Datenschutzerklärung

Informationen nach Art. 13 DSGVO — was der Examenskompass über dich speichert, warum, wie lange, und wer es sonst noch zu sehen bekommt.

1. Verantwortlicher

Verantwortlich für die Verarbeitung im Sinne des Art. 4 Nr. 7 DSGVO ist:

2. Welche Daten verarbeitet werden

Kontodaten

Beim Anlegen eines Kontos: Anzeigename, E-Mail-Adresse und Passwort. Das Passwort wird nicht gespeichert, sondern nur ein mit scrypt und einem eigenen Zufallswert berechneter Abdruck. Aus ihm lässt sich das Passwort nicht zurückrechnen; auch der Betreiber kann es nicht lesen. Dazu kommt der Zeitpunkt deiner letzten Anmeldung.

Der Betreiber sieht diese Kontodaten in einer Verwaltungsansicht: Anzeigename, E-Mail-Adresse, Zeitpunkt der Registrierung und der letzten Anmeldung sowie eine laufende Sperre nach Fehlversuchen. Er braucht sie, um die geschlossene Beta zu betreuen — etwa um ein Konto auf allen Geräten abzumelden oder dir einen Link zum Zurücksetzen des Passworts zu schicken, der an deine Adresse geht und nicht an ihn. Deine Lerndaten zeigt diese Ansicht nicht. Wie die Anwendung genutzt wird, sieht der Betreiber nur als Summe über alle Konten, nie für dein Konto allein (siehe Zählung der Nutzung unten).

Lerndaten — alles, was du selbst einträgst

Das ist der eigentliche Inhalt der Anwendung und liegt ausschließlich an deinem Konto:

• Klausuren mit Punktzahlen, Datum, Art der Klausur und deiner Fehleranalyse
• Lernzeiten: wann, wie lange, an welchem Thema und mit welcher Tätigkeit
• Lernstand am Stoffkatalog: was bearbeitet, was wiederholt, wie sicher abgerufen
• Wiederholungstermine, Aufgaben aus dem Repetitorium, Fristen
• Themen, die du dem Stoffkatalog selbst hinzufügst, samt ihrer Benennung — sie gehören deinem Konto und sind für andere Konten nicht sichtbar
• eigene Entscheidungen im Rechtsprechungsradar samt deiner Zusammenfassung
• Wochen- und Monatsrückblicke samt deiner Einschätzung und deinen Notizen
• Einstellungen: Bundesland, Examenstermin, Wochenkapazität, Notenschwelle, ob du die Erinnerung per Mail bekommst

Ein Teil dieser Angaben lässt Rückschlüsse auf deine Leistung zu — Klausurnoten sind nichts anderes. Sie werden dir selbst angezeigt — in der Anwendung und, wenn du die Erinnerung einschaltest, als Anzahl in einer Mail an dich. Zu einem anderen Zweck dient nur die Zählung der Nutzung weiter unten: Sie liest allein, wann du etwas eingetragen hast, nie was, und ergibt nur eine Summe über alle Konten.

Der Stoffkatalog gehört nicht dazu

Die Rechtsgebiete, Themen und Problemkreise der sechzehn Bundesländer sind amtliche Inhalte. Sie werden von allen Konten gemeinsam gelesen und tragen keinen Personenbezug.

Die Einladungsliste der geschlossenen Beta

Der Examenskompass ist derzeit in einer geschlossenen Beta. Ein Konto kann nur anlegen, wer eingeladen ist: entweder, weil der Betreiber seine E-Mail-Adresse vorher in eine Einladungsliste eingetragen hat, oder über einen Einladungslink, den der Betreiber an eine Gruppe weitergibt oder den ein anderer Nutzer persönlich mit dir teilt. Für die Einladungsliste gespeichert werden die Adresse, das Datum der Einladung, eine Notiz des Betreibers zur Person (etwa der Vorname) und der Zeitpunkt, zu dem daran ein Konto angelegt wurde.

Das ist der eine Fall, in dem Daten vor und unabhängig von einem Konto verarbeitet werden — und auch dann, wenn nie eines entsteht. Wenn du eingeladen wurdest und kein Konto anlegen möchtest, genügt eine Nachricht an den Betreiber; der Eintrag wird dann gelöscht.

Zu einem Einladungslink gespeichert werden ein Abdruck des Links (nicht der Link selbst), eine Notiz des Betreibers — bei einer Gruppe etwa „Lerngruppe“, bei einem Link für eine einzelne Person auch deren Vorname —, wie viele Konten der Link höchstens anlegen darf und wie viele schon darüber angelegt wurden. Welches Konto über welchen Link entstanden ist, wird nicht festgehalten.

Hast du die ersten Schritte in der Anwendung erledigt, kannst du selbst zwei Personen über einen persönlichen Einladungslink einladen. Dazu wird zusätzlich gespeichert, von welchem Konto der Link stammt, damit die Grenze von zwei Einladungen gilt. Du siehst zu deinen Links nur, ob sie eingelöst wurden, nicht von wem. Der Betreiber sieht persönliche Einladungen nur als Summe über alle Konten. Löschst du dein Konto, werden deine Einladungslinks mit gelöscht.

Die Beta hat eine begrenzte Zahl an Plätzen. Einen Platz belegt jedes Konto in den ersten 21 Tagen und danach jedes, dessen erste Schritte erledigt sind. Dafür wird am Konto festgehalten, wann du die ersten Schritte erstmals erledigt hast. Daran hängt auch der Beta-Dank, der geschenkte Examens-Pass. Der Zeitpunkt bleibt, auch wenn du später Einträge löschst. Ein Konto, das nach 21 Tagen noch keine ersten Schritte hat, gibt seinen Platz frei, wird aber nicht gelöscht.

Zugangsanfragen

Fragst du über das Formular einen Zugang an, werden Name, E-Mail-Adresse, deine Nachricht, soweit du eine schreibst, und der Zeitpunkt gespeichert. Sie dienen allein dazu, die Anfrage zu prüfen und zu beantworten; ausgewertet wird nichts davon.

Du bekommst sofort eine Bestätigung per Mail — sofern zu der Adresse noch kein Zugang besteht — und ein zweites Mal Nachricht, wenn ein Zugang bereitsteht. Lehnt der Betreiber ab, wird die Anfrage gelöscht, ohne dass eine Mail rausgeht.

Erinnerung per Mail

Schaltest du in den Einstellungen die Erinnerung ein, bekommst du an Tagen, an denen etwas fällig ist, gegen 6 Uhr eine Mail. Sie nennt nur, wie viele Wiederholungen, Lessons, Aufgaben aus dem Repetitorium und Fristen fällig sind — keine Themen, keine Noten. Dafür gespeichert werden die Einstellung, ein Zufallswert für den Link zum Abbestellen und der Zeitpunkt der letzten Erinnerung, damit am selben Tag keine zweite kommt.

Abbestellen kannst du über den Link in jeder Mail oder in den Einstellungen. Der Zufallswert wird dabei gelöscht.

Technisch notwendige Daten

• Ein Sitzungscookie namens ek_session. Es enthält eine Zufallszeichenfolge ohne jede Aussage — keinen Namen, keine Kennung, nichts Lesbares. Ohne es ist eine Anmeldung technisch nicht möglich.
• Fehlversuche an der Anmeldung. Gespeichert wird nicht die eingegebene Adresse, sondern nur ihr Abdruck, dazu die Zahl der Versuche und der Zeitpunkt des letzten. Nach 5 Fehlversuchen innerhalb von 15 Minuten ist die Anmeldung für 15 Minuten gesperrt.

Darüber hinaus fallen beim Betrieb der Server technische Protokolle an (Zugriffszeitpunkt, aufgerufene Adresse, IP-Adresse). Sie entstehen beim Hoster, nicht in der Anwendung; siehe Abschnitt 5.

Fehlerprotokoll

Stürzt beim Aufruf einer Seite etwas ab, hält die Anwendung das fest: Zeitpunkt, aufgerufener Pfad, die Fehlermeldung und die technische Aufrufkette (Stapelspur). War dabei jemand angemeldet, wird die Kennung des Kontos mitgespeichert — nicht Name oder Adresse.

Das dient allein dem Zweck, Defekte zu finden. Eine Fehlermeldung kann allerdings Bruchstücke dessen enthalten, was gerade verarbeitet wurde; das lässt sich technisch nicht sicher ausschließen. Deshalb werden diese Einträge nach 30 Tagen gelöscht und an keinen Dienst außerhalb weitergegeben — sie liegen in derselben Datenbank in Frankfurt wie alles andere.

Zählung der Nutzung, nur als Summe

Ob der Examenskompass seinen Zweck erfüllt, misst der Betreiber an zwei Zahlen: wie viele Konten in den ersten 7 Tagen die Einrichtung abschließen und einen Rep-Termin oder eine Klausur anlegen, und wie viele in mindestens 3 der ersten 4 Wochen etwas eintragen. Dafür liest die Anwendung, wann in deinem Konto etwas angelegt oder geändert wurde, nie was darin steht. Anmelden allein zählt nicht.

Gerechnet wird bei jedem Aufruf aus den Zeitpunkten, die ohnehin gespeichert sind. Dafür wird nichts zusätzlich gespeichert, kein Cookie gesetzt und kein Dienst eingebunden. Die Datenbank gibt nur die Summe über alle Konten heraus, nie einen Wert für ein einzelnes Konto. Gruppen unter 5 Konten werden gar nicht ausgewiesen, und die Zahlen ändern sich höchstens einmal in der Woche, damit der Vergleich zweier Tage nichts über ein einzelnes Konto verrät. Die Konten des Betreibers zählen nicht mit.

Du kannst dieser Zählung jederzeit widersprechen (Art. 21 DSGVO). Eine Nachricht an david.woyth@gmail.com genügt, dann zählt dein Konto nicht mehr mit, ohne Nachteil für dich.

3. Wozu, und auf welcher Grundlage

4. Was nicht stattfindet

• Keine Analyse-, Tracking- oder Werbedienste. Die Anwendung bindet keine ein und verfolgt weder Seitenaufrufe noch Klicks noch Geräte. Die einzige Auswertung ist die Zählung der Nutzung aus Abschnitt 2, nur als Summe.
• Keine Cookies außer dem Sitzungscookie. Deshalb gibt es auch keinen Einwilligungsbanner: Es gibt nichts einzuwilligen.
• Keine Weitergabe zu Werbezwecken, kein Verkauf, keine Profilbildung über Konten hinweg.
• Keine automatisierte Entscheidung im Sinne des Art. 22 DSGVO. Die Anwendung rechnet und zeigt an; entschieden wird von dir.

5. Wer die Daten sonst noch verarbeitet

Der Betrieb stützt sich auf drei Dienstleister, die als Auftragsverarbeiter nach Art. 28 DSGVO tätig werden:

Deine Konto- und Lerndaten bleiben in der Europäischen Union. Anwendung und Datenbank laufen in Frankfurt am Main; alles, was in Abschnitt 2 aufgezählt ist, liegt dort. Die Mails verschickt Scaleway, ein französischer Anbieter, aus Paris. Wo eine Mail danach liegt, entscheidet dein eigener Mailanbieter.

In der Mail zum Zurücksetzen stehen deine E-Mail-Adresse, dein Vorname in der Anrede und der Link zum Zurücksetzen. In der Bestätigung einer Zugangsanfrage und in der Einladung stehen ebenfalls deine E-Mail-Adresse und dein Vorname in der Anrede, bei der Einladung zusätzlich der Link zur Registrierung — nicht aber die Nachricht, die du im Formular geschrieben hast; die bleibt allein in der Anfrage. In der Erinnerung stehen deine E-Mail-Adresse, dein Vorname, die Anzahl des Fälligen und der Link zum Abbestellen. Das ist die einzige Mail mit Lerndaten, und auch sie nennt kein Thema, keine Klausur, keine Note und keine Lernzeit.

Übermittlung in die Vereinigten Staaten

Vercel und Neon haben ihren Sitz in den Vereinigten Staaten. Die Daten liegen zwar in Frankfurt am Main, ein Zugriff aus einem Drittland — etwa zu Wartungszwecken — lässt sich aber nicht vollständig ausschließen. Scaleway hat seinen Sitz in Frankreich, für den Mailversand findet keine Übermittlung in ein Drittland statt.

Die Übermittlung stützt sich auf die Standardvertragsklauseln der Europäischen Kommission nach Art. 46 Abs. 2 lit. c DSGVO, die Bestandteil der Verträge mit den Anbietern sind, sowie ergänzend auf deren Teilnahme am EU-US Data Privacy Framework (Angemessenheitsbeschluss der Kommission vom 10. Juli 2023, Art. 45 DSGVO).

Du solltest wissen, was das nicht leistet: US-Behörden können unter dortigem Recht auf Daten zugreifen, die einem US-Unternehmen unterliegen — unabhängig davon, in welchem Rechenzentrum sie liegen. Ein gleichwertiges Schutzniveau wie innerhalb der Europäischen Union lässt sich damit nicht zusichern.

6. Wie lange gespeichert wird

Eine Einschränkung zur Löschung, die ehrlich benannt gehört: Löschst du dein Konto, sind die Daten sofort aus der laufenden Datenbank verschwunden. In den Sicherungskopien der vorangegangenen Tage sind sie noch enthalten, bis diese Kopien turnusmäßig auslaufen — nach rund 3 Tagen. Eine Kopie gezielt zu durchsuchen und einzelne Datensätze daraus zu entfernen, ist technisch nicht vorgesehen; sie werden ausschließlich als Ganzes zur Wiederherstellung verwendet. Für eine gelöschte Zugangsanfrage — abgelehnt oder nach Ablauf der Frist entfernt — gilt dasselbe.

7. Deine Rechte

Dir stehen nach der DSGVO zu:

• Auskunft (Art. 15) und Datenübertragbarkeit (Art. 20). Beides kannst du selbst und sofort ausüben: Unter Einstellungen lädst du jederzeit alle deine Daten als JSON-Datei herunter — vollständig, in einem Format, das sich auch andernorts einlesen lässt.
• Löschung (Art. 17). Ebenfalls selbst und sofort: Unter Einstellungen löschst du dein Konto samt allen Daten. Das ist endgültig und wird nicht bestätigt, verzögert oder zurückgehalten.
• Berichtigung (Art. 16) — jeder Eintrag lässt sich in der Anwendung ändern; Name und E-Mail-Adresse in den Einstellungen.
• Einschränkung (Art. 18) und Widerspruch (Art. 21) gegen die Verarbeitung, die auf ein berechtigtes Interesse gestützt ist.

Für alles, was sich nicht selbst erledigen lässt, genügt eine Nachricht an david.woyth@gmail.com.

8. Beschwerderecht

Du kannst dich nach Art. 77 DSGVO bei einer Aufsichtsbehörde beschweren. Zuständig ist:

Das Beschwerderecht besteht unbeschadet anderer Rechtsbehelfe; du kannst dich auch an die Aufsichtsbehörde deines gewöhnlichen Aufenthaltsorts wenden.

9. Ob du die Daten bereitstellen musst

Nein — die Nutzung ist freiwillig. Ohne E-Mail-Adresse und Passwort lässt sich allerdings kein Konto führen, und ohne Konto kann die Anwendung keinen Lernstand speichern. Solange die geschlossene Beta läuft, muss die Adresse zusätzlich auf der Einladungsliste stehen, oder du registrierst dich über einen Einladungslink. Alles Weitere trägst du ein, soweit du willst; kein Feld außer den Zugangsdaten ist Voraussetzung dafür, dass die Anwendung funktioniert.

10. Änderungen dieser Erklärung

Der Examenskompass ist in Entwicklung. Kommen Funktionen hinzu, die andere Daten verarbeiten, wird diese Erklärung entsprechend angepasst. Maßgeblich ist die jeweils hier abrufbare Fassung.

Stand: 24. September 2026