Datenschutzerklärung

1. Verantwortlicher

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:

Abitur Performance Services by Paul Krümmling
Paul Krümmling
Gaußstraße 23
06118 Halle (Saale)
Deutschland

E-Mail: contact@paulkruemmling.de

Diese Datenschutzerklärung gilt für die Website www.nexoraflow.de, für die Lernplattform NexoraFlow und für die Android-App „NexoraFlow“ (Paketname de.nexoraflow.app), die über den Google Play Store bezogen wird. Die App ist technisch dieselbe Anwendung in einem App-Container (Trusted Web Activity); sie erhebt keine zusätzlichen Daten und greift auf keine Gerätedaten zu, die nicht auch im Browser verarbeitet werden. Zwei Punkte gelten ausschließlich für die App: der Bezug über den Play Store und die dortige Zahlungsabwicklung — beides ist in Abschnitt 6 gesondert beschrieben.

2. Überblick über die Datenverarbeitung

Im Rahmen des Betriebs dieser Website und der Coaching-Plattform NexoraFlow verarbeiten wir folgende Kategorien personenbezogener Daten:

• Kontaktdaten (Name, E-Mail-Adresse, Telefonnummer)
• Technische Zugriffsdaten (IP-Adresse, Browser, Betriebssystem, Zeitstempel)
• Anfragedaten aus dem Bewerbungs- und Kontaktformular (Name, E-Mail-Adresse, Angaben zum Lernbedarf, Nachricht)
• Kontodaten für die Plattform (E-Mail, Name, verschlüsseltes Passwort, Nutzerrolle)
• Onboarding-Daten (Klassenstufe, Bundesland, Schulform, Leistungsziele, Lernverhalten, Stärken/Schwächen, Abiturdatum, Notensystem, Zielpunktzahl)
• Coaching-Daten (Sessiontermine, Themen, Notizen, Google-Meet-Links, Noten, Hausaufgaben)
• Hochgeladene Dateien (Hausaufgaben-Abgaben)
• Sprachdaten (Audioeingaben bei der mündlichen Abiturprüfungs-Simulation, temporär verarbeitet)
• KI-Nutzungsdaten (monatlicher Verbrauch des KI-Guthabens)
• Dynamisches Lernprofil „NexoraMind“ (automatisiert aus dem Lernverhalten abgeleitete fachliche und lernmethodische Merkmale wie aktuelle Stärken, Schwächen und Transfer-Fähigkeit je Fach; basierend auf Noten, Abitursimulationen, täglicher Aufgabe und KI-Tutor)
• Benachrichtigungs-Abos (pro Gerät eine vom Browser erzeugte Push-Endpunkt-Adresse samt zugehöriger Verschlüsselungsschlüssel)
• Lokal auf deinem Gerät gespeicherte Kopien deiner Lerndaten (Offline-Nutzung der installierten App)
• Zahlungsdaten (bei NexoraFlow Standalone-Abo über die Website: Zahlungsabwicklung über Stripe; beim Kauf in der Android-App: Zahlungsabwicklung ausschließlich durch Google Play; bei Coaching-Zahlungen: Banküberweisung oder PayPal — keine Speicherung vollständiger Zahlungsdaten durch den Anbieter)
• Abo-Daten aus Google Play (Kauf-Token, Produkt-ID, Abo-Status, Ende des bezahlten Zeitraums sowie technische Meldungen von Google über Verlängerung, Kündigung oder Erstattung) — keine Zahlungsmittel- oder Rechnungsdaten
• Community-Leaderboard-Daten (Streak-Länge, tägliche Lernaktivität, Opt-Out-Einstellung; öffentlich einsehbar für teilnehmende Nutzer, Top-10-Anzeige)

3. Datenerfassung beim Besuch der Website

Server-Logfiles

Bei jedem Aufruf der Website erfasst und speichert unser Hosting-Anbieter (Vercel Inc., San Francisco, USA) automatisch Informationen in sog. Server-Logfiles: aufgerufene Seite, Datum und Uhrzeit, übertragene Datenmenge, Referrer-URL, verwendeter Browser, Betriebssystem und IP-Adresse. Diese Daten sind technisch erforderlich, um die Website auszuliefern und deren Stabilität und Sicherheit zu gewährleisten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse). Die Daten werden nach spätestens 30 Tagen automatisch gelöscht.

Cookies und lokaler Speicher

Wir verwenden ausschließlich technisch notwendige Cookies. Nach der Anmeldung setzen wir ein Session-Cookie (authjs.session-token), das ein signiertes Anmelde-Token enthält und ausschließlich der sicheren Zuordnung deiner Sitzung dient. Das Cookie ist httpOnly (für Skripte im Browser nicht auslesbar), wird nur über verschlüsselte Verbindungen übertragen und verliert spätestens nach 8 Stunden seine Gültigkeit. Beim Abmelden wird es gelöscht. Darüber hinaus speichert die App bei Nutzung als installierte Anwendung Daten im lokalen Speicher deines Geräts (siehe „Offline-Nutzung der App“). Tracking- oder Werbe-Cookies setzen wir nicht; die eingesetzte Reichweitenmessung (siehe Abschnitt 6) arbeitet cookiefrei. Rechtsgrundlage ist § 25 Abs. 2 Nr. 2 TDDDG i. V. m. Art. 6 Abs. 1 lit. b DSGVO.

Offline-Nutzung der App

NexoraFlow lässt sich als App installieren und funktioniert dann auch ohne Internetverbindung. Dazu speichert die App Teile deiner Daten (Noten, Lernpläne, Simulationen, Aufgaben) sowie noch nicht übertragene Eingaben in einem lokalen Speicherbereich deines Geräts (IndexedDB). Diese Daten verlassen dein Gerät nicht — sie werden lediglich mit dem Server abgeglichen, sobald wieder eine Verbindung besteht. Beim Abmelden löschen wir den gesamten lokalen Speicherbereich automatisch, damit auf gemeinsam genutzten Geräten keine Daten zurückbleiben. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO; das Speichern auf dem Endgerät ist für die von dir ausdrücklich gewünschte Offline-Funktion unbedingt erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG).

Stripe-Cookies (Zahlungsabwicklung)

Bei Nutzung der Zahlungsfunktion über Stripe werden durch das eingebundene Stripe.js folgende technisch notwendige Cookies gesetzt: __stripe_mid (Laufzeit: 1 Jahr) und __stripe_sid (Laufzeit: 30 Minuten). Diese Cookies dienen ausschließlich der Betrugsprävention und der Sicherheit bei der Zahlungsabwicklung durch Stripe und werden nur aktiviert, wenn Sie einen Zahlungsvorgang einleiten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der sicheren Zahlungsabwicklung).

Bewerbungs- und Kontaktformular

Wenn Sie über das Bewerbungs- oder Kontaktformular eine Anfrage stellen, werden Ihre Angaben (Name, E-Mail-Adresse, Angaben zum Lernbedarf und zur gewünschten Unterstützung sowie Ihre Nachricht) per E-Mail an uns übermittelt und gespeichert. Diese Daten werden ausschließlich zur Bearbeitung Ihrer Anfrage und zur Kontaktaufnahme verwendet. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahmen) bzw. Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Beantwortung von Anfragen). Die Daten werden gelöscht, sobald die Anfrage abschließend bearbeitet wurde und keine gesetzliche Aufbewahrungspflicht entgegensteht.

4. Nutzerkonto und Coaching-Plattform

Der Zugang zu NexoraFlow entsteht auf zwei Wegen: durch eigenständige Registrierung im Free- oder Premium-Tarif oder auf Einladung des Coaches im Rahmen eines Coaching-Vertrags. In beiden Fällen wird ein Nutzerkonto mit Name, E-Mail-Adresse und verschlüsseltem Passwort angelegt; im Coaching kommen coaching-relevante Daten (Sessions, Hausaufgaben, Noten) hinzu. Die Verarbeitung erfolgt auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO zur Vertragserfüllung.

Im Rahmen des Onboardings werden zusätzliche Daten erhoben (s. Abschnitt 5). Sämtliche Plattformdaten werden in einer PostgreSQL-Datenbank bei Supabase Inc. (San Francisco, USA) gespeichert. Die Übermittlung in die USA erfolgt auf Grundlage von Standardvertragsklauseln gemäß Art. 46 Abs. 2 lit. c DSGVO.

Hochgeladene Dateien (Hausaufgaben-Abgaben) werden ebenfalls in der Infrastruktur von Supabase gespeichert. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Zur Speicherdauer siehe Abschnitt 9.

5. Onboarding-Daten

Beim Onboarding erfassen wir umfangreichere personenbezogene Daten, um das Coaching individuell anpassen zu können. Dazu gehören: Klassenstufe, Bundesland, Schulform, gebuchte Fächer, Notenziel, Lernverhalten, Stärken und Schwächen, Abiturdatum sowie Datenschutz- und Coach-Zugriffs-Einwilligungen.

Die Verarbeitung dieser Daten erfolgt auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) sowie Art. 6 Abs. 1 lit. a DSGVO (ausdrückliche Einwilligung, die beim Onboarding erteilt wird). Die Einwilligung kann jederzeit mit Wirkung für die Zukunft widerrufen werden (Kontakt: contact@paulkruemmling.de).

Der Coach hat im Rahmen seiner Tätigkeit Zugriff auf die Onboarding-Antworten zur Optimierung des Coachings. Eine Weitergabe an Dritte erfolgt nicht.

6. Externe Dienste und Drittanbieter

Hosting: Vercel

Diese Website wird über Vercel Inc. (440 N Barranca Ave #4133, Covina, CA 91723, USA) gehostet. Vercel verarbeitet Zugriffsdaten gemäß seiner eigenen Datenschutzerklärung. Vercel Inc. ist nach dem EU-US Data Privacy Framework (DPF) zertifiziert, sodass die Datenübermittlung in die USA auf Basis des Angemessenheitsbeschlusses der EU-Kommission gemäß Art. 45 DSGVO erfolgt. Ergänzend bestehen Standardvertragsklauseln gemäß Art. 46 Abs. 2 lit. c DSGVO. Weitere Informationen: vercel.com/legal/privacy-policy

Reichweitenmessung: Vercel Analytics & Speed Insights

Zur Messung der Seitenaufrufe und der Ladegeschwindigkeit nutzen wir Vercel Web Analytics und Speed Insights (Vercel Inc., USA). Erhoben werden aufgerufene Seite, Referrer, Gerätetyp, Browser und ungefähre Herkunftsregion sowie technische Performance-Werte. Es werden keine Cookies gesetzt und keine geräteübergreifenden Kennungen gebildet; die Auswertung erfolgt ausschließlich aggregiert, ein Rückschluss auf einzelne Personen ist uns nicht möglich. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem stabilen, schnellen Angebot).

Datenbank: Supabase

Alle Nutzerdaten werden bei Supabase Inc. (San Francisco, USA) in einer PostgreSQL-Datenbank gespeichert. Es besteht ein Auftragsverarbeitungsvertrag. Die Übermittlung in die USA erfolgt auf Grundlage von Standardvertragsklauseln gemäß Art. 46 Abs. 2 lit. c DSGVO. Weitere Informationen: supabase.com/privacy

Missbrauchsschutz: Upstash (Rate Limiting)

Um Brute-Force-Angriffe auf Zugangsdaten, Massenregistrierungen und den Missbrauch der KI-Funktionen zu verhindern, begrenzen wir die Zahl der Anfragen pro Nutzerkonto und pro IP-Adresse. Dazu speichern wir kurzzeitig einen aus IP-Adresse bzw. Konto-ID gebildeten Zähler bei Upstash, Inc. (USA) in einer Redis-Datenbank. Die Einträge laufen automatisch nach Ablauf des jeweiligen Zeitfensters (in der Regel wenige Minuten bis maximal eine Stunde) ab. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Sicherheit unserer Systeme und Konten). Es besteht ein Auftragsverarbeitungsvertrag; die Übermittlung in die USA erfolgt auf Grundlage von Standardvertragsklauseln gemäß Art. 46 Abs. 2 lit. c DSGVO.

E-Mail-Versand und Newsletter: Brevo (ehem. Sendinblue)

Sämtliche E-Mails der Plattform versenden wir über Brevo (Sendinblue SAS, 7 rue de Madrid, 75008 Paris, Frankreich). Dabei werden E-Mail-Adresse, Name sowie Betreff und Inhalt der Nachricht an Brevo übermittelt. Da Brevo ein französisches Unternehmen ist, verbleibt die Verarbeitung innerhalb der EU/des EWR. Es besteht ein Auftragsverarbeitungsvertrag. Wir unterscheiden dabei drei Fälle:

• Vertrags- und Pflicht-E-Mails (Kontoaktivierung, Passwort-Zurücksetzen, Einladungen, Bestätigung der Kontolöschung, Rechnungs- und Terminhinweise): Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Diese E-Mails sind Bestandteil der Leistung und lassen sich nicht abbestellen, solange das Konto besteht.
• Kontaktliste aller Nutzer: Zur Verwaltung des Versands und für wichtige betriebliche Ankündigungen zur Plattform (z. B. Änderungen an Funktionen, Preisen oder Rechtstexten) führen wir bei Brevo eine Kontaktliste aller registrierten Nutzer (E-Mail-Adresse und Vorname). Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO bzw. Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer zuverlässigen Nutzerkommunikation). Der Eintrag wird mit der Löschung des Kontos automatisch entfernt.
• Newsletter und Produkt-Updates: nur bei ausdrücklicher Anmeldung. Rechtsgrundlage ist Art. 6 Abs. 1 lit. a DSGVO. Die Einwilligung kann jederzeit über den Abmeldelink in jeder dieser E-Mails, über die Einstellungen im Dashboard oder per E-Mail an contact@paulkruemmling.de widerrufen werden.

Weitere Informationen: brevo.com/legal/privacypolicy

Push-Benachrichtigungen

Wenn du in den Einstellungen Push-Benachrichtigungen aktivierst, speichern wir für das jeweilige Gerät eine vom Browser erzeugte Abo-Adresse (Endpunkt-URL) sowie zwei zugehörige Verschlüsselungsschlüssel. Die Zustellung erfolgt technisch über den Push-Dienst deines Browser- bzw. Geräteherstellers — je nach Gerät Google (Firebase Cloud Messaging), Mozilla oder Apple. Diese Dienste erhalten dabei die Endpunkt-URL und den verschlüsselten Meldungsinhalt; eine Übermittlung in die USA kann dabei stattfinden. Inhalt der Meldungen sind ausschließlich plattformbezogene Hinweise (z. B. neue Hausaufgabe, fertige Simulation). Rechtsgrundlage ist Art. 6 Abs. 1 lit. a DSGVO (Einwilligung durch Aktivierung des Schalters und Erteilung der Browser-Berechtigung). Du kannst die Benachrichtigungen jederzeit in den Einstellungen oder in deinen Browser-/Systemeinstellungen wieder deaktivieren; das Abo wird dann gelöscht. Nicht mehr erreichbare Abos entfernen wir automatisch. Mit der Löschung deines Kontos werden alle Abos gelöscht.

Anmeldung mit Google

Du kannst dich alternativ mit deinem Google-Konto registrieren und anmelden (Google Ireland Ltd., Gordon House, Barrow Street, Dublin 4, Irland). Dabei erhalten wir von Google deine E-Mail-Adresse und deinen Namen zur Anlage bzw. Zuordnung deines NexoraFlow-Kontos; ein Passwort wird in diesem Fall bei uns nicht gespeichert. Google erfährt im Gegenzug, dass du dich bei NexoraFlow angemeldet hast. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Durchführung des Nutzungsverhältnisses). Weitere Informationen: policies.google.com/privacy

Terminbuchung: Calendly

Für die Buchung von Kennlerngesprächen über das Kontaktformular nutzen wir Calendly (Calendly LLC, 271 17th St NW, Atlanta, GA 30363, USA). Bei der Nutzung des Buchungsformulars werden personenbezogene Daten (Name, E-Mail-Adresse, gewählter Termin) an Calendly übermittelt und dort verarbeitet. Die Übermittlung in die USA erfolgt auf Grundlage von Standardvertragsklauseln gemäß Art. 46 Abs. 2 lit. c DSGVO. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahmen). Weitere Informationen: calendly.com/privacy

Google Meet

Coaching-Sessions finden über Google Meet (Google Ireland Ltd., Gordon House, Barrow Street, Dublin 4, Irland) statt. Bei der Teilnahme an einer Session werden Daten an Google übermittelt. Wir haben keinen Einfluss auf die dortige Datenverarbeitung. Weitere Informationen: policies.google.com/privacy. Rechtsgrundlage für die Nutzung ist Art. 6 Abs. 1 lit. b DSGVO.

WhatsApp

Für den Support bieten wir optional Kontakt über WhatsApp (WhatsApp Ireland Limited, 4 Grand Canal Square, Dublin 2, Irland / Meta Platforms) an. Die Nutzung ist freiwillig. Bei der Kommunikation über WhatsApp werden Daten an Meta übermittelt. Weitere Informationen: whatsapp.com/legal/privacy-policy. Rechtsgrundlage ist Art. 6 Abs. 1 lit. a DSGVO (Einwilligung durch aktive Kontaktaufnahme).

Eingebettete Inhalte von Instagram und YouTube

Auf einzelnen öffentlichen Seiten binden wir Beiträge von Instagram (Meta Platforms Ireland Ltd., Dublin, Irland) und Videos von YouTube (Google Ireland Ltd., Dublin, Irland) ein. Beim Laden dieser Inhalte wird eine Verbindung zu den Servern des jeweiligen Anbieters hergestellt und deine IP-Adresse übertragen. YouTube-Videos binden wir ausschließlich im erweiterten Datenschutzmodus (youtube-nocookie.com) ein; dabei setzt YouTube erst beim Abspielen Cookies. Wir haben auf die Datenverarbeitung durch die Anbieter keinen Einfluss. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Darstellung unserer Inhalte).

Künstliche Intelligenz

Die KI-gestützten Funktionen der Plattform — insbesondere KI-Tutor, personalisierte Lernpläne, tägliche Aufgabe, schriftliche und mündliche Abitursimulation, Elternberichte und das dynamische Lernprofil — erbringen wir über die Programmierschnittstellen spezialisierter KI-Dienstleister. Welche Anbieter das sind, steht in der Liste unserer Auftragsverarbeiter in Abschnitt 8. Welche konkrete Funktion über welchen Anbieter läuft, geben wir aus Wettbewerbsgründen nicht im Einzelnen an; die eingesetzten Anbieter, die übermittelten Datenarten und die Rechtsgrundlage benennen wir vollständig.

Übermittelt werden je nach Funktion: die vom Nutzer eingegebenen Chat-Nachrichten, Aufgabenstellungen und Aufgabenlösungen, kontextgebende Onboarding-Daten (Klassenstufe, Fächer, Lernziele, Stärken/Schwächen, Prüfungstermine), das Transkript der mündlichen Prüfung sowie — für das Lernprofil — die seit der letzten Auswertung angefallenen Lerndaten gemeinsam mit dem bisherigen Profil. Bei der Abitursimulation werden ausschließlich die Texteingaben des Nutzers ohne zusätzliche Personalisierungsdaten übermittelt.

Der überwiegende Teil dieser Verarbeitung findet innerhalb der EU statt. Soweit einzelne Anbieter ihren Sitz in den USA haben, erfolgt die Übermittlung auf Grundlage von Standardvertragsklauseln gemäß Art. 46 Abs. 2 lit. c DSGVO. Mit allen KI-Dienstleistern bestehen Auftragsverarbeitungsverträge; sie verwenden die über die Schnittstelle übermittelten Daten gemäß ihren Nutzungsbedingungen ausschließlich zur Bearbeitung der jeweiligen Anfrage und nicht zum Training eigener Modelle. Eine kurzzeitige Speicherung zur Missbrauchserkennung (in der Regel bis zu 30 Tage) kann dabei stattfinden. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).

Dynamisches Lernprofil „NexoraMind“

Um die Plattform fortlaufend an deinen Lernstand anzupassen, wertet NexoraFlow dein Lernverhalten regelmäßig (in der Regel einmal nächtlich) automatisiert aus. Dabei werden seit der letzten Auswertung angefallene Lerndaten — Ergebnisse der täglichen Aufgabe, Bewertungen aus schriftlichen und mündlichen Abitursimulationen sowie Inhalte des KI-Tutor-Chats — gemeinsam mit dem bisherigen Lernprofil zur Verarbeitung an einen der oben genannten KI-Dienstleister übermittelt. Daraus wird ein verdichtetes, fachlich-lernmethodisches Profil (Stärken, Schwächen, Transfer-Fähigkeit je Fach) abgeleitet und in der Datenbank gespeichert. Es werden ausschließlich fachbezogene und lernmethodische Merkmale verarbeitet; sensible, private oder gesundheitsbezogene Angaben werden ausdrücklich nicht in das Profil aufgenommen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung). Das Lernprofil wird mit dem Nutzerkonto gelöscht.

Sprachverarbeitung der mündlichen Prüfung

Die Simulation der mündlichen Abiturprüfung ist die einzige Funktion, bei der Audiodaten verarbeitet werden — sie wird deshalb hier gesondert beschrieben. Während der Prüfung wird eine direkte Echtzeit-Sprachverbindung (WebRTC) zwischen dem Browser des Nutzers und der Schnittstelle eines KI-Dienstleisters aufgebaut. Die Mikrofon-Aufnahmen (Audio-Rohdaten) werden dabei in Echtzeit übertragen und in einem Speech-to-Speech-Verfahren verarbeitet: Die gesprochenen Antworten werden in Text umgewandelt (Transkription), der Dienst übernimmt die Rolle des Prüfers und erzeugt dessen Antworten als Audio. Verarbeitet werden also sowohl die gesprochenen Worte des Nutzers als auch die generierten Prüfer-Audios. Der eingesetzte Anbieter hat seinen Sitz in den USA; die Übermittlung erfolgt auf Grundlage von Standardvertragsklauseln gemäß Art. 46 Abs. 2 lit. c DSGVO. Die Daten werden ausschließlich zur Erbringung dieser Funktion verwendet und nicht zum Training von KI-Modellen genutzt; sie werden lediglich für einen begrenzten Zeitraum (in der Regel bis zu 30 Tage) zur Missbrauchserkennung gespeichert und danach gelöscht. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).

Zahlungsabwicklung: Stripe

Für die Zahlungsabwicklung des NexoraFlow Standalone-Abos nutzen wir den Dienst von Stripe Payments Europe, Ltd. (1 Grand Canal Street Lower, Grand Canal Dock, Dublin, Irland), einem Tochterunternehmen der Stripe, Inc. (San Francisco, USA). Bei der Durchführung einer Zahlung werden die zur Abwicklung notwendigen Zahlungsdaten (z. B. Kartendaten, Rechnungsadresse, E-Mail-Adresse) direkt an Stripe übermittelt und dort verarbeitet. Vollständige Zahlungsdaten (z. B. Kreditkartennummern) werden nicht auf unseren Servern gespeichert; Stripe speichert diese gemäß PCI-DSS-Standard. Wir erhalten von Stripe lediglich eine Transaktions-ID sowie Angaben über Zahlungsstatus und genutzte Zahlungsmethode (z. B. Kartentyp, letzte vier Ziffern). Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung). Es besteht ein Auftragsverarbeitungsvertrag mit Stripe. Weitere Informationen: stripe.com/de/privacy

Zahlungsabwicklung: PayPal

Für Coaching-Zahlungen bieten wir optional die Zahlung über PayPal (PayPal (Europe) S.à r.l. et Cie, S.C.A., 22–24 Boulevard Royal, L-2449 Luxemburg) an. Bei Nutzung dieser Option werden die für die Abwicklung erforderlichen Daten (Name, E-Mail-Adresse, Rechnungsbetrag) an PayPal übermittelt und dort verarbeitet. Wir haben keinen Einfluss auf die dortige Datenverarbeitung. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung). Weitere Informationen: paypal.com/de/webapps/mpp/ua/privacy-full

Bezug der App über den Google Play Store

NexoraFlow wird zusätzlich als Android-App über den Google Play Store (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland) angeboten. Beim Suchen, Herunterladen, Aktualisieren und Öffnen der App verarbeitet Google als eigenständig Verantwortlicher Daten deines Google-Kontos und deines Geräts (z. B. Geräte- und Kontokennungen, Installations- und Absturzberichte, Nutzungsstatistiken des Stores). Auf diese Verarbeitung haben wir keinen Einfluss; es gilt die Datenschutzerklärung von Google. Wir selbst erhalten von Google keine personenbezogenen Daten über Installationen, sondern nur aggregierte, nicht personenbezogene Statistiken in der Play Console (z. B. Zahl der Installationen, Absturzraten, Gerätemodelle, Bewertungen). Weitere Informationen: policies.google.com/privacy

Die App selbst ist eine Trusted Web Activity: Sie zeigt dieselbe Anwendung, die du auch im Browser nutzt, und verwendet dazu die Engine und das Profil des auf deinem Gerät installierten Google Chrome. Anmeldung, lokaler Speicher und Cookies werden deshalb zwischen der App und Chrome auf demselben Gerät geteilt. Es werden keine zusätzlichen Kennungen, keine Werbe-IDs und keine Standortdaten erhoben, und es sind keine Analyse- oder Werbe-SDKs eingebunden. Die Berechtigungen für Mikrofon (mündliche Abitursimulation, siehe „Sprachverarbeitung der mündlichen Prüfung“) und Benachrichtigungen (siehe „Push-Benachrichtigungen“) werden nur bei Nutzung der jeweiligen Funktion angefragt und lassen sich jederzeit in den System- oder Browsereinstellungen widerrufen. Für die Offline-Speicherung auf dem Gerät gilt unverändert der Abschnitt „Offline-Nutzung der App“.

Zahlungsabwicklung in der Android-App: Google Play Billing

Wird NexoraFlow Premium innerhalb der Android-App gekauft, läuft die Abrechnung ausschließlich über Google Play Billing; Verkäufer und Zahlungsempfänger ist dabei Google (Google Commerce Limited, Gordon House, Barrow Street, Dublin 4, Irland). Der gesamte Zahlungsvorgang findet in der Oberfläche von Google statt: Zahlungsmittel, Rechnungsdaten und Steuerangaben werden von Google in eigener Verantwortung verarbeitet und erreichen uns zu keinem Zeitpunkt. Google ist insoweit nicht unser Auftragsverarbeiter, sondern eigenständig Verantwortlicher; es gelten die Google-Datenschutzerklärung und die Google-Play-Nutzungsbedingungen.

Von Google erhalten und speichern wir ausschließlich die Angaben, die zur Freischaltung und Verwaltung deines Zugangs nötig sind: den Kauf-Token, die Produkt-ID des Abos, den Abo-Status (z. B. aktiv, Zahlungsproblem, gekündigt, abgelaufen) und das Ende des bezahlten Zeitraums. Diese Angaben speichern wir in deinem Nutzerdatensatz, damit dein Konto die richtige Berechtigung erhält. Änderungen am Abo (Verlängerung, Kündigung, Zahlungsprobleme, Erstattung) meldet Google uns automatisiert über eine Server-zu-Server-Schnittstelle; von diesen Meldungen protokollieren wir Meldungs-ID, Kauf-Token, Meldungsart und Zeitpunkt, um jede Meldung genau einmal zu verarbeiten. Löschst du dein Konto, während ein Abo läuft, übermitteln wir den Kauf-Token an Google, um das Abo zu kündigen und weitere Abbuchungen zu verhindern.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Erfüllung des Nutzungsvertrags) sowie hinsichtlich der Protokollierung der Meldungen Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer korrekten, doppelungsfreien Abo-Verwaltung). Weitere Informationen: policies.google.com/privacy und play.google.com/about/play-terms. Beim Abschluss über die Website ändert sich nichts — dort bleibt es bei der oben beschriebenen Abwicklung über Stripe.

Community-Leaderboard

NexoraFlow betreibt ein öffentliches Streak-Ranking (Community-Leaderboard) für teilnehmende Nutzer. Für das Ranking werten wir deine tägliche Lernaktivität aus und speichern die daraus berechnete Streak-Länge in deinem Nutzerdatensatz; die Rangfolge selbst wird bei jedem Aufruf neu berechnet. Ein separates Verlaufsarchiv des Rankings führen wir nicht. Angezeigt werden der Vorname sowie die aktuelle Streak-Länge. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Gamification-Funktion); du kannst dieser Verarbeitung jederzeit nach Art. 21 DSGVO widersprechen, indem du die Teilnahme über die Datenschutz-Einstellungen im Dashboard deaktivierst (Opt-Out) — danach wirst du im öffentlichen Ranking nicht mehr angezeigt. Am letzten Tag eines Kalendermonats wird automatisiert geprüft, welcher teilnehmende Nutzer den höchsten Streak aufweist; dieser erhält 1 Monat NexoraFlow Premium als Reward. Die zugehörige Reward-Zuweisung erfolgt vollständig automatisiert ohne menschliche Überprüfung des Einzelfalls (Art. 22 DSGVO findet keine Anwendung, da keine rechtlich erheblichen oder erheblich beeinträchtigenden Entscheidungen getroffen werden).

7. Minderjährige

Unsere Dienstleistungen richten sich an Schülerinnen und Schüler der gymnasialen Oberstufe (Klasse 10–13), die zum Teil minderjährig sein können. Die Einwilligung in die Datenverarbeitung sowie der Abschluss eines Coaching-Vertrags oder eines kostenpflichtigen Abonnements mit Minderjährigen erfordert die Zustimmung eines Erziehungsberechtigten.

Bei der Registrierung bestätigst du deshalb ausdrücklich, dass du mindestens 16 Jahre alt bist oder deine Erziehungsberechtigten der Nutzung und der Verarbeitung deiner Daten zugestimmt haben. Für den Abschluss eines kostenpflichtigen Premium-Abos setzen wir voraus, dass du volljährig bist oder die Zustimmung deiner Erziehungsberechtigten vorliegt; eine gesonderte Bestätigung holen wir dafür nicht ein. Erziehungsberechtigte können jederzeit Auskunft über die gespeicherten Daten ihres Kindes verlangen und eine erteilte Einwilligung widerrufen (contact@paulkruemmling.de).

8. Datenweitergabe an Dritte

Eine Weitergabe Ihrer personenbezogenen Daten an Dritte erfolgt grundsätzlich nicht, außer wenn dies zur Vertragserfüllung erforderlich ist (z. B. Hosting- und Datenbankdienstleister, KI-Dienstleister sowie Zahlungsdienstleister gemäß Abschnitt 6), wir gesetzlich dazu verpflichtet sind oder Sie ausdrücklich eingewilligt haben. Folgende Auftragsverarbeiter wurden vertraglich gebunden und verarbeiten Daten ausschließlich nach unserer Weisung bzw. im Rahmen der zur Vertragserfüllung notwendigen Leistungserbringung:

• Betrieb der Plattform: Vercel Inc. (USA — Hosting und Reichweitenmessung), Supabase Inc. (USA — Datenbank und Dateispeicher), Upstash, Inc. (USA — Missbrauchsschutz)
• KI-Dienstleister: Mistral AI SAS (Frankreich), Anthropic, PBC (USA), OpenAI, L.L.C. (USA)
• Zahlungsabwicklung: Stripe Payments Europe, Ltd. (Irland) für das Standalone-Abo, PayPal (Europe) S.à r.l. et Cie, S.C.A. (Luxemburg) für Coaching-Zahlungen
• E-Mail-Versand und Newsletter: Sendinblue SAS („Brevo“, Frankreich)

Davon zu unterscheiden sind Empfänger, die eigenständig verantwortlich sind und nicht nach unserer Weisung handeln. Das betrifft insbesondere Google Ireland Limited (Irland) für die Auslieferung der Android-App über den Google Play Store und die Anmeldung mit Google sowie Google Commerce Limited (Irland) für die Abrechnung von Käufen innerhalb der Android-App (Google Play Billing) — dort ist Google Verkäufer und verarbeitet die Zahlungsdaten in eigener Verantwortung. Einzelheiten stehen in Abschnitt 6.

9. Speicherdauer

Wir speichern personenbezogene Daten nur so lange, wie es für den jeweiligen Verarbeitungszweck erforderlich ist oder gesetzliche Aufbewahrungspflichten bestehen (z. B. steuerrechtliche Aufbewahrungsfristen von bis zu 10 Jahren).

Kontodaten speichern wir, solange dein Konto besteht. Du kannst es jederzeit selbst und vollständig löschen (Einstellungen im Dashboard, Anleitung unter nexoraflow.de/konto-loeschen); auf Anfrage an contact@paulkruemmling.de löschen wir es ebenfalls. Mit der Löschung des Kontos entfallen auch die daran hängenden Daten (Noten, Lernpläne, Simulationen, Chatverläufe, Lernprofil, Push-Abos, hochgeladene Dateien und der Brevo-Kontakt).

Abo-Daten aus Google Play (Kauf-Token, Produkt-ID, Abo-Status, Ende des bezahlten Zeitraums) speichern wir, solange dein Konto besteht; sie werden mit dem Konto gelöscht. Die technischen Protokolle der von Google gemeldeten Abo-Ereignisse (Meldungs-ID, Kauf-Token, Meldungsart, Zeitpunkt) bewahren wir zur Nachvollziehbarkeit der Abrechnung auf; nach der Löschung deines Kontos enthalten sie keine Angaben mehr, die wir einer Person zuordnen können. Für die eigentlichen Zahlungs- und Rechnungsdaten des Play-Kaufs gelten die Aufbewahrungsfristen von Google, nicht unsere.

Unabhängig davon gilt: Server-Logfiles werden nach spätestens 30 Tagen gelöscht, technische Betriebsprotokolle nach 30 Tagen, die Zähler des Missbrauchsschutzes laufen nach wenigen Minuten bis maximal einer Stunde ab. Von Abitursimulationen und Lernplänen bewahren wir jeweils die 5 neuesten Einträge auf; ältere werden automatisch gelöscht.

10. Ihre Rechte als betroffene Person

Sie haben gegenüber uns folgende Rechte hinsichtlich Ihrer personenbezogenen Daten:

• Auskunftsrecht (Art. 15 DSGVO): Sie können Auskunft über die von uns verarbeiteten Daten verlangen.
• Berichtigungsrecht (Art. 16 DSGVO): Sie können die Berichtigung unrichtiger Daten verlangen.
• Löschungsrecht (Art. 17 DSGVO): Sie können die Löschung Ihrer Daten verlangen, sofern keine Aufbewahrungspflichten entgegenstehen.
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO): Sie können Ihre Daten in einem maschinenlesbaren Format erhalten.
• Widerspruchsrecht (Art. 21 DSGVO): Sie können der Verarbeitung auf Basis berechtigter Interessen widersprechen.
• Widerruf der Einwilligung (Art. 7 Abs. 3 DSGVO): Eine erteilte Einwilligung kann jederzeit mit Wirkung für die Zukunft widerrufen werden.

Zur Ausübung Ihrer Rechte wenden Sie sich bitte an: contact@paulkruemmling.de

Darüber hinaus haben Sie das Recht, sich bei der zuständigen Datenschutz-Aufsichtsbehörde zu beschweren. Die für unseren Sitz zuständige Behörde ist der Landesbeauftragte für den Datenschutz Sachsen-Anhalt (Leiterstraße 9, 39104 Magdeburg, datenschutz.sachsen-anhalt.de). Für Betroffene gilt ergänzend die Aufsichtsbehörde ihres Wohnsitzes.

11. Aktualität und Änderungen

Diese Datenschutzerklärung ist aktuell gültig und hat den Stand August 2026. Durch die Weiterentwicklung unserer Website und Dienstleistungen oder aufgrund geänderter gesetzlicher bzw. behördlicher Vorgaben kann es notwendig werden, diese Datenschutzerklärung anzupassen. Die jeweils aktuelle Datenschutzerklärung kann jederzeit auf dieser Seite abgerufen werden.