Datenschutzerklärung

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:

Die Web-Anwendung (Frontend) wird bei Vercel Inc., 440 N Barranca Ave #4133, Covina, CA 91723, USA gehostet. Beim Aufruf der Seite verarbeitet Vercel technisch notwendige Daten (u. a. IP-Adresse, Zeitpunkt des Zugriffs, Browser-Informationen) in Server-Logs. Eine Übermittlung in die USA erfolgt auf Grundlage der EU-Standardvertragsklauseln (SCCs) gemäß Art. 46 Abs. 2 lit. c DSGVO.

Das Backend (API) wird bei Fly.io, Inc. betrieben und in der Region Frankfurt am Main (Deutschland) ausgeführt. Rechtsgrundlage der Verarbeitung ist unser berechtigtes Interesse an einem sicheren und effizienten Betrieb des Dienstes (Art. 6 Abs. 1 lit. f DSGVO).

Für Nutzerkonten, Authentifizierung und Datenspeicherung setzen wir Supabase ein. Die Daten (E-Mail-Adresse, Konto-Informationen, erstellte Decks und Karteikarten) werden auf Servern innerhalb der Europäischen Union gespeichert. Rechtsgrundlage ist die Erfüllung des Nutzungsvertrags (Art. 6 Abs. 1 lit. b DSGVO).

Optional kannst du dich über Google OAuth anmelden. Dabei übermittelt Google Ireland Ltd. uns deine E-Mail-Adresse und grundlegende Profildaten. Die Nutzung von Google OAuth ist freiwillig — alternativ steht die Anmeldung per E-Mail zur Verfügung. Es gelten ergänzend die Datenschutzhinweise von Google.

Kostenpflichtige Abos und Zusatzkäufe werden über Stripe abgewickelt (Stripe Payments Europe, Ltd., Irland). Stripe verarbeitet dabei Zahlungsdaten (z. B. Kartendaten, Name, E-Mail-Adresse) in eigener Verantwortung bzw. als Auftragsverarbeiter. Wir selbst speichern keine vollständigen Zahlungsdaten. Rechtsgrundlage ist die Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO).

Kernfunktion von Cardomat ist die Erstellung von Karteikarten aus deinen eingegebenen Lerninhalten (Text, ab Pro auch PDF-Dokumente). Diese Inhalte werden zur Generierung an die API von Anthropic übermittelt und dort ausschließlich zur Erbringung der Funktion verarbeitet (Auftragsverarbeitung).

Deine Inhalte werden von Anthropic nicht zum Training von KI-Modellen verwendet. Bitte gib dennoch keine sensiblen personenbezogenen Daten Dritter in die Generierung ein. Rechtsgrundlage ist die Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO).

Für unseren Newsletter kannst du dich freiwillig mit deiner E-Mail-Adresse anmelden (Double-Opt-in: Die Anmeldung wird erst nach Klick auf den Bestätigungslink wirksam). Der Versand erfolgt über den Dienstleister Resend (Resend, Inc., USA) als Auftragsverarbeiter; eine Übermittlung in die USA erfolgt auf Grundlage der EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO). Rechtsgrundlage der Verarbeitung ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO); du kannst sie jederzeit über den Abmeldelink in jeder E-Mail oder per Nachricht an support@cardomat.app widerrufen. Auch Bestätigungs-E-Mails des Dienstes (z. B. Kündigungsbestätigungen) werden über Resend versendet (Art. 6 Abs. 1 lit. b DSGVO).

Zur Erkennung und Behebung technischer Fehler setzen wir Sentry ein (Functional Software, Inc., USA) — im Backend und, sofern konfiguriert, auch im Frontend der Web-Anwendung. Bei einem Fehler können technische Daten des Requests bzw. des Browser-Kontexts verarbeitet werden (u. a. gekürzte IP-Adresse, Zeitpunkt, Fehlermeldung, Browser-/Geräteinformationen; keine absichtliche Erfassung von Kartentexten oder Passwörtern). Eine Übermittlung in die USA erfolgt auf Grundlage der EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO). Fehlerereignisse werden nach begrenzter Zeit automatisch gelöscht (typischerweise innerhalb von 30–90 Tagen je nach Projekt- Einstellung). Rechtsgrundlage ist unser berechtigtes Interesse an einem stabilen und sicheren Betrieb des Dienstes (Art. 6 Abs. 1 lit. f DSGVO).

Cardomat verwendet ausschließlich technisch notwendige Cookies und localStorage-Einträge, z. B. für die Anmeldesitzung und lokale Einstellungen. Es werden keine Werbe-Cookies gesetzt und kein seitenübergreifendes Tracking eingesetzt. Ein Cookie-Banner ist daher nicht erforderlich. Rechtsgrundlage ist § 25 Abs. 2 Nr. 2 TDDDG in Verbindung mit Art. 6 Abs. 1 lit. b DSGVO.

Zur Messung der Nutzung setzen wir Vercel Web Analytics ein. Das Verfahren arbeitet ohne Cookies und ohne geräteübergreifende Identifier: Seitenaufrufe werden aggregiert erfasst, Besucher nur anhand eines kurzlebigen, anonymisierten Hashs unterschieden. Ein Profil einzelner Personen wird nicht gebildet. Rechtsgrundlage ist unser berechtigtes Interesse an der Analyse und Verbesserung des Angebots (Art. 6 Abs. 1 lit. f DSGVO).

Kommst du über einen Kampagnen-Link zu Cardomat (z. B. mit utm-Parametern in der URL), speichern wir die Kampagnen-Kennung zunächst lokal in deinem Browser und ordnen sie bei einer Registrierung deinem Konto zu, um zu verstehen, über welche Kanäle Nutzer zu uns finden. Es handelt sich dabei nur um die Kanal-Bezeichnung (z. B. „newsletter“), nicht um ein Nutzungsprofil. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO.

Wir speichern personenbezogene Daten nur so lange, wie es für die Bereitstellung des Dienstes erforderlich ist oder gesetzliche Aufbewahrungspflichten bestehen.

• Konto und Karteikarten: bis zur Löschung des Kontos durch dich (in den Einstellungen) bzw. bis du Inhalte selbst entfernst.
• Abrechnungs- und Vertragsdaten: so lange, wie handels- und steuerrechtliche Fristen es verlangen (in der Regel bis zu 10 Jahre).
• Server- und Zugriffs-Logs (Hosting): typischerweise wenige Tage bis ca. 30 Tage, soweit nicht zur Sicherheit länger erforderlich.
• Fehlerdiagnose (Sentry): typischerweise 30–90 Tage.
• Newsletter: bis zum Widerruf der Einwilligung / Abmeldung; Double-Opt-in-Nachweise ggf. länger zur Nachweispflicht.
• UTM-/Kanal-Zuordnung am Konto: bis zur Kontolöschung oder bis wir sie nicht mehr für die Kanalauswertung brauchen.

Als betroffene Person hast du nach der DSGVO folgende Rechte:

• Auskunft über die verarbeiteten Daten (Art. 15 DSGVO)
• Berichtigung unrichtiger Daten (Art. 16 DSGVO)
• Löschung („Recht auf Vergessenwerden", Art. 17 DSGVO)
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruch gegen die Verarbeitung (Art. 21 DSGVO)
• Beschwerde bei einer Datenschutz-Aufsichtsbehörde (Art. 77 DSGVO)

Zur Ausübung deiner Rechte genügt eine formlose E-Mail an support@cardomat.app.

Soweit wir Verarbeitungen auf Art. 6 Abs. 1 lit. f DSGVO stützen (z. B. Reichweitenmessung, Fehlerdiagnose, Kanal-Zuordnung), kannst du der Verarbeitung aus Gründen, die sich aus deiner besonderen Situation ergeben, widersprechen (Art. 21 DSGVO). Schreib uns dazu an support@cardomat.app.

Du kannst dein Konto jederzeit selbstständig in den Einstellungen der App löschen. Dabei werden dein Nutzerkonto sowie deine gespeicherten Decks und Karteikarten entfernt, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen.