Datenschutzerklärung

1. Verantwortlicher

Verantwortlich für die Datenverarbeitung auf merki.at ist:
Laura Edlinger, Dr. Karl-Renner-Promenade 16/1/19, 3100 St. Pölten, Österreich ·
E-Mail: kontakt@merki.at

Ein Datenschutzbeauftragter ist nicht bestellt, da keine gesetzliche Pflicht dazu besteht.

2. Grundsätze

Wir verarbeiten personenbezogene Daten nur, soweit es für den Betrieb der Plattform, die Vertragserfüllung und die Erfüllung gesetzlicher Pflichten erforderlich ist. Wir setzen keine Analyse-, Tracking- oder Werbe-Tools ein, betten keine Social-Media-Plugins ein und laden keine Schriftarten oder Skripte von Drittservern. Diese Erklärung beschreibt, welche Daten bei der Nutzung anfallen, wozu, wie lange sie gespeichert werden und welche Rechte Sie haben.

3. Besuch der Website (ohne Konto)

Beim Aufruf der Website übermittelt Ihr Browser technisch notwendige Daten an unseren Hosting-Anbieter: IP-Adresse, Datum und Uhrzeit, aufgerufene Seite, Browsertyp und -version, Betriebssystem, Referrer-URL. Diese Daten werden in Server-Protokollen verarbeitet, um die Website auszuliefern, ihre Sicherheit und Stabilität zu gewährleisten und Angriffe abzuwehren. Unsere Serverfunktionen laufen in der Region Frankfurt am Main; die weltweite Auslieferung statischer Dateien erfolgt über das Netzwerk des Hosting-Anbieters. Rechtsgrundlage: Art 6 Abs 1 lit f DSGVO (berechtigtes Interesse am sicheren Betrieb). Speicherdauer: Server-Protokolle werden vom Hosting-Anbieter kurzfristig, höchstens 30 Tage, gespeichert und danach gelöscht.

Schutz vor Missbrauch (Rate-Limiting): Bei Anmelde-, Registrierungs- und Passwort-Reset-Vorgängen speichern wir Ihre IP-Adresse und den verwendeten Benutzernamen für höchstens eine Minute im Arbeitsspeicher des Servers, um automatisierte Angriffe (Passwort-Raten, Massenregistrierung) zu begrenzen. Rechtsgrundlage: Art 6 Abs 1 lit f DSGVO.

4. Cookies und lokale Speicherung

Wir verwenden keine Tracking- oder Marketing-Cookies und daher auch kein Cookie-Banner.

• Session-Cookie merki_session: Wird beim Login gesetzt, ist verschlüsselt und signiert, httpOnly, secure, SameSite=Lax, Laufzeit 30 Tage. Es ist technisch erforderlich, damit Sie angemeldet bleiben (§ 165 Abs 3 TKG 2021, Art 6 Abs 1 lit b DSGVO). Es wird beim Abmelden gelöscht.
• Design-Einstellung merki-theme: Ihre Wahl zwischen dunklem und hellem Design wird im lokalen Speicher Ihres Browsers (localStorage) abgelegt — nur auf Ihrem Gerät, ohne Übertragung an uns. Sie ist für die von Ihnen gewünschte Darstellung erforderlich.

5. Registrierung und Benutzerkonto

Zur Nutzung des Lernbereichs ist ein Konto erforderlich. Dabei verarbeiten wir:

• Benutzername (öffentlich sichtbar, z. B. bei Community-Beiträgen)
• E-Mail-Adresse (Pflichtfeld; nicht öffentlich sichtbar) — für die Bestätigung Ihrer Adresse, das Zurücksetzen des Passworts, Rechnungen und Zahlungsbelege sowie Mitteilungen zu Ihrem Konto und wichtigen Änderungen des Dienstes. Neuigkeiten über Merki erhalten Sie nur, wenn Sie dem gesondert zugestimmt haben; derzeit versenden wir keine solchen Mails.
• Passwort — ausschließlich als bcrypt-Hash gespeichert; das Klartext-Passwort kennen wir nicht
• Anzeigename und Avatar (ein von Ihnen gewähltes Emoji; kein Foto-Upload)
• Rolle und Kontostatus (z. B. Team-Kennzeichnung, Sperre, Zeitpunkt der E-Mail-Bestätigung)
• Bestätigungs- und Reset-Links: Für die E-Mail-Bestätigung und das Zurücksetzen des Passworts erzeugen wir einmalig gültige, zeitlich begrenzte Links. Gespeichert wird nur ein Hash des Links sowie die Adresse, an die er ging; abgelaufene Einträge werden nach sieben Tagen gelöscht.

Rechtsgrundlage: Art 6 Abs 1 lit b DSGVO (Vertrag über die Nutzung der Plattform). Für Neuigkeiten per E-Mail: Art 6 Abs 1 lit a DSGVO (Einwilligung, jederzeit widerrufbar). Speicherdauer: bis zur Löschung Ihres Kontos.

Community-Anonymität: In der Community erscheint ausschließlich Ihr Benutzername. Ihr echter Name ist an keiner Stelle Pflichtangabe.

6. Nutzung der Lernplattform

Um Ihnen Ihren Lernfortschritt anzuzeigen und die Plattform bereitzustellen, verarbeiten wir:

• Lernfortschritt (welche Eselsbrücken Sie als gelernt markiert haben, Tages-Streak, Erfahrungspunkte, Level, Auszeichnungen, als bestanden markierte Prüfungen)
• Eigene Inhalte: Notizen, Entwürfe, Favoriten und Ordner (nur für Sie sichtbar, sofern Sie sie nicht einreichen oder veröffentlichen)
• Community-Inhalte: Beiträge, Kommentare, Bewertungen (für angemeldete Nutzerinnen und Nutzer sichtbar), Meldungen von Inhalten (nur für Administratoren sichtbar)
• Lerngruppen und Veranstaltungen: Mitgliedschaften und Anmeldungen
• Täglicher Check-in: Datum des letzten Besuchs (für Streak und Tages-Bonus)
• Feedback über das Feedback-Widget: Kategorie (Fehler, Idee, Lob, Sonstiges), Ihr Text, die Seite, auf der Sie das Widget geöffnet haben, Zeitpunkt und die Zuordnung zu Ihrem Konto — nur für Administratorinnen und Administratoren sichtbar; wir nutzen es ausschließlich zur Verbesserung der Plattform und antworten gegebenenfalls an Ihre Konto-E-Mail-Adresse

Rechtsgrundlage: Art 6 Abs 1 lit b DSGVO. Speicherdauer: bis zur Löschung des Kontos. Von Ihnen veröffentlichte Community-Beiträge, eingereichte Eselsbrücken und Ihr Feedback können nach Kontolöschung ohne Kontobezug (anonymisiert) erhalten bleiben, damit Diskussionen nachvollziehbar bleiben und die Sammlung vollständig bleibt — auf Wunsch löschen wir Beiträge und Kommentare vollständig.

7. Beta-Programm

Während einer Beta-Phase steht angemeldeten Testerinnen und Testern ein Beta-Bereich zur Verfügung. Nur dort und nur bei den genannten Aktionen verarbeiten wir zusätzlich:

• Feedbackbogen: Ihre Antworten (Auswahl, Skalen, Freitexte) und, wenn Sie das Feld ausfüllen, eine freiwillige Kontaktangabe für Rückfragen (Discord-Name oder E-Mail-Adresse)
• Testplan: je Testfall Ihr Ergebnis (in Ordnung, Fehler, übersprungen) und eine Fehlernotiz
• Gerätekontext beim Absenden des Bogens und beim Markieren eines Testfalls als Fehler oder übersprungen: Browser und Betriebssystem (User-Agent), Bildschirmgröße und Pixeldichte, Touch-Fähigkeit, Sprache, Online-Status, aufgerufene Seite, App-Version, Zeitpunkt
• Browser-Fehlerberichte: Unbehandelte Fehler in der App werden mit Fehlermeldung, technischem Ablauf (Stack), aufgerufener Seite und demselben Gerätekontext an uns gesendet (höchstens 20 pro Stunde und Konto)

Es findet kein Seitenaufruf-Tracking statt, und kein Dienst Dritter ist beteiligt. Die Daten sind nur für Administratorinnen und Administratoren sichtbar und dienen ausschließlich dazu, Fehler zu finden und die Plattform vor dem Start zu verbessern. Rechtsgrundlage: Art 6 Abs 1 lit f DSGVO (berechtigtes Interesse an einer funktionierenden Plattform); für die freiwillige Kontaktangabe Art 6 Abs 1 lit a DSGVO. Speicherdauer: Browser-Fehlerberichte 90 Tage; Feedbackbogen und Testplan bis sechs Monate nach Ende des Beta-Programms, danach Löschung oder Anonymisierung. Bei Kontolöschung werden Freitexte und die Kontaktangabe sofort entfernt.

8. Premium-Abo und Zahlungsabwicklung (Stripe)

Premium-Abos werden über den Zahlungsdienstleister Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Grand Canal Dock, Dublin 2, Irland, abgewickelt.

• Beim Kauf werden Sie zu Stripe weitergeleitet. Dort geben Sie Ihre Zahlungsdaten (z. B. Karte, Apple Pay, Google Pay, EPS, Klarna, Link, Bancontact, SEPA-Lastschrift) direkt bei Stripe ein. Zahlungsdaten erreichen unsere Server zu keinem Zeitpunkt.
• Wir übermitteln an Stripe Ihre E-Mail-Adresse und eine interne Kundenkennung; Stripe übermittelt uns den Status Ihres Abos (aktiv, gekündigt, Zahlungsverzug), den gewählten Tarif und das Ende des Abrechnungszeitraums. Wir speichern nur diese Statusdaten und die Stripe-Kundennummer.
• Rechnungen, Zahlungsbelege, Zahlungs- und Verlängerungserinnerungen sowie das Kundenportal (Kündigung, Zahlungsmittel ändern, Rechnungen abrufen) stellt Stripe in unserem Auftrag bereit.
• Stripe verarbeitet Daten teilweise in den USA. Grundlage: EU-US Data Privacy Framework (Stripe, Inc. ist zertifiziert) sowie Standardvertragsklauseln. Stripe ist als Zahlungsdienstleister außerdem eigenständig Verantwortlicher für die Betrugsprävention und gesetzliche Pflichten (z. B. Geldwäsche-Prävention). Datenschutzerklärung von Stripe: https://stripe.com/at/privacy

Rechtsgrundlage: Art 6 Abs 1 lit b DSGVO (Vertrag) und lit c (steuer- und handelsrechtliche Aufbewahrungspflichten). Speicherdauer: Abrechnungsdaten und Rechnungen sieben Jahre ab Ende des Kalenderjahres (§ 132 BAO), danach Löschung.

9. Hosting, Datenbank und E-Mail-Versand (Auftragsverarbeiter)

• Hosting: Vercel Inc., 440 N Barranca Ave #4133, Covina, CA 91723, USA. Vercel liefert die Website aus, führt unsere Serverfunktionen in der Region Frankfurt am Main aus und speichert Server-Protokolle. Vercel ist nach dem EU-US Data Privacy Framework zertifiziert; zusätzlich gelten die Standardvertragsklauseln der EU-Kommission im Auftragsverarbeitungsvertrag. Datenschutzerklärung: https://vercel.com/legal/privacy-policy
• Datenbank: Databricks, Inc., 160 Spear Street, 15th Floor, San Francisco, CA 94105, USA (Anbieterin des Datenbankdienstes Neon, gemeinsam mit ihrer Tochter Neon, LLC). Alle Konto-, Lern-, Community- und Beta-Daten liegen in einer Datenbank in der Region Frankfurt am Main (Deutschland). Databricks, Inc. und Neon, LLC sind nach dem EU-US Data Privacy Framework zertifiziert; Standardvertragsklauseln im Auftragsverarbeitungsvertrag. Datenschutzerklärung: https://www.databricks.com/legal/privacynotice
• Domain und E-Mail-Versand: IONOS SE, Elgendorfer Str. 57, 56410 Montabaur, Deutschland (Domain merki.at; Versand der Konto-E-Mails über no-reply@merki.at, Postfach kontakt@merki.at). Datenschutzerklärung: https://www.ionos.at/datenschutzerklaerung

Mit allen genannten Anbietern bestehen Auftragsverarbeitungsverträge gemäß Art 28 DSGVO.

10. Externe Links (Discord, TikTok)

Unsere Website verlinkt auf unseren Discord-Server und unseren TikTok-Kanal. Beim Anklicken verlassen Sie merki.at; erst dann verarbeitet der jeweilige Anbieter Ihre Daten nach seinen eigenen Bestimmungen. Wir betten keine Inhalte dieser Dienste ein.

11. Kontakt per E-Mail

Wenn Sie uns per E-Mail kontaktieren, verarbeiten wir Ihre Angaben zur Bearbeitung der Anfrage (Art 6 Abs 1 lit b bzw. lit f DSGVO) und löschen sie, sobald die Anfrage erledigt ist und keine Aufbewahrungspflichten entgegenstehen.

12. Ihre Rechte

Sie haben das Recht auf Auskunft (Art 15), Berichtigung (Art 16), Löschung (Art 17), Einschränkung der Verarbeitung (Art 18), Datenübertragbarkeit (Art 20) und Widerspruch gegen Verarbeitungen auf Basis berechtigter Interessen (Art 21 DSGVO). Eine erteilte Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen.

Benutzername, Anzeigename, Avatar, E-Mail-Adresse und Passwort können Sie selbst im Konto ändern. Für die Löschung Ihres Kontos schreiben Sie an kontakt@merki.at von der im Konto hinterlegten E-Mail-Adresse; wir löschen Ihr Konto samt Lern- und Inhaltsdaten innerhalb von 30 Tagen und bestätigen Ihnen das. Ein laufendes Premium-Abo wird dabei zum Ende des bezahlten Zeitraums beendet. Abrechnungsdaten bleiben aus steuerrechtlichen Gründen sieben Jahre gesperrt gespeichert.

Wenn Sie der Ansicht sind, dass die Verarbeitung Ihrer Daten gegen Datenschutzrecht verstößt, können Sie sich bei der Österreichischen Datenschutzbehörde, Barichgasse 40–42, 1030 Wien, dsb@dsb.gv.at, www.dsb.gv.at beschweren.

13. Datensicherheit

Die Verbindung zu merki.at ist durchgehend TLS-verschlüsselt (HTTPS mit HSTS); eine strenge Content-Security-Policy verhindert das Nachladen fremder Skripte. Passwörter werden ausschließlich gehasht gespeichert. Der Zugriff auf Konto- und Abrechnungsdaten ist auf die Betreiberin und das von ihr beauftragte Team beschränkt; Administratorinnen und Administratoren sehen Benutzername, E-Mail-Adresse, Rolle, Abo-Status, Meldungen, Feedback und Beta-Daten, aber niemals Passwörter oder Zahlungsdaten.

14. Änderungen

Wir passen diese Erklärung an, wenn sich der Dienst oder die Rechtslage ändert. Die jeweils aktuelle Fassung ist unter https://www.merki.at/datenschutz abrufbar.

Stand: 27. September 2026