Diese Erklärung beschreibt, welche personenbezogenen Daten wir bei der Nutzung von Nun Pirat verarbeiten, warum wir das tun, an wen wir sie weitergeben und welche Rechte du hast.
1. Verantwortlicher
Nun Pirat
Inhaber: Omar Sharkeyeh
Ahornstraße 30
83451 Piding
Deutschland
Telefon: +49 8651 7661143
E-Mail: [email protected]
Wir sind gesetzlich nicht verpflichtet, eine Datenschutzbeauftragte oder einen Datenschutzbeauftragten zu benennen. Schreib uns bei Fragen zum Datenschutz einfach an die oben genannte Adresse.
2. Deine Rechte
Du hast jederzeit das Recht auf:
- Auskunft über deine gespeicherten Daten (Art. 15 DSGVO)
- Berichtigung falscher Daten (Art. 16 DSGVO)
- Löschung (Art. 17 DSGVO)
- Einschränkung der Verarbeitung (Art. 18 DSGVO)
- Datenübertragbarkeit (Art. 20 DSGVO)
- Widerspruch gegen die Verarbeitung (Art. 21 DSGVO)
- Widerruf einer Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO)
Viele dieser Dinge kannst du direkt im Konto erledigen: Profildaten ändern, Geräte abmelden, Passkeys entfernen und das Konto löschen.
Du kannst dich außerdem bei einer Aufsichtsbehörde beschweren. Für uns zuständig ist das Bayerische Landesamt für Datenschutzaufsicht (BayLDA), Promenade 18, 91522 Ansbach.
3. Welche Daten wir verarbeiten
- Konto: Vorname, Nachname, E-Mail-Adresse, Passwort (nur als Hash), Benutzername, Sprache, Darstellung und optional ein Profilbild.
- Kontakt und Rechnung: Telefonnummer, Straße, Hausnummer, Postleitzahl, Ort und Land, sofern du ein kostenpflichtiges Abo abschließt.
- Zustimmung: Zeitpunkt und Fassung der Nutzungsbedingungen, denen du bei der Registrierung zugestimmt hast.
- Lernen: Fortschritt, gelöste Aufgaben, Stufen und Ergebnisse.
- Technisch: IP-Adresse, Zeitpunkt des Zugriffs sowie Angaben zu Browser und Gerät.
Ein Geburtsdatum fragen wir nicht ab.
4. Konten für Kinder
Ein Kinderkonto wird von einem Elternteil oder einer Lehrkraft angelegt, nicht vom Kind selbst (Art. 8 DSGVO). Für ein von Eltern angelegtes Kinderkonto speichern wir Vorname, Nachname, einen Benutzernamen und den Lernfortschritt.
Solche Konten haben keine E-Mail-Adresse und kein Passwort. Die Anmeldung läuft über den Benutzernamen und einen Einmalcode, den das Elternteil freigibt. Eltern sehen den Fortschritt ihres Kindes und können das Konto jederzeit löschen.
5. Anmeldung und Gerätesicherheit
- Einmalcodes: Wir senden dir zur Anmeldung oder Bestätigung einen sechsstelligen Code per E-Mail. Er wird nur als Hash gespeichert und verfällt nach zehn Minuten. Der Code für ein Kinderkonto verfällt nach fünf Minuten.
- Passkeys: Wenn du einen Passkey einrichtest, speichern wir den öffentlichen Schlüssel, eine Bezeichnung und den Zeitpunkt. Dein Fingerabdruck oder dein Gesicht verlässt dein Gerät nie und erreicht uns nicht.
- Vertraute Geräte: Damit du dich nicht bei jedem Besuch neu bestätigen musst, merken wir uns ein Gerät: Gerätename, IP-Adresse, Zeitpunkt und ein Token, das nur als Hash gespeichert wird. Das gilt für ein Jahr, und du kannst jedes Gerät in den Sicherheitseinstellungen abmelden.
Rechtsgrundlage ist Art. 6 Abs. 1 lit. b und lit. f DSGVO — Anmeldung und Schutz vor Missbrauch.
6. Cookies und lokale Speicherung
Wir setzen nur Cookies, die für den Betrieb nötig sind:
nun_pirat_session— hält deine Sitzung.XSRF-TOKEN— schützt Formulare vor Fälschung.device_tokenundadmin_device_token— erkennen ein vertrautes Gerät wieder.
Zusätzlich speichert dein Browser lokal deine Datenschutz-Auswahl
(nunpirat_privacy_prefs) und dein helles oder dunkles Design
(theme). Diese Angaben werden nicht an uns übertragen.
Alle genannten Cookies sind technisch erforderlich im Sinne von § 25 Abs. 2 Nr. 2 TDDDG. Wir setzen keine Werbe- oder Tracking-Cookies.
7. Hosting und Auslieferung
Unsere Server stehen in Deutschland und werden betrieben von der INTAC Services GmbH, Berliner Chaussee 13, 16559 Liebenwalde.
Die Seite wird über Cloudflare ausgeliefert (Cloudflare, Inc., 101 Townsend Street, San Francisco, CA 94107, USA). Cloudflare sitzt technisch vor unserem Server, wehrt Angriffe ab und verarbeitet dabei deine IP-Adresse. Cloudflare ist nach dem EU-U.S. Data Privacy Framework zertifiziert; zusätzlich bestehen Standardvertragsklauseln. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (sicherer und stabiler Betrieb).
8. Server-Logfiles
Beim Aufruf der Seite fallen technische Protokolldaten an: IP-Adresse, Zeitpunkt, aufgerufene Adresse, übertragene Datenmenge sowie Browser- und Systemangaben. Wir nutzen sie ausschließlich zur Fehlersuche und zur Abwehr von Angriffen und löschen sie, sobald sie dafür nicht mehr gebraucht werden. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO.
9. E-Mail-Versand
Für Anmeldecodes, Bestätigungen und Benachrichtigungen nutzen wir Mailtrap, betrieben von Railsware Products Studio LLC, 117 E Colorado Blvd, Suite 600, Office 650, Pasadena, CA 91105, USA. Dabei werden deine E-Mail-Adresse und der Inhalt der Nachricht verarbeitet. Der Anbieter ist nach dem EU-U.S. Data Privacy Framework zertifiziert, und es besteht ein Auftragsverarbeitungsvertrag mit Standardvertragsklauseln.
10. Zahlungen
Für kostenpflichtige Abos arbeiten wir mit diesen Zahlungsdienstleistern:
- Stripe Payments Europe, Limited, 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, Irland — mit Datenübermittlung an die Stripe, Inc., USA, die nach dem EU-U.S. Data Privacy Framework zertifiziert ist.
- PayPal (Europe) S.à r.l. et Cie, S.C.A., 22-24 Boulevard Royal, L-2449 Luxemburg.
An den Zahlungsdienstleister übermitteln wir deine E-Mail-Adresse, den Namen des Tarifs, den Betrag und eine interne Kennung deines Kontos. Vollständige Karten- oder Kontodaten erreichen uns nie — du gibst sie direkt beim Zahlungsdienstleister ein. Wir speichern nur eine Referenz, mit der die nächste Abbuchung ausgelöst werden kann. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.
11. Dateien und Medien
Profilbilder und Inhalte liegen bei DigitalOcean Spaces in der Region Frankfurt am Main (DigitalOcean, LLC, 105 Edgeview Drive, Suite 425, Broomfield, CO 80021, USA). Die Daten werden in Deutschland gespeichert.
12. Suche
Die Suche läuft über Typesense auf unserem eigenen Server. Es werden keine Suchdaten an Dritte weitergegeben.
13. Push-Benachrichtigungen
Push-Nachrichten bekommst du nur, wenn du sie im Browser ausdrücklich erlaubst (Art. 6 Abs. 1 lit. a DSGVO). Wir speichern dafür die Adresse des Push-Dienstes deines Browsers und die zugehörigen Schlüssel. Zugestellt wird über den Dienst deines Browser-Herstellers, etwa Apple, Google oder Mozilla. Du kannst die Erlaubnis jederzeit im Browser zurücknehmen.
14. Künstliche Intelligenz
Wir nutzen OpenAI, um Lerninhalte und Illustrationen zu erstellen (OpenAI Ireland Ltd., 1st Floor, The Liffey Trust Centre, 117-126 Sheriff Street Upper, Dublin 1, Irland).
Dabei werden keine personenbezogenen Daten von Lernenden übermittelt. An die KI gehen ausschließlich von uns verfasste Aufgabenstellungen zu Buchstaben, Wörtern und Lernschritten — keine Namen, keine E-Mail-Adressen und keine Lernergebnisse.
15. Keine Webanalyse, kein Tracking
Wir nutzen kein Google Analytics, kein Meta-Pixel, keine Werbenetzwerke und keine geräteübergreifende Wiedererkennung. Wir verkaufen keine Daten und erstellen keine Profile zu Werbezwecken.
Zur Überwachung der technischen Stabilität läuft Laravel Pulse auf unserem eigenen Server. Die Daten verlassen unseren Server nicht.
16. Rechtsgrundlagen im Überblick
- Art. 6 Abs. 1 lit. b DSGVO — Konto, Lernbetrieb und Abwicklung des Abos.
- Art. 6 Abs. 1 lit. c DSGVO — gesetzliche Aufbewahrungspflichten.
- Art. 6 Abs. 1 lit. f DSGVO — Sicherheit, Missbrauchsabwehr und stabiler Betrieb.
- Art. 6 Abs. 1 lit. a DSGVO — Push-Benachrichtigungen.
17. Wie lange wir speichern
- Kontodaten: bis du das Konto löschst.
- Rechnungen und Buchungsbelege: zehn Jahre nach § 147 AO und § 257 HGB.
- Einmalcodes: fünf bis zehn Minuten.
- Vertraute Geräte: ein Jahr nach der letzten Nutzung oder bis du sie abmeldest.
- Protokolldaten: nur so lange, wie es für Fehlersuche und Sicherheit nötig ist.
18. Weitergabe an Dritte
Außer an die oben genannten Dienstleister, die für uns als Auftragsverarbeiter nach Art. 28 DSGVO tätig sind, geben wir deine Daten nicht weiter — es sei denn, wir sind gesetzlich dazu verpflichtet.
19. Änderungen dieser Erklärung
Wenn wir etwas an der Verarbeitung ändern, aktualisieren wir diese Seite. Es gilt jeweils die hier veröffentlichte Fassung.