Was mit deinen Lerndaten passiert.

Verantwortlich für den Betrieb dieser Instanz und die dort gespeicherten Daten ist:

Nutze diese Kontaktadresse für Auskunft, Berichtigung, Löschung, Einschränkung, Widerspruch oder Fragen zur Verarbeitung. Eine Selbstbedienungsfunktion zur vollständigen Kontolöschung ist in der Beta noch nicht vorhanden; Anfragen werden deshalb manuell bearbeitet.

Konto und Profil

Bei der Registrierung werden Anzeigename, E-Mail-Adresse und ein Passwort-Hash sowie der Bestätigungsstatus der E-Mail-Adresse gespeichert. Das Klartextpasswort wird nicht gespeichert. Verifikations- und Resetlinks verwenden kryptografische Einmal-Tokens. In SQLite liegen davon nur Hash, Zweck, Ablauf- und Verbrauchszeitpunkt, nicht das versandte Roh-Token. Freiwillige Profilangaben wie Bildungseinrichtung, Studiengang und Semester können hinzukommen.

Lernbereich

Module, Prüfungstermine, Beschreibungen, Lernsets, Aufgaben, Musterlösungen, Quellenverweise, Lernräume, Mitgliedschaften, Einladungen und Freigaben werden in der serverseitigen SQLite-Datenbank gespeichert. Lernversuche enthalten unter anderem Aufgaben-ID, Bewertung, Selbsteinschätzung, Bearbeitungsdauer und Zeitpunkt; daraus entsteht der persönliche Wiederholungsstand.

Private Originaldateien

Hochgeladene Materialien liegen im privaten Dateispeicher des Leffi-Servers. In der Datenbank stehen dazu Dateiname, Typ, Größe, Prüfsumme, Modulzuordnung, Verarbeitungsstatus sowie gegebenenfalls Kennungen externer OpenAI-Ressourcen. Andere Nutzer erhalten keinen allgemeinen Zugriff auf diese Originaldateien.

KI-Funktionen sind optional und verwenden derzeit den eigenen OpenAI-API-Key des Kontoinhabers. Der Key wird mit einem serverseitigen Master-Key verschlüsselt gespeichert. Leffi zeigt später nur die letzten vier Zeichen und gibt den vollständigen Key weder an andere Lernende noch an den Browser zurück.

1. 01
   Original auf dem Leffi-Server

   Der Upload wird zuerst im privaten Dateispeicher abgelegt und dem gewählten Modul zugeordnet.

2. 02
   Sofortige OpenAI-Kopie bei verbundenem Key

   Ist ein OpenAI-Key verbunden, versucht Leffi bereits während des Uploads, eine Kopie über die OpenAI Files API zu übertragen. Geeignete Dokumente werden zusätzlich einem modulbezogenen Vector Store für die Dateisuche zugeordnet.

3. 03
   Generierung aus Vorgabe und Quellen

   Beim Erstellen eines Lernsets gehen Lernziel, Profil, Nutzervorgabe sowie ausgewählte Datei- oder Suchreferenzen an die OpenAI Responses API. Die erzeugten Aufgaben werden anschließend in der Leffi-Datenbank gespeichert.

4. 04
   Löschen in beiden Systemen

   Beim regulären Entfernen eines Materials versucht Leffi zuerst, OpenAI-Datei und gegebenenfalls Vector Store zu löschen. Erst danach werden lokales Original und Datenbankeintrag entfernt. Dafür kann der Key desselben OpenAI-Projekts nötig sein.

Die Lernset- und Textauswertung setzt in den aktuellen Responses-Aufrufen store: false. Die über die Files API hochgeladenen Materialkopien und Vector Stores sind davon getrennte Ressourcen und bleiben bestehen, bis sie gelöscht werden oder eine gegebenenfalls konfigurierte Ablaufregel greift. Aktuelle Angaben zur Verarbeitung durch OpenAI stehen in den offiziellen OpenAI Data Controls. Danach werden API-Daten standardmäßig nicht zum Modelltraining verwendet, sofern der Kontoinhaber nicht ausdrücklich optiert. Missbrauchsüberwachungsprotokolle können typischerweise bis zu 30 Tage aufbewahrt werden; Files und Vector Stores gelten als Anwendungszustand bis zu ihrer Löschung. store: false ist deshalb für sich allein keine Zero-Data-Retention-Garantie.

Eine Audioaufnahme entsteht zunächst im Browser. Wenn du sie zur Auswertung sendest, läuft sie über den Leffi-Server zur OpenAI-Transkription. Anschließend werden Transkript, Prüfungsfrage, Musterantwort und Bewertungskriterien an die OpenAI Responses API übermittelt. Alternativ kann eine getippte Antwort verwendet werden.

Leffi speichert Audio, Transkript und das ausführliche KI-Feedback derzeit nicht als dauerhaften Datenbankeintrag; sie werden für die konkrete Anfrage verarbeitet und an den Browser zurückgegeben. Technische Server- oder Proxy-Metadaten können unabhängig davon anfallen. Sprich keine Namen oder sonstigen unnötigen persönlichen Angaben ein.

Bestätigung und Kontowiederherstellung

Leffi versendet Transaktionsmails zur E-Mail-Bestätigung, zum Passwort-Reset und als Sicherheitsnachricht nach einer Passwortänderung. Der Bestätigungslink ist 24 Stunden, der Resetlink 30 Minuten gültig. Ein neues Token ersetzt ältere Tokens desselben Zwecks; ein erfolgreich verwendetes Token kann nicht erneut eingesetzt werden.

Für die Zustellung gehen Empfängeradresse, Absender, Betreff, Text- und HTML-Inhalt einschließlich des einmaligen Aktionslinks sowie technische Anfrage- und Zustellmetadaten an Resend. Die App fordert kein Öffnungs- oder Klicktracking an; der Betreiber muss diese Funktionen auch im Resend-Dashboard deaktiviert lassen oder diese Hinweise vor einer Aktivierung anpassen.

Notwendiges Sitzungscookie

Nach erfolgreicher Anmeldung setzt Leffi ein signiertes, HTTP-only Sitzungscookie. Es ist auf SameSite=Lax eingestellt und läuft spätestens nach 30 Tagen ab. In der Produktion wird es nur über HTTPS gesendet. Es hält die Anmeldung aufrecht und wird nicht für Werbung oder Reichweitenmessung verwendet. Eine Passwortzurücksetzung erhöht die serverseitige Session-Version und macht ältere Sitzungen dieses Lernkontos ungültig.

Lokaler Speicher und Synchronisierung

Die Lernoberfläche nutzt localStorage, um Fortschritt, Aufgabenstatus und noch nicht synchronisierte Fortschrittsereignisse im verwendeten Browser zu halten. Bei angemeldeten Konten werden Bewertungen und Wiederholungsstand zusätzlich serverseitig synchronisiert. Browserdaten lassen sich über die Browser- oder App-Einstellungen löschen; dadurch werden serverseitige Kontodaten nicht automatisch entfernt.

Derzeit sind keine Werbe-, Analyse- oder Marketing-Tracker in Leffi vorgesehen. Der Server und der vorgeschaltete Reverse Proxy können für Betrieb und Missbrauchsschutz technische Protokolldaten wie Zeitpunkt, angefragten Pfad, Statuscode, Browserkennung und IP-Adresse verarbeiten.

In privaten Lernräumen sehen Mitglieder die für den Raum nötigen Mitgliedschafts- und Inhaltsdaten, darunter Raum, Prüfungen und angeheftete Lernsets. Ein Einladungslink kann von jeder Person eingelöst werden, die den gültigen Link erhält und die Zugangsvoraussetzungen erfüllt.

Ein Lernset-Freigabelink ermöglicht ohne Kontozugriff das Lesen der veröffentlichten Set-Version. Solche Links gelten standardmäßig 30 Tage und können widerrufen werden. Sie geben nicht absichtlich das private Originalmaterial frei; generierte Inhalte, Dateinamen oder Quellenbeschreibungen können aber Rückschlüsse auf das Material zulassen. Teile Links deshalb wie vertrauliche Informationen.

• Leffi wird auf einer vom Betreiber verwalteten Server-Infrastruktur der Hetzner Online GmbH in Deutschland betrieben. Dort liegen Datenbank, private Uploads und betriebsnotwendige Sicherungen. Coolify dient auf diesem Server als selbst gehostete Bereitstellungssoftware und ist kein zusätzlicher externer Empfänger.
• OpenAI verarbeitet nur Daten, wenn eine entsprechende KI-Funktion mit verbundenem Key genutzt wird. Für Nutzer im Europäischen Wirtschaftsraum ist nach dem aktuellen OpenAI-DPA grundsätzlich OpenAI Ireland Limited die Vertragspartnerin. Welche Vertragsbedingungen, Speicherregionen und Übermittlungsgrundlagen konkret gelten, richtet sich nach dem OpenAI-Projekt, zu dem der verbundene Key gehört. Maßgeblich sind die jeweils aktuellen OpenAI-Datenschutzbedingungen und die oben verlinkten Data Controls.
• Für Bestätigungs-, Reset- und Sicherheitsmails ist Resend (Plus Five Five, Inc.) technischer Empfänger und externer Versanddienstleister. Dabei werden insbesondere Empfängeradresse, Nachrichteninhalt einschließlich Aktionslink und Zustellmetadaten verarbeitet. Soweit Resend diese Daten nach dem wirksam einbezogenen Vertrag im Auftrag verarbeitet, ist Resend Auftragsverarbeiter; für eigene Konto- oder Nutzungsdaten kann Resend selbst verantwortlich sein. Die vertraglichen Garantien für internationale Übermittlungen und die eingesetzten Unterauftragsverarbeiter ergeben sich aus dem jeweils aktuellen Resend-DPA und die Liste der Unterauftragsverarbeiter.
• Mitglieder eines Lernraums oder Empfänger eines Freigabelinks erhalten die jeweils freigegebenen Daten.

Eine Weitergabe zu Werbezwecken ist nicht Teil des aktuellen Produktmodells.

Konto, E-Mail-Bestätigung, Kontowiederherstellung, Lernfunktionen und vom Nutzer ausgelöste KI-Verarbeitung dienen der Bereitstellung der angeforderten Leistung und erfolgen auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO. Sicherheitsnachrichten, Fehleranalyse, Stabilitätskontrolle und Missbrauchsschutz beruhen auf dem berechtigten Interesse an einem sicheren und verlässlichen Betrieb nach Art. 6 Abs. 1 lit. f DSGVO. Soweit gesetzliche Aufbewahrungs- oder Mitwirkungspflichten greifen, beruht die Verarbeitung auf Art. 6 Abs. 1 lit. c DSGVO.

Anzeigename, E-Mail-Adresse und Passwort werden benötigt, um ein persönliches Lernkonto anzulegen und abzusichern. Ohne diese Angaben kann kein Konto bereitgestellt werden. Profilangaben, eigene Lerninhalte, Uploads und die Verbindung eines OpenAI-Keys sind freiwillig; ohne sie stehen die jeweils darauf aufbauenden Funktionen nicht zur Verfügung. Leffi trifft keine ausschließlich automatisierte Entscheidung, die dir gegenüber rechtliche Wirkung entfaltet oder dich in vergleichbarer Weise erheblich beeinträchtigt.

Konten und Lerninhalte bleiben derzeit bestehen, bis sie über eine vorhandene Löschfunktion entfernt oder eine vollständige Löschung beim Betreiber angefordert wird. Einladungs- und Set-Links besitzen eigene Ablaufdaten. Nicht verwendete E-Mail-Bestätigungstokens laufen nach 24 Stunden, Reset-Tokens nach 30 Minuten ab. Beim Löschen des Kontos werden zugehörige lokale Auth-Tokens über die Datenbankbeziehung mitgelöscht. Das Sitzungscookie läuft nach 30 Tagen ab.

Für die geschlossene Beta gilt folgende Betreiberregel: Datenbank- und Upload-Backups werden höchstens 30 Tage, Reverse-Proxy- und Serverprotokolle höchstens 14 Tage sowie Audit-Ereignisse höchstens 90 Tage aufbewahrt. Ein ausschließlich für einen Lösch-Rollback angelegter Sicherheitsstand darf höchstens 7 Tage bestehen. Gelöschte Daten können bis zum Ablauf der jeweiligen Backup-Frist in gesperrten Sicherungskopien verbleiben und dürfen bei einer Wiederherstellung nicht dauerhaft reaktiviert werden.

Die vollständige manuelle Löschung umfasst OpenAI-Dateien und Vector Stores, lokale Originaldateien, Lern- und Kontodatensätze, Freigaben, relevante Protokolle sowie den Umgang mit Backups. Eine Löschanfrage wird innerhalb von 3 Kalendertagen bestätigt und grundsätzlich innerhalb von 14 Kalendertagen abgeschlossen, sofern keine gesetzliche Ausnahme greift. Eine erfolgreiche Löschung wird technisch geprüft.

Resend kann außerhalb des Leffi-Volumes Nachrichten- und Zustellmetadaten, Bounce-/Beschwerdeinformationen und Suppression-Einträge führen. Deren konkrete Speicherdauer und Löschbarkeit richten sich nach dem tatsächlich verwendeten Resend-Konto, den aktuellen Vertragsbedingungen, notwendigen Sicherheits- und Zustellzwecken sowie möglichen gesetzlichen Pflichten. Bei einer Auskunfts- oder Löschanfrage werden deshalb auch die im verwendeten Resend-Konto verfügbaren Daten geprüft.

Im gesetzlichen Rahmen kannst du Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit oder Widerspruch verlangen. Soweit eine Verarbeitung auf Einwilligung beruht, kann diese für die Zukunft widerrufen werden. Außerdem besteht ein Beschwerderecht bei einer zuständigen Datenschutzaufsichtsbehörde. Für den Sitz des Betreibers ist insbesondere die Berliner Beauftragte für Datenschutz und Informationsfreiheit erreichbar.

Zur Bearbeitung muss der Betreiber die Identität ausreichend prüfen. Teile in deiner Anfrage keine Passwörter oder API-Keys mit.