Datenschutzerklärung

Das Wichtigste in Kürze

· Verarbeitet werden nur die für die Lernfunktion notwendigen Daten: deine E-Mail (Login) und beantwortete Fragen.
· Besucherzahlen mit selbst gehostetem Umami: ohne Cookies, ohne Profile, auf einem EU-Server (Punkt 2 h).
· An die KI werden ausschließlich Inhalte für die Fragengenerierung geschickt (Gesetzestexte, bei Lehrpersonen die hochgeladenen Dokumente), niemals deine Account- oder Lerndaten.
· Datenbank in der EU (Supabase Frankfurt). Frontend und Reichweitenmessung auf einem eigenen Server bei IONOS in Deutschland. Konto-E-Mails über Brevo in Frankreich.
· Du kannst deinen Account jederzeit selbst in den Einstellungen löschen.

1) Verantwortlicher

Verantwortlich im Sinne der DSGVO ist:

Jakob Secklehner
Maroltingergasse 57, 1160 Wien, Österreich
E-Mail: jusera@posteo.at

2) Welche Daten verarbeitet werden

Für jede Datenkategorie sind Zweck, Rechtsgrundlage und Speicherdauer getrennt ausgewiesen.

a) Account-Daten

Daten: E-Mail-Adresse, gehashtes Passwort, optional ein selbst gewählter Anzeigename.
Zweck: Identifikation, Anmeldung und Bereitstellung des persönlichen Lernkontos.
Rechtsgrundlage: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO).
Speicherdauer: Solange dein Account besteht. Nach Löschung vollständige Entfernung innerhalb von 30 Tagen.

Verwaltet durch Supabase Auth.

b) Löschungsprotokoll

Daten: E-Mail-Adresse und Zeitpunkt der Account-Löschung.
Zweck: Bearbeitung etwaiger Support-Anfragen nach der Löschung, Missbrauchsprävention und Abwicklung ausstehender Forderungen.
Rechtsgrundlage: Berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO).
Speicherdauer: 30 Tage nach Löschung, danach automatische Entfernung.

c) Lerndaten

Daten: Beantwortete Fragen, gewählte Antwortoption, Zeitstempel, Wiederholungsstand je Frage (wann sie dir wieder vorgelegt wird), persönliche Statistik.
Zweck: Bereitstellung deines Lernfortschritts und der Wiederholung fälliger oder falsch beantworteter Fragen.
Rechtsgrundlage: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO).
Speicherdauer: Solange dein Account besteht. Nach Löschung Entfernung innerhalb von 30 Tagen.

Diese Daten sind ausschließlich deinem Account zugeordnet und werden nicht ausgewertet, verkauft oder mit Dritten geteilt.

d) Feedback zu Quizfragen

Daten: Markierung als „bedenklich", optionaler Kommentar, deine User-ID.
Zweck: Prüfung und qualitative Überarbeitung der Quizfragen.
Rechtsgrundlage: Berechtigtes Interesse an Qualitätssicherung (Art. 6 Abs. 1 lit. f DSGVO).
Speicherdauer: Solange dein Account besteht oder bis die Frage überarbeitet wurde.

e) Server-Logs

Daten: IP-Adresse, Zeitstempel, aufgerufene URL, HTTP-Status, User-Agent, Referrer.
Zweck: Sicherheit, Missbrauchsabwehr, Fehleranalyse.
Rechtsgrundlage: Berechtigtes Interesse am sicheren Betrieb (Art. 6 Abs. 1 lit. f DSGVO).
Speicherdauer: 14 Tage, danach automatische Löschung.

Keine Auswertung zu Marketingzwecken, keine Verknüpfung mit Account-Daten.

f) Fehler-Protokolle

Daten: Fehlermeldung, technischer Fehlerverlauf, betroffene URL, Browserkennung (User-Agent) und – sofern eingeloggt – deine User-ID; bei Fehlern beim Anmelden zusätzlich die Domain deiner E-Mail-Adresse (z. B. „gmx.at“), nie die Adresse selbst. Deine IP-Adresse wird nicht gespeichert.
Zweck: Aufspüren und Beheben technischer Fehler.
Rechtsgrundlage: Berechtigtes Interesse an einer fehlerfreien Anwendung (Art. 6 Abs. 1 lit. f DSGVO).
Speicherdauer: 30 Tage, danach automatische Löschung.

Es werden keine Eingaben oder Lerndaten erfasst.

g) Audit-Protokolle

Daten: Art der Aktion (z. B. Gesetz wipen, Dokument entschlüsseln), User-ID der handelnden Person, betroffenes Objekt.
Zweck: Nachvollziehbarkeit administrativer Eingriffe und Dokumentenzugriffe.
Rechtsgrundlage: Berechtigtes Interesse an der Nachvollziehbarkeit sicherheitsrelevanter Aktionen (Art. 6 Abs. 1 lit. f DSGVO).
Speicherdauer: 90 Tage, danach automatische Löschung. Bei Kontolöschung wird die User-ID anonymisiert.

h) Reichweitenmessung (Umami Analytics)

Daten: Aufgerufene Seite (ohne Suchbegriffe), Zeitpunkt, Gerätetyp, Browser und Land sowie eine pseudonyme Kennung, die sich jeden Monat ändert. Deine IP-Adresse wird nicht gespeichert. Region und Stadt, die Umami aus ihr ableitet, löschen wir stündlich.
Zweck: Besucherzahlen.
Rechtsgrundlage: Berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO). Auf deinem Gerät wird nichts gespeichert.
Speicherdauer: 12 Monate, danach automatische Löschung.

Umami läuft auf unserem eigenen Server in Deutschland, ohne Cookies und ohne Weitergabe an Dritte. Nicht gezählt wirst du, wenn dein Browser Do Not Track oder Global Privacy Control sendet. Du kannst die Zählung auch hier abschalten:

i) Technisch notwendige Speicherung im Browser

Daten

LocalStorage (nur im Browser gespeichert):

Anmelde-Token von Supabase Auth – hält dich eingeloggt.
Zuletzt geöffnete Lernsitzung sowie die letzte Sitzung je Gesetz.
Bestätigung des einmaligen Datenschutz-Hinweises.
Falls du der Reichweitenmessung widersprochen hast: der Eintrag umami.disabled.
Ob du den einmaligen Hinweis zur App geschlossen hast.
Deine gewählte Rechtsordnung (Österreich oder Deutschland) und ob die Effekte (Töne und Konfetti) in der Lernrunde an sind.
Deine Wahl „Eingeloggt bleiben“ und der Zeitpunkt deiner letzten Aktivität (für die automatische Abmeldung nach 30 Minuten).
Nur in der App: wie viele Lernrunden du abgeschlossen hast und wann die App zuletzt um eine Bewertung im App Store bzw. bei Google Play gebeten hat – damit sie das höchstens alle 90 Tage tut. Die Bewertung selbst geht direkt an Apple bzw. Google.
Nur in der App für Android und iOS: deine Einstellung zur täglichen Erinnerung (an/aus, Uhrzeit). Die Erinnerung selbst plant das Betriebssystem deines Geräts; dafür fragt die App einmalig nach der Berechtigung für Mitteilungen. Es werden dafür keine Daten übertragen.

SessionStorage (nur in diesem Tab, bis du ihn schließt):

Die Seite, zu der du nach einem Zwischenschritt zurückkehrst.
Scrollpositionen, damit „Zurück“ an die richtige Stelle führt.

Cookies (nur für diese Website, nicht an Dritte weitergegeben):

Fallback-Cookie für die Bestätigung des Datenschutz-Hinweises (Laufzeit 12 Monate).
Wartungs-Bypass – nur für Administrator:innen, Laufzeit 7 Tage.

Zweck

Aufrechterhaltung deiner Anmeldung, Komfort beim Fortsetzen der Lernsitzung, technische Bereitstellung des Dienstes.

Rechtsgrundlage

Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO).

Speicherdauer

Anmelde-Token: bis zum Logout. Komfort-Notizen: bis du den Cache leerst. Cookies: entsprechend ihrer Laufzeit.

Kein Tracking, keine Profilbildung. Da alle Speicherungen technisch erforderlich sind, zeigt Jusera bewusst kein Cookie-Banner.

j) Lehrpersonen-Rolle und Kursdaten

Daten: Zuordnung der Rolle „Lehrperson", von dir angelegte Kurse (Titel, Beschreibung, Mitgliedschaften), Einladungen und Zugriffsverwaltung.
Zweck: Bereitstellung der Lehrwerkstatt: Kurse anlegen, Teilnehmer einladen, Lerninhalte verwalten.
Rechtsgrundlage: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO).
Speicherdauer: Solange dein Account bzw. der Kurs besteht. Nach Löschung Entfernung innerhalb von 30 Tagen.

Trittst du einem Kurs bei, sieht die Lehrperson dieses Kurses deine E-Mail-Adresse und den Zeitpunkt deines Beitritts, nicht aber deine Antworten oder deinen Lernstand. Wenn du den Kurs verlässt oder entfernt wirst, endet das.

k) Hochgeladene Lerndokumente (nur Lehrpersonen)

Daten: Datei (PDF, DOCX, TXT, Markdown), Dateiname, Dateigröße, extrahierter Volltext, Verarbeitungsstatus, Zeitstempel, deine User-ID.
Zweck: Textextraktion und KI-gestützte Generierung von Quizfragen für deine eigenen Kurse.
Rechtsgrundlage: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO).
Speicherdauer: Bis zur manuellen Löschung durch die Lehrperson oder spätestens mit Account-Löschung.

Hochgeladene Dokumente werden im EU-Storage von Supabase abgelegt und mit AES-256-GCM verschlüsselt gespeichert. Zur Textextraktion aus PDFs wird die Datei an Mistral AI (Frankreich/EU) übermittelt. Es liegt in der Verantwortung der Lehrperson, keine personenbezogenen Daten Dritter oder vertraulichen Inhalte hochzuladen.

l) Teilnahme am Test der Android-App (freiwillig)

Daten: Die E-Mail-Adresse deines Google-Kontos, wenn du der Google-Gruppe „jusera-android-test“ beitrittst oder sie mir per E-Mail schickst, sowie gegebenenfalls der Inhalt deiner Nachricht.
Zweck: Freischaltung für den geschlossenen Test der Android-App bei Google Play.
Rechtsgrundlage: Einwilligung (Art. 6 Abs. 1 lit. a DSGVO) – du trittst selbst bei oder meldest dich selbst und kannst jederzeit austreten oder per E-Mail widerrufen.
Speicherdauer: Bis zum Ende des Tests; danach werden die Gruppe und die Testerliste bei Google gelöscht. Eine E-Mail bis zur Erledigung deines Anliegens.

Gruppe und Testerliste liegen bei Google (Google Groups, Google Play Console), Empfänger ist Google Ireland Limited (siehe Punkt 4). Die Mitgliederliste der Gruppe ist nur für mich sichtbar. Für den Beitritt gelten zusätzlich die Bedingungen und die Datenschutzerklärung von Google. Mit deinem Jusera-Konto wird die Adresse nicht verknüpft.

3) KI-Verarbeitung

Die Quizfragen für allgemeine Gesetzestexte werden einmalig durch die Administration serverseitig generiert. An die KI werden ausschließlich Daten für die Fragengenerierung geschickt – niemals Account-Daten, Lerndaten oder andere personenbezogene Daten. Eingesetzt wird ausschließlich KI von Mistral AI (Frankreich/EU).

Lehrpersonen-Funktion: Wenn eine Lehrperson ein Dokument hochlädt, wird der extrahierte Text an Mistral AI übermittelt, um daraus Quizfragen zu generieren. Die Verantwortung für die Rechtmäßigkeit der hochgeladenen Inhalte liegt bei der jeweiligen Lehrperson (siehe Nutzungsbedingungen Punkt 5a).

4) Empfänger personenbezogener Daten

IONOS SE (Deutschland)
Virtueller Server zum Betrieb der Anwendung. Empfängt Server-Logs inkl. IP-Adressen. AVV gem. Art. 28 DSGVO vorhanden.
Supabase, Inc. (Hosting-Region Frankfurt/EU)
Datenbank, Authentifizierung, Storage und Server-Funktionen. Für Anmeldung und Lernen verbindet sich dein Browser direkt mit Supabase. Dabei erhält Supabase technisch bedingt deine IP-Adresse. Speichert Account-, Lern-, Feedback-, Kurs-, Dokumenten- und Fehlerdaten. AVV gem. Art. 28 DSGVO vorhanden. Gespeichert werden die Daten ausschließlich auf EU-Servern. Supabase selbst und einzelne seiner Unterauftragsverarbeiter (etwa Amazon Web Services als Rechenzentrumsbetreiber oder die Support-Gesellschaft Supabase Pte. Ltd. in Singapur) haben ihren Sitz außerhalb der EU, vor allem in den USA. Ein Zugriff aus diesen Ländern, etwa für Wartung oder Support, ist daher nicht ausgeschlossen und durch EU-Standardvertragsklauseln (Modul 2, Art. 46 Abs. 2 lit. c DSGVO) im AVV abgesichert.
Mistral AI (Frankreich/EU)
Textextraktion aus hochgeladenen PDFs (OCR) sowie Generierung von Quizfragen. Übermittelt werden ausschließlich Dokumenteninhalte – keine Account- oder Lerndaten.
Brevo (Frankreich/EU)
Versand der Konto-E-Mails: Bestätigung der Registrierung und Zurücksetzen des Passworts. Übermittelt werden ausschließlich deine E-Mail-Adresse und der jeweilige Link – keine Lern-, Kurs- oder Dokumentendaten. AVV gem. Art. 28 DSGVO vorhanden. Versand über EU-Server.
Google Ireland Limited (Irland/EU)
Nur wenn du dich freiwillig für den Test der Android-App meldest: Die E-Mail-Adresse deines Google-Kontos wird über die Google-Gruppe oder die Testerliste bei Google Play für den Test freigeschaltet (siehe 2 l).

5) Cookies und lokaler Speicher

Jusera verwendet ausschließlich technisch notwendige Speicherungen (siehe Punkt 2 i für alle Details).

Kein Tracking durch Drittanbieter, keine Marketing-Cookies. Da alle eingesetzten Speicherungen technisch erforderlich sind, ist kein Cookie-Banner notwendig.

6) Deine Rechte

Dir stehen nach der DSGVO folgende Rechte zu:

Auskunft: Welche Daten über Sie verarbeitet werden (Art. 15 DSGVO).
Berichtigung: Korrektur unrichtiger Daten (Art. 16 DSGVO).
Löschung: Entfernung Ihrer Daten (Art. 17 DSGVO).
Einschränkung: Einschränkung der Verarbeitung (Art. 18 DSGVO).
Datenübertragbarkeit: Erhalt Ihrer Daten in einem maschinenlesbaren Format (Art. 20 DSGVO).
Widerspruch: Widerspruch gegen Verarbeitungen auf Basis berechtigten Interesses (Art. 21 DSGVO).
Beschwerde: Beschwerde bei einer Datenschutzbehörde, z. B. der Österreichischen Datenschutzbehörde (dsb.gv.at).

Für alle Anliegen genügt eine formlose E-Mail an jusera@posteo.at.

7) Externe Links

Bei verlinkten Originaltexten (z. B. ris.bka.gv.at) gelten die Datenschutzbestimmungen des jeweiligen Betreibers.

8) Änderungen dieser Datenschutzerklärung

Diese Erklärung wird angepasst, wenn sich die Verarbeitung ändert. Die jeweils aktuelle Fassung ist stets unter dieser URL abrufbar.

Stand: September 2026