Verantwortlich im Sinne der DSGVO ist:

• Stammdaten: E-Mail, Passwort-Hash, Anzeigename, Avatar, Sprache.
• Lerndaten: Karteikarten, Lernsets, Notizen, Mindmaps, Gruppen, Quest-/Achievement-Fortschritt, FSRS-Wiederholungsdaten und kompakte Lernsignale im Lernprofil, z. B. Antwortdauer, richtig/falsch-Bewertungen, genutzte Hilfen und grobe Schwachstellen. Diese Signale enthalten keine Chat-Verläufe oder privaten Notizen.
• Nutzungsdaten: Geräte-/Browser-Typ, Sprachpräferenz, freiwillige Analyse-Events nach Einwilligung, Fehlermeldungen.
• KI-Anfragen: Texte, Dateien (PDF/Bild) und Lernsets, die du für KI-Funktionen nutzt. Diese Inhalte werden zur Generierung an die Google Gemini API übertragen.
• Pro-/Kontaktanfragen: Angaben, die du in Formularen für Pro, Feedback oder Kontakt freiwillig übermittelst.
• Server-Logs: IP-Adresse, Zeitstempel, User-Agent und technische Request-Daten zur Bereitstellung, Fehleranalyse und Missbrauchsabwehr.

SmartGhost richtet sich an Schülerinnen und Schüler. Nutzer unter 16 Jahren benötigen die Einwilligung der Eltern bzw. Erziehungsberechtigten für die Registrierung und für KI-Funktionen, die personenbezogene Daten verarbeiten. Beim Einsatz im Schulkontext erfolgt die Verarbeitung auf Grundlage der jeweiligen Schul-Datenschutzvereinbarung.

Wenn SmartGhost durch eine Schule, Lehrkraft oder einen Schulträger für Schülerinnen und Schüler eingesetzt wird, erfolgt die Verarbeitung grundsätzlich im Rahmen einer Auftragsverarbeitung nach Art. 28 DSGVO. Die Schule bzw. der Schulträger bleibt für die Rechtmäßigkeit des Einsatzes, die Information der Betroffenen und ggf. erforderliche Einwilligungen verantwortlich.

SmartGhost nutzt Künstliche Intelligenz für die Generierung von Karteikarten, Zusammenfassungen, Tests, Mindmaps und Cheat-Sheets sowie für die personalisierte Daily Mission.

• Transparenz nach Art. 50 KI-VO: KI-generierte Karten, Sets und Zusammenfassungen werden in der Oberfläche mit einem "KI"-Label gekennzeichnet.
• Daily Mission: Die Daily Mission ist als editierbarer Lernvorschlag konzipiert. Du kannst vorgeschlagene Karten entfernen, ergänzen, sortieren und dauerhafte Präferenzen für die Gewichtung setzen.
• Modell & Datenverarbeitung: SmartGhost setzt für KI-Funktionen die Google Gemini API ein (Anbieter: Google Ireland Ltd. / Google LLC). Deine Eingaben (Texte, hochgeladene Dateien, Lernsets) werden serverseitig über unsere Server an Google übermittelt und dort zur Generierung der Ergebnisse verarbeitet. Dabei kann eine Übermittlung in die USA erfolgen; diese ist durch EU-Standardvertragsklauseln (SCCs) und das EU-US Data Privacy Framework (Angemessenheitsbeschluss vom 10.07.2023) abgesichert. Die Verarbeitung durch Google – einschließlich der Frage, ob und wie lange Eingaben gespeichert oder zur Verbesserung der Dienste genutzt werden – richtet sich nach den Bedingungen von Google für die Gemini API.Google Gemini API Terms
• Assistives Lernwerkzeug: SmartGhost ist als Lernhilfe konzipiert und trifft keine bindenden Entscheidungen über Noten, Prüfungen, Zulassungen oder behördliche Vorgänge.
• Training: SmartGhost nutzt deine Inhalte nicht zum Training eigener KI-Modelle. Ob und in welchem Umfang Google Eingaben zur Verbesserung seiner Dienste verarbeitet, richtet sich nach den verlinkten Gemini-API-Bedingungen von Google.
• Halluzinationen: KI kann sich irren. Verlasse dich bei Prüfungen nicht ausschließlich auf die KI – prüfe Inhalte mit deinen offiziellen Materialien.
• Keine automatisierte Einzelentscheidung: Es findet keine Entscheidung mit rechtlicher Wirkung im Sinne des Art. 22 DSGVO statt.
• Altershinweis: SmartGhost richtet sich auch an Nutzer unter 16 Jahren. Diese benötigen gemäß Art. 8 DSGVO die Einwilligung ihrer Erziehungsberechtigten, bevor KI-Funktionen verwendet werden dürfen (siehe Abschnitt 4).

Wir geben Daten nur an folgende Auftragsverarbeiter weiter, mit denen Verträge gem. Art. 28 DSGVO bestehen:

• Account-Daten: bis zur Löschung des Kontos.
• Lerndaten: bis du sie löschst oder dein Konto löschst.
• Pro-/Kontaktanfragen: solange die Anfrage bearbeitet wird und anschließend nach gesetzlichen Aufbewahrungsfristen.
• Server-Logs: maximal 30 Tage. Bei konkreten Sicherheitsvorfällen oder laufenden Untersuchungen können betroffene Logs bis zur Klärung des Vorfalls aufbewahrt werden.
• Analytics-Daten: nach PostHog-Konfiguration; Löschung oder Widerruf ist jederzeit per E-Mail möglich.

Als betroffene Person hast du folgende Rechte gegenüber dem Verantwortlichen:

• Auskunft (Art. 15 DSGVO)
• Berichtigung (Art. 16 DSGVO)
• Löschung / „Recht auf Vergessenwerden" (Art. 17 DSGVO)
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruch (Art. 21 DSGVO)
• Widerruf erteilter Einwilligungen (Art. 7 Abs. 3 DSGVO)
• Beschwerde bei einer Aufsichtsbehörde (Art. 77 DSGVO)

Zur Ausübung genügt eine formlose E-Mail an support@smartghost.net. Zuständige Aufsichtsbehörde ist die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW).

• Technisch notwendig: Auth-Token (Clerk), Theme, Sprache, Cookie-Consent-Status. Rechtsgrundlage § 25 Abs. 2 Nr. 2 TDDDG.
• Analyse (PostHog): nur mit deiner Einwilligung über das Cookie-Banner. Anonymisiert, EU-Server, kein Cross-Site-Tracking.
• Kein Marketing-Tracking: wir setzen keine Werbe-Cookies, kein Facebook-Pixel, kein Google Ads.

TLS-Verschlüsselung in transit, AES-256 at rest (Supabase), Row Level Security pro Nutzer, regelmäßige Backups, Passwort-Hashing über Clerk (bcrypt). Zugriffe protokolliert.

Wir passen diese Erklärung bei rechtlichen oder funktionalen Änderungen an. Die jeweils aktuelle Fassung ist hier abrufbar. Bei wesentlichen Änderungen informieren wir dich per E-Mail oder In-App-Hinweis.