Rechtliches

Im Rahmen der Plattformnutzung werden folgende Kategorien personenbezogener Daten im Sinne von Art. 4 Nr. 1 DSGVO verarbeitet:

• Bestandsdaten: Name, E-Mail-Adresse, Passwort-Hash (bcrypt)
• Inhaltsdaten: von dir eingereichte Sachverhalte, Gutachten und zugehörige Analyseergebnisse
• Nutzungsdaten: Analysehistorie, Quizergebnisse, Lernfortschritt, Feedback
• Zahlungs- und Abrechnungsdaten bei kostenpflichtigen Tarifen (über den Zahlungsdienstleister)
• Metadaten: IP-Adresse, User-Agent, Zeitstempel und Request-Logs zur Sicherstellung des Betriebs

Die Verarbeitung erfolgt auf Grundlage der nachstehenden Tatbestände aus Art. 6 Abs. 1 DSGVO; die jeweils zugeordneten Zwecke sind abschließend:

• Art. 6 Abs. 1 lit. b DSGVO — Erfüllung des Nutzungsvertrags: Bereitstellung des Accounts, Durchführung der Gutachtenanalyse, Erstellung von Übungsaufgaben.
• Art. 6 Abs. 1 lit. a DSGVO — Einwilligung: Übermittlung deiner Inhalte an das eingesetzte KI-Modell (Amazon Bedrock / Anthropic Claude). Die Einwilligung ist jederzeit mit Wirkung für die Zukunft widerruflich (Art. 7 Abs. 3 DSGVO).
• Art. 6 Abs. 1 lit. f DSGVO — Berechtigte Interessen: IT-Sicherheit, Missbrauchsprävention, fehlerfreier Betrieb (Logging, Rate-Limiting). Unser Interesse überwiegt, weil die Daten kurz gespeichert und nicht zu Profilbildungszwecken genutzt werden.
• Art. 6 Abs. 1 lit. c DSGVO — Erfüllung gesetzlicher Pflichten: Aufbewahrungs- und Nachweispflichten, insbesondere aus §§ 147 AO, 257 HGB.

Für den technischen Betrieb der Plattform setzen wir die folgenden Auftragsverarbeiter ein. Mit allen genannten Anbietern bestehen Auftragsverarbeitungsverträge gemäß Art. 28 DSGVO:

Die Authentifizierung erfolgt ausschließlich auf eigener Infrastruktur. Eine Übermittlung von Zugangsdaten an externe Identity-Provider findet nicht statt.

Drittlandtransfer: Neon, Inc. und die AWS-Muttergesellschaft sind in den USA ansässig. Die tatsächliche Datenverarbeitung erfolgt jedoch ausschließlich innerhalb der EU. Als Transfermechanismus dienen die EU-Standardvertragsklauseln (Durchführungsbeschluss 2021/914) gemäß Art. 46 Abs. 2 lit. c DSGVO, ergänzt um die im jeweiligen AVV dokumentierten zusätzlichen Garantien.

Es werden ausschließlich technisch notwendige Session-Cookies unseres eigenen Authentifizierungssystems gesetzt. Rechtsgrundlage ist § 25 Abs. 2 Nr. 2 TDDDG. Tracking-, Marketing- oder Analyse-Cookies von Drittanbietern werden nicht verwendet; eine Einwilligung nach § 25 Abs. 1 TDDDG ist deshalb nicht erforderlich.

Personenbezogene Daten werden nur so lange gespeichert, wie es für die oben genannten Zwecke erforderlich ist oder gesetzliche Aufbewahrungspflichten bestehen:

• Bestands- und Inhaltsdaten: bis zur Kontolöschung durch dich; anschließend Löschung innerhalb von 30 Tagen, soweit keine Aufbewahrungspflichten entgegenstehen.
• Rechnungs- und Zahlungsbelege: 10 Jahre (§ 147 Abs. 3 AO, § 257 Abs. 4 HGB).
• Server- und Sicherheitslogs: maximal 30 Tage, anschließend automatische Löschung oder Anonymisierung.

Die KI-gestützte Gutachtenanalyse ist eine rein bewertende Lernhilfe. Es findet keine automatisierte Entscheidung mit rechtlicher Wirkung oder in ähnlich erheblicher Weise beeinträchtigender Wirkung im Sinne von Art. 22 Abs. 1 DSGVO statt. Die Ergebnisse dienen ausschließlich der eigenen Lernkontrolle; eine Profilbildung oder Bewertung gegenüber Dritten (z. B. Prüfungsämtern) erfolgt nicht.

Dir stehen die folgenden Rechte gegenüber der verantwortlichen Stelle zu:

• Auskunft über die verarbeiteten Daten (Art. 15 DSGVO)
• Berichtigung unrichtiger oder unvollständiger Daten (Art. 16 DSGVO)
• Löschung (Art. 17 DSGVO)
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit in einem strukturierten, gängigen Format (Art. 20 DSGVO)
• Widerspruch gegen Verarbeitungen auf Basis berechtigter Interessen (Art. 21 DSGVO)
• Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO)

Zur Ausübung genügt eine formlose Nachricht an support@lexduvia.de. Unabhängig davon besteht ein Beschwerderecht bei einer Datenschutz-Aufsichtsbehörde (Art. 77 DSGVO). Für uns zuständig ist die Landesbeauftragte für den Datenschutz Niedersachsen.