App laden

Rechtliches

Datenschutzerklärung

Stand: 5. November 2026

1. Verantwortlicher

Magnus Ohle
Haaggasse 10
72070 Tübingen
Deutschland
E-Mail: info[at]checkst.app

Diese Erklärung gilt für die Website checkst.app, die iOS-App checkst (Karteikarten) und die iOS-App teckst (Vorlesungen aufnehmen). Beide Apps stammen vom selben Anbieter und nutzen dasselbe optionale checkst-Konto. Weitere Angaben finden Sie im Impressum. Einen Datenschutzbeauftragten haben wir nicht benannt; dazu sind wir nicht verpflichtet.

2. Das Wichtigste in Kürze

  • Beide Apps funktionieren ohne Konto. Karteikarten, Lernfortschritt, Aufnahmen, Transkripte und Notizen liegen dann nur auf Ihrem Gerät.
  • teckst lädt Audioaufnahmen nie hoch. Die Transkription läuft auf dem Gerät.
  • Wir verwenden keine Werbung, keine Werbe- oder Tracking-SDKs von Dritten, keine Social-Media-Plugins und kein Fingerprinting.
  • Daten gehen an unseren Server, wenn Sie ein checkst-Konto nutzen: für Lerngruppen, Ranglisten, geteilte Stapel und Vorlesungen und (mit Pro) für die Synchronisierung. An OpenAI gehen Texte nur, wenn Sie selbst einen eigenen OpenAI-Schlüssel eintragen.
  • Wenn Sie Ihr Konto löschen, löschen wir Ihre Daten. Ausnahme: Inhalte, die Sie in eine weiter bestehende Gruppe hochgeladen haben (Abschnitt 9).

3. Website checkst.app

3.1 Server und Protokolle

Die Website und die Schnittstelle der Apps (checkst.app/api) laufen auf einem Server von Hetzner in Deutschland. Bei jedem Aufruf verarbeitet der Server IP-Adresse, Zeitpunkt, aufgerufene Adresse, HTTP-Status, Referrer und User-Agent. Diese Daten speichern wir in Server-Protokollen:

  • Zugriffsprotokoll für die Reichweitenmessung (Abschnitt 3.3): täglich rotiert, nach etwa 2 Tagen gelöscht.
  • Sicherheitsprotokoll (Erkennen von Angriffen und Missbrauch): täglich rotiert, nach etwa 8 Tagen gelöscht.
  • Standard-Protokolle des Webservers: täglich rotiert, bis zu 52 Tage aufbewahrt.
  • Anwendungsprotokoll der Schnittstelle: Fehlermeldungen, bei fehlgeschlagenen Anmelde- oder Passwort-Reset-Vorgängen auch die verwendete E-Mail-Adresse.

Zur Begrenzung von Anfragen (Schutz vor automatisierten Anmeldeversuchen und vor dem Durchprobieren von Vorschau-Links) zählt der Server Anfragen pro IP-Adresse. Diese Zähler liegen nur im Arbeitsspeicher und werden nicht gespeichert.

Zweck: Betrieb, Sicherheit und Fehlersuche. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem sicheren und funktionsfähigen Dienst).

3.2 Cloudflare

checkst.app ist über Cloudflare (Cloudflare, Inc., USA) erreichbar. Cloudflare leitet jeden Aufruf der Website und jede Anfrage der Apps an unseren Server weiter und verarbeitet dabei die Verbindungs- und Anfragedaten (u. a. IP-Adresse, aufgerufene Adresse, User-Agent). Cloudflare liefert die Seiten aus, wehrt Angriffe ab, schützt E-Mail-Adressen auf der Website vor Spam-Bots (dafür bindet Cloudflare ein kleines Skript ein) und kann Fehlerberichte zur Netzwerkverbindung (NEL) an Cloudflare senden lassen. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Cloudflare ist unser Auftragsverarbeiter; zur Übermittlung in die USA siehe Abschnitt 8. Datenschutzhinweise:cloudflare.com/privacypolicy.

3.3 Reichweitenmessung (minilytics)

Um zu verstehen, welche Seiten aufgerufen werden und woher Besucher kommen, werten wir das Zugriffsprotokoll (IP-Adresse, User-Agent, Referrer, aufgerufene Adresse, Status) mit minilytics aus, einem von uns selbst betriebenen Statistikwerkzeug. Es wird kein Skript in Ihren Browser geladen, es werden keine Cookies gesetzt und nichts auf Ihrem Gerät gespeichert. Ein Hintergrundprozess auf unserem Server liest das Protokoll und übermittelt an unsere Statistik-Datenbank nur Seitenpfad (ohne Parameter), Zeitpunkt, groben Gerätetyp, die Domain der verweisenden Seite und regelmäßig wechselnde pseudonyme Kennungen; die IP-Adresse selbst wird dabei nicht übermittelt. Die Statistik-Datenbank läuft auf einem von uns gemieteten Server bei OVH (Frankreich). Das Zugriffsprotokoll wird nach etwa 2 Tagen gelöscht.Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Verbesserung der Website). Sie können dem nach Art. 21 DSGVO widersprechen (E-Mail genügt).

3.4 Anmeldung auf der Website

Wenn Sie sich auf checkst.app anmelden (Konto, Passwort zurücksetzen), speichert Ihr Browser das Anmelde-Token und Ihre Kontodaten im lokalen Speicher (localStorage), bis Sie sich abmelden. Das ist für die gewünschte Funktion unbedingt erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG). Ansonsten speichert die Website nichts auf Ihrem Gerät.

4. App checkst

4.1 Ohne Konto

Karteikarten, Stapel, Medien, Lernfortschritt und Einstellungen liegen in der App auf Ihrem Gerät. Wir erhalten davon nichts. Die Daten verlassen Ihr Gerät nur in den Fällen, die in den Abschnitten 4.2 bis 4.11 beschrieben sind.

4.2 iCloud-Synchronisierung (kostenlos)

Wenn Sie die iCloud-Synchronisierung einschalten, speichert die App Ihre Sammlung in Ihrer privaten iCloud-Datenbank (CloudKit) bei Apple. Wir haben darauf keinen Zugriff. Diese Daten verwalten Sie über Ihre Apple-ID; eine Löschung Ihres checkst-Kontos löscht sie nicht. Es gelten dieDatenschutzbestimmungen von Apple.

4.3 checkst-Konto

Für ein Konto speichern wir E-Mail-Adresse, Benutzernamen und einen Hash Ihres Passworts, optional Profilbild-Adresse, Universität und Studiengang. Dass Sie die Nutzungsregeln akzeptiert haben, merkt sich die App auf Ihrem Gerät. Passwort-Reset-Codes werden nach Gebrauch bzw. Ablauf ungültig. Rechtsgrundlage:Art. 6 Abs. 1 lit. b DSGVO (Vertrag). Ohne E-Mail-Adresse und Passwort können wir kein Konto anlegen; alle Kernfunktionen der Apps gehen auch ohne Konto.

4.4 Synchronisierung über das checkst-Konto (Pro)

Mit Pro synchronisiert die App Ihre Sammlung über unseren Server: Notizen und Karten (Inhalte), Notiztypen, Stapel-Einstellungen, Lernplan-Daten (FSRS) und den Wiederholungsverlauf einschließlich Antwortzeit pro Karte. Die Übertragung ist verschlüsselt (TLS); auf dem Server sind die Daten Ihrem Konto zugeordnet gespeichert. Mediendateien (Bilder, Audio) liegen in Cloudflare R2 in der EU-Region, abgelegt unter Ihrer Nutzer-ID. Rechtsgrundlage:Art. 6 Abs. 1 lit. b DSGVO.

4.5 Lerngruppen, Ranglisten und Frost

  • Gruppen: Name, Mitglieder, Rollen, Einladungscode sowie Stapel und Vorlesungen, die Mitglieder hochladen. Gruppenmitglieder sehen Ihren Benutzernamen, Ihr Profilbild und Ihre Lernwerte in der Gruppe.
  • Lernwerte: XP, Level, Streak, Anzahl Wiederholungen, gelernte Karten, Zeitpunkt der letzten Wiederholung, freigeschaltete Erfolge, Lernfortschritt pro Tag einschließlich Lernzeit sowie XP pro Woche.
  • Globale Rangliste: Benutzername, XP, Level und Streak sind für alle angemeldeten Nutzer sichtbar, nicht nur für Ihre Gruppen. Wählen Sie deshalb einen Benutzernamen, der nicht Ihr Klarname sein muss.
  • Frost: Absender, Empfänger, Gruppe, Woche und Zeitpunkte verschenkter Frost-Tage.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (die Gruppen- und Ranglistenfunktionen sind Teil des Dienstes, den Sie mit dem Konto nutzen).

4.6 Geteilte Stapel, Vorlesungen und Vorschau-Links

Stapel (.apkg) und Vorlesungsnotizen, die Sie in eine Gruppe hochladen, speichern wir für die Gruppe; Dateien liegen in Cloudflare R2 (EU). Alle Mitglieder der Gruppe können sie ansehen und herunterladen. Über einen geteilten Link ist eine Vorschau ohne Anmeldung sichtbar: bei Stapeln Name, Kartenanzahl und Gruppenname, bei Vorlesungen Titel, Kursname, Datum und Gruppenname. Ihr Benutzername erscheint in dieser öffentlichen Vorschau nicht.

4.7 Melden, Blockieren und Moderation

Wenn Sie Inhalte oder Personen melden, speichern wir Meldung, Grund, optionale Anmerkung, Ihre Nutzer-ID und den Zeitpunkt. Der Anbieter erhält eine Benachrichtigung per E-Mail (Versand über Brevo, Abschnitt 4.9) mit Ihrem Benutzernamen und dem gemeldeten Inhalt. Ab drei Meldungen verschiedener Personen wird ein Inhalt bis zur Prüfung automatisch ausgeblendet. Blockierungen speichern wir, damit Sie Inhalte der blockierten Person nicht mehr sehen; die blockierte Person erfährt davon nichts. Gesperrte Konten speichern wir mit Grund. Rechtsgrundlage: Art. 6 Abs. 1 lit. b und lit. f DSGVO (sicherer Dienst, Schutz anderer Nutzer) sowie Art. 6 Abs. 1 lit. c DSGVO, soweit wir Meldungen nach dem Digital Services Act bearbeiten müssen.

4.8 Pro-Abonnement (Apple In-App-Kauf)

Den Kauf wickelt Apple ab; Zahlungsdaten erhalten wir nicht. Wir speichern Produkt-ID, Transaktions-ID, Ablaufdatum und Status, fragen den Status bei der App Store Server API von Apple ab und empfangen Statusmeldungen von Apple (App Store Server Notifications). Zweck: Pro-Status prüfen.Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

4.9 E-Mails

E-Mails zum Zurücksetzen des Passworts und Benachrichtigungen über Meldungen an den Anbieter versenden wir über Brevo (Frankreich) als Auftragsverarbeiter. Dabei verarbeitet Brevo Empfängeradresse und Inhalt der E-Mail. Rechtsgrundlage: Art. 6 Abs. 1 lit. b bzw. lit. f DSGVO. Datenschutzhinweise: brevo.com/legal/privacypolicy.

4.10 KI-Kartenerstellung

  • Auf dem Gerät: Mit Apple Intelligence erzeugt die App Karten lokal (Apple Foundation Models). Dabei geht nichts an uns.
  • Mit eigenem OpenAI-Schlüssel: Wenn Sie selbst einen OpenAI-API-Schlüssel eintragen, sendet die App den ausgewählten Text (auch Text aus einem PDF oder per Texterkennung aus einem Foto) direkt vom Gerät an OpenAI bzw. an den von Ihnen eingetragenen kompatiblen Anbieter. Wir sehen weder den Inhalt noch den Schlüssel; der Schlüssel liegt im Schlüsselbund Ihres Geräts. Die Verarbeitung bei OpenAI richtet sich nach Ihrem Vertrag mit OpenAI (openai.com/policies/privacy-policy); OpenAI sitzt in den USA.
  • Ohne beides: Sie können Text in eine andere App kopieren und das Ergebnis einfügen. checkst überträgt dabei nichts.

4.11 Deck-Galerie

Die Deck-Galerie lädt die Liste und die Stapel-Dateien direkt von GitHub (GitHub, Inc., USA). GitHub erhält dabei Ihre IP-Adresse und die Anfragedaten. Datenschutzhinweise: GitHub Privacy Statement.

5. App teckst

  • Auf dem Gerät: Audioaufnahmen, Transkripte, Notizen, Folien, Scans und Stundenplan bleiben auf Ihrem Gerät. Die Transkription läuft auf dem Gerät (Apple Spracherkennung). teckst braucht kein Konto; Mikrofon, Kamera und Fotos werden nur nach Ihrer Freigabe und nur für die jeweilige Funktion genutzt.
  • Vorlesung mit einer Gruppe teilen (optional): Dazu meldet sich teckst mit Ihrem checkst-Konto an. Hochgeladen werden die Notizen (Text) und, wenn Sie das auswählen, die Folien als PDF; Notizen liegen auf unserem Server, PDFs in Cloudflare R2 (EU). Die Audioaufnahme wird nie hochgeladen. Für geteilte Vorlesungen gelten die Abschnitte 4.5 bis 4.7.
  • Notizen mit eigenem OpenAI-Schlüssel (optional): Tragen Sie einen eigenen Schlüssel ein, sendet teckst den Transkripttext direkt vom Gerät an OpenAI, um Notizen zu erstellen (wie Abschnitt 4.10). Ohne Schlüssel entstehen Notizen auf dem Gerät mit Apple Intelligence.
  • Formel-Erkennung: Das Modell dafür lädt teckst beim ersten Gebrauch von checkst.app herunter. Dabei fallen nur die üblichen Verbindungsdaten an (Abschnitt 3.1 und 3.2); persönliche Inhalte werden nicht übertragen. Die Erkennung läuft auf dem Gerät.

6. Keine Werbung, kein Tracking durch Dritte

Wir verwenden keine Werbenetzwerke, keine Analyse- oder Tracking-Dienste von Dritten (etwa Google Analytics), keine Social-Media-Plugins und kein Fingerprinting. Wir verkaufen keine Daten und treffen keine automatisierten Entscheidungen im Sinne von Art. 22 DSGVO. Die automatische Ausblendung nach drei Meldungen (Abschnitt 4.7) ist vorläufig; über Löschung oder Sperrung entscheidet ein Mensch.

7. Empfänger und Auftragsverarbeiter

  • Hetzner Online GmbH (Deutschland): Server-Hosting.
  • Cloudflare, Inc. (USA): Auslieferung und Schutz von Website und Schnittstelle, Speicherung von Dateien in R2 (EU-Region).
  • Brevo (Frankreich): Versand von E-Mails.
  • OVH (Frankreich): Server für unsere Zugriffsstatistik (Abschnitt 3.3).
  • Apple: App-Vertrieb, In-App-Kauf, iCloud (eigene Verantwortung von Apple bzw. Ihr Vertrag mit Apple).
  • OpenAI: nur, wenn Sie selbst einen eigenen Schlüssel eintragen (Ihr Vertrag mit OpenAI).
  • GitHub: nur beim Laden aus der Deck-Galerie.
  • Andere Nutzer: wie in Abschnitt 4.5 und 4.6 beschrieben.

8. Übermittlung in Drittländer

Unser Server und die Dateiablage (R2) liegen in der EU. Cloudflare, Apple, GitHub und OpenAI sind bzw. gehören zu Unternehmen mit Sitz in den USA; dabei können Daten in die USA gelangen. Grundlage ist der Angemessenheitsbeschluss der EU-Kommission zum EU-US Data Privacy Framework (Art. 45 DSGVO) für dort zertifizierte Unternehmen, ansonsten Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO).

9. Speicherdauer und Kontolöschung

  • Kontodaten, Sync-Daten, Lernwerte und Gruppenmitgliedschaften: bis Sie Ihr Konto löschen.
  • Server-Protokolle: wie in Abschnitt 3.1 angegeben (etwa 2, 8 bzw. bis zu 52 Tage).
  • Abo-Daten: bis zur Löschung des Kontos.

Sie können Ihr Konto jederzeit in der App löschen (checkst: Profil › Einstellungen › Konto) oder per E-Mail. Dabei löschen wir Ihr Konto, Ihre Sync-Daten und Mediendateien, Ihre Lernwerte, Frost-Geschenke, Mitgliedschaften, Ihre öffentlich geteilten Stapel, Meldungen von Ihnen und über Sie sowie Blockierungen.

Ausnahme Gruppeninhalte: Stapel und Vorlesungen, die Sie in eine Gruppe hochgeladen haben, die mit anderen Mitgliedern weiter besteht, bleiben dort für die anderen Mitglieder erhalten und werden dem Gruppen-Owner zugeordnet bzw., wenn Sie selbst Owner waren, dem Mitglied, das die Gruppe übernimmt. Ihr Name ist danach nicht mehr mit diesen Inhalten verknüpft. Gruppen, in denen Sie das einzige Mitglied waren, werden mit allen Inhalten gelöscht. Grundlage für das Weiterbestehen: Art. 6 Abs. 1 lit. f DSGVO (Interesse der Gruppe an den gemeinsamen Lernmaterialien) und das Nutzungsrecht nach § 5 der AGB. Möchten Sie, dass ein solcher Inhalt trotzdem entfernt wird, schreiben Sie uns.

Ein laufendes Abo kündigt die Kontolöschung nicht; das geht nur in den Abo-Einstellungen Ihrer Apple-ID. Daten in Ihrer iCloud und auf Ihrem Gerät löschen Sie selbst (App löschen bzw. iCloud-Einstellungen).

10. Ihre Rechte

Sie haben nach der DSGVO das Recht auf

  • Auskunft (Art. 15),
  • Berichtigung (Art. 16),
  • Löschung (Art. 17),
  • Einschränkung der Verarbeitung (Art. 18),
  • Datenübertragbarkeit (Art. 20),
  • Widerspruch gegen Verarbeitungen auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO (Art. 21).

Eine E-Mail an info[at]checkst.app genügt.

11. Beschwerderecht

Sie können sich bei einer Datenschutz-Aufsichtsbehörde beschweren, etwa an Ihrem Wohnort oder bei der für uns zuständigen Behörde: Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg, baden-wuerttemberg.datenschutz.de/beschwerde.

12. Änderungen

Wenn sich die Apps oder die Rechtslage ändern, passen wir diese Erklärung an. Es gilt die jeweils hier veröffentlichte Fassung.

← Zurück zur Startseite