Datenschutzerklärung

Stand: 10. Oktober 2026

1. Verantwortlicher

Dustin Just, Eichhof 2, 38539 Müden/Aller, Deutschland. Kontakt für Datenschutzanliegen: just.dustin@outlook.de.

2. Betrieb und Empfänger

Die Anwendung läuft auf einem eigenen Server in Deutschland. Die Domain und dynamische DNS-Zuordnung werden über Strato bereitgestellt. Anfragen erreichen die Anwendung über einen eigenen Raspberry Pi mit Nginx Proxy Manager, der die verschlüsselte HTTPS-Verbindung verarbeitet. DNS-Anbieter können bei der Namensauflösung technische Anfragedaten verarbeiten; sie hosten nicht die UTL-Kontodatenbank.

Berechtigte Administratoren haben zur Betreuung und Fehlerbehebung Zugriff auf Kontodaten. Moderatoren erhalten Zugriff auf die für Inhaltsprüfung und Moderation vorgesehenen Daten und Statistiken. Eine Veröffentlichung privater Kontodaten erfolgt nicht automatisch.

3. Konto und Lernen

Ein Konto ist für die kostenlose Nutzung ohne Anmeldung nicht erforderlich. Bei Registrierung speichern wir einen selbst gewählten Kontonamen, Rolle, Registrierungs- und Loginzeitpunkte, die akzeptierte Version der Nutzungsbedingungen, Einstellungen und einen gesalzenen Passwort-Hash mit PBKDF2. Ein Klartextpasswort wird nicht gespeichert. Verwende möglichst ein Pseudonym und gib in Freitexten keine unnötigen personenbezogenen Daten an.

Zum Konto gehören Lernstände und Wiederholungsfälligkeiten, XP und Fachbereichsfortschritt, Nutzungszähler, persönliche Ergebnisse, Kartenvorschläge, Feedback und gegebenenfalls Moderationsdaten. Für Premium werden Berechtigungen, Laufzeiten, Gutschriften und die zugehörigen Verwaltungsvorgänge gespeichert. Vormerkungen enthalten den ausgewählten Tarif und Zeitpunkt, keine Zahlungsdaten. Zweck ist die Bereitstellung der gewünschten Kontofunktionen; Rechtsgrundlage ist Art. 6 Abs. 1 Buchst. b DSGVO. Sicherheitsmaßnahmen stützen sich auf Art. 6 Abs. 1 Buchst. f DSGVO, mit dem Interesse am sicheren Betrieb.

4. Aktive Lernzeit und Betriebe

Bei angemeldeten Nutzern wird geschätzte aktive Lernzeit nach UTC-Tag und Lernmodus zusammengezählt. Interaktionen erkennen nur, ob eine Lernsession aktiv ist. Mauspositionen, einzelne Tastendrücke und Eingabetexte werden dafür nicht gespeichert. Versteckte oder inaktive Tabs pausieren. Die Angaben sind keine verlässliche Arbeitszeiterfassung oder Leistungsbewertung.

Die eigene Übersicht ist für dich und Administratoren sichtbar. Bei einem aktiven Betriebsabo sehen berechtigte Betriebsverwalter zusätzlich die Lernzeit, die während deiner aktiven Azubi-Zuordnung erfasst wurde. Lernzeit vor dem Beitritt oder für einen anderen Betrieb wird nicht nachträglich offengelegt. Zusätzlich werden Betriebsname, Mitgliedsrolle, Einladung und Zugang verwaltet. Der Betrieb muss dich über seinen Ausbildungszweck, seine datenschutzrechtliche Verantwortlichkeit und die zulässige Verwendung informieren. Eine Betriebszuordnung ist kein Ersatz für eine erforderliche Rechtsgrundlage des Betriebs. Nach Austritt oder Ende der Berechtigung entfällt dessen Zugriff.

5. Öffentlich sichtbare Beiträge und Quiz

Wenn du ein Ergebnis für die öffentliche Bestenliste einreichst, werden der gewählte Anzeigename, Ergebnis und zugehörige Spielinformationen veröffentlicht. Im Onlinequiz sehen die Teilnehmer Spielernamen und Spielstände. Diese ausdrücklich gewählten Funktionen sind Teil der gewünschten Leistung (Art. 6 Abs. 1 Buchst. b DSGVO). Kontonamen sind keine anonymen Daten. Kartenvorschläge werden redaktionell geprüft; veröffentlichte Kartentexte sind für andere Nutzer sichtbar. Für die Entfernung einer Veröffentlichung kannst du uns kontaktieren.

6. Verbindungsdaten

Die Anwendung speichert bei angemeldeten Konten Verbindungszeitpunkt und IP-Adresse mit Kontozuordnung für Betriebssicherheit und Fehleranalyse. Die Anwendungsprotokolle werden nach sieben Tagen automatisch entfernt; aktuelle Einträge können nach einem Datenreset erneut entstehen. Anonyme Besucher werden nicht mit einer dauerhaften Besucherkennung in der Anwendungs-Verbindungsstatistik erfasst. Antwortstatistiken sind globale Zähler.

Netzwerk und Reverseproxy verarbeiten IP-Adresse und technische Anfrageinformationen zur Auslieferung und Absicherung. Deren Protokolle sind von den Anwendungsprotokollen getrennt. Auskunft über zusätzlich vorhandene Proxyprotokolle erhältst du beim Verantwortlichen. Rechtsgrundlage für erforderliche Sicherheitsprotokolle ist Art. 6 Abs. 1 Buchst. f DSGVO.

7. Speicherung im Browser

Im localStorage werden Sitzungstoken (y_cards_token beziehungsweise älterer gemini_cards_token), gewählte Darstellung (ut_theme), Beruf (ut_profession), Ausbildungsjahr (ut_year), lokale Ergebnisse (utabw_highscores) und gegebenenfalls Quizname (y_cards_guest_name) gespeichert. Die Kennung y_cards_client_id und ein Onlinequizname werden nur im sessionStorage des Browser-Tabs gehalten. Eine ältere dauerhafte lokale Kennung wird entfernt. Die notwendigen HttpOnly-Cookies gemini_cards_session (Login, bis zu 30 Tage) und utl_learning_guest (Gastlernstand und Tageslimits, bis zu 365 Tage) ordnen die ausdrücklich genutzten Funktionen zu. Auch bei Gastnutzung können Kartenfortschritt, XP und Ergebnisse unter einer technischen Kennung auf dem Server gespeichert werden. Gast-Lern-, Ergebnis- und Nutzungsdatensätze werden nach spätestens 365 Tagen ohne Aktualisierung des jeweiligen Datensatzes bereinigt; bei Registrierung können sie in das Konto übernommen werden. Loginwerte werden beim Abmelden entfernt; andere lokale Werte bleiben bis zum Löschen der Browserdaten oder der jeweiligen Einstellungen bestehen.

Für die unbedingt erforderliche Speicherung einer ausdrücklich gewünschten Funktion wird die Ausnahme nach § 25 Abs. 2 TDDDG genutzt. Zusätzliche Funktionen speichern ihre Werte im Zusammenhang mit deiner Auswahl. Es werden aktuell keine externen Werbeskripte, Analyseanbieter oder Marketingcookies eingebunden; Werbeflächen sind Platzhalter. Eine spätere Einbindung wird gesondert dokumentiert und erhält, soweit erforderlich, eine vorherige Einwilligungssteuerung.

8. Redaktionelle KI-Prüfung

Administratoren und Moderatoren können Kartentitel, Definition, Kategorie und Thema zur fachlichen Prüfung an die OpenAI-API übermitteln. Die Funktion ist keine automatische Übermittlung sämtlicher Kontodaten. Kontonamen, Passwörter und Lernstände werden dafür nicht gezielt mitgesendet; personenbezogene Angaben in eingereichten Kartentexten könnten jedoch im Text enthalten sein. Solche Angaben sollen vor einer Prüfung entfernt werden. Eine Verarbeitung außerhalb der EU kann je nach Anbieter-Konfiguration stattfinden. Bei personenbezogenen Inhalten müssen Rechtsgrundlage, Auftragsverarbeitung und gegebenenfalls Garantien nach Art. 44 ff. DSGVO vor der Übermittlung geklärt sein. Nutze Kartenvorschläge ausschließlich für sachliche Lerninhalte ohne personenbezogene Informationen.

9. Aufbewahrung und Backups

Lerndaten bleiben grundsätzlich bis zu deinem Reset oder der Kontolöschung erhalten. Inaktive Konten werden nach drei Jahren ohne Anmeldung bereinigt. Ausnahmen gelten insbesondere für gültiges Premium, noch vorhandenes Guthaben sowie erforderliche Betriebszuordnungen. Geschlossene Konten werden grundsätzlich nach 14 Tagen bereinigt. Eine beantragte Kontolöschung erfolgt über die Kontofunktion; veröffentlichte Fachinhalte können ohne Kontozuordnung erhalten bleiben.

Zur Wiederherstellung werden Datenbanken regelmäßig in zugriffsgeschützten ZIP-Archiven außerhalb der Anwendung gesichert. Aufbewahrt werden die letzten drei Sicherungen, eine je UTC-Tag der letzten sieben Tage und eine je UTC-Woche der letzten vier Wochen. Bei normalem Sicherungsbetrieb reichen historische Sicherungen damit ungefähr vier Wochen zurück. Die letzten drei geprüften Sicherungen bleiben als Rückfallebene erhalten, auch wenn längere Zeit keine neue Sicherung entsteht. Archive werden nicht für den laufenden Nutzerbetrieb verwendet. Für Wiederherstellungen werden gelöschte Konto-IDs mit Löschzeitpunkt bis zu 30 Tage in einem Löschregister gespeichert. Dieses Register muss aus dem neuesten verfügbaren Datenstand auf eine ältere Sicherung angewendet werden, damit gelöschte Konten nicht wieder aktiviert werden. Weitere Kopien dieser Archive erhalten dieselben Aufbewahrungsregeln. Zweck ist Datenwiederherstellung und Betriebssicherheit (Art. 6 Abs. 1 Buchst. f DSGVO).

10. Deine Rechte

Du kannst Auskunft und Berichtigung verlangen sowie, soweit die gesetzlichen Voraussetzungen vorliegen, Löschung, Einschränkung und Datenübertragbarkeit. Gegen Verarbeitung auf Grundlage berechtigter Interessen kannst du aus Gründen deiner besonderen Situation Widerspruch einlegen. Eine erteilte Einwilligung kannst du für die Zukunft widerrufen. Im Konto stehen Datenreset, Kontolöschung und ein persönlicher JSON-Export zur Verfügung. Passwort-Hashes und Sicherheitsgeheimnisse werden nicht exportiert.

Du kannst dich bei einer Datenschutzaufsichtsbehörde beschweren, insbesondere beim Landesbeauftragten für den Datenschutz Niedersachsen. Für Rechte und Rückfragen nutze die oben genannte Kontaktadresse. Eine Anmeldung ist freiwillig; ohne erforderliche Kontodaten stehen kontogebundene Funktionen nicht zur Verfügung. Es werden keine automatisierten Entscheidungen mit rechtlicher oder vergleichbar erheblicher Wirkung getroffen.

Gespeicherte Lernauswahl

Beruf (oder alle Berufe), Lehrjahr und der Abschluss der kurzen Einführung werden deinem Konto zugeordnet gespeichert, damit deine Auswahl bei späteren Anmeldungen und auf anderen Geräten verfügbar ist. Du kannst sie jederzeit in der Menüleiste beziehungsweise im mobilen Menü ändern. Diese Einstellungen werden mit dem Konto gelöscht und sind im persönlichen Datenexport enthalten.

Gesehene und gemerkte Karten

Beim Lernen speichern wir, welche Karten unter deiner Konto- oder Gastkennung angezeigt wurden. Dadurch können Gäste und kostenlose Konten ihre bereits gesehenen Karten im Katalog wiederfinden. Bei Registrierung können diese Sichtungen in das Konto übernommen werden. Gast-Sichtungen werden nach spätestens 365 Tagen ohne Aktualisierung gelöscht. Kontobezogene Sichtungen bleiben bis zur Kontolöschung erhalten. Die private Merkliste enthält Karten-IDs, Speicherzeitpunkt und bei gewürfelten Matheaufgaben die konkrete Aufgabe mit Lösungsweg. Sie ist nur im jeweiligen Konto verfügbar; Betriebe erhalten keinen Zugriff auf die persönliche Merkliste. Du kannst Einträge jederzeit entfernen. Sichtungen und Merkliste sind im persönlichen Datenexport enthalten und werden bei Kontolöschung entfernt. Rechtsgrundlage ist Art. 6 Abs. 1 Buchst. b DSGVO für diese gewünschten Lernfunktionen.