Datenschutzerklärung

Verantwortlicher

Uni Compass GesbR (Gesellschaft bürgerlichen Rechts), vertreten durch ihre Gesellschafter Flavio Baur, Flurgasse 5, 6832 Sulz, Österreich, und Kaan Sönmez, Sandholzerstraße 15, 6844 Altach, Österreich. Kontakt: support@uni-compass.at, +43 664 8738982. Der Schutz Ihrer personenbezogenen Daten ist uns wichtig. Wir verarbeiten Ihre Daten ausschließlich auf Grundlage der gesetzlichen Bestimmungen (DSGVO, TKG 2021).

1. Hosting & Server-Logs

Diese Website wird bei Vercel Inc. gehostet. Beim Aufruf werden automatisch technische Daten (u. a. IP-Adresse, Datum/Uhrzeit, abgerufene Seite, Browsertyp) in Server-Logfiles verarbeitet. Diese Verarbeitung ist technisch erforderlich zur Auslieferung und Sicherheit der Website (berechtigtes Interesse, Art. 6 Abs. 1 lit. f DSGVO). Eine Übermittlung in die USA ist möglich, gestützt auf Standardvertragsklauseln.

2. Konto & Anmeldung (Supabase)

Für Registrierung und Login (E-Mail und Passwort, mit einmaliger E-Mail-Bestätigung; alternativ Login-Link per E-Mail) verarbeiten wir Ihre E-Mail-Adresse und Konto-/Profildaten (z. B. Studiengang) zur Bereitstellung des Nutzerkontos (Art. 6 Abs. 1 lit. b DSGVO). Auth und Datenbank laufen über Supabase (Supabase Inc.); die Datenbank wird in der EU-Region (Frankfurt) betrieben. Ohne Login ist ein Gast-Modus möglich: Profil und Lernstand liegen dabei lokal in Ihrem Browser (localStorage). Zur Auswertung Ihrer Antworten und für die unter Punkt 3 beschriebenen Lernereignisse werden Ihre Antworten an unseren Server übertragen; Ihr Browser erhält dafür eine zufällige, signierte Gast-Kennung (Cookie, 24 Stunden gültig) — ohne Namen, E-Mail-Adresse oder Klartext-IP.

3. Lern- & Nutzungsdaten

Zur Erbringung der Lernfunktionen verarbeiten wir Ihre Eingaben und Fortschrittsdaten (z. B. beantwortete Aufgaben, Chat-Fragen) (Art. 6 Abs. 1 lit. b DSGVO). Dazu speichern wir je beantworteter Übungsfrage ein Lernereignis (Frage, gewählte Antwortoptionen, Ergebnis, Zeitpunkt, Antwortzeit, Übungsform), aus dem die App Ihren Lernstand und Ihre Empfehlungen berechnet.

Auch im Gast-Modus speichern wir je beantworteter Frage ein solches Lernereignis — ohne Namen oder E-Mail-Adresse, verknüpft nur mit der zufälligen Gast-Kennung (Punkt 2). Registrieren Sie sich, ordnen wir diese Ereignisse Ihrem Konto zu, damit Ihr Einstieg nicht verloren geht (Art. 6 Abs. 1 lit. b DSGVO). Andernfalls entfernen wir die Gast-Kennung spätestens nach 48 Stunden; übrig bleibt ein anonymes Antwort-Ereignis ohne Bezug zu Person oder Gerät, das wir zur statistischen Verbesserung der Aufgaben (etwa der Einstufung ihrer Schwierigkeit) auswerten (Art. 6 Abs. 1 lit. f DSGVO für die Anonymisierung selbst).

4. KI-Verarbeitung (Anthropic, OpenAI)

Für Chatbot-Antworten und Generatoren werden Ihre Eingaben an Anthropic (Claude API) und für die Inhaltssuche an OpenAI (Embeddings) übermittelt und dort verarbeitet, um die Antwort zu erzeugen (Art. 6 Abs. 1 lit. b/f DSGVO). Beide Anbieter sitzen in den USA; die Übermittlung stützt sich auf Standardvertragsklauseln. Nach den aktuellen API-Bedingungen erfolgt keine Nutzung der Eingaben zu Trainingszwecken. Bitte geben Sie in den Chat keine sensiblen personenbezogenen Daten ein.

5. Zahlungsabwicklung (Stripe)

Für den Kauf von Zugangsschlüsseln (Einmalkauf) nutzen wir Stripe (Stripe Payments Europe, Ltd., Irland; ggf. Stripe, Inc., USA). Bei einem Kauf werden die zur Zahlung nötigen Daten (E-Mail-Adresse, Zahlungsmittel, Rechnungs- und Transaktionsdaten) direkt an Stripe übermittelt und dort verarbeitet (Art. 6 Abs. 1 lit. b DSGVO — Vertragserfüllung). Für Teile der Verarbeitung (z. B. Betrugsprävention, eigene gesetzliche Pflichten) ist Stripe eigener Verantwortlicher, nicht unser Auftragsverarbeiter. Vollständige Kartendaten verarbeitet ausschließlich Stripe; wir speichern sie nicht. Eine Übermittlung in die USA ist möglich, gestützt auf Standardvertragsklauseln.

6. Bot- & Missbrauchsschutz (Cloudflare Turnstile)

Zum Schutz vor automatisiertem Missbrauch setzen wir auf den Konto-Seiten (Anmelden, Registrieren, Passwort zurücksetzen) und im Lern-Chat Cloudflare Turnstile (Cloudflare, Inc., USA) ein. Dabei werden technische Daten (u. a. IP-Adresse, Browser-Signale) an Cloudflare übermittelt, um Mensch von Bot zu unterscheiden (Art. 6 Abs. 1 lit. f DSGVO — berechtigtes Interesse an Sicherheit und Kostenschutz). Die US-Übermittlung stützt sich auf Standardvertragsklauseln.

Turnstile lädt auf diesen Seiten vor dem Cookie-Banner, weil es genau das Formular schützt, das Sie aufgerufen haben — es prüft den Browser, während die Seite aufgebaut wird, und wäre wirkungslos, wenn es erst beim Absenden startete. Es setzt dabei kein Cookie; Cloudflare legt in seinem eigenen Anzeigebereich einen einzelnen technischen Eintrag im lokalen Speicher ab (cf.turnstile.u). Beides ist für den angeforderten Dienst unbedingt erforderlich und deshalb nicht einwilligungspflichtig (§ 165 Abs. 3 TKG 2021). Auf allen übrigen Seiten — insbesondere der Startseite und dem Einstieg — läuft Turnstile nicht.

7. E-Mail-Versand (easyname)

Für Konto-E-Mails (Bestätigung, Login-Link, Passwort-Reset) und die Kaufbestätigung nach einem Kauf (Vertragsbestätigung nach FAGG) nutzen wir den Mailserver der easyname GmbH (Österreich/EU). Verarbeitet werden E-Mail-Adresse und Mailinhalt (Art. 6 Abs. 1 lit. b DSGVO). Über den Versand der Kaufbestätigung führen wir einen Nachweis (Empfängeradresse, Zeitpunkt, Ergebnis — ohne Mailinhalt), weil wir die Zustellung dieser Bestätigung gesetzlich belegen können müssen (Art. 6 Abs. 1 lit. c und f DSGVO).

8. Warteliste (WU-Aufnahmeprüfung)

Auf der Seite /aufnahme können Sie sich in eine Warteliste eintragen. Wir speichern dabei ausschließlich Ihre E-Mail-Adresse, den Zeitpunkt der Eintragung und das Formular, über das sie erfolgte. Zweck ist eine einmalige Benachrichtigung, sobald die Vorbereitung auf die WU-Aufnahmeprüfung 2027 öffnet. Grundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 174 TKG 2021). Es erfolgt kein Newsletter-Versand, keine Werbung zu anderen Themen, keine Weitergabe an Dritte und keine Verknüpfung mit einem Nutzerkonto. Die Speicherung erfolgt in der Supabase-Datenbank (EU-Region Frankfurt, siehe Punkt 2). Sie können Ihre Einwilligung jederzeit formlos widerrufen (Kontaktdaten oben) — der Eintrag wird dann gelöscht. Ohne Widerruf löschen wir die Adresse nach der Benachrichtigung, spätestens Ende 2027.

9. Rückmeldung nach einer Prüfung

Wenn Sie in Ihrem Profil einen Prüfungstermin hinterlegt haben, schreiben wir Ihnen einige Tage nach diesem Termin einmal an die Adresse Ihres Kontos und fragen, wie die Prüfung gelaufen ist. Wir fragen nach vier Dingen: ob Sie angetreten sind, ob Sie bestanden haben, freiwillig nach Ihrer Note und freiwillig nach Ihrer Einschätzung, ob unsere Probeklausur schwerer oder leichter war als die echte Prüfung; ein Freitextfeld für Anmerkungen ist ebenfalls freiwillig. Zusammen mit Ihrer Antwort speichern wir Kennzahlen zu Ihrer Vorbereitung, die uns ohnehin vorliegen (etwa wie viele Aufgaben Sie bearbeitet haben und wie Ihre Probeklausuren ausgingen).

Zweck ist ausschließlich die Qualitätssicherung unseres Lernangebots: Wir können damit prüfen, ob unsere Probeklausuren und unsere Schwierigkeitseinstufungen der echten Prüfung entsprechen. Grundlage ist unser berechtigtes Interesse an einem funktionierenden Angebot (Art. 6 Abs. 1 lit. f DSGVO). Die Nachricht enthält keine Werbung und kein Angebot.

Freiwillig und ohne Nachteil. Sie müssen nicht antworten; auf Ihren Zugang, Ihren Lernstand und alles andere hat das keinerlei Auswirkung. Wer nicht antwortet, erhält keine Erinnerung — eine zweite und letzte Nachricht gibt es nur, wenn Sie selbst angeben, dass Ihr Ergebnis noch aussteht. Sie können dieser Verarbeitung jederzeit widersprechen (Art. 21 DSGVO): über den Abmelde-Link in jeder dieser Nachrichten oder formlos über die Kontaktdaten oben. Danach fragen wir Sie zu keiner Prüfung mehr.

⛔ Wir vergleichen Ihre Angaben nicht mit denen anderer Nutzerinnen und Nutzer, zeigen sie in keiner Rangliste an, geben sie nicht an Dritte weiter — insbesondere nicht an Ihre Universität — und verwenden sie nicht in der KI-Lernhilfe. Statistische Auswertungen weisen wir erst ab einer Gruppengröße von fünf Antworten aus. Löschen Sie Ihr Konto, wird auch Ihre Rückmeldung gelöscht. Andernfalls entfernen wir spätestens nach 12 Monaten den Bezug zu Ihrem Konto; übrig bleibt eine anonyme statistische Angabe.

10. Sicherheit & Rate-Limiting

Zur Missbrauchsabwehr und Kostenkontrolle protokollieren wir serverseitig Nutzungszähler je Konto/Gast und je gehashter IP-Adresse (kein Klartext, keine Inhalte). Grundlage ist unser berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO).

11. Schriftarten

Schriftarten sind lokal eingebunden; es findet keine Übertragung an Dritte (z. B. Google) statt.

12. Reichweitenmessung & Cookies

Eigene Reichweitenmessung (ohne Cookies). Um zu erkennen, an welcher Stelle unseres Einstiegs Menschen abbrechen, zählen wir serverseitig einige wenige Schritte mit: Aufruf der Startseite, Aufruf des Einstiegs samt gewähltem Fach, Anzeige der Frage nach Ihrem Wissensstand („Wo stehst du?“), Anzeige und beantwortete Fragen der Startrunde, Anzeige des Kaufangebots, das Absenden des Registrierungsformulars (als Ereignis ohne E-Mail-Adresse und ohne Bezug zu Ihrem Konto), Aufruf des Kaufvorgangs, die Rückkehr von der Zahlung und den Beginn der ersten Übung. Gespeichert werden dabei ausschließlich der Name des Schritts, die Fach-Kennung, ein Zähler, das Datum und ein tageweise wechselndes Pseudonym. Dieses Pseudonym ist ein nicht umkehrbarer Hash-Wert, den wir aus Ihrer IP-Adresse und Ihrer Browserkennung mit einem geheimen Serverschlüssel berechnen: Weder Ihre IP-Adresse noch Ihre Browserkennung werden gespeichert, und der Wert ist am Folgetag ein anderer — ein Wiedererkennen über den Tag hinaus ist damit ausgeschlossen. Es wird nichts auf Ihrem Gerät gespeichert oder ausgelesen (keine Cookies, kein lokaler Speicher); es werden keine Eingaben, keine Inhalte und keine Verknüpfung mit Ihrem Nutzerkonto verarbeitet, und es entsteht kein Personenprofil. Grundlage ist unser berechtigtes Interesse an einem funktionierenden Angebot (Art. 6 Abs. 1 lit. f DSGVO); Sie können dieser Verarbeitung jederzeit widersprechen (Art. 21 DSGVO, Kontaktdaten oben). Diese Daten löschen wir nach 90 Tagen automatisch.

Cookies & Reichweitenmessung Dritter (nur mit Einwilligung). Essentielle Cookies und lokale Speicherung sind für den Betrieb nötig (Login-Sitzung, gespeicherte Auswahl, Cookie-Entscheidung sowie ein Merker, ob der Gratis-Check bereits abgeschlossen wurde — ein Ja/Nein-Wert ohne Kennung, 180 Tage, damit wir Sie danach direkt in die App und nicht wieder auf die Startseite führen; § 165 Abs. 3 TKG 2021). Analyse-/Marketing-Cookies und Reichweitenmessung (Vercel Web Analytics, optional Google Analytics 4) werden erst nach Ihrer ausdrücklichen Einwilligung über den Cookie-Banner geladen (Art. 6 Abs. 1 lit. a DSGVO). Erfasst werden dabei nur anonyme Seitenaufrufe und Nutzungsereignisse (z. B. „Onboarding abgeschlossen“) ohne Personenbezug — Vercel Web Analytics arbeitet cookielos. Standardmäßig ist die Analyse aus; „Do Not Track“ wird respektiert. Ihre Einwilligung können Sie jederzeit über die im Footer widerrufen. Cookie-Kategorien mit Zweck sind im Banner aufgeführt; Google-Analytics-Cookies haben eine Speicherdauer von bis zu 24 Monaten. Eine Übermittlung in die USA ist möglich, gestützt auf Standardvertragsklauseln.

13. Speicherdauer

Kontodaten (E-Mail, Profil): bis zur Löschung des Kontos. Die Löschung beantragen Sie formlos über die oben genannten Kontaktdaten oder in der App (Profil → Deine Daten); wir führen sie binnen eines Monats durch (Art. 12 DSGVO). Ausgenommen bleiben Daten mit gesetzlicher Aufbewahrungspflicht (siehe Zahlungs- & Abrechnungsdaten unten).
Lern- & Fortschrittsdaten: für die Dauer der Nutzung bzw. bis zur Kontolöschung (auf Antrag, siehe oben).
Zahlungs- & Abrechnungsdaten (inkl. Nachweis über den Versand der Kaufbestätigung): 7 Jahre aufgrund gesetzlicher Aufbewahrungspflichten (§ 132 BAO, § 212 UGB).
Server-Logs: gemäß Vorgabe des Infrastruktur-Dienstleisters (wenige Tage).
Missbrauchs-/Usage-Daten (gehashte IP-Adresse, Zähler): 30 Tage (automatische Löschung per Datenbank-Job).
Reichweitenmessung (Schritt, Fach, Zähler, Datum, tageweise wechselndes Pseudonym — siehe Punkt 12): 90 Tage (automatische Löschung per Datenbank-Job).
Warteliste (E-Mail-Adresse): bis zur Benachrichtigung bzw. bis zu Ihrem Widerruf, längstens bis Ende 2027.
Widerrufserklärungen (Eingangszeitpunkt, E-Mail-Adresse, Wortlaut der Erklärung, ggf. angegebene Belegnummer und Anmerkung, intern zugeordnete Bestellung, Nachweis der Eingangsbestätigung): 7 Jahre, gemeinsam mit den Abrechnungsdaten des betroffenen Kaufs — sie gehören zum Nachweis, dass wir die Frist gewahrt haben. Den Namen, den § 13a Abs 3 Z 1 FAGG zur Widerrufserklärung verlangt, speichern wir nicht in dieser Datenbank: Er steht allein in der Eingangsbestätigung an Sie und in der internen Benachrichtigung an unser Support-Postfach und wird dort ebenso lange aufbewahrt wie der Vorgang selbst (7 Jahre, § 212 UGB).
Gast-Modus: Profil und Lernstand nur lokal in Ihrem Browser. Serverseitig: Lernereignisse mit Gast-Kennung, die spätestens nach 48 Stunden entfernt wird (danach anonym, siehe Punkt 3); Nutzungszähler siehe Missbrauchs-/Usage-Daten oben.
Rückmeldung nach einer Prüfung (angetreten, bestanden, freiwillig Note und Einschätzung, Kennzahlen der Vorbereitung — siehe Punkt 9): bis zur Löschung Ihres Kontos, längstens 12 Monate mit Bezug zu Ihrem Konto (danach anonym, automatische Entkopplung per Datenbank-Job).

14. Ihre Rechte

Ihnen stehen die Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerruf und Widerspruch zu. Wenden Sie sich dafür an die oben genannten Kontaktdaten; wir antworten binnen eines Monats (Art. 12 DSGVO). Es besteht ein Beschwerderecht bei der Österreichischen Datenschutzbehörde (www.dsb.gv.at). Ein Datenschutzbeauftragter ist nicht bestellt und für ein Unternehmen dieser Art und Größe in der Regel nicht erforderlich.

Details zum Impressum: Impressum.