Datenschutzerklärung

1. Verantwortlicher

Verantwortlicher für die Verarbeitung personenbezogener Daten im Sinne der EU-Datenschutz-Grundverordnung (DSGVO) ist:

Lukas Kaeb
Altenhoeferallee 70
60438 Frankfurt
Deutschland
E-Mail: hello@bomi.academy

Wir haben keinen Datenschutzbeauftragten benannt, weil wir dazu nicht gesetzlich verpflichtet sind (Art. 37 DSGVO). Für Fragen zum Datenschutz wende dich bitte an die oben genannte E-Mail-Adresse.

2. Was wir erheben und warum

Kontodaten

Bei der Registrierung speichern wir deine E-Mail-Adresse, deinen Namen, dein gehashtes Passwort und deine Rolle (Schüler, Nachhilfelehrer, Elternteil oder Admin). Das ist zum Betrieb deines Kontos erforderlich (Art. 6 Abs. 1 lit. b DSGVO — Vertragserfüllung).

Nachhilfe-Inhalte

Hausaufgaben-Abgaben, schriftliches und Audio-Feedback, Noten, hochgeladene Dateien (PDF / Bild / Word / Audio), Klausurergebnisse, Lernpakete und Benachrichtigungen werden zur Bereitstellung des Dienstes gespeichert (Art. 6 Abs. 1 lit. b DSGVO).

KI-Unterstützung

KI-Unterstützung ist Teil des Tutoring-Workflows für von Tutor:innen geprüfte Feedback-Entwürfe und Übungsgenerierung. Dafür verarbeiten wir ausgewählte Schülerarbeiten und Lernkontext zur Bereitstellung des Dienstes (Art. 6 Abs. 1 lit. b DSGVO) und, soweit einschlägig, auf Grundlage unseres berechtigten Interesses am Betrieb und an der Verbesserung des Lernworkflows (Art. 6 Abs. 1 lit. f DSGVO). Eltern können KI-Unterstützung mit Kinderdaten im Elternportal ausschalten; dann werden diese KI-Routen serverseitig blockiert. Für finale Rückmeldungen, Noten und Unterrichtsentscheidungen bleiben Tutor:innen verantwortlich.

Bei quellenbasierten Lernpaketen werden DOCX-Dateien lokal extrahiert, bevor ein minimiertes Textsignal an Anthropic (Claude) gesendet wird. PDF- und Bild-Uploads können zur Extraktion eines Quellensignals an Google Gemini gesendet werden; anschließend wird nur das minimierte Textsignal an Anthropic (Claude) gesendet, um bearbeitbare Lernpaket-Elemente zu entwerfen.

Google-Kalender-Integration (optional)

Nachhilfelehrer können ein Google-Konto verknüpfen, um ihre Unterrichtsstunden in Google Kalender zu sehen. Wir fragen ausschließlich die Scopes openid, email und calendar.events.owned an. Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Du kannst die Verbindung jederzeit auf der Seite „Stunden“ trennen.

• Google-Daten, auf die wir zugreifen: die E-Mail-Adresse des verknüpften Google-Kontos und, für die Unterrichtstermine, die Bomi Academy selbst in deinem Hauptkalender anlegt, diese Termine so, wie Google sie zurückgibt. Davon nutzen und speichern wir nur Event-ID, Versionskennung, Status (zum Beispiel abgesagt) und Startzeit. Deine anderen Kalendertermine, deine Kalenderliste und deine Kontakte lesen wir nicht.
• Daten, die wir an Google schreiben: pro Unterrichtsstunde einen Termin mit dem Titel „Lesson with“ und dem Namen des Schülers, mit Datum, Uhrzeit, Dauer und den Notizen zur Stunde.
• Wie wir sie nutzen: nur, um deine Unterrichtsstunden in deinem Kalender anzulegen, zu ändern und zu entfernen, um zu erkennen, wenn du eine Stunde in Google Kalender absagst oder verschiebst, und um dir anzuzeigen, welches Google-Konto verknüpft ist. Wir nutzen Google-Nutzerdaten nicht für Werbung, verkaufen sie nicht und nutzen sie nicht, um KI- oder Machine-Learning-Modelle zu entwickeln, zu verbessern oder zu trainieren. Menschen bei Bomi Academy lesen diese Daten nicht, außer mit deiner Erlaubnis, zur Untersuchung von Sicherheitsproblemen oder Missbrauch oder wenn das Gesetz es verlangt.
• Weitergabe: wir geben Google-Nutzerdaten nicht weiter und verkaufen sie nicht. Sie werden nur von den Dienstleistern gespeichert und verarbeitet, die unsere App und Datenbank hosten (Vercel und Supabase, siehe Abschnitt 3), und zwar nach unseren Weisungen. Schlägt eine Anfrage an Google fehl, kann ein bereinigter Fehlerbericht an Sentry gehen (siehe Abschnitt 3). An Behörden geben wir sie nur weiter, wenn das Gesetz es verlangt.
• Schutz: alle Daten werden über verschlüsselte Verbindungen (HTTPS/TLS) übertragen. Der Token, der uns den Zugriff gibt (Refresh-Token), ist ruhend verschlüsselt (AES-256-GCM), mit einem Schlüssel, den nur unsere Server haben. Nur unser Server-Code nutzt ihn, immer beschränkt auf dein eigenes Konto, und er wird nie an deinen Browser gesendet.
• Speicherung und Löschung: wir speichern diese Daten, solange dein Google-Konto verknüpft ist. Funktioniert der Zugriff bei Google nicht mehr (zum Beispiel, weil du ihn in deinem Google-Konto entfernt hast), zeigt die Seite „Stunden“ einen Fehler und behält den Verbindungsdatensatz, bis du die Verbindung trennst. Wenn du die Verbindung trennst, widerrufen wir unseren Zugriff bei Google, löschen den Refresh-Token und den Verbindungsdatensatz (verknüpfte E-Mail, Kalender-ID, erteilte Scopes) und entfernen die Google-Event-IDs aus deinen Unterrichtsstunden. Wenn wir einen Antrag auf Löschung deines Bomi-Academy-Kontos erfüllen, widerrufen wir auch unseren Zugriff und löschen diese Daten. Termine, die bereits in deinem Google Kalender stehen, bleiben dort, bis du sie löschst. Du kannst unseren Zugriff auch jederzeit in deinen Google-Kontoeinstellungen entfernen. Unser Audit-Log hält Verbindungen, Trennungen und Synchronisierungen einzelner Stunden mit ihren Google-Event-IDs fest, aber keine Daten deines Google-Kontos; es wird wie in Abschnitt 5 beschrieben aufbewahrt, und Backups werden wie dort beschrieben nach und nach gelöscht.

Die Nutzung und Übertragung von Informationen, die Bomi Academy über Google-APIs erhält, an andere Apps erfolgt gemäß der Google API Services User Data Policy, einschließlich der Anforderungen zur eingeschränkten Nutzung (Limited Use).

Audit-Logs

Aus Sicherheits- und Rechenschaftsgründen führen wir ein internes Log sensibler Aktionen (Logins, Rollenwechsel, Löschungen, Sprachnachrichten-Uploads). Rechtsgrundlage ist unser berechtigtes Interesse an Missbrauchserkennung und der Erfüllung unserer Sicherheitspflichten (Art. 6 Abs. 1 lit. f DSGVO).

Kostenpflichtig fortfahren (wenn aktiviert)

Wenn ein berechtigter Tutor bewusst ein kostenpflichtiges Abo abschließt, hostet Stripe den Checkout und verarbeitet die dort eingegebene Rechnungsidentität, Rechnungsadresse und Zahlungsmethode. Bomi übermittelt nur eine undurchsichtige Tutor-Referenz und den festen Abopreis; keine Schüler-, Eltern-, Nachrichten-, Aufgaben-, Abgabe- oder Lerninhalte gehen an Stripe. Lokal speichern wir nur minimierte Anbieterkennungen und Zahlungsereignis-Nachweise. Die bloße Rückkehr vom Checkout aktiviert keinen Zugriff ohne verifiziertes erfolgreiches Zahlungsereignis.

Bomi speichert außerdem minimierte Zugangs- und Abrechnungsfakten, um neue Aktivität von Tutor:in, verknüpften Schüler:innen und Eltern zu erlauben oder zu sperren: Evaluations- und Bezahlzeiträume, Kündigung, Zahlungsfrist, Schreibschutz, Archivierung, abonnierter Preis und Benachrichtigungsstatus. Schülerarbeiten werden nicht in Abrechnungsdaten kopiert. Schreibschutz und Archivierung begrenzen Zugriff, löschen geteilte Datensätze aber nicht automatisch. Export und authentifizierte Löschanfragen bleiben im geprüften Datenschutzprozess verfügbar.

Fehlerberichte

Bei einem Absturz senden wir einen bereinigten Fehlerbericht an Sentry (siehe Auftragsverarbeiter-Liste unten). Persönliche Kennungen (E-Mail, Name, Tokens, Cookies, Query-Strings) werden vor dem Versand entfernt. Nur deine Benutzer-ID und Rolle werden mitgesendet, damit wir den Bericht auf Anfrage zuordnen können.

Tracking und Cookies

Wir verwenden keine Marketing-Cookies, Werbe-Tracker oder Drittanbieter-Analysen auf den öffentlichen Marketingseiten. Die Anwendung nutzt ein Session-Cookie von NextAuth für den Login — das ist zwingend erforderlich und nach ePrivacy einwilligungsfrei.

3. Auftragsverarbeiter und Empfänger

Wir nutzen folgende Anbieter, um den Dienst zu betreiben. Einige handeln nach ihren Datenverarbeitungsbedingungen als Auftragsverarbeiter; Anbieterregionen, Unterauftragsverarbeiter, Aufbewahrungsfristen und Übermittlungsmechanismen prüfen wir fortlaufend.

• Supabase (Datenbank und Edge-Funktionen) — speichert Konto-/Profildaten, Eltern-Verknüpfungen, Einwilligungen, Aufgaben, Abgaben, Prüfungsergebnisse, Lernpakete, Audit-Logs, DSAR-Logs und KI-Telemetrie.
• Vercel (Hosting, Serverless-Compute) — EU- und US-Edge-Knoten können beteiligt sein. Verarbeitet Request-Metadaten, App-Daten während der Übertragung, Runtime-Logs und Deployment-Umgebungsdaten.
• Vercel Blob (privater Dateispeicher) — speichert hochgeladene und generierte Hausaufgaben-Dateien, Audio, Bilder/PDFs, Korrekturdateien, Prüfungsantwort-Uploads und Audio für Lernpakete.
• Resend (transaktionale E-Mails) — versendet Verifizierungs-, Einladungs-, Passwort-Reset-, Benachrichtigungs-, Kontakt- und Eltern-Digest-E-Mails.
• Upstash Redis (Rate-Limiting) — speichert transiente Aktionszähler und aus Nutzer/IP abgeleitete Rate-Limit-Schlüssel, keine Lerninhalte.
• Sentry (optionales Fehler-Monitoring) — erhält bereinigte Fehlerdiagnosen, wenn es konfiguriert ist. Request-Bodies, Cookies und Console-Breadcrumbs sind deaktiviert; E-Mails, Tokens, Namen und ähnliche personenbezogene Felder werden vor dem Versand redigiert.
• Google Calendar APIs/OAuth (optionale Kalender-Synchronisierung für Nachhilfelehrer) — verarbeitet verschlüsselte Refresh-Tokens, verknüpfte Google-E-Mail-Adressen, Kalender-IDs, Event-IDs und Termin-Metadaten. Beim Trennen der Verbindung wird der Zugriff bei Google widerrufen und diese Daten werden gelöscht.
• Google Gemini/AI Studio und Google Cloud Text-to-Speech (KI-, Transkriptions- und Sprachfunktionen) — kann ausgewählte Prompts, Schüler-Abgaben oder Audio, PDF-/Bild-Uploads zur Quellensignal-Extraktion für Lernpakete, generierte Ausgaben, zu synthetisierende Wörter und Audio-Metadaten verarbeiten, wenn diese Funktionen aktiviert sind oder im Tutoring-Workflow genutzt werden.
• Anthropic (Claude API) (KI-Feedback-, Generierungs- und Freitext-Übersetzungsfunktionen) — kann Abgabeinhalte, Prompts, generiertes Feedback, minimierte Textsignale aus Quellenmaterial, generierte Lernpaket-Entwürfe, freie Texte von Nachhilfelehrern oder Eltern, Sprach-Metadaten und KI-Nutzungstelemetrie verarbeiten, wenn die Funktion aktiviert ist oder im Tutoring-Workflow genutzt wird. Wir behandeln dies als Verarbeitung mit erhöhtem Risiko und beschreiben KI-Verarbeitung nicht pauschal als „datenschutzsicher“.
• Stripe (optionale gehostete Abrechnung) — verarbeitet bei aktivierter und gewählter kostenpflichtiger Fortsetzung E-Mail, Rechnungsidentität/-adresse, Zahlungsmethode, Abo-, Rechnungs- und Belegdaten des zahlenden Tutors. Stripe erhält eine undurchsichtige Tutor-Referenz und keine Schüler- oder Lerninhalte.

Wir verkaufen oder vermieten keine personenbezogenen Daten. Daten geben wir nur weiter, wenn wir gesetzlich dazu verpflichtet sind.

4. Daten von Kindern

Bomi Academy ist Software für Nachhilfelehrer und kleine Akademien. Sie wird von Nachhilfelehrern, Schülern und Eltern genutzt; einige Schüler können minderjährig sein. Wir verarbeiten Schülerdaten nur für die in dieser Erklärung beschriebenen Nachhilfe-, Lern-, Konto-, Sicherheits- und Rechenschaftszwecke.

Die Einbindung von Eltern oder gesetzlichen Vertretern erfolgt dort, wo sie relevant ist, über Eltern-Einladungen, Einwilligungssteuerung und Kontodaten-Kontrollen. Eltern oder gesetzliche Vertreter können die untenstehenden Rechte stellvertretend für ihr Kind ausüben.

5. Wie lange wir Daten speichern

• Kontodaten: solange dein Konto aktiv ist, und nach einer erfüllten Löschanfrage nur so lange, wie es für Sicherheit, Streitigkeiten, Missbrauchsprävention und gesetzliche Pflichten erforderlich ist. Löschanfragen werden nach Umfang geprüft, weil Eltern-, Schüler- und Nachhilfelehrer-Datensätze sich überschneiden können.
• Abgaben und Feedback: für die Dauer der Nachhilfelehrer-Schüler-Beziehung, sofern berechtigte Datensätze nicht früher gelöscht werden. Per Soft-Delete gelöschte Kerndatensätze wie Gruppen, Aufgaben, Abgaben, Termine, Lernpakete und Rubrik-Vorlagen werden nach 30 Tagen zur endgültigen Löschung vorgesehen; private hochgeladene oder generierte Dateien werden vor der Datenbank-Löschung entfernt, soweit dies unterstützt wird.
• Audit- und DSAR-Logs: normalerweise bis zu 12 Monate, sofern ein Sicherheitsvorfall, Streitfall oder eine gesetzliche Pflicht keine längere Aufbewahrung erfordert.
• Betriebliche Datensätze: beanspruchte oder abgelaufene Einladungen werden normalerweise nach 30 Tagen gelöscht; veraltete Onboarding-Entwürfe, Eltern-Digest-Protokolle und KI-Feedback-Entwurfstexte nach 90 Tagen; In-App-Benachrichtigungen nach 180 Tagen; und allgemeine KI-Nutzungstelemetrie nach 12 Monaten.
• Operative Fehlerberichte: lokal gelöste Berichte werden normalerweise 30 Tage nach der Lösung gelöscht; weiterhin ungelöste lokale Berichte werden normalerweise nach 90 Tagen gelöscht. Die Sentry-Aufbewahrung richtet sich nach den konfigurierten Anbieter-Einstellungen.
• Google-Kalender-Verbindungsdaten: solange dein Google-Konto verknüpft ist; sie werden gelöscht, wenn du die Verbindung trennst oder wenn wir deinen Antrag auf Kontolöschung erfüllen (siehe Abschnitt 2).
• Backups: werden nach den Backup-Einstellungen der Anbieter aufbewahrt. Einzelne Löschungen aus Backups erfolgen möglicherweise nicht sofort; Daten laufen mit dem Überschreiben alter Backups aus.
• Kommerzieller Zugang und Benachrichtigungsnachweis: Zugangs-, Zahlungs-, Kündigungs-, Frist-, Schreibschutz- und Archivzeitpunkte bleiben beim Tutor-Abrechnungsdatensatz, solange Steuer-, Streit- und Betroffenenpflichten geprüft werden. Erfolgreiche Zustellnachweise und In-App-Hinweise werden normalerweise nach 180 Tagen gelöscht. Archivierung löst keine pauschale Löschung aus.
• Rechnungen und steuerlich relevante Unterlagen: 10 Jahre, wie nach § 147 AO erforderlich.

6. Deine Rechte

Nach der DSGVO hast du das Recht auf:

• Auskunft über die zu deiner Person gespeicherten Daten (Art. 15);
• Berichtigung unrichtiger Daten (Art. 16);
• Löschung („Recht auf Vergessenwerden") in den gesetzlichen Fällen (Art. 17);
• Einschränkung der Verarbeitung (Art. 18);
• Datenübertragbarkeit in einem strukturierten, maschinenlesbaren Format (Art. 20);
• Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21);
• Widerruf einer erteilten Einwilligung jederzeit — unberührt bleibt die Rechtmäßigkeit der bisherigen Verarbeitung (Art. 7 Abs. 3).

Authentifizierte Eltern können ihre Daten auf der Eltern-Daten-Seite herunterladen. Schüler können ihre Daten über die Kontodaten-Kontrollen herunterladen. Der Export wird als ZIP mit strukturierten Daten und, soweit verfügbar, hochgeladenen oder generierten Dateien bereitgestellt. Eltern und Schüler können dort auch eine authentifizierte Löschanfrage stellen.

Du kannst diese Rechte auch per E-Mail ausüben: hello@bomi.academy. Wir antworten innerhalb von 30 Tagen.

Du hast außerdem das Recht, dich bei einer Aufsichtsbehörde zu beschweren. Zuständig für uns ist:

Der Hessische Beauftragte für Datenschutz und Informationsfreiheit
Postfach 3163
65021 Wiesbaden
Deutschland
https://datenschutz.hessen.de

7. Sicherheit

Wir verwenden TLS für alle Datenübertragungen, AES-256-GCM für sensible Felder im Ruhezustand (z. B. OAuth-Refresh-Tokens), bcrypt für Passwort-Hashes, Rate-Limiting an Authentifizierungs-Endpunkten und Standard-Sicherheits-Header (CSP, HSTS, X-Frame-Options). Anwendungsseitige Autorisierung beschränkt den Zugriff so, dass Nachhilfelehrer, Eltern und Schüler nur Daten erhalten, die sie sehen dürfen.

8. Internationale Übermittlungen

Einige Anbieter können personenbezogene Daten außerhalb des EWR verarbeiten, abhängig von Anbieter-Konfiguration und genutzter Funktion. Soweit erforderlich, stützen sich Übermittlungen auf Data-Privacy-Framework-Zertifizierungen der Anbieter, EU-Standardvertragsklauseln oder andere Schutzmaßnahmen. KI-Anbieter behandeln wir gesondert, weil Schülerarbeiten und internationale Übermittlungen ein höheres Risiko schaffen.

9. Änderungen dieser Erklärung

Wir können diese Erklärung aktualisieren, wenn sich unsere Verarbeitung ändert. Die aktuelle Fassung ist unten datiert; wesentliche Änderungen kündigen wir mindestens 14 Tage im Voraus per In-App-Benachrichtigung oder E-Mail an.