Sprache
Deutsch
Datenschutzerklärung
Stand: 19. August 2026. Dieser Text wird aus derselben Quelle erzeugt wie die Fassung in der App und ist deshalb wortgleich mit ihr.
Wofür diese Erklärung gilt
Dies ist die Datenschutzerklärung der App Qardbox, nicht die dieser Website. Sie beschreibt, was die App auf deinem Gerät und in deiner iCloud tut. Wofür diese Website Daten verarbeitet, steht im Datenschutzhinweis für die Website.
Überblick
Diese Datenschutzerklärung informiert gemäß Art. 13 DSGVO über Art, Umfang und Zweck der Verarbeitung personenbezogener Daten bei der Nutzung von Qardbox. Der Anbieter betreibt keinen eigenen Server und erhebt keine Nutzungs-, Tracking- oder Werbedaten.
Was das konkret für dich heißt
Diese Erklärung sagt, was mit deinen Daten geschieht, wenn du Qardbox benutzt. Sie ist kurz, weil wenig geschieht: Es gibt keinen Server des Entwicklers, kein Konto und keine Anmeldung. Was du in die App schreibst, bleibt auf deinem Gerät, und wenn du die iCloud-Synchronisierung einschaltest, in deinem eigenen iCloud-Konto.
Jeder Abschnitt steht doppelt da: oben die rechtlich genaue Fassung, darunter im Kasten dasselbe in Alltagssprache.
Zwecke und Rechtsgrundlage
Zweck der Verarbeitung ist die Bereitstellung der Lernkartenfunktion einschließlich der Wiederholungsplanung (FSRS). Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Erfüllung eines Vertrags, dessen Vertragspartei die betroffene Person ist); die lokale Speicherung ist für die vom Nutzer gewünschte Funktion unbedingt erforderlich (§25 Abs. 2 TDDDG).
Was das konkret für dich heißt
Deine Eingaben werden zu genau einem Zweck verarbeitet: damit die App das tut, wofür du sie geöffnet hast. Sie speichert deine Karten und rechnet aus, wann du welche wieder sehen solltest.
Eine Einwilligung musst du dafür nicht erteilen, und es gibt auch keine abzulehnen. Das Gesetz sieht sie dort nicht vor, wo eine Verarbeitung für die gewünschte Leistung ohnehin nötig ist. Deshalb erscheint in Qardbox kein Einwilligungsbanner.
Welche Daten und wo sie bleiben
Verarbeitet werden ausschließlich die vom Nutzer erstellten Inhalte (Karten, Fächer, Notizen), die Lernzustände und Bewertungen (FSRS) sowie die App-Einstellungen. Diese Daten werden lokal auf dem Gerät gespeichert. Eine Übermittlung an den Verantwortlichen findet nicht statt.
Was das konkret für dich heißt
Verarbeitet wird, was du selbst anlegst: deine Fächer, deine Karten mit Frage, Lösung, Kategorien und Notiz, dazu deine Bewertungen und die daraus errechneten Wiederholungstermine sowie deine Einstellungen in der App.
Das alles liegt auf deinem Gerät. Der Entwickler bekommt davon nichts zu sehen, und zwar nicht aus Zurückhaltung, sondern weil es gar keinen Server gibt, an den etwas gehen könnte.
iCloud-Synchronisierung und Drittland
Ist die iCloud-Synchronisierung aktiviert (standardmäßig deaktiviert), werden die Daten in der privaten iCloud-Datenbank des Nutzers bei Apple verarbeitet. Der Verantwortliche hat auf diese Datenbank keinen Zugriff; er kennt weder die Apple-ID des Nutzers noch verfügt er über Schlüsselmaterial. Ein Drittlandbezug kann sich aus der Infrastruktur von Apple ergeben; die Apple Inc. ist unter dem EU-US Data Privacy Framework zertifiziert. Die Inhaltsfelder der Karten (Frage, Lösung, Kategorien, Notiz) sowie die Fachnamen sind in der Datenbank als verschlüsselte Felder deklariert; bei aktivierter Funktion „Erweiterter Datenschutz“ (Advanced Data Protection) unterliegen sie damit einer Ende-zu-Ende-Verschlüsselung, auf die auch Apple keinen Zugriff hat. Die übrigen Felder, insbesondere Bewertungen, Zeitstempel und Wiederholungstermine, sind hiervon nicht erfasst.
Was das konkret für dich heißt
Der Sync ist ab Werk aus; du schaltest ihn bewusst ein. Danach liegen deine Daten in DEINER privaten iCloud, nicht bei uns: Der Entwickler hat dorthin keinen Zugang und kennt deine Apple-ID gar nicht.
Was deine Karten inhaltlich sagen, ist besonders geschützt. Frage, Lösung, Kategorien, Notiz und die Fachnamen sind als verschlüsselte Felder angelegt. Schaltest du in den iCloud-Einstellungen den „Erweiterten Datenschutz“ ein, kann auch Apple sie nicht mehr lesen.
Ehrlich dazugesagt: Das gilt für die Inhalte, nicht für alles. Wann du gelernt und wie du eine Karte bewertet hast, bleibt unverschlüsselt. Daraus lässt sich ablesen, DASS du gelernt hast, nicht WAS.
Empfänger der Daten
Eine Übermittlung personenbezogener Daten an Dritte findet nicht statt. Es bestehen keine Empfänger und keine Kategorien von Empfängern im Sinne des Art. 4 Nr. 9 DSGVO. Insbesondere werden keine Daten an Analyse-, Werbe- oder Tracking-Dienste, an Zahlungsdienstleister oder an Auskunfteien übermittelt; die App bindet keine Dienste Dritter ein und nimmt keine Verbindung zu Servern des Verantwortlichen auf. Aktiviert der Nutzer die iCloud-Synchronisierung, verarbeitet Apple die Daten im Rahmen des zwischen dem Nutzer und Apple bestehenden Vertragsverhältnisses; Apple wird dabei nicht im Auftrag des Verantwortlichen tätig.
Was das konkret für dich heißt
An niemanden. Es gibt keine Werbenetzwerke, keine Analysedienste, keinen Zahlungsanbieter und keinen Server des Entwicklers, an den etwas ginge.
Die einzige Ausnahme ist eine, die du selbst einschaltest: Nutzt du iCloud, liegen deine Daten bei Apple, und zwar in deinem eigenen Konto. Das ist deine Vereinbarung mit Apple, nicht unsere.
Auch das Vorlesen bleibt auf dem Gerät: Die Aussprache erzeugt iOS selbst, der Kartentext wird dafür nirgendwohin geschickt.
Keine Pflicht zur Bereitstellung
Der Nutzer ist weder gesetzlich noch vertraglich zur Bereitstellung personenbezogener Daten verpflichtet. Die Eingabe von Inhalten ist für die Nutzung der Lernfunktion tatsächlich erforderlich, erfolgt jedoch ausschließlich lokal auf dem Endgerät und stellt keine Bereitstellung gegenüber dem Verantwortlichen dar. Eine Nichtbereitstellung hat allein zur Folge, dass die entsprechenden Funktionen der App nicht genutzt werden können; weitere Folgen sind damit nicht verbunden.
Was das konkret für dich heißt
Du musst dem Entwickler nichts geben, und du gibst ihm auch nichts. Was du eintippst, brauchst du für dich selbst: ohne Karten keine Abfrage.
Wer nichts einträgt, dem passiert nichts weiter, als dass die App leer bleibt. Ein Konto, eine Mailadresse oder einen Namen verlangt sie an keiner Stelle.
Speicherdauer und Löschung
Es bestehen keine anbieterseitigen Speicherfristen. Die Daten werden gespeichert, bis der Nutzer sie löscht (Art. 17 DSGVO). Das Löschen erfolgt in der App oder durch Deinstallation; bei aktivem Sync werden die Löschungen an die iCloud weitergegeben.
Was das konkret für dich heißt
Es gibt keine Frist, nach der etwas gelöscht wird, und keine, nach der etwas aufbewahrt bleiben müsste. Deine Daten liegen so lange, wie du sie liegen lässt.
Löschen kannst du sie einzeln in der App, vollständig über Einstellungen, Datenschutz, „Alle Daten löschen“, oder indem du die App entfernst. Ist die iCloud-Synchronisierung an, wirken diese Löschungen auch dort.
Einen Anbieter, der danach noch eine Kopie hätte, gibt es nicht.
Deine Rechte (Art. 15 bis 21 DSGVO)
Der betroffenen Person stehen die Rechte auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21) zu. Diese Rechte sind in der App unmittelbar ausübbar, da der Nutzer die vollständige Kontrolle über seine lokal gespeicherten Daten hat.
Was das konkret für dich heißt
Deine Rechte sind schon eingebaut: Auskunft = du siehst alles direkt in der App. Berichtigung = du bearbeitest jede Karte. Löschung = Einstellungen → Datenschutz → Alle Daten löschen. Datenkopie = Einstellungen → Datenschutz → Datenkopie sichern.
Keine automatisierten Entscheidungen
Eine automatisierte Entscheidungsfindung einschließlich Profiling im Sinne des Art. 22 DSGVO findet nicht statt. Der FSRS-Algorithmus dient allein der lokalen Berechnung von Wiederholungsterminen und entfaltet keine rechtliche oder ähnlich erhebliche Wirkung.
Was das konkret für dich heißt
Die App bewertet dich nicht und entscheidet nichts über dich. Sie stuft dich nicht ein, vergleicht dich mit niemandem und gibt nichts über dich weiter.
Der Algorithmus FSRS rechnet ausschließlich eines aus: wann du eine bestimmte Karte am besten wiedersiehst. Das geschieht auf deinem Gerät und wirkt sich auf nichts außerhalb der App aus.
Kinder
Das Angebot richtet sich nicht gezielt an Kinder. Da keine personenbezogenen Daten an den Verantwortlichen übermittelt werden, werden auch von Kindern keine Daten erhoben; eine Einwilligung des Trägers der elterlichen Verantwortung nach Art. 8 DSGVO ist daher nicht erforderlich.
Was das konkret für dich heißt
Die App richtet sich nicht besonders an Kinder, sie schließt sie aber auch nicht aus. Da an den Entwickler ohnehin nichts übermittelt wird, werden auch von Kindern keine Daten erhoben.
Deshalb gibt es hier weder eine Altersabfrage noch eine Einwilligung der Eltern: Es gibt schlicht nichts, wozu eingewilligt werden müsste.
Datensicherheit
Es werden dem Risiko angemessene technische und organisatorische Maßnahmen getroffen (Art. 32 Abs. 1 DSGVO). Dazu zählen im Einzelnen: die Verschlüsselung der Daten im Ruhezustand durch iOS Data Protection auf Ebene des Betriebssystems, die Transportverschlüsselung mittels TLS 1.3 bei der Synchronisierung, die Beschränkung des Zugriffs auf die private, an die Apple-ID des Nutzers gebundene Datenbank, der Verzicht auf jede Protokollierung von Inhalten sowie die Deklaration der Inhaltsfelder als verschlüsselte Felder, die bei aktiviertem „Erweiterten Datenschutz“ eine Ende-zu-Ende-Verschlüsselung bewirkt. Die Maßnahmen werden unter Berücksichtigung des Stands der Technik, der Implementierungskosten sowie der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung gewählt.
Was das konkret für dich heißt
Auf dem Gerät sind deine Daten durch die Verschlüsselung von iOS geschützt, solange dein Gerät einen Code hat. Auf dem Weg in die iCloud sind sie zusätzlich transportverschlüsselt.
Die Inhalte deiner Karten werden nirgends mitgeschrieben, weder in Protokolle noch in Fehlerberichte. Und mit „Erweitertem Datenschutz“ sind sie in der iCloud so verschlüsselt, dass auch Apple sie nicht lesen kann.
Aufsichtsbehörde und Beschwerderecht
Unbeschadet anderweitiger verwaltungsrechtlicher oder gerichtlicher Rechtsbehelfe steht der betroffenen Person ein Beschwerderecht bei einer Datenschutz-Aufsichtsbehörde zu (Art. 77 DSGVO). Zuständig ist die für den Sitz des Verantwortlichen zuständige Behörde (siehe unten).
Was das konkret für dich heißt
Wenn du den Eindruck hast, dass mit deinen Daten etwas nicht stimmt, kannst du dich bei einer Datenschutz-Aufsichtsbehörde beschweren. Zuständig ist die Behörde am Sitz des Verantwortlichen; ihre Anschrift steht am Ende dieser Erklärung.
Das kostet dich nichts und bringt dir keine Nachteile. Andere Rechtsbehelfe bleiben davon unberührt, du musst dich also nicht für einen Weg entscheiden.
Änderungen dieser Erklärung
Der Verantwortliche behält sich vor, diese Datenschutzerklärung anzupassen, soweit dies aufgrund geänderter Funktionen der App oder geänderter Rechtslage erforderlich wird. Maßgeblich ist stets die in der jeweils installierten App-Fassung enthaltene Erklärung; sie wird mit dem App-Update ausgeliefert. Außerhalb der App bereitgestellte Fassungen (PDF, Website) werden aus derselben Quelle erzeugt und geben denselben Stand wieder.
Was das konkret für dich heißt
Diese Erklärung kann sich ändern, wenn die App etwas Neues tut oder sich die Rechtslage ändert. Was gilt, steht immer in der App selbst, in der Fassung, die du gerade installiert hast: Eine neue Erklärung kommt mit einem App-Update zu dir und nicht heimlich über Nacht.
Die Fassungen als PDF und auf der Website entstehen aus derselben Quelle wie die in der App. Sie können deshalb nicht etwas anderes sagen, sondern nur älter sein.
Was hier NICHT nötig ist
Diese üblichen Datenschutz-Pflichten wurden geprüft und sind hier begründet nicht einschlägig, weil Qardbox keine Daten sammelt und keinen Server betreibt.
Keine Auftragsverarbeitung (Art. 28)
Es besteht kein Auftragsverarbeitungsverhältnis. Der Verantwortliche beauftragt keine Dienstleister mit der Verarbeitung personenbezogener Daten. Apple stellt die iCloud dem Nutzer unter eigenen Bedingungen bereit und ist insoweit nicht Auftragsverarbeiter des Anbieters.
Was das konkret für dich heißt
Wir geben deine Daten an keinen Dienstleister weiter, der sie in unserem Auftrag verarbeitet. Also gibt es auch keinen solchen Vertrag.
Kein Datenschutzbeauftragter (Art. 37, §38 BDSG)
Eine Pflicht zur Benennung eines Datenschutzbeauftragten besteht nicht. Die Voraussetzungen des Art. 37 Abs. 1 DSGVO und des §38 Abs. 1 BDSG (u. a. ständige Beschäftigung von mindestens 20 Personen mit automatisierter Verarbeitung) werden nicht erreicht.
Was das konkret für dich heißt
Ein offizieller Datenschutzbeauftragter ist gesetzlich erst ab einer bestimmten Größe nötig. Die ist bei einem Einzelentwickler nicht erreicht. Ansprechpartner ist der Verantwortliche selbst.
Keine Datenschutz-Folgenabschätzung (Art. 35)
Eine Datenschutz-Folgenabschätzung ist nicht erforderlich. Die Verarbeitung hat kein voraussichtlich hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge; es findet weder umfangreiches Profiling noch eine systematische Überwachung oder umfangreiche Verarbeitung besonderer Datenkategorien statt.
Was das konkret für dich heißt
So eine Risiko-Prüfung ist nur bei besonders eingriffsintensiven Verarbeitungen Pflicht. Da hier praktisch nichts verarbeitet wird, ist sie nicht nötig.
Kein Drittstaatentransfer durch den Anbieter (Art. 44 ff.)
Der Verantwortliche übermittelt keine Daten in Drittstaaten. Standardvertragsklauseln oder sonstige Garantien nach Art. 46 DSGVO sind daher nicht einschlägig. Ein etwaiger Drittlandbezug entsteht allein im Verantwortungsbereich von Apple im Rahmen der Nutzer-iCloud.
Was das konkret für dich heißt
Wir schicken nichts ins Ausland. Falls über deine iCloud ein Auslandsbezug entsteht, ist das Apples Sache, und Apple ist dafür zertifiziert.
Kein Einwilligungsmanagement (Art. 7)
Die Verarbeitung stützt sich nicht auf eine Einwilligung, sondern auf Art. 6 Abs. 1 lit. b DSGVO. Ein Einwilligungsmanagement ist nicht erforderlich; das lokale Speichern der zur Funktion nötigen Daten ist nach §25 Abs. 2 TDDDG unbedingt erforderlich und damit einwilligungsfrei.
Was das konkret für dich heißt
Es gibt keine Cookie-Banner oder Einwilligungs-Abfragen, weil die App keine Einwilligung braucht: Sie speichert nur, was für ihre Funktion nötig ist.
Keine ISO-27001-Zertifizierung
Eine Zertifizierung nach ISO/IEC 27001 ist keine gesetzliche Pflicht. Für Umfang und Risiko dieser App wäre der Aufbau eines zertifizierten Informationssicherheits-Managementsystems unverhältnismäßig; die getroffenen Maßnahmen sind risikoangemessen (Art. 32).
Was das konkret für dich heißt
So ein großes Sicherheits-Zertifikat ist für eine kostenlose Lern-App nicht vorgeschrieben und wäre überzogen. Die tatsächlichen Schutzmaßnahmen sind trotzdem vorhanden.
Verantwortlicher
Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO und Diensteanbieter nach §5 DDG.
Simon Harre
Walter-Klausch-Str. 15
14482 Potsdam
Deutschland
privacy@qardbox.com
Zuständige Aufsichtsbehörde
Bei dieser Behörde kannst du dich nach Art. 77 DSGVO beschweren.
Die Landesbeauftragte für den Datenschutz und für das Recht auf Akteneinsicht
Land Brandenburg
Stahnsdorfer Damm 77
14532 Kleinmachnow