Datenschutzerklärung

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) und des Bundesdatenschutzgesetzes (BDSG) ist:

Colin Rummel
S3 11
68161 Mannheim
E-Mail: colin.rummel@yahoo.com

Ein Datenschutzbeauftragter ist gemäß Art. 37 DSGVO nicht zu bestellen, da keine der in Art. 37 Abs. 1 DSGVO genannten Voraussetzungen vorliegen (insbesondere keine umfangreiche systematische Überwachung und keine Verarbeitung besonderer Datenkategorien als Kerntätigkeit).

Quadrivo verarbeitet personenbezogene Daten ausschließlich, soweit dies für den Betrieb der Lernapp technisch erforderlich ist (Grundsatz der Datensparsamkeit, Art. 5 Abs. 1 lit. c DSGVO):

Die Benutzerverwaltung und Authentifizierung erfolgt über Supabase Auth. Beim Anlegen eines Kontos werden E-Mail-Adresse und Passwort-Hash in der Supabase-Datenbank gespeichert. Supabase Inc. wird dabei als Auftragsverarbeiter gemäß Art. 28 DSGVO eingesetzt; ein Auftragsverarbeitungsvertrag (Data Processing Agreement, DPA) ist mit Supabase abgeschlossen. Alle Datenübertragungen zwischen Browser und Supabase-Servern erfolgen ausschließlich TLS-verschlüsselt (HTTPS).

Supabase Inc.
970 Trestle Glen Rd, Oakland, CA 94610, USA
Datenschutz: supabase.com/privacy

Supabase bietet EU-Rechenzentren an (Frankfurt/Main, AWS eu-central-1); je nach Projektkonfiguration können Daten auch in den USA gespeichert werden. Für Datenübermittlungen in die USA bestehen folgende Schutzmaßnahmen gemäß Art. 44 ff. DSGVO:

• EU-U.S. Data Privacy Framework (DPF): Angemessenheitsbeschluss der EU-Kommission vom 10. Juli 2023 gemäß Art. 45 DSGVO. Supabase Inc. ist unter dem DPF zertifiziert.
• Standardvertragsklauseln (SCCs): Zusätzlich vereinbart gemäß Art. 46 Abs. 2 lit. c DSGVO.
• Technische Schutzmaßnahme: Alle Daten werden während der Übertragung per TLS verschlüsselt.

Die Angabe einer E-Mail-Adresse und eines Passworts ist für die Nutzung von Quadrivo vertraglich erforderlich (Art. 13 Abs. 2 lit. e DSGVO). Ohne diese Daten kann kein Konto angelegt und die App nicht genutzt werden.

Nach erfolgreicher Anmeldung setzt Quadrivo einen einzigen technisch notwendigen Browser-Cookie:

Dieser Cookie ist für die Funktionsfähigkeit der App technisch unbedingt erforderlich. Nach Art. 5 Abs. 3 der ePrivacy-Richtlinie 2002/58/EG bedürfen technisch notwendige Cookies keiner vorherigen Einwilligung und keines Cookie-Banners.

Quadrivo nutzt den lokalen Speicher (localStorage) deines Browsers für folgende Zwecke:

localStorage-Daten verbleiben ausschließlich auf deinem Gerät und werden nicht ohne dein Zutun an Dritte übermittelt. Du kannst sie jederzeit über die Browsereinstellungen oder die Entwicklertools löschen. Das vollständige Abmelden aus der App löscht die Session-Daten automatisch.

Sicherheitshinweis: localStorage ist gegenüber Cross-Site-Scripting-Angriffen (XSS) grundsätzlich exponiert. Quadrivo setzt keine dynamisch generierten oder nutzerkontrollierten Inhalte ein, die in Skripte eingebettet werden könnten; das XSS-Risiko wird dadurch auf ein Minimum reduziert. Der Session-Cookie (qiq-auth) ist zusätzlich mit SameSite=Strict und Secure gesichert, sodass er nicht über JavaScript ausgelesen werden kann.

Dein Lernfortschritt (Kartenkenntnis, SRS-Intervalle, Tagesstatistiken) wird als JSON-Datensatz in der Supabase-Datenbank gespeichert und ist deinem Benutzerkonto eindeutig zugeordnet. Die Speicherung ermöglicht nahtloses Weiterlernen auf verschiedenen Geräten.

Die Datenbank ist durch Row-Level-Security (RLS) gesichert: Jeder Nutzer kann nach aktueller Konfiguration ausschließlich auf seinen eigenen Datensatz zugreifen — ein unbefugter Zugriff auf fremde Datensätze ist technisch nicht vorgesehen.

Du kannst jederzeit die vollständige Löschung deines Kontos und aller damit verbundenen Daten verlangen (→ § 11 Deine Rechte).

Quadrivo wird über die Plattform Vercel gehostet und über deren globales CDN ausgeliefert. Bei jedem Seitenaufruf verarbeitet Vercel technische Verbindungsdaten, darunter IP-Adresse (personenbezogene Daten), User-Agent, aufgerufene URL, HTTP-Statuscode und Zeitstempel. Diese Daten werden in Server-Logs erfasst, dienen der IT-Sicherheit und Fehlerdiagnose und werden nach max. 7 Tagen automatisch gelöscht. Eine Weitergabe über die in § 9 genannten Auftragsverarbeiter hinaus erfolgt nicht, außer soweit gesetzlich vorgeschrieben.

Vercel Inc.
340 Pine Street, Suite 700, San Francisco, CA 94104, USA
Datenschutz: vercel.com/legal/privacy-policy

Für Datenübermittlungen in die USA bestehen folgende Schutzmaßnahmen gemäß Art. 44 ff. DSGVO:

• EU-U.S. Data Privacy Framework (DPF): Angemessenheitsbeschluss der EU-Kommission vom 10. Juli 2023. Vercel Inc. ist unter dem DPF zertifiziert.
• Standardvertragsklauseln (SCCs): Zusätzlich vereinbart gemäß Art. 46 Abs. 2 lit. c DSGVO.
• Technische Schutzmaßnahme: Alle Verbindungen sind TLS-verschlüsselt (HTTPS).

8.1 Schriftarten (lokal gehostet)

Die Schriftarten Press Start 2P und Orbitron werden ausschließlich von Quadrivos eigenem Server (quadrivo.de via Vercel CDN) ausgeliefert. Es wird keine Verbindung zu Google-Servern (fonts.googleapis.com / fonts.gstatic.com) hergestellt. Die Schriftdateien wurden einmalig heruntergeladen und sind Bestandteil des Deployment-Pakets. In diesem Zusammenhang werden keine personenbezogenen Daten an Dritte übermittelt.

8.2 jsDelivr (KaTeX)

Zur Darstellung mathematischer Formeln lädt die App die Bibliothek KaTeX vom CDN cdn.jsdelivr.net. Dabei werden personenbezogene Daten (insbesondere die IP-Adresse) an den CDN-Betreiber übermittelt. Betreiber: ProspectOne sp. z o.o., ul. Krolowej Jadwigi 246A/7, 30-218 Kraków, Polen (EU). Der CDN nutzt Cloudflare-Infrastruktur; eine Verarbeitung über Server außerhalb der EU kann unter Umständen nicht ausgeschlossen werden. Für solche Transfers stellt Cloudflare SCCs gemäß Art. 46 Abs. 2 lit. c DSGVO bereit.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse: Darstellung mathematischer Formeln im Rahmen der Lernapp). Datenschutzerklärung jsDelivr: jsdelivr.com/terms/privacy-policy-jsdelivr-net

8.3 Was nicht eingebunden wird

Die Supabase JavaScript-Bibliothek (supabase.min.js) wird von Quadrivos eigenem Server ausgeliefert. Es sind keine Analyse-, Werbe- oder Social-Media-Skripte eingebunden. Es findet kein Einsatz von Tracking-Pixeln, Fingerprinting oder ähnlichen Verfahren statt.

Personenbezogene Daten werden ausschließlich an folgende Auftragsverarbeiter gemäß Art. 28 DSGVO weitergegeben, mit denen jeweils ein Auftragsverarbeitungsvertrag (DPA) besteht:

Eine Weitergabe über die genannten Auftragsverarbeiter hinaus, insbesondere zu kommerziellen, werblichen oder analytischen Zwecken, findet nicht statt. Daten werden weder verkauft noch vermietet noch zu anderen als den hier genannten Zwecken genutzt. Eine Weitergabe aufgrund gesetzlicher Verpflichtung (z. B. behördliche Anforderung) bleibt vorbehalten.

Soweit Verarbeitungen auf Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse) gestützt werden, hast du das Recht, dieser Verarbeitung aus Gründen deiner besonderen Situation jederzeit zu widersprechen (→ § 12 Widerspruchsrecht).

• Benutzerkonto (E-Mail-Adresse, Passwort-Hash): Bis zur Löschung auf Anfrage. Die Löschung erfolgt unverzüglich nach Eingang der Anfrage an colin.rummel@yahoo.com, spätestens innerhalb von 30 Tagen.
• Lernfortschritt (Supabase-Datenbank): Wird gemeinsam mit dem Benutzerkonto unwiderruflich gelöscht.
• Session-Cookie (qiq-auth): Automatisch nach spätestens 1 Stunde; kein Fortbestand nach Ablauf.
• localStorage (Session, SRS-Daten): Verbleiben im Browser bis zur manuellen Löschung oder zum Abmelden aus der App. Die Session-Daten werden beim Abmelden automatisch entfernt.
• Verbindungsdaten / Server-Logs (Vercel): IP-Adresse und weitere Verbindungsdaten werden nach max. 7 Tagen automatisch gelöscht. IP-Adressen sind personenbezogene Daten und werden entsprechend behandelt.
• Auth-Logs (Supabase): Gemäß Supabase-Datenschutzerklärung in der Regel ≤ 30 Tage; danach automatische Löschung.

Dir stehen gegenüber dem Verantwortlichen folgende Rechte gemäß DSGVO zu. Zur Ausübung wende dich per E-Mail an colin.rummel@yahoo.com. Anfragen werden innerhalb eines Monats beantwortet (Art. 12 Abs. 3 DSGVO); die Identität wird vor Auskunftserteilung geprüft.

• Auskunft (Art. 15 DSGVO): Welche personenbezogenen Daten verarbeitet werden, zu welchem Zweck, welche Empfänger es gibt und wie lange sie gespeichert werden.
• Berichtigung (Art. 16 DSGVO): Korrektur unrichtiger oder Vervollständigung unvollständiger Daten.
• Löschung (Art. 17 DSGVO): Vollständige Löschung des Kontos und aller zugehörigen Daten (Lernfortschritt, E-Mail-Adresse, Passwort-Hash), sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen.
• Einschränkung (Art. 18 DSGVO): Einschränkung der Verarbeitung, z. B. während der Prüfung einer Berichtigung oder eines Widerspruchs.
• Datenübertragbarkeit (Art. 20 DSGVO): Herausgabe der bereitgestellten Daten in einem strukturierten, maschinenlesbaren Format (z. B. JSON), soweit die Verarbeitung auf Vertrag oder Einwilligung beruht.
• Widerspruch (Art. 21 DSGVO) — Konkretisierung: Du kannst der Verarbeitung jederzeit widersprechen, die auf Art. 6 Abs. 1 lit. f DSGVO gestützt wird. Betroffen sind konkret:
  • Speicherung von Verbindungsdaten (IP-Adresse u. a.) in Hosting-Logs bei Vercel und Supabase
  • Übermittlung deiner IP-Adresse an jsDelivr beim Laden der KaTeX-Bibliothek
  Nach einem wirksamen Widerspruch erfolgt eine erneute Verarbeitung dieser Daten nur, wenn zwingende schutzwürdige Gründe vorliegen, die deine Interessen, Rechte und Freiheiten überwiegen, oder wenn die Verarbeitung der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen dient (Art. 21 Abs. 1 S. 2 DSGVO). Hinweis: Bei einem Widerspruch gegen die Verarbeitung von Hosting-Logs oder CDN-Anfragen ist eine technische Fortsetzung des Dienstes ggf. nicht möglich.

Es findet keine automatisierte Entscheidungsfindung einschließlich Profiling im Sinne von Art. 22 DSGVO statt. Deine Daten werden nicht für algorithmische Entscheidungen verwendet, die rechtliche oder ähnlich erhebliche Auswirkungen auf dich haben.

Quadrivo verwendet weder Analyse-Werkzeuge (z. B. Google Analytics, Matomo) noch Werbenetzwerke noch Social-Media-Plugins. Schriftarten werden lokal ausgeliefert — es findet kein Kontakt zu Google-Servern statt. Es werden keine Nutzerprofile erstellt. Daten werden ausschließlich an die in § 9 genannten Auftragsverarbeiter übermittelt, die vertraglich zur Einhaltung des Datenschutzes verpflichtet sind. Eine Weitergabe zu kommerziellen, werblichen oder analytischen Zwecken erfolgt nicht.

Du hast gemäß Art. 77 DSGVO das Recht, dich bei einer Datenschutz-Aufsichtsbehörde zu beschweren. Da der Verantwortliche seinen Sitz in Mannheim (Baden-Württemberg) hat, ist primär zuständig:

Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg (LfDI BW)
Königstraße 10a
70173 Stuttgart
Telefon: +49 (0)711 / 61 55 41-0
E-Mail: poststelle@lfdi.bwl.de
Website: www.baden-wuerttemberg.datenschutz.de

Du kannst dich alternativ an die Aufsichtsbehörde deines eigenen Wohnsitzlandes wenden (Art. 77 Abs. 1 DSGVO). Eine Übersicht aller deutschen Behörden: bfdi.bund.de

Diese Datenschutzerklärung wurde zuletzt im Mai 2026 aktualisiert und entspricht dem aktuellen Stand der App. Bei wesentlichen Änderungen der Datenverarbeitungen wird diese Erklärung entsprechend angepasst. Das Datum am Seitenanfang gibt stets den Stand der gültigen Fassung an.

Hinweis: Diese Datenschutzerklärung wurde mit großer Sorgfalt erstellt, ersetzt jedoch keine individuelle rechtliche Beratung. Bei konkreten rechtlichen Fragen empfiehlt sich die Konsultation eines auf Datenschutzrecht spezialisierten Rechtsanwalts.