Impressum und Datenschutzerklärung

Verantwortlich für die Datenverarbeitung im Sinne der DSGVO ist Maximilian Heurteur, 1180 Wien, Österreich, E-Mail hello@federkiel.app.

Ein Datenschutzbeauftragter ist nicht bestellt. Für alle Anliegen zum Datenschutz und zur Ausübung deiner Rechte genügt eine Nachricht an diese Adresse.

Federkiel ist eine Web-App zum Üben von Diktat-Wörtern. Sie richtet sich an Erwachsene: an Eltern und Betreuer sowie an Lehrkräfte als Administratoren.

Das Nutzungsmodell ist bewusst datensparsam. Ein Erwachsener liest die Wörter vom Bildschirm vor, das Kind schreibt auf Papier. Kinder benutzen die App nicht, werden nicht als Nutzer angelegt und erhalten keinen Zugang.

Wir verwenden kein Tracking, keine Werbe-Cookies und keine Analyse-Dienste. Es werden keine Daten zu Werbezwecken weitergegeben und keine Daten verkauft.

Wir verarbeiten die folgenden Kategorien personenbezogener Daten:

Nicht verarbeitet werden: Geburtsdatum oder Alter des Kindes, Fotos, Datei-Uploads, Kontaktdaten des Kindes oder Freitext-Profile.

Darüber hinaus fallen bei den eingesetzten Dienstleistern technisch bedingt Zugriffsdaten an, insbesondere die IP-Adresse — etwa zur Auslieferung der Seiten und zur Abwehr von Missbrauch (Ziffer 5).

Wir verarbeiten diese Daten zu den folgenden Zwecken:

Wir setzen die folgenden Dienste ein. Die ersten drei verarbeiten personenbezogene Daten in unserem Auftrag; Google nimmt beim optionalen Google-Login eine eigene Rolle ein (siehe unten):

Mit Supabase, Vercel und Resend bestehen Auftragsverarbeitungsvereinbarungen nach Art. 28 DSGVO in Gestalt der jeweiligen Datenverarbeitungsvereinbarung (Data Processing Agreement) des Anbieters. Eine Kopie der Vereinbarung samt der darin enthaltenen Garantien kannst du unter hello@federkiel.app anfordern.

Google ist beim Google-Login kein Auftragsverarbeiter für uns. Google authentifiziert die Person mit ihrem eigenen Google-Konto und verarbeitet die dabei anfallenden Daten (etwa den Anmeldevorgang selbst) in eigener Verantwortung nach den eigenen Datenschutzbestimmungen von Google; darauf haben wir keinen Einfluss. Wir erhalten von Google lediglich die Basis-Profildaten zur Anlage beziehungsweise Zuordnung des Kontos. Die Anmeldung über Google ist optional — mit E-Mail-Adresse und Passwort kannst du Federkiel vollständig ohne Google nutzen.

Die Betreiber dieser Dienste beziehungsweise deren Mutterunternehmen haben ihren Sitz in den USA (Ziffer 6). Eine Weitergabe zu Werbe- oder Analysezwecken findet nicht statt.

Die eigentlichen App-Daten — Konten, Kindnamen, Lernstände, Klassen, Listen und Wörter — werden bei Supabase und Vercel in der Europäischen Union gespeichert und verarbeitet (Region Irland). Beide Betreiber sind US-Unternehmen, sodass ein Zugriff aus einem Drittland nicht ausgeschlossen ist. Für diese Fälle stützt sich die Übermittlung auf die Standardvertragsklauseln der Europäischen Kommission nach Art. 46 Abs. 2 lit. c DSGVO beziehungsweise, soweit der Anbieter zertifiziert ist, auf den Angemessenheitsbeschluss zum EU-US Data Privacy Framework — jeweils als Bestandteil der Datenverarbeitungsvereinbarung des Anbieters. Eine Kopie kannst du unter hello@federkiel.app anfordern.

Bei Resend liegt dagegen eine echte Drittlandverarbeitung vor: Resend speichert Kundendaten — darunter die Empfänger-E-Mail-Adresse und die Versandprotokolle der Auth-Mails — in den USA. Die Auswahl einer Versandregion ändert daran nichts; sie bestimmt nur, von wo eine E-Mail versendet wird, nicht, wo die Daten gespeichert werden. Diese Übermittlung stützt sich auf die Standardvertragsklauseln, die Bestandteil der Datenverarbeitungsvereinbarung von Resend sind (Art. 46 Abs. 2 lit. c DSGVO). Betroffen sind dabei ausschließlich Daten Erwachsener: die Empfänger-E-Mail-Adresse, der Bestätigungs- beziehungsweise Rücksetz-Link mit dem darin enthaltenen Token sowie die zugehörigen Versand- und Ereignisdaten (Zustellstatus, Zeitpunkt) — keine Kinddaten.

Beim Google-Login verarbeitet Google die Anmeldedaten in eigener Verantwortung (Ziffer 5). Google LLC ist nach eigenen Angaben unter dem EU-US Data Privacy Framework zertifiziert und stützt Übermittlungen ergänzend auf Standardvertragsklauseln, soweit sie nicht vom Angemessenheitsbeschluss erfasst sind; nachzulesen unter policies.google.com/privacy/frameworks. Der Google-Login ist optional — die Anmeldung mit E-Mail-Adresse und Passwort funktioniert unabhängig davon, sodass sich diese Übermittlung vollständig vermeiden lässt.

Darüber hinaus bestehen keine automatischen Löschfristen für Lern- und Übungsdaten: Sie bleiben gespeichert, bis das jeweilige Kind oder das Konto gelöscht wird.

Bei den eingesetzten Dienstleistern fallen zusätzlich technische Betriebs- und Zugriffslogs an (Ziffer 5). Nach den derzeit von uns genutzten Tarifen gelten dafür folgende Aufbewahrungsfristen: bei Vercel (Tarif „Hobby“) werden Laufzeit-Logs 1 Stunde aufbewahrt, bei Supabase (Tarif „Free“) 1 Tag. Resend bewahrt die E-Mail-Daten — Empfängeradresse sowie Versand- und Ereignisdaten der Auth-Mails — nach eigener Angabe 30 Tage auf.

Sollten wir den Tarif wechseln, können sich diese Fristen ändern — wir passen die Angabe dann hier an. Wir werten diese Logs nicht selbst aus und führen sie nicht mit den App-Daten zusammen.

Wir verwenden keine Werbe- und keine Tracking-Cookies. Eingesetzt werden ausschließlich:

Offline-Speicher: Wenn du die Offline-Funktion für ein Kind aktivierst, werden dessen Name, die Übungswörter und der Lernstand lokal in deinem Browser gespeichert, damit ihr ohne Internetverbindung üben könnt. Dadurch werden keine zusätzlichen Daten an uns übertragen. Sie werden nach 7 Tagen, bei Abmeldung und bei einem Nutzerwechsel gelöscht. Auf Wunsch kannst du sie zusätzlich mit einer Geräte-PIN verschlüsseln.

Auf einem geteilten Gerät können lokal gespeicherte Daten für andere Personen lesbar sein, die Zugriff auf dasselbe Benutzerkonto des Geräts haben, solange keine PIN gesetzt ist. Beim Aktivieren erscheint deshalb ein Warnhinweis. Die Offline-Übung ist ein getrennter Modus: Sie schreibt keinen Lernfortschritt zurück.

Die App wertet den Lernstand eines Kindes automatisiert aus: Für jedes Wort werden das Leitner-Fach und das zuletzt erzielte Ergebnis herangezogen, um zu bestimmen, welche Wörter in der nächsten Übung häufiger vorgelegt werden. Da dabei Angaben zum Lernfortschritt einer Person ausgewertet werden, kann diese Personalisierung als Profiling im Sinne von Art. 4 Nr. 4 DSGVO gelten. Wir benennen das hier ausdrücklich, statt es zu verschweigen.

Damit ist ausdrücklich nicht verbunden: keine automatisierte Entscheidung mit rechtlicher oder ähnlich erheblicher Wirkung im Sinne von Art. 22 DSGVO, kein Werbe- oder Marketingprofil, keine Weitergabe an Dritte und keine Bewertung des Kindes gegenüber Schule, Klasse oder anderen Nutzern. Die Auswertung dient ausschließlich dazu, das Üben auf die noch unsicheren Wörter zu lenken; das Ergebnis sehen nur die dem Kind zugeordneten Betreuer.

Du hast nach der DSGVO das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21). Erteilte Einwilligungen — etwa für den Google-Login oder die Offline-Funktion — kannst du jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3).

Einen Teil dieser Rechte kannst du direkt in der App ausüben: Namen und Zuordnungen lassen sich jederzeit ändern; ein Kind kann von seinem aktuellen Hauptbetreuer (Eigentümer) gelöscht werden — das ist zunächst die Person, die es angelegt hat, nach einer Übergabe die Person, an die übergeben wurde (dabei werden auch alle Lern- und Übungsdaten des Kindes entfernt); als Eltern oder Betreuer kannst du dein gesamtes Konto in den Konto-Einstellungen löschen.

Nicht alles ist in der App selbst möglich: Wörter und Listen werden beim Entfernen archiviert statt gelöscht (Ziffer 7), Mitbetreuer können ein Kind nicht löschen, und Konten mit Administratorrechten können sich nicht selbst löschen. In diesen Fällen — und für Auskunft, Berichtigung, Datenübertragbarkeit oder Widerspruch — genügt eine Nachricht an hello@federkiel.app.

Du hast außerdem das Recht auf Beschwerde bei einer Aufsichtsbehörde (Art. 77). Zuständig ist in Österreich die Österreichische Datenschutzbehörde, Barichgasse 40-42, 1030 Wien, E-Mail dsb@dsb.gv.at.

Die App verarbeitet Daten von Kindern — den Namen und den Lernstand. Diese Daten werden ausschließlich durch die erwachsenen Betreuer eingegeben und verwaltet; Kinder nutzen die App nicht selbst und erhalten keinen Zugang. Es werden bewusst nur die minimal nötigen Kinddaten verarbeitet: kein Alter, keine Fotos, keine Kontaktdaten.

Der Zugriff auf Kinddaten ist strikt auf die dem Kind zugeordneten Betreuer beschränkt und wird auf Datenbankebene durchgesetzt. Administratoren (Lehrkräfte) verwalten ausschließlich Klassen, zentrale Wortlisten und die Freigabe vorgeschlagener Wörter — sie haben keinen Zugriff auf Kinder, Betreuer, Lernstände, Übungssitzungen oder Statistiken.

Herkunft der Daten: Wir erheben die Daten des Kindes nicht beim Kind selbst, sondern erhalten sie von der Betreuerin oder dem Betreuer, die oder der das Kind in der App anlegt und betreut. Es handelt sich dabei um den Namen des Kindes sowie die beim Üben entstehenden Lern- und Übungsdaten (Ziffer 3). Die Rechtsgrundlage ist unser berechtigtes Interesse an der Lernunterstützung (Art. 6 Abs. 1 lit. f DSGVO, Ziffer 4).

Art. 8 DSGVO ist hier nicht einschlägig: Diese Bestimmung betrifft Dienste, die Kindern unmittelbar angeboten werden und auf deren Einwilligung gestützt sind — Federkiel richtet sich ausdrücklich an Erwachsene, und Kinder haben keinen Zugang.

Die Rechte aus Ziffer 10 — insbesondere Auskunft, Berichtigung, Löschung und Widerspruch — stehen auch dem Kind beziehungsweise seinen Erziehungsberechtigten zu und können jederzeit unter hello@federkiel.app geltend gemacht werden.

Die Übertragung erfolgt ausschließlich verschlüsselt über HTTPS. Passwörter werden nur als kryptografischer Hash gespeichert — das Klartext-Passwort ist uns nicht bekannt. Der Datenzugriff ist auf Datenbankebene je Konto abgesichert (Row Level Security): Jede Anfrage über die App sieht ausschließlich die Daten, für die das jeweilige Konto berechtigt ist.

Wie bei jedem Web-Dienst haben die technisch für den Betrieb Verantwortlichen sowie die eingesetzten Dienstleister im Rahmen von Wartung, Fehlersuche und Datensicherung grundsätzlich Zugriff auf die gespeicherten Daten. Dieser Zugriff erfolgt nur, soweit er für den Betrieb erforderlich ist.

Wir passen diese Erklärung an, wenn sich die Verarbeitung oder die Rechtslage ändert. Es gilt die jeweils auf dieser Seite veröffentlichte Fassung.