Datenschutz

1. Verantwortlicher

Verantwortlich im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:

Helge Busemann
Saarlandstraße 1
25421 Pinneberg
Deutschland

Datenschutz-Kontakt: info@currentapp.de
Allgemeiner Kontakt: info@currentapp.de

2. Datenschutzbeauftragter

Aufgrund der Größe und der Art der Datenverarbeitung sind wir gegenwärtig nicht zur Bestellung eines Datenschutzbeauftragten verpflichtet (§ 38 BDSG). Datenschutzanfragen bearbeiten wir intern und beantworten sie unter der oben genannten Kontaktadresse.

3. Datenverarbeitung in der App

3.1 Anmeldung per Magic-Link

Wenn du dich anmeldest, sendet dir CURRENT einen Anmelde-Link an deine E-Mail-Adresse. Wir verarbeiten dazu:

• deine E-Mail-Adresse
• einen Zeitstempel des Anmelde-Versuchs
• technische Metadaten der Auth-Sitzung (Session-Token, Geräte-Identifier von Apple)

Zweck: Anmeldung und Authentifizierung deines Accounts.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung — Nutzungsvertrag CURRENT).

3.2 Decks und Karten

Die Karten und Decks, die du in der App anlegst, speichern wir auf unseren Servern, damit du sie geräteübergreifend nutzen kannst. Dazu gehören Fragen, Antworten, Multiple-Choice-Optionen, Kategorie, Sprache, Schwierigkeit und ggf. Erklärungen.

Zweck: Kernfunktion der App (Lernen, Synchronisation).
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

Private Karten sind standardmäßig privat und nur für dich sichtbar. Erst wenn du sie aktiv für die Community freigibst, werden sie für Review-Prozesse zugänglich (siehe 3.5).

3.3 Lern-Fortschritt und Spaced-Repetition-Plan

Für die intelligente Wiederholungsplanung speichern wir pro Karte deinen Lernfortschritt: Antwort-Korrektheit, Antwortzeit, fälliges nächstes Review-Datum, Beherrschungs-Score, Streak-Daten.

Zweck: Spaced Repetition; statistische Übersicht im Dashboard.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

3.4 Bilder auf privaten Karten

Wenn du einer privaten Karte ein Bild hinzufügst, speichern wir das Bild in einem nutzergebundenen, privaten Speicherbereich. Der Pfad enthält deine Nutzer-ID; nur du (und unser Server für deine eigenen Anfragen) hat Zugriff.

Zweck: Kernfunktion (Karten mit Bildinhalten).
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
Hinweis: Bilder auf privaten Karten werden nicht zum Training externer KI-Modelle verwendet und sind für andere Nutzer nicht abrufbar.

3.5 Community-Karten

Wenn du eine Karte aktiv zur Community freigibst, wird sie nach einem leichten Review-Prozess anderen CURRENT-Nutzern angezeigt. Bei diesem Vorgang verarbeiten wir:

• den Karteninhalt (Frage, Antwort, Optionen, Erklärung)
• eine pseudonyme Verknüpfung mit deiner Nutzer-ID (für Review-Status und ggf. Zurückziehen)
• Voting-/Meldungs-Signale anderer Nutzer

Zweck: Community-Qualität und Moderation.
Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung, die du mit dem Submit erteilst). Du kannst Karten jederzeit zurückziehen (siehe 9).

Dein Display-Name wird mit veröffentlichten Karten nicht standardmäßig verknüpft. Bilder auf Karten, die in die Community gehen, werden in einen öffentlich zugänglichen Speicherbereich migriert — füge keine Bilder mit personenbezogenen oder vertraulichen Inhalten in Karten ein, die du freigibst.

3.6 In-App-Käufe und Abonnements (Apple)

Wenn du ein Abonnement (etwa CURRENT Premium) abschließt, läuft der Kauf-Prozess über den Apple App Store (StoreKit). Der jeweils angezeigte Preis ergibt sich aus der App bzw. dem Apple App Store und kann je nach Land, Steuer, Aktion oder Währung abweichen. Wir speichern auf unserem Server lediglich ein Verifikations-Token (Receipt), um deinen Premium-Status zu kennen.

Zahlungs- und Abrechnungsdaten (Kreditkarte, Apple-ID, Rechnungsanschrift) verarbeitet ausschließlich Apple. Wir haben darauf keinen Zugriff.

Zweck: Premium-Aktivierung und Vertragserfüllung.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO; ergänzend Apple's Bedingungen für In-App-Käufe.

3.7 Crash-Reports (Sentry — derzeit nicht aktiv)

In der ausgelieferten App-Version ist kein Crash-Reporting-Dienst aktiv. Es werden keine Crash- oder Fehler-Daten an Dritte übertragen.

Für eine zukünftige Version ist eine optionale Integration des Crash-Reporting-Dienstes Sentry vorbereitet. Sobald wir sie produktiv schalten, wird sie zunächst nur in einer EU-Region (geplant: Frankfurt, de.sentry.io) konfiguriert. Der Crash-Report würde dann Folgendes enthalten:

• Stack-Trace (technische Aufruf-Kette)
• App-Version und Betriebssystem-Version
• deine pseudonyme Nutzer-ID (UUID, keine E-Mail)
• Geräteklasse (z. B. „iPhone 14 Pro"), Sprache, Zeitzone

Vor dem Versenden würden E-Mail-Adressen und Speicherpfade automatisch aus dem Report entfernt. Bildschirminhalte und View-Hierarchien würden nicht übertragen. Diese Schutzmaßnahmen sind bereits im App-Code implementiert und werden ab der ersten produktiven Aktivierung wirksam.

Zweck (sobald aktiv): Stabilität und Qualität der App.
Rechtsgrundlage (sobald aktiv): Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer funktionierenden App), ergänzt durch deine separate Einwilligung beim ersten App-Start. Du kannst die Einwilligung in den App-Einstellungen widerrufen.

Wir aktualisieren diese Datenschutzerklärung und holen erneut deine Einwilligung ein, bevor Sentry produktiv aktiviert wird.

3.8 Einwilligungen (Nachweispflicht)

Wenn du Einwilligungen (Datenschutz, Crash-Reporting, Marketing) erteilst oder widerrufst, speichern wir den Zeitpunkt, die Sprache der Einwilligungs-UI und den jeweiligen Status.

Zweck: Nachweispflicht gemäß Art. 7 Abs. 1 DSGVO.
Rechtsgrundlage: Art. 6 Abs. 1 lit. c DSGVO (rechtliche Verpflichtung).

3.9 Gast-Modus

Im Gast-Modus läuft die App ohne Account. Deine Karten, dein Fortschritt und deine Einstellungen werden ausschließlich lokal auf deinem Gerät gespeichert (in SharedPreferences / lokaler Datenbank). Es findet keine Übertragung an unsere Server statt, solange du nicht aktiv einen Account anlegst.

Beim späteren Sign-In kannst du dich entscheiden, die lokalen Daten zu übernehmen oder zu verwerfen.

3.10 Optionale KI-/PDF-Funktionen mit Google Gemini

CURRENT bietet optionale KI-Funktionen an, insbesondere:

• PDF-Analyse
• PDF-zu-Karten-Konvertierung
• automatische Zusammenfassungen
• Generierung von Lernkarten aus vom Nutzer bereitgestellten Inhalten

Diese Funktionen werden nur ausgeführt, wenn du sie aktiv startest. Sie laufen weder im Hintergrund noch ohne deine Eingabe.

Bei Nutzung können folgende Daten verarbeitet und an Google übermittelt werden:

• hochgeladene PDF-Dateien oder daraus extrahierte Inhalte
• von dir eingegebene Prompts oder Zusatzinformationen
• vorhandene Karten-/Deck-Kontexte, soweit für die Funktion erforderlich
• generierte Ergebnisse (z. B. Kartenvorschläge, Zusammenfassungen, Strukturierungen)
• technische Metadaten der Anfrage (z. B. Zeitstempel, Nutzungsstatus)

Zweck: Bereitstellung der aktiv angeforderten KI-Funktion — insbesondere Analyse, Umwandlung und Strukturierung deiner Lerninhalte.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung — du löst die KI-/PDF-Funktion aktiv als App-Funktion aus).
Verarbeitungsstandort: primär Google Ireland Limited (EU). Bei Auslastung kann Google Anfragen technisch auch an Rechenzentren außerhalb der EU/des EWR weiterleiten — siehe §7.

Wichtig:

• Die Nutzung der KI-/PDF-Funktionen ist optional. Ohne aktive Auslösung werden keine Inhalte an Google Gemini übermittelt.
• Die übermittelten Inhalte werden nicht zum Training externer KI-Modelle verwendet, soweit dies durch die gewählten Anbieter- und API-Einstellungen vertraglich ausgeschlossen ist. Nach der Default-Konfiguration der kostenpflichtigen Gemini API ist dieser Ausschluss gegeben.
• Du solltest keine Inhalte hochladen, für deren Verarbeitung du keine Rechte hast oder die besonders sensible personenbezogene Daten Dritter enthalten, sofern dies nicht erforderlich und rechtlich zulässig ist.

Hinweis zur Qualität: KI-generierte Karten, Zusammenfassungen und Strukturierungen können fehlerhaft, unvollständig oder unpräzise sein. Du musst jeden Vorschlag vor dem Speichern selbst prüfen — die App zeigt vor dem Übernehmen eine editierbare Vorschau. Siehe auch §8 zur Transparenz nach EU-KI-Verordnung.

4. Datenverarbeitung auf dieser Website

4.1 Hosting / Server-Logs

Diese Website wird über einen technischen Hosting-Dienstleister ausgeliefert. Beim Aufruf werden technisch notwendige Logs erstellt: IP-Adresse (gekürzt oder pseudonymisiert je nach Hoster), Zeitstempel, abgerufene URL, Referrer, User-Agent.

Zweck: Bereitstellung der Website, Schutz vor Missbrauch.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.
Speicherdauer: typischerweise wenige Tage durch den Hosting-Anbieter; danach automatische Löschung.

4.2 Keine Tracking-Cookies / kein Cookie-Banner

Wir verwenden auf dieser Website keine Cookies zu Analyse-, Werbe- oder Trackingzwecken. Wir setzen keine Werbe-Pixel, keine Analyse-Cookies und keine Drittanbieter-Tracker ein — insbesondere kein Google Analytics, kein Google Tag Manager, kein Meta-/Facebook-Pixel, kein TikTok-Pixel, kein LinkedIn Insight, kein Hotjar, kein PostHog, kein Plausible und kein Matomo. Es laufen keine Embeds oder Drittanbieter-Scripte. Ein Cookie-Banner ist deshalb nicht erforderlich.

Soweit technisch notwendige Speicherungen verwendet werden, dienen diese ausschließlich dem Betrieb der Website, insbesondere zur Speicherung deiner zuletzt gewählten Sprache oder anderer notwendiger Anzeigeeinstellungen. Diese Verarbeitung erfolgt auf Grundlage von § 25 Abs. 2 TDDDG (Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz) sowie Art. 6 Abs. 1 lit. f DSGVO.

Wir verwenden konkret technisch notwendigen LocalStorage, um deine zuletzt gewählte Sprache zu merken. Diese Information wird nicht zu Tracking-, Analyse- oder Werbezwecken genutzt und nicht mit Drittanbieterprofilen zusammengeführt.

4.3 Kontaktformular / E-Mail

Wenn du uns per E-Mail kontaktierst (info@currentapp.de), speichern wir deine Mail-Adresse, deinen Namen (falls angegeben) und den Inhalt deiner Anfrage, um sie zu bearbeiten.

Zweck: Bearbeitung deiner Anfrage.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (bei Anfragen mit Vertragsbezug) oder lit. f (berechtigtes Interesse an Kommunikation mit Interessenten).
Speicherdauer: bis zur abschließenden Bearbeitung deines Anliegens, längstens bis zum Ende des darauf folgenden Kalenderjahres (Aufbewahrungspflichten ausgenommen).

5. Empfänger / Drittanbieter

Wir setzen folgende Auftragsverarbeiter und Drittanbieter ein. Mit allen Auftragsverarbeitern bestehen entsprechende Verträge gemäß Art. 28 DSGVO.

Supabase Inc. (Hosting, Datenbank, Auth, Storage)

Anbieter: Supabase Inc., 970 Toa Payoh North #07-04, Singapore 318992
Funktion: Datenbank-Hosting, Authentifizierung (Magic-Link), Objekt-Speicher für Bilder, Backend-Services.
Region der Verarbeitung: EU (Frankfurt, eu-central-1).
AVV: supabase.com/legal/dpa

Apple Inc. (App Store, In-App-Käufe)

Anbieter: Apple Inc. / Apple Distribution International Limited
Funktion: App-Distribution, Zahlungsabwicklung für In-App-Käufe, Push-Notification-Infrastruktur.
Region der Verarbeitung: EU (Apple Distribution International, Irland) und USA (Mutterkonzern).
Garantien für Drittlandtransfer: EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO).

Google Ireland Limited / Google LLC (KI-/PDF-Funktionen — nur bei aktiver Nutzung)

Anbieter (Vertragspartner): Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland; sowie ggf. Google LLC, 1600 Amphitheatre Parkway, Mountain View, CA 94043, USA
Funktion: Bereitstellung optionaler KI-Funktionen über Google Gemini — insbesondere PDF-Analyse, Inhaltsanalyse, Zusammenfassungen und Erstellung von Lernkarten. Nur aktiv, wenn du die jeweilige Funktion pro Vorgang selbst auslöst (siehe §3.10).
Art der Daten: Vom Nutzer aktiv bereitgestellte Inhalte (PDF-Inhalt, Prompts, Kontextinformationen) und generierte Ergebnisse. Keine direkten Kontodaten (E-Mail, Name) werden übermittelt.
Region / Drittland: Je nach Google-Konfiguration kann eine Verarbeitung innerhalb der EU sowie eine Einbindung von Google LLC in den USA erfolgen.
Modelltraining: Eingaben und Ausgaben der kostenpflichtigen Gemini API werden nach Google-Default-Konfiguration nicht zum Training der allgemeinen Google-Modelle verwendet.
Garantien: EU-Standardvertragsklauseln gemäß Art. 46 DSGVO sowie zusätzliche vertragliche und technische Schutzmaßnahmen.
Rolle: Google handelt im Rahmen der Gemini API als Dienstleister bzw. Auftragsverarbeiter im Sinne des Google-Cloud-/Gemini-API-Datenverarbeitungsanhangs.
DPA: cloud.google.com/terms/data-processing-addendum

Sentry (Crash Reporting — derzeit nicht aktiv)

Status: in der aktuellen App-Version nicht produktiv geschaltet — es werden keine Daten an Sentry übertragen.
Anbieter (geplant): Functional Software, Inc. dba Sentry, 132 Hawthorne Street, San Francisco, CA 94107, USA
Funktion (geplant): Crash- und Fehler-Reporting für die mobile App.
Geplante Region: EU (Frankfurt, de.sentry.io). Die endgültig gewählte Region nennen wir an dieser Stelle verbindlich, sobald die Funktion aktiviert ist.
Geplante Garantien für Drittlandtransfer: Standardvertragsklauseln gemäß Art. 46 DSGVO (falls das Sentry-Mutterunternehmen in den USA in die Verarbeitung einbezogen wird), Pseudonymisierung der Nutzer-ID, automatisches Entfernen von E-Mail-Adressen und Speicherpfaden.
AVV: sentry.io/legal/dpa

6. Speicherdauer

• Account-Stammdaten (E-Mail, Karten, Lernfortschritt): bis zur Löschung deines Accounts.
• Anonymisierte Community-Karten (nach Account-Löschung): unbefristet im Fundus, ohne Personenbezug.
• Einwilligungs-Nachweise: 3 Jahre nach Widerruf bzw. Account-Löschung (Verjährungsfrist).
• IAP-Receipts: für die Dauer der Geschäftsbeziehung und ggf. handels-/steuerrechtlicher Aufbewahrungsfristen (bis zu 10 Jahre).
• PDF-Dateien und KI-Verarbeitungsergebnisse: solange zur Durchführung der Funktion erforderlich bzw. solange du sie in deinem Account gespeichert hast.
• Temporäre KI-Verarbeitungsdaten: so kurz wie technisch möglich.
• Übernommene Karten / Decks aus KI-Funktionen: bis zur Account-Löschung oder manuellen Löschung.
• Crash-Reports: aktuell keine, weil Sentry nicht aktiv. Sobald aktiviert: max. 90 Tage (Standardkonfiguration).
• Server-Logs Hosting: typischerweise wenige Tage.
• E-Mail-Korrespondenz: bis zur abschließenden Bearbeitung, längstens bis zum Ende des darauf folgenden Kalenderjahres.

7. Drittlandtransfer

Sofern personenbezogene Daten an Empfänger außerhalb der EU/des EWR übertragen werden (Apple, Google-Mutterkonzern in den USA, Sentry-Mutterkonzern in den USA), erfolgt dies auf Grundlage der EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO). Wir konfigurieren unsere Auftragsverarbeiter so, dass die operative Verarbeitung möglichst in der EU stattfindet (Supabase: EU; Google: primär EU-Endpunkte; Sentry: EU-Region).

8. KI-/PDF-Funktionen

• CURRENT stellt optionale KI-/PDF-Funktionen bereit (insbesondere PDF-Analyse, PDF-zu-Karten-Konvertierung, automatische Zusammenfassungen und Generierung von Lernkarten).
• Diese Funktionen sind nicht dauerhaft aktiv, sondern werden nur auf ausdrückliche Aktion des Nutzers ausgeführt.
• Bei Nutzung können PDF-Inhalte, Prompts und generierte Ergebnisse an Google Gemini übermittelt werden.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung — du löst die Funktion aktiv aus).
• Keine Nutzung für Werbung.
• Keine Nutzung zum Training externer KI-Modelle, soweit dies vertraglich bzw. API-seitig ausgeschlossen ist. Nach der Default-Konfiguration der kostenpflichtigen Gemini API ist dieser Ausschluss gegeben.
• Du kannst die KI-/PDF-Funktionen vollständig vermeiden, indem du sie schlicht nicht startest.
• Bereits generierte Karten oder Ergebnisse werden in deinem Account gespeichert, wenn du sie übernimmst oder speicherst.
• Transparenz nach EU-KI-Verordnung: KI-generierte Inhalte können fehlerhaft, unvollständig oder unpräzise sein. Du musst sie vor dem Speichern oder Teilen prüfen. KI-Vorschläge ersetzen keine fachliche Beratung (medizinisch, juristisch, steuerlich oder andere) und keine geprüfte Lernquelle.
• Eingesetztes Modell: Google Gemini. Die Modellversion kann sich ohne Vorankündigung ändern, wenn Google Updates ausrollt.

Weitere KI-Funktionen können in Zukunft hinzukommen. Sobald sie eingeführt werden, erweitern wir diese Datenschutzerklärung und nennen den jeweiligen Anbieter und Verarbeitungszweck.

9. Deine Rechte als betroffene Person

Du hast jederzeit folgende Rechte:

• Auskunft (Art. 15 DSGVO) — welche Daten wir über dich verarbeiten
• Berichtigung (Art. 16 DSGVO) — falscher oder unvollständiger Daten
• Löschung (Art. 17 DSGVO) — „Recht auf Vergessenwerden"
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO) — Export deiner Daten in einem maschinenlesbaren Format
• Widerspruch (Art. 21 DSGVO) gegen Verarbeitungen auf Basis berechtigter Interessen
• Widerruf erteilter Einwilligungen (Art. 7 Abs. 3 DSGVO) — wirkt ab dem Zeitpunkt des Widerrufs

Bitte richte deine Anfrage an info@currentapp.de. Die Bearbeitung erfolgt innerhalb eines Monats.

Account-Löschung und Datenexport kannst du außerdem direkt in der App unter Einstellungen → Account auslösen — siehe auch Account-Löschung Schritt für Schritt.

10. Beschwerderecht bei der Aufsichtsbehörde

Wenn du der Meinung bist, dass die Verarbeitung deiner Daten durch uns gegen die DSGVO verstößt, hast du das Recht auf Beschwerde bei einer Aufsichtsbehörde (Art. 77 DSGVO). Zuständig ist insbesondere die Aufsichtsbehörde des Bundeslandes, in dem unser Anbieter seinen Sitz hat:

Unabhängiges Landeszentrum für Datenschutz Schleswig-Holstein (ULD), Holstenstraße 98, 24103 Kiel, Telefon: +49 431 988-1200, datenschutzzentrum.de

11. Änderungen dieser Datenschutzerklärung

Wir passen diese Datenschutzerklärung an, wenn sich die Verarbeitung ändert (z. B. neue Funktionen, neue Drittanbieter). Bei wesentlichen Änderungen weisen wir dich aktiv darauf hin und holen ggf. neue Einwilligungen ein. Die jeweils aktuelle Fassung ist hier abrufbar.

12. Kontakt

Bei allen Datenschutzfragen erreichst du uns unter info@currentapp.de.