Datenschutzerklärung

Stand: 10.09.2026

Im Hinblick auf verwendete Begriffe wie „personenbezogene Daten”, „Verarbeitung”, „Verantwortlicher”, „Auftragsverarbeiter” oder „Einwilligung” verweisen wir auf die Begriffsbestimmungen in Art. 4 DSGVO.

Teil A – Allgemeiner Teil

Gilt für beide Produkte: die mobile App „fintogo” und den Marktplatz-Dienst „fintogo – Rechnungswesen”

A.1 Verantwortlicher, Kontaktdaten

A.2 Zwei Produkte, Aufbau dieser Datenschutzerklärung, Vertriebsländer

Der Anbieter betreibt zwei eigenständige Angebote: die mobile App „fintogo” für private Einzelnutzer:innen (B2C), beziehbar über den Apple App Store und – sobald verfügbar – Google Play in Österreich, Deutschland und der Schweiz (geregelt in Teil B), und den webbasierten Marktplatz-Dienst „fintogo – Rechnungswesen”, vertrieben über den Marktplatz Lernapps an Schulen, Bildungseinrichtungen und Privatpersonen in Österreich (geregelt in Teil C). Beide Produkte haben eigenständige Datenflüsse, Zwecke und teils unterschiedliche Vertragspartner-Konstellationen (Endkund:in vs. Schule/Institution); die Nutzung des einen Produkts begründet keine Datenverarbeitung im Rahmen des anderen. Die für die App geltenden Regelungen in Teil B ersetzen nicht die für den Marktplatz-Dienst weiterhin eigenständig gültige Datenschutzerklärung (Teil C), sondern stehen gleichrangig daneben.

Maßgeblich für die Anwendbarkeit von Teil B oder Teil C ist der jeweilige Vertriebskanal: App-Store-Download/In-App-Nutzung → Teil B; Nutzung des webbasierten Marktplatz-Dienstes → Teil C. Bei Widerspruch zwischen Teil A und dem einschlägigen besonderen Teil geht der besondere Teil vor. Für institutionelle Kund:innen des Marktplatz-Dienstes gilt ergänzend der Auftragsverarbeitungsvertrag (AVV) gemäß Anlage zu Teil C der AGB.

Diese Datenschutzerklärung gilt nicht für die Webseite www.fintogo.ai, soweit sie nicht als Zugangspunkt zu einem der beiden Produkte genutzt wird; hierfür gilt die separate Website-Datenschutzerklärung.

Die App zeigt derzeit keine Werbung und setzt kein Werbe-, Retargeting-, Analytics- oder Crash-Reporting-System ein. Über künftige Änderungen und gegebenenfalls erforderliche Einwilligungen informieren wir vor deren Einführung (siehe A.10).

A.3 Maßgebliche Rechtsgrundlagen

Nach Maßgabe des Art. 13 DSGVO teilen wir Ihnen in Teil B und Teil C die konkreten Rechtsgrundlagen unserer Datenverarbeitungen mit. Sofern dort keine abweichende Angabe erfolgt, gilt allgemein: Rechtsgrundlage für die Einholung von Einwilligungen ist Art. 6 Abs. 1 lit. a i. V. m. Art. 7 DSGVO; Rechtsgrundlage für die Verarbeitung zur Erfüllung unserer Leistungen und Durchführung vertraglicher Maßnahmen sowie zur Beantwortung von Anfragen ist Art. 6 Abs. 1 lit. b DSGVO; Rechtsgrundlage für die Erfüllung rechtlicher Verpflichtungen ist Art. 6 Abs. 1 lit. c DSGVO; Rechtsgrundlage für die Wahrung berechtigter Interessen ist Art. 6 Abs. 1 lit. f DSGVO.

A.4 Zusammenarbeit mit Auftragsverarbeitern und Dritten

Sofern wir im Rahmen unserer Verarbeitung Daten gegenüber anderen Personen und Unternehmen (Auftragsverarbeitern oder Dritten) offenbaren, an diese übermitteln oder ihnen sonst Zugriff gewähren, erfolgt dies nur auf Grundlage einer gesetzlichen Erlaubnis (z. B. Vertragserfüllung nach Art. 6 Abs. 1 lit. b DSGVO), einer Einwilligung, einer rechtlichen Verpflichtung oder unserer berechtigten Interessen. Mit Auftragsverarbeitern schließen wir Verträge nach Art. 28 DSGVO ab, soweit dies nach Art der Verarbeitung erforderlich ist. Die konkret eingesetzten Kategorien von Empfängern für jedes Produkt sind in Teil B (B.4) bzw. Teil C (C.4) aufgeführt.

A.5 Übermittlungen in Drittländer

Sofern personenbezogene Daten außerhalb der EU bzw. des EWR verarbeitet werden, erfolgt dies unter Beachtung der Art. 44 ff. DSGVO. Hierfür stützen wir uns – abhängig vom jeweiligen Empfänger – insbesondere auf einen Angemessenheitsbeschluss der Europäischen Kommission, einschließlich des EU-US Data Privacy Framework, oder auf EU-Standardvertragsklauseln gemäß Art. 46 DSGVO, gegebenenfalls ergänzt um zusätzliche Schutzmaßnahmen. Die produktspezifischen Drittlandübermittlungen sind in Teil B.4 und Teil C.4 beschrieben.

A.6 Datensicherheit

Wir treffen nach Maßgabe des Art. 32 DSGVO unter Berücksichtigung des Stands der Technik, der Implementierungskosten sowie der Art, des Umfangs und der Risiken der Verarbeitung geeignete technische und organisatorische Maßnahmen, insbesondere: Verschlüsselung der Datenübertragung (TLS/SSL); gehashte Speicherung von Passwörtern; Zugriffs- und Rollenkonzepte; regelmäßige Backups; Protokollierung sicherheitsrelevanter Ereignisse; regelmäßige Sicherheitsupdates. Der Schutz personenbezogener Daten wird bereits bei der Entwicklung bzw. Auswahl von Hardware, Software und Verfahren berücksichtigt (Art. 25 DSGVO). Mit Auftragsverarbeitern werden, soweit erforderlich, Verträge nach Art. 28 DSGVO abgeschlossen.

A.7 Speicherdauer – allgemeine Grundsätze

Personenbezogene Daten werden nur so lange gespeichert, wie dies zur Erfüllung der jeweiligen Zwecke erforderlich ist oder gesetzliche Aufbewahrungsfristen bestehen (in Österreich insbesondere § 132 Abs. 1 BAO: grundsätzlich 7 Jahre für Buchhaltungsunterlagen, Belege, Rechnungen; 22 Jahre bei Grundstücksbezug; 10 Jahre bei elektronisch erbrachten Leistungen im Rahmen des Mini-One-Stop-Shop/MOSS). Danach werden die Daten gelöscht oder anonymisiert. Anonymisierte bzw. aggregierte Daten ohne Personenbezug unterliegen keiner Speicherbegrenzung nach Art. 5 Abs. 1 lit. e DSGVO. Produktspezifische Speicherfristen für personenbezogene Daten sind in Teil B (B.5) bzw. Teil C (C.6) aufgeführt.

A.8 Betroffenenrechte

Nutzer:innen beider Produkte haben nach Maßgabe der DSGVO folgende Rechte:

• Auskunft über die bei uns gespeicherten Daten (Art. 15 DSGVO)
• Berichtigung unrichtiger Daten (Art. 16 DSGVO)
• Löschung (Art. 17 DSGVO)
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruch gegen die Verarbeitung, insbesondere gegen auf berechtigtem Interesse beruhende Verarbeitungen (Art. 21 DSGVO)
• Widerruf einer erteilten Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO)
• Beschwerde bei der zuständigen Aufsichtsbehörde (Art. 77 DSGVO, siehe A.11)

Zur Ausübung dieser Rechte genügt eine formlose Mitteilung an die in A.1 genannten Kontaktdaten. Bei Minderjährigen können Betroffenenrechte auch durch die Erziehungsberechtigten ausgeübt werden, soweit diese vertretungsberechtigt sind; mündige Minderjährige können ihre Rechte im Rahmen ihrer Geschäftsfähigkeit auch selbst ausüben. Bei institutioneller Nutzung im Rahmen von Teil C richten sich Betroffenenanfragen von Schüler:innen primär an die jeweilige Schule/Institution als datenschutzrechtlich Verantwortliche; wir unterstützen die Institution hierbei gemäß dem AVV.

A.9 Cookies und Tracking auf Website/Marktplatz-Plattform

Auf der Webseite www.fintogo.ai und der webbasierten Plattform des Marktplatz-Dienstes (Teil C) werden technisch notwendige Cookies zur Gewährleistung der Funktionalität eingesetzt. Darüber hinausgehende Cookies (z. B. zu Analyse- oder Marketingzwecken) werden nur mit vorheriger Einwilligung (Opt-in) gemäß Art. 6 Abs. 1 lit. a DSGVO i. V. m. den jeweils anwendbaren nationalen Vorschriften (in Österreich § 165 Abs. 3 TKG) eingesetzt und können jederzeit über die Browser- bzw. Consent-Einstellungen widerrufen werden. Für die native mobile App gilt die produktspezifische Regelung in B.7.

A.10 Änderungen dieser Datenschutzerklärung

Wir behalten uns vor, diese Datenschutzerklärung anzupassen, insbesondere bei Änderungen der Rechtslage, neuen Funktionen oder geänderten Datenverarbeitungen – etwa bei künftiger Einführung von Werbung, Analytics oder zusätzlichen Drittanbietern. Eine Änderung eines besonderen Teils (B oder C) berührt den jeweils anderen besonderen Teil nicht. Bei wesentlichen Änderungen informieren wir in geeigneter Form (z. B. In-App-Hinweis, Plattform-Hinweis oder E-Mail) vor Inkrafttreten. Die jeweils aktuelle Fassung ist in der App bzw. auf der Plattform abrufbar.

A.11 Beschwerderecht bei der Aufsichtsbehörde

Nutzer:innen haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren, insbesondere in dem Staat ihres gewöhnlichen Aufenthalts, ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes. In Österreich ist dies:

Nutzer:innen mit gewöhnlichem Aufenthalt in Deutschland können sich zusätzlich an die jeweils zuständige Landesdatenschutzbehörde wenden; Nutzer:innen mit gewöhnlichem Aufenthalt in der Schweiz können sich an den Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) wenden, soweit dessen Zuständigkeit im Einzelfall gegeben ist.

Teil B – Besondere Bestimmungen für die mobile App „fintogo”

Gilt ausschließlich für Bezug und Nutzung der über den Apple App Store bzw. – sobald verfügbar – Google Play bereitgestellten App durch private Einzelnutzer:innen (B2C) in Österreich, Deutschland und der Schweiz. Ergänzt Teil A; bei Widerspruch geht Teil B vor.

B.1 Anwendungsbereich

Teil B gilt für sämtliche Datenverarbeitungen im Zusammenhang mit der Nutzung der App gemäß A.2 (Registrierung/Anmeldung, Lerninhalte, KI-Lerncoach FINN, eigene Lernunterlagen-Generierung, KI-Podcasts, Community-Funktionen, Moderation, Pro-Abo, technische Aktualisierungen). Er gilt nicht für den Marktplatz-Dienst (dafür Teil C). Version 1.0 der App verarbeitet für alle Nutzer:innen unabhängig vom Alter dieselben Datenkategorien zu denselben Zwecken; eine nach Alter unterschiedliche Datenverarbeitung ist – abgesehen von der Alters- und Zustimmungsprüfung selbst (B.6) – nicht vorgesehen.

B.2 Verarbeitete Datenkategorien und Zwecke

B.2.1 Registrierung, Anmeldeverfahren und Nutzerkonto

Für die Nutzung der App ist ein Nutzerkonto erforderlich. Die Registrierung bzw. Anmeldung kann wahlweise über drei Wege erfolgen:

• (a) Klassische Registrierung mit E-Mail-Adresse und selbst gewähltem Passwort (verschlüsselt/gehasht gespeichert). In diesem Fall wählen Nutzer:innen zusätzlich einen frei wählbaren Anzeigenamen/Nickname für die Community-Funktionen (B.2.5); ein bürgerlicher Name wird über diesen Weg nicht zwingend erhoben.
• (b) „Sign in with Apple”. Die Identität wird über Apple bestätigt; Apple kann uns dabei – abhängig von der Nutzerentscheidung im Apple-Dialog – Name und E-Mail-Adresse (ggf. eine von Apple bereitgestellte private Weiterleitungs-E-Mail-Adresse) übermitteln.
• (c) Google Sign-In. Die Identität wird über Google bestätigt; hierbei werden Google-ID, Name und E-Mail-Adresse verarbeitet.

Für die Community-Funktionen (B.2.5) gilt: Bei Registrierung über Sign in with Apple/Google Sign-In wird der von Apple/Google übermittelte Name zunächst als Anzeigename in das Konto übernommen und ist in dieser Form in den Community-Funktionen (Duelle, Rangliste, geteilte Lernunterlagen, Bewertungen) sichtbar; Nutzer:innen können diesen Anzeigenamen jederzeit nachträglich in den Konto-Einstellungen durch einen frei gewählten Anzeigenamen ersetzen. Bis zu einer solchen Änderung bleibt der übernommene Name für andere Nutzer:innen sichtbar – ein entsprechender Hinweis hierauf im Registrierungsprozess ist empfehlenswert und Bestandteil der allgemeinen Transparenzpflicht nach Art. 13 DSGVO.

Daneben verarbeiten wir: Geburtsdatum bzw. Altersangabe – erhoben zur Prüfung des Mindestalters von 14 Jahren (B.2.2 der AGB) und zur Steuerung altersabhängiger Zustimmungserfordernisse, insbesondere bei kostenpflichtigen Pro-Abos Minderjähriger sowie bei der zusätzlichen Bestätigung für 14- und 15-Jährige (siehe B.6); ggf. Angaben zur Zustimmung der Erziehungsberechtigten, sofern diese im Registrierungs- oder Kaufprozess eingeholt wird; eine interne, numerische Nutzer-ID (users.id), die u. a. zur internen Kontenverwaltung und zur Kommunikation mit dem Abo-Verwaltungsdienstleister (B.2.6a) verwendet wird; Free/Pro-Status des Kontos.

Zweck: Erstellung und Verwaltung des Nutzerkontos, Identitätsbestätigung bei Anmeldung über Drittanbieter, Bereitstellung der App-Funktionen entsprechend dem gebuchten Tier, Alters- und Zustimmungsprüfung.

B.2.2 Nutzung des KI-Lerncoachs FINN und KI-Verarbeitungskette

Bei der Nutzung von FINN verarbeiten wir eingegebene Fragen und Nachrichten, den für die jeweilige Antwort erforderlichen Gesprächskontext, die generierten Antworten sowie Nutzungsmetadaten zur Kontingentsteuerung.

Bei Nutzung von FINN und anderer KI-gestützter Funktionen werden die für die jeweilige Funktion erforderlichen Inhaltsdaten über unsere Server an OpenRouter als technische Vermittlungsplattform und an darüber angebundene KI-Modelle von Google übermittelt. Dabei übermitteln wir grundsätzlich keine unmittelbar zur Identifikation erforderlichen Kontodaten wie Name oder E-Mail-Adresse, sofern diese für die jeweilige Funktion nicht erforderlich sind.

Die Verarbeitung erfolgt zur Bereitstellung der jeweiligen KI-Funktion auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO. Für Übermittlungen in die USA werden die von OpenRouter bereitgestellten Standardvertragsklauseln gemäß Art. 46 DSGVO eingesetzt.

Nutzer:innen wird empfohlen, im Chat mit FINN keine besonders schützenswerten Daten (z. B. Gesundheitsdaten, politische Meinung, religiöse Überzeugung) einzugeben, soweit dies für den Lernzweck nicht erforderlich ist (entspricht B.7.2 der AGB).

B.2.3 Eigene Lernunterlagen-Generierung (Zusammenfassungen, Karteikarten, Quiz)

Bei der Generierung eigener Lernunterlagen verarbeiten wir die eingegebenen bzw. hochgeladenen Ausgangsinhalte, die generierten Lernunterlagen selbst sowie Nutzungsmetadaten (Anzahl/Monat, Umfang je Unterlage zur Kontingentsteuerung).

Ausgangsinhalte können insbesondere eingegebener Text sowie hochgeladene PDF-Dokumente und Bilder oder Fotos sein. Diese Inhalte werden im Rahmen der in B.2.2 beschriebenen KI-Verarbeitung übermittelt. Bei Uploads kann auch der ursprüngliche Dateiname verarbeitet werden; Nutzer:innen sollten daher vermeidbare personenbezogene Angaben in Dateinamen entfernen.

Für hochgeladene fremde, urheberrechtlich geschützte Inhalte liegt die Verantwortung für die Rechtekonformität bei der einstellenden Person; datenschutzrechtlich verarbeiten wir hochgeladene Inhalte nur zur Erbringung der gewünschten Funktion.

Die Speicherdauer der hochgeladenen Original-PDFs/-Bilder auf dem FTG-Backend richtet sich einheitlich nach der Kontolaufzeit (siehe B.5); die für OpenRouter/Google in B.2.2 dargestellte Rechtsgrundlage und Drittlandtransfer-Logik gilt für Dokument-/Bildinhalte entsprechend.

B.2.4 KI-Podcasts (FINN & FINNY) und eigene Audioaufnahmen

Bei der Generierung von KI-Podcast-Folgen können hochgeladene Dateien oder ausgewählte Lerninhalte zur Erstellung eines Dialog-Skripts im Rahmen der in B.2.2/B.2.3 beschriebenen Verarbeitung verwendet werden. Für die Sprachausgabe wird Google Text-to-Speech eingesetzt; verarbeitet wird der generierte Dialogtext. Eigene Audioaufnahmen werden nicht an den KI- oder Sprachausgabeanbieter übermittelt. Zudem verarbeiten wir Nutzungsmetadaten zur Kontingentsteuerung.

Für die Drittlandübermittlung an Google Text-to-Speech (USA) gilt dieselbe Rechtsgrundlage wie in B.2.2 dargestellt (Art. 6 Abs. 1 lit. b DSGVO, Standardvertragsklauseln als Transfermechanismus).

Zusätzlich zu KI-generierten Podcast-Folgen können Nutzer:innen eigene Audioaufnahmen erstellen. Diese werden nach aktuellem Stand ausschließlich lokal auf dem Endgerät verarbeitet und können dort gelöscht werden.

B.2.5 Community-Funktionen (Duelle, Teilen/Speichern/Bewerten von Lernunterlagen, Rangliste)

Bei Duellen verarbeiten wir Anzeigename bzw. den nach B.2.1 im Konto hinterlegten Namen, aktuellen Punktestand und Duell-Ergebnis gegenüber der/dem jeweiligen Gegner:in (auch bei zufällig zugelosten Gegner:innen). Bei geteilten Lernunterlagen verarbeiten wir den geteilten Inhalt sowie den Namen/Anzeigenamen der teilenden Person, sichtbar für andere Nutzer:innen, die die Unterlage einsehen, speichern oder bewerten. Bei Bewertungen verarbeiten wir die abgegebene Bewertung, ggf. verknüpft mit dem Namen/Anzeigenamen der bewertenden Person. Bei der Rangliste verarbeiten wir Name/Anzeigename und Gesamtpunktestand, sichtbar für alle Nutzer:innen.

Diese Daten sind im Rahmen der jeweiligen Funktion für andere Nutzer:innen der App einsehbar; eine Weitergabe außerhalb der App erfolgt nicht. Version 1.0 der App bietet keine Direktnachrichtenfunktion zwischen Nutzer:innen; die Interaktion beschränkt sich auf die vorstehend genannten strukturierten Funktionen.

Die Mengenlimits für Teilen und Speichern im Free-Tier wirken sich nur auf die Nutzungsmenge, nicht auf den Umfang der sichtbaren Daten aus – Duelle, Bewertungen und Rangliste sind in Free und Pro identisch in der Datenverarbeitung.

B.2.5a Automatisierte Inhaltsprüfung, Meldungen, Blockierungen, Sanktionen

Community-Inhalte werden automatisiert anhand einer Wortliste und mithilfe der in B.2.2 beschriebenen KI-Verarbeitung auf mögliche Verstöße gegen die Nutzungsregeln geprüft. Die Prüfung kann bei der Freigabe oder Meldung von Community-Inhalten erfolgen.

Verarbeitete Daten bei Meldungen: meldende Person, gemeldeter Inhalt bzw. gemeldetes Nutzerprofil, Grund, optionale Freitextbeschreibung (bis 500 Zeichen), gemeldete Person, Bearbeitungsstatus, Zeitpunkt. Meldungen bleiben auch dann gespeichert, wenn der gemeldete Inhalt entfernt oder verborgen wird, um den Vorgang nachvollziehbar zu halten. Zum Schutz vor Missbrauch der Meldefunktion sind Meldungen auf zehn pro Konto und Tag begrenzt; wiederholt unbegründete Meldungen lösen keine automatische Maßnahme gegen die gemeldete Person aus.

Verarbeitete Daten bei Blockierungen: wer wen blockiert hat, Zeitpunkt. Eine Blockierung wirkt beidseitig und löst eine bestehende Freundschaftsverbindung sowie laufende Duelle zwischen den betroffenen Konten auf.

Moderationsprotokoll: Jede automatisierte oder manuelle Moderationsentscheidung wird mit Zeitpunkt, Anlass, Begründung und betroffenem Inhalt protokolliert (moderation_log). Am Konto werden zusätzlich die Zahl bestätigter Verstöße sowie eine etwaige Einschränkung der Möglichkeit, Inhalte zu teilen (befristet bis zu einem bestimmten Datum oder dauerhaft), gespeichert.

Automatisierte Folgen (Sanktionsleiter): Wird ein Verstoß festgestellt, wird der betreffende Inhalt aus der Community entfernt; er wird dabei verborgen, nicht gelöscht, und bleibt in der eigenen Bibliothek der erstellenden Person erhalten. Bei wiederholten bestätigten Verstößen wird ausschließlich die Möglichkeit, Inhalte mit der Community zu teilen, automatisiert eingeschränkt: erster Verstoß – Verwarnung; zweiter Verstoß – Sperre des Teilens für sieben Tage; dritter Verstoß – dauerhafte Sperre des Teilens. Konto, Kurse und eigene Lernbibliothek bleiben davon unberührt und weiterhin nutzbar.

Die automatisierte Entfernung von Inhalten und die Einschränkung der Teilen-Funktion können ohne vorherige menschliche Prüfung erfolgen. Betroffene Personen werden über die Maßnahme und ihre Begründung informiert und können unter der in Teil A.1 genannten Kontaktadresse widersprechen. Der Widerspruch wird von einer natürlichen Person überprüft.

Wird ein Nutzerprofil gemeldet, kann zusätzlich der im Konto hinterlegte Name (siehe B.2.1) zur Unterstützung der Vorprüfung verarbeitet werden. Die abschließende Entscheidung über Maßnahmen gegenüber einem gemeldeten Profil trifft der Anbieter, nicht allein das KI-System.

B.2.6 Zahlungsabwicklung Pro-Abo (Apple/Google)

Pro-Abos werden ausschließlich über die In-App-Kaufsysteme von Apple bzw. – sobald verfügbar – Google abgeschlossen und abgerechnet. Zahlungsdaten (z. B. Kreditkarten- oder Bankdaten) werden ausschließlich von Apple bzw. Google verarbeitet; wir erhalten diese nicht. Apple und Google agieren hierbei als eigenständige Verantwortliche, nicht als unsere Auftragsverarbeiter; für Rückerstattungs-/Widerrufsanfragen zu einem konkreten Kauf sind primär die Store-eigenen Prozesse zuständig (siehe B.4.5, B.6.3 der AGB). Für die technische Verwaltung des Abo-Status siehe B.2.6a.

B.2.6a Technischer Abo-Verwaltungsdienstleister (RevenueCat)

Zur technischen Verwaltung von In-App-Abonnements setzen wir RevenueCat ein. Dabei werden eine interne Nutzerkennung, technische Geräteinformationen, das Land, Kauf- und Transaktionsinformationen sowie der Abo-Status verarbeitet. Name, E-Mail-Adresse und Werbe-ID werden von FTG nicht aktiv an RevenueCat übermittelt.

RevenueCat, Inc. (USA) verarbeitet diese Daten als Auftragsverarbeiter gemäß Art. 28 DSGVO. Die Drittlandübermittlung erfolgt auf Grundlage der von RevenueCat bereitgestellten Standardvertragsklauseln.

B.2.7 Analytics, Crash-Reporting und Werbetracking

Die App setzt derzeit keine Analyse-, Crash-Reporting-, Werbe- oder Retargeting-Dienste ein. Die Werbekennung wird nicht verwendet und es findet kein produkt- oder websiteübergreifendes Werbetracking statt. RevenueCat verarbeitet ausschließlich kauf- und abobezogene Daten.

Sollten künftig Analyse-, Crash-Reporting-, Werbe- oder Retargeting-Dienste eingesetzt werden, werden diese Datenschutzerklärung und gegebenenfalls erforderliche Einwilligungen vor deren Einführung angepasst.

B.3 Rechtsgrundlagen je Verarbeitungszweck

B.4 Empfänger, Auftragsverarbeiter, Drittlandtransfer

• OpenRouter, Inc. (USA) und darüber angebundenes Google Gemini 2.5 Flash: für FINN, Lernunterlagen-Generierung, Podcast-Skripterstellung und die automatisierte Inhaltsprüfung/Moderation (näher B.2.2–B.2.3, B.2.5a). Auftragsverarbeiter im Sinne von Art. 28 DSGVO; Drittlandübermittlung auf Grundlage von Standardvertragsklauseln (Details siehe B.2.2).
• Google Text-to-Speech: für die Sprachausgabe von KI-Podcast-Skripten (näher B.2.4), USA. Auftragsverarbeiter; Drittlandübermittlung auf Grundlage von Standardvertragsklauseln.
• RevenueCat, Inc. (USA): technischer Abo-Verwaltungsdienstleister (näher B.2.6a). Auftragsverarbeiter; Drittlandübermittlung auf Grundlage der von RevenueCat gestellten Standardvertragsklauseln.
• Apple bzw. Google: als eigenständige Zahlungsabwickler (B.2.6) und als eigenständige Identitätsanbieter für Sign in with Apple bzw. Google Sign-In (B.2.1) – jeweils eigenständige Verantwortliche, keine Auftragsverarbeitung durch den Anbieter.
• Hosting-Anbieter: easyname (Österreich, EU-Standort) für Backend-Infrastruktur und Datenspeicherung sowie für den Versand von Registrierungsbestätigungs- und Passwort-E-Mails. Als EU-ansässiger Hosting- und E-Mail-Infrastrukturanbieter ist easyname insoweit Auftragsverarbeiter im Sinne von Art. 28 DSGVO; eine Drittlandübermittlung ist damit nicht verbunden.
• Expo Application Services (650 Industries, Inc., USA): Dienst zur Bereitstellung technischer App-Updates (näher B.8). Dabei können technische Gerätedaten in die USA übermittelt werden. Soweit hierfür kein Angemessenheitsbeschluss anwendbar ist, erfolgt die Übermittlung auf Grundlage von EU-Standardvertragsklauseln gemäß Art. 46 DSGVO.

Mit den vorstehend als Auftragsverarbeiter identifizierten Anbietern bestehen Verträge nach Art. 28 DSGVO. Eine darüber hinausgehende Weitergabe erfolgt nur bei gesetzlicher Verpflichtung, ausdrücklicher Einwilligung oder zur Rechtsverfolgung/-verteidigung.

Die App setzt derzeit keine Werbenetzwerke, Werbepixel oder Retargeting-Dienste ein. Es findet kein Profiling zu Werbezwecken statt.

B.5 Speicherdauer

Nach Kündigung eines Pro-Abos wird das Konto auf Free zurückgestuft; Inhalte und Fortschrittsdaten bleiben im Rahmen von Free grundsätzlich erhalten. Erst bei vollständiger Kontolöschung werden personenbezogene Daten nach den vorstehenden Fristen gelöscht oder anonymisiert, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht. Die Kontolöschung ist direkt in der App sowie über das Kontaktformular auf fintogo.ai oder per E-Mail an office@fintogo.ai möglich. Nutzer:innen sind für die rechtzeitige Sicherung eigener Daten vor der Löschung verantwortlich.

B.6 Minderjährigenschutz

Ein wesentlicher Teil der Zielgruppe der App sind Schüler:innen berufsbildender höherer/mittlerer Schulen (u. a. HAK/HAS) im Alter von 14–19 Jahren, von denen ein relevanter Anteil minderjährig ist. Die App wird in Österreich, Deutschland und der Schweiz angeboten; die folgenden Regeln gelten – bis auf die gesondert dargestellten Länderbesonderheiten – einheitlich in allen drei Märkten, ohne eine nach Alter unterschiedliche App-Erfahrung zu schaffen.

Verhältnis zur Store-Altersfreigabe: Die Apple-Altersfreigabe (13+) ist eine reine Inhaltsklassifizierung der Stores und kein datenschutzrechtliches oder vertragliches Mindestalter; sie führt insbesondere nicht automatisch zu einer Absenkung des nachfolgend beschriebenen Mindestalters auf 13 Jahre. Maßgeblich ist ausschließlich das nachfolgend beschriebene Mindestalter von 14 Jahren.

Mindestalter: Registrierung und Nutzung – unabhängig vom gewählten Anmeldeweg nach B.2.1 (E-Mail, Sign in with Apple, Google Sign-In) – setzen ein Mindestalter von 14 Jahren voraus (B.2.2 der AGB), einheitlich in Österreich, Deutschland und der Schweiz. Eine eigenständige Registrierung unter 14 Jahren ist nicht möglich; ein gesondertes, von Erziehungsberechtigten verwaltetes Konto für unter 14-Jährige wird in Version 1.0 nicht angeboten.

14- und 15-Jährige (alle drei Märkte): Diese bestätigen bei der Registrierung zusätzlich, dass ihre Erziehungsberechtigten mit der Nutzung grundsätzlich einverstanden sind (Selbstauskunft, keine gesonderte Verifikation). Diese zusätzliche Bestätigung wird einheitlich unabhängig vom Wohnsitzstaat und vom gewählten Anmeldeweg eingeholt.

Ab 16 Jahren: Keine zusätzliche Bestätigung erforderlich, unabhängig vom Wohnsitzstaat.

Kostenpflichtiges Pro-Abo: Für ein Pro-Abo bestätigt die minderjährige Person zusätzlich, dass die Kosten von eigenen Mitteln gedeckt sind oder die Erziehungsberechtigten zugestimmt haben; wir empfehlen, vor Abschluss eines Pro-Abos die Zustimmung der Erziehungsberechtigten einzuholen, da das Store-Zahlungsmittel häufig auf deren Namen läuft. Bei begründeten Zweifeln können wir Nachweise verlangen und die Nutzung bis zur Klärung einschränken.

Besondere Sorgfalt bei KI-Interaktion: Die KI-Funktionen liefern automatisiert erzeugte, nicht zwingend vollständig oder fehlerfreie Inhalte ohne Beratungscharakter. Minderjährige und Erziehungsberechtigte werden darauf hingewiesen, keine besonders schützenswerten Daten im Chat mit FINN oder in hochgeladenen Dateien einzugeben (soweit für den Lernzweck nicht erforderlich), KI-Ausgaben eigenverantwortlich zu prüfen, und dass im Rahmen der Community-Funktionen geteilte Inhalte und – je nach Anmeldeweg – der hinterlegte Name für andere Nutzer:innen sichtbar sein können (siehe B.2.1, B.2.5).

Datenschutzrechtliche Einwilligung (Art. 8 DSGVO) – Bedeutung für die Praxis: Art. 8 DSGVO ist nur maßgeblich, soweit eine Verarbeitung tatsächlich auf Einwilligung (nicht auf Vertragserfüllung) gestützt wird. Die Kernverarbeitung dieser App (Registrierung, FINN, Lernunterlagen, Podcasts, Community-Funktionen) stützt sich auf Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung, siehe B.3), nicht auf Einwilligung – Art. 8 DSGVO ist darauf nicht unmittelbar anwendbar. Relevant wird Art. 8 DSGVO erst, sobald künftig eine tatsächlich einwilligungsbasierte Verarbeitung eingeführt wird (z. B. künftiges Tracking, siehe B.2.7/A.10). Für diesen Fall gilt:

• Österreich: Einwilligungsschwelle nach § 4 Abs. 4 DSG bei 14 Jahren.
• Deutschland: Mangels abweichender nationaler Regelung gilt die Art.-8-DSGVO-Standardschwelle von 16 Jahren; unter 16 Jahren wäre die Einwilligung der Erziehungsberechtigten erforderlich.
• Schweiz: Kein unmittelbares GDPR-Pendant; maßgeblich ist die Urteilsfähigkeit der minderjährigen Person im Einzelfall.

Da derzeit keine einwilligungsbasierte Analyse- oder Trackingverarbeitung vorgesehen ist, wirkt sich diese Länderdifferenzierung aktuell nicht praktisch aus. Bei Einführung künftiger einwilligungsbasierter Funktionen wird sie berücksichtigt.

Keine Werbung, kein Profiling bei Minderjährigen: Da die App grundsätzlich keine Werbung zeigt und keine Ad-Tech-/Retargeting-Dienste einsetzt (B.2.7, B.4), entfällt für alle Nutzer:innen – unabhängig vom Alter – jegliches werbebezogenes Profiling.

B.7 Cookies/Tracking in der App

Die mobile App verwendet keine klassischen Browser-Cookies. Technisch notwendige Kennungen und die in B.2.6a beschriebene kauf- und abobezogene Verarbeitung können eingesetzt werden. Für künftig hinzukommende, einwilligungspflichtige Tracking-Technologien wird vor der erstmaligen Verarbeitung eine gesonderte, widerrufbare Einwilligung eingeholt.

B.8 Technische Aktualisierungen und lokale Gerätefunktionen

Für die Bereitstellung technischer App-Updates nutzt die App Expo Application Services. Dabei können Angaben zum Betriebssystem und zufällige technische Kennungen verarbeitet werden; eine Zuordnung zu einem fintogo-Nutzerkonto erfolgt nicht. Weitere Angaben zum Anbieter und zur Drittlandübermittlung finden sich unter B.4.

Für Audioaufnahmen, die Auswahl von Fotos oder Dokumenten, das Öffnen externer Links und die lokale Zwischenspeicherung nutzt die App Funktionen des Endgeräts. Soweit in den vorstehenden Abschnitten nichts anderes beschrieben ist, werden dadurch keine zusätzlichen Daten an Dritte übermittelt.

Teil C – Besondere Bestimmungen für den Marktplatz-Dienst „fintogo – Rechnungswesen”

Gilt ausschließlich für den über den Marktplatz Lernapps bezogenen Dienst „fintogo – Rechnungswesen” (Schulen, Bildungseinrichtungen, Behörden, Lehrkräfte, Einzelpersonen). Ergänzt Teil A; bei Widerspruch geht Teil C vor. Gilt nicht für die App (Teil B). Dieser Teil führt die bisherige, für den Marktplatz-Dienst weiterhin eigenständig gültige Datenschutzerklärung strukturell fort; ihr Inhalt bleibt in der Sache unverändert gültig und wird hier lediglich in den gemeinsamen Aufbau mit Teil A/B eingeordnet.

C.1 Anwendungsbereich und Nutzergruppen

Teil C gilt für sämtliche Nutzungsverhältnisse über den Marktplatz-Dienst, unentgeltlich oder entgeltlich. Nutzergruppen: Einzelnutzende (B2C: Schüler:innen ab 14 Jahren, Studierende, Privatpersonen); Institutionen (B2B/B2G: Schulen, Bildungseinrichtungen, öffentliche Körperschaften, beauftragte Lehrkräfte); Partnerunternehmen (u. a. CSR-/Sponsoring-/Bildungskooperationen).

C.2 Verarbeitete Datenkategorien und Zwecke

C.2.1 Besuch der Webseite/Plattform

Beim Besuch werden automatisch Zugriffsdaten protokolliert: IP-Adresse, Datum/Uhrzeit des Zugriffs, Browsertyp und -version, Betriebssystem, Referrer-URL, Zugriffsstatus. Zweck: Funktionsfähigkeit, Sicherheit der Systeme, statistische Auswertungen. Logfile-Informationen werden aus Sicherheitsgründen für maximal 7 Tage gespeichert und danach gelöscht, sofern keine Beweiszwecke entgegenstehen.

C.2.2 Registrierung und Nutzerkonto

Für die Nutzung ist ein Nutzerkonto mit vollständigen, wahrheitsgemäßen Angaben erforderlich: Name, E-Mail-Adresse, Schule/Institution, ggf. Geburtsdatum. Ein Abo kann von Volljährigen sowie von Minderjährigen ab 14 Jahren abgeschlossen werden; Minderjährige versichern damit ihr Mindestalter und – soweit erforderlich – die Zustimmung der Erziehungsberechtigten (C.3 der AGB). Konten für Lehrkräfte, Schuladministration oder Schüler:innen können im Rahmen eines institutionellen Vertrags durch die Schule/Behörde beauftragt werden.

C.2.3 Nutzung der Lernplattform

Bei Registrierung und Nutzung werden verarbeitet: Lernfortschritte, Quizergebnisse und Interaktionen mit der Plattform; Nutzungsverhalten zur Personalisierung von Lerninhalten; Eingaben und Antworten des KI-gestützten Chat-Assistenten zur inhaltlichen Unterstützung (Verarbeitung durch KI-Anbieter als Sub-Auftragsverarbeiter, siehe C.4). Es erfolgt keine automatisierte Entscheidungsfindung im Sinne von Art. 22 DSGVO mit rechtlicher Wirkung.

C.2.4 Institutionelle Nutzung durch Schulen und Lehrkräfte

Im Rahmen des Basic-Abos für Bildungseinrichtungen können Lehrkräfte Klassenkonten verwalten, Aufgaben zuweisen und Lernfortschritt einsehen, beschränkt auf pädagogisch erforderliche Daten (C.4 der AGB). Bestellt eine Schule, Bildungseinrichtung oder Behörde Lizenzen für Schüler:innen, gilt sie datenschutzrechtlich als Verantwortliche, der Anbieter als Auftragsverarbeiter; es gilt der Auftragsverarbeitungsvertrag (AVV) gemäß Anlage zu Teil C der AGB (siehe C.5).

C.2.5 Zahlungsabwicklung

Für kostenpflichtige Abos (Pro-Abo für Privatpersonen, Basic-Abo für Einzelpersonen bzw. Bildungseinrichtungen) verarbeiten wir bzw. eingesetzte Zahlungsdienstleister Zahlungs- und Rechnungsdaten zur Vertragsabwicklung. Bei institutionellen Kund:innen erfolgt die Abrechnung i. d. R. auf Basis von Angebot/Rahmenvertrag gegenüber der Institution, nicht gegenüber einzelnen Schüler:innen.

C.2.6 Kontaktformular und E-Mail-Kontakt

Bei Kontaktaufnahme per E-Mail oder Kontaktformular werden die Angaben (Name, E-Mail, ggf. Telefon, Nachricht) zur Bearbeitung der Anfrage verarbeitet und können in einem CRM-System gespeichert werden. Die Erforderlichkeit wird regelmäßig überprüft; im Übrigen gelten die gesetzlichen Archivierungspflichten.

C.3 Rechtsgrundlagen je Verarbeitungszweck

C.4 Empfänger, Auftragsverarbeiter, Drittlandtransfer

• Hosting: easyname, Österreich, EU-Standort.
• KI-Anbieter (Sub-Auftragsverarbeiter): für den KI-Chat-Assistenten. Soweit personenbezogene Daten außerhalb der EU bzw. des EWR verarbeitet werden und kein Angemessenheitsbeschluss anwendbar ist, erfolgt die Übermittlung auf Grundlage von EU-Standardvertragsklauseln gemäß Art. 46 DSGVO.
• E-Mail-Dienstleister: easyname (technische Infrastruktur für den E-Mail-Versand, siehe Teil B.4 für den entsprechenden App-Sachverhalt).
• Diese Liste entspricht der in AVV.5 der AGB genannten Subunternehmer-Übersicht; Änderungen werden mindestens 30 Tage vorab mitgeteilt.

Eine Weitergabe personenbezogener Daten an Dritte erfolgt darüber hinaus nur, wenn eine ausdrückliche Einwilligung vorliegt, dies zur Vertragserfüllung erforderlich ist, eine gesetzliche Verpflichtung besteht oder dies zur Wahrung berechtigter Interessen erforderlich ist.

C.5 Besonderheiten für Schulen, Behörden und institutionelle Kund:innen

Bei institutioneller Nutzung gilt die Schule/Bildungseinrichtung/Behörde als datenschutzrechtlich Verantwortliche, der Anbieter als Auftragsverarbeiter im Sinne des Auftragsverarbeitungsvertrags (AVV) gemäß Anlage zu Teil C der AGB. Der AVV regelt insbesondere: Gegenstand und Dauer der Verarbeitung, Art und Zweck, betroffene Personen und Datenkategorien (u. a. Stammdaten, Nutzungsdaten, Inhaltsdaten, technische Daten Minderjähriger), technische und organisatorische Maßnahmen, Subunternehmer, Meldung von Datenschutzverletzungen (binnen 48 Stunden) und Kontrollrechte der Institution. Die Institution stellt die erforderlichen datenschutz- und schulrechtlichen Voraussetzungen sicher (Informationspflichten, Einwilligungen der Erziehungsberechtigten, interne Richtlinien); der Anbieter verarbeitet Schüler:innendaten nur im erforderlichen Umfang.

Minderjährigenschutz bei institutioneller Nutzung: Da die Einwilligung/Information der Erziehungsberechtigten in diesem Modell primär von der Schule als Verantwortlicher einzuholen ist, trifft den Anbieter insoweit keine unmittelbare Einwilligungspflicht gegenüber den Schüler:innen; der Anbieter unterstützt die Institution jedoch bei der Wahrnehmung von Betroffenenrechten (Art. 32–36 DSGVO, AVV.4).

C.6 Speicherdauer

Personenbezogene Daten werden gelöscht oder anonymisiert, sobald sie für die Vertragserfüllung oder gesetzliche Aufbewahrungspflichten nicht mehr erforderlich sind. Nach den in Österreich geltenden gesetzlichen Vorgaben erfolgt die Aufbewahrung insbesondere für 7 Jahre gemäß § 132 Abs. 1 BAO (Buchhaltungsunterlagen, Belege/Rechnungen, Konten, Geschäftspapiere), für 22 Jahre im Zusammenhang mit Grundstücken und für 10 Jahre bei Unterlagen im Zusammenhang mit elektronisch erbrachten Leistungen, für die der Mini-One-Stop-Shop (MOSS) in Anspruch genommen wird.

Nach Vertragsende (Kündigung gemäß C.5/C.7 der AGB) wird der Zugang deaktiviert; personenbezogene Daten werden gelöscht oder anonymisiert, sobald sie für Vertragserfüllung oder gesetzliche Aufbewahrungspflichten nicht mehr erforderlich sind. Für die rechtzeitige Sicherung eigener Daten vor Vertragsende sind die Nutzer:innen bzw. die Institution selbst verantwortlich; ein Anspruch auf nachträgliche Datenbereitstellung besteht nicht. Details zur Löschung/Anonymisierung nach Vertragsende mit institutionellen Kund:innen richten sich zusätzlich nach dem AVV (AVV.4).

Nationale Datenschutzregelungen in Österreich: Zusätzlich zu den Datenschutzregelungen der DSGVO gelten nationale Regelungen zum Datenschutz in Österreich, insbesondere das Bundesgesetz zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten (Datenschutzgesetz – DSG).