Datenschutzrichtlinie

1. Identität & Kontakt

Verantwortlicher: Pluxia GmbH, Blegistrasse 7, 6340 Baar, Schweiz (UID: CHE-198.527.946).

Kontakt: privacy@learnclash.com

Antwortzeit: Wir beantworten Datenschutzanfragen innerhalb von 30 Tagen (DSGVO) oder 45 Tagen (CCPA). Komplexe Anfragen können bis zu 90 Tage mit vorheriger Benachrichtigung in Anspruch nehmen.

2. Daten, die wir erfassen

3. Wie wir Ihre Daten verwenden

Automatisierte Entscheidungsfindung: Wir verwenden keine automatisierte Entscheidungsfindung mit rechtlichen oder ähnlich erheblichen Auswirkungen (DSGVO Artikel 22). ELO-Matchmaking ist algorithmisch, hat aber keine rechtlichen Auswirkungen.

4. Drittanbieter-Dienste

Wir nutzen die folgenden Dienste zum Betrieb von LearnClash. Für Analysen, die wir für unsere eigene Berichterstattung verwenden, handelt Google als unser Auftragsverarbeiter; für Werbedaten, die zur Messung und Personalisierung geteilt werden (Google Ads-Conversions und personalisierte Werbung), handelt Google als eigenständig Verantwortlicher gemäß Googles Datenschutzerklärung:

KI-Dienste von Drittanbietern: LearnClash nutzt Google Gemini, aufgerufen über Google Cloud Vertex AI, für die Generierung von Quizfragen, semantische Einbettungen, Übersetzungen, Meldungsvalidierung und Clash-KI-Antworten. Bei der Fragengenerierung werden Fragen- und Thementext verarbeitet, der von Nutzern erstellte Themennamen und -beschreibungen enthalten kann. Bei Premium-Lernmaterial-Themen wird das von Ihnen hinzugefügte Material verarbeitet, um den Text zu extrahieren, es auf Sicherheit zu prüfen und daraus Fragen zu erstellen; dies wird Ihnen vor Ihrem ersten Upload angezeigt, und Sie werden um Ihre Zustimmung gebeten. Google handelt als unser Auftragsverarbeiter und verwendet keine dieser Daten zum Training seiner Modelle. Wir senden keine Konto-E-Mail, Zahlungsdaten, Benachrichtigungstokens oder verborgenen Duellstatus an KI-Dienste. Wenn Sie Clash fragen oder @clash taggen, wird der von Ihnen eingegebene Prompt- oder Nachrichtentext zusammen mit Ihrem Anzeigenamen (zur Personalisierung) zur Erstellung der Antwort verarbeitet. Wir verpflichten alle Drittanbieter, Ihre Daten nach demselben oder einem gleichwertigen Standard zu schützen, wie er in dieser Richtlinie beschrieben ist.

Weitere Informationen: Wie Google Daten verwendet, wenn Sie Websites oder Apps unserer Partner nutzen

Datenschutzrichtlinien von Drittanbietern:

• Firebase Datenschutz
• Google Cloud Data Processing Addendum (Gemini auf Vertex AI, Cloud Vision)
• RevenueCat Datenschutzrichtlinie
• AppsFlyer Services-Datenschutzrichtlinie
• Stripe Datenschutzrichtlinie

5. Datenspeicherung

Bei Abmeldung: Lokale Daten (FCM-Tokens, Cache, Authentifizierungs-Tokens) werden von Ihrem Gerät gelöscht. Ihre Kontodaten bleiben auf unseren Servern, bis Sie Ihr Konto über Profil → Einstellungen → Konto löschen oder per E-Mail löschen.

6. Internationale Übermittlungen

Ihre Daten können außerhalb Ihres Wohnsitzlandes verarbeitet werden. Zielländer sind die Vereinigten Staaten, Israel und die EU/der EWR:

• Firebase/Google — Nutzt Infrastruktur in den Vereinigten Staaten (Google Cloud). Übermittlungen sind durch den EU-US-Datenschutzrahmen abgedeckt (mit dem Schweiz-US-DPF für Nutzer:innen aus der Schweiz und der UK-Erweiterung für Nutzer:innen aus dem UK), unter dem Google LLC selbstzertifiziert ist, ergänzt durch Googles Standardvertragsklauseln (SCCs) als zusätzliche Garantie.
• RevenueCat — Mit Sitz in den Vereinigten Staaten, nutzt SCCs für EU-Konformität.
• AppsFlyer — Mit Hauptsitz in Israel (von der EU als Land mit angemessenem Datenschutzniveau anerkannt), mit Verarbeitung in der EU und den Vereinigten Staaten; nutzt SCCs, wo erforderlich.
• Google Gemini auf Vertex AI und Google Cloud Vision (Google LLC) - Verarbeitung auf Google Cloud-Infrastruktur, hauptsächlich in den Vereinigten Staaten; KI-Anfragen nutzen Googles globalen Serving-Endpunkt und können in anderen Regionen verarbeitet werden, in denen Google tätig ist. Abgedeckt durch Googles Zertifizierung unter dem Data Privacy Framework und SCCs wie oben.
• Stripe: Mit Sitz in den Vereinigten Staaten; zertifiziert unter dem Data Privacy Framework (einschließlich des Schweiz-US-DPF) und nutzt SCCs, wo erforderlich.

7. Ihre Rechte (DSGVO, UK-DSGVO und Schweizer DSG)

Gemäß der Datenschutz-Grundverordnung (und entsprechend gemäß der UK-DSGVO und dem revidierten Schweizer Datenschutzgesetz) haben Sie folgende Rechte:

• Recht auf Auskunft (Artikel 15) — Fordern Sie eine Kopie Ihrer personenbezogenen Daten an.
• Recht auf Berichtigung (Artikel 16) — Korrigieren Sie ungenaue Daten über die Profileinstellungen oder kontaktieren Sie uns.
• Recht auf Löschung (Artikel 17) — Beantragen Sie die Löschung Ihres Kontos. Nutzen Sie die In-App-Option (Profil → Einstellungen → Konto löschen), die Web-Löschseite unter learnclash.com/account/delete oder kontaktieren Sie uns per E-Mail; verbleibende Daten werden gemäß unseren Aufbewahrungsfristen behandelt.
• Recht auf Einschränkung der Verarbeitung (Artikel 18) — Beschränken Sie, wie wir Ihre Daten verwenden.
• Recht auf Datenübertragbarkeit (Artikel 20) — Erhalten Sie Ihre Daten in einem maschinenlesbaren Format.
• Widerspruchsrecht (Artikel 21) — Widersprechen Sie der Verarbeitung auf Grundlage berechtigter Interessen.
• Recht auf Widerruf der Einwilligung — Wenn die Einwilligung die Rechtsgrundlage ist.

So üben Sie Ihre Rechte aus: Senden Sie eine E-Mail an privacy@learnclash.com mit Ihrer Anfrage. Geben Sie zur Verifizierung Ihre Konto-E-Mail an.

Antwortzeit: Innerhalb von 30 Tagen. Komplexe Anfragen können mit vorheriger Benachrichtigung bis zu 60 zusätzliche Tage in Anspruch nehmen.

Beschwerden: Sie haben das Recht, eine Beschwerde bei Ihrer lokalen Datenschutzbehörde einzureichen. Liste der EU-Datenschutzbehörden. Nutzer im Vereinigten Königreich können sich beim Information Commissioner's Office beschweren (ico.org.uk). Nutzer in der Schweiz können sich beim Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten beschweren (EDÖB, edoeb.admin.ch).

8. Ihre Rechte (CCPA/CPRA — Nutzer in Kalifornien)

Gemäß dem California Consumer Privacy Act und dem California Privacy Rights Act:

• Recht auf Information — Fordern Sie die Kategorien und spezifischen personenbezogenen Daten an, die wir erfasst haben.
• Recht auf Löschung — Fordern Sie die Löschung Ihrer personenbezogenen Daten über die In-App-Option (Profil → Einstellungen → Konto löschen), über die Web-Löschseite unter learnclash.com/account/delete oder per E-Mail an.
• Recht auf Berichtigung — Fordern Sie die Korrektur ungenauer Informationen an.
• Recht auf Opt-Out bei Verkauf/Weitergabe — Wir verkaufen Ihre personenbezogenen Daten nicht gegen Geld. Wenn Sie auf unserer Website jedoch der Werbung/Zuordnung zustimmen, aktivieren wir Google Analytics Werbefunktionen (Google Signals) und können eine SHA-256-gehashte Konto-E-Mail für nutzerbereitgestellte Datenfunktionen senden. Dies gilt nach kalifornischem Recht als „Weitergabe" personenbezogener Daten für kontextübergreifende verhaltensorientierte Werbung. Sie können jederzeit widerrufen: (1) klicken Sie auf „Datenschutzeinstellungen" in unserem Footer, (2) lehnen Sie das Zustimmungsbanner bei Ihrem ersten Besuch ab, (3) aktivieren Sie Global Privacy Control (GPC) in Ihrem Browser (wir berücksichtigen GPC automatisch) oder (4) nutzen Sie das Google Analytics Opt-Out Browser Add-on. Wir reagieren nicht auf „Do Not Track"-Signale des Browsers, berücksichtigen jedoch Global Privacy Control. In der LearnClash-App ist die Weitergabe von Analyse- und Werbemessungsdaten an Google zur Messung unserer Anzeigen außerhalb der EU/EWR/UK/Schweiz standardmäßig aktiviert und innerhalb der EU/EWR/UK/Schweiz deaktiviert, bis Sie zustimmen; Sie können jederzeit unter Einstellungen, dann Analyse & Werbemessung widersprechen.
• Recht auf Einschränkung der Nutzung sensibler personenbezogener Daten — Nicht anwendbar (wir verarbeiten keine sensiblen personenbezogenen Daten über den Kontobetrieb hinaus).
• Recht auf Nichtdiskriminierung — Keine Benachteiligung bei Ausübung Ihrer Rechte.

Verifizierung: Wir verifizieren Anfragen, indem wir bestätigen, dass Ihre E-Mail-Adresse mit einem Konto übereinstimmt.

Bevollmächtigte Vertreter: Sie können einen bevollmächtigten Vertreter benennen, der in Ihrem Namen Anfragen mit schriftlicher Genehmigung stellt.

Antwortzeit: Innerhalb von 45 Tagen. Kann mit vorheriger Benachrichtigung um 45 zusätzliche Tage verlängert werden.

CCPA 2026 Updates (In Kraft ab 1. Januar 2026)

• Automatisierte Entscheidungsfindung: Wir verwenden keine automatisierte Entscheidungsfindungstechnologie, die rechtliche oder ähnlich erhebliche Auswirkungen hat.
• Opt-Out-Bestätigungen: Wir bestätigen, wenn Sie sich von der Datenverarbeitung abmelden.
• Global Privacy Control (GPC): Wir erkennen und respektieren automatisch das GPC-Browsersignal als Widerspruch gegen die Weitergabe für kontextübergreifende verhaltensorientierte Werbung. Wenn GPC erkannt wird, wird Google Signals für Ihre Sitzung unabhängig von früheren Zustimmungen deaktiviert.

9. Datenschutz für Kinder

Altersanforderung: LearnClash ist für Nutzer ab 13 Jahren bestimmt.

Wir erfassen wissentlich keine personenbezogenen Daten von Kindern unter 13 Jahren. Wenn Sie glauben, dass ein Kind unter 13 Jahren ein Konto erstellt hat, kontaktieren Sie uns umgehend unter privacy@learnclash.com.

Elternrechte: Eltern können die Löschung von Daten beantragen, die versehentlich von Kindern unter 13 Jahren erfasst wurden.

10. Sicherheit

Wir implementieren branchenübliche Sicherheitsmaßnahmen:

• Verschlüsselung bei der Übertragung: Alle Kommunikationen nutzen TLS/SSL.
• Verschlüsselung im Ruhezustand: Firebase-Standardverschlüsselung für gespeicherte Daten.
• Zugriffskontrolle: Firestore-Sicherheitsregeln mit Berechtigungen auf Feldebene.
• Geräteverifizierung: Firebase App Check validiert die Geräte-Integrität.
• Anti-Cheat: Serverseitige Antwortvalidierung; korrekte Antworten werden nie an den Client gesendet.
• Ratenbegrenzung: Verhindert Missbrauch sensibler Operationen.
• Kryptografischer Schutz: HMAC-SHA256 für Datenschutz-Hashes und Sitzungs-Tokens.
• Geheimnisverwaltung: API-Schlüssel werden im Google Secret Manager gespeichert.

Haftungsausschluss: Kein System ist zu 100% sicher. Wir können keine absolute Sicherheit garantieren, ergreifen aber angemessene Maßnahmen zum Schutz Ihrer Daten.

11. Cookies & Identifikatoren

Mobile App: LearnClash verwendet keine Cookies. Wir nutzen die folgenden Identifikatoren:

• Firebase-Installations-ID — identifiziert die App-Installation
• FCM-Token — für Push-Benachrichtigungen
• App Check-Token — Geräte-Attestierung
• Google-Werbe-ID — nur Android, wird für die Install-Attribution verwendet, solange die Werbemessung aktiviert ist
• AppsFlyer-ID — nur Android, eine von AppsFlyer generierte zufällige Gerätekennung für die Install-Attribution

Website (learnclash.com): Die LearnClash-Website nutzt Google Analytics 4 (GA4) mit Google Consent Mode v2, ausgeliefert über unseren eigenen serverseitigen Tag Manager (sGTM) auf learnclash.com. Ihr Browser sendet Analyseanfragen an unseren Server (Google Cloud Run, us-central1), der sie dann an Google Analytics weiterleitet. Keine Analyseanfrage verbindet sich direkt mit googletagmanager.com oder google-analytics.com. Wir unterscheiden zwei Cookie-Kategorien, die jeweils unabhängig über das Zustimmungsbanner und den Footer-Link „Datenschutzeinstellungen" gesteuert werden:

Cookie-Kategorien

• Analyse-Cookies (gesteuert durch analytics_storage): grundlegende Seitenaufruf-, Sitzungs- und Ereignismessung. Alle vier Cookies sind Erstanbieter-Cookies auf learnclash.com: _ga (2 Jahre, identifiziert den Browser über Sitzungen hinweg), _ga_SCDL21Y0MG (2 Jahre, hält den aktuellen GA4-Sitzungsstatus), FPID (2 Jahre, HttpOnly, vom Server gesetzter Erstanbieter-Identifikator, der die 7-Tage-Cookie-Beschränkung von Safari ITP überlebt) und FPGSID (30 Minuten, SameSite=Strict, vom Server gesetzter Sitzungs-Identifikator). Dient dazu, zu verstehen, welche Seiten besucht werden und Funnel-Konversionen zu messen. Standard: im EWR, Vereinigten Königreich und der Schweiz abgelehnt, bis Sie Analyse erlauben; andernorts aktiviert, sofern Sie nicht widersprechen. Kein Drittanbieter-Ad-Profiling.
• Werbe-Cookies / Google Signals / nutzerbereitgestellte Daten (gesteuert durch ad_storage, ad_user_data, ad_personalization) — aktiviert Google Analytics Werbefunktionen einschließlich Demografie, Interessenkategorien, geräteübergreifender Messung, Remarketing, Enhanced Conversions, Customer Match und Attribution. Nach der Website-Anmeldung und nur wenn diese Kategorie erlaubt ist, können wir Google Analytics einen SHA-256-Hash Ihrer normalisierten Konto-E-Mail senden. Standard: abgelehnt, bis Sie Werbung, Demografie und Zuordnung erlauben. Automatisch deaktiviert, wenn Global Privacy Control erkannt wird, unabhängig von früherer Zustimmung. Nach kalifornischem Recht stellt dies eine „Weitergabe" für kontextübergreifende verhaltensorientierte Werbung dar.

Jederzeit widerrufen oder Einstellungen ändern: Klicken Sie auf „Datenschutzeinstellungen" im Footer jeder Seite. Rechtliche Seiten (Datenschutz, Nutzungsbedingungen, Impressum, Support) laden unabhängig von der Zustimmung keine Analyse- oder Tracking-Dienste.

Chrome-Erweiterung: Die LearnClash Chrome-Erweiterung verwendet GA4 über das Measurement Protocol (keine Cookies). Sie speichert eine kleine Menge Daten lokal auf Ihrem Gerät (Quiz-Pool, Serie, Spracheinstellung und eine zufällige Analysekennung); wir betrachten diese lokale Speicherung als für die Funktion der Erweiterung unbedingt erforderlich, und die Analysekennung ist anonym und wird bei Deinstallation der Erweiterung gelöscht. Details finden Sie in Abschnitt 2.11.

Für EU-Nutzer erfüllen wir die Anforderungen der Google EU-Nutzereinwilligungsrichtlinie.

12. Aktualisierungen der Richtlinie

Wir können diese Datenschutzrichtlinie aktualisieren, um Änderungen in unseren Praktiken oder gesetzlichen Anforderungen widerzuspiegeln.

• Benachrichtigung: Wesentliche Änderungen werden per In-App-Benachrichtigung mitgeteilt.
• Fortgesetzte Nutzung: Die fortgesetzte Nutzung nach Änderungen gilt als Zustimmung.
• Versionshistorie: Wesentliche Änderungen werden unten dokumentiert.

Versionshistorie

13. Kontakt

Für Datenschutzanfragen, Datenanforderungen oder Fragen zu dieser Richtlinie:

privacy@learnclash.com

Wir bemühen uns, alle Anfragen innerhalb von 30 Tagen zu beantworten.