Stand: 26. Oktober 2026
Diese Erklärung beschreibt in einfachen Worten, welche Daten AI STEP erhebt, warum, wer sie sonst noch sieht, wie lange wir sie aufbewahren und was Sie jederzeit von uns verlangen können.
Wir sind ein ukrainischer Dienst. Diese Erklärung unterliegt dem Recht der Ukraine — insbesondere dem Gesetz der Ukraine „Über den Schutz personenbezogener Daten“, dem Gesetz der Ukraine „Über den elektronischen Geschäftsverkehr“, dem Gesetz der Ukraine „Über den Schutz der Verbraucherrechte“ und dem Gesetz der Ukraine „Über Urheberrecht und verwandte Schutzrechte“. Wenn Sie sich im Europäischen Wirtschaftsraum oder im Vereinigten Königreich befinden, gilt für Sie zusätzlich die Datenschutz-Grundverordnung (DSGVO), und wir beschreiben Ihre Rechte nach der DSGVO unten.
Diese deutsche Übersetzung wird zur Bequemlichkeit internationaler Nutzer bereitgestellt. Bei jeder Abweichung hat die ukrainische Fassung dieser Erklärung rechtlich Vorrang.
1.1. Verantwortliche für die Datenverarbeitung ist die Einzelunternehmerin (FOP) Riasna Sofiia Volodymyrivna (Steuernummer 3872001402, Ukraine), die AI STEP betreibt — nachfolgend „wir“, „uns“, „AI STEP“.
1.2. Kontakt für jede Frage, Anfrage oder Beschwerde zu Daten: support@aistep.app. Schreiben Sie an diese E-Mail-Adresse für alles, was Ihre Daten betrifft — es ist der schnellste Kanal und derjenige, den wir überwachen. Wir haben keinen gesonderten Datenschutzbeauftragten (DSB) benannt: Anfragen werden direkt von der Inhaberin des Dienstes bearbeitet.
1.3. Was der Dienst ist, damit Sie sehen, warum wir die einzelnen Daten benötigen. AI STEP ist ein Online-Produkt — ein Webdienst und eine mobile App für iOS und Android — zum Erlernen der Arbeit mit KI-Werkzeugen im Beruf, im eigenen Unternehmen und in Nebentätigkeiten, verfügbar im Abonnement. Es umfasst: ein Zertifikats-Lernprogramm aus Kursen zu KI-Werkzeugen (Stand 13. Oktober 2026: 28 Kurse und 828 Lektionen; jede Lektion ist eine kurze praktische Aufgabe in einem Chatfenster mit Erklärung und Überprüfung); Abschlusszertifikate; einen KI-Mentor (Chat); KI-Werkzeuge (fertige Prompts für einen Beitrag, eine E-Mail, einen Content-Plan und Ähnliches); sowie die Verfolgung von Fortschritt und Serie. All das öffnet sich nur mit einem aktiven Abonnement, auch während einer Testphase.
1.4. Wir sind ein Bildungsprodukt und garantieren kein Einkommen. Wir vermitteln Fähigkeiten. Wir versprechen, garantieren oder prognostizieren keine Einnahmen, keinen Gewinn, keine Kunden und keine Anstellung. Ihr Ergebnis hängt von Ihrem eigenen Einsatz, Ihren Fähigkeiten und dem Markt ab. Alle Zahlen, die Sie in Lektionen oder im Marketing sehen, sind Veranschaulichungen, kein Versprechen.
1.5. Ein Abschlusszertifikat in AI STEP ist ein internes Abzeichen des Dienstes, das bestätigt, dass Sie einen Kurs innerhalb von AI STEP abgeschlossen haben. Es ist kein akkreditiertes Diplom und kein staatlich anerkanntes Bildungsdokument. Wir speichern in unserer Datenbank die Tatsache des Abschlusses und nichts weiter. Jedes Zertifikat hat eine Nummer und einen QR-Code, der zu einer öffentlichen Prüfseite führt; diese Seite zeigt nur, ob die Nummer gültig ist, den Kurs und das Ausstellungsdatum — nicht Ihren Namen.
1.6. Der Dienst ist für Erwachsene, 18+. Es ist ein kostenpflichtiges Produkt zu Beruf, eigenem Unternehmen und Nebentätigkeiten, und wir richten uns nicht an Minderjährige und nehmen sie nicht wissentlich auf.
1.7. Zahlungen auf der Website durch Kunden in der Ukraine werden direkt über WayForPay eingezogen (ukrainisches Acquiring, Visa-/Mastercard-Karten), und Abrechnungsfragen und Erstattungen für solche Zahlungen bearbeiten wir selbst. Für Kunden außerhalb der Ukraine werden Bestellungen auf der Website von unserem Online-Wiederverkäufer Paddle.com abgewickelt, dem Merchant of Record für solche Bestellungen: Paddle zieht die Zahlung ein, stellt die Quittung aus und übernimmt Kundenservice und Erstattungen dafür. Paddle verarbeitet die Zahlungsdaten als eigenständiger Verkäufer (seller of record) nach seiner eigenen Datenschutzerklärung (paddle.com/legal/privacy). Je nach Ihrem Land ist der Verkäufer Paddle.com Inc. (Vereinigte Staaten), Paddle.com (Canada) Ltd. (Kanada) oder Paddle.com Market Limited (übrige Welt). Um den Preis in Ihrer Währung anzuzeigen und die Steuern zu berechnen, erhält Paddle beim Bezahlvorgang Ihre IP-Adresse. Was Paddle von uns erhält und was wir von Paddle erhalten, steht in der Tabelle in Ziffer 5.1.
1.8. Wenn Sie in der App für iOS oder Android kaufen, erfolgt der Kauf über das In-App-Kaufsystem des App Store (Apple) oder von Google Play (Google). Die Zahlung wird von Apple oder Google verarbeitet, wir erhalten niemals Ihre Kartendaten, und unser Server prüft die Kaufquittung beim Store, um Ihren Zugang zu öffnen. Ein so gekauftes Abonnement wird in den Abonnement-Einstellungen Ihrer Apple-ID oder Ihres Google-Kontos verwaltet und gekündigt, und Erstattungen dafür richten sich nach den Regeln des jeweiligen Stores. Welche Daten wir über einen solchen Kauf erhalten und warum, ist in Ziffer 5.8 beschrieben.
2.1. Wir erheben nur, was das Produkt tatsächlich benötigt. Unten steht die vollständige Liste.
| Daten | Wann sie erhoben werden | Warum wir sie benötigen | Rechtsgrundlage |
|---|---|---|---|
| Quiz-Antworten — Geschlecht, Altersgruppe, Name, Ziel, Ihnen bekannte KI-Werkzeuge, Erfahrung, Zeit pro Tag, Einkommensorientierung und andere Antworten zu Ihrer Arbeit und Ihrem Lernen | Wenn Sie das Onboarding-Quiz durchlaufen, vor oder nach der Registrierung | Um Ihren Plan zu erstellen und Ihr tägliches Lerntempo festzulegen. Alle Antworten bleiben auf Ihrem Gerät. Wenn Sie Ihre E-Mail-Adresse hinterlassen, sendet die App unserem Server eine Anfrage, die andere Quiz-Antworten enthalten kann, aber wir speichern daraus nur Ihren Namen, den technischen Zielschlüssel und das technische Segment: das Ziel verwenden wir, um auszuwählen, welche E-Mails wir senden, falls Sie dem Empfang zugestimmt haben. Die anderen Antworten (einschließlich derjenigen zum Einkommen) speichert der Server nicht | Auf Ihre Anfrage vorgenommene Schritte vor Vertragsschluss (bevor ein Konto existiert) / Vertragserfüllung (nachdem Sie ein Konto haben) — Art. 6 Abs. 1 lit. b DSGVO |
| Im Lead-Formular und bei der Registrierung | Anmeldung und Identifizierung des Kontos, Servicenachrichten (Zugang, Zahlung, Abonnement, Zurücksetzen des Passworts); wenn Sie Ihre E-Mail-Adresse hinterlassen, ohne das Marketing-Kästchen anzukreuzen, eine Servicenachricht mit Ihrem Plan; mit gesonderter Einwilligung — Marketing-E-Mails. Die Einwilligung ist ein nicht vorangekreuztes Kästchen, und Marketing-E-Mails beginnen erst, nachdem Sie Ihre Adresse mit der Schaltfläche in unserer Bestätigungs-E-Mail bestätigt haben | Vertragserfüllung; Einwilligung für Marketing — Art. 6 Abs. 1 lit. b, Art. 6 Abs. 1 lit. a DSGVO | |
| Nachweis der Marketing-Einwilligung — der Zeitpunkt, zu dem Sie das Kästchen angekreuzt haben, die Version des daneben angezeigten Textes, das Land der Anfrage (aus der Netzwerkverbindung abgeleitet, nicht aus Ihren Eingaben) und der Zeitpunkt, zu dem Sie Ihre Adresse bestätigt haben | Wenn Sie das Kästchen ankreuzen und wenn Sie die Bestätigungsschaltfläche drücken | Um nachzuweisen, dass und wann Sie eingewilligt haben, um Marketing-E-Mails nur an bestätigte Adressen zu senden und um nachzuweisen, dass eine Abmeldung beachtet wurde | Rechtliche Verpflichtung zum Nachweis der Einwilligung; berechtigtes Interesse an der Abwehr von Ansprüchen — Art. 7 Abs. 1, Art. 6 Abs. 1 lit. c, Art. 6 Abs. 1 lit. f DSGVO |
| Name | Im Quiz (Pflichtfeld) oder wenn Sie Ihr Profil bearbeiten | Um Sie im Dienst und auf dem Zertifikatsabzeichen anzusprechen | Vertragserfüllung — Art. 6 Abs. 1 lit. b DSGVO |
| Kontodaten, einschließlich des Passworts als Hash | Bei der Registrierung und bei jeder Anmeldung | Authentifizierung und Kontosicherheit. Das Passwort wird nur als Hash gespeichert und von Supabase Auth verwaltet — wir sehen oder speichern Ihr Klartextpasswort niemals | Vertragserfüllung; berechtigtes Interesse an der Sicherheit — Art. 6 Abs. 1 lit. b, Art. 6 Abs. 1 lit. f DSGVO |
| Lernfortschritt und Serie — geöffnete und abgeschlossene Lektionen, Quiz-Ergebnisse, abgeschlossene Kurse, Serientage | Während Sie den Dienst nutzen | Um das Lernen dort fortzusetzen, wo Sie aufgehört haben, um Fortschritt und Serie zu bewahren, um das Abschlussabzeichen auszustellen | Vertragserfüllung — Art. 6 Abs. 1 lit. b DSGVO |
| Abonnementstatus und Zahlungshistorie — Datum, Betrag, Tarif, Transaktionsstatus, Kartentyp, die letzten 4 Ziffern der Kartennummer, das Land der ausgebenden Bank; bei einem Kauf in der App für iOS/Android — die Kaufdaten, die wir vom Store erhalten: Kennungen, Produkt, Daten, Status, Preis und Währung (Ziffer 5.8). Niemals die vollständige Kartennummer, das Ablaufdatum oder den CVV | Bei jeder Zahlung, Verlängerung, Kündigung oder Erstattung | Um Ihren Zugang zu öffnen und aufrechtzuerhalten, um die automatische Verlängerung auszuführen und zu stoppen, um Erstattungen zu bearbeiten, um Buchführungs- und Steuerpflichten zu erfüllen | Vertragserfüllung; rechtliche Verpflichtung — Art. 6 Abs. 1 lit. b, Art. 6 Abs. 1 lit. c DSGVO |
| Credit-Guthaben und -Bewegungen ✦ — die Anzahl der monatlichen und gekauften Credits, das Datum, bis zu dem monatliche Credits gültig sind, ein Journal der hinzugefügten und verbrauchten Credits (Datum, Betrag, Grund: mit dem Tarif hinzugefügt, ein Paket gekauft, eine KI-Funktion genutzt, eine Erstattung; eine technische Referenz, ohne den Text Ihrer Anfragen) | Wenn Sie die KI-Funktionen nutzen, Credits mit Ihrem Tarif erhalten oder ein Credit-Paket kaufen | Um das Guthaben anzuzeigen, um Credits für die KI-Funktionen in der richtigen Reihenfolge zu verbrauchen, um den Wert nicht genutzter Credits zu erstatten, um Streitfälle zu klären | Vertragserfüllung — Art. 6 Abs. 1 lit. b DSGVO |
| Kaufprotokoll — was genau gekauft wurde (ein Credit-Paket, ein Kurs, ein Zertifikat), die Transaktionskennung, Betrag und Währung, das Datum, der Status (gewährt oder erstattet), wie viele Credits gewährt wurden | Wenn Sie ein Credit-Paket, einen Kurs oder ein Zertifikat kaufen (auf der Website — über den Zahlungsdienst, in der App — über den App Store oder Google Play) | Um das Gekaufte zu gewähren und nicht doppelt zu gewähren, um es bei einer Erstattung zu entziehen, um Buchführung und Steuern zu führen, um Erstattungen und Streitfälle zu bearbeiten | Vertragserfüllung; rechtliche Verpflichtung — Art. 6 Abs. 1 lit. b, Art. 6 Abs. 1 lit. c DSGVO |
| Aufzeichnung Ihrer Einwilligung bei der Zahlung auf der Website — der Zeitpunkt, die Version der Nutzungsbedingungen, der Betrag der ersten Abbuchung, Betrag und Zeitraum der Verlängerung, das Datum der ersten Verlängerung, der Text, der das Produkt auf der Zahlungsseite beschreibt, die Bestellnummer, die IP-Adresse, der Browsertyp, die Browsersprachen, die Zeitzone des Geräts, das aus der IP-Adresse abgeleitete Land (und, wenn die App sie sendet, auch der Text des Satzes neben der Schaltfläche und die Beschriftung der Schaltfläche). Keine Kartendaten | Wenn Sie eine Zahlung auf der Website einrichten (ein Abonnement oder einen Einmalkauf) | Um Ihrer Bank oder dem Zahlungssystem zu zeigen, was Ihnen angezeigt wurde und womit Sie einverstanden waren, falls eine Zahlung angefochten wird; zur Abwehr von Ansprüchen | Berechtigtes Interesse an der Abwehr von Ansprüchen und am Nachweis der Einwilligung — Art. 6 Abs. 1 lit. f, Art. 7 Abs. 1 DSGVO |
| Freundeseinladungen (wenn das Programm „Freund einladen“ aktiv ist) — Ihr Einladungscode, die Verknüpfung zwischen den Konten der einladenden und der eingeladenen Person, die gewährte Belohnung | Wenn Sie Ihren Code teilen oder den Code eines Freundes eingeben | Um die Testphase und die Belohnungen nach Abschnitt 24 der Nutzungsbedingungen zu gewähren. Die einladende Person sieht nur die Anzahl der eingeladenen Personen und die Anzahl derer, die zu zahlen begonnen haben — keine Namen, E-Mail-Adressen oder Zahlungen | Vertragserfüllung — Art. 6 Abs. 1 lit. b DSGVO |
| Texte Ihrer KI-Anfragen — was Sie dem KI-Mentor und in die KI-Werkzeuge eingeben | In dem Moment, in dem Sie eine Anfrage senden | Um die Antwort zu generieren: der Text der aktuellen Unterhaltung wird an den Modellanbieter übermittelt (Ziffer 5.1). Ihr Chatverlauf wird nur auf Ihrem Gerät gespeichert. Auf unserem Server wird der Text einer Anfrage verarbeitet, um ihn an den Modellanbieter weiterzugeben, und nicht gespeichert. Die Ausnahme ist eine Beschwerde über eine Antwort: Frage und Antwort werden zusammen mit dem Grund und Ihrem Kommentar (falls Sie einen geschrieben haben) mit der Beschwerde gespeichert und zusammen mit Ihrem Konto gelöscht | Vertragserfüllung — Art. 6 Abs. 1 lit. b DSGVO |
| Bilder, die der KI-Mentor auf Ihre Anfrage erstellt | Wenn Sie den KI-Mentor bitten, ein Bild zu generieren | Um Ihnen das Bild im Chat anzuzeigen. Bilder werden in unserem Speicher (Supabase, EU) aufbewahrt, solange Ihr Konto existiert, und mit ihm gelöscht. Ein Bild trägt eine maschinenlesbare Kennzeichnung, dass es von KI erstellt wurde, falls der Modellanbieter eine hinzugefügt hat | Vertragserfüllung — Art. 6 Abs. 1 lit. b DSGVO |
| Telegram-Daten (nur wenn Sie unseren Bot selbst verknüpft haben) — Chat-Kennung, Benutzername, Datum der Verknüpfung, Ihre Nachrichten an den Bot | Wenn Sie den Bot über einen Link aus dem Dienst oder einer E-Mail verknüpfen und wenn Sie ihm schreiben | Um Ihnen in Telegram Nachrichten über Ihren Plan, Preis und Angebote zu senden und auf Ihre Nachrichten zu antworten. Um den Bot zu trennen, senden Sie ihm „stop“ oder blockieren Sie ihn | Einwilligung — Art. 6 Abs. 1 lit. a DSGVO |
| Sprache der Benutzeroberfläche | Wenn Sie eine Sprache wählen oder beim ersten Laden | Um den Dienst in Ihrer Sprache anzuzeigen und den Sprachcode an den KI-Anbieter zu übermitteln, damit die Antwort in dieser Sprache zurückkommt | Vertragserfüllung — Art. 6 Abs. 1 lit. b DSGVO |
| Benachrichtigungseinstellungen — welche Benachrichtigungen Sie wünschen (Lektionserinnerungen, Fortschritt, Angebote) und die Erinnerungszeit; auf der Website, wenn Sie Benachrichtigungen in Ihrem Browser erlaubt haben — das Push-Abonnement (die vom Push-Dienst Ihres Browsers ausgegebene Zustelladresse und ihre Verschlüsselungsschlüssel), Zeitzone, Sprache und Browsertyp | Wenn Sie Benachrichtigungen einschalten oder ändern | Um nur die von Ihnen erlaubten Benachrichtigungen zu Ihrer Ortszeit zu senden und die von Ihnen abgeschalteten Arten nicht zu senden. In den iOS- und Android-Apps werden Erinnerungen vom Betriebssystem auf Ihrem Gerät geplant: wir erhalten kein Push-Token, und die Erinnerungszeit bleibt auf dem Gerät (Ziffer 5.9) | Einwilligung — Art. 6 Abs. 1 lit. a DSGVO: Sie schalten Benachrichtigungen selbst ein und können sie jederzeit abschalten |
| Produktnutzungsereignisse — zum Beispiel das Öffnen einer Lektion, das Abschließen eines Quiz, das Erreichen des Zahlungsbildschirms, die Kündigung eines Abonnements | Während Sie den Dienst nutzen | Um zu sehen, wo das Produkt nicht funktioniert oder Menschen verwirrt, und es zu beheben; um Missbrauch zu erkennen. Unsere Analytik ist unsere eigene und wird in unserer eigenen Datenbank gespeichert | Berechtigtes Interesse — Art. 6 Abs. 1 lit. f DSGVO |
| Technische Protokolle — IP-Adresse, Browsertyp | Automatisch, bei jeder Anfrage an den Dienst, auf Seiten von Supabase / des Hosting-Anbieters. Zusätzlich wird, wenn Sie Ihre E-Mail-Adresse in einem Formular hinterlassen, die IP-Adresse dieser Anfrage zusammen mit dem Ereignis in unserer Datenbank erfasst | Erbringung des Dienstes, Schutz vor Angriffen und Missbrauch (einschließlich Massenanmeldungen von einer Adresse), Untersuchung von Vorfällen | Berechtigtes Interesse — Art. 6 Abs. 1 lit. f DSGVO |
| Absturz- und Fehlerberichte — Fehlertyp, Stacktrace, App-Version, Betriebssystem-/Browserversion, eine zufällige Installationskennung (dieselbe wie in unseren Analytik-Ereignissen). Keine IP-Adresse, keine Anfrage-Header, keine E-Mail | Automatisch, wenn die Anwendung abstürzt oder ein Fehler auftritt | Um Störungen zu finden und zu beheben. Berichte enthalten keinen Namen, keine E-Mail und keine IP-Adresse | Berechtigtes Interesse — Art. 6 Abs. 1 lit. f DSGVO |
2.2. Wir erstellen keine verdeckten Profile über das oben Aufgeführte hinaus und reichern Ihren Datensatz nicht mit von Dritten gekauften Daten an.
2.3. Abonnement, automatische Verlängerung und Erstattungen — was wir offenlegen und wann. Das sind Vertragsbedingungen und keine Datenschutzbedingungen, aber sie erklären die obigen Zahlungsdaten, daher führen wir sie auch hier auf.
2.3.1. Der Preis des Tarifs, der Abrechnungszeitraum und die Tatsache, dass sich das Abonnement automatisch verlängert, werden Ihnen vor der Zahlung auf dem Zahlungsbildschirm offengelegt. Auf der Website kostet der Testzugang ₴149 für 3 Tage und verlängert sich danach automatisch zum Preis des gewählten Tarifs; in der App für iOS/Android sind Preis und Bedingungen einer etwaigen Testphase diejenigen, die der Store vor dem Kauf anzeigt. Die aktuellen Tarifpreise (wöchentlich, monatlich, jährlich, mit und ohne Aktion) werden immer vor der Zahlung angezeigt.
2.3.2. Sie können jederzeit selbst kündigen: Profil → „Abonnement“ → „Abonnement kündigen“ (bei einem in der App für iOS/Android gekauften Abonnement — in den Abonnement-Einstellungen Ihrer Apple-ID oder Ihres Google-Kontos). Keine Anrufe, keine Schreiben, keine Erklärungen erforderlich. Nach der Kündigung bleibt Ihr Zugang bis zum Ende des bereits bezahlten Zeitraums bestehen.
2.3.3. Rabatte auf der Website sind echt (die Apps für iOS und Android haben weder ein Rabattrad noch ein letztes Angebot): der Aktionspreis gilt derzeit für alle neuen Abonnenten, das Rabattrad landet immer auf dem höchsten Rabatt im Bereich von 5–30%, und dieser Rabatt wird tatsächlich angewendet, und das letzte Angebot beim Verlassen ist ein echtes Angebot.
2.3.4. Erstattungen für Zahlungen auf der Website: innerhalb von 14 Tagen nach der Zahlung erstatten wir auf Ihre Anfrage, ohne nach Gründen zu fragen, sofern Sie keinen wesentlichen Teil der Inhalte genutzt haben. Ein Kauf in der App für iOS/Android wird vom Store nach dessen Regeln erstattet (siehe Erstattungsrichtlinie). Nach diesem Zeitraum richten sich Erstattungen nach dem anwendbaren Recht. Die Erstattung geht auf demselben Weg zurück, auf dem Sie gezahlt haben, spätestens 14 Tage ab dem Tag, an dem wir Ihre Anfrage erhalten — in der Regel schneller. Wir sagen es offen: an support@aistep.app zu schreiben ist schneller und einfacher, als ein Chargeback-Verfahren bei Ihrer Bank zu eröffnen, und wir lösen es lieber direkt mit Ihnen.
3.1. Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO; das Gesetz der Ukraine „Über den Schutz personenbezogener Daten“ und das Gesetz der Ukraine „Über den elektronischen Geschäftsverkehr“) — Erstellung und Betrieb Ihres Kontos, Gewährung des Zugangs zu Programmen, Kursen und Lektionen, Speichern von Fortschritt und Serie, Betrieb des KI-Mentors und der KI-Werkzeuge, Verwaltung des Abonnements, Verarbeitung von Zahlungen und Erstattungen, Versand von Servicenachrichten zu Ihrem Zugang und Ihrer Abrechnung. Dieselbe Grundlage deckt Schritte ab, die auf Ihre Anfrage vor Vertragsschluss vorgenommen werden: wir verarbeiten die Quiz-Antworten, die Sie vor der Registrierung geben, um Ihnen einen Plan und ein Angebot anzuzeigen.
3.2. Berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO) — Sicherheit des Dienstes, Verhinderung von Betrug und Missbrauch des Testzugangs, Prüfung, dass ein In-App-Kauf zu Ihrem Konto gehört und nicht von einem anderen genutzt wird, Untersuchung von Vorfällen und Verbesserung des Produkts anhand aggregierter Nutzungsereignisse. Wo wir uns auf ein berechtigtes Interesse stützen, können Sie widersprechen — siehe Ziffer 9.
3.3. Einwilligung (Art. 6 Abs. 1 lit. a DSGVO) — der Marketing-Newsletter, Benachrichtigungen (Ziffer 5.9), Nachrichten von unserem Telegram-Bot, falls Sie ihn verknüpft haben, und — falls wir sie anbinden — die Werbe- und Analysepartner, die erst geladen werden, nachdem Sie sie im Einwilligungsbanner akzeptiert haben (Ziffer 5.6). Für den Marketing-Newsletter ist die Einwilligung ein gesondertes, nicht vorangekreuztes Kästchen, und der Newsletter beginnt erst, nachdem Sie Ihre Adresse mit der Schaltfläche in unserer Bestätigungs-E-Mail bestätigt haben; den Nachweis dafür bewahren wir auf (Ziffer 2.1). Die Einwilligung ist freiwillig, ihre Verweigerung blockiert Ihren Zugang zum kostenpflichtigen Produkt nicht, und Sie können sie jederzeit widerrufen: für den Newsletter — über den Abmeldelink in jeder Marketing-E-Mail oder eine Nachricht an support@aistep.app; für den Bot — indem Sie ihm „stop“ senden; für die Partner — über den Link «Cookie-Einstellungen» in der Fußzeile der Website. Der Widerruf berührt die bereits erfolgte Verarbeitung nicht.
3.4. Rechtliche Verpflichtung (Art. 6 Abs. 1 lit. c DSGVO) — Aufbewahrung von Zahlungs- und Buchführungsunterlagen für die nach der ukrainischen Buchführungs- und Steuergesetzgebung vorgeschriebenen Fristen sowie Beantwortung rechtmäßiger Anfragen von Behörden.
4.1. Wir erhalten oder speichern niemals Ihre Kartennummer, das Ablaufdatum oder den CVV. Kartendaten werden auf Seiten von WayForPay (Website, Kunden in der Ukraine), auf der Bezahlseite von Paddle (Website, Kunden außerhalb der Ukraine) oder auf Seiten des App Store / von Google Play (Kauf in der App für iOS/Android) eingegeben und von diesem Zahlungsdienstleister verarbeitet. Von WayForPay erhalten und speichern wir: Transaktionsnummer und -status, Betrag, Datum, Kartentyp, die letzten 4 Ziffern der Kartennummer, das Land der ausgebenden Bank, den Ablehnungsgrund (falls vorhanden) und die ID der wiederkehrenden Zahlung. Wir benötigen das für Buchführung, Erstattungen, Kartenreklamationen und Betrugsprävention und bewahren es so lange auf wie Buchführungsunterlagen (Ziffer 6.2). Wir erhalten niemals die vollständige Kartennummer, das Ablaufdatum oder den CVV. Bei einem In-App-Kauf erhalten wir die Kaufquittung des Stores. Von Paddle erhalten wir die Transaktions- und Abonnementkennungen, den Status, Betrag und Währung, das Land, das Datum der nächsten Abbuchung, die Art des Zahlungsmittels und die letzten 4 Ziffern der Kartennummer.
4.2. Wir fragen nicht nach Daten „besonderer Kategorien“ und erheben sie nicht absichtlich — Gesundheit, rassische oder ethnische Herkunft, religiöse oder politische Ansichten, Gewerkschaftszugehörigkeit, Sexualleben, biometrische oder genetische Daten. Wir haben keine Produktfunktion, die sie benötigt.
4.3. Bitte geben Sie in den KI-Chat nicht ein: medizinische oder diagnostische Informationen, Ihre Bank- oder Finanzdaten, Passwörter, Dokumentennummern oder personenbezogene Daten anderer Personen (Kunden, Kollegen, Familie). Der KI-Mentor ist ein Lernwerkzeug, kein sicherer Tresor, und der von Ihnen gesendete Text wird Teil einer Anfrage an einen externen KI-Anbieter (siehe Ziffer 5).
4.4. KI-Haftungsausschluss — lesen Sie das, bevor Sie sich auf eine KI-Antwort verlassen. Antworten des KI-Mentors und Ergebnisse der KI-Werkzeuge werden automatisch generiert. Sie können ungenau, veraltet oder vollständig erfunden sein, einschließlich überzeugend klingender Fakten, Zahlen, Namen und Links. Prüfen Sie immer alles Wichtige, bevor Sie danach handeln. Die KI erteilt keine medizinische, rechtliche oder finanzielle Beratung und darf nicht als solche behandelt werden. Verlassen Sie sich nicht auf KI-Ergebnisse bei Entscheidungen, die andere Menschen betreffen.
4.5. Zugriff auf Ihr Gerät. Die App greift nicht auf Kamera, Mikrofon, Dateien, Kontakte oder Ihren genauen Standort zu und liest Ihre Fotos nicht. Lektionsschritte wie „auf die Kamera tippen“ oder „Bildschirm teilen“ sind Simulationen innerhalb der Lektion, die zeigen, wie das echte Werkzeug funktioniert. Die Systemberechtigungen, die die App anfragen kann, sind: die Berechtigung, Benachrichtigungen anzuzeigen — nicht beim ersten Start, sondern nach Ihrer ersten Lektion und nur, wenn Sie sich nach unserem eigenen Erklärungsbildschirm entscheiden, Benachrichtigungen einzuschalten; und, wenn Sie es wünschen, die Berechtigung, das Zertifikatsbild zu Fotos hinzuzufügen (nur Hinzufügen — die App kann Ihre Fotos nicht lesen), die iOS anfragt, wenn Sie selbst im Teilen-Menü „Sichern“ wählen.
5.1. Unten steht die vollständige Liste der Empfänger. Jeder Empfänger verarbeitet Daten nur für den in der Tabelle genannten Zweck und ist verpflichtet, sie auf einem Niveau zu schützen, das nicht unter dem in dieser Erklärung beschriebenen liegt: Auftragsverarbeiter — durch ihre Datenverarbeitungsbedingungen mit uns (einschließlich der Standardvertragsklauseln der Europäischen Kommission, wenn Daten den EWR verlassen); eigenständige Verantwortliche (Apple, Google, Telegram sowie Werbe- und Analysesysteme, falls sie angebunden sind — Ziffer 5.6) sowie Paddle, das Zahlungsdaten als Verkäufer (seller of record) für Kunden außerhalb der Ukraine verarbeitet — durch ihre eigenen Datenschutzerklärungen.
| Empfänger | Was er erhält | Warum | Wo die Verarbeitung stattfindet |
|---|---|---|---|
| Supabase (Postgres, Auth, Edge Functions) | Konten und Passwort-Hashes, Abonnementstatus und Zahlungshistorie, Lernfortschritt und Serie, Leads, Analytik-Ereignisse, Beschwerden über KI-Antworten (mit Frage und Antwort), vom KI-Mentor erstellte Bilder, technische Protokolle (IP, Browser) | Unsere Datenbank, Authentifizierung und Serverfunktionen — der zentrale Speicher des Dienstes | Hosting in der EU (Frankfurt) |
| WayForPay — wenn Sie auf der Website als Kunde in der Ukraine zahlen | Kartendaten, die Sie auf deren Seite eingeben (wir sehen sie nicht), Transaktionsbetrag, Währung, Tarif und Status | Zahlungsverarbeitung, wiederkehrende Abbuchungen, Erstattungen, Acquiring-Pflichten | Ukraine |
| Paddle (Paddle.com Inc., Paddle.com (Canada) Ltd., Paddle.com Market Limited) — wenn Sie auf der Website als Kunde außerhalb der Ukraine zahlen | Zahlungs- und Kartendaten, die Sie auf der Bezahlseite von Paddle eingeben (wir sehen sie nicht), Ihre E-Mail, Ihr Land und Ihre IP-Adresse (um den Preis in Ihrer Währung anzuzeigen und die Steuern zu berechnen), Tarif, Betrag und Währung. Von uns — eine interne Kennung Ihres AI STEP-Kontos und der von Ihnen gewählte Tarif. Was wir von Paddle erhalten — Ziffer 4.1 | Merchant of Record für Bestellungen außerhalb der Ukraine: Zahlungsverarbeitung, Rechnungen und Quittungen, Steuern, wiederkehrende Abbuchungen, Erstattungen und Kundenservice für solche Bestellungen | Vereinigtes Königreich, Vereinigte Staaten oder Kanada, je nach Paddle-Gesellschaft — siehe Ziffer 7. Paddle verarbeitet die Zahlungsdaten als eigenständiger Verkäufer (seller of record) nach seiner eigenen Datenschutzerklärung (paddle.com/legal/privacy) |
| Apple (App Store) und Google (Google Play) — wenn Sie in der App für iOS/Android kaufen | Zahlungs- und Kartendaten, die Sie auf Seiten des Stores eingeben (wir sehen sie nicht). Von uns — eine interne Kennung Ihres AI STEP-Kontos (ein zufälliger Code ohne Ihren Namen oder Ihre E-Mail), damit der Kauf mit Ihrem Konto verknüpft wird. Was wir vom Store erhalten — Ziffer 5.8 | Verarbeitung von In-App-Käufen, Verlängerungen, Kündigungen und Erstattungen; unser Server prüft den Kauf beim Store, um Ihren Zugang zu öffnen und aufrechtzuerhalten | Infrastruktur von Apple / Google, möglicherweise außerhalb des EWR — siehe Ziffer 7. Für die Zahlung selbst handeln Apple und Google als eigenständige Verantwortliche nach ihren eigenen Datenschutzerklärungen |
| OpenAI (derzeit) und/oder Anthropic | Nur den Text der aktuellen Unterhaltung (Ihre Nachrichten und die vorherigen Antworten — höchstens die letzten 20 Nachrichten, als Kontext) und die Sprache der Benutzeroberfläche; bei einem Bild — den Text der Anfrage. OpenAI prüft Ihre letzte Nachricht außerdem mit seinem Moderationsfilter, bevor die Antwort generiert wird. Keinen Namen, keine E-Mail, keine Zahlungsdaten, keine Gerätekennungen, keine Geolokalisierung | Um die Antwort des KI-Mentors und die Ergebnisse der KI-Werkzeuge zu generieren und verbotene Anfragen zu blockieren | Möglicherweise außerhalb des EWR — siehe Ziffer 7 |
| Sentry (Functional Software, Inc.) — Absturzüberwachung | Absturz- und Fehlerberichte: Fehlertyp, Stacktrace, App-Version, Betriebssystem-/Browserversion, eine zufällige Installationskennung (dieselbe wie in unseren Analytik-Ereignissen). Keine IP-Adresse, keine Anfrage-Header oder Cookies, keine E-Mail: das Senden standardmäßiger personenbezogener Daten ist abgeschaltet, und Schlüssel aus Links sowie E-Mail-Adressen werden vor dem Senden aus dem Berichtstext entfernt | Um von Abstürzen und Fehlern zu erfahren, sie zu gruppieren und zu beheben. Wir senden Sentry weder Ihren Namen noch Ihre E-Mail oder IP-Adresse | EU-Region (Frankfurt); das Betreiberunternehmen stammt aus den Vereinigten Staaten, daher ist ein Zugriff von dort möglich — siehe Ziffer 7 |
| Resend — E-Mail-Zustellung | Ihre E-Mail-Adresse, Betreff und Text der E-Mail, Zustellereignisse (zugestellt, geöffnet, Link angeklickt, unzustellbar, als Spam markiert) | Um Service-E-Mails zu senden (Anmeldebestätigung, Zurücksetzen des Passworts, Zugang, Zahlung, Abonnement) und — mit Ihrer gesonderten Einwilligung — den Newsletter; um zu sehen, ob eine E-Mail angekommen ist | Möglicherweise außerhalb des EWR, einschließlich der Vereinigten Staaten — siehe Ziffer 7 |
| Hetzner Online GmbH — Website-Hosting | Technische Daten der Anfragen an aistep.app (IP-Adresse, Browsertyp, Zeitpunkt der Anfrage) — als Teil des Betriebs des Webservers und seiner Protokolle; verschlüsselte Datenbanksicherungen | Hosting der Website und der Browser-App, Schutz vor Missbrauch, Aufbewahrung von Sicherungen | Deutschland (EU) |
| GitHub (Microsoft) — zweite Kopie der Sicherung | Eine verschlüsselte Datei mit einer Sicherung der Datenbank (bis zu 30 Tage aufbewahrt) | Eine zweite Kopie für den Fall, dass unsere Hauptinfrastruktur ausfällt | Vereinigte Staaten; möglicherweise außerhalb des EWR — siehe Ziffer 7 |
| Namecheap (Private Email) — Support-Postfach | E-Mails, die Sie an support@aistep.app senden (Ihre Adresse, Betreff, Text und Anhänge), und unsere Antworten | Um Ihre Nachrichten zu empfangen und zu beantworten | Vereinigte Staaten; möglicherweise außerhalb des EWR — siehe Ziffer 7 |
| Telegram — nur wenn Sie unseren Bot selbst verknüpft haben | Chat-Kennung und Benutzername, die Nachrichten des Bots an Sie und Ihre Nachrichten an den Bot (wir leiten sie zusammen mit Ihrem Namen und Ihrer E-Mail an unser Support-Team in Telegram weiter, damit wir antworten können) | Zustellung der Bot-Nachrichten und Beantwortung Ihrer Nachrichten | Infrastruktur von Telegram, möglicherweise außerhalb des EWR — siehe Ziffer 7. Telegram handelt als eigenständiger Verantwortlicher nach seiner eigenen Datenschutzerklärung |
| Google CDN (CanvasKit) — nur Website | Die technischen Daten, die jeder Browser-Anfrage nach einer Datei innewohnen — IP-Adresse, Browsertyp | Bereitstellung der Rendering-Engine CanvasKit und von Ersatzschriften, damit die Weboberfläche korrekt dargestellt wird | Globales CDN von Google |
| Der Push-Dienst Ihres Browsers (Google, Mozilla, Apple oder Microsoft, je nach Browser) — nur Website, wenn Sie Benachrichtigungen erlaubt haben | Die Zustelladresse Ihres Push-Abonnements und die Benachrichtigung selbst, verschlüsselt, sodass der Push-Dienst sie nicht lesen kann | Zustellung von Web-Benachrichtigungen an Ihren Browser | Infrastruktur des Browserherstellers, möglicherweise außerhalb des EWR — siehe Ziffer 7 |
5.2. Die Hauptschrift der Benutzeroberfläche ist lokal mit der Anwendung gebündelt, und wir binden den Dienst Google Fonts nicht ein. Auf der Website lädt Ihr Browser jedoch die Dateien der Rendering-Engine (CanvasKit) und, wo nötig, Ersatzschriften vom CDN von Google; Google sieht Ihre IP-Adresse und Ihren Browsertyp, wie bei jeder Anfrage (Tabelle oben, Ziffer 7). Unsere Produktanalytik ist unsere eigene und liegt in unserer eigenen Datenbank; Werbe- und Analysenetzwerke Dritter sind derzeit nicht angebunden — siehe Ziffer 5.6.
5.3. Wir verkaufen personenbezogene Daten an niemanden, wir vermieten sie nicht und tauschen sie nicht gegen Leistungen.
5.4. Wir geben Ihre KI-Unterhaltungen nicht zum Training von KI-Modellen weiter. Wir senden eine Anfrage an den KI-Anbieter, um Ihnen eine Antwort zu beschaffen, und das ist der einzige Zweck dieser Übermittlung.
5.5. Wir können Daten offenlegen, wenn ein Gesetz der Ukraine uns dazu verpflichtet — zum Beispiel bei einer rechtmäßigen Anfrage eines Gerichts oder einer staatlichen Behörde, die im Rahmen ihrer Befugnisse handelt. Wir legen nur offen, was tatsächlich verlangt wird.
5.6. Werbe- und Analysesysteme Dritter.
5.6.1. Derzeit binden wir keine Werbe- oder Analysesysteme Dritter an die Website oder die Apps an (wie das Meta-Pixel, Google Analytics, Google Ads oder TikTok) und senden ihnen keine Ihrer Daten.
5.6.2. Falls wir uns entscheiden, sie anzubinden, aktualisieren wir zuerst diese Erklärung (Abschnitt 13) und binden sie nur an, nachdem Sie im Einwilligungsbanner «Akzeptieren» gedrückt haben: ohne Ihre Einwilligung wird ihr Code nicht geladen und nichts an sie gesendet. Wir übermitteln ihnen weder Ihre Quiz-Antworten noch Ihre Unterhaltungen mit dem KI-Mentor, Ihr Passwort oder Ihre Zahlungsdaten.
5.6.3. Das Einwilligungsbanner funktioniert bereits: die Schaltflächen «Akzeptieren» und «Ablehnen» sind in Größe und Gewicht gleich, und Ihre Wahl wird gespeichert. Sie können sie jederzeit ändern: der Link «Cookie-Einstellungen» in der Fußzeile der Website → «Ablehnen».
5.7. Der Modellanbieter: Einwilligung in der App und wo der Chat funktioniert. In der iOS- und Android-App bitten wir vor Ihrer ersten Nachricht an den KI-Mentor gesondert um Ihre ausdrückliche Einwilligung, den Text Ihrer Anfragen an den Modellanbieter — OpenAI und/oder Anthropic (Ziffer 5.1) — zu senden. Die Rechtsgrundlage für die Verarbeitung selbst bleibt die Vertragserfüllung (Ziffer 3.1). Der KI-Mentor ist in Ländern und Regionen, in denen die Modellanbieter ihren Dienst nicht anbieten, nicht verfügbar. Um den Chat dort nicht zu öffnen, wo die Modellanbieter nicht tätig sind, wird die Zeitzone Ihres Geräts zusammen mit der Anfrage an unseren Server gesendet; wir speichern sie nicht in Ihrem Konto und verknüpfen sie nicht mit Ihnen.
5.8. Käufe im App Store und bei Google Play.
5.8.1. Die Zahlung wird von Apple oder Google eingezogen. Für die Zahlungsdaten (Karte, Rechnungsadresse, Zahlungshistorie im Store) handeln sie als eigenständige Verantwortliche nach ihren eigenen Datenschutzerklärungen; wir erhalten niemals Ihre Kartendaten.
5.8.2. Um den Kauf mit Ihrem AI STEP-Konto zu verknüpfen, übergibt die App dem Store eine interne Kennung Ihres Kontos — einen zufälligen Code, der weder Ihren Namen noch Ihre E-Mail enthält.
5.8.3. Unser Server prüft jeden Kauf beim Store über die App Store Server API (Apple) und die Google Play Developer API (Google) und erhält Serverbenachrichtigungen von den Stores (App Store Server Notifications; Google Play Real-time Developer Notifications, zugestellt über Google Cloud Pub/Sub) über Verlängerungen, Kündigungen, Abrechnungsprobleme und Erstattungen — damit Ihr Zugang auch dann korrekt ist, wenn die App geschlossen ist.
5.8.4. Vom Store erhalten und speichern wir: die Kauf- und Transaktionskennungen (die ursprüngliche Transaktions-ID im App Store, das Kauf-Token und die Bestellnummer bei Google Play), das Produkt (Tarif), die Daten von Kauf, Verlängerung und Ablauf, den Status der automatischen Verlängerung und den Abonnementstatus (Testphase, aktiv, gekündigt, Kulanzzeitraum, abgelaufen, erstattet), die Umgebung (ein echter oder ein Testkauf) und — bei Verlängerungen und Erstattungen — Preis und Währung, wie vom Store gemeldet. Google kann uns außerdem in der Google Play Console und ihren Berichten die Bestelldetails sowie Land und Postleitzahl des Käufers zur Verfügung stellen; wir verwenden sie nur für Buchführung, Steuern, Erstattungen und Streitfälle. Die Verkaufsberichte von Apple identifizieren Sie nicht.
5.8.5. Rechtsgrundlagen: Vertragserfüllung — um Ihren Zugang zu öffnen und aufrechtzuerhalten (Art. 6 Abs. 1 lit. b DSGVO); rechtliche Verpflichtung — Buchführungs- und Steuerunterlagen (Art. 6 Abs. 1 lit. c); berechtigtes Interesse — Prüfung, dass ein Kauf zu Ihrem Konto gehört und nicht von einem anderen genutzt wird (Art. 6 Abs. 1 lit. f).
5.8.6. Aufbewahrung — siehe Ziffer 6.8. Das Löschen Ihres AI STEP-Kontos kündigt das Store-Abonnement nicht (Ziffer 10.4).
5.9. Benachrichtigungen und Erinnerungen.
5.9.1. In den iOS- und Android-Apps sind Lektionserinnerungen lokale Benachrichtigungen: die App plant sie über das Betriebssystem auf Ihrem Gerät. Wir erhalten kein Push-Token, und die Erinnerungszeit wird nur auf dem Gerät gespeichert. Die Systemberechtigung zum Anzeigen von Benachrichtigungen wird erst nach unserem eigenen Erklärungsbildschirm angefragt, und die App funktioniert ohne sie vollständig.
5.9.2. Ihre Wahl der Benachrichtigungsarten (Erinnerungen, Fortschritt, Angebote) wird auf dem Gerät und auf unserem Server zusammen mit Ihrem Konto oder der anonymen Kennung Ihres Geräts gespeichert, damit wir Ihnen keine Arten senden, die Sie abgeschaltet haben. Angebote sind ausgeschaltet, bis Sie sie selbst einschalten.
5.9.3. Auf der Website speichern wir, wenn Sie Benachrichtigungen in Ihrem Browser erlauben, das Push-Abonnement (die vom Push-Dienst Ihres Browsers ausgegebene Zustelladresse und ihre Verschlüsselungsschlüssel), Ihre Zeitzone, Sprache und Ihren Browsertyp, verknüpft mit Ihrem Konto oder Ihrer E-Mail; Benachrichtigungen werden über den Push-Dienst Ihres Browsers zugestellt (Ziffer 5.1).
5.9.4. Sie können Benachrichtigungen jederzeit abschalten — unter Profil → „Benachrichtigungen“ (ohne aktives Abonnement — „Konto“ → „Benachrichtigungen“) oder in den Einstellungen Ihres Geräts oder Browsers.
6.1. Konto, Lernfortschritt, Serie und Zertifikatsabzeichen — solange Ihr Konto existiert. Wenn Sie das Konto löschen, löschen wir sie (siehe Ziffer 10).
6.2. Zahlungs- und Buchführungsunterlagen — für die nach der ukrainischen Buchführungs- und Steuergesetzgebung vorgeschriebenen Fristen (in der Regel mindestens 1,095 Tage ab Einreichung der Steuererklärung, für die sie verwendet wurden — Ziffer 44.3 des Steuergesetzbuchs der Ukraine). Wir können diese auch auf Ihre Anfrage nicht früher löschen, weil ihre Aufbewahrung eine gesetzliche Pflicht ist; nach Ablauf der gesetzlichen Frist werden sie gelöscht.
6.3. Leads (eine E-Mail, ein Name sowie der technische Zielschlüssel und das Segment, ohne Registrierung hinterlassen) — bis Sie die Einwilligung widerrufen oder sich abmelden, woraufhin wir die E-Mail aus der Versandliste entfernen. Ein Lead ohne Konto und ohne Aktivität wird nach 24 Monaten automatisch gelöscht. Der Nachweis der Marketing-Einwilligung (Ziffer 2.1) wird aufbewahrt, solange Ihre E-Mail in der Versandliste ist.
6.4. Texte der KI-Anfragen — Ihr Chatverlauf wird nur auf Ihrem Gerät gespeichert. Auf unserem Server wird der Text einer Anfrage verarbeitet, um ihn an den Modellanbieter weiterzugeben, und nicht gespeichert. Die Ausnahme ist eine Beschwerde über eine Antwort: Frage und Antwort werden zusammen mit der Beschwerde gespeichert und zusammen mit Ihrem Konto gelöscht. Auf Seiten des KI-Anbieters richtet sich die Aufbewahrungsdauer einer übermittelten Anfrage nach der eigenen Richtlinie dieses Anbieters, nicht nach unserer.
6.5. Technische Protokolle — werden für einen kurzen Betriebszeitraum auf Seiten von Supabase und Hetzner (unseren Hosting-Anbietern) aufbewahrt und automatisch rotiert. Die IP-Adresse, die wir zusammen mit einem Ereignis in unserer Datenbank erfassen, wenn Sie Ihre E-Mail-Adresse in einem Formular hinterlassen, wird 7 Tage aufbewahrt.
6.6. Nutzungsereignisse — werden in unserer Datenbank aufbewahrt, solange sie für Produktentscheidungen nützlich sind; sie sind mit Ihrem Konto verknüpft und werden entfernt oder anonymisiert, wenn das Konto gelöscht wird.
6.7. Absturz- und Fehlerberichte — werden auf Seiten von Sentry für eine begrenzte, im Projekt festgelegte Aufbewahrungsfrist (standardmäßig 90 Tage) aufbewahrt und dann automatisch gelöscht. Sie enthalten keinen Namen, keine E-Mail und keine IP-Adresse, daher gibt es beim Löschen Ihres Kontos nichts gesondert zu löschen.
6.8. Daten zu Käufen im App Store und bei Google Play — der Abonnementdatensatz (Kennungen, Tarif, Daten, Status) wird aufbewahrt, solange Ihr Konto existiert, und mit ihm gelöscht; die Aufzeichnungen von Verlängerungen und Erstattungen werden als Buchführungsunterlagen aufbewahrt (Ziffer 6.2) und sind nach dem Löschen des Kontos nicht mehr mit Ihnen verknüpft.
6.9. Benachrichtigungsdaten — Ihre Benachrichtigungsauswahl wird aufbewahrt, solange Ihr Konto (oder Ihre E-Mail in unserer Versandliste) existiert; ein Browser-Push-Abonnement wird abgeschaltet, wenn Sie Benachrichtigungen abschalten oder wenn der Push-Dienst Ihres Browsers meldet, dass es nicht mehr gültig ist, und zusammen mit dem Konto gelöscht, mit dem es verknüpft ist.
6.10. Credits ✦ — das Guthaben und das Journal der Credits werden aufbewahrt, solange Ihr Konto existiert, und mit ihm gelöscht.
6.11. Kaufprotokoll (Credit-Pakete, Kurse, Zertifikate: was gekauft wurde, die Transaktionskennung, Betrag, Datum, Status) — das sind Buchführungsunterlagen, und ihre Frist wird durch die Buchführungs- und Steuergesetzgebung festgelegt (Ziffer 6.2); nach dem Löschen des Kontos bleibt der Datensatz ohne jede Verknüpfung mit Ihnen bestehen.
6.12. Aufzeichnung Ihrer Einwilligung bei der Zahlung auf der Website — 3 Jahre nach der letzten Abbuchung (bei einer Bestellung, die nie bezahlt wurde, 3 Jahre ab dem Datum der Aufzeichnung). Wenn Sie Ihr Konto löschen, wird die Verknüpfung zwischen der Aufzeichnung und dem Konto entfernt, aber die IP-Adresse, der Browsertyp und die Bestellnummer (die die interne Kennung des Kontos enthält) bleiben bis zum Ende dieser Frist bestehen: die Aufzeichnung wird pseudonymisiert, nicht anonymisiert.
6.13. Sicherungen — einmal pro Woche erstellen wir eine verschlüsselte Sicherung der Datenbank; Kopien werden auf unserem Server (Hetzner) und als Dienstdatei in GitHub bis zu 30 Tage aufbewahrt. Nachdem Sie Ihr Konto gelöscht haben, verschwinden Ihre Daten aus den Sicherungen, wenn diese ersetzt werden, innerhalb von etwa 30 Tagen.
7.1. Unsere Datenbank und Serverfunktionen werden in der EU (Frankfurt) von Supabase gehostet. Die Website wird auf einem Hetzner-Server in Deutschland (EU) gehostet.
7.2. KI-Anbieter (OpenAI, Anthropic) können den übermittelten Anfragetext außerhalb des EWR verarbeiten, einschließlich in den Vereinigten Staaten. Für solche Übermittlungen stützen wir uns auf die nach der DSGVO und dem ukrainischen Recht verfügbaren rechtlichen Mechanismen — einen Angemessenheitsbeschluss, wo einer den Empfänger abdeckt, oder die Standardvertragsklauseln (SCC) der Europäischen Kommission in den Datenverarbeitungsbedingungen des Anbieters.
7.3. Unabhängig vom Mechanismus wenden wir Datenminimierung an: nur der Text der aktuellen Unterhaltung und die Sprache der Benutzeroberfläche gehen an den KI-Anbieter (Ziffer 5.1), und alles wird über eine verschlüsselte TLS-Verbindung übertragen.
7.4. Sentry (Absturzberichte), Resend (E-Mail-Zustellung), GitHub (die verschlüsselte Sicherung), Namecheap (das Support-Postfach), der Push-Dienst Ihres Browsers (Web-Benachrichtigungen, wenn Sie sie erlaubt haben), wenn Sie auf der Website als Kunde außerhalb der Ukraine zahlen — Paddle, und — wenn Sie in der App für iOS/Android kaufen — Apple und Google können Daten ebenfalls außerhalb des EWR verarbeiten, einschließlich in den Vereinigten Staaten, auf den in Ziffer 7.2 beschriebenen Grundlagen: die Standardvertragsklauseln (SCC) in den Bedingungen des Anbieters und/oder der Angemessenheitsbeschluss nach dem EU-U.S. Data Privacy Framework, wo der Anbieter darunter zertifiziert ist. Ein Absturzbericht enthält keine IP-Adresse, keine E-Mail und keine anderen direkten Kennungen (Ziffer 5.1). Telegram erhält Daten erst, nachdem Sie den Bot selbst verknüpft haben, und verarbeitet sie als eigenständiger Verantwortlicher nach seiner eigenen Datenschutzerklärung, möglicherweise auch außerhalb des EWR. Wenn Sie diese Übermittlung nicht wünschen, verknüpfen Sie den Bot nicht oder senden Sie ihm „stop“.
8.1. Row Level Security (RLS) ist in unserer Datenbank aktiviert: die Regeln sind so geschrieben, dass die Anfragen eines Nutzers nur die eigenen Zeilen dieses Nutzers erreichen — Ihren Fortschritt und Ihr Abonnement.
8.2. Private Schlüssel und API-Schlüssel liegen nur auf dem Server (Supabase Edge Functions) und werden niemals an den Browser ausgeliefert oder in die Client-Anwendung eingebettet.
8.3. Verschlüsselung bei der Übertragung — der gesamte Verkehr zwischen Ihrem Browser, unserem Dienst und unseren Auftragsverarbeitern läuft über TLS.
8.4. Passwörter werden nur als Hashes gespeichert, verwaltet von Supabase Auth. Niemand auf unserer Seite kann Ihr Passwort lesen.
8.5. Der Zugriff ist begrenzt — administrativer Zugriff auf Produktionsdaten wird nur den Personen gewährt, die ihn für Support, Abrechnung und Betrieb benötigen, und nur in dem erforderlichen Umfang.
8.6. Ehrlich gesagt: absolute Sicherheit gibt es nicht. Kein Dienst kann versprechen, dass Daten niemals kompromittiert werden. Was wir versprechen können, sind Datenminimierung, die oben genannten Maßnahmen und dass wir Sie und die zuständige Aufsichtsbehörde, wie gesetzlich vorgeschrieben, benachrichtigen, falls eine Verletzung eintritt, die Ihre Rechte voraussichtlich beeinträchtigt.
9.1. Sie haben das Recht auf:
9.1.1. Auskunft und Zugang — Bestätigung zu erhalten, welche Daten über Sie wir verarbeiten, und eine Kopie zu erhalten;
9.1.2. Berichtigung — unrichtige oder unvollständige Daten zu korrigieren (Name, E-Mail, Quiz-Antworten);
9.1.3. Löschung — Ihre Daten löschen zu lassen, außer dem, was wir gesetzlich aufbewahren müssen (Ziffer 6.2);
9.1.4. Einschränkung der Verarbeitung — zum Beispiel während ein Streit über die Richtigkeit geklärt wird;
9.1.5. Datenübertragbarkeit — die Daten, die Sie uns gegeben haben, in einem strukturierten, maschinenlesbaren Format zu erhalten;
9.1.6. Widerspruch — gegen eine Verarbeitung auf Grundlage unseres berechtigten Interesses und jederzeit gegen Marketing;
9.1.7. Widerruf der Einwilligung — für den Newsletter, Benachrichtigungen, den Telegram-Bot und die Werbe- und Analysepartner, jederzeit und ohne Begründung;
9.1.8. nicht einer ausschließlich automatisierten Entscheidung unterworfen zu werden, die Ihnen gegenüber rechtliche Wirkung entfaltet — wir treffen keine solchen Entscheidungen.
9.2. So nutzen Sie sie: schreiben Sie an support@aistep.app von der E-Mail-Adresse Ihres Kontos (so prüfen wir, dass Sie es sind) und beschreiben Sie, was Sie möchten. Etwas Förmlicheres ist nicht nötig.
9.3. Wie schnell wir antworten: innerhalb von 30 Tagen, wie das ukrainische Recht es verlangt. Für Anfragen nach der DSGVO — innerhalb eines Monats, der bei komplexen oder zahlreichen Anfragen um bis zu zwei weitere Monate verlängert werden kann; in diesem Fall informieren wir Sie innerhalb des ersten Monats über die Verlängerung und den Grund.
9.4. Beschwerden. Schreiben Sie an support@aistep.app mit dem Betreff „Datenbeschwerde“: wir bestätigen den Eingang innerhalb von 30 Tagen (in der Regel innerhalb von 3 Werktagen) und teilen Ihnen das Ergebnis mit. Sie können sich außerdem jederzeit und ohne uns vorher zu kontaktieren bei einer Aufsichtsbehörde beschweren: in der Ukraine — beim Beauftragten der Werchowna Rada der Ukraine für Menschenrechte; im EWR — bei der Datenschutzbehörde Ihres Landes; im Vereinigten Königreich — beim Information Commissioner's Office (ICO), ico.org.uk.
10.1. Sie können Ihr Konto auf drei Wegen löschen: selbst in der App (Profil → „Konto löschen“; ohne aktives Abonnement — die Schaltfläche „Konto“ (Personensymbol) oben auf dem Zahlungsbildschirm → „Konto löschen“), auf der Seite aistep.app/delete-account oder durch eine Anfrage von Ihrer Konto-E-Mail-Adresse an support@aistep.app. Wir verlangen keine Begründung.
10.2. Was gelöscht wird: das Konto und die Anmeldedaten (einschließlich des Passwort-Hashes), Ihr Name, Lernfortschritt, Serie und interne Zertifikatsabzeichen, Quiz-Antworten, Ihre Beschwerden über KI-Antworten zusammen mit Frage und Antwort, vom KI-Mentor für Sie erstellte Bilder, die Verknüpfung mit dem Telegram-Bot (Chat-Kennung und Benutzername), Ihre Benachrichtigungseinstellungen und die mit Ihrem Konto verknüpften Browser-Push-Abonnements, Ihr Abonnementdatensatz (einschließlich der Kennungen eines Kaufs im App Store oder bei Google Play), Ihr Credit-Guthaben und -Journal ✦, Ihr Recht auf gekaufte Kurse und Zertifikate, Ihre Daten im Programm „Freund einladen“ sowie die Verknüpfung zwischen Nutzungsereignissen und Ihnen. Ihr Chatverlauf wird nur auf Ihrem Gerät gespeichert: er liegt nicht auf unserem Server und wird beim Abmelden vom Gerät gelöscht.
10.3. Was bleibt: Zahlungs- und Buchführungsunterlagen (Datum, Betrag, Tarif, Transaktionsstatus; bei Käufen im App Store und bei Google Play — die Aufzeichnungen von Verlängerungen und Erstattungen) — wir sind verpflichtet, sie für die gesetzlichen Buchführungs- und Steuerfristen aufzubewahren, ohne die Verknüpfung mit Ihnen, und sie werden gelöscht, sobald diese Fristen abgelaufen sind. Die Aufzeichnungen von Einmalkäufen (was gekauft wurde, Transaktionskennung, Betrag, Datum, Status) bleiben ebenfalls bestehen, ohne jede Verknüpfung mit Ihrem Konto. Die Aufzeichnung Ihrer Einwilligung bei der Zahlung auf der Website (Ziffer 2.1) verliert beim Löschen ihre Verknüpfung mit dem Konto, wird aber bis zum Ende der Frist in Ziffer 6.12 aufbewahrt (pseudonymisiert). Sicherungen, die Ihre Daten noch enthalten, werden innerhalb von etwa 30 Tagen automatisch ersetzt (Ziffer 6.13). Daten, die bereits als Anfrage an einen KI-Anbieter übermittelt wurden, werden auf Seiten dieses Anbieters nach dessen eigener Richtlinie aufbewahrt.
10.4. Ein aktives Abonnement. Ein auf der Website gekauftes Abonnement wird von uns gestoppt, wenn Sie Ihr Konto löschen: es werden keine weiteren Abbuchungen vorgenommen. Ein in der App für iOS/Android gekauftes Abonnement können wir nicht stoppen — kündigen Sie es in den Abonnement-Einstellungen Ihrer Apple-ID oder Ihres Google-Kontos, andernfalls wird der Store Ihnen weiterhin Beträge abbuchen. Das Löschen des Kontos erstattet für sich genommen keine Zahlung; zu Erstattungen siehe Ziffer 2.3.4.
11.1. Was der Dienst in Ihrem Browser speichert, ist das, was er zum Funktionieren braucht. Werbe- und Analyse-Cookies Dritter sind davon getrennt und werden erst nach Ihrer Einwilligung geladen (Ziffer 5.6): bis Sie «Akzeptieren» drücken, werden sie nicht gesetzt.
11.2. Lokal in Ihrem Browser (localStorage / Ähnliches) und auf unserer Seite als Teil Ihres Kontos gespeichert:
11.2.1. Quiz-Antworten — damit der Funnel und der Lernpfad ein Neuladen der Seite überstehen;
11.2.2. Lernfortschritt — damit sich eine Lektion dort öffnet, wo Sie aufgehört haben;
11.2.3. Sprache der Benutzeroberfläche — damit Sie nicht bei jedem Besuch erneut gefragt werden;
11.2.4. der Anzeigestatus von Angeboten — damit Ihnen eine Aktion, das Rabattrad oder das letzte Angebot nicht immer wieder angezeigt wird;
11.2.5. die Authentifizierungssitzung — technisch notwendig, verwaltet von Supabase Auth; ohne sie würden Sie bei jedem Laden der Seite abgemeldet; 11.2.6. Ihre Antwort auf das Einwilligungsbanner — damit wir nicht bei jedem Besuch erneut fragen und eine Ablehnung gespeichert bleibt;
11.2.7. Ihr Chatverlauf mit dem KI-Mentor — nur auf Ihrem Gerät (im Browser oder in der App) gespeichert, damit Sie frühere Unterhaltungen sehen können; er liegt nicht auf unserem Server und wird beim Abmelden gelöscht;
11.2.8. in den iOS- und Android-Apps — Datum und Uhrzeit Ihrer Einwilligung, Nachrichten an den Modellanbieter zu senden (Ziffer 5.7), Ihre Benachrichtigungsauswahl und die Erinnerungszeit (Ziffer 5.9).
11.3. So löschen Sie das: über die Einstellungen Ihres Browsers (Löschen der Websitedaten / Cookies und des lokalen Speichers für unsere Domain) oder den privaten Modus Ihres Browsers. Das Löschen meldet Sie ab und kann lokal gespeicherte Quiz-Antworten und Angebotsstatus zurücksetzen; Ihr Fortschritt und Ihr Abonnement bleiben sicher in Ihrem Konto.
11.4. Das Laden der Rendering-Engine CanvasKit vom CDN von Google ist eine normale HTTP-Anfrage Ihres Browsers an Google, die diesem CDN zwangsläufig Ihre IP-Adresse und Ihren Browsertyp offenbart. Es ist erforderlich, um die Benutzeroberfläche darzustellen.
12.1. AI STEP ist für Personen ab 18 Jahren bestimmt. Wir erheben wissentlich keine Daten Minderjähriger und richten den Dienst nicht an sie.
12.2. Wenn Sie glauben, dass eine Person unter 18 Jahren ein Konto erstellt hat, schreiben Sie an support@aistep.app — wir prüfen das und löschen das Konto und die zugehörigen Daten (außer Unterlagen, die wir gesetzlich aufbewahren müssen); bei Zahlungen auf der Website erstatten wir das Geld (Nutzungsbedingungen, Ziffer 4.3).
12.3. Die Altersfreigabe der App im App Store und bei Google Play beschreibt ihren Inhalt; sie ändert die Altersanforderung dieser Ziffer nicht: der Dienst darf ab 18 Jahren genutzt werden.
13.1. Diese Erklärung kann sich ändern, wenn sich das Produkt ändert — zum Beispiel wenn wir einen Auftragsverarbeiter hinzufügen oder ersetzen. Die aktuelle Fassung ist immer die im Dienst veröffentlichte, mit dem Versionsdatum oben.
13.2. Über wesentliche Änderungen — neue Datenkategorien, einen neuen Empfänger, einen neuen Zweck — informieren wir Sie im Voraus per E-Mail und/oder mit einem Hinweis im Dienst, damit Sie sie lesen und entscheiden können.
13.3. Rein redaktionelle Änderungen (Formulierung, Tippfehler, klarere Struktur) treten mit der Veröffentlichung mit aktualisiertem Versionsdatum in Kraft.
14.1. E-Mail: support@aistep.app — Auskunft, Berichtigung, Löschung, Übertragbarkeit, Widerspruch, Widerruf der Einwilligung, Erstattungsfragen, Sicherheitsmeldungen. Das ist der primäre und schnellste Kanal.
14.2. Telefon: +380 75 245 00 87 — die Kontaktnummer der Verantwortlichen (Ziffer 14.3). Für Zahlungen, Erstattungen und personenbezogene Daten ist der Haupt- und schnellste Kanal die obige E-Mail-Adresse: so behalten wir beide eine schriftliche Aufzeichnung.
14.3. Verantwortliche: Einzelunternehmerin (FOP) Riasna Sofiia Volodymyrivna, Steuernummer (RNOKPP) 3872001402, 08205, Ukraine, Region Kyjiw, Bezirk Butscha, Irpin, Kobylianskoi-Olhy-Straße, Gebäude 1v/9, Wohnung 16, Telefon +380 75 245 00 87.
14.4. Versionsdatum dieser Erklärung: 26. Oktober 2026.
14.5. Zentrale Kontaktstelle für Nutzer und für Behörden, auch für die Zwecke des EU-Gesetzes über digitale Dienste (Digital Services Act), soweit es auf uns anwendbar ist: support@aistep.app. Wir nehmen Nachrichten auf Ukrainisch und Englisch entgegen und antworten auch auf Russisch.