Daten­schutz­erklärung

Teil 1: Allgemeine Informationen

1. Verantwortlicher für die Datenverarbeitung

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO), des Bundesdatenschutzgesetzes (BDSG) sowie anderer datenschutzrechtlicher Bestimmungen ist:

Thorge Mrowinski
Projekt „Orately AI“
Gerhart-Hauptmann-Ring 7j
21629 Neu Wulmstorf
Deutschland
E-Mail: support@orately.app

Orately befindet sich derzeit in einer geschlossenen, nicht-kommerziellen Testphase (Private Beta). Der Zugang ist ausschließlich über einen persönlichen Einladungscode möglich, und es werden keine kostenpflichtigen Leistungen angeboten. Ein Gewerbe wird vor dem offiziellen öffentlichen Launch ordnungsgemäß angemeldet.

Was das für den Datenschutz bedeutet: Wir bauen den Dienst und seine Schutzmaßnahmen in dieser Phase laufend aus. Die Verarbeitungen, die hier beschrieben sind, entsprechen dem tatsächlichen Stand der Umsetzung, und wir schreiben diese Erklärung fort, sobald sich etwas ändert. Vor dem öffentlichen Launch führen wir zusätzlich eine förmliche Datenschutz-Folgenabschätzung nach Art. 35 DSGVO durch, in der die Risiken der KI-gestützten Auswertung von Sprachaufnahmen — insbesondere bei minderjährigen Nutzerinnen und Nutzern — vollständig bewertet und die erforderlichen Abhilfemaßnahmen festgelegt werden. Anregungen und Bedenken nehmen wir jederzeit unter support@orately.app entgegen und gehen ihnen nach.

Diese Erklärung gilt für die Website www.orately.app, für die Web-App unter web.orately.app, für die Hilfe- und Dokumentationsseite docs.orately.app sowie für die mobile App „Orately AI - Coach“.

2. Datenschutzbeauftragter

Wir haben keinen Datenschutzbeauftragten benannt, weil dazu keine gesetzliche Verpflichtung besteht:

• Orately wird von einer Einzelperson betrieben. Es sind nicht in der Regel mindestens zwanzig Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt (§ 38 Abs. 1 Satz 1 BDSG).
• Unsere Kerntätigkeit besteht weder in einer umfangreichen regelmäßigen und systematischen Überwachung von Personen noch in einer umfangreichen Verarbeitung besonderer Kategorien personenbezogener Daten (Art. 37 Abs. 1 lit. b und c DSGVO).
• Sollte sich das ändern — insbesondere mit dem öffentlichen Launch und wachsenden Nutzerzahlen — benennen wir einen Datenschutzbeauftragten und nennen ihn an dieser Stelle.

Für alle Fragen zum Datenschutz und zur Ausübung Ihrer Rechte erreichen Sie uns unter support@orately.app.

3. Nutzung durch Kinder und Jugendliche (Art. 8 DSGVO)

Orately richtet sich ausdrücklich an Schülerinnen und Schüler. Ein erheblicher Teil unserer Nutzerinnen und Nutzer ist deshalb minderjährig. Daraus ergeben sich für uns besondere Pflichten, die wir offenlegen:

• Altersgrenze der Einwilligung: Nach Art. 8 Abs. 1 DSGVO ist die Einwilligung eines Kindes in Dienste der Informationsgesellschaft erst ab dem vollendeten 16. Lebensjahr wirksam. Deutschland hat die Öffnungsklausel zur Absenkung dieser Altersgrenze nicht genutzt, es gilt also die Grenze von 16 Jahren. Soweit wir Daten auf Grundlage Ihrer Einwilligung verarbeiten (Sprachaufnahmen, Push-Benachrichtigungen, Fehlerdiagnose), muss diese Einwilligung bei Personen unter 16 Jahren durch die Träger der elterlichen Verantwortung erteilt oder gebilligt werden.
• Vertragliche Seite: Unabhängig davon bedarf der Nutzungsvertrag selbst bei beschränkt geschäftsfähigen Minderjährigen (7 bis 17 Jahre) nach §§ 106 ff. BGB der Einwilligung der gesetzlichen Vertreter. Näheres regeln unsere Nutzungsbedingungen.
• Keine Altersprüfung, bewusst: Wir erheben kein Geburtsdatum und führen keine Altersverifikation durch. Eine Altersprüfung würde zusätzliche und besonders sensible Daten von Minderjährigen erfordern und liefe der Datenminimierung zuwider. Wir verlassen uns stattdessen auf die Zusicherung bei der Registrierung und darauf, dass der Zugang nur über einen persönlich vergebenen Einladungscode möglich ist.
• Keine Werbung, kein Profiling: Wir setzen keine Werbung ein, bilden keine Interessen- oder Verhaltensprofile und geben keine Daten zu Werbezwecken weiter. Es findet keine Verarbeitung statt, die auf die wirtschaftliche Beeinflussung von Kindern zielt.
• Rechte der Eltern: Erziehungsberechtigte können die in Ziffer 5 genannten Rechte für ihr Kind ausüben und uns unter support@orately.app kontaktieren. Erfahren wir, dass ein Konto ohne die erforderliche Einwilligung angelegt wurde, löschen wir es unverzüglich.

4. Unsere Grundsätze

• Datenminimierung (Art. 5 Abs. 1 lit. c DSGVO): Wir erheben keine Anschrift, keine Telefonnummer, kein Geburtsdatum, keine Ausweisdaten und keine Zahlungsdaten.
• Kein Tracking: Weder auf der Website noch in der App kommen Analyse-, Tracking- oder Werbedienste zum Einsatz. Es werden keine geräteübergreifenden Kennungen gebildet.
• Kein Datenverkauf: Wir verkaufen oder vermieten keine personenbezogenen Daten und geben sie nicht zu Werbezwecken an Dritte weiter.
• Keine besonderen Kategorien: Wir fordern keine Daten im Sinne des Art. 9 DSGVO an. Sprachaufnahmen verarbeiten wir ausschließlich zur Erzeugung von Rede-Feedback und ausdrücklich nicht zum Zweck der eindeutigen Identifizierung einer Person; sie sind deshalb keine biometrischen Daten im Sinne des Art. 9 Abs. 1 DSGVO. Bitte sprechen Sie dennoch keine Gesundheits-, Religions- oder vergleichbar sensiblen Inhalte in eine Übungsaufnahme.

5. Ihre Rechte als betroffene Person

Als betroffene Person haben Sie im Rahmen der gesetzlichen Vorgaben der DSGVO jederzeit folgende kostenfreie Rechte gegenüber dem Verantwortlichen:

• Recht auf Auskunft (Art. 15 DSGVO): Sie haben das Recht zu erfahren, ob und welche personenbezogenen Daten wir von Ihnen verarbeiten, zu welchen Zwecken dies geschieht, an welche Empfänger sie weitergegeben werden und wie lange sie gespeichert werden.
• Recht auf Berichtigung (Art. 16 DSGVO): Sie können die unverzügliche Berichtigung unrichtiger oder die Vervollständigung Ihrer bei uns gespeicherten personenbezogenen Daten verlangen. Profil- und Schulangaben können Sie jederzeit selbst in den Einstellungen ändern.
• Recht auf Löschung / Recht auf Vergessenwerden (Art. 17 DSGVO): Sie können die Löschung Ihrer personenbezogenen Daten verlangen, sofern kein gesetzlicher Grund (z. B. gesetzliche Aufbewahrungspflichten) dem entgegensteht. Die Löschung des gesamten Kontos können Sie in der App selbst auslösen (Ziffer 16 in Teil 3).
• Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO): Sie können unter bestimmten Voraussetzungen verlangen, dass die Verarbeitung Ihrer Daten eingeschränkt wird.
• Recht auf Datenübertragbarkeit (Art. 20 DSGVO): Sie haben das Recht, Daten, die wir auf Grundlage Ihrer Einwilligung oder in Erfüllung eines Vertrags automatisiert verarbeiten, in einem gängigen, maschinenlesbaren Format an sich oder an einen Dritten aushändigen zu lassen.
• Recht auf Widerspruch (Art. 21 DSGVO): Sofern Ihre personenbezogenen Daten auf Grundlage von berechtigten Interessen gemäß Art. 6 Abs. 1 lit. f DSGVO verarbeitet werden, haben Sie das Recht, aus Gründen, die sich aus Ihrer besonderen Situation ergeben, Widerspruch gegen die Verarbeitung einzulegen.
• Widerruf einer Einwilligung (Art. 7 Abs. 3 DSGVO): Eine einmal erteilte Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt.

Beschwerderecht (Art. 77 DSGVO): Unabhängig davon haben Sie das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren — insbesondere bei der Behörde Ihres gewöhnlichen Aufenthaltsorts, Ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes. Für unseren Sitz zuständig ist:

Die Landesbeauftragte für den Datenschutz Niedersachsen
Prinzenstraße 5
30159 Hannover
Deutschland
Telefon: +49 511 120-4500
E-Mail: poststelle@lfd.niedersachsen.de
Website: lfd.niedersachsen.de

6. Empfänger und Auftragsverarbeiter im Überblick

Wir setzen die folgenden Dienstleister ein. Mit allen besteht ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO. Soweit eine Übermittlung in ein Drittland stattfindet, ist sie über die EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO) und, soweit der Anbieter dort zertifiziert ist, über das EU-U.S. Data Privacy Framework (Angemessenheitsbeschluss der EU-Kommission vom 10. Juli 2023) abgesichert.

• Supabase Inc., USA — Datenbank, Authentifizierung, Dateispeicher und serverseitige Funktionen. Die von uns gemietete Infrastruktur liegt physisch in Frankfurt am Main (Region eu-central-1).
• Vercel Inc., USA — Hosting und Auslieferung der Website orately.app sowie der Web-App web.orately.app.
• Google (Vertex AI / Google Cloud) — KI-Auswertung und -Erzeugung über den regionalen EU-Endpunkt.
• Google Ireland Limited, Irland — Zustellung von Push-Benachrichtigungen an iOS- und Android-Geräte (Firebase Cloud Messaging).
• Google Ireland Limited, Irland — Anmeldung über ein Google-Konto („Weiter mit Google“), sofern Sie diesen Weg wählen.
• Cloudflare, Inc., USA — Captcha-Verfahren Turnstile zum Schutz der Anmelde- und Registrierungsformulare sowie Weiterleitung der an unsere Adressen gerichteten E-Mails (Email Routing).
• Resend, USA — Versand transaktionaler E-Mails sowie Entgegennahme eingehender Support-E-Mails; Versandregion EU (eu-west-1), Absenderdomain mail.orately.app.
• Pexels — eine Marke der Canva Germany GmbH, Pappelallee 78/79, 10437 Berlin — Stockfoto-Suche im Bild-Dialog des Editors. Wenn Sie diesen Dialog öffnen, werden die Vorschaubilder direkt von den Servern des Dienstes(images.pexels.com) an Ihr Gerät ausgeliefert. Dabei erhält der Dienst technisch zwingend Ihre IP-Adresse und die Angaben Ihres Browsers bzw. Ihrer App. Näheres in Teil 3 Ziffer 18.
• Functional Software, Inc. dba Sentry, USA — Fehlerdiagnose, ausschließlich in der mobilen App und ausschließlich nach Ihrer ausdrücklichen Einwilligung; Meldungen laufen über die EU-Region des Dienstes.
• Push-Dienst Ihres Browser-Herstellers — bei Web-Push technisch notwendige Zustellung an Ihren Browser.

Darüber hinaus geben wir personenbezogene Daten nur weiter, wenn wir gesetzlich dazu verpflichtet sind oder Sie ausdrücklich eingewilligt haben.

7. Speicherdauern im Überblick

• Konto, Profil und Inhalte — solange Ihr Konto besteht; nach einer Löschanfrage endgültige Löschung nach 30 Tagen (Ziffer 16 in Teil 3).
• Präsentationen, Vorträge und Übungssitzungen — bis Sie den jeweiligen Eintrag löschen, längstens bis zur Löschung Ihres Kontos.
• Hashwerte von IP-Adressen (Einladungscode-Vorprüfung) — automatische Löschung nach zwei Stunden.
• Zähler der Versuchsbegrenzung im Konto — automatische Löschung nach zwei Tagen.
• Verfügbarkeitsmessungen der Systeme — automatische Löschung nach 90 Tagen; sie enthalten keine personenbezogenen Daten.
• Protokoll administrativer Eingriffe — automatische Löschung nach einem Jahr.
• Support-Nachrichten — bis zur abschließenden Bearbeitung Ihres Anliegens; danach löschen wir sie, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht.

Teil 2: Daten­verarbeitung auf unserer Website (orately.app)

1. Bereitstellung der Website und Server-Logfiles (Hosting über Vercel)

Unsere Website wird technisch über die Cloud-Plattform der Vercel Inc. (340 S Lemon Ave #4133, Walnut, CA 91789, USA) gehostet und ausgeliefert. Wenn Sie unsere Website aufrufen, erheben die Server von Vercel automatisiert allgemeine Informationen und technische Daten (Browsertyp, Betriebssystem, Referrer-URL, Hostname, IP-Adresse sowie Datum und Uhrzeit). Diese Verarbeitung ist technisch zwingend erforderlich, um eine stabile, performante und sichere Auslieferung zu gewährleisten.

• Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der fehlerfreien und sicheren Bereitstellung).
• Auftragsverarbeitung: Wir haben mit Vercel einen Vertrag zur Auftragsverarbeitung (Data Processing Addendum) geschlossen.
• Drittlandtransfer: Die Verarbeitung erfolgt auf Grundlage der EU-Standardvertragsklauseln.

2. Keine Webanalyse, kein Tracking, keine externen Schriftarten

Auf orately.app setzen wir keine Webanalyse-, Tracking- oder Werbedienste ein. Es werden keine Analyse- oder Werbe-Cookies gesetzt, keine Besucherprofile gebildet und keine Nutzungsdaten zu Analysezwecken an Dritte übermittelt. Die verwendete Schriftart wird beim Erstellen der Seite mit ausgeliefert und nicht zur Laufzeit von einem Google-Server nachgeladen; beim Besuch der Seite entsteht dadurch keine Verbindung zu Google.

• Sprach-Cookie: Gespeichert wird ein technisch notwendiges Cookie, das die von Ihnen gewählte Sprache merkt und die korrekte Sprachfassung ausliefert.
• Anzeigemodus: Ihre Auswahl zwischen hellem und dunklem Erscheinungsbild wird lokal in Ihrem Browser gespeichert und nicht an uns übertragen.
• Rechtsgrundlage: § 25 Abs. 2 Nr. 2 TDDDG für die Speicherung auf Ihrem Endgerät (unbedingt erforderlich für den von Ihnen gewünschten Dienst) und Art. 6 Abs. 1 lit. f DSGVO für die anschließende Verarbeitung. Über die in Ziffer 1 beschriebenen Server-Logfiles hinaus findet keine Auswertung Ihres Besuchs statt.

3. Kontaktaufnahme per E-Mail

Wenn Sie uns an eine der auf der Website genannten Adressen schreiben, verarbeiten wir Ihre Absenderadresse, den Betreff und den Inhalt Ihrer Nachricht, um Ihr Anliegen zu bearbeiten. Einzelheiten dazu finden Sie in Teil 3, Ziffer 13.

Teil 3: Daten­verarbeitung in der App (Orately AI - Coach, mobil und Web)

1. Registrierung, Authentifizierung und Nutzerkonto (Supabase Auth)

Um die App nutzen zu können, ist die Einrichtung eines Nutzerkontos erforderlich.

• E-Mail-Registrierung: Wir verarbeiten Ihre E-Mail-Adresse und Ihr Passwort. Das Passwort wird ausschließlich als nicht umkehrbarer Hashwert gespeichert; im Klartext ist es uns zu keinem Zeitpunkt bekannt. Zusätzlich speichert das Authentifizierungssystem technische Metadaten wie den Zeitpunkt der Registrierung, den Bestätigungsstatus der E-Mail-Adresse und den Zeitpunkt der letzten Anmeldung.
• Drittanbieter-Login (Google Sign-In): Wenn Sie sich über Ihr Google-Konto anmelden, erhalten wir von Google die dort hinterlegte E-Mail-Adresse, Ihren Namen sowie eine eindeutige Google-Nutzer-ID. Ein Passwort wird in diesem Fall nicht vergeben.
• Auftragsverarbeitung und Speicherort: Für Nutzerdatenbank und Authentifizierung nutzen wir Supabase Inc. (1111 Broadway, Suite 300, Oakland, CA 94607, USA). Die von uns gemietete Infrastruktur befindet sich physisch auf Servern am Standort Frankfurt am Main (Deutschland).
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Erfüllung des Nutzungsvertrages).

2. Profilangaben in der App

Zu Ihrem Konto gehört ein Profil, das die Ausgaben der KI auf Ihre Situation zuschneidet. Alle Angaben sind freiwillig und jederzeit änderbar oder löschbar.

• Umfang der Datenverarbeitung: ein Anzeigename, Ihre Klassenstufe, Ihre Schulform und Ihr Bundesland sowie Anwendungseinstellungen (gewählte Coach-Stimme, Erscheinungsbild, Benachrichtigungspräferenzen, Status des Einführungsdurchlaufs).
• Zweck: Anpassung von Sprachniveau, Bewertungsmaßstab und Beispielen an Ihre Jahrgangsstufe und Schulform. Eine Zuordnung zu einer konkreten Schule findet nicht statt; wir erheben keinen Schulnamen.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Erfüllung des Nutzungsvertrages).

3. Zugang über Einladungscode (geschlossene Beta)

Orately wird derzeit als geschlossene Beta betrieben. Ein neu angelegtes Konto ist zunächst nicht freigeschaltet und wird erst durch die Eingabe eines gültigen, persönlichen Einladungscodes aktiviert.

• Umfang der Datenverarbeitung: Zu Ihrem Konto speichern wir, welcher Einladungscode eingelöst wurde und wann dies geschah, ob das Konto freigeschaltet ist und ob es für den unentgeltlichen Beta-Vollzugang vorgesehen ist. Ein Einladungscode selbst enthält keine personenbezogenen Daten.
• Zweck: Steuerung des Zugangs zur Testphase, Nachvollziehbarkeit der Freischaltung und Begrenzung der Mehrfachnutzung eines Codes.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Erfüllung des Nutzungsvertrages) sowie Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Vermeidung von Missbrauch).
• Speicherdauer: Die Zuordnung besteht, solange Ihr Nutzerkonto besteht, und wird mit dessen Löschung entfernt.

4. Bot- und Missbrauchsschutz (Cloudflare Turnstile)

Registrierung, Anmeldung, Passwort-Zurücksetzung und die Vorprüfung eines Einladungscodes sind durch das Captcha-Verfahren Turnstile der Cloudflare, Inc. (101 Townsend Street, San Francisco, CA 94107, USA) geschützt. Ohne diesen Schutz stünden diese Formulare automatisierten Massenregistrierungen, dem Durchprobieren gestohlener Zugangsdaten und dem Erraten von Einladungscodes offen.

• Umfang der Datenverarbeitung: An Cloudflare übermittelt werden Ihre IP-Adresse, technische Merkmale Ihres Browsers bzw. Endgeräts (u. a. User-Agent und Spracheinstellung) sowie ein einmalig gültiges Prüf-Token. Turnstile ist ein datenschutzfreundliches Captcha-Verfahren: Es setzt kein Tracking-Cookie, erstellt keine Nutzerprofile und wertet Ihr Verhalten nicht über die Prüfung hinaus aus.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Abwehr automatisierter Angriffe und missbräuchlicher Registrierungen).
• Empfänger und Drittlandtransfer: Cloudflare, Inc., USA, auf Grundlage eines Auftragsverarbeitungsvertrags; die Übermittlung in die USA ist über die EU-Standardvertragsklauseln bzw. das EU-U.S. Data Privacy Framework abgesichert.

5. Eigener Missbrauchsschutz bei der Vorprüfung von Einladungscodes

Die Vorprüfung eines Einladungscodes erfolgt, bevor Sie ein Konto besitzen. Sie ist damit die einzige Funktion, die ohne Anmeldung erreichbar ist, und muss gegen das automatisierte Durchprobieren von Codes abgesichert werden. Dafür begrenzen wir die Anzahl der Versuche je Internetanschluss und Stunde.

• Umfang der Datenverarbeitung: Gespeichert wird ausschließlich ein mit einem geheimen Zusatzwert („Pepper“) gebildeter SHA-256-Hashwert Ihrer IP-Adresse, der Zeitpunkt des Versuchs und die Information, ob der Versuch erfolgreich war. Die IP-Adresse selbst wird zu keinem Zeitpunkt gespeichert; ohne den geheimen Zusatzwert lässt sich der Hashwert nicht auf eine IP-Adresse zurückführen.
• Zweck: Ausschließlich die Begrenzung der Versuche. Eine Zusammenführung mit Ihrem Nutzerkonto oder eine Profilbildung findet nicht statt.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Abwehr von Brute-Force-Angriffen).
• Speicherdauer: Die Einträge werden automatisch nach zwei Stunden gelöscht.

Auch nach der Anmeldung begrenzen wir die Zahl der Einlöseversuche pro Konto und Stunde. Dafür speichern wir einen Zähler zu Ihrer Nutzer-ID, der automatisch nach zwei Tagen gelöscht wird (Art. 6 Abs. 1 lit. f DSGVO).

6. Speicherung auf Ihrem Endgerät

Damit die App bedienbar bleibt, legen wir einzelne Angaben lokal in Ihrem Browser bzw. auf Ihrem Gerät ab. Diese Daten verlassen Ihr Gerät nicht, soweit sie nicht ohnehin zur Erbringung der Funktion an uns übermittelt werden.

• Anmeldesitzung: ein Sitzungs-Token, das Sie angemeldet hält.
• Registrierungsentwurf: die bereits ausgefüllten Schritte des Registrierungsassistenten (Einladungscode, Klassenstufe, Schulform, Bundesland, E-Mail-Adresse), damit ein Seitenwechsel Ihre Eingaben nicht verwirft. Passwörter werden dabei niemals gespeichert.
• Zwischenspeicher: Entwürfe einer Präsentation sowie eine Kopie Ihrer Übersichtsliste und kurzlebige Adressen für Bilddateien, damit die App nicht bei jedem Aufruf neu laden muss. Beim Abmelden werden diese Einträge entfernt.
• Einstellungen: Sprache, Erscheinungsbild und Ihre Entscheidung über die Fehlerdiagnose (Ziffer 14).
• Rechtsgrundlage: § 25 Abs. 2 Nr. 2 TDDDG (unbedingt erforderlich für den ausdrücklich gewünschten Dienst) sowie Art. 6 Abs. 1 lit. b DSGVO.

7. Erstellte Präsentationen und Vorträge

Wenn Sie eine Präsentation oder einen Vortrag erzeugen, speichern wir das Ergebnis in Ihrem Konto, damit Sie später darauf zugreifen, es weiterbearbeiten und exportieren können.

• Umfang der Datenverarbeitung: Thema, Fach, Jahrgangsstufe und die von Ihnen gewählten Parameter, der erzeugte Inhalt (Gliederung, Folien, Texte), der Bearbeitungsstatus, Ihre Änderungswünsche im Bearbeitungs-Chat samt der daraufhin vorgenommenen Änderungen sowie technische Verbrauchswerte der KI-Aufrufe.
• Dateien: hochgeladene Bilder, von der KI erzeugte Bilder und erstellte Export-Dateien liegen in einem privaten Speicherbereich, der ausschließlich Ihrem Konto zugeordnet ist. Er ist nicht öffentlich; Zugriff ist nur über kurzlebige, signierte Adressen möglich.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
• Speicherdauer: bis Sie den jeweiligen Eintrag löschen, längstens bis zur Löschung Ihres Kontos.

8. Übungssitzungen: Sprachaufnahme, Transkript und Bewertung

Kern der App ist das Üben eines Vortrags. Dabei nehmen Sie über das Mikrofon Ihres Endgeräts Ihren gesprochenen Vortrag auf. Die Aufnahme startet ausschließlich auf Ihre bewusste Handlung hin.

• Umfang der Datenverarbeitung: die Audioaufnahme selbst, das daraus erzeugte wörtliche Transkript, die Dauer, eine Gesamtbewertung, Einzelmetriken (z. B. Sprechtempo, Füllwörter, Pausen), eine Notentendenz und konkrete Verbesserungstipps sowie Thema, Fach und Jahrgangsstufe der Übung.
• Speicherort: Die Audiodatei wird in dem unter Ziffer 7 beschriebenen privaten Speicherbereich bei Supabase am Standort Frankfurt am Main abgelegt; Transkript und Auswertung liegen in der zugehörigen Datenbank.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung, erteilt durch das bewusste Starten der Aufnahme und die Freigabe des Mikrofons) sowie Art. 6 Abs. 1 lit. b DSGVO für die Erbringung der von Ihnen abgerufenen Auswertung. Ihre Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen, indem Sie keine weiteren Aufnahmen anfertigen; bereits gespeicherte Aufnahmen können Sie löschen.
• Bitte beachten: Nehmen Sie keine anderen Personen ohne deren Einwilligung auf und sprechen Sie keine besonders sensiblen Inhalte ein.
• Keine Stimmerkennung: Wir erstellen aus Ihrer Stimme kein biometrisches Profil und nutzen sie nicht, um Sie wiederzuerkennen. Jede Aufnahme wird für sich ausgewertet; es findet kein Abgleich mit früheren Aufnahmen auf Stimmebene statt. Eine Verarbeitung biometrischer Daten zur eindeutigen Identifizierung im Sinne des Art. 9 DSGVO ist damit nicht verbunden.
• Sie entscheiden, ob die Aufnahme aufbewahrt wird: In den Einstellungen können Sie festlegen, dass die Audiodatei unmittelbar nach der Auswertung gelöscht wird. Ist die Option ausgeschaltet, wird die Datei nach Abschluss der Auswertung sofort und dauerhaft entfernt; erhalten bleiben nur Transkript und Auswertung. Unabhängig davon können Sie mit der Funktion „Aufnahmen löschen“ jederzeit sämtliche gespeicherten Audiodateien Ihres Kontos auf einmal entfernen.
• Speicherdauer: Audioaufnahmen bleiben — sofern Sie die Aufbewahrung nicht wie vorstehend abgeschaltet haben — gespeichert, bis Sie sie über „Aufnahmen löschen“ entfernen, längstens bis zur Löschung Ihres Kontos. Transkript und Auswertung bestehen davon unabhängig fort und werden spätestens mit der Löschung Ihres Kontos entfernt; „Aufnahmen löschen“ betrifft nur die Audiodateien. Wir setzen hier bewusst keine automatische Frist, weil Ihr Übungsverlauf und der Vergleich mit der jeweils letzten Übung („Was ist besser geworden?“) auf diesen Daten beruhen. Sie können jede einzelne Übungssitzung jederzeit selbst löschen — in der Übersicht Ihrer Übungen. Dabei werden Transkript und Auswertung sofort entfernt; die zugehörige Audiodatei räumt ein nächtlicher Aufräumlauf innerhalb von längstens 48 Stunden endgültig aus dem Speicher.

9. KI-Verarbeitung (Google Vertex AI)

Für die Erzeugung von Inhalten und für das automatisierte Feedback nutzen wir die KI-Plattform Vertex AI von Google Cloud. Zum Einsatz kommt derzeit das Sprachmodell Gemini 3.1 Flash Lite; für die Erzeugung von Folienbildern wird zusätzlich ein Bildmodell (Imagen) in der Region europe-west4 angesprochen.

• Was übermittelt wird: Ihre Eingaben (Thema, Fach, Jahrgangsstufe, Vorgaben, Änderungswünsche), von Ihnen hochgeladene Bilder und — bei der Auswertung einer Übung — die Audioaufnahme selbst. Die Aufnahme wird dafür serverseitig aus dem privaten Speicher geladen und im selben Aufruf an das Modell übergeben. Ihre E-Mail-Adresse, Ihr Name und Ihre Kontokennung werden nicht mit übermittelt.
• Strikte Nutzung des EU-Endpunkts: Die Aufrufe gehen ausschließlich an den regionalen Endpunkt innerhalb der Europäischen Union. Die Verarbeitung findet damit auf Servern innerhalb der EU statt.
• Kein Modelltraining: Vertraglich ist festgelegt, dass die übermittelten Daten nicht dazu verwendet werden, die KI-Modelle zu trainieren oder zu verbessern. Sie werden nach dem Verarbeitungsvorgang gelöscht.
• Keine Ableitung von Gefühlen: Die Auswertung Ihrer Übung beschränkt sich auf beobachtbare, messbare Merkmale des Sprechens — Sprechtempo, Lautstärkeverlauf, Pausen, Verständlichkeit, Füllwörter, Satzbau und Aussprache. Es findet ausdrücklich keine Erkennung oder Ableitung von Emotionen, Stimmungen oder Persönlichkeitsmerkmalen statt. Ein System zur Emotionserkennung im Sinne des Art. 3 Nr. 39 der Verordnung (EU) 2024/1689 (KI-Verordnung) setzen wir nicht ein.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO für die von Ihnen abgerufene Leistung; für die Übermittlung der Sprachaufnahme zusätzlich Art. 6 Abs. 1 lit. a DSGVO. Mit Google besteht ein Vertrag zur Auftragsverarbeitung.

Transparenz nach der KI-Verordnung: Orately ist ein KI-System im Sinne der Verordnung (EU) 2024/1689 (KI-Verordnung). Wir weisen Sie daher ausdrücklich darauf hin, dass Sie mit einem KI-System interagieren und dass die erzeugten Texte, Gliederungen, Folien und Bilder künstlich erzeugte Inhalte sind (Art. 50 Abs. 1 und 2 KI-VO). Wir kennzeichnen erzeugte Inhalte in der Oberfläche und arbeiten daran, die maschinenlesbare Kennzeichnung synthetischer Inhalte in Exportdateien vollständig umzusetzen. Wenn Sie erzeugte Inhalte veröffentlichen oder in Schule, Studium oder Beruf verwenden, beachten Sie bitte die dort geltenden Kennzeichnungs- und Offenlegungspflichten.

Grenzen der KI und keine automatisierte Entscheidung: Die Ausgaben sind computergenerierte Vorschläge auf Basis statistischer Wahrscheinlichkeiten. Sie können sachlich falsch, unvollständig oder unpassend sein und ersetzen keine Bewertung durch eine Lehrkraft. Es findet keine automatisierte Entscheidung im Einzelfall einschließlich Profiling statt, die Ihnen gegenüber rechtliche Wirkung entfaltet oder Sie in ähnlicher Weise erheblich beeinträchtigt (Art. 22 DSGVO): Die angezeigte Punktzahl und Notentendenz sind eine Übungsrückmeldung an Sie und werden weder an Ihre Schule noch an Dritte übermittelt.

10. Nutzungsguthaben und Redezeit

Der Umfang der KI-gestützten Funktionen wird über ein internes Nutzungsguthaben und ein Kontingent auswertbarer Redezeit gesteuert.

• Umfang der Datenverarbeitung: eine Buchungshistorie mit Zeitpunkt, Betrag und Anlass jeder Gutschrift oder Abbuchung sowie die verbleibende Redezeit. Nutzerinnen und Nutzer mit Beta-Zugang erhalten einmalig 50 Guthabeneinheiten und zwei Stunden Redezeit unentgeltlich.
• Zweck: korrekte Zuteilung und Abrechnung der Kontingente sowie Schutz vor missbräuchlicher Vielfachnutzung. Eine Zahlungsabwicklung ist damit nicht verbunden (Ziffer 17).
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

11. Push-Benachrichtigungen (Firebase Cloud Messaging & Web Push)

Wir bieten optionale Push-Benachrichtigungen an, um Sie über rein betriebliche Ereignisse zu informieren — insbesondere darüber, dass Orately nach einer Wartung wieder erreichbar ist. Es werden keine Werbe-Nachrichten versendet und keine Nutzungsprofile gebildet.

• Mobile App (Firebase Cloud Messaging): Für die Zustellung auf iOS- und Android-Geräten nutzen wir Firebase Cloud Messaging (FCM) der Google Ireland Limited (Gordon House, Barrow Street, Dublin 4, Irland). Verarbeitet wird ausschließlich ein pseudonymes, gerätebezogenes Zustell-Token, das zusammen mit der Plattform-Angabe (iOS/Android) in unserer Datenbank am Standort Frankfurt am Main gespeichert wird. Namen, E-Mail-Adressen, Inhalte oder Nutzungsdaten werden nicht an Google übermittelt.
• Web-App (Web Push): Im Browser nutzen wir den offenen Web-Push-Standard mit VAPID-Authentifizierung über den Push-Dienst Ihres Browser-Herstellers. Gespeichert werden die technische Push-Adresse Ihres Browsers, die zugehörigen Verschlüsselungs-Schlüssel und die Kennung Ihres Browsers; die Nachrichteninhalte sind an Ihren Browser verschlüsselt. Ein Firebase-Dienst kommt im Web nicht zum Einsatz.
• Einwilligung und Widerruf: Benachrichtigungen werden erst nach Ihrer ausdrücklichen Zustimmung über den System-Berechtigungsdialog aktiviert und können jederzeit in den System- bzw. Browser-Einstellungen deaktiviert werden. Bei Abmeldung oder Deinstallation wird das Token ungültig und der zugehörige Datensatz entfernt.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung).

12. Versand von Transaktions-E-Mails (Resend)

Für den E-Mail-Versand nutzen wir den Versanddienstleister Resend (Anbieter mit Sitz in den USA). Versendet werden ausschließlich transaktionale Nachrichten — insbesondere die Bestätigung Ihrer Registrierung, das Zurücksetzen Ihres Passworts sowie unsere Antworten auf Support-Anfragen. Werbe- oder Newsletter-Mails versenden wir nicht.

• Umfang der Datenverarbeitung: Ihre E-Mail-Adresse, Betreff und Inhalt der jeweiligen Nachricht sowie der technische Zustellstatus (z. B. zugestellt, unzustellbar). Versendet wird über unsere verifizierte Absenderdomain mail.orately.app.
• Verarbeitungsort: Der Versand ist auf die EU-Region (eu-west-1) konfiguriert.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO für konto- und vertragsbezogene Nachrichten sowie Art. 6 Abs. 1 lit. f DSGVO für die Bearbeitung Ihrer Support-Anfragen.
• Drittlandtransfer: abgesichert über die EU-Standardvertragsklauseln bzw. das EU-U.S. Data Privacy Framework.

13. Support-Anfragen

Schreiben Sie uns an support@orately.app, wird Ihre Nachricht in unser Support-System übernommen, damit wir sie zuverlässig bearbeiten und beantworten können.

• Umfang der Datenverarbeitung: Absenderadresse und -name, Betreff, Nachrichtentext, Bearbeitungsstatus, interne Bearbeitungsnotizen sowie unsere Antworten. Bei Anfragen zur Wiederherstellung eines Kontos verarbeiten wir zusätzlich die von Ihnen gemachten Angaben zur Überprüfung Ihrer Berechtigung. Sofern sich die Adresse einem Konto zuordnen lässt, vermerken wir diese Zuordnung.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO bei vertragsbezogenen Anliegen, sonst Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Beantwortung von Anfragen und am Schutz vor unberechtigten Kontoübernahmen).
• Speicherdauer: bis zur abschließenden Bearbeitung Ihres Anliegens; danach löschen wir die Vorgänge, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht.

14. Fehlerdiagnose in der mobilen App (Sentry)

Zur Gewährleistung der Stabilität nutzen wir ausschließlich in der mobilen App den Fehlerdiagnosedienst Sentry der Functional Software Inc. dba Sentry (45 Fremont Street, 8th Floor, San Francisco, CA 94105, USA). Die Meldungen laufen über die EU-Region des Dienstes. In der Web-App und auf der Website wird Sentry nicht eingesetzt.

• Umfang der Datenverarbeitung: bei einem Fehler die Fehlermeldung, der technische Aufrufverlauf, App-Version, Gerätetyp und Betriebssystemversion sowie technische Zwischenschritte vor dem Fehler. Die Übertragung personenbezogener Standardangaben ist ausdrücklich abgeschaltet: IP-Adressen, Anfrage-Header und Cookies werden nicht übermittelt, ebenso wenig Inhalte Ihrer Präsentationen oder Vorträge.
• Einwilligungsbasierte Nutzung: Die Fehlerdiagnose ist standardmäßig ausgeschaltet und wird erst nach Ihrer ausdrücklichen Zustimmung im Einführungsdurchlauf aktiviert. Sie können sie jederzeit in den Einstellungen widerrufen; danach wird der Dienst geschlossen und es verlässt nichts mehr Ihr Gerät.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung); Drittlandtransfer abgesichert über die EU-Standardvertragsklauseln.

15. Sicherheits- und Betriebsprotokolle

• Verfügbarkeitsüberwachung: Wir prüfen regelmäßig automatisiert, ob unsere Dienste erreichbar sind, und speichern Zeitpunkt, Antwortzeit und Statuscode. Diese Messwerte enthalten keine personenbezogenen Daten und werden nach 90 Tagen automatisch gelöscht.
• Protokoll administrativer Eingriffe: Eingriffe in Konten durch die Administration (z. B. Sperren, Entsperren, Löschen, Bearbeiten eines Support-Vorgangs) werden mit Zeitpunkt, handelnder Person und betroffenem Konto protokolliert. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Nachvollziehbarkeit und Missbrauchsprävention); die Einträge werden nach einem Jahr automatisch gelöscht.
• Serverseitige Protokolle: Bei unseren Infrastruktur-Dienstleistern fallen technische Protokolle an, die der Fehlersuche und der Abwehr von Angriffen dienen (Art. 6 Abs. 1 lit. f DSGVO).

16. Löschung Ihres Kontos

Sie können die Löschung Ihres Kontos jederzeit in der App selbst auslösen. Der Ablauf ist bewusst zweistufig, damit eine versehentliche Löschung nicht sofort unumkehrbar ist.

• Karenzzeit von 30 Tagen: Mit Ihrer Anforderung wird das Konto zur Löschung vorgemerkt. Innerhalb von 30 Tagen können Sie die Löschung selbst wieder aufheben.
• Endgültige Löschung: Nach Ablauf der 30 Tage entfernt ein täglich laufender automatischer Vorgang das Konto endgültig. Damit werden sämtliche mit dem Konto verknüpften Datenbankeinträge unwiderruflich gelöscht — Zugangsdaten, Profil, erstellte Präsentationen und Vorträge, Bearbeitungsverläufe, Übungssitzungen mit Transkripten und Bewertungen, Guthabenhistorie, Redezeitkonto, Push-Token und die Einlösung des Einladungscodes.
• Dateien: Ihre im privaten Speicherbereich abgelegten Dateien (Sprachaufnahmen, hochgeladene und erzeugte Bilder, Export-Dateien) werden im Zuge der Kontolöschung entfernt. Sollte eine Datei aus technischen Gründen zurückbleiben, löschen wir sie auf Ihren Hinweis unverzüglich.
• Ausnahmen: Unabhängig davon bleiben Protokolle administrativer Eingriffe und bereits abgeschlossene Support-Vorgänge für die oben genannten Fristen bestehen, soweit sie zur Nachvollziehbarkeit erforderlich sind oder gesetzliche Aufbewahrungspflichten bestehen.

17. Zahlungen, Abonnements und In-App-Käufe (derzeit nicht im Einsatz)

Orately befindet sich in einer geschlossenen Beta und wird unentgeltlich bereitgestellt. Es werden keine Abonnements, Guthabenpakete oder In-App-Käufe angeboten oder abgeschlossen. Eine Zahlungsabwicklung findet daher gegenwärtig nicht statt, und es werden keine Zahlungsdaten erhoben oder an einen Zahlungs- oder Abrechnungsdienstleister übermittelt.

• Vorbereitete, aber abgeschaltete Anbindungen: Für eine spätere kostenpflichtige Version ist die technische Anbindung der Abrechnungsdienstleister Stripe und RevenueCat im Quellcode angelegt. Beide sind nicht in Betrieb, weil die dafür erforderlichen Zugangsdaten nicht gesetzt sind; sie empfangen und verarbeiten keine Daten.
• Vor einer Aktivierung: Wir werden diese Datenschutzerklärung vorher entsprechend aktualisieren und Sie darüber informieren. Kostenpflichtige Leistungen kommen erst nach Ihrer ausdrücklichen und gesonderten Zustimmung zustande.

18. Bildersuche über Pexels

Im Bild-Dialog des Editors können Sie kostenfreie Stockfotos des Dienstes Pexels suchen und in Ihre Präsentation übernehmen. Der Dienst wird betrieben von Pexels, einer Marke der Canva Germany GmbH, Pappelallee 78/79, 10437 Berlin.

• Suchanfrage: Ihren Suchbegriff — bei der automatischen Bebilderung das Thema Ihrer Präsentation — übermittelt unser Server an die Schnittstelle des Dienstes. Ihre IP-Adresse wird dabei nicht weitergegeben, weil die Anfrage von uns und nicht von Ihrem Gerät ausgeht.
• Vorschaubilder: Die Trefferbilder werden dagegen direkt von den Servern des Dienstes an Ihr Gerät ausgeliefert (images.pexels.com). Dabei erhält der Dienst technisch zwingend Ihre IP-Adresse, den Zeitpunkt des Abrufs und die Kennung Ihres Browsers bzw. Ihrer App. Auf diese Übermittlung haben wir keinen Einfluss; sie ist Voraussetzung dafür, dass die Bilder angezeigt werden können.
• Übernommene Bilder: Entscheiden Sie sich für ein Bild, lädt unser Server es herunter und legt es in unserem eigenen, privaten Dateispeicher ab. Ab diesem Zeitpunkt wird das Bild aus unserem Speicher ausgeliefert, nicht mehr vom Dienst.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO — die Bildersuche ist Teil der von Ihnen angeforderten Funktion. Sie können die Übermittlung vollständig vermeiden, indem Sie den Bild-Dialog nicht öffnen und stattdessen eigene Bilder hochladen oder Bilder erzeugen lassen.
• Drittlandbezug: Verantwortlich ist eine Gesellschaft mit Sitz in Deutschland. Eine Übermittlung an Konzerngesellschaften außerhalb der EU durch den Anbieter selbst können wir nicht ausschließen; Einzelheiten regelt dessen Datenschutzerklärung.

19. Kamerazugriff für die Selbstvorschau

Beim Üben eines Vortrags können Sie in der mobilen App eine Selbstvorschau einschalten, damit Sie sich während des Sprechens selbst sehen. Dafür fragt die App den Zugriff auf die Kamera Ihres Geräts ab.

• Es wird kein Video aufgezeichnet. Das Kamerabild wird ausschließlich auf Ihrem Gerät angezeigt. Es wird nicht gespeichert, nicht an uns übertragen und nicht an die KI übergeben. Ausgewertet wird allein die Tonaufnahme (Ziffer 8).
• Freiwillig: Sie können die Berechtigung ablehnen oder jederzeit in den Systemeinstellungen Ihres Geräts entziehen. Die Übungsfunktion bleibt ohne Kamera vollständig nutzbar.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung durch Erteilen der Systemberechtigung).

Möchten Sie ein eigenes Bild oder ein Dokument als Grundlage einer Präsentation hochladen, öffnet die App die Dateiauswahl Ihres Geräts. Wir erhalten dabei ausschließlich die von Ihnen ausgewählte Datei. Ein Zugriff auf Ihre Fotomediathek wird nicht angefordert.

20. Änderungen dieser Datenschutzerklärung

Wir passen diese Erklärung an, wenn sich die Verarbeitung ändert — etwa weil eine Funktion hinzukommt oder ein Dienstleister wechselt. Es gilt stets die auf dieser Seite veröffentlichte Fassung. Bei wesentlichen Änderungen informieren wir Sie zusätzlich in der App oder per E-Mail.

Stand dieser Datenschutzerklärung: August 2026.