← zurück zu mimorio

Datenschutz­erklärung

Der Schutz deiner Daten ist uns wichtig. Diese Erklärung informiert dich nach Art. 13 DSGVO darüber, welche personenbezogenen Daten mimorio verarbeitet.

1. Verantwortlicher

Verantwortlich im Sinne der DSGVO ist der im Impressum genannte Diensteanbieter. E-Mail: admin@ayo-service.de.

2. Welche Daten wir verarbeiten

• Konto: deine E-Mail-Adresse und – je nach gewähltem Weg – ein Passwort. Passwörter werden niemals im Klartext gespeichert, sondern nur als gesalzener Argon2id-Hash (19 MiB Speicher, 3 Durchgänge). Meldest du dich über Google oder Apple an, erhalten wir von dort nur eine Kennung und – sofern bestätigt – deine E-Mail-Adresse; ein Passwort sehen wir dabei nie.
• Prüfung auf geleakte Passwörter: Wenn du ein Passwort vergibst, gleichen wir es mit der Liste bekannter Datenlecks von Have I Been Pwned ab. Dabei verlässt dein Passwort unseren Server nicht: übertragen werden lediglich die ersten fünf Zeichen seines SHA-1-Prüfwerts, aus denen sich das Passwort nicht rekonstruieren lässt (k-Anonymität). Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO – unser berechtigtes Interesse daran, dass dein Konto nicht mit einem bereits geleakten Passwort geschützt ist.
• Sicherheitsprotokoll: Anmeldungen (auch fehlgeschlagene), Passwort- und Adresswechsel sowie Verknüpfungen mit Google/Apple werden 180 Tage lang protokolliert, damit du eine unbefugte Anmeldung erkennen kannst. Du siehst dieses Protokoll selbst unter Einstellungen → Sicherheit. Deine IP-Adresse wird darin nur als nicht rückrechenbarer Hash abgelegt (Art. 6 Abs. 1 lit. f DSGVO).
• Lernstand: deine Kurse, Karten und dein Fortschritt werden Ende-zu-Ende-artig verschlüsselt auf dem Server gespeichert (der Server kann die Inhalte nicht im Klartext lesen) und dienen ausschließlich der Synchronisierung deiner Geräte.
• Öffentliches Profil: nur was du selbst teilst – Nutzername, Anzeigename, Bio, Level, XP, Streak, Katzen-Aussehen sowie von dir veröffentlichte Decks und dein Bestenlisten-Eintrag.
• Technisch: zur Missbrauchsabwehr (Rate-Limiting) werden Zeitpunkte von Anfragen kurzzeitig gespeichert. Wir setzen keine Tracking-Cookies und keine Werbenetzwerke ein. Gesetzt wird ausschließlich ein technisch notwendiges Sitzungs-Cookie (Name __Host-ms, HttpOnly, Secure, SameSite=Lax), das allein deine Anmeldung trägt. Für solche unbedingt erforderlichen Cookies ist nach § 25 Abs. 2 TTDSG keine Einwilligung nötig – deshalb gibt es bei uns auch kein Cookie-Banner. Beim Abmelden wird es gelöscht.

3. Zwecke & Rechtsgrundlagen

• Bereitstellung des Kontos und der Sync-Funktion – Art. 6 Abs. 1 lit. b DSGVO (Vertrag).
• Öffentliche Profile, geteilte Decks, Freundes- und Community-Funktionen – Art. 6 Abs. 1 lit. a DSGVO (deine Einwilligung durch aktives Teilen).
• Wöchentliche Erinnerungs-E-Mails – nur, solange du sie in den Einstellungen aktiviert lässt (Einwilligung, jederzeit mit einem Klick widerrufbar).
• Sicherheit/Betrieb – Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem stabilen Dienst).

4. Auftragsverarbeiter / Hosting

Der Dienst wird bei Cloudflare gehostet (Workers, D1-Datenbank, Pages). E-Mails (Bestätigung der Adresse, Passwort zurücksetzen, Sicherheitshinweise, Erinnerungen) werden über den Dienst Resend versendet. Für die Prüfung auf geleakte Passwörter wird der Dienst Have I Been Pwned angefragt – ohne dein Passwort und ohne einen Bezug zu deiner Person. Mit den erstgenannten Anbietern bestehen die nach Art. 28 DSGVO erforderlichen Vereinbarungen zur Auftragsverarbeitung. [Vor Livegang: AV-Verträge abschließen und ggf. Anbieter ergänzen]

5. Speicherdauer

Deine Daten bleiben gespeichert, solange dein Konto besteht. Löschst du dein Konto (Einstellungen → „Konto & alle Daten löschen"), werden alle zugehörigen Daten – Konto, Lernstand, Profil, veröffentlichte Decks, Freundschaften, Bewertungen und Bestenlisten-Eintrag – unwiderruflich entfernt.

6. Deine Rechte

Du hast das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21) sowie das Recht, eine erteilte Einwilligung jederzeit zu widerrufen.

• Datenübertragbarkeit: In den Einstellungen kannst du unter „Meine Daten herunterladen (DSGVO)" jederzeit eine vollständige Kopie deiner Daten als JSON-Datei exportieren.
• Löschung: jederzeit selbst über den Lösch-Knopf in den Einstellungen möglich.
• Zudem hast du ein Beschwerderecht bei einer Datenschutz-Aufsichtsbehörde.