank ist auf den Server beschränkt.
9. Ihre Rechte
Sie haben das Recht auf:
- Auskunft über Ihre gespeicherten Daten (Art. 15 DSGVO)
- Berichtigung unrichtiger Daten (Art. 16 DSGVO)
- Löschung Ihrer Daten (Art. 17 DSGVO)
- Einschränkung der Verarbeitung (Art. 18 DSGVO)
- Datenübertragbarkeit (Art. 20 DSGVO)
- Widerspruch gegen die Verarbeitung (Art. 21 DSGVO)
Zur Ausübung Ihrer Rechte wenden Sie sich an: kontakt@besserstudy.de
10. Löschung des Kontos
Sie können Ihr Konto jederzeit in den Profileinstellungen löschen
(Profil → Einstellungen → Konto löschen).
Nach Bestätigung mit Passwort wird Ihr Konto sofort gesperrt und
aus allen aktiven Sitzungen abgemeldet.
Es folgt eine 30-tägige Karenzzeit: In diesem Zeitraum können Sie die Löschung
rückgängig machen, indem Sie sich einfach wieder anmelden. Nach Ablauf der 30 Tage werden
alle personenbezogenen Daten einschließlich Lernfortschritt, Chats, XP, Achievements und
Vokabeldaten unwiderruflich gelöscht (automatisierter Löschlauf).
Wir empfehlen, vor der Löschung Ihre Daten über „Meine Daten exportieren" als vollständigen JSON-Dump
herunterzuladen (Art. 20 DSGVO — Datenübertragbarkeit).
11. Speicherdauer / Aufbewahrungsfristen
- Konto- und Lerndaten: bis zur Löschung des Kontos (siehe Ziffer 10). 30-Tage-Karenzzeit; danach automatisierte Vollöschung.
- Analyse-Seitenaufrufe (cookielos, ohne IP-Speicherung): automatische Löschung nach 365 Tagen.
- Sessions (Anmelde-Tokens): automatische Invalidierung nach 30 Tagen Inaktivität.
- Steuer- und abrechnungsrelevante Daten (Rechnungen über Stripe): 10 Jahre gem. § 147 AO.
- Admin-Audit-Log (privilegierte Aktionen): 365 Tage.
- Einwilligungsprotokoll (Art. 7 Abs. 1 DSGVO — Nachweis Ihrer Einwilligung): Dauer der Kontobeziehung + 3 Jahre.
12. Beschwerderecht
Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren. Die zuständige Aufsichtsbehörde ist:
Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen
Kavalleriestr. 2-4
40213 Düsseldorf
www.ldi.nrw.de