Verantwortlich für die Datenverarbeitung auf dieser Plattform ist:
Malte Helmhold
Bautzner Str. 8
01099 Dresden
Deutschland
Telefon: +49 156 78436384
E-Mail: info@curila.app
Curila ist eine Plattform zum Sprachenlernen. Wir verarbeiten nur die Daten, die für den Betrieb nötig sind: deine E-Mail-Adresse für den Login und deinen Lernstand, damit du dort weitermachen kannst, wo du aufgehört hast. Es gibt keine Werbenetzwerke und keine Tracking-Cookies. Unsere Reichweitenmessung läuft ohne Cookies und ohne Drittanbieter (siehe Abschnitt 7).
Mails über neue Stories, Lern-Erinnerungen oder Angebote bekommst du nur, wenn du das ausdrücklich angehakt hast, und du kannst es jederzeit über den Link in jeder Mail wieder abstellen (siehe Abschnitt 12). Dein Konto kannst du in deinem Profil selbst löschen, mit allem, was daran hängt (siehe Abschnitt 14).
Die Plattform wird bei Vercel Inc., 440 N Barranca Ave #4133, Covina, CA 91723, USA gehostet. Beim Aufruf der Seiten verarbeitet Vercel technisch notwendige Daten wie deine IP-Adresse, Datum und Uhrzeit des Zugriffs, aufgerufene Seiten und den verwendeten Browser (Server-Logs). Diese Daten sind für die Auslieferung und Sicherheit der Plattform erforderlich und werden nach kurzer Zeit gelöscht.
Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem sicheren und stabilen Betrieb). Mit Vercel besteht ein Vertrag über Auftragsverarbeitung. Soweit Daten in die USA übertragen werden, stützt sich die Übermittlung auf das EU-US Data Privacy Framework und EU-Standardvertragsklauseln.
Für ein Konto brauchen wir nur deine E-Mail-Adresse. Der Login läuft ohne Passwort über einen Code, den wir dir per E-Mail schicken. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung bzw. Durchführung vorvertraglicher Maßnahmen).
Die E-Mail mit dem Login-Code verschicken wir über den Dienst Resend (Plus Five Five, Inc., 2261 Market Street #5039, San Francisco, CA 94114, USA). Dabei wird deine E-Mail-Adresse an Resend übermittelt. Mit Resend besteht ein Vertrag über Auftragsverarbeitung. Die Übermittlung in die USA stützt sich auf EU-Standardvertragsklauseln.
Deine Kontodaten, dein Lernstand (zum Beispiel Vokabeln und Wiederholungsintervalle), deine Einstellungen und von dir hochgeladene Texte werden in einer Datenbank bei Supabase gespeichert. Die Server stehen in Frankfurt am Main, also in der EU. Mit Supabase besteht ein Vertrag über Auftragsverarbeitung. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.
Wir setzen ausschließlich technisch notwendige Cookies ein, die deine Login-Sitzung verwalten. Ohne sie funktioniert der Login-Bereich nicht. Rechtsgrundlage ist § 25 Abs. 2 Nr. 2 TDDDG sowie Art. 6 Abs. 1 lit. b DSGVO. Zusätzlich speichert dein Browser lokal deine Darstellungseinstellung (helles oder dunkles Design). Diese Information verlässt dein Gerät nicht. Einwilligungspflichtige Cookies oder Tracking setzen wir nicht ein, deshalb gibt es auch kein Cookie-Banner.
Um zu verstehen, welche Stories gelesen werden und woher Besucher kommen, zählen wir Seitenaufrufe selbst, ohne externes Analyse-Tool. Dabei werden keine Cookies gesetzt und keine personenbezogenen Daten gespeichert. Aus deiner IP-Adresse und deinem Browser-Typ wird auf dem Server mit einem täglich wechselnden Schlüssel ein Prüfwert gebildet, der sich nicht auf dich zurückführen lässt und am nächsten Tag wertlos ist. Deine IP-Adresse selbst wird dafür nicht gespeichert.
Gespeichert werden ausschließlich: aufgerufene Seite, Zeitpunkt, Verweisquelle (zum Beispiel Google), ungefähres Land, Browser, Betriebssystem und Gerätetyp. Die Daten liegen in unserer Datenbank bei Supabase in der EU (siehe Abschnitt 5) und werden nur in zusammengefasster Form ausgewertet.
Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Analyse und Verbesserung des Angebots). Da keine Informationen auf deinem Endgerät gespeichert oder ausgelesen werden, ist keine Einwilligung erforderlich.
Wenn du Wörter oder Sätze anklickst oder eigene Texte hochlädst und übersetzen lässt, werden die Textinhalte an die DeepL SE, Maarweg 165, 50825 Köln, Deutschland übermittelt und dort übersetzt. Dabei übermitteln wir keine Angaben zu deiner Person, sondern nur den Text selbst. Bitte lade keine Texte mit sensiblen personenbezogenen Daten hoch. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.
Für die Vorlesefunktion werden die Lesetexte der Plattform serverseitig einmalig an ElevenLabs Inc., USA übermittelt und als Audiodatei erzeugt. Dabei werden keine personenbezogenen Daten von dir übertragen, sondern nur die redaktionellen Texte der Plattform. Die erzeugten Audiodateien werden bei uns zwischengespeichert, sodass dein Abruf keine Verbindung zu ElevenLabs auslöst.
An drei Stellen arbeiten wir mit der OpenAI Ireland Ltd., 1st Floor, The Liffey Trust Centre, 117 to 126 Sheriff Street Upper, Dublin 1, Irland: beim Erzeugen eigener Stories über den Story-Generator, beim Übersetzen der Oberfläche in weitere Sprachen und beim Übersetzen unserer E-Mails in die Sprache der Empfängerin oder des Empfängers.
Übermittelt wird dabei nur der jeweilige Text, also deine Vorgabe für die Story beziehungsweise der zu übersetzende Inhalt. Angaben zu deiner Person, deine E-Mail-Adresse oder dein Lernstand werden nicht mitgeschickt. Bitte gib im Generator nichts ein, was sensible personenbezogene Daten enthält.
Eine Verarbeitung in den USA ist dabei nicht ausgeschlossen. Mit OpenAI besteht ein Vertrag über Auftragsverarbeitung samt Standardvertragsklauseln. OpenAI nutzt die über die Programmierschnittstelle übermittelten Inhalte nach eigenen Angaben nicht zum Training eigener Modelle. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO für den Generator und Art. 6 Abs. 1 lit. f DSGVO für die Übersetzungen (berechtigtes Interesse daran, die Plattform und unsere Mitteilungen in der Sprache der Nutzerinnen und Nutzer anzubieten).
Auf den Seiten mit Formularen, also bei Registrierung, Login und Kontakt, setzen wir Turnstile der Cloudflare Germany GmbH, Rosental 7, 80331 München, ein. Turnstile prüft ohne Rätsel und ohne Klickaufgabe, ob eine Eingabe von einem Menschen stammt. Dafür wird beim Aufruf der Seite ein Skript von Cloudflare geladen und deine IP-Adresse sowie technische Angaben zu deinem Browser an Cloudflare übermittelt. Turnstile setzt dafür keine Cookies zu Werbezwecken und erstellt kein geräteübergreifendes Profil. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse daran, automatisierte Anmeldungen und Formular-Spam abzuwehren).
Außerdem liegen die erzeugten Audiodateien und die PDF-Fassungen der Stories im Objektspeicher R2 von Cloudflare und werden von dort ausgeliefert. Dabei fällt deine IP-Adresse technisch bedingt an. Eine Verarbeitung in den USA ist nicht ausgeschlossen. Mit Cloudflare besteht ein Vertrag über Auftragsverarbeitung samt Standardvertragsklauseln.
Unseren Mailversand betreiben wir selbst, es steckt kein Newsletter-Anbieter dahinter, bei dem eine zweite Kopie deiner Daten liegt. Für die technische Zustellung nutzen wir Resend (siehe Abschnitt 4).
Welche Mails es gibt. System-Mails bekommst du immer, solange dein Konto besteht: den Login-Code und Antworten auf deine eigenen Anfragen. Ohne sie könntest du dich nicht anmelden. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Darüber hinaus kannst du dich bei der Registrierung oder später im Profil für drei Arten von Mails entscheiden: Hinweise auf neue Stories und Funktionen, Lern-Erinnerungen sowie Tipps und Angebote. Diese drei beruhen auf deiner Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO und § 7 Abs. 2 Nr. 2 UWG. Nichts davon ist vorangekreuzt, und du kannst jede Art einzeln an- und abwählen.
Wie wir deine Adresse bestätigen. Der Code, mit dem du dich anmeldest, geht ausschließlich an dein Postfach. Gibst du ihn richtig ein, ist damit belegt, dass dir dieses Postfach gehört. Dieses Verfahren ersetzt die sonst übliche zweite Bestätigungsmail.
Was wir als Nachweis speichern. Zu jeder Einwilligung und zu jedem Widerruf halten wir fest: Zeitpunkt, Vorgang, über welche Seite er ausgelöst wurde, die getroffene Auswahl sowie IP-Adresse und Browserkennung. Dazu sind wir nach Art. 7 Abs. 1 DSGVO verpflichtet, wir müssen eine Einwilligung belegen können. IP-Adresse und Browserkennung entfernen wir nach drei Jahren automatisch, der übrige Nachweis bleibt, solange die Einwilligung gilt.
Versandprotokoll. Zu jeder verschickten Mail speichern wir Adresse, Zeitpunkt und ob die Zustellung geklappt hat. Das brauchen wir, um Zustellprobleme zu erkennen und um auszuschließen, dass jemand dieselbe Mail doppelt bekommt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO.
Sprache und Auswahl der Empfänger. Wir schreiben unsere Mails auf Deutsch und lassen sie maschinell in die Sprache deiner Oberfläche übersetzen (siehe Abschnitt 10). Wenn wir über neue Stories in einer bestimmten Sprache informieren, schicken wir das nur an Menschen, die diese Sprache lernen. Welche Sprachen das sind, kannst du in deinem Profil selbst festlegen. Solange du dort nichts ausgewählt hast, leiten wir es aus deiner Nutzung ab, also daraus, welche Stories du gelesen und welche Vokabeln du gespeichert hast. Eine darüber hinausgehende Auswertung deines Verhaltens, etwa ob du unsere Mails öffnest oder welche Links du anklickst, findet nicht statt. Wir setzen keine Zählpixel ein.
Wie du wieder rauskommst. In jeder Mail außer den System-Mails steht unten ein Link zu deinen E-Mail-Einstellungen und einer zum vollständigen Abbestellen. Beides funktioniert ohne Login. Du kannst deine Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen, ohne Angabe von Gründen; die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung bleibt davon unberührt. Nach einem Widerruf bekommst du nur noch System-Mails.
Die verwendeten Schriftarten sind lokal auf unseren Servern eingebunden. Beim Laden der Seiten wird keine Verbindung zu Google oder anderen Schriftanbietern aufgebaut.
Dein Konto und deinen Lernstand speichern wir, solange dein Konto besteht.
Du kannst dein Konto jederzeit selbst löschen, in deinem Profil ganz unten. Das passiert sofort und ohne Nachfrage bei uns. Gelöscht werden dabei dein Konto, dein Lernfortschritt, deine gespeicherten Vokabeln, deine eigenen Stories samt der dazu erzeugten Audiodateien, deine E-Mail-Einstellungen samt Einwilligungsnachweis und deine Anfragen an uns. Im Versandprotokoll bleibt stehen, dass an einem bestimmten Tag eine Mail hinausging, ohne deine Adresse und ohne deinen Namen; sonst stimmten die Zahlen zu bereits verschickten Kampagnen nicht mehr.
Lieber über uns? Dann schreib an info@curila.app, wir erledigen es für dich. In beiden Fällen gilt: Daten werden gelöscht, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen.
Du hast gegenüber uns folgende Rechte:
Außerdem kannst du dich bei einer Datenschutzaufsichtsbehörde beschweren (Art. 77 DSGVO). Für uns zuständig ist die Sächsische Datenschutz- und Transparenzbeauftragte, Devrientstraße 5, 01067 Dresden.
Alle Verbindungen zur Plattform sind per TLS verschlüsselt (erkennbar am Schloss-Symbol und an https in der Adresszeile).
Stand: Oktober 2026. Wir passen diese Datenschutzerklärung an, wenn sich die Plattform oder die Rechtslage ändert. Es gilt jeweils die hier veröffentlichte Fassung.