Datenschutzerklärung

1. Verantwortlicher und Kontakt

ÖGS.Lab e.U. (Inhaber: Atilla Gum)
Hillerstraße 8/25, 1020 Wien, Österreich
E-Mail: hallo@atillagum.com

Diese Erklärung beschreibt die Verarbeitung personenbezogener Daten auf der Website und Lernplattform ÖGS.Lab.

2. Welche Daten wir verarbeiten

• Konto- und Profildaten: E-Mail-Adresse, technische Benutzer-ID, optional Name, Sprache und Angaben zum ÖGS-Lernstand. Passwörter werden beim Authentifizierungsdienst nur in gehashter Form verarbeitet; wir können dein Passwort nicht im Klartext einsehen.
• Lerndaten: gestartete und abgeschlossene Lektionen, Wiedergabefortschritt, Quiz-Ergebnisse, XP, Wiederholungs- und Streak-Daten sowie Zeitpunkte der Nutzung.
• Vertrags- und Zahlungsdaten: gewähltes Angebot, Preis, Währung, Stripe-Kunden- und Abonnementkennung, Abonnementstatus, Zahlungs- und Kündigungszeitpunkte. Vollständige Karten- oder Kontodaten werden direkt bei Stripe eingegeben und nicht in unserer Plattform gespeichert.
• Einwilligungs- und Nachweisdaten: Art und Fassung einer Zustimmung, Zeitpunkt, gekürzter User-Agent und ein mit geheimem Schlüssel pseudonymisierter IP-Wert.
• Warteliste: E-Mail-Adresse, Einwilligungstext und -zeitpunkt, Bestätigungs- und Abmeldestatus sowie gegebenenfalls Referral-Code und Zuordnung einer Empfehlung.
• Feedback: freiwilliger Text, Stimmung, markierte Stelle, Seitenpfad und – nur wenn du es auswählst – ein Screenshot. Der Screenshot kann sichtbare Inhalte deines Bildschirms enthalten; bitte übermittle dort keine sensiblen Daten Dritter.
• Technik- und Sicherheitsdaten: IP-Adresse, Zeitpunkt, aufgerufene Adresse, Browser/User-Agent, Referrer, Fehler- und Sicherheitsereignisse. In unserer Anwendung werden IPs für Rate-Limits und Nachweise soweit möglich nur pseudonymisiert gespeichert; Hosting-Dienste können eigene kurzfristige Zugriffsprotokolle führen.
• Instagram-Kommunikation: Wenn du auf einem mit ÖGS.Lab verbundenen Instagram-Konto ein vereinbartes Stichwort kommentierst oder auf eine Nachricht antwortest, verarbeiten wir insbesondere Kommentar- und Nachrichteninhalt, Instagram-Konto- beziehungsweise Nutzerkennung, Benutzername, Zeitpunkte und den für die Linkausgabe nötigen Follow-/Antwortstatus.

3. Zwecke und Rechtsgrundlagen

• Konto, Kurszugang, Lernfortschritt, Abonnement und Support werden zur Durchführung des Vertrags beziehungsweise vorvertraglicher Maßnahmen verarbeitet (Art. 6 Abs. 1 lit. b DSGVO).
• Rechnungs- und steuerlich relevante Daten verarbeiten wir zur Erfüllung gesetzlicher Pflichten (Art. 6 Abs. 1 lit. c DSGVO).
• Wartelisten- und Marketing-E-Mails versenden wir nach Double-Opt-in auf Grundlage deiner Einwilligung (Art. 6 Abs. 1 lit. a DSGVO und § 174 TKG 2021). Du kannst sie jederzeit über den Abmeldelink oder per E-Mail widerrufen. Der Widerruf wirkt für die Zukunft.
• Sicherheit, Missbrauchsschutz, Fehleranalyse, freiwilliges Feedback und die sachgerechte Verbesserung der Plattform beruhen auf unseren berechtigten Interessen an einem sicheren und funktionsfähigen Angebot (Art. 6 Abs. 1 lit. f DSGVO). Dabei berücksichtigen wir die Auswirkungen auf betroffene Personen und beschränken die Datenmenge.
• Auf ausdrücklich angeforderte Instagram-Nachrichten und Kommentare antworten wir zur Bearbeitung deiner Anfrage beziehungsweise auf Grundlage unseres berechtigten Interesses an einer erwartbaren, effizienten Kommunikation (Art. 6 Abs. 1 lit. b beziehungsweise lit. f DSGVO). Du kannst die Unterhaltung jederzeit beenden.
• Nachweise über Einwilligungen und vertragsbezogene Erklärungen können zur Erfüllung von Nachweispflichten sowie zur Geltendmachung oder Abwehr von Ansprüchen verarbeitet werden (Art. 6 Abs. 1 lit. c und lit. f DSGVO).

Ohne die für Konto, Kursbereitstellung oder Zahlung erforderlichen Daten können wir die jeweilige Leistung nicht anbieten. Warteliste und Feedback sind freiwillig.

4. Eingesetzte Dienste und Empfänger

Wir verkaufen keine personenbezogenen Daten. Daten erhalten nur Dienstleister, soweit dies für den jeweiligen Zweck erforderlich ist, sowie Behörden oder sonstige Stellen, wenn eine gesetzliche Verpflichtung besteht.

Supabase

Supabase stellt Authentifizierung, Datenbank und Teile der serverseitigen Infrastruktur bereit. Dort liegen insbesondere Konto, Profil, Lernfortschritt, Einwilligungsnachweise und Abonnementstatus. Das primäre Projekt ist in einer EU-Region konfiguriert. Details: Datenschutzhinweise von Supabase.

Vercel

Vercel hostet und liefert die Webanwendung aus. Dabei werden insbesondere Verbindungs-, Geräte- und Protokolldaten verarbeitet, um Seiten bereitzustellen und Angriffe abzuwehren. Details: Datenschutzhinweise von Vercel.

Stripe

Stripe verarbeitet Zahlungen, Abonnements, Rechnungsdaten, Zahlungsmittel und Betrugspräventionsdaten. Stripe handelt je nach Verarbeitung als unser Dienstleister oder als eigenständig Verantwortlicher. Details: Stripe Privacy Center.

Mux

Mux speichert und streamt die Kursvideos. Beim Abruf können IP-Adresse, Geräte-/Browserdaten, Video- und Wiedergabeinformationen sowie technische Qualitätsdaten verarbeitet werden. Details: Datenschutzhinweise von Mux.

Resend

Resend versendet Bestätigungs-, Wartelisten- und Servicenachrichten. Dafür werden Empfängeradresse, Nachrichteninhalt und technische Zustellinformationen verarbeitet. Details: Datenschutzhinweise von Resend.

Google Workspace

Für die geschäftliche E-Mail-Kommunikation, insbesondere Support- und Vertragsanfragen an oder von unserer Kontaktadresse, verwenden wir Google Workspace. Dabei können Absender- und Empfängeradresse, Nachrichteninhalt, Anhänge sowie technische Zustellinformationen verarbeitet werden. Details: Google Cloud Privacy Notice.

Have I Been Pwned – Pwned Passwords

Beim Setzen eines Passworts prüfen wir, ob es in bekannten Leaks vorkommt. Das Passwort wird lokal gehasht; ausschließlich die ersten fünf Zeichen des SHA-1-Hashes werden nach dem k-Anonymitätsverfahren abgefragt. Weder das Passwort noch sein vollständiger Hash oder deine E-Mail-Adresse werden dabei übermittelt. Details: Pwned Passwords.

Meta / Instagram

Für ausdrücklich angeforderte automatische Antworten auf Instagram verwenden wir die Instagram Graph API von Meta. Dabei werden die oben beschriebenen Kommentar-, Konto- und Nachrichtendaten zwischen Meta und unserer Plattform übermittelt. Für die allgemeine Nutzung von Instagram ist Meta selbst verantwortlich. Details: Datenschutzrichtlinie von Instagram.

5. Verarbeitung außerhalb des EWR

Einige Anbieter und deren Unterauftragnehmer haben Sitz oder Infrastruktur in den USA oder anderen Ländern außerhalb des Europäischen Wirtschaftsraums. Dadurch können Daten dort verarbeitet werden. Soweit kein Angemessenheitsbeschluss der EU-Kommission greift, werden – abhängig von Anbieter und Verarbeitung – insbesondere EU-Standardvertragsklauseln und ergänzende Schutzmaßnahmen als Übermittlungsgrundlage eingesetzt. Anbieter können zusätzlich unter dem EU-US Data Privacy Framework zertifiziert sein. Trotz solcher Garantien kann in Drittländern ein anderes Datenschutzniveau bestehen.

Soweit ein Anbieter für uns als Auftragsverarbeiter tätig wird, erfolgt der Einsatz nach Maßgabe der anwendbaren Vereinbarung zur Auftragsverarbeitung und der veröffentlichten Unterauftragnehmerliste.

6. Cookies, lokale Speicherung und externe Inhalte

Für Anmeldung und Sicherheit verwenden wir technisch notwendige Session-Cookies. Ohne sie bleiben geschützte Kursbereiche nicht nutzbar. Wir setzen in der eigenen Anwendung keine Cookies für personalisierte Werbung ein. Beim Aufruf externer Zahlungsseiten oder Video-Streams können Stripe beziehungsweise Mux eigene technische Cookies oder vergleichbare Kennungen nach ihren Hinweisen einsetzen.

Im Browser speichern wir außerdem ausschließlich funktionsbezogene Zustände: zum Beispiel, ob der kurze Einführungshinweis in der aktuellen Sitzung aufgeschoben wurde, und vorübergehende Spielstände zwischen zwei Übungen. Diese Werte liegen in sessionStoragebeziehungsweise lokalem Web-Speicher, dienen nicht der Werbung und werden vom Browser nach seinen Regeln beziehungsweise beim Löschen der Websitedaten entfernt.

7. Speicherdauer

Wir speichern Daten nur so lange, wie sie für die genannten Zwecke benötigt werden oder gesetzliche Pflichten beziehungsweise mögliche Rechtsansprüche dies erfordern. Maßgebliche Kriterien sind insbesondere:

• Konto-, Profil- und Lerndaten grundsätzlich für die Dauer des Kontos; nach einer berechtigten Löschanfrage werden sie gelöscht oder anonymisiert, soweit keine Pflicht oder ein vorrangiger Grund zur weiteren Speicherung besteht.
• Vertrags-, Rechnungs- und Zahlungsnachweise grundsätzlich sieben Jahre ab Ende des betreffenden Kalenderjahres (§ 132 BAO, § 212 UGB), bei anhängigen Verfahren gegebenenfalls länger.
• Wartelistendaten bis zum Ende des Informationszwecks oder bis zum Widerruf. Nicht bestätigte Adressen werden nicht für Marketing-Nachrichten verwendet und nach 30 Tagen aus der operativen Warteliste entfernt. Ein erforderlicher Sperr- und Einwilligungsnachweis kann danach begrenzt weiterbestehen.
• Feedback und Screenshots bis zur Bearbeitung und für einen daran anschließenden Zeitraum zur Fehlerbehebung und Qualitätssicherung. Screenshots werden spätestens nach 90 Tagen entfernt, übrige Feedbackdaten spätestens nach 365 Tagen, sofern sie nicht schon früher gelöscht werden können.
• Operative Instagram-Kommentar- und Nachrichtenprotokolle werden spätestens nach 90 Tagen entfernt. Abgeschlossene offene Antwort-Gates werden regelmäßig bereits nach 30 Tagen bereinigt.
• Sicherheits- und Rate-Limit-Daten nur für kurze, dem jeweiligen Schutzfenster entsprechende Zeiträume. Inaktive pseudonyme Rate-Limit-Zeilen werden nach 30 Tagen im nächsten täglichen Bereinigungslauf, regulär innerhalb von 31 Tagen, entfernt. Unverbrauchte Gastanfragen werden nach einer Karenzzeit von sieben Tagen im nächsten täglichen Bereinigungslauf gelöscht. Das gilt entsprechend für unverbrauchte persönliche Beta-Kaufeinladungen. Die E-Mail-Bindung eines verwendeten Einladungslinks wird sofort anonymisiert; der eigentliche Einladungs- und Einwilligungsnachweis folgt der Kontolaufzeit und wird mit dem Konto entfernt. Die private Kaufberechtigung endet ohne Zahlung automatisch nach zwei Stunden und wird durch einen erfolgreichen Kauf dauerhaft verbraucht. Protokolle und Sicherungskopien werden nach den Löschzyklen der eingesetzten Anbieter überschrieben.

8. Deine Rechte

Nach Maßgabe der gesetzlichen Voraussetzungen hast du das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch. Eine erteilte Einwilligung kannst du jederzeit mit Wirkung für die Zukunft widerrufen. Wende dich an hallo@atillagum.com. Zur Verhinderung unbefugter Auskünfte können wir einen angemessenen Identitätsnachweis verlangen.

Du kannst dich außerdem bei einer Datenschutzaufsichtsbehörde beschweren, insbesondere bei der Österreichischen Datenschutzbehörde, Barichgasse 40–42, 1030 Wien, www.dsb.gv.at.

9. Automatisierte Entscheidungen

Wir treffen innerhalb der Lernplattform keine ausschließlich automatisierten Entscheidungen mit rechtlicher oder vergleichbar erheblicher Wirkung im Sinn von Art. 22 DSGVO. Automatische Sicherheitslimits können Anfragen vorübergehend blockieren. Stripe kann zur Zahlungs- und Betrugsprävention eigene automatisierte Prüfungen nach seinen Datenschutzhinweisen durchführen.

10. Änderungen

Wir aktualisieren diese Erklärung, wenn sich Funktionen, Dienstleister oder Rechtslage ändern. Die jeweils aktuelle Fassung und ihr Stand werden auf dieser Seite veröffentlicht. Über wesentliche Änderungen informieren wir zusätzlich, soweit dies gesetzlich erforderlich ist.