Datenschutzerklärung

Stand: 28. August 2026

Kurz und einfach erklärt: für Kinder und Eltern

Du kannst ohne Konto trainieren. Deinen Fortschritt und deine Einstellungen merkt sich dann dein Browser auf diesem Gerät. Du musst uns dafür keinen Namen und keine E-Mail-Adresse nennen.

Damit die Website auf deinem Gerät ankommt und sicher läuft, verarbeitet unser Dienstleister Cloudflare technische Daten, zum Beispiel deine IP-Adresse. Ohne Konto heißt also nicht, dass überhaupt keine Daten verarbeitet werden.

Ein eigenes Konto ist derzeit ab 16 Jahren erlaubt. Jüngere Kinder nutzen das Training ohne Konto; einen Elternzustimmungsprozess für Kinderkonten bieten wir derzeit nicht an. Kostenpflichtige Abonnements dürfen nur Volljährige abschließen.

Wir zeigen keine Werbung. Für Website, Konto, E-Mails und Zahlungen helfen uns die unten genannten Dienstleister. Sie erhalten die dort beschriebenen Daten; wir verkaufen deine Daten nicht.

Du kannst lokale Trainingsdaten im Browser löschen. Ein Konto kannst du über die Kontoeinstellungen löschen; gesetzlich erforderliche Belege müssen gegebenenfalls länger aufbewahrt werden. Frag deine Eltern oder schreibe an kontakt@chessposimind.com, wenn du Hilfe brauchst.

1. Verantwortlicher

Verantwortlich ist der im Impressum genannte Betreiber. Kontakt: kontakt@chessposimind.com.

2. Hosting und technische Bereitstellung

Die Website wird über Cloudflare Pages bereitgestellt. Beim Aufruf werden technisch erforderliche Verbindungsdaten verarbeitet, insbesondere IP-Adresse, Zeitpunkt, angeforderte Adresse, Browser-/Geräteangaben, Referrer sowie Sicherheits- und Fehlerdaten. Die Verarbeitung dient der Auslieferung, Stabilität, Fehleranalyse und Abwehr missbräuchlicher Zugriffe. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; das berechtigte Interesse liegt im sicheren und zuverlässigen Betrieb der Website.

Dienstleister ist Cloudflare, Inc. Cloudflare kann Daten auch außerhalb des Europäischen Wirtschaftsraums verarbeiten. Solche Übermittlungen dürfen nur auf Grundlage der Voraussetzungen der Art. 44 ff. DSGVO und der mit Cloudflare vereinbarten Datenschutzbedingungen erfolgen.

3. Bereitstellung und Sicherheit

Cloudflare verarbeitet technisch erforderliche Verbindungs-, Sicherheits- und Protokolldaten. Dies dient der sicheren und stabilen Bereitstellung der Website. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; mein berechtigtes Interesse liegt in Sicherheit, Missbrauchsabwehr und Verfügbarkeit.

4. Lokale Trainings- und Profildaten

Ohne Nutzerkonto werden Trainingsfortschritt, Einstellungen, lokales Profil, Übungsverlauf, Abzeichen, Wissenschafts-Checks, Wissensstatistik, Schwächenlisten und Gerätekennung ausschließlich im lokalen Speicher des verwendeten Browsers gespeichert. Mit einem Nutzerkonto werden die in Abschnitt 5 genannten Daten zusätzlich zur Synchronisierung an den Kontodienst übertragen.

Die lokale Speicherung ist erforderlich, um den ausdrücklich gewünschten Trainingsfortschritt, Wiederholungen und Einstellungen bereitzustellen (§ 25 Abs. 2 Nr. 2 TDDDG). Die Daten können auf der Profilseite exportiert, wieder importiert oder durch Löschen der Website-Daten im Browser entfernt werden. Der Übungsverlauf kann zusätzlich innerhalb der Anwendung gelöscht werden.

5. Optionales Nutzerkonto und Cloud-Speicherung

Nutzer können freiwillig ein Konto anlegen. Dabei werden verarbeitet: die E-Mail-Adresse (Anmeldung per Anmeldecode ohne Passwort; für andere Nutzer niemals sichtbar) sowie ein frei wählbarer Anzeigename samt Freundschafts-Code. Mit einem Konto werden Trainingsstand, Punkte, Statistiken und Einstellungen automatisch in der Cloud gesichert und zwischen angemeldeten Geräten zusammengeführt. Ergebnisse für Bestenlisten werden nur bei zusätzlicher, jederzeit widerrufbarer Einwilligung verarbeitet; in Bestenlisten erscheint ausschließlich der Anzeigename. Aus eigenen Partien abgeleitete Analysedaten verbleiben lokal im Browser.

Für die geräteübergreifende persönliche Lernentwicklung speichert ChessPosiMind bei angemeldeten Konten je abgeschlossenem Nachbau den Zeitpunkt, Trainingsmodus, Figurenanzahl, Genauigkeit, Ergebnisstufe, Stellungstyp, Betrachtungs- und Nachbauzeit, eine nicht sprechende Stellungskennung, Wiederholungsnummer, Abstand zum vorherigen Versuch, feste oder adaptive Schwierigkeit sowie App- und Bewertungsverfahren-Version. Zusätzlich können die Zeitabstände der gesetzten Figuren mit Feld und Figur gespeichert werden, um den eigenen Lernverlauf und Gruppierungsstrategien auszuwerten. Nicht gespeichert werden die Stellung selbst, Zugfolgen, Freitext, E-Mail-Adresse, Gerätekennung oder IP-Adresse. Diese Kerndaten sind nicht von der optionalen Produktanalyse abhängig, werden nach 24 Monaten automatisch gelöscht, sind im Kontodatenexport enthalten und werden bei Kontolöschung vollständig entfernt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO zur Bereitstellung der angeforderten Lernverlaufsfunktion.

Angemeldete Nutzer können zusätzlich freiwillig ein innerhalb der Plattform sichtbares Profil freigeben. Angezeigt werden dann Anzeigename, ein Schachsymbol oder ein nach Prüfung freigegebenes eigenes Profilbild, ein freiwilliger Kurztext, ein freiwilliger Länder- oder Verbandscode, der Zeitpunkt der Kontoerstellung und zusammengefasste, serverseitig gespeicherte Spiel- und Trainingswerte zu Tagesaufgaben, Wissenstests und Duellen. Freiwillig verknüpfte DSB- oder FIDE-Profile können mit Kennung, Wertungszahl, Verein beziehungsweise Verband, öffentlicher Quellenadresse und transparentem Prüfstatus erscheinen. Ein Schachtitel wird erst nach gesonderter Prüfung angezeigt. E-Mail-Adresse, Freundschafts-Code, lokale Punkte und der persönliche Trainingsstand werden dort nicht veröffentlicht. Das Profil ist standardmäßig nicht freigegeben, nur für angemeldete Nutzer abrufbar und kann jederzeit wieder verborgen oder inhaltlich geleert werden. Rechtsgrundlage ist die freiwillige Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO.

Eigene Profilbilder werden in einen nicht öffentlichen Speicher hochgeladen, serverseitig auf ein quadratisches WebP-Bild mit höchstens 512 × 512 Pixeln neu codiert und dabei von eingebetteten Metadaten befreit. Bis zur Freigabe durch den Betreiber sind sie nicht öffentlich sichtbar. Ersetzte, abgelehnte oder bei Kontolöschung vorhandene Bilder werden aus dem Profilspeicher entfernt. Unzulässige Profile und Bilder können gemeldet und durch den Betreiber gesperrt werden.

Wird ein Konto über einen gekennzeichneten Einladungs- oder Kampagnenlink erstellt (Adresszusatz ?ref=), speichert Supabase einmalig eine kurze Kanalkennung am Konto, zum Beispiel den Namen eines Vereins oder eines Videobeitrags. Zweck ist ausschließlich die zusammengefasste Auswertung, über welche Wege Nutzer zu ChessPosiMind finden. Die Kennung wird ohne Parameter als direct gespeichert, nur innerhalb der laufenden Browsersitzung gemerkt (kein Cookie, keine geräteübergreifende Speicherung, keine Weitergabe an Dritte), nach dem Anlegen des Kontos nicht mehr verändert und ausschließlich als Gruppenzahl ausgewertet; Gruppen mit sehr wenigen Konten werden dabei unterdrückt. Ein Rückschluss auf einzelne Personen ist nicht vorgesehen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; das berechtigte Interesse liegt darin, begrenzte Werbemittel wirtschaftlich einzusetzen. Die Kennung wird mit dem Konto gelöscht.

Zur technischen Durchsetzung der gewählten Tarifgrenzen speichert Supabase je Konto und Funktionsart Nutzungszähler. Tagesbezogene Zähler werden spätestens nach 35 Tagen gelöscht. Zähler für einmalig verfügbare Probeanalysen oder Basisdiagnosen bleiben bis zur Kontolöschung erhalten, weil andernfalls die einmalige Nutzung nach Ablauf einer Frist erneut beansprucht werden könnte. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Über „Cloud-Daten herunterladen" kann eine maschinenlesbare Kopie der Kontodaten angefordert werden; „Konto endgültig löschen" entfernt das Konto und die zugeordneten Produktdaten. Lokale Browserdaten werden dabei nicht automatisch gelöscht und können separat im Browser entfernt werden.

Vor der Kontolöschung kann freiwillig ein Löschgrund und ein Freitext-Hinweis angegeben werden. Die Löschung ist davon unabhängig. Gründe werden ausschließlich als Gesamtzahlen ohne Konto-, E-Mail-, Zeit-, IP- oder Gerätebezug gespeichert. Freitext wird ohne Kontobezug gespeichert, kann trotz eines Hinweises freiwillig eingegebene personenbezogene Angaben enthalten und wird deshalb spätestens nach 90 Tagen gelöscht. Zweck ist die Verbesserung des Angebots; Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Der Angabe kann durch Überspringen vollständig widersprochen werden.

Bei angemeldeten Konten können zur Verbesserung von Bedienung, Trainingsangebot und Support fest vorgegebene Produkt- und Lernereignisse verarbeitet werden. Dazu zählen aufgerufener Bereich, Beginn oder Abschluss einer Funktion, Erfolg, Abbruch oder Fehler, Nutzung von Sozialfunktionen sowie Aufruf des Hilfe-Assistenten oder Erstellung eines Supportentwurfs. Die Ereignisse enthalten eine interne Kontokennung und einen Zeitstempel, aber keine E-Mail-Adresse, IP-Adresse, Gerätekennung, FEN, PGN, eigenen Partien oder Freitexte. Gäste werden hierfür nicht serverseitig verfolgt. Die Rohereignisse werden spätestens nach 90 Tagen gelöscht; Betreiber sehen in der regulären Analyseansicht nur zusammengefasste Kennzahlen.

Zweck ist, Funktionsprobleme zu erkennen, Trainingsinhalte zu verbessern und zu verstehen, welche Bereiche tatsächlich genutzt werden. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Das berechtigte Interesse liegt in einem zuverlässigen, verständlichen und wirtschaftlich betreibbaren Angebot. In den Kontoeinstellungen kann dieser Verarbeitung jederzeit für die Zukunft widersprochen werden. Danach werden keine neuen Produkt- oder Lernereignisse mehr erfasst; vorhandene kontobezogene Ereignisse werden spätestens mit Ablauf ihrer Speicherfrist oder bei Kontolöschung entfernt.

Bei Nutzung der Freundefunktion speichert Supabase die Freundschaftsbeziehung. Zwischen bestätigten Freunden können ausschließlich vorgegebene Schnellnachrichten ohne Freitext oder Links versendet werden. Verarbeitet werden Nachrichtenkennung, Absender- und Empfänger-ID sowie Versand- und gegebenenfalls Lesezeit. Schnellnachrichten werden nach 30 Tagen, bei Entfernung der Freundschaft oder bei Kontolöschung früher gelöscht. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Angemeldete Nutzer können Stellungen freiwillig mit einem Herz bewerten, in ihre persönliche Sammlung aufnehmen oder einen vermuteten Inhaltsfehler melden. Hierfür speichert Supabase die Konto-ID, eine nicht sprechende Stellungskennung, die gewählte Reaktion und bei Fehlermeldungen den freiwilligen Beschreibungstext, Bearbeitungsstatus und Zeitpunkt. Zweck sind die persönliche Sammlungsfunktion sowie Qualitätskontrolle und Verbesserung des Trainingsbestands. Rechtsgrundlagen sind Art. 6 Abs. 1 lit. b DSGVO für die persönliche Sammlung und Art. 6 Abs. 1 lit. f DSGVO für Qualitätskontrolle und Missbrauchsschutz. Die Daten werden bei Kontolöschung entfernt; Meldungstexte werden nur zur Prüfung des gemeldeten Problems verwendet.

Kontodaten werden durch Supabase Inc. in der gewählten Projektregion Frankfurt am Main verarbeitet. Die Verarbeitung erfolgt auf Grundlage der vereinbarten Datenschutzbedingungen einschließlich der Regelungen zu Auftragsverarbeitung, Unterauftragsverarbeitern und Drittlandübermittlungen. Rechtsgrundlagen sind Art. 6 Abs. 1 lit. b DSGVO für Kontoführung und Synchronisierung sowie Art. 6 Abs. 1 lit. a DSGVO für die Bestenlisten-Teilnahme.

Sitzungen, Wiederkehr und Empfehlungen

Bei angemeldeten Konten werden Beginn, letzte Aktivität und Ende von Trainingssitzungen, beobachtete Aktivitätstage, eine geschätzte Aktivzeit, die Anzahl zugeordneter Produktereignisse und die Programmfassung gespeichert. Ältere Lebenszeichenzähler bleiben als solche gekennzeichnet und werden nicht als Produktereignisse ausgegeben. Die Messung verwendet die bestehende Konto-ID. Der Browser meldet Aktivität nur bei sichtbarer Seite und tatsächlicher Nutzung. Die Sitzungsspanne ist keine genaue Trainingszeit; längere Pausen zählen bei der Aktivzeitschätzung höchstens mit zehn Minuten. Nach 90 Minuten ohne Aktivität beginnt bei erneuter Nutzung eine neue Messsitzung. Dies beendet nicht deine Anmeldung.

Der Monat der Kontoerstellung dient dazu, die Wiederkehr von Nutzergruppen auszuwerten. Bei freiwilliger Einlösung eines Empfehlungscodes wird die Verbindung zum empfehlenden Konto gespeichert. Diese Zuordnung ist personenbezogen und nicht anonym. Bei Löschung eines beteiligten Kontos wird die zugehörige Verknüpfung entfernt. Die Betreiber-Auswertung unterdrückt Gruppen mit weniger als fünf Konten; auch diese Mindestmenge allein garantiert keine Anonymität.

Zweck ist die Verbesserung des Trainingsangebots und die Auswertung von Wiederkehr und Empfehlungen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO mit dem berechtigten Interesse an einem zuverlässigen und bedarfsgerechten Angebot. Du kannst der optionalen Produktanalyse in den Kontoeinstellungen widersprechen. Danach werden keine neuen Sitzungsmesswerte oder Empfehlungszuordnungen für dieses Konto erfasst. Die Kontoerstellung bleibt als notwendige Kontoinformation erhalten. Kontobezogene Daten werden bei Kontolöschung entfernt, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

Für diese Messung werden keine zusätzlichen Analyse-Cookies oder Gerätekennungen angelegt und keine Bildschirmmerkmale ausgelesen. Verarbeitet werden jedoch die beschriebenen Aktivitätsmeldungen aus dem Browser, nicht ausschließlich bereits vorhandene Serverprotokolle. Nicht erhoben werden IP-Adresse, Standort, Freitext, FEN oder PGN als Sitzungsmesswerte. Technische Verbindungsdaten beim Hosting bleiben davon getrennt.

Sofern die Forschungsfunktion freigeschaltet wird, können angemeldete Nutzer davon getrennt und freiwillig in die pseudonyme Verarbeitung genauer Rekonstruktionsmesswerte einwilligen. Erfasst werden eine zufällige Forschungskennung, eine stabile Stellungskennung ohne FEN oder PGN, grobe freiwillige Spielstärke- und Erfahrungsgruppen, Betrachtungs- und Rekonstruktionszeit, Bedingung, Wiederholung, Figuren- und Feldfehler sowie technische Versionsangaben. E-Mail-Adresse, IP-Adresse, Freitext, FEN, PGN und Gerätefingerabdruck werden nicht in den Forschungsdatensatz aufgenommen. Rohmesswerte werden spätestens nach 90 Tagen gelöscht. Dauerhaft gespeichert werden nur zusammengefasste Gruppenwerte ab mindestens 20 verschiedenen Teilnehmenden, aus denen kein Einzelkonto abgerufen werden kann. Die Einwilligung ist jederzeit in den Kontoeinstellungen widerrufbar; dabei werden die pseudonymen Rohmesswerte gelöscht. Rechtsgrundlage ist Art. 6 Abs. 1 lit. a DSGVO. Die Funktion ist standardmäßig ausgeschaltet.

6. Konto- und Sicherheits-E-Mails

Für Anmeldung, E-Mail-Bestätigung, Änderung der E-Mail-Adresse und sicherheitsrelevante Bestätigungen erzeugt Supabase notwendige Transaktions-E-Mails. Der Versand erfolgt vorläufig über Brevo (Sendinblue SAS). Dabei werden insbesondere Empfängeradresse, Absender, Betreff und Inhalt der Nachricht einschließlich eines kurzlebigen Anmeldecodes oder Bestätigungslinks sowie Versandzeit, Nachrichtenkennung, Zustellstatus, Fehler- und technische Versanddaten verarbeitet. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO für die Bereitstellung und Absicherung des Nutzerkontos; ergänzend Art. 6 Abs. 1 lit. f DSGVO für Missbrauchsabwehr und Fehleranalyse.

Brevo verarbeitet Transaktionsprotokolle sowie Versand-, Zustell-, Öffnungs- oder Klickereignisse. Das Tracking ist im Brevo-Konto anonymisiert; ein vollständig trackingfreier SMTP-Versand ist im derzeit verwendeten Weg nicht zugesichert. Transaktionsprotokolle werden nach einem Monat gelöscht; Vorschauinhalte neuer Transaktionsmails werden nicht gespeichert. Brevo dokumentiert die Speicherung seiner Datenbanken innerhalb der Europäischen Union; maßgeblich bleiben der abgeschlossene Auftragsverarbeitungsvertrag, die Unterauftragsverarbeiter und die tatsächlich gewählten Kontoeinstellungen.

7. Import eigener Partien

Eingefügte oder ausgewählte PGN-Dateien werden ausschließlich im Browser verarbeitet. Die Dateien werden nicht an ChessPosiMind oder Cloudflare hochgeladen. Ein Fortschrittsexport wird erst durch eine ausdrückliche Nutzeraktion als lokale Datei erzeugt.

8. Cookies, Produktanalyse und Werbung

Die in Abschnitt 5 beschriebene Produktanalyse wird serverseitig nur für angemeldete Konten durchgeführt und setzt kein zusätzliches Analyse-Cookie, kein Fingerprinting und kein Drittanbieter-Analyseskript ein. Gäste werden nicht über Seitenaufrufe hinweg analysiert. Cloudflare kann technisch notwendige Cookies oder vergleichbare Zugriffsdaten für Zugangsschutz und Sicherheit verwenden. Werbetracking, Cross-Site-Tracking und Retargeting werden nicht eingesetzt. Vor Einführung solcher oder anderer einwilligungsbedürftiger Verfahren wird eine erforderliche Einwilligung eingeholt und diese Erklärung angepasst.

9. Externe Links

Analyse- und Quellenlinks zu externen Anbietern, insbesondere Lichess, werden erst beim Anklicken aufgerufen. Ab diesem Zeitpunkt verarbeitet der jeweilige Anbieter die beim Seitenaufruf anfallenden Daten in eigener Verantwortung.

10. Zahlungsabwicklung und Abonnements über Paddle

Für kostenpflichtige Premiumabonnements wird Paddle als Merchant of Record und autorisierter Online-Wiederverkäufer eingesetzt. Paddle führt den Checkout durch, verarbeitet Zahlungen, berechnet anwendbare Steuern, stellt Belege bereit und bearbeitet zahlungsbezogene Anfragen, Kündigungen und Erstattungen. Paddle verarbeitet insbesondere Kontakt-, Rechnungs-, Transaktions-, Zahlungs-, Steuer-, Geräte- und Betrugsabwehrdaten nach seiner Privacy Notice. ChessPosiMind erhält keine vollständigen Karten- oder Bankdaten.

Paddle kann personenbezogene Daten international verarbeiten und in Länder außerhalb des EWR übermitteln. Paddle beschreibt hierfür in seiner Datenschutzerklärung unter anderem Angemessenheitsbeschlüsse, Standardvertragsklauseln und weitere geeignete Garantien. Eine Kopie der einschlägigen Garantien kann nach den dort genannten Bedingungen bei Paddle angefordert werden.

ChessPosiMind verarbeitet aus Paddle-Ereignissen Kunden-, Transaktions- und Abonnementkennung, Produkt und Tarif, Abonnementstatus, Beginn und Ende des bezahlten Zeitraums, geplante Kündigung, Zahlungsfehler und Erstattungsstatus. Rechtsgrundlagen sind Art. 6 Abs. 1 lit. b DSGVO, Art. 6 Abs. 1 lit. c DSGVO für gesetzliche Nachweise und Art. 6 Abs. 1 lit. f DSGVO für sichere Zahlungsabwicklung und Betrugsabwehr. Die Daten werden nach Vertragsende nur im Rahmen gesetzlicher Aufbewahrungs-, Nachweis-, Erstattungs- oder Rechtsverteidigungsfristen gespeichert und danach gelöscht oder anonymisiert.

Bei Nutzung des öffentlichen elektronischen Kündigungsformulars werden Kauf-E-Mail, Paddle-Transaktionsnummer, Kündigungsart, gewünschter Beendigungszeitpunkt, ein freiwilliger beziehungsweise bei außerordentlicher Kündigung erforderlicher Grund sowie Eingangs- und Bearbeitungsstatus verarbeitet. Die E-Mail-Adresse wird im ChessPosiMind-Nachweis nur als kryptografischer Prüfwert gespeichert; Paddle und Brevo verarbeiten die für Zuordnung, Ausführung und Versand der Eingangsbestätigung erforderlichen Daten. Rechtsgrundlagen sind Art. 6 Abs. 1 lit. b und c DSGVO. Die Nachweise werden nur im Rahmen der gesetzlichen Vertrags-, Nachweis- und Aufbewahrungsfristen gespeichert.

Beim elektronischen Widerruf werden zusätzlich die Widerrufserklärung, ein freiwilliger Name und ein freiwilliges Bestelldatum verarbeitet. Das eingegebene Bestelldatum entscheidet nicht über die Erstattungsberechtigung. Der Widerruf wird dem Kauf zugeordnet und sein Eingang bestätigt; die Zahlungsabwicklung erfolgt über Paddle. Auch hier gelten Art. 6 Abs. 1 lit. b und c DSGVO und die erforderlichen Nachweis- und Aufbewahrungsfristen.

11. Kontaktaufnahme

Bei einer Kontaktaufnahme per E-Mail verarbeitet mailbox.org die Absender- und Empfängeradresse, den Nachrichteninhalt, Anhänge und freiwillig übermittelte Angaben. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO bei vertragsbezogenen Anfragen, sonst Art. 6 Abs. 1 lit. f DSGVO. Die Angaben werden gelöscht, sobald die Anfrage abschließend geklärt ist und keine gesetzlichen Aufbewahrungspflichten entgegenstehen; Supportfälle werden regelmäßig spätestens nach sechs Monaten überprüft.

12. Empfänger und Speicherdauer

Empfänger technischer Verbindungs- und Zugangsdaten ist Cloudflare als Hosting- und Sicherheitsdienstleister; Empfänger von Kontodaten, freiwilligen Plattformprofilen, Tarifzählern, persönlicher Lernzeitreihe, Produkt- und Lernereignissen, Stellungsreaktionen und Fehlermeldungen sowie freiwilligem Löschfeedback ist Supabase als Auftragsverarbeiter (Projektregion Frankfurt am Main). Brevo verarbeitet die für den Versand notwendiger Konto- und Sicherheitsmails beschriebenen Daten, mailbox.org die Daten der menschlichen E-Mail-Kommunikation. Lokale Trainingsdaten von Gästen verbleiben auf dem Endgerät. Kontodaten und lebenslange Einmalzähler werden grundsätzlich bis zur Kontolöschung gespeichert, Tageszähler höchstens 35 Tage, die persönliche Lernzeitreihe höchstens 24 Monate und optionale Produkt- und Lernereignisse höchstens 90 Tage. Nur tatsächlich anonymisierte Gesamtstatistiken dürfen darüber hinaus bestehen bleiben; gesetzlich erforderliche Unterlagen, etwa spätere Zahlungsbelege, bleiben von den jeweils geltenden Aufbewahrungspflichten erfasst. Technische Protokolldaten werden nur so lange gespeichert, wie dies für Sicherheit, Fehleranalyse und gesetzliche Pflichten erforderlich ist.

13. Rechte betroffener Personen

Betroffene Personen haben nach Maßgabe der DSGVO insbesondere Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch. Eine erteilte Einwilligung kann jederzeit für die Zukunft widerrufen werden. Beschwerden können bei einer zuständigen Datenschutzaufsichtsbehörde eingereicht werden.

14. Sicherheit und Änderungen

Die Website verwendet HTTPS, restriktive Sicherheitsheader und Datenbank-Zugriffsregeln. Vor wesentlichen Änderungen der Datenflüsse, insbesondere vor Bezahlung oder zusätzlicher Analyse, wird diese Erklärung erneut angepasst.