Datenschutzerklärung

[TODO: siehe /impressum]
[TODO: siehe /impressum]
E-Mail: [TODO: siehe /impressum]

Bei der Registrierung speichern wir Benutzername, die von dir gewählte Ausgangs- und Interface-Sprache, dein aktuelles Lernniveau (A1-C2) sowie optional eine E-Mail-Adresse. Passwörter werden nie im Klartext gespeichert, sondern als gesalzener scrypt-Hash. Während des Lernens speichern wir deine Antworten und Bewertungen pro Karteikarte (Wiederholungsverlauf, Erinnerungsstärke nach dem FSRS-Algorithmus, Lernsitzungen) sowie optionales Feedback, das du zu einzelnen Karten einreichst. Diese Daten sind für den Kerndienst -- individuelles Spaced-Repetition-Lernen -- notwendig (Art. 6 Abs. 1 lit. b DSGVO) und werden nur für dein eigenes Konto verwendet, niemals an Dritte weitergegeben oder für Werbung ausgewertet.

Nach der Anmeldung setzen wir genau ein Cookie (gfc_user), das deinen Benutzernamen und deine Rolle signiert und zeitlich begrenzt enthält (HttpOnly, SameSite=Lax, auf der Produktionsseite nur über HTTPS übertragen). Es dient ausschließlich dazu, dich angemeldet zu halten, und ist technisch notwendig im Sinne von § 25 Abs. 2 Nr. 2 TTDSG -- daher ist keine Einwilligung erforderlich und wir setzen keinen Cookie-Banner. Es gibt keine weiteren Cookies, kein Tracking- und kein Werbe-Cookie.

Die Anwendung selbst protokolliert pro Aufruf Methode, Pfad, Statuscode und Dauer, jedoch keine IP-Adresse und keinen Cookie-Inhalt (siehe app/observability.py). Der vorgeschaltete Webserver (nginx) protokolliert Zugriffe auf diese Domain: den User-Agent, die vollständige aufgerufene URL inklusive etwaiger UTM-Parameter (z. B. utm_source, utm_campaign aus YouTube-Links) sowie eine gekürzte IP-Adresse. Die IP-Adresse wird bereits beim Schreiben des Logeintrags gekürzt und nie vollständig gespeichert: bei IPv4 wird das letzte Oktett auf 0 gesetzt (aus 203.0.113.42 wird 203.0.113.0), bei IPv6 werden nur die ersten drei Blöcke behalten (siehe operations/production/nginx-log-anon.conf). Die Zugriffslogs werden täglich rotiert und nach 14 Tagen gelöscht. Diese Logs dienen ausschließlich der aggregierten Auswertung, welche Kampagne wie viele Besuche gebracht hat (tools/utm_report.py), nicht der individuellen Nachverfolgung einzelner Besucher; es werden keine Cookies gesetzt und keine Profile gebildet (Art. 6 Abs. 1 lit. f DSGVO, berechtigtes Interesse an der Reichweitenmessung des eigenen Angebots).

Wenn die Registrierung geöffnet ist, versenden wir E-Mails zur Bestätigung deiner Adresse und zum Zurücksetzen deines Passworts über einen vom Betreiber konfigurierten SMTP-Server [TODO: Name/Anbieter des SMTP-Anbieters, sobald festgelegt]. Ist die Registrierung geschlossen, wird kein E-Mail-Versand durchgeführt; ein Passwort-Reset erfolgt dann direkt durch den Betreiber.

Diese Seite lädt keine Schriftarten, Skripte oder Tracking-Bausteine von externen Servern -- die verwendete Schriftart (Newsreader) wird selbst gehostet. Links zu unseren YouTube-Kanälen und zu den App-/Play-Store-Seiten öffnen als normale, ausgehende Links in einem neuen Tab; es werden keine YouTube-Videos eingebettet, sodass beim Besuch dieser Seite selbst keine Verbindung zu Google/YouTube aufgebaut wird.

Kontodaten und Lernfortschritt bleiben gespeichert, solange dein Konto besteht. Ein nächtliches Datenbank-Backup wird 30 Tage lang auf dem Server und weitere 30 Tage in einer betreiberseitigen Offsite-Kopie vorgehalten; danach werden ältere Sicherungen automatisch gelöscht.

Du hast das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21). Du kannst dein Konto und alle damit verbundenen Daten jederzeit selbst und endgültig über Profil → Konto löschen entfernen, ohne den Betreiber kontaktieren zu müssen. Für alle anderen Anliegen wende dich an die oben genannte E-Mail-Adresse. Du hast außerdem das Recht, dich bei einer Datenschutzaufsichtsbehörde zu beschweren.