Datenschutzerklärung

Verantwortlicher für die in dieser Erklärung beschriebene Verarbeitung ist 4cs BV, eine in Belgien eingetragene Gesellschaft mit beschränkter Haftung (besloten vennootschap) mit Sitz in Lindekensweg 3, 2160 Wommelgem, Belgium und der Unternehmensnummer BE 1014.832.509. In dieser Erklärung beziehen sich „wir“, „uns“ und „unser“ auf 4cs BV, die den Dienst SKØØLSKILL unter dev.skoolskill.com und verwandten Domains (den „Dienst“) betreibt.

Du erreichst unser Datenschutzteam unter [email protected] oder per Post an die oben genannte Adresse mit dem Vermerk „Datenschutz“.

Diese Erklärung gilt für personenbezogene Daten, die wir verarbeiten, wenn du unsere Marketing-Website besuchst, ein Konto anlegst, den Dienst nutzt (einschließlich des Scannens von Notizen, des Übens, des Chats mit unserem KI-Tutor Nova, der Teilnahme an Klassen und Bestenlisten sowie des Tätigens von Käufen), unseren Support kontaktierst oder anderweitig mit uns interagierst. Sie gilt nicht für Websites oder Dienste Dritter, auf die wir verlinken — diese unterliegen ihren eigenen Datenschutzerklärungen.

Wir erheben die folgenden Kategorien personenbezogener Daten:

3.1 Konto- & Profildaten

• E-Mail-Adresse, Anzeigename und (falls du dich mit Google anmeldest) die Kennung deines Google-Kontos.
• Authentifizierungsdaten (Passwort-Hashes, Sitzungs-Tokens, Anmeldezeitpunkte, Geräte- und Browserinformationen).
• Geburtsjahr, bevorzugte Sprache, Zeitzone und alle optionalen Profilangaben, die du ergänzt.
• Klassen-Mitgliedschaften, eingelöste Einladungscodes und — falls du minderjährig bist — die in Abschnitt 6 beschriebenen Kontaktdaten der Eltern.

3.2 Von dir bereitgestellte Lerninhalte

• Bilder von Notizen und Dokumenten, die du zum Scannen hochlädst.
• Aus diesen Uploads extrahierter Text („Atoms“), die zugeordneten Skills und die daraus erzeugten Übungsfragen.
• Deine Antworten auf Übungsfragen, Fehler, Mastery-Werte, Streaks, Fristen, Lernsitzungen und alle Nachrichten, die du mit dem KI-Tutor Nova austauschst.

3.3 Nutzungs- & Gerätedaten

• Angesehene Seiten, genutzte Funktionen, Leistungs- und Fehlerprotokolle, IP-Adresse, aus der IP abgeleiteter ungefährer Standort, Browsertyp und -sprache sowie Gerätekennungen.
• Interaktionsereignisse, die für die Gamification (XP, Münzen, Herzen, Quests) sowie für den Betrieb und die Verbesserung des Dienstes erforderlich sind.

3.4 Abrechnungsdaten

• Tarifart, Status des Monatsabonnements, KI-Nutzungskontingent und -verbrauch, Edelstein-Saldo und -Transaktionen, Kaufhistorie, Abrechnungsland und von dir angegebene Umsatzsteuerdaten.
• Zahlungskarten- und Abrechnungsdaten werden direkt von Stripe verarbeitet — wir erhalten lediglich eine tokenisierte Referenz und begrenzte Metadaten (die letzten vier Ziffern, Marke, Land). Vollständige Kartennummern sehen oder speichern wir zu keiner Zeit.

3.5 Kommunikation

• E-Mails oder Nachrichten, die du uns für Support, Feedback, Missbrauchsmeldungen oder rechtliche Anfragen schickst, sowie unsere Antworten darauf.

3.6 Daten, die wir nicht wissentlich erheben

• Wir fordern keine besonderen Kategorien personenbezogener Daten im Sinne von Art. 9 DSGVO an (Gesundheit, ethnische Herkunft, Religion, biometrische Daten, sexuelle Orientierung usw.) und sie sollten uns auch nicht zugesandt werden. Solltest du solche Daten in hochgeladene Notizen aufnehmen, tust du dies aus eigener Initiative; wir behandeln sie mit denselben Schutzmaßnahmen wie andere hochgeladene Inhalte und verwenden sie nicht, um ein Profil von dir zu erstellen.

Wir verarbeiten personenbezogene Daten nur zu den unten aufgeführten, konkreten Zwecken. Für jeden Zweck stützen wir uns auf eine Rechtsgrundlage nach Art. 6 Abs. 1 DSGVO:

Gegen Verarbeitungen, die auf berechtigten Interessen beruhen, hast du ein Widerspruchsrecht — siehe Abschnitt 10.

Mehrere Funktionen von SKØØLSKILL stützen sich auf große Sprachmodelle: das Scannen von Notizen (OCR), deren Zuordnung zu Skills, die Erzeugung von Übungsfragen und der Chat mit dem Tutor Nova. Zur Bereitstellung dieser Funktionen übermitteln wir den notwendigen Mindestinhalt — etwa ein hochgeladenes Bild, einen Lernausschnitt oder deine Chat-Nachricht — über die Claude-API an Anthropic, PBC, teilweise über OpenRouter Inc., das als neutrale Routing-Schicht agiert.

Was das in der Praxis bedeutet:

• Wir nutzen deine Inhalte derzeit nicht, um KI-Modelle zu trainieren, und wir haben unseren KI-Anbietern nicht erlaubt, mit den API-Inhalten zu trainieren, die du über den Dienst sendest.
• Anthropic hat öffentlich zugesichert, dass API-Ein- und -Ausgaben aus seinen kommerziellen Produkten standardmäßig nicht zum Training seiner Modelle verwendet werden. Siehe die Erläuterung von Anthropic: privacy.anthropic.com — „Is my data used for model training?“
• Anthropic kann API-Inhalte zu Zwecken der Sicherheit und der Einhaltung rechtlicher Vorgaben für einen begrenzten Zeitraum speichern, entsprechend seinen eigenen veröffentlichten Richtlinien. Siehe die Datenschutzerklärung und die kommerziellen Nutzungsbedingungen von Anthropic.
• Eine für Nutzer sichtbare Einstellung („Hilf mit, die KI zu verbessern“) findest du in den Kontoeinstellungen; sie ist standardmäßig deaktiviert. Wenn du sie aktivierst, erteilst du uns deine Einwilligung, anonymisierte Übungsdaten künftig zur Verbesserung unserer Modelle und Funktionen zu nutzen. Auch für Nutzer, die zustimmen, betreiben wir derzeit keinerlei Trainings-Pipeline; sollte sich das ändern, aktualisieren wir diese Erklärung, geben angemessen vorab Bescheid und holen, soweit rechtlich erforderlich, vor Beginn eines neuen Trainingszwecks erneut die Einwilligung ein.
• KI-Ergebnisse können falsch, unvollständig, verzerrt oder veraltet sein. Du bist dafür verantwortlich, alles zu überprüfen, worauf du dich bei tatsächlichen Schularbeiten, Noten oder Entscheidungen verlässt. Siehe die Nutzungsbedingungen für den vollständigen Haftungsausschluss.

EU-KI-Verordnung. SKØØLSKILL ist eine Lernhilfe. Wir haben die Einstufung unserer KI-Funktionen anhand von Art. 6 und Anhang III Nummer 3 der Verordnung (EU) 2024/1689 (KI-Verordnung) geprüft, die KI-Systeme, die im Bildungsbereich zur Bewertung von Lernergebnissen und zur Steuerung des Lernprozesses eingesetzt werden, grundsätzlich als Hochrisiko-KI-Systeme einstuft. Der Dienst wird nicht eingesetzt, um den Zugang einer Person zur Bildung zu bestimmen, formale Prüfungen zu bewerten oder Zulassungsentscheidungen zu treffen. Auf Grundlage von Art. 6 Abs. 3 der KI-Verordnung sind wir der Auffassung, dass die adaptive Lernfunktion angesichts ihrer begrenzten und unterstützenden Rolle neben dem regulären Bildungsweg kein erhebliches Risiko für die Gesundheit, Sicherheit oder Grundrechte des Nutzers birgt.

Mindestalter — 13. SKØØLSKILL wird weltweit nicht für Personen unter 13 Jahren angeboten. Wir legen für Kinder unter 13 wissentlich keine Konten an und erheben wissentlich keine personenbezogenen Daten von ihnen. Stellen wir fest, dass ein Nutzer unter 13 ist, schließen wir das Konto und löschen die zugehörigen personenbezogenen Daten gemäß dem Plan in Abschnitt 11.

Digitales Einwilligungsalter im EWR. Nach Art. 8 DSGVO legt jeder EWR-Mitgliedstaat das digitale Einwilligungsalter für Dienste der Informationsgesellschaft auf einen Wert zwischen 13 und 16 Jahren fest (Belgien 13, Italien 14, Frankreich 15, Deutschland und Niederlande 16 usw.). Liegt das digitale Einwilligungsalter im Wohnsitzland des Nutzers über 13, muss ein Elternteil oder gesetzlicher Vertreter unterhalb dieses Alters für das Kind einwilligen — und in jedem Fall gilt unsere strengere Regel "unter 18" weiter unten.

Strengere interne Regel — elterliche Einbindung unter 18. Unabhängig vom örtlichen digitalen Einwilligungsalter verlangen wir die Einbindung der Eltern für jeden Nutzer unter 18 Jahren:

• Beim Onboarding fragen wir nach dem Geburtsjahr. Ist der Nutzer unter 18, verlangen wir die Angabe der E-Mail-Adresse eines Elternteils oder gesetzlichen Vertreters sowie die Bestätigung, dass dieser der Nutzung des Dienstes durch das Kind zugestimmt hat. Anschließend senden wir an diese E-Mail-Adresse eine Anfrage zur Bestätigung der elterlichen Einwilligung mit einem individuellen Bestätigungslink, den der Elternteil oder gesetzliche Vertreter selbst aktivieren muss. Das Konto des Kindes wird erst nach Eingang dieser Bestätigung vollständig freigeschaltet. Ohne Bestätigung bleibt der Zugang zum Dienst eingeschränkt.
• Wir speichern diese E-Mail-Adresse im Konto des Kindes als Kontaktadresse des Elternteils oder gesetzlichen Vertreters. Wir verwenden sie, um Anfragen im Namen des Kindes zu beantworten, den Elternteil bzw. gesetzlichen Vertreter gegebenenfalls über wesentliche Änderungen des Dienstes oder der Richtlinien zu informieren und für die Kommunikation zur Kontosicherheit.
• Ein Elternteil oder gesetzlicher Vertreter kann jederzeit Einsicht in das Konto des Kindes verlangen oder dessen Export, Berichtigung, Sperrung oder Löschung beantragen, indem er eine E-Mail von der hinterlegten Adresse an [email protected] schickt oder seine Berechtigung anderweitig angemessen nachweist.
• Wir erheben oder verwenden die personenbezogenen Daten eines Kindes nicht wissentlich für verhaltensbezogene Werbung, und wir verkaufen oder vermieten keine Daten von Kindern.

USA — COPPA. SKØØLSKILL ist ein Dienst für die Allgemeinheit, der nicht an Kinder unter 13 Jahren gerichtet ist im Sinne des US Children's Online Privacy Protection Act (COPPA). Wir erheben, verwenden oder offenbaren wissentlich keine personenbezogenen Daten von Kindern unter 13 in den Vereinigten Staaten. Ein US-Elternteil oder Vormund, der annimmt, dass ein Kind unter 13 uns personenbezogene Daten übermittelt hat, kann unter [email protected] die Löschung beantragen.

Vereinigtes Königreich — Age Appropriate Design Code. Für Nutzer im Vereinigten Königreich gestalten wir den Dienst im Einklang mit den Grundsätzen des Children's Code (Age Appropriate Design Code) der Information Commissioner's Office, einschließlich Datenminimierung, datenschutzfreundlicher Voreinstellungen und Verzicht auf verhaltensbezogene Werbung gegenüber Kindern. Für Nutzer im Vereinigten Königreich gilt die UK GDPR zusätzlich zu (und, soweit strenger, anstelle von) den EU-DSGVO-Verweisen in dieser Richtlinie.

Wenn du der Meinung bist, dass ein Kind unter 18 Jahren ohne angemessene Einbindung der Eltern ein Konto angelegt hat — oder dass ein Kind unter 13 überhaupt ein Konto angelegt hat — kontaktiere uns bitte; wir handeln dann umgehend.

Wir teilen personenbezogene Daten mit einer kleinen Gruppe von Dienstleistern („Unterauftragsverarbeiter“), die uns beim Betrieb des Dienstes unterstützen. Jeder ist durch einen schriftlichen Vertrag gebunden, der ihn darauf beschränkt, Daten ausschließlich nach unseren dokumentierten Weisungen und nach denselben Sicherheits- und Vertraulichkeitsstandards zu verarbeiten.

Wir aktualisieren diese Liste, wenn sich Unterauftragsverarbeiter ändern. Über wesentliche Ergänzungen, die Einfluss auf die Verarbeitung deiner Daten haben, informieren wir vorab per E-Mail oder In-App-Hinweis.

Wir geben personenbezogene Daten zudem an zuständige Behörden, Gerichte oder Strafverfolgungsorgane weiter, soweit wir dazu verpflichtet oder rechtlich berechtigt sind, sowie an berufliche Berater (Anwälte, Buchprüfer, Wirtschaftsprüfer), die einer Verschwiegenheitspflicht unterliegen, soweit strikt erforderlich. Die genauen Regeln, wann und was wir Behörden offenlegen, sind im Pendant zu dieser Erklärung geregelt: in den Nutzungsbedingungen, Abschnitt 16 (Strafverfolgung & rechtliche Anfragen). Behörden können uns unter [email protected] erreichen; diese Adresse dient zugleich als unsere zentrale Kontaktstelle im Sinne von Art. 11 (Behörden) und Art. 12 (Empfänger) des Gesetzes über digitale Dienste (DSA).

Zugriff innerhalb von 4cs BV. Der Zugriff unseres Personals auf deine personenbezogenen Daten ist auf Mitarbeitende beschränkt, die ihn für eine konkrete, berechtigte Aufgabe benötigen (Support, Missbrauchsbearbeitung, Sicherheit, Abrechnung, Recht, Engineering im Störfall). Zugriffe werden protokolliert und sind durch schriftliche Verschwiegenheitspflichten abgesichert. Wir sehen uns die Inhalte deiner Notizen, Scans oder Nova-Chats nicht routinemäßig an.

Die Inhaltsmoderation erfolgt beschwerdegesteuert. Wir prüfen von dir hochgeladene Inhalte nicht vorab. Wir werden tätig bei konkreten Hinweisen auf illegale Inhalte (siehe Abschnitt 14 der Nutzungsbedingungen), bei Anordnungen zuständiger Behörden und bei Signalen unserer automatisierten Missbrauchserkennung, die bestimmte plattformweite Missbrauchsmuster kennzeichnen.

Wir verkaufen deine personenbezogenen Daten nicht und geben sie nicht an Werbetreibende für zielgerichtete Werbung weiter.

Einige unserer Unterauftragsverarbeiter sind außerhalb des Europäischen Wirtschaftsraums niedergelassen, überwiegend in den Vereinigten Staaten. Wenn personenbezogene Daten den EWR verlassen, stützen wir uns auf mindestens einen der in Kapitel V DSGVO anerkannten Übermittlungsmechanismen, typischerweise:

• einen Angemessenheitsbeschluss der Europäischen Kommission (z. B. den EU-US Data Privacy Framework, sofern der Empfänger zertifiziert ist), oder
• die Standardvertragsklauseln der Europäischen Kommission (Beschluss 2021/914), wo angebracht ergänzt durch zusätzliche technische und organisatorische Maßnahmen (Verschlüsselung auf dem Transportweg und im Ruhezustand, Pseudonymisierung, Zugriffskontrollen).

Du kannst eine Kopie der einschlägigen Garantien anfordern, indem du dich an [email protected] wendest. Geschäftlich sensible Klauseln schwärzen wir gegebenenfalls.

Wir speichern personenbezogene Daten nur so lange, wie wir sie für die in dieser Erklärung beschriebenen Zwecke benötigen:

• Konto- & Profildaten: so lange dein Konto aktiv ist, und bis zu 12 Monate nach der Schließung, damit du es ohne Verlust deines Fortschritts reaktivieren kannst.
• Hochgeladene Notizen, Atoms, Fragen, Versuche, Mastery-Datensätze: so lange dein Konto aktiv ist; du kannst einzelne Einträge jederzeit auf dem Atoms-Bildschirm löschen.
• Nova-Chatverlauf: bleibt erhalten, um Kontinuität zwischen Sitzungen zu gewährleisten; du kannst einzelne Unterhaltungen jederzeit löschen.
• Authentifizierungs- und Sicherheitsprotokolle: bis zu 12 Monate.
• Abrechnungsunterlagen & Rechnungen: nach belgischem Steuer- und Buchführungsrecht 7 Jahre nach Ende des Geschäftsjahrs, auf das sie sich beziehen.
• Support-Korrespondenz: bis zu 3 Jahre nach Abschluss des Vorgangs.
• Backups: rotieren in maximal 35-Tage-Zyklen; Daten aus Backups werden nur in Notfallwiederherstellungsszenarien zurückgespielt und im Normalbetrieb im Zuge der Rotation überschrieben.

Nach Ablauf einer Aufbewahrungsfrist löschen wir die Daten entweder oder anonymisieren sie unumkehrbar, sodass sie dir nicht mehr zugeordnet werden können.

Vorbehaltlich der in der DSGVO genannten Voraussetzungen hast du das Recht auf:

• Auskunft — Bestätigung, dass wir deine Daten verarbeiten, und Erhalt einer Kopie davon (Art. 15).
• Berichtigung — Korrektur unrichtiger Daten oder Vervollständigung unvollständiger Daten (Art. 16).
• Löschung — Anforderung, deine Daten in den in Art. 17 genannten Fällen zu löschen („Recht auf Vergessenwerden“).
• Einschränkung — Anforderung, die Verarbeitung während der Klärung einer Streitigkeit zu beschränken (Art. 18).
• Datenübertragbarkeit — die von dir bereitgestellten Daten in einem strukturierten, gängigen, maschinenlesbaren Format zu erhalten und, soweit technisch machbar, an einen anderen Verantwortlichen übermitteln zu lassen (Art. 20).
• Widerspruch — jederzeit gegen auf berechtigte Interessen gestützte Verarbeitungen, einschließlich Profiling, aus Gründen, die sich aus deiner besonderen Situation ergeben (Art. 21). Gegen Direktwerbung kannst du jederzeit ohne Angabe von Gründen Widerspruch einlegen.
• Widerruf der Einwilligung — jederzeit, sofern wir uns auf eine Einwilligung stützen, ohne dass die Rechtmäßigkeit der vorangegangenen Verarbeitung davon berührt wird (Art. 7 Abs. 3).
• Nicht einer ausschließlich auf automatisierter Verarbeitung beruhenden Entscheidung unterworfen zu werden, die dir gegenüber rechtliche oder ähnlich erhebliche Wirkung entfaltet (Art. 22). Siehe Abschnitt 14.

Um eines dieser Rechte auszuüben, schick eine E-Mail an [email protected]. Wir antworten innerhalb eines Monats (bei komplexen Anfragen um bis zu zwei weitere Monate verlängerbar; in diesem Fall teilen wir dir das innerhalb des ersten Monats mit).

Wir dürfen vor der Bearbeitung einer Anfrage einen angemessenen Identitätsnachweis verlangen, um dich vor Identitätsmissbrauch zu schützen.

Du hast zudem das Recht, Beschwerde bei einer Aufsichtsbehörde einzureichen. In Belgien ist das die Datenschutzbehörde (Gegevensbeschermingsautoriteit / Autorité de protection des données), Drukpersstraat 35, 1000 Brüssel, www.dataprotectionauthority.be. Du kannst dich auch an die Aufsichtsbehörde deines gewöhnlichen Aufenthalts wenden.

Wir verwenden eine überschaubare Anzahl von Cookies und Local-Storage-Einträgen:

• Unbedingt erforderlich — Sitzungs-Cookies (Authentifizierung), CSRF-Schutz und ein Cookie für die Spracheinstellung. Diese benötigen keine Einwilligung, weil sie für die Bereitstellung des von dir angeforderten Dienstes unerlässlich sind.
• Funktional — Präferenzen wie Dark-/Light-Mode und Onboarding-Status. Diese Cookies werden erst gesetzt, nachdem du über unser Cookie-Banner deine Einwilligung erteilt hast. Du kannst diese Einwilligung jederzeit über deine Cookie-Einstellungen widerrufen.
• Analyse / Diagnostik — minimale Fehlerüberwachungs-Beacons (Sentry), die ausschließlich dazu dienen, Abstürze und Leistungsprobleme zu erkennen. Wir setzen keine Werbe-Cookies von Dritten und keine websiteübergreifenden Tracking-Cookies ein.

Du kannst Cookies über deinen Browser steuern. Das Blockieren unbedingt erforderlicher Cookies führt dazu, dass der Dienst nicht funktioniert.

Wir treffen angemessene und geeignete technische und organisatorische Maßnahmen zum Schutz deiner personenbezogenen Daten, darunter: Transportverschlüsselung (HTTPS/TLS), Verschlüsselung im Ruhezustand für gespeicherte Dateien und Datenbank-Backups, nach dem Prinzip der minimalen Rechte ausgerichtete Zugriffskontrollen, Audit-Protokolle, zeitlich begrenzte Authentifizierungs-Tokens, Passwort-Hashing, Rate-Limiting und Missbrauchserkennung, regelmäßiges Patchen sowie getrennte Produktionsumgebungen.

Kein System ist perfekt sicher. Auch du trägst eine wichtige Rolle: Verwende ein starkes, einmaliges Passwort, aktiviere eine Zwei-Faktor-Authentifizierung, wo verfügbar, und halte dein Gerät und deinen Browser aktuell.

Wenn eine Verletzung des Schutzes personenbezogener Daten voraussichtlich zu einem Risiko für deine Rechte und Freiheiten führt, benachrichtigen wir die zuständige Aufsichtsbehörde unverzüglich und, soweit möglich, binnen 72 Stunden nach Bekanntwerden, im Einklang mit Art. 33 und 34 DSGVO. Ist die Verletzung voraussichtlich mit einem hohen Risiko verbunden, benachrichtigen wir zudem die betroffenen Nutzer unmittelbar.

Der Dienst nutzt Algorithmen, um Fragen nach Schwierigkeit zu sortieren, das Üben an deine schwächsten Skills anzupassen, Tutor-Antworten zu erzeugen sowie XP, Streaks und Bestenlistenplatzierungen zu vergeben. Diese Entscheidungen beeinflussen dein In-App-Erlebnis, entfalten dir gegenüber aber keine rechtlichen oder ähnlich erheblichen Wirkungen im Sinne von Art. 22 DSGVO. Wir setzen keine automatisierte Entscheidungsfindung für Bonitätsprüfungen, Versicherungen, Einstellungsprozesse oder vergleichbare folgenreiche Entscheidungen ein.

Wir können diese Erklärung aktualisieren, um Änderungen am Dienst, bei unseren Unterauftragsverarbeitern oder in der Rechtslage zu berücksichtigen. Bei einer wesentlichen Änderung aktualisieren wir das oben genannte „Gültig ab“-Datum und geben bei bedeutenden Änderungen angemessen vorab per E-Mail oder In-App-Banner Bescheid. Die jeweils aktuelle Fassung ist stets unter https://skoolskill.com/de/privacy abrufbar.

Für Fragen, Anträge oder Beschwerden zu deinen personenbezogenen Daten wende dich bitte an:

Bist du mit unserer Antwort nicht zufrieden, kannst du Beschwerde bei der belgischen Datenschutzbehörde (Kontaktdaten in Abschnitt 10) oder bei der Aufsichtsbehörde deines EU-Mitgliedstaats einreichen.