1.1 Wir freuen uns über Ihren Besuch auf unserer Website und Ihr Interesse an unserer SaaS-Plattform „TutorClover". Im Folgenden informieren wir Sie darüber, wie wir personenbezogene Daten bei der Nutzung unserer Website und unserer Plattform verarbeiten. Personenbezogene Daten sind alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen (Art. 4 Nr. 1 DSGVO).

1.2 Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO für die in dieser Datenschutzerklärung beschriebenen eigenen Verarbeitungen ist:

1.3 Soweit TutorClover personenbezogene Daten im Auftrag seiner Kunden verarbeitet (vgl. Ziffer 6.2), agiert der jeweilige Kunde als datenschutzrechtlich Verantwortlicher; TutorClover handelt insoweit als Auftragsverarbeiter im Sinne des Art. 4 Nr. 8 DSGVO.

2.1 Bei der rein informatorischen Nutzung unserer Website, also wenn Sie sich nicht registrieren und uns keine Informationen übermitteln, verarbeiten wir die Daten, die Ihr Browser automatisch an unseren Server übermittelt (Server-Logdaten). Dies sind insbesondere:

• ›aufgerufene Seite / URL
• ›Datum und Uhrzeit des Zugriffs
• ›übertragene Datenmenge
• ›Referrer-URL (zuvor besuchte Seite)
• ›Browsertyp und Browserversion
• ›verwendetes Betriebssystem
• ›IP-Adresse, soweit technisch erforderlich; soweit technisch umgesetzt, kann eine Kürzung oder Anonymisierung erfolgen

2.2 Rechtsgrundlage für diese Verarbeitung ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt in der sicheren und stabilen technischen Bereitstellung der Website, der Gewährleistung der IT-Sicherheit, der Erkennung und Abwehr von Angriffen sowie der Missbrauchs- und Betrugsprävention.

2.3 Speicherdauer: Server-Logdaten werden in der Regel bis zu 7 Tage gespeichert und anschließend automatisch gelöscht, sofern kein konkreter Anlass zur weiteren Aufbewahrung (z. B. ein laufender Sicherheitsvorfall oder eine Behördenanfrage) besteht.

2.4 Diese Website nutzt eine SSL- bzw. TLS-Verschlüsselung für die Datenübertragung.

3.1 Unsere Website und Plattform verwenden ausschließlich technisch notwendige Speicherungen im Browser (localStorage) sowie sitzungsbezogene Token, die für den sicheren Betrieb, die Authentifizierung und die Aufrechterhaltung von Sitzungen erforderlich sind. Wir setzen derzeit keine Tracking-, Analyse- oder Marketing-Cookies ein.

3.2 Soweit dabei Informationen auf Ihrem Endgerät gespeichert oder ausgelesen werden, erfolgt dies nach § 25 Abs. 2 Nr. 2 TDDDG, da der Zugriff für die Bereitstellung des von Ihnen ausdrücklich angeforderten digitalen Dienstes unbedingt erforderlich ist. Eine separate Einwilligung ist hierfür nicht erforderlich.

3.3 Soweit im Zusammenhang mit technisch notwendigen Speicherungen personenbezogene Daten verarbeitet werden, erfolgt dies auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) oder Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt in der Gewährleistung eines sicheren und funktionsfähigen Betriebs.

3.4 Sollten wir künftig einwilligungspflichtige Speicherungen einsetzen, werden wir die Datenschutzerklärung entsprechend aktualisieren und eine Einwilligung einholen.

3.5 Cookie-Consent-Tool (CCM19): Zur Einholung, Verwaltung und Dokumentation etwaiger einwilligungspflichtiger Speicherungen sowie zur Anzeige des Cookie-Hinweises setzen wir das Tool „CCM19" der Papoo Software & Media GmbH, Auguststr. 4, 53229 Bonn, Deutschland, ein. Beim Laden des Tools werden Ihre IP-Adresse sowie technische Zugriffsdaten an die Server des Anbieters übermittelt und dort verarbeitet, um Seitenaufrufe eindeutig zuordnen und eine getroffene Auswahl nachweisen zu können; hierzu wird ein technisch notwendiges Session-Cookie mit einer Speicherdauer von maximal 24 Stunden gesetzt. Die Verarbeitung erfolgt ausschließlich auf Servern in Deutschland/der EU; eine Drittlandübermittlung findet nicht statt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. c DSGVO i. V. m. § 25 Abs. 2 Nr. 2 TDDDG (rechtliche Verpflichtung zur Nachweisbarkeit einer etwaigen Einwilligung). Der Nachweis einer Consent-Auswahl wird nach Angaben des Anbieters grundsätzlich für die Dauer von einem Jahr gespeichert (Standardeinstellung, individuell konfigurierbar) und danach automatisch gelöscht.

4.1 Wenn Sie mit uns Kontakt aufnehmen, z. B. per E-Mail oder über das Kontaktformular auf unserer Website, verarbeiten wir die von Ihnen übermittelten Daten (insbesondere Name, E-Mail-Adresse, Nachrichteninhalt) zur Bearbeitung und Beantwortung Ihrer Anfrage.

4.2 Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt in der zügigen und sachgerechten Bearbeitung eingehender Anfragen sowie in der Nachvollziehbarkeit der Kommunikation, z. B. zu Dokumentations- und Nachweiszwecken. Soweit Ihre Anfrage auf den Abschluss oder die Durchführung eines Vertrags gerichtet ist, ist ergänzende Rechtsgrundlage Art. 6 Abs. 1 lit. b DSGVO.

4.3 Speicherdauer: Ihre Anfragedaten werden grundsätzlich bis zur abschließenden Bearbeitung gespeichert und anschließend gelöscht, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen oder ein berechtigtes Interesse an der Dokumentation besteht (in der Regel bis zu 3 Jahre nach Abschluss der Korrespondenz).

4.4 Business-Kontakte und Direktansprache

Wir können geschäftliche Kontaktdaten von Ansprechpartnern bei Unternehmen (z. B. Name, geschäftliche E-Mail-Adresse, Unternehmen, Rolle/Funktion, Website, Kommunikationshistorie) verarbeiten, um mit bestehenden Kunden, Interessenten oder Geschäftspartnern zu kommunizieren, die aktiv mit uns Kontakt aufgenommen haben oder mit denen bereits eine Geschäftsbeziehung besteht.

Rechtsgrundlage für diese Verarbeitung ist Art. 6 Abs. 1 lit. f DSGVO (Pflege bestehender Geschäftsbeziehungen und Bearbeitung eingehender Anfragen) bzw. Art. 6 Abs. 1 lit. b DSGVO, soweit die Kommunikation der Anbahnung oder Durchführung eines Vertrags dient.

Werbliche E-Mails (Direktmarketing) versenden wir an geschäftliche Kontakte nur, wenn hierfür eine Rechtsgrundlage nach § 7 UWG vorliegt – insbesondere bei vorheriger ausdrücklicher Einwilligung (§ 7 Abs. 2 Nr. 3 UWG, Art. 6 Abs. 1 lit. a DSGVO) oder, im engen Rahmen der Ausnahme für Bestandskunden, wenn wir die E-Mail-Adresse im Zusammenhang mit dem Verkauf einer Ware oder Dienstleistung erhalten haben, die beworbene Leistung ähnlichen eigenen Waren oder Dienstleistungen entspricht, der Empfänger der Verwendung nicht widersprochen hat und bei Erhebung sowie bei jeder Verwendung klar und deutlich auf die Widerspruchsmöglichkeit hingewiesen wurde (§ 7 Abs. 3 UWG). Eine bloße Geschäftsbeziehung oder ein berechtigtes Interesse allein genügt nicht, um unaufgeforderte Werbe-E-Mails zu versenden.

Betroffene Personen können der Verarbeitung ihrer Daten zu Direktmarketingzwecken sowie dem Erhalt weiterer werblicher E-Mails jederzeit und kostenfrei widersprechen, z. B. per E-Mail an info@tutorclover.com oder über den Abmeldelink in der jeweiligen E-Mail.

5.1 Sie können auf unserer Plattform ein Nutzerkonto erstellen. Die Registrierung erfolgt entweder durch Angabe von E-Mail-Adresse und Passwort oder über Google Sign-In als Single-Sign-On-Option (vgl. Ziffer 8).

5.2 Im Rahmen der Registrierung und des Onboardings verarbeiten wir insbesondere folgende Daten:

• ›E-Mail-Adresse (Pflichtangabe)
• ›Passwort in kryptografisch gesicherter Form (Hashing) – nur bei E-Mail/Passwort-Registrierung
• ›Name der Organisation / des Unternehmens (Pflichtangabe)
• ›Land und Zeitzone
• ›Angaben zur initialen Konfiguration des Accounts, z. B. gewählter Abonnement-Tarif

5.3 Pflichtangaben und Folgen der Nichtbereitstellung: Die als Pflichtfelder gekennzeichneten Angaben (E-Mail-Adresse sowie Passwort bzw. SSO-Anmeldung und Organisationsname) sind für die Einrichtung und Nutzung des Nutzerkontos vertraglich erforderlich. Ohne diese Daten ist die Anlage eines Kontos technisch nicht möglich und ein Nutzungsvertrag kann nicht geschlossen werden.

5.4 Rechtsgrundlage der Verarbeitung ist Art. 6 Abs. 1 lit. b DSGVO (Vertragsdurchführung und vorvertragliche Maßnahmen).

5.5 Speicherdauer: Accountdaten werden bis zur Beendigung des Vertragsverhältnisses und anschließend bis zu 3 Jahre danach aufbewahrt (Verjährungsfrist nach §§ 195, 199 BGB), sofern keine längere gesetzliche Aufbewahrungspflicht besteht. Steuerlich und handelsrechtlich relevante Unterlagen werden gemäß § 257 HGB / § 147 AO abhängig von der jeweiligen Dokumentenkategorie zwischen 6 und 10 Jahren aufbewahrt (z. B. Rechnungen und sonstige Buchungsbelege: bis zu 8 Jahre; Geschäftskorrespondenz: bis zu 6 Jahre; Bücher, Aufzeichnungen und Jahresabschlüsse: bis zu 10 Jahre).

5.6 Administratoren können ihr Konto und organisationsbezogene Daten im Rahmen der bereitgestellten Plattformfunktionen verwalten.

5.7 Marketing-Kommunikation (freiwillig, einwilligungsbasiert)

Im Rahmen der Registrierung haben Sie die Möglichkeit, optional in den Empfang von Marketing-E-Mails von TutorClover einzuwilligen – beispielsweise Produktneuheiten, Praxistipps und Sonderangebote. Diese Einwilligung ist vollständig freiwillig und keine Voraussetzung für die Nutzung der Plattform.

5.7.1 Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung). Die Einwilligung kann jederzeit mit Wirkung für die Zukunft widerrufen werden, ohne dass die Rechtmäßigkeit der bis dahin auf Grundlage der Einwilligung erfolgten Verarbeitung berührt wird.

5.7.2 Widerruf: Den Widerruf können Sie jederzeit per E-Mail an info@tutorclover.com erklären. Jede von uns versendete Marketing-E-Mail enthält zudem einen Link zum unkomplizierten Abbestellen (Opt-out) direkt in der E-Mail.

5.7.3 Double-Opt-In-Verfahren: Die Einwilligung zur Marketing-Kommunikation wird im Double-Opt-In-Verfahren eingeholt, d.h. Sie erhalten nach der Registrierung eine Bestätigungs-E-Mail und müssen Ihre Einwilligung aktiv bestätigen. Erst nach dieser Bestätigung werden Marketing-E-Mails versendet. Dies stellt sicher, dass kein Dritter die Anmeldung missbräuchlich vornehmen kann, und dient als Nachweis gemäß § 7 Abs. 2 Nr. 3 UWG.

5.7.4 Nachweis der Einwilligung: Datum und Zeitpunkt der erteilten Einwilligung sowie der Bestätigung im Double-Opt-In-Verfahren werden zur Nachweisbarkeit gemäß Art. 7 Abs. 1 DSGVO gespeichert. Diese Nachweisdaten werden bis zu 3 Jahre nach Widerruf der Einwilligung aufbewahrt.

6.1 Verarbeitung eigener Vertrags- und Administratordaten

Im Zusammenhang mit der Bereitstellung der Plattform verarbeiten wir als Verantwortlicher insbesondere Daten der registrierten Administratoren und sonstigen Ansprechpartner unserer Kunden:

• ›Stammdaten und Kontaktdaten (Name, E-Mail-Adresse)
• ›Organisations- und Accountdaten
• ›Vertrags-, Abonnement- und Abrechnungsdaten
• ›Protokolldaten zu administrativen Aktionen innerhalb der Plattform (z. B. Aktionen im internen Verwaltungsbereich, Aktionen des KI-Assistenten), soweit diese durch die jeweiligen Protokollierungsfunktionen der Plattform erfasst werden
• ›Nachweise über die Akzeptanz rechtlich erforderlicher Dokumente (z. B. AVV) mit Zeitstempel

Rechtsgrundlagen sind Art. 6 Abs. 1 lit. b DSGVO (Vertragsdurchführung) sowie Art. 6 Abs. 1 lit. c DSGVO (gesetzliche Pflichten). Für die Speicherung von Sicherheits- und Nachweisdaten gilt ergänzend Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt dabei in der Nachweisbarkeit rechtlicher Erklärungen, der IT-Sicherheit und der Verteidigung gegen etwaige Rechtsansprüche.

6.2 Verarbeitung von Plattformdaten im Auftrag des Kunden

Unsere Plattform ermöglicht es Kunden, personenbezogene Daten ihrer Lehrkräfte, Schüler, Erziehungsberechtigten und sonstigen Kontaktpersonen zu verarbeiten (z. B. Namen, Kontaktdaten, Lernstände, Terminhistorien). In diesem Verhältnis handelt der jeweilige Kunde als datenschutzrechtlich Verantwortlicher; TutorClover handelt insoweit als Auftragsverarbeiter gemäß Art. 28 DSGVO.

Die Verarbeitung solcher Daten erfolgt ausschließlich zur Erbringung der vertraglich vereinbarten Plattformleistungen auf Grundlage des mit dem Kunden abgeschlossenen Auftragsverarbeitungsvertrags (vgl. Ziffer 11). TutorClover verarbeitet diese Daten nicht für eigene Zwecke.

Für die Rechtmäßigkeit der vom Kunden veranlassten Verarbeitung, insbesondere für die Wahl der geeigneten Rechtsgrundlage und die Erfüllung der Informationspflichten gegenüber betroffenen Personen (z. B. Lehrkräften und Schülern), ist der jeweilige Kunde verantwortlich.

6.3 Speicherdauer

Sicherheitsrelevante Protokolldaten und Nachweise über rechtliche Erklärungen werden mindestens bis zum Ablauf des jeweiligen Vertragsverhältnisses und darüber hinaus bis zu 3 Jahre aufbewahrt. Für steuerlich relevante Unterlagen gilt je nach Dokumentenkategorie eine Aufbewahrungsfrist von 6, 8 oder 10 Jahren (§ 257 HGB, § 147 AO; z. B. Rechnungen: bis zu 8 Jahre; Geschäftskorrespondenz: bis zu 6 Jahre).

6.4 Hinweis zu Schülerdaten und Minderjährigen

TutorClover richtet sich als SaaS-Plattform an Nachhilfeinstitute, Lernzentren und sonstige geschäftliche Kunden, nicht unmittelbar an Kinder. Bietet ein Kunde seinen Schülern den kostenlosen Schülerportal-Zugang an, wird dieser für Schüler unter 18 Jahren von einem Elternteil bzw. gesetzlichen Vertreter mit eigenem Konto und eigener E-Mail-Adresse geführt; Schüler ab 18 Jahren können ein eigenes Konto haben. Das ist eine Produktregel von TutorClover und keine Aussage, dass ein bestimmtes Gesetz genau diese Altersgrenze vorschreibt; sie hebt die Pflichten des Kunden und von TutorClover bei der Verarbeitung von Daten Minderjähriger nicht auf. Schülerportal-Konten Minderjähriger, die vor dieser Regel angelegt wurden, können ausnahmsweise weiter bestehen, bis das Nachhilfeinstitut sie auf Eltern-/Erziehungsberechtigten-Zugang umstellt; nichts wird automatisch umgestellt, deaktiviert oder gelöscht, und Nachrichten des bisherigen Kontos werden nicht an das Elternteil übergeben. Ein Eltern-Konto wird mit dem 18. Geburtstag des Schülers nicht automatisch zum Schülerkonto. Soweit Kunden Daten von Schülern, Minderjährigen, Erziehungsberechtigten oder Lehrkräften in der Plattform verarbeiten, erfolgt dies im Verantwortungsbereich des jeweiligen Kunden. Der Kunde ist insbesondere dafür verantwortlich, erforderliche Rechtsgrundlagen, Einwilligungen und Informationspflichten gegenüber betroffenen Personen zu erfüllen.

TutorClover verarbeitet solche Plattformdaten ausschließlich zur Erbringung der vertraglich vereinbarten Plattformleistungen und, soweit einschlägig, im Rahmen des mit dem Kunden abgeschlossenen Auftragsverarbeitungsvertrags.

6.5 Datenschutz durch Technikgestaltung im internen Administrationszugang

Der interne Administrationszugang von TutorClover ist nach dem Grundsatz „Privacy by Design" (Art. 25 DSGVO) gestaltet. Schülerbezogene Daten (Namen, Kontaktdaten, Geburtsdaten und sonstige personenbezogene Angaben) sind im internen Administrationspanel technisch nicht einsehbar. Dem internen Administrator werden ausschließlich anonymisierte Zählwerte (Gesamtanzahl der Schüler pro Organisation) angezeigt. Einzelne Schülerdatensätze sind auf technischer Ebene vom internen Administrationszugang ausgeschlossen.

Lehrkraftdaten (Name, E-Mail-Adresse, Lehrfächer) sind im internen Administrationspanel nur insoweit sichtbar, wie dies für berechtigte Verwaltungsaufgaben (z. B. Hinzufügen einer Lehrkraft auf Anfrage des Kunden, Überprüfung von Kapazitätsgrenzen) erforderlich ist. Sonstige lehrerbezogene Daten (Stundenpläne, zugewiesene Schüler, Honorarinformationen, interne Notizen) sind im internen Administrationspanel nicht zugänglich. Alle Zugriffe über den internen Administrationszugang werden lückenlos protokolliert.

7.1 Für die Abwicklung kostenpflichtiger Abonnements setzen wir den Zahlungsdienstleister Stripe Payments Europe, Ltd., c/o A&L Goodbody, IFSC, Dublin, Irland (EU-Niederlassung; Muttergesellschaft: Stripe, LLC, vormals Stripe, Inc., 510 Townsend Street, San Francisco, CA 94103, USA) ein.

7.2 Verarbeitete Datenkategorien: Im Rahmen der Zahlungsabwicklung werden je nach Zahlmethode insbesondere folgende Daten verarbeitet:

• ›Name des Zahlungspflichtigen
• ›E-Mail-Adresse
• ›Rechnungsadresse
• ›Zahlungsmittelinformationen (z. B. Kreditkarte: Kartentyp, letzte 4 Ziffern, Ablaufdatum – vollständige Kartendaten werden ausschließlich durch Stripe verarbeitet und nicht bei TutorClover gespeichert)
• ›Transaktionsbetrag, Währung, Zeitstempel
• ›Abonnement- und Rechnungs-ID

7.3 Vollständige Zahlungsmitteldaten (z. B. vollständige Kreditkartennummern oder Bankverbindungen) werden von TutorClover nicht gespeichert. Die Verarbeitung dieser Daten erfolgt ausschließlich durch Stripe auf dessen Infrastruktur.

7.4 Rechtsgrundlage der Verarbeitung ist Art. 6 Abs. 1 lit. b DSGVO (Vertragsdurchführung). Stripe verarbeitet die Daten als eigenständig Verantwortlicher in Bezug auf seinen Zahlungsdienst; insoweit gelten die Datenschutzhinweise von Stripe.

7.5 Drittlandübermittlung: Da die Muttergesellschaft von Stripe in den USA ansässig ist, können Daten in die USA übermittelt werden. Stripe ist nach dem EU-US Data Privacy Framework (Angemessenheitsbeschluss der EU-Kommission vom 10. Juli 2023) zertifiziert und setzt zusätzlich EU-Standardvertragsklauseln gemäß Art. 46 Abs. 2 lit. c DSGVO ein. Weitere Informationen zu den eingesetzten Garantien erhalten Sie direkt bei Stripe oder in dessen Datenschutzhinweisen unter: stripe.com/de/privacy

8.1 Wir bieten neben der Registrierung per E-Mail-Adresse und Passwort optional die Anmeldung über Google Sign-In an (Anbieter: Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland; Muttergesellschaft: Google LLC, 1600 Amphitheatre Parkway, Mountain View, CA 94043, USA). Die Nutzung dieser Funktion ist freiwillig; eine Registrierung per E-Mail ist jederzeit alternativ möglich.

8.2 Sofern Sie sich aktiv für Google Sign-In entscheiden, werden folgende Daten aus Ihrem Google-Konto an uns übermittelt:

• ›Name (Vor- und Nachname)
• ›E-Mail-Adresse (Google-Konto-E-Mail)
• ›Eindeutige Nutzerkennung (Google Subject-ID / Sub)
• ›ggf. Profilbild-URL

8.3 Diese Daten werden bei uns zum Zweck der Authentifizierung sowie der Einrichtung und Verwaltung des Nutzerkontos verwendet. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahmen bzw. Vertragsdurchführung).

8.4 Drittlandübermittlung: Da die Muttergesellschaft Google LLC in den USA ansässig ist, können Daten in die USA übermittelt werden. Google LLC ist nach dem EU-US Data Privacy Framework (Angemessenheitsbeschluss der EU-Kommission vom 10. Juli 2023) zertifiziert und setzt zusätzlich EU-Standardvertragsklauseln gemäß Art. 46 Abs. 2 lit. c DSGVO ein.

8.5 Darüber hinaus verarbeitet Google im Rahmen der Authentifizierung eigene Daten nach Maßgabe seiner Datenschutzhinweise. Wir empfehlen, diese vor Nutzung der Funktion zu lesen: policies.google.com/privacy

9.1 Unsere Website und Plattform werden auf Infrastruktur externer Hosting- und Cloud-Dienstleister betrieben. Dabei können sämtliche Daten verarbeitet werden, die bei der Nutzung unserer Website und Plattform anfallen, insbesondere:

• ›Server-Logdaten (IP-Adresse, Zeitstempel, URLs, HTTP-Statuscodes)
• ›Account- und Plattformdaten (Datenbankinhalte, Konfigurationsdaten)
• ›Kommunikations- und Nutzungsdaten
• ›Sicherungs- und Backup-Daten

9.2 Die Verarbeitung durch Infrastrukturdienstleister erfolgt auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO sowie Art. 6 Abs. 1 lit. b DSGVO. Unser berechtigtes Interesse liegt in der sicheren, stabilen und performanten technischen Bereitstellung unserer Website und Plattform.

9.3 Wir setzen insbesondere folgende Arten von Infrastrukturdienstleistern ein:

• ›Hosting, Cloud-Infrastruktur, DNS & Datenbank-Konnektivität (Hyperdrive) für Website, Plattform-Frontends und API-Server: Cloudflare, Inc., 101 Townsend Street, San Francisco, CA 94107, USA
• ›Datenbankbetrieb (PostgreSQL): Neon, LLC (ein Unternehmen der Databricks, Inc.); die Datenbank wird in der EU-Region Frankfurt am Main (AWS eu-central-1) betrieben
• ›Transaktionaler E-Mail-Versand (Systembenachrichtigungen, Passwort-Reset, Rechnungsbelege): Resend (Marke der Plus Five Five, Inc.), 2261 Market Street #5039, San Francisco, CA 94114, USA
• ›Cookie- und Consent-Management (Einholung, Verwaltung und Dokumentation von Einwilligungen): Papoo Software & Media GmbH, Auguststr. 4, 53229 Bonn, Deutschland

9.4 Alle Infrastrukturdienstleister werden als Auftragsverarbeiter gemäß Art. 28 DSGVO eingesetzt. Soweit erforderlich, schließen wir mit Dienstleistern entsprechende Datenverarbeitungsverträge ab. Soweit Dienstleister in Drittländern ansässig sind oder Daten dorthin übermittelt werden, erfolgt dies nur auf Grundlage geeigneter Garantien (Angemessenheitsbeschluss oder EU-Standardvertragsklauseln nach Art. 46 DSGVO).

9.5 Speicherdauer (Backups): Nach der Löschung aus den aktiven Systemen können Daten bis zum Ablauf des beim Datenbankanbieter konfigurierten Backup- und Wiederherstellungszyklus in geschützten Sicherungskopien verbleiben. Diese Kopien werden ausschließlich zur Wiederherstellung verwendet und anschließend automatisiert überschrieben oder gelöscht.

10.1 Eingesetzter Dienst und Funktion: Sofern der KI-Assistent innerhalb der Plattform aktiviert und genutzt wird, werden Eingaben des Nutzers sowie plattformseitige Kontextdaten zur Generierung der angeforderten Ausgaben unmittelbar über die API von OpenAI verarbeitet (Vertragspartner für Nutzer aus der EU/dem EWR und der Schweiz: OpenAI Ireland Limited, 1st Floor, The Liffey Trust Centre, 117-126 Sheriff Street Upper, Dublin 1, D01 YC43, Irland; Muttergesellschaft: OpenAI OpCo, LLC, 1455 3rd Street, San Francisco, CA 94158, USA). TutorClover unterhält eine direkte Vertragsbeziehung mit OpenAI und setzt keinen zwischengeschalteten KI-Proxy-Dienst Dritter ein.

10.2 Verarbeitete Datenkategorien: An den KI-Dienstleister können insbesondere folgende Daten übermittelt werden:

• ›Vom Nutzer eingegebene Anfragen und Texte (Prompts)
• ›Plattformseitige Kontextdaten, die zur Erstellung einer relevanten Antwort erforderlich sind (z. B. strukturierte Informationen aus der Plattform, soweit vom Nutzer freigegeben)
• ›Sitzungsbezogene Metadaten (z. B. Modellkonfiguration, Zeitstempel)

10.3 Speicherung und Modelltraining: Wir nutzen die OpenAI Chat-Completions-API, ohne die optionale „store"-Funktion zu aktivieren; TutorClover veranlasst dadurch keine zusätzliche dauerhafte Speicherung der Konversationen auf der OpenAI-Plattform (z. B. zur späteren Wiederverwendung oder Auswertung). Nach den aktuellen API-Nutzungsrichtlinien von OpenAI werden über die API verarbeitete Daten (Eingaben und Ausgaben) standardmäßig nicht zum Training oder zur Verbesserung von KI-Modellen verwendet, sofern keine ausdrückliche Opt-in-Freigabe erfolgt. Unabhängig von der „store"-Einstellung speichert OpenAI API-Eingaben und -Ausgaben nach eigenen Angaben für einen begrenzten Zeitraum von bis zu 30 Tagen zu Zwecken der Missbrauchserkennung, sofern keine längere gesetzliche Aufbewahrungspflicht besteht. Soweit möglich, konfigurieren wir den KI-Dienst datensparsam.

10.4 Zweck und Rechtsgrundlage: Die Verarbeitung erfolgt zur Bereitstellung der vom Kunden oder Nutzer aktiv genutzten KI-Funktionalität. Soweit TutorClover als Verantwortlicher handelt, ist Rechtsgrundlage Art. 6 Abs. 1 lit. b DSGVO (Vertragsdurchführung). Soweit TutorClover im Auftrag eines Kunden handelt, erfolgt die Verarbeitung im Rahmen des Auftragsverarbeitungsverhältnisses.

10.5 Rollenverteilung: OpenAI Ireland Limited wird von TutorClover als Auftragsverarbeiter gemäß Art. 28 DSGVO eingesetzt. Die Verarbeitung erfolgt ausschließlich im Auftrag und nach Weisung von TutorClover auf Grundlage des mit OpenAI abgeschlossenen Datenverarbeitungsvertrags (OpenAI Data Processing Addendum).

10.6 Drittlandübermittlung: Da die Muttergesellschaft OpenAI OpCo, LLC in den USA ansässig ist, können im Rahmen der konzerninternen Auftragsverarbeitung Daten in die USA übermittelt werden. Die Übermittlung erfolgt auf Grundlage von EU-Standardvertragsklauseln gemäß Art. 46 Abs. 2 lit. c DSGVO, die Bestandteil des mit OpenAI abgeschlossenen Datenverarbeitungsvertrags sind.

10.7 Hinweis zur Datensparsamkeit: Nutzer werden gebeten, über den KI-Assistenten nur solche personenbezogenen Daten einzugeben, die für den jeweiligen Zweck tatsächlich erforderlich sind. Sensible Kategorien personenbezogener Daten (Art. 9 DSGVO) sollten nicht eingegeben werden, sofern dies nicht ausdrücklich für den jeweiligen Anwendungsfall vorgesehen ist.

11.1 Da unsere Kunden über die Plattform personenbezogene Daten Dritter (Lehrkräfte, Schüler, Erziehungsberechtigte) verarbeiten, schließen wir mit unseren Kunden einen Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO. Grundlage hierfür ist die in Ziffer 6.2 beschriebene Auftragsverarbeitertätigkeit von TutorClover.

11.2 Der AVV wird im Onboarding-Prozess zur digitalen Annahme bereitgestellt. Die Annahme wird mit Zeitstempel, IP-Adresse und weiteren Nachweisdaten dokumentiert. Die Nachweisdaten werden für die Dauer des Vertragsverhältnisses und anschließend grundsätzlich für bis zu drei Jahre aufbewahrt. Eine längere Speicherung erfolgt nur, soweit dies aufgrund konkreter Rechtsansprüche, laufender Rechtsstreitigkeiten oder gesetzlicher Aufbewahrungspflichten erforderlich ist.

11.3 Der jeweils aktuelle AVV ist für berechtigte Administratoren innerhalb der Plattform im Bereich „Rechtliches" einsehbar.

12.1 Eine Weitergabe personenbezogener Daten erfolgt nur, soweit dies für die Bereitstellung unserer Website und Plattform, die Vertragsdurchführung, die Zahlungsabwicklung, den Support oder die Erfüllung gesetzlicher Pflichten erforderlich ist.

12.2 Empfängerkategorien und benannte Dienstleister:

12.3 Drittlandübermittlungen im Überblick:

• ›Cloudflare, Inc. (USA): Übermittlung auf Basis EU-US Data Privacy Framework (Angemessenheitsbeschluss) + EU-Standardvertragsklauseln gemäß Art. 46 Abs. 2 lit. c DSGVO
• ›Neon, LLC / Databricks, Inc. (USA): Die Datenbank selbst wird in der EU (Frankfurt am Main, aws-eu-central-1) betrieben; soweit im Rahmen von Support- oder Wartungszugriffen dennoch ein Zugriff aus einem Drittland erfolgt, erfolgt dies auf Basis von EU-Standardvertragsklauseln gemäß Art. 46 Abs. 2 lit. c DSGVO
• ›Stripe, LLC, vormals Stripe, Inc. (USA): Übermittlung auf Basis EU-US Data Privacy Framework (Angemessenheitsbeschluss) + EU-Standardvertragsklauseln
• ›Google LLC (USA): Übermittlung auf Basis EU-US Data Privacy Framework (Angemessenheitsbeschluss) + EU-Standardvertragsklauseln
• ›OpenAI OpCo, LLC (USA): Direkte Vertragsbeziehung über OpenAI Ireland Limited (Dublin, Irland); Übermittlung an die US-Muttergesellschaft auf Basis von EU-Standardvertragsklauseln gemäß Art. 46 Abs. 2 lit. c DSGVO (OpenAI Data Processing Addendum)
• ›Plus Five Five, Inc. / Resend (USA): Übermittlung auf Basis von EU-Standardvertragsklauseln gemäß Art. 46 Abs. 2 lit. c DSGVO sowie, soweit einschlägig, des EU-US Data Privacy Framework (Resend DPA)

Eine Kopie der jeweils angewandten Garantien oder weitere Informationen hierzu können Sie bei uns unter info@tutorclover.com anfordern.

Wir speichern personenbezogene Daten nur so lange, wie es für die jeweiligen Zwecke erforderlich ist oder gesetzliche Aufbewahrungspflichten bestehen. Die folgende Übersicht fasst die wesentlichen Fristen zusammen:

• Server-Logdaten:bis zu 7 Tage nach Entstehung, sofern kein Sicherheitsvorfall eine längere Aufbewahrung erfordert
• Kontaktanfragen / Support-Kommunikation:bis zu 3 Jahre nach abschließender Bearbeitung (Verjährungsfrist)
• Account- und Vertragsdaten:bis zur Beendigung des Vertragsverhältnisses, danach bis zu 3 Jahre (Verjährungsfrist); handels- und steuerrechtlich relevante Unterlagen je nach Dokumentenkategorie 6, 8 oder 10 Jahre (§ 257 HGB, § 147 AO)
• Zahlungs- und Rechnungsdaten:je nach Dokumentenkategorie 6, 8 oder 10 Jahre (§ 257 HGB, § 147 AO; z. B. Rechnungen: bis zu 8 Jahre)
• Daten aus nicht fortgeführten Testzugängen (Trial):Es besteht derzeit kein automatisierter Prozess, der Testaccount-Daten nach einer festen Frist löscht. Administratoren können ihr Konto samt Organisationsdaten jederzeit selbst löschen; dies wirkt sich unmittelbar auf die aktiven Produktivsysteme aus. Gesetzlich vorgeschriebene Unterlagen (z. B. Rechnungen) und Kopien in Backups bleiben davon unberührt und werden gemäß den hierfür jeweils geltenden Fristen aufbewahrt bzw. im Backup-Zyklus gelöscht (siehe unten).
• Sicherheits- und Nachweisdaten (z. B. AVV-Akzeptanz):bis zu 3 Jahre nach Vertragsende; länger nur bei konkreten Rechtsansprüchen, laufenden Rechtsstreitigkeiten oder gesetzlichen Aufbewahrungspflichten
• Backup-Daten:verbleiben nach Löschung aus den aktiven Systemen bis zum Ablauf des beim Datenbankanbieter konfigurierten Backup- und Wiederherstellungszyklus in geschützten Sicherungskopien und werden danach automatisiert überschrieben oder gelöscht

Ihnen stehen nach Maßgabe der gesetzlichen Voraussetzungen folgende Rechte zu:

Zur Ausübung Ihrer Rechte oder bei Fragen zum Datenschutz wenden Sie sich bitte an: info@tutorclover.com

Sie haben das Recht, sich bei einer Datenschutzaufsichtsbehörde zu beschweren, wenn Sie der Ansicht sind, dass die Verarbeitung Ihrer personenbezogenen Daten gegen Datenschutzrecht verstößt (Art. 77 DSGVO). Zuständige Aufsichtsbehörde für uns ist:

Sie können sich jedoch auch an die Aufsichtsbehörde Ihres gewöhnlichen Aufenthaltsorts, Ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes wenden.

16.1 Eine automatisierte Entscheidungsfindung einschließlich Profiling im Sinne des Art. 22 Abs. 1 und 4 DSGVO findet durch TutorClover nicht statt. Wir treffen keine Entscheidungen, die ausschließlich auf automatisierter Verarbeitung beruhen und die betroffenen Personen rechtlich beeinträchtigen oder in ähnlicher Weise erheblich beeinflussen.

16.2 Der KI-Assistent (soweit aktiviert) generiert Ausgaben auf Basis von Nutzereingaben. Diese Ausgaben erfordern stets eine eigenverantwortliche menschliche Prüfung und führen nicht zu automatisierten Entscheidungen mit rechtlicher oder ähnlich erheblicher Wirkung gegenüber betroffenen Personen.

Diese Datenschutzerklärung hat den Stand 30.09.2026 und ist aktuell gültig.

Durch die Weiterentwicklung unserer Plattform, den Einsatz neuer Dienste oder aufgrund geänderter gesetzlicher bzw. behördlicher Vorgaben kann es notwendig werden, diese Datenschutzerklärung anzupassen. Die jeweils aktuelle Fassung kann jederzeit auf dieser Seite abgerufen werden. Bei wesentlichen Änderungen informieren wir registrierte Nutzer soweit möglich auf geeignetem Wege.