Datenschutzhinweise

1. Verantwortlicher

Nachfolgend als „Fornava“ oder „wir“ bezeichnet.

2. Datenschutzkontakt

Bei Fragen zum Datenschutz oder zur Ausübung deiner Rechte erreichst du uns unter der oben genannten Datenschutz-Kontaktadresse. Du kannst uns per E-Mail schreiben oder „Deine Daten“ in Fornava nutzen.

Wir antworten in der Regel unverzüglich, spätestens innerhalb eines Monats (Art. 12 Abs. 3 DSGVO). Bei komplexen Anfragen kann sich die Frist um bis zu zwei weitere Monate verlängern. Darüber informieren wir dich rechtzeitig.

Die Ausübung deiner Rechte ist grundsätzlich unentgeltlich. Bei offensichtlich unbegründeten oder exzessiven Anfragen können wir ein angemessenes Entgelt verlangen oder ablehnen (Art. 12 Abs. 5 DSGVO).

3. Datenschutzbeauftragter

Derzeit ist kein Datenschutzbeauftragter bestellt, soweit gesetzlich nicht erforderlich. Ob eine Bestellungspflicht nach Art. 37 DSGVO i. V. m. § 38 BDSG besteht, hängt unter anderem von Identität und Umfang des Verantwortlichen ab und wird fortlaufend geprüft.

Sollte ein Datenschutzbeauftragter bestellt werden, werden Name und Kontaktdaten hier ergänzt.

4. Zwecke der Verarbeitung

Wir verarbeiten personenbezogene Daten insbesondere zu folgenden Zwecken:

• Bereitstellung deines Kontos, Anmeldung und Sitzungsverwaltung
• Speicherung deines Lernfortschritts, deiner Sprachpaare, Karten und Wiederholungen
• Bereitstellung von Spielinhalten, Dorfszenen, Werkzeugen und Fortschrittsübersichten
• Onboarding, Einstufung und Anpassung deines Lernpfads
• Chat, Dialog und KI-gestützte Lernfunktionen, sofern du dem zugestimmt hast
• Spracheingabe und Sprachausgabe über unsere eigene Infrastruktur, sofern du KI-Funktionen nutzt
• Chronik, Duelle, Schmiede und weitere KI-gestützte Werkzeuge
• Bearbeitung von Feedback und Support-Anfragen
• Bearbeitung datenschutzrechtlicher Anfragen (Art. 15 bis 22 DSGVO)
• IT-Sicherheit, Missbrauchsabwehr und stabiler Betrieb
• Optionale Nutzungsanalyse zur Verbesserung von Fornava, nur wenn du zugestimmt hast. Derzeit erheben wir noch keine Nutzungsdaten.

5. Rechtsgrundlagen

Je nach Vorgang stützen wir die Verarbeitung auf folgende Rechtsgrundlagen der DSGVO:

• Art. 6 Abs. 1 lit. b DSGVO: Vertrag bzw. vorvertragliche Maßnahmen (Betrieb deines Kontos, Speicherung deines Lernfortschritts, Bereitstellung der Kernfunktionen)
• Art. 6 Abs. 1 lit. a DSGVO: Einwilligung (KI und Sprachverarbeitung, optionale Analytics, soweit aktiviert)
• Art. 6 Abs. 1 lit. f DSGVO: berechtigtes Interesse (siehe Abschnitt 6)
• Art. 6 Abs. 1 lit. c DSGVO: rechtliche Verpflichtung, soweit uns gesetzliche Pflichten treffen

Eine erteilte Einwilligung kannst du jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3 DSGVO). Die Verarbeitung bis zum Widerruf bleibt rechtmäßig.

6. Berechtigte Interessen

Verarbeiten wir personenbezogene Daten auf Grundlage berechtigter Interessen (Art. 6 Abs. 1 lit. f DSGVO), sind das insbesondere folgende Interessen:

• IT-Sicherheit, Integrität deiner Sitzung und Missbrauchsabwehr beim Anmeldebetrieb
• Stabilität des Dienstes und proportionierte, redigierte Betriebsprotokolle ohne Roh-Inhalte deiner Gespräche
• Bearbeitung datenschutzrechtlicher Anfragen mit minimalen Nachweisdaten
• Produktqualität und Support, wenn du uns Feedback sendest

Wir wägen diese Interessen gegen deine Grundrechte und Interessen ab. Du kannst jederzeit Widerspruch gegen Verarbeitungen auf dieser Grundlage einlegen (Art. 21 Abs. 1 DSGVO), soweit anwendbar. Detaillierte Abwägungen dokumentieren wir intern.

7. Kategorien personenbezogener Daten

Abhängig von deiner Nutzung verarbeiten wir insbesondere:

• Kontodaten (z. B. interne Nutzerkennung, Anzeigename, E-Mail, Anmeldeanbieter, Rollen)
• Sprach- und Lernkontext (Muttersprache, Lernsprache, Karten, Reviews, Titel, Fortschritt, Tageswerte)
• Spiel- und Chat-Inhalte (Gesprächstexte, Dialogeingaben, Beziehungs- und Szenenstatus)
• KI-Kontext (Prompts, generierte Texte, Schmiede-Wörter, Chronik- und Duell-Inhalte)
• Gerätebezogene Einstellungen und lokaler Zwischenspeicher auf dem Gerät (soweit lokal gespeichert)
• Datenschutz-Einstellungen und Anfragen (Einwilligungen, Exporte, Löschanfragen)
• Technische Metadaten für Betrieb und Sicherheit (z. B. redigierte Provider- und Nutzungsmetadaten ohne Rohprompts)
• Feedback und Support-Nachrichten, wenn du uns schreibst

Audioeingaben werden bei Nutzung der Sprachfunktionen zur unmittelbaren Verarbeitung übermittelt. Rohaudio speichern wir danach nicht dauerhaft in der Datenbank.

Wir verarbeiten keine besonderen Kategorien personenbezogener Daten im Sinne von Art. 9 DSGVO, sofern du sie uns nicht selbst in Freitextfeldern mitteilst.

8. Herkunft der Daten

Wir beziehen personenbezogene Daten:

• direkt von dir (Eingaben im Spiel, Chat, Schmiede, Feedback, Datenschutzanfragen)
• bei der Anmeldung über Kanidm (z. B. E-Mail, Anzeigename, Rollen und Identitätsnachweise)
• automatisch beim Betrieb (Sitzungsdaten, technische Metadaten, Protokolldaten)

Wenn wir personenbezogene Daten nicht bei dir erheben, informieren wir dich hierüber. Bei der Anmeldung stammen Kern-Kontodaten aus dem Identitätsdienst Kanidm.

9. Empfänger und Auftragsverarbeiter

Empfänger können sein:

• Fornava-Betrieb und technisch berechtigte Administratoren auf unserer Infrastruktur.
• Hetzner Online GmbH (Cloud-Hosting in Deutschland): Auftragsverarbeiter für App, Datenbank und Backups auf unserem VPS.
• Kanidm (KANIDM/OIDC) auf unserer eigenen Infrastruktur bei Hetzner (Deutschland, EU): Anmeldung, Identitätsnachweise und Passwortverwaltung. Fornava speichert Passwörter nicht in der Datenbank; Anmeldedaten verbleiben beim Identitätsdienst Kanidm.
• MS Azure Europe: Bereitstellung von KI-Funktionen wie Gesprächen mit Dorfbewohnern, personalisierten Übungen, Übersetzungen, Textgenerierung sowie Sprachverarbeitung (Speech-to-Text und Text-to-Speech), sofern du der Nutzung der KI-Funktionen zugestimmt hast.
• Mistral AI SAS (Frankreich): Bereitstellung von KI-Funktionen und Textgenerierung, sofern diese Dienste eingesetzt werden und du der Nutzung der KI-Funktionen zugestimmt hast.
• Sprachdienste auf unserer eigenen Infrastruktur (soweit eingesetzt): Kurzzeitige Verarbeitung von Audio. Rohaudio wird nicht dauerhaft in der Datenbank gespeichert.

Mit Auftragsverarbeitern schließen wir – soweit rechtlich erforderlich – Auftragsverarbeitungsverträge nach Art. 28 DSGVO ab.

10. Übermittlung in Drittstaaten

Die in Abschnitt 9 genannten Empfänger verarbeiten derzeit innerhalb der Europäischen Union bzw. des Europäischen Wirtschaftsraums (insbesondere Deutschland und Frankreich).

Ein Übermitteln personenbezogener Daten in Drittstaaten außerhalb der EU/des EWR ist derzeit nicht beabsichtigt.

Sollte sich das ändern (z. B. durch andere Unterauftragsverarbeiter, Support-Zugriffe aus Drittstaaten, Cloud-Replikation oder aktivierte Browser-Sprachdienste), aktualisieren wir diese Hinweise rechtzeitig und stützen Übermittlungen – soweit erforderlich – auf geeignete Garantien nach Kapitel V DSGVO (z. B. Angemessenheitsbeschluss oder Standardvertragsklauseln) einschließlich erforderlicher Transfer Impact Assessments.

11. Speicherdauer

Wir speichern personenbezogene Daten nur so lange, wie es für die genannten Zwecke erforderlich ist oder gesetzliche Aufbewahrungspflichten bestehen.

• Sitzungsdaten bis zum Ablauf oder Logout
• Kontodaten und Lernfortschritt, solange dein Konto besteht
• Chat- und KI-Inhalte, solange dein Konto besteht, sofern du KI-Funktionen nutzt
• Datenschutzanfragen, Exporte und Nachweise gemäß gesetzlichen Nachweispflichten
• Betriebsprotokolle nur so lange wie für Sicherheit, Missbrauchsabwehr oder Abrechnung erforderlich
• Lokale Gerätedaten kannst du auf dem Gerät jederzeit zurücksetzen

Nach Löschanträgen prüfen wir, welche Daten gelöscht, eingeschränkt oder aus rechtlichen Gründen aufbewahrt werden müssen. Backups auf unserem Hetzner-VPS können eine Löschung zeitlich verzögern; wir streben an, gelöschte Daten bei Wiederherstellung nicht erneut einzuführen.

Kanidm-Kontodaten (Passwort, Passkeys, Identitäts-Audit) werden separat im Identitätsdienst verwaltet und unterliegen eigenen Lösch- oder Deaktivierungsprozessen.

12. Endgerätespeicher, Cookies und lokale Daten

Neben Serverdaten verwenden wir Endgerätespeicher:

• Web: Sitzungs-Cookie (HttpOnly, SameSite=Lax) für deine Anmeldung und Sitzungsverwaltung. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO und § 25 Abs. 2 Nr. 2 TDDDG (technisch erforderlich).
• App: Sichere Token-Speicherung (Secure Store) für deine Anmeldung.
• Web und App: Lokaler Gerätespeicher (Browser-Speicher bzw. App-Speicher) für Einstellungen, UI-Stand und Spielzustand. Du kannst diese Daten unter „Deine Daten“ bzw. im Profil mit „Gerät zurücksetzen“ entfernen.

Wir setzen derzeit keine Marketing-Cookies und kein Drittanbieter-Tracking ein. Optionale Nutzungsanalyse ist noch nicht implementiert; es wird nur deine Einwilligung gespeichert.

Optionaler Zugriff auf Browser- oder Betriebssystem-Sprachdienste ist standardmäßig deaktiviert und würde – falls je aktiviert – nur nach gesonderter rechtlicher Prüfung und Aktualisierung dieser Hinweise erfolgen.

13. Sicherheit der Verarbeitung

Wir treffen angemessene technische und organisatorische Maßnahmen nach Art. 32 DSGVO, unter anderem:

• verschlüsselte Transportverbindungen (HTTPS/TLS) für Anmeldung und App-Nutzung
• signierte HttpOnly-Sitzungs-Cookies, OIDC mit state, nonce und PKCE
• keine dauerhafte Speicherung von OIDC-Zugangstokens im Frontend
• redigierte Protokollierung bei KI-Anbindungen ohne Rohprompts in Logs
• kurzzeitige Sprachverarbeitung ohne dauerhafte Rohaudio-Speicherung in der Datenbank
• rollenbasierte Zugriffe und Einwilligungs-Gates für KI-Funktionen

Schutzmaßnahmen werden laufend an den Stand der Technik angepasst. Details zu VPS-Härtung, Verschlüsselung ruhender Daten, Backup-Zugriffen und Incident Response dokumentieren wir im Verarbeitungsverzeichnis nach Art. 30 DSGVO.

14. Pflicht zur Bereitstellung von Daten

Für die Nutzung von Fornava sind Anmelde- und Kontodaten sowie die für den Lernbetrieb erforderlichen Daten notwendig (Art. 6 Abs. 1 lit. b DSGVO). Ohne diese Daten können wir dir kein Konto und keine Kernfunktionen bereitstellen.

KI-Funktionen, Sprachverarbeitung und optionale Nutzungsanalyse sind freiwillig. Sie setzen eine gesonderte Einwilligung voraus. Der Kernbetrieb ohne KI bleibt verfügbar, wenn du diese Einwilligungen nicht erteilst.

Eine gesetzliche Verpflichtung zur Bereitstellung besteht für die freiwilligen Funktionen nicht.

15. Deine Rechte

Dir stehen unter den Voraussetzungen der DSGVO insbesondere folgende Rechte zu:

• Auskunft (Art. 15 DSGVO) und Kopie deiner Daten
• Berichtigung (Art. 16 DSGVO)
• Löschung (Art. 17 DSGVO)
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO), soweit anwendbar
• Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21 Abs. 1 DSGVO), soweit anwendbar
• Widerruf erteilter Einwilligungen (Art. 7 Abs. 3 DSGVO). Die Verarbeitung bis zum Widerruf bleibt rechtmäßig.

Haben wir personenbezogene Daten öffentlich gemacht und bist du zur Löschung berechtigt, informieren wir andere Verantwortliche nach Möglichkeit über deinen Löschungsanspruch (Art. 19 DSGVO), soweit anwendbar.

Du kannst viele Anliegen direkt unter „Deine Daten“ in Fornava starten. Vor Auskunft, Export oder Löschung können wir deine Identität prüfen, um Missbrauch zu verhindern.

Du bist nicht verpflichtet, einer automatisierten Entscheidung im Sinne von Art. 22 DSGVO zu unterliegen (siehe Abschnitt 17).

16. Hinweise, Vertrag und Einwilligungen

Diese Datenschutzhinweise informieren dich über unsere Verarbeitung (Art. 13/14 DSGVO). Vor der Nutzung bestätigst du, dass du sie gelesen hast. Das ist keine pauschale Einwilligung in alle Verarbeitungen.

Die Bereitstellung von Konto und Kernfunktionen stützen wir auf Art. 6 Abs. 1 lit. b DSGVO (Vertrag bzw. vorvertragliche Maßnahmen).

Für KI-gestützte Funktionen (Gespräche mit Dorfbewohnern, Übersetzungen, Chronik, Schmiede, Duelle, Spracheingabe und Sprachausgabe) ist eine gesonderte Einwilligung erforderlich. Die Verarbeitung erfolgt über Mistral AI (EU/EWR) und unsere eigene Sprach-Infrastruktur.

Optionale Nutzungsanalyse kannst du separat aktivieren. Derzeit speichern wir nur deine Einwilligung. Eine Erhebung von Analytics-Daten ist noch nicht implementiert.

Du kannst Einwilligungen jederzeit unter „Deine Daten“ ändern. Der Widerruf berührt nicht die Rechtmäßigkeit der Verarbeitung bis zum Widerruf.

17. Automatisierte Entscheidungen und Profiling

Fornava trifft keine ausschließlich automatisierten Entscheidungen im Sinne von Art. 22 DSGVO, die dir gegenüber rechtliche Wirkung entfalten oder dich in ähnlicher Weise erheblich beeinträchtigen.

Lernempfehlungen, Titel, Spielinhalte oder KI-generierte Texte dienen der didaktischen Gestaltung. Sie stellen keine rechtlich bindenden Bewertungen dar.

Wir führen derzeit kein Profiling im Sinne von Art. 4 Nr. 4 DSGVO zu Werbe- oder Bewertungszwecken durch.

18. Datenpannen

Bei einer Verletzung des Schutzes personenbezogener Daten bewerten wir das Risiko und handeln nach Art. 33 und 34 DSGVO.

• Meldung an die Aufsichtsbehörde innerhalb von 72 Stunden, wenn ein Risiko besteht
• Benachrichtigung der Betroffenen, wenn voraussichtlich ein hohes Risiko für deine Rechte und Freiheiten besteht
• interne Dokumentation aller Vorfälle

Wir empfehlen, bei Verdacht auf Missbrauch deines Kontos uns umgehend zu kontaktieren.

19. Kinder und Jugendliche

Fornava richtet sich nicht gezielt an Kinder. Sofern nach nationalem Recht (in Deutschland regelmäßig ab 16 Jahren für Informationsdienste) eine elterliche Einwilligung für Minderjährige erforderlich ist, darf der Dienst ohne diese Einwilligung nicht genutzt werden.

Wenn du glaubst, dass wir ohne erforderliche Einwilligung Daten eines Kindes verarbeiten, kontaktiere uns. Wir prüfen den Vorgang und löschen oder beschränken die Verarbeitung, soweit gesetzlich geboten.

20. Änderungen dieser Hinweise

Wir können diese Datenschutzhinweise anpassen, wenn sich Rechtslage, Funktionen oder Verarbeitungen ändern.

• Der Stand wird in Fornava angezeigt.
• Bei wesentlichen Änderungen informieren wir dich angemessen (z. B. in der App oder per E-Mail), bevor neue Verarbeitungen greifen, soweit erforderlich.
• Lies die aktuelle Fassung, bevor du Fornava nutzt.

Die strukturierte Compliance-Dokumentation des Verantwortlichen wird intern über das Verarbeitungsverzeichnis nach Art. 30 DSGVO gepflegt.

21. Beschwerderecht

Du hast das Recht, dich bei einer Datenschutz-Aufsichtsbehörde zu beschweren (Art. 77 DSGVO), insbesondere in dem Mitgliedstaat deines gewöhnlichen Aufenthalts, deines Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes.

Zuständige Aufsichtsbehörde ist die Berliner Beauftragte für Datenschutz und Informationsfreiheit [(https://www.datenschutz-berlin.de/)](https://www.datenschutz-berlin.de/).

Bitte wende dich vor einer Beschwerde bei einer Aufsichtsbehörde an uns. Wir prüfen dein Anliegen und antworten dir. Dein Beschwerderecht bei einer Aufsichtsbehörde bleibt davon unberührt.