Datenschutzerklärung für die Verbulis-App

Diese Erklärung gilt für die Verbulis-App. Für die Website verbulis.com gilt die Datenschutzerklärung für die Website.

Wer verantwortlich ist

Labaster UG (haftungsbeschränkt)
Am Waldrand 48
85354 Freising
Deutschland

Vertreten durch den Geschäftsführer: Sascha Ditzell
Telefon: +49 8161 1850706
Allgemeiner Kontakt: hallo@verbulis.com
Datenschutz-Kontakt: privacy@verbulis.com

Einen Datenschutzbeauftragten haben wir nicht bestellt. Wir sind dazu nicht verpflichtet: In unserem Unternehmen sind nicht ständig mindestens 20 Personen mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt (§ 38 Abs. 1 BDSG).

1. Unser Server (Cloudflare)

Auftragsverarbeiter: Cloudflare, Inc., 101 Townsend Street, San Francisco, CA 94107, USA. Es besteht ein Vertrag über die Auftragsverarbeitung nach Art. 28 DSGVO. Soweit dabei Daten in die USA gelangen, stützt sich die Übermittlung auf die Standardvertragsklauseln der EU-Kommission; Cloudflare ist zudem nach dem EU-US Data Privacy Framework zertifiziert.

2. Die Verbulis-App: eine Vokabelliste fotografieren (Foto-Import)

Die Verbulis-App ist noch nicht in den App-Stores veröffentlicht. Dieser Abschnitt beschreibt vorab den umfangreichsten Vorgang der App, bei dem Daten das Gerät verlassen: den Foto-Import. Dabei fotografieren Sie eine Vokabelliste, und die App macht daraus Karteikarten. Die übrigen Vorgänge stehen in Abschnitt 3.

2.1 Das Foto verlässt Ihr Gerät nicht

Die Texterkennung läuft auf Ihrem Gerät und ohne Internetverbindung: auf iPhone und iPad mit dem Vision-Framework von Apple, auf Android mit Google ML Kit. Beide arbeiten auf dem Gerät und senden das Bild nirgendwohin. Das aufgenommene Bild wird zu keinem Zeitpunkt an uns oder an einen anderen Empfänger übertragen — wir speichern es nicht und bekommen es nie zu sehen. Die App legt es auch nicht in ihrem eigenen Datenbestand ab.

2.2 Was übertragen wird: der erkannte Text

Übertragen wird ausschließlich der erkannte Text. Die Anfrage enthält genau drei Angaben:

• die Sprachkennung der Liste (zum Beispiel la für Latein),
• den erkannten Text selbst,
• eine aus genau diesem Text berechnete Anfragekennung, an der unser Server eine Wiederholung derselben Anfrage erkennt.

Dazu kommt im Kopf der Anfrage eine zufällig erzeugte Gerätekennung aus 32 Zeichen. Sie dient allein dazu, die Zahl der Abfragen pro Gerät und Tag zu begrenzen. Sie ist keine Anmeldung: An dieser Stelle gibt es kein Konto, keinen Namen, keine E-Mail-Adresse und keinen Bezug zu Ihrem Apple- oder Google-Konto. Wird die App neu installiert, entsteht eine neue Kennung.

Was der erkannte Text enthält, bestimmen Sie mit dem Bildausschnitt: Es ist der Text, der auf der fotografierten Seite steht — in aller Regel Vokabeln und Übersetzungen. Fotografieren Sie eine Seite, auf der auch ein Name oder eine andere persönliche Angabe steht, wird diese Zeile mitübertragen.

2.3 Rechtsgrundlage: Erbringung der angeforderten Leistung

Art. 6 Abs. 1 lit. b DSGVO — Erfüllung des Vertrags beziehungsweise Durchführung vorvertraglicher Maßnahmen auf Ihre Anfrage. Sie fotografieren die Liste, damit die App die Wörter daraus herausliest; das Zerlegen des gelesenen Textes in Wortpaare ist die angeforderte Leistung und kein Nebenzweck.

Wir stützen diesen Vorgang ausdrücklich nicht auf eine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Sie erteilen uns dafür keine, und es gibt deshalb auch nichts zu widerrufen. Vor dem ersten Foto zeigt die App einen Bildschirm, der in einfacher Sprache erklärt, was geschieht, und der aktiv bestätigt werden muss. Dieser Bildschirm ist eine Vorgabe der App-Stores und dient Ihrer Information; er ist keine Einwilligungserklärung und entfaltet keine datenschutzrechtliche Wirkung.

Weil die Verarbeitung nicht auf einer Einwilligung beruht, kommt es nicht darauf an, ob ein Kind wirksam einwilligen könnte (Art. 8 DSGVO). Der Aufklärungs-Bildschirm ist bewusst in kurzen, kindgerechten Sätzen gehalten (Art. 12 Abs. 1 DSGVO).

Für die Begrenzung der Abfragen pro Gerät und Tag — also für die zufällige Gerätekennung und den Zähler dazu — gilt zusätzlich Art. 6 Abs. 1 lit. f DSGVO: unser berechtigtes Interesse daran, den Dienst vor automatisierter Überlastung und vor Kosten durch Missbrauch zu schützen.

2.4 Wer den Text verarbeitet und wo

Erste Station — unser eigener Server. Die Anfrage geht an unseren bei Cloudflare betriebenen Server (Cloudflare, Inc., Anschrift siehe Abschnitt 1). Es gilt das dort Gesagte: Vertrag über die Auftragsverarbeitung nach Art. 28 DSGVO, Standardvertragsklauseln, EU-US Data Privacy Framework.

Zweite Station — das Sprachmodell. Unser Server übermittelt den erkannten Text an Google Cloud Vertex AI und lässt ihn dort vom Modell gemini-2.5-flash in Wortpaare zerlegen. Wir haben dafür die Region europe-west1 gewählt, das heißt: Belgien, innerhalb der Europäischen Union. Das Ergebnis kommt zu unserem Server zurück und von dort in Ihre App.

Unsere Vertragspartnerin ist die Google Cloud EMEA Limited, 70 Sir John Rogerson’s Quay, Dublin 2, Irland. Nach Googles eigener Aufstellung der Vertragsgesellschaften ist sie diejenige Gesellschaft, mit der Kunden mit Rechnungsanschrift in Europa, dem Nahen Osten und Afrika — ausgenommen Frankreich, Italien und Polen — Verträge über die Google Cloud Platform schließen. Unser Abrechnungskonto läuft auf die Labaster UG unter der oben genannten deutschen Anschrift.

Mit ihr besteht ein Vertrag über die Auftragsverarbeitung nach Art. 28 DSGVO. Er kommt ohne gesonderte Unterschrift zustande: Googles Cloud Data Processing Addendum ist nach seinem eigenen Wortlaut Bestandteil der Cloud-Bedingungen. Darin ist ausdrücklich geregelt, dass Google Auftragsverarbeiterin ist und weisungsgebunden für uns tätig wird; die Standardvertragsklauseln der EU-Kommission sind einbezogen. Google ist damit keine eigenständige Empfängerin des Textes, sondern verarbeitet ihn in unserem Auftrag. An der Rechtsgrundlage ändert das nichts — sie bleibt Art. 6 Abs. 1 lit. b DSGVO (Abschnitt 2.3).

2.5 Was Google mit dem Text tut — und was nicht

Kein Training. Google sagt in seinen Vertragsbedingungen zu, Kundendaten nicht zum Training oder zur Feinabstimmung von KI-Modellen zu verwenden, solange der Kunde das nicht ausdrücklich erlaubt oder anweist. Wir erlauben es nicht und weisen es nicht an. Der übermittelte Text fließt also nicht in ein Modell ein.

Zwischenspeicher bei Google: bis zu 24 Stunden. Google hält Eingaben und Ausgaben kurzzeitig im Arbeitsspeicher vor, um Antworten zu beschleunigen. Dieser Zwischenspeicher ist auf unser Projekt beschränkt und verfällt spätestens nach 24 Stunden.

Missbrauchsprüfung: nur im Verdachtsfall, dann bis zu 90 Tage. Im Regelfall protokolliert Google die übermittelten Texte nicht. Schlagen Googles automatische Sicherheitsfilter an, weil eine Anfrage nach einem Verstoß gegen die Nutzungsregeln aussieht, darf Google die betroffene Anfrage protokollieren und prüfen. Solche Protokolle bewahrt Google bis zu 90 Tage auf, und zwar in derselben Region, die wir gewählt haben (europe-west1, Belgien); zum Training werden sie nicht verwendet. Eine Vokabelliste ist kein Anlass für eine solche Prüfung — ausschließen können wir sie aber nicht. Google bietet an, Kunden auf Antrag von dieser Protokollierung zu befreien.

Wo verarbeitet wird. Die Verarbeitung und die Ablage der genannten Protokolle finden in der von uns gewählten Region innerhalb der Europäischen Union statt. Dass Google im Rahmen von Betrieb und Prüfung auch von außerhalb der EU auf Daten zugreift, können wir nicht ausschließen. Für solche Fälle gelten die Standardvertragsklauseln der EU-Kommission, die in den genannten Vertrag über die Auftragsverarbeitung einbezogen sind.

2.6 Wie lange die Daten bei uns liegen und wie sie wieder verschwinden

Das Ergebnis: bis zu 24 Stunden. Damit ein versehentlich wiederholter Import nicht ein zweites Mal verarbeitet werden muss, legt unser Server das Ergebnis — die Wortpaare — in einem Zwischenspeicher bei Cloudflare ab, unter der aus dem Text berechneten Anfragekennung. Der Eintrag trägt eine feste Verfallszeit von 24 Stunden und wird danach automatisch gelöscht; dafür ist kein Zutun nötig, weder Ihres noch unseres. Den erkannten Text legen wir darüber hinaus nicht gesondert ab, und es entsteht kein Datenbankeintrag zu Ihrer Anfrage. Eine Ausnahme gibt es: Meldet Ihr Kind eine einzelne Zeile des Ergebnisses, entsteht für genau diese Zeile ein Eintrag — siehe Abschnitt 2.7.

Der Zähler: bis zu 48 Stunden. Zur Begrenzung der Abfragen speichern wir zur zufälligen Gerätekennung und zum jeweiligen Tag einen reinen Zählerstand. Auch dieser Eintrag verfällt automatisch, nach 48 Stunden. Er enthält keinen Text aus Ihrer Liste.

Auf Ihrem Gerät. Gespeichert wird dort nur, was Sie nach dem Import selbst auswählen: Ihre Vokabeln. Diese Daten liegen lokal auf dem Gerät.

Löschung vor Ablauf. Beide Einträge verfallen von selbst — und zwar früher, als wir eine Anfrage beantworten könnten. Eine Zuordnung zu einer Person ist uns dabei nicht möglich: Zu der zufälligen Gerätekennung liegt uns weder ein Name noch eine Adresse vor. Ihre Rechte aus Abschnitt 4 bestehen davon unberührt.

Die Gerätekennung zeigen wir nicht an. Es gibt in der App keinen Bildschirm, auf dem die zufällige Gerätekennung zu lesen wäre, und wir haben bewusst darauf verzichtet, einen einzubauen. Der Grund ist nicht Bequemlichkeit: Eine Kennung, die man vorzeigen kann, müsste dauerhaft und wiedererkennbar sein — sie schüfe damit erst die Verknüpfbarkeit, die es heute nicht gibt. Für den Zweck, um den es geht — die Zahl der Abfragen pro Gerät und Tag zu begrenzen —, müssen wir nicht wissen, wer Sie sind. Art. 11 DSGVO verpflichtet uns deshalb auch nicht, allein zur Einhaltung der Verordnung zusätzliche Angaben aufzubewahren, nur um Sie bestimmen zu können.

Was das für Ihre Rechte bedeutet — und was nicht. Soweit uns eine Zuordnung nicht möglich ist, finden die Rechte aus den Art. 15 bis 20 DSGVO in genau diesem Umfang keine Anwendung; so sieht es Art. 11 Abs. 2 DSGVO vor, und dieselbe Vorschrift verlangt, dass wir Sie darauf hinweisen — das tut dieser Absatz. Ihre Rechte entfallen damit nicht. Sie bestehen in vollem Umfang, sobald Sie uns Angaben beibringen, mit denen sich ein Eintrag auffinden lässt: bei einem gewünschten Wort dessen Text und ungefähr der Zeitpunkt (Abschnitt 3.1), beim Zähler zum Foto-Import die Gerätekennung selbst — der Zwischenspeicher mit dem Ergebnis hängt dagegen nicht an ihr, sondern an der aus dem Text berechneten Anfragekennung. Die Gerätekennung steht, wie alles andere auf Ihrem Gerät Gespeicherte, in der Datei, die Sie in den Einstellungen unter Daten & Privatsphäre mit Alle Daten exportieren (JSON) ausgeben lassen können; diese Datei bleibt auf Ihrem Gerät, solange Sie sie nicht selbst weitergeben (Abschnitt 3.5). Schreiben Sie uns dafür an privacy@verbulis.com; im Übrigen gilt Abschnitt 4.

2.7 Wenn Ihr Kind eine Zeile meldet

Das Ergebnis des Foto-Imports stammt von einem KI-Dienst und kann falsch oder unpassend sein. Deshalb trägt jede Zeile des Ergebnisses in der App einen Knopf Melden. Google verlangt eine solche Möglichkeit für Apps, die Inhalte mit KI erzeugen; unabhängig davon ist sie für uns der einzige Weg zu erfahren, dass eine Zeile nicht taugt.

Was dabei übertragen wird. Drei Angaben, und keine davon formuliert Ihr Kind selbst: die gemeldete Zeile so, wie der Dienst sie geliefert hat, einer von vier festen Gründen zur Auswahl und die Sprache. Es gibt kein Eingabefeld. Der Inhalt ist damit derselbe, der beim Foto-Import ohnehin übertragen wurde (Abschnitt 2.2) — neu ist allein, dass er aufbewahrt wird.

Rechtsgrundlage. Erbringung der angeforderten Leistung (Art. 6 Abs. 1 lit. b DSGVO).

Keine Gerätekennung wird gespeichert. Zur Begrenzung der Meldungen pro Gerät und Tag wird dieselbe zufällige Gerätekennung wie beim Foto-Import mitgesendet; sie wird nur gezählt und nicht gespeichert. Der Eintrag trägt keine Kennung, die auf eine Person zurückführt.

Speicherdauer: Der Wortlaut einer Meldung wird automatisch gelöscht — dieselben Fristen wie bei einem Wunsch (Abschnitt 3.1):

• Offene Meldungen: nach 90 Tagen. So lange brauchen wir den Wortlaut, um beurteilen zu können, ob die Zeile wirklich falsch oder anstößig war. Zugleich gilt die Meldung dann als verworfen.
• Geprüfte und verworfene Meldungen: nach 30 Tagen, gerechnet ab dem Tag, an dem wir sie abgeschlossen haben.

Übrig bleibt danach eine leere Zeile, die nur noch den Grund und den Stand trägt — daraus lesen wir ab, welche Art von Fehler wie oft gemeldet wurde. Ein Text steht nicht mehr darin.

Sie können die Löschung auch vorher verlangen. Schreiben Sie uns dafür an privacy@verbulis.com und nennen Sie die gemeldete Zeile und ungefähr, wann sie abgeschickt wurde — anders können wir den Eintrag nicht wiederfinden, weil er keine Kennung trägt, die auf Sie zurückführt.

3. Die Verbulis-App: die übrigen Vorgänge

Neben dem Foto-Import baut die App an weiteren Stellen eine Verbindung nach außen auf. Sie gehen an denselben bei Cloudflare betriebenen Server wie der Foto-Import (Abschnitt 2.4); beim Abo kommt RevenueCat hinzu (Abschnitt 3.7). Google ist allein am Foto-Import beteiligt.

Ihr Lernfortschritt verlässt das Gerät nur mit Ihrer Einwilligung. Welche Vokabel Ihr Kind wie gut kann, wann es geübt hat, wie lange und mit welchem Ergebnis — das entsteht auf dem Gerät. Zu uns gelangt es nur, wenn Sie als Elternteil eingewilligt haben, dass wir den Lernstand speichern (Abschnitt 3.4).

3.1 Ein fehlendes Wort wünschen

Fehlt ein Wort im Wortschatz der App, können Sie es sich wünschen: Wir prüfen es und nehmen es bei Gelegenheit auf. Der Wunsch lässt sich an drei Stellen absenden — auf dem Wunsch-Bildschirm, beim Suchen eines Wortes für eine Lektion und beim Foto-Import, wenn eine erkannte Zeile im Wortschatz fehlt.

Übertragen werden dabei genau drei Angaben:

• die Sprachkennung (zum Beispiel la für Latein),
• das gewünschte Wort, so wie es eingetippt oder aus der fotografierten Liste übernommen wurde (höchstens 200 Zeichen),
• auf Wunsch eine Übersetzungshilfe dazu (höchstens 300 Zeichen).

Mehr geht nicht mit: keine Gerätekennung, kein Konto, kein Name, keine Kennnummer irgendeiner Art. Wir können einen eingegangenen Wunsch deshalb weder einem Gerät noch einer Person zuordnen. Das gilt für den Wunsch, wie er hier ankommt. Haben Sie eingewilligt, dass wir den Lernstand speichern, enthält dieser auch die Wünsche Ihres Kindes. Dort sind sie dem Lernprofil zugeordnet und werden mit ihm gelöscht (Abschnitt 3.4); die Fristen dieses Abschnitts gelten für diese Kopie nicht.

Neben den Angaben für das Konto (Abschnitt 3.3) und dem gespeicherten Lernstand (Abschnitt 3.4) ist dies die einzige Stelle der App, an der frei getippter Text das Gerät verlässt. Was in diesem Feld steht, bestimmt allein, wer es ausfüllt: Es geht genau das an uns, was hineingeschrieben wird. Gedacht ist das Feld für ein einzelnes Wort. Schreibt jemand — etwa ein Kind — statt eines Wortes einen Namen, eine Nachricht oder eine andere persönliche Angabe hinein, wird auch das übertragen und bei uns gespeichert. Wir lesen die eingegangenen Wünsche; sie erscheinen in unserer internen Liste der offenen Wünsche.

Doppelte Wünsche. Ist dasselbe Wort schon offen — auch wenn es jemand anderes gewünscht hat —, entsteht kein zweiter Eintrag. Der eingetippte Text wird dann nicht zusätzlich gespeichert.

Nachfrage nach dem Stand. Damit die App anzeigen kann, ob ein Wunsch erfüllt ist, schickt sie die Nummern Ihrer offenen Wünsche an unseren Server und erhält dazu den jeweiligen Stand zurück: offen, erledigt, abgelehnt oder zurückgezogen. Text geht dabei keiner hinaus.

Zweck: das gewünschte Wort zu prüfen und in den Wortschatz der App aufzunehmen, und Ihnen zu zeigen, was daraus geworden ist.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO — Erfüllung des Vertrags beziehungsweise Durchführung vorvertraglicher Maßnahmen auf Ihre Anfrage. Der Wunsch ist eine Leistung, die Sie ausdrücklich anfordern: Sie schicken ihn ab, damit wir etwas damit tun. Auf eine Einwilligung stützen wir diesen Vorgang nicht — wie beim Foto-Import (Abschnitt 2.3) holen wir dafür keine ein, und es gibt deshalb auch nichts zu widerrufen.

Zurückziehen. In der App können Sie einen offenen Wunsch wieder entfernen. Auf Ihrem Gerät ist er damit gelöscht. Auf unserem Server wird der Eintrag als zurückgezogen gekennzeichnet, und der Text des Wunsches wird dabei sofort gelöscht — das gewünschte Wort und die Übersetzungshilfe.

Speicherdauer: Der Text eines Wunsches — das gewünschte Wort und die Übersetzungshilfe — wird automatisch gelöscht. Ein Zeitplan auf unserem Server prüft das täglich:

• Offene Wünsche: nach 90 Tagen. So lange brauchen wir den Wortlaut, um das Wort prüfen und aufnehmen zu können. Zugleich kennzeichnen wir den Wunsch dann als abgelehnt — die App zeigt ihn danach nicht mehr als offen an, damit Sie nicht endlos darauf warten.
• Erfüllte und abgelehnte Wünsche: nach 30 Tagen, gerechnet ab dem Tag, an dem wir sie abgeschlossen haben.
• Zurückgezogene Wünsche: sofort, siehe oben.

Übrig bleibt danach eine leere Zeile, die nur noch den Stand trägt (offen, erledigt, abgelehnt oder zurückgezogen) — damit die App Ihnen weiter anzeigen kann, was aus dem Wunsch geworden ist. Ein Text steht nicht mehr darin.

Sie können die Löschung auch vorher verlangen. Schreiben Sie uns dafür an privacy@verbulis.com und nennen Sie das gewünschte Wort und ungefähr, wann Sie es abgeschickt haben — anders können wir den Eintrag nicht wiederfinden, weil er keine Kennung trägt, die auf Sie zurückführt.

3.2 Der Abruf des Wortschatzes samt Bildern und Tönen

Die Wörter, Bilder und Tonaufnahmen der App liegen bei uns und werden von der App abgerufen. Sie fragt dafür regelmäßig nach, ob eine neuere Fassung des Wortverzeichnisses vorliegt, lädt diese gegebenenfalls herunter und holt sich die zugehörigen Bilder und Tonaufnahmen einzeln nach, sobald sie gebraucht werden. Einmal geladen, liegen sie auf dem Gerät, damit die App auch ohne Internetverbindung funktioniert.

Es geht dabei nichts von Ihnen hinaus: keine Kennung, kein Konto, kein Text, kein Lernfortschritt. Es ist ein reines Herunterladen. Wie bei jedem Abruf im Internet erfährt der Server dabei allerdings die IP-Adresse Ihres Anschlusses, den Zeitpunkt und die angefragte Adresse.

Zweck: Ihnen die Vokabeln, Bilder und Tonaufnahmen bereitzustellen, mit denen die App arbeitet.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Ohne diesen Abruf hätte die App nichts zu lernen; er ist die Erbringung der Leistung selbst.
Speicherdauer: Zu diesen Abrufen legen wir keinen Eintrag in einer Datenbank an und werten sie nicht aus. Technische Protokolle entstehen dabei wie bei jedem Server-Abruf bei unserem Auftragsverarbeiter Cloudflare; dafür gilt das in Abschnitt 1 Gesagte.

3.3 Konto, Lernprofile und Geräte

Zweck: ein Konto zu führen, in dem die Lernprofile Ihrer Kinder und die damit verbundenen Geräte liegen — zum Beispiel, damit sich Ihr Kind anmelden kann, Sie als Elternteil Profile anlegen und löschen können und ein Kauf Ihrer Familie zugeordnet wird.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO — Erfüllung des Vertrags. Sie legen das Konto an, damit wir es führen. Die Speicherung des Lernstands beruht dagegen auf Ihrer Einwilligung (Abschnitt 3.4).

Speicherdauer: Ein Konto wird automatisch gelöscht, wenn sich 365 Tage lang kein einziges damit verbundenes Gerät gemeldet hat. Ein Zeitplan auf unserem Server prüft das täglich.

• Die Frist beginnt bei jedem Kontakt von vorn. Maßgeblich ist das zuletzt aktive Gerät: Meldet sich eines von mehreren, läuft die Frist für das ganze Konto wieder neu.
• Nach 335 Tagen schicken wir eine Vorwarnung an die bestätigten E-Mail-Adressen der Eltern — 30 Tage vor der Löschung. Sie nennt den Tag, an dem gelöscht wird. Es genügt, dass sich Ihr Kind in der App auf seinem Gerät wieder anmeldet; damit beginnt die Frist von vorn. Haben Sie keine Adresse bestätigt, können wir Sie nicht vorwarnen; gelöscht wird das Konto dennoch.
• Gelöscht wird dann alles, was zu diesem Konto gehört: die Lernprofile mit ihren Fantasienamen und allem, was wir dazu gespeichert haben, auch einen gespeicherten Lernstand, die Anmeldedaten, die Zuordnung Ihrer Geräte und die E-Mail-Adressen der Eltern. Ein Gerät, das Sie zugleich mit einem anderen Konto nutzen, bleibt bestehen und wird nur diesem Konto entzogen.

Löschung auf Wunsch. Sie müssen die 365 Tage nicht abwarten. Verlangen Sie die Löschung, merken wir das Konto sofort zur Löschung vor. Gelöscht wird es 30 Tage später — mit allem, was oben aufgezählt ist, und einschließlich der E-Mail-Adresse des Elternteils.

Diese 30 Tage sind kein Vorbehalt, sondern Ihr Rückweg: Wir schreiben Ihnen sofort an die bestätigte Adresse, und bis zum letzten Tag können Sie die Löschung aufhalten — über den Link in dieser Mail, indem Sie sich in der App unter „Für Eltern“ wieder anmelden, oder indem Sie ein neues Passwort setzen.

Verlangen können Sie die Löschung in der App, im Browser oder formlos per Mail an privacy@verbulis.com; wie das geht, steht auf verbulis.com/account-loeschung. Nur für die Kaufbelege gilt das Folgende.

Kaufbelege. Hat jemand ein Abo abgeschlossen, bewahren wir die Belege dazu 8 Jahre auf — dazu sind wir handels- und steuerrechtlich verpflichtet. Wird das Konto vorher gelöscht, trennen wir die Verbindung zwischen Beleg und Konto sofort: Was liegen bleibt, lässt sich Ihnen danach nicht mehr zuordnen und wird für nichts anderes mehr verwendet.

Ein einzelnes Lernprofil löschen. Im Elternbereich können Sie das Profil eines Kindes löschen, ohne das Konto aufzulösen. Wir merken es dafür zur Löschung vor: Ab sofort kann sich Ihr Kind mit diesem Profil nicht mehr anmelden, und sein Platz in der Familie wird frei. 30 Tage lang können Sie die Löschung im Elternbereich zurücknehmen. Danach löschen wir das Profil mit allem, was dazu gehört, einschließlich eines gespeicherten Lernstands. Über das Vormerken, das Zurücknehmen und die Löschung schreiben wir Ihnen je eine E-Mail.

Sicherungen der Datenbank. Unser Auftragsverarbeiter Cloudflare hält für unsere Datenbanken eine Wiederherstellung für bis zu 30 Tage vor; das lässt sich nicht abschalten. Gelöschte Einträge können darin noch bis zu 30 Tage enthalten sein. Wir greifen darauf nur zurück, um eine Datenbank nach einem schweren Fehler wiederherzustellen.

Ein Ablaufdatum speichern wir nicht. Die Frist wird bei jeder Prüfung neu aus dem letzten Gerätekontakt gerechnet — so kann sie nicht auf einem Stand von gestern stehen bleiben.

3.4 Den Lernstand bei uns speichern

Zweck: eine Kopie des Lernstands jedes Kindes bei uns aufzubewahren, damit er nicht verloren ist, wenn ein Gerät verloren geht, kaputtgeht oder gewechselt wird. Im Elternbereich können Sie die Kopie jederzeit als Datei abrufen.
Rechtsgrundlage: Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Sie geben sie als Elternteil — nicht Ihr Kind — mit einem eigenen, freiwilligen Häkchen, wenn Sie Ihre Familie anlegen. Sie gilt für alle Kinder Ihrer Familie, auch für später hinzukommende. Ohne dieses Häkchen speichern wir keinen Lernstand; die App funktioniert trotzdem vollständig.

Wann übertragen wird: nur, wenn Ihr Kind ein Konto hat, Ihre E-Mail-Adresse bestätigt ist und Sie eingewilligt haben. Dann überträgt die App den Lernstand beim Start, wenn sie in den Vorder- oder Hintergrund wechselt, und nach jeder Lernrunde — aber nur, wenn er sich geändert hat. Vorher fragt sie unseren Server, ohne Daten mitzuschicken, ob sie speichern darf.

Was übertragen wird: der vollständige Lernstand in derselben Form wie die Sicherungsdatei (Abschnitt 3.5): welche Vokabeln Ihr Kind wie gut kann, wann und mit welchem Ergebnis es geübt hat, seine Lektionen, Sammlungen, Wünsche und Lernziele mit den Namen, die es ihnen gegeben hat, und seine Einstellungen. Nicht enthalten sind der Vorname, den Ihr Kind in der App eingeben kann, und Kennungen des Geräts. Dazu speichern wir einige Kennzahlen: wann zuletzt gelernt wurde, wie viele Wörter es insgesamt sind und wie viele davon sitzen.

Wo und wie: bei Cloudflare (Abschnitt 1), in Speichern, die auf den Rechtsraum der EU festgelegt sind. Jeder Stand wird mit einem eigenen Schlüssel verschlüsselt, den wir getrennt von der Datei aufbewahren. Wir selbst können den Lernstand entschlüsseln — das ist nötig, um ihn Ihnen herauszugeben.

Auskunft: Im Elternbereich der App sehen Sie unter „Gespeicherter Lernstand“ für jedes Kind, ob und seit wann ein Lernstand bei uns liegt, und können ihn als Datei herunterladen. Auskunft über alle übrigen Daten, die wir zu Ihnen und Ihren Kindern speichern, erhalten Sie formlos über privacy@verbulis.com; wir antworten innerhalb eines Monats.

Widerruf: jederzeit und für jedes Kind einzeln — im Elternbereich unter „Gespeicherter Lernstand“ oder formlos per E-Mail. Wir löschen den gespeicherten Lernstand dann sofort und nehmen keinen neuen an, bis Sie wieder einschalten. Ihr Kind lernt auf dem Gerät unverändert weiter. Über das Aus- und Einschalten schreiben wir Ihnen je eine E-Mail. Die Rechtmäßigkeit der Speicherung bis zum Widerruf bleibt unberührt.

Speicherdauer: Gespeichert ist immer nur der letzte Stand; ein neuer ersetzt den vorigen. Der Lernstand liegt bei uns, bis Sie die Speicherung ausschalten, bis das Lernprofil gelöscht ist (30 Tage nach der Vormerkung, Abschnitt 3.3) oder bis das Konto gelöscht ist — auf Wunsch oder nach 365 Tagen ohne Kontakt. Beim Löschen vernichten wir zuerst den Schlüssel; damit ist der Stand sofort unlesbar. Die Datei selbst löschen wir sofort, spätestens beim nächtlichen Abgleich. Für die Datenbank gilt zusätzlich das zu Sicherungen in Abschnitt 3.3 Gesagte.

3.5 Was die App darüber hinaus nicht tut

Die App enthält keine Werbung und keine Werbenetzwerke. Sie fordert die Werbekennung des Betriebssystems ausdrücklich nicht an — unter Android ist die entsprechende Berechtigung im Bauplan der App gesperrt. Es gibt keine Analyse-, Mess- oder Absturzmelde-Werkzeuge fremder Anbieter und kein Profiling.

Die Erinnerungen der App entstehen auf Ihrem Gerät; unser Server schickt keine Mitteilungen auf Ihr Gerät, und die App meldet dafür auch keine Geräteadresse an einen Nachrichtendienst. Schriftarten sind Bestandteil der App und werden nicht von fremden Servern nachgeladen. Programmcode lädt die App nicht nach.

Sicherung und Datenauskunft. Sie können Ihre Daten in der App als Datei ausgeben lassen. Diese Datei entsteht auf Ihrem Gerät. Sie verlässt es nur, wenn Sie sie selbst weitergeben — etwa an eine Wolke-Ablage oder per Nachricht. Die Datei, die Sie so ausgeben, erhalten wir nicht. Unabhängig davon speichern wir denselben Inhalt, wenn Sie eingewilligt haben (Abschnitt 3.4).

3.6 Wer unsere E-Mails versendet

Zweck: Ihnen die E-Mails zuzustellen, die in diesem Text beschrieben sind — etwa die Bestätigung Ihrer Adresse, die Anmeldung als Elternteil, den Hinweis auf ein neues Gerät, die Vorwarnung vor einer Löschung und die Bestätigung der Löschung, das Aus- und Einschalten der Lernstand-Speicherung sowie das Vormerken, Zurücknehmen und Löschen eines Lernprofils.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO — ohne Zustellung könnten wir den Vertrag nicht erfüllen; die Warnung vor einer Löschung wäre ohne E-Mail wertlos.

Versanddienst: AhaSend B.V., Willem Fenengastraat 16, Amsterdam, Niederlande (Handelsregisternummer 99533111), mit Vertrag über die Auftragsverarbeitung nach Art. 28 DSGVO. Die Server stehen in Deutschland und Finnland (Hetzner Online GmbH).

Übertragen wird nur, was die E-Mail braucht: die E-Mail-Adresse des Elternteils, der Betreff und der Text der Nachricht. Steht in der Nachricht der Fantasiename eines Kindes, wird er mitübertragen — einen echten Namen fragen wir nicht ab.

Speicherdauer beim Versanddienst: Der Inhalt der E-Mail wird nicht aufbewahrt. Betreff, Zeitpunkt und Zustellprotokoll werden nach 7 Tagen gelöscht. So können wir eine Woche lang beantworten, ob eine Warnung tatsächlich zugestellt wurde.

Keine Messung: Unsere E-Mails enthalten keine Zählpixel und keine umgeschriebenen Links.

3.7 Wenn Sie ein Abo abschließen

Zweck: Ihnen ein Abo zu verkaufen und es Ihrer Familie zuzuordnen, damit die bezahlten Inhalte auf den Geräten Ihrer Kinder freigeschaltet sind.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO — Erfüllung des Vertrags, den Sie mit dem Kauf schließen.

Verkauft wird über den App-Store. Vertragspartner des Kaufs sind Apple bzw. Google. Ihre Zahlungsdaten sehen wir nie — weder Kartennummer noch Rechnungsanschrift; sie bleiben beim jeweiligen Store.

Was die App überträgt: Beim Öffnen des Kauf-Bildschirms verbindet sich die App mit RevenueCat, einem Dienst, der Kaufbelege der Stores prüft und uns mitteilt, ob ein Abo gültig ist. Vorher geschieht das nicht: Solange Sie den Kauf-Bildschirm nicht öffnen, wird keine Verbindung zu RevenueCat aufgebaut.

Übertragen werden dabei keine Namen und keine Adressen. RevenueCat vergibt eine zufällige Kennung, die mit keinem Konto und keiner Person verknüpft ist. Diese Kennung schickt die App an unseren Server, damit der Kauf Ihrer Familie zugeordnet werden kann.

Was unser Server speichert: diese zufällige Kennung, den Status des Abos, die Produktkennung, das Ende des bezahlten Zeitraums, ob der Kauf aus der Test- oder der Produktionsumgebung stammt, und den Zeitpunkt.

Empfänger und Drittland: RevenueCat, Inc., Vereinigte Staaten. Der Dienst speichert nach eigener Erklärung in Rechenzentren in den USA. Mit RevenueCat besteht ein Vertrag über die Auftragsverarbeitung; die Übermittlung in die USA stützt sich auf die Standardvertragsklauseln der EU-Kommission.

Speicherdauer: Die Kaufbelege bewahren wir 8 Jahre auf, weil wir handels- und steuerrechtlich dazu verpflichtet sind (siehe Abschnitt 3.3). Wird Ihr Konto vorher gelöscht, trennen wir die Verbindung zwischen Beleg und Konto sofort.

4. Ihre Rechte

Sie haben uns gegenüber das Recht auf Auskunft über die zu Ihrer Person gespeicherten Daten (Art. 15 DSGVO), auf Berichtigung unrichtiger Daten (Art. 16), auf Löschung (Art. 17), auf Einschränkung der Verarbeitung (Art. 18) und auf Datenübertragbarkeit (Art. 20). Haben Sie uns eine Einwilligung erteilt, können Sie sie jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3).

Wenden Sie sich dafür formlos an privacy@verbulis.com. Wir antworten innerhalb eines Monats.

Unabhängig davon können Sie sich bei einer Aufsichtsbehörde beschweren (Art. 77 DSGVO). Für uns zuständig ist das Bayerische Landesamt für Datenschutzaufsicht (BayLDA), Promenade 18, 91522 Ansbach. Sie können sich auch an die Aufsichtsbehörde Ihres gewöhnlichen Aufenthaltsorts wenden.

5. Ihr Widerspruchsrecht nach Art. 21 DSGVO

Sie haben das Recht, aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit gegen die Verarbeitung Sie betreffender personenbezogener Daten Widerspruch einzulegen, die auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO erfolgt. Das betrifft in der App die Begrenzung der Abfragen beim Foto-Import (Abschnitt 2.3). Die eigentliche Verarbeitung des erkannten Textes beim Foto-Import, der Wunsch nach einem fehlenden Wort und der Abruf des Wortschatzes beruhen dagegen auf Art. 6 Abs. 1 lit. b DSGVO; für sie gilt dieses Widerspruchsrecht nicht. Für die Speicherung des Lernstands gilt stattdessen Ihr Widerruf (Abschnitt 3.4).

Legen Sie Widerspruch ein, verarbeiten wir die betroffenen Daten nicht mehr, es sei denn, wir können zwingende schutzwürdige Gründe für die Verarbeitung nachweisen, die Ihre Interessen, Rechte und Freiheiten überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.

Für einen Widerspruch genügt eine formlose Nachricht an privacy@verbulis.com.

6. Änderungen dieser Datenschutzerklärung

Wir passen diese Erklärung an, wenn sich an unserem Angebot etwas ändert oder die Rechtslage es verlangt. Es gilt die jeweils hier veröffentlichte Fassung.

Stand: 18. Oktober 2026