Datenschutzerklärung

Stand: 1. Oktober 2026

Google-Play-Käufe und Wiederherstellung

Bei Google-Play-Käufen verarbeiten wir Produkt- und Bestellreferenzen, Kauf- und Bestätigungsstatus, Prüfzeitpunkte, einen Hash des Purchase Tokens sowie die aktuelle Konto- und Lizenzzuordnung. Der Purchase Token wird zur Prüfung an Google übermittelt und bei uns nicht im Klartext gespeichert. Bei einer Übertragung protokollieren wir Kaufreferenz, bisherige und neue interne Benutzer- und Lizenzreferenzen, Zeitpunkt und Anlass, um die Wiederherstellung und die eindeutige Zugriffszuordnung nachvollziehen zu können. Kauf- und Übertragungshistorie bleiben bei Kontolöschung mit einem anonymisierten Kontodatensatz erhalten, soweit sie für Wiederherstellung, Vertragsabwicklung oder Missbrauchsabwehr erforderlich sind.

1. Verantwortlicher

Heyn Media Services
Inhaber: Sebastian Heyn
Pfarrgasse 20
99330 Geratal
Deutschland

E-Mail: mail@heyn-it.de

2. Bereitstellung der Website und Server-Protokolle

Beim Aufruf von Stapler Lernen werden technisch erforderliche Verbindungsdaten verarbeitet. Dazu können insbesondere IP-Adresse, Datum und Uhrzeit des Zugriffs, aufgerufene URL, HTTP-Status, übertragene Datenmenge, Referrer (sofern vom Browser übermittelt) sowie Browser-/User-Agent-Angaben gehören. Die Verarbeitung dient der sicheren und stabilen Bereitstellung des Dienstes, der Fehleranalyse und der Abwehr von Missbrauch. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Protokolldaten werden nur so lange vorgehalten, wie sie für Betrieb, Fehleranalyse oder Sicherheitszwecke erforderlich sind; bei einem sicherheitsrelevanten Ereignis können betroffene Protokolle bis zur abschließenden Klärung länger aufbewahrt werden.

3. Registrierung und Benutzerkonto

Bei der Registrierung verarbeiten wir Ihre E-Mail-Adresse, einen nicht rückrechenbar gespeicherten Passwort-Hash, den Status der E-Mail-Bestätigung sowie technische Sitzungs- und Sicherheitsinformationen. Die E-Mail-Adresse wird außerdem für die Bestätigung des Kontos und für Funktionen wie „Passwort vergessen“ verwendet. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit die Daten zur Bereitstellung des von Ihnen gewünschten Benutzerkontos und der damit verbundenen Funktionen erforderlich sind. Sicherheitsmaßnahmen stützen wir zusätzlich auf Art. 6 Abs. 1 lit. f DSGVO.

4. Lernfortschritt und Wissenstests

Bei angemeldeten Benutzern speichern wir den Lernfortschritt kontobezogen. Dazu gehören insbesondere bearbeitete Fragen, Anzahl der Bearbeitungen, richtige und falsche Antworten, Lern-/Wiederholungsstufe, letzte Lernaktivität sowie Ergebnisse abgeschlossener Wissenstests. Diese Daten dienen dazu, den persönlichen Lernstand anzuzeigen, Wiederholungen zu steuern und das Lernen auf mehreren Geräten fortsetzen zu können. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Ohne Konto werden Lernfortschritt und Merkliste ausschließlich auf diesem Gerät bzw. in diesem Browserprofil in IndexedDB gespeichert. Beim Löschen der App- oder Browserdaten und beim Gerätewechsel können diese Daten verloren gehen. Beim späteren Anmelden wird dieser lokale Lernstand einmalig dem angemeldeten Konto zugeordnet und sicher mit vorhandenen Kontodaten zusammengeführt. Eine lokale Sicherungskopie kann auf dem Gerät erhalten bleiben. Im Gastmodus wird kein Lernfortschritt auf dem Server gespeichert.

5. Firmenzugänge und Fortschrittsauswertungen

Die Administration ermöglicht es, Lernfortschritte ausgewählter Benutzer als CSV-Auswertung zu exportieren. Eine Weitergabe solcher Auswertungen an Arbeitgeber, Ausbildungsbetriebe oder Schulungsanbieter erfolgt nicht automatisch. Sie darf nur erfolgen, wenn hierfür eine geeignete Rechtsgrundlage besteht und die betroffenen Personen über Zweck, Empfänger und Umfang der Auswertung informiert wurden. Bei später angebotenen Firmenzugängen werden die konkreten Informations- und Rechtsgrundlagen vor deren Nutzung gesondert festgelegt.

6. Voucher und Zugriffsberechtigungen

Bei Nutzung eines Vouchers verarbeiten wir den Voucher-Code, den Zeitpunkt der Erstellung und Einlösung, eine gegebenenfalls hinterlegte Bezeichnung „Erzeugt für“, die Zuordnung zum einlösenden Benutzer sowie die daraus entstehende Laufzeit des Vollzugriffs. Dies dient der Freischaltung und Verwaltung der erworbenen bzw. bereitgestellten Nutzungsberechtigung. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

7. Transaktions-E-Mails über STRATO

Für technisch notwendige Transaktions-E-Mails (z. B. E-Mail-Bestätigung und Passwort-Zurücksetzen) verwenden wir einen E-Mail-Dienst der STRATO GmbH, Otto-Ostrowski-Straße 7, 10249 Berlin. Dabei werden insbesondere Empfängeradresse, Absender, Betreff und Nachrichteninhalt verarbeitet. Der Versand erfolgt verschlüsselt über SMTP. Soweit STRATO personenbezogene Daten in unserem Auftrag verarbeitet, erfolgt dies auf Grundlage einer Vereinbarung zur Auftragsverarbeitung gemäß Art. 28 DSGVO. Rechtsgrundlage für den Versand ist Art. 6 Abs. 1 lit. b DSGVO; Sicherheits- und Missbrauchsschutz können zusätzlich auf Art. 6 Abs. 1 lit. f DSGVO beruhen.

8. Cookies, lokale Speicherung und PWA-Funktionen

Wir setzen derzeit keine Werbe-, Analyse- oder Social-Media-Tracking-Cookies ein. Für Anmeldung und Schutz der Sitzung wird ein technisch erforderliches First-Party-Session-Cookie (pt_session) verwendet. Es ist als HttpOnly und SameSite=Lax konfiguriert und gilt grundsätzlich nur für die laufende Browser-Sitzung. Damit angemeldete Nutzer insbesondere in der installierten PWA nicht nach dem Schließen der App erneut ihr Passwort eingeben müssen, wird zusätzlich ein technisch erforderliches Dauer-Login-Cookie (pt_remember) mit einer Laufzeit von bis zu 90 Tagen gesetzt. Dieses Cookie ist ebenfalls HttpOnly und SameSite=Lax; bei HTTPS wird es zusätzlich als Secure übertragen. Der enthaltene zufällige Geheimwert ist für JavaScript nicht lesbar, und serverseitig wird nur ein kryptografischer Hash des Geheimwerts gespeichert. Beim Abmelden wird der zugehörige Dauer-Login widerrufen; nach einer Passwortänderung werden alle Dauer-Logins des Kontos ungültig. Die App verwendet außerdem lokale Browser-Speicher und einen Service Worker, um funktionsbezogene Einstellungen, den ausgewählten Katalog, zugriffsstufenbezogene App-/Fragedaten, angemeldeten Lernfortschritt bzw. Synchronisationswarteschlangen sowie PWA-/Offline-Funktionen bereitzustellen. Diese Zugriffe dienen ausschließlich den vom Nutzer aufgerufenen App-Funktionen. Soweit die Speicherung oder der Zugriff auf Informationen im Endgerät für die ausdrücklich gewünschte Bereitstellung dieser Funktionen unbedingt erforderlich ist, ist keine Einwilligung nach § 25 Abs. 2 Nr. 2 TDDDG erforderlich. Ein Einwilligungsbanner für Marketing- oder Analysezwecke wird derzeit deshalb nicht eingesetzt.

9. Web-Push

Browser-Push-Nachrichten sind derzeit noch nicht aktiviert. Vor einer Aktivierung werden die dabei verwendeten Push-Dienste, Empfänger-/Subscription-Daten, Rechtsgrundlagen und Speicherdauern in dieser Datenschutzerklärung ergänzt. Push-Nachrichten werden nur nach einer entsprechenden Browserfreigabe des Nutzers aktiviert.

10. Online-Zahlungen über PayPal

Für den Vollzugriff kann PayPal als Zahlungsart eingesetzt werden. Zahlungsdienstleister ist PayPal (Europe) S.à r.l. et Cie, S.C.A., 22–24 Boulevard Royal, L-2449 Luxemburg. PayPal wird auf unserer Website nicht bereits beim bloßen Seitenaufruf eingebettet. Erst wenn Sie die PayPal-Zahlung ausdrücklich starten, erzeugt unser Server eine PayPal-Order und Ihr Browser wird zur PayPal-Zahlungsumgebung weitergeleitet. Dabei werden insbesondere der Kaufbetrag, die Währung, die Bezeichnung des Produkts sowie technische Order-/Transaktionsreferenzen verarbeitet. Zur eindeutigen Zuordnung verwenden wir außerdem eine interne, pseudonyme Benutzer-/Tenant-Referenz. Nach der Zahlung übermittelt PayPal uns den Zahlungsstatus sowie Order- und Capture-Referenzen. PayPal-Passwörter oder Zugangsdaten erhalten wir nicht. Wir speichern insbesondere Benutzerzuordnung, Order-ID, Capture-ID, Betrag, Währung, Status, Zahlungszeitpunkt und die daraus erzeugte Lizenz. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO zur Durchführung des Nutzungsvertrags. PayPal verarbeitet Daten als eigenständig Verantwortlicher nach seiner eigenen Datenschutzerklärung und kann Daten im Rahmen seiner internationalen Zahlungsinfrastruktur auch außerhalb des EWR verarbeiten. Weitere Informationen: PayPal-Datenschutzerklärung. Für erfolgreich abgeschlossene Zahlungen erzeugen wir eine elektronische Rechnung. Dafür speichern wir zusätzlich eine fortlaufende Rechnungsnummer, Rechnungsdatum, Leistungszeitraum, Betrag, Zahlungsreferenzen sowie die auf der Rechnung verwendeten Anbieter- und Kundendaten als unveränderlichen Rechnungs-Snapshot.

11. Empfänger und Speicherort

Die Webanwendung wird auf selbst betriebenen Server-Systemen in Deutschland bereitgestellt. Eine routinemäßige Weitergabe von Konten- oder Lerndaten an Werbe-, Analyse- oder Social-Media-Anbieter findet nicht statt. Als externer Auftragsverarbeiter wird insbesondere STRATO GmbH für den E-Mail-Versand eingesetzt. Wenn Sie PayPal als Zahlungsart auswählen, werden die zur Zahlungsabwicklung erforderlichen Informationen an PayPal (Europe) S.à r.l. et Cie, S.C.A. übermittelt. PayPal kann nach Maßgabe seiner Datenschutzerklärung weitere Unternehmen und Dienstleister einbeziehen sowie Daten außerhalb des EWR verarbeiten.

12. Speicherdauer

Kontodaten und der damit verbundene Lernfortschritt werden grundsätzlich für die Dauer des Benutzerkontos gespeichert. Sicherheits- und Verifizierungstoken besitzen eine begrenzte technische Gültigkeit bzw. werden nach Verwendung entwertet. Voucher-, Lizenz-, Zahlungs- und Rechnungsdaten können länger aufbewahrt werden, soweit dies zur Vertragsabwicklung, Missbrauchsabwehr, Nachweisführung oder zur Erfüllung gesetzlicher handels- und steuerrechtlicher Aufbewahrungspflichten erforderlich ist. Ausgestellte Rechnungen werden nicht nachträglich inhaltlich überschrieben; erforderliche Korrekturen erfolgen über gesonderte Korrekturbelege. Reine Sandbox-Testzahlungsdaten können nach Abschluss der Testphase gelöscht werden, soweit sie nicht mehr für Fehleranalyse oder Nachweiszwecke benötigt werden. Entfällt der jeweilige Zweck und bestehen keine gesetzlichen Aufbewahrungspflichten mehr, werden die betreffenden personenbezogenen Daten gelöscht oder anonymisiert.

13. Ihre Rechte

Sie haben nach Maßgabe der gesetzlichen Voraussetzungen insbesondere das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16 DSGVO), Löschung (Art. 17 DSGVO), Einschränkung der Verarbeitung (Art. 18 DSGVO), Datenübertragbarkeit (Art. 20 DSGVO) und Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21 DSGVO). Zur Wahrnehmung Ihrer Rechte können Sie sich an mail@heyn-it.de wenden.

14. Beschwerderecht bei einer Datenschutzaufsichtsbehörde

Sie haben das Recht, sich bei einer Datenschutzaufsichtsbehörde zu beschweren. Für nichtöffentliche Stellen mit Sitz in Thüringen ist insbesondere der Thüringer Landesbeauftragte für den Datenschutz und die Informationsfreiheit (TLfDI), Häßlerstraße 8, 99096 Erfurt, zuständig. E-Mail: poststelle@datenschutz.thueringen.de.

15. Transportverschlüsselung und Sicherheit

Die Website wird über TLS/HTTPS bereitgestellt. Wir setzen technische und organisatorische Maßnahmen ein, um personenbezogene Daten gegen Verlust, Veränderung und unberechtigten Zugriff zu schützen. Passwörter werden nicht im Klartext gespeichert, sondern mit einer dafür vorgesehenen Passwort-Hashfunktion verarbeitet.

16. Änderungen dieser Datenschutzerklärung

Wir passen diese Datenschutzerklärung an, wenn sich Funktionen, Dienstleister oder rechtliche Anforderungen ändern. Maßgeblich ist die jeweils auf dieser Website veröffentlichte Fassung.