Datenschutzerklärung

Verantwortlich für die Datenverarbeitung im Sinne von Art. 4 Nr. 7 DSGVO für das Angebot unter thaumaria.com ist:

Philipp Nolle
Tobias-Mayer-Str. 4
73732 Esslingen am Neckar
Deutschland
E-Mail: philippnolle10@gmail.com

Ein Datenschutzbeauftragter ist nicht bestellt; die gesetzlichen Voraussetzungen dafür liegen nicht vor. Für alle Anliegen rund um den Datenschutz genügt eine formlose E-Mail an die oben genannte Adresse.

• Kontodaten: E-Mail-Adresse, angezeigter Name und ein Passwort-Hash.
• Hochgeladene Unterlagen: PDF-, Word-, Text- und Bilddateien, die du zur Kartenerstellung hochlädst, sowie der daraus gewonnene Text.
• Lerninhalte: erzeugte und selbst angelegte Karteikarten, Kartensätze, deine Antworten im Erstellungs-Fragebogen und deine Lernpläne.
• Lernfortschritt: pro Karte Bewertungen, Wiederholungsintervalle, Fälligkeitsdaten und Zähler des Wiederholungssystems.
• Einwilligungsnachweis: Zeitpunkt und Fassung der von dir bestätigten Nutzungsbedingungen sowie die Bestätigung des Mindestalters.
• Technische Daten: deine IP-Adresse, solange die Anfrage bearbeitet wird — sie wird für die Auslieferung der Seite benötigt und nicht in Zugriffsprotokollen gespeichert.
• Sicherungskopien: Die gesamte Datenbank wird alle 6 Stunden gesichert und dabei auch außerhalb des Servers abgelegt.

Thaumaria läuft auf einem angemieteten virtuellen Server der netcup GmbH, Daimlerstraße 25, 76185 Karlsruhe, Deutschland. Die Server stehen in Deutschland bzw. der Europäischen Union. Der Hoster stellt die Maschine und deren Netzanbindung bereit und verarbeitet die darauf liegenden Daten ausschließlich weisungsgebunden — eine inhaltliche Nutzung findet nicht statt.

Keine Zugriffsprotokolle. Damit dein Browser diese Seite überhaupt erhalten kann, muss deine IP-Adresse übertragen und für die Dauer der Anfrage verarbeitet werden — das ist bei jedem Aufruf im Internet technisch unvermeidlich. Der eingesetzte Webserver (Caddy) ist jedoch so eingerichtet, dass er keine Zugriffsprotokolle führt: Es werden weder IP-Adressen noch aufgerufene Adressen, Verweisseiten oder Browserkennungen der Besucherinnen und Besucher auf die Festplatte geschrieben.

Im Systemprotokoll des Servers werden ausschließlich Betriebsereignisse festgehalten — etwa Starts und Neustarts der Anwendung, die Erneuerung des HTTPS-Zertifikats und Anmeldeversuche an der Fernwartung des Servers. Die Fernwartung ist der Zugang des Betreibers zum Server; sie steht in keiner Verbindung zu deiner Nutzung der App und enthält deshalb keine Daten über Besucher der Website.

Begrenzung der Anfragehäufigkeit. Um Anmelde- und KI-Funktionen vor automatisierten Massenanfragen zu schützen, zählt die Anwendung Anfragen kurzzeitig pro IP-Adresse bzw. pro Konto. Diese Zähler liegen nur im Arbeitsspeicher, werden nicht auf die Festplatte geschrieben und verfallen nach wenigen Minuten von selbst.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem sicheren, störungsfreien Betrieb).
Speicherdauer: Zugriffsdaten werden nicht gespeichert. Betriebsereignisse im Systemprotokoll werden turnusmäßig überschrieben, sobald der dafür vorgesehene Speicher voll ist.

Zur Nutzung von Thaumaria ist ein Konto erforderlich. Bei der Registrierung mit E-Mail und Passwort speichern wir deine E-Mail-Adresse, deinen Namen und einen Hash deines Passworts. Das Passwort selbst wird zu keinem Zeitpunkt im Klartext gespeichert; es wird mit dem Verfahren scrypt und einem zufälligen Salt abgeleitet.

Zusätzlich halten wir fest, wann und in welcher Fassung du die Nutzungsbedingungen bestätigt und dein Mindestalter angegeben hast. Dieser Nachweis ist erforderlich, weil wir belegen können müssen, auf welcher Grundlage der Nutzungsvertrag zustande gekommen ist.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Erfüllung des Nutzungsvertrags); für den Einwilligungsnachweis zusätzlich Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit Art. 5 Abs. 2 DSGVO (Rechenschaftspflicht).
Speicherdauer: bis zur Löschung deines Kontos (siehe Abschnitt „Speicherdauer und Löschung").

Das Kernstück von Thaumaria: Du lädst Unterlagen hoch (PDF, DOCX, TXT oder Fotos deiner Notizen) und beantwortest einen kurzen Fragebogen zu Fach, Lernziel, Vorwissen und gewünschtem Kartenumfang. Daraus erzeugt eine KI deine Karteikarten.

Die von der KI erzeugten Karteikarten sowie der aus deinen Unterlagen gewonnene Quelltext werden in unserer Datenbank gespeichert, damit deine Kartensätze dauerhaft verfügbar bleiben. Die hochgeladene Originaldatei selbst wird nach der Verarbeitung nicht dauerhaft auf dem Server abgelegt.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO — die Erstellung der Karten ist genau die Leistung, die du mit dem Upload anforderst; ohne die Übermittlung an Google ist sie nicht möglich.
Speicherdauer: bei uns bis du den Kartensatz oder dein Konto löschst. Wie lange Google die übermittelten Inhalte aufbewahrt, bestimmt Google; darauf haben wir keinen Einfluss.

Stellst du während einer Lern-Session eine Frage an den KI-Tutor, werden deine Frage sowie der Inhalt der aktuellen Karteikarte (Vorder- und Rückseite, Thema) ebenfalls an die Gemini-Schnittstelle von Google übermittelt. Es gelten dieselben Bedingungen und dieselbe Drittlandübermittlung wie im Abschnitt „Hochgeladene Unterlagen und KI-Kartenerstellung“ beschrieben — also derzeit einschließlich der Nutzung durch Google zur Verbesserung seiner Produkte und Modelle. Der Verlauf dieser Unterhaltung wird bei uns nicht dauerhaft gespeichert.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

Zu deinem Konto speichern wir deine Kartensätze und Karten, deine Fragebogen-Antworten sowie deinen Lernfortschritt: pro Karte deine Bewertung, den Schwierigkeitsfaktor, das aktuelle Wiederholungsintervall, das nächste Fälligkeitsdatum, die Anzahl der Wiederholungen und den Zeitpunkt der letzten Wiederholung. Daraus berechnet das Wiederholungssystem, wann dir eine Karte wieder vorgelegt wird. Legst du einen Lernplan an, speichern wir zusätzlich Prüfungsdatum, Zielnote, Lerntage und die tägliche Lernzeit.

Diese Daten sind erforderlich, um dir überhaupt einen personalisierten Lernfortschritt anzeigen zu können. Eine Auswertung zu Werbezwecken, eine Profilbildung über den Lernzweck hinaus oder eine automatisierte Entscheidungsfindung mit rechtlicher Wirkung (Art. 22 DSGVO) findet nicht statt.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
Speicherdauer: bis zur Löschung der zugehörigen Karten bzw. deines Kontos.

Thaumaria setzt keine Cookies zu Analyse-, Marketing- oder Trackingzwecken und bindet keine Analysedienste ein. Ein Cookie-Banner ist deshalb nicht erforderlich. Verwendet werden ausschließlich:

• Sitzungs-Cookie „lk_session“: enthält eine zufällige Sitzungskennung, mit der dein Browser als angemeldet erkannt wird. Es ist HttpOnly, auf SameSite=Lax gesetzt und wird in der Produktivumgebung nur über HTTPS übertragen. Laufzeit: 30 Tage, Verlängerung bei aktiver Nutzung. Beim Abmelden wird es gelöscht.
• Lokale Speicherung (localStorage): In deinem Browser werden Anzeige- und Spielstandsdaten abgelegt — etwa Erfahrungspunkte, Token, Serien und Streak-Flammen, der Status des Tages-Glücksrads, Einstellungen zu Ton und Design sowie der Fortschritt der App-Tour. Diese Daten verbleiben auf deinem Gerät und werden nicht an uns übertragen.

Rechtsgrundlage: § 25 Abs. 2 Nr. 2 TDDDG — die Speicherung ist unbedingt erforderlich, um den von dir ausdrücklich gewünschten Dienst bereitzustellen; ergänzend Art. 6 Abs. 1 lit. b DSGVO. Du kannst die lokalen Daten jederzeit über die Website-Einstellungen deines Browsers löschen.

Ein automatischer E-Mail-Versand ist derzeit nicht eingerichtet. Es werden dafür also keine Daten an einen externen E-Mail-Dienstleister übermittelt, und du erhältst über die Funktion „Passwort vergessen“ zurzeit keine E-Mail. Wende dich in diesem Fall bitte unmittelbar an philippnolle10@gmail.com.

Forderst du das Zurücksetzen dennoch über das Formular an, legt die Anwendung intern ein befristetes Token an und speichert davon nur einen SHA-256-Hash — nicht das Token selbst. Es verfällt nach 60 Minuten und ist nach einmaliger Nutzung entwertet.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO sowie Art. 6 Abs. 1 lit. f DSGVO (sicherer Zugang zum eigenen Konto). Sobald ein automatischer Versand eingerichtet ist, wird der dann eingesetzte Dienstleister an dieser Stelle benannt.

Damit deine Daten bei einem Ausfall oder Defekt nicht verloren sind, erstellt der Server alle 6 Stunden einen Schnappschuss der gesamten Datenbank. Eine solche Sicherung enthält alle in dieser Erklärung genannten Bestandsdaten — Konten mit E-Mail-Adresse, Name und Passwort-Hash, Kartensätze, Karten, den aus Unterlagen gewonnenen Quelltext, Lernfortschritt und Lernpläne.

Die Sicherungen werden an zwei Orten abgelegt: auf dem Server selbst und zusätzlich bei Google Drive (Google Ireland Limited / Google LLC) im Ordner „Thaumaria-Sicherungen“. Eine Kopie außerhalb des Servers ist notwendig, weil eine Sicherung, die mit dem Server zusammen verloren geht, keine Sicherung ist. An beiden Orten wird alles gelöscht, was älter als 14 Tage ist — bei Google Drive endgültig und nicht in den Papierkorb.

Folge für die Löschung: Löschst du dein Konto, verschwinden deine Daten sofort aus der laufenden Datenbank. In bereits erstellten Sicherungen sind sie technisch bedingt noch bis zu 14 Tage enthalten und werden erst mit dem Ablauf der jeweiligen Sicherung endgültig entfernt. Wiederhergestellt wird eine Sicherung nur im Notfall.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Wiederherstellbarkeit deiner Daten); die Pflicht dazu ergibt sich zugleich aus Art. 32 Abs. 1 lit. c DSGVO.
Speicherdauer: 14 Tage je Sicherung.

Zahlungen: Derzeit werden über Thaumaria keine Zahlungen abgewickelt; es werden keine Zahlungsdaten erhoben. Sobald kostenpflichtige Pläne verfügbar sind, wird der dann eingesetzte Zahlungsdienstleister hier benannt und diese Erklärung entsprechend aktualisiert.

Darüber hinaus geben wir deine Daten nicht an Dritte weiter. Eine Übermittlung erfolgt nur, wenn wir gesetzlich dazu verpflichtet sind oder du ausdrücklich eingewilligt hast.

Konto selbst löschen: Du kannst dein Konto jederzeit selbst löschen — in der App unter Profil im Bereich „Konto löschen“. Dabei werden dein Konto und alle daran hängenden Daten (Kartensätze, Karten, Lernfortschritt, Fragebogen-Antworten, Lernpläne, Sitzungen) unwiderruflich aus der Datenbank entfernt. Alternativ genügt eine E-Mail an philippnolle10@gmail.com.

Beachte dabei den Nachlauf in den Sicherungskopien, der im Abschnitt „Sicherungskopien“ beschrieben ist: Aus der laufenden Datenbank sind die Daten sofort weg, aus den Sicherungen spätestens nach 14 Tagen.

Dir stehen gegenüber uns folgende Rechte zu:

• Auskunft (Art. 15 DSGVO): Du kannst jederzeit erfahren, welche Daten wir über dich verarbeiten, zu welchem Zweck und an wen wir sie weitergeben.
• Berichtigung (Art. 16 DSGVO): Unrichtige Daten müssen wir korrigieren; deinen Namen kannst du direkt im Profil ändern.
• Löschung (Art. 17 DSGVO): Du kannst die Löschung deiner Daten verlangen, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen.
• Einschränkung der Verarbeitung (Art. 18 DSGVO).
• Datenübertragbarkeit (Art. 20 DSGVO): Du kannst deine Daten in einem gängigen, maschinenlesbaren Format erhalten.
• Widerspruch (Art. 21 DSGVO): Gegen Verarbeitungen, die auf einem berechtigten Interesse beruhen, kannst du aus Gründen deiner besonderen Situation Widerspruch einlegen.
• Widerruf von Einwilligungen (Art. 7 Abs. 3 DSGVO): Eine erteilte Einwilligung kannst du jederzeit mit Wirkung für die Zukunft widerrufen.

Für alle diese Anliegen genügt eine E-Mail an philippnolle10@gmail.com. Wir antworten spätestens innerhalb eines Monats.

Beschwerderecht (Art. 77 DSGVO): Unabhängig davon kannst du dich bei einer Datenschutz-Aufsichtsbehörde beschweren — etwa der Behörde deines Wohnorts oder der für uns zuständigen Aufsichtsbehörde:

Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg
Lautenschlagerstraße 20, 70173 Stuttgart

Thaumaria richtet sich an Personen ab 16 Jahren. Mit der Registrierung bestätigst du, mindestens 16 Jahre alt zu sein. Erlangen wir Kenntnis davon, dass ein Konto von einer jüngeren Person angelegt wurde, löschen wir es samt der zugehörigen Daten.

Die Verbindung zur Seite ist durch TLS verschlüsselt (erkennbar am „https://“ in der Adresszeile); der Server weist Browser zusätzlich an, die Seite künftig ausschließlich verschlüsselt aufzurufen (HSTS). Passwörter werden ausschließlich als scrypt-Hash mit zufälligem Salt gespeichert, Zurücksetz-Tokens nur als Hash.

Auf dem Server selbst gilt:

• Die Anwendung ist von außen nicht unmittelbar erreichbar, sondern nur über den vorgeschalteten Webserver. Eine Firewall lässt ausschließlich Fernwartung, HTTP und HTTPS zu.
• Die Anwendung läuft unter einem eigenen Benutzerkonto ohne Administratorrechte; Zugangsschlüssel liegen in Dateien, die nur dieses Konto lesen darf.
• Die Fernwartung ist ausschließlich per kryptografischem Schlüssel möglich — die Anmeldung mit Passwort ist abgeschaltet. Wiederholt fehlgeschlagene Anmeldeversuche führen dazu, dass die betreffende Adresse vorübergehend gesperrt wird.
• Sicherheitsaktualisierungen des Betriebssystems werden automatisch eingespielt. Der Browser erhält restriktive Sicherheits-Header (unter anderem eine Content-Security-Policy).
• Anmelde- und KI-Endpunkte sind gegen automatisierte Massenanfragen abgesichert; für Uploads gelten feste Obergrenzen.

Einen vollständigen Schutz vor allen denkbaren Angriffen kann allerdings keine technische Maßnahme garantieren.

Wir passen diese Erklärung an, wenn sich die App oder die Rechtslage ändert — etwa wenn neue Dienste hinzukommen. Es gilt jeweils die hier veröffentlichte Fassung; das Datum oben zeigt den aktuellen Stand. Bei wesentlichen Änderungen informieren wir angemeldete Nutzerinnen und Nutzer zusätzlich per E-Mail oder Hinweis in der App.

Das Impressum enthält die vollständigen Anbieterangaben; die Nutzungsbedingungen regeln die Nutzung selbst.