Datenschutzerklärung

Stand: 27.10.2026

1. Das Wichtigste in Kürze

• Verantwortlich für KollegPass ist Saifuna Rysalieva mit Sitz in Kirgisistan.
• Wir verarbeiten deine Daten, um dir KollegPass bereitzustellen: Konto, Lernfortschritt, KI-Funktionen und Ranglisten.
• Wir zeigen keine Werbung, nutzen kein Werbe-Tracking und verkaufen keine Daten.
• Statistiken erheben wir nur mit deiner Einwilligung und ohne Cookies.
• Unsere Datenbank liegt in der EU (Frankfurt am Main). Einige Dienstleister sitzen außerhalb der EU, zum Beispiel in den USA.
• Du hast Rechte, zum Beispiel auf Auskunft, Löschung und Widerspruch.

2. Verantwortlicher

Saifuna Rysalieva
Ulan Street 27, Bishkek 720016, Kyrgyzstan
E-Mail: [email protected]

3. Vertreter in der EU (Art. 27 DSGVO)

Weil wir unseren Sitz außerhalb der EU haben, haben wir einen Vertreter in der EU benannt:

[EU_REPRESENTATIVE]

Du kannst dich in allen Datenschutzfragen auch an unseren Vertreter wenden.

4. Datenschutzbeauftragter

Für alle Fragen zum Datenschutz erreichst du uns unter [email protected].

5. Welche Daten wir wofür verarbeiten

5.1 Aufruf der Website und der App

• Daten: IP-Adresse, Datum und Uhrzeit, aufgerufene Adresse, zuvor besuchte Seite (Referrer), Browser und Betriebssystem, Statuscode, übertragene Datenmenge, Sicherheitsmerkmale (zum Beispiel zur Erkennung von Bots).
• Zweck: die Website ausliefern, den Betrieb stabil halten, Angriffe erkennen und abwehren.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist ein sicheres und funktionierendes Angebot.
• Speicherdauer: höchstens Tage. Länger nur, wenn wir die Daten brauchen, um einen konkreten Sicherheitsvorfall aufzuklären.

5.2 Nutzung als Gast

Als Gast speichert die App deinen Fortschritt nur in deinem Browser (Local Storage). Diese Daten bekommen wir nicht. Wenn du die App nutzt, lädt sie Inhalte von unseren Servern. Dabei entstehen die Daten aus Abschnitt 5.1.

Legst du später ein Konto an, kannst du deinen Gast-Fortschritt in dein Konto übernehmen.

Für das Speichern auf deinem Gerät gilt § 25 Abs. 2 Nr. 2 TDDDG. Mehr dazu in den Hinweisen zu Cookies und Speicher.

5.3 Anmeldung mit Google, Apple oder Telegram

• Daten, die wir erhalten:
  • von Google: Name, E-Mail-Adresse, Profilbild und Google-Kennung;
  • von Apple: Apple-Kennung, E-Mail-Adresse (eventuell eine Weiterleitungsadresse von Apple) und, beim ersten Anmelden, dein Name, wenn du ihn freigibst;
  • von Telegram: Telegram-Kennung, Name, Benutzername und Profilbild. Deine Telefonnummer fragen wir nicht ab.
• Zweck: Konto anlegen, Anmeldung, Schutz vor Missbrauch.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertrag).
• Speicherdauer: bis du dein Konto löschst.
• Hinweise: Google (im EWR und in der Schweiz: Google Ireland Limited), Apple (im EWR, im Vereinigten Königreich und in der Schweiz: Apple Distribution International Limited, Irland) und Telegram (Telegram Messenger Inc.) verarbeiten deine Daten bei der Anmeldung als eigene Verantwortliche. Es gelten ihre Datenschutzerklärungen. Der Anbieter erfährt dabei, dass du dich bei KollegPass anmeldest. Die Anmelde-Funktion des Anbieters laden wir erst, wenn du auf den jeweiligen Button klickst. Dein Profilbild vom Anbieter verwenden wir nicht automatisch als öffentlichen Avatar.

5.4 Konto, Profil und Lernfortschritt

• Daten: Kontokennung, Nickname, Avatar, Sprache, Ziel-Studienkolleg(s), Kursart, Prüfungsdatum, Deutschniveau, Antworten, Ergebnisse, Probeprüfungen, Lernserien, Einstellungen. Freiwillig: dein echter Name und ein Foto.
• Zweck: die Lernfunktionen bereitstellen, deinen Fortschritt speichern, deinen Lernplan erstellen.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Für deinen echten Namen und dein Foto: deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Ein Foto kann Rückschlüsse auf besondere Daten zulassen, zum Beispiel auf Herkunft oder Religion. Mit dem Hochladen willigst du auch dafür ausdrücklich ein (Art. 9 Abs. 2 lit. a DSGVO). Du kannst Name und Foto jederzeit löschen.
• Speicherdauer: bis du dein Konto löschst. Konten ohne Anmeldung seit Monaten löschen wir. Wenn wir dich erreichen können, sagen wir dir vorher Bescheid.
• Lernplan: Aus deinen Ergebnissen berechnen wir einen Lernplan und einen Bereitschaftswert. Das ist eine automatisierte Auswertung (Profiling), aber ohne rechtliche Wirkung für dich (siehe Abschnitt 7).

5.5 Ranked-Tests, Ranglisten und Ergebniskarten

• Daten: Teilnahme, Antworten, Punkte, benötigte Zeit, Rang, Ziel-Studienkolleg, deine Sichtbarkeitseinstellung und Fair-Play-Daten (Abschnitt 5.12).
• Was andere sehen: je nach deiner Einstellung
  • „Nur Nickname“: Nickname, Avatar, Punkte und Rang;
  • „Name anzeigen“: dein echter Name und, falls vorhanden, dein Foto, Punkte und Rang;
  • „Mich ausblenden“: nichts.
    In der Rangliste nach Studienkolleg ist außerdem sichtbar, auf welches Studienkolleg du dich vorbereitest. Ranglisten sehen.
• Zweck: Ranked-Tests durchführen und Ranglisten anzeigen.
• Rechtsgrundlage: Teilnahme und Anzeige mit Nickname: Art. 6 Abs. 1 lit. b DSGVO, weil Ranglisten Teil der Ranked-Tests sind, die du freiwillig nutzt. Anzeige von echtem Namen und Foto: deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), die du jederzeit in den Einstellungen widerrufen kannst.
• Speicherdauer: Ergebnisse, solange dein Konto besteht. Wöchentliche Ranglisten sind sichtbar. Danach bleiben sie nur ohne Namen und Nicknames erhalten. Löschst du dein Konto, entfernen oder anonymisieren wir deine Einträge.
• Ergebniskarten: Wenn du auf „Teilen“ tippst, erstellen wir ein Bild mit deinem Ergebnis. Was mit einer geteilten Karte passiert, entscheidest du und die Empfänger.

5.6 KI-Tutor und KI-Feedback

• Daten: deine Nachrichten und Texte, die jeweilige Aufgabe, nötiger Kontext (zum Beispiel Sprache, Kursart und Niveau), die Antworten der KI, technische Daten und eine pseudonyme Kennung zur Missbrauchserkennung. Deinen Namen und deine E-Mail-Adresse geben wir nicht an den KI-Anbieter weiter.

• Zweck: deine Fragen beantworten, Feedback zu deinen Texten geben, Missbrauch verhindern, Nutzungsgrenzen einhalten.

• Auftragsverarbeiter: Anthropic, PBC (USA). Anthropic verarbeitet die Daten nur in unserem Auftrag und darf sie nicht zum Training von KI-Modellen nutzen. Anthropic löscht Eingaben und Antworten innerhalb von 30 Tagen. Ausnahme: Erkennen die Systeme von Anthropic einen möglichen Verstoß gegen die Nutzungsrichtlinien, kann Anthropic Eingaben und Antworten bis zu 2 Jahre und Sicherheitsbewertungen bis zu 7 Jahre speichern.

• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, weil du die KI-Funktion nutzt. Für Missbrauchsschutz: Art. 6 Abs. 1 lit. f DSGVO.

• Speicherdauer bei uns: Chatverlauf und Feedback oder bis du sie oder dein Konto löschst.

• Menschliche Prüfung: Wir sehen uns Unterhaltungen nur an, wenn das nötig ist, zum Beispiel wenn du ein Problem meldest, bei Verdacht auf Missbrauch oder wenn das Gesetz es verlangt.

• Mehr in den KI-Hinweisen.

5.7 Kauf über Dodo Payments

• Rolle: Dodo Payments verkauft die Pässe und verarbeitet deine Zahlungsdaten als eigener Verantwortlicher. Es gilt die Datenschutzerklärung von Dodo Payments. Deine vollständigen Zahlungsdaten, zum Beispiel Kartennummern, erhalten wir nicht.
• Daten, die wir an Dodo Payments geben: gewähltes Produkt, Sprache und eine pseudonyme Kennung, damit wir den Kauf deinem Konto zuordnen können.
• Daten, die wir von Dodo Payments erhalten: Bestellnummer, Produkt, Preis, Steuer, Land, E-Mail-Adresse, Name, Zahlungsstatus sowie Informationen zu Erstattungen und Rückbuchungen.
• Zweck: deinen Pass freischalten, Bestätigungen senden, Widerrufe und Kündigungen bearbeiten, Support, gesetzliche Pflichten.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO; für gesetzliche Pflichten Art. 6 Abs. 1 lit. c DSGVO; für die Abwehr von Ansprüchen Art. 6 Abs. 1 lit. f DSGVO.
• Speicherdauer: bis zum Ende des dritten Kalenderjahres nach Vertragsende. Länger, wenn Steuer- oder Handelsrecht das verlangt.

5.8 E-Mails zu deinem Vertrag

• Daten: E-Mail-Adresse, Name, Vertragsdaten, Inhalt deiner Erklärung, Datum und Uhrzeit.
• Zweck: Wir senden die gesetzlich vorgeschriebenen Bestätigungen: Vertragsbestätigung nach dem Kauf, Eingangsbestätigung für einen Widerruf und Bestätigung einer Kündigung.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit § 312f, § 312k und § 356a BGB; außerdem Art. 6 Abs. 1 lit. b DSGVO.
• Dienstleister: [EMAIL_SERVICE_PROVIDER]
• Speicherdauer: bis zum Ende des dritten Kalenderjahres nach Vertragsende.
• Newsletter oder Werbe-E-Mails senden wir nicht.

5.9 Empfehlungsprogramm

• Daten: dein Einladungscode, wer wen eingeladen hat (Kontokennungen), Datum der Anmeldung, ob die Bonusbedingung erfüllt ist, gewährte Boni und Daten zur Missbrauchserkennung (Abschnitt 5.12).
• Was die einladende Person erfährt: dass sich jemand über ihren Link angemeldet hat und ob der Bonus gewährt wurde.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO; Missbrauchsschutz: Art. 6 Abs. 1 lit. f DSGVO.
• Speicherdauer: nach Gewährung des Bonus.
• Bis zu deiner Anmeldung speichert dein Browser den Einladungscode (siehe Cookies und Speicher).

5.10 Erinnerungen über Telegram-Bot und Web-Push

Telegram-Bot

• Daten: Telegram-Kennung und Chat-Kennung, deine Erinnerungseinstellungen und die Nachrichten des Bots.

• Zweck: Lern-Erinnerungen und Hinweise zu deinem Konto senden.

• Rechtsgrundlage: deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Telegram sitzt außerhalb des EWR, und für das Land gibt es keinen Angemessenheitsbeschluss der EU. Für die Übermittlung an Telegram gilt deshalb deine ausdrückliche Einwilligung (Art. 49 Abs. 1 lit. a DSGVO). Risiko: Das Datenschutzniveau kann niedriger sein als in der EU, und es gibt keine Standardvertragsklauseln mit Telegram.

• Widerruf: jederzeit mit dem Befehl /stop im Bot oder in den Einstellungen.

• Speicherdauer: bis du widerrufst oder dein Konto löschst.

Web-Push

• Daten: dein Push-Abonnement (eine technische Adresse und Schlüssel deines Browsers) und deine Einstellungen.
• Zweck: Lern-Erinnerungen auf dein Gerät senden.
• Ablauf: Mitteilungen laufen über den Push-Dienst deines Browserherstellers, zum Beispiel Google, Mozilla, Apple oder Microsoft. Diese Dienste können ihren Sitz in den USA haben. Der Inhalt der Mitteilung ist verschlüsselt.
• Rechtsgrundlage: deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG).
• Widerruf: jederzeit in den Einstellungen oder in deinem Browser.
• Speicherdauer: bis du widerrufst oder das Abonnement ungültig wird.

Erinnerungen enthalten keine Werbung.

5.11 Support und Kontakt

• Daten: deine Kontaktdaten, der Inhalt deiner Anfrage und, falls nötig, Daten aus deinem Konto.
• Zweck: deine Anfrage beantworten.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO bei Fragen zu deinem Vertrag, sonst Art. 6 Abs. 1 lit. f DSGVO (Interesse, Anfragen zu beantworten).
• Speicherdauer: bis zum Ende des dritten Kalenderjahres nach dem letzten Kontakt.

5.12 Fair Play, Sicherheit und Missbrauchsschutz

• Daten: Antwortzeiten und Antwortmuster in Ranked-Tests, technische Ereignisse während eines Tests (zum Beispiel ob die App verlassen wurde), Hinweise auf Mehrfachkonten, IP-Adresse, Nutzung des Empfehlungsprogramms und der KI-Funktionen.
• Zweck: Betrug, Mehrfachkonten und Missbrauch erkennen; faire Ranglisten sichern; Sicherheit.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse sind faire Wettbewerbe und ein sicherer Dienst. Teilweise auch Art. 6 Abs. 1 lit. b DSGVO.
• Wichtig: Wir nutzen kein Geräte-Fingerprinting. Automatische Prüfungen markieren nur Auffälligkeiten. Über Maßnahmen entscheidet ein Mensch.
• Speicherdauer:. Länger nur, wenn wir die Daten in einem konkreten Fall brauchen.

5.13 Meldungen und Beschwerden nach dem Digital Services Act

• Daten: Name und E-Mail-Adresse der meldenden Person, Inhalt der Meldung, betroffener Inhalt, unsere Entscheidung mit Begründung und deine Beschwerde.
• Zweck: Meldungen und Beschwerden bearbeiten, Entscheidungen begründen.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit Art. 16 und 17 DSA; außerdem Art. 6 Abs. 1 lit. f DSGVO.
• Speicherdauer: nach Abschluss des Falls. Länger, wenn wir die Daten für rechtliche Ansprüche brauchen.
• Bei Verdacht auf eine Straftat, die Leben oder Sicherheit von Menschen bedroht, informieren wir die zuständigen Behörden (Art. 18 DSA).

5.14 Statistik mit Cloudflare Web Analytics – nur mit Einwilligung

• Daten: aufgerufene Seiten, zuvor besuchte Seite, Browser, Betriebssystem, Land und Ladezeiten. Dafür liest ein Skript Leistungsdaten aus deinem Browser aus. Es setzt keine Cookies und verfolgt dich nicht über andere Websites. Cloudflare verarbeitet dabei deine IP-Adresse, um die Messung zu übertragen.
• Zweck: verstehen, wie KollegPass genutzt wird, und die Ladezeiten verbessern. Wir sehen nur zusammengefasste Zahlen.
• Rechtsgrundlage: deine Einwilligung (§ 25 Abs. 1 TDDDG, Art. 6 Abs. 1 lit. a DSGVO).
• Widerruf: jederzeit in den Datenschutz-Einstellungen.
• Speicherdauer:

5.15 Unsere Telegram-Community

Unsere Community auf Telegram ist ein eigenes Angebot auf der Plattform Telegram. Dort gelten die Bedingungen und die Datenschutzerklärung von Telegram und die Regeln der Community. Als Administratoren sehen wir dein öffentliches Telegram-Profil und deine Nachrichten in der Gruppe. Wir nutzen sie nur, um die Community zu betreiben und zu moderieren (Art. 6 Abs. 1 lit. f DSGVO).

5.16 Gesetzliche Pflichten und Rechtsverteidigung

Wir verarbeiten Daten auch, wenn ein Gesetz uns dazu verpflichtet (Art. 6 Abs. 1 lit. c DSGVO) oder wenn wir Rechtsansprüche geltend machen oder abwehren müssen (Art. 6 Abs. 1 lit. f DSGVO).

6. Musst du Daten angeben?

Ohne die Angaben aus der Anmeldung können wir kein Konto anlegen. Ohne Kaufdaten kannst du keinen Pass kaufen. Alle anderen Angaben, zum Beispiel echter Name, Foto oder Erinnerungen, sind freiwillig.

7. Automatisierte Auswertungen

KollegPass wertet deine Antworten automatisch aus: Punkte, Lernplan, Bereitschaftswert und KI-Feedback. Das ist Profiling im Sinne von Art. 4 Nr. 4 DSGVO. Es gibt aber keine Entscheidungen, die dir gegenüber rechtliche Wirkung haben oder dich ähnlich erheblich beeinträchtigen (Art. 22 DSGVO). Fair-Play-Prüfungen markieren nur Auffälligkeiten. Über Maßnahmen entscheidet ein Mensch.

8. Empfänger

Außerdem geben wir Daten weiter, wenn es nötig ist: an unseren EU-Vertreter, an Behörden und Gerichte, wenn wir gesetzlich dazu verpflichtet sind, und an Berater (zum Beispiel Rechtsanwälte), die zur Verschwiegenheit verpflichtet sind.

Für die synthetischen Stimmen in den Hörübungen nutzen wir ElevenLabs. Dabei geben wir keine Daten von dir weiter, weil die Audios vorab erstellt werden.

9. Übermittlung in Länder außerhalb der EU

Unser Sitz in Kirgisistan. Wir sitzen in Kirgisistan. Für Kirgisistan gibt es keinen Angemessenheitsbeschluss der EU-Kommission. Das Datenschutzniveau kann daher von dem in der EU abweichen, zum Beispiel bei Zugriffsrechten von Behörden. Weil wir KollegPass Menschen in der EU anbieten, gilt die DSGVO für uns aber vollständig (Art. 3 Abs. 2 DSGVO).

Wenn du KollegPass nutzt, gibst du deine Daten direkt an uns. Nach Auffassung des Europäischen Datenschutzausschusses ist das keine „Übermittlung“ im Sinne von Kapitel V DSGVO. Die DSGVO schützt deine Daten trotzdem in vollem Umfang.

Unsere Datenbank liegt in der EU. Unser Team in Kirgisistan greift aus der Ferne darauf zu, zum Beispiel für Support und Betrieb. Soweit dabei Daten von unseren Dienstleistern in der EU an uns übermittelt werden, nutzen wir die EU-Standardvertragsklauseln.

Dienstleister außerhalb der EU.

• USA (Cloudflare, Anthropic, Supabase-Support): Cloudflare ist nach dem EU-US Data Privacy Framework zertifiziert (Angemessenheitsbeschluss der EU-Kommission vom 10. Juli 2023). Zusätzlich und für die anderen Anbieter nutzen wir die EU-Standardvertragsklauseln.
• Singapur (Supabase): EU-Standardvertragsklauseln.
• Dodo Payments: EU-Standardvertragsklauseln.
• Telegram: deine ausdrückliche Einwilligung (Abschnitt 5.10).

Eine Kopie der Standardvertragsklauseln erhältst du auf Anfrage unter [email protected].

10. Wie lange wir Daten speichern

Wir speichern Daten nur so lange, wie wir sie für den jeweiligen Zweck brauchen. Die Fristen stehen in Abschnitt 5. Gesetzliche Aufbewahrungspflichten gehen vor. Danach löschen oder anonymisieren wir die Daten. Sicherungskopien werden nach spätestens Tagen überschrieben.

11. Deine Rechte

• Auskunft über deine Daten (Art. 15 DSGVO),
• Berichtigung falscher Daten (Art. 16 DSGVO),
• Löschung (Art. 17 DSGVO),
• Einschränkung der Verarbeitung (Art. 18 DSGVO),
• Datenübertragbarkeit (Art. 20 DSGVO),
• Widerruf einer Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO).

Viele Rechte kannst du direkt in der App nutzen: Daten herunterladen, Profil ändern, Konto löschen. Sonst schreib an [email protected]. Damit keine fremde Person an deine Daten kommt, können wir dich bitten, dich zu identifizieren, zum Beispiel über eine Anmeldung in deinem Konto.

Widerspruchsrecht (Art. 21 DSGVO)
Wenn wir Daten auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO verarbeiten (berechtigtes Interesse), kannst du aus Gründen, die sich aus deiner besonderen Situation ergeben, jederzeit widersprechen. Wir verarbeiten die Daten dann nicht mehr, es sei denn, wir haben zwingende schutzwürdige Gründe, die deine Interessen überwiegen, oder die Verarbeitung dient Rechtsansprüchen. Schreib dazu an [email protected].

12. Beschwerde bei einer Aufsichtsbehörde

Du kannst dich bei jeder Datenschutz-Aufsichtsbehörde beschweren, besonders in dem EU-Staat, in dem du lebst oder arbeitest oder in dem der Verstoß stattgefunden hat. Eine Liste der Behörden findest du beim Europäischen Datenschutzausschuss.

13. Minderjährige

• KollegPass darf man ab 16 Jahren nutzen. Mit 16 oder 17 Jahren brauchst du die Zustimmung deiner Eltern.
• Pässe kann man erst ab 18 Jahren kaufen.
• Erfahren wir, dass jemand unter 16 Jahren ein Konto hat, löschen wir es.
• Für Nutzerinnen und Nutzer unter 18 Jahren ist die Anzeige von echtem Namen und Foto in Ranglisten nicht möglich.
• Die KI-Funktionen haben zusätzliche Schutzmaßnahmen für junge Menschen (siehe KI-Hinweise).

14. Datensicherheit

Wir schützen deine Daten mit technischen und organisatorischen Maßnahmen, zum Beispiel: verschlüsselte Übertragung (TLS), verschlüsselte Speicherung, Zugriff nur für Personen, die ihn brauchen, Zwei-Faktor-Anmeldung für unser Team, Protokollierung, regelmäßige Sicherungskopien und pseudonyme Anfragen an den KI-Anbieter. Absolute Sicherheit gibt es im Internet nicht. Bei einer Datenpanne informieren wir die Behörden und dich, wenn das Gesetz es verlangt.

15. Cookies und ähnliche Technologien

Welche Daten auf deinem Gerät gespeichert werden und wofür, steht in den Hinweisen zu Cookies und Speicher.

16. Änderungen

Wir passen diese Datenschutzerklärung an, wenn sich KollegPass oder die Rechtslage ändert. Über wichtige Änderungen informieren wir dich in der App. Die aktuelle Fassung findest du immer auf kollegpass.de.