Datenschutzerklärung

Stand: 4. November 2026

Diese Erklärung gilt für die Website mfamacherei.de und die Lern-App „MFAmacherei – Die MFA-Lernapp" (Web-App). Wir schreiben sie so, dass du sie verstehst. Wenn etwas unklar ist, frag uns.

1. Wer verantwortlich ist

Schlaumacherei GbR, Am alten Freibad 12, 59494 Soest
vertreten durch Dr. Johanna Adler und Dr. Matthias Brüggemann
E-Mail: info@mfamacherei.de

Einen Datenschutzbeauftragten haben wir nicht bestellt; dazu sind wir nicht verpflichtet (§ 38 BDSG).

2. Kurz gesagt

Wir verkaufen keine Daten. Wir setzen keine Werbe- oder Analyse-Cookies ein, binden keine fremden Analysedienste ein und laden keine Schriften von fremden Servern. Wie Website und App genutzt werden, zählen wir selbst und ohne Personenbezug (Abschnitt 3).

3. Aufruf von Website und App

Beim Aufruf überträgt dein Browser technisch notwendige Daten: IP-Adresse, Datum und Uhrzeit, aufgerufene Adresse, übertragene Datenmenge, Browser und Betriebssystem. Ohne diese Daten können wir die Seiten nicht ausliefern und den Betrieb nicht absichern.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem sicheren, funktionsfähigen Betrieb).

Hosting: Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland. Die Website läuft auf Firebase App Hosting in der Region europe-west4 (Niederlande), die App auf Firebase Hosting mit einem weltweiten Auslieferungsnetz. Es besteht ein Vertrag zur Auftragsverarbeitung.

Nutzungsstatistik: Damit wir Website und App verbessern können, zählen wir, welche Seiten aufgerufen und welche Schritte erreicht werden, zum Beispiel im Münzkauf. Bei der Registrierung zählen wir außerdem, ob sie begonnen wurde und woran sie gegebenenfalls gescheitert ist, nur als kurzer Grund (zum Beispiel „Passwort zu kurz“ oder „Adresse schon registriert“), ohne deine Eingaben. Gespeichert werden Zeitpunkt, Seite oder Schritt, die Domain der Seite, von der du kommst (zum Beispiel instagram.com), die grobe Bildschirmgröße (Handy, Tablet, Computer), ob jemand angemeldet ist, und eine Zufallsnummer, die bei jedem Öffnen neu entsteht und nicht auf deinem Gerät gespeichert wird. Wir speichern dabei weder dein Konto noch deine IP-Adresse und setzen keine Cookies; die Angaben lassen sich dir nicht zuordnen. Die Daten liegen bei Supabase in der EU (Irland, siehe Abschnitt 5) und werden nach 12 Monaten gelöscht.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem funktionierenden, verständlichen Angebot). Du kannst jederzeit widersprechen: Schreib an info@mfamacherei.de.

4. Cookies und ähnliche Techniken

Wir verwenden nur, was technisch notwendig ist:

• Website: Melde dich an, setzen wir ein Anmelde-Cookie und ein kleines Cookie, das nur festhält, dass du angemeldet bist. Beide werden beim Abmelden gelöscht. Ohne Anmeldung setzt die Website keine Cookies.
• App: Die App speichert deine Anmeldung und Einstellungen im Speicher deines Browsers, damit du angemeldet bleibst.

Dafür brauchen wir keine Einwilligung (§ 25 Abs. 2 Nr. 2 TDDDG). Deshalb gibt es auch kein Einwilligungsbanner. Auch die Nutzungsstatistik (Abschnitt 3) speichert nichts auf deinem Gerät.

5. Dein Konto

Website und App nutzen dasselbe Konto.

Pflichtangaben: E-Mail-Adresse, Passwort (nur verschlüsselt gespeichert), Anzeigename. Außerdem speichern wir, wann du den AGB und dieser Datenschutzerklärung zugestimmt hast.
Freiwillige Angaben: zuständige Ärztekammer, Postleitzahl der Ausbildungsstätte, Profilbild, dein Prüfungsziel (Art und Termin der nächsten Prüfung), dein Tagesziel.

Ein Gerät gleichzeitig: Damit Zugänge nicht weitergegeben werden, speichern wir eine Kennung des zuletzt genutzten Geräts und den Zeitpunkt. Meldest du dich auf einem anderen Gerät an, endet die vorherige Sitzung.

Lernpläne: Wenn du einen Lernplan abhakst, speichern wir, welche Punkte du erledigt hast, damit du deinen Fortschritt auf allen Geräten siehst. Diese Angaben löschen wir mit deinem Konto.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Nutzungsvertrag); für die Gerätekennung zusätzlich Art. 6 Abs. 1 lit. f DSGVO (Schutz vor Missbrauch).

Speicherdauer: bis zur Löschung deines Kontos. Löschen kannst du es selbst, in der App unter Einstellungen › Konto löschen oder auf dieser Website unter Mein Bereich › Einstellungen, oder du schreibst uns an info@mfamacherei.de. Wir löschen dann alle zugehörigen Daten, soweit uns keine gesetzliche Aufbewahrungspflicht daran hindert (siehe Abschnitt 8).

Anbieter: Konten, Datenbank und Dateien liegen bei Supabase Pte. Ltd., 65 Chulia Street #38-02/03, OCBC Centre, Singapur 049513, auf Servern von Amazon Web Services in Irland (eu-west-1). Supabase verarbeitet die Daten in unserem Auftrag. Supabase sitzt in Singapur; für einen etwaigen Zugriff von dort oder aus anderen Drittländern, etwa im Support, gelten die Standardvertragsklauseln der EU-Kommission.

6. Lernen in der App

Wir speichern deinen Lernfortschritt je Lerninhalt, Prüfungsergebnisse, deinen Lernstreak und dein Tagesziel, deine gewählten Themengebiete, freigeschaltete Zugänge und Prüfungsdurchläufe sowie gesammelte Mediminis. Das brauchen wir, um dir deinen Fortschritt zu zeigen und Wiederholungen sinnvoll zu planen.

Freundesliste: Dieser Bereich ist noch nicht freigeschaltet. Sobald er startet, gilt: Bestätigst du eine Freundschaft, sieht die andere Person deinen Anzeigenamen, dein Profilbild und deinen Lernfortschritt. Du kannst Freundschaften jederzeit beenden.

Neuigkeiten: Über die Glocke in der App schreiben wir dir Nachrichten. Wir speichern, welche davon du gelesen hast und ob dir eine wichtige Nachricht schon einmal als Hinweis angezeigt wurde, damit Ungelesenes auf allen deinen Geräten markiert ist. Ausgewertet wird nur, wie viele Personen eine Nachricht gelesen haben, nicht wer. Diese Angaben löschen wir mit deinem Konto.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

7. KI-gestützte Prüfungen

Diese Funktionen nutzen große Sprachmodelle:

Du sprichst dabei nicht mit einem Menschen. Wir sagen dir das in der App, bevor die Prüfung beginnt (Art. 50 KI-Verordnung (EU) 2024/1689).

Was übertragen wird: deine frei formulierten Antworten, der bisherige Gesprächsverlauf und der Aufgabentext.
Was nicht übertragen wird: dein Name, deine E-Mail-Adresse und deine Kontokennung.

Bitte schreib in deine Antworten keine Angaben über echte Patientinnen und Patienten oder andere Personen.

Anbieter: Google Cloud EMEA Limited, 70 Sir John Rogerson's Quay, Dublin 2, Irland (Vertex AI). Wir setzen dort Gemini-Modelle von Google und Claude-Modelle der Anthropic PBC ein, die Google in Vertex AI auf eigenen Servern bereitstellt. Deine Antworten gehen an Google, nicht direkt an Anthropic. Die Verarbeitung findet in der EU statt (EU-Mehrregion). Google verarbeitet die Daten in unserem Auftrag; sie werden nicht zum Training der Modelle genutzt.

Deine Antworten und die Bewertung speichern wir in deinem Konto, damit du deine Auswertung später ansehen kannst. Gibst du uns nach einer Prüfung freiwillig Rückmeldung, werten wir sie aus, um die KI-Prüfung zu verbessern.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO; für die Auswertung deiner Rückmeldung Art. 6 Abs. 1 lit. f DSGVO.

Grenzen der Bewertung: Die Bewertungen sind Übungshilfen. Sie sagen nichts über das Ergebnis einer echten Prüfung aus. Eine automatisierte Entscheidung mit rechtlicher Wirkung nach Art. 22 DSGVO findet nicht statt.

8. Kauf von MediMünzen

Kaufst du MediMünzen, verarbeiten wir: Menge, Preis, Zeitpunkt, Zahlungsstatus, deine Rechnungsadresse, deine E-Mail-Adresse, deine Bestätigungen zum Widerrufsrecht mit Zeitpunkt und der Fassung des Textes, den du gesehen hast, sowie deinen Guthabenstand und deine Einlösungen.

Zahlungsabwicklung: Stripe Payments Europe, Limited, 1 Grand Canal Street Lower, Dublin 2, Irland. Deine Zahlungsdaten (Kartennummer, Kontoverbindung) gibst du direkt auf der Bezahlseite von Stripe ein; wir erhalten sie nicht. Stripe berechnet für uns auch die Umsatzsteuer und erstellt die Rechnung. Stripe ist für die Zahlungsabwicklung selbst verantwortlich und kann Daten in die USA übermitteln (Stripe, Inc. ist nach dem EU-US Data Privacy Framework zertifiziert). Es gilt zusätzlich die Datenschutzerklärung von Stripe: stripe.com/de/privacy.

Freunde einladen: Jedes Konto hat einen Einladungscode. Meldet sich jemand mit deinem Code an, speichern wir, wer wen eingeladen hat und ob der Bonus vergeben wurde. Damit niemand sich selbst einlädt, vergleichen wir die beiden E-Mail-Adressen und beim ersten Kauf das Karten-Kennzeichen, das Stripe zu jeder Zahlungskarte mitliefert. Das Kennzeichen ist keine Kartennummer; es zeigt nur, ob zweimal dieselbe Karte benutzt wurde. Wer einlädt, sieht nur, wie viele Freunde sich angemeldet haben und wie viele Einladungen belohnt wurden, nicht wer was gekauft hat. Die Angaben zur Einladung löschen wir mit dem Konto der eingeladenen Person; das Karten-Kennzeichen bleibt bei der Bestellung, solange wir sie aufbewahren. Die Bedingungen stehen unter Freunde einladen.
Rechtsgrundlage Freunde einladen: Art. 6 Abs. 1 lit. b DSGVO (Teilnahmebedingungen); für den Abgleich von Adresse und Karte Art. 6 Abs. 1 lit. f DSGVO (Schutz vor Missbrauch).

Gutscheincodes: Löst du einen Gutscheincode ein, speichern wir, welcher Code wann auf welches Konto eingelöst wurde und wie viele MediMünzen es dafür gab. So setzen wir die Regel „ein Code einmal pro Konto“ um. Damit niemand denselben Code mit mehreren Konten einlöst, vergleichen wir dabei die E-Mail-Adressen. Gibt jemand falsche Codes ein, speichern wir den Zeitpunkt der Fehlversuche, um Durchprobieren zu bremsen; diese Einträge löschen wir mit dem Konto. Löschst du dein Konto, bleibt nur festgehalten, dass der Code eingelöst wurde, nicht von wem. Die Bedingungen stehen unter Gutscheincodes.
Rechtsgrundlage Gutscheincodes: Art. 6 Abs. 1 lit. b DSGVO (Bedingungen der Aktion); für den Abgleich der Adressen Art. 6 Abs. 1 lit. f DSGVO (Schutz vor Missbrauch).

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertrag); Art. 6 Abs. 1 lit. c DSGVO (steuer- und handelsrechtliche Aufbewahrung).

Speicherdauer: Rechnungen und Buchungsbelege bewahren wir acht Jahre auf (§ 147 AO; nach § 14b UStG für Rechnungen), sonstige Handels- und Geschäftsbriefe sechs Jahre – auch nach Löschung deines Kontos.

9. Guthaben für jemand anderen aufladen

In der App kannst du einen persönlichen Link bzw. QR-Code zeigen. Wer ihn öffnet, zum Beispiel deine Eltern oder deine Ausbildungspraxis, kann dir MediMünzen schenken, ohne selbst ein Konto zu haben.

• Was die zahlende Person sieht: nur deinen selbst gewählten Anzeigenamen. Keine E-Mail-Adresse, kein Profilbild, keinen Lernstand. Jeder, der den Link kennt, sieht diesen Namen. Teile den Link deshalb nur mit Menschen, denen du ihn zeigen möchtest.
• Was wir von der zahlenden Person verarbeiten: E-Mail-Adresse und Rechnungsadresse (für Bestätigung, Rechnung und Widerrufsbelehrung) und die Zahlungsabwicklung über Stripe wie in Abschnitt 8. Auf Wunsch zeigen wir dir ihren Namen und einen Gruß aus einer festen Auswahl.
• Grenzen: Wir begrenzen, wie viel Dritte einem Konto in 30 Tagen aufladen können.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertrag mit der zahlenden Person); für die Anzeige ihres Namens ihre Einwilligung, Art. 6 Abs. 1 lit. a DSGVO.

10. E-Mails, die wir verschicken

Systemnachrichten (Bestätigung der E-Mail-Adresse, Passwort zurücksetzen, Bestellbestätigungen) versenden wir über Amazon Web Services EMEA SARL, 38 Avenue John F. Kennedy, L-1855 Luxemburg (Amazon SES, Region Frankfurt). Unsere Postfächer liegen bei Google Workspace (Google Ireland Limited). Mit beiden besteht ein Vertrag zur Auftragsverarbeitung.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

Neuigkeiten und App-Updates per Mail

Wenn du möchtest, schreiben wir dir per Mail über Neuigkeiten und App-Updates der MFAmacherei. Das ist freiwillig: Du setzt dafür bei der Registrierung einen eigenen Haken oder schaltest es später ein, in der App unter Einstellungen › Deine Daten oder auf dieser Website unter Mein Bereich › Einstellungen. Ohne Haken kannst du alles genauso nutzen.

• Was wir verarbeiten: deine E-Mail-Adresse und deinen Anzeigenamen, ob du eingewilligt hast, wann du eingewilligt oder abbestellt hast, wo das war (App oder Website, Registrierung oder Konto) und welche Fassung des Einwilligungstexts du gesehen hast.
• Nachweis: Damit wir belegen können, dass du zugestimmt hast, speichern wir jede Zustimmung und jede Abmeldung mit Zeitpunkt und der E-Mail-Adresse, die dein Konto in dem Augenblick hatte. Wir schreiben nur an Adressen, die über den Link in unserer Bestätigungsmail bestätigt sind.
• Abmelden: jederzeit, mit einem Klick im Konto und später auch über den Abmeldelink in jeder dieser Mails. Der Widerruf gilt für die Zukunft (Art. 7 Abs. 3 DSGVO).
• Versand: Noch verschicken wir solche Mails nicht. Wenn wir damit beginnen, gehen sie wie die Systemmails über Amazon SES (Amazon Web Services EMEA SARL, Region Frankfurt).

Rechtsgrundlage: deine Einwilligung, Art. 6 Abs. 1 lit. a DSGVO und § 7 Abs. 2 Nr. 2 UWG; für den Nachweis der Einwilligung Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit Art. 7 Abs. 1 DSGVO (wir müssen belegen können, dass du eingewilligt hast) und Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse, uns gegen Ansprüche zu verteidigen).
Speicherdauer: Ob du Mails bekommst, speichern wir, solange dein Konto besteht. Löschst du dein Konto, ist auch das sofort gelöscht, und du bekommst keine Mails mehr. Den Nachweis (Adresse, Zeitpunkte, Ort und Textfassung jeder Zustimmung und Abmeldung) bewahren wir danach ohne Bezug zu deinem Konto noch bis zum Ende des dritten Kalenderjahres nach der Löschung auf, weil so lange Ansprüche gegen uns verjähren können (§§ 195, 199 BGB). Dann löschen wir ihn automatisch.

11. Fehlerprotokolle und Fehlerberichte

Tritt in der App ein technischer Fehler auf, speichern wir die Fehlermeldung, technische Angaben zum Fehler, App-Version, Plattform und aufgerufene Seite. Schickst du uns über „Fehler melden" einen Bericht, kommen deine Beschreibung und, nur wenn du es auslöst, ein Bildschirmfoto dazu.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (fehlerfreier Betrieb).
Speicherdauer: Fehlerprotokolle 90 Tage, Fehlerberichte bis zur Erledigung und danach noch ein Jahr.

12. Nachrichten an uns (Kontaktformular)

Du kannst uns über das Kontaktformular auf dieser Website oder in der App unter Konto › Hilfe & Kontakt schreiben.

• Was wir verarbeiten: worum es geht (Auswahl), deine Nachricht und den Zeitpunkt. Ohne Anmeldung zusätzlich deinen Namen und deine E-Mail-Adresse. Angemeldet ordnen wir die Nachricht deinem Konto zu und antworten an dessen E-Mail-Adresse. Dazu kommen technische Angaben, die uns beim Helfen nützen: in der App App-Version, Plattform, zuletzt geöffnete Seite und Bildschirmgröße, auf der Website die Seite, von der du kamst. Damit niemand das Formular massenhaft missbraucht, begrenzen wir die Zahl der Nachrichten je Stunde; dafür speichern wir deine IP-Adresse nur als nicht umkehrbaren Prüfwert (Hash).
• Wer es sieht: Die Nachricht wird bei Supabase gespeichert (Abschnitt 5) und als E-Mail an unser Postfach bei Google Workspace geschickt (über Amazon SES, Abschnitt 10). In unseren internen Team-Chat (Google Chat, ebenfalls Google Workspace) geht nur ein kurzer Hinweis mit Thema und Anfang der Nachricht, ohne deinen Namen und ohne deine E-Mail-Adresse.
• Keine KI: Deine Nachricht lesen und beantworten Menschen. Wir geben sie an keinen KI-Dienst weiter.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, wenn es um dein Konto, deine Käufe oder die Nutzung der App geht; sonst Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse, Anfragen zu beantworten). Die Begrenzung je IP-Prüfwert stützen wir auf Art. 6 Abs. 1 lit. f DSGVO (Schutz vor Missbrauch).
Speicherdauer: 12 Monate, nachdem wir die Anfrage erledigt haben; dann löschen wir sie automatisch. Löschst du dein Konto, sind deine Nachrichten sofort gelöscht. Was wir als Beleg aufbewahren müssen (etwa zu einer Zahlung), heben wir nach den gesetzlichen Fristen auf (Abschnitt 8).

13. Bilder und Profilbilder

Bilder der Lerninhalte und hochgeladene Profilbilder werden über eine nicht öffentlich verzeichnete, schwer zu erratende Adresse ausgeliefert. Wer diese Adresse kennt, kann die Datei abrufen. Lade deshalb kein Profilbild hoch, das du nicht zeigen möchtest.

14. Klassenraum

Dieser Bereich ist noch nicht freigeschaltet. Bevor er startet, ergänzen wir diese Erklärung.

15. Minderjährige

Unser Angebot richtet sich an Auszubildende. Ein Konto kannst du ab 16 Jahren anlegen. Damit kannst du in die Verarbeitungen, die auf einer Einwilligung beruhen (etwa Mails mit Neuigkeiten oder die Anzeige des Namens beim Aufladen), selbst einwilligen (Art. 8 Abs. 1 DSGVO). Kostenpflichtige Käufe von Minderjährigen regeln unsere AGB.

16. Wo deine Daten liegen

Mit allen Anbietern, die in unserem Auftrag arbeiten, haben wir Verträge nach Art. 28 DSGVO geschlossen. Wo Daten in Drittländer gehen können, stützen wir uns auf das EU-US Data Privacy Framework oder die Standardvertragsklauseln der EU-Kommission.

17. Deine Rechte

Du hast das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch gegen Verarbeitungen aus berechtigtem Interesse (Art. 21). Eine Einwilligung kannst du jederzeit für die Zukunft widerrufen (Art. 7 Abs. 3). Schreib dafür an info@mfamacherei.de.

Du kannst dich außerdem bei einer Datenschutz-Aufsichtsbehörde beschweren. Für uns zuständig ist die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen, Kavalleriestraße 2–4, 40213 Düsseldorf.

18. Änderungen

Ändert sich unser Angebot oder die Rechtslage, passen wir diese Erklärung an. Es gilt die Fassung, die hier veröffentlicht ist.