Datenschutzerklärung
Stand: 25. Juni 2026 · Gemäss Schweizer DSG (nDSG, in Kraft seit 1. September 2023)
1. Verantwortliche Stelle
Verantwortlich für die Bearbeitung Ihrer Personendaten gemäss Art. 5 lit. j nDSG:
Bruno Staub
Unterlachenstrasse 17
6005 Luzern
Schweiz
2. Bearbeitungsgrundsätze
Wir bearbeiten Personendaten nur, wenn eine Rechtsgrundlage besteht – insbesondere zur Vertragserfüllung (Art. 31 Abs. 2 lit. a nDSG), aufgrund einer Einwilligung (Art. 31 Abs. 1 nDSG) oder zur Wahrung unserer überwiegenden berechtigten Interessen (Art. 31 Abs. 2 lit. b nDSG).
3. Welche Daten wir bearbeiten
| Datenkategorie | Zweck | Speicherdauer |
|---|---|---|
| E-Mail-Adresse, Passwort (gehashed) | Authentifizierung / Kontozugang | Bis Kontolöschung |
| Name (optional) | Personalisierung | Bis Kontolöschung |
| Lernkarten & Decks | Kernfunktionalität | Bis Kontolöschung |
| Lernstatistiken & Bewertungen | SM-2-Algorithmus, Fortschritt | Bis Kontolöschung |
| Zahlungsdaten (via Stripe) | Abonnementabwicklung | Gesetzliche Aufbewahrungspflicht (10 Jahre) |
| IP-Adresse, Browser-Info | Sicherheit, Fehlerbehebung | 30 Tage (Logs) |
| Hochgeladene Medien (Bilder, Audio) | Kartendarstellung (Pro/Premium) | Bis Löschung durch Nutzer |
4. Drittanbieter und Auftragsbearbeiter
Wir setzen folgende Drittanbieter ein, mit denen Auftragsbearbeitungsverträge bestehen:
Supabase Inc. (USA)
Datenbankhosting, Authentifizierung, Dateispeicherung. Datenübertragung in die USA auf Basis von Standardvertragsklauseln.
Stripe Inc. (USA)
Zahlungsabwicklung. Stripe verarbeitet Zahlungsdaten eigenständig und unterliegt PCI-DSS-Zertifizierung.
OpenAI Inc. (USA) – nur PREMIUM
KI-gestützte Kartengenerierung. Nur die zur Anfrage notwendigen Texte werden übermittelt. Keine dauerhafte Speicherung durch OpenAI (Zero Data Retention Policy aktiv).
Vercel Inc. (USA)
Hosting der Webanwendung. Temporäre Logs enthalten IP-Adressen.
Die Übermittlung von Personendaten in die USA erfolgt gestützt auf geeignete Garantien gemäss Art. 16 nDSG (Standardvertragsklauseln der EU, anerkannt von der Schweiz).
5. Cookies und lokale Speicherung
Wir verwenden ausschliesslich technisch notwendige Cookies für die Sitzungsverwaltung (httpOnly-Cookies für die Authentifizierung). Es werden keine Tracking- oder Werbe-Cookies gesetzt. Keine Einwilligung gemäss Art. 45c FMG erforderlich.
6. Ihre Rechte
Sie haben gemäss nDSG folgende Rechte gegenüber Flashy:
Auskunftsrecht (Art. 25 nDSG)
Sie erhalten Auskunft über alle zu Ihrer Person gespeicherten Daten.
Berichtigungsrecht (Art. 32 nDSG)
Unrichtige Daten werden auf Antrag korrigiert.
Löschungsrecht (Art. 32 nDSG)
Sie können die Löschung Ihrer Daten verlangen, soweit keine Aufbewahrungspflicht besteht.
Datenherausgabe (Art. 28 nDSG)
Sie können Ihre Daten in einem maschinenlesbaren Format exportieren (JSON/CSV im Dashboard verfügbar).
Widerspruchsrecht
Sie können der Bearbeitung für Marketingzwecke jederzeit widersprechen.
Beschwerderecht
Sie haben das Recht, beim Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) Beschwerde einzureichen.
Anfragen richten Sie bitte an [email protected]. Wir antworten innerhalb von 30 Tagen.
7. Datensicherheit
Alle Datenübertragungen sind mit TLS 1.3 verschlüsselt. Passwörter werden mittels bcrypt gehasht und nie im Klartext gespeichert. Der Zugriff auf Produktionsdaten ist auf authorisierte Personen beschränkt und wird protokolliert.
8. Änderungen dieser Erklärung
Wir behalten uns vor, diese Datenschutzerklärung anzupassen. Bei wesentlichen Änderungen werden Sie per E-Mail benachrichtigt. Das Datum der letzten Änderung ist oben angegeben.
9. Kontakt Datenschutz
Bei Fragen zum Datenschutz oder zur Geltendmachung Ihrer Rechte kontaktieren Sie uns unter: [email protected]