Datenschutzerklärung

Stand: April 2026 · Gemäß DSGVO (EU) 2016/679

Das Wichtigste auf einen Blick:

•Wir verkaufen keine Daten — niemals.
•Deine Lerndaten (Chats, Aufgaben, Noten) bleiben auf EU-Servern in Frankfurt.
•Alle KI-Anbieter wurden vertraglich verpflichtet: keine Nutzung zum Modell-Training.
•Marketing-Cookies laufen nur nach deiner Einwilligung.
•Du kannst dein Konto und alle Daten jederzeit löschen.

Alle Details findest du nachfolgend, strukturiert nach Thema.

1. Verantwortlicher

Nachfolgend informieren wir Dich ausführlich darüber, welche personenbezogenen Daten wir bei Deiner Nutzung von KAI (als Web-Anwendung und als installierbare Progressive Web App / PWA) erheben, wie wir sie verarbeiten und welche Rechte Du diesbezüglich hast.

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) und anderer nationaler Datenschutzgesetze sowie sonstiger datenschutzrechtlicher Bestimmungen ist:

KAI Nachhilfe
David Leicht
Nußdorfer Str. 13
75446 Wiernsheim
Deutschland
E-Mail: kontakt@kaitutor.de

Ein Datenschutzbeauftragter ist für unser Unternehmen aufgrund unserer Größe (Einzelunternehmer) nicht verpflichtend bestellt. Bei Fragen zum Datenschutz wende Dich direkt an die oben genannte E-Mail-Adresse.

2. Erhebung von Daten beim Aufruf der Plattform

Erläuterung: Bei jedem Aufruf unserer Web-Anwendung erfasst unser System automatisiert Daten und Informationen vom Computer- bzw. Endgerät des aufrufenden Nutzers. Folgende Daten werden hierbei erhoben:
•IP-Adresse des anfragenden Endgeräts
•Datum und Uhrzeit des Zugriffs
•Inhalt der Anforderung (konkrete Seite bzw. Datei)
•Zugriffsstatus / HTTP-Statuscode
•jeweils übertragene Datenmenge
•verwendeter Browser einschließlich Version und Sprache
•Betriebssystem
Zwecke
Die Erhebung erfolgt, um das Angebot nutzen zu können, die Systemsicherheit zu gewährleisten sowie eventuelle Störungen oder Angriffe erkennen und nachvollziehen zu können.
Rechtsgrundlage
§ 25 Abs. 2 Nr. 2 TDDDG (technisch unbedingt erforderliche Informationen) sowie Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an sicherer, funktionsfähiger Bereitstellung).
Speicherdauer
Die Daten werden in Logfiles gespeichert und nach spätestens 14 Tagen gelöscht oder anonymisiert.

3. Registrierung und Nutzerkonto

Erläuterung: Die Nutzung von KAI erfordert eine vorherige Registrierung. Die Registrierung erfolgt mit einer gültigen E-Mail-Adresse und einem selbst gewählten Passwort. Nach der Registrierung versenden wir an die angegebene E-Mail-Adresse eine Bestätigungs-E-Mail mit einem Bestätigungslink (Double-Opt-In).

Im Rahmen der Registrierung werden folgende Daten verarbeitet:
•E-Mail-Adresse
•Passwort (verschlüsselt gespeichert, für uns nicht einsehbar)
•Vor- und Nachname
•Bundesland, Schulform, Klassenstufe
•Gewählte Fächer
•Altersbestätigung (Checkbox)
•Einwilligung zum Newsletter (optional)
Zwecke
Die Daten werden zur Erstellung und Aufrechterhaltung Deines Benutzerkontos verarbeitet. Das Double-Opt-In-Verfahren dient dazu, die Inhaberschaft der E-Mail-Adresse zu verifizieren und Missbrauch vorzubeugen.
Rechtsgrundlage
Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung bzw. Durchführung vorvertraglicher Maßnahmen).
Speicherdauer
Die Daten werden gespeichert, solange Dein Nutzerkonto aktiv ist. Bei Löschung des Kontos werden sie innerhalb von 30 Tagen unwiderruflich gelöscht, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

4. Nutzung der Lern-Plattform

Erläuterung: Bei der Nutzung von KAI fallen folgende Daten an:
•Chat-Nachrichten an den KI-Tutor
•Hochgeladene Fotos von Aufgaben und Arbeitsblättern
•Lernfortschritt, Stärken- und Schwächenprofil („Lernradar")
•Noten und Prüfungsergebnisse (sofern vom Nutzer eingegeben)
•Karteikarten-Inhalte
•Lernzeiten, Streak-Daten, Trophäen
•Generierte Probeklausuren und Ergebnisse
•Klausurtermine und Lernplan-Einträge
•Fehler-Tagebuch
Zwecke
Die Verarbeitung dient der Bereitstellung der von Dir gewählten Funktionen: individuelle KI-gestützte Nachhilfe, Lernfortschrittsanalyse, Personalisierung der Lerninhalte, Erstellung von Probeklausuren und Karteikarten sowie Organisation des Lernalltags.
Rechtsgrundlage
Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung). Die Verarbeitung von hochgeladenen Fotos erfolgt zusätzlich auf Grundlage Deiner Einwilligung gemäß Art. 6 Abs. 1 lit. a DSGVO, die Du jederzeit mit Wirkung für die Zukunft widerrufen kannst.
Speicherdauer
Die Daten werden gespeichert, solange Dein Nutzerkonto aktiv ist, und bei Kontolöschung vollständig entfernt.

5. KI-Tutor (Künstliche Intelligenz)

Erläuterung: Im Zentrum unseres Angebots steht ein KI-Tutor, der auf Basis sogenannter „Large Language Models" (LLM) funktioniert. Damit die KI Dir antworten kann, werden Deine Eingaben (Texte, hochgeladene Fotos) an den nachfolgend genannten KI-Anbieter übermittelt.

Mit unserem KI-Anbieter wurde vertraglich vereinbart:
•Anhand der von Nutzern übermittelten Daten/Informationen erfolgt kein Training der KI-Modelle.
•Ein Vertrag zur Auftragsverarbeitung (AVV) gemäß Art. 28 DSGVO wurde geschlossen.
•EU-Standardvertragsklauseln wurden vereinbart.
•Die Daten werden für maximal 30 Tage zur Missbrauchsprävention zwischengespeichert und danach gelöscht.

5.1 Eingebundener KI-Anbieter: Google Gemini

Wir nutzen die Gemini API von Google zur Generierung von Lerninhalten, Erklärungen, Übungsaufgaben und Probeklausuren.

Anbieter: Google Cloud EMEA Limited, 70 Sir John Rogerson's Quay, Dublin 2, Irland (Mutterkonzern: Google LLC, 1600 Amphitheatre Parkway, Mountain View, CA 94043, USA).

Datenschutzhinweise von Google: cloud.google.com/privacy und policies.google.com/privacy.

Google LLC ist unter dem EU-U.S. Data Privacy Framework zertifiziert.

5.2 Wichtige Hinweise zur Nutzung des KI-Tutors

Auch wenn anhand der übermittelten Daten kein Training erfolgt, bitten wir Dich, keine sensiblen personenbezogenen Daten an den KI-Tutor zu übermitteln, insbesondere:
•Keine Namen von Personen (auch nicht Deinen eigenen)
•Keine Anschriften, Telefonnummern, E-Mail-Adressen
•Keine Informationen zu realen Personen, insbesondere nicht zu Gesundheit, Religion, Herkunft, Sexualität oder politischen Meinungen
•Keine Fotos realer Personen (auch nicht von Dir selbst)
•Sonstige Informationen, anhand derer man Dich oder andere identifizieren könnte
Zwecke
Bereitstellung des KI-gestützten Tutors zur Generierung von Lernhilfen, Erklärungen, Übungsaufgaben und Probeklausuren.
Rechtsgrundlage
Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung zur Bereitstellung der Kernfunktion unseres Dienstes). Drittlandübermittlung auf Grundlage des EU-U.S. Data Privacy Framework (Art. 45 DSGVO) und zusätzlicher Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO).
Keine automatisierte Entscheidung mit Rechtswirkung
Es findet kein automatisiertes Profiling im Sinne des Art. 22 DSGVO statt, das rechtliche Auswirkungen auf Dich hat. KI-generierte Antworten dienen ausschließlich als Lernhilfe und stellen keine professionelle pädagogische Beratung dar.

6. Abonnements und Zahlungsabwicklung

Erläuterung: Wir bieten Dir nach Ablauf der kostenlosen Testphase die Möglichkeit, ein kostenpflichtiges Abonnement („KAI PRO") abzuschließen. Die Zahlungsabwicklung erfolgt über einen spezialisierten Zahlungsdienstleister, dem wir selbst niemals Zugriff auf sensible Zahlungsdaten (Kreditkartennummer, IBAN etc.) gewähren.

6.1 Zahlungsdienstleister: Stripe

Anbieter: Stripe Payments Europe, Limited, 1 Grand Canal Street Lower, Grand Canal Dock, Dublin 2, Irland (Mutterkonzern: Stripe, Inc., 354 Oyster Point Boulevard, South San Francisco, CA 94080, USA).

Stripe verarbeitet Zahlungsdaten (Kreditkartennummer, IBAN, PayPal-Kontodaten etc.) direkt auf seinen eigenen Servern. Wir erhalten von Stripe lediglich eine Bestätigung über die erfolgte Zahlung sowie Daten, die zur Zuordnung der Zahlung zu Deinem Konto notwendig sind (z. B. E-Mail, Rechnungsdaten, Transaktions-ID, Zahlungsstatus).

Für die Verwaltung Deines Abonnements (Kündigung, Zahlungsmethode ändern, Rechnungen einsehen) bieten wir Dir einen direkten Zugang zum Stripe Customer Portal an.

PayPal-Zahlungen: Bei Zahlung per PayPal wirst Du von Stripe auf die Zahlungsseite von PayPal weitergeleitet. Anbieter dieses Zahlungsdienstes ist PayPal (Europe) S.à r.l. et Cie, S.C.A., 22-24 Boulevard Royal, L-2449 Luxemburg. PayPal Inc. ist unter dem EU-U.S. Data Privacy Framework zertifiziert.

Datenschutzhinweise von Stripe: stripe.com/de/privacy.
Datenschutzhinweise von PayPal: paypal.com/de/webapps/mpp/ua/privacy-full.

Stripe Inc. und PayPal Inc. sind unter dem EU-U.S. Data Privacy Framework zertifiziert. Ein Vertrag zur Auftragsverarbeitung wurde mit Stripe abgeschlossen.

6.2 Eltern-Zahllink

Da KAI sich überwiegend an minderjährige Nutzer richtet, bieten wir einen Eltern-Zahllink. Über diesen Link können Erziehungsberechtigte das Abonnement für ihr Kind abschließen. Dabei werden Name, E-Mail-Adresse und Zahlungsinformationen des Erziehungsberechtigten über Stripe verarbeitet. Der Erziehungsberechtigte wird dabei Vertragspartner; das Kind erhält lediglich den Zugang zur Plattform.
Zwecke
Abwicklung von Abonnement-Zahlungen für KAI PRO, Bereitstellung von Rechnungen, Kündigungsverwaltung, Betrugsprävention.
Rechtsgrundlage
Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung). Die weitere Verarbeitung nach Vertragsschluss zur Wahrung handels- und steuerrechtlicher Aufbewahrungsfristen erfolgt auf Grundlage von Art. 6 Abs. 1 lit. c DSGVO.
Speicherdauer
Rechnungs- und Zahlungsdaten werden gemäß § 147 AO bis zu 10 Jahre aufbewahrt.

7. Newsletter

Erläuterung: Im Rahmen der Registrierung kannst Du Dich optional für unseren Newsletter anmelden. Die Anmeldung erfolgt über eine separate, nicht vorausgewählte Checkbox. Der Newsletter informiert über Lerntipps, neue Features und Angebote.

Die Anmeldung erfolgt im Double-Opt-In-Verfahren. Erst nach Bestätigung des Aktivierungslinks in der Bestätigungs-E-Mail wird Deine E-Mail-Adresse für den Newsletter-Versand freigeschaltet.

Im Rahmen des Newsletters verarbeiten wir:
•E-Mail-Adresse
•Zeitpunkt der Einwilligung (Consent-Zeitstempel)
•Zeitpunkt der Bestätigung der E-Mail-Adresse
•Öffnungs- und Klickraten (zur Optimierung des Newsletters)

7.1 Newsletter-Dienstleister: Hostinger Reach

Für den Versand unseres Newsletters nutzen wir Hostinger Reach, einen E-Mail-Marketing-Dienst.

Anbieter: Hostinger International Ltd., 61 Lordou Vironos Street, 6023 Larnaca, Zypern.

Hostinger Reach verarbeitet Deine E-Mail-Adresse und die zugehörigen Metadaten (Consent-Zeitstempel, Öffnungs- und Klickraten) in unserem Auftrag. Ein Vertrag zur Auftragsverarbeitung gemäß Art. 28 DSGVO wurde geschlossen.

Datenschutzhinweise: hostinger.com/legal/privacy-policy.

7.2 Abmeldung

Du kannst Deine Einwilligung zum Newsletter-Empfang jederzeit mit Wirkung für die Zukunft widerrufen. Jeder Newsletter enthält einen Abmeldelink. Alternativ kannst Du Dich per E-Mail an kontakt@kaitutor.de abmelden. Nach Abmeldung wird Deine E-Mail-Adresse unverzüglich aus dem Newsletter-Verteiler gelöscht.
Zwecke
Versand von Lerntipps, Produkt-Updates und Angeboten an interessierte Nutzer.
Rechtsgrundlage
Art. 6 Abs. 1 lit. a DSGVO (Einwilligung) i.V.m. § 7 Abs. 2 Nr. 3 UWG.
Speicherdauer
E-Mail-Adresse und Consent-Zeitstempel werden bis zur Abmeldung gespeichert. Bei Abmeldung erfolgt unverzügliche Löschung.

8. Transaktionale E-Mails (z. B. Bestätigungs-E-Mails, Passwort-Reset)

Erläuterung: Für den Versand transaktionaler E-Mails wie Registrierungs-Bestätigungen, Passwort-Reset-Links und Sicherheits-Benachrichtigungen nutzen wir die in Supabase integrierte E-Mail-Infrastruktur (siehe Abschnitt 9 zur Datenbank).

Verarbeitet werden hierzu Deine E-Mail-Adresse sowie der Inhalt der automatisiert erzeugten Nachricht.
Zwecke
Versand zwingend erforderlicher Systemnachrichten (Account-Verifizierung, Passwort-Reset, Sicherheitswarnungen).
Rechtsgrundlage
Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung / vorvertragliche Maßnahmen). Für Sicherheitsbenachrichtigungen ergänzend Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am Kontoschutz).

9. Serverinfrastruktur und Datenbank

Erläuterung: Für den Betrieb unserer Plattform nutzen wir folgende Infrastrukturdienste. Alle Kerndaten (Datenbank, Authentifizierung, Lerninhalte) verbleiben auf EU-Servern in Deutschland.

9.1 Datenbank und Authentifizierung: Supabase

Anbieter: Supabase Inc., 970 Toa Payoh North #07-04, Singapore 318992.

Wichtig: Obwohl Supabase Inc. seinen Sitz in Singapur hat, erfolgt die gesamte Datenspeicherung unserer Plattform auf EU-Servern in Frankfurt am Main, Deutschland (Subverarbeiter: Amazon Web Services EMEA SARL, Luxemburg). Es findet keine Übermittlung Deiner personenbezogenen Daten nach Singapur statt.

Supabase verarbeitet folgende Daten in unserem Auftrag: Registrierungsdaten, Passwort-Hashes, Chat-Verläufe, Lernfortschritt, hochgeladene Aufgaben, Noten, Karteikarten und alle weiteren Plattforminhalte.

Ein Vertrag zur Auftragsverarbeitung gemäß Art. 28 DSGVO wurde geschlossen. Es werden EU-Standardvertragsklauseln angewandt. Zusätzlich ist die Datenbank durch Row Level Security (RLS) geschützt: Jeder Nutzer kann ausschließlich auf seine eigenen Daten zugreifen.

Datenschutzhinweise: supabase.com/privacy.

9.2 Frontend-Hosting und Domain: Hostinger

Anbieter: Hostinger International Ltd., 61 Lordou Vironos Street, 6023 Larnaca, Zypern.

Hostinger stellt uns Webhosting-Infrastruktur und die Domain kaitutor.de zur Verfügung. Dabei werden IP-Adressen und Server-Logs verarbeitet. Die Serverstandorte liegen innerhalb der EU.

Ein Vertrag zur Auftragsverarbeitung gemäß Art. 28 DSGVO wurde geschlossen.

Datenschutzhinweise: hostinger.com/legal/privacy-policy.
Zwecke
Bereitstellung einer verlässlichen, sicheren Hosting-Infrastruktur für unser Angebot.
Rechtsgrundlage
Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) und Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem sicheren Betrieb).

10. Cookies und ähnliche Technologien

Erläuterung: Unsere Plattform nutzt Cookies (kleine Textdateien) und ähnliche Technologien wie Local Storage. Beim ersten Besuch wirst Du über einen Cookie-Banner um Deine Einwilligung für nicht-essenzielle Cookies gebeten.

10.1 Technisch notwendige Cookies / Speicherungen (ohne Einwilligung)

Diese sind für den Betrieb der Plattform zwingend erforderlich und können nicht deaktiviert werden.

NameAnbieterZweckSpeicherdauer
sb-*-auth-tokenSupabaseLogin-SitzungSitzung
kai_themeKAIDark-/Light-ModusDauerhaft
kai_cookie_consentKAICookie-EinwilligungenDauerhaft
pwa-never-show-againKAIPWA-Installationsaufforderung ausblendenDauerhaft
__stripe_mid / __stripe_sidStripeZahlungsabwicklung, Betrugsprävention1 Jahr / 30 Min.
Rechtsgrundlage: § 25 Abs. 2 Nr. 2 TDDDG bzw. Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Funktionsfähigkeit der Plattform).

10.2 Marketing-Cookies / Tracking-Pixel (nur mit Einwilligung)

Die folgenden Dienste werden ausschließlich auf unserer öffentlichen Marketing-Website und den Onboarding-Seiten eingesetzt — niemals innerhalb der Lern-App. Sie werden erst nach Deiner ausdrücklichen Einwilligung über den Cookie-Banner aktiviert.

Wichtig: Keiner dieser Tracking-Dienste hat Zugriff auf Deine Lerndaten (Chat-Verläufe, Noten, Schwächenprofil, hochgeladene Aufgaben). Die Pixel erfassen ausschließlich Seitenaufrufe und Conversion-Events auf der Marketing-Website.

10.2.1 Meta Pixel (Facebook & Instagram Ads)

Anbieter: Meta Platforms Ireland Limited, 4 Grand Canal Square, Grand Canal Harbour, Dublin 2, Irland (Mutterkonzern: Meta Platforms, Inc., 1 Hacker Way, Menlo Park, CA 94025, USA).

Das Meta Pixel ermöglicht uns die Messung der Wirksamkeit unserer Werbeanzeigen auf Facebook und Instagram (Conversion-Tracking) sowie die Erstellung von Zielgruppen für künftige Anzeigen (Custom Audiences, Lookalike Audiences). Beim Registrieren wird Deine E-Mail-Adresse in gehashter Form (SHA256) an Meta übermittelt (Advanced Matching), um die Zuordnung zu Werbeanzeigen zu ermöglichen.

Verarbeitete Daten: besuchte Seiten, Interaktionen, IP-Adresse, Gerätekennungen, gehashte E-Mail-Adresse.

Meta Platforms, Inc. ist unter dem EU-U.S. Data Privacy Framework zertifiziert.

Datenschutzhinweise: facebook.com/privacy/policy.

10.2.2 TikTok Pixel

Anbieter: TikTok Technology Limited, 10 Earlsfort Terrace, Dublin, D02 T380, Irland (Mutterkonzern: TikTok Pte. Ltd., Singapur).

Das TikTok Pixel dient der Messung der Wirksamkeit unserer Werbeanzeigen auf TikTok (Conversion-Tracking) und der Erstellung von Zielgruppen.

Verarbeitete Daten: IP-Adresse, Gerätekennungen, angesehene Inhalte, Interaktionen.

TikTok kann Daten an Server weltweit übertragen, einschließlich USA und Singapur. Die Übermittlung erfolgt auf Grundlage von EU-Standardvertragsklauseln.

Datenschutzhinweise: tiktok.com/legal/privacy-policy.

10.2.3 Google Ads und Google Analytics (via Google Tag / gtag.js)

Anbieter: Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland (Mutterkonzern: Google LLC, 1600 Amphitheatre Parkway, Mountain View, CA 94043, USA).

Google Ads und Google Analytics werden über die gemeinsame Google-Tag-Infrastruktur (gtag.js) bei aktivierter Einwilligung eingebunden. Sie ermöglichen uns die Messung der Wirksamkeit unserer Werbeanzeigen im Google Ads-Netzwerk sowie die anonymisierte Auswertung des Nutzerverhaltens auf unserer Website.

Verarbeitete Daten: besuchte Seiten, Verweildauer, Klickpfade, Conversion-Events, anonymisierte IP-Adresse, Gerätedaten.

Google LLC ist unter dem EU-U.S. Data Privacy Framework zertifiziert. Zusätzlich werden EU-Standardvertragsklauseln angewandt.

Datenschutzhinweise: policies.google.com/privacy und policies.google.com/technologies/ads.
Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung) i.V.m. § 25 Abs. 1 TDDDG. Die Einwilligung ist freiwillig und jederzeit mit Wirkung für die Zukunft widerrufbar.

10.3 Verwaltung Deiner Cookie-Einstellungen

Du kannst Deine Einwilligung für nicht-essentielle Cookies jederzeit über den Link „Cookie-Einstellungen" im Footer unserer Website widerrufen oder ändern. Technisch notwendige Cookies können nicht deaktiviert werden. Zusätzlich kannst Du Cookies in den Einstellungen Deines Browsers verwalten und löschen.

11. Einbindung von Google Fonts

Erläuterung: Zur einheitlichen Darstellung von Schriftarten nutzen wir den Dienst „Google Fonts", bereitgestellt von Google Ireland Limited (Gordon House, Barrow Street, Dublin 4, Irland). Die Schriftart „Sora" wird von externen Google-Servern (fonts.googleapis.com und fonts.gstatic.com) nachgeladen. Beim Aufruf unserer Seite wird Deine IP-Adresse an Google übermittelt.

Datenschutzhinweise von Google: policies.google.com/privacy.

Google LLC ist unter dem EU-U.S. Data Privacy Framework zertifiziert.
Zwecke
Einheitliche typografische Darstellung unserer Plattform auf allen Endgeräten.
Rechtsgrundlage
Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an professioneller Darstellung).

12. Datenweitergabe an Dritte

Wir unterscheiden strikt zwischen Lerndaten und Marketing-Daten:
•Lerndaten (Chat-Verläufe, Aufgaben, Noten, Schwächenprofil): Werden ausschließlich zwischen Deinem Gerät, unserer Datenbank (Supabase) und dem KI-Dienstleister (Google Gemini) übermittelt. Sie werden niemals an Werbetreibende, Analysedienste oder sonstige Dritte weitergegeben.
•Marketing-Daten (nur mit Einwilligung): Werden an Werbenetzwerke (Meta, TikTok, Google) übermittelt — siehe Abschnitt 10.2.

Über unsere Auftragsverarbeiter (siehe Abschnitt 5–11) hinaus geben wir Daten nur in folgenden Fällen weiter:
•Wenn wir gesetzlich dazu verpflichtet sind (z. B. behördliche Anfragen, gerichtliche Anordnungen)
•Zur Abwehr von Missbrauch oder zum Schutz unserer Rechte (nur das gesetzlich erforderliche Minimum)

13. Datentransfer in Drittländer

Wie in den einzelnen Abschnitten beschrieben, können bei der Nutzung einiger Dienste Daten in Länder außerhalb der Europäischen Union (EU) oder des Europäischen Wirtschaftsraums (EWR), insbesondere in die USA, übertragen werden.

Ein solcher Transfer erfolgt nur, wenn:
•für das Drittland ein Angemessenheitsbeschluss der EU-Kommission (Art. 45 DSGVO) vorliegt — dies gilt insbesondere für US-Unternehmen, die unter dem EU-U.S. Data Privacy Framework zertifiziert sind (z. B. Google, Meta, Stripe, PayPal);
•geeignete Garantien (Art. 46 DSGVO) vorliegen, insbesondere EU-Standardvertragsklauseln;
•eine ausdrückliche Einwilligung Deinerseits vorliegt (Art. 49 Abs. 1 lit. a DSGVO);
•oder der Transfer zur Erfüllung eines Vertrages mit Dir erforderlich ist (Art. 49 Abs. 1 lit. b DSGVO).

Alle Kerndaten (Datenbank, Authentifizierung, Lerninhalte) verbleiben auf EU-Servern in Deutschland (Frankfurt am Main).

14. Schutz von Minderjährigen

Erläuterung: KAI richtet sich überwiegend an Schüler, die in der Regel minderjährig sind. Daher gelten besondere Schutzmaßnahmen.
•Bei der Registrierung wird eine Altersbestätigung über eine Checkbox eingeholt: „Ich bin mindestens 16 Jahre alt oder habe die Erlaubnis meiner Erziehungsberechtigten zur Nutzung dieser Plattform." Ohne Aktivierung dieser Checkbox ist eine Registrierung nicht möglich (Art. 8 DSGVO).
•Wir erheben keine Daten, die über das für den Lernzweck erforderliche Maß hinausgehen.
•Persönliche Lerndaten Minderjähriger werden niemals für Marketingzwecke verwendet oder an Werbetreibende weitergegeben.
•Der KI-Tutor ist so konfiguriert, dass er ausschließlich schulische Themen behandelt und bei nicht-schulischen Fragen freundlich zum Lernen zurücklenkt.
•Für Minderjährige bieten wir einen Eltern-Zahllink an, damit Abonnements rechtlich sauber durch die Erziehungsberechtigten abgeschlossen werden können.
•Erziehungsberechtigte können jederzeit Auskunft über die gespeicherten Daten ihres Kindes verlangen und deren Löschung beantragen unter: kontakt@kaitutor.de.

15. Datensicherheit

Wir treffen angemessene technische und organisatorische Maßnahmen zum Schutz Deiner Daten:
•Verschlüsselte Datenübertragung (TLS/SSL) bei allen Verbindungen
•Verschlüsselte Passwortspeicherung mit bcrypt
•Row Level Security (RLS) in der Datenbank — jeder Nutzer kann ausschließlich auf seine eigenen Daten zugreifen
•Regelmäßige Sicherheitsupdates aller eingesetzten Systeme
•Zugriffskontrolle auf Serverebene
•Strikte Trennung zwischen Lerndaten (in der App) und Marketing-Tracking (auf der Website)
•Verträge zur Auftragsverarbeitung gemäß Art. 28 DSGVO mit allen Dienstleistern

16. Keine automatisierte Entscheidungsfindung

Wir setzen keine vollautomatisierten Entscheidungsfindungen gemäß Art. 22 DSGVO ein, die Dir gegenüber rechtliche Wirkung entfalten oder Dich in ähnlicher Weise erheblich beeinträchtigen.

Das Schwächen- und Stärkenprofil („Lernradar") dient ausschließlich der Personalisierung Deines Lernerlebnisses und hat keine rechtliche oder ähnlich erhebliche Auswirkung auf Dich. KI-generierte Antworten sind Lernhilfen, keine verbindlichen Bewertungen.

17. Deine Rechte als betroffene Person

Als betroffene Person stehen Dir folgende Rechte zu:
•Auskunftsrecht (Art. 15 DSGVO): Auskunft darüber, ob und welche Daten wir über Dich verarbeiten.
•Recht auf Berichtigung (Art. 16 DSGVO): Korrektur unrichtiger Daten.
•Recht auf Löschung / „Recht auf Vergessenwerden" (Art. 17 DSGVO): Löschung Deiner Daten, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen.
•Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO): Einschränkung der Verarbeitung unter bestimmten Voraussetzungen.
•Recht auf Datenübertragbarkeit (Art. 20 DSGVO): Herausgabe Deiner Daten in einem strukturierten, maschinenlesbaren Format.
•Widerspruchsrecht (Art. 21 DSGVO): Widerspruch gegen Verarbeitung auf Grundlage berechtigten Interesses.
•Recht auf Widerruf der Einwilligung (Art. 7 Abs. 3 DSGVO): Eine einmal erteilte Einwilligung (z. B. für Newsletter oder Marketing-Cookies) kann jederzeit mit Wirkung für die Zukunft widerrufen werden.
•Beschwerderecht bei einer Aufsichtsbehörde (Art. 77 DSGVO): siehe Abschnitt 18.

Zur Ausübung Deiner Rechte wende Dich an: kontakt@kaitutor.de.

18. Beschwerderecht bei der Aufsichtsbehörde

Wenn Du der Ansicht bist, dass die Verarbeitung Deiner personenbezogenen Daten gegen die DSGVO verstößt, hast Du das Recht, eine Beschwerde bei der zuständigen Aufsichtsbehörde einzureichen. Für uns ist dies:

Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg
Lautenschlagerstraße 20
70173 Stuttgart
Telefon: 0711 / 615541-0
E-Mail: poststelle@lfdi.bwl.de
Website: baden-wuerttemberg.datenschutz.de

19. Speicherdauer im Überblick

•Account-Daten: Solange das Nutzerkonto besteht. Nach Löschung innerhalb von 30 Tagen unwiderruflich gelöscht.
•Chat-Verläufe und Lernfortschritt: Solange das Nutzerkonto besteht. Bei Kontolöschung vollständig entfernt.
•Newsletter-Daten: Bis zur Abmeldung. Unverzügliche Löschung nach Abmeldung.
•Server-Logs: Maximal 14 Tage, danach Löschung oder Anonymisierung.
•Rechnungs- und Zahlungsdaten: Gemäß § 147 AO bis zu 10 Jahre (steuerrechtliche Aufbewahrungspflicht).
•Cookie-Consent-Daten: Im lokalen Speicher Deines Browsers, bis Du diese zurücksetzt.
•Gemini API-Zwischenspeicher: Maximal 30 Tage (Missbrauchsprävention durch Google).

20. Keine Pflicht zur Bereitstellung von Daten

Es besteht grundsätzlich weder eine gesetzliche noch eine vertragliche Pflicht, uns personenbezogene Daten zur Verfügung zu stellen. Die Bereitstellung kann jedoch faktisch erforderlich sein, wenn Du unsere Plattform nutzen möchtest — ohne Registrierung und ohne Übermittlung der erforderlichen Daten kann die Plattform nicht bereitgestellt werden.

21. Änderungen dieser Datenschutzerklärung

Wir behalten uns vor, diese Datenschutzerklärung anzupassen, damit sie stets den aktuellen rechtlichen Anforderungen entspricht oder um Änderungen unserer Leistungen umzusetzen. Die jeweils aktuelle Fassung findest Du auf dieser Seite.

Bei wesentlichen Änderungen informieren wir Dich per E-Mail oder durch einen auffälligen Hinweis beim Aufruf der Plattform.
Stand: April 2026 · KAI Nachhilfe · David Leicht