Zurück zur Startseite

Datenschutzerklärung

Stand: September 2026

1. Verantwortlicher

Helmut Reindlmeier
Lindenstraße 16
94330 Aiterhofen
Deutschland

E-Mail: support@bibu-crashkurse.de

2. Allgemeines

Diese Datenschutzerklärung gilt für die Lernplattform unter app.bibu-crashkurse.de, die Webpräsenz unter bibu-crashkurse.de sowie die iOS-App „BiBu Crashkurse“, die auf dieselbe Plattform und dasselbe Nutzerkonto zugreift. Soweit die Verarbeitung auf der jeweiligen Domain oder in der App abweicht, wird darauf gesondert hingewiesen.

3. Hosting — Vercel

Meine Websites werden bei Vercel Inc., 440 N Barranca Ave #4133, Covina, CA 91723, USA gehostet. Die Datenverarbeitung erfolgt in EU-Rechenzentren (Region Frankfurt). Mit Vercel besteht ein Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO. Für den Datentransfer in die USA gelten die Standardvertragsklauseln (SCC) der EU-Kommission.

Bei jedem Aufruf meiner Website erfasst Vercel automatisch Server-Logdaten: IP-Adresse, User-Agent, aufgerufene URL, Zeitpunkt und HTTP-Statuscode. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Betriebssicherheit). Speicherdauer: 30 Tage.

4. Registrierung und Nutzerkonto (app.bibu-crashkurse.de)

Zur Nutzung der Lernplattform ist eine Registrierung erforderlich. Dabei erhebe ich folgende Daten:

Zusätzlich werden automatisch gespeichert: Registrierungszeitpunkt, letzter Login, E-Mail-Verifizierungsstatus.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung). Speicherdauer: bis zur Löschung des Nutzerkontos.

5. Passkeys (Anmeldung ohne Passwort)

Du kannst dich statt mit Passwort mit einem Passkey anmelden. Dabei speichere ich je Passkey: eine Kennung, den zugehörigen öffentlichen Schlüssel, einen Zähler zur Erkennung von Wiedereinspielungen, technische Angaben zum Authenticator sowie Zeitpunkt der Einrichtung und der letzten Nutzung.

Der private Schlüssel verlässt dein Endgerät nicht und ist mir nicht zugänglich. Auch biometrische Daten (Face ID, Touch ID) werden ausschließlich lokal auf deinem Gerät verarbeitet und nicht an mich übermittelt.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) und Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an sicherer Authentifizierung). Speicherdauer: bis du den Passkey entfernst oder dein Nutzerkonto gelöscht wird.

6. Zahlungsabwicklung — Stripe

Zahlungen werden über Stripe Payments Europe Ltd., 1 Grand Canal Street Lower, Dublin 2, Irland abgewickelt. Stripe ist ein EU-ansässiger Zahlungsdienstleister. Ich übermittle zur Zahlungsabwicklung: Name, E-Mail-Adresse, Rechnungsadresse. Kartendaten werden ausschließlich von Stripe verarbeitet und nicht auf meinen Servern gespeichert. Ich speichere lediglich die Stripe-Kunden-ID und Abonnement-ID zur Verwaltung des Zugangs.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).

Mit Stripe besteht ein Auftragsverarbeitungsvertrag. Weitere Informationen: https://stripe.com/de/privacy

7. Datenbank — Supabase

Die Nutzerdaten werden in einer PostgreSQL-Datenbank bei Supabase Inc. gespeichert. Das Datenbankprojekt ist in der EU-Region Frankfurt gehostet. Mit Supabase besteht ein Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO.

8. Warteliste

Interessenten können sich vor dem Kursstart auf eine Warteliste eintragen. Dabei erhebe ich: E-Mail-Adresse, Zeitpunkt der Eintragung, Herkunft (z.B. „app-coming-soon"), User-Agent, IP-Adresse. Die Daten werden ausschließlich zur Benachrichtigung über den Kursstart verwendet und danach gelöscht.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung).

9. Lernfortschritt und Nutzungsdaten

Zur Darstellung des Lernfortschritts und der Streak-Funktion speichere ich: besuchte Kapitel, Zeitpunkte der Besuche, Besuchshäufigkeit. Diese Daten sind rein funktional und werden nicht für Werbezwecke genutzt.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).

10. Lokaler Speicher auf dem Endgerät

Im Browser nutze ich den lokalen Speicher (localStorage) für: Sitzungs-Token (JWT), gecachtes Nutzerprofil, Lernzustände pro Kapitel, lokale Besuchszähler, Lernstreak. Die iOS-App speichert entsprechend auf dem Gerät: das Sitzungs-Cookie, eine Kennung des zuletzt angemeldeten Kontos sowie zwischengespeicherte Kursinhalte und Karteikarten-Lernstände. Diese Daten verlassen das Endgerät nicht und werden nicht an Server übermittelt. Es werden keine Tracking-Cookies gesetzt; die App bindet keine Analyse- oder Tracking-Dienste Dritter ein.

11. E-Mail-Kommunikation — Resend

Für den Versand transaktionaler E-Mails (Registrierungs-Bestätigung, E-Mail-Verifizierung, Passwort-Reset, Kauf- und Buchungsbestätigungen, sicherheitsrelevante Benachrichtigungen) nutze ich den Versanddienst Resend (Resend, Inc., 2261 Market Street #4667, San Francisco, CA 94114, USA).

Übermittelt werden: E-Mail-Adresse des Empfängers, Absenderadresse, Betreff und Inhalt der Nachricht sowie Metadaten zum Zustellstatus (Versand-, Zustell-, Öffnungszeitpunkt soweit aktiviert). Die E-Mail-Adresse wird ausschließlich für die genannten transaktionalen Zwecke verarbeitet, nicht für Werbung.

Mit Resend besteht ein Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO. Resend ist ein US-Anbieter; der Datentransfer in die USA erfolgt auf Grundlage der Standardvertragsklauseln (SCC) der EU-Kommission in Verbindung mit dem Vercel-üblichen DPA-Mechanismus von Resend (https://resend.com/legal/dpa). Resend hat technische und organisatorische Maßnahmen wie Verschlüsselung in Transit (TLS) und at Rest sowie strikte Zugriffskontrollen implementiert (https://resend.com/security).

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) für transaktionale E-Mails im Zusammenhang mit dem Nutzungsvertrag, Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer zuverlässigen Zustellung) für sicherheitsrelevante Benachrichtigungen. Speicherdauer: Versand- und Zustellprotokolle werden bei Resend für maximal 30 Tage vorgehalten und anschließend automatisch gelöscht. Inhalte der E-Mails werden nicht dauerhaft auf meiner Seite gespeichert; eine Kopie befindet sich ausschließlich im Postfach des Empfängers.

12. Push-Benachrichtigungen (iOS-App)

Die iOS-App sendet Push-Benachrichtigungen nur nach vorheriger Einwilligung, die in der App unter Profil > Benachrichtigungen je Kategorie erteilt wird; der Systemdialog von iOS ersetzt sie nicht. Werbliche Benachrichtigungen sind standardmäßig deaktiviert.

Für die Zustellung nutze ich den Apple Push Notification service von Apple Inc., One Apple Park Way, Cupertino, CA 95014, USA. Übermittelt werden der Gerätetoken sowie Titel und Kurztext der Benachrichtigung; der Datentransfer in die USA erfolgt auf Grundlage des EU-US Data Privacy Framework, ergänzend der Standardvertragsklauseln (SCC). Auf meinen Servern speichere ich den Gerätetoken sowie ein Protokoll der Einwilligung (Kategorien, Zeitpunkt, Textversionen) zum Nachweis nach Art. 7 Abs. 1 DSGVO.

Rechtsgrundlage: § 25 Abs. 1 TDDDG (Einwilligung in das Speichern von Informationen auf dem Endgerät); inhaltlich Art. 6 Abs. 1 lit. a DSGVO für Werbung, Art. 6 Abs. 1 lit. b DSGVO für Benachrichtigungen zum gebuchten Kurs. Speicherdauer: Gerätetoken bis zur Abmeldung, Kontolöschung oder Deinstallation der App; Einwilligungsprotokoll bis zur Löschung des Nutzerkontos. Widerruf: jederzeit in der App unter Profil > Benachrichtigungen (Art. 7 Abs. 3 DSGVO) oder in den iOS-Einstellungen.

13. Webfonts

Die App nutzt die Schriftarten Poppins und Mulish. Diese sind lokal auf meinem Server eingebunden. Es findet keine Verbindung zu Google-Servern statt.

14. Reichweitenmessung — Vercel Web Analytics und Speed Insights

Auf bibu-crashkurse.de setze ich Vercel Web Analytics sowie Vercel Speed Insights der Vercel Inc., 440 N Barranca Ave #4133, Covina, CA 91723, USA, ein. Beide Dienste werden über das offizielle Vercel-Hostingprodukt bereitgestellt und sind ausschließlich auf der Webpräsenz unter bibu-crashkurse.de aktiv, nicht auf der Lernplattform unter app.bibu-crashkurse.de.

Vercel Web Analytics erfasst aggregierte Reichweitendaten: Seitenaufrufe, verweisende Seite, ungefähre geografische Region auf Länderebene, Geräteklasse und Browser. Aus der IP-Adresse wird mit einem täglich rotierenden, nicht offengelegten Salt ein nicht-rückführbarer Besucher-Hash gebildet. Die IP-Adresse selbst wird nicht gespeichert.

Vercel Speed Insights misst tatsächliche Ladezeiten und Web-Vitals (Largest Contentful Paint, Interaction to Next Paint, Cumulative Layout Shift) anhand anonymer technischer Metriken. Es werden keine Inhalte der besuchten Seiten oder Eingaben übermittelt.

Beide Dienste arbeiten cookie-frei und ohne Zugriff auf Endgeräte-Speicher im Sinne von § 25 TTDSG. Es werden keine Tracking-Cookies oder Werbe-IDs gesetzt. Es findet kein websiteübergreifendes Tracking statt; es werden weder Google Analytics noch Meta-Pixel oder vergleichbare Dritt-Tracker eingesetzt.

Empfänger der Daten ist Vercel Inc., USA. Mit Vercel besteht ein Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO. Der Drittlandtransfer in die USA erfolgt auf Grundlage der Standardvertragsklauseln (SCC) der EU-Kommission.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer datenschutzfreundlichen, anonymen statistischen Reichweiten- und Performancemessung zur Optimierung des Angebots). Speicherdauer: aggregierte Auswertungsdaten 12 Monate. Widerspruchsrecht: Du kannst der Verarbeitung jederzeit unter support@bibu-crashkurse.de widersprechen.

15. KI-gestütztes Fachgespräch (mündliche Prüfung)

Im Kursbereich „mündliche Prüfung" biete ich ein simuliertes Fachgespräch mit einem KI-Prüfer an. Startest du ein Gespräch, wird dein Mikrofon-Audio in Echtzeit an Google übermittelt und über die Gemini API verarbeitet, damit der KI-Prüfer Fragen stellen und deine Antworten verstehen kann. Anbieter ist Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland (ggf. Google LLC, 1600 Amphitheatre Parkway, Mountain View, CA 94043, USA).

Google verarbeitet die Daten als Auftragsverarbeiter (Art. 28 DSGVO) auf Grundlage des Google Cloud Data Processing Addendum. Ich nutze den kostenpflichtigen Tarif der Gemini API; Google verwendet die Eingaben und Ausgaben aus diesem Tarif nicht zum Training seiner Modelle. Das Audiosignal selbst wird ausschließlich zur Laufzeit verarbeitet und von mir nicht gespeichert.

Damit du deine Übungsgespräche später ansehen kannst, speichere ich nach jedem Durchlauf das Transkript des Gesprächs sowie die Rückmeldung des KI-Prüfers in deinem Nutzerkonto (Datenbank Supabase, Region EU/Frankfurt, siehe Ziffer 7). Es wird keine Note und keine Punktzahl gespeichert, sondern eine qualitative Rückmeldung.

Der Drittlandtransfer zu Google in die USA erfolgt auf Grundlage des EU-US Data Privacy Framework, ergänzend der Standardvertragsklauseln (SCC) der EU-Kommission.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Erfüllung des Nutzungsvertrags über den gebuchten Kurs). Speicherdauer: gespeicherte Gespräche und Rückmeldungen bis zur Löschung deines Nutzerkontos; das Audiosignal wird nicht gespeichert. Empfänger: Google (Echtzeit-Verarbeitung der Sprache, USA) sowie Supabase (Speicherung der Transkripte und Rückmeldungen, EU).

16. Rechte der betroffenen Personen

Du hast folgende Rechte bezüglich deiner personenbezogenen Daten:

Zur Ausübung deiner Rechte wende dich an: support@bibu-crashkurse.de

17. Beschwerderecht

Du hast das Recht, dich bei einer Datenschutz-Aufsichtsbehörde zu beschweren. Zuständig ist der Bayerische Landesbeauftragte für den Datenschutz (BayLfD), Postfach 22 12 19, 80502 München, www.datenschutz-bayern.de.

18. Automatisierte Entscheidungsfindung

Es findet keine automatisierte Entscheidungsfindung einschließlich Profiling gemäß Art. 22 DSGVO statt.