Daten­schutz

1. Wer ist verantwortlich?

Verantwortlich für die Datenverarbeitung in der App „LernMonster“ und auf dieser Website ist:

Erwin Wagner, Six Seven Software
Leonhardstraße 47
89518 Heidenheim an der Brenz
E-Mail: support@lernmonster.app

Einen Datenschutzbeauftragten haben wir nicht benannt, weil wir dazu gesetzlich nicht verpflichtet sind. Bei Fragen zum Datenschutz schreib uns einfach an die Adresse oben.

2. Welche Daten verarbeiten wir, wofür?

Wir verwenden keine Werbung, keine Analyse- oder Tracking-Dienste und erstellen keine Nutzerprofile zu Werbezwecken. Wir verkaufen keine Daten.

Künstliche Intelligenz (KI): Bilder und Grafiken wurden teils mit KI erstellt. Daten der Kinder werden von keiner KI verarbeitet.

3. Konto und Anmeldung

Für die Nutzung brauchst du ein Konto mit Benutzername, E-Mail-Adresse und Passwort. Die Anmeldung läuft über unseren eigenen Anmeldedienst (Keycloak) auf unseren Servern. Dein Passwort speichern wir nie im Klartext, sondern nur als kryptografischen Hash. Nach der Anmeldung bleibst du bis zu 30 Tage ohne Nutzung angemeldet (höchstens 90 Tage); „Abmelden“ beendet die Sitzung sofort. Neue Konten bestätigen ihre E-Mail-Adresse über einen Link.

Zum Schutz vor dem Erraten von Passwörtern werden fehlgeschlagene Anmeldeversuche gezählt und das Konto bei zu vielen Fehlversuchen kurz gesperrt.

4. Vokabeln und Lernstand

Gespeichert werden die Blöcke und Vokabeln, die du anlegst oder scannst, deine Antworten beim Abfragen (richtig/falsch, Zeitpunkt), Testergebnisse mit Note, deine Serie, Erfahrungspunkte sowie gefundene Eier und Monster. Daraus berechnet die App, welche Vokabeln du noch üben solltest, und zeigt dir Statistiken. Diese Daten sehen nur du und, bei geteilten Blöcken, die Freunde, mit denen du sie teilst.

Kalender: Im Kalender kannst du deine Vokabeltests, Klausuren und andere Termine aus der Schule eintragen. Gespeichert werden das Datum, die Art des Termins, der Titel, die Blöcke, die du dafür lernst, wann du erinnert werden möchtest (1, 2 oder 3 Tage vorher) und deine echte Note, wenn du sie einträgst. So kannst du sie mit deinen Übungstests in der App vergleichen. Die Erinnerungen plant die App als Benachrichtigung direkt auf deinem Gerät. Dafür nutzen wir keinen Push-Dienst, und es werden keine Daten an Dritte übertragen. Deine Termine sehen nur du und wir als Betreiber. Sie gehören zu deinem Konto und werden mit ihm gelöscht.

5. Scannen und automatische Prüfung

Wenn du eine Vokabelliste fotografierst oder ein Bild auswählst, wird es verschlüsselt an unseren Server übertragen. Dort liest eine Texterkennung (RapidOCR) die Wörter. Das Foto wird nicht gespeichert, sondern nach dem Lesen verworfen. Gespeichert werden nur die erkannten Vokabeln, die du übernimmst, und eine kleine Statistik zum Scan (z. B. Anzahl der Paare).

Danach gleicht die App die gelesenen Wörter auf unserem Server mit Wörterbüchern ab: Bei Latein ergänzt sie zum Beispiel fehlende Längenzeichen, und Zeilen, die unsicher gelesen wurden, werden markiert. Dabei verarbeitet keine KI deine Daten, und es werden keine Daten an Dritte übermittelt. Alle Änderungen sind in der App markiert, und du entscheidest selbst, was gespeichert wird.

6. Sprechen und Vorlesen

Vorlesen: Wörter werden von der Sprachausgabe deines Geräts vorgelesen. Dafür werden keine Daten an uns übertragen.

Sprechen (Spracherkennung): Wenn du eine Antwort laut sagst, nutzt die App die Spracherkennung deines Geräts. Die Erkennung läuft vollständig auf deinem Gerät: Deine Stimme verlässt das Gerät nicht und wird weder an uns noch an Dritte übertragen. Kann dein Gerät Sprache nicht selbst erkennen, ist das Sprechen ausgeschaltet und du tippst die Antworten. Das Sprachpaket dafür lädt dein Gerät beim ersten Mal selbst herunter (bei Android von Google); dabei wird keine Aufnahme übertragen.

7. Freunde und Teilen

Du kannst andere über ihren genauen Benutzernamen als Freund anfragen. Freunde sehen deinen Benutzernamen, deinen Spitznamen und deinen Monster-Avatar. Wenn du einen Block teilst, bekommt dein Freund eine Kopie der Vokabeln (ohne deinen Lernstand). Eine Chat-Funktion gibt es nicht.

Wenn du unter 16 bist, gehen Freunde, Nachrichten, Teilen und Tauschen erst, wenn deine Eltern zugestimmt haben (siehe Abschnitt 15). Bis dahin sieht dich niemand in der Freundesliste, und niemand kann dich anfragen oder dir etwas schicken. Freundschaften, die es schon gab, bleiben gespeichert und sind wieder da, sobald deine Eltern zugestimmt haben.

8. Spiele: Monster-Arena und Monsterdorf

In der App gibt es zwei Spiele mit deinen Monstern. Sie werden von unserem Server (spiele.lernmonster.app) geladen und laufen innerhalb der App. Die Spiele setzen keine Cookies und laden nichts von fremden Servern. Kleine Einstellungen, zum Beispiel welche Monster in deinem Team sind, merkt sich das Spiel nur auf deinem Gerät. Damit ein Spiel deine Monster und deinen Spielstand abrufen kann, gibt die App ihm deinen Anmeldeschlüssel weiter. Dein Passwort bekommt das Spiel nie. Der Anmeldeschlüssel bleibt nur im Arbeitsspeicher des Spiels und wird nicht gespeichert.

Monster-Arena: Gespeichert werden dein Fortschritt in den Kampagnen und Dungeons, die Level deiner Monster, deine Juwelen (auch, welches Monster welches Juwel trägt und wie weit es aufgewertet ist) und dein Vorrat an Zauberstaub. Zu jedem Kampf merkt sich der Server, wann er begonnen und geendet hat, welche Monster gekämpft haben, wie er ausgegangen ist und welche Belohnung es gab. Damit prüft er, ob die Belohnung zu einem echten Kampf gehört. Diese Kampfdaten löschen wir automatisch nach 30 Tagen.

Monsterdorf: Gespeichert werden deine Pakete (geöffnet und ungeöffnet), die Gegenstände daraus, und wie du dein Dorf eingerichtet hast. Pakete und Monster-Eier öffnest du in der App per Antippen; was noch zu ist, merkt sich der Server, bis du es öffnest. Ungeöffnete Pakete kannst du mit Freunden tauschen; deine Freunde sehen dafür, welche ungeöffneten Pakete (mit Thema) du hast.

Diese Daten sehen nur du und wir als Betreiber. Sie gehören zu deinem Konto und werden mit ihm gelöscht.

9. Monster-Abo

Lernen ist kostenlos. Einige Extras (die Spiele, Tests, Statistik mit den Fehlerwörtern, Diktate, der Kalender für Schultermine sowie Freunde mit Teilen und Tauschen) gehören zum Monster-Abo; die Bedingungen stehen auf der Seite Monster-Abo. Die ersten 14 Tage kann jedes Konto alles kostenlos nutzen. Wann diese Zeit endet, berechnen wir aus dem Datum, an dem das Konto angelegt wurde. Dafür speichern wir nichts Zusätzliches.

Kauf über Google Play: Das Abo wird in der App über Google Play abgeschlossen und bezahlt. Den Kaufvertrag und die Zahlung wickelt Google ab; Zahlungsdaten wie Bank- oder Kartendaten bekommen wir nicht. Damit der Kauf zum richtigen Konto gehört, gibt die App beim Kauf eine zufällige Kennung deines Kontos an Google mit. Nach dem Kauf schickt die App uns die Kaufkennung (Token) von Google Play. Unser Server fragt damit bei Google nach, ob das Abo gültig ist, und prüft das später regelmäßig wieder.

Gespeichert werden: die Kaufkennung, das Produkt, der Status (zum Beispiel aktiv, gekündigt oder abgelaufen), bis wann das Abo bezahlt ist und ob es sich verlängert. Diese Angaben gehören zu deinem Konto und werden mit ihm gelöscht. Im Datenexport (Profil → Profil-Details → „Daten herunterladen“) ist die Kaufkennung nur gekürzt enthalten.

Wichtig: Das Konto in der App zu löschen, kündigt ein laufendes Abo bei Google Play nicht. Bitte vorher in Google Play kündigen.

10. Geschenk-Codes

Wir können ein Monster-Abo als Code verschenken. Codes sind kostenlos und werden nicht verkauft.

Versand per E-Mail: Um einen Code zu verschicken, kann der Betreiber im Verwaltungsbereich der App eine E-Mail-Adresse eingeben. Die Adresse wird nur für den Versand dieser einen Nachricht verwendet, über den Mail-Server unseres Hosters Hostinger als Auftragsverarbeiter (siehe Abschnitt 13). Sie wird nicht gespeichert und nicht protokolliert. Gespeichert wird nur, dass der Code per E-Mail verschickt wurde, nicht an wen. Rechtsgrundlage für den Versand ist unser berechtigtes Interesse, ein Geschenk zustellen zu können (Art. 6 Abs. 1 lit. f DSGVO).

Der Link in der E-Mail führt auf unsere Seite einloesen.html. Der Code steht im Link hinter einem „#“; dieser Teil wird vom Browser nicht an unseren Server geschickt und landet daher auch nicht in den Verbindungsdaten.

Einlösen: Die Codes selbst speichern wir nicht im Klartext, sondern nur als Prüfwert (Hash) und die letzten vier Zeichen zum Wiedererkennen. Wenn du einen Code einlöst, speichern wir, welches Konto ihn eingelöst hat, wann, und bis wann das Geschenk-Abo gilt (Art. 6 Abs. 1 lit. b DSGVO). Wenn du dein Konto löschst, entfernen wir die Verbindung zu deinem Konto; übrig bleibt nur, dass der Code eingelöst wurde.

Schutz vor Raten: Damit niemand Codes durch Ausprobieren errät, speichern wir fehlgeschlagene Einlöseversuche mit Konto und Zeitpunkt und begrenzen sie pro Stunde. Diese Einträge löschen wir nach spätestens einem Tag (Art. 6 Abs. 1 lit. f DSGVO).

11. E-Mails

Wir schicken E-Mails nur, wenn sie für dein Konto nötig sind: zur Bestätigung der E-Mail-Adresse und für „Passwort vergessen“. Dazu kommen Geschenk-Codes, die der Betreiber an eine angegebene Adresse schickt (siehe Abschnitt 10), und bei Kindern unter 16 Jahren die Bitte um Zustimmung an die Eltern mit der Bestätigung danach (siehe Abschnitt 15). Newsletter oder Werbung verschicken wir nicht. Die E-Mails werden über den Mail-Server unseres Hosters Hostinger versendet.

12. Server, Protokolle und Sicherungen

App-Server, Datenbank, Anmeldedienst, Texterkennung, Wörterbuch-Abgleich und die Spiele laufen auf einem gemieteten Server von Hostinger in einem Rechenzentrum in Deutschland (Frankfurt am Main).

Beim Aufruf von App-Schnittstellen und dieser Website fallen technisch bedingt Verbindungsdaten an (IP-Adresse, Zeitpunkt, angefragte Adresse, Statuscode). Sie werden nur für den Betrieb und zur Abwehr von Angriffen verwendet. Sie stehen in Protokolldateien mit fester Größe, in denen ältere Einträge automatisch überschrieben werden, und werden spätestens nach 14 Tagen gelöscht.

Damit bei einem Fehler nichts verloren geht, sichern wir die Datenbank automatisch: täglich (aufbewahrt 14 Tage), wöchentlich (aufbewahrt 8 Wochen) und vor jedem Update (aufbewahrt 7 Tage). Die Sicherungen liegen auf demselben Server und sind nur für Administratoren zugänglich.

13. Wer bekommt Daten?

• Hostinger (Hostinger International Ltd., 61 Lordou Vironos Street, 6023 Larnaka, Zypern) als Auftragsverarbeiter für Server und E-Mail-Versand, auf Grundlage eines Vertrags zur Auftragsverarbeitung nach Art. 28 DSGVO. Dieser Vertrag ist Teil der Vertragsbedingungen von Hostinger (Data Processing Addendum); dort stehen auch die technischen und organisatorischen Schutzmaßnahmen und die Liste der Unterauftragsverarbeiter von Hostinger. Unsere Daten liegen auf einem Server in Deutschland (siehe Abschnitt 12). Sollte Hostinger im Einzelfall Daten in ein Land außerhalb der EU übermitteln, für das kein Angemessenheitsbeschluss der EU-Kommission besteht, geschieht das auf Grundlage der EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO).
• Google Play (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland): Wenn du die App über den Google Play Store lädst oder das Monster-Abo abschließt, gelten dafür die Datenschutzbestimmungen von Google; Google ist dabei selbst verantwortlich. Zur Prüfung eines Abos übermitteln wir die Kaufkennung an Google (siehe Abschnitt 9).

Darüber hinaus geben wir Daten nur weiter, wenn wir gesetzlich dazu verpflichtet sind.

14. Wie lange speichern wir?

Solange dein Konto besteht. Ausnahmen: Die Daten der einzelnen Kämpfe in der Monster-Arena löschen wir schon nach 30 Tagen, fehlgeschlagene Versuche, einen Geschenk-Code einzulösen, nach einem Tag. Die E-Mail-Adresse der Eltern löschen wir, sobald der Link in der Mail abgelaufen ist (nach 7 Tagen), sofort, wenn die Eltern ablehnen oder widerrufen, und sonst mit dem Konto. Die Liste, wann Mails an die Eltern gingen (für die Grenze von 3 Mails am Tag), löschen wir nach 2 Tagen. Den Zeitpunkt der letzten Mail löschen wir zusammen mit der Adresse, also spätestens nach 7 Tagen oder sobald die Eltern geantwortet haben. Wenn du dein Konto in der App löschst (Profil → „Konto löschen“), löschen wir sofort dein Konto und alle Lerndaten. Kopien, die du mit Freunden geteilt hast, gehören danach deinen Freunden. In den Sicherungen sind gelöschte Daten noch bis zu acht Wochen enthalten und werden dann automatisch überschrieben.

15. Kinder und Eltern

LernMonster richtet sich an Schülerinnen und Schüler, also auch an Kinder. Darum erheben wir so wenig Daten wie möglich, verzichten auf Werbung, Tracking und Chat und haben die Texte möglichst einfach geschrieben.

Geburtsjahr: Jedes Konto gibt einmal sein Geburtsjahr an, nicht Tag und Monat. Daraus berechnen wir, ob jemand unter 16 ist. Weil wir den Geburtstag nicht kennen, rechnen wir im Zweifel jünger: Wer dieses Jahr erst 16 wird, gilt noch als unter 16. Das Geburtsjahr lässt sich in der App nicht selbst ändern; schreiben Sie uns, wenn es falsch ist.

Für Kinder unter 16 Jahren: Lernen geht sofort. Vorher zeigt die App einen kurzen Hinweis für Kind und Eltern, den das Kind mit „Meine Eltern wissen Bescheid“ bestätigt. Freunde finden, Nachrichten von Freunden, Blöcke und Diktate teilen und tauschen gehen erst, wenn ein Elternteil zugestimmt hat (Art. 8 DSGVO).

So funktioniert die Zustimmung: Ihr Kind gibt in der App Ihre E-Mail-Adresse ein. Wir schicken Ihnen eine E-Mail mit einem Link, der 7 Tage gilt und nur einmal funktioniert. Auf der Seite hinter dem Link stimmen Sie zu oder lehnen ab; das Öffnen allein ändert noch nichts. Nach Ihrer Zustimmung bekommen Sie eine zweite E-Mail mit einem Link, mit dem Sie jederzeit widerrufen können. Pro Tag schicken wir höchstens drei solcher E-Mails für ein Kind.

Was wir dafür speichern: das Geburtsjahr, wann der Haken gesetzt wurde, Ihre E-Mail-Adresse, wann die Mail verschickt wurde und wann Sie zugestimmt, abgelehnt oder widerrufen haben. Die Links speichern wir nicht im Klartext, sondern nur als Prüfwert (Hash), und sie stehen nicht in unseren Protokollen. Ihre E-Mail-Adresse verwenden wir nur für diese Zustimmung und den Widerruf, nie für Werbung. Wie lange wir sie speichern, steht in Abschnitt 14. Die Angaben sind im Datenexport Ihres Kindes enthalten und werden mit dem Konto gelöscht.

Für Eltern: Sie können jederzeit Auskunft verlangen, die Zustimmung widerrufen oder das Konto löschen lassen. Schreiben Sie uns an support@lernmonster.app.

16. Deine Rechte

Du hast das Recht auf

• Auskunft über deine gespeicherten Daten (Art. 15 DSGVO),
• Berichtigung falscher Daten (Art. 16 DSGVO): Die meisten Angaben kannst du in der App selbst ändern,
• Löschung (Art. 17 DSGVO), direkt in der App,
• Einschränkung der Verarbeitung (Art. 18 DSGVO),
• Datenübertragbarkeit (Art. 20 DSGVO): Du kannst alle deine Daten jederzeit selbst herunterladen, in der App unter Profil → Profil-Details → „Daten herunterladen“ (als JSON-Datei),
• Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21 DSGVO).

Schreib uns dafür an support@lernmonster.app. Außerdem kannst du dich bei einer Datenschutz-Aufsichtsbehörde beschweren, zum Beispiel bei der für uns zuständigen: dem Landesbeauftragten für den Datenschutz und die Informationsfreiheit Baden-Württemberg, Lautenschlagerstraße 20, 70173 Stuttgart, www.baden-wuerttemberg.datenschutz.de.

17. Diese Website

Diese Website setzt keine Cookies, verwendet keine Analyse- oder Tracking-Dienste und lädt keine Inhalte von fremden Servern (auch die Schriften liegen auf unserem Server). Beim Aufruf entstehen nur die in Abschnitt 12 beschriebenen Verbindungsdaten.

18. Sicherheit

Alle Verbindungen sind per TLS verschlüsselt. Zugang zu den Servern und Daten hat nur eine einzige Person: der Betreiber selbst (neben unserem Hosting-Anbieter als Auftragsverarbeiter, siehe Abschnitt 13). Verwaltungsoberflächen sind aus dem Internet nicht erreichbar. Unsere Software und die verwendeten Pakete werden laufend automatisch auf bekannte Sicherheitslücken geprüft.

19. Änderungen

Wenn sich die App ändert, passen wir diese Erklärung an. Über wichtige Änderungen informieren wir in der App.