Datenschutzerklärung von NanoKids

1. Verantwortlicher

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:
Web Nano – IT Solutions, Inh. Jozef Nano
Steinbach 8b, 84329 Wurmannsquick, Deutschland
E-Mail: info@web-nano.com

Ein Datenschutzbeauftragter ist aufgrund der Betriebsgröße gesetzlich nicht bestellungspflichtig (§ 38 BDSG). Für Anfragen zum Datenschutz wenden Sie sich bitte direkt an die oben genannte E-Mail-Adresse.

2. Hosting

Diese Website sowie die NanoKids-Anwendung (Web-App, API, Datenbank) werden auf einem eigenen, von uns betriebenen Server gehostet, den wir bei folgendem Anbieter anmieten:
netcup GmbH, Emmy-Noether-Straße 10, 76131 Karlsruhe, Deutschland.
Der Server steht in einem Rechenzentrum in Deutschland. Mit netcup GmbH besteht ein Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO. Es findet dadurch keine Übermittlung eurer Daten in Drittländer außerhalb der EU statt, soweit nicht in dieser Erklärung ausdrücklich für einzelne Dienste (z. B. Zahlungsabwicklung, Anmeldung über Google/Facebook, reCAPTCHA) etwas anderes angegeben ist.

3. Grundsatz: Datenminimierung, besonders bei Kindern

NanoKids richtet sich an Kinder von ca. 6–10 Jahren. Kinderprofile werden ausschließlich von einem Elternteil angelegt und verwaltet; Kinder benötigen keine eigene E-Mail-Adresse und registrieren sich nicht selbst. Der Vertragspartner und Verantwortliche für die Einwilligung zur Verarbeitung der Daten des Kindes ist stets das registrierende, sorgeberechtigte Elternteil – nicht das Kind selbst. Eine eigene Einwilligungserklärung des Kindes im Sinne von Art. 8 DSGVO wird daher nicht eingeholt, da kein Vertrag über einen Informationsgesellschaftsdienst direkt mit dem Kind zustande kommt. Wir erheben für Kinderprofile nur, was für den Lernbetrieb notwendig ist: einen frei wählbaren Spitznamen, optional das Geburtsjahr (kein vollständiges Geburtsdatum), die Klassenstufe, einen Avatar sowie Lernfortschrittsdaten. Es gibt keine öffentlichen Kinderprofile, keine Kinder-Chats und keine Kommunikation zwischen Kindern.

4. Welche Daten wir verarbeiten

Elternkonto: E-Mail-Adresse, Vor- und Nachname, Passwort (als Hash, niemals im Klartext gespeichert), Registrierungs- und Login-Zeitpunkte, Abonnementstatus. Bei Anmeldung über Google oder Facebook (siehe Abschnitt 8) zusätzlich: Name, E-Mail-Adresse und eine anbieterseitige Nutzerkennung. Aktiviert ihr die optionale Zwei-Faktor-Authentifizierung (2FA), speichern wir zusätzlich das dafür benötigte TOTP-Geheimnis.
Interne Nutzungsstatistik: zu einzelnen Aktionen (z. B. Registrierung, Anlage eines Kinderprofils, Start/Abschluss einer Lernmission, Abo-Änderungen) speichern wir intern ein Ereignis mit Zeitstempel, der zugehörigen Nutzer- bzw. Kinderprofil-Kennung und wenigen technischen Zusatzangaben. Diese Daten verlassen unsere eigene Infrastruktur nicht und werden an keine Dritten weitergegeben.
Kinderprofile: Spitzname, optionales Geburtsjahr, Klassenstufe, Avatar, optionale 4-stellige PIN (als Hash) zum Wechseln zwischen Geschwisterprofilen, Lernfortschritt (z. B. Kompetenzwerte pro Thema, gespielte Missionen).
Technische Daten: Session-Cookie (siehe Abschnitt 7), IP-Adresse und Zeitstempel in serverseitigen Logs zur Angriffserkennung und Fehlersuche (kurzfristig gespeichert, ohne Klartext-Lerninhalte von Kindern).
Zahlungsdaten: Bei Abschluss eines Family-Abonnements verarbeitet unser Zahlungsdienstleister Stripe die Zahlungsdaten (siehe Abschnitt 9); wir selbst erhalten und speichern keine vollständigen Zahlungsdaten (z. B. keine Kreditkartennummern).

5. Zwecke und Rechtsgrundlagen

Wir verarbeiten personenbezogene Daten zu folgenden Zwecken und auf folgenden Rechtsgrundlagen:

• Bereitstellung der Lernplattform, Verwaltung von Eltern- und Kinderprofilen, Personalisierung des Lernfortschritts und Kommunikation mit dem Elternkonto (Bestätigungs-, Passwort- und ggf. Wochenbericht-E-Mails): Erfüllung des Nutzungsvertrags mit dem Elternteil (Art. 6 Abs. 1 lit. b DSGVO).
• Abrechnung des Family-Abonnements: Erfüllung des Vertrags (Art. 6 Abs. 1 lit. b DSGVO) sowie Erfüllung handels- und steuerrechtlicher Aufbewahrungspflichten (Art. 6 Abs. 1 lit. c DSGVO).
• IT-Sicherheit, Missbrauchs- und Betrugsprävention (u. a. Rate-Limiting, reCAPTCHA, Server-Logs): berechtigtes Interesse an einem sicheren, störungsfreien Betrieb der Plattform (Art. 6 Abs. 1 lit. f DSGVO).
• Anmeldung über Google oder Facebook, sofern von euch gewählt: Erfüllung des Nutzungsvertrags (Art. 6 Abs. 1 lit. b DSGVO).
• Interne Nutzungsstatistik zur Weiterentwicklung und technischen Verbesserung der Plattform (z. B. welche Funktionen genutzt werden): berechtigtes Interesse an der Produktverbesserung (Art. 6 Abs. 1 lit. f DSGVO).

6. Registrierung und Anmeldung mit E-Mail-Adresse

Bei der Registrierung mit E-Mail-Adresse und Passwort verarbeiten wir die von euch angegebenen Daten zur Erstellung und Verwaltung eures Elternkontos. Das Passwort wird ausschließlich als Hash (Argon2id) gespeichert und ist für uns nicht im Klartext einsehbar. Zur Bestätigung der E-Mail-Adresse versenden wir eine automatische E-Mail mit einem zeitlich begrenzten Bestätigungslink.

7. Cookies

Wir selbst setzen ausschließlich ein technisch notwendiges Session-Cookie zur Anmeldung des Elternkontos ein (httpOnly, im Produktivbetrieb ausschließlich über verschlüsselte Verbindungen übertragen) — keine Werbe- oder Tracking-Cookies. Schriftarten werden serverseitig eingebunden (next/font) und beim Aufruf der Seite nicht von Google-Servern nachgeladen. Nutzt ihr optionale Funktionen wie die Anmeldung über Google/Facebook (Abschnitt 8) oder ist der Bot-Schutz reCAPTCHA aktiv (Abschnitt 9), können diese Anbieter zusätzlich eigene Cookies setzen — Details dazu in den jeweiligen Abschnitten. Für unser eigenes, rein technisch notwendiges Cookie ist gemäß § 25 Abs. 2 TDDDG keine Einwilligung über einen Cookie-Banner erforderlich; wir weisen euch dennoch beim ersten Besuch informativ darauf hin.

8. Anmeldung über Google oder Facebook (Social Login)

Anstelle der Registrierung mit E-Mail-Adresse und Passwort könnt ihr euch optional über euer Google- oder Facebook-Konto anmelden. Wählt ihr diese Option, werdet ihr auf die Seite des jeweiligen Anbieters weitergeleitet und meldet euch dort mit euren Zugangsdaten an. Wir erhalten von Google bzw. Facebook anschließend nur die zur Kontoerstellung notwendigen Daten (Name, E-Mail-Adresse, eine anbieterseitige Nutzerkennung) – niemals euer Passwort beim jeweiligen Anbieter. Rechtsgrundlage ist die Erfüllung des Nutzungsvertrags (Art. 6 Abs. 1 lit. b DSGVO).

Anbieter sind Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland (Datenschutzerklärung: policies.google.com/privacy) sowie Meta Platforms Ireland Limited, 4 Grand Canal Square, Grand Canal Harbour, Dublin 2, Irland (Datenschutzerklärung: facebook.com/privacy/policy). Für die Verarbeitung eurer Daten durch Google bzw. Meta im Rahmen des Anmeldevorgangs sind diese Anbieter jeweils eigenständig verantwortlich.

9. Google reCAPTCHA

Zum Schutz der Registrierung und Anmeldung vor automatisierten Zugriffen (Bots, Massenregistrierungen) setzen wir Google reCAPTCHA v3 der Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland, ein. reCAPTCHA v3 arbeitet unsichtbar im Hintergrund, ohne dass ihr ein Bild- oder Texträtsel lösen müsst, und analysiert dafür bestimmte Verhaltensmerkmale (u. a. IP-Adresse, Mausbewegungen, Verweildauer). Rechtsgrundlage ist unser berechtigtes Interesse an der Sicherheit unserer Plattform und der Verhinderung von Missbrauch (Art. 6 Abs. 1 lit. f DSGVO). Dabei können Daten auch an Server von Google in die USA übermittelt werden; Google ist nach eigenen Angaben unter dem EU-U.S. Data Privacy Framework zertifiziert. Weitere Informationen findet ihr in der Datenschutzerklärung von Google (siehe Abschnitt 8) sowie unter policies.google.com/privacy.

10. Zahlungsabwicklung über Stripe

Für kostenpflichtige Abonnements (NanoKids Family) nutzen wir den Zahlungsdienstleister Stripe Payments Europe, Limited, 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, Irland ("Stripe"). Bei Abschluss eines Abonnements werden eure Zahlungsdaten (z. B. Kreditkartendaten) direkt von Stripe verarbeitet; diese Daten laufen nicht über unsere eigenen Server. Wir erhalten von Stripe lediglich den Abonnementstatus sowie zur Rechnungsstellung notwendige Angaben. Rechtsgrundlage ist die Erfüllung des Vertrags über das Family-Abonnement (Art. 6 Abs. 1 lit. b DSGVO). Stripe kann Daten auch in die USA übermitteln; Stripe ist nach eigenen Angaben unter dem EU-U.S. Data Privacy Framework zertifiziert. Weitere Informationen enthält die Datenschutzerklärung von Stripe: stripe.com/de/privacy.

11. Transaktions-E-Mails

Zum Versand notwendiger Systemmails (Registrierungsbestätigung, Passwort-zurücksetzen, optionale Wochenberichte) nutzen wir den E-Mail-Versand folgenden Anbieters:
ALL-INKL.COM – Neue Medien Münnich, Inh. René Münnich, Hauptstraße 68, 02742 Friedersdorf, Deutschland.
Mit ALL-INKL.COM besteht ein Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO. Es findet kein Einsatz von Tracking-Pixeln oder Öffnungs-/Klick-Tracking in diesen E-Mails statt. Rechtsgrundlage ist die Erfüllung des Nutzungsvertrags (Art. 6 Abs. 1 lit. b DSGVO).

12. Optionale KI-Funktionen

Bestimmte Funktionen (z. B. abwechslungsreiche Aufgabenformulierungen, Elternberichte) können optional einen externen KI-Anbieter nutzen. Voreingestellt ist dafür Mistral AI, dessen Server sich in der EU (Paris, Frankreich) befinden — in dieser Standardkonfiguration findet keine Übermittlung in ein Drittland außerhalb der EU/des EWR statt. Ist ein KI-Anbieter aktiv konfiguriert, werden dafür ausschließlich die für die jeweilige Anfrage notwendigen, auf ein Minimum reduzierten Textinhalte übermittelt – niemals Namen, E-Mail-Adressen oder andere direkt identifizierende Daten von Eltern oder Kindern. Von der KI erzeugte Inhalte werden serverseitig geprüft, bevor sie einem Kind angezeigt werden. Rechtsgrundlage ist unser berechtigtes Interesse an der Weiterentwicklung kindgerechter Lerninhalte (Art. 6 Abs. 1 lit. f DSGVO). Die technische Schnittstelle erlaubt grundsätzlich einen Wechsel des Anbieters; würden wir dabei künftig einen Anbieter außerhalb der EU/des EWR einsetzen, aktualisieren wir diese Erklärung entsprechend, bevor eine solche Übermittlung stattfindet. Ohne konfigurierten KI-Anbieter funktioniert NanoKids vollständig mit einer regelbasierten Alternative ohne Beteiligung eines externen KI-Dienstes.

13. Speicherdauer

Wir speichern Konto- und Kinderprofildaten, solange das Elternkonto besteht. Nach Löschung des Elternkontos werden das Konto und alle zugehörigen Kinderprofile inklusive Lernfortschritt unverzüglich und unwiderruflich gelöscht. Ausgenommen hiervon sind Rechnungs- und Buchungsunterlagen zu kostenpflichtigen Abonnements, die wir aufgrund handels- und steuerrechtlicher Aufbewahrungspflichten (§ 257 HGB, § 147 AO) bis zu zehn Jahre nach Vertragsende aufbewahren müssen. Server-Logs zur Angriffserkennung werden automatisiert nach kurzer Zeit (in der Regel innerhalb von 30 Tagen) gelöscht oder anonymisiert.

14. Eure Rechte

Ihr habt nach der DSGVO folgende Rechte bezüglich eurer personenbezogenen Daten und der Daten eurer Kinderprofile:

• Recht auf Auskunft (Art. 15 DSGVO)
• Recht auf Berichtigung (Art. 16 DSGVO)
• Recht auf Löschung (Art. 17 DSGVO)
• Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Recht auf Datenübertragbarkeit (Art. 20 DSGVO)
• Recht auf Widerspruch gegen eine auf berechtigtem Interesse beruhende Verarbeitung (Art. 21 DSGVO)

Konto- und Kinderprofil-Löschung könnt ihr jederzeit selbst im Eltern-Dashboard unter „Einstellungen" auslösen. Für weitere Anfragen wendet euch an info@web-nano.com.

15. Beschwerderecht bei einer Aufsichtsbehörde

Ihr habt das Recht, euch bei einer Datenschutzaufsichtsbehörde über die Verarbeitung eurer personenbezogenen Daten durch uns zu beschweren. Die für unseren Firmensitz zuständige Aufsichtsbehörde ist:
Bayerisches Landesamt für Datenschutzaufsicht (BayLDA)
Promenade 27, 91522 Ansbach
www.lda.bayern.de

16. Änderungen dieser Datenschutzerklärung

Wir passen diese Datenschutzerklärung an, sobald sich die rechtlichen Rahmenbedingungen oder unsere Verarbeitung personenbezogener Daten ändern. Es gilt jeweils die zum Zeitpunkt eures Besuchs aktuelle, auf dieser Seite veröffentlichte Fassung.

17. Kontakt Datenschutz

Jozef Nano, info@web-nano.com