Datenschutz

Diese Datenschutzerklärung gilt für die Webseite merkwerk.app, dein MerkWerk.app-Konto mit der gemeinsamen Anmeldung unter auth.merkwerk.app, den Kundenbereich und die MerkWerk.app-Apps (Abschnitt 7). Sie erklärt, welche personenbezogenen Daten wir verarbeiten, wofür, auf welcher Rechtsgrundlage und wie lange. Personenbezogene Daten sind alle Angaben, mit denen du persönlich identifiziert werden kannst – zum Beispiel deine E-Mail-Adresse.

1. Verantwortlicher

Domenik Becker
Metjendorfer Landstr. 23b
26215 Wiefelstede
E-Mail: service@merkwerk.app

Weitere Angaben findest du im Impressum. Einen Datenschutzbeauftragten müssen wir nicht benennen; bei Fragen zum Datenschutz schreib uns an die oben genannte Adresse.

2. Das Wichtigste in Kürze

• Konto in Deutschland: Webseite, Kundenbereich, Anmeldung und Datenbank laufen auf unserem eigenen Server bei IONOS in Berlin, die Sicherungen liegen verschlüsselt bei IONOS in Frankfurt.
• KI nur, wo du sie nutzt: Einige App-Funktionen nutzen Sprachmodelle von Google, OpenAI oder Anthropic (Abschnitt 7.1).
• Eigene Anmeldung: Die Anmeldung zum MerkWerk.app-Konto betreiben wir selbst. Es ist kein fremder Login-Dienst beteiligt.
• Keine Analyse- oder Tracking-Dienste. Schriftarten und Bilder liefern wir selbst aus.
• Werbung nur mit deiner Einwilligung – auf öffentlichen Inhaltsseiten und, wenn du keine Premium-Version nutzt, gegebenenfalls in den Apps. Nie im Kundenbereich, auf Anmeldeseiten oder Rechtstexten.
• Zahlungen wickelt Stripe ab. Kartendaten sehen und speichern wir nicht.

3. Hosting und Serverstandort

Unsere Webseite, der Kundenbereich, die Anmeldung und die Datenbank laufen auf einem Server der IONOS SE, Elgendorfer Str. 57, 56410 Montabaur, im Rechenzentrum in Berlin. Tägliche Sicherungskopien der Datenbank speichern wir verschlüsselt im Speicherdienst von IONOS in Frankfurt am Main. IONOS verarbeitet die Daten ausschließlich in unserem Auftrag und nach unseren Weisungen; mit IONOS besteht ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO. Eine Übermittlung in Länder außerhalb der EU findet beim Hosting nicht statt.

Rechtsgrundlage ist unser berechtigtes Interesse an einem sicheren und zuverlässigen Betrieb (Art. 6 Abs. 1 lit. f DSGVO) und, soweit du ein Konto hast, die Erfüllung des Nutzungsvertrags (Art. 6 Abs. 1 lit. b DSGVO).

4. Aufruf der Webseite

Wenn du merkwerk.app aufrufst, überträgt dein Browser technisch bedingt Daten an unseren Server: IP-Adresse, Datum und Uhrzeit, die aufgerufene Adresse, Browsertyp und Betriebssystem. Diese Daten brauchen wir, um dir die Seite auszuliefern.

Schutz vor Angriffen: Unser Webserver schreibt Zugriffsprotokolle mit IP-Adresse, Zeitpunkt, aufgerufener Adresse (Anmeldecodes und ähnliche Zugangsdaten darin unkenntlich gemacht), Ergebnis und Browserangaben. Sie bleiben auf unserem Server in Deutschland und werden nach 7 Tagen automatisch gelöscht. Eine Sicherheitssoftware (CrowdSec) prüft sie laufend auf Angriffsmuster, etwa das Durchprobieren von Passwörtern oder die Suche nach Schwachstellen, und sperrt angreifende Adressen vorübergehend. Bei einem erkannten Angriff meldet sie die IP-Adresse, den Zeitpunkt und die Art des Angriffs an die CrowdSec SAS (Paris, Frankreich), die daraus eine gemeinsame Sperrliste bekannter Angreifer erstellt; diese Liste nutzen wir ebenfalls. Gewöhnliche Aufrufe werden nicht gemeldet. Für unsere eigene Übersicht speichern wir erkannte Angriffe nur mit gekürzter Adresse (7 Tage) und Zugriffszahlen ohne IP-Adresse.

Die Anwendung protokolliert zur Fehlersuche außerdem, welche Adresse mit welchem Ergebnis und in welcher Zeit aufgerufen wurde – ohne IP-Adresse und ohne Browserangaben. Diese Betriebsprotokolle werden nach 14 Tagen automatisch gelöscht.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Auslieferung, Stabilität und Sicherheit der Webseite; zur Netz- und Informationssicherheit siehe auch Erwägungsgrund 49 DSGVO).

5. Dein Konto und die Anmeldung

Für den Kundenbereich und die MerkWerk.app-Apps brauchst du ein Konto. Die Anmeldung unter auth.merkwerk.app betreiben wir selbst mit der Software Logto auf unserem Server in Deutschland. Dein MerkWerk.app-Konto verbindet alle Apps: Freischaltungen, Premium und Support laufen darüber. Die Apps selbst haben bis zu ihrem Umzug noch eine eigene Anmeldung (Abschnitt 7.1).

Was wir dafür speichern:

• E-Mail-Adresse (zwingend – sie ist dein Anmeldename und unser Kontaktweg)
• Passwort – nur als nicht umkehrbarer, gesalzener Hash-Wert, nie im Klartext
• Name, wenn du ihn angibst
• Daten für die Zwei-Faktor-Anmeldung, wenn du sie einrichtest (z. B. das Geheimnis einer Authenticator-App, die Kennung eines Passkeys oder Wiederherstellungscodes)
• Anmeldeprotokoll zu deiner Sicherheit: Zeitpunkt, Ergebnis, IP-Adresse und Browserangaben von Anmeldeversuchen

Bei der Anmeldung versenden wir Bestätigungscodes per E-Mail (siehe Abschnitt 10).

Prüfung auf bekannte Passwörter: Wenn du ein Passwort festlegst, prüfen wir, ob es in bekannten Datenlecks vorkommt. Dazu wird nur der Anfang eines Hash-Werts des Passworts an den Dienst „Have I Been Pwned“ gesendet. Weder das Passwort selbst noch deine E-Mail-Adresse oder andere Angaben zu dir verlassen dabei unseren Server; ein Rückschluss auf dich ist nicht möglich.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Bereitstellung des Kontos). Das Anmeldeprotokoll beruht auf Art. 6 Abs. 1 lit. f DSGVO – unser berechtigtes Interesse ist der Schutz deines Kontos vor Missbrauch, etwa vor dem Durchprobieren von Passwörtern.

Speicherdauer: Kontodaten, bis du dein Konto löschst. Anmeldeprotokolle löschen wir nach 30 Tagen.

6. Kundenbereich und App-Freischaltungen

Im Kundenbereich verwalten wir dein Profil, deine Einstellungen, die Apps, die für dich freigeschaltet sind, deine Abonnements und Rechnungen sowie deine Support-Anfragen. Nutzt du eine MerkWerk.app-App, gleicht sie die dafür nötigen Angaben mit deinem Konto ab – zum Beispiel, ob die App für dich freigeschaltet ist und welche Version (kostenlos oder Premium) du nutzt. Dabei protokollieren wir, welche App wann für welches Konto angefragt hat (Schutz vor Missbrauch).

Damit wir sehen, welche Apps und Funktionen genutzt werden, melden die Apps Nutzungsereignisse (zum Beispiel „Sitzung gestartet“, „Funktion genutzt“, Fehler). Wir fassen sie zu Tagessummen je App zusammen. Die einzelnen Ereignisse löschen wir nach 30 Tagen, die Tagessummen nach 12 Monaten; deine eigene Übersicht siehst du im Profil unter „Aktivität“. Rechtsgrundlage dafür ist unser berechtigtes Interesse an der Verbesserung der Apps (Art. 6 Abs. 1 lit. f DSGVO).

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

7. Die MerkWerk.app-Apps

Zu MerkWerk.app gehören die Apps MerkWerk.app Task (Aufgaben), MyDocs (Dokumente), FIXlight (Finanzen), Merlin (Prüfungsvorbereitung) und Studien-Monitor (Anwesenheit und Teilnahmequote in Lehrgängen). Für alle gilt zunächst Folgendes; die Besonderheiten der einzelnen Apps stehen in den Abschnitten 7.2 bis 7.6.

7.1 Für alle Apps

Anmeldung in den Apps: Die Apps haben derzeit noch eine eigene Anmeldung – je nach App mit deinem Google-Konto oder mit E-Mail-Adresse und Passwort. Meldest du dich mit Google an, erhält Google die Information, dass du dich bei der App anmeldest, und übermittelt uns deinen Namen, deine E-Mail-Adresse und gegebenenfalls dein Profilbild (Google Ireland Limited; Übermittlung an Google LLC in den USA auf Grundlage des EU-US Data Privacy Framework). Über deine E-Mail-Adresse verknüpft die App dich mit deinem MerkWerk.app-Konto (Abschnitt 6).

Verbindung zu deinem MerkWerk.app-Konto: Die Apps fragen bei unserem Server in Deutschland ab, ob du freigeschaltet bist und ob du Premium nutzt, holen Rechtstexte und Hinweise ab, leiten Support-Anfragen weiter, melden Nutzungsereignisse (Abschnitt 6) und – wenn du sie erlaubst – Geräte für Push-Benachrichtigungen (Abschnitt 12).

KI-Funktionen: Einige Apps bieten Funktionen mit künstlicher Intelligenz, zum Beispiel Zusammenfassungen, Texterkennung oder das Einordnen von Dokumenten. Dafür werden die jeweils nötigen Inhalte an Anbieter von Sprachmodellen übermittelt (derzeit Google – Gemini, OpenAI – GPT, Anthropic – Claude), die das Ergebnis berechnen und an die App zurückgeben. Diese Anbieter sitzen in den USA; die Übermittlung stützt sich auf das EU-US Data Privacy Framework (Art. 45 DSGVO) bzw. auf die Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO). Welche Funktionen KI nutzen, steht bei der jeweiligen App. Die Ergebnisse der KI können Fehler enthalten – prüfe sie, bevor du dich darauf verlässt.

Dateien: Dateien, die du in einer App hochlädst, sind über eine lange, nicht erratbare Adresse erreichbar; wir geben diese Adressen nicht weiter. Bei FIXlight liegen Belege in einem geschützten Speicher, der nur angemeldet abrufbar ist.

Daten anderer Personen: In den Apps kannst du auch Angaben über andere Personen speichern – etwa Absender von Briefen, Kontakte, Zahlungsempfänger oder Mitzahler. Achte darauf, dass du diese Angaben verwenden darfst. Für deine eigenen, rein persönlichen Zwecke ist das in der Regel der Fall.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Bereitstellung der App nach den Nutzungsbedingungen). Wo wir eine Einwilligung einholen, ist sie die Grundlage (Art. 6 Abs. 1 lit. a DSGVO; bei Gesundheitsdaten Art. 9 Abs. 2 lit. a DSGVO) – das ist bei der jeweiligen App vermerkt.

Löschen: Im Kundenbereich kannst du für jede App deine Daten in dieser App löschen; MerkWerk.app Task und MyDocs bieten das zusätzlich in der App selbst. Löschst du dein MerkWerk.app-Konto (Abschnitt 5), werden auch deine Inhalte in allen Apps gelöscht.

7.2 MerkWerk.app Task

Aufgaben, Projekte und Abläufe verwalten. Gespeichert werden deine Aufgaben mit Beschreibung, Unteraufgaben, Kommentaren, Anhängen, Zeiterfassung und Kosten, deine Projekte und eigenen Felder sowie die E-Mail-Adressen der Personen, mit denen du Aufgaben oder Projekte teilst. Geteilte Inhalte sehen die beteiligten Personen.

• Erinnerungen und Benachrichtigungen per E-Mail versenden wir über IONOS (Abschnitt 10) und über den E-Mail-Dienst unseres technischen Dienstleisters.
• OneDrive (optional): Verbindest du dein Microsoft-Konto, legt die App Dateien in deinem OneDrive ab und listet sie auf (Microsoft Ireland Operations Ltd.; Übermittlung an Microsoft Corporation in den USA auf Grundlage des EU-US Data Privacy Framework). Die Verbindung kannst du jederzeit trennen.
• KI-Kurzanalyse (optional, mit Einwilligung): Titel, Beschreibung und Kommentare einer Aufgabe – auch Kommentare anderer Beteiligter – werden für eine Zusammenfassung an ein Sprachmodell übermittelt (Abschnitt 7.1).
• Werbung: In der kostenlosen Version können Anzeigen erscheinen – nur mit deiner Einwilligung (Abschnitt 13).

7.3 MyDocs

Ein persönliches Archiv für Dokumente und Post. Gespeichert werden deine Dokumente samt erkanntem Text, Kurzfassungen, Absendern, Empfängern und Fristen, deine Kontakte (auch mit Bankverbindung, Steuernummer oder Gläubiger-ID, wenn du sie erfasst), Notizen, Entwürfe und dein Schreibstil-Profil für den Schreibassistenten.

• E-Mail-Postfächer (optional): Verbindest du ein Postfach, ruft MyDocs Mails per IMAP ab und versendet auf deinen Auftrag per SMTP über deinen E-Mail-Anbieter. Dafür speichern wir die Zugangsdaten des Postfachs. Mails, die du als „ignorieren“ markierst, löscht MyDocs nach der eingestellten Frist (Standard: 90 Tage) – auch im Postfach.
• OneDrive (optional): Ablage und Sicherung deines Archivs in deinem eigenen OneDrive (Microsoft, wie in Abschnitt 7.2).
• KI: Für Texterkennung, Einordnung, Fristerkennung, Kontakterkennung, Suche und den Dokumenten-Assistenten werden Dokumente bzw. ihr Text an Sprachmodelle übermittelt (Abschnitt 7.1). Hinterlegst du einen eigenen Gemini-Schlüssel, gehen die Anfragen damit direkt an Google.
• Gesundheits- und andere sensible Daten: Post enthält oft solche Angaben (zum Beispiel von Krankenkasse oder Arzt). Wir verarbeiten sie nur, weil und soweit du sie selbst archivierst; für die KI-Auswertung solcher Dokumente holen wir deine ausdrückliche Einwilligung ein (Art. 9 Abs. 2 lit. a DSGVO), die du jederzeit in den Einstellungen widerrufen kannst.
• Zahlungsaufträge an FIXlight: Erkennt MyDocs eine Rechnung, kannst du sie mit Empfänger, IBAN und Betrag an FIXlight übergeben; FIXlight kann umgekehrt passende Dokumente in MyDocs suchen.

MyDocs ist kein revisionssicheres Archiv – bewahre wichtige Originale zusätzlich auf.

7.4 FIXlight

Persönliche Finanzverwaltung: Verträge und Zahlungen planen, Bankkonten abgleichen, Kosten mit Mitzahlern aufteilen und ein Mahnwesen führen. Gespeichert werden deine Konten (mit IBAN und Saldo), Kontoumsätze (Gegenseite, deren IBAN, Verwendungszweck, Betrag), Depotwerte, Verträge, Zahlungen, Mahnstufen, Empfänger und Mitzahler (Name, IBAN, Telefon, E-Mail) sowie deine Absender-Angaben (Name, Anschrift, Bankverbindung, gegebenenfalls Steuernummer).

• Kontoabruf (optional, mit deiner Zustimmung bei der Bank): Über den Dienst Enable Banking Oy (Espoo, Finnland), einen nach der Zahlungsdiensterichtlinie zugelassenen Kontoinformationsdienst, ruft FIXlight Konten, Salden und Umsätze ab. Die Freigabe erteilst du direkt bei deiner Bank; sie ist befristet und widerrufbar. FIXlight führt keine Überweisungen aus.
• KI: Umsätze (Name der Gegenseite, Verwendungszweck, Betrag) werden zur Einordnung in Kategorien an Sprachmodelle übermittelt, ebenso Inhalte für die Suche und für den Datenimport (Abschnitt 7.1).
• Mahnungen und Mitteilungen: FIXlight versendet auf deine Einstellung hin Zahlungserinnerungen und Mahnungen an Mitzahler oder Schuldner – über dein verbundenes Gmail-Konto (Google), dein eigenes E-Mail-Postfach (SMTP) oder den E-Mail-Dienst unseres technischen Dienstleisters. Im Modus „automatisch“ geschieht das täglich ohne weitere Bestätigung. WhatsApp-Nachrichten öffnet FIXlight nur als vorbereiteten Link in deinem WhatsApp.
• Kontoumsätze und sensible Angaben: Verwendungszwecke können Rückschlüsse etwa auf Gesundheit, Religion oder Gewerkschaftszugehörigkeit erlauben. Wir werten sie nicht dafür aus.

7.5 Merlin

Lernbegleiter für die Prüfungsvorbereitung. Gespeichert werden deine Fächer und Prüfungen, die Lernunterlagen und alten Prüfungen, die du hochlädst oder über einen Link abrufen lässt, der daraus erkannte Text sowie die daraus erzeugten Themen, Wissenstexte, Karteikarten, Übungen, Probeprüfungen und Lernpfade. Dazu kommen deine Antworten mit Bewertung und Bearbeitungszeit, dein Lernfortschritt und deine Lernserie sowie ein Lernprofil (zum Beispiel Lernstil, Vorwissen, Stärken und Lücken), das Merlin aus deinen Angaben und deinen Antworten ableitet, damit Aufgaben zu dir passen.

• KI: Für Texterkennung, das Aufbereiten der Unterlagen, das Erzeugen von Aufgaben, die Bewertung deiner Antworten, das Lernprofil und den Merlin-Assistenten werden Unterlagen, Antworten und Fragen an Sprachmodelle übermittelt (Abschnitt 7.1). Das Lernprofil dient nur dazu, dir passende Aufgaben zu stellen; es hat keine Folgen außerhalb der App.
• Spracheingabe und Vorlesen (optional): Sprichst du mit Merlin, wird die Aufnahme zur Umwandlung in Text an einen Anbieter von Spracherkennung übermittelt (Abschnitt 7.1); je nach Browser übernimmt das die eingebaute Spracherkennung des Browsers (bei Chrome: Google). Das Vorlesen erledigt dein Gerät selbst.
• Quiz-Herausforderungen (optional): Startest du eine Herausforderung oder trittst einer bei, sehen die anderen Teilnehmer deinen Namen und dein Ergebnis.
• Nutzungsgrenzen: Wir zählen, wie viele KI-Aufrufe du je Tag und Monat nutzt, um die Grenzen deines Tarifs einzuhalten.

7.6 Studien-Monitor

Anwesenheit, Unterrichtsstunden und Teilnahmequote in einem Lehrgang im Blick behalten. Gespeichert werden deine Unterrichtstermine mit geplanter und tatsächlicher Teilnahme, Fächer, Prüfungstermine, Quotenziele und Referenzwerte (zum Beispiel Angaben des Bildungsträgers), Zugangsdaten für Online-Unterricht (Link, Meeting-ID, Zugangscode), Hausaufgaben mit Dateien sowie deine Dozenten (Name, E-Mail-Adresse, Telefonnummer, wenn du sie erfasst).

• Stundenplan-Import (optional): Lädst du einen Stundenplan hoch, wird die Datei zum Auslesen der Termine an ein Sprachmodell übermittelt (Abschnitt 7.1).
• Google Kalender (optional): Verbindest du deinen Google-Kalender, liest der Studien-Monitor Termine daraus, um sie mit deinem Stundenplan abzugleichen (Google Ireland Limited; Übermittlung an Google LLC in den USA auf Grundlage des EU-US Data Privacy Framework). Die Verbindung kannst du jederzeit trennen.
• Hausaufgaben an MerkWerk.app Task (optional): Auf deinen Wunsch übergibt der Studien-Monitor eine Hausaufgabe samt Dateien über dein MerkWerk.app-Konto an MerkWerk.app Task; dort wird daraus eine Aufgabe und, wenn du OneDrive verbunden hast, eine Ablage in deinem OneDrive (Abschnitt 7.2).

8. Zustimmung zu Datenschutzerklärung und Nutzungsbedingungen

Wenn du der Datenschutzerklärung und den Nutzungsbedingungen zustimmst – auch nach einer Änderung –, speichern wir als Nachweis: dein Konto, den Zeitpunkt, die Fassung des Textes und eine Prüfsumme dieses Textes. Deine IP-Adresse speichern wir dafür bewusst nicht.

Rechtsgrundlage: Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit Art. 7 Abs. 1 DSGVO (Nachweispflicht) sowie Art. 6 Abs. 1 lit. f DSGVO (Nachweis des Vertragsinhalts). Wir bewahren den Nachweis auf, solange dein Konto besteht, und danach bis zum Ablauf von drei Jahren (regelmäßige Verjährungsfrist).

9. Support und Kontakt

Du kannst uns über den Support-Chat auf der Webseite, im Kundenbereich oder per E-Mail an service@merkwerk.app erreichen. Wir verarbeiten dabei deine Nachricht, deine E-Mail-Adresse, falls du sie angibst oder angemeldet bist, deinen Namen und die Angaben, die du uns zu deinem Anliegen mitteilst. E-Mails an service@merkwerk.app werden automatisch als Anfrage in unserem Support-System angelegt.

Schickst du Dateien mit (Bilder, PDF- oder Textdateien), speichern wir sie zusammen mit deiner Anfrage; abrufen können sie nur du und unser Support-Team. Stellst du eine Anfrage im Kundenbereich, senden wir einige technische Angaben mit, die uns bei der Fehlersuche helfen: Browser, Sprache, Zeitzone, Bildschirmgröße und die Seite, von der aus du schreibst. Tritt ein Fehler auf, entscheidest du im Fehlerfenster selbst, ob du uns Bescheid gibst; unabhängig davon protokolliert unser Server die Fehlermeldung und die betroffene Seite ohne Bezug zu deinem Konto.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, wenn deine Anfrage mit einem Vertrag zusammenhängt oder einen solchen anbahnt; sonst Art. 6 Abs. 1 lit. f DSGVO (unser berechtigtes Interesse, Anfragen zu beantworten).

Speicherdauer: drei Jahre nach Abschluss der Anfrage, damit wir bei Rückfragen den Verlauf kennen; danach löschen wir die Anfrage samt Nachrichten und Dateien. Länger bewahren wir eine Anfrage nur im Einzelfall auf, wenn das zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen nötig ist. Sind Inhalte steuer- oder handelsrechtlich aufzubewahren (zum Beispiel zu einer Rechnung), gelten die dafür vorgeschriebenen Fristen.

10. E-Mails

Wir versenden E-Mails über unser E-Mail-Postfach bei der IONOS SE (Anschrift siehe Abschnitt 3) – Anmelde- und Bestätigungscodes, Rechnungen (als PDF im Anhang) und Hinweise zu deinem Abonnement von no-reply@merkwerk.app, Antworten auf Support-Anfragen von service@merkwerk.app sowie Hinweise zu deinem Konto, etwa zu einer geänderten Datenschutzerklärung. IONOS verarbeitet die E-Mails in unserem Auftrag (Art. 28 DSGVO). Wir versenden keinen Newsletter und keine Werbe-E-Mails.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

11. Zahlungen über Stripe

Bezahlte Funktionen rechnen wir über den Zahlungsdienstleister Stripe Payments Europe, Limited, 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, D02 H210, Irland, ab. Die Zahlungsdaten (zum Beispiel Kartennummer oder Bankverbindung) gibst du direkt bei Stripe ein; wir sehen und speichern sie nicht. Von Stripe erhalten wir die Bestätigung der Zahlung, den Betrag und den Stand des Abonnements. Die Rechnung stellen wir mit deinem Namen und deiner E-Mail-Adresse aus deinem Konto aus; eine Anschrift brauchen wir dafür nicht (Kleinbetragsrechnung bis 250 €). Dein Zahlungsmittel änderst du in einem Fenster von Stripe, das wir dafür öffnen.

Löschst du dein Konto während eines laufenden Abonnements, beenden wir das Abonnement sofort und erstatten den nicht genutzten Teil des Monats anteilig. Die Rechnungen bleiben für die gesetzliche Frist erhalten – dann ohne Verbindung zu einem Konto.

Stripe kann Daten auch an verbundene Unternehmen in den USA übermitteln. Stripe ist nach dem EU-US Data Privacy Framework zertifiziert; die EU-Kommission hat für zertifizierte Unternehmen ein angemessenes Datenschutzniveau festgestellt (Art. 45 DSGVO). Stripe ist zum Teil, zum Beispiel bei der Betrugsabwehr und bei gesetzlichen Pflichten, selbst verantwortlich. Mehr dazu: stripe.com/de/privacy.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) und Art. 6 Abs. 1 lit. c DSGVO (steuer- und handelsrechtliche Pflichten).

Speicherdauer: Rechnungen und Buchungsbelege bewahren wir so lange auf, wie es das Steuer- und Handelsrecht verlangt (§ 147 AO, § 257 HGB; für Rechnungen derzeit acht Jahre ab Ende des Kalenderjahres).

12. Push-Benachrichtigungen

Push-Benachrichtigungen gibt es nur, wenn du sie erlaubst – im Browser oder in der App über die Abfrage deines Geräts. Dann legt dein Browser oder Gerät eine Empfängeradresse beim Push-Dienst seines Herstellers an. Je nach Gerät ist das:

• Apple Push Notification service (Apple Inc., USA; in Europa Apple Distribution International Ltd., Irland) – iPhone und iPad, auch Safari,
• Firebase Cloud Messaging (Google Ireland Limited, Irland, und Google LLC, USA) – Android-Geräte und der Browser Chrome,
• der Push-Dienst von Mozilla (Firefox) oder Microsoft (Edge).

Wir speichern zu deinem Konto nur, was zum Zustellen nötig ist: die Empfängeradresse, die Art des Geräts, eine kurze Bezeichnung (zum Beispiel „Chrome unter Windows“) und Zeitpunkte. Für den Versand übergeben wir dem Push-Dienst den Titel, einen kurzen Text und den Link der Benachrichtigung. Im Browser ist dieser Inhalt Ende-zu-Ende verschlüsselt, der Push-Dienst kann ihn nicht lesen. Bei Apps auf iPhone und Android ist die Übertragung verschlüsselt, der Inhalt aber für Apple bzw. Google technisch lesbar – wir halten ihn deshalb kurz und schicken keine Dokumentinhalte mit. Die Push-Dienste können Daten in den USA verarbeiten; Apple, Google, Microsoft und Mozilla sind nach dem EU-US Data Privacy Framework zertifiziert (Art. 45 DSGVO). Analyse- oder Werbedienste dieser Anbieter nutzen wir dafür nicht.

Rechtsgrundlage: deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG). Du kannst sie jederzeit widerrufen – in den Einstellungen deines Browsers oder Geräts oder in deinen Benachrichtigungs-Einstellungen bei uns.

Speicherdauer: Die Empfängeradresse löschen wir, wenn du Push abschaltest, dich abmeldest oder dein Konto löschst, wenn der Push-Dienst sie als ungültig meldet und spätestens nach 180 Tagen ohne Lebenszeichen deines Geräts. Den Inhalt einer Benachrichtigung löschen wir spätestens drei Tage nach dem Versand, den Versandnachweis nach 30 Tagen.

13. Werbung (Google AdSense, Google AdMob)

Auf öffentlichen Inhaltsseiten – zum Beispiel der Startseite, den Funktionsseiten und den Hilfe- und Ratgeberartikeln – zeigen wir Anzeigen von Google AdSense, einem Dienst der Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland.

In den Apps können wir ebenfalls Anzeigen zeigen, wenn du keine Premium-Version nutzt – im Browser über Google AdSense, in Apps aus dem App Store über Google AdMob (ebenfalls Google Ireland Limited). Ob eine App Werbung enthält, siehst du in der App selbst; die Premium-Version ist immer werbefrei. Anzeigen erscheinen dort nur neben Inhalten, nicht in Eingabefenstern. Deine Inhalte in den Apps (zum Beispiel Aufgaben, Dokumente oder Verträge) geben wir dabei nicht an Google weiter.

Keine Werbung gibt es im Kundenbereich, auf Anmelde- und Bestätigungsseiten und auf Rechtstexten (Impressum, Datenschutzerklärung, Nutzungsbedingungen, Widerrufsbelehrung).

Einwilligung: Bevor Werbe-Cookies gesetzt werden, fragen wir dich mit dem Einwilligungs-Dialog von Google, einer von Google zertifizierten Plattform zur Verwaltung von Einwilligungen. Du kannst dort alles annehmen, alles ablehnen oder einzelne Zwecke und Anbieter auswählen. Ablehnen ist genauso einfach wie Annehmen.

Mit Einwilligung setzen Google und seine Werbepartner Cookies und ähnliche Techniken ein, um Anzeigen auszuliefern, ihre Wirkung zu messen und – wenn du das erlaubst – Anzeigen nach deinen Interessen auszuwählen. Dabei verarbeitet Google unter anderem deine IP-Adresse, Geräte- und Browserangaben, die aufgerufene Seite und Kennungen aus Cookies. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG.

Ohne Einwilligung werden keine Cookies und keine Speicher in deinem Browser zu Werbezwecken genutzt. Google kann dann eingeschränkte Anzeigen ohne Profilbildung zeigen. Um den Einwilligungs-Dialog anzuzeigen und Anzeigen auszuliefern, erhält Google technisch bedingt deine IP-Adresse und Browserangaben, auch zur Abwehr von Betrug. Rechtsgrundlage dafür ist unser berechtigtes Interesse, unser kostenloses Informationsangebot durch Werbung zu finanzieren (Art. 6 Abs. 1 lit. f DSGVO).

Übermittlung in die USA: Google kann Daten an die Google LLC in den USA übermitteln. Google ist nach dem EU-US Data Privacy Framework zertifiziert (Art. 45 DSGVO).

Apps auf iPhone und iPad: Bevor eine App aus dem App Store Werbung mit einer gerätebezogenen Werbe-Kennung ausliefert, fragt dich dein Gerät über die Apple-Abfrage „App-Tracking-Transparenz“, ob du das erlaubst. Lehnst du ab, wird die Werbe-Kennung nicht genutzt. Du kannst die Erlaubnis jederzeit in den Einstellungen deines Geräts unter „Datenschutz & Sicherheit“ → „Tracking“ ändern.

Widerruf: Über den Link „Cookie-Einstellungen“ unten auf jeder Seite – in den Apps in den Einstellungen – öffnest du den Einwilligungs-Dialog erneut und kannst deine Auswahl jederzeit mit Wirkung für die Zukunft ändern oder widerrufen. Personalisierte Werbung kannst du zusätzlich unter adssettings.google.com abschalten.

Weitere Informationen: Datenschutzerklärung von Google und wie Google Daten von Websites nutzt, auf denen Google-Dienste eingebunden sind.

14. Cookies und Speicher im Browser

Cookies sind kleine Dateien, die dein Browser speichert. Ähnlich funktioniert der lokale Speicher des Browsers. Wir nutzen beides nur, soweit es für die Funktion nötig ist – mit Ausnahme der Werbe-Cookies, für die wir deine Einwilligung einholen (Abschnitt 13).

Was	Wofür	Rechtsgrundlage
Anmeldesitzung auf auth.merkwerk.app	Damit du angemeldet bleibst und dich nicht in jeder App neu anmelden musst	§ 25 Abs. 2 Nr. 2 TDDDG (unbedingt erforderlich)
Anmelde-Ausweis (Token) im Browser-Speicher	Damit der Kundenbereich weiß, dass du angemeldet bist	§ 25 Abs. 2 Nr. 2 TDDDG
Deine Auswahl im Einwilligungs-Dialog	Damit wir dich nicht bei jedem Seitenaufruf neu fragen	§ 25 Abs. 2 Nr. 2 TDDDG
Ansichts-Einstellungen (z. B. gewählter Reiter)	Damit die Oberfläche so bleibt, wie du sie eingestellt hast	§ 25 Abs. 2 Nr. 2 TDDDG
Cookies von Stripe – nur im Bezahlfenster	Sichere Zahlung und Betrugsabwehr; Stripe wird erst geladen, wenn du ein Bezahlfenster öffnest	§ 25 Abs. 2 Nr. 2 TDDDG
Werbe-Cookies von Google und Partnern	Anzeigen ausliefern, messen, ggf. personalisieren	Einwilligung, § 25 Abs. 1 TDDDG

Die Verarbeitung der so gespeicherten Daten beruht auf Art. 6 Abs. 1 lit. b DSGVO (Anmeldung) bzw. Art. 6 Abs. 1 lit. f DSGVO (Einstellungen) und für Werbung auf deiner Einwilligung.

15. Sicherheit

Alle Verbindungen sind per TLS verschlüsselt. Die Datenbank prüft bei jedem Zugriff selbst, welche Daten das angemeldete Konto sehen darf. Konten unseres Teams sind mit Zwei-Faktor-Anmeldung geschützt. Sicherungskopien sind verschlüsselt, und ihre Wiederherstellung wird regelmäßig automatisch geprüft. Der Zugang zum Server ist nur mit kryptografischen Schlüsseln möglich.

16. Empfänger im Überblick

• IONOS SE (Deutschland) – Server, Sicherungen, E-Mail; Auftragsverarbeiter
• Google, OpenAI, Anthropic (USA) – Sprachmodelle für KI-Funktionen der Apps (Abschnitt 7.1)
• Google – Anmeldung mit Google-Konto in den Apps, Gmail (FIXlight), Google Kalender (Studien-Monitor) und Spracherkennung im Browser Chrome (Merlin), nur wenn du das nutzt
• Microsoft – OneDrive in MerkWerk.app Task und MyDocs (auch für Hausaufgaben aus dem Studien-Monitor), nur wenn du es verbindest
• Enable Banking Oy (Finnland) – Kontoabruf in FIXlight, nur mit deiner Freigabe bei der Bank
• Dein E-Mail-Anbieter – Postfach-Abruf und Versand in MyDocs und FIXlight, nur wenn du ein Postfach verbindest
• CrowdSec SAS (Frankreich) – IP-Adresse, Zeitpunkt und Art eines erkannten Angriffs für die gemeinsame Sperrliste (Abschnitt 4)
• Stripe Payments Europe, Limited (Irland) – Zahlungen; bei Bezahlfunktionen
• Google Ireland Limited (Irland) – Werbung auf öffentlichen Inhaltsseiten und gegebenenfalls in den Apps (nicht bei Premium); Cookies nur mit Einwilligung
• Push-Dienst deines Browser- oder Geräteherstellers (Apple, Google, Mozilla oder Microsoft) – nur, wenn du Push-Benachrichtigungen erlaubst (Abschnitt 12)

Darüber hinaus geben wir deine Daten nur weiter, wenn wir gesetzlich dazu verpflichtet sind, etwa an Behörden. Wir verkaufen keine Daten.

17. Speicherdauer im Überblick

Daten	Wie lange
Konto, Profil, Einstellungen, Inhalte	bis zur Löschung des Kontos
Inhalte in den Apps (Aufgaben, Dokumente, Finanzdaten)	bis du sie oder dein App-Konto löschst
MyDocs: als „ignorieren“ markierte Mails	nach der eingestellten Frist, Standard 90 Tage
Anmeldeprotokolle	30 Tage
Anfragen der Apps an dein Konto, einzelne Nutzungsereignisse	30 Tage
Tagessummen der App-Nutzung	12 Monate
Zugriffsprotokolle des Webservers (mit IP-Adresse)	7 Tage
Erkannte Angriffe (gekürzte IP-Adresse)	7 Tage
Betriebsprotokolle (ohne IP-Adresse)	14 Tage
Protokoll der Änderungen durch unser Team (wer hat wann was geändert)	12 Monate
Support-Anfragen	3 Jahre nach Abschluss
Nachweis deiner Zustimmung zu Rechtstexten	Dauer des Kontos plus 3 Jahre
Löschauftrag an eine App: deine E-Mail-Adressen / Nachweis der Löschung (ohne Adressen)	bis die App gelöscht hat / 3 Jahre
Rechnungen und Buchungsbelege	gesetzliche Frist (derzeit 8 Jahre)
Push: Empfängeradresse deines Geräts	bis zum Abschalten, Abmelden oder Löschen des Kontos, spätestens 180 Tage ohne Lebenszeichen
Push: Inhalt einer Benachrichtigung / Versandnachweis	höchstens 3 Tage nach dem Versand / 30 Tage
Sicherungskopien	tägliche Sicherungen 30 Tage, monatliche Sicherungen 12 Monate

Gelöschte Daten können noch bis zum Ablauf dieser Fristen in Sicherungskopien enthalten sein. Die Sicherungen dienen nur der Wiederherstellung nach einem Ausfall; wird eine Sicherung zurückgespielt, löschen wir darin enthaltene, bereits gelöschte Daten erneut.

18. Deine Rechte

Du hast das Recht auf

• Auskunft über deine bei uns gespeicherten Daten (Art. 15 DSGVO),
• Berichtigung unrichtiger Daten (Art. 16 DSGVO),
• Löschung (Art. 17 DSGVO),
• Einschränkung der Verarbeitung (Art. 18 DSGVO),
• Datenübertragbarkeit (Art. 20 DSGVO) und
• Widerruf einer Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO).

Widerspruchsrecht: Verarbeiten wir Daten auf Grundlage unseres berechtigten Interesses (Art. 6 Abs. 1 lit. f DSGVO), kannst du dem aus Gründen, die sich aus deiner besonderen Situation ergeben, jederzeit widersprechen (Art. 21 DSGVO).

Schreib uns dafür einfach an service@merkwerk.app.

Beschwerderecht: Du kannst dich bei einer Datenschutz-Aufsichtsbehörde beschweren. Für uns zuständig ist die Landesbeauftragte für den Datenschutz Niedersachsen, Prinzenstraße 5, 30159 Hannover.

19. Pflicht zur Angabe von Daten, keine automatisierten Entscheidungen

Für ein Konto brauchen wir deine E-Mail-Adresse; ohne sie können wir kein Konto anlegen. Alle anderen Angaben sind freiwillig, soweit sie nicht für eine bestimmte Funktion nötig sind (zum Beispiel Angaben in einer Support-Anfrage). Wir treffen keine Entscheidungen, die ausschließlich auf einer automatisierten Verarbeitung beruhen und dir gegenüber rechtliche Wirkung entfalten (Art. 22 DSGVO).

20. Änderungen

Wir passen diese Datenschutzerklärung an, wenn sich unser Angebot oder die Rechtslage ändert. Bei wesentlichen Änderungen bitten wir dich beim nächsten Besuch des Kundenbereichs, die neue Fassung zur Kenntnis zu nehmen.