Datenschutzerklärung – Cubelio
Die deutsche und englische Fassung beschreiben denselben Stand der internen Testphase.
Tabellen lassen sich auf kleinen Bildschirmen seitlich scrollen.
1. Verantwortlicher und Kontakt
Verantwortlicher und Kontakt werden vor dem öffentlichen Start ergänzt.
Auch die zuständige Datenschutzaufsichtsbehörde und gegebenenfalls ein Datenschutzbeauftragter sind noch zu ergänzen. Informationen zur eigenen Verarbeitung durch Apple finden Sie in Apples Datenschutzrichtlinie.
2. Was Cubelio verarbeitet und wo
Cubelio ist eine adaptive Lern-App für Speedcubing. Lernen und Verlauf werden lokal auf dem iPad gespeichert; bei Nutzung eines Elternkontos und freigegebener Synchronisierung kommen Cloud-Kopien hinzu. Nicht übernommene lokale Profile bleiben lokal.
Ligen sind in der ersten Version ausgeblendet. Eine neue Liga-Freigabe ist nicht möglich. Bereits erteilte Freigaben aus der internen Beta bleiben gespeichert und sind im Elternbereich jederzeit über „Liga-Freigabe widerrufen“ widerrufbar. Diese Aktion erscheint nur bei aktuell erteilter Freigabe. Das Kind sieht in dieser App-Version keine Liga. Mosaik und fester Spitzname bleiben Profilbild und Profilname und werden innerhalb der Familie synchronisiert.
Die Serververarbeitung bleibt vom Ausblenden unberührt. Der Server leitet weiterhin liga-relevante XP aus synchronisierten Lernereignissen ab, unabhängig von der Liga-Freigabe. Daraus werden Wochen-XP berechnet. Bei der wöchentlichen Neueinteilung werden Wochen-XP bestehender Mitgliedschaften gespeichert, Rang und Auf-/Abstieg für weiterhin freigeschaltete Profile bestimmt und nicht gelöschte Profile mit aktiver Liga-Freigabe für die Folgewoche eingeteilt. Berechtigte Teilnehmer mit aktiver Freigabe können weiterhin Spitzname, Mosaik und Wochen-XP erhalten. Bei Kindern ist dafür zusätzlich die aktuelle Kinder-Cloud-Einwilligung erforderlich. Ob und wann die wöchentliche Neueinteilung im Betrieb tatsächlich läuft, ist noch zu prüfen.
| Datenkategorie | Inhalt und Speicherort |
|---|---|
| Elternkonto | E-Mail, Passwort-Hash in Supabase Auth; Konto-ID, Sprache, Einwilligungsstatus, Testphasenbeginn in der Cloud. Auth-Sitzung lokal im Schlüsselbund. |
| Profile und Einstellungen | Fester Spitzname, Avatar-Mosaik, Kind-/Erwachsenenprofil, Altersgruppe statt Geburtsdatum, Tagesziel, Ligenfreigabe; auch noch ungenutzte Push-Einstellungsfelder. Lokal und bei Übernahme in Supabase. Keine Klarnamen, Fotos, freien Texte oder Standortangaben im Lernprofil vorgesehen. |
| Geräte und Kopplung | Anonymer Auth-Nutzer, Bindungs-ID, Plattform, Modell, Kopplungs-/Widerrufszeit; persistente zufällige Installationskennung für Events, beim Start geladen und als Installationskennung übertragen: Device ID, erhoben, mit Identität verknüpft, kein Tracking, Zwecke App Functionality; Analytics bei Forschungs-Opt-in. Kopplungscode serverseitig als SHA-256-Hash, 10 Minuten gültig. Lokal und Cloud. |
| Lernverlauf | Aufgaben, Versuche, Antworten, Zugfolgen, Zeiten/Splits, Bewertungen, Auswahlentscheidungen, Versionen und Zeitstempel; daraus Lernstand, XP und Statistiken. SQLite lokal und bei Synchronisierung Supabase. |
| Lokale Würfelverbindung | Volle MAC-Adresse und zuletzt verbundener Würfel nur im lokalen SQLite-KV-Store. Der gesonderte Cloud-Pfad für Solve-Metadaten steht in der nächsten Zeile. |
| Würfel in Solve-Events | Nur Marke und Modell ohne gerätespezifisches Suffix, z. B. gan:GANi4, lokal in Solve-Events und bei Sync in Supabase; im Kontoexport und bei aktuellem Forschungs-Opt-in im Forschungsexport. Frist wie Lern-Events. Beim Demo-Würfel wird nur die virtuelle Nutzung vermerkt. |
| Ligen | In der ersten Version keine Liga-Ansicht; bestehende Beta-Freigaben bleiben gespeichert und jederzeit widerrufbar. Server weiterhin mit Ranked-XP-Auswertung sowie Wochen-XP, Rang und Mitgliedschaft bei Rollover-Ausführung; API-Auskunft an berechtigte Teilnehmer umfasst festen Spitznamen, Mosaik und Wochen-XP, keine Konto-E-Mail (Details oben). |
| Einwilligungen und Forschung | Versionierte Einwilligungs-/Widerrufsbelege mit Typ, Zeit, Methode, Profilbezug in Supabase. Pseudonymisierte Forschungsexporte nur mit separatem aktuellem Opt-in; ob Forschung tatsächlich durchgeführt wird, ist noch offen (zu prüfen). |
| Käufe und Testphase | Testphasenbeginn und Berechtigungen; bei aktiviertem Abo Store, Produkt, Periode, Kaufzeit, Transaktions-ID und serverseitig gespeichertes Webhook-Kaufereignis in Supabase. Apple/RevenueCat verarbeiten Käufe; die RevenueCat-Kaufanbindung ist integriert. Der lokale Testphasenbeginn wird bei Kontoanbindung auf dem Server übernommen; lokale Testphasen-Anker und Kaufmerker sind unten gesondert beschrieben. |
| Globale Abrechnungsbelege | Kennungen von Aktualisierungs- und Webhook-Ereignissen, Typ, Ereignis- und Empfangszeit in Supabase. Die Kennungen der Aktualisierungsereignisse enthalten die Elternkonto-UUID. Diese Belege bleiben nach Kontolöschung ohne automatische Löschfrist erhalten (Abschnitt 9). Sie enthalten keine vollständigen Webhook-Rohdaten. |
| Lokaler Zugriffscache | Letzte vollständige Serverantwort zum Zugang je angemeldetem Nutzer (Elternkonto oder gekoppeltes Lerngerät), Nutzerkennung und Abrufzeit in einer lokalen Datenbank auf dem iPad: Zugangsstatus, Trainingserlaubnis, Funktionsliste, Testphasen- und Abo-Zugangsende einschließlich etwaiger Kulanzfrist sowie gegebenenfalls ein Hinweis auf begrenzte Anfragen. Kontolöschung entfernt den Eintrag des Elternkontos; Abmeldung erhält ihn. Fehlgeschlagene Kontobereinigung wird über das Löschjournal beim nächsten Start wiederholt; App-Löschung entfernt den App-Speicher (Abschnitt 9). |
| Lokaler Kaufmerker | Ein Eintrag je Elternkonto in einer lokalen Datenbank auf dem iPad: nur Elternkonto-ID und erster Zeitpunkt der ausstehenden Bestätigung in Millisekunden, keine Produktangabe. Er merkt einen vom Store angenommenen Kauf bis zur Serverbestätigung über Neustarts hinweg. Bis Bestätigung oder Ablauf nach 48 Stunden, geprüft bei Kontoanbindung oder erneutem Bestätigungsversuch; physische Löschung gegebenenfalls erst beim nächsten App-Lauf für dieses Konto. Bei Abmeldung erhalten; bei Konto- oder App-Löschung entfernt. Fehlgeschlagene Kontobereinigung wird über das Löschjournal beim nächsten Start wiederholt. Ausstehende Wiederherstellungen werden nicht gespeichert (Abschnitt 9). |
| Lokale Testphasen-Anker je Konto oder Nutzung ohne Konto | In einer lokalen Datenbank auf dem iPad wird der Testphasenbeginn mit beobachtetem Ende je Konto-ID beziehungsweise für die Nutzung ohne Konto gespeichert; die zuletzt gesehene Gerätezeit wird getrennt für die gesamte Installation gespeichert. Das erste angemeldete Konto übernimmt den Testphasen-Anker der Nutzung ohne Konto. Keine automatische Zeitfrist, auch nach Testphasenende; bei Abmeldung erhalten. Kontolöschung entfernt den eigenen Anker und die ältere Kontozuordnung; bei Fehler wird die Bereinigung über das Löschjournal wiederholt. Anker anderer Konten und die installationsweite Gerätezeit bleiben. App-Löschung entfernt alle diese lokalen Daten. Bei der Datenumstellung werden ältere Testphasen-, Kontozuordnungs- und Ablaufdaten geleert (Abschnitt 9). |
| Sicherheit und Löschungen | PIN-Verifier, Sitzung, Gerätebindung und Löschjournal im lokalen Schlüsselbund. Server-Löschbeleg enthält Operation-ID, Hash und Fristen ohne Konto-/Profil-ID. |
| Technische Diagnose | Automatisch aktives redigiertes App-Log lokal, nur das Teilen ist freiwillig; gesehene Würfelnamen werden geschwärzt; Supabase-Plattformlogs können IP-/Anfrage- und technische Metadaten sowie gegebenenfalls aus IP abgeleitete regionale Angaben enthalten. Konkrete Projektlogfelder sind zu prüfen. Apple-eigene Crash-/Beta-Daten siehe Abschnitt 6. |
Die zufällige Installationskennung und der anonyme Geräte-Login machen Daten nicht anonym: Lern- und Cloud-Daten sind über Profil, Konto oder Gerätebindung verknüpfbar. Forschungsdaten sind pseudonymisierte personenbezogene Daten, keine anonymisierten Einzelereignisse. Im Forschungsexport verbleiben Profil-UUID, Installations-ID sowie Marke und Modell des Würfels. Ein eigener Pseudonymisierungsschritt fehlt. Schutzmaßnahmen, getrennte Zusatzinformationen und die Einordnung nach Art. 4 Nr. 5 DSGVO sind vor einem Forschungslauf rechtlich zu prüfen.
Altbestand aus der internen Beta: Ältere synchronisierte Daten enthalten noch Bluetooth-Namen. Die Bereinigung ist noch offen; die Beschränkung neuer Daten auf Marke und Modell ändert ältere Daten nicht rückwirkend.
3. Zwecke und vorgeschlagene Rechtsgrundlagen
Die folgende Zuordnung muss vor dem öffentlichen Start anwaltlich geprüft werden. Erforderlichkeit, Interessenabwägung und gegebenenfalls gesetzliche Pflichten sind noch zu dokumentieren. Grundlage ist die Datenschutz-Grundverordnung (DSGVO).
| Zweck | Vorgeschlagene Rechtsgrundlage / Grenze |
|---|---|
| Elternkonto, vereinbarter Dienst, Synchronisierung für Erwachsene und Kaufverwaltung | Art. 6 Abs. 1 lit. b DSGVO, soweit für den Vertrag mit dem erwachsenen Kontoinhaber erforderlich. Keine pauschale Vertragsgrundlage für alle Kinderdaten. |
| Cloud-Erhebung eines Kinderprofils | Gesonderte dokumentierte Einwilligung nach Art. 6 Abs. 1 lit. a; Art. 8 DSGVO bei einwilligungsbasierten direkt an Kinder gerichteten Diensten beachten. In Deutschland unter 16 Zustimmung/Autorisierung der Sorgeberechtigten; Verifikation vor öffentlichem Start prüfen. Ohne diese Freigabe bleiben Kinderprofile lokal. Rechtsgrundlage für ausschließlich lokale Kinderdaten ebenfalls zu prüfen. |
| Persönlicher Lernstand, Statistik und adaptive Aufgabenauswahl | Bei Erwachsenen vertraglich erforderliche Leistung; bei Kinder-Cloud-Daten innerhalb der gesonderten Eltern-Einwilligung. Keine Weiterverwendung für Forschung allein aus der Lernnutzung ableiten. |
| Ligen / Anzeige gegenüber anderen Teilnehmern | Getrennte Freigabe/Einwilligung nach Art. 6 Abs. 1 lit. a, bei Kindern durch Sorgeberechtigte; für die Anzeige sind aktive Ligen- und bei Kindern Kinder-Cloud-Freigabe erforderlich. In der ersten Version keine neue Freigabe; bestehende Beta-Freigaben bleiben jederzeit widerrufbar. Die Serververarbeitung nach Abschnitt 2 bleibt vom Ausblenden unberührt; ihre Deckung durch die bisherigen Einwilligungstexte ist vor Veröffentlichung rechtlich zu prüfen. |
| Nutzerübergreifende Modellverbesserung/Forschung | Separates, freiwilliges und widerrufbares Opt-in nach Art. 6 Abs. 1 lit. a; für Kinder getrennte Elternfreigabe, nicht Voraussetzung für Training. Aktuelle Einwilligung wird vor jedem Export geprüft. |
| Dienstsicherheit, Fehlerbehebung und Nachweis von Löschungen/Einwilligungen | Art. 6 Abs. 1 lit. f als Vorschlag für erforderlichen sicheren Betrieb/Nachweis, unter besonderer Berücksichtigung von Kindern; Interessenabwägung zu prüfen. Art. 6 Abs. 1 lit. c nur bei konkret festgestellter Rechtspflicht, nicht pauschal. Supportannahme/Apple-Berichtdownloads zu prüfen. |
Kontoerstellung, Kopplung, Testphase und Kauf sind keine Einwilligung. Auch eine Eltern-PIN allein verifiziert keine Sorgeberechtigung. Für die Cloud-Erhebung eines Kinderprofils ist eine vorherige Einwilligung erforderlich.
Forschung verwendet ausgewählte pseudonymisierte Übungsdaten zur Verbesserung der Lernmodelle über mehrere Nutzer. Dabei bleiben Profil-UUID, Installations-ID und Marke/Modell des Würfels erhalten. Verweigerung beeinträchtigt das persönliche Training nicht. Maßgeblich ist die aktuelle, nicht widerrufene Einwilligung; eine frühere Kennzeichnung der Daten als forschungsgeeignet reicht nicht aus. Widerruf verhindert weitere Exporte. Der Umgang mit bereits exportierten Daten und daraus entstandenen Modellen ist vor einem Forschungslauf zu klären; eine automatische Rückholung wird nicht versprochen. Aggregierte Kennzahlen sind gesondert zu beurteilen und machen die zugrunde liegenden Ereignisse nicht anonym.
4. Lokal gespeicherte Daten und § 25 TDDDG
Auf dem iPad liegen Lernverlauf und Einstellungen in einer lokalen Datenbank, der Würfelcache im lokalen App-Speicher sowie Anmelde-/PIN-Daten und Löschjournal im Schlüsselbund. Die Schlüsselbundwerte sind gerätegebunden und ohne iCloud-Synchronisierung eingerichtet, können aber eine Neuinstallation überdauern. Das Verhalten sonstiger Betriebssystem-Gerätebackups ist noch zu prüfen.
Für Speicherung und Zugriff, die zur ausdrücklich gewünschten Offline-Lernfunktion, Anmeldung, PIN-Sicherung oder Kopplung unbedingt erforderlich sind, wird die Ausnahme nach § 25 Abs. 2 Nr. 2 TDDDG vorgeschlagen. Nicht erforderliche Speicherung und Zugriffe benötigen gegebenenfalls eine vorherige Einwilligung nach § 25 Abs. 1, zusätzlich zur DSGVO-Grundlage. Der lokale Diagnosepuffer startet automatisch mit der App; gesehene Würfelnamen werden darin geschwärzt. Freiwillig ist nur das Teilen. Ob diese automatische Speicherung unbedingt erforderlich ist oder eine vorherige Einwilligung braucht, ist noch zu prüfen, ebenso künftige Speicherung durch eingebundene Software. Freiwillige Weitergabe und Betriebssystemberechtigungen ersetzen diese Prüfung nicht.
5. Bluetooth, Kamera, Tracking und Werbung
Bluetooth dient der Verbindung zum Smartcube und dem Erfassen seiner Züge und Zustände. Es ist kein Bluetooth-Hintergrundmodus aktiviert; Bluetooth ist als nicht zur Standortbestimmung genutzt gekennzeichnet. Die Kamera wird nur zum Lesen eines Kopplungs-QR verwendet; Kamerabilder werden nicht in die Cloud hochgeladen. Mikrofonzugriff wird nicht angefordert. Bei verweigerter Kamera bleibt die manuelle Codeeingabe möglich.
Cubelio sieht keine Werbung und kein Werbe-Tracking vor. Eine Werbezuordnung und das Sammeln der Apple-Werbe- beziehungsweise Anbieterkennungen IDFA/IDFV über entsprechende Zusatzaufrufe sind nicht vorgesehen. Lernereignisse und RevenueCat-Abrechnungsanalysen sind davon zu unterscheiden. Das tatsächliche Verhalten der eingebundenen Software im fertigen App-Build ist noch zu prüfen. „Kein Tracking“ bedeutet nicht „keine Verarbeitung“.
6. Empfänger, Auftragsverarbeiter und Drittlandtransfers
Supabase: Anmeldung, Datenbank, Synchronisierung und Serverfunktionen. Vorgesehen ist die EU-Datenbankregion Frankfurt (eu-central-1), derzeit im Free-Tarif. EU-Hosting garantiert nicht, dass jede Betriebs- und Supportverarbeitung in der EU bleibt. Supabase beschreibt weitere Verarbeitung und Standardvertragsklauseln. Vertragspartner, Auftragsverarbeitungsvertrag, Unterauftragnehmer und Transferprüfung sind noch zu prüfen. Weitere Informationen: Supabase zu Datenregionen und Transfers, Auftragsverarbeitungsvertrag und Unterauftragnehmer.
RevenueCat, Inc., USA: Bei aktivierter Kaufanbindung verwaltet RevenueCat Abonnements und Berechtigungen und führt Abrechnungsanalysen als Auftragsverarbeiter durch. Technische und Transaktionsdaten gehen in die USA; der Auftragsverarbeitungsvertrag sieht Standardvertragsklauseln für entsprechende Transfers vor. Eine Teilnahme am EU-US Data Privacy Framework ist nicht verifiziert; darauf wird keine Transfergarantie gestützt. Vertragsgrundlage, Transfer-Risiken und Fristen sind vor Aktivierung zu prüfen. Die Kaufanbindung ist integriert. Bei Kontolöschung versucht der Server die RevenueCat-Kundenlöschung; bei fehlender Konfiguration oder Fehlern bleibt die Anbieterbereinigung offen. Weitere Informationen: RevenueCat-Datenschutzerklärung und Auftragsverarbeitungsvertrag.
Für RevenueCat wird die Elternkonto-UUID als eigene Nutzerkennung verwendet. Nach Herstellerangaben verarbeitet der Dienst Kaufdaten und technische Angaben wie Gerätetyp, Betriebssystem und letzte Nutzung. Die eingebundene Software meldet laut Hersteller auch den Status der Apple-Trackingfreigabe (ATT), ohne eine Erlaubnisabfrage auszulösen. Zusätzliche Aufrufe für Werbezuordnung oder Geräteattribute sind nicht vorgesehen. Automatisches Verhalten und IP-Serverlogs sind noch zu prüfen, bevor weitere Kennungen ausgeschlossen werden.
Apple: App Store, Kaufabwicklung und eigene TestFlight-/Absturzberichte. Apple wird nicht pauschal als unser Auftragsverarbeiter bezeichnet. TestFlight erhebt Crash- und Nutzungsdaten automatisch und teilt sie mit dem Entwickler; dazu können Tester-Kontaktdaten und Feedback kommen. Store-Absturzberichte hängen von der Diagnosefreigabe ab. Cubelio nutzt Apples eingebauten Absturzkanal. Rechtsgrundlage und Frist für eigene Berichtdownloads sind noch zu prüfen. Weitere Informationen: Apple-Datenschutzrichtlinie und TestFlight & Datenschutz.
Andere Ligenteilnehmer: Trotz ausgeblendeter Liga-Ansicht können berechtigte Teilnehmer mit bestehenden Beta-Freigaben weiterhin festen Spitznamen, Mosaik und Wochen-XP erhalten. Erforderlich sind aktuelle Freigaben und eine autorisierte Mitgliedschaft, wie in Abschnitt 2 beschrieben. Das Ausblenden der Ansicht sperrt den Serverzugriff anderer Familien nicht allgemein.
Betrieb und Backups: Es bestehen verschlüsselte lokale Datenbanksicherungen. Weitere technische Betriebsdienste und deren mögliche Verarbeitung von Lerndaten sowie Supporthosting und zugehörige Logs sind noch zu prüfen. Das Hosting dieser Webseiten ist im Abschnitt „Diese Seiten“ beschrieben.
7. Kinder und Elternbereich
Kinder brauchen keine eigene E-Mail im Lernprofil. Spitznamen kommen aus einer festen Liste; Avatare sind neun Mosaikzellen mit sechs Farben plus leer. Im Lern- und Ligabereich gibt es keinen freien Text, keine Fotos und keinen Chat. Eltern steuern die Cloud-Einwilligung und können bestehende Liga-Freigaben aus der internen Beta getrennt widerrufen. Neue Liga-Freigaben sind in der ersten Version nicht möglich; „Liga-Freigabe widerrufen“ erscheint nur bei aktuell erteilter Freigabe. Das Kind sieht in dieser App-Version keine Liga. Käufe gehören hinter den geschützten Elternzugang. Die PIN schützt den Elternbereich, ersetzt aber keine rechtsgültige Einwilligung oder Alters-/Elternverifikation. Die Methode ist vor dem öffentlichen Start rechtlich zu prüfen.
Vor US-Start zu prüfen: Einordnung nach dem US-Kinderdatenschutzgesetz COPPA, nachprüfbare elterliche Einwilligung, direkte Elterninformation, Umgang mit Drittanbietern und Forschung sowie schriftliche Aufbewahrungs- und Sicherheitsregeln. Dieser Entwurf, die Store-Kategorie, die PIN, eine Testphase oder ein Kauf weisen keine COPPA-Konformität nach. Weitere Informationen: FTC zu COPPA.
8. Adaptive Lernlogik
Cubelio leitet aus Versuchen, Antworten, Zeiten und Zügen einen Lernstand ab und wählt passende Aufgaben. Das Lernsystem schätzt Lernbedarf und Übungsabstände; die Ergebnisse sind keine rechtlichen oder schulischen Leistungsentscheidungen. Nach dem beschriebenen Produktumfang erfolgt keine ausschließlich automatisierte Entscheidung mit rechtlicher oder vergleichbar erheblicher Wirkung im Sinne von Art. 22 DSGVO. Diese Einordnung bleibt rechtlich zu prüfen.
9. Aufbewahrung
Die Tabelle beschreibt die derzeit vorgesehenen Speicherorte, Fristen und Löschwege. Noch ungeklärte Fristen sind ausdrücklich als zu prüfen gekennzeichnet. Sie stellt keine Zusage neuer oder zusätzlicher automatischer Löschung dar.
| Datenart | Ort | Frist / Auslöser | Löschweg |
|---|---|---|---|
| Elternkonto: E-Mail, Passwort-Hash, Konto-ID, Sprache, Status, Testphasenbeginn | Supabase Auth / Supabase; Sitzung lokal im Schlüsselbund | Bis Kontolöschung; lokale Auth-Daten bei Abmeldung/Bereinigung; Schlüsselbund kann Neuinstallation überdauern | In-App-Kontolöschung und lokale Bereinigung |
| Profil: fester Spitzname, Mosaik, Art, Altersgruppe, Tagesziel, Freigaben; ungenutzte Push-Einstellungen | iPad / Supabase | Bis Profil- oder Kontolöschung; keine automatische Inaktivitätsfrist | Profillöschung entfernt Inhaltsfelder; Restmarker siehe nächste Zeile |
| Profil-Löschmarker: Profil-ID, Kontozuordnung, Löschzeit, leeres Mosaik | Supabase | Bis Kontolöschung, keine separate Frist belegt | Kaskade bei Kontolöschung; verhindert Wiederherstellung gelöschter Profile |
| Lern-Events, Züge, Zeiten, Bewertungen, Auswahlentscheidungen und daraus abgeleiteter Lernstand/XP/Statistiken | SQLite auf iPad / Supabase | Bis Profil- oder Kontolöschung; Lernstand wird aus Events projiziert; auch nach Abo-Ende erhalten | Profil-/Kontolöschung, lokale Kopien je Gerät bereinigen |
| Gerätebindung, anonymer Auth-Nutzer, Plattform/Modell, Kopplungs-/Widerrufszeit, Installationskennung | iPad / Supabase Auth und Ereignisspeicher | Bindungsdaten bis Profil-/Kontolöschung; Widerruf sperrt Zugriff, ist keine vollständige Löschung | Widerruf; Löschung entfernt gebundene Auth-Nutzer; lokale Kennung/Löschabdeckung zu prüfen |
| Kopplungscode-Hash | Supabase | 10 Minuten gültig, keine automatische physische Löschfrist belegt | Profil-/Kontolöschung; abgelaufener Code wird abgewiesen |
| Ligen: bestehende Beta-Freigaben, Wochen-XP, Rang und Mitgliedschaft; Serververarbeitung trotz ausgeblendeter Liga-Ansicht nach Abschnitt 2 | Supabase; keine Liga-Ansicht in der ersten App-Version, API-Zugriff bleibt berechtigungsabhängig | Bis Profil-/Kontolöschung; Liga-Freigabe jederzeit widerrufbar. Widerruf sperrt Anzeige und weitere Rollover-Einteilung; vorhandene XP-/Mitgliedschaftsdaten werden dadurch nicht automatisch gelöscht | Profil-/Kontolöschung; aktuelle Freigaben bei jedem Anzeigeabruf geprüft; Prüf-/Löschverfahren nach Widerruf bleibt offen (Abschnitt 10) |
| Einwilligungs- und Widerrufsbelege: Typ, Version, Zeit, Methode, Profilbezug | Supabase | Bis Kontolöschung, auch nach Profil- oder Einwilligungswiderruf | Kontolöschung kaskadiert; Widerruf wird zusätzlich protokolliert |
| Pseudonymisierte Forschungsdaten: Profil-UUID, Installations-ID, Marke/Modell des Würfels; kein eigener Pseudonymisierungsschritt, Art. 4 Nr. 5 DSGVO zu prüfen | Ausgangs-Events in Supabase; Exportziel zu prüfen | Ausgangsdaten wie Lern-Events; Widerruf sperrt weitere Exporte; Frist/Löschweg für schon exportierte Datensätze und Modelle zu prüfen | Kein pauschales Rückholen bereits exportierter Daten zugesagt |
| Kaufhistorie / Berechtigungen: Store, Periode, Transaktions-ID, serverseitig gespeichertes Kaufereignis | Supabase; bei aktiviertem Kauf Apple / RevenueCat USA | Eigene kontogebundene Server-Kaufdaten bis Kontolöschung; globale Belege und lokale Zugangsdaten siehe eigene Zeilen; Fristen bei Anbietern und gesetzliche Aufbewahrung zu prüfen | Eigene kontobezogene Löschung; Server versucht RevenueCat-Kundenlöschung; Erfolg/Anbieterrestkopien gesondert prüfen; Abo separat im App Store kündigen |
| Globale Belege für Aktualisierungen (Refresh) und die Vermeidung doppelter Webhook-Verarbeitung: Ereignis-ID, Ereignistyp, Ereignis- und Empfangszeit; Aktualisierungskennungen enthalten Elternkonto-UUID und Zeitstempel; Webhooks verwenden ihre Ereignis-ID | Supabase | Keine automatische Löschfrist und kein Bereinigungspfad belegt; bleibt nach Kontolöschung erhalten. Die 90 Tage der Kontolöschbelege gelten hierfür nicht | Keine automatische Mitlöschung bei Kontolöschung; Frist und Löschverfahren vor Veröffentlichung rechtlich festlegen. Diese Belege enthalten keine vollständigen Webhook-Rohdaten |
| Nutzergebundener Zugriffscache: Kennung des angemeldeten Nutzers (Elternkonto oder gekoppeltes Lerngerät), vollständige Serverantwort und Abrufzeit; Zugangsstatus, Trainingserlaubnis, Funktionsliste, Testphasen- und Abo-Zugangsende einschließlich etwaiger Kulanzfrist sowie gegebenenfalls ein Hinweis auf begrenzte Anfragen | Lokale Datenbank auf dem iPad, getrennt vom lokalen Testphasenstatus | Letzte Antwort je angemeldetem Nutzer; bei erneutem Abruf überschrieben. Bei Elternkontolöschung wird der Eintrag dieses Kontos entfernt; Abmeldung löscht ihn nicht. Keine automatische Zeitfrist; App-Löschung entfernt den App-Speicher | Kontobezogene lokale Bereinigung; Fehler bleiben im Löschjournal und werden beim nächsten Start erneut bearbeitet. Abmeldung leert nur den Arbeitsspeicher. Kopien auf anderen Geräten und Betriebssystem-/Gerätebackups gesondert prüfen |
| Kaufmerker: nur Elternkonto-ID und erster Zeitpunkt der ausstehenden Bestätigung in Millisekunden; keine Produktangabe | Lokale Datenbank auf dem iPad; ein Eintrag je Elternkonto | Bis Serverbestätigung oder Ablauf nach 48 Stunden; Ablaufprüfung bei Kontoanbindung oder erneutem Bestätigungsversuch. Physische Löschung gegebenenfalls erst, wenn die App wieder für dieses Konto läuft; keine Hintergrund-Löschfrist. Bei Abmeldung erhalten; Kontolöschung oder App-Löschung entfernt ihn | Eintrag bei Bestätigung, beobachtetem Ablauf oder kontobezogener lokaler Bereinigung löschen; fehlgeschlagene Kontobereinigung wird über das Löschjournal beim nächsten Start wiederholt. Ausstehende Wiederherstellungen werden nicht gespeichert |
| Lokaler Testphasen-Anker je Konto oder Nutzung ohne Konto: Kontozuordnung beziehungsweise Nutzung ohne Konto, Beginn und beobachtetes Ende; zuletzt gesehene Gerätezeit separat | Lokale Datenbank auf dem iPad; Testphasen-Anker und getrennte installationsweite Gerätezeit | Keine automatische Zeitfrist, auch nach Testphasenende; bei Abmeldung erhalten. Das erste angemeldete Konto übernimmt den Anker der Nutzung ohne Konto. Kontolöschung entfernt den Anker dieses Kontos und die ältere Kontozuordnung; Anker anderer Konten und die installationsweite Gerätezeit bleiben. App-Löschung entfernt alle diese lokalen Daten | Kontobezogene Bereinigung; fehlgeschlagene Löschung wird über das Löschjournal beim nächsten Start wiederholt. Bei der Datenumstellung werden ältere Testphasen-, Kontozuordnungs- und Ablaufdaten geleert; die dann leeren Speicherstrukturen bleiben bestehen |
| Kontolöschbeleg: Operation-ID, Capability-Hash, Abschluss/Ablauf; keine Konto-/Profil-ID | Supabase | 90 Tage gültig; physisches Pruning täglich 03:17 UTC nach Ablauf | Automatische Bereinigung; Jobausfall kann physische Entfernung verzögern |
| PIN-Verifier, Auth-Token, Gerätebindung, kontogebundenes Löschjournal | iPad-Schlüsselbund | Funktions-/Kontobindung; Journal bis geklärtem und lokal bereinigtem Löschvorgang; kein fester Tageswert; kann Neuinstallation überdauern | Kontogebundene Bereinigung; vollständige Abdeckung je Schlüssel zu prüfen |
| Volle Würfel-MAC und zuletzt verbundener Würfel | Nur lokaler SQLite-KV-Store | Keine automatische Frist belegt; Entfernung durch Profil-/Kontolöschung zu prüfen | App-Speicher entfernen; Schlüsselbund separat beachten |
| Würfelmarke und -modell in Solve-Events (ohne gerätespezifisches Suffix) | SQLite auf iPad / Supabase-Events; Kontoexport und bei Forschungs-Opt-in Forschungsexport | Wie Lern-Events: bis Profil- oder Kontolöschung; für exportierte Forschungsdatensätze separate Frist zu prüfen | Profil-/Kontolöschung; lokale und exportierte Kopien wie Lern-/Forschungsdaten bereinigen |
| App-Log (automatisch aktive technische Diagnose, gesehene Würfelnamen geschwärzt) | Nur iPad, zwei wechselnde Textdateien | Ringpuffer der 300 neuesten Zeilen, keine Tagesfrist; ältere Dateigeneration kann bis zum nächsten Schreiben bestehen | Überschreiben/Rotation; nur manueller Export; Empfängerkopie separat |
| Lokaler Diagnoseexport | App-Cache auf dem iPad | Bis zum nächsten Diagnoseexport oder zur Cache-Bereinigung durch iOS; keine feste Löschfrist | Exportordner vor dem nächsten Export löschen; keine Löschung unmittelbar nach dem Teilen belegt; Empfängerkopien separat |
| Temporärer JSON-Kontoexport | App-Cache auf iPad | Höchstens 3 Dateien; iOS nach Schließen des Teilen-Dialogs löschen; anderer Adaptermodus 10 Minuten Kulanz; bei pausierter App nächste Bereinigung | Aufräumen bei Start/Fortsetzen, Timer oder Kontolöschung; Empfänger behält selbst gespeicherte Kopien |
| Supabase-Plattformlogs, einschließlich möglicher IP-/Request-Metadaten | Supabase-Logging | Tarifliches zugängliches Log-Zeitfenster: Free 1 Tag API-/Datenbanklogs, 1 Stunde Auth-Audit-Logs; keine zugesicherte Löschfrist. Tatsächliche Aufbewahrung beim Anbieter und konkrete Projektfelder zu prüfen | Anbieterrotation und tatsächliche Löschung zu prüfen; keine kontoweise Sofortlöschung zugesagt |
| Optionale Auth-Audit-Datenbankkopie, unter anderem Nutzer-ID und IP | Supabase | Aktivierung und tatsächliche Aufbewahrung im Cubelio-Projekt zu prüfen; tarifliches Log-Zeitfenster ist keine Löschfrist dieser Kopie | Konfiguration, Löschweg und Frist zu prüfen |
| Verschlüsselte Datenbankbackups einschließlich Konto-, Profil- und Anmeldedaten | Verschlüsselte lokale Datenbanksicherungen | Zwei Monatsstände, bis etwa 2 Monate nach Löschung bei erfolgreicher monatlicher Rotation; keine feste Höchstfrist bei ausgefallenen Läufen | Rotation nach erfolgreichem Backup; Löschungen vor Wiederinbetriebnahme eines Restores nachführen, Verfahren zu prüfen |
| Anbieterbackups / interne Restkopien bei Supabase und RevenueCat | Anbieter | Separate Fristen zu prüfen; nicht mit den zwei eigenen Monatsständen gleichsetzen | Anbieterprozess/DPA; Kontolöschbeleg deckt sie nicht ab |
| Apple-TestFlight-/Store-Absturzberichte, Beta-Nutzungsdaten/Feedback | Apple; mögliche Entwicklerdownloads | Apple: Beta-Feedback 1 Jahr, Crash-/Nutzungsdaten gegebenenfalls bis Fehlerbehebung; eigene Downloads/Store-Fristen zu prüfen | Apple-Verfahren und gesonderte Bearbeitung von Betroffenenanfragen |
| Manuell an Support gesandte Logs/Exportdateien | Vom Nutzer gewählter Empfänger | Noch kein eigener Support-Aufbewahrungsprozess belegt: zu prüfen | Empfängerprozess festlegen; automatisches Hochladen ist nicht belegt |
Das zugängliche Log-Zeitfenster muss bei einem Tarifwechsel aktualisiert werden; es ist keine garantierte Löschfrist.
10. Ihre Rechte, Export, Löschung und Widerruf
Nach den gesetzlichen Voraussetzungen bestehen Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch gegen Verarbeitung auf Grundlage berechtigter Interessen und Beschwerde bei einer Datenschutzaufsichtsbehörde. Verantwortlicher und Kontakt werden vor dem öffentlichen Start ergänzt. Einwilligungen können für die Zukunft widerrufen werden; die Rechtmäßigkeit vorheriger Verarbeitung bleibt unberührt.
Im Elternbereich Daten & Konto können Sie gespeicherte Daten einsehen, einen JSON-Kontoexport anstoßen und das Konto löschen. Profile sind gesondert löschbar. Der Export enthält persönliche Kontodaten und Lernverlauf; er ist kein Forschungsexport und kein vollständiger Abruf sämtlicher Daten bei Apple oder RevenueCat. Weitere Auskunft kann beim Verantwortlichen verlangt werden, sobald der Kontakt ergänzt ist.
Kinder-Cloud-, Forschungs- und Liga-Freigaben sind getrennt widerrufbar. Bestehende Liga-Freigaben aus der internen Beta bleiben im Elternbereich jederzeit widerrufbar; eine neue Freigabe ist in der ersten Version nicht möglich. Das Ausblenden allein ändert weder gespeicherte Freigaben noch Serververarbeitung. Liga-Widerruf sperrt die Liga-Anzeige über den Server und verhindert weitere wöchentliche Einteilungen, löscht vorhandene XP- und Mitgliedschaftsdaten aber nicht automatisch. Kinder-Cloud-Widerruf sperrt neue Erhebung und Gerätezugriff; Forschungsexporte werden anhand der aktuellen Einwilligung geprüft. Ein Widerruf allein löscht technisch vorhandene persönliche Lernereignisse nicht automatisch; zusätzlich steht die Profil- oder Kontolöschung zur Verfügung.
Nach einem Widerruf prüfen wir die weitere Speicherung und löschen die Daten, soweit keine eigenständige Rechtsgrundlage oder gesetzliche Ausnahme besteht. Dafür ist kein zusätzlicher Löschantrag erforderlich. Das hierfür erforderliche Prüf- und Löschverfahren fehlt noch und muss vor dem öffentlichen Start rechtlich geklärt werden. Siehe EDSA-Leitlinien zur Einwilligung, Rn. 117–119.
Eine erfolgreiche Kontolöschung entfernt die zugehörigen kontogebundenen Live-Daten und gebundenen Anmeldenutzer mit folgenden Ausnahmen: Globale Belege für Aktualisierungen und die Vermeidung doppelter Webhook-Verarbeitung bleiben ohne automatische Löschfrist erhalten; die Aktualisierungskennungen enthalten die Elternkonto-UUID.
Auf diesem Gerät entfernt die Elternkontolöschung außerdem den Zugriffscache-Eintrag dieses Kontos, seinen Kaufmerker und seinen Testphasen-Anker samt älterer Kontozuordnung. Fehlgeschlagene lokale Bereinigung bleibt im Löschjournal und wird beim nächsten Start wiederholt. Abmeldung löscht diese gespeicherten Zugangsdaten nicht; Anker anderer Konten und die installationsweite Gerätezeit bleiben erhalten. App-Löschung entfernt alle diese lokalen Zugangsdaten.
Die Gültigkeit von 90 Tagen betrifft nur die gesonderten Kontolöschbelege, nicht globale Abrechnungsbelege oder den lokalen Zugriffscache (Abschnitt 9). Profillöschung lässt einen minimalen Marker und Einwilligungsbelege bis zur Kontolöschung zurück. Bereits offline vorhandene Kopien, Anbieterrestkopien und eigene Monatsbackups sind gesondert zu bereinigen. Eine sofortige Fernlöschung auf Offlinegeräten wird nicht zugesagt.
Ein Abo müssen Sie separat im App Store kündigen. Der Server versucht die RevenueCat-Kundenlöschung und meldet deren Status; erfolgreiche Kontolöschung bestätigt keine vollständige Anbieterbereinigung.
11. Änderungen und offene Angaben
Vor dem öffentlichen Start sind Verantwortlicher und Kontakt, Support, Transfer- und Aufbewahrungsfragen sowie Kinderverifikation zu vervollständigen und rechtlich zu prüfen. Änderungen an Funktionen, eingebundener Software oder Empfängern erfordern einen erneuten Abgleich dieser Erklärung mit den Einwilligungstexten und den Apple-Datenschutzangaben. Dieser Entwurf stellt keine rechtliche Freigabe dar.
Vor Veröffentlichung sind auch Hosting-Logs, Empfänger und Vertragsbedingungen sowie die geltenden Auftragsverarbeitungs- und Transfervereinbarungen zu prüfen. Das Hosting der deutschen und englischen Entwurfsseiten bei GitHub Pages ist geplant; die öffentliche Erreichbarkeit ist noch nicht verifiziert.
Diese Seiten
Diese Seiten liegen bei GitHub Pages (GitHub, Inc.). Beim Abruf verarbeitet GitHub technische Daten wie die IP-Adresse. Weitere Informationen enthält das GitHub General Privacy Statement. Cubelio setzt auf diesen Seiten keine Cookies und verwendet kein Tracking.