Datenschutz

kartay ist so gebaut, dass möglichst wenig über dich anfällt: Deine Karten, Sammlungen und dein Lernfortschritt liegen auf deinem Gerät, ein Konto ist freiwillig, und es gibt keine Werbung, kein Nutzungsprofil und keine Wiedererkennung über Tage oder Geräte hinweg. Wie oft eine Seite aufgerufen wird und wie schnell sie lädt, zählen wir zusammengefasst mit — ohne Cookies und ohne Bezug zu einer Person (siehe „Reichweiten- und Ladezeitmessung“). Diese Erklärung sagt trotzdem vollständig, was wann verarbeitet wird — denn das schreibt Art. 13 DSGVO so vor.

Verantwortlicher

Berkay Çetingül
c/o Radhaus Lauingen
Herzog-Georg-Str. 84
89415 Lauingen
Deutschland

E-Mail: support@kartay.de
Telefon: +49 9072 991808

Eine Datenschutzbeauftragte oder ein Datenschutzbeauftragter ist nicht bestellt, weil die Voraussetzungen des Art. 37 DSGVO und des § 38 BDSG nicht vorliegen. Alle Anfragen zum Datenschutz gehen an die oben genannte Adresse.

Grundsatz: deine Karten bleiben auf deinem Gerät

kartay speichert Karten, Sammlungen, Bilder, Töne und deinen Lernfortschritt im Speicher deines eigenen Browsers. Für die Nutzung brauchst du kein Konto, und ohne Konto verlässt keiner dieser Inhalte dein Gerät — sie werden weder an uns noch an Dritte übertragen.

kartay enthält außerdem keine eigene KI und sendet nichts an eine KI. Wenn du die Anleitung in ChatGPT, Claude, Gemini oder ein anderes Programm kopierst, geschieht das ausschließlich in deiner eigenen Sitzung bei diesem Anbieter. Was dort mit deinem Text passiert, richtet sich allein nach dessen Datenschutzerklärung; wir haben darauf keinen Einfluss und erfahren davon nichts.

Was beim Aufruf der Seite anfällt (Zugriffsprotokolle)

Die Seite wird von Vercel Inc. bereitgestellt. Wie bei jedem Aufruf einer Internetseite fallen dabei technische Zugriffsdaten an: IP-Adresse, Datum und Uhrzeit, aufgerufene Adresse, übertragene Datenmenge, Meldung über den Erfolg des Abrufs sowie Angaben zu Browser und Betriebssystem.

• Zweck: Auslieferung der Seite, Stabilität und Abwehr von Angriffen.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist der sichere und störungsfreie Betrieb.
• Speicherdauer: Die Protokolle werden automatisch nach wenigen Tagen gelöscht. Länger bleiben sie nur, solange ein konkreter Angriff oder eine konkrete Störung aufgeklärt wird.
• Ort: kartay wird in der Region Frankfurt am Main ausgeführt. Das weltweite Auslieferungsnetz von Vercel kann eine Anfrage jedoch an dem Standort beantworten, der dir am nächsten liegt — dabei ist eine Verarbeitung außerhalb der EU möglich (siehe „Übermittlung in Drittländer“).

Diese Daten werden nicht mit anderen Quellen zusammengeführt und nicht dazu benutzt, dich wiederzuerkennen.

Schriften

Die Schriften dieser Seite werden beim Bauen der Seite mitgeliefert und von kartay selbst ausgeliefert. Es entsteht keine Verbindung zu Google Fonts oder einem anderen Schriftendienst, und es wird dabei keine IP-Adresse an Dritte übertragen.

Was auf deinem Gerät gespeichert wird

Damit kartay ohne Konto und ohne Internetverbindung funktioniert, legt die App Informationen auf deinem Gerät ab. Rechtsgrundlage für diese Speicherung und den Zugriff darauf ist § 25 Abs. 2 Nr. 2 TDDDG: Sie ist unbedingt erforderlich, damit der von dir ausdrücklich gewünschte Dienst überhaupt bereitgestellt werden kann. Eine Einwilligung ist dafür nicht nötig, und es wird nichts davon an uns übertragen.

• Deine Inhalte (Datenbank „kartay“ im Browserspeicher): Karten, Sammlungen, Bilder und Töne, Lernfortschritt, Wiederholungsverlauf und Einstellungen, dazu die Vermerke, die der Abgleich braucht (etwa welche Karte du gelöscht hast). Bleiben, bis du sie in der App löschst oder die Browserdaten dieser Seite löschst.
• Dein Kartenschlüssel (in derselben Datenbank, nur mit Konto): der Schlüssel, mit dem deine Karten für dein Konto verschlüsselt werden. Er liegt so auf deinem Gerät, dass die App ihn benutzen, aber kein Programm ihn auslesen kann, und wird beim Abmelden gelöscht.
• kartay:theme: deine Wahl zwischen hellem und dunklem Erscheinungsbild. Bleibt, bis du sie zurücksetzt.
• kartay:install-hint-dismissed: wann und wie oft du den Hinweis zum Installieren weggewischt hast, damit er nicht zu früh und höchstens zweimal wiederkommt.
• kartay:backup-nudge-dismissed-at und kartay:last-backup-at: wann du die Erinnerung an eine Sicherung weggewischt und wann du zuletzt eine Sicherung gemacht hast, damit die App weiß, wann sie wieder daran erinnern darf.
• kartay:diagnose: die letzten zwanzig Fehlermeldungen der App mit Zeitpunkt und der Seite, auf der sie auftraten — keine Karteninhalte. Sie bleiben auf deinem Gerät; nur wenn du in den Einstellungen selbst einen Bericht herunterlädst und weitergibst oder ihn dort abschickst (siehe „Fehlerbericht senden“), verlassen sie es. In den Einstellungen kannst du die Notizen jederzeit verwerfen.
• Offline-Speicher: eine Kopie der Seiten und Dateien, die kartay braucht, um ohne Verbindung zu starten. Wird beim nächsten größeren Update ersetzt.
• Anmelde-Cookies von Supabase: nur wenn du dich anmeldest. Sie halten deine Sitzung aufrecht und werden beim Abmelden gelöscht. Es sind keine Werbe- oder Wiedererkennungs-Cookies.

Du kannst all das jederzeit über die Einstellungen deines Browsers löschen. Ohne Konto sind deine Karten dann allerdings weg — dafür gibt es in den Einstellungen die Sicherung als Datei.

Reichweiten- und Ladezeitmessung

Wir nutzen Vercel Web Analytics und Vercel Speed Insights, zwei Dienste unseres Auftragsverarbeiters Vercel Inc., um zu sehen, welche Seiten aufgerufen werden und wie schnell sie laden.

Beide arbeiten ohne Cookies und legen nichts auf deinem Gerät ab. Es entsteht kein Nutzungsprofil, und eine Wiedererkennung über mehrere Tage oder über verschiedene Geräte hinweg findet nicht statt. Erhoben werden die aufgerufene Adresse, die verweisende Adresse sowie grobe Angaben zu Land, Gerätetyp, Betriebssystem und Browser. Speed Insights übermittelt zusätzlich die Ladezeiten, die dein Browser beim Aufruf selbst misst, und die grobe Art deiner Verbindung (etwa „4g“). Um Aufrufe derselben Sitzung zusammenzufassen, bildet Vercel aus den Angaben der Anfrage einen Prüfwert, der nach 24 Stunden verworfen wird; die IP-Adresse selbst wird dabei nicht gespeichert.

• Zweck: Betrieb, Fehlersuche und Verbesserung der Ladegeschwindigkeit.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist es, zu erkennen, welche Teile der App genutzt werden und wo sie zu langsam ist.
• Speicherdauer: Der Prüfwert verfällt nach 24 Stunden. Übrig bleiben zusammengefasste Zahlen ohne Bezug zu einer Person, die längstens zwölf Monate ausgewertet werden.

Gegen diese Verarbeitung kannst du jederzeit Widerspruch einlegen — siehe den eigenen Abschnitt „Widerspruchsrecht“ weiter unten.

Konto und Abgleich zwischen Geräten (freiwillig)

Wenn du deine Karten auf Handy und Laptop haben willst, kannst du dir ein Konto anlegen. Dann verarbeiten wir:

• deine E-Mail-Adresse und dein Passwort — das Passwort verlässt dein Gerät überhaupt nicht: dein Browser rechnet daraus einen eigenen Anmeldewert, und nur der wird gesendet und dort noch einmal als nicht rückrechenbarer Prüfwert gespeichert;
• deinen Kartenschlüssel in verschlossener Form — so eingepackt, dass er sich nur mit deinem Passwort oder mit deinem Notfall-Code öffnen lässt;
• deine Karten, Sammlungen, Schlagwörter und Medien — verschlüsselt (siehe den nächsten Absatz);
• deinen Lernfortschritt und deinen Wiederholungsverlauf (Zeitpunkt, Bewertung und die daraus berechneten Werte je Karte);
• technische Zeitstempel, damit zwei Geräte entscheiden können, welcher Stand der neuere ist;
• bei Anmeldung und Registrierung deine IP-Adresse und Angaben zu deinem Browser, die Supabase zum Schutz vor Missbrauch protokolliert.

Deine Einstellungen werden bewusst nicht übertragen — sie gehören zum jeweiligen Gerät.

Deine Karteninhalte sind Ende-zu-Ende verschlüsselt. Frage, Antwort, Schlagwörter, die Sprache deiner Kartenseiten, die Namen deiner Sammlungen sowie Bilder und Töne werden auf deinem Gerät verschlüsselt, bevor sie zu uns gehen, und erst auf deinem Gerät wieder entschlüsselt. Der Schlüssel dafür entsteht auf deinem Gerät und erreicht uns nur verschlossen — geöffnet werden kann er allein mit deinem Passwort oder deinem Notfall-Code, und beide kennen wir nicht. Wir können deine Karten also nicht lesen, auch nicht auf Anfrage, und auch niemand, der Zugriff auf unsere Datenbank erlangt. Für uns sichtbar bleibt nur das Gerüst, das der Abgleich braucht: welche Karte zu welcher Sammlung gehört, Kartentyp und Schwierigkeitsstufe, wann sie zuletzt geändert wurde, wann sie wieder dran ist und wie du sie bewertet hast.

Weil niemand außer dir den Schlüssel öffnen kann, holt ein zurückgesetztes Passwort deine Karten nicht mit zurück. Dafür bekommst du beim Einrichten einmalig einen Notfall-Code. Verlierst du Passwort und Code, bleiben die Karten in deinem Konto endgültig verschlossen; die Karten auf deinem Gerät sind davon nicht betroffen.

• Zweck: Anmeldung und Abgleich deiner Karten zwischen deinen Geräten.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Der Abgleich ist die Leistung, die du mit dem Anlegen des Kontos anforderst. Für die Protokolle bei der Anmeldung Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist der Schutz der Konten vor fremden Zugriffen.
• Auftragsverarbeiter: Supabase Inc. Die Speicherung erfolgt auf Servern innerhalb der Europäischen Union. Mit dem Anbieter besteht ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO. Der Zugriff ist technisch so abgesichert, dass jedes Konto nur die eigenen Zeilen lesen und schreiben kann.
• Speicherdauer: bis du das Konto löschst. In den Einstellungen kannst du das jederzeit selbst tun; dabei werden deine Zugangsdaten, Karten, Medien und dein Lernverlauf sofort entfernt. Soweit unser Anbieter Sicherungskopien der Datenbank vorhält, verschwinden sie daraus, sobald diese Kopien turnusmäßig überschrieben werden. Die Protokolle bei der Anmeldung werden gelöscht, sobald sie zum Schutz der Konten nicht mehr gebraucht werden. Die Daten auf deinem Gerät bleiben von einer Kontolöschung unberührt.

Musst du diese Daten angeben? Nein. kartay funktioniert vollständig ohne Konto. Willst du eines, ist die E-Mail-Adresse erforderlich, weil ohne sie weder eine Anmeldung noch ein Zurücksetzen des Passworts möglich ist. Eine gesetzliche oder vertragliche Pflicht zur Angabe besteht nicht.

E-Mails rund um dein Konto

Zum Bestätigen der Anmeldung und zum Zurücksetzen des Passworts versenden wir E-Mails über unseren Auftragsverarbeiter Resend (Plus Five Five, Inc., USA). Die Nachricht selbst wird dabei auf unserem eigenen Server verfasst — damit sie in deiner Sprache ankommt — und erst dann zum Versand übergeben; sie läuft also über unseren Auftragsverarbeiter Vercel Inc. (siehe unten) und anschließend über Resend. Verarbeitet werden dabei deine E-Mail-Adresse, der Inhalt der Nachricht und der Zeitpunkt des Versands. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Wir selbst bewahren die Nachricht nicht auf; Resend speichert die Versanddaten nur so lange, wie es für Zustellung und Fehlersuche nötig ist. Andere E-Mails verschicken wir nicht — es gibt weder Werbung noch einen Newsletter.

Schutz der Anmeldeformulare

Vor Anmeldung, Registrierung, Passwort-Zurücksetzen und dem Abschicken eines Fehlerberichts löst dein Browser eine kleine Rechenaufgabe (ALTCHA). Sie macht massenhafte automatische Versuche teuer. Das Verfahren läuft auf unseren eigenen Servern, bindet keinen Drittanbieter ein, setzt kein Cookie und wertet dein Verhalten nicht aus. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist der Schutz der Konten vor fremden Anmeldeversuchen.

Impressum und Datenschutzerklärung

Der Text dieser beiden Seiten wird in einem Redaktionssystem (Sanity, Sanity AS, Norwegen) gepflegt. Er wird auf unserem Server abgerufen und dir als fertige Seite ausgeliefert — dein Browser baut dabei keine Verbindung zu Sanity auf, und es werden keine Daten über dich dorthin übertragen. Sanity ist deshalb auch kein Empfänger deiner Daten. Der Redaktionsbereich unter /studio ist ausschließlich für den Betrieb der Seite bestimmt.

Wenn du uns schreibst

Schreibst du uns eine E-Mail oder rufst du an, verarbeiten wir deine Angaben, um die Anfrage zu beantworten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, wenn es um ein Konto geht, sonst Art. 6 Abs. 1 lit. f DSGVO (Interesse an der Beantwortung von Anfragen). Wir löschen die Nachricht, sobald sie erledigt ist und keine gesetzliche Aufbewahrungsfrist entgegensteht, spätestens nach zwei Jahren.

Fehlerbericht senden (freiwillig)

In den Einstellungen kannst du uns den Fehlerbericht deiner App schicken. Das passiert nur, wenn du ihn dort ausdrücklich abschickst — die App sendet von sich aus nichts, auch nicht bei einem Absturz.

Du siehst den vollständigen Text, bevor er dein Gerät verlässt. Er enthält die letzten Fehlermeldungen mit Zeitpunkt und Seite, deinen Browser, die Fenstergröße, die Spracheinstellung deines Browsers, ob gerade eine Verbindung besteht, die laufende Fassung von kartay, wie viele Karten, Sammlungen und Wiederholungen auf dem Gerät liegen und wie viel Speicher belegt ist — keine Karteninhalte.

• Zweck: Fehler finden und beheben, von denen wir sonst nie erfahren.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist es, die Fehler zu beheben, die du uns mit dem Bericht zeigst; übermittelt wird er nur, wenn du ihn abschickst.
• Empfänger: Der Bericht geht über unseren Server bei Vercel Inc. an Supabase Inc., beide als unsere Auftragsverarbeiter. Gespeichert wird er bei Supabase auf Servern in der EU.
• Speicherdauer: 90 Tage. Danach wird der Bericht gelöscht.

Ein Bericht enthält kein Merkmal, das auf dich verweist — keine Konto-Kennung, keine Adresse, auch dann nicht, wenn du angemeldet bist. Das ist Absicht, hat aber eine Kehrseite, die du vor dem Abschicken wissen sollst: Wir können einen abgeschickten Bericht später nicht dir zuordnen und ihn deshalb auf Wunsch weder herausgeben noch einzeln löschen (Art. 11 DSGVO). Er verschwindet mit der Frist oben.

Karten vorlesen

Lässt du dir eine Karte vorlesen, benutzt kartay die Sprachausgabe deines Browsers und sendet selbst nichts. Manche Browser bieten auch Stimmen an, die online vorlesen — etwa die mit „Google“ im Namen in Chrome — und schicken den Text dafür an ihren Hersteller. kartay benutzt solche Stimmen nicht, auch nicht als Ersatz: Es liest nur mit Stimmen vor, die dein Browser als auf dem Gerät arbeitend meldet. Hat dein Gerät für eine Sprache keine solche Stimme, gibt es dafür keinen Vorlese-Knopf.

Karten teilen, sichern, importieren

• Teilen-Link: Beim Teilen einer Sammlung stecken die Karten hinter dem Rautezeichen im Link. Dieser Teil wird von Browsern nicht an den Server gesendet — wir sehen ihn also nie. Bedenke aber: Wer den Link hat, kann die Karten lesen. Gib ihn nur an Personen weiter, die sie sehen sollen.
• Sicherung als Datei: Die Datei wird in deinem Browser erzeugt und direkt bei dir gespeichert. Sie geht nicht über unsere Server.
• Anki-Import und -Export: .apkg-Dateien werden vollständig in deinem Browser gelesen und geschrieben. Auch hier verlässt nichts dein Gerät.

kartay unterstützen

Der Link zum Unterstützen führt zu Ko-fi, einem externen Dienst. Solange du ihn nicht anklickst, wird nichts an Ko-fi übertragen. Danach bist du auf der Seite von Ko-fi, und es gilt dessen Datenschutzerklärung.

Empfänger deiner Daten

Über die oben genannten Fälle hinaus geben wir keine Daten weiter. Es gibt keinen Verkauf von Daten, keine Werbenetzwerke, keine Weitergabe an Datenhändler und keine Nutzung deiner Karten zum Training von KI-Modellen. Eine Offenlegung gegenüber Behörden erfolgt nur, wenn wir gesetzlich dazu verpflichtet sind.

Als Auftragsverarbeiter nach Art. 28 DSGVO sind eingebunden:

• Vercel Inc. (USA) — Bereitstellung der Seite, Zugriffsprotokolle, Reichweiten- und Ladezeitmessung, das Verfassen der beiden Konto-E-Mails und die Weiterleitung abgeschickter Fehlerberichte. Datenschutzerklärung
• Supabase Inc. (USA; Speicherung in der EU) — Konto, Abgleich und abgeschickte Fehlerberichte. Datenschutzerklärung
• Plus Five Five, Inc. („Resend“) (USA) — Versand der Konto-E-Mails. Datenschutzerklärung

Übermittlung in Drittländer

Vercel Inc., Supabase Inc. und Resend haben ihren Sitz in den USA, also außerhalb der EU. Auch wenn die Verarbeitung für kartay auf europäische Standorte eingestellt ist, lässt sich ein Zugriff aus den USA — etwa zur Wartung — nicht ausschließen.

Vercel Inc. und Plus Five Five, Inc. (Resend) sind nach dem EU-U.S. Data Privacy Framework zertifiziert. Die Übermittlung an sie stützt sich auf den Angemessenheitsbeschluss der EU-Kommission vom 10. Juli 2023 (Art. 45 Abs. 1 DSGVO). Supabase Inc. ist nicht zertifiziert; hier ist die Übermittlung durch die Standardvertragsklauseln der EU-Kommission abgesichert (Art. 46 Abs. 2 lit. c DSGVO), die Bestandteil des Vertrags zur Auftragsverarbeitung sind. Eine Kopie der Standardvertragsklauseln kannst du unter der oben genannten Kontaktadresse anfordern.

Wir weisen darauf hin, dass US-Behörden trotz dieser Maßnahmen Zugriffsrechte haben können, die nicht in jedem Punkt dem europäischen Schutzniveau entsprechen.

Keine automatisierte Entscheidungsfindung

Eine automatisierte Entscheidung im Einzelfall einschließlich Profilbildung nach Art. 22 DSGVO findet nicht statt. kartay berechnet zwar, wann du eine Karte wiedersehen solltest — diese Berechnung betrifft ausschließlich die Reihenfolge deiner eigenen Karten und hat keinerlei rechtliche Wirkung für dich.

Minderjährige

kartay richtet sich an Lernende jeden Alters und funktioniert ohne Konto und ohne jede Angabe zur Person. Für ein Konto sollten Personen unter 16 Jahren vorher ihre Eltern oder Erziehungsberechtigten fragen. Wir erheben bewusst kein Geburtsdatum und keine weiteren Angaben zur Person.

Sicherheit

Die Verbindung zu kartay ist durchgehend mit TLS verschlüsselt (erkennbar am https:// in der Adresszeile). Dein Passwort erreicht uns nie; gespeichert wird nur ein nicht rückrechenbarer Prüfwert des daraus abgeleiteten Anmeldewerts. Der Zugriff auf Konto-Daten ist auf Ebene der Datenbank so abgesichert, dass ein Konto nur die eigenen Zeilen sehen kann.

Darüber hinaus sind deine Karteninhalte Ende-zu-Ende verschlüsselt (AES-256-GCM). Der Schlüssel liegt nur auf deinen Geräten offen vor; bei uns liegt er ausschließlich verschlossen. Deine Karten sind damit auch für uns unlesbar — ein Datenleck auf unserer Seite legt sie nicht offen.

Deine Rechte

Dir stehen gegenüber uns folgende Rechte zu:

• Auskunft darüber, ob und welche Daten wir über dich verarbeiten (Art. 15 DSGVO)
• Berichtigung unrichtiger Daten (Art. 16 DSGVO)
• Löschung (Art. 17 DSGVO)
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit in einem gängigen Format (Art. 20 DSGVO)
• Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21 DSGVO)
• Widerruf einer erteilten Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO)

Vieles davon kannst du sofort selbst erledigen: Die Sicherung in den Einstellungen gibt dir deine Karten und deinen Lernverlauf als Datei, und das Löschen des Kontos entfernt dort alles, was in deinem Konto liegt. Für alles Weitere genügt eine E-Mail an die oben genannte Adresse.

Außerdem hast du das Recht auf Beschwerde bei einer Aufsichtsbehörde (Art. 77 DSGVO). Für uns zuständig ist:

Bayerisches Landesamt für Datenschutzaufsicht (BayLDA)
Promenade 18, 91522 Ansbach
https://www.lda.bayern.de

Du kannst dich ebenso an die Aufsichtsbehörde deines Wohnorts wenden.

Widerspruchsrecht

Du hast das Recht, aus Gründen, die sich aus deiner besonderen Situation ergeben, jederzeit gegen die Verarbeitung deiner personenbezogenen Daten Widerspruch einzulegen, die auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO erfolgt. Das betrifft bei kartay die Zugriffsprotokolle, die Reichweiten- und Ladezeitmessung, die Protokolle bei der Anmeldung, den Schutz der Anmeldeformulare, die Beantwortung von Anfragen und abgeschickte Fehlerberichte.

Legst du Widerspruch ein, verarbeiten wir deine Daten nicht mehr, es sei denn, wir können zwingende schutzwürdige Gründe nachweisen, die deine Interessen, Rechte und Freiheiten überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen (Art. 21 Abs. 1 DSGVO).

Der Widerspruch ist an keine Form gebunden; eine E-Mail an support@kartay.de genügt.

Änderungen dieser Erklärung

Ändert sich an kartay etwas, das für den Datenschutz zählt, ändern wir diese Erklärung mit. Es gilt immer die hier veröffentlichte Fassung.

Stand: 14. September 2026