Datenschutzerklärung

Diese Erklärung beschreibt, welche personenbezogenen Daten Flinko verarbeitet, zu welchen Zwecken und welche Rechte Lehrkräfte, Schülerinnen, Schüler und Eltern haben. Flinko wird betrieben von Philipp Boßlet; er ist Verantwortlicher nach Art. 4 Nr. 7 DSGVO für die Konten von Lehrkräften, für Schülerkonten ohne Lehrkraft (Abschnitt „Für Schüler und Eltern“) und für seine eigene Nachhilfe.

1. Verantwortlicher

Verantwortlich für die Verarbeitung deiner personenbezogenen Daten im Sinne der DSGVO ist:

Philipp Boßlet
Birkenstraße 26
66450 Bexbach
Deutschland
E-Mail: E-Mail anzeigen

Einen separaten Datenschutzbeauftragten sieht Art. 37 DSGVO hier nicht vor; bei Fragen zum Datenschutz wende dich direkt an die oben genannte E-Mail.

Zur Einordnung: Nutzt eine Lehrkraft Flinko für ihre eigene Nachhilfe, ist sie für die Daten ihrer Schülerinnen und Schüler verantwortlich; Flinko verarbeitet diese Daten in ihrem Auftrag nach der Vereinbarung zur Auftragsverarbeitung. Fragen zu diesen Daten richten Eltern zuerst an die Lehrkraft; Flinko unterstützt sie dabei.

2. Welche Daten Flinko verarbeitet

Flinko verarbeitet folgende Kategorien personenbezogener Daten:

• Account-Daten der Lehrkraft: E-Mail-Adresse, Passwort-Prüfwert (Argon2id — aus ihm lässt sich das Passwort nicht zurückrechnen), Zeitstempel von Anmeldung und letztem Login.
• Abrechnungsdaten: Stripe-Kunden-ID, gewähltes Tarif, Rechnungsstatus. Zahlungsmittel selbst speichert ausschließlich Stripe.
• Schüler-Profile: Vorname und Klassenstufe, die du als Lehrer pflegst. Flinko empfiehlt, keine Nachnamen zu speichern.
• Foto-Uploads: Fotos von Aufgaben und Schüler-Lösungen, die du hochlädst, sowie die daraus erzeugten PDFs. Diese Fotos werden zur Mathe-Aufgaben- und Lösungs-Erkennung an Google Gemini Vision (siehe Auftragsverarbeiter) übermittelt.
• Technische Daten: Server-Logs (IP gekürzt, User-Agent, Zeitpunkt) zur Abwehr von Missbrauch.
• Nutzungs-Logs zur Vertragserfüllung und Kosten-Kontrolle:Anzahl und Kosten der KI-API-Aufrufe pro Konto, Login-Zeitstempel, Paket-Status und Volumen-Verbrauch. Diese Logs erscheinen ausschließlich in der Owner-Sicht des internen Admin-Dashboards. Speicherdauer: 12 Monate. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragsdurchführung) sowie Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an betrieblicher Kosten-Kontrolle und Missbrauchs-Verhinderung).
• KI-Seiten-Hilfe / KI-Berater-Chat (alle Pakete):Inhalte deiner Lehrer-Vorbereitungs-Anfragen und der KI-Antworten werden zur Funktionsbereitstellung gespeichert. Schüler-Namen oder personenbezogene Schüler-Daten gehören nicht in den Chat — der KI-Berater dient ausschließlich der mathematischen und didaktischen Vorbereitung. Speicherdauer: 12 Monate. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragsdurchführung). Anfragen werden zur Verarbeitung an Google Gemini Flash übermittelt (siehe Auftragsverarbeiter).
• Eltern-Wochenreport (nur Plus / Pro):Ist der Wochenreport eingeschaltet, entsteht jeden Sonntag für jeden Schüler mit dokumentierten Stunden ein HTML-Snapshot des Wochenreports, der im Lehrer-Backend als Archiv hinterlegt wird. Versand per E-Mail an die Eltern erfolgt ausschließlich, wenn der Lehrer pro Eltern-Eintrag den Schalter „Sonntag automatisch verschicken“ aktiviert und eine Eltern-Einwilligung vorliegt. Speicherdauer der Snapshots: 12 Monate. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragsdurchführung Nachhilfe) sowie Art. 6 Abs. 1 lit. a DSGVO (Einwilligung der Eltern für den automatischen Mail-Versand).

3. Zwecke der Verarbeitung

• Bereitstellung des Mathe-Korrektur-Dienstes (Foto lesen, Lösung erzeugen, PDF setzen).
• Abrechnung und Vertragserfüllung.
• Sicherheit, Missbrauchsabwehr und Server-Betrieb.
• Versand transaktionaler E-Mails (z. B. Passwort-Reset, Eltern-Reports) und optionaler Produkt-Updates.

4. Rechtsgrundlage

• Art. 6 Abs. 1 lit. b DSGVO — Vertragserfüllung (Bereitstellung des Dienstes, Abrechnung, KI-gestützte Foto-Analyse).
• Art. 6 Abs. 1 lit. c DSGVO— gesetzliche Pflichten (z. B. Aufbewahrung von Rechnungsdaten).
• Art. 6 Abs. 1 lit. f DSGVO — berechtigtes Interesse an Sicherheit, Missbrauchsabwehr sowie an der Verbesserung des Aufgaben-Pools durch anonymisierte Aufgaben-Strukturen.
• Art. 6 Abs. 1 lit. a DSGVO, § 7 Abs. 2 Nr. 2 UWG — Einwilligung für „Neuigkeiten per E-Mail“ an Lehrkräfte.
  • Inhalt: Neuigkeiten zu Flinko und Tipps zur Nutzung. Während der 14-tägigen Testphase begleitet dich dazu eine Reihe kurzer Mails zu den Schritten, die du gerade vor dir hast — höchstens eine am Tag und insgesamt bis zu acht. Danach nicht öfter als zweimal im Monat.
  • Freiwillig: Die Einwilligung ist keine Bedingung für das Konto oder ein Paket. Ohne sie steht dir alles genauso zur Verfügung.
  • Erteilung (Double Opt-In): über einen eigenen, nicht vorangekreuzten Haken bei der Registrierung oder den Schalter im Profil — wirksam erst, wenn du den Bestätigungslink in unserer E-Mail geklickt hast.
  • Nachweis: Wir speichern Zeitpunkt des Hakens und des Klicks, deine IP-Adresse zu beiden Zeitpunkten und den Wortlaut, dem du zugestimmt hast (Art. 7 Abs. 1 DSGVO).
  • Versand: über Brevo (siehe Auftragsverarbeiter); dorthin gehen nur Name und E-Mail-Adresse.
  • Widerruf: jederzeit mit einem Klick im Profil unter „Neuigkeiten per E-Mail“ oder über den Abmeldelink in jeder dieser E-Mails. Der Widerruf berührt die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung nicht (Art. 7 Abs. 3 DSGVO).
  • Dauer: Nachweis und Einstellung bleiben bis zum Widerruf bzw. bis zur Löschung deines Kontos gespeichert; nach einem Widerruf bewahren wir den Nachweis der früheren Einwilligung und des Widerrufs auf, solange wir ihn zur Verteidigung gegen Ansprüche benötigen.
  • Nicht betroffen: Kontomails wie Bestätigung, Passwort-Reset, Rechnungen und Hinweise zum Ablauf der Testphase — die gehören zum Vertrag. An Schüler und Eltern senden wir keine Werbung.
• Art. 6 Abs. 1 lit. a DSGVO, § 7 Abs. 2 Nr. 2 UWG — Einwilligung für „E-Mails von Flinko“ ohne Konto (Interessenten).
  • Inhalt: kurze Beispiele und Informationen zu Flinko und die Einladung, Flinko selbst zu testen.
  • Erteilung (Double Opt-In): im freiwilligen Formular auf der Startseite oder am Ende der Demo, mit eigenem, nicht vorangekreuztem Haken — wirksam erst, wenn du den Bestätigungslink in unserer E-Mail geklickt hast.
  • Daten: deine E-Mail-Adresse, freiwillig dein Vorname und dein Interesse (Organisation, Matheunterricht), woher das Formular kam und über welchen Werbelink.
  • Nachweis: Zeitpunkt des Eintrags und des Klicks, deine IP-Adresse zu beiden Zeitpunkten und der Wortlaut, dem du zugestimmt hast (Art. 7 Abs. 1 DSGVO).
  • Versand: über Brevo (siehe Auftragsverarbeiter); dorthin gehen nur Vorname und E-Mail-Adresse.
  • Widerruf: jederzeit über den Abmeldelink in jeder dieser E-Mails. Der Widerruf berührt die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung nicht (Art. 7 Abs. 3 DSGVO).
  • Dauer: Ohne Bestätigung löschen wir den Eintrag nach 30 Tagen. Nach einem Widerruf oder wenn du ein eigenes Konto anlegst, endet die Reihe; den Eintrag löschen wir 30 Tage danach. Löschst du dein Konto, verschwindet er sofort.

5. Auftragsverarbeiter

Für den Betrieb kommen die folgenden Dienstleister zum Einsatz. Wo ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO vorliegt, steht es beim jeweiligen Eintrag — und nur dort:

• Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen — Hosting im Rechenzentrum Nürnberg (Deutschland). AVV nach Art. 28 DSGVO abgeschlossen.
• Cloudflare — DNS und Proxy, Frankfurt-Server (EU). AVV nach Art. 28 DSGVO abgeschlossen.
• Brevo (Sendinblue SAS) — Mail-Versand, Paris (Frankreich / EU). AVV nach Art. 28 DSGVO abgeschlossen.
• Stripe Payments Europe Ltd. — Zahlungsabwicklung, Dublin (Irland / EU). AVV nach Art. 28 DSGVO abgeschlossen.
• Google LLC (Gemini API) — KI-gestützte Erkennung der Aufgabenfotos, Vereinigte Staaten. Hochgeladene Aufgaben- und Lösungsfotos samt darauf sichtbarer Handschrift werden zur Erkennung an die Gemini API übermittelt. Im Lehrerweg löst den Aufruf ausschließlich die Lehrkraft aus; das Schülerportal betreuter Schüler spricht nicht mit der KI. Der Schülername wird dabei nicht mitgesendet — im Chat-Kontext steht ein Pseudonym.
  Schüler ohne Lehrkraft (Pro): Ein Themenblatt, das der Schüler selbst hochlädt, wird zur Auswertung an die Gemini API übermittelt und bei Flinko nicht gespeichert. Rechtsgrundlage dafür ist Art. 6 Abs. 1 lit. b DSGVO (Abschnitt „Für Schüler und Eltern“).
  Übermittlung in ein Drittland: Näheres in Abschnitt 5b. Google trainiert im Europäischen Wirtschaftsraum keine Modelle mit diesen Daten. Google protokolliert Anfragen und Antworten allerdings für begrenzte Zeit, um Verstöße gegen die eigenen Nutzungsrichtlinien zu erkennen — die Verarbeitung ist also nicht rein flüchtig. Foto-Originale werden bei Flinko nach 30 Tagen automatisch gelöscht.
  Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO mit dokumentierter Abwägung.
• sevdesk GmbH, Hauptstraße 115, 77652 Offenburg — optionale Rechnungs-Integration (Deutschland). sevdesk verarbeitet deine Rechnungs- und Kontaktdaten nur dann, wenn du die Integration aktiv in den Einstellungen verbindest. Die Verbindung kannst du jederzeit trennen. AVV nach Art. 28 DSGVO abgeschlossen.
• Sentry — Fehler-Monitoring, EU-Region Frankfurt (die eingesetzte Adresse endet aufingest.de.sentry.io; der Speicherort der Organisation steht auf „European Union“). Übertragen werden Fehlermeldungen und technische Angaben zum Aufruf; Zugangs-Token werden vor dem Versand unkenntlich gemacht, Namen und Aufgabeninhalte werden nicht übertragen. Der Auftragsverarbeitungs-Vertrag liegt vor.

5b. Übermittlung in die USA

Ein Teil der Verarbeitung findet außerhalb der Europäischen Union statt: Die Aufgabenfotos gehen zur Erkennung an die Gemini API von Google LLC in den Vereinigten Staaten. Das ist ein Drittland ohne allgemeines EU-Datenschutzniveau.

Die Übermittlung stützt sich auf den Angemessenheitsbeschluss der Europäischen Kommission zum EU-US Data Privacy Framework (Art. 45 DSGVO); Google ist unter diesem Rahmen zertifiziert. Ergänzend gelten die Standardvertragsklauseln nach Art. 46 DSGVO.

Was das praktisch bedeutet: US-Behörden können unter bestimmten Voraussetzungen auf Daten bei US-Anbietern zugreifen. Deshalb gilt hier: Es geht nur das Aufgabenfoto hinaus, kein Name, keine Kontaktdaten, keine Noten.

5a. Der Aufgaben-Pool

Flinko führt eine eigene Sammlung von Übungsaufgaben. Diese Aufgaben sind Eigenkreationen; sie entstehen aus Lehrbüchern und Arbeitsblättern, nicht aus Schülerdaten.

Aus den Fotos deiner Aufgaben entsteht kein Pool-Eintrag. Es gibt keine automatische Übernahme: weder aus Aufgabenfotos noch aus Schülerlösungen oder Korrekturen. Ein Widerspruch dagegen ist deshalb nicht nötig.

6. Speicherdauer

• Account-Daten: bis zur Löschung deines Accounts.
• Foto-Uploads (Original-Bilder und erzeugte PDFs): 30 Tage ab Upload in Flinko, danach automatische Löschung aus der Flinko-Infrastruktur. Die Verarbeitung bei Gemini Vision selbst erfolgt flüchtig und ohne dauerhafte Speicherung beim Auftragsverarbeiter.
• Rechnungen und Buchungsbelege: 8 Jahre (§ 147 Abs. 3 AO, § 14b UStG). Die zehnjährige Frist gilt nur für Bücher, Inventare und Abschlüsse.
• Server-Logs: 14 Tage.
• Sicherungskopien: Damit nach einem Ausfall nichts verloren geht, laufen automatische Sicherungen. Sie werden gestaffelt aufbewahrt: wöchentliche Stände sieben Wochen lang, monatliche vier Monate, jährliche zwei Jahre. Eine gelöschte Datei kann deshalb bis zu zwei Jahre in einer Sicherung fortbestehen, bevor auch diese turnusmäßig überschrieben wird. Auf Sicherungen wird ausschließlich im Wiederherstellungsfall zugegriffen.

7. Cookies und vergleichbare Technologien

Flinko setzt ausschließlich technisch notwendige Cookies. Eine Einwilligung ist dafür nicht erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG).

Flinko setzt kein Reichweitenmess-Werkzeug ein, das auf dein Endgerät zugreift — keine Cookies, keine Zählpixel, kein Fingerabdruck. Wie viele Menschen die Startseite und die Demo öffnen, zählt der Server selbst und nur als Tagessumme je Werbelink (etwa „über die Anzeige bei LinkedIn“), ohne IP-Adresse und ohne Wiedererkennung. Legst du ein Konto an, speichern wir daran, über welchen Werbelink du gekommen bist (Art. 6 Abs. 1 lit. f DSGVO — unser Interesse, zu wissen, welche Werbung wirkt); du kannst dem jederzeit widersprechen, dann löschen wir diese Angabe.

8. Wer die freiwilligen Einwilligungen erteilt

Der Unterricht selbst braucht keine Einwilligung — er steht auf Art. 6 Abs. 1 lit. f DSGVO. Eingewilligt wird nur in das, was darüber hinausgeht: Profilbild, Lernbericht per E-Mail und, falls je erhoben, Gesundheitsangaben.

Wer erklärt, hängt am Alter. Bis 16 erteilen die Erziehungsberechtigten diese Einwilligungen. Ab 16 kann die Schülerin oder der Schüler selbst entscheiden und bekommt dafür einen eigenen Bestätigungs-Link. Zwischen 16 und 18 bleibt daneben auch der Weg über die Erziehungsberechtigten offen; wer von beiden erklärt hat, hält der Beleg fest. Das Geburtsdatum wird genau dafür gespeichert. Flinko stellt für den Eltern-Weg zusätzlich eine Mustervorlage zum Unterschreiben bereit.

Jede Einwilligung ist einzeln, freiwillig und jederzeit widerrufbar. Wer etwas ablehnt, hat im Unterricht keinen Nachteil.

9. Deine Rechte

Du hast jederzeit das Recht auf:

• Auskunft (Art. 15 DSGVO)
• Berichtigung (Art. 16 DSGVO)
• Löschung (Art. 17 DSGVO)
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruch (Art. 21 DSGVO)
• Widerruf einer erteilten Einwilligung (Art. 7 Abs. 3 DSGVO)

Schreibe dazu kurz an E-Mail anzeigen.

10. Beschwerde bei der Aufsichtsbehörde

Du hast das Recht, dich bei einer Datenschutz-Aufsichtsbehörde zu beschweren. Zuständig für Flinko ist das Unabhängige Datenschutzzentrum Saarland (UDSZ), Fritz-Dobisch-Straße 12, 66111 Saarbrücken ([email protected]). Du kannst dich auch an die Aufsichtsbehörde an deinem Wohn- oder Arbeitsort wenden.

Optionale Anmeldung über einen Anbieter

Wenn eine entsprechende Schaltfläche angeboten wird, kannst du dich freiwillig mit Google, Apple oder Facebook anmelden. Erst dein Klick stellt die Verbindung zum Anbieter her. Dieser erhält die technische Anmeldeanfrage und erfährt, dass du Flinko nutzen möchtest; beim Aufruf des Flinko-Formulars laden wir kein Anbieter-SDK. Flinko erhält eine stabile Anbieterkennung und, soweit freigegeben, Name und E-Mail-Adresse. Eine von Apple verborgene E-Mail-Adresse kann als Kontaktadresse verwendet werden. Kontakte, Beiträge, Freunde und Kalenderdaten werden für diesen Login nicht angefordert.

Die Anbieterkennung wird deinem Flinko-Konto zugeordnet, bis du die Verbindung trennst oder das Konto gelöscht wird. Kurzlebige Anmeldevorgänge laufen nach zehn Minuten ab und werden beim nächsten minütlichen Aufräumlauf entfernt. Bei Apple speichern wir ein verschlüsseltes Widerrufstoken, um die Verbindung beim Trennen oder Löschen widerrufen zu können. Andere Zugangstokens werden nicht dauerhaft gespeichert. E-Mail und Passwort bleiben als Alternative verfügbar; Verbindungen verwaltest du unter „Anmeldemethoden“. Die optionale Werbeeinwilligung bleibt davon unabhängig. Für die Verarbeitung beim gewählten Anbieter gelten zusätzlich dessen Datenschutzhinweise.

Google-Kalender (optional)

Du kannst Flinko freiwillig mit deinem Google-Kalender verbinden. Erst dein Klick auf „Google-Kalender verbinden“ und deine Zustimmung bei Google stellen die Verbindung her.

Was Flinko dafür bei Google anfragt: das Recht, in deinem Google-Konto einen eigenen Kalender „Flinko“ anzulegen und nur darin Termine zu führen.

Was Flinko in deinen Kalender „Flinko“ schreibt: für jede Stunde den Vornamen und den Anfangsbuchstaben des Nachnamens deines Schülers, Datum, Uhrzeit, Dauer und das Thema der Stunde; für Klausuren den so gekürzten Namen und die Art der Klausur. Ändert sich ein Termin in Flinko, aktualisiert Flinko den Eintrag; wird er gelöscht, entfernt Flinko ihn.

Flinko liest keine Termine aus deinen Google-Kalendern — die Verbindung schreibt nur in deinen Kalender „Flinko“.

Was Flinko speichert: den Zugangsschlüssel, den Google für die Verbindung ausstellt, die Kennung deines Kalenders „Flinko“ sowie Zeitpunkt und gegebenenfalls Fehler des letzten Abgleichs. Die Daten liegen auf unseren Servern in Deutschland.

Trennen: Unter „Termine → Kalender“ trennst du die Verbindung jederzeit. Flinko widerruft dann die Freigabe bei Google und löscht den gespeicherten Zugangsschlüssel. Die Kennung deines Kalenders „Flinko“ behält Flinko, damit ein erneutes Verbinden denselben Kalender weiterverwendet, statt einen zweiten anzulegen; sie wird mit deinem Konto gelöscht. Dein Kalender „Flinko“ bleibt in Google erhalten, bis du ihn dort löschst. Die Freigabe kannst du zusätzlich jederzeit unter myaccount.google.com → Sicherheit → Drittanbieter-Apps mit Kontozugriff prüfen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Bereitstellung der von dir gewählten Funktion). Für die Schülerdaten gilt der Auftragsverarbeitungsvertrag: Du entscheidest, ob Termine deiner Schüler in deinem Google-Kalender erscheinen.

Google API Services User Data Policy: Die Nutzung und Weitergabe von Informationen, die Flinko über Google-APIs erhält, an andere Apps erfolgt gemäß der Google API Services User Data Policy einschließlich der Anforderungen zur eingeschränkten Nutzung („Limited Use“). Flinko nutzt diese Daten ausschließlich für den Kalenderabgleich, gibt sie nicht weiter, verwendet sie nicht für Werbung und nicht zum Training von KI-Modellen. Englischer Wortlaut: „Flinko's use and transfer to any other app of information received from Google APIs will adhere to the Google API Services User Data Policy, including the Limited Use requirements.“

Kennenlerntermin und WhatsApp-Kontakt

Auf der Startseite kannst du einen 15-minütigen Kennenlerntermin per Zoom buchen. Dafür speichern wir deinen Namen, deine E-Mail-Adresse und den gewählten Termin. Wir nutzen diese Angaben, um dir die Bestätigung mit dem Zoom-Link und einen Absage-Link zu schicken und den Termin durchzuführen. Der Versand läuft über Brevo (siehe Auftragsverarbeiter).

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Durchführung vorvertraglicher Maßnahmen auf deine Anfrage). Speicherdauer: Wir löschen deine Angaben 30 Tage nach dem Termin automatisch; sagst du über den Link in der Bestätigung ab, löschen wir sie sofort.

Der Termin selbst findet bei Zoom (Zoom Communications, Inc., USA) statt. Erst wenn du dem Link folgst, verarbeitet Zoom die Daten deiner Teilnahme (z. B. angezeigter Name, Bild und Ton, technische Verbindungsdaten); dafür gelten die Datenschutzhinweise von Zoom. Die Übermittlung in die USA stützt sich auf den EU-US-Datenschutzrahmen (Angemessenheitsbeschluss nach Art. 45 DSGVO). Weitere Teilnehmende desselben Termins sehen deinen angezeigten Namen.

Die Schaltfläche „Bei WhatsApp schreiben“ ist ein einfacher Link. Beim Aufruf der Startseite wird keine Verbindung zu WhatsApp aufgebaut; erst dein Klick öffnet WhatsApp (WhatsApp Ireland Ltd.). Schreibst du uns dort, gelten zusätzlich die Datenschutzhinweise von WhatsApp.

Für Schüler und Eltern (Basis, Plus und Pro)

Dieser Abschnitt gilt für Schülerinnen und Schüler, die Flinko ohne Lehrkraft nutzen (Pakete Basis, Plus und Pro). Verantwortlicher ist auch hier Philipp Boßlet (Abschnitt 1). Die Abschnitte zu Hosting, E-Mail-Versand, Zahlung, deinen Rechten und der Aufsichtsbehörde gelten unverändert.

Was verarbeitet wird

• Vorname, E-Mail-Adresse, Passwort (nur als Hash): Konto, Login und Bestätigungs-Mail. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
• Geburtsdatum: legt fest, wer das Konto bestätigt (unter 16 die Eltern) und wer Vertragspartner ist (unter 18 die Eltern). Rechtsgrundlage: Art. 6 Abs. 1 lit. c in Verbindung mit Art. 8 DSGVO.
• Klasse, Bundesland, Schulform (freiwillig): Das Spiel „Funktionen einsetzen“ wählt damit die Funktionstypen passend zum Lehrplan. Nur diese drei Angaben gehen ins Spiel, nie Name oder Kennung. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
• E-Mail-Adresse der Eltern (bei Minderjährigen): Konto-Bestätigung (unter 16), Zahlungslink, Rechnung und Vertragsnachrichten. Rechtsgrundlage: Art. 6 Abs. 1 lit. b in Verbindung mit Art. 8 DSGVO.
• Spielstand je Spiel (Rekord, Level, Einstellungen, laufende Runde): damit du auf jedem Gerät weiterspielen kannst. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
• Spielsitzungen (Beginn, letzte Aktivität, aktive Sekunden): für Fehlerdiagnose und Stabilität der Spiele. Es gibt keine Leistungsbewertung und keinen Bericht an Dritte. Einzelne Eingaben oder Fehleingaben werden im Basis-Paket nicht gespeichert. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.
• Aufgaben und Eingaben einer Spielrunde (Plus und Pro): daraus entsteht das PDF der Runde mit Musterlösung. Gespeicherte PDFs liegen im Material des Kontos. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
• Hochgeladenes Themenblatt (Pro): Die Seiten werden zur Auswertung an die Gemini API von Google übermittelt (siehe Auftragsverarbeiter); daraus wird eine Probeklausur aus dem Flinko-Aufgabenbestand zusammengestellt. Lade nur Unterrichtsmaterial hoch, ohne Namen oder andere personenbezogene Daten. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
• Zahlungsdaten: verarbeitet Stripe (Abschnitt Zahlung). Flinko speichert nur Kunden- und Abo-Kennung, Status, Zeitraum und den bezahlten Preis. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
• Sitzungs-Token (als Hash) und Zeitpunkt des letzten Logins: Login und Sicherheit. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.

Wer bestätigt

Unter 16 Jahren bestätigen die Eltern das Konto per Klick in einer E-Mail (Art. 8 DSGVO); ohne Bestätigung ist das Konto nicht nutzbar. Mit 16 und 17 Jahren bestätigt die Schülerin oder der Schüler das Konto selbst; der kostenpflichtige Vertrag wird über die Eltern geschlossen (Zahlungslink an die Eltern-Adresse). Ab 18 Jahren handelt der Nutzer selbst.

Empfänger

Hetzner (Hosting, Nürnberg), Brevo (E-Mail-Versand), Stripe (Zahlung) und bei Pro Google (Gemini API, Auswertung des Themenblatts). Spielstände und Spielzeiten werden nicht an Dritte weitergegeben. Es gibt keine Werbung an Kinder und keine Werbe-Tracking-Cookies.

Speicherdauer, Auskunft, Löschung

Konto, Spielstand, Spielsitzungen und bei Plus und Pro die Aufgaben der Spielrunden sowie dein Material bleiben gespeichert, solange das Konto besteht, auch nach dem Ende eines Abos. Du oder deine Eltern könnt das Konto jederzeit im Profil löschen („Konto löschen“, mit Passwortabfrage). Dabei wird ein laufendes Abo zuerst gekündigt; danach werden Konto, Schülerdatensatz, Eltern-Eintrag und Spieldaten entfernt. Rechnungsdaten, die Flinko aufbewahren muss, werden anonymisiert statt gelöscht. Auskunft nach Art. 15 DSGVO erhältst du per E-Mail an E-Mail anzeigen.

Was nicht verarbeitet wird

Keine Fotos außer einem selbst hochgeladenen Themenblatt (Pro), keine Lehrerkommunikation, keine Noten, keine Standortdaten. Die Spiele laufen in einem eigenen Rahmen ohne Zugriff auf Namen oder Kennungen.