Datenschutzerklärung

Präambel

Mit der folgenden Datenschutzerklärung möchten wir Sie darüber aufklären, welche Arten Ihrer personenbezogenen Daten (nachfolgend auch kurz als "Daten" bezeichnet) wir zu welchen Zwecken und in welchem Umfang verarbeiten. Die Datenschutzerklärung gilt für alle von uns durchgeführten Verarbeitungen personenbezogener Daten, sowohl im Rahmen der Erbringung unserer Leistungen als auch insbesondere auf unseren Webseiten, in mobilen Applikationen sowie innerhalb externer Onlinepräsenzen, wie z. B. unserer Social-Media-Profile (nachfolgend zusammenfassend bezeichnet als "Onlineangebot").

Die verwendeten Begriffe sind nicht geschlechtsspezifisch.

Stand: 10. Juni 2026

Inhaltsübersicht
* Präambel
* Verantwortlicher
* Übersicht der Verarbeitungen
* Maßgebliche Rechtsgrundlagen
* Sicherheitsmaßnahmen
* Internationale Datentransfers
* Rechte der betroffenen Personen
* Einsatz von Cookies und lokale Speicherung
* Bereitstellung des Onlineangebotes und Webhosting
* KI-gestützter Chat-Dienst
* Audio-Dienst
* Bot-Schutz (Cloudflare Turnstile)
* Conversion-Messung (Google Ads)
* Reichweitenmessung
* Auftragsverarbeiter

Verantwortlicher

ChipMates gemeinnützige GmbH
vertreten durch Michael Strasser
Schusterstr. 50
79098 Freiburg im Breisgau
E-Mail: [email protected]

Ein Datenschutzbeauftragter ist nicht bestellt, da die gesetzlichen Voraussetzungen hierfür nicht vorliegen (§ 38 BDSG).

Übersicht der Verarbeitungen

Die nachfolgende Übersicht fasst die Arten der verarbeiteten Daten und die Zwecke ihrer Verarbeitung zusammen und verweist auf die betroffenen Personen.

Arten der verarbeiteten Daten:
* Kontaktdaten
* Inhaltsdaten
* Nutzungsdaten
* Meta-, Kommunikations- und Verfahrensdaten

Kategorien betroffener Personen:
* Kommunikationspartner
* Nutzer

Zwecke der Verarbeitung:
* Kontaktanfragen und Kommunikation
* Sicherheitsmaßnahmen
* Verwaltung und Beantwortung von Anfragen
* Feedback
* Bereitstellung unseres Onlineangebotes und Nutzerfreundlichkeit
* Informationstechnische Infrastruktur

Maßgebliche Rechtsgrundlagen

Maßgebliche Rechtsgrundlagen nach der DSGVO: Im Folgenden erhalten Sie eine Übersicht der Rechtsgrundlagen der DSGVO, auf deren Basis wir personenbezogene Daten verarbeiten. Bitte nehmen Sie zur Kenntnis, dass neben den Regelungen der DSGVO nationale Datenschutzvorgaben in Ihrem bzw. unserem Wohn- oder Sitzland gelten können. Sollten ferner im Einzelfall speziellere Rechtsgrundlagen maßgeblich sein, teilen wir Ihnen diese in der Datenschutzerklärung mit.

• Einwilligung (Art. 6 Abs. 1 S. 1 lit. a) DSGVO)
• Vertragserfüllung und vorvertragliche Anfragen (Art. 6 Abs. 1 S. 1 lit. b) DSGVO)
• Berechtigte Interessen (Art. 6 Abs. 1 S. 1 lit. f) DSGVO)

Nationale Datenschutzregelungen in Deutschland: Zusätzlich zu den Datenschutzregelungen der DSGVO gelten nationale Regelungen zum Datenschutz in Deutschland. Hierzu gehört insbesondere das Gesetz zum Schutz vor Missbrauch personenbezogener Daten bei der Datenverarbeitung (Bundesdatenschutzgesetz – BDSG). Das BDSG enthält insbesondere Spezialregelungen zum Recht auf Auskunft, zum Recht auf Löschung, zum Widerspruchsrecht, zur Verarbeitung besonderer Kategorien personenbezogener Daten, zur Verarbeitung für andere Zwecke und zur Übermittlung sowie automatisierten Entscheidungsfindung im Einzelfall einschließlich Profiling. Ferner können Landesdatenschutzgesetze der einzelnen Bundesländer zur Anwendung gelangen.

Hinweis auf Geltung DSGVO und Schweizer DSG: Diese Datenschutzhinweise dienen sowohl der Informationserteilung nach dem schweizerischen Bundesgesetz über den Datenschutz (Schweizer DSG) als auch nach der Datenschutzgrundverordnung (DSGVO). Aus diesem Grund bitten wir Sie zu beachten, dass aufgrund der breiteren räumlichen Anwendung und Verständlichkeit die Begriffe der DSGVO verwendet werden. Insbesondere statt der im Schweizer DSG verwendeten Begriffe „Bearbeitung" von „Personendaten", "überwiegendes Interesse" und "besonders schützenswerte Personendaten" werden die in der DSGVO verwendeten Begriffe „Verarbeitung" von „personenbezogenen Daten" sowie "berechtigtes Interesse" und "besondere Kategorien von Daten" verwendet. Die gesetzliche Bedeutung der Begriffe wird jedoch im Rahmen der Geltung des Schweizer DSG weiterhin nach dem Schweizer DSG bestimmt.

Sicherheitsmaßnahmen

Wir treffen nach Maßgabe der gesetzlichen Vorgaben geeignete technische und organisatorische Maßnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten. Diese Maßnahmen umfassen insbesondere die Sicherung der Vertraulichkeit, Integrität und Verfügbarkeit von Daten.

Zu den Maßnahmen gehören die Kontrolle des physischen und elektronischen Zugangs zu den Daten, die Sicherung der Verfügbarkeit und ihrer Trennung sowie die Einrichtung von Verfahren zur Wahrnehmung von Betroffenenrechten, Löschung von Daten und Reaktionen auf Gefährdungen der Daten.

TLS/SSL-Verschlüsselung (https): Um die Daten der Benutzer zu schützen, verwenden wir TLS/SSL-Verschlüsselung. Diese gewährleistet die sichere Übertragung von Daten zwischen unserer Website und dem Browser des Nutzers.

Internationale Datentransfers

Sofern wir Daten in einem Drittland (außerhalb der EU oder des EWR) verarbeiten, erfolgt dies nur im Einklang mit den gesetzlichen Vorgaben.

Datentransfers in Drittländer erfolgen nur, wenn das Datenschutzniveau durch einen Angemessenheitsbeschluss anerkannt wurde, durch Standardvertragsklauseln, ausdrückliche Einwilligung oder im Rahmen gesetzlich erforderlicher Übermittlungen.

EU-US Trans-Atlantic Data Privacy Framework: Bestimmte Unternehmen in den USA bieten durch das Data Privacy Framework (DPF) ein anerkanntes Datenschutzniveau, das im Rahmen eines Angemessenheitsbeschlusses als sicher anerkannt wurde.

Rechte der betroffenen Personen

Ihnen stehen als Betroffene nach der DSGVO verschiedene Rechte zu, darunter:

• Widerspruchsrecht (Art. 21 DSGVO): Sie haben das Recht, aus Gründen, die sich aus Ihrer besonderen Situation ergeben, gegen die Verarbeitung Ihrer Daten auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse) Widerspruch einzulegen. Dies betrifft insbesondere die Verarbeitung zu Sicherheits- und Rate-Limiting-Zwecken.
• Widerrufsrecht bei Einwilligungen
• Auskunftsrecht (Art. 15 DSGVO)
• Recht auf Berichtigung (Art. 16 DSGVO)
• Recht auf Löschung (Art. 17 DSGVO) und Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Recht auf Datenübertragbarkeit (Art. 20 DSGVO)
• Beschwerde bei einer Aufsichtsbehörde (Art. 77 DSGVO)

Löschung Ihrer Daten: Da alle Chat-Daten ausschließlich lokal auf Ihrem Gerät gespeichert werden (verschlüsselt in IndexedDB), können Sie diese jederzeit durch Löschen Ihrer Browserdaten vollständig entfernen. Eine serverseitige Löschung ist nicht erforderlich, da wir keine Chat-Inhalte serverseitig speichern.

Zuständige Aufsichtsbehörde: Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg, Lautenschlagerstraße 20, 70173 Stuttgart, www.baden-wuerttemberg.datenschutz.de.

Einsatz von Cookies und lokale Speicherung

Wir verwenden KEINE Tracking-, Analyse- oder Marketing-Cookies. Die einzige Cookie-Nutzung erfolgt durch Cloudflare (__cf_bm), einen technisch notwendigen Sicherheitscookie für Bot-Schutz und Firewall (§ 25 Abs. 2 Nr. 2 TDDDG). Dieser Cookie wird automatisch von Cloudflare gesetzt und erfordert keine Einwilligung.

Bereitstellung des Onlineangebotes und Webhosting

Wir verarbeiten die Daten der Nutzer, um unsere Online-Dienste zur Verfügung zu stellen. Zu diesem Zweck verarbeiten wir die IP-Adresse des Nutzers, die notwendig ist, um die Inhalte und Funktionen unserer Online-Dienste an den Browser oder das Endgerät der Nutzer zu übermitteln.

Verarbeitete Datenarten:
* Nutzungsdaten

Betroffene Personen:
* Nutzer

Rechtsgrundlagen:
* Berechtigte Interessen (Art. 6 Abs. 1 S. 1 lit. f) DSGVO)

Webhosting: Die Website wird über Cloudflare Pages (Cloudflare, Inc., 101 Townsend St, San Francisco, CA 94107, USA) als Content-Delivery-Netzwerk ausgeliefert. Cloudflare ist unter dem EU-US Data Privacy Framework (DPF) zertifiziert. Bei der Auslieferung der statischen Website-Dateien (HTML, CSS, JavaScript) werden IP-Adressen in Cloudflare Access Logs erfasst. Es werden keine Chat-Inhalte, Audio-Daten oder sonstige Nutzerdaten über Cloudflare Pages verarbeitet.

Audio-Server: Für die Sprachverarbeitung (TTS/STT) betreiben wir eigene Server bei Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland. Standorte: Falkenstein und Nürnberg, Deutschland. Die Datenschutzerklärung von Hetzner: https://www.hetzner.com/legal/privacy-policy.

Die Datenerhebung erfolgt auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO. Der Betreiber hat ein berechtigtes Interesse an der technisch fehlerfreien Darstellung und zuverlässigen Bereitstellung des Dienstes.

KI-gestützter Chat-Dienst

Unser Chat-Dienst nutzt künstliche Intelligenz (KI) zur Generierung von Bildungsinhalten. Dabei werden folgende Daten verarbeitet:

Verarbeitete Daten:

• Ihre Chat-Eingaben (Textnachrichten an den KI-Assistenten)
• Technische Daten (IP-Adresse gehasht, Zeitstempel, Browser-Kennung)
• Spracheinstellung

Verarbeitungszweck: Bereitstellung des KI-gestützten Bildungsdienstes (Art. 6 Abs. 1 lit. b DSGVO, Vertragserfüllung).

Auftragsverarbeiter:

• Nebius B.V. (Niederlande), Verarbeitung in eu-north1 (Finnland, EWR). Zweck: KI-Inferenz (Textgenerierung) im kostenlosen Modus. Keine Datenaufbewahrung (Zero Data Retention aktiviert). Kein Training mit Nutzerdaten. Auftragsverarbeitungsvertrag in den Nebius-Nutzungsbedingungen integriert.
• OpenRouter, Inc. (USA). Zweck: API-Routing für KI-Inferenz im BYOK-Modus (Bring Your Own Key). Nutzer stellen ihren eigenen API-Schlüssel bereit, der ausschließlich lokal im Browser gespeichert wird. OpenRouter leitet Anfragen an den gewählten KI-Anbieter weiter. Datenschutzrichtlinie: https://openrouter.ai/privacy.
• Cloudflare, Inc. (USA), Verarbeitung überwiegend in Europa. Zweck: API-Proxy, Sicherheit (WAF, Bot-Schutz), Rate Limiting. Auftragsverarbeitungsvertrag im Cloudflare Dashboard abrufbar. EU Cloud Code of Conduct Compliance Mark.

Speicherdauer: Chat-Inhalte werden serverseitig NICHT gespeichert. KI-Antworten werden per Streaming direkt an Ihren Browser übertragen. Sicherheitslogs (nur bei Blockierung durch Inhaltsfilter) werden bis zu 90 Tage anonymisiert aufbewahrt (IP gehasht). Rate-Limit-Zähler halten die IP-Adresse für höchstens eine Stunde in einem kurzlebigen Schlüssel und werden danach automatisch gelöscht. IP-Adressen gelangen nie in unsere Analytik.

Hinweis: Bitte geben Sie keine personenbezogenen Daten (Name, Adresse, Telefonnummer, E-Mail, Bankdaten) in den Chat ein.

Audio-Dienst (Sprachsynthese und Spracherkennung)

Für die Sprachausgabe (Text-to-Speech) und Spracheingabe (Speech-to-Text) nutzen wir selbst betriebene Server in Deutschland:

• Standort: Hetzner GEX130, Falkenstein und Nürnberg, Deutschland
• Datenverarbeitung ausschließlich in Deutschland
• Sprachdaten werden zur Verarbeitung übertragen und unmittelbar nach der Konvertierung gelöscht
• Keine Aufzeichnung von Sprachaufnahmen
• Audio-Daten werden direkt vom Browser an die Hetzner-Server übertragen (kein Drittanbieter beteiligt)

Minderjährige / Nutzer unter 16 Jahren

Gemäß Art. 8 DSGVO i.V.m. § 8 BDSG benötigen Personen unter 16 Jahren die Zustimmung eines Erziehungsberechtigten zur Nutzung des Chat-Dienstes, soweit personenbezogene Daten verarbeitet werden.

Wir haben folgende Schutzmaßnahmen implementiert:

• Altersbestätigung vor der ersten Chat-Nutzung
• Hinweis auf Erfordernis der elterlichen Zustimmung
• Technische Inhaltssicherung (mehrschichtige Inhaltsfilterung)
• Jugendschutzbeauftragter benannt (siehe Impressum)

Technisch notwendige Speicherung

Wir verwenden KEINE Tracking-, Analyse- oder Marketing-Cookies. Folgende technisch notwendige Speicherungen erfolgen auf Ihrem Gerät (§ 25 Abs. 2 Nr. 2 TDDDG):

• Chat-Verlauf und Konversationen (IndexedDB, verschlüsselt mit AES-256-GCM, ausschließlich lokal auf Ihrem Gerät)
• Spracheinstellung (localStorage)
• Zustimmung zu den Nutzungsbedingungen (localStorage)
• Altersbestätigung (localStorage)
• Sitzungsdaten (sessionStorage, bei Schließen des Tabs gelöscht)
• Cloudflare-Sicherheitscookies (__cf_bm): Technisch notwendig für Bot-Schutz und WAF

Alle lokal gespeicherten Daten können Sie jederzeit durch Löschen Ihrer Browserdaten vollständig entfernen.

Auftragsverarbeiter

Bot-Schutz (Cloudflare Turnstile)

Zum Schutz vor automatisiertem Missbrauch nutzen wir Cloudflare Turnstile, einen Bot-Schutz-Dienst von Cloudflare, Inc. Dabei wird ein externes Skript von challenges.cloudflare.com geladen. Turnstile arbeitet im unsichtbaren Modus (kein CAPTCHA) und erzeugt ein Sicherheits-Token zur Verifizierung, dass die Anfrage von einem echten Nutzer stammt. Es werden keine personenbezogenen Daten an Cloudflare übermittelt, die über die technisch notwendige Verbindung hinausgehen.

Rechtsgrundlage: Berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO) an der Sicherheit und Integrität des Dienstes.

Conversion-Messung (Google Ads, nur mit Einwilligung)

Wenn Sie über eine Google-Werbeanzeige auf unsere Website gelangen, enthält die URL einen Klick-Identifikator (gclid). Der gclid ist eine von Google vergebene Kennung pro Klick. Da Google ihn Ihrem Klick und gegebenenfalls Ihrem Google-Konto zuordnen kann, behandeln wir ihn als personenbezogenes Datum, nicht als anonyme Kennung.

Der gclid wird im sessionStorage Ihres Browsers gespeichert (kein Cookie). Er ist an den Browser-Tab gebunden. Eine Übermittlung an Google findet ausschließlich dann statt, wenn Sie hierzu Ihre ausdrückliche Einwilligung erteilen. Diese Einwilligung wird nur Besuchern angeboten, die über eine Google-Anzeige kommen, und ist optional. Ohne Einwilligung wird nichts an Google übermittelt.

Mit Ihrer Einwilligung übermitteln wir den gclid bei bestimmten Ereignissen (Beginn der Erkundung der Bibliothek, Profilerstellung, Auswahl eines Lernmodus, Nutzung eines Konzils) serverseitig über die Google Ads Conversion API, damit die Anzeige einer Conversion zugeordnet werden kann (kein JavaScript-Tracker, kein Pixel auf der Website). Übermittelt werden: der gclid, das ausgelöste Ereignis (als Conversion-Aktion), ein Wert, eine Währung, ein Zeitstempel und eine Order-ID (gclid plus Ereignis, zur Deduplizierung). Weder die gewählte Persönlichkeit noch Ihr Länder-Kürzel, keine Gesprächsinhalte und keine sonstigen personenbezogenen Daten werden übermittelt. Auf unseren Systemen speichern wir den gclid nicht dauerhaft.

Empfänger ist Google (Google Ireland Limited sowie Google LLC, USA). Eine Übermittlung in die USA kann erfolgen. Google ist unter dem EU-US Data Privacy Framework zertifiziert.

Speicherdauer: Auf unserer Seite verbleibt nur ein Ereignis-Zähler ohne gclid für 90 Tage. Die Speicherdauer bei Google richtet sich nach Googles Aufbewahrungsrichtlinien für Werbedaten.

Rechtsgrundlage: Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG). Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen, in den Einstellungen unter „Rechtliches" über „Einwilligung zur Werbe-Messung widerrufen". Der Widerruf löscht den gespeicherten gclid.

Reichweitenmessung

Wir messen pro serverseitig gezählter Aktivität (zum Beispiel ein gestarteter Chat, eine begonnene oder abgeschlossene Inhalts-Wiedergabe einer Geschichte, Lehre, eines Prismas oder Konzils, ein Seitenaufruf) einen anonymen Zähler. Erfasst werden ausschließlich strukturelle Etiketten: der genutzte Endpunkt, die ausgewählte Persönlichkeit, der gewählte Modus, die Sprache (en oder de) und das vom Cloudflare-Edge ermittelte Länder-Kürzel (zweistelliger ISO-Code, zum Beispiel DE oder XX bei Unbekannt). Es werden keine IP-Adressen in Analyse-Datensätzen gespeichert, keine Nutzer-Profile gebildet, keine Cookies gesetzt, kein Quell- oder Kanal-Etikett hinterlegt. Es findet keine Wiedererkennung über Sitzungen hinweg statt.

Rechtsgrundlage: Berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO) an der Messung der Wirksamkeit unserer gemeinnützigen Öffentlichkeitsarbeit. Die rein aggregierte, anonyme Messung liegt unterhalb der Schwelle personenbezogener Daten gemäß Erwägungsgrund 26 DSGVO. § 25 TDDDG ist auf diese Messung nicht einschlägig, da im Rahmen der Zählung keine Speicherung oder Auslesung von Informationen auf Ihrem Endgerät stattfindet. Die für den Betrieb der App technisch notwendige lokale Speicherung (zum Beispiel Spracheinstellung, Sitzungs-UUID für Ratelimiting) ist gemäß § 25 Abs. 2 TDDDG ausgenommen.

Hinweis zu verwendeter Musik

Einige der auf dieser Webseite verwendeten Musikstücke wurden mit der KI-basierten Musikgenerationsplattform Udio erstellt. Die Musikdateien werden als statische Dateien von unseren Servern ausgeliefert. Es findet keine Datenübermittlung an Udio oder andere Dritte beim Abspielen statt. Weitere Musikstücke sind ordnungsgemäß lizenziert (siehe Impressum für Musik-Credits).

Streitschlichtung

Wir sind nicht bereit oder verpflichtet, an Streitbeilegungsverfahren vor einer Verbraucherschlichtungsstelle teilzunehmen.