Hinweis zur Fertigstellung. Diese Erklärung ist auf die tatsächlichen Datenverarbeitungen von HolaRuta zugeschnitten und DSGVO-/TDDDG-konform strukturiert. Alle [eckig markierten] Felder sind mandantenspezifisch und vor der Veröffentlichung auszufüllen (Verantwortliche:r, Kontakt, Auftragsverarbeiter-Konkretisierung, Drittland-Garantien, zuständige Aufsichtsbehörde, Stand-Datum). Sie ersetzt keine anwaltliche Einzelfallprüfung; vor dem Scharfschalten der Konto-Pflicht sollte sie final abgenommen werden.
Stand: Juli 2026 · Diese Erklärung gilt für die Web-App HolaRuta (installierbare PWA) unter holaruta.com.
Verantwortlich für die Verarbeitung personenbezogener Daten im Sinne von Art. 4 Nr. 7 DSGVO ist:
Marcel Schnizler
Hohenberg 21, 74429 Sulzbach-Laufen, Deutschland
E-Mail: legal@holaruta.com
HolaRuta ist „lokal zuerst" gebaut: Dein Lernfortschritt entsteht und lebt zunächst ausschließlich in deinem Browser (lokaler Speicher deines Geräts). Personenbezogene Daten verlassen dein Gerät im Wesentlichen nur, wenn du dich anmeldest (dann Konto & Cloud-Sync, Abschnitt 4–5), freiwillig soziale Funktionen nutzt (Abschnitt 6), die anonyme Nutzungsstatistik aktiv lässt, die voreingestellt an und jederzeit mit einem Klick abschaltbar ist (Abschnitt 8), oder ausdrücklich in Google Analytics einwilligst (Abschnitt 9 – ohne Einwilligung werden keinerlei Cookies dafür gesetzt).
Die App und ihre Programmierschnittstellen (API) werden bei unserem Hosting-Dienstleister [Vercel Inc.] betrieben. Beim Abruf werden technisch notwendige Verbindungsdaten verarbeitet (insbesondere IP-Adresse, Datum/Uhrzeit, angefragte Ressource, Statuscode, User-Agent). Zur Abwehr von Missbrauch (Rate-Limiting der Anmelde- und Sync-Endpunkte) wird die IP-Adresse kurzzeitig ausgewertet.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an sicherem, stabilem Betrieb und Missbrauchsabwehr).
Zur Nutzung der angemeldeten Funktionen legst du ein Konto an. Es stehen zwei Wege zur Verfügung:
In deinem Kontoprofil werden gespeichert: E-Mail-Adresse, bei Google zusätzlich der Anzeigename, sowie eine technische Sitzungskennung (Anmelde-Token). Zur Absicherung des Anmeldevorgangs setzen wir einen einmaligen, kurzlebigen Sicherheitswert im lokalen Speicher deines Browsers ein (CSRF-Schutz); dieser wird nach Abschluss der Anmeldung gelöscht.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Bereitstellung des Kontos und der angemeldeten Funktionen auf deine Anfrage).
Die Nutzung von holaruta.com setzt inzwischen eine Anmeldung voraus. Damit dein Fortschritt
gesichert und geräteübergreifend verfügbar ist, speichern wir in deinem Konto die folgenden
Lerndaten und gleichen sie mit dem Gerät ab: Karten-Lernstand, selbst erstellte Karten,
Favoriten, abonnierte Aufgaben, Spiel-/Lernstatistik (z. B. XP, Serien) sowie App- und
Profileinstellungen (u. a. ein selbst gewählter Name und eine gewählte Anrede/grammatikalische
Form für die korrekte Ansprache). Nur die eigenständige Offline-Einzeldatei-Version
(HolaRuta.html) läuft weiterhin ganz ohne Anmeldung; dort verbleiben diese Daten
ausschließlich lokal auf dem Gerät.
Der lokale Speicher (localStorage/IndexedDB) wird für den Kernbetrieb und zur Speicherung deines Fortschritts genutzt; dieser Zugriff ist zur Erbringung des von dir angeforderten Dienstes unbedingt erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG) und erfordert keine gesonderte Einwilligung. Zum lokalen Speicher für die Nutzungsstatistik siehe Abschnitt 8; dieser lässt sich dort jederzeit abschalten.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertrag/Nutzung des Dienstes); für die lokale Speicherung ergänzend § 25 Abs. 2 Nr. 2 TDDDG.
Wenn du die freiwilligen sozialen Funktionen nutzt, kannst du dich über Freundes-Codes mit anderen verbinden und einen Tages-Snapshot veröffentlichen. Den Freundes-Code kannst du dabei als Einladungslink oder QR-Code weitergeben; der Link enthält denselben Code und wird erst wirksam, wenn die eingeladene Person die Einladung ausdrücklich annimmt. Für die Rangliste unter deinen bestätigten Freund:innen werden dein Anzeigename sowie aggregierte Kennzahlen (z. B. gelernte Karten, Serie, Wiederholungen) sichtbar. Nutzt du diese Funktionen nicht, werden keine solchen Daten veröffentlicht.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (auf deine Anfrage bereitgestellte Funktion); die Teilnahme ist freiwillig und jederzeit einstellbar.
In eigens dafür bereitgestellten Editionen können Lehrkräfte Klassen und Aufgaben verwalten (z. B. Klassen-Codes, Aufgaben-Zuweisungen, Bearbeitungsstände). In diesem Fall verarbeiten wir die betreffenden Daten im Auftrag der jeweiligen Einrichtung. [Sofern zutreffend: Auftragsverarbeitung nach Art. 28 DSGVO mit der Einrichtung; andernfalls diesen Abschnitt entfernen.]
Zur Produktverbesserung und Fehlerdiagnose senden wir eine anonyme, gebündelte Tages-Statistik sowie einen pseudonymen Interaktions-Datenstrom. Diese Statistik ist voreingestellt aktiv und lässt sich in der App jederzeit mit einem Klick abschalten (Einstellungen → Nutzungsstatistik teilen → Aus). Ab dem Abschalten verlässt kein Statistik-Datum mehr dein Gerät; die pseudonyme Kennung und der lokale Puffer werden dabei gelöscht. Es werden keine Namen und keine Inhalte oder Kennungen selbst erstellter Karten übertragen. Übertragen werden können Kennungen der mitgelieferten Lernkarten (Referenzen auf App-Inhalte, keine personenbezogenen Daten) sowie – ausschließlich bei Suchanfragen ohne Treffer – der zuvor um E-Mail-Adressen und Ziffernfolgen bereinigte und gekürzte Suchbegriff; bei Suchanfragen mit Treffern wird kein Suchbegriff übertragen. Die pseudonyme Statistik-Kennung ist außerdem jederzeit zurücksetzbar. Aufbewahrung der Ereignisdaten: [90 Tage].
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Verbesserung und Fehlerfreiheit der App). Du kannst dieser Verarbeitung jederzeit mit Wirkung für die Zukunft widersprechen (Art. 21 DSGVO) – der Schalter in der App genügt. [Rechtsprüfung erforderlich: Ob das Speichern der pseudonymen Statistik-Kennung im lokalen Speicher ohne Einwilligung nach § 25 Abs. 2 Nr. 2 TDDDG zulässig ist, ist strittig. Vor dem Launch anwaltlich klären – sonst zurück auf Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG) oder Kennung nicht mehr persistieren.]
Zusätzlich zur anonymen Nutzungsstatistik (Abschnitt 8) setzen wir Google
Analytics (via Google Tag Manager) ein, um Marketingkanäle, Nutzungsverhalten und
den Registrierungs-/Lern-Trichter besser zu verstehen. Anders als Abschnitt 8 ist dies
nicht voreingestellt aktiv: Beim ersten Besuch zeigen wir ein Einwilligungs-
Banner (Annehmen/Ablehnen). Ohne deine ausdrückliche Zustimmung werden keine
Google-Analytics-Cookies gesetzt und keine Nutzungsdaten an Google übertragen. Auch der
Google Tag Manager wird vorher nicht von Google geladen (Basic Consent Mode v2). Erst mit
Klick auf „Annehmen" wird der Tag Manager abgerufen; anschließend werden Cookies gesetzt und Ereignisse
(u. a. Seitenaufrufe, Registrierung, abgeschlossene Lerneinheiten) an Google Analytics
übermittelt. Deine Entscheidung kannst du jederzeit in den Einstellungen widerrufen
(Einstellungen → Google Analytics → Aus). Dabei werden die Google-Analytics-Cookies
_ga, _ga_* und _gid gelöscht und weitere
Analytics-Ereignisse unterbunden.
Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung), § 25 Abs. 1 TDDDG (Einwilligung für nicht unbedingt erforderliche Cookies). Die Einwilligung ist freiwillig und jederzeit mit Wirkung für die Zukunft widerrufbar (Art. 7 Abs. 3 DSGVO).
Einzelne Lerninhalte binden Bilder von Wikimedia
(upload.wikimedia.org, commons.wikimedia.org) ein. Beim Laden dieser
Bilder wird deine IP-Adresse an die Wikimedia Foundation übermittelt. Andere externe Verbindungen
finden im Normalbetrieb nicht statt.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Darstellung passender, quelloffener Bildinhalte).
Wir setzen sorgfältig ausgewählte Dienstleister ein, mit denen – soweit erforderlich – Auftragsverarbeitungsverträge nach Art. 28 DSGVO bestehen:
| Empfänger | Zweck | Datenkategorien |
|---|---|---|
| [Supabase Inc.] | Konto, Authentifizierung, Datenbank & Cloud-Sync (EU-Region) | E-Mail, Anzeigename, Sitzung, Lern-/Profildaten |
| [Vercel Inc.] | Hosting der App & API, Auslieferung, Server-Logs | Verbindungs-/Protokolldaten, IP |
| Google [Ireland Ltd./LLC] | Anmeldung mit Google (OAuth) | E-Mail, Anzeigename |
| Google Ireland Limited (Google Analytics) | Reichweiten-/Funnel-Messung, NUR mit Einwilligung (Abschnitt 9) | Pseudonyme Nutzungs-/Ereignisdaten; IP-Adresse bei der Übertragung und groben Ortsbestimmung, danach laut Google verworfen |
| [E-Mail-Versanddienst, z. B. Resend] | Versand der Anmelde-Codes/Magic-Links | E-Mail-Adresse |
| Wikimedia Foundation | Auslieferung eingebundener Kulturbilder | IP-Adresse (eigenständig verantwortlich) |
Eine Weitergabe zu Werbezwecken oder ein Verkauf von Daten findet nicht statt.
Einzelne Dienstleister sind bzw. verarbeiten in Ländern außerhalb der EU/des EWR (insbesondere USA). Soweit dabei personenbezogene Daten in ein Drittland übermittelt werden, stützen wir dies auf geeignete Garantien nach Art. 44 ff. DSGVO – insbesondere das EU-US Data Privacy Framework (sofern der Empfänger zertifiziert ist) und/oder Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO). [Konkrete Garantie je Anbieter ergänzen; Kopie/ Nachweis auf Anfrage.]
Dir stehen nach der DSGVO folgende Rechte zu: Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) sowie Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21). Eine erteilte Einwilligung kannst du jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3).
Besonders komfortabel: Du kannst dein Konto samt aller zugehörigen Daten direkt in der App löschen und deine Daten dort exportieren. Für alle weiteren Anliegen erreichst du uns unter [datenschutz@…].
Unbeschadet anderweitiger Rechtsbehelfe hast du das Recht, dich bei einer Datenschutz-Aufsichtsbehörde zu beschweren (Art. 77 DSGVO), insbesondere in dem Mitgliedstaat deines Aufenthaltsorts oder des mutmaßlichen Verstoßes. Zuständige Behörde für uns: Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg (LfDI Baden-Württemberg).
Eine ausschließlich automatisierte Entscheidungsfindung einschließlich Profiling mit rechtlicher oder ähnlich erheblicher Wirkung im Sinne von Art. 22 DSGVO findet nicht statt.
Wir passen diese Datenschutzerklärung an, wenn sich die Verarbeitung oder die Rechtslage ändert. Es gilt die jeweils hier veröffentlichte Fassung; wesentliche Änderungen machen wir in der App kenntlich.