Datenschutzerklärung

1. Einleitung

Der Schutz deiner Daten ist uns sehr wichtig. Diese Datenschutzerklärung informiert dich über Art, Umfang und Zweck der Verarbeitung personenbezogener Daten auf unserer Website sowie über deine Rechte.

2. Verantwortliche Stelle & Zuständigkeiten

Datenschutzbeauftragter: Ein Datenschutzbeauftragter ist derzeit nicht benannt. Datenschutzanfragen zur allgemeinen Plattform können über das Benutzerkonto, das Kontaktformular oder per E-Mail an support [at] labra-deutsch [dot] de gerichtet werden.

3. Verarbeitete Datenarten

Wir verarbeiten insbesondere:

• IP-Adressen und Zeitstempel
• Aufgerufene Seiten und technische Server-Logdaten
• Automatisch erzeugte Benutzerkennungen für Gäste
• E-Mail-Adressen bei Registrierung, Kontaktaufnahme, Zahlungszuordnung oder Newsletter-Anmeldung
• Geschäftliche Kontaktdaten bei B2B-/Kooperationsanfragen, insbesondere Unternehmen/Institution, Ansprechpartner, Funktion, geschäftliche E-Mail-Adresse oder Telefonnummer, Land, Anfrageinhalt, gewünschter Lizenz-/Kooperationsumfang und sonstige freiwillig übermittelte Projektdaten
• Angaben aus dem Kontaktformular, insbesondere Anliegenkategorie, Nachricht, Beschwerdebereich sowie bei technischen Meldungen der betroffene Plattformbereich, freiwillige Geräte- und Browserangaben und eine Fehlerbeschreibung
• Herkunfts- und Zuordnungsdaten des Kontaktvorgangs, insbesondere Seitensprache, Herkunftsseite, technischer Einmalkontext und Bearbeitungsstatus
• Technische Browser- und Geräteinformationen, soweit sie beim Seitenaufruf oder aus Sicherheitsgründen automatisch anfallen
• Zahlungsinformationen bei Stripe-Zahlung oder manueller Überweisung
• Bei einem direkten SARL-AU-Verkauf per Banküberweisung in Marokko: Name, E-Mail-Adresse, vollständige Rechnungsanschrift (Straße, Postleitzahl, Ort und Land), Produkt/Plan, Preis, Währung, Rechnungsangaben, Zahlungsstatus sowie – soweit zur Zuordnung erforderlich – Zahlungsbestätigung und Überweisungsreferenz
• Lernfortschritt, Übungsergebnisse, Punkte, Freischaltungen und Nutzungsdaten
• Texteingaben, Prompts, Chatnachrichten, Korrekturanfragen und Grammatikfragen
• KI-generierte Antworten, Erklärungen, Korrekturen, Zusammenfassungen, Gesprächsantworten und Lernhinweise
• KI-generierte Übungen, Aufgaben, Antwortoptionen, Beispielsätze, Lerntexte, Musterlösungen und ähnliche Lernmaterialien
• Transkribierte Spracheingaben, soweit Sprach- oder Gesprächsfunktionen genutzt werden
• Bestell- und Vertragsnachweise, insbesondere interne Bestellnummer, Nutzer-ID, E-Mail-Adresse, Produkt, Preis, Währung, Verkäufer, Zahlungsweg, Zahlungs- und Checkout-Referenzen, Zahlungsstatus, Freischaltzeitpunkt, Zeitpunkt des ersten Premium-Zugriffs sowie Versandzeitpunkt und Referenz der Bestätigungsmail
• Verlängerungsdaten, insbesondere interne Verlängerungsrunden-ID, vorheriges Vertragsende, Schutzfrist vor Kontolöschung, Zeitpunkt der letzten tatsächlich versandten Zahlungsinformation, Status paralleler Zahlungsversuche, endgültiger Zahlungsweg, maßgebliche bezahlte Bestellnummer und Aktivierungszeitpunkt
• Nachweise zu AGB, Datenschutzerklärung und Widerrufsbelehrung, insbesondere Dokumentversionen, Sprache, angezeigte Einwilligungstexte, Checkbox-Status und serverseitige Zeitstempel
• Pseudonymisierte Sicherheitsnachweise, insbesondere Hashwerte der IP-Adresse und des User-Agents; Hashwerte sind pseudonymisierte und nicht vollständig anonymisierte Daten
• Technische Sitzungs- und Nutzungsdaten, insbesondere Sitzungs- oder Gastkennung, Zeitpunkt, aufgerufene Seite, Herkunftsseite, Land sowie Browser- und Geräteinformationen
• Daten zur Bearbeitung von Zahlungsstreitfällen und Betrugswarnungen, insbesondere Bestell-, Zahlungs-, Zugriffs-, Nutzungs- und Kommunikationsnachweise sowie vom Zahlungsanbieter übermittelte Status- und Fallreferenzen
• Pseudonymisierte Zuordnungsmerkmale zu Konten, Zahlungen, Sitzungen oder Geräten, soweit sie zur Missbrauchsprävention, Fallzuordnung oder Wiedererkennung eines bereits gesperrten Vorgangs erforderlich sind
• Ein- und ausgehende Kommunikationsdaten, insbesondere Absender- und Empfängeradresse, Name, Betreff, Nachrichteninhalt, Mailtyp, Vorlage, Nutzer-ID, Benutzername, Versand- oder Eingangszeitpunkt, Zustellstatus, Versandversuche, Fehlerhinweise, technische Job- oder Nachrichten-ID und Bearbeitungsverlauf
• Interne Widerrufs- und Rückzahlungsbenachrichtigungen, insbesondere Benachrichtigungsstufe, Entscheidungsstatus, Prüfbedarf, Ablehnungsgrund, vorgesehener und tatsächlich bestätigter Rückzahlungsbetrag, Zahlungsanbieterstatus, Rückzahlungsreferenz, Versandstatus, Nachrichten- oder Job-ID und Zeitpunkt der Benachrichtigung
• Temporäre Audiofragmente und PDF-Exportdateien, soweit die jeweilige Funktion aktiv genutzt wird

4. Zwecke der Verarbeitung

Die Datenverarbeitung erfolgt zur Bereitstellung der Lernplattform, zur Verwaltung von Nutzerkonten, zur Bereitstellung von Lernfunktionen, Fortschrittsfunktionen, Audio- und Aussprachefunktionen, PDF-Exporten, Support, Zahlungsabwicklung, Systemsicherheit, Missbrauchsprävention, technischer Fehleranalyse und Systemoptimierung.

Zusätzlich werden Daten verarbeitet, um KI-gestützte Lernfunktionen bereitzustellen. Dazu gehören insbesondere das Generieren von Gesprächen, Antworten und Lernhilfen, Textkorrekturen, Grammatikerklärungen, Fehleranalysen, Zusammenfassungen, Übersetzungs- und Formulierungshilfen, Aussprache- und Sprechübungen, Chatfunktionen, die Analyse des Lernfortschritts sowie die Erstellung von Übungen, Aufgaben, Antwortoptionen, Beispielsätzen, Lerntexten, Musterlösungen und individuellen Lernhinweisen.

Zur Sicherstellung der Systemsicherheit, zur Zahlungszuordnung und zur Erkennung missbräuchlicher oder betrügerischer Nutzung können automatisierte Prüfmechanismen eingesetzt werden. Bei einem konkreten Sicherheitssignal, einer Meldung des Zahlungsanbieters oder einer Zahlungsanfechtung kann der betroffene Zugang vorläufig eingeschränkt werden. Eine solche Schutzmaßnahme stellt für sich allein keine endgültige Feststellung eines Betrugs dar und kann auf Anfrage überprüft werden.

Technische Sitzungs- und Nutzungsdaten werden zunächst nur kurzfristig verarbeitet. Bei einer bestätigten Stripe-Zahlung können die für eine mögliche Zahlungsprüfung relevanten Protokolle für einen begrenzten Zeitraum gegen die reguläre Löschung geschützt werden. Meldet Stripe tatsächlich eine Betrugswarnung oder Zahlungsanfechtung, können die für den konkreten Fall erforderlichen Bestell-, Zahlungs-, Zugriffs-, Nutzungs- und Kommunikationsnachweise fallbezogen zusammengeführt werden.

In begrenzten Einzelfällen können berechtigte Mitarbeiter Sitzungs- und Nutzungsdaten außerdem befristet für Support, Sicherheitsprüfung, Produktoptimierung oder die Planung allgemeiner Werbemaßnahmen analysieren. Solche Analysen dienen nicht der individuellen Werbeansprache der betroffenen Person und werden nicht mit einer Betrugs- oder Dispute-Akte für Werbezwecke zusammengeführt.

Bestell-, Einwilligungs-, Zahlungs- und Kommunikationsnachweise werden außerdem verarbeitet, um den Vertragsschluss, den angezeigten Verkäufer, die bei der Bestellung geltenden Rechtstexte, die erteilten Erklärungen, den Zahlungseingang, die Freischaltung, den ersten Premium-Zugriff, die Bestellbestätigung sowie gegebenenfalls einen Widerruf, eine Erstattung oder einen Streitfall nachweisen und bearbeiten zu können.

Bei einer Mitgliedschaftsverlängerung werden neue Bestellnachweise zusätzlich zu früheren Bestellungen angelegt. Die beim ersten Zahlungsabruf derselben Verlängerungsrunde protokollierten Erklärungen können bei einem späteren Wechsel des Zahlungswegs mit ihrer ursprünglichen Bestellnummer, ihrem ursprünglichen Zeitstempel und den technischen Nachweisen als Zustimmungsquelle verknüpft werden. Dadurch wird kein neuer Checkbox-Klick behauptet. Die Verarbeitung dient außerdem dazu, mehrere vorübergehend offene Zahlungsversuche derselben Verlängerung einander zuzuordnen, eine doppelte Freischaltung zu verhindern, nicht mehr maßgebliche Zahlungslinks zu beenden und die für Widerruf, Erstattung oder Rechtsverteidigung maßgebliche bezahlte Verlängerungsbestellung festzustellen.

Bei ein- und ausgehenden E-Mails und sonstigen Supportnachrichten erfolgt die Verarbeitung zur Bearbeitung des Anliegens, zur Dokumentation geschäftlicher Kommunikation, zur Sicherstellung und Kontrolle des Versands, zum automatischen Nachversand bei technischen Fehlern, zur Abwehr von Missbrauch sowie zur Geltendmachung, Ausübung oder Verteidigung rechtlicher Ansprüche.

Bei Geschäftskunden- und Kooperationsanfragen werden die im hierfür vorgesehenen Kontaktreiter übermittelten geschäftlichen Kontaktdaten zusätzlich zur Prüfung des Kooperationsbedarfs, Vorbereitung von Testzugängen oder Angeboten, Abstimmung von Lizenzmengen und Vertragsbedingungen sowie zur Pflege der daraus entstehenden Geschäftsbeziehung verarbeitet. Personenbezogene Lern- oder Mitarbeiterlisten sollen nicht über den allgemeinen Geschäftskunden-Kontaktreiter übermittelt werden.

Wird eine Anfrage für eine Premium-Buchung per Banküberweisung von der Preisseite aus gestartet, kann das System den Vorgang anhand eines kurzlebigen, sitzungsgebundenen Einmalkontexts als Banküberweisungsanfrage erkennen. Die Anfrage wird einem Kommunikationsverlauf zugeordnet. Nach einer zeitversetzten technischen Prüfung kann automatisch ein persönlicher, zeitlich befristeter Registrierungslink erstellt und eine vorbereitende Antwort per E-Mail versandt werden. Der Link ist grundsätzlich 20 Tage gültig. Versandstatus, Fehler und Nachversand können protokolliert werden. Die Automatisierung dient ausschließlich der Bearbeitung der ausdrücklich gestellten Buchungsanfrage und trifft keine rechtlich erhebliche Entscheidung über die betroffene Person.

5. Rechtsgrundlagen

Je nach Einzelfall erfolgt die Datenverarbeitung auf Grundlage von:

• Art. 6 Abs. 1 lit. a DSGVO (Einwilligung)
• Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung und vorvertragliche Maßnahmen)
• Art. 6 Abs. 1 lit. c DSGVO (gesetzliche Pflichten, insbesondere Buchhaltung und Aufbewahrung)
• Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse, insbesondere Sicherheit, Betrugs- und Missbrauchsprävention, Support, Produktoptimierung, Plattformstabilität und Rechtsverteidigung)

5.1 Empfängerkategorien

Je nach tatsächlich genutzter Funktion können Daten an folgende Empfänger beziehungsweise Kategorien von Empfängern übermittelt werden:

• Labra Flex Germany als Verantwortlicher und Betreiber der allgemeinen Lernplattform
• STE Labra Flex SARL-AU bei einem direkten Banküberweisungskauf in Marokko als Verkäuferin und Verantwortliche für die hierfür erforderlichen Verkaufs-, Rechnungs- und Zahlungszuordnungsdaten
• von Labra Flex Germany beauftragte Auftragsverarbeiter und technische Dienstleister, insbesondere STRATO GmbH sowie Infrastruktur-, Sicherheits- und KI-Dienstleister
• Stripe Payments Europe Ltd. und verbundene Stripe-Unternehmen bei Stripe-Zahlungen
• Kreditinstitute der jeweils im Checkout genannten Verkäuferin beziehungsweise des genannten Verkäufers
• KI-Dienstleister, insbesondere OpenAI sowie Cortecs GmbH und die innerhalb der dort produktiv aktivierten EU-/EWR-Routingregeln eingesetzten Inferenz-Unterauftragsverarbeiter
• Infrastruktur- und Sicherheitsdienstleister, insbesondere Cloudflare und ProxyCheck.io
• Steuerberater, Buchhaltungsdienstleister, Banken und zuständige Behörden im Rahmen gesetzlicher Pflichten
• E-Mail-, SMTP- und Hostinganbieter, soweit dies für den Versand, Empfang, die Zustellkontrolle oder den automatischen Nachversand von Nachrichten erforderlich ist

6. Registrierung & Konto

Bei der Registrierung werden personenbezogene Daten zur Erstellung eines Kontos erfasst. Ein Konto kann nach erfolgreicher Zahlung, aufgrund einer kostenlosen Aktionsberechtigung, eines gültigen Aktivierungs- oder Einladungscodes oder eines sonstigen von Labra Flex vorgesehenen Zugangs freigeschaltet werden. Für unvollständige oder nicht aktivierte Registrierungsvorgänge gelten die in dieser Datenschutzerklärung beschriebenen Löschfristen.

• Gastzugang: Du kannst unsere Plattform auch als Gast nutzen, ohne persönliche Daten einzugeben. Es wird lediglich eine technische Kennung erstellt, um dir die Grundfunktionen bereitzustellen.

Weitere Details zur Registrierung:

• Log-Informationen: Bei Aktionen (z. B. Login, Kontoeinstellungen) erfassen wir Zeitpunkt und IP-Adresse, um Missbrauch vorzubeugen.
• Pseudonyme: Du kannst statt deines echten Namens ein Pseudonym als Benutzernamen verwenden.
• Sichtbarkeit: Standardmäßig sind Profile nicht öffentlich sichtbar. Du kannst selbst festlegen, ob du an der Rangliste teilnimmst.
• Löschung nach Kündigung: Nach Beendigung deines Kontos werden deine Daten gelöscht, soweit keine gesetzlichen Aufbewahrungsfristen bestehen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung). Unsere berechtigten Interessen an Sicherheit und Missbrauchsprävention (Art. 6 Abs. 1 lit. f DSGVO) sind ebenfalls relevant.

7. Sicherheitsmaßnahmen

Wir setzen verschiedene technische und organisatorische Vorkehrungen ein, um deine Daten vor unbefugtem Zugriff, Verlust oder Missbrauch zu schützen.

SSL-/TLS-Verschlüsselung (HTTPS): Unsere Website nutzt SSL-/TLS-Verschlüsselung, um Daten bei der Übertragung im Internet zu schützen. Du erkennst das an „https“ in der Adresszeile deines Browsers. Damit werden deine Daten verschlüsselt übertragen und sind vor unerlaubtem Zugriff besser geschützt.

8. Cookies und technische Sitzungsverwaltung

Unsere Seite verwendet eigene, technisch notwendige Cookies und vergleichbare Speichertechniken, z. B. für Login, Session-Verwaltung, die Wiedererkennung registrierter Nutzer, Spracheinstellungen, Sicherheitsprüfungen und den Gastzugang. Für registrierte Nutzer können technisch notwendige, persistente Cookies eingesetzt werden, damit eine bestehende Anmeldung im Browser oder in der Android-App zuverlässig fortgeführt beziehungsweise wieder aufgenommen werden kann.

Derzeit setzen wir keine externen Werbe-Cookies und keine Cookies externer Werbenetzwerke ein. Insbesondere werden derzeit keine Google-Ads-, Google-IMA-, Monetag- oder YouTube-Werbeeinbindungen geladen.

Technisch notwendige Login- und Sitzungsmechanismen:

• PHPSESSID: technische Sitzungskennung. Bei Gästen im normalen Browser ist das Cookie grundsätzlich an die Browsersitzung gebunden; die zugehörige serverseitige Gästesitzung wird grundsätzlich nur kurzfristig vorgehalten. Bei registrierten Nutzern kann die Sitzungskennung im Browser und in der Android-App technisch bis zu 30 Tage persistent gehalten und bei aktiver Nutzung erneuert werden.
• web_auto: nur für registrierte Nutzer im normalen Webbrowser. Das Cookie enthält einen zufällig erzeugten Token und kein Passwort. Die Zuordnung zu Benutzerkonto und bestehender registrierter Sitzung erfolgt serverseitig in einem geschützten Sitzungs-/Token-Speicher. Der Token kann bis zu 30 Tage vorgehalten und bei Nutzung erneuert werden. Er kann ausschließlich eine noch vorhandene serverseitige Sitzung wieder aufnehmen und erzeugt aus sich heraus keine neue Authentifizierungssitzung.
• app_auto: nur in der Android-App für registrierte Nutzer. Das Cookie enthält ebenfalls einen zufällig erzeugten Token und keine Benutzername-/Passwort-Kombination. Die Kontozuordnung erfolgt serverseitig. Die technische Vorhaltefrist beträgt derzeit bis zu 6 Monate.

Bei einem ausdrücklichen Logout werden die jeweils vorhandenen Auto-Login- beziehungsweise Wiedererkennungsmechanismen widerrufen oder gelöscht. Gästekonten werden nicht über web_auto oder app_auto dauerhaft wieder angemeldet.

Zweck unserer Cookies und Speichertechniken:

• Sicherstellung des Plattformbetriebs, z. B. Login, Session und Gastzugang
• Fortführung beziehungsweise Wiederaufnahme einer bestehenden Anmeldung bei registrierten Nutzern
• Bereitstellung angeforderter Funktionen, z. B. Spracheinstellung
• Schutz vor Angriffen, Missbrauch und automatisierten Zugriffen
• Technische Unterscheidung zwischen Browser- und Android-App-Umgebung

Rechtsgrundlagen:

• Art. 6 Abs. 1 lit. b DSGVO für vertraglich erforderliche Plattform- und Kontofunktionen
• Art. 6 Abs. 1 lit. f DSGVO für Sicherheit, Missbrauchsprävention und Stabilität
• § 25 Abs. 2 TDDDG für technisch notwendige Speicherzugriffe
• Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG nur, wenn künftig nicht notwendige Dienste aktiv eingebunden werden und dafür eine Einwilligung erforderlich ist

Speicherdauer:

• Gastzugang im Browser: Browser-Session-Cookie grundsätzlich bis zum Ende der Browsersitzung; serverseitige Gästesitzung grundsätzlich bis zu 4 Stunden
• Registrierte Nutzer im Browser: technische registrierte Sitzung und web_auto jeweils bis zu 30 Tage; bei Nutzung kann die Frist technisch erneuert werden
• Android-App: reguläre technische Sitzung bis zu 30 Tage; app_auto bis zu 6 Monate; bei Nutzung können technische Fristen erneuert werden
• Technische Sicherheitscookies: je nach Zweck kurzzeitig, z. B. bis zu 24 Stunden
• Weitere notwendige Einstellungs- oder Sprachcookies: entsprechend ihrem jeweiligen Funktionszweck

Du kannst Cookies in deinem Browser löschen oder blockieren. In der Android-App werden WebView-Cookies über die Android-/WebView-Speicherverwaltung verwaltet. Technisch notwendige Cookies können erforderlich sein, damit Login, Sicherheit und Plattformfunktionen ordnungsgemäß funktionieren.

8.1 Newsletter

Du kannst unabhängig von einer Registrierung oder Premium-Mitgliedschaft freiwillig den Labra-Flex-Newsletter abonnieren. Hierfür verarbeiten wir deine E-Mail-Adresse sowie die für Bestätigung, Versand und Abmeldung erforderlichen Nachweisdaten. Durch die Newsletter-Anmeldung wird kein Benutzerkonto erstellt. Die angegebene E-Mail-Adresse wird ausschließlich für den Newsletter verwendet.

Die Anmeldung wird erst wirksam, nachdem du den Bestätigungslink in der zugesandten E-Mail angeklickt hast (Double-Opt-in). Rechtsgrundlage für den Newsletter-Versand ist deine Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO. Nicht bestätigte E-Mail-Adressen und Bestätigungslinks werden spätestens 30 Tage nach der Anfrage aus dem aktiven Bestand entfernt. Die Dokumentation der Anmeldung und Abmeldung erfolgt, soweit erforderlich, zur Erfüllung unserer Nachweispflichten und zur Abwehr unberechtigter Ansprüche auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO.

Du kannst den Newsletter jederzeit mit Wirkung für die Zukunft über den Abmeldelink in jeder Newsletter-E-Mail oder über die auf der Plattform bereitgestellte Abmeldefunktion abbestellen. Nach der Abmeldung wird deine Adresse nicht mehr für Newsletter-Versand verwendet. Ein auf das notwendige Maß beschränkter Sperr- oder Nachweisdatensatz kann verbleiben, soweit dies erforderlich ist, um einen erneuten unerwünschten Versand zu verhindern oder die erteilte beziehungsweise widerrufene Einwilligung nachweisen zu können.

Der Newsletter enthält keine Tracking-Pixel und keine Messung von Öffnungen oder Klicks. Für den technischen Versand können die in dieser Datenschutzerklärung genannten E-Mail-, SMTP- und Hostinganbieter eingesetzt werden.

9. Werbung & Drittanbieter-Werbenetzwerke

10. Zahlungsabwicklung

Der Verkäufer und Vertragspartner eines kostenpflichtigen Zugangs wird vor der verbindlichen Bestellung im Checkout eindeutig angezeigt. Die Zahlungswege und Datenverantwortlichkeiten werden nicht miteinander vermischt.

1. Stripe Managed Payments – Labra Flex Germany / Sold through Link / Stripe
   Wird Stripe Managed Payments im jeweiligen Checkout angeboten und Labra Flex Germany als Verkäufer angezeigt, ist Labra Flex Germany Seller des zwölfmonatigen digitalen Produkts. Sold through Link, LLC handelt im Checkout als Merchant of Record; Stripe beziehungsweise Link stellt die Managed-Payments-Infrastruktur bereit. Verarbeitet werden insbesondere Name, E-Mail-Adresse, Anschrift, Land, Bestelldaten, Betrag, Währung, Zahlungsstatus, Steuerland, Transaktions-, Rechnungs-, Beleg-, Erstattungs- und Dispute-Referenzen sowie erforderliche Betrugs- und Risikoinformationen.
   Kartendaten werden grundsätzlich direkt durch Stripe beziehungsweise Link verarbeitet und nicht von Labra Flex gespeichert.
   Rechtsgrundlagen: Art. 6 Abs. 1 lit. b DSGVO, Art. 6 Abs. 1 lit. c DSGVO und – für erforderliche Sicherheits- und Betrugsprüfungen – Art. 6 Abs. 1 lit. f DSGVO.
2. Direkte Banküberweisung – ausschließlich Marokko; Verkäuferin: STE Labra Flex SARL-AU
   Wird dieser Zahlungsweg nach Abschluss der erforderlichen CNDP-Formalitäten angeboten und im Checkout STE Labra Flex SARL-AU als Verkäuferin ausgewiesen, ist STE Labra Flex SARL-AU Verkäuferin und Vertragspartnerin. Für diesen Verkauf werden nur die hierfür erforderlichen Verkaufs-, Rechnungs- und Zahlungszuordnungsdaten verarbeitet, insbesondere Name, E-Mail-Adresse, vollständige Rechnungsanschrift (Straße, Postleitzahl, Ort und Land), interne Bestellreferenz, Produkt/Plan, Betrag, Währung, Rechnungsangaben, Zahlungsstatus und -datum, eine Überweisungsreferenz soweit zur Zuordnung erforderlich, rechtliche Bestätigungen sowie Widerrufs-, Erstattungs- und Reklamationsstatus.
   Die Zahlung wird unmittelbar auf das marokkanische Bankkonto der STE Labra Flex SARL-AU geleistet. Nach Eingang der Überweisung bestätigt die SARL-AU Labra Flex Germany den Zahlungseingang und übermittelt, soweit erforderlich, die Überweisungsreferenz. Labra Flex Germany trägt den Zahlungsstatus technisch in das System ein und führt die Freischaltung aus. Labra Flex Germany führt das Bankkonto der SARL-AU nicht und nimmt diese Zahlung nicht entgegen.
   Die technische Bestellakte wird von Labra Flex Germany in Deutschland als Auftragsverarbeiter für die SARL-AU geführt. Die SARL-AU erhält die für ihren eigenen Verkauf, die Rechnungsstellung sowie ihre Buchhaltungs- und Steuerpflichten erforderlichen Verkaufsinformationen, jedoch keinen administrativen Zugriff auf die Plattform- oder Bestelldatenbank. Ihre marokkanische Bank verarbeitet die im Bankverkehr unmittelbar anfallenden Zahlungsdaten.
   Benutzername, Passwort, Lernfortschritt, KI-Nutzung und sonstige allgemeine Konto- und Plattformdaten sind nicht Teil des SARL-AU-Verkaufsdatensatzes. Sie werden von Labra Flex Germany in eigener Verantwortung für die allgemeine Lernplattform verarbeitet.
   Soweit Google reCAPTCHA im Bestell- oder Registrierungsformular nach entsprechender Zustimmung geladen wird, dient dies der technischen Sicherheit und Missbrauchsprävention der von Labra Flex Germany betriebenen Plattform. Diese reCAPTCHA-Verarbeitung ist kein administrativer Zugriff der SARL-AU auf Konto- oder Plattformdaten; weitere Informationen hierzu findest du in § 15.

Aufbewahrung: Zahlungs-, Rechnungs- und Buchhaltungsunterlagen werden durch die jeweils zuständige Verkäuferin beziehungsweise den zuständigen Verkäufer entsprechend den anwendbaren gesetzlichen Fristen gespeichert.

10.1 Bestell-, Zahlungs- und Einwilligungsnachweise

Bei einer kostenpflichtigen Bestellung wird eine interne Bestellakte erstellt. Sie kann insbesondere folgende Angaben enthalten: interne Bestellnummer, Transaktionsreferenz, Nutzer-ID, E-Mail-Adresse, Verkäufer, Produkt, Preis, Währung, Zahlungsweg, Zahlungsanbieter, Checkout- oder Zahlungs-ID, Zahlungsstatus, vollständige Rechnungsanschrift und Länderangaben, Versionen von AGB, Datenschutzerklärung und Widerrufsbelehrung, Sprache und Wortlaut der abgegebenen Erklärungen, Zeitpunkte der Checkbox-Bestätigungen, pseudonymisierte Hashwerte von IP-Adresse und User-Agent, Freischaltzeitpunkt, Zeitpunkt des ersten Premium-Zugriffs sowie Versandzeitpunkt und Nachrichtenreferenz der Bestätigungsmail.

Die Bestellakte dient der Vertragserfüllung, Zahlungszuordnung, Freischaltung, Rechnungsstellung, Bearbeitung von Widerruf, Erstattung, Chargeback oder Dispute, Erfüllung gesetzlicher Nachweis- und Aufbewahrungspflichten sowie der Geltendmachung, Ausübung und Verteidigung rechtlicher Ansprüche.

Bei einer von Stripe gemeldeten Betrugswarnung oder Zahlungsanfechtung kann der betroffene Zugang vorsorglich eingeschränkt werden. Zur Prüfung und Rechtsverteidigung können die für den konkreten Vorgang erforderlichen Bestell-, Zahlungs-, Einwilligungs-, Zugriffs-, Nutzungs- und Kommunikationsnachweise zusammengeführt und, soweit erforderlich, an Stripe, die kartenausgebende Bank, berufliche Berater, zuständige Behörden oder Gerichte übermittelt werden.

Eine Zuordnung zu einem bereits gesperrten Vorgang kann auf belastbaren Konto-, Zahlungs-, Sitzungs- oder Gerätekennungen beruhen. Einzelne schwache Merkmale wie eine übereinstimmende IP-Adresse, ein gleiches Land oder ein ähnlicher Browser führen allein nicht zu einer abschließenden Identitäts- oder Betrugsfeststellung.

Die Vertrags- und Aktivierungsbestätigung kann die wesentlichen Zahlungs- und Zugangsdaten im sichtbaren Nachrichtentext zusammenfassen. Vollständige gesetzlich erforderliche Vertrags- und Widerrufsinformationen können derselben E-Mail als speicherbare Textdatei beigefügt werden. Versandzeitpunkt, Dokumentversion, Sprache, Inhaltshash und Nachrichtenreferenz können zum Nachweis protokolliert werden.

Zur Ausfallsicherheit können maßgebliche Bestell- und Zahlungsnachweise in technisch getrennten Speichersystemen vorgehalten werden. Zusätzliche technische Kopien enthalten nur die für Nachweis, Zuordnung und Wiederherstellung erforderlichen Daten, sind zeitlich begrenzt und nur für berechtigte technische oder administrative Stellen zugänglich. Die primäre Bestellakte bleibt maßgeblich.

Der Zeitpunkt des ersten Premium-Zugriffs wird nur einmal protokolliert, nachdem eine serverseitige Berechtigungsprüfung erfolgreich war. Dadurch kann dokumentiert werden, ob und wann ein kostenpflichtiger digitaler Inhalt oder eine kostenpflichtige Funktion erstmals tatsächlich genutzt wurde.

Rechtsgrundlagen: Art. 6 Abs. 1 lit. b DSGVO für Vertragsschluss und Vertragserfüllung, Art. 6 Abs. 1 lit. c DSGVO für gesetzliche Nachweis-, Rechnungs- und Aufbewahrungspflichten sowie Art. 6 Abs. 1 lit. f DSGVO für Ausfallsicherheit, Missbrauchsprävention und Rechtsverteidigung.

10.2 Mitgliedschaftsverlängerungen und Wechsel des Zahlungswegs

Eine Verlängerung wird als neue Bestellung dokumentiert. Frühere Bestellungen, Vertragsbestätigungen und Einwilligungsnachweise werden dabei nicht überschrieben. Für die Verlängerung können insbesondere eine interne Verlängerungsrunden-ID, das bisherige Vertragsende, die neue Bestellnummer, Verkäufer, Zahlungsweg, Einwilligungszeitpunkte, Zahlungsstatus, Aktivierungszeitpunkt und die Schutzfrist vor Kontolöschung verarbeitet werden.

Der bei der ersten Bestellung genutzte Zahlungsweg bindet eine spätere Verlängerung nicht. Wechselst du vor der Zahlung zwischen Stripe und Banküberweisung, kann für den neu ausgewählten Verkäufer ein zusätzlicher Bestell- und Einwilligungsnachweis angelegt werden. Vorübergehend können mehrere Zahlungsversuche derselben Verlängerung offen sein. Maßgeblich wird nur die zuerst erfolgreich bestätigte Zahlung beziehungsweise dokumentierte Bankaktivierung. Andere Versuche werden beendet, als abgelaufen oder überholt gekennzeichnet und lösen keine zweite Verlängerung aus.

Um den Zahlungsweg wechseln zu können, ohne Rechnungsangaben erneut abfragen zu müssen, können vorhandene Rechnungsland- und Adressdaten aus der letzten bezahlten Bestellung in die neue Verlängerungsbestellung übernommen und sowohl für den Stripe- als auch den Banküberweisungsweg technisch vorgehalten werden. Nach der Zahlung ist die dem tatsächlich verwendeten Zahlungsweg zugeordnete Adresse maßgeblich. Der weitere Adress-Snapshot wird nur für Zuordnung, Nachweis, Widerruf, Erstattung, Streitbearbeitung und Rechtsverteidigung aufbewahrt und nicht als zweite Zahlung verwendet.

Wird eine neue Zahlungsinformation oder ein neuer Zahlungslink tatsächlich versandt, kann die Löschschutzfrist des weiterhin eingeschränkten Kontos auf mindestens 30 Tage ab Versand verlängert werden. Dies verhindert eine Löschung, während die Zahlung noch aussteht, gewährt aber keinen Zugriff auf kostenpflichtige Lerninhalte.

Rechtsgrundlagen: Art. 6 Abs. 1 lit. b DSGVO für die Vorbereitung und Durchführung der Verlängerung, Art. 6 Abs. 1 lit. c DSGVO für gesetzliche Nachweis- und Aufbewahrungspflichten sowie Art. 6 Abs. 1 lit. f DSGVO für Zahlungszuordnung, Vermeidung doppelter Aktivierungen, Ausfallsicherheit, Missbrauchsprävention und Rechtsverteidigung.

10.3 B2B-Organisationsverträge, individuelle Preise und zentrale Verlängerung

Bei institutionellen B2B-Verträgen verarbeitet Labra Flex Germany zusätzlich die zur Vorbereitung, Freigabe, Zahlung, Aktivierung und Verlängerung einer Organisation erforderlichen Vertragsdaten. Dazu gehören insbesondere Organisationskennung und -name, geschäftliche Admin-E-Mail-Adresse, Anzahl der vereinbarten Lernzugänge, kostenloser Administrationszugang, Bruttopreis je Lernzugang, Brutto-Gesamtpreis, Währung, Vertragsdauer, Zahlungspräferenz, Freigabe- und Revisionsstatus, Vertragsbeginn und -ende, Kulanz- und Verlängerungsfristen sowie Stripe-Checkout-, Zahlungs-, Erstattungs-, Dispute- und Risikoreferenzen.

Bei einem Direktvertrag wird vor bestätigter Zahlung kein bezahltes Benutzerkonto für die Organisation freigeschaltet. Die Organisation kann vorab lediglich als technischer Vertrags- und Zahlungskontext gespeichert werden. Nach serverseitig bestätigter Zahlung beginnt die vereinbarte Vertragslaufzeit am Zahlungstag und der vorgesehene Organisationsadministrator erhält den Registrierungs- bzw. Aktivierungsweg. Weitere Mitgliedskonten werden anschließend über die Organisationsverwaltung verwaltet.

Bei einer Verlängerung werden die jeweils aktuell von Labra Flex freigegebenen Vertragskonditionen als eigene Vertragsrunde versioniert. Änderungen an Anzahl, Preis, Dauer oder Zahlungspräferenz machen eine frühere Freigabe für neue Zahlungsversuche unwirksam. Der für die tatsächliche Zahlung maßgebliche Snapshot wird dauerhaft in der Vertrags-/Bestellakte gespeichert. Zusätzlich kann ein zeitlich und organisatorisch abgegrenzter technischer Spiegel des aktuellen Freigabestatus in Redis gespeichert werden, damit die Organisationsverwaltung den aktuellen Zustand performant bereitstellen kann. Maßgeblich bleibt die persistente Datenbank-/Bestellakte.

Nach dem Ende eines bezahlten B2B-Vertrags besteht eine siebentägige technische Kulanzphase für zuvor freigeschaltete Lernkonten. Danach werden die Lernzugänge gesperrt, ohne die Benutzerkonten oder Lernstände allein wegen des Vertragsablaufs zu löschen. Der Organisationsadministrator kann für die erforderliche Organisationsverwaltung und Verlängerung weiter zugreifen. Solange ein Benutzer weiterhin einer bestehenden Organisation zugeordnet ist, wird er nicht durch den normalen privaten B2C-Ablauf- und Löschprozess entfernt. Eine endgültige Löschung richtet sich nach dem gesonderten B2B-Organisations- und Löschlebenszyklus sowie gesetzlichen Aufbewahrungspflichten.

Wird das bezahlte Lernzugangskontingent bei einer Verlängerung reduziert, können die Mitgliedskonten technisch deaktiviert werden, damit die Organisation selbst auswählt, welche Konten innerhalb des neuen Kontingents wieder aktiviert werden. Die bloße Kontingentreduzierung führt nicht zur automatischen Löschung der übrigen Mitgliedskonten.

Für Zahlungsfragen nutze bitte das Benutzerkonto, das Kontaktformular oder die im Checkout genannte E-Mail-Adresse. Das allgemeine Kontaktformular ist nicht für Bankbelege, Kontoauszüge, Ausweisdokumente, Karteninformationen oder andere sensible Zahlungsunterlagen vorgesehen. Solche Unterlagen werden nur angefordert, wenn dies im Einzelfall erforderlich ist und ein hierfür vorgesehener sicherer Übermittlungsweg ausdrücklich mitgeteilt wurde.

11. KI-Funktionen, Generierung, Analyse & externe KI-Anbieter

Labra Flex nutzt KI-gestützte und automatisierte Systeme für verschiedene Lernfunktionen. Dazu gehören insbesondere das Generieren von Gesprächen, Chatantworten, Lernhilfen, Korrekturen, Grammatikerklärungen, Fehleranalysen, Textverbesserungen, Zusammenfassungen, Lernempfehlungen, Fortschrittsanalysen, Aussprache- und Sprechübungen sowie die Erstellung von Übungen, Aufgaben, Antwortoptionen, Beispielsätzen, Lerntexten, Musterlösungen und ähnlichen Lernmaterialien.

Je nach Funktion können hierfür Nutzereingaben, Prompts, Chatnachrichten, Texte, Antworten, Übungsergebnisse, Lernfortschritt, technische Metadaten, transkribierte Spracheingaben und KI-Ausgaben verarbeitet werden. Audiofragmente selbst werden nur verarbeitet, soweit dies für eine Sprach- oder Aussprachefunktion technisch erforderlich ist.

Für bestimmte KI-Funktionen setzen wir externe KI-Dienstleister ein, insbesondere OpenAI sowie Cortecs GmbH als europäischen AI-Gateway- und Routing-Dienstleister. Dabei werden nur die für die jeweilige Funktion erforderlichen Inhalte übermittelt, z. B. ein zu korrigierender Text, eine Frage, ein Gesprächsverlauf, eine transkribierte Spracheingabe, ein Lernkontext, ein Grammatikthema oder Vorgaben zur Erstellung von Übungen und Lernmaterialien.

Die Übermittlung erfolgt nicht zur Werbung, nicht zum Verkauf der Eingaben und nicht zur Erstellung werblicher Nutzerprofile durch Labra Flex. Die Verarbeitung dient der Bereitstellung der angeforderten Lernfunktion sowie, soweit erforderlich, technischer Sicherheit, Qualitätskontrolle und Missbrauchsprävention. Nutzer werden zusätzlich darauf hingewiesen, keine unnötigen sensiblen, Zahlungs-, Ausweis- oder Daten Dritter einzugeben.

OpenAI: Bei Nutzung der OpenAI-API können Eingaben, Ausgaben und technische Metadaten verarbeitet werden. Nach Angaben von OpenAI werden API-Daten standardmäßig nicht zum Training der Modelle verwendet, sofern keine ausdrückliche Freigabe beziehungsweise kein Opt-in erfolgt. Je nach eingesetzter API-Funktion können technische Speicherfristen zur Bereitstellung, Missbrauchserkennung, Sicherheit oder Fehleranalyse gelten. OpenAI bleibt ein von Cortecs getrennter direkter KI-Verarbeitungsweg.

Cortecs GmbH: Für bestimmte KI-Funktionen nutzen wir Cortecs GmbH, Althanstraße 4, Floor 6, 1090 Wien, Österreich, als Auftragsverarbeiter für AI Gateway, Routing und Inferenz. Das produktive Projekt ist auf Zero Data Retention und Sovereign Cloud beschränkt. Die konkrete technische Modell- oder Inferenzinstanz kann je nach Verfügbarkeit, Kapazität und Kosten wechseln; die Auswahl bleibt dabei an die aktivierten Datenschutz- und Standortregeln gebunden.

Nach dem aktuellen Cortecs-DPA werden Prompt-/Antwort-Payloads bei Cortecs nur im flüchtigen Arbeitsspeicher verarbeitet und nach Abschluss des jeweiligen Routing-Requests verworfen. Operative Metadaten, z. B. für Authentifizierung, Routing, Abrechnung, Sicherheit oder Fehlerdiagnose, können nach dem DPA bis zu zwölf Monate verarbeitet werden. Cortecs verwendet Kundendaten nicht zum Training von KI-Modellen. Die produktive Konfiguration beschränkt das Routing auf freigegebene EU-/EWR-Inferenzanbieter mit Zero-Data-Retention-Eigenschaft.

Soweit einzelne KI-Funktionen vollständig über eigene oder lokal betriebene Systeme verarbeitet werden, erfolgt für diese konkrete Funktion keine Übermittlung an externe KI-Anbieter. Ob eine Funktion intern, direkt über OpenAI oder über Cortecs verarbeitet wird, kann je nach Funktion, technischer Verfügbarkeit, Sprache, Lastverteilung und Produktstand variieren.

KI-Ausgaben können fehlerhaft, unvollständig oder missverständlich sein. Sie ersetzen keine professionelle Beratung, keine rechtliche, steuerliche, behördliche oder sonstige verbindliche Fachberatung und keine verbindliche Prüfungsbewertung. Die Inhalte dienen ausschließlich der Lernunterstützung.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, soweit die Verarbeitung zur Bereitstellung der angeforderten Lern- oder Vertragsfunktion erforderlich ist, sowie Art. 6 Abs. 1 lit. f DSGVO für Systemsicherheit, Qualitätskontrolle, Missbrauchsprävention und Plattformstabilität. Soweit eine Einwilligung erforderlich ist, erfolgt die Verarbeitung auf Grundlage von Art. 6 Abs. 1 lit. a DSGVO.

12. Eingebettete Inhalte

Unsere Lernvideos und Erklärinhalte werden nicht über YouTube oder andere Plattformen eingebettet, sondern direkt über unseren Hosting-Dienstleister Cloudflare R2 zur Verfügung gestellt. Beim Laden des Videos werden Daten (z. B. deine IP-Adresse, Zeitpunkt des Abrufs, Browsertyp) an Cloudflare übertragen, um den Videoinhalt auszuliefern.

• Cloudflare hat seinen Hauptsitz in den USA. Die Datenübertragung kann somit in ein Land außerhalb des EWR erfolgen.
• Wenn Cloudflare über das EU–US Data Privacy Framework (DPF) zertifiziert ist, erfolgt die Übertragung auf Basis der dort festgelegten Garantien. Wo noch keine Zertifizierung vorliegt, setzen wir Standardvertragsklauseln (SCC) ein, um ein angemessenes Datenschutzniveau sicherzustellen.
• Es werden keine YouTube-typischen Tracking-Cookies gesetzt. Allerdings speichert Cloudflare ggf. Logdaten (z. B. IP-Adresse, Datum, Uhrzeit) zu Sicherheitszwecken und zur technischen Auslieferung der Inhalte.

Rechtsgrundlage: Unser berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO) an einer sicheren und schnellen Bereitstellung von Videoinhalten. Diese Inhalte sind ein zentraler Bestandteil unseres Angebots.

Bestimmte Banner oder Links auf unserer Website – insbesondere über Domains wie labra-deutsch.de – können in Zukunft auf externe Partnerangebote weiterleiten. Dabei kann es sich z. B. um Sprachschulen, regionale Kursanbieter oder Rekrutierungspartner in verschiedenen Ländern handeln, mit denen eine Partnerschaft besteht oder geplant ist.

Diese Seiten werden nicht direkt von uns betrieben, sondern durch die jeweiligen Partner verantwortet. Es gelten dort ggf. eigene Datenschutzhinweise und abweichende Bedingungen. Wir stellen sicher, dass du auf eine Weiterleitung klar hingewiesen wirst, bevor personenbezogene Daten auf der Zielseite erfasst werden.

Wir selbst übermitteln keine personenbezogenen Daten an diese Partnerseiten, es sei denn, du gibst diese freiwillig auf der Zielseite ein oder wirst dort ausdrücklich darum gebeten.

13. Hosting & Infrastruktur

Die technische Bereitstellung der Lernplattform erfolgt durch Labra Flex Germany und die genehmigten technischen Unterauftragsverarbeiter. Labra Flex Germany übernimmt insbesondere Hosting, Programmierung, Server- und Datenbankbetrieb, Administration, Systembetrieb, Wartung, Backups, Sicherheitsmaßnahmen, Monitoring und Fehleranalyse.

Primärer Hosting- und Serverdienstleister: STRATO GmbH, Otto-Ostrowski-Straße 7, 10249 Berlin, Deutschland. Die primären Anwendungs-, Datenbank- und Serverkomponenten von Labra Flex werden nach dem derzeitigen Betriebsmodell in STRATO-Rechenzentren in Deutschland betrieben. Einzelne ausdrücklich beschriebene Funktionen können daneben internationale Infrastruktur-, Sicherheits-, Zahlungs- oder KI-Dienstleister verwenden.

Für personenbezogene Daten der allgemeinen Plattform handelt Labra Flex Germany als eigener Verantwortlicher. Für den eng begrenzten SARL-AU-Onlineverkauf an Kunden in Marokko verarbeitet Germany die hierfür notwendigen Verkaufsdaten dagegen im Auftrag der SARL-AU.

STE Labra Flex SARL-AU erhält keinen allgemeinen administrativen Direktzugriff auf die technische Plattform- oder Bestelldatenbank. Allgemeine Plattformdaten werden nicht wegen ihrer Inhalts-/Rechterolle nach Marokko übermittelt. Bei einem SARL-AU-Verkauf in Marokko verbleibt die technische Bestellakte grundsätzlich auf Germanys Infrastruktur in Deutschland. Die SARL-AU erhält ausschließlich die für ihren eigenen Verkauf, die Rechnungsstellung, den Zahlungseingang sowie gesetzliche Buchhaltungs- und Steuerpflichten erforderlichen Verkaufsinformationen. Der Zahlungseingang erfolgt auf ihrem eigenen marokkanischen Bankkonto; die SARL-AU teilt Germany den Zahlungseingang und, soweit erforderlich, die Überweisungsreferenz mit, damit Germany den Status technisch erfassen und die Freischaltung durchführen kann.

Für DDoS-Schutz, DNS/CDN, Auslieferung statischer Inhalte und technische Stabilität können Cloudflare-Dienste eingesetzt werden. Dabei können technische Daten wie IP-Adresse, Browserdetails, Zeitstempel und angeforderte Ressourcen verarbeitet werden.

Cloudflare-Cookie: Cloudflare kann das technische cf_clearance-Cookie einsetzen, um Sicherheitsprüfungen durchzuführen und einen Browser zeitweise freizuschalten.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO sowie § 25 Abs. 2 TDDDG.

Zusätzlich kann ProxyCheck.io eingesetzt werden, um VPN-/Proxy-Zugriffe, automatisierte Bots oder missbräuchliche Zugriffsmuster zu erkennen. Diese Prüfungen erfolgen zur Sicherheit, Betrugsprävention und Missbrauchsabwehr.

14. Interne Systeme

Für bestimmte interne Prozesse wie Warteschlangenverwaltung, technische Zwischenspeicherung, Systemmeldungen, Caching, Sprachausgabe, Übersetzung oder Hilfsfunktionen können eigene bzw. selbst betriebene Systeme eingesetzt werden.

Nicht alle KI-Funktionen werden ausschließlich intern verarbeitet. Für bestimmte KI-gestützte Funktionen können externe KI-Dienstleister wie OpenAI oder Cortecs eingesetzt werden. Details hierzu findest du in § 11 und § 15 dieser Datenschutzerklärung.

15. Einbindung von Drittsoftware

Zur Funktionsfähigkeit, Sicherheit, Zahlungsabwicklung, KI-Unterstützung und technischen Bereitstellung unseres Angebots können externe Dienste eingesetzt werden. Dabei können je nach Dienst insbesondere IP-Adressen, technische Geräteinformationen, Zeitstempel, Nutzungsinteraktionen, Prompts, Texteingaben, transkribierte Spracheingaben, KI-Ausgaben oder Zahlungsdaten verarbeitet werden.

• Google reCAPTCHA: Zur Absicherung sicherheitsrelevanter Funktionen wie Login, Passwort-Wiederherstellung, Kontakt-, Bestell- und Verlängerungsformularen. Das Skript wird erst nach deiner aktiven Zustimmung und einem zusätzlichen Klick auf „Click to prove you’re human“ eingebunden. Zur Nachweisführung kann eine pseudonymisierte Einwilligungsereignis-ID zusammen mit Formularbezug, Sprache, Zeitstempel sowie Hashwerten von Sitzung beziehungsweise Nutzerkennung, IP-Adresse und User-Agent für bis zu zwei Jahre gespeichert werden. Auch wenn reCAPTCHA in einem SARL-AU-Bestell- oder Registrierungsformular erscheint, wird diese Sicherheitsfunktion von Labra Flex Germany für die technische Plattform betrieben und begründet keinen allgemeinen Zugriff der SARL-AU auf Konto-, Lern- oder Plattformdaten.
  Rechtsgrundlage: Einwilligung, Art. 6 Abs. 1 lit. a DSGVO.
• OpenAI API: KI-gestützte Funktionen wie Gesprächsgenerierung, Textkorrektur, Grammatikerklärungen, Lernhinweise, Zusammenfassungen, Chatantworten, Fehleranalysen, Fortschrittsauswertung sowie die Erstellung von Übungen, Aufgaben, Antwortoptionen, Beispielsätzen, Lerntexten, Musterlösungen und ähnlichen Lernmaterialien. Je nach Funktion können Texteingaben, Prompts, Chatverläufe, transkribierte Spracheingaben, Lernkontext, Übungsvorgaben und KI-Ausgaben verarbeitet werden.
  Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO für angeforderte Lernfunktionen sowie Art. 6 Abs. 1 lit. f DSGVO für Qualität, Sicherheit und Missbrauchsprävention.
• Cortecs GmbH: Europäisches AI Gateway und dynamisches Routing für bestimmte KI-gestützte Funktionen wie Erklärungen, Korrekturen, Gesprächsantworten, Lernfeedback, Fortschrittsanalysen und die Erstellung von Lernmaterialien. Das produktive Projekt ist auf Zero Data Retention und Sovereign Cloud beschränkt. Je nach Funktion können erforderliche Texteingaben, Prompts, Chatverläufe, transkribierte Spracheingaben, Lernkontext, Übungsvorgaben, technische Metadaten und KI-Ausgaben verarbeitet werden. Die konkrete Inferenzinstanz wird dynamisch innerhalb des freigegebenen EU-/EWR-Provider-Pools ausgewählt.
  Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO für angeforderte Lernfunktionen sowie Art. 6 Abs. 1 lit. f DSGVO für Sicherheit, Qualität und Missbrauchsprävention.
• STRATO GmbH: Primäres Hosting der Anwendungs-, Server- und Datenbankinfrastruktur in Deutschland. STRATO wird im Rahmen des Hostingvertrags und der anwendbaren Auftragsverarbeitungsvereinbarung eingesetzt.
  Rechtsgrundlage: Art. 6 Abs. 1 lit. b und f DSGVO.
• Cloudflare: Sicherheitsfunktionen, DDoS-Schutz, technische Auslieferung, DNS/CDN und Bereitstellung statischer Inhalte. Cloudflare kann je nach Funktion als Auftragsverarbeiter oder für eigene Sicherheitszwecke eigenständig verantwortlich handeln.
  Rechtsgrundlage: Art. 6 Abs. 1 lit. b und f DSGVO.
• Cloudflare R2 / statische Medien: Hosting und Auslieferung von Videos, Audios, Bildern und statischen Dateien. Es werden keine YouTube-typischen Tracking-Cookies gesetzt.
• ProxyCheck.io Ltd.: Erkennung von VPN-/Proxy-Verbindungen, automatisierten Zugriffen und Missbrauchsmustern.
  Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.
• Lokal gehostete Schriftarten: Die auf der Plattform verwendeten Schriftarten werden lokal bzw. über die eigene technische Infrastruktur bereitgestellt. Beim Laden dieser Schriftarten wird keine Verbindung zu Google Fonts oder Google-Schriftservern durch den Browser des Nutzers hergestellt.

Derzeit werden keine Google Ads, kein Google IMA SDK, keine YouTube-Einbettungen und keine Monetag-Werbenetzwerke aktiv eingebunden.

Nutzer sollten in KI-Funktionen keine sensiblen personenbezogenen Daten, keine Zahlungsdaten, keine Ausweisdokumente, keine Gesundheitsdaten und keine vertraulichen Informationen eingeben, sofern dies für die jeweilige Lernfunktion nicht ausdrücklich erforderlich ist.

Falls künftig weitere externe Dienste aktiviert werden, wird diese Datenschutzerklärung entsprechend aktualisiert. Soweit eine Einwilligung erforderlich ist, werden solche Dienste erst nach entsprechender Einwilligung geladen.

16. Speicherdauer & Löschfristen

17. Deine Rechte

Du hast das Recht auf:

• Auskunft (Art. 15 DSGVO)
• Berichtigung (Art. 16 DSGVO)
• Löschung (Art. 17 DSGVO)
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruch (Art. 21 DSGVO) – etwa gegen Verarbeitung auf Grundlage berechtigter Interessen oder gegen Direktwerbung
• Widerruf von Einwilligungen (jederzeit mit Wirkung für die Zukunft, sofern wir Daten aufgrund deiner Einwilligung verarbeiten)

Am schnellsten erledigst du das über dein Benutzerkonto. Solltest du keinen Zugriff mehr haben, wende dich bitte an den Support.

18. Kontaktformular, E-Mail & Identitätsprüfung

Wenn du uns über das Kontaktformular oder per E-Mail kontaktierst, verarbeiten wir deine Angaben, soweit dies zur Bearbeitung deines Anliegens erforderlich ist. Das Kontaktformular verwendet E-Mail als festen Antwortkanal. Weitere Kontaktwege werden über dieses Formular nicht angeboten.

Je nach Anliegen können insbesondere E-Mail-Adresse, Benutzername, Anliegenkategorie, Nachricht, Beschwerdebereich sowie bei technischen Meldungen der betroffene Plattformbereich und freiwillige Geräte- oder Browserangaben verarbeitet werden. Zusätzlich können Seitensprache, Herkunftsseite, Zeitpunkt, IP-Adresse, Session- oder Nutzerkennung, technischer Einmalkontext, Bearbeitungsstatus und Zustellinformationen verarbeitet werden.

Allgemeine Plattform-, Support- und Datenschutzanfragen werden von Labra Flex Germany als Verantwortlichem bearbeitet. Die SARL-AU erhält keinen Zugriff auf das allgemeine Kontaktpostfach oder die Supportdaten.

Betrifft eine Anfrage ausschließlich eine inhaltliche Frage, kann Labra Flex Germany der SARL-AU eine sachliche, möglichst anonymisierte Zusammenfassung ohne unnötige personenbezogene Identifikatoren zur inhaltlichen Entscheidung übermitteln. Bei einer Anfrage zu einem SARL-AU-Kauf in Marokko bearbeitet Germany die notwendigen Verkaufsdaten technisch im Auftrag der SARL-AU.

18.1 Automatisierte Banküberweisungsanfragen

Die Auswahl einer Banküberweisung wird zunächst auf der Preisseite erläutert. Nur wenn das Kontaktformular von dort über einen gültigen, sitzungsgebundenen Einmalkontext geöffnet wird, kann die Anfrage als Banküberweisungsanfrage erkannt werden. Ein direkter Aufruf des allgemeinen Kontaktformulars erzeugt keine solche Automatisierung.

Nach dem Absenden kann die Anfrage einem bestehenden oder neuen Kommunikationsverlauf zugeordnet werden. Ein zeitversetzter Worker prüft die erforderlichen Mindestangaben und kann anschließend einen persönlichen Registrierungscode sowie einen 20 Tage gültigen Registrierungslink erzeugen. Die vorbereitende Antwort wird in der Sprache der Ausgangsseite per E-Mail versandt. Versand, Nachversand, Fehlerstatus und die Zuordnung der Antwort zum Kommunikationsverlauf können dokumentiert werden. Nicht eindeutig automatisierbare Fälle verbleiben zur manuellen Bearbeitung.

Die automatisierte Vorbereitung dient ausschließlich dazu, eine ausdrücklich angeforderte vorvertragliche Information und den nächsten Registrierungsschritt bereitzustellen. Sie entscheidet nicht über Kreditwürdigkeit, Vertragsschluss, Zahlungseingang oder Freischaltung. Die kostenpflichtige Mitgliedschaft entsteht erst nach den im Registrierungs- und Zahlungsprozess vorgesehenen weiteren Erklärungen und Schritten.

18.2 Kommunikationsverlauf und Aufbewahrung

Eingehende Nachrichten können mit automatischen oder manuellen Antworten, internen Statusangaben und einer zugehörigen Bestell- oder Nutzerreferenz zu einem Kommunikationsverlauf zusammengeführt werden. Wird ein operativer Quelldatensatz später bereinigt, kann ein auf das erforderliche Maß beschränkter Snapshot des Verlaufs verbleiben. Die Aufbewahrung richtet sich nach § 16.1.1 dieser Datenschutzerklärung.

Das allgemeine Kontaktformular ermöglicht keine Dateianhänge und ist nicht zur Übermittlung von Ausweisdokumenten, Bankunterlagen, Karteninformationen, Gesundheitsdaten oder anderen besonders sensiblen Inhalten bestimmt.

Rechtsgrundlagen: Art. 6 Abs. 1 lit. b DSGVO für vorvertragliche Anfragen und Vertragskommunikation sowie Art. 6 Abs. 1 lit. f DSGVO für Supportorganisation, Missbrauchsprävention, Zustellkontrolle, Fehleranalyse und Rechtsverteidigung.

18.3 Identitätsprüfung im Einzelfall

Soweit für eine Datenschutz-, Konto- oder Sicherheitsanfrage eine Identitätsprüfung erforderlich ist, wird nur das hierfür notwendige Verfahren eingesetzt. Wenn eine selbst gehostete oder kontrollierte Videotelefonie-Option angeboten wird, werden die hierfür erforderlichen Informationen ausschließlich zur Identitätsprüfung verarbeitet und anschließend gelöscht, soweit keine gesetzliche Pflicht oder ein konkretes Sicherheitsinteresse eine längere Speicherung erfordert.

19. Automatisierte Sicherheitsmaßnahmen und menschliche Überprüfung

Automatisierte Funktionen werden unter anderem für Lernfortschritt, Freischaltungen, Nutzungslimits, Kontosicherheit, Missbrauchserkennung und Zahlungszuordnung eingesetzt.

Meldet ein Zahlungsanbieter eine Betrugswarnung oder Zahlungsanfechtung, kann der damit verbundene Zugang automatisiert vorläufig eingeschränkt werden. Die Maßnahme dient dem Schutz des Kontos, der Plattform und der Zahlungsabwicklung. Sie ist keine endgültige Feststellung, dass die betroffene Person Betrug begangen hat.

Eine endgültige Bearbeitung eines Zahlungsstreitfalls erfolgt anhand der verfügbaren Vertrags-, Zahlungs-, Nutzungs- und Kommunikationsnachweise sowie der Entscheidung des Zahlungsanbieters beziehungsweise der kartenausgebenden Bank. Wenn du eine automatisierte Einschränkung für fehlerhaft hältst, kannst du über das Kontaktformular eine Überprüfung verlangen und deinen Standpunkt darlegen.

20. Besucherstatistik und interne Produktanalyse

Wir erstellen zusammengefasste Statistiken, etwa zu Herkunftsländern, Einstiegsseiten, genutzten Plattformbereichen und technischen Fehlern, um Reichweite, Bedienbarkeit, Inhalte und allgemeine Werbemaßnahmen zu planen.

In begrenzten Einzelfällen können berechtigte Mitarbeiter einen noch vorhandenen Sitzungsverlauf befristet prüfen, beispielsweise um Abbrüche, Navigationsprobleme oder die Nutzung bestimmter Funktionen zu verstehen. Der Zugriff wird auf das erforderliche Maß beschränkt. Solche Produktanalysen werden nicht zur individuellen Werbeansprache verwendet, nicht an Werbenetzwerke übermittelt und nicht mit Fraud- oder Dispute-Beweisakten für Werbezwecke zusammengeführt.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO aufgrund unseres berechtigten Interesses an Produktverbesserung, Reichweitenverständnis und wirtschaftlich sinnvoller Planung. Du kannst dieser Verarbeitung nach Art. 21 DSGVO widersprechen.

21. Internationale Datentransfers

Die allgemeinen Plattformdaten werden von Labra Flex Germany als Verantwortlichem und den von Germany beauftragten Dienstleistern verarbeitet. STE Labra Flex SARL-AU ist kein Empfänger der allgemeinen Plattformdaten und erhält keinen allgemeinen direkten Zugriff auf personenbezogene Plattformdaten.

Eine Verarbeitung außerhalb des Europäischen Wirtschaftsraums kann dennoch stattfinden, wenn für eine angeforderte Funktion internationale Infrastruktur-, Sicherheits-, Zahlungs-, KI- oder Kommunikationsdienste eingesetzt werden oder wenn ein Nutzer einen Banküberweisungsvertrag unmittelbar mit STE Labra Flex SARL-AU abschließt.

• Angemessenheitsbeschluss oder Data Privacy Framework: soweit für den konkreten Empfänger wirksam anwendbar
• Standardvertragsklauseln: soweit vertraglich vereinbart und für die konkrete Übermittlung geeignet
• Zusätzliche Schutzmaßnahmen: insbesondere Verschlüsselung, Zugriffsbeschränkung, Pseudonymisierung und Datenminimierung
• Ausnahmen nach Art. 49 DSGVO: nur in den gesetzlich vorgesehenen besonderen Einzelfällen

Datenschutzanfragen zur Plattform können unmittelbar an Labra Flex Germany über das Kontaktformular, das Benutzerkonto oder support [at] labra-deutsch [dot] de gerichtet werden.

22. Datenübermittlung in Drittländer

Je nach tatsächlich genutzter Funktion können Daten an Empfänger außerhalb des Europäischen Wirtschaftsraums übermittelt werden. Hierzu können gehören:

• Cloudflare – DNS/CDN, Sicherheit, DDoS-Schutz und Auslieferung statischer Medien
• ProxyCheck.io – Proxy-/VPN-Erkennung und Missbrauchsprävention, soweit die konkrete technische Route einen Drittlandbezug aufweist
• OpenAI – direkt angeforderte KI-Funktionen wie Korrekturen, Transkriptionen, Erklärungen, Chatantworten und Lernmaterialien
• Stripe – Zahlungsabwicklung bei einem Stripe-Kauf über Labra Flex Germany
• STE Labra Flex SARL-AU – ausschließlich bei einem von ihr als Verkäuferin durchgeführten Banküberweisungskauf in Marokko; sie erhält nur die für Verkauf, Rechnungsstellung, Zahlungseingang, Buchhaltung und Steuerpflichten erforderlichen Verkaufsinformationen
• Marokkanische Bank der STE Labra Flex SARL-AU – ausschließlich beim SARL-AU-Verkauf an Kunden in Marokko; die Zahlung geht unmittelbar auf das Bankkonto der SARL-AU, während die technische Bestellakte grundsätzlich bei Germany in Deutschland bleibt

Nach den aktuellen Informationen von OpenAI werden über die API übermittelte Ein- und Ausgaben standardmäßig nicht zum Training der Modelle genutzt, sofern kein ausdrückliches Opt-in erfolgt. Technische Speicherfristen und besondere Produktfunktionen richten sich nach der tatsächlich eingesetzten API-Konfiguration.

Cortecs-Routing: Für den über Cortecs geführten KI-Verarbeitungsweg ist derzeit keine Drittlandübermittlung der Prompt-/Antwort-Payloads beabsichtigt. Das Produktionsprojekt ist auf Zero Data Retention und Sovereign Cloud beschränkt und soll nur freigegebene EU-/EWR-Inferenzanbieter verwenden. Wird diese Konfiguration geändert oder ein Anbieter mit Drittlandbezug freigegeben, wird vor produktiver Nutzung eine erneute Transfer- und Datenschutzprüfung durchgeführt.

Der jeweils konkrete Dienst, die Datenkategorien und die Übermittlungsgrundlage werden vor produktiver Aktivierung geprüft und technisch auf das erforderliche Maß beschränkt.

23. Widerruf deiner Einwilligung und Widerspruch

Verarbeiten wir Daten auf Basis deiner Einwilligung, kannst du diese jederzeit mit Wirkung für die Zukunft widerrufen. Die bis zum Widerruf erfolgte Verarbeitung bleibt rechtmäßig.

Nicht notwendige Dienste, die eine Einwilligung erfordern, werden erst nach entsprechender Zustimmung geladen. Eine erteilte Einwilligung kannst du über unser Consent-Tool oder durch entsprechende Mitteilung widerrufen.

Möchtest du einer Verarbeitung widersprechen, die wir auf berechtigtes Interesse stützen (Art. 6 Abs. 1 lit. f DSGVO), genügt eine formlose Nachricht über unser Kontaktformular oder per E-Mail an support [at] labra-deutsch [dot] de.

Dies betrifft insbesondere Sicherheitsmaßnahmen, Missbrauchsprävention, technische Logdaten, Proxy-/VPN-Erkennung sowie bestimmte KI-gestützte Qualitäts- und Sicherheitsverarbeitungen. Wir prüfen deinen Widerspruch innerhalb der gesetzlichen Fristen.

Hinweis: Technisch erforderliche Cookies und Sicherheitsfunktionen wie Login, Spracheinstellung, Session-Verwaltung und Missbrauchsschutz können nur durch Verlassen bzw. Nichtnutzung der Plattform vermieden werden, soweit sie für den Betrieb zwingend erforderlich sind.

24. Auskünfte & Datenschutzanfragen

Datenschutzanfragen zur allgemeinen Lernplattform kannst du über dein Benutzerkonto, das Kontaktformular oder per E-Mail an support [at] labra-deutsch [dot] de stellen. Labra Flex Germany führt die Identitätsprüfung, Datensuche, Berichtigung, Export-, Einschränkungs- und Löschmaßnahmen als Verantwortlicher durch.

Für Fragen, die ausschließlich einen Stripe-Kauf, eine Germany-Rechnung, einen Refund oder Chargeback betreffen, kannst du dich unmittelbar an support [at] labra-deutsch [dot] de wenden.

Betrifft eine Anfrage ausschließlich einen direkten Banküberweisungskauf bei STE Labra Flex SARL-AU für einen Kunden in Marokko, kann sie ebenfalls über support [at] labra-deutsch [dot] de eingereicht werden. Labra Flex Germany nimmt die Anfrage technisch für diesen eng begrenzten Verkaufsvorgang entgegen und bearbeitet bzw. dokumentiert sie im Auftrag der SARL-AU. Daraus entsteht für STE Labra Flex SARL-AU kein allgemeiner Zugriff auf Benutzerkonten, Lernfortschritte, KI-Eingaben, Serverprotokolle oder sonstige Plattformdaten.

25. Beschwerderecht bei einer Aufsichtsbehörde

Du hast das Recht, dich bei einer Datenschutzaufsichtsbehörde zu beschweren, insbesondere in dem EU-Mitgliedstaat deines gewöhnlichen Aufenthalts, deines Arbeitsplatzes oder des Orts des behaupteten Verstoßes.

Für Verarbeitungsvorgänge der allgemeinen Plattform kann insbesondere die folgende Aufsichtsbehörde für Labra Flex Germany zuständig sein:

Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW)
Kavalleriestraße 2-4, 40213 Düsseldorf, Deutschland
Telefon: +49 211 38424-0
E-Mail: [email protected]
Website: ldi.nrw.de

26. Pflicht zur Bereitstellung von Daten

Einige Funktionen (z. B. Registrierung, Zahlungsabwicklung) erfordern personenbezogene Daten. Ohne diese Angaben können wir bestimmte Dienste nicht erbringen.

27. Änderungen dieser Erklärung

Wir behalten uns vor, diese Datenschutzerklärung zu aktualisieren.

28. Android-App „Labra Flex: Learn German“

Die nachfolgenden Punkte gelten zusätzlich zu allen vorstehenden Regelungen, sobald du unsere Android-App verwendest. Die App nutzt einen eingebetteten WebView und zeigt Inhalte von https://labra-flex.world an. Links zu unserer Domain können auf unterstützten Android-Geräten direkt mit der App verknüpft sein. Externe Links oder PDF-Dateien können – nach deiner ausdrücklichen Aktion – in anderen Apps oder im Browser geöffnet werden.