Datenschutzerklärung

Stand: Februar 2026

1. Verantwortlicher

2. Datenschutzbeauftragte/r

[Falls ein Datenschutzbeauftragter bestellt wurde, hier Kontaktdaten angeben. Falls nicht erforderlich, diesen Abschnitt entfernen.]

3. Überblick der Verarbeitungen

Attachment Tools ist eine Bildungs-Plattform für Psychologie-Studierende. Wir verarbeiten personenbezogene Daten nur, soweit dies zur Bereitstellung einer funktionsfähigen Website sowie unserer Inhalte und Leistungen erforderlich ist oder Sie eingewilligt haben.

4. Rechtsgrundlagen der Verarbeitung

Wir verarbeiten Ihre Daten auf folgenden Rechtsgrundlagen:

• Einwilligung (Art. 6 Abs. 1 lit. a DSGVO): Für Analyse-Cookies und Fehlerverfolgung (Sentry). Sie können Ihre Einwilligung jederzeit über die Cookie-Einstellungen widerrufen.
• Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO): Für die Bereitstellung Ihres Benutzerkontos und die Nutzung der Statistik-Tools.
• Berechtigte Interessen (Art. 6 Abs. 1 lit. f DSGVO): Für die Gewährleistung der IT-Sicherheit und die technische Bereitstellung unserer Website.

5. Arten der verarbeiteten Daten

• Bestandsdaten (z. B. E-Mail-Adresse bei Registrierung)
• Nutzungsdaten (z. B. aufgerufene Seiten, Zugriffszeiten)
• Meta-/Kommunikationsdaten (z. B. IP-Adressen, Geräteinformationen)
• Inhaltsdaten (z. B. in der App gespeicherte Dateien und Daten)

6. Hosting und Content Delivery

6.1 Vercel

Unsere Website wird bei Vercel Inc. (440 N Bayard St., Wilmington, DE 19801, USA) gehostet. Beim Besuch unserer Website erfasst Vercel automatisch Zugriffsdaten (IP-Adresse, Datum und Uhrzeit des Abrufs, übertragene Datenmenge, Referrer-URL, Browser-Typ). Diese Daten werden in Rechenzentren in den USA verarbeitet. Grundlage für den Datentransfer in die USA ist das EU-US Data Privacy Framework (DPF) sowie Standardvertragsklauseln (SCCs) gemäß Art. 46 Abs. 2 lit. c DSGVO. Auftragsverarbeitungsvertrag liegt vor.

6.2 Cloudflare R2

Für die Speicherung von Dateien nutzen wir Cloudflare R2 (Cloudflare Inc., 101 Townsend St., San Francisco, CA 94107, USA). Dateien werden in EU-Rechenzentren gespeichert. Grundlage für den Datentransfer sind Standardvertragsklauseln (SCCs). Auftragsverarbeitungsvertrag liegt vor.

7. Registrierung und Authentifizierung

7.1 Supabase

Für die Benutzerverwaltung und Authentifizierung nutzen wir Supabase Inc. (970 Toa Payoh North #07-04, Singapore 318992). Supabase betreibt unsere Datenbank in Frankfurt/Main (AWS eu-central-1). Bei der Registrierung werden folgende Daten verarbeitet:

• E-Mail-Adresse
• Passwort (als kryptographischer Hash gespeichert)
• Zeitpunkt der Registrierung
• OAuth-Daten bei Social Login (Google, GitHub)

Die Verarbeitung erfolgt auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung). Auftragsverarbeitungsvertrag mit Standardvertragsklauseln liegt vor. Supabase Subprozessoren: AWS, Google BigQuery, Fly.io.

7.2 Technisch notwendige Cookies

Für die Authentifizierung setzt Supabase Session-Cookies (sb-*-auth-token). Diese Cookies sind technisch notwendig für die Funktionalität der Anmeldung und werden ohne Einwilligung gesetzt (TDDDG § 25 Abs. 2). Die Cookies sind httpOnly, secure (in Produktion) und haben die SameSite-Einstellung "lax".

8. Webanalyse (nur mit Einwilligung)

8.1 Vercel Analytics

Mit Ihrer Einwilligung nutzen wir Vercel Web Analytics zur anonymisierten Analyse der Website-Nutzung. Vercel Analytics ist datenschutzfreundlich konzipiert und erfasst: Seitenaufrufe, Referrer-URLs, Browser-Typ, Betriebssystem und Land (basierend auf IP-Geolokalisierung, die IP-Adresse wird nicht gespeichert). Vercel Analytics wird nur aktiviert, wenn Sie in den Cookie-Einstellungen die Kategorie "Analyse" akzeptieren. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung). Sie können Ihre Einwilligung jederzeit über die Cookie-Einstellungen widerrufen.

9. Fehlerverfolgung (nur mit Einwilligung)

9.1 Sentry

Mit Ihrer Einwilligung nutzen wir Sentry (Functional Software Inc., 132 Hawthorne St., San Francisco, CA 94107, USA) zur Erkennung und Behebung technischer Fehler. Sentry erfasst:

• Fehlermeldungen und Stack Traces
• Browser-/Geräteinformationen
• Anonymisierte Session Replays (DOM-Snapshots)
• Performance-Daten (Ladezeiten)

IP-Adressen werden von Sentry standardmäßig nicht dauerhaft gespeichert (sendDefaultPii ist deaktiviert). Die Datenverarbeitung erfolgt in den USA auf Basis von Standardvertragsklauseln (SCCs). Sentry wird nur aktiviert, wenn Sie in den Cookie-Einstellungen die Kategorie "Fehlerverfolgung" akzeptieren. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung).

10. Schriftarten

Wir verwenden die Schriftart "Lexend" von Google Fonts. Die Schrift wird zur Build-Zeit heruntergeladen und von unserem eigenen Server bereitgestellt (Self-Hosting via Next.js Font Optimization). Es findet beim Seitenaufruf keine Verbindung zu Google-Servern statt.

11. Cookie-Einwilligung und Consent-Verwaltung

Beim ersten Besuch unserer Website wird Ihnen ein Cookie-Banner angezeigt. Wir verwenden die Open-Source-Bibliothek "CookieConsent" zur Verwaltung Ihrer Einwilligungen. Die Einwilligungsdaten (akzeptierte Kategorien, Zeitstempel, Revision) werden in einem Cookie auf Ihrem Gerät gespeichert sowie anonymisiert in unserer Datenbank protokolliert (Art. 5 Abs. 2 DSGVO, Rechenschaftspflicht). Sie können Ihre Einstellungen jederzeit über den Link "Cookie-Einstellungen" im Footer ändern.

12. Datenübermittlung in Drittländer

Einige unserer Dienstleister befinden sich in den USA. Die Datenübermittlung erfolgt auf Grundlage von:

• EU-US Data Privacy Framework (DPF) für DPF-zertifizierte Unternehmen (Vercel)
• Standardvertragsklauseln (SCCs) gemäß Art. 46 Abs. 2 lit. c DSGVO (alle Dienstleister)

13. Speicherdauer

• Kontodaten: Bis zur Löschung Ihres Benutzerkontos
• Serverprotokolle (Vercel): 30 Tage
• Analyse-Daten (Vercel Analytics): Aggregiert, keine personenbezogene Speicherung
• Fehlerberichte (Sentry): 90 Tage
• Cookie-Einwilligungen: 182 Tage (Cookie) bzw. unbefristet in der Datenbank (Rechenschaftspflicht)

14. Ihre Rechte

Sie haben gegenüber uns folgende Rechte hinsichtlich Ihrer personenbezogenen Daten:

• Auskunftsrecht (Art. 15 DSGVO): Sie können Auskunft über Ihre von uns verarbeiteten Daten verlangen.
• Recht auf Berichtigung (Art. 16 DSGVO): Sie können die Berichtigung unrichtiger Daten verlangen.
• Recht auf Löschung (Art. 17 DSGVO): Sie können die Löschung Ihrer Daten verlangen, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen.
• Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO): Sie können die Einschränkung der Verarbeitung Ihrer Daten verlangen.
• Recht auf Datenportabilität (Art. 20 DSGVO): Sie können die Herausgabe Ihrer Daten in einem strukturierten, gängigen und maschinenlesbaren Format verlangen.
• Widerspruchsrecht (Art. 21 DSGVO): Sie können der Verarbeitung Ihrer Daten jederzeit widersprechen, sofern die Verarbeitung auf berechtigten Interessen beruht.
• Widerrufsrecht (Art. 7 Abs. 3 DSGVO): Sie können eine erteilte Einwilligung jederzeit widerrufen. Der Widerruf berührt nicht die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung.

15. Beschwerderecht bei einer Aufsichtsbehörde

Wenn Sie der Ansicht sind, dass die Verarbeitung Ihrer personenbezogenen Daten gegen die DSGVO verstößt, haben Sie das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren (Art. 77 DSGVO). Dies kann insbesondere bei der Aufsichtsbehörde Ihres Aufenthaltsorts, Ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes geschehen.

[Zuständige Aufsichtsbehörde: Landesbeauftragte/r für Datenschutz und Informationsfreiheit [BUNDESLAND], [ADRESSE], [WEBSEITE]]

16. Erforderlichkeit der Bereitstellung personenbezogener Daten

Die Bereitstellung Ihrer E-Mail-Adresse und eines Passworts ist für die Registrierung und Nutzung des Dienstes erforderlich (vertragliche Voraussetzung). Ohne diese Daten können wir Ihnen kein Benutzerkonto bereitstellen. Die Bereitstellung weiterer Daten (z. B. Profilinformationen) ist freiwillig und hat keine Auswirkung auf die Nutzbarkeit der Grundfunktionen.

17. Automatisierte Entscheidungsfindung

Eine automatisierte Entscheidungsfindung oder ein Profiling gemäß Art. 22 DSGVO findet nicht statt.

18. Änderungen dieser Datenschutzerklärung

Wir behalten uns vor, diese Datenschutzerklärung anzupassen, um sie an geänderte Rechtslagen oder bei Änderungen unseres Dienstes anzupassen. Die jeweils aktuelle Fassung finden Sie stets auf dieser Seite.