Datenschutzerklärung
Diese Erklärung gilt für die Website mysterapp.com und für die App „Myster“ auf iPhone und Android.
1. Verantwortlicher
NDECS Education & Connection Services | Buhlinger & Penkwitt GbR
Kronenstraße 3
76133 Karlsruhe
E-Mail: info@mysterapp.com
Ein Datenschutzbeauftragter ist nicht bestellt; die Voraussetzungen des § 38 BDSG liegen nicht vor. Anfragen richten Sie bitte an die oben genannte Adresse.
2. Wer wofür verantwortlich ist
Wer Myster privat nutzt – über ein Abo im App Store oder Play Store oder als kostenloses Konto –, schließt den Vertrag mit uns. Für diese Konten sind wir Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO.
Wer einen Platz aus der Lizenz eines Betriebs belegt, lernt auf Veranlassung dieses Betriebs. Der Betrieb kann den Lernstand seiner Auszubildenden in Teilen einsehen und entscheidet damit über Zweck und Mittel der Verarbeitung. Für diese Konten ist der Betrieb Verantwortlicher; wir verarbeiten die Daten in seinem Auftrag nach Art. 28 DSGVO und ausschließlich nach seiner Weisung. Zwischen dem Betrieb und uns besteht dafür ein Vertrag zur Auftragsverarbeitung.
Was das für Sie bedeutet: Auskunft, Berichtigung und Löschung verlangen Sie in diesem Fall bei Ihrem Betrieb. Erreicht uns eine solche Anfrage direkt, leiten wir sie an ihn weiter und melden uns bei Ihnen.
3. Welche Daten wir verarbeiten
Konto
Name, E-Mail-Adresse und ein als Hash gespeichertes Passwort. Ohne Konto lässt sich der Lernstand nicht über mehrere Geräte hinweg halten.
Lernstand
Welche Karten Sie beantwortet haben, wann und wie sicher – die Grundlage für die Wiederholungsplanung. Belegen Sie einen Platz aus einer Betriebslizenz, kann der Betrieb einen Teil dieser Auswertung zu Ihrer Person einsehen; was genau, legt der Betrieb als Verantwortlicher fest und muss es Ihnen gegenüber offenlegen.
Geräte
Je angemeldetem Gerät eine zufällige Kennung und ein frei gewählter Gerätename, dazu der Zeitpunkt der letzten Nutzung. So sehen Sie in der App, wo Ihr Konto angemeldet ist, und können einzelne Geräte abmelden.
Protokolle
Beim Aufruf der Website entstehen bei uns keine Zugriffsprotokolle. Unser Server hält weder IP-Adressen noch Browserkennungen fest. Die IP-Adresse wird nur für die Dauer der Verbindung verarbeitet, damit die Seite ausgeliefert werden kann.
Die Schnittstelle, über die die App mit unserem Server spricht, führt ebenfalls kein allgemeines Zugriffsprotokoll. Festgehalten werden nur einzelne sicherheitsrelevante Ereignisse – Registrierung, Anmeldung, Entfernen eines Geräts, Prüfung eines Abos, Löschung eines Kontos und Eingriffe der Verwaltung – jeweils mit Zeitpunkt und IP-Adresse. Das dient der Abwehr von Missbrauch und der Nachvollziehbarkeit von Kontoänderungen.
Betriebe und Lizenzen
Firmenname, Anschrift, Ansprechpartner, gekaufte Plätze und Laufzeit. In der Platzverwaltung sieht der Betrieb je belegtem Platz Name, E-Mail-Adresse und das Datum, seit dem der Platz belegt ist.
Käufe über die App-Stores
Abschluss und Laufzeit eines Abos meldet uns der jeweilige Store, dazu eine Kennung des Vorgangs. Ihre Zahlungsdaten erreichen uns nicht – sie liegen bei Apple beziehungsweise Google.
Vorbestellung einer Mehrplatz-Lizenz
Tragen Sie sich auf der Preisseite für eine Mehrplatz-Lizenz vor, speichern wir Ihre E-Mail-Adresse und die Zahl der Plätze – sonst nichts. Wir nutzen beides ausschließlich, um uns bei Ihnen zu melden, sobald die Lizenz bestellbar ist. Die Vorbestellung ist unverbindlich und begründet keinen Vertrag.
Kontaktaufnahme
Schreiben Sie uns, verarbeiten wir Ihre E-Mail-Adresse und den Inhalt Ihrer Nachricht, um sie zu beantworten.
Reichweitenmessung auf der Website
Wir möchten wissen, wie diese Website genutzt wird – welche Seiten gelesen werden und ob jemand bis zur Vorbestellung oder Bestellung findet. Dafür setzen wir Umami ein, eine Open-Source-Software zur Reichweitenmessung. Umami läuft auf unserem eigenen Server (analytics.tutorring.de) bei Hetzner in Deutschland; es ist kein Dienst eines Drittanbieters eingebunden.
Umami setzt keine Cookies und speichert nichts auf Ihrem Endgerät. Wiederkehrende Aufrufe werden serverseitig über einen Zahlenwert zusammengefasst, der aus IP-Adresse, Browser und dem laufenden Kalendermonat berechnet wird und monatlich wechselt. Die IP-Adresse selbst wird nicht gespeichert, und aus dem Zahlenwert lässt sich nicht auf Sie zurückrechnen.
Erfasst werden: aufgerufene Seite, Verweisquelle, Zeitpunkt, der aus der IP-Adresse abgeleitete ungefähre Standort (Land, Region, Ort), Browser, Betriebssystem, Gerätetyp und Bildschirmgröße sowie einzelne Ereignisse wie „Knopf ‚Vorbestellen' geklickt“ oder „Vorbestellung angenommen“, bei der Vorbestellung zusammen mit einer groben Platzklasse (1–5, 6–20, mehr). Kennungen in Adressen – etwa die einer Lizenz – und Links mit Einmalcodes kürzen wir vor dem Senden. Was Sie in Formulare eintragen, wirdnicht erfasst, auch nicht Ihre E-Mail-Adresse.
4. Rechtsgrundlagen
- Art. 6 Abs. 1 lit. b DSGVO – Konto, Lernstand und Abo-Abwicklung: alles, was zur Erfüllung des Vertrags nötig ist. Ebenso die Vorbestellung: Sie ist eine auf Ihre Anfrage hin erfolgende vorvertragliche Maßnahme.
- Art. 6 Abs. 1 lit. c DSGVO – Aufbewahrung von Rechnungen und Buchungsbelegen.
- Art. 6 Abs. 1 lit. f DSGVO – Sicherheitsprotokoll und Geräteliste, zur Absicherung des Betriebs gegen Missbrauch. Ebenso die Reichweitenmessung, aus unserem Interesse an einer bedarfsgerechten Gestaltung der Website.
- Art. 28 DSGVO – für Plätze aus einer Betriebslizenz handeln wir als Auftragsverarbeiter; die Rechtsgrundlage der Verarbeitung selbst verantwortet der Betrieb.
5. Cookies
Diese Website setzt keine Cookies zu Werbe- oder Analysezwecken; auch die Reichweitenmessung (Abschnitt 3) kommt ohne Cookies und ohne Speicher auf Ihrem Endgerät aus. Gesetzt werden ausschließlich zwei technisch notwendige Cookies, beide nur für angemeldete Nutzer:
mt_sitzung– hält die Anmeldung. Es ist gegen Auslesen durch Skripte gesperrt und läuft nach 30 Tagen ab.mt_geraet– eine zufällige Kennung für diesen Browser, damit die Gerätezählung ihn wiedererkennt.
Weil beide für den angeforderten Dienst erforderlich sind, brauchen sie nach § 25 Abs. 2 TDDDG keine Einwilligung; die Reichweitenmessung greift gar nicht auf Ihr Endgerät zu und fällt deshalb nicht unter § 25 TDDDG. Deshalb gibt es hier auch kein Einwilligungsfenster.
6. Wo die Daten liegen und wer sie erhält
Website, Schnittstelle und Datenbank laufen auf einem Server, den wir bei der Hetzner Online GmbH in einem Rechenzentrum in der Europäischen Union mieten. Hetzner betreibt auch die Namensauflösung der Domain. Die Reichweitenmessung läuft auf einem zweiten eigenen Server, ebenfalls bei Hetzner in Deutschland. Hetzner ist dabei Auftragsverarbeiter nach Art. 28 DSGVO; Daten verlassen die EU auf diesem Weg nicht.
Die Verbindung zu Website und Schnittstelle ist durchgehend mit HTTPS verschlüsselt und endet erst auf unserem Server. Ein Netzwerk- oder Tunnel-Anbieter ist nicht dazwischengeschaltet.
| Empfänger | Zweck | Sitz |
|---|---|---|
| Hetzner Online GmbH | Server und Rechenzentrum für Website, Schnittstelle und Datenbank; Namensauflösung der Domain; Sicherungen; Server für die Reichweitenmessung | Gunzenhausen, Deutschland |
| Apple Inc. / Apple Distribution International | Abo-Abwicklung im App Store | Irland und USA |
| Google Ireland Ltd. / Google LLC | Abo-Abwicklung im Play Store | Irland und USA |
| Betrieb mit Lizenz | Platzverwaltung und, als Verantwortlicher, Einsicht in den Lernstand der eigenen Auszubildenden | Deutschland |
Soweit dabei Daten in die USA gelangen, stützen wir die Übermittlung auf einen Angemessenheitsbeschluss der Europäischen Kommission (EU-U.S. Data Privacy Framework) beziehungsweise, wo dieser nicht greift, auf Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO.
7. Wie lange wir speichern
- Konto und Lernstand: bis Sie das Konto löschen.
- Sicherheitsprotokoll (Abschnitt 3): 90 Tage; die Einträge zu Ihrem Konto werden außerdem mit dem Konto gelöscht.
- Tägliche Sicherungen der Datenbank: 30 Tage; tägliche Sicherungen des ganzen Servers: 7 Tage. Eine Löschung wirkt sich dort erst mit dem Ablauf dieser Fristen aus.
- Rechnungen und Buchungsbelege: zehn Jahre nach § 147 AO, unabhängig von einer Kontolöschung.
- Anfragen per E-Mail: bis die Sache erledigt ist, längstens ein Jahr.
- Vorbestellungen: bis die Mehrplatz-Lizenz bestellbar ist und wir uns bei Ihnen gemeldet haben, längstens ein Jahr. Auf Zuruf löschen wir den Eintrag sofort.
8. Konto löschen
Sie können Ihr Konto in der App unter „Konto“ selbst löschen. Dabei werden Ihre personenbezogenen Daten samt Lernstand entfernt; ein belegter Lizenzplatz wird frei. Rechnungen bleiben aus steuerrechtlichen Gründen bestehen.
9. Ihre Rechte
Sie haben das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21 DSGVO). Belegen Sie einen Platz aus einer Betriebslizenz, ist dafür Ihr Betrieb der richtige Ansprechpartner (Abschnitt 2).
Außerdem können Sie sich bei einer Datenschutz-Aufsichtsbehörde beschweren. Für uns zuständig ist der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg, Lautenschlagerstraße 20, 70173 Stuttgart.
10. Keine automatisierte Entscheidungsfindung
Es findet keine automatisierte Entscheidung im Sinne des Art. 22 DSGVO statt. Die Wiederholungsplanung in der App berechnet Lerntermine, trifft aber keine Entscheidung mit rechtlicher Wirkung über Sie.
Stand: September 2026