Datenschutzerklärung
Der Schutz deiner persönlichen Daten ist uns wichtig. Diese Erklärung informiert dich gemäß der Datenschutz-Grundverordnung (DSGVO) darüber, welche personenbezogenen Daten bei der Nutzung von Atrio verarbeitet werden, zu welchem Zweck und auf welcher Rechtsgrundlage.
Zuletzt aktualisiert: 30. September 2026
Inhalt dieser Erklärung
1.Verantwortlicher#
Verantwortlicher im Sinne der DSGVO und anderer nationaler Datenschutzgesetze ist:
Christoph Beer
Barbara-Kayser-Straße 1
70825 Korntal-Münchingen, Deutschland
E-Mail: atrio@christophbeer.de
2.Überblick über die Verarbeitung#
Atrio ist ein Lernwerkzeug, mit dem du Notizen, Skripte, PDFs und Bilder in Karteikarten verwandeln und mit Spaced Repetition lernen kannst. Die Anwendung verarbeitet personenbezogene Daten nur so weit, wie es für den Betrieb und die Bereitstellung der Funktionen erforderlich ist.
Wir verarbeiten keine Daten auf Grundlage einer Einwilligung, setzen keine Tracking- oder Werbe-Cookies ein und verkaufen keine Daten. Die Verarbeitung stützt sich auf Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) und Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem sicheren, stabilen und funktionsfähigen Dienst).
3.Hosting#
Diese Website wird bei Vercel Inc. (340 S Lemon Ave #4133, Walnut, CA 91789, USA) gehostet. Beim Aufruf der Website verarbeitet Vercel technisch erforderliche Daten (insbesondere IP-Adresse, Uhrzeit und aufgerufene Seiten). Dies dient der Bereitstellung, Sicherheit und Stabilität des Dienstes. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO.
Vercel verarbeitet Daten teilweise in Rechenzentren außerhalb der EU (insbesondere in den USA). Vercel ist nach dem EU-US Data Privacy Framework zertifiziert und zusätzlich setzen wir, soweit erforderlich, die EU-Standardvertragsklauseln ein. Weitere Informationen findest du in der Datenschutzerklärung von Vercel.
Dateispeicher (Vercel Blob)
Beim KI-Import und bei Uploads werden hochgeladene Dateien (Bilder, PDFs, CSV- oder Textdateien) an den Objektspeicher von Vercel (Vercel Blob) übermittelt und dort für die Verarbeitung zwischengespeichert. Die Dateien können Lerninhalte oder andere Angaben enthalten, die du selbst zur Verfügung stellst. Dies erfolgt ausschließlich, um die gewünschte Importfunktion auszuführen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.
Auch diese Daten werden auf Servern von Vercel verarbeitet (u. a. in den USA) und fallen unter die oben genannten Garantien (EU-US Data Privacy Framework bzw. Standardvertragsklauseln). Lade nur Dateien hoch, die du selbst erstellt hast oder deren Verarbeitung dir erlaubt ist.
Nutzungsstatistik (Vercel Web Analytics)
Wir verwenden die Web Analytics von Vercel, um die Nutzung der Website zu verstehen und den Dienst zu verbessern. Die Erfassung ist in der Grundlayout-Komponente aktiv und gilt daher für alle Seiten von Atrio. Erfasst werden Seitenaufrufe sowie aggregierte Angaben zu Referrer, Gerät, Browsersprache, Auflösung und ungefäherem Standort. IP-Adressen werden nicht dauerhaft gespeichert; Vercel Web Analytics setzt keine dauerhaften Besucher-IDs, keine Werbe-IDs und kein Fingerprinting ein und legt keine profilierten Cookies an. Die Auswertung erfolgt ausschließlich aggregiert, einzelne Personen lassen sich daraus nicht ableiten, und die Daten werden nicht für Werbezwecke an Dritte weitergegeben. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem stabilen und nutzbaren Dienst). Die Erfassung lässt sich über aktivierte Werbeblocker, die Einstellungen deines Browsers oder das Do-Not-Request-Signal deines Browsers einschränken.
Spamschutz (Cloudflare Turnstile)
Um die Registrierung, die Warteliste, die Feedback-Umfrage und den Gast-Import vor automatisiertem Missbrauch (Bots) zu schützen, setzen wir den Dienst Cloudflare Turnstile ein (Cloudflare Inc., 101 Townsend St, San Francisco, CA 94107, USA). Beim Laden des Schutz-Widgets wird deine IP-Adresse sowie technische Informationen über deinen Browser an Cloudflare übermittelt und dort verarbeitet, um zu bewerten, ob die Anfrage von einer menschlichen Person stammt. Weitere personenbezogene Daten übermitteln wir nicht an Cloudflare. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Abwehr von Missbrauch und Spam). Cloudflare verarbeitet Daten in den USA auf Grundlage des EU-US Data Privacy Framework bzw. der EU-Standardvertragsklauseln. Weitere Informationen findest du in der Datenschutzerklärung von Cloudflare.
4.Server-Logfiles#
Der Hosting-Anbieter erhebt beim Zugriff auf die Website automatisch Informationen in sogenannten Server-Logfiles, die dein Browser übermittelt:
- IP-Adresse des anfragenden Geräts
- Datum und Uhrzeit der Anfrage
- aufgerufene Seite / URL
- HTTP-Statuscode und übertragene Datenmenge
- Browsertyp, Browserversion und Betriebssystem
- Referrer-URL (zuvor besuchte Seite)
Diese Daten werden nicht mit anderen Datenquellen zusammengeführt und nicht zur Identifizierung von Personen genutzt. Sie dienen der Auslieferung der Inhalte, der Gewährleistung der IT-Sicherheit und der Fehleranalyse. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem sicheren und stabilen Betrieb). Die Logfiles werden so lange gespeichert, wie dies für die genannten Zwecke erforderlich ist, und anschließend gelöscht.
5.Cookies und lokaler Speicher#
Session-Cookie „ar_session“
Wenn du dich anmeldest, setzen wir ein technisch notwendiges Session-Cookie, damit du angemeldet bleiben kannst. Es enthält keinen Klartext-Passwortwert; serverseitig wird nur ein Hash-Wert des Tokens gespeichert. Das Cookie gilt bis zu 30 Tage und wird danach automatisch ungültig. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Bereitstellung des Kontos bzw. der angemeldeten Funktionen).
Lokaler Speicher (localStorage / IndexedDB)
Für die Darstellung von Einstellungen und Offline-Funktionen speichert dein Browser Daten lokal auf deinem Gerät:
- „ar-theme“ und „ar-accent“ – deine Darstellungs- und Farbpräferenzen
- „guest_cards“ – im Gast-Modus erstellte Karten (bleiben ausschließlich auf deinem Gerät)
- „atrion_anon_id“ – eine zufällige Kennung, die auf deinem Gerät erzeugt wird, um dein Zahlungs- bzw. Interessessignal zuorden und Doppelmeldungen erkennen zu können
- Offline-Cache (IndexedDB) – eine lokale Kopie deiner Lerninhalte für die Offline-Nutzung
- Lernsitzungs-Cache – eine Zwischenablage für gerade gelaufene Lern-Sitzungen
Die Einstellungen, Gastkarten und Caches verbleiben auf deinem Endgerät und werden nicht an uns oder Dritte übertragen. Anders ist es bei „atrion_anon_id“: Diese Kennung wird bei einem Zahlungs- bzw. Interessessignal zusammen mit deinem Signal an unseren Server übertragen und in der Datenbank gespeichert. Sie dient ausschließlich der Zuordnung und dem Schutz vor Missbrauch und Doppelmeldungen, nicht der Profilbildung oder der Nachverfolgung deines Lernverhaltens; mit der Kennung ist kein Konto verknüpft, solange du nicht angemeldet bist. Du kannst den lokalen Speicher jederzeit über die Funktionen deines Browsers löschen.
Wir verwenden keine Cookies für Werbung, Tracking oder Profilbildung von Drittanbietern. Die unter Abschnitt 3 beschriebene Web-Analytics-Erfassung erfolgt ohne Profilbildung; sie ist in der Praxis über Werbeblocker deaktivierbar und setzt kein identifizierendes Cookie.
6.Registrierung und Konto#
Für die Nutzung der Lernfunktionen kannst du ein Konto anlegen. Dabei verarbeiten wir folgende Angaben:
- Benutzername (öffentlich sichtbar als dein Anzeigename)
- E-Mail-Adresse (für Konto- und Supportzwecke)
- Passwort – wird ausschließlich als kryptografischer Hash (bcrypt) gespeichert
- Zeitpunkt der Registrierung
- Konto-Einstellungen (z. B. Tagesziele, Erinnerungsrate, Farbschema)
Die Verarbeitung dient der Bereitstellung deines Kontos und der Nutzung der angemeldeten Funktionen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.
7.Lerninhalte#
Deine Lerninhalte – Karteikarten, Decks, Ordner, Prüfungstermine, Fächer sowie deine Wiederholungsstatistiken (Spaced Repetition) – werden gespeichert, um dir den Lernbetrieb auf allen Geräten zu ermöglichen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.
Soweit du ein Deck über die Community-Funktion teilst, werden ausgewählte Inhalte (Deck-Titel, Karten) sowie dein Benutzername als Autorenangabe für andere Nutzer sichtbar und können über die Suche gefunden werden. Teile daher keine Karten, die personenbezogene oder vertrauliche Angaben enthalten. Du kannst die Freigabe jederzeit widerrufen, danach ist das Deck für andere nicht mehr abrufbar.
Übernahme aus Lernkarten-Seiten
Atrio bietet öffentliche Lernkarten-Seiten zu Studienfächern an. Wenn du als angemeldeter Nutzer ein solches Deck in dein Konto übernimmst, wird eine Conversion-Zeile gespeichert – deine Nutzerkennung, die Kennung (ID) der aufgerufenen Lernkarten-Seite samt ihrem Slug, die Kennung des erzeugten Decks und der Zeitpunkt. Zweck ist allein die Bewertung, welche Themen und Seiten zu einer erfolgreichen Nutzung führen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Durchführung des Dienstes inklusive Optimierung).
Für diese Übernahme-Erfassung gelten keine Cookies und es werden keine Besucher-IDs, IP-Adressen, Geräte-Fingerprints oder sonstige Kennungen von Gast-Besuchern gespeichert. Für die Lernkarten-Seiten führen wir keine eigene, über die allgemeine Web-Statistik hinausgehende Klick- oder Seitenaufruf-Zählung; Seitenaufrufe werden durch die unter Abschnitt 3 beschriebene Web Analytics aggregiert erfasst. Die Auswertung der Übernahmen erfolgt ausschließlich aggregiert (Anzahl der Conversions pro Zeitraum und pro Slug); einzelne Nutzerkennungen werden dafür nicht ausgegeben. Conversion-Daten sind im Datenexport enthalten.
Wird eine Übernahme erst nach der Registrierung abgeschlossen, merkt sich Atrio den beabsichtigten Vorgang für höchstens 30 Minuten lokal in deinem Browser. Dabei werden ausschließlich die Kennung des Decks, die Kennung (ID) der Lernkarten-Seite, die Rückkehr-Adresse innerhalb von Atrio und der Zeitpunkt gespeichert. Diese Angaben verlassen dein Gerät nicht. Der Eintrag wird gelöscht, sobald die Übernahme abgeschlossen ist oder sobald du die Registrierungsseite das nächste Mal aufrufst und der Eintrag älter als 30 Minuten ist; eine automatische Löschung zu einem festen Zeitpunkt findet nicht statt. Solange du nicht angemeldet bist, ist der Eintrag nicht mit deinem Konto verknüpft.
Die Conversion-Daten werden gespeichert, solange die Zeile in der Datenbank besteht; die Zeile enthält deine Nutzerkennung und wird nicht automatisch mitgelöscht. Eine automatische Löschung nach Ablauf einer Frist findet nicht statt. Du kannst die Daten über den Datenexport jederzeit einsehen und ihre Löschung per Anfrage an atrio@christophbeer.de verlangen; die Löschung betrifft auch das zugehörige kopierte Deck, sofern dieses keine eigenen Lernhistorie-Daten enthält. Eine automatische Self-Service-Löschung über die Einstellungen besteht nicht.
Anders ist das beim KI-Import für nicht angemeldete Besucher: Für das Missbrauchs- und Rate-Limit wird dort ein pseudonymises Gerätekennzeichen (SHA-256-Hash aus IP-Adresse, User-Agent und Accept-Language) verwendet. Auch dabei wird keine IP-Adresse im Klartext gespeichert, das Kennzeichen kann aber einer Person zugeordnet sein. Details in Abschnitt 8.
8.KI-gestützter Import#
Über die Funktion „KI-Import“ kannst du Texte, Bilder und PDF-Seiten hochladen, um daraus automatisch Karteikarten zu erzeugen. Damit diese Funktion funktioniert, werden deine hochgeladenen Inhalte zusammen mit einem Verarbeitungsauftrag an einen KI-Dienst übermittelt:
- OpenRouter (openrouter.ai) – dem Standard-Anbieter für KI-gestützte Verarbeitung, oder
- Nscale (inference.api.nscale.com) – als Fallback-Anbieter, sofern konfiguriert.
Die übermittelten Daten dienen ausschließlich der Erzeugung deiner Karteikarten und werden von uns nicht zu anderen Zwecken verwendet. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Erbringung der gewünschten Funktion). Bitte lade nur Material hoch, das du selbst erstellt hast oder zu dessen Verarbeitung du berechtigt bist.
Um doppelte Kosten bei identischen Importen zu vermeiden, werden Antworten der KI-Dienste in einem Zwischenspeicher (Cache) in unserer Datenbank abgelegt. Gespeichert wird die vom Modell erzeugte Antwort als Text. Das bedeutet: Die Bilddatei selbst wird nicht gespeichert, die aus deinem Material abgeleiteten Inhalte aber sehr wohl. Bei den verlustfreien Import-Modi „Vokabelliste“ und „Handschrift“ enthält die gespeicherte Antwort eine wörtliche Transkription deines Materials; auch bei der Kartenerkennung werden erkannte Themen und Formulierungen übernommen.
Als Schlüssel dient die kryptografische Prüfsumme (SHA-256) der vollständigen Anfrage an das KI-Modell. Der Cache ist nicht an dein Konto gebunden. Wird exakt dieselbe Datei mit denselben Einstellungen erneut importiert, kann die bereits gespeicherte Antwort wiederverwendet werden – auch durch eine andere Person. Der gespeicherte Eintrag ist höchstens 24 Stunden abrufbar und wird zusätzlich nächtlich bereinigt.
Die genannten Anbieter können die Daten zur Erfüllung des Auftrags in Rechenzentren außerhalb der EU verarbeiten. Soweit erforderlich erfolgt dies auf Grundlage des EU-US Data Privacy Framework bzw. der EU-Standardvertragsklauseln. Weitere Informationen findest du in der Datenschutzerklärung von OpenRouter.
Hinweis zu KI-generierten Inhalten
Karteikarten werden von einem KI-Modell erzeugt. Inhalte können Fehler enthalten. Prüfe die erzeugten Karten vor dem Lernen und vor der Verwendung für Prüfungen. Dies stellt keine automatisierte Entscheidungsfindung im Sinne von Art. 22 DSGVO dar.9.Freiwillige Feedback-Umfrage#
Wir können dich im Rahmen der Produktentwicklung freiwillig nach deiner Einschätzung fragen, z. B. zu Features oder einer möglichen Preismodell-Gestaltung. Wenn du daran teilnimmst, speichern wir deine Antworten in Verbindung mit deinem Konto:
- Deine Einschätzung (z. B. Ja / Vielleicht / Nein)
- Einen von dir genannten Preisvorstellungswert (optional)
- Einen von dir eingegebenen Freitext-Kommentar (optional)
Die Teilnahme ist freiwillig. Angaben, die du nicht machen möchtest, kannst du weglassen. Die Daten dienen ausschließlich der Verbesserung des Produkts. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Produktentwicklung) bzw. deine freiwillige Bereitstellung der Angaben. Du kannst die Löschung jederzeit verlangen.
10.Warteliste und E-Mail-Versand#
Auf der Preisseite kannst du dich für den kostenpflichtigen Plan „Der Endspurt“ auf eine Warteliste eintragen. Dabei verarbeiten wir:
- Deine E-Mail-Adresse – für die Einladung zur ersten Gründer-Welle
- optional dein Prüfungsdatum und eine Bezeichnung (z. B. „Mathe LK“)
- optional einen von dir genannten Preiswert und einen Freitext-Kommentar
- deine Wartelisten-Position sowie den Status (angemeldet / eingeladen / umgewandelt)
Rechtsgrundlage ist deine Anmeldung als Anfrage zur (späteren) Vertragsschließung (Art. 6 Abs. 1 lit. b DSGVO). Einladungen und Informationen werden per E-Mail über Resend Inc. (USA) versendet. Übermittlungen in die USA erfolgen auf Grundlage des EU-US Data Privacy Framework bzw. der EU-Standardvertragsklauseln.
Du kannst deine Eintragung und die Löschung deiner E-Mail-Adresse jederzeit über die unten genannten Kontaktwege verlangen.
11.Datenbank#
Deine Kontodaten und Lerninhalte werden in einer verwalteten Cloud-Datenbank (libsql/Turso) gespeichert, die für hohe Verfügbarkeit an mehreren Standorten verteilt sein kann. Eine Verarbeitung kann daher außerhalb der EU erfolgen. Soweit erforderlich erfolgt die Übermittlung auf Grundlage geeigneter Garantien (EU-Standardvertragsklauseln bzw. Angemessenheitsbeschlüsse).
Zugriff auf deine Daten haben ausschließlich das System selbst und der Verantwortliche. Es findet keine Weitergabe an Dritte für Werbezwecke statt.
12.Auftragsverarbeiter im Überblick#
Für die in dieser Erklärung beschriebenen Verarbeitungen setzen wir die folgenden Auftragsverarbeiter (Art. 28 DSGVO) ein. Sie verarbeiten Daten ausschließlich nach unseren Weisungen und nur soweit dies für den jeweiligen Zweck erforderlich ist. Soweit Daten in Drittländer (insbesondere die USA) übermittelt werden, erfolgt dies auf Grundlage des EU-US Data Privacy Framework bzw. der EU-Standardvertragsklauseln.
- Vercel Inc. (USA) – Hosting der Website, Objektspeicher (Vercel Blob) für hochgeladene Dateien sowie Web-Analytics (Nutzungsstatistik)
- Turso (Vereinigtes Königreich) – verwaltete libsql-Datenbank für Kontodaten und Lerninhalte
- OpenRouter (USA) – KI-gestützte Verarbeitung beim Import (Standard-Anbieter)
- Nscale (USA) – KI-gestützte Verarbeitung beim Import (Fallback-Anbieter)
- Cloudflare Inc. (USA) – Spamschutz (Turnstile) bei Registrierung, Warteliste, Umfragen und Gast-Import
- Resend Inc. (USA) – Versand von E-Mails, z. B. Wartelisten-Einladungen
13.Sicherheitsmaßnahmen#
Wir treffen technische und organisatorische Maßnahmen, um deine Daten gegen Verlust, Missbrauch und unberechtigten Zugriff zu schützen:
- Verschlüsselte Übertragung per TLS/HTTPS
- Passwörter werden ausschließlich als bcrypt-Hash gespeichert
- Session-Tokens werden nur als Hash (SHA-256) in der Datenbank abgelegt
- Rate-Limiting und CSRF-Schutz an den API-Schnittstellen
- Zugriffsrechte nach dem Prinzip der geringsten Rechte
14.Speicherdauer und Löschung#
Deine Daten werden nur so lange gespeichert, wie dies für die genannten Zwecke erforderlich ist oder gesetzliche Aufbewahrungsfristen dies verlangen.
- Kontodaten und Lerninhalte: solange dein Konto besteht. Eine Kontolöschung erfolgt auf deine Anfrage über die unten genannten Kontaktwege (eine automatische Lösch-Funktion im Konto gibt es derzeit nicht).
- Session-Daten: bis zum Ablauf der Sitzung (max. 30 Tage).
- Server-Logfiles: nur so lange wie für Sicherheit und Fehleranalyse erforderlich.
- Beim KI-Import hochgeladene Quelldateien: für die Dauer der Verarbeitung in Vercel Blob; eine automatische Löschung erfolgt derzeit nicht. Du kannst die Löschung jederzeit verlangen.
- Zwischenspeicher für KI-Antworten (Cache): gespeicherte Einträge sind höchstens 24 Stunden abrufbar, danach werden sie zusätzlich nächtlich bereinigt. Der Cache enthält aus deinem Material abgeleitete Inhalte, nicht die Bilddatei selbst. Nähere Angaben in Abschnitt 8.
- Conversion-Daten aus Lernkarten-Seiten: solange die zugehörige Datenbankzeile besteht. Sie werden nicht automatisch mit dem Konto gelöscht, sind im Datenexport enthalten und werden auf Anfrage gelöscht.
Wenn du dein Konto löschen möchtest, schreibe uns über die unten genannten Kontaktwege. Wir kommen einer Löschung unverzüglich nach.
15.Deine Rechte als betroffene Person#
Dir stehen bezüglich deiner personenbezogenen Daten folgende Rechte zu:
- Auskunft über die von uns verarbeiteten Daten (Art. 15 DSGVO)
- Berichtigung unrichtiger Daten (Art. 16 DSGVO)
- Löschung deiner Daten (Art. 17 DSGVO)
- Einschränkung der Verarbeitung (Art. 18 DSGVO)
- Datenübertragbarkeit (Art. 20 DSGVO) – du kannst deine Daten jederzeit im Bereich „Einstellungen“ als JSON-Datei herunterladen
- Widerspruch gegen die Verarbeitung (Art. 21 DSGVO)
- Beschwerde bei einer Datenschutz-Aufsichtsbehörde (Art. 77 DSGVO)
Zur Ausübung dieser Rechte genügt eine formlose Mitteilung an die oben genannte E-Mail-Adresse. Die für dich zuständige Aufsichtsbehörde richtet sich nach deinem Bundesland bzw. Wohnort.
16.Keine automatisierte Entscheidungsfindung#
Wir setzen keine Verfahren zur automatisierten Entscheidungsfindung einschließlich Profiling im Sinne von Art. 22 DSGVO ein, die für dich rechtliche Wirkung entfalten oder dich in ähnlicher Weise beeinträchtigen.
17.Änderungen dieser Datenschutzerklärung#
Wir behalten uns vor, diese Datenschutzerklärung anzupassen, damit sie stets den aktuellen rechtlichen Anforderungen entspricht oder um Änderungen unserer Leistungen abzubilden. Es gilt die jeweils veröffentlichte Fassung. Das Datum der letzten Aktualisierung findest du am Anfang dieser Seite.
18.Kontakt bei datenschutzrechtlichen Anliegen#
Für Fragen zur Datenverarbeitung, zur Ausübung deiner Rechte oder bei Bedenken zur Verarbeitung deiner Daten wende dich jederzeit an uns:
Christoph Beer
E-Mail: atrio@christophbeer.de
Bei datenschutzrechtlichen Fragen erreichst du uns auch über die Seite Impressum.