Datenschutzerklärung

Stand: 22. Mai 2026

1. Verantwortlicher

Verantwortlich für die Verarbeitung personenbezogener Daten im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:

Stephen Willms
Prime Radiant
c/o Adressgeber #2007
An der Alten Ziegelei 38
48157 Münster
Deutschland
E-Mail: core@prime-radiant.de

2. Welche Daten wir verarbeiten

Wir erheben und verarbeiten ausschließlich die Daten, die für den Betrieb der App und die Vertragserfüllung erforderlich sind:

2.1 Konto-Daten

• E-Mail-Adresse (zur Anmeldung und Kommunikation)
• Passwort (verschlüsselt gespeichert)
• Name des Kindes (frei wählbar — kann Spitzname sein)
• Klassenstufe (1–4)
• Gewählte Theme/Interesse

2.2 Nutzungs-Daten

• Lernfortschritt (gemeisterte Skills, Streaks, Achievements)
• Stärken-Tracking (Mut, Ausdauer, Wissbegier etc.)
• Aktivitätszeitpunkte (für Tages-Streaks)

2.3 Zahlungs-Daten

• Stripe-Customer-ID, Stripe-Subscription-ID, Abonnement-Status
• Trial-Startdatum und Trial-Enddatum

Wichtig: Wir selbst speichern keine Kreditkartendaten. Die vollständige Zahlungsabwicklung erfolgt direkt zwischen dir und Stripe Payments Europe Ltd.

2.4 Technische Daten

Bei jedem Aufruf werden vom Hosting-Anbieter (Vercel) standardmäßig Server-Logs erfasst (IP-Adresse, Datum/Uhrzeit, abgerufene URL, Browser-Typ). Diese werden gemäß Vercels Standardrichtlinien nach kurzer Zeit gelöscht und nicht von uns selbst gespeichert.

3. Zwecke und Rechtsgrundlagen

Wir verarbeiten deine Daten auf folgenden Rechtsgrundlagen:

• Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) — für die Bereitstellung der App, dein Konto, Lernfortschritt und die Zahlungsabwicklung.
• Art. 6 Abs. 1 lit. c DSGVO (rechtliche Verpflichtung) — für die Aufbewahrung von Rechnungsbelegen und steuerlich relevanten Daten (10 Jahre nach §147 AO).
• Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse) — für die technische Bereitstellung und Sicherheit der App (Server-Logs, Missbrauchserkennung).

4. Eingesetzte Dienstleister (Auftragsverarbeiter)

Wir setzen folgende technische Dienstleister ein, mit denen jeweils Auftragsverarbeitungsverträge gemäß Art. 28 DSGVO geschlossen wurden:

Dienst	Anbieter	Zweck
Hosting	Vercel Inc., USA	Bereitstellung der Web-App
Authentifizierung und Datenbank	Supabase Inc., USA (Server in Frankfurt/EU)	Login, Speicherung von Konto- und Lerndaten
Zahlungsabwicklung	Stripe Payments Europe, Ltd., Irland	Abonnement-Management und Kreditkartenzahlung

5. Übermittlung in Drittländer

Vercel und Supabase haben ihren Hauptsitz in den USA. Eine Datenverarbeitung kann auch dort stattfinden. Die Übermittlung erfolgt auf Grundlage von EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO) und wo möglich unter dem EU-US Data Privacy Framework.

Stripe Payments Europe Ltd. hat seinen Hauptsitz in Irland und damit innerhalb der EU.

Die Datenbank von Supabase wird auf unseren Wunsch in Frankfurt am Main, Deutschland betrieben — deine Konto- und Lerndaten verlassen den EU-Raum im Regelbetrieb nicht.

6. Speicherdauer

• Konto- und Lerndaten: solange dein Konto aktiv ist. Bei Löschung des Kontos werden sie unverzüglich gelöscht.
• Zahlungs-Belege und Rechnungen: 10 Jahre gemäß § 147 AO (gesetzliche Aufbewahrungspflicht).
• Server-Logs: max. 14 Tage, danach automatische Löschung.

7. Cookies und lokale Speicherung

Wir setzen keine Tracking-Cookies und keine Werbe-Cookies. Für den Betrieb der App nutzen wir:

• Local Storage deines Browsers — zur Speicherung deines Logins und einiger Anzeigeeinstellungen (Sound, Theme, Sensory-Mode).
• Session-Cookies von Supabase — für die sichere Anmeldung und Sitzungsverwaltung.
• Stripe Checkout setzt während des Bezahlvorgangs eigene Cookies zur Betrugsabwehr und Sitzungsverwaltung. Diese sind technisch notwendig.

8. Daten von Kindern

Mathe-Quest richtet sich an Kinder im Grundschulalter (etwa 6–10 Jahre), wird jedoch ausschließlich von einem Elternteil oder Erziehungsberechtigten registriert und bezahlt. Die Vertragsbeziehung besteht allein zwischen uns und dem Erziehungsberechtigten (volljährige Person).

Wir erfassen vom Kind keine direkten Kontaktdaten — der hinterlegte "Name" kann ein Spitzname sein und ist frei wählbar. Es findet keine Direktansprache des Kindes per E-Mail statt.

9. Deine Rechte

Du hast nach der DSGVO folgende Rechte uns gegenüber:

• Auskunft über die zu deiner Person gespeicherten Daten (Art. 15)
• Berichtigung unrichtiger Daten (Art. 16)
• Löschung deiner Daten (Art. 17), sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen
• Einschränkung der Verarbeitung (Art. 18)
• Datenübertragbarkeit in einem strukturierten, gängigen, maschinenlesbaren Format (Art. 20)
• Widerspruch gegen die Verarbeitung (Art. 21), wenn diese auf einem berechtigten Interesse beruht

Zur Ausübung deiner Rechte genügt eine formlose E-Mail an core@prime-radiant.de.

10. Beschwerderecht bei der Aufsichtsbehörde

Du hast das Recht, dich bei einer Datenschutz-Aufsichtsbehörde über die Verarbeitung deiner Daten zu beschweren. Zuständig für uns ist:

Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW)
Kavalleriestraße 2-4
40213 Düsseldorf
E-Mail: poststelle@ldi.nrw.de
Web: www.ldi.nrw.de

11. Datensicherheit

Wir treffen technische und organisatorische Sicherheitsmaßnahmen, um deine Daten zu schützen:

• Verschlüsselte Übertragung (HTTPS/TLS) für die gesamte Anwendung
• Passwörter werden ausschließlich gehasht (nicht im Klartext) gespeichert
• Datenbankzugriffe sind über Row Level Security so beschränkt, dass jeder Nutzer nur seine eigenen Daten sehen kann
• Zahlungsdaten werden ausschließlich von Stripe verarbeitet (PCI-DSS Level 1 zertifiziert) — wir selbst sehen keine Kreditkartendaten

12. Aktualität und Änderungen

Diese Datenschutzerklärung kann von uns angepasst werden, wenn sich Rechtslage oder eingesetzte Dienste ändern. Die aktuelle Fassung ist jederzeit auf dieser Seite einsehbar.