Hinweis. Diese Erklärung ist auf die tatsächlichen Datenverarbeitungen von HolaRuta zugeschnitten und DSGVO-/TDDDG-konform strukturiert. Sie ersetzt keine anwaltliche Einzelfallprüfung. Ein Punkt ist ausdrücklich als rechtlich ungeklärt markiert (Abschnitt 8, pseudonyme Statistik-Kennung) und sollte vor dem nächsten Major-Release anwaltlich geklärt werden.
Stand: Juli 2026 · Diese Erklärung gilt für die Web-App HolaRuta (installierbare PWA) unter holaruta.com.
Verantwortlich für die Verarbeitung personenbezogener Daten im Sinne von Art. 4 Nr. 7 DSGVO ist:
Marcel Schnizler
Hohenberg 21, 74429 Sulzbach-Laufen, Deutschland
E-Mail: legal@holaruta.com
HolaRuta ist „lokal zuerst" gebaut: Dein Lernfortschritt entsteht und lebt zunächst ausschließlich in deinem Browser (lokaler Speicher deines Geräts). Personenbezogene Daten verlassen dein Gerät im Wesentlichen nur, wenn du dich anmeldest (dann Konto & Cloud-Sync, Abschnitt 4–5), freiwillig soziale Funktionen nutzt (Abschnitt 6), die anonyme Nutzungsstatistik aktiv lässt, die voreingestellt an und jederzeit mit einem Klick abschaltbar ist (Abschnitt 8), oder Google Analytics genutzt wird (Abschnitt 9 – ohne Einwilligung werden dafür keinerlei Cookies gesetzt und nichts auf deinem Gerät gespeichert; übertragen werden nur kennungslose Signale).
Die App und ihre Programmierschnittstellen (API) werden bei unserem Hosting-Dienstleister Vercel Inc. betrieben. Beim Abruf werden technisch notwendige Verbindungsdaten verarbeitet (insbesondere IP-Adresse, Datum/Uhrzeit, angefragte Ressource, Statuscode, User-Agent). Zur Abwehr von Missbrauch (Rate-Limiting der Anmelde- und Sync-Endpunkte) wird die IP-Adresse kurzzeitig ausgewertet.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an sicherem, stabilem Betrieb und Missbrauchsabwehr).
Zur Nutzung der angemeldeten Funktionen legst du ein Konto an. Es stehen zwei Wege zur Verfügung:
In deinem Kontoprofil werden gespeichert: E-Mail-Adresse, bei Google zusätzlich der Anzeigename, sowie eine technische Sitzungskennung (Anmelde-Token). Zur Absicherung des Anmeldevorgangs setzen wir einen einmaligen, kurzlebigen Sicherheitswert im lokalen Speicher deines Browsers ein (CSRF-Schutz); dieser wird nach Abschluss der Anmeldung gelöscht.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Bereitstellung des Kontos und der angemeldeten Funktionen auf deine Anfrage).
Die Nutzung von holaruta.com setzt inzwischen eine Anmeldung voraus. Damit dein Fortschritt
gesichert und geräteübergreifend verfügbar ist, speichern wir in deinem Konto die folgenden
Lerndaten und gleichen sie mit dem Gerät ab: Karten-Lernstand, selbst erstellte Karten,
Favoriten, abonnierte Aufgaben, Spiel-/Lernstatistik (z. B. XP, Serien) sowie App- und
Profileinstellungen (u. a. ein selbst gewählter Name und eine gewählte Anrede/grammatikalische
Form für die korrekte Ansprache). Nur die eigenständige Offline-Einzeldatei-Version
(HolaRuta.html) läuft weiterhin ganz ohne Anmeldung; dort verbleiben diese Daten
ausschließlich lokal auf dem Gerät.
Der lokale Speicher (localStorage/IndexedDB) wird für den Kernbetrieb und zur Speicherung deines Fortschritts genutzt; dieser Zugriff ist zur Erbringung des von dir angeforderten Dienstes unbedingt erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG) und erfordert keine gesonderte Einwilligung. Zum lokalen Speicher für die Nutzungsstatistik siehe Abschnitt 8; dieser lässt sich dort jederzeit abschalten.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertrag/Nutzung des Dienstes); für die lokale Speicherung ergänzend § 25 Abs. 2 Nr. 2 TDDDG.
Wenn du die freiwilligen sozialen Funktionen nutzt, kannst du dich über Freundes-Codes mit anderen verbinden und einen Tages-Snapshot veröffentlichen. Den Freundes-Code kannst du dabei als Einladungslink oder QR-Code weitergeben; der Link enthält denselben Code und wird erst wirksam, wenn die eingeladene Person die Einladung ausdrücklich annimmt. Dein eigener Freundes-Code wird nach dem ersten Abruf lokal auf deinem Gerät gespeichert, damit die Einladung sofort und auch offline bereitsteht; beim Abmelden wird er dort gelöscht. Für die Rangliste unter deinen bestätigten Freund:innen werden dein Anzeigename sowie aggregierte Kennzahlen (z. B. gelernte Karten, Serie, Wiederholungen) sichtbar. Nutzt du diese Funktionen nicht, werden keine solchen Daten veröffentlicht.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (auf deine Anfrage bereitgestellte Funktion); die Teilnahme ist freiwillig und jederzeit einstellbar.
In eigens dafür bereitgestellten Editionen können Lehrkräfte Klassen und Aufgaben verwalten (z. B. Klassen-Codes, Aufgaben-Zuweisungen, Bearbeitungsstände). In diesem Fall verarbeiten wir die betreffenden Daten im Auftrag der jeweiligen Einrichtung. [Sofern zutreffend: Auftragsverarbeitung nach Art. 28 DSGVO mit der Einrichtung; andernfalls diesen Abschnitt entfernen.]
Zur Produktverbesserung und Fehlerdiagnose senden wir eine anonyme, gebündelte Tages-Statistik sowie einen pseudonymen Interaktions-Datenstrom. Diese Statistik ist voreingestellt aktiv und lässt sich in der App jederzeit mit einem Klick abschalten (Einstellungen → Nutzungsstatistik teilen → Aus). Ab dem Abschalten verlässt kein Statistik-Datum mehr dein Gerät; die pseudonyme Kennung und der lokale Puffer werden dabei gelöscht. Es werden keine Namen und keine Inhalte oder Kennungen selbst erstellter Karten übertragen. Übertragen werden können Kennungen der mitgelieferten Lernkarten (Referenzen auf App-Inhalte, keine personenbezogenen Daten) sowie – ausschließlich bei Suchanfragen ohne Treffer – der zuvor um E-Mail-Adressen und Ziffernfolgen bereinigte und gekürzte Suchbegriff; bei Suchanfragen mit Treffern wird kein Suchbegriff übertragen. Die pseudonyme Statistik-Kennung ist außerdem jederzeit zurücksetzbar. Aufbewahrung der Ereignisdaten: 90 Tage.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Verbesserung und Fehlerfreiheit der App). Du kannst dieser Verarbeitung jederzeit mit Wirkung für die Zukunft widersprechen (Art. 21 DSGVO) – der Schalter in der App genügt. [Rechtsprüfung erforderlich: Ob das Speichern der pseudonymen Statistik-Kennung im lokalen Speicher ohne Einwilligung nach § 25 Abs. 2 Nr. 2 TDDDG zulässig ist, ist strittig. Vor dem Launch anwaltlich klären – sonst zurück auf Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG) oder Kennung nicht mehr persistieren.]
Zusätzlich zur anonymen Nutzungsstatistik (Abschnitt 8) setzen wir Google Analytics (via Google Tag Manager) ein, um Marketingkanäle, Nutzungsverhalten und den Registrierungs-/Lern-Trichter besser zu verstehen. Das geschieht in zwei Stufen:
Ohne deine Einwilligung wird der Google Tag Manager geladen, aber im sogenannten Advanced Consent Mode betrieben: Google speichert dabei nichts auf deinem Gerät – es werden keine Google-Analytics-Cookies gesetzt und nichts im lokalen Speicher abgelegt. Übertragen werden nur einwilligungsfreie Signale ohne Kennung („cookielose Pings"), aus denen Google aggregierte Kennzahlen schätzt. Weil dein Browser die Datei bei Google abruft, erfährt Google dabei technisch bedingt deine IP-Adresse und deine Browserkennung.
Mit deiner Einwilligung – beim ersten Besuch zeigen wir ein Banner
(Annehmen/Ablehnen) – werden zusätzlich Cookies gesetzt und Ereignisse (u. a. Seitenaufrufe,
Registrierung, abgeschlossene Lerneinheiten) mit voller Auflösung an Google Analytics
übermittelt. Deine Entscheidung kannst du jederzeit in den Einstellungen widerrufen
(Einstellungen → Google Analytics → Aus). Dabei werden die Google-Analytics-Cookies
_ga, _ga_* und _gid gelöscht und weitere
Analytics-Ereignisse unterbunden.
Rechtsgrundlage: Für die Stufe mit Einwilligung: Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG (Einwilligung für nicht unbedingt erforderliche Cookies); freiwillig und jederzeit mit Wirkung für die Zukunft widerrufbar (Art. 7 Abs. 3 DSGVO). Für die Stufe ohne Einwilligung stützen wir uns auf Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Reichweitenmessung); § 25 TDDDG greift dort nach unserer Auffassung nicht, weil weder auf Informationen im Endgerät zugegriffen noch etwas darin gespeichert wird. [Rechtsprüfung erforderlich: Der Betrieb des Advanced Consent Mode ohne Einwilligung ist nicht unumstritten – die Übermittlung von IP-Adresse und Browserkennung an Google (inkl. möglicher Drittlandsübermittlung, Art. 44 ff. DSGVO) findet auch ohne Endgeräte-Speicherzugriff statt. Vor dem Launch anwaltlich prüfen; andernfalls zurück auf Basic Consent Mode, bei dem der Tag Manager erst nach Einwilligung geladen wird.]
Einzelne Lerninhalte binden Bilder von Wikimedia
(upload.wikimedia.org, commons.wikimedia.org) ein. Beim Laden dieser
Bilder wird deine IP-Adresse an die Wikimedia Foundation übermittelt. Andere externe Verbindungen
finden im Normalbetrieb nicht statt.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Darstellung passender, quelloffener Bildinhalte).
Wir setzen sorgfältig ausgewählte Dienstleister ein, mit denen – soweit erforderlich – Auftragsverarbeitungsverträge nach Art. 28 DSGVO bestehen:
| Empfänger | Zweck | Datenkategorien |
|---|---|---|
| Supabase Inc. | Konto, Authentifizierung, Datenbank & Cloud-Sync (EU-Region) | E-Mail, Anzeigename, Sitzung, Lern-/Profildaten |
| Vercel Inc. | Hosting der App & API, Auslieferung, Server-Logs | Verbindungs-/Protokolldaten, IP |
| Google Ireland Limited | Anmeldung mit Google (OAuth) | E-Mail, Anzeigename |
| Google Ireland Limited (Google Analytics) | Reichweiten-/Funnel-Messung: ohne Einwilligung nur kennungslose Signale, mit Einwilligung volle Messung (Abschnitt 9) | Pseudonyme Nutzungs-/Ereignisdaten; IP-Adresse bei der Übertragung und groben Ortsbestimmung, danach laut Google verworfen |
| Resend | Versand der Anmelde-Codes/Magic-Links | E-Mail-Adresse |
| Sequenzy | Newsletter-Formular auf den Infoseiten sowie interne Benachrichtigung des Betreibers über neue Registrierungen | E-Mail-Adresse |
| Wikimedia Foundation | Auslieferung eingebundener Kulturbilder | IP-Adresse (eigenständig verantwortlich) |
Eine Weitergabe zu Werbezwecken oder ein Verkauf von Daten findet nicht statt.
Einzelne Dienstleister sind bzw. verarbeiten in Ländern außerhalb der EU/des EWR (insbesondere USA). Soweit dabei personenbezogene Daten in ein Drittland übermittelt werden, stützen wir dies auf geeignete Garantien nach Art. 44 ff. DSGVO – insbesondere das EU-US Data Privacy Framework (sofern der Empfänger zertifiziert ist) und/oder Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO): Supabase verarbeitet in der EU-Region (kein Drittlandbezug), für Vercel und Google (USA) legen wir die jeweils aktuelle DPF-Zertifizierung bzw. Standardvertrags- klauseln des Anbieters zugrunde. Kopie/Nachweis auf Anfrage.
Dir stehen nach der DSGVO folgende Rechte zu: Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) sowie Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21). Eine erteilte Einwilligung kannst du jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3).
Besonders komfortabel: Du kannst dein Konto samt aller zugehörigen Daten direkt in der App löschen und deine Daten dort exportieren. Für alle weiteren Anliegen erreichst du uns unter legal@holaruta.com.
Unbeschadet anderweitiger Rechtsbehelfe hast du das Recht, dich bei einer Datenschutz-Aufsichtsbehörde zu beschweren (Art. 77 DSGVO), insbesondere in dem Mitgliedstaat deines Aufenthaltsorts oder des mutmaßlichen Verstoßes. Zuständige Behörde für uns: Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg (LfDI Baden-Württemberg).
Eine ausschließlich automatisierte Entscheidungsfindung einschließlich Profiling mit rechtlicher oder ähnlich erheblicher Wirkung im Sinne von Art. 22 DSGVO findet nicht statt.
Wir passen diese Datenschutzerklärung an, wenn sich die Verarbeitung oder die Rechtslage ändert. Es gilt die jeweils hier veröffentlichte Fassung; wesentliche Änderungen machen wir in der App kenntlich.