Zurück zur Startseite

Datenschutzerklärung

1. Datenschutz auf einen Blick

Allgemeine Hinweise

Die folgenden Hinweise geben einen einfachen Überblick darüber, was mit Ihren personenbezogenen Daten passiert, wenn Sie diese Website besuchen. Personenbezogene Daten sind alle Daten, mit denen Sie persönlich identifiziert werden können.

Datenerfassung auf dieser Website

Wer ist verantwortlich für die Datenerfassung auf dieser Website?
Die Datenverarbeitung auf dieser Website erfolgt durch den Websitebetreiber. Dessen Kontaktdaten können Sie dem Abschnitt "Hinweis zur Verantwortlichen Stelle" in dieser Datenschutzerklärung entnehmen.

2. Hosting

Wir hosten die Inhalte unserer Website bei folgendem Anbieter:

Hetzner Online GmbH
Industriestr. 25, 91710 Gunzenhausen, Deutschland
Webseite: https://www.hetzner.com

Hier betreiben wir die Anwendung und ihre Datenbank. Die Verarbeitung erfolgt zur Bereitstellung der gebuchten Leistungen nach Art. 6 Abs. 1 lit. b DSGVO sowie zur sicheren und zuverlässigen Auslieferung der Website nach Art. 6 Abs. 1 lit. f DSGVO. Weitere Dienste, insbesondere für Dateispeicherung, KI-Funktionen und Kommunikation, sind in Abschnitt 6 beschrieben.

3. Allgemeine Hinweise und Pflichtinformationen

Datenschutz

Die Betreiber dieser Seiten nehmen den Schutz Ihrer persönlichen Daten sehr ernst. Wir behandeln Ihre personenbezogenen Daten vertraulich und entsprechend den gesetzlichen Datenschutzvorschriften sowie dieser Datenschutzerklärung.

Hinweis zur verantwortlichen Stelle

Die verantwortliche Stelle für die Datenverarbeitung auf dieser Website ist:

Markus Wiesecke
c/o POSTFLEX PFX-562-142
Emsdettener Straße 10
48268 Greven
Deutschland

Telefon: +49 162 3901019
E-Mail: [email protected]

4. Datenerfassung auf dieser Website

Cookies und lokaler Speicher

Unsere Internetseiten verwenden so genannte "Cookies". Cookies sind kleine Datenpakete und richten auf Ihrem Endgerät keinen Schaden an. Sie werden entweder vorübergehend für die Dauer einer Sitzung (Session-Cookies) oder dauerhaft (permanente Cookies) auf Ihrem Endgerät gespeichert.

Für Anmeldung, Sicherheit und Ihre Einwilligungseinstellung verwenden wir Cookies. Einstellungen und Funktionen zum Offline-Lernen können außerdem den lokalen Browserspeicher (localStorage, IndexedDB und Cache) nutzen. Die Anmeldesitzung ist auf bis zu sieben Tage ausgelegt. Die Einwilligungsauswahl wird lokal und für bis zu ein Jahr in einem Cookie gespeichert. Sie können diese Daten über die Website-Daten Ihres Browsers löschen; dabei können Anmeldung, Einstellungen und offline gespeicherte Inhalte verloren gehen.

Soweit ein Zugriff auf Ihr Endgerät für einen ausdrücklich gewünschten Dienst unbedingt erforderlich ist, erfolgt er nach § 25 Abs. 2 Nr. 2 TDDDG. Für optionale Analysefunktionen ist eine Einwilligung nach § 25 Abs. 1 TDDDG und Art. 6 Abs. 1 lit. a DSGVO erforderlich. Einzelheiten zu den Analysefunktionen finden Sie in Abschnitt 5.

Server-Log-Dateien

Beim Aufruf werden technische Verbindungsdaten verarbeitet. Für Betrieb, Fehlerbehebung und Missbrauchsschutz können Server- und Sicherheitsprotokolle insbesondere folgende Angaben enthalten:

  • Browsertyp und Browserversion
  • verwendetes Betriebssystem
  • Referrer URL
  • aufgerufene Adresse und Antwortstatus
  • Uhrzeit der Serveranfrage
  • IP-Adresse

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt darin, Angriffe zu erkennen, unbefugte Zugriffe zu verhindern und Fehler zu beheben.

Registrierung auf dieser Website

Für Ihr Konto verarbeiten wir unter anderem Name, E-Mail-Adresse, einen Passwort-Hash, Anmelde- und Sicherheitseinstellungen sowie Ihren Tarif. Hinzu kommen die von Ihnen erstellten oder hochgeladenen Lerninhalte, Antworten, Lernfortschritte, Wiederholungsintervalle und gegebenenfalls Klassen-, Gruppen- und Nachrichtendaten. Dies dient der Bereitstellung der von Ihnen genutzten Funktionen (Art. 6 Abs. 1 lit. b DSGVO).

Die für Registrierung und Vertragserfüllung gekennzeichneten Pflichtangaben sind erforderlich, um ein Konto anzulegen bzw. die betreffende Leistung zu nutzen. Ohne diese Angaben ist das nicht möglich. Zusätzliche Profilangaben, Freigaben und die Teilnahme an optionalen Funktionen sind freiwillig.

Freigaben, Klassenzimmer und Benachrichtigungen

Ihr Profil kann abhängig von Ihrer Sichtbarkeitseinstellung für andere sichtbar sein; neue Profile sind standardmäßig öffentlich. Wenn Sie Inhalte veröffentlichen oder mit anderen teilen, können diese Inhalte und zugehörige Profilangaben für den gewählten Empfängerkreis bzw. öffentlich sichtbar sein. In Klassenzimmern werden Aufgaben, Abgaben und Lernstände den berechtigten Lehrkräften zugänglich gemacht. Für den Schuleinsatz beachten Sie ergänzend den AVV.

Veröffentlichte eBooks werden als getrennte Bibliotheksfassung gespeichert. Die Löschung Ihres Kontos entfernt diese Veröffentlichungen nicht automatisch. Auch Namensangaben in gespeicherten Veröffentlichungen können erhalten bleiben. Wenn Sie deren Löschung wünschen, wenden Sie sich bitte an unsere Kontaktadresse; wir prüfen den Umfang Ihres Löschungsanspruchs.

Kontobezogene E-Mails dienen etwa der Bestätigung Ihrer Adresse und der Kontosicherheit. Optionale Lern-Erinnerungen und Wochenberichte können Sie in Ihren Benachrichtigungseinstellungen steuern. Wenn Sie Web-Push aktivieren, speichern wir die dafür erforderliche Push-Adresse und Schlüssel; die Zustellung erfolgt über den Push-Dienst Ihres Browsers. Diese Einwilligung können Sie in den Website-Berechtigungen des Browsers widerrufen (Art. 6 Abs. 1 lit. a DSGVO).

5. Analyse-Tools und Werbung

Umami Analytics

Nach Ihrer Zustimmung zu Analysefunktionen laden wir Umami zur statistischen Auswertung von Seitenaufrufen. Dabei fallen technische Verbindungsdaten an, darunter die IP-Adresse bei der Übertragung sowie Angaben zur aufgerufenen Seite, zum Browser und zum Gerät. Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO).

PostHog (Produkt- und Performance-Analyse)

Zur Verbesserung unserer App und ihrer Ladeleistung setzen wir PostHog ein, ein Produktanalyse-Werkzeug. Die Initialisierung der Browseranalyse erfolgt nach Ihrer Zustimmung im Cookie-Hinweis. Wenn Sie dort „Nur essentielle“ wählen, wird diese Browseranalyse zunächst nicht aktiviert.

Rechtsgrundlage der optionalen Browseranalyse ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), die Sie jederzeit mit Wirkung für die Zukunft widerrufen können.

Verarbeitete Daten: eine Kennung (im localStorage Ihres Browsers gespeichert), aufgerufene Seiten und URLs (Seitenaufrufe), Seitenwechsel sowie Web-Vitals-Metriken zur Ladeleistung (z. B. LCP, CLS, INP). Bei der Übertragung wird Ihre IP-Adresse verarbeitet. Bei angemeldeten Nutzern kann diese Kennung mit der Konto-ID sowie E-Mail-Adresse, Name, Tarif, Rolle und Sperrstatus verknüpft werden. Außerdem können Ereignisse zu verwendeten Lernfunktionen, Suchvorgängen, Exporten und Erfolgen erfasst werden. Automatisches Klick-/Eingabe-Tracking und Sitzungsaufzeichnungen sind in PostHog deaktiviert. Für Sentry gelten die Angaben in Abschnitt 6.

Hosting: Die Daten werden über die EU-Infrastruktur von PostHog (eu.i.posthog.com) verarbeitet. Sie können Ihren Widerruf an [email protected] richten. Wenn Sie die Website-Daten im Browser löschen und die Seite neu laden, können Sie im erneut angezeigten Cookie-Hinweis „Nur essentielle“ wählen. Weitere Informationen finden Sie in der Datenschutzerklärung des Anbieters unter posthog.com/privacy.

Zusätzlich werden serverseitig Ereignisse zu Käufen, Abonnements, Kündigungen, Erstattungen und fehlgeschlagenen Zahlungen mit einer Konto-ID und zugehörigen Transaktionsangaben an PostHog übertragen. Diese Übertragung ist derzeit nicht an die Auswahl im Cookie-Hinweis gekoppelt. Die Auswahl „Nur essentielle“ unterbindet diese serverseitigen Zahlungsereignisse daher nicht.

6. Dienstleister und Auftragsverarbeiter

Wir setzen die folgenden Dienstleister je nach genutzter Funktion ein. Soweit ein Anbieter personenbezogene Daten in unserem Auftrag verarbeitet, ist dafür ein Vertrag nach Art. 28 DSGVO erforderlich. Für Anbieter, die selbst Verantwortliche sind, gelten deren eigene Datenschutzhinweise. Informationen zum Schuleinsatz stehen außerdem in unserem Auftragsverarbeitungsvertrag bereit.

Übermittlung in Drittländer

Einige der unten genannten Anbieter haben ihren Sitz außerhalb der EU bzw. des EWR oder können Daten dort verarbeiten. Auch eine EU-Serverregion schließt Zugriffe aus Drittländern nicht in jedem Fall aus. Für solche Übermittlungen ist eine Grundlage nach Art. 44 ff. DSGVO erforderlich, etwa ein anwendbarer Angemessenheitsbeschluss oder geeignete Garantien wie Standardvertragsklauseln. Das EU-US Data Privacy Framework gilt nur für entsprechend zertifizierte Empfänger und die erfassten Verarbeitungen. Auskunft über die für einen konkreten Anbieter vereinbarten Garantien und eine Kopie erhalten Sie auf Anfrage über unsere Kontaktadresse.

Hetzner (Hosting und Datenbank)

Betrieb der Anwendungsserver und der Datenbank. Einzelheiten siehe Abschnitt 2 (Hosting). Dateien können zusätzlich bei Cloudflare R2 gespeichert werden; eine ausschließliche Verarbeitung aller Daten in Deutschland wird damit nicht zugesichert.
Anbieter: Hetzner Online GmbH (Deutschland) · Rechtsgrundlage: Art. 6 Abs. 1 lit. b und lit. f DSGVO.

OpenAI und OpenRouter (KI-Funktionen)

Wir nutzen für KI-gestützte Funktionen wie automatische Karteikarten-Generierung, Quiz-Erstellung, KI-Tutor, eBooks, Sprachausgabe und Texterkennung die jeweils konfigurierte OpenAI- oder OpenRouter-API. Bei der Nutzung werden Ihre Eingaben (z. B. Notiztexte, hochgeladene Dokumente oder Bilder) an den ausgewählten Dienst und bei OpenRouter gegebenenfalls an den ausgewählten Modellanbieter übermittelt und dort verarbeitet.
Anbieter: OpenAI oder OpenRouter; bei OpenRouter gegebenenfalls ausgewählte Modell- oder Suchanbieter · Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).

Beim Erstellen von Karteikarten und Notizen können deren Texte auch automatisch an OpenAI übermittelt werden, um semantische Suchvektoren für die Lernfunktionen zu erzeugen. Dies erfolgt unabhängig vom ausgewählten Anbieter für andere KI-Funktionen. Bei der Sprachausgabe wird der vorzulesende Text an OpenAI gesendet.

Bei der eBook-Erstellung können Sie optional eine Webrecherche auswählen. Abhängig von der administrativen Konfiguration werden die Daten an OpenAI oder OpenRouter übermittelt. Für die erste, begrenzte Recherche werden das Thema und die Kapitelüberschriften verarbeitet; OpenRouter nutzt dafür zusätzlich Exa als Suchanbieter und leitet die Anfrage an den ausgewählten Modellanbieter weiter. Für die anschließende Quellenprüfung wird das erzeugte, größenbegrenzte eBook-Dokument einschließlich seiner zu prüfenden Aussagen übermittelt. Die gefundenen Quellen, automatisierten Zusammenfassungen und Prüfergebnisse speichern wir beim eBook, damit Zitate und Bibliografie nachvollziehbar bleiben.

Die API-Anfragen für die eBook-Webrecherche werden mit store: false gesendet. Dies ist eine technische Speichereinstellung und kein Versprechen, dass beim Anbieter keinerlei vorübergehende Sicherheits- oder Missbrauchsprotokolle entstehen. Zur Durchsetzung von Kosten- und Parallelitätsgrenzen speichern wir außerdem kurzzeitig ein inhaltsfreies, pseudonymes HMAC-Budgetledger. Es enthält weder das Thema noch eBook-Inhalte und wird nach Ablauf der jeweiligen Reservierung zuzüglich eines kurzen Löschpuffers entfernt.

Für optionale KI-Illustrationen bei der eBook-Erstellung übermitteln wir ausschließlich einen größenbegrenzten Motivbrief, den didaktischen Zweck, den ausgewählten Theme-Stil, die Sprache und das Seitenverhältnis an OpenAI oder OpenRouter. Bei OpenRouter kann der ausgewählte Bildmodellanbieter nachgelagert an der Verarbeitung beteiligt sein. Kontodaten, Profildaten, URLs, HTML, eigene Bilder der Nutzer und vollständige Quelltexte werden dafür nicht übermittelt.

Erzeugte Rasterbilder werden validiert und normalisiert und im privaten eBook-/PDF-Bucket gespeichert. Für einen freigegebenen veröffentlichten Snapshot wird eine separate Kopie angelegt. Die Löschung erfolgt über wiederholbare Bereinigungsaufträge: Auch nach einem leeren Speicherzustand wird sieben Tage lang erneut geprüft, damit verspätete Schreibvorgänge erfasst werden.

KI-Illustrationen sind keine Quellen und keine sachlichen Belege. Alternativtext und Bildunterschrift stammen aus dem validierten Dokumentvertrag.

Stripe (Zahlungsabwicklung)

Für kostenpflichtige Abonnements und Credit-Käufe nutzen wir Stripe. Zahlungs- und Rechnungsdaten werden unmittelbar von Stripe verarbeitet; vollständige Kartendaten erhalten wir zu keinem Zeitpunkt.
Anbieter: Stripe Payments Europe, Limited (Irland), Konzern- mutter Stripe, Inc. (USA) · Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).

Amazon SES (E-Mail-Versand)

Transaktionale E-Mails (Registrierungsbestätigung, Passwort-Zurücksetzung, Benachrichtigungen) versenden wir über Amazon SES in der Region Europa (Frankfurt). Verarbeitet werden Ihre E-Mail-Adresse und der Inhalt der jeweiligen Nachricht.
Anbieter: Amazon Web Services EMEA SARL (Luxemburg), Verarbeitung in der Region Europa (Frankfurt am Main, eu-central-1) · Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) bzw. Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an zuverlässiger Zustellung).

Sentry (Fehler-Monitoring)

Zur Erkennung und Behebung technischer Fehler setzen wir Sentry ein. Bei einem Fehler werden technische Diagnosedaten übermittelt: Fehlermeldung und Stack-Trace, aufgerufene URL, Browser- und Gerätetyp, Ihre IP-Adresse sowie — falls Sie angemeldet sind — Ihre Nutzer-ID.
Anbieter: Functional Software, Inc. (Sentry), USA · Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem stabilen und sicheren Betrieb).

Die Sentry-Einbindung umfasst außerdem Performance-Messungen und Sitzungsaufzeichnungen zur Fehleranalyse. Für diese Aufzeichnungen werden Texte maskiert und Medien blockiert; Interaktionen und technische Abläufe können trotzdem erfasst werden. Die Aufzeichnung ist derzeit nicht mit der Einwilligungsauswahl im Cookie-Hinweis gekoppelt.

Cloudflare (Auslieferung, Angriffsschutz und Dateispeicherung)

Der Zugriff auf unsere Website läuft über das Netzwerk von Cloudflare, das der Auslieferung von Inhalten sowie dem Schutz vor Überlastungs- und Missbrauchsangriffen dient. Dabei wird Ihre IP-Adresse verarbeitet. Auf den Anmelde- und Registrierungsseiten setzen wir zusätzlich Cloudflare Turnstile zur Unterscheidung von menschlichen Nutzern und automatisierten Zugriffen ein.
Anbieter: Cloudflare, Inc. (USA) · Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Sicherheit und Verfügbarkeit).

Cloudflare R2 dient außerdem als Objektspeicher für hochgeladene Bilder, Avatare, erzeugte Audiodateien und eBook-/PDF-Dateien. Je nach Funktion sind Dateien öffentlich abrufbar oder nur über eine autorisierte Freigabe zugänglich. Rechtsgrundlage für die Speicherung Ihrer Inhalte ist Art. 6 Abs. 1 lit. b DSGVO.

PostHog (Produktanalyse)

Einzelheiten zur Browseranalyse, zu serverseitigen Zahlungsereignissen, zu den erfassten Daten und zum Widerruf finden Sie in Abschnitt 5.
Anbieter: PostHog, Inc. (USA), Verarbeitung auf EU-Infrastruktur (eu.i.posthog.com).

Google und Apple (optionale Anmeldung)

Wenn Sie eine angebotene Anmeldung mit Google oder Apple auswählen, werden Sie zum jeweiligen Anbieter weitergeleitet. Von diesem erhalten wir die zur Anmeldung freigegebenen Profilangaben, etwa eine Anbieter-Kennung, Name und E-Mail-Adresse. Wir speichern die Zuordnung zu Ihrem Konto und gegebenenfalls die zugehörigen Zugriffstoken. Ihr Passwort beim Anbieter erhalten wir nicht. Die Verarbeitung dient der von Ihnen gewählten Anmeldung (Art. 6 Abs. 1 lit. b DSGVO). Die Verarbeitung beim Anmeldeanbieter richtet sich zusätzlich nach dessen eigenen Datenschutzhinweisen.

Notion (optionaler Import)

Wenn Sie Inhalte aus Notion importieren, nutzen wir den von Ihnen angegebenen Integrationsschlüssel, um die freigegebene Datenbank über die Notion-API abzurufen. Die ausgewählten Inhalte werden in Ihr Wondibo-Konto übernommen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Für Ihr Notion-Konto gelten ergänzend die Datenschutzhinweise von Notion.

Passwortsicherheit und Echtzeitfunktionen

Zur Erkennung bereits kompromittierter Passwörter fragen wir den Dienst Have I Been Pwned / Pwned Passwords ab. Unser Server übermittelt nur die ersten fünf Zeichen eines Passwort-Hashwertes; weder das Passwort noch dessen vollständiger Hash oder Ihre E-Mail-Adresse werden mitgesendet. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (Schutz Ihres Kontos). Echtzeitmeldungen werden über unseren selbst betriebenen WebSocket-Dienst Soketi zugestellt (Art. 6 Abs. 1 lit. b DSGVO).

7. Speicherdauer und Löschung

Kontodaten und Lerninhalte werden grundsätzlich für die Dauer Ihrer Kontonutzung gespeichert. Sie können Inhalte und Ihr Konto über die vorgesehenen Funktionen löschen. Laufende Aufträge, gesetzliche Aufbewahrungspflichten sowie die Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen können einer sofortigen vollständigen Löschung entgegenstehen. Veröffentlichte Bibliotheksfassungen sind gesondert zu berücksichtigen (siehe Abschnitt 4).

Für die automatisierte Bereinigung sind folgende Fristen vorgesehen; die Verarbeitung erfolgt im jeweils nächsten Bereinigungslauf:

  • nicht bestätigte Konten ohne Anmeldung über Google oder Apple: nach sieben Tagen
  • Anmeldeversuche: nach 30 Tagen
  • gelesene Benachrichtigungen: 30 Tage nach dem Lesen; ungelesene: nach 90 Tagen bzw. früher, wenn mehr als 100 ungelesene vorliegen
  • einzelne Lernbewertungen, KI-Nutzungsprotokolle, Fokussitzungen und Quizversuche: nach 90 Tagen
  • Gruppennachrichten: nach 180 Tagen
  • Sicherheits- und Auditprotokolle: nach 365 Tagen
  • archivierte eBooks: nach 30 Tagen, sofern kein laufender Vorgang die Löschung blockiert

Abgeleitete Lernstände können für die weitere Kontonutzung erhalten bleiben. Für Abrechnungsunterlagen gelten die jeweils einschlägigen gesetzlichen Aufbewahrungspflichten (Art. 6 Abs. 1 lit. c DSGVO). Lokale Offline-Kopien in Ihrem Browser können Sie durch Löschen der Website-Daten entfernen. Über die Aufbewahrung bei einzelnen Dienstleistern und in Sicherungskopien geben wir auf Anfrage Auskunft.

8. Ihre Rechte

Unter den jeweiligen gesetzlichen Voraussetzungen haben Sie das Recht:

  • Auskunft über Ihre gespeicherten Daten zu erhalten (Art. 15 DSGVO)
  • Berichtigung unrichtiger Daten zu verlangen (Art. 16 DSGVO)
  • Löschung Ihrer Daten zu verlangen (Art. 17 DSGVO)
  • Einschränkung der Verarbeitung zu verlangen (Art. 18 DSGVO)
  • Ihre Daten in einem strukturierten Format zu erhalten (Art. 20 DSGVO)
  • Der Verarbeitung zu widersprechen (Art. 21 DSGVO)
  • Eine erteilte Einwilligung jederzeit für die Zukunft zu widerrufen (Art. 7 Abs. 3 DSGVO)
  • Sich bei einer Datenschutzaufsichtsbehörde zu beschweren (Art. 77 DSGVO)

Bei Verarbeitungen auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO können Sie aus Gründen, die sich aus Ihrer besonderen Situation ergeben, Widerspruch einlegen. Gegen die Verarbeitung für Direktwerbung können Sie jederzeit Widerspruch einlegen. Die Rechtmäßigkeit einer Verarbeitung bis zum Widerruf einer Einwilligung bleibt unberührt.

Eine Beschwerde können Sie insbesondere an die Aufsichtsbehörde Ihres Aufenthaltsorts, Arbeitsplatzes oder des vermuteten Verstoßes richten. In Nordrhein-Westfalen ist dies die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW), Kavalleriestraße 2–4, 40213 Düsseldorf: Beschwerde bei der LDI NRW.

9. Kontakt

Wenn Sie Fragen zum Datenschutz haben, schreiben Sie uns bitte eine E-Mail an: [email protected]

Stand: 27. September 2026