Datenschutz

Kurz gesagt

Shoot2Learn braucht so wenig von dir wie möglich. Du fotografierst eine Vokabelseite, wir lesen die Wörter heraus und machen daraus dein Lernspiel. Das Foto wird gelöscht, sobald du die Wörter bestätigt hast – spätestens aber nach 24 Stunden.

Dein Konto besteht nur aus einem Phantasienamen und einem Passwort. Wir fragen nicht nach deiner E-Mail-Adresse, deinem echten Namen oder deinem Geburtsdatum – wir wissen also nicht, wer du bist. Dazu speichern wir deinen Lernfortschritt, damit die App weiß, was du wann wiederholen solltest. Es gibt keine Werbung, kein Tracking, keine Weitergabe an Werbefirmen und keine Analyse-Dienste von Dritten.

Weil wir keine E-Mail-Adresse haben, können wir dein Passwort nicht zurücksetzen. Speichere es deshalb im Passwort-Manager deines Geräts – Snappi erinnert dich beim Anlegen daran.

Nutzername und Passwort brauchen wir, sonst gibt es kein Konto. Alles andere ist freiwillig.

Du kannst dein Konto jederzeit in der App oder auf shoot2learn.de/konto-loeschen löschen – dann ist alles sofort weg. Bist du unter 16, lies das hier mit einem Elternteil – beim Anlegen bestätigt ihr, dass ihr das gemeinsam gemacht habt.

1. Wer ist verantwortlich?

Verantwortlich für die Verarbeitung deiner Daten in der App Shoot2Learn und auf dieser Website ist:

DR-IT (DRNS), Inhaber Robert Dietrich
Ährenflur 5
54329 Konz, Deutschland
E-Mail: shoot2learn@drns.de

Bei Fragen zum Datenschutz schreib uns einfach an diese Adresse. Einen Datenschutzbeauftragten müssen wir nicht benennen; Ansprechpartner ist der Inhaber Robert Dietrich.

2. Welche Daten verarbeiten wir?

2.1 Dein Konto

Um Decks und Lernfortschritt auf deinem Gerät zu sichern und zu synchronisieren, legst du ein Konto an. Dafür speichern wir:

• Nutzername – ein Phantasiename, den du dir selbst ausdenkst. Er ist zugleich dein Anzeigename in der App und soll nicht dein echter Name sein. Der Nutzername ist ein Pseudonym: Wir können daraus nicht ableiten, wer du bist.
• Passwort – nur als Hash (bcrypt). Wir können dein Passwort nicht lesen und auch nicht zurücksetzen (siehe Abschnitt 7).
• Rolle (Kind, Eltern oder Lehrkraft) – wählst du beim Start, änderbar im Profil. Sie steuert nur, welche Funktionen du siehst (z. B. das Teilen von Decks); Kinder-Konten sehen nie Kaufknöpfe. In Kinder-Konten liegen die Eltern- und Lehrkraft-Rolle, der Rollenwechsel und Links nach draußen hinter einer Elternschranke (eine kleine Rechenaufgabe).
• Eltern-Bestätigung (nur Kinder-Konten) – beim Anlegen fragt die App „Bist du schon 16?“. Antwortest du mit Nein, bestätigt ihr mit einem Pflicht-Häkchen: „Ein Elternteil hat das hier mit mir gelesen und sagt: OK.“ Wir speichern nur den Zeitpunkt dieser Bestätigung – kein Alter, kein Geburtsdatum, keine Daten deiner Eltern (Abschnitt 6).
• Sprache, Zeitzone, Tagesziel – Einstellungen für die App.
• Zeitpunkt, zu dem du die Nutzungsbedingungen akzeptiert hast – das Häkchen beim Anlegen des Kontos (bei Kinder-Konten: „Ich habe das gelesen und bin mit den Regeln einverstanden.“).

Pflicht oder freiwillig? Nutzername und Passwort brauchen wir, sonst gibt es kein Konto. Alles andere ist freiwillig – Rolle und Einstellungen kannst du jederzeit ändern.

Was wir nicht erheben: keine E-Mail-Adresse, keinen echten Namen, kein Geburtsdatum, keine Telefonnummer, keine Daten deiner Eltern. Ohne dein Passwort können wir ein Konto deshalb niemandem zuordnen – auch dir nicht (Art. 11 DSGVO).

2.2 Dein Lernfortschritt

Deine Decks und Wörter (Begriff, Übersetzung, Beispielsatz), deine Antworten in Lektionen, der Wiederholungsplan je Wort (wann es wieder dran ist), XP, Level, Streak und die Tage, an denen du gelernt hast. Ohne diese Daten funktioniert die App nicht – sie sind der Sinn der Sache.

2.3 Fotos

Wenn du eine Seite scannst, lädt die App das Foto (1–6 Seiten je Scan) auf unseren Server. Dort wird es von einem KI-Modell ausgewertet, das die Wörter herausliest. Danach prüfst du die Liste.

• Das Foto wird sofort gelöscht, sobald du die Prüfliste bestätigst.
• Bestätigst du nicht, löscht ein Aufräumjob das Foto spätestens 24 Stunden nach dem Hochladen.
• Wir nutzen Fotos nie zum Trainieren von KI-Modellen und haben das auch bei unserem KI-Anbieter abgeschaltet (Abschnitt 4). Fotos tauchen nicht in Protokollen auf; eine Funktion „Foto behalten“ gibt es bewusst nicht.
• Der Scan-Eintrag selbst (ohne Bild, nur Status und erkannte Wörter) bleibt bis zu 7 Tage, damit du eine abgebrochene Prüfliste wieder öffnen kannst.

Bitte fotografiere nur Lernmaterial – keine Personen, Ausweise oder anderen privaten Dinge. Steht auf der Seite dein Name oder etwas Privates, deck es ab, bevor du fotografierst. Vor dem ersten Scan zeigt die App einen Hinweis, dass ein KI-Modell das Foto auswertet; den bestätigst du einmal.

2.4 Kamera, Mikrofon und Sprechen

Für Scans braucht die App Zugriff auf deine Kamera; die Berechtigung dafür erteilst du einmal in der Systemabfrage deines Geräts – das ist nur die technische Voraussetzung, das Foto selbst werten wir zur Erfüllung des Nutzungsvertrags aus (Abschnitt 3). Bei Sprechübungen nutzt die App die Spracherkennung deines Geräts (iOS bzw. Android). Die Erkennung läuft auf dem Gerät oder beim Betriebssystem-Anbieter nach dessen Regeln – an uns wird kein Ton übertragen. Nur der erkannte Text (dein gesprochener Satz als Schrift) geht zur Bewertung an unseren Server, wie bei einer getippten Antwort. Beides kannst du in den Geräteeinstellungen jederzeit wieder abschalten; dann sind Scannen bzw. Sprechübungen nicht möglich, alles andere geht weiter.

2.5 Geteilte Decks (Freigabe-Links)

Teilst du ein Deck per Link oder QR-Code (shoot2learn.de/d/…), kann jeder mit dem Link den Titel, die Anzahl der Wörter und fünf Beispielwörter sehen; wer in der App angemeldet ist, sieht zusätzlich deinen Nutzernamen. Übernimmt jemand das Deck, bekommt er eine eigene Kopie ohne Verbindung zu dir und ohne deinen Lernfortschritt. Du kannst den Link jederzeit in der App zurückziehen. Lehrkräfte sehen keine Daten der Schülerinnen und Schüler, die ein Deck übernommen haben.

2.6 Shoot2Learn Plus (In-App-Kauf)

Eltern und Lehrkräfte können das Abo „Shoot2Learn Plus“ (1,99 € im Monat) abschließen, um Decks zu teilen. Der Kauf läuft vollständig über Apple (App Store) bzw. Google (Google Play): Der Store wickelt die Zahlung ab und wendet dabei seine eigenen Datenschutzregeln an. Wir erhalten keine Zahlungsdaten – weder Kartennummer noch Bankverbindung noch Rechnungsadresse.

Damit wir Plus in deinem Konto freischalten können, prüfen wir den Kaufbeleg beim Store und speichern:

• Store und Transaktions-ID (die vom Store vergebene Kennung des Abos),
• Produkt (Shoot2Learn Plus, monatlich),
• Laufzeit (Beginn, Ablaufdatum, ob automatisch verlängert wird) und
• Status (aktiv, abgelaufen, erstattet).

Der Store informiert uns über Verlängerungen, Kündigungen und Erstattungen, damit die Freischaltung stimmt. Kinder-Konten sehen kein Abo und keine Kaufaufforderung. Mehr zum Abo steht in den Nutzungsbedingungen.

2.7 Technische Daten

• Anmelde-Token je Gerät (mit Gerätename, z. B. „iPhone von Lea“ oder „Website“), damit du angemeldet bleibst. Ein Token gilt 90 Tage nach seiner letzten Nutzung (jede Nutzung verlängert ihn) und wird spätestens mit dem Konto gelöscht. Du kannst Geräte in der App abmelden.
• Server-Protokolle mit IP-Adresse, Zeitpunkt, aufgerufener Adresse und Statuscode – zur Fehlersuche und zum Schutz vor Angriffen. Sie enthalten keine Fotos, keine Passwörter und keine Lerninhalte und werden nach 14 Tagen gelöscht.
• Schutz vor Missbrauch: Anmeldeversuche und Uploads werden je IP-Adresse bzw. Konto kurzzeitig gezählt (z. B. höchstens 10 Anmeldeversuche pro Minute). Diese Zähler verfallen nach wenigen Minuten.

Was wir nicht tun: keine Werbe-IDs (IDFA/GAID), kein Tracking über Apps oder Websites hinweg, keine Analyse- oder Crash-Dienste von Drittanbietern, keine Standortdaten, keine Kontakte. Diese Website setzt keine Cookies und lädt keine Inhalte von fremden Servern.

2.8 Vorlesen (Sprachausgabe)

Damit Snappi Wörter und Beispielsätze mit einer natürlichen Stimme vorliest, schickt die App den vorzulesenden Lerntext (z. B. „to go. Simple Past: went.“) an unseren Server. Kennt der Server diesen Text schon, spielt er die gespeicherte Audiodatei ab. Sonst lässt er sie einmal von einem Sprachdienst erzeugen (Abschnitt 4). Dabei wird nur der Lerntext übertragen – keine Konto- oder Gerätedaten, nicht dein Nutzername und keine Aufnahme deiner Stimme. Die erzeugten Audiodateien speichern wir auf unserem Server und verwenden sie für alle wieder, die denselben Text hören; sie gehören zu keinem Konto. Für Sprachen ohne passende Stimme (z. B. Luxemburgisch, Latein) liest die Stimme deines Geräts vor.

3. Wofür und auf welcher Grundlage?

Das Konto beruht also auf dem Nutzungsvertrag, den du beim Anlegen schließt (das Häkchen, mit dem du die Nutzungsbedingungen akzeptierst) – nicht auf einer Einwilligung, die du widerrufen müsstest. Willst du die Verarbeitung beenden, löschst du das Konto (Abschnitt 8).

Wir treffen keine automatisierten Entscheidungen mit rechtlicher Wirkung über dich und erstellen keine Profile für Werbung. Die KI bewertet nur, ob eine Antwort richtig ist – das sieht nur du.

4. Wer bekommt deine Daten?

Wir verkaufen keine Daten und geben sie nicht an Werbefirmen weiter. Für den Betrieb helfen uns drei Dienstleister, die nur auf unsere Anweisung handeln (Auftragsverarbeiter nach Art. 28 DSGVO) und mit denen entsprechende Verträge bestehen:

• Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland – Hosting des Servers und der Datenbank im Rechenzentrum Nürnberg. Alle Daten liegen in Deutschland.
• Mistral AI (Mistral AI SAS), Paris, Frankreich – KI-Modelle für die Bildauswertung (Wörter aus dem Foto lesen) und für die Bewertung von Satzantworten. Das Foto bzw. der Satz wird nur für diese eine Anfrage übertragen; Mistral verarbeitet unsere Anfragen nach eigener Angabe auf Servern in der EU (Schweden). Mistral kann das Foto bis zu 30 Tage zur Missbrauchskontrolle aufbewahren, danach ist es dort gelöscht. Nach Mistrals Vertragsbedingungen dürfen Daten aus API-Anfragen zum Training der Modelle genutzt werden, sofern der Kunde nicht widerspricht – wir haben in unserem Mistral-Konto die Nutzung zum Training abgeschaltet.
• Microsoft Azure AI Speech (Microsoft Ireland Operations Ltd., One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, Irland) – erzeugt die Sprachausgabe (Abschnitt 2.8). Übertragen wird nur der vorzulesende Lerntext (Vokabeln, Beispielsätze), keine Konto- oder Gerätedaten. Microsoft verarbeitet die Anfrage in der Region Deutschland West-Mitte (Frankfurt am Main) und schickt die Audiodatei zurück; gespeichert wird sie danach nur auf unserem Server.

Bei Sprechübungen verarbeitet außerdem der Anbieter deines Betriebssystems (Apple bzw. Google) deine Sprache nach dessen Datenschutzregeln – das passiert auf deinem Gerät und nicht in unserem Auftrag.

Beim Plus-Abo ist Apple bzw. Google eigenständig verantwortlich für die Zahlungsabwicklung; wir fragen dort nur den Status des Abos ab (Belegprüfung, Benachrichtigungen über Verlängerung oder Erstattung).

Deine Daten liegen bei Hetzner in Deutschland und werden für KI-Anfragen bei Mistral in Schweden und für die Sprachausgabe bei Microsoft in Deutschland verarbeitet; andere Auftragsverarbeiter haben wir nicht. Solange das so bleibt, findet keine Übermittlung in Länder außerhalb der EU bzw. des EWR statt – wechseln wir einen Dienstleister, passen wir diese Hinweise vorher an (Abschnitt 10). Wohnst du in der Schweiz: Die Staaten, in die wir Daten bekanntgeben, sind Deutschland und Schweden; beide bieten nach Schweizer Recht einen angemessenen Datenschutz. Behörden erhalten Daten nur, wenn wir gesetzlich dazu verpflichtet sind.

5. Wie lange speichern wir?

6. Kinder und Eltern

Shoot2Learn ist für Schülerinnen und Schüler gemacht; ein festes Mindestalter gibt es nicht. Bist du unter 16, lies das hier mit einem Elternteil. Beim Anlegen eines Kinder-Kontos fragt die App „Bist du schon 16?“. Antwortest du mit Nein, bestätigt ihr mit einem Pflicht-Häkchen, dass ihr das gemeinsam gemacht habt: „Ein Elternteil hat das hier mit mir gelesen und sagt: OK.“ Ohne diese Bestätigung wird kein Konto angelegt. Wir speichern nur den Zeitpunkt – kein Alter, kein Geburtsdatum, keine Daten deiner Eltern. Erfahren wir, dass ein Konto unter 16 ohne ein Elternteil angelegt wurde, löschen wir es.

Dein Konto beruht auf dem Nutzungsvertrag (Abschnitt 3), nicht auf einer Einwilligung. Die Eltern-Bestätigung verlangen wir trotzdem, damit niemand unter 16 ohne seine Eltern ein Konto anlegt – und damit ihr das Passwort gemeinsam im Passwort-Manager des Geräts speichert. In Kinder-Konten gibt es keine Kaufknöpfe; Shoot2Learn Plus dürfen nur Erwachsene abschließen. Die Eltern- und Lehrkraft-Rolle, der Rollenwechsel und Links nach draußen liegen in Kinder-Konten hinter einer Elternschranke (Rechenaufgabe).

Wir erheben keine Daten von Eltern – auch keine E-Mail-Adresse, um die Bestätigung zu prüfen. Das ist Absicht: So wenig Daten wie möglich, und ein Kinder-Konto verrät nichts über das Kind oder die Familie.

Eltern: Weil ein Konto nur aus Phantasiename und Passwort besteht, können wir es weder euch noch eurem Kind zuordnen. Alles, was zum Konto gespeichert ist, seht ihr gemeinsam mit eurem Kind in der App (Profil, Decks, Lernstand); löschen könnt ihr es dort unter Profil → Konto löschen oder auf shoot2learn.de/konto-loeschen – beides mit dem Passwort. Bei Fragen schreibt uns an shoot2learn@drns.de.

7. Deine Rechte

Du hast gegenüber uns das Recht auf

• Auskunft, welche Daten wir über dich gespeichert haben (Art. 15),
• Berichtigung falscher Daten (Art. 16) – Nutzername und Einstellungen änderst du direkt in der App,
• Löschung (Art. 17) – am schnellsten über die Kontolöschung (Abschnitt 8),
• Einschränkung der Verarbeitung (Art. 18),
• Datenübertragbarkeit (Art. 20) – auf Anfrage bekommst du deine Decks und deinen Lernfortschritt als maschinenlesbare Datei,
• Widerspruch gegen Verarbeitungen, die auf unserem berechtigten Interesse beruhen (Art. 21).

Kamera- und Mikrofonzugriff kannst du jederzeit in den Geräteeinstellungen abschalten; dann sind Scannen bzw. Sprechübungen nicht mehr möglich, alles andere geht weiter.

Wichtig: Wir speichern keine E-Mail-Adresse und keinen echten Namen. Weil wir dich nur über Nutzername und Passwort zuordnen können (Art. 11 Abs. 2, Art. 12 Abs. 2 und 6 DSGVO), übst du deine Rechte über dein Konto aus – die Anmeldung ist dabei der Nachweis, dass es dein Konto ist. Schreibst du uns nur eine E-Mail, können wir nicht prüfen, welches Konto deins ist – und dürfen dann keine Daten herausgeben oder löschen. Deine Rechte übst du darum direkt über dein Konto aus: Auskunft über deine Konto- und Lerndaten bekommst du in der App (Profil, Decks, Lernstand) – was wir darüber hinaus verarbeiten, steht vollständig in Abschnitt 2; Berichtigung über das Profil, Löschung über die Kontolöschung (Abschnitt 8). Für Datenübertragbarkeit, Einschränkung oder Widerspruch schreib uns an shoot2learn@drns.de – wir besprechen dann mit dir, wie du dich als Kontoinhaber nachweist (zum Beispiel über eine Anmeldung in der App), ohne dass wir dafür neue Daten über dich anlegen müssen.

Hast du dein Passwort verloren, können wir das Konto niemandem mehr zuordnen. Es enthält dann nur noch einen Phantasienamen, einen Passwort-Hash, Decks und Lernstand – nichts, was dich identifiziert.

Außerdem kannst du dich bei einer Datenschutz-Aufsichtsbehörde beschweren, zum Beispiel bei der für uns zuständigen Behörde: der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Rheinland-Pfalz, Hintere Bleiche 34, 55116 Mainz (datenschutz.rlp.de) – oder bei der Behörde an deinem Wohnort.

8. Konto löschen

Du kannst dein Konto jederzeit selbst löschen:

• In der App: Profil → Konto löschen, Passwort eingeben, bestätigen.
• Ohne App: auf shoot2learn.de/konto-loeschen mit Nutzername und Passwort.

Konto, Decks, Lernfortschritt, Anmelde-Token, Abo-Daten und noch vorhandene Fotos werden dabei sofort und endgültig gelöscht – ohne Wartefrist und ohne Kopie. Nur Server-Protokolle laufen noch bis zu 14 Tage nach, dann sind auch sie weg. Ein laufendes Plus-Abo kündigst du vorher im Store – das Löschen des Kontos beendet es nicht.

Beide Wege brauchen dein Passwort. Ohne Passwort können wir ein Konto nicht zuordnen und deshalb auch nicht löschen (Abschnitt 7) – es gibt keinen Passwort-Reset.

9. Sicherheit

Alle Verbindungen sind verschlüsselt (TLS). Passwörter werden nur als bcrypt-Hash gespeichert, Anmelde-Token nur als SHA-256-Prüfsumme. Weil es keinen Passwort-Reset gibt, ist dein Passwort der einzige Schlüssel zu deinem Konto: Speichere es im Passwort-Manager deines Geräts. Jeder Zugriff ist an dein Konto gebunden; fremde Decks sind nicht erreichbar. Fotos liegen auf einem Speicher, auf den nur der Server zugreift, und werden wie beschrieben kurzfristig gelöscht.

10. Änderungen

Wenn sich die App ändert, passen wir diese Hinweise an. Die jeweils aktuelle Fassung findest du hier und in der App. Bei wesentlichen Änderungen informieren wir dich in der App, bevor sie gelten.