Datenschutzerklärung

Stand: 4. September 2026 · nach DSGVO und österreichischem DSG. Diese Erklärung beschreibt den derzeit implementierten technischen Ist-Zustand. Verträge, DPA/AVV-Unterlagen und technische Nachweise der eingesetzten Dienstleister werden intern dokumentiert und bei Änderungen aktualisiert.

1. Verantwortlicher

Einzelunternehmen Jürgen Schuster (Beststudea)
Rößlergasse 9/3/26, 1230 Wien, Österreich
E-Mail: servus@beststudea.at · Telefon: +43 664 530 2648

Ein Datenschutzbeauftragter ist nicht bestellt (nicht gesetzlich erforderlich). Anfragen richten Sie bitte an servus@beststudea.at.

2. Ihre Rechte

Sie haben nach Art. 15–22 DSGVO das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch. Eingewilligte Verarbeitungen können Sie jederzeit mit Wirkung für die Zukunft widerrufen. Datenexport und Kontolöschung stehen im angemeldeten Bereich unter Einstellungen zur Verfügung.

Beschwerderecht bei der österreichischen Datenschutzbehörde (dsb.gv.at, Barichgasse 40–42, 1030 Wien).

3. Zwecke, Rechtsgrundlagen und Datenkategorien

Konto und Login – E-Mail, Passwort (nur als Hash beim Auth-Anbieter gespeichert), Anzeigename, Zeitstempel und E-Mail-Verifizierungsstatus. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

Registrierungsnachweis – Bei der Registrierung speichern wir serverseitig die bestätigte AGB-Version, die Version der zur Kenntnis genommenen Datenschutzerklärung, die Altersbestätigung („mindestens 16 Jahre oder Einwilligung der Erziehungsberechtigten“) und den serverseitigen Registrierungszeitpunkt. Eine IP-Adresse wird hierfür nicht gespeichert. Der Nachweis ist für das Benutzerkonto nicht veränderbar und wird mit dem Konto gelöscht. Rechtsgrundlage: Art. 6 Abs. 1 lit. b sowie – für die Nachweis- und Compliancefunktion – lit. c bzw. lit. f DSGVO.

Login-Sicherheitsereignisse – Zur Erkennung von Missbrauch und geteilten Zugängen erzeugt Beststudea aus Verbindungs- und Browsermerkmalen einen gesalzenen, pseudonymen Geräte-Hash. Die rohe IP-Adresse wird dabei nicht dauerhaft in der Beststudea-Datenbank gespeichert. Gespeichert werden Benutzer-ID, Geräte-Hash und Zeitpunkt. Zugriff haben nur Administratoren bzw. Super-Administratoren. Die Ereignisse werden nach 90 Tagen gelöscht. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Sicherheit und Missbrauchsprävention). Gegen diese Verarbeitung können Sie nach Art. 21 DSGVO Widerspruch einlegen; zwingende schutzwürdige Gründe bleiben vorbehalten.

Lernmaterialien – Von Ihnen hochgeladene PDF-Dateien werden in einem privaten Objektspeicher (Supabase Storage) abgelegt, der nicht öffentlich erreichbar ist und pro Konto getrennt ist. Bei DOCX-, TXT- und eingefügten Texten wird der für die Lernfunktionen benötigte Text übernommen; bei Foto-Uploads werden die Originalbilder von Beststudea nicht dauerhaft gespeichert. Der extrahierte bzw. eingegebene Text sowie die daraus erzeugten Kapitelstrukturen, Lernziele, Fragen, Lernkarten und Quellenstellen werden in der Datenbank gespeichert. Gespeicherte Materialien und abgeleitete Lerndaten bleiben erhalten, bis Sie das jeweilige Material oder Ihr Konto löschen. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

Foto- und Scan-OCR – Wenn Sie Fotos, Screenshots oder gescannte PDFs verwenden, wird der Inhalt zur Texterkennung an die OCR-API von Mistral AI übermittelt. Große Handyfotos werden vor der Übermittlung lokal im Browser verkleinert bzw. komprimiert; HEIC/HEIF wird, soweit vom Gerät unterstützt, lokal in ein kompatibles Bildformat umgewandelt. Beststudea speichert die ursprünglichen Foto-Dateien nicht dauerhaft. Für gescannte PDFs wird die bereits privat gespeicherte PDF-Datei für die OCR vorübergehend über die Mistral-Files-API bereitgestellt; Beststudea veranlasst unmittelbar nach Abschluss oder Abbruch des OCR-Vorgangs die Löschung dieser temporären Mistral-Datei. Der erkannte Text wird anschließend wie anderes Lernmaterial in Beststudea gespeichert. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

Upload- und OCR-Fehlerprotokoll – Damit technische Probleme bei Foto-, Dokument- und OCR-Uploads erkannt und behoben werden können, speichert Beststudea bei fehlgeschlagenen Vorgängen technische Metadaten wie Zeitpunkt, Benutzer-ID, Material-ID, Dateiname, MIME-Typ, Dateigröße, Verarbeitungsschritt, Fehlercode und eine gekürzte technische Fehlermeldung. Dokumenttext, OCR-Ergebnis und Bildinhalt werden nicht in diesem Fehlerprotokoll gespeichert. Zugriff haben nur Administratoren bzw. Super-Administratoren; Einträge werden spätestens nach 90 Tagen automatisch gelöscht. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Betriebssicherheit, Fehleranalyse und Missbrauchsprävention).

Aufnahmetest- und TMS-Performance-Auswertung – Bei Übungen, Zeit- und Gesamttrainings sowie Performance-Funktionen speichern wir Ihre Antworten, die jeweilige Richtigkeit, Bearbeitungszeiten, Versuchsergebnisse sowie die Zuordnung zu Trainingsbereich und Thema. Daraus berechnet Beststudea Schwächenprofile, Trefferquoten, persönliche Zeitsignale und Fortschrittsvergleiche, damit gezieltes Wiederholen und die Anzeige des eigenen Lernfortschritts möglich sind. Die Performance-Auswertung selbst erfolgt regelbasiert in der Beststudea-/Supabase-Datenbank und entfaltet keine rechtliche Wirkung. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

KI-gestützte Auswertung – Für Kapitelstruktur, Fragenerzeugung, Antwortbewertung und – bei Nutzung der OCR-Funktion – Texterkennung werden ausschließlich die dafür erforderlichen Inhalte an die API vonMistral AI (Frankreich) übermittelt. Beststudea fügt KI-Anfragen keine Kontostammdaten wie Name, E-Mail-Adresse oder Nutzer-ID hinzu. Personenbezogene Angaben, die bereits in hochgeladenen Unterlagen, Fotos oder Ihren Antworten enthalten sind, können jedoch Bestandteil der für die jeweilige Verarbeitung erforderlichen Inhalte sein. Im verwendeten Mistral-Konto ist die Nutzung der API-Interaktionen zur Verbesserung bzw. zum Training der Modelle deaktiviert. Zero Data Retention ist davon eine getrennte Einstellung; sofern ZDR für einen verwendeten API-Endpunkt nicht aktiv ist, können bei Mistral technische Protokoll- und Sicherheitsdaten nach dessen geltenden Richtlinien verarbeitet bzw. vorübergehend gespeichert werden. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

Optionale interne Nutzungsanalyse – Wenn Sie der Kategorie „Analyse" ausdrücklich zustimmen, erfasst Beststudea innerhalb der eigenen Anwendung Seitenaufrufe, den normalisierten Seitenpfad, die vorherige Seite innerhalb derselben Sitzung, die Herkunft des Besuchs (z. B. Direkt, Google, Google Ads oder eine verweisende Domain) sowie – sofern vorhanden – UTM-Quelle, UTM-Medium und UTM-Kampagne. Query-Strings selbst werden nicht gespeichert. Zur Zuordnung von Seitenwegen erzeugt der Browser nach Einwilligung eine zufällige Besucher-ID im lokalen Speicher und eine zufällige Sitzungs-ID im Sitzungsspeicher. Eine Sitzung wird nach 30 Minuten Inaktivität neu begonnen. Diese IDs enthalten keine E-Mail-Adresse, Konto-ID oder IP-Adresse und werden nicht mit Lerninhalten verknüpft. Beim Widerruf der Analyse-Einwilligung werden die lokalen Analyse-IDs im Browser entfernt. Die bereits rechtmäßig erhobenen Journey-Ereignisse werden höchstens 24 Monate gespeichert. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO; die Einwilligung ist jederzeit über die Cookie-Einstellungen widerrufbar.

Optionale Installationsanalyse – Ebenfalls nur nach Analyse-Einwilligung erfasst Beststudea Ereignisse rund um die Web-App-Installation, etwa ob ein Installationshinweis angezeigt oder angeklickt wurde, ob die Installation bestätigt bzw. abgebrochen wurde und ob Beststudea später im App-Modus geöffnet wurde. Zusätzlich werden Browser-/Plattformtyp sowie – sofern vorhanden – Kampagnenquelle und die Domain der verweisenden Seite gespeichert. Diese Installationsereignisse werden 180 Tage gespeichert. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO.

Zahlungsabwicklung – Abrechnungsdaten werden über Stripe Payments Europe, Limited(Dublin, Irland) verarbeitet. Stripe handelt für einzelne Verarbeitungsschritte als Auftragsverarbeiter für uns und für andere Schritte – insbesondere Betrugsprävention und regulatorische Pflichten – als eigenständig Verantwortlicher. Kartendaten erhalten wir nicht; Beststudea erhält nur die für Vertrag und Buchhaltung notwendigen Angaben. Bei Nutzung des Zahlungsbereichs verarbeitet Stripe.js zusätzlich technische Betrugssignale, insbesondere Verbindungs-/IP-, Browser- und Geräteinformationen, und kann dafür technisch notwendige Cookies bzw. ähnliche Speichertechnologien von Stripe einsetzen (z. B. für Betrugsprävention, Authentifizierung und sichere Zahlungsabwicklung). Diese Daten werden nicht von Beststudea zu Werbeprofilen verarbeitet. Rechtsgrundlage: Art. 6 Abs. 1 lit. b und lit. c DSGVO sowie für Sicherheits- und Betrugspräventionszwecke Art. 6 Abs. 1 lit. f DSGVO.

Systemmails (Verifizierung, Passwort-Reset, Hinweis „Lernmaterial fertig") – Versand über Resend (Resend, Inc.; gewählte Versandregion EU/Irland). Übermittelt werden Ihre E-Mail-Adresse und der Nachrichteninhalt. Absender ist „Beststudea <service@beststudea.at>". Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

Online-Widerruf und Vertragskommunikation – Wenn Sie die öffentliche Online-Funktion zum Widerruf nutzen, verarbeiten wir Ihren Namen, die angegebene E-Mail-Adresse, die Vertragsreferenz, freiwillige Zusatzangaben sowie den serverseitigen Eingangszeitpunkt. Beststudea versendet unmittelbar eine Eingangsbestätigung mit demselben Inhalt an die angegebene E-Mail-Adresse; eine Kopie geht an servus@beststudea.at. Eine Anmeldung ist hierfür nicht erforderlich. Die Angaben dienen ausschließlich der Entgegennahme, Bestätigung und Bearbeitung der Vertragserklärung sowie dem erforderlichen Nachweis. Rechtsgrundlage: Art. 6 Abs. 1 lit. b und lit. c DSGVO.

Newsletter – nur bei ausdrücklicher, separater Anmeldung (Double-Opt-in). Gespeichert werden E-Mail, Zeitpunkt der Einwilligung und die zugestimmte Fassung dieser Erklärung. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO. Abmeldung jederzeit per Link in jeder Newsletter-Mail.

Support – Inhalt und Kontaktdaten Ihrer Anfrage. Rechtsgrundlage: Art. 6 Abs. 1 lit. b bzw. lit. f DSGVO. Supportdaten werden grundsätzlich höchstens 24 Monate nach Abschluss der Anfrage gespeichert, sofern keine längere gesetzliche Aufbewahrung erforderlich ist.

Betriebs- und Verbindungsdaten – Zeitstempel, technische Fehlermeldungen und die für die Bereitstellung bzw. Absicherung einer Verbindung erforderlichen Netzwerkdaten. Hetzner, Supabase und – bei Nutzung des Zahlungsbereichs – Stripe können insbesondere IP- und Verbindungsdaten technisch verarbeiten. Beststudea speichert rohe IP-Adressen nicht absichtlich dauerhaft in seiner Anwendungsdatenbank. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.

Erforderlichkeit der Bereitstellung personenbezogener Daten – Für die Erstellung und Nutzung eines Beststudea-Kontos sind Vor- und Nachname, E-Mail-Adresse, Passwort, Altersbestätigung sowie die Zustimmung zu den AGB und die Kenntnisnahme der Datenschutzerklärung erforderlich. Ohne diese Angaben kann kein Benutzerkonto angelegt und die registrierungspflichtige Plattformleistung nicht erbracht werden. Für den Erwerb kostenpflichtiger Produkte sind außerdem die für Zahlung und gesetzlich erforderliche Abrechnung notwendigen Angaben bereitzustellen; ohne diese Daten kann der jeweilige kostenpflichtige Vertrag nicht abgeschlossen werden. Kartendaten werden dabei ausschließlich durch Stripe verarbeitet. Lernmaterialien, konkrete Lernantworten, Newsletter-Anmeldung und Supportangaben werden nur benötigt, wenn Sie die jeweilige Funktion freiwillig nutzen.

4. Empfänger und Auftragsverarbeiter (Ist-Zustand)

Tatsächlich aktive Dienstleister:

• Hetzner Online GmbH (Deutschland) – Hosting des Anwendungsservers. Auftragsverarbeiter.
• Supabase – Datenbank, Authentifizierung, privater Objektspeicher und – nach Analyse-Einwilligung – Speicherung der internen Nutzungs- und Installationsereignisse. Auftragsverarbeiter. Projektregion: EU (Frankfurt, Deutschland – eu-central-1).
• Resend, Inc. – Versand von System- und Benachrichtigungsmails, Versandregion EU/Irland.
• Mistral AI (Frankreich) – KI-Verarbeitung erforderlicher Textausschnitte sowie OCR von Fotos und gescannten PDFs. Bei Scan-PDFs wird die temporäre Mistral-Datei nach dem OCR-Vorgang durch Beststudea zur Löschung angewiesen. Die Nutzung der API-Interaktionen zur Modellverbesserung ist für den verwendeten Zugang deaktiviert; ZDR wird separat verwaltet.
• Stripe Payments Europe, Limited (Irland) – Zahlungsabwicklung und Betrugsprävention, direkt angebunden. Teils Auftragsverarbeiter, teils eigenständig Verantwortlicher.

Lovable ist nicht Teil der produktiven Beststudea-Infrastruktur. Externe Analyse- oder Marketingdienste wie Google Analytics oder Meta Pixel sind nicht eingebunden. Die optionale Nutzungs- und Installationsanalyse erfolgt innerhalb der Beststudea-/Supabase-Infrastruktur und ausschließlich nach Einwilligung.

5. Übermittlung in Drittländer

Einzelne der genannten Anbieter können konzernbedingt Support- oder Infrastrukturzugriffe außerhalb des EWR haben. Rechtsgrundlage für solche Übermittlungen sind – soweit einschlägig – ein Angemessenheitsbeschluss der Europäischen Kommission oder EU-Standardvertragsklauseln (Art. 46 DSGVO). Die konkrete Grundlage je Anbieter wird intern dokumentiert; eine pauschale Aussage „ausschließlich EU" wird nicht getroffen.

6. Speicherdauer

Konto- und Lerndaten werden bis zur Löschung des Kontos durch Sie aufbewahrt. Hochgeladene PDF-Dateien und der daraus extrahierte Text bleiben gespeichert, bis Sie das Material oder Ihr Konto löschen. Bei Foto-Uploads speichert Beststudea die Originalbilder nicht dauerhaft; gespeichert wird der daraus erkannte Text. Temporäre Scan-PDF-Dateien bei Mistral werden von Beststudea unmittelbar nach dem OCR-Vorgang zur Löschung angewiesen. Nach Kontolöschung werden Profil, Materialdateien, extrahierte Texte, Kapitel, Lernziele, Lernkarten samt Wiederholungsverlauf, Fragen, Antworten, Bearbeitungszeiten, Versuchsergebnisse, Auswertungen, Fehlermuster, TMS-Performance-Daten, Themenzuordnungen, Lernzielfortschritt, Tagesform-Einträge, Login-Sicherheitsereignisse und der Registrierungsnachweis entfernt. Technische Upload-/OCR-Fehlerprotokolle werden unabhängig davon spätestens nach 90 Tagen automatisch gelöscht. Supportdaten werden grundsätzlich spätestens 24 Monate nach Abschluss der Anfrage gelöscht, sofern keine längere Aufbewahrung erforderlich ist.

Widerrufs- und sonstige vertragsbezogene Erklärungen werden nur so lange aufbewahrt, wie dies für die Bearbeitung, gesetzliche Nachweis- oder Aufbewahrungspflichten und die Geltendmachung bzw. Abwehr von Rechtsansprüchen erforderlich ist. Soweit solche Unterlagen abrechnungsrelevant sind, gelten die gesetzlichen Aufbewahrungsfristen für Abrechnungsunterlagen.

Abrechnungsrelevante Datensätze werden bei Kontolöschung vom Benutzerkonto getrennt und pseudonymisiert bzw. auf die gesetzlich erforderlichen Abrechnungsdaten reduziert. Sie werden gemäß § 132 BAO für 7 Jahre aufbewahrt und anschließend gelöscht. Website-Journey-Ereignisse werden höchstens 24 Monate, Installationsanalyse-Ereignisse 180 Tage gespeichert. Die Cookie-Auswahl bleibt lokal im Browser gespeichert, bis Sie sie ändern oder den Browserspeicher löschen. Backups werden im Rahmen der dokumentierten Backup-Zyklen der jeweiligen Infrastruktur vorgehalten und durch Rotation überschrieben.

7. Cookies und lokale Speicherung

Notwendig – Auth-Session im localStorage des Auth-Clients, verschlüsseltes Site-Gate-Cookie, Speicherung Ihrer Cookie-Auswahl im localStorage (bs.cookie-consent.v1) sowiebeststudea-install-banner-dismissed im sessionStorage, damit ein geschlossener Installationshinweis innerhalb derselben Browsersitzung nicht erneut erscheint. Rechtsgrundlage: § 165 Abs. 3 TKG 2021 bzw. Art. 6 Abs. 1 lit. b DSGVO.

Analyse – nur nach ausdrücklicher Einwilligung werden interne Nutzungs- und Installationsereignisse gespeichert. Für die Journey-Auswertung erzeugt Beststudea eine zufällige Besucher-ID im localStorage (bs.analytics.visitor.v1) und eine Sitzungs-ID im sessionStorage (bs.analytics.session.v1). Sie dienen ausschließlich der Zuordnung von Seitenwegen und enthalten keine E-Mail-, Konto- oder IP-Adresse. Die Einwilligung kann jederzeit widerrufen werden; dabei werden diese lokalen Analyse-IDs entfernt.

Zahlung/Stripe – im Zahlungsbereich kann Stripe.js Cookies und ähnliche Technologien einsetzen, insbesondere zur sicheren Zahlungsabwicklung, Authentifizierung und Betrugsprävention. Dazu können unter anderem Stripe-eigene Kennungen wie __stripe_mid, __stripe_sid oder vergleichbare technische Speicherungen gehören. Sie werden von Stripe entsprechend dessen eigener Datenschutz- und Cookieinformationen verarbeitet.

Marketing – aktuell sind keine Marketing-Skripte oder Werbepixel eingebunden. Die Marketing-Kategorie ist daher deaktiviert. Falls künftig entsprechende Dienste eingesetzt werden, erfolgt dies erst nach vorheriger Einwilligung und Aktualisierung dieser Erklärung.

Auswahl jederzeit ändern: Cookie-Einstellungen öffnen.

8. Minderjährige

Beststudea richtet sich an Personen ab 16 Jahren. Bei der Registrierung bestätigen Sie, dass Sie mindestens 16 Jahre alt sind oder die Einwilligung Ihrer Erziehungsberechtigten haben. Diese Bestätigung wird zusammen mit der zum Registrierungszeitpunkt gültigen AGB- und Datenschutzversion serverseitig dokumentiert. Wir setzen keine personalisierte Werbung und kein Profiling für Minderjährige ein.

9. Automatisierte Entscheidungen

Eine automatisierte Entscheidung im Sinne des Art. 22 DSGVO findet nicht statt. KI-gestützte Bewertungen und regelbasierte Lern- bzw. Performance-Auswertungen dienen ausschließlich der Lernunterstützung und entfalten keine rechtliche Wirkung.

10. Datensicherheit

Zugriff auf Nutzerdaten ist durch Row-Level-Security auf Datenbankebene beschränkt: Nutzer:innen sehen nur eigene Daten. Der Service-Role-Zugriff wird ausschließlich serverseitig verwendet. Adminfunktionen erfordern die Rolle admin bzw. super_admin in der Tabelle user_roles; Adminaktionen werden im Audit-Log protokolliert. Übertragung erfolgt via TLS (HTTPS).

11. Änderungen dieser Erklärung

Wir passen diese Erklärung an, wenn sich Verarbeitungen oder Anbieter ändern. Die jeweils aktuelle Fassung ist unter dieser Adresse abrufbar.

Diese Fassung wurde nach österreichischem Recht als Vorlage erstellt und ersetzt keine individuelle rechtliche Beratung.