Stand: Oktober 2026. Diese Datenschutzerklärung gilt für die Website vokakitty.nl, die mobile App „VokaKitty“ für Android und die Web-App „VokaKitty“, die im Browser läuft (u. a. auf iPhone und iPad). Android-App und Web-App werden zusammen „App“ genannt; wo sie sich unterscheiden, ist das ausdrücklich angegeben.
1. Verantwortlicher
Verantwortlich für die Datenverarbeitung im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:
Christian Staehler
Wendelsweg 60
60599 Frankfurt am Main
Deutschland
E-Mail: info@vokakitty.nl
Eine gesetzliche Pflicht zur Benennung einer/eines Datenschutzbeauftragten besteht nach derzeitigem Stand nicht; eine solche Person ist nicht benannt.
2. Grundsätze
Wir verarbeiten personenbezogene Daten nur, soweit dies zur Bereitstellung eines funktionsfähigen Dienstes und der von Ihnen gewünschten Funktionen erforderlich ist. VokaKitty ist auf Datensparsamkeit ausgelegt: Es findet keine Analyse Ihres Nutzungsverhaltens, kein Werbe-Tracking und keine Standorterhebung statt. Es sind keine Analyse- oder Absturz-SDKs von Dritten eingebunden. Es findet keine automatisierte Entscheidungsfindung mit rechtlicher Wirkung im Sinne von Art. 22 DSGVO statt.
3. Besuch dieser Website
3.1 Server-Logfiles
Beim Aufruf der Website werden durch den Hosting-Provider automatisch Informationen in Server-Logfiles gespeichert, die Ihr Browser übermittelt: IP-Adresse, Datum und Uhrzeit des Zugriffs, aufgerufene URL, übertragene Datenmenge, Referrer-URL, Browsertyp und Betriebssystem. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an technischem Betrieb und IT-Sicherheit). Die Zugriffs-Logs des Hosters werden nach rund acht Wochen gelöscht bzw. anonymisiert (Standard-Aufbewahrung bei IONOS).
3.2 Hosting
Die Website, die Web-App und die Server-Komponente der App werden bei der IONOS SE, Elgendorfer Straße 57, 56410 Montabaur, betrieben. Der Provider verarbeitet die genannten Daten ausschließlich in unserem Auftrag; mit IONOS besteht eine Vereinbarung zur Auftragsverarbeitung nach Art. 28 DSGVO (IONOS-AVV Version 1.3, Stand 03/2026). Die Verarbeitung findet in einem Mitgliedstaat der EU bzw. des EWR statt; eine Übermittlung in Drittländer erfolgt nur, soweit zur Leistungserbringung erforderlich, und dann unter den Voraussetzungen der Art. 44 ff. DSGVO. IONOS ist nach ISO 27001 zertifiziert und setzt Unterauftragsverarbeiter auf Grundlage einer allgemeinen Genehmigung mit Widerspruchsrecht ein.
3.3 Cookies
Die Website setzt im Auslieferungszustand nur technisch notwendige Cookies (z. B. bei Kommentar-Funktion oder Anmeldung im WordPress-Backend). Es werden keine Cookies zu Analyse- oder Marketingzwecken gesetzt. Rechtsgrundlage für technisch notwendige Cookies ist § 25 Abs. 2 TDDDG i. V. m. Art. 6 Abs. 1 lit. f DSGVO.
4. Nutzung der App „VokaKitty“
4.1 Konto und Registrierung
Für die Nutzung der App ist ein Konto erforderlich. Bei der Registrierung verarbeiten wir: Benutzername, E-Mail-Adresse, Passwort (nur als kryptografischer Hash gespeichert), Geburtsdatum und die gewählte Sprache sowie die zugestimmte AGB-Version. Alternativ können Sie sich über Google (Android-App und Web-App) oder Apple (nur Android-App) anmelden (OAuth); dabei erhalten wir von diesen Anbietern eine ID sowie die von Ihnen freigegebenen Profilangaben.
Das Geburtsdatum wird bei der Registrierung abgefragt und dient der Prüfung des Mindestalters (siehe 4.2). Es werden kein Herkunftsland erhoben und keine IP-Geolokalisierung durchgeführt.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung); hinsichtlich der Altersangabe zusätzlich Art. 6 Abs. 1 lit. c i. V. m. Art. 8 DSGVO.
4.2 Mindestalter und Kinder
Die App kann ab 4 Jahren genutzt werden. Das bei der Registrierung erhobene Geburtsdatum dient der Altersprüfung. Für Nutzerinnen und Nutzer unter 16 Jahren sind die sozialen und Online-Funktionen – Freundesfunktion, Teilen von Pools und Online-Challenge – gesperrt, bis eine Einwilligung der Sorgeberechtigten nach Art. 8 DSGVO vorliegt. Die Freischaltung steuert der Server über sogenannte Capabilities; das Geburtsdatum selbst steuert die Oberfläche nicht. Das Lernen mit eigenen Vokabellisten ist davon unabhängig nutzbar.
Erlangen wir Kenntnis davon, dass die sozialen Funktionen für eine Person unter 16 Jahren ohne die erforderliche Einwilligung freigeschaltet wurden, sperren wir sie unverzüglich und löschen die dabei angefallenen Daten. Hinweise bitte an info@vokakitty.nl.
4.3 Lerninhalte und Lernfortschritt
Wir verarbeiten die von Ihnen angelegten Vokabellisten (Pools) und Vokabeln, Ihren Lernfortschritt (Karteikasten-Stände, Fälligkeiten, Antwortergebnisse), Lerneinstellungen sowie Spielelemente wie Streak-Zähler und Münzen. Diese Daten werden lokal gespeichert – in der Android-App in einer verschlüsselten Datenbank, in der Web-App im Speicher Ihres Browsers (siehe 4.10) – und mit dem Server synchronisiert, damit sie auf mehreren Geräten verfügbar sind und nicht verloren gehen. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
4.4 Freunde und Freigaben
Für die Freundesfunktion verarbeiten wir Ihren Freundescode, ein- und ausgehende Freundschaftsanfragen, Ihre Freundesliste und Ihre Blockierliste. Anderen Nutzerinnen und Nutzern werden ausschließlich Ihre Benutzer-ID und Ihr Benutzername angezeigt – niemals E-Mail-Adresse, Geburtsdatum, Münzen, Streak oder Einstellungen. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
4.5 Online-Challenge
Bei der Online-Challenge verarbeiten wir Match-Daten (Teilnehmende, Runden, Ergebnisse, Punktestände). Sie sind für beide Teilnehmenden zusammen mit der Match-Historie einsehbar. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung). Eine Chat- oder Nachrichtenfunktion bietet die App nicht.
4.6 Push-Benachrichtigungen (Firebase Cloud Messaging, nur Android-App)
Für Push-Benachrichtigungen (Einladungen zur Challenge, soziale Ereignisse, geteilte Pools, optionale Lern-Erinnerungen) nutzen wir Firebase Cloud Messaging (FCM) der Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland. Dabei wird ein Geräte-Token an Google übermittelt und dort gespeichert. Der Inhalt der Benachrichtigungen ist minimiert (nur Ereignistyp, betroffene ID und Benutzername des auslösenden Kontos) – keine Vokabelinhalte, Pool-Namen, E-Mail-Adressen oder Punktestände. Eine Übermittlung in die USA kann nicht ausgeschlossen werden; Google stützt sich auf die EU-Standardvertragsklauseln bzw. das EU-US Data Privacy Framework.
Rechtsgrundlage für transaktionsbezogene Benachrichtigungen ist Art. 6 Abs. 1 lit. b DSGVO. Lern- und Streak-Erinnerungen sind ausdrücklich Opt-in (Art. 6 Abs. 1 lit. a DSGVO) und in den App-Einstellungen jederzeit abschaltbar. Sie können Push-Benachrichtigungen zudem im Betriebssystem vollständig deaktivieren. Die Web-App nutzt Firebase Cloud Messaging nicht (siehe 4.10).
4.7 KI-Funktionen
Einige optionale Funktionen nutzen ein externes Sprachmodell: KI-Lückentexte im Lernmodus D (Einzelsätze und kurze Geschichten), Übersetzungsvorschläge, die Erkennung der Sprache eines Wortes, Zusatzinformationen zu Vokabeln sowie der Import von Vokabellisten aus eingefügtem Text, aus Dateien und aus Fotos. Der Anbieter wird zur Laufzeit vom Server konfiguriert; derzeit ist dies OpenAI, L.L.C. (3180 18th Street, San Francisco, CA 94110, USA). Der Anbieter kann sich ändern – etwa auf einen OpenAI-kompatiblen Anbieter oder Anthropic; die jeweils aktuelle Angabe wird an dieser Stelle gepflegt.
An den Anbieter wird nur übermittelt, was die jeweilige Funktion braucht: die betroffenen Wörter bzw. Wortpaare und Sprachen, bei Geschichten zusätzlich die von Ihnen optional angegebenen Interessen, beim Import der von Ihnen eingefügte Text bzw. die von Ihnen ausgewählten Fotos. Nicht übermittelt werden Benutzername, Benutzer-ID, E-Mail-Adresse, Geburtsdatum, Pool-Name, Geräte-ID oder Standort. Bitte beachten Sie: Fotos und eingefügte Texte werden so übertragen, wie Sie sie auswählen. Enthalten sie Namen oder andere persönliche Angaben (etwa auf einem Arbeitsblatt), gelangen auch diese an den Anbieter – schneiden Sie solche Stellen vorher ab.
Die Anfragen laufen über unseren eigenen Server: Die App sendet sie an das VokaKitty-Backend, das sie an den Anbieter weiterreicht. Dem Anbieter wird dadurch die IP-Adresse unseres Servers bekannt, nicht Ihre, und der Zugangsschlüssel zum Anbieter verlässt unseren Server nicht. Weder die Android-App noch die Web-App spricht den Anbieter direkt an. Die Anbieter haben ihren Sitz in den USA; die Übermittlung wird auf die EU-Standardvertragsklauseln bzw. – soweit zertifiziert – auf das EU-US Data Privacy Framework gestützt. Nutzen Sie keine dieser Funktionen, findet keine Übermittlung an den Anbieter statt. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Bereitstellung der von Ihnen aufgerufenen Funktion).
4.8 Medien
Kurze Belohnungs-Clips (Katzen-Videos) werden statisch vom Webspace ausgeliefert und auf dem Gerät bzw. im Browser zwischengespeichert. Dabei fällt nur die technisch notwendige Verbindung zum Webserver an (siehe 3.1).
4.9 Speicherung auf dem Gerät (Android-App)
Zugangs- und Aktualisierungs-Token werden im Android-Keystore bzw. in verschlüsseltem Speicher abgelegt, die lokale Lern-Datenbank ist mit SQLCipher verschlüsselt. Datenbank und Token sind vom automatischen Geräte-Backup ausgeschlossen.
4.10 Besonderheiten der Web-App
Die Web-App wird als Programmdateien von unserem Server bei IONOS geladen und läuft dann in Ihrem Browser. Beim Laden fallen die in 3.1 beschriebenen Server-Logfiles an. Die Web-App bindet keine Analyse-, Werbe- oder Tracking-Dienste ein und setzt keine Cookies zu solchen Zwecken.
Speicherung im Browser: Damit die Web-App auch offline funktioniert, speichert sie in Ihrem Browser: die Lern-Datenbank (Pools, Vokabeln, Lernfortschritt, Einstellungen) in der IndexedDB, Zugangs- und Aktualisierungs-Token, eine zufällig erzeugte Geräte-ID sowie Geräte-Einstellungen (z. B. Sprache) im localStorage und die Programmdateien sowie Belohnungs-Clips im Cache eines Service Workers. Anders als in der Android-App sind diese Daten nicht zusätzlich verschlüsselt; Browser und Betriebssystem schirmen sie gegen andere Websites ab. Wir erhalten keinen Zugriff auf andere Daten Ihres Browsers. Rechtsgrundlage für das Speichern und Auslesen ist § 25 Abs. 2 Nr. 2 TDDDG (unbedingt erforderlich für den von Ihnen gewünschten Dienst) i. V. m. Art. 6 Abs. 1 lit. b DSGVO.
Beim Abmelden werden die Zugangs-Token entfernt. Die übrigen lokal gespeicherten Daten entfernen Sie vollständig, indem Sie die Websitedaten der Web-App in Ihrem Browser löschen (auf iPhone und iPad: Einstellungen → Apps → Safari → Erweitert → Websitedaten). Noch nicht synchronisierte Änderungen gehen dabei verloren. Auf gemeinsam genutzten Geräten sollten Sie sich nach der Nutzung abmelden und die Websitedaten löschen.
Anmeldung mit Google: Tippen Sie in der Web-App auf „Mit Google anmelden“, lädt Ihr Browser erst in diesem Moment ein Skript von Google (accounts.google.com). Dabei erhält die Google Ireland Limited Ihre IP-Adresse und technische Browserdaten; die Anmeldung selbst richtet sich nach den Bedingungen von Google. Eine Übermittlung in die USA kann nicht ausgeschlossen werden (siehe 6). Ohne diesen Tipp wird kein Google-Skript geladen. Die Anmeldung mit Apple ist in der Web-App nicht verfügbar.
Erinnerungen statt Push: Die Web-App versendet keine Push-Nachrichten über Google oder Apple. Lern-Erinnerungen zeigt sie – nur wenn Sie dies im Browser erlauben – als lokale Benachrichtigung an, solange die Web-App geöffnet ist. Dabei werden keine Daten an Dritte übermittelt.
Kamera und Fotos: Auf Kamera oder Fotomediathek greift die Web-App nur zu, wenn Sie beim Import von Vokabellisten selbst ein Foto aufnehmen oder auswählen; zur Weiterverarbeitung siehe 4.7. Freunde einladen: Teilen Sie Ihren Freundescode, nutzt die Web-App die Teilen-Funktion Ihres Betriebssystems; welchen Weg Sie wählen, erfahren wir nicht. Öffnet jemand einen Einladungslink, liest die Web-App den darin enthaltenen Freundescode aus der Adresse aus.
5. Empfänger und Auftragsverarbeiter
- IONOS SE, Montabaur – Betrieb von Website, Web-App und App-Server sowie E-Mail-Postfächer und Mailversand für System- und Bestätigungs-Mails (Auftragsverarbeitung, EU/Deutschland).
- Google Ireland Limited – Push-Benachrichtigungen über Firebase Cloud Messaging (nur Android-App).
- Google Ireland Limited / Apple Inc. – bei Anmeldung über „Mit Google anmelden“ (Android-App und Web-App) bzw. „Mit Apple anmelden“ (nur Android-App).
- OpenAI, L.L.C. (USA) – bei Nutzung der KI-Funktionen (siehe 4.7), ausschließlich über unseren Server, nicht direkt vom Gerät. Ein Wechsel des Sprachmodell-Anbieters ist möglich.
6. Drittlandübermittlungen
Übermittlungen in die USA (u. a. Google, OpenAI und – bei Anmeldung über Apple – Apple) erfolgen auf Grundlage der EU-Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO und – soweit die Empfänger zertifiziert sind – des EU-US Data Privacy Framework nach Art. 45 DSGVO. Eine Kopie der Garantien ist beim Verantwortlichen erhältlich.
7. Speicherdauer
- Konto- und Lerndaten: bis zur Löschung des Kontos.
- Nach Konto-Löschung: harte Löschung der identifizierenden Daten, irreversible Anonymisierung der Inhalte; anschließend endgültige Löschung nach der angegebenen Frist.
- Match-Daten: solange die beteiligten Konten bestehen; bei Konto-Löschung wie oben.
- Server-Logfiles: rund acht Wochen.
- Daten im Browser (Web-App): bis Sie die Websitedaten im Browser löschen; die Zugangs-Token höchstens bis zur Abmeldung.
- Zugangs-Token: 30 Tage, Aktualisierungs-Token: 180 Tage (danach automatisch ungültig).
8. Ihre Rechte
Sie haben das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21 DSGVO). Eine erteilte Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen.
Ihr Recht auf Löschung können Sie unmittelbar in der App ausüben: das gesamte Konto über Profil → Konto löschen (Anleitung unter Konto löschen), einzelne Vokabeln, Pools oder den Lernfortschritt direkt im Bereich „Pools“ (Anleitung unter Vokabeln und Pools löschen). Für alle weiteren Anliegen wenden Sie sich an info@vokakitty.nl.
Sie haben das Recht auf Beschwerde bei einer Aufsichtsbehörde. Zuständig ist die Datenschutzaufsicht Ihres Wohnsitzes oder die für den Verantwortlichen zuständige Behörde:
Der Hessische Beauftragte für Datenschutz und Informationsfreiheit (HBDI)
Postfach 31 63, 65021 Wiesbaden
Telefon: 0611 1408-0 · E-Mail: poststelle@datenschutz.hessen.de
9. Pflicht zur Bereitstellung
Die Bereitstellung von Benutzername, E-Mail-Adresse, Passwort und Geburtsdatum ist für den Vertragsschluss erforderlich. Ohne diese Angaben kann kein Konto angelegt und die App nicht genutzt werden.
10. Änderungen dieser Datenschutzerklärung
Wir passen diese Datenschutzerklärung an, wenn sich die Datenverarbeitung ändert oder rechtliche Vorgaben dies erfordern. Die jeweils aktuelle Fassung ist auf dieser Seite abrufbar.