To english version

Datenschutzerklärung

Stand: Juli 2026

1. Verantwortlicher

Verantwortlich im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:

Der im Impressum angegebene Vertragspartner.

2. Allgemeines zur Datenverarbeitung

Wir verarbeiten personenbezogene Daten unserer Nutzer grundsätzlich nur, soweit dies zur Bereitstellung einer funktionsfähigen Website, unserer Inhalte und Leistungen erforderlich ist. Die Verarbeitung personenbezogener Daten erfolgt regelmäßig nur nach Einwilligung der Nutzer oder wenn die Verarbeitung durch gesetzliche Vorschriften gestattet ist.

3. Erhebung und Speicherung personenbezogener Daten sowie Art und Zweck der Verwendung

a) Beim Besuch der Website

Beim Aufrufen unserer Website werden durch den auf Ihrem Endgerät zum Einsatz kommenden Browser automatisch Informationen an unseren Server gesendet. Diese Informationen werden temporär in einem sog. Logfile gespeichert. Folgende Informationen werden dabei erfasst:

  • IP-Adresse des anfragenden Rechners
  • Datum und Uhrzeit des Zugriffs
  • Name und URL der abgerufenen Datei
  • Website, von der aus der Zugriff erfolgt (Referrer-URL)
  • Verwendeter Browser und ggf. das Betriebssystem Ihres Rechners sowie der Name Ihres Access-Providers

Die genannten Daten werden durch uns zu folgenden Zwecken verarbeitet:

  • Gewährleistung eines reibungslosen Verbindungsaufbaus der Website
  • Gewährleistung einer komfortablen Nutzung unserer Website
  • Auswertung der Systemsicherheit und -stabilität
  • Weitere administrative Zwecke

Rechtsgrundlage für die Datenverarbeitung ist Art. 6 Abs. 1 lit. f DSGVO.

b) Bei der Nutzung unseres SaaS-Dienstes

Bei Registrierung, Nutzung und Verwaltung eines Kundenkontos sowie bei der Nutzung unseres Services verarbeiten wir folgende Kategorien personenbezogener Daten:

  • Stammdaten: Google-Konto-ID, E-Mail-Adresse, Name und ggf. Profilbild; okti speichert kein Google-Passwort
  • Kontodaten: Abonnement-Status, gebuchte Tarife, Zahlungsstatus (über Lemon Squeezy)
  • Nutzungsdaten: Erstellte oder hochgeladene Lernmaterialien (z. B. Dateien, Notizen, Karteikarten, Quizfragen und Podcasts), Chatverläufe, Text-, Bild- und Audioeingaben sowie daraus erzeugte Inhalte
  • Systemdaten: Nutzungsstatistiken, Lern- und Wiederholungsverlauf, Interaktionshistorie, Feedback zu Nutzerantworten, Fehlerdaten, Token-/Kostenwerte und KI-gestützte Auswertungen
  • Präferenz- und Profildaten: Sprache, Design- und Benachrichtigungseinstellungen, Angaben zu Lernsituation, Hochschule, Lernstil, gewünschter Antwortlänge und Unterstützungsbedarf
  • Kommunikationsdaten: E-Mails, Supportanfragen, interne Nachrichten

Zweck der Verarbeitung:

  • Bereitstellung des Dienstes und Erfüllung vertraglicher Pflichten
  • Speicherung und Anzeige der vom Nutzer erstellten Inhalte
  • Analyse der Nutzung zur Verbesserung der Funktionen und Lernerfahrung
  • Personalisierung von Lerninhalten und KI-Antworten
  • Verwaltung von Abonnements und Zugriffsrechten
  • Fehlerbehebung und Missbrauchserkennung

Rechtsgrundlagen:

  • Art. 6 Abs. 1 lit. b DSGVO – Vertragserfüllung (Bereitstellung des SaaS-Dienstes)
  • Art. 6 Abs. 1 lit. f DSGVO – Berechtigtes Interesse (Optimierung des Angebots, Missbrauchsprävention)

4. Einzelne Verarbeitungsvorgänge

4.1 Google OAuth (Anmeldung mit Google-Konto)

Wir bieten die Anmeldung über Google OAuth an. Anbieter ist Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland.

Google übermittelt uns die für die Authentifizierung erforderlichen Profildaten (Google-Konto-ID, E-Mail-Adresse, Name und Profilbild). Ihr Google-Passwort erhalten wir nicht.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, da die Anmeldung zur Einrichtung und Nutzung des von Ihnen gewünschten Kontos erforderlich ist.

Weitere Informationen:https://policies.google.com/privacy

4.2 Hosting bei Hetzner

Unsere Webanwendung und unsere Server werden bei Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland gehostet.

Dort werden insbesondere Konto-, Vertrags-, Lern-, Inhalts-, Kommunikations- und Protokolldaten verarbeitet. Hetzner verarbeitet personenbezogene Daten in unserem Auftrag gemäß Art. 28 DSGVO.

Rechtsgrundlagen sind Art. 6 Abs. 1 lit. b DSGVO für die Bereitstellung des Dienstes und Art. 6 Abs. 1 lit. f DSGVO für einen sicheren und stabilen Betrieb.

Weitere Informationen:https://www.hetzner.com/de/legal/privacy-policy

4.3 Cloudflare (Content Delivery Network und Sicherheit)

Wir nutzen Cloudflare (Cloudflare, Inc., 101 Townsend St, San Francisco, CA 94107, USA) als Content Delivery Network (CDN) und für Sicherheitsdienste.

Cloudflare verarbeitet dabei IP-Adressen, HTTP-Header und weitere technische Daten, um die Website-Performance zu optimieren und vor Angriffen zu schützen.

Die Übermittlung in die USA erfolgt auf Grundlage von Art. 46 DSGVO (Standardvertragsklauseln).

Rechtsgrundlage ist unser berechtigtes Interesse an der sicheren und performanten Bereitstellung unserer Webanwendung (Art. 6 Abs. 1 lit. f DSGVO).

Weitere Informationen:https://www.cloudflare.com/de-de/privacypolicy/

4.4 Cloudflare R2 (Object Storage)

Wir nutzen Cloudflare R2 (Cloudflare, Inc., 101 Townsend St, San Francisco, CA 94107, USA) als Object Storage für die Speicherung von Dateien und Medieninhalten.

Der verwendete R2-Speicher ist mit europäischer Datenjurisdiktion konfiguriert. Ungeachtet dessen kann Cloudflare technische Metadaten verarbeiten und auf Grundlage der vereinbarten Datenschutzgarantien auf Daten zugreifen, soweit dies für Betrieb, Sicherheit oder Support erforderlich ist.

Verarbeitet werden hochgeladene Dateien, Bilder und andere Medieninhalte, die Nutzer in der Anwendung verwenden.

Rechtsgrundlage ist die Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO) zur Bereitstellung der Speicherfunktionen unseres Dienstes.

Weitere Informationen:https://www.cloudflare.com/de-de/privacypolicy/

4.5 Zahlungsabwicklung über Lemon Squeezy (Merchant of Record)

Für den Verkauf unserer Produkte nutzen wir Lemon Squeezy (Lemon Squeezy LLC, USA) als Merchant of Record.

Lemon Squeezy übernimmt den gesamten Kauf- und Zahlungsprozess. Dabei werden personenbezogene Daten wie Name, Rechnungsanschrift, E-Mail-Adresse, Zahlungsinformationen direkt von Lemon Squeezy erhoben und verarbeitet.

Die Übermittlung in die USA erfolgt auf Grundlage von Art. 46 DSGVO (Standardvertragsklauseln).

Rechtsgrundlagen sind Art. 6 Abs. 1 lit. b DSGVO für den Vertragsabschluss und Art. 6 Abs. 1 lit. c DSGVO für gesetzliche Abrechnungs- und Aufbewahrungspflichten. Lemon Squeezy verarbeitet Zahlungsdaten insoweit in eigener datenschutzrechtlicher Verantwortung.

Weitere Informationen:https://www.lemonsqueezy.com/privacy

4.6 TensorX.ai (textbasierte KI-Funktionen)

Für textbasierte KI-Funktionen nutzen wir TensorX Ltd., Unit 25, Classon House, Dundrum Business Park, Dublin 14, Irland, als Auftragsverarbeiter. Dazu gehören insbesondere Chat, Feedback, Antworten, Karteikarten, Quizze, Notizen, Vorschläge, Zusammenfassungen und die Strukturierung von Lerninhalten.

Je nach Funktion werden Ihre Texte, Chatnachrichten, Antworten, ausgewählte oder aus Dateien extrahierte Inhalte, zugehöriger Gesprächskontext und technische Anweisungen an TensorX übermittelt. TensorX verarbeitet daraus erzeugte Ausgaben und technische Nutzungsmetadaten.

Nach Angaben des Anbieters werden Inferenzdaten ausschließlich in der Europäischen Union verarbeitet, Eingaben und Ausgaben nicht dauerhaft gespeichert und nicht zum Training von Modellen verwendet.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, wenn Sie die jeweilige KI-Funktion anfordern. TensorX verarbeitet die Inhalte in unserem Auftrag gemäß Art. 28 DSGVO.

Weitere Informationen:https://tensorx.ai/privacy-policy/

4.7 Google Gemini API (Podcast-Audio und Live-Sprachinteraktion)

Für die Erzeugung von Podcast-Audio und die Live-Sprachinteraktion innerhalb von Podcasts nutzen wir die Gemini API von Google. Vertragspartner ist je nach anwendbaren Vertragsbedingungen Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland, bzw. ein verbundenes Google-Unternehmen.

Verarbeitet werden Podcast-Skripte und daraus generierte Audioausgaben sowie bei der Live-Funktion Ihre in Echtzeit übertragenen gesprochenen Eingaben, der Gesprächskontext und die Audioantworten. Bei der Live-Funktion stellt Ihr Browser über ein kurzlebiges Zugriffstoken eine direkte Verbindung zur Gemini API her.

Google kann Eingaben, Ausgaben und technische Metadaten für die Bereitstellung sowie zeitlich begrenzt zur Missbrauchserkennung verarbeiten. Bei kostenpflichtiger Nutzung werden Eingaben und Ausgaben nach den Bedingungen der Gemini API nicht zur Verbesserung von Google-Produkten verwendet. Eine ausschließliche Verarbeitung in der EU ist für diesen Datenfluss nicht zugesichert.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Soweit Daten in Drittländer übermittelt werden, gelten die in Abschnitt 11 beschriebenen Garantien.

Weitere Informationen:https://ai.google.dev/gemini-api/terms

4.8 Cloudflare Markdown Conversion (Dokumentenaufbereitung)

Unterstützte hochgeladene Dokumente und Bilder werden zur Umwandlung in maschinenlesbaren Markdown-Text an die Markdown-Conversion-Schnittstelle von Cloudflare übermittelt. Verarbeitet werden die Datei, ihr Dateiname und Dateityp sowie der erzeugte Text und technische Metadaten.

Die Umwandlung dient dazu, Inhalte in okti anzuzeigen und für die von Ihnen angeforderten Lern- und KI-Funktionen vorzubereiten. Cloudflare erklärt, solche Kundeninhalte nicht zum Training von KI-Modellen oder zur Verbesserung eigener oder fremder Dienste zu verwenden, sofern keine ausdrückliche Zustimmung erteilt wurde.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Weitere Informationen:https://developers.cloudflare.com/workers-ai/platform/data-usage/

4.9 PostHog (Produktanalyse, KI-Analyse, Feedback-Mechanismen)

Wir nutzen PostHog zur produktbezogenen Analyse der Nutzung unserer Webanwendung sowie zur Analyse der Nutzung unserer KI-Funktionen. Anbieter ist die PostHog Inc., 2261 Market Street #4008, San Francisco, CA 94114, USA. Wir betreiben PostHog über die von PostHog bereitgestellte EU-Cloud, sodass die Verarbeitung ausschließlich auf Servern in der Europäischen Union erfolgt.

Zur Analyse der KI-Nutzung erfassen wir über PostHog LLM-Analytics (Large Language Model Analytics) pseudonymisierte Daten, um eine Übersicht über den individuellen Verbrauch eines Nutzers zu erhalten und nachzuvollziehen, welche Art von KI-Generierung (z. B. Feedback-Generierung, Karteikarten-Erstellung, Quiz-Erstellung) für welche Zwecke genutzt wurde. Dies dient der Verbesserung unseres Dienstes, der Optimierung der KI-Funktionen sowie der Verbrauchskontrolle.

Folgende Datenarten können verarbeitet werden:

  • Seitenaufrufe, Klicks, Scroll-Verhalten, Navigationspfade
  • Nutzungs- und Ereignisdaten (z. B. Interaktionen mit UI-Elementen)
  • LLM-Analytics: Pseudonymisierte Daten zur KI-Nutzung (z. B. Art der Generierung, Anzahl der Anfragen, Verbrauchsstatistiken, verwendete Funktionen)
  • Anonymisiertes Session Replay (z. B. Cursor-, Klick- und Navigationsverläufe; Sensible Inhalte werden nicht aufgezeichnet bzw. werden maskiert)
  • Technische Informationen (Browsertyp/-version, Betriebssystem, Gerätetyp)
  • Gekürzte bzw. anonymisierte IP-Adresse zur Bestimmung der ungefähren Region

Wir betreiben PostHog mit datenschutzfreundlichen Voreinstellungen (u. a. IP-Masking); eine geräteübergreifende Wiedererkennung findet nicht statt. Die Daten werden nicht mit anderen personenbezogenen Daten zusammengeführt.

PostHog wird auch für die Verarbeitung von Feedback-Formularen genutzt. Dabei werden die von Ihnen eingegebenen Feedback-Daten zusammen mit technischen Informationen (Sitzungsdaten, Nutzerverhalten) erfasst, um die Nutzererfahrung zu verbessern und Produktfeedback auszuwerten.

Rechtsgrundlage ist Ihre Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO. Sie haben das Recht, Ihre datenschutzrechtliche Einwilligungserklärung jederzeit zu widerrufen. Durch den Widerruf der Einwilligung wird die Rechtmäßigkeit, der aufgrund der Einwilligung bis zum Widerruf erfolgten Verarbeitung nicht berührt.

Für Widerspruchs- und Beseitigungsanfragen gegenüber PostHog können Sie sich an [email protected] wenden.

Weitere Informationen zu PostHog finden Sie unterhttps://posthog.com/faq und in der Datenschutzerklärung von PostHog:https://posthog.com/privacy

5. Cookies und lokaler Speicher

Für Anmeldung und Sicherheit setzt die Webanwendung technisch erforderliche, HTTP-only geschützte Zugriffs- und Aktualisierungs-Cookies ein. Das Zugriffscookie ist regulär zehn Minuten, das Aktualisierungscookie sieben Tage gültig. Weitere Cookies bzw. lokale Speichereinträge sichern von Ihnen gewählte Funktions- und Darstellungsoptionen, etwa Sprache, Theme, Navigation, Benachrichtigungseinstellung oder lokale Chatfreigaben.

Auf der öffentlichen Website speichern wir Ihre Sprachauswahl und Ihre Entscheidung zur Analyse im Browser. PostHog darf dort erst nach Ihrer Einwilligung browserseitig Daten erfassen. Sie können eine Einwilligung durch Löschen der Website-Daten und erneute Auswahl widerrufen.

In der eigentlichen Webanwendung kann PostHog Cookies oder vergleichbare Kennungen für Analyse und Fehlerdiagnose setzen. Weitere Einzelheiten zu Umfang und Rechtsgrundlagen finden Sie in Abschnitt 4.9.

6. Freigaben und externe Inhalte

Wenn Sie Lerninhalte über eine Freigabefunktion bereitstellen, erhalten die von Ihnen ausgewählten bzw. mit dem Freigabelink ausgestatteten Personen Zugriff auf die freigegebenen Inhalte und die damit verbundenen Angaben. Sie bestimmen selbst Empfängerkreis und Dauer einer optionalen Befristung. Vermeiden Sie personenbezogene Daten Dritter, sofern Sie für deren Weitergabe keine Rechtsgrundlage haben.

Bei einem von Ihnen ausgelösten YouTube-Import ruft unser Server die von Ihnen angegebene Video-URL und verfügbare Untertitel bei YouTube ab.

Bei der Suche nach Hochschulen übermittelt die Webanwendung die von Ihnen eingegebenen Suchbegriffe (Name und/oder Land) an die öffentliche Hochschulschnittstelle von Hipo Labs (universities.hipolabs.com). Eine Nutzer-ID oder E-Mail-Adresse wird dabei nicht gezielt übermittelt; Suchbegriffe können jedoch selbst personenbezogene Angaben enthalten.

Rechtsgrundlage für nutzerseitig ausgelöste Freigaben und Importe ist Art. 6 Abs. 1 lit. b DSGVO. Das Laden technisch erforderlicher Bibliotheken stützen wir auf Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt in der sicheren Bereitstellung interaktiver Lerninhalte.

7. Rechtsgrundlagen der Verarbeitung

  • Art. 6 Abs. 1 lit. a DSGVO – Einwilligung
  • Art. 6 Abs. 1 lit. b DSGVO – Vertragserfüllung
  • Art. 6 Abs. 1 lit. c DSGVO – Rechtliche Verpflichtung
  • Art. 6 Abs. 1 lit. f DSGVO – Berechtigtes Interesse

8. Speicherdauer und Löschung

Konto-, Profil-, Lern-, Inhalts- und Chatdaten speichern wir grundsätzlich für die Dauer Ihres Nutzerkontos oder bis Sie einzelne Inhalte löschen. Bei Löschung des Kontos löschen oder anonymisieren wir die dem Konto zugeordneten Daten, soweit keine gesetzlichen Aufbewahrungspflichten, die Geltendmachung oder Abwehr von Ansprüchen oder andere vorrangige Gründe entgegenstehen.

Authentifizierungsdaten werden entsprechend ihrer Gültigkeit oder beim Logout bzw. bei Tokenwechsel gelöscht oder ersetzt. Temporäre Verarbeitungskopien und fehlgeschlagene Uploads werden nach Wegfall ihres Zwecks entfernt. Vertrags-, Zahlungs- und steuerlich relevante Nachweise bewahren wir für die jeweils geltenden gesetzlichen Fristen auf.

Protokoll-, Sicherheits-, Analyse- und Fehlerdaten werden nach Wegfall des Analyse- oder Sicherheitszwecks bzw. nach den mit dem jeweiligen Auftragsverarbeiter festgelegten Fristen gelöscht oder anonymisiert. TensorX speichert nach eigenen Angaben keine KI-Eingaben oder -Ausgaben; andere KI-Anbieter können Inhalte oder Metadaten für die in Abschnitt 4 genannten begrenzten Zwecke aufbewahren.

9. Kontakt bei Datenschutzanfragen

Wenn Sie Fragen zum Datenschutz, zur Verarbeitung Ihrer personenbezogenen Daten oder zur Geltendmachung Ihrer Rechte haben, können Sie sich jederzeit an uns wenden:

Email: [email protected]

Sie haben außerdem das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren. Für uns zuständig ist die Landesbeauftragte für Datenschutz und Informationsfreiheit der Freien Hansestadt Bremen; Sie können sich auch an die Aufsichtsbehörde Ihres gewöhnlichen Aufenthaltsorts wenden.

10. Rechte der betroffenen Person

Sie haben das Recht auf:

  • Auskunft (Art. 15 DSGVO)
  • Berichtigung (Art. 16 DSGVO)
  • Löschung (Art. 17 DSGVO)
  • Einschränkung der Verarbeitung (Art. 18 DSGVO)
  • Datenübertragbarkeit (Art. 20 DSGVO)
  • Widerspruch (Art. 21 DSGVO)
  • Widerruf erteilter Einwilligungen (Art. 7 Abs. 3 DSGVO)

11. Internationale Datenübermittlung

Bei Cloudflare, Lemon Squeezy und Google kann es zu einer Verarbeitung in den USA oder anderen Staaten außerhalb des Europäischen Wirtschaftsraums kommen.

Wir stützen solche Übermittlungen – je nach Anbieter und konkretem Datenfluss – auf einen Angemessenheitsbeschluss der Europäischen Kommission nach Art. 45 DSGVO, insbesondere das EU-US Data Privacy Framework, oder auf Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO und erforderlichenfalls ergänzende Schutzmaßnahmen. Kopien der maßgeblichen Garantien können Sie über die oben genannte Kontaktadresse anfordern.

12. Datensicherheit

Wir verwenden innerhalb des Webanwendungs-Besuchs das verbreitete TLS-Verfahren (Transport Layer Security) sowie weitere technische und organisatorische Sicherheitsmaßnahmen, um Ihre Daten gegen Manipulation, Verlust, Zerstörung oder den unbefugten Zugriff zu schützen.

13. Pflicht zur Bereitstellung und automatisierte Entscheidungen

Die als erforderlich gekennzeichneten Konto- und Authentifizierungsdaten müssen Sie bereitstellen, wenn Sie ein Nutzerkonto und die damit verbundenen Funktionen verwenden möchten. Ohne die für eine konkrete KI-, Import-, Speicher- oder Zahlungsfunktion erforderlichen Inhalte kann diese Funktion nicht erbracht werden. Darüber hinaus besteht keine gesetzliche Pflicht zur Bereitstellung.

Wir treffen keine ausschließlich automatisierten Entscheidungen, die Ihnen gegenüber rechtliche Wirkung entfalten oder Sie in ähnlicher Weise erheblich beeinträchtigen (Art. 22 DSGVO). KI-Auswertungen und Lernempfehlungen dienen ausschließlich der Lernunterstützung.

14. Aktualität und Änderung dieser Datenschutzerklärung

Diese Datenschutzerklärung ist aktuell gültig und hat den Stand Juli 2026.

Durch die Weiterentwicklung unserer Webanwendung oder aufgrund geänderter gesetzlicher Vorgaben kann eine Anpassung erforderlich werden.