Datenschutzerklärung

1. Verantwortlicher

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:

Maximilian Ise
Wisselter Weg 1a
41469 Neuss, Deutschland
E-Mail: kontakt@waidpass.de

Ein Datenschutzbeauftragter ist gesetzlich nicht bestellt, da die Voraussetzungen hierfür (§ 38 BDSG) nicht erfüllt sind. Bei allen Fragen zum Datenschutz erreichst du uns unter der oben genannten Adresse.

2. Allgemeines und Rechtsgrundlagen

Wir verarbeiten personenbezogene Daten nur im erforderlichen Umfang und stützen jede Verarbeitung auf eine Rechtsgrundlage nach Art. 6 DSGVO:

• Art. 6 Abs. 1 lit. b – Erfüllung des Nutzungsvertrags (Konto, Lernfunktionen, Kauf)
• Art. 6 Abs. 1 lit. a – deine Einwilligung (z. B. Push-Benachrichtigungen, KI-Tutor, Sprachaufnahme)
• Art. 6 Abs. 1 lit. f – berechtigtes Interesse (Betrieb, Sicherheit, Missbrauchsabwehr)
• Art. 6 Abs. 1 lit. c – Erfüllung rechtlicher Pflichten (z. B. steuerliche Aufbewahrung)

3. Hosting und Server-Logfiles (netcup)

Unsere App wird auf einem Server der netcup GmbH (Daimlerstraße 25, 76185 Karlsruhe) mit Serverstandort in Deutschland (Nürnberg) gehostet. Beim Aufruf werden technisch notwendige Zugriffsdaten in Server-Logfiles verarbeitet: IP-Adresse, Datum und Uhrzeit, abgerufene Ressource, Referrer und User-Agent. Dies dient der Auslieferung, Stabilität und Sicherheit der App.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (sicherer, störungsfreier Betrieb).

Datenschutz: netcup.de. Die Verarbeitung erfolgt ausschließlich in Deutschland; eine Übermittlung in Drittländer findet für das Hosting nicht statt.

4. Registrierung und Nutzerkonto (Supabase)

Für die Nutzung legst du ein Konto an. Dabei verarbeiten wir deine E-Mail-Adresse, ein verschlüsselt gespeichertes Passwort sowie Profilangaben (z. B. Anzeigename, Avatar, Bundesland, geplantes Prüfungsdatum, Lernmotivation, Zeitzone). Authentifizierung und Datenspeicherung erfolgen über Supabase mit Serverstandort in der EU (Frankfurt).

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).

Datenschutz: supabase.com/privacy

5. Anmeldung über Google (Google Sign-In)

Du kannst dich optional über dein Google-Konto anmelden („Mit Google anmelden“). Wählst du diese Möglichkeit, wirst du zu Google weitergeleitet und dort authentifiziert. Nach erfolgreicher Anmeldung übermittelt Google die zur Kontoerstellung erforderlichen Daten an uns – insbesondere deine E-Mail-Adresse, deinen bei Google hinterlegten Namen sowie deine Google-Profilkennung. Die Anmeldung wird technisch über unseren Authentifizierungs- Dienstleister Supabase (siehe Ziffer 4) abgewickelt. Anbieter des Dienstes ist die Google Ireland Limited, Irland; je nach Verarbeitung kann eine Übermittlung an die Google LLC (USA) erfolgen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) sowie Art. 6 Abs. 1 lit. a DSGVO (Einwilligung durch die aktive Wahl dieser Anmeldeart).

Datenschutz: policies.google.com/privacy. Eine Übermittlung in die USA ist durch EU-Standardvertragsklauseln abgesichert (siehe Ziffer 17).

6. Lernfortschritt und adaptive Lernsteuerung

Zur Bereitstellung der Lernfunktionen speichern wir dein Antwortverhalten, deinen Lernfortschritt, Wiederholungsintervalle (Spaced-Repetition / SM-2), Statistiken sowie Gamification-Daten (Punkte, Streak, Level). Aus diesen Daten wird automatisiert der Schwierigkeitsgrad und die Auswahl der nächsten Fragen abgeleitet, um deinen Lernerfolg zu optimieren.

Diese automatisierte Auswertung dient ausschließlich der Lernoptimierung und entfaltet keine rechtliche Wirkung im Sinne von Art. 22 DSGVO.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).

7. Jagdschule, Hegering und Ausbildungs-Cockpit (freiwillig)

Wenn du dem Kurs einer Jagdschule oder eines Hegerings beitrittst, geschieht das ausschließlich freiwillig und nur, wenn du zuvor einen Kurscode eingibst und der Freigabe deiner Lernstände ausdrücklich zustimmst. Ohne diesen Schritt erfährt weder eine Jagdschule noch ein Hegering etwas über dich. Die Nutzung von WAIDPASS ist ohne Kursbeitritt uneingeschränkt möglich. Im Folgenden steht „Organisation“ für die Jagdschule oder den Hegering, deren oder dessen Kurs du beigetreten bist.

Nach dem Beitritt kann die von dir gewählte Organisation (deren Inhaber, die Leitung und die dem Kurs zugeordneten Ausbildenden) folgende Daten zu dir sehen: den von dir gewählten Anzeigenamen, Lernstände wie Anzahl beantworteter Fragen und Trefferquote je Fachgebiet, den Zeitpunkt deiner letzten Aktivität sowie eine daraus abgeleitete Einschätzung deines Lernstands (Ampel). Zu deinen Prüfungssimulationen sieht die Organisation das Datum und die Punkte jedes einzelnen Versuchs, ob du bestanden hast, und die Teilpunkte je Fachgebiet. Zur mündlichen Übung mit dem KI-Prüfer (siehe Ziffer 10a) sieht sie je Sachgebiet die Zahl der abgeschlossenen Runden, die erreichten Punkte, das Ergebnis und den Tag der letzten Runde. Eine Note oder einen Bewertungstext zeigen wir nur, wenn für dein Bundesland ein amtlicher Notenschlüssel hinterlegt ist; sonst sieht die Organisation lediglich, ob du bestanden hast. Die Ausbildenden können zu deiner Kursmitgliedschaft außerdem eine interne Notiz hinterlegen.

Zu den Jagdhornsignalen, einem Lernmodul in der App, sieht die Organisation, ob du damit begonnen hast, ob du die Hornprüfung bestanden hast, dein bestes Prüfungsergebnis mit Datum, wie viele Prüfungsversuche du gemacht hast und für jedes Signal, ob du es sicher erkennst. Als sicher gilt ein Signal, das du im Hörtest oder in der Prüfung zweimal hintereinander richtig erkannt hast. Zu jedem Signal sieht die Organisation außerdem, wie oft du es richtig und wie oft du es falsch beantwortet hast, und den Tag deiner letzten Antwort. Gibt es für dein Bundesland kein eigenes Prüfungsformat, übst du nach dem Format aus Niedersachsen, und die Organisation sieht das Ergebnis als Übungsprüfung gekennzeichnet. Die Organisation sieht nicht, welche Antwort du auf eine einzelne Frage gegeben hast, wie oft du dir ein Signal angehört hast und zu welcher Uhrzeit du geübt hast. Wie bei den übrigen Lernständen umfasst das auch Ergebnisse aus der Zeit vor deinem Beitritt zum Kurs. Rechtsgrundlage ist wie oben Art. 6 Abs. 1 lit. a DSGVO (Einwilligung).

Der Zeitraum dieser Angaben umfasst alle deine Versuche, auch solche aus der Zeit vor deinem Beitritt zum Kurs. Eine Zeitgrenze gibt es nicht.

Die Organisation sieht ausdrücklich keine einzelnen Fragen und Antworten, keinen Wortlaut deiner Antworten oder Gespräche beim KI-Prüfer, keine Chatverläufe mit dem KI-Tutor, keine Community-Beiträge, keine Uhrzeiten deiner Nutzung und keine Daten aus anderen Kursen oder von anderen Organisationen.

Jagdschulen und Hegeringe sehen zusätzlich zusammengefasste Auswertungen ihres Kurses: welche Fragen der Kurs am häufigsten falsch beantwortet und wie sich der Kurs in einem Fachgebiet gegenüber dem Durchschnitt auf WAIDPASS einordnet. Diese Auswertungen enthalten keine Namen und keine Einzelantworten. Eine Frage erscheint erst, wenn mindestens fünf Personen sie beantwortet haben, ein Vergleichswert erst, wenn mindestens fünf Jagdschulen oder Hegeringe dazu beitragen. Außerdem erhalten die Verantwortlichen und Lehrkräfte der Schule einmal pro Woche eine E-Mail mit dem Lernstand ihrer Kurse. Sie enthält nur Zahlen und keine Namen von Teilnehmenden, darunter die Zahl der bestandenen Hornprüfungen, und kann jederzeit abbestellt werden.

Zusätzlich kannst du freiwillig selbst eintragen, wie deine echte Jägerprüfung gelaufen ist. Dazu speichern wir je Prüfungsteil (schriftlich und mündlich), ob du bestanden hast, und das Datum der Prüfung. Noten und Punkte erfassen wir nicht. Die Organisation sieht diese Angaben nur, wenn du sie in deinem Profil für diese Mitgliedschaft ausdrücklich freigibst. Die Freigabe ist standardmäßig ausgeschaltet, gilt nur für die jeweilige Kursmitgliedschaft und setzt voraus, dass deine Einwilligung erteilt ist. Du kannst sie jederzeit ausschalten, dann sind die Angaben für die Organisation sofort nicht mehr sichtbar. Widerrufst du deine Einwilligung, sieht die Organisation sie ebenfalls nicht mehr. Bei einem erneuten Beitritt zu einem Kurs ist die Freigabe wieder ausgeschaltet. Rechtsgrundlage ist Art. 6 Abs. 1 lit. a DSGVO (Einwilligung). Löschst du dein Konto, werden auch diese Angaben gelöscht.

Ebenfalls freiwillig kannst du für jede Kursmitgliedschaft freigeben, wie regelmäßig du wiederholst. Dazu berechnen wir, wie viele Wiederholungen nach dem Wiederholungsplan der App bei dir fällig und wie viele davon überfällig sind, und an wie vielen Kalendertagen je Woche du mindestens eine Frage beantwortet oder eine Prüfungssimulation abgeschlossen hast, jeweils ab dem Zeitpunkt, an dem du die Freigabe einschaltest. Gezählt werden nur Tage. Wir speichern und zeigen keine Uhrzeiten, keine Lerndauer und nicht, an welchen Wochentagen du gelernt hast. Die Organisation sieht diese Angaben nur, wenn du sie in deinem Profil für diese Mitgliedschaft ausdrücklich freigibst. Die Freigabe ist standardmäßig ausgeschaltet, gilt nur für die jeweilige Kursmitgliedschaft und setzt voraus, dass deine Einwilligung erteilt ist. Tage vor dem Einschalten erfassen wir dafür nicht. Schaltest du die Freigabe aus, widerrufst du die Einwilligung, trittst du aus dem Kurs aus oder entfernt dich die Organisation, sind die Angaben für die Organisation sofort nicht mehr sichtbar, und die dafür berechneten Werte werden gelöscht. Bei einem erneuten Beitritt ist die Freigabe wieder ausgeschaltet. Wir speichern außerdem, wann und in welcher Textfassung du zugestimmt hast. Rechtsgrundlage ist Art. 6 Abs. 1 lit. a DSGVO (Einwilligung). Löschst du dein Konto, werden auch diese Angaben gelöscht.

Welche Angaben die Organisation über dich sieht, kannst du jederzeit nachsehen: in deinem Profil unter „Jagdschule oder Hegering“ zeigt der Abschnitt „Das sieht die Jagdschule“ beziehungsweise „Das sieht der Hegering“ deinen Prüfungsverlauf in derselben Darstellung, die auch die Organisation hat. Ist die Freigabe für Wiederholungen und Lernrhythmus eingeschaltet, siehst du dort auch diese Werte.

Du kannst deine Einwilligung jederzeit in deinem Profil unter „Jagdschule oder Hegering“ mit sofortiger Wirkung widerrufen. Der Widerruf entzieht der Organisation den Zugriff unmittelbar; die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung bleibt unberührt. Zusätzlich endet die Sichtbarkeit automatisch einige Zeit nach dem hinterlegten Prüfungstermin deines Kurses.

Die Organisation kann dich außerdem aus dem Kurs entfernen. Ihr Zugriff auf deine Angaben endet damit sofort, und du erhältst einen Hinweis in der App, der den Namen der Organisation nennt. Dein Konto und dein Lernfortschritt bleiben erhalten. Ein Pro-Zugang, der allein aus dem Kursplatz stammt, endet mit der Entfernung. Zugänge, die du selbst erworben oder über einen Code eingelöst hast, bleiben bestehen. Mit dem Kurscode kannst du dem Kurs später erneut beitreten; dafür wird dann ein neuer Platz belegt.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung). Empfänger ist die von dir gewählte Jagdschule oder der von dir gewählte Hegering als eigenständig Verantwortliche(r) für die dort weiterverarbeiteten Daten. Für den technischen Betrieb der Plattform setzen wir die in Ziffer 4 genannten Dienstleister ein. Eine Übermittlung in ein Drittland durch die Organisation findet nicht statt. Die Speicherdauer deiner Daten richtet sich nach Ziffer 19.

Unabhängig von der Sichtbarkeit für die Organisation kann der Betreiber von WAIDPASS (siehe Ziffer 1) als Anbieter der Plattform ebenfalls Einsicht in die Kurse und zusammengefassten Lernstände von Kursmitgliedern nehmen, etwa zur Behebung technischer Störungen, zur Bearbeitung von Anfragen einer Organisation oder eines Nutzers sowie zur Qualitätssicherung und Missbrauchsabwehr. Diese Einsicht bleibt bestehen, auch wenn du deine Einwilligung gegenüber der Organisation widerrufen oder den Kurs verlassen hast: Der Widerruf entzieht ausschließlich der Organisation den Zugriff, nicht dem Betreiber als technischem Anbieter der Plattform. Der Zugriff ist ausschließlich Mitarbeitern mit Administratorrechten vorbehalten und wird protokolliert.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Bereitstellung und Support der gebuchten Funktion) sowie Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Betrieb, Qualitätssicherung und Missbrauchsabwehr der Plattform).

8. Community und Duelle

Nutzt du Community-Gruppen oder Lern-Duelle, werden bestimmte Daten (z. B. dein Anzeigename, Avatar, Punktestände, Duell-Ergebnisse und von dir erstellte Beiträge) für andere teilnehmende Nutzer sichtbar. Veröffentliche dort keine sensiblen personenbezogenen Daten.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung der Community-Funktion).

9. Zahlungsabwicklung (Stripe, PayPal)

Beim Kauf eines kostenpflichtigen Tarifs wird die Zahlung über die Stripe Payments Europe Ltd. abgewickelt. Zahlungsdaten (z. B. Karten- oder Kontodaten) gibst du direkt bei Stripe ein; wir erhalten keine vollständigen Zahlungsmittel-Daten, sondern nur Status- und Abrechnungsinformationen zur Vertragsverwaltung.

Wählst du PayPal als Zahlungsart, wird die Zahlung über die PayPal (Europe) S.à r.l. et Cie, S.C.A., 22-24 Boulevard Royal, 2449 Luxemburg abgewickelt. Auch hier gibst du deine Zahlungsdaten direkt bei PayPal ein; wir erhalten ausschließlich Status- und Abrechnungsinformationen zur Vertragsverwaltung.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung), Art. 6 Abs. 1 lit. c DSGVO (steuerliche Pflichten).

Datenschutz: stripe.com/de/privacy und paypal.com. Stripe kann Daten in die USA übermitteln; abgesichert durch EU-Standardvertragsklauseln (siehe Ziffer 17).

10. KI-Tutor (OpenRouter, Google, OpenAI)

Der KI-Tutor ist ein optionales Premium-Feature. Wenn du ihn nutzt, übermitteln wir deine zur jeweiligen Frage abgegebene Antwort sowie den fachlichen Kontext der Frage an die OpenRouter, Inc. (USA). Formulierst du eine eigene Zusatzfrage, übermitteln wir auch deren Text. OpenRouter leitet die Anfrage an Modelle des Anbieters Google (derzeit Gemini) weiter, die die Erklärung erzeugen. Bei OpenRouter wählen wir nur Anbieter aus, die Eingaben nicht speichern und nicht für Training verwenden. Es werden keine direkten Identifikationsdaten (Name, E-Mail) übergeben. Bitte trage in eine eigene Frage keine persönlichen Angaben ein. Die Verarbeitung erfolgt nur, wenn du den KI-Tutor aktiv aufrufst.

Um passende Lerninhalte zur jeweiligen Frage zu finden, übermitteln wir zusätzlich den Text der Prüfungsfrage an die OpenAI, L.L.C. (USA). Dort wird daraus eine rein technische Zahlenrepräsentation berechnet, mit der wir in unserer eigenen Datenbank nach thematisch verwandten Fragen suchen. Deine Antwort und deine Nutzerdaten sind davon nicht betroffen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Bereitstellung der gebuchten Funktion) sowie deine Einwilligung durch die aktive Nutzung, Art. 6 Abs. 1 lit. a DSGVO.

Datenschutz: openrouter.ai/privacy, policies.google.com/privacy sowie openai.com/policies/privacy-policy. Die Übermittlung in die USA ist durch EU-Standardvertragsklauseln abgesichert (siehe Ziffer 17).

10a. Mündlicher KI-Prüfer und Sprachaufnahme (OpenRouter, Google)

Der mündliche KI-Prüfer ist ein optionales Premium-Feature. Wenn du ihn nutzt, verarbeiten wir deine Antwort, um sie zu bewerten. Du kannst sie tippen oder einsprechen. Die Bewertung ist eine automatisiert erzeugte Übungseinschätzung ohne rechtliche Wirkung und keine amtliche Prüfungsentscheidung.

Sprachaufnahme: Auf das Mikrofon greift die App nur zu, wenn du die Aufnahme selbst startest, und nur so lange, bis du sie beendest, höchstens 90 Sekunden. Vorher fragt dich dein Betriebssystem oder Browser einmalig um Erlaubnis; ohne deine Zustimmung findet keine Aufnahme statt, und du kannst die Antwort stattdessen tippen. Die Erlaubnis kannst du jederzeit in den Einstellungen deines Geräts widerrufen. Die Aufnahme wird auf deinem Gerät zu einer Audiodatei aufbereitet und zur Umwandlung in Text an unseren Server und von dort an die OpenRouter, Inc. (USA) übermittelt, die sie an ein Modell des Anbieters Google (derzeit Gemini) weiterleitet. Wir halten die Audiodatei nur im Arbeitsspeicher des Servers, speichern sie nicht und schreiben ihren Inhalt nicht in Protokolle. Nach der Umwandlung wird sie verworfen. Das Ergebnis siehst du als Text und kannst es vor der Abgabe korrigieren.

Den Text deiner abgegebenen Antwort übermitteln wir auf demselben Weg zur Bewertung und speichern ihn zusammen mit dem Ergebnis in deinem Prüfungsprotokoll, bis du dein Konto löschst. Bei OpenRouter wählen wir nur Anbieter aus, die Eingaben nicht speichern und nicht für Training verwenden. Es werden keine direkten Identifikationsdaten (Name, E-Mail) übergeben.

Vorlesen: Auf Wunsch liest die Prüfungsleitung die Frage mit einer KI-Stimme vor. Dazu übermitteln wir ausschließlich den Text der Prüfungsfrage, keine Daten über dich, an OpenRouter und das Sprachmodell von Google. Die erzeugte Audiodatei der Frage speichern wir zur Wiederverwendung auf unserem Server; sie enthält keine personenbezogenen Daten. Du kannst das Vorlesen jederzeit ausschalten.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Bereitstellung der gebuchten Premium-Funktion) sowie für den Zugriff auf das Mikrofon deine Einwilligung durch die Freigabe im Betriebssystem und die aktive Aufnahme, Art. 6 Abs. 1 lit. a DSGVO.

Datenschutz: openrouter.ai/privacy sowie policies.google.com/privacy. Die Übermittlung in die USA ist durch EU-Standardvertragsklauseln abgesichert (siehe Ziffer 17).

11. E-Mail-Versand (Resend)

Für transaktionale E-Mails (z. B. Registrierungsbestätigung, Passwort-Zurücksetzen, Antworten auf Kontaktanfragen) nutzen wir den Dienst Resend. Verarbeitet werden deine E-Mail-Adresse und der jeweilige Nachrichteninhalt.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b und lit. f DSGVO (Vertragserfüllung, sichere Kommunikation).

Datenschutz: resend.com/legal/privacy-policy

12. Schutz vor Missbrauch (Cloudflare Turnstile, Rate-Limiting)

Zum Schutz vor automatisierten Angriffen und Missbrauch setzen wir bei der Registrierung und beim Zurücksetzen des Passworts das CAPTCHA „Cloudflare Turnstile“ ein. Dabei verarbeitet die Cloudflare, Inc. (USA) technische Daten – insbesondere deine IP-Adresse, Browser- und Geräteinformationen sowie Interaktionssignale – um zu erkennen, ob die Anfrage von einem Menschen stammt. Turnstile setzt keine Cookies zu Tracking- oder Werbezwecken ein.

Zur Begrenzung der Anfragehäufigkeit (Rate-Limiting, z. B. gegen automatisierte Login-, Registrierungs- oder Passwort-Reset-Versuche) verarbeiten wir zudem kurzzeitig deine IP-Adresse bzw. davon abgeleitete Kennungen über den Dienst Upstash (Redis).

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Sicherheit und Missbrauchsabwehr).

Datenschutz: cloudflare.com/privacypolicy sowie upstash.com/trust. Eine Übermittlung in die USA ist durch EU-Standardvertragsklauseln abgesichert (siehe Ziffer 17).

13. Push-Benachrichtigungen

Mit deiner Einwilligung senden wir dir Push-Benachrichtigungen (z. B. Lern-Erinnerungen). Dazu speichern wir die technischen Push-Endpunkt-Daten deines Geräts/Browsers. Du kannst die Benachrichtigungen jederzeit in den Einstellungen deines Geräts oder der App deaktivieren und damit deine Einwilligung mit Wirkung für die Zukunft widerrufen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung).

14. Kontaktformular

Wenn du uns über das Kontaktformular schreibst, verarbeiten wir die von dir angegebenen Daten (Name, E-Mail-Adresse, Betreff, Nachricht), um deine Anfrage zu bearbeiten und zu beantworten. Zum Spam-Schutz setzen wir ein technisches Honeypot-Feld ein.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (vorvertraglich/vertraglich) bzw. Art. 6 Abs. 1 lit. f DSGVO (Beantwortung von Anfragen).

15. Newsletter (Double-Opt-In)

Für unseren Newsletter verwenden wir das Double-Opt-In-Verfahren. Nach deiner Anmeldung senden wir dir eine E-Mail, in der du die Anmeldung über einen Link bestätigen musst. Erst danach erhältst du den Newsletter. Bestätigst du nicht, wird die Adresse nicht angeschrieben und nach Ablauf des Bestätigungslinks gelöscht.

Verarbeitet werden deine E-Mail-Adresse, der Zeitpunkt von Anmeldung und Bestätigung sowie die dabei verwendeten IP-Adressen. Diese Daten speichern wir, um die Einwilligung nachweisen zu können; dazu sind wir gesetzlich verpflichtet. Zum Schutz vor automatisierten und fremden Eintragungen setzen wir zusätzlich das CAPTCHA Cloudflare Turnstile und eine Begrenzung der Anfragehäufigkeit ein (siehe Abschnitt 12). Der Versand erfolgt über Resend (siehe Abschnitt 11).

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung) in Verbindung mit § 7 Abs. 2 Nr. 3 UWG. Für die Speicherung des Einwilligungsnachweises: Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit Art. 7 Abs. 1 DSGVO.

Du kannst deine Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen. Dafür genügt der Abmeldelink am Ende jeder Newsletter-E-Mail oder eine formlose Nachricht an kontakt@waidpass.de. Nach dem Widerruf speichern wir die Adresse ausschließlich in einer Sperrliste, damit wir dich nicht erneut anschreiben.

16. Analyse (PostHog)

Zur anonymisierten Nutzungsanalyse setzen wir den Dienst PostHog ein. Dabei werden technische Nutzungsereignisse (z. B. Seitenaufruf, Lernrunden-Start, Prüfungsabschluss, Upgrade-Seitenaufruf) erfasst. Es werden keine personenbezogenen Daten übermittelt — insbesondere keine E-Mail-Adresse, kein Name und keine vollständige IP-Adresse. Stattdessen wird eine anonyme Kennung (zufällige ID ohne Rückschluss auf deine Person) übertragen.

Die Datenverarbeitung erfolgt ausschließlich auf EU-Servern von PostHog (eu.i.posthog.com, Standort EU) — kein Drittlandtransfer. Es werden keine Cookies gesetzt; Tracking-Daten werden nicht im Browser gespeichert (Speicher: nur Arbeitsspeicher, kein localStorage). Da keine personenbezogenen Daten verarbeitet werden, ist kein Cookie-Consent erforderlich.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Verbesserung der App durch aggregierte, anonymisierte Nutzungsanalyse).

Datenschutz: posthog.com/privacy

17. Datenübermittlung in Drittländer

Einige der eingesetzten Dienste (insbesondere OpenRouter, OpenAI, Stripe, Cloudflare, Upstash sowie Google – als Modellanbieter des KI-Tutors und des mündlichen KI-Prüfers sowie bei Anmeldung über Google –) können personenbezogene Daten in den USA verarbeiten. Soweit dort kein durch einen Angemessenheitsbeschluss abgedecktes Schutzniveau besteht, erfolgt die Übermittlung auf Grundlage der EU-Standardvertragsklauseln gemäß Art. 46 Abs. 2 lit. c DSGVO sowie ergänzender Schutzmaßnahmen. Mit allen Dienstleistern bestehen, soweit erforderlich, Verträge zur Auftragsverarbeitung nach Art. 28 DSGVO. PostHog (Ziffer 16) verarbeitet ausschließlich auf EU-Servern — kein Drittlandtransfer.

18. Cookies und lokale Speicherung

WAIDPASS verwendet ausschließlich technisch notwendige Session-Cookies für die Authentifizierung. Lernfortschritt und Einstellungen werden zusätzlich im localStorage deines Browsers/Geräts gespeichert. Es werden keine Tracking-, Analyse- oder Marketing-Cookies eingesetzt; ein Cookie-Banner ist daher nicht erforderlich.

Rechtsgrundlage: § 25 Abs. 2 TDDDG (unbedingt erforderliche Speicherung) bzw. Art. 6 Abs. 1 lit. b und f DSGVO.

19. Speicherdauer

Wir speichern personenbezogene Daten nur so lange, wie es für die genannten Zwecke erforderlich ist. Kontodaten und Lernfortschritt sowie das Prüfungsprotokoll des mündlichen KI-Prüfers werden für die Dauer deines Nutzerkontos gespeichert und nach dessen Löschung entfernt. Abrechnungsrelevante Daten unterliegen den gesetzlichen Aufbewahrungsfristen (i. d. R. bis zu 10 Jahre nach § 147 AO / § 257 HGB). Server-Logfiles werden regelmäßig kurzfristig gelöscht.

20. Deine Rechte

Du hast nach der DSGVO insbesondere folgende Rechte:

• Auskunft über die zu dir gespeicherten Daten (Art. 15 DSGVO)
• Berichtigung unrichtiger Daten (Art. 16 DSGVO)
• Löschung deiner Daten (Art. 17 DSGVO)
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruch gegen die Verarbeitung (Art. 21 DSGVO)
• Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO)

Zur Ausübung deiner Rechte wende dich an: kontakt@waidpass.de. Viele Angaben kannst du auch direkt in deinen Profileinstellungen ändern oder dein Konto dort löschen. Wie die Kontolöschung genau abläuft und was dabei entfernt wird, steht unter Konto löschen.

21. Beschwerderecht bei einer Aufsichtsbehörde

Unbeschadet anderweitiger Rechtsbehelfe hast du das Recht, dich bei einer Datenschutz-Aufsichtsbehörde zu beschweren (Art. 77 DSGVO), insbesondere in dem Mitgliedstaat deines Aufenthaltsorts oder des mutmaßlichen Verstoßes. Zuständig ist die Aufsichtsbehörde des Bundeslandes des Verantwortlichen, die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW), Kavalleriestraße 2–4, 40213 Düsseldorf.

22. Aktualität und Änderung dieser Erklärung

Diese Datenschutzerklärung hat den Stand 21. Oktober 2026. Durch die Weiterentwicklung der App oder geänderte gesetzliche Vorgaben kann es notwendig werden, sie anzupassen. Die jeweils aktuelle Fassung kannst du jederzeit hier abrufen.