Datenschutzerklärung

Stand: Juli 2026 · nach DSGVO und österreichischem DSG. Diese Erklärung beschreibt den derzeit implementierten technischen Ist-Zustand. Vertragliche Nachweise (AVV/DPA, Trainings-Opt-out, Speicherregionen) werden derzeit von den jeweiligen Anbietern eingeholt und bei Änderungen hier aktualisiert.

1. Verantwortlicher

Einzelunternehmen Jürgen Schuster (Beststudea)
Rößlergasse 9/3/26, 1230 Wien, Österreich
E-Mail: servus@beststudea.at · Telefon: +43 664 530 2648

Ein Datenschutzbeauftragter ist nicht bestellt (nicht gesetzlich erforderlich). Anfragen richten Sie bitte an servus@beststudea.at.

2. Ihre Rechte

Sie haben nach Art. 15–22 DSGVO das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch. Eingewilligte Verarbeitungen können Sie jederzeit mit Wirkung für die Zukunft widerrufen. Datenexport und Kontolöschung stehen im angemeldeten Bereich unter Einstellungen zur Verfügung.

Beschwerderecht bei der österreichischen Datenschutzbehörde (dsb.gv.at, Barichgasse 40–42, 1030 Wien).

3. Zwecke, Rechtsgrundlagen und Datenkategorien

Konto und Login – E-Mail, Passwort (nur als Hash beim Auth-Anbieter gespeichert), Anzeigename, Zeitstempel, E-Mail-Verifizierungsstatus. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

Lernmaterialien – hochgeladene PDF-Dateien und die daraus extrahierten Texte, Kapitelstrukturen, Quellenstellen. Speicherung in einem privaten Objektspeicher, ausschließlich für das jeweilige Konto zugänglich (Row-Level-Security). Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

KI-gestützte Auswertung – Für Kapitelstruktur, Fragenerzeugung und Antwortbewertung werden ausschließlich die dafür erforderlichen Textausschnitte aus Ihren Materialien und Antworten an die API von Mistral AI (Mistral AI, Frankreich) übermittelt. Es werden nach unserer Implementierung keine Namen, E-Mail-Adressen oder Konto-Identifikatoren in den KI-Prompt aufgenommen. Ob Mistral im aktuell genutzten Tarif für Trainingszwecke auf die Eingaben zugreift bzw. Zero Data Retention aktiv ist, klären wir vertraglich mit dem Anbieter; bis zur schriftlichen Bestätigung durch Mistral machen wir hierzu keine Zusicherung. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

Zahlungsabwicklung – Abrechnungsdaten werden über Stripe Payments Europe, Ltd. (Dublin, Irland) verarbeitet. Stripe agiert für die Bezahlkette teils als eigenständig Verantwortlicher. Beststudea erhält nur die für Vertrag und Buchhaltung notwendigen Angaben. Rechtsgrundlage: Art. 6 Abs. 1 lit. b und lit. c DSGVO (§ 132 BAO – 7 Jahre Aufbewahrung).

Systemmails (Verifizierung, Passwort-Reset, Zahlungsbestätigung) – Versand aktuell über den Auth- und Mail-Dienst des Backend-Anbieters. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

Newsletter – nur bei ausdrücklicher, separater Anmeldung (Double-Opt-in). Gespeichert werden E-Mail, Zeitpunkt der Einwilligung und die zugestimmte Fassung dieser Erklärung. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO. Abmeldung jederzeit per Link in jeder Newsletter-Mail.

Support – Inhalt und Kontaktdaten Ihrer Anfrage. Rechtsgrundlage: Art. 6 Abs. 1 lit. b bzw. lit. f DSGVO.

Betriebsprotokolle – Zeitstempel und Fehlermeldungen zur Sicherstellung des Betriebs. IP-Adressen werden nur verarbeitet, soweit sie durch den Hosting-/Edge-Anbieter zur Missbrauchsabwehr erhoben werden; wir speichern sie nicht dauerhaft in unserer Datenbank. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.

4. Empfänger und Auftragsverarbeiter (Ist-Zustand)

Tatsächlich aktive Dienstleister:

• Supabase (Datenbank, Auth, Storage) – Auftragsverarbeiter. Region und AVV siehe interne Nachweisliste.
• Lovable (Plattform, Hosting, Deployment, Edge-Runtime) – Auftragsverarbeiter.
• Cloudflare (CDN/Edge, im Rahmen der Lovable-Auslieferung) – Auftragsverarbeiter.
• Mistral AI (KI-Verarbeitung von Textausschnitten) – Auftragsverarbeiter, Sitz Frankreich.
• Stripe Payments Europe, Ltd. (Zahlungsabwicklung, aktuell im Test-/Sandbox-Modus) – gemeinsame/eigenständige Verantwortlichkeit je nach Verarbeitungsschritt.

Weitere Dienste (z. B. dedizierter transaktionaler Mail-Anbieter, Analyse-Tools) sind derzeit nicht aktiv und werden erst nach Aktivierung und Ergänzung dieser Erklärung eingesetzt.

5. Übermittlung in Drittländer

Einzelne der genannten Anbieter können konzernbedingt Support- oder Infrastrukturzugriffe außerhalb des EWR haben. Rechtsgrundlage für solche Übermittlungen sind – soweit einschlägig – ein Angemessenheitsbeschluss der Europäischen Kommission (z. B. EU-U.S. Data Privacy Framework, sofern der jeweilige Anbieter zertifiziert ist) oder EU-Standardvertragsklauseln (Art. 46 DSGVO). Die konkrete Grundlage je Anbieter dokumentieren wir intern; eine pauschale Aussage „ausschließlich EU" geben wir nicht ab.

6. Speicherdauer

Konto- und Lerndaten werden bis zur Löschung des Kontos durch Sie aufbewahrt. Nach Kontolöschung werden Profil, Materialien, extrahierte Texte, Kapitel, Fragen, Antworten, Auswertungen und Lernverläufe unverzüglich gelöscht. Abrechnungsrelevante Daten (Rechnungen, Zahlungszuordnungen) werden gemäß § 132 BAO 7 Jahre gesperrt aufbewahrt und sind danach nicht mehr in Ihrem Konto sichtbar. Consent-Nachweise werden für die Dauer der Nachweispflicht gespeichert. Backups werden im Rahmen der üblichen Backup-Zyklen des Datenbankanbieters vorgehalten und rotieren dort automatisch.

7. Cookies und lokale Speicherung

Notwendig – Auth-Session (localStorage des Auth-Clients), verschlüsseltes Site-Gate-Cookie, Speicherung Ihrer Cookie-Auswahl (localStorage-Eintrag bs.cookie-consent.v1). Ohne diese funktionieren zentrale Funktionen nicht. Rechtsgrundlage: § 165 Abs. 3 TKG 2021 bzw. Art. 6 Abs. 1 lit. b DSGVO.

Analyse / Marketing – aktuell sind keine Analyse- oder Marketing-Skripte eingebunden. Falls wir künftig entsprechende Dienste einsetzen, geschieht das ausschließlich nach Ihrer vorherigen Einwilligung über das Cookie-Fenster.

Auswahl jederzeit ändern: Cookie-Einstellungen öffnen.

8. Minderjährige

Beststudea richtet sich an Personen ab 16 Jahren. Bei der Registrierung bestätigen Sie, dass Sie mindestens 16 Jahre alt sind oder die Einwilligung Ihrer Erziehungsberechtigten haben. Wir setzen keine personalisierte Werbung und kein Profiling für Minderjährige ein.

9. Automatisierte Entscheidungen

Eine automatisierte Entscheidung im Sinne des Art. 22 DSGVO findet nicht statt. KI-gestützte Bewertungen dienen ausschließlich der Lernunterstützung und entfalten keine rechtliche Wirkung.

10. Datensicherheit

Zugriff auf Nutzerdaten ist durch Row-Level-Security auf Datenbankebene beschränkt: Nutzer:innen sehen nur eigene Daten. Der Service-Role-Zugriff wird ausschließlich serverseitig verwendet. Adminfunktionen erfordern die Rolle admin bzw. super_admin in der Tabelle user_roles; Adminaktionen werden im Audit-Log protokolliert. Übertragung erfolgt via TLS (HTTPS).

11. Änderungen dieser Erklärung

Wir passen diese Erklärung an, wenn sich Verarbeitungen oder Anbieter ändern. Die jeweils aktuelle Fassung ist unter dieser Adresse abrufbar.

Diese Fassung wurde nach österreichischem Recht als Vorlage erstellt und ersetzt keine individuelle rechtliche Beratung.