Datenschutzerklärung

Gemäß Art. 13, 14 DSGVO · Stand: Oktober 2026

1. Verantwortlicher

Julian Brandt
Luisental 19a, 28359 Bremen
E-Mail: support@grammarxp.com

2. Grundsatz: Datensparsamkeit

GrammarXP ist so konzipiert, dass so wenig personenbezogene Daten wie möglich verarbeitet werden. Ein Benutzerkonto, eine Registrierung oder ein Klarname sind nicht erforderlich. Lernfortschritt und Einstellungen bleiben auf dem jeweiligen Endgerät (localStorage/IndexedDB).

3. Hosting: Vercel

grammarxp.com wird über Vercel Inc. (440 N Barranca Avenue #4133, Covina, CA 91723, USA) ausgeliefert. Beim Seitenaufruf verarbeitet Vercel technisch notwendige Verbindungsdaten (IP-Adresse, HTTP-Header, Zeitstempel, aufgerufene Seite, User-Agent) auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an sicherem und stabilem Betrieb). Vercel verarbeitet diese Daten in unserem Auftrag (Art. 28 DSGVO). Vercel nimmt am EU-US Data Privacy Framework teil; Übermittlungen in die USA stützen sich auf den Angemessenheitsbeschluss der EU-Kommission (Art. 45 DSGVO). Weitere Informationen: vercel.com/legal/privacy-policy

Serverlogs werden für die Fehlerdiagnose höchstens 7 Tage gespeichert und danach gelöscht, soweit keine längere Aufbewahrung zur Missbrauchsabwehr erforderlich ist.

4. Lokal gespeicherte Daten (localStorage)

Im Browser können gespeichert werden: bearbeitete Übungen, XP und Lernfortschritt, Theme-Einstellungen, ein freiwillig gewählter Spitzname sowie Freischaltstatus. Diese Daten werden nicht an uns übertragen.

Die Speicherung ist für die von dir gewünschte Lernfunktion unbedingt erforderlich (TDDDG § 25 Abs. 2 Nr. 2). Soweit personenbezogene Daten enthalten sind (z. B. ein Spitzname), ist Rechtsgrundlage Art. 6 Abs. 1 lit. b bzw. lit. f DSGVO. Du löschst die Daten selbst über die Browser-Einstellungen oder in der App. Ein Gerätewechsel ohne Code-Einlösung führt zum Verlust des lokalen Stands.

5. Nutzungsauswertung

Zur Verbesserung von Inhalten und Stabilität werten wir die Nutzung ohne Konten, ohne Namen und ohne Tracking-Cookies aus. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Die Daten sind datensparsam, aber nicht vollständig anonym im Sinne von Erwägungsgrund 26 DSGVO, weil beim Seitenaufruf eine IP-Adresse technisch verarbeitet wird.

5.1 Learning Loop (Lernereignisse)

Die App sendet technische Lernereignisse an unseren eigenen Endpunkt auf grammarxp.com. Dort speichern wir sie in einer eigenen Datenbank bei Neon Inc. (USA; Datenbank-Server in Frankfurt am Main). Eine Weiterleitung an weitere Dienste findet nicht statt. Wir speichern die IP-Adresse nicht in den Ereigniszeilen. Geräteklasse und Sprachkürzel leitet unser Server aus den Angaben ab, die dein Browser bei jedem Seitenaufruf ohnehin mitsendet (User-Agent, bevorzugte Sprache); die App liest dafür nichts aus deinem Gerät aus.

Für den Learning Loop setzen wir keine Cookies und speichern keine Kennung im Browser. Die Geräteklasse leitet die App aus der Fensterbreite ab, das Sprachkürzel aus der Browsersprache.

Nicht enthalten sind Namen, E-Mail-Adressen, Nutzer-IDs, Geräte-Fingerprints, Antworttexte und Standort. Zeitstempel werden auf Minuten gerundet. Der Lernfortschritt im Browser wird für diese Auswertung nicht ausgelesen. Neon verarbeitet die Ereignisse in unserem Auftrag (Art. 28 DSGVO). Der Anbieter hat seinen Sitz in den USA. Soweit dabei Daten in die USA gelangen, stützen wir das auf das EU-US Data Privacy Framework (Art. 45 DSGVO), soweit der Anbieter teilnimmt, sonst auf Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO). Speicherdauer der Ereigniszeilen: höchstens 24 Monate, danach Löschung oder Aggregation.

5.2 Widerspruch (Art. 21 DSGVO)

Für den Learning Loop werden keine Tracking-Cookies gesetzt. Du kannst der Auswertung widersprechen:

Widerspruch gespeichert. Es werden von diesem Browser keine weiteren Auswertungsereignisse gesendet.

Alternativ reicht eine E-Mail an den Verantwortlichen. Den Widerspruch merken wir uns in diesem Browser (localStorage-Schlüssel ig-stats-opt-out). Das ist für die von dir gewünschte Einstellung erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG).

6. Schriftarten

Nunito wird lokal vom eigenen Server ausgeliefert. Es entsteht keine Verbindung zu Google Fonts.

7. Cookies und Google Analytics

GrammarXP setzt selbst keine Tracking-Cookies. Google Analytics / Google Ads / Meta-Pixel setzen wir nicht ein. Nutzungsauswertung auf grammarxp.com läuft über den Learning Loop (Abschnitt 5.1).

Wenn du auf einen Kauf-Button klickst, wirst du zur Zahlungsseite von Stripe weitergeleitet. Stripe setzt dort eigene Cookies. stripe.com/de/privacy

8. Zahlungsabwicklung (Stripe)

Für Premium-Käufe nutzen wir Stripe Payments Europe Ltd., 1 Grand Canal Street Lower, Dublin 2, Irland. Du gibst Zahlungsdaten direkt bei Stripe ein. GrammarXP erhält keine vollständigen Kartendaten. Wählst du bei Stripe PayPal, verarbeitet zusätzlich PayPal (Europe) S.à r.l. et Cie, S.C.A., 22-24 Boulevard Royal, L-2449 Luxemburg, deine Daten als eigener Verantwortlicher (paypal.com/de/legalhub/privacy-full).

Stripe ist für die Zahlungsabwicklung eigenständiger Verantwortlicher. Nach der Zahlung übermittelt Stripe uns E-Mail-Adresse, Produkt-ID und Zahlungsstatus. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, für Aufbewahrungspflichten lit. c DSGVO. Den Bestell- und Code-Datensatz mit E-Mail-Adresse speichern wir in Vercel KV (Abschnitt 8.1); er wird spätestens 12 Monate nach dem Kauf bzw. nach der letzten Einlösung automatisch gelöscht. Zahlungsbelege bewahren wir nach den steuerrechtlichen Vorgaben auf (für Buchungsbelege derzeit 8 Jahre, § 147 Abs. 3 AO, § 14b UStG).

8.1 Einlösen eines Zugangscodes

Wenn du einen Zugangscode eingibst, sendet dein Browser den Code an unseren Prüfdienst unter abitur-vorbereitung-online.de (ebenfalls betrieben von Julian Brandt, siehe Abschnitt 1; Hosting bei Vercel Inc., Speicherung in Vercel KV, bereitgestellt von Upstash Inc., USA, als Auftragsverarbeiter). Geprüft wird, ob der Code gültig ist. Zum Code gehört bei Einzelkäufen die E-Mail-Adresse aus dem Kauf. Bei Schullizenzen speichern wir nur, wie oft und wann der Code eingelöst wurde, keine IP-Adresse. Bei Codes aus einem Einzelkauf speichern wir zur Missbrauchserkennung zusätzlich IP-Adresse und Datum der Einlösung (höchstens 50 Einträge, Löschung spätestens 12 Monate nach der letzten Einlösung). Nutzen mehr als fünf verschiedene IP-Adressen denselben Code, erhalten wir eine interne Warnmeldung mit diesen Einträgen. Um automatisierte Massenanfragen zu begrenzen, wird die IP-Adresse außerdem für 60 Sekunden als Zähler verarbeitet. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Bereitstellung des gekauften Zugangs) und lit. f DSGVO (Schutz vor Missbrauch). Soweit Daten in die USA übermittelt werden, geschieht dies auf Grundlage von Standardvertragsklauseln bzw. des EU–US Data Privacy Framework.

9. E-Mail-Versand (Resend)

Freischaltcodes und die Vertragsbestätigung versendet Resend (Plus Five Five, Inc., 2261 Market Street #5039, San Francisco, CA 94114, USA) in unserem Auftrag (Art. 28 DSGVO). Deine E-Mail-Adresse wird nur für die Code-Zustellung und den Versandnachweis genutzt. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Übermittlung in die USA auf Grundlage des EU-US Data Privacy Framework bzw. von Standardvertragsklauseln. Versandprotokolle löschen wir nach höchstens 90 Tagen, soweit keine längere Aufbewahrung gesetzlich nötig ist.

9.1 Widerruf über die Widerrufsfunktion

Wenn du einen Kauf über „Vertrag widerrufen“ widerrufst, verarbeiten wir deinen Namen, deine E-Mail-Adresse, deine Angaben zum Vertrag und deine Nachricht. Wir senden dir darüber die gesetzliche Eingangsbestätigung (über Resend, siehe oben) und erhalten eine Kopie in unser Support-Postfach. Rechtsgrundlage: Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit § 356a BGB. Wir bewahren die Erklärung so lange auf, wie es für die Bearbeitung und als Nachweis nötig ist, in der Regel bis zum Ende der gesetzlichen Verjährung (drei Jahre zum Jahresende).

9.2 Anfrage eines Testzugangs oder Angebots

Wenn du auf grammarxp.com/schulen oder grammarxp.com/nachhilfe einen Testzugang oder ein Angebot anfragst, verarbeiten wir die Angaben aus dem Formular: Schule oder Institut, Name (freiwillig), dienstliche E-Mail-Adresse, Funktion, Klassen bzw. Standorte und deine Nachricht. Das Formular schickt diese Angaben über Resend (siehe oben) an unser Support-Postfach, damit wir antworten und den Testcode zustellen können. Eine Bestätigungsmail an die eingegebene Adresse senden wir nicht. Zusätzlich zählen wir anonym, dass eine Anfrage einging (Art der Anfrage, Funktion, Kampagnenkennung aus dem Link), ohne Kontaktdaten. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Anbahnung eines Vertrags). Wir löschen die Anfrage, wenn sie erledigt ist und kein Vertrag zustande kommt, spätestens nach 12 Monaten.

9.3 Anschreiben an Schulen (E-Mail über Brevo)

Wir schreiben Schulen einmalig per E-Mail an, um GrammarXP als Schullizenz vorzustellen. Dafür verarbeiten wir: Name, Schulart, Bundesland und allgemeine E-Mail-Adresse der Schule (Sekretariat) bzw. Name, Funktion und dienstliche E-Mail-Adresse der Ansprechperson für das Fach Englisch, außerdem Versanddatum, Zustellstatus (z. B. Rückläufer), Abmeldung und Antwort. Herkunft: öffentliche Schulverzeichnisse der Länder und die Website der jeweiligen Schule, auf der die Adresse als Kontakt angegeben ist. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist, Schulen ein Lernangebot für den Englischunterricht vorzustellen. Den Versand übernimmt Brevo (Sendinblue SAS, Paris, Frankreich) in unserem Auftrag (Art. 28 DSGVO); Brevo erfasst dabei technisch Zustellung, Öffnen und Klicks auf Links. Speicherdauer: Kommt kein Vertrag zustande, löschen wir die Kontaktdaten spätestens 24 Monate nach dem Versand. Wer widerspricht, bleibt nur mit der E-Mail-Adresse auf einer Sperrliste, damit wir nicht erneut schreiben. Widerspruch: jederzeit und ohne Begründung über den Abmelde-Link in der Mail, per Antwort („nein, danke“) oder an support@grammarxp.com.

10. Deine Rechte (Art. 15–21, 77 DSGVO)

• Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit
• Widerspruch gegen Verarbeitung auf Basis berechtigten Interesses (Schalter oben oder per E-Mail)
• Beschwerde bei einer Aufsichtsbehörde

Kontakt: support@grammarxp.com

Du bist nicht verpflichtet, uns Daten bereitzustellen. Ohne die technische Verbindung (IP-Adresse) kann die Seite nicht ausgeliefert werden, ohne E-Mail-Adresse können wir keinen gekauften Code zustellen. Eine automatisierte Entscheidungsfindung einschließlich Profiling (Art. 22 DSGVO) findet nicht statt.

11. Zuständige Aufsichtsbehörde

Der Landesbeauftragte für Datenschutz und Informationsfreiheit der Freien Hansestadt Bremen
Georgstraße 122–124, 27570 Bremerhaven
Tel.: +49 471 596 2010 oder +49 421 361 2010
E-Mail: office@datenschutz.bremen.de
Web: www.datenschutz.bremen.de

Du kannst dich auch an die Aufsichtsbehörde deines Wohnsitzes wenden.

12. Schulischer Einsatz und Minderjährige

GrammarXP richtet sich an Schülerinnen und Schüler der Klassen 5–Q2. Es gibt keine Konten, keine Klarname-Pflicht und keine Werbung. Lehrkräfte haben keinen serverseitigen Zugriff auf individuelle Lernstände. Beim Aufruf werden IP-Adressen durch das Hosting (Vercel) verarbeitet. Art. 8 DSGVO (elterliche Einwilligung) greift nur bei einwilligungsbasierter Verarbeitung. Hosting und Nutzungsauswertung stützen wir auf berechtigtes Interesse, nicht auf eine Einwilligung von Kindern. Schulen sollten den Einsatz gegenüber Erziehungsberechtigten transparent machen.

13. Änderungen

Die jeweils gültige Fassung ist unter dieser Adresse abrufbar. Stand: Oktober 2026.