karlicram

Datenschutzerklärung

Das Wichtigste in Kürze: karlicram ist ein privates, kostenloses Lernprojekt mit Zugang nur auf Einladung. Gespeichert wird, was zum Lernen nötig ist: dein Pseudonym, dein Passwort (nur als Hash) und dein Lernfortschritt. Deine Fragen an die „Frag KI"-Funktion gehen an externe KI-Anbieter — das passiert nur, wenn du den Chat selbst benutzt. Es gibt keine Werbung, kein Tracking und keine Weitergabe zu kommerziellen Zwecken. Dein Konto kannst du jederzeit selbst löschen — sofort und endgültig.

1. Verantwortlicher

Julian Karlbauer
[NOCH EINTRAGEN: Straße und Hausnummer, PLZ und Ort]
E-Mail: julian@karlbauer.org

Einen Datenschutzbeauftragten gibt es nicht (nicht erforderlich nach § 38 BDSG).

2. Hosting

Die Seite läuft auf einem Server der Hetzner Online GmbH (Industriestr. 25, 91710 Gunzenhausen) im Rechenzentrum Helsinki, Finnland (EU). Mit Hetzner besteht ein Auftragsverarbeitungsvertrag (Art. 28 DSGVO).

Beim Aufruf der Seite verarbeitet der Server technisch bedingt deine IP-Adresse. Dauerhafte Zugriffsprotokolle werden nicht geführt; kurzlebige technische Logs des Betriebssystems werden spätestens nach 14 Tagen gelöscht. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse: sicherer und stabiler Betrieb).

3. Konto, Anmeldung und Einladung

Pseudonym und Passwort: Für die Nutzung brauchst du ein Konto. Das Passwort wird ausschließlich als moderner Hash (bcrypt) gespeichert, niemals im Klartext. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (ohne Konto kein Dienst).
Einladungen: Konten entstehen nur über Einladungs-Codes. Gespeichert wird, wer wen eingeladen hat (Missbrauchsschutz im Einladungssystem — Art. 6 Abs. 1 lit. f DSGVO).
E-Mail-Adresse (freiwillig): Du kannst eine E-Mail-Adresse angeben, musst es aber nicht. Sie dient nur dem Versand von Einladungs-/Freischalt-Codes und Antworten auf deine Anliegen. Gibst du keine an, entsteht dir kein Nachteil — Codes können auch persönlich weitergegeben werden. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung, jederzeit widerruflich durch Löschen der Adresse im Konto).
Anmelde-Cookie: Die Seite setzt genau ein Cookie — das technisch notwendige Anmelde-Cookie (httpOnly), damit du eingeloggt bleibst. Es gibt keine Werbe- oder Analyse-Cookies; deshalb gibt es auch keinen Cookie-Banner (§ 25 Abs. 2 Nr. 2 TDDDG).

Mail-Versand: Freischalt-Codes an eine hinterlegte E-Mail-Adresse verschickt die Brevo (Sendinblue GmbH, Köpenicker Str. 126, 10179 Berlin) in unserem Auftrag (Auftragsverarbeitungsvertrag nach Art. 28 DSGVO).

4. Lernfortschritt

Gespeichert werden deine beantworteten Fragen (was du angekreuzt hast und ob es richtig war), deine Lerntage, Sammlungen und Einstellungen — das ist die Kernleistung der Seite (Art. 6 Abs. 1 lit. b DSGVO). Diese Daten liegen auf dem Server, damit du auf mehreren Geräten weiterlernen kannst, und werden bis zur Löschung deines Kontos aufbewahrt.

5. Für andere sichtbare Zahlen

Prozentzahlen je Antwort: Unter jeder Frage sehen alle Nutzer, wie viel Prozent diese Antwort gewählt haben. Dafür zählt die jeweils erste Antwort deines Kontos je Frage mit — angezeigt wird nur die zusammengerechnete Prozentzahl, nie dein Name.
Bestenliste: Auf der Statistik-Seite steht eine Wochen-Bestenliste (Pseudonym + Zahl beantworteter Fragen der laufenden Kalenderwoche, live, ohne Archiv). Dein Pseudonym ist dort für andere eingeladene Nutzer sichtbar.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b und f DSGVO (Lernfunktion der geschlossenen Lerngruppe). Eine automatisierte Entscheidungsfindung mit Rechtswirkung findet nicht statt.

6. Kommentare, Eselsbrücken, Bilder, Meldungen

Beiträge (Kommentare, Eselsbrücken, Bilder an Fragen) sind freiwillig und erscheinen mit deinem Pseudonym für andere Nutzer. Meldungen (z. B. „Folie passt nicht", Feedback, Urheberrecht) gehen nur an den Betreiber; nach Erledigung wird die Angabe, wer gemeldet hat, automatisch entfernt. Rechtsgrundlage: Art. 6 Abs. 1 lit. a/f DSGVO.

7. „Frag KI" — der KI-Chat

Der KI-Chat startet nur, wenn du ihn selbst öffnest und eine Frage abschickst. Mit dem Absenden willigst du ein (Art. 6 Abs. 1 lit. a DSGVO), dass deine Frage zusammen mit der Klausurfrage und dem bisherigen Gesprächsverlauf an externe KI-Anbieter übermittelt wird. Die Anbieter werden in dieser Reihenfolge versucht:

Anbieter	Ort der Verarbeitung	Hinweis
Google Ireland Ltd. (Vertex AI, Modell Gemini)	EU-Region	Auftragsverarbeiter; Google kann Eingaben anlassbezogen zur Missbrauchsprüfung protokollieren (max. 90 Tage, EU). Kein Training mit deinen Eingaben.
Groq Inc.	USA	Übermittlung auf Grundlage der EU-Standardvertragsklauseln bzw. des EU-US Data Privacy Framework.
Mistral AI	Frankreich (EU)	Training mit Eingaben ist abgeschaltet.
OpenRouter Inc.	USA	Übermittlung auf Grundlage der EU-Standardvertragsklauseln; leitet an das jeweils gewählte Modell weiter.

Es werden keine Kontodaten übermittelt — die Anbieter sehen deine Frage und die Lerninhalte, nicht dein Pseudonym. Der Betreiber führt ein technisches Protokoll der Chat-Anfragen (zur Missbrauchs- und Kapazitätskontrolle); der Bezug zu deinem Konto wird darin drei Monate nach dem Eintrag automatisch entfernt, bei Kontolöschung sofort.

8. Deine Rechte

Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21 DSGVO) — formlos per E-Mail an die Adresse oben.
Konto löschen kannst du selbst, jederzeit in der App: Die Löschung wirkt sofort und endgültig. Dein Pseudonym wird durch einen neutralen Platzhalter ersetzt, alle Geräte werden abgemeldet, dein Lernfortschritt wird gelöscht; frühere Beiträge erscheinen als „Gelöschtes Konto".
Erteilte Einwilligungen (E-Mail, KI-Chat) kannst du jederzeit mit Wirkung für die Zukunft widerrufen.
Beschwerderecht: Bayerisches Landesamt für Datenschutzaufsicht (BayLDA), Promenade 18, 91522 Ansbach — www.lda.bayern.de.

9. Speicherdauern im Überblick

Daten	Dauer
Konto (Pseudonym, Passwort-Hash, optionale E-Mail)	bis zur Kontolöschung
Lernfortschritt, Sammlungen, Einstellungen	bis zur Kontolöschung
Beiträge (Kommentare, Eselsbrücken)	bis du sie löschst; nach Kontolöschung ohne Namen („Gelöschtes Konto")
Chat-Protokoll (Kontobezug)	3 Monate, dann automatisch anonymisiert
Meldungen (Wer-Angabe)	bis zur Erledigung, dann anonymisiert
Technische Server-Logs	max. 14 Tage
Backups der Datenbank	14 Tage rollierend

10. Sicherheit

Die ganze Seite läuft ausschließlich über HTTPS. Passwörter werden nur als bcrypt-Hash gespeichert. Zugriff auf die Datenbank hat allein der Betreiber. Es werden täglich Sicherungskopien angelegt (14 Tage Umlauf, auf demselben Server in der EU).

Stand: August 2026 · Impressum