Datenschutzerklärung

1. Verantwortlicher

Julian Karlbauer
Schuhstraße 37, 91052 Erlangen, Deutschland
E-Mail: julian@karlbauer.org

Einen Datenschutzbeauftragten gibt es nicht (nicht erforderlich nach § 38 BDSG).

2. Hosting

Die Seite läuft auf einem Server der Hetzner Online GmbH (Industriestr. 25, 91710 Gunzenhausen) im Rechenzentrum Helsinki, Finnland (EU). Mit Hetzner besteht ein Auftragsverarbeitungsvertrag (Art. 28 DSGVO).

Beim Aufruf der Seite verarbeitet der Server technisch bedingt deine IP-Adresse. Dauerhafte Zugriffsprotokolle werden nicht geführt; kurzlebige technische Logs des Betriebssystems werden spätestens nach 14 Tagen gelöscht. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse: sicherer und stabiler Betrieb).

3. Konto, Anmeldung und Einladung

• Pseudonym und Passwort: Für die Nutzung brauchst du ein Konto. Das Passwort wird ausschließlich als moderner Hash (bcrypt) gespeichert, niemals im Klartext. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (ohne Konto kein Dienst).
• Einladungen: Konten entstehen nur über Einladungs-Codes. Gespeichert wird, wer wen eingeladen hat (Missbrauchsschutz im Einladungssystem — Art. 6 Abs. 1 lit. f DSGVO).
• Zugangsanfragen: Wer noch keine Einladung hat, kann auf der Anmeldeseite unter „Zugang anfragen" nach einem Zugang fragen. Gespeichert werden Wunsch-Pseudonym, deine Nachricht, deine Uni und eine E-Mail-Adresse — nur, um dir zu antworten. Erledigte Anfragen werden nach spätestens 30 Tagen gelöscht (bei Löschung des Kontos sofort), unbeantwortete nach spätestens 90 Tagen (Art. 6 Abs. 1 lit. b DSGVO).
• E-Mail-Adresse (freiwillig): Du kannst eine E-Mail-Adresse angeben, musst es aber nicht. Sie dient nur dem Versand von Einladungs-/Freischalt-Codes und Antworten auf deine Anliegen. Gibst du keine an, entsteht dir kein Nachteil — Codes können auch persönlich weitergegeben werden. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung, jederzeit widerruflich durch Löschen der Adresse im Konto).
• Profilbild (freiwillig): Du kannst ein Bild hochladen. Es wird auf 256 Pixel verkleinert, liegt nur auf dem Server und ist für angemeldete Nutzer an deinen Beiträgen und im Kopf der App sichtbar. Du kannst es jederzeit entfernen; mit dem Konto wird es gelöscht. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO.
• Anmelde-Bremse: Fehlversuche beim Anmelden werden je eingetipptem Pseudonym und IP-Adresse gezählt; nach fünf Fehlversuchen ist die Anmeldung für dieses Pseudonym von dieser IP-Adresse aus 15 Minuten gesperrt. Der Zähler wird bei erfolgreicher Anmeldung gelöscht, sonst 15 Minuten nach dem letzten Fehlversuch oder mit dem Ende der Sperre. Ebenso kurz merkt sich der Server, wann dein Konto zuletzt eine Einladungs- oder Bestätigungsmail ausgelöst hat (höchstens 24 Stunden), damit niemand über ein Konto massenhaft Mails verschickt (Schutz vor Passwort-Raten und Mail-Missbrauch — Art. 6 Abs. 1 lit. f DSGVO).
• Nutzungsbedingungen: Zu deinem Konto wird gespeichert, welcher Fassung der Nutzungsbedingungen du wann zugestimmt hast (Art. 6 Abs. 1 lit. b DSGVO).
• Anmelde-Cookie: Die Seite setzt genau ein Cookie — das technisch notwendige Anmelde-Cookie (httpOnly), damit du eingeloggt bleibst. Es gibt keine Werbe- oder Analyse-Cookies; deshalb gibt es auch keinen Cookie-Banner (§ 25 Abs. 2 Nr. 2 TDDDG).

Mail-Versand: Freischalt-Codes an eine hinterlegte E-Mail-Adresse verschickt die Brevo GmbH (Köpenicker Str. 126, 10179 Berlin) in unserem Auftrag (Auftragsverarbeitungsvertrag nach Art. 28 DSGVO). Die Verarbeitung findet im Regelfall in der EU statt; Brevo behält sich vor, dafür auch Dienstleister außerhalb der EU einzusetzen — abgesichert über EU-Standardvertragsklauseln und, für die USA, das EU-US Data Privacy Framework. Übermittelt werden dabei nur deine E-Mail-Adresse, dein Pseudonym und der Code.

4. Lernfortschritt

Gespeichert werden deine beantworteten Fragen (was du angekreuzt hast und ob es richtig war), deine Durchgänge (welche Fragen dazugehören und ihr Name — bei einem Durchgang aus der Suche ist das dein Suchtext), deine Lerntage, Sammlungen, Notizen, Kalender-Termine und Einstellungen (Tagesziel, Ton, gewähltes Fach) — das ist die Kernleistung der Seite (Art. 6 Abs. 1 lit. b DSGVO). Diese Daten liegen auf dem Server, damit du auf mehreren Geräten weiterlernen kannst, und werden bis zur Löschung deines Kontos aufbewahrt.

Um karlicram zu verbessern, zählt der Betreiber diese Daten über alle Konten zusammen – etwa wie viele Konten in einer Woche gelernt haben oder an wie vielen Tagen (Art. 6 Abs. 1 lit. f DSGVO, berechtigtes Interesse an der Weiterentwicklung). Ausgewertet werden nur Summen; einzelne Lernverläufe sieht er sich dafür nicht an.

Speicherung auf deinem Gerät

Damit die App offline läuft, liegen das Datenpaket (Fragen, Besprechungen, Folien-Beschreibungen), dein Lernstand, Sammlungen, Notizen, Termine und die von dir selbst importierten Vorlesungsfolien samt dem daraus gelesenen Text für die Suche und Bilder aus deinen Anki-Decks im Speicher deines Browsers (IndexedDB) und im Cache der Web-App. Das ist technisch notwendig für den Offline-Betrieb (§ 25 Abs. 2 Nr. 2 TDDDG) und verlässt dein Gerät nicht — die Folien und Bilder schon gar nicht. Diese Daten verschwinden, wenn du die Website-Daten im Browser löschst oder das Symbol vom Home-Bildschirm entfernst.

Außerdem merkt sich dein Browser im lokalen Speicher, wo Sir Henry, die Katze der App, gerade liegt (auf welcher Seite der App) und ob er schläft. Das dient nur der Anzeige, enthält nichts über dich und verlässt dein Gerät nicht.

5. Für andere sichtbare Zahlen

• Prozentzahlen je Antwort: Unter jeder Frage sehen alle Nutzer, wie viel Prozent diese Antwort gewählt haben. Dafür zählt die jeweils erste Antwort deines Kontos je Frage mit — angezeigt wird nur die zusammengerechnete Prozentzahl, nie dein Name.
• Bestenliste (nur mit Einwilligung): Auf der Statistik-Seite steht eine Wochen-Bestenliste (Pseudonym + Zahl beantworteter Fragen der laufenden Kalenderwoche, live, ohne Archiv). Dein Pseudonym erscheint dort nur, wenn du zugestimmt hast. Wir fragen dich dazu einmal ausdrücklich — mit zwei gleichwertigen Antworten und ohne Vorauswahl; nichts ist vorangekreuzt. Gespeichert wird deine aktuelle Antwort samt dem Zeitpunkt, an dem du sie zuletzt gegeben oder geändert hast. Ändern kannst du sie jederzeit im Profil; ein Widerruf wirkt sofort, auch auf die laufende Woche (Art. 6 Abs. 1 lit. a DSGVO).

Rechtsgrundlage für die Prozentzahlen: Art. 6 Abs. 1 lit. b und f DSGVO (Lernfunktion der geschlossenen Lerngruppe). Eine automatisierte Entscheidungsfindung mit Rechtswirkung findet nicht statt.

6. Kommentare, Bilder, Vorschläge, Meldungen

Beiträge (Kommentare und Bilder an Fragen) sind freiwillig und erscheinen mit deinem Pseudonym für andere Nutzer. Fragen-Vorschläge (neue oder geänderte Fragen) werden mit Pseudonym, Inhalt, Entscheidung und Zeitpunkt gespeichert. Bei Änderungen an bestehenden Fragen, Lösungen, Hinweisen, Tipps, Erklärungen und bekannten Folien sehen andere angemeldete Nutzer dein Pseudonym und den Änderungszeitpunkt. Per Klick können sie die geänderten Felder mit ihrem vorherigen und neuen Stand vergleichen. Ältere, bisher nur intern gespeicherte Änderungen werden nicht nachträglich öffentlich. Neue Fragen erscheinen nach Freigabe weiterhin ohne Änderungsmarke. Wird dein Vorschlag vor der Freigabe von der Moderation nachgebessert, bleiben beide Fassungen gespeichert — dein Wortlaut und die freigegebene; in der Historie der Frage steht dann der Vermerk „von der Moderation nachgebessert". Schlägst du eine neue Frage mit Bild vor, wird das Bild bis zur Entscheidung bei deinem Vorschlag gespeichert und ist vorher nur für die Moderation sichtbar; mit der Freigabe erscheint es — wie alle Bilder an Fragen — ohne deinen Namen, bei einer Ablehnung wird es gelöscht. Schickst du mit einer neuen Frage oder einer Änderung einen Kommentar mit (z. B. „Bei D war ich mir nicht mehr sicher — gerne ergänzen" oder „Richtig ist D, steht auf Folie 23"), wird er beim Vorschlag gespeichert und ist vor der Entscheidung nur für die Moderation sichtbar; mit der Freigabe erscheint er mit deinem Pseudonym als dein Beitrag an der Frage — wie jeden anderen Beitrag kannst du ihn danach bearbeiten oder löschen. Die Hinweise „Aus der Rekonstruktion" an einer Frage darf jeder Angemeldete ändern (seit 06.09.2026): Die Änderung ist sofort für alle sichtbar und trägt dein Pseudonym sowie den Vergleich von vorher und nachher. Beim Betreiber wird sie mit deinem Pseudonym, dem Zeitpunkt und dem Stand davor gespeichert, er erhält eine Notiz und kann die Änderung jederzeit zurücknehmen — sie bleibt dann als „zurückgenommen" vermerkt. Auch Tipps und Erklärungen an einer Frage darfst du bearbeiten oder neu schreiben (seit 14.09.2026): Dein Text wird unmittelbar sichtbar und mit Pseudonym, Stelle, Text, dem Stand davor, Entscheidung und Zeitpunkt gespeichert; ein mitgeschicktes „Warum?" erscheint mit der Freigabe als dein Beitrag. Der Text steht für alle mit dem Vermerk „überarbeitet von" und deinem Pseudonym. Genauso kannst du die Liste „Zum Nachlesen" und die Auswahl der Anki-Karten an einer Frage ändern: beim Nachlesen nur als Stichwörter (den Link baut die App selbst), bei den Anki-Karten nur, welche der vorhandenen Karten gezeigt werden. Gespeichert werden dabei Pseudonym, Stelle, die Stichwörter bzw. die Nummern der gezeigten Karten, der Stand davor, Entscheidung und Zeitpunkt; freigegeben steht auch hier „überarbeitet von" mit deinem Pseudonym. Der Betreiber kann jede Änderung zurücknehmen. Bearbeitete Fragen werden zusätzlich auf Karlis lokalem Rechner mit Claude anhand der Frage und passender Vorlesungsunterlagen geprüft. Dazu gehen der geänderte Fachinhalt und ausgewählte Textauszüge der Unterlagen an Anthropic; dein Pseudonym wird aus dem KI-Auftrag entfernt. Karli entscheidet selbst über weitere Korrekturen. Dein Pseudonym steht dabei auch im Datenstand, den die App auf jedes Gerät lädt. Nach einer Kontolöschung verschwindet es in der App beim nächsten Abgleich und aus den auf dem Server gespeicherten Datenständen spätestens nach zwei weiteren Veröffentlichungen; der Text bleibt. In der Sofort-Phase bis 30.11.2026 gelten Änderungen an Fragen, Tipps, Erklärungen, Nachlesen, Anki-Auswahl und bekannten Folien sofort für alle. Ein mitgeschickter Kommentar erscheint sofort mit deinem Pseudonym. Der Betreiber sieht jede Änderung in einer Historie und kann sie zurücknehmen. Meldungen (z. B. „Folie passt nicht", Feedback, Urheberrecht) gehen an den Betreiber; Rückmeldungen zu Tipp, Erklärung, Nachlesen und Anki-Karten sehen auch die Moderatorinnen und Moderatoren (ohne die Angabe, wer gemeldet hat); nach Erledigung wird die Angabe, wer gemeldet hat, automatisch entfernt. Eine Ausnahme ist die Meldung „Frage anzweifeln": Sobald zwei verschiedene Konten dieselbe Frage angezweifelt haben, erscheint an dieser Frage für alle der Hinweis, dass sie noch repariert wird — ohne die Namen der Meldenden; sichtbar wird also die Frage, nicht du. Der Meldetext selbst bleibt bei der Moderation. Der Betreiber kann einzelne Konten zu Moderatorinnen und Moderatoren machen: Sie dürfen Fragen-Vorschläge entscheiden (auch mit eigener Nachbesserung), Tipps, Erklärungen, Nachlesen und Anki-Auswahl direkt ändern, Rückmeldungen dazu erledigen, Beiträge löschen, Fragen als „fehlerhaft" markieren und sehen gemeldete Beiträge samt Meldegrund (ohne die Angabe, wer gemeldet hat); an ihren eigenen Beiträgen tragen sie ein sichtbares Abzeichen „Moderator". Rechtsgrundlage: Art. 6 Abs. 1 lit. a/f DSGVO.

7. Der KI-Chat

Der KI-Chat startet nur, wenn du ihn selbst öffnest und eine Frage abschickst. Mit dem Absenden willigst du ein (Art. 6 Abs. 1 lit. a DSGVO), dass deine Frage zusammen mit der Klausurfrage und dem bisherigen Gesprächsverlauf an externe KI-Anbieter übermittelt wird. Die Anbieter werden in dieser Reihenfolge versucht:

Dasselbe gilt für die KI-Suche in der Fragenauswahl: Erst wenn du auf „✦ Mit KI suchen" tippst, geht dein Suchtext (nur er: keine Klausurfrage, keine Kontodaten) an dieselben Anbieter in derselben Reihenfolge, um ihn in Fachbegriffe zu übersetzen.

Es werden keine Kontodaten übermittelt — die Anbieter sehen deine Frage und die Lerninhalte, nicht dein Pseudonym. Der Betreiber führt ein technisches Protokoll der Chat-Anfragen (zur Missbrauchs- und Kapazitätskontrolle); der Bezug zu deinem Konto wird darin drei Monate nach dem Eintrag automatisch entfernt, bei Kontolöschung sofort.

Suchprotokoll: Suchtexte der Fragensuche speichert der Betreiber ohne Bezug zu deinem Konto (Text, Fach, Suchbereich, Trefferzahl, ob die KI half) für 90 Tage, um die Suche zu verbessern. Pseudonym, IP-Adresse und Uhrzeit werden dabei nicht gespeichert, nur der Tag; danach löscht sich jeder Eintrag automatisch. Rechtsgrundlage ist das berechtigte Interesse an einer Suche, die findet, was gesucht wird (Art. 6 Abs. 1 lit. f DSGVO).

8. Deine Rechte

• Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21 DSGVO) — formlos per E-Mail an die Adresse oben.
• Deine Daten herunterladen kannst du selbst: Im Profil gibt es „Meine Daten herunterladen" — eine Datei mit allem, was der Server über dein Konto gespeichert hat (Art. 15 und 20 DSGVO).
• Konto löschen kannst du selbst, jederzeit in der App: Die Löschung wirkt sofort und endgültig. Dein Pseudonym wird durch einen neutralen Platzhalter ersetzt, alle Geräte werden abgemeldet, dein Lernfortschritt wird gelöscht; frühere Beiträge (auch Bilder darin) erscheinen als „Gelöschtes Konto". Offene und abgelehnte Fragen-Vorschläge werden gelöscht; freigegebene bleiben ohne Namen („Gelöschtes Konto") stehen. Unter Tipps, Erklärungen, Nachlesen und Anki-Auswahl, die du geändert hast, verschwindet dein Name; der Text bleibt. Deine Zugangsanfrage (gestellt vor deinem Konto, unter diesem Pseudonym) wird sofort gelöscht.
• Erteilte Einwilligungen (E-Mail, Profilbild, Bestenliste, KI-Chat und KI-Suche) kannst du jederzeit mit Wirkung für die Zukunft widerrufen.
• Beschwerderecht: Bayerisches Landesamt für Datenschutzaufsicht (BayLDA), Promenade 18, 91522 Ansbach — www.lda.bayern.de.

9. Speicherdauern im Überblick

10. Sicherheit

Die ganze Seite läuft ausschließlich über HTTPS. Passwörter werden nur als bcrypt-Hash gespeichert. Zugriff auf die Datenbank hat allein der Betreiber. Es werden täglich Sicherungskopien angelegt (14 Tage Umlauf, auf demselben Server in der EU).

Stand: Oktober 2026 · Impressum · Nutzungsbedingungen