Datenschutzerklärung

Diese Erklärung beschreibt, welche personenbezogenen Daten wir verarbeiten, wenn du norma.study besuchst und nutzt, zu welchem Zweck und auf welcher Rechtsgrundlage (Art. 13 DSGVO).

Verantwortlicher

Lennart Schlimmgen
Pücklerstraße 17
10997 Berlin
E-Mail: lennart.schlimmgen@proton.me

Ein Datenschutzbeauftragter ist gesetzlich nicht erforderlich (Art. 37 DSGVO i. V. m. § 38 BDSG).

Aufruf der Website (Server-Logs)

Beim Aufruf der Seiten erhebt unser Hoster automatisch technische Protokolldaten: IP-Adresse, Zeitstempel, Anfrage-Methode und URL, HTTP-Status, übertragene Datenmenge, Browserkennung (User-Agent) und Verweis-URL.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am technisch fehlerfreien Betrieb und an der Abwehr von Angriffen). Die Logs werden spätestens nach 14 Tagen automatisiert gelöscht oder anonymisiert.

Hosting (Hetzner)

Norma wird auf Servern der Hetzner Online GmbH, Industriestraße 25, 91710 Gunzenhausen, Deutschland gehostet. Rechenzentrums-Standort ist Deutschland. Mit Hetzner besteht ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO.

Nutzerkonto

Bei der Einrichtung deines Kontos speichern wir die folgenden Daten: E-Mail-Adresse, Anzeigename, Profilbild-URL (von Google), Zeitzone, gewählte Lernpräferenzen (z. B. Examenstermin, KI-Provider), Abostatus, Onboarding-Status sowie — sofern du einen setzt — deinen Community-Alias.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung - ohne Konto ist kein Zugang möglich). Die Daten werden gespeichert, bis du dein Konto löschst. Mit der Löschung entfernen wir dein Konto samt Lerndaten sofort aus dem laufenden System; in unseren Datensicherungen (auf dem Server in Deutschland) sind sie noch bis zu 30 Tage enthalten und werden danach mit der Sicherung überschrieben. Ein laufendes Abo wird bei der Löschung automatisch gekündigt.

Ausgenommen sind Nachweise, die wir aus rechtlichen Gründen aufbewahren müssen: Eingangsbestätigungen von Kündigungen, Vertragsbestätigungen und die Zustimmung zum sofortigen Leistungsbeginn (Name, E-Mail-Adresse, Zeitpunkt, Inhalt der Erklärung). Sie bleiben ohne Bezug zum gelöschten Konto bis zum Ende der regelmäßigen Verjährungsfrist (drei Jahre ab Jahresende, §§ 195, 199 BGB) gespeichert; Rechtsgrundlage ist Art. 6 Abs. 1 lit. c und f DSGVO.

Anmeldung über Google (OAuth)

Die Anmeldung erfolgt ausschließlich über dein Google-Konto (Google OAuth 2.0 / OpenID Connect). Beim erstmaligen Anmelden übermittelt Google an Norma deine E-Mail-Adresse, deinen Anzeigenamen und, sofern hinterlegt, die URL deines Profilbilds.

Beim Klick auf „Mit Google fortfahren" wirst du zu einem Server von Google weitergeleitet. Google verarbeitet dabei deine IP-Adresse und weitere Daten nach den eigenen Datenschutzbestimmungen. Anbieter ist Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung: Zugang zum Nutzerkonto). Auf die Speicherung von Passwörtern bei Norma wird bewusst verzichtet.

Lerndaten

Wir speichern die von dir angelegten oder importierten Karten, Stapel, Notizen, Favoriten sowie die vom FSRS-Algorithmus erfassten Wiederholungs-Statistiken. Diese Daten sind deinem Konto zugeordnet und dienen ausschließlich der Bereitstellung der Lernfunktion.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Du kannst deine Lerndaten jederzeit innerhalb der App als .apkg- oder .json-Export herunterladen oder einzeln löschen.

Community-Bereich

Wenn du Inhalte im Community-Bereich veröffentlichst (Karten-Stapel, Prüfungsschemata, Definitionen) oder Bewertungen bzw. Verbesserungsvorschläge abgibst, speichern wir diese Inhalte samt Zeitpunkt und dem dabei gewählten Anzeigenamen (Community-Alias; ist keiner gesetzt, wird „Anonym" angezeigt). Dein bürgerlicher Name wird im Community-Bereich nicht angezeigt.

Veröffentlichte Inhalte und Vorschläge sind für andere angemeldete Nutzer sichtbar und können von ihnen in den eigenen Lernbestand importiert werden. Bereits importierte Kopien bleiben beim jeweiligen Nutzer bestehen, auch wenn du den Inhalt später zurückziehst.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO; jede Veröffentlichung erfolgt auf deine aktive Veranlassung. Eigene Veröffentlichungen kannst du jederzeit zurückziehen; abgegebene Bewertungen und Vorschläge entfernen wir auf Anfrage (Kontakt siehe „Deine Rechte").

Meldest du einen Inhalt (auch ohne Konto), verarbeiten wir die Meldung samt Begründung sowie — sofern angegeben — deinen Namen und deine E-Mail-Adresse, um die Meldung zu prüfen, dir den Eingang zu bestätigen und unsere Entscheidung mitzuteilen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. c DSGVO i. V. m. Art. 16, 17 Verordnung (EU) 2022/2065. Meldungen löschen wir drei Jahre nach Abschluss des Vorgangs.

Bezahlung über Stripe

Für kostenpflichtige Abos nutzen wir Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, Irland. Stripe wickelt die Zahlung direkt ab (Karte oder SEPA-Lastschrift); Norma sieht und speichert keine Zahlungsdaten, sondern erhält von Stripe nur eine Kundenkennung, den Abostatus und die Rechnungsperiode.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung). Details zur Verarbeitung bei Stripe: stripe.com/de/privacy.

Kündigung über „Verträge hier kündigen"

Wenn du über den Kündigungsbutton kündigst, verarbeiten wir die dort angegebenen Daten (Name, E-Mail-Adresse, Art, Zeitpunkt und ggf. Grund der Kündigung) sowie den Eingangszeitpunkt, um die Kündigung zuzuordnen und auszuführen und dir den Eingang zu bestätigen. Kannst du einem laufenden Abo zugeordnet werden, kündigen wir es bei Stripe. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b und c DSGVO (§ 312k BGB); zur Speicherdauer siehe „Nutzerkonto".

E-Mails

Wir schicken dir E-Mails, wenn das für den Vertrag nötig ist (Vertragsbestätigung mit AGB und Widerrufsbelehrung nach einem Abo-Abschluss, Eingangsbestätigung einer Kündigung, Antworten auf deine Anfragen) — Rechtsgrundlage Art. 6 Abs. 1 lit. b und c DSGVO. Lern-Erinnerungen schicken wir nur, wenn du sie in den Einstellungen einschaltest (Art. 6 Abs. 1 lit. a DSGVO); jede Erinnerung enthält einen Abmelde-Link, und du kannst sie jederzeit in den Einstellungen wieder ausschalten.

Für den Versand nutzen wir Name, Anschrift des Mail-Anbieters als Auftragsverarbeiter (Art. 28 DSGVO). Dabei werden deine E-Mail-Adresse und der Inhalt der Nachricht verarbeitet.

Support-Chat

Über das Chat-Symbol kannst du uns schreiben — angemeldet oder als Gast. Wir speichern deine Nachrichten, unsere Antworten und die Zeitpunkte, um deine Anfrage zu beantworten. Bist du angemeldet, ordnen wir den Verlauf deinem Konto zu; er wird mit dem Konto gelöscht. Schreibst du als Gast, setzen wir erst mit deiner ersten Nachricht ein technisch notwendiges Cookie (norma_chat_vid, zufällige Kennung, Laufzeit zwölf Monate), damit du unsere Antwort im selben Verlauf siehst; Gast-Verläufe löschen wir zwölf Monate nach der letzten Nachricht. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b bzw. f DSGVO (Beantwortung deiner Anfrage) und § 25 Abs. 2 Nr. 2 TDDDG für das Cookie. Schreib bitte keine sensiblen Daten in den Chat.

Damit wir neue Nachrichten schnell sehen, erhält der Betreiber eine Push-Benachrichtigung (Web-Push) mit dem Anfang der Nachricht. Diese wird Ende-zu-Ende-verschlüsselt über den Push-Dienst des Browsers des Betreibers zugestellt (z. B. Google Firebase Cloud Messaging oder Apple/Mozilla Push Service); der Push-Dienst kann den Inhalt nicht lesen. Für Nutzer selbst wird kein Web-Push eingerichtet.

KI-Funktionen

Bestimmte Funktionen (Karten-Generierung, Karten-Prüfung, Befund-Vorschläge) senden den Inhalt deiner Karte und optional einen Norm-Auszug an den von dir in den Einstellungen ausgewählten KI-Anbieter:

• Anthropic Ireland Limited (Claude), Dublin, Irland.
• OpenAI Ireland Limited (GPT), Dublin, Irland.
• Google Ireland Limited (Gemini), Dublin, Irland.

Die Anbieter verarbeiten die Anfragen in unserem Auftrag (Art. 28 DSGVO) und speichern Eingaben in der Regel maximal 30 Tage zur Missbrauchsprävention; eine Nutzung zum Modelltraining ist vertraglich ausgeschlossen. Wir übermitteln personenbezogene Daten nur insoweit, als du sie selbst in den Karteninhalt eingibst.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) bzw. Art. 6 Abs. 1 lit. a DSGVO (Einwilligung), soweit du die optionale KI-Funktion aktiv auslöst.

Schriften und Skripte

Schriftarten (Newsreader, Geist) und die Formel-Darstellung (MathJax) liefern wir von unserem eigenen Server aus. Beim Seitenaufruf werden dafür keine Daten an Google Fonts, Content-Delivery-Netzwerke oder andere Dritte übertragen.

Cookies und Reichweitenmessung

Norma setzt ausschließlich technisch notwendige Cookies: ein signiertes Sitzungs-Cookie für die Anmeldung und den Schutz von Formularen (z. B. auf der Kündigungsseite) und — nur wenn du als Gast den Support-Chat nutzt — das Chat-Cookie (siehe „Support-Chat"). Es findet kein Tracking, keine Drittanbieter-Analytics, keine Drittanbieter-Cookies und kein Re-Marketing statt. Ein Einwilligungs-Banner ist daher nicht erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG).

Um zu verstehen, wie viele Besucher sich registrieren, zählen wir Aufrufe der Startseite und der Preisseite serverseitig als reine Tagessummen — ohne Cookie, ohne Speicherung der IP-Adresse oder anderer Kennungen, sodass kein Bezug zu einer Person entsteht. Weitere Kennzahlen (Registrierungen, Importe, Abos) ermitteln wir aggregiert aus den ohnehin vorhandenen Kontodaten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Verbesserung des Angebots).

Empfänger und Drittlandtransfer

Außerhalb der oben genannten Auftragsverarbeiter geben wir personenbezogene Daten nicht an Dritte weiter, es sei denn, wir sind gesetzlich dazu verpflichtet (z. B. Behördenauskunft).

Google, OpenAI und Anthropic sind US-amerikanische Unternehmen bzw. Tochterunternehmen US-amerikanischer Mütter; die Verarbeitung erfolgt vertraglich über die jeweiligen EU-Niederlassungen. Auf Konzernebene sind EU-Standardvertragsklauseln (SCC, Beschluss 2021/914) abgeschlossen; das EU-US Data Privacy Framework gilt zusätzlich, soweit die jeweilige Konzernmutter zertifiziert ist.

Deine Rechte

Dir stehen folgende Rechte zu:

• Auskunft über die zu deiner Person gespeicherten Daten (Art. 15).
• Berichtigung unrichtiger Daten (Art. 16).
• Löschung deines Kontos und der zugehörigen Daten (Art. 17) - direkt in den Konto-Einstellungen.
• Einschränkung der Verarbeitung (Art. 18).
• Datenübertragbarkeit (Art. 20), Lerndaten exportierst du direkt in der App.
• Widerspruch gegen Verarbeitungen aufgrund berechtigten Interesses (Art. 21).
• Widerruf einer erteilten Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3).

Für eine Anfrage genügt eine formlose Mail an lennart.schlimmgen@proton.me. Außerdem hast du das Recht, dich bei der zuständigen Datenschutz-Aufsichtsbehörde zu beschweren (für den Sitz Berlin: Berliner Beauftragte für Datenschutz und Informationsfreiheit, Alt-Moabit 59–61, 10555 Berlin).

Änderungen dieser Erklärung

Wir passen diese Datenschutzerklärung an, wenn sich Verarbeitungen oder rechtliche Anforderungen ändern. Die jeweils aktuelle Fassung findest du immer unter norma.study/datenschutz. Bei wesentlichen Änderungen informieren wir dich zusätzlich per E-Mail.

Stand: 5. Oktober 2026.