Datenschutzerklärung

Für die Website mental-math.elias-steffen.de und die iOS-App „Mental Math“. Kurz gesagt: Ohne Konto bleiben deine Trainingsdaten auf deinem Gerät. Es gibt kein Tracking, keine Werbung und keine Analyse-Tools.

Stand: 1. November 2026

1. Verantwortlicher

Elias SteffenE-Mail: mail(at)elias-steffen.de

2. Aufruf der Website und der App

Website und Server-Schnittstellen werden von Cloudflare, Inc. (101 Townsend St, San Francisco, CA 94107, USA) ausgeliefert. Dabei verarbeitet Cloudflare technisch notwendige Verbindungsdaten (IP-Adresse, Zeitpunkt, aufgerufene Adresse, Browser- bzw. App-Kennung), um die Inhalte auszuliefern und Angriffe abzuwehren. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (sicherer und stabiler Betrieb). Cloudflare kann Daten auch in den USA verarbeiten und ist nach dem EU-US Data Privacy Framework zertifiziert.

Die iOS-App enthält alle Inhalte selbst und verbindet sich nur für die optionalen Funktionen unten mit dem Server. Für den Download aus dem App Store gelten die Datenschutzbestimmungen von Apple.

3. Daten auf deinem Gerät

Trainingsverlauf, Ergebnisse, Statistiken und Einstellungen speichert die App im Speicher deines Browsers bzw. der App auf deinem Gerät. Ohne Konto verlassen sie das Gerät nicht. Du kannst sie unter Profil exportieren, importieren und löschen; sie verschwinden auch, wenn du die App oder die Website-Daten im Browser löschst.

4. Konto und Synchronisierung (optional)

Wenn du ein Konto anlegst, speichern wir:

deinen frei gewählten Benutzernamen (keine E-Mail-Adresse, kein Klarname nötig),
für jeden Passkey den öffentlichen Schlüssel, seine Kennung und Zeitpunkte der Nutzung – der private Schlüssel bleibt auf deinem Gerät bzw. in deinem Passwortmanager (z. B. iCloud-Schlüsselbund), für den die Bestimmungen seines Anbieters gelten,
Anmeldesitzungen und deinen Wiederherstellungscode nur als Hash-Wert,
deine Trainingsdaten zur Synchronisierung zwischen deinen Geräten (Runden, Ergebnisse je Aufgabe mit Aufgabe, Antwort, Zeit und Punkten, Einstellungen) sowie eine zufällige Geräte-ID.

Die Daten liegen bei Supabase, Inc. in einem Rechenzentrum in der EU. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Bereitstellung des Kontos, das du anlegst).

Auf der Website hält ein technisch notwendiges Cookie („mm_rt“, HttpOnly, 30 Tage) deine Anmeldung; es dient keinem anderen Zweck (§ 25 Abs. 2 TDDDG). In der iOS-App liegt dieser Anmeldeschlüssel stattdessen im Schlüsselbund des Geräts.

Unter Profil → Konto löschen löschst du dein Konto, deine Passkeys und alle synchronisierten Daten auf dem Server. Die Daten auf dem Gerät bleiben, bis du sie dort löschst.

5. Erinnerungen (optional)

Website (Web Push): Wenn du Erinnerungen einschaltest, speichern wir auf dem Server dein Push-Abonnement (die Adresse beim Push-Dienst deines Browsers, z. B. Apple, Google oder Mozilla, mit den zugehörigen Schlüsseln), eine zufällige Geräte-ID, einen Hash-Wert eines Geräte-Geheimnisses, Zeitzone, Sprache, deine Erinnerungs-Einstellungen und einen knappen Lernstand (Serie, ob das Tagesziel erreicht ist, Zahl fälliger Wiederholungen, bis zu drei schwache Aufgabentypen). Zugestellt werden die Mitteilungen über den Push-Dienst des Browser-Herstellers. Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), die du durch Ausschalten jederzeit widerrufen kannst; dabei wird das Abonnement auf dem Server gelöscht.

iOS-App: Die App plant Erinnerungen als lokale Mitteilungen auf deinem Gerät. Dafür werden keine Daten an uns gesendet.

6. KI-Erklärungen (optional)

Nur wenn du „KI-Erklärung“ antippst, schickt die App die Aufgabe (Aufgabentyp, Aufgabentext und Zahlen, richtiges Ergebnis, deine Antwort und die Sprache) über unseren Server an die Gemini API von Google (Google LLC). Name, Konto- oder Gerätedaten werden nicht übermittelt; Google erhält die Anfrage von unserem Server, nicht von deinem Gerät. Da die Erklärungen über das kostenlose Angebot der Gemini API laufen, kann Google die übermittelten Aufgabeninhalte nach eigenen Bedingungen auch zur Verbesserung seiner Dienste verwenden. Die Antwort speichert die App auf deinem Gerät zwischen.

Um Missbrauch zu begrenzen, zählt unser Server die Anfragen je IP-Adresse; diese Zähler werden nach spätestens 24 Stunden gelöscht. Rechtsgrundlagen sind Art. 6 Abs. 1 lit. b DSGVO (du forderst die Erklärung an) und lit. f (Schutz vor Missbrauch).

7. Keine Weitergabe, kein Tracking

Wir verkaufen keine Daten, zeigen keine Werbung und setzen keine Analyse- oder Tracking-Werkzeuge ein. Daten gehen nur an die oben genannten Dienstleister und nur für die genannten Zwecke.

8. Deine Rechte

Du hast das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit (z. B. über Profil → Exportieren) und Widerspruch sowie das Recht, eine Einwilligung jederzeit zu widerrufen. Schreib dazu an die oben genannte E-Mail-Adresse. Außerdem kannst du dich bei einer Datenschutz-Aufsichtsbehörde beschweren, etwa der deines Wohnorts.

Privacy policy

For the website mental-math.elias-steffen.de and the iOS app “Mental Math”. In short: without an account, your training data stays on your device. There is no tracking, no advertising and no analytics.

Last updated: November 1, 2026

1. Controller

Elias SteffenEmail: mail(at)elias-steffen.de

2. Using the website and the app

The website and server interfaces are delivered by Cloudflare, Inc. (101 Townsend St, San Francisco, CA 94107, USA). Cloudflare processes technically necessary connection data (IP address, time, requested address, browser or app identifier) to deliver content and fend off attacks. The legal basis is Art. 6(1)(f) GDPR (secure and stable operation). Cloudflare may also process data in the USA and is certified under the EU-US Data Privacy Framework.

The iOS app contains all content itself and only connects to the server for the optional features below. Apple’s privacy terms apply to downloading from the App Store.

3. Data on your device

Training history, results, statistics and settings are stored in your browser’s or the app’s storage on your device. Without an account they never leave the device. You can export, import and delete them under Profile; they are also removed when you delete the app or the website data in your browser.

4. Account and sync (optional)

If you create an account, we store:

the username you choose (no email address or real name needed),
for each passkey its public key, identifier and times of use – the private key stays on your device or in your password manager (e.g. iCloud Keychain), whose provider’s terms apply,
sign-in sessions and your recovery code only as hash values,
your training data to sync between your devices (rounds, per-task results with task, answer, time and points, settings) and a random device ID.

The data is stored with Supabase, Inc. in a data centre in the EU. The legal basis is Art. 6(1)(b) GDPR (providing the account you create).

On the website, a strictly necessary cookie (“mm_rt”, HttpOnly, 30 days) keeps you signed in and serves no other purpose. In the iOS app, this sign-in key is kept in the device keychain instead.

Profile → Delete account deletes your account, your passkeys and all synced data on the server. Data on your device stays until you delete it there.

5. Reminders (optional)

Website (web push): When you turn reminders on, we store on the server your push subscription (the address at your browser’s push service, e.g. Apple, Google or Mozilla, with its keys), a random device ID, a hash of a device secret, time zone, language, your reminder settings and a brief learning status (streak, whether the daily goal is met, number of due reviews, up to three weak task types). Notifications are delivered through the browser vendor’s push service. The legal basis is your consent (Art. 6(1)(a) GDPR), which you can withdraw at any time by turning reminders off; the subscription is then deleted from the server.

iOS app: The app schedules reminders as local notifications on your device. No data is sent to us for this.

6. AI explanations (optional)

Only when you tap “AI explanation” does the app send the task (task type, task text and numbers, correct result, your answer and the language) via our server to Google’s Gemini API (Google LLC). No name, account or device data is transmitted; Google receives the request from our server, not from your device. Because the explanations use the free tier of the Gemini API, Google may also use the submitted task content to improve its services under its own terms. The app caches the answer on your device.

To limit abuse, our server counts requests per IP address; these counters are deleted after 24 hours at the latest. The legal bases are Art. 6(1)(b) GDPR (you request the explanation) and Art. 6(1)(f) (abuse prevention).

7. No sharing, no tracking

We do not sell data, show ads or use analytics or tracking tools. Data only goes to the service providers named above and only for the purposes stated.

8. Your rights

You have the right of access, rectification, erasure, restriction of processing, data portability (e.g. via Profile → Export) and objection, and you can withdraw consent at any time. Write to the email address above. You can also lodge a complaint with a data protection supervisory authority, for example the one where you live.