Stand: 7. Oktober 2026
Verantwortlich für die Verarbeitung personenbezogener Daten im Zusammenhang mit Path to Words ist:
Path to Words ist ein digitaler Vokabeltrainer, der als Web-App und als installierbare Progressive Web App genutzt werden kann. Diese Datenschutzerklärung erläutert, welche personenbezogenen Daten bei der Nutzung der Website, der App, der Lernfunktionen, des Imports, der Zahlungsfunktionen und der Kontaktwege verarbeitet werden.
| Verarbeitung und Daten | Zweck | Rechtsgrundlage, Speicherdauer und Empfänger |
|---|---|---|
| Aufruf von Website und App: IP-Adresse, Zeitpunkt, aufgerufene Ressource, technische Fehlerdaten, User-Agent und vergleichbare Server-Logdaten | Auslieferung, Stabilität, Fehleranalyse und IT-Sicherheit | Art. 6 Abs. 1 Buchst. f DSGVO. Berechtigtes Interesse an einem sicheren und funktionsfähigen Dienst. Speicherdauer und Empfänger: In der Regel höchstens 30 Tage. Empfänger: Hosting und Auslieferung in den USA |
| Cookielose Reichweitenmessung: aufgerufene Seite, Referrer, Land und Region, Browser- und Gerätetyp sowie ein aus der Anfrage gebildeter kurzlebiger Kennwert. Keine Cookies, keine Speicherung auf dem Endgerät, keine seiten- oder geräteübergreifende Verfolgung | Reichweite und Nutzung der Seiten in aggregierter Form messen und das Angebot verbessern | Art. 6 Abs. 1 Buchst. f DSGVO. Berechtigtes Interesse an aggregierter Reichweitenmessung ohne Identifizierung einzelner Personen. Speicherdauer und Empfänger: Der Kennwert wird nach 24 Stunden verworfen, danach bestehen nur aggregierte Statistiken. Empfänger: Hosting und Auslieferung in den USA |
| Kampagnen-Herkunft bei der Registrierung: die Kampagnen-Kennzeichen aus dem Link, über den die Registrierung aufgerufen wurde (Quelle, Medium, Kampagne, Inhalt, Stichwort). Keine Klick-Kennungen von Werbeplattformen, keine Cookies, keine Speicherung auf dem Endgerät, keine Weitergabe an Werbeplattformen | Messen, welche Werbe- und Informationskanäle zu Registrierungen und Käufen führen, und das Werbebudget danach ausrichten | Art. 6 Abs. 1 Buchst. f DSGVO. Berechtigtes Interesse an der Wirksamkeitsmessung eigener Werbung. Widerspruch jederzeit möglich. Speicherdauer und Empfänger: Solange das Konto besteht; nach der Löschung des Kontos bleibt die Kampagnenzeile ohne Konto-Zuordnung und nur mit dem Tag der Registrierung für die Zählung erhalten. Empfänger: Datenbank in der EU, Hosting und Auslieferung in den USA |
| Kontoerstellung und Anmeldung: E-Mail-Adresse, Passwort-Hash, Kontostatus, Sitzungsdaten | Konto anlegen, Anmeldung ermöglichen, Konto schützen und Vertrag erfüllen | Art. 6 Abs. 1 Buchst. b DSGVO. Für Sicherheitsmaßnahmen zusätzlich Art. 6 Abs. 1 Buchst. f DSGVO. Speicherdauer und Empfänger: Bis zur endgültigen Kontolöschung, soweit keine gesetzlichen Pflichten entgegenstehen. Empfänger: Datenbank und Authentifizierung in der EU, Hosting und Auslieferung in den USA |
| Lernnutzung: Lernfortschritt, Kurse, Niveaustufen, Wiederholungsdaten, eigene Wörter, Listen, Notizen, Einstellungen und Zeitzone | Lernfunktionen bereitstellen, Wiederholungsplanung durchführen und Einstellungen synchronisieren | Art. 6 Abs. 1 Buchst. b DSGVO. Speicherdauer und Empfänger: Bis zur endgültigen Kontolöschung. Empfänger: Datenbank und Authentifizierung in der EU, Hosting und Auslieferung in den USA |
| Interne Funktionszähler pro Konto, zum Beispiel Anzahl geöffneter Beispielsätze oder Audio-Wiedergaben, sowie beim Lernen die Geräteklasse (Rechner, Telefon, Tablet oder installierte App). Dafür prüft die App, ob sie als installierte App läuft und ob das Gerät einen Touchscreen hat | Free-Kontingente berechnen, Missbrauch von Kontingenten vermeiden, Funktionen auf aggregierter Basis verbessern und auswerten, auf welchen Geräten gelernt wird | Für Kontingente Art. 6 Abs. 1 Buchst. b DSGVO. Für aggregierte Produktverbesserung Art. 6 Abs. 1 Buchst. f DSGVO. Speicherdauer und Empfänger: Bis zur Kontolöschung oder bis eine Zuordnung zum Konto nicht mehr benötigt wird. Empfänger: Datenbank und Authentifizierung in der EU, Hosting und Auslieferung in den USA |
| Bot- und Missbrauchsschutz: technische Signale, IP-Adresse, Browser- und Interaktionssignale | Automatisierte Angriffe, missbräuchliche Registrierungen und Sicherheitsvorfälle verhindern | Art. 6 Abs. 1 Buchst. f DSGVO. Speicherdauer und Empfänger: Nur so lange, wie dies für Schutz, Analyse und Abwehr erforderlich ist. Zur Begrenzung von Missbrauch (z. B. Passwort-Rateversuche) speichern wir kurzzeitig selbst technische Kennungen (IP-Adresse, E-Mail-Adresse); diese Einträge werden automatisch nach spätestens drei Tagen gelöscht. Empfänger: Bot- und Missbrauchsschutz in den USA |
| System- und Transaktionsmails: E-Mail-Adresse, Kontostatus, Vertrags- und Vorgangsdaten | Registrierung bestätigen, Sicherheitsvorgänge abwickeln, Vertragsinformationen, Zahlungsstatus, Kündigungen, Widerrufe und Löschvorgänge mitteilen | Art. 6 Abs. 1 Buchst. b und c DSGVO. Sicherheitsmeldungen zusätzlich Art. 6 Abs. 1 Buchst. f DSGVO. Speicherdauer und Empfänger: Nach Zweckfortfall, soweit keine gesetzlichen Nachweis- oder Aufbewahrungspflichten bestehen. Empfänger: Versand von System- und Transaktionsmails in der EU, E-Mail-Postfach in der Schweiz |
| Kauf und Zahlung: E-Mail-Adresse, Tarif, Betrag, Zahlungsart, Zahlungsstatus und Kaufhistorie. Vollständige Zahlungsdaten werden über Stripe verarbeitet | Zahlung abwickeln, Premium freischalten, Vertrags- und Steuerpflichten erfüllen, Rückzahlungen bearbeiten | Art. 6 Abs. 1 Buchst. b und c DSGVO. Speicherdauer und Empfänger: Vertragsdaten bis zum Ende der Vertragsbeziehung, abrechnungsrelevante Daten nach den gesetzlichen Aufbewahrungsfristen. Die Bestätigung zum vorzeitigen Vertragsbeginn bewahren wir auf, solange das Konto besteht, und nach seiner Löschung drei Jahre ab dem Ende des Kaufjahres. Empfänger: Stripe in den USA und Irland, Hosting und Datenbank im erforderlichen Umfang |
| Widerrufserklärungen: Name, Bezeichnung des Vertrags, E-Mail-Adresse, freiwillig angegebener Grund und Eingangszeitpunkt; außerdem der Zeitpunkt der Bestätigungs-Mail. Der Widerruf ist auch ohne Nutzerkonto möglich; die Angaben werden dann unabhängig von einem Konto gespeichert | Nachweis, dass und wann eine Widerrufserklärung eingegangen ist (§ 356a BGB) | Art. 6 Abs. 1 Buchst. c DSGVO sowie Art. 6 Abs. 1 Buchst. f DSGVO (Nachweisinteresse). Speicherdauer und Empfänger: Drei Jahre ab dem Ende des Jahres, in dem der Widerruf eingegangen ist (§§ 195, 199 BGB), danach Löschung. Empfänger: Hosting und Datenbank im Rahmen der Auftragsverarbeitung, Versand der Bestätigungs-Mail über den Systemmail-Dienstleister in der EU, Eingangskopie im E-Mail-Postfach in der Schweiz |
| KI-generierte Audioausgabe | Vorlese-Audio für Lerninhalte erzeugen und bereitstellen | Art. 6 Abs. 1 Buchst. b DSGVO. Speicherdauer und Empfänger: Übermittelte Texte und erzeugte Audiodaten nur nach Maßgabe der technisch erforderlichen Verarbeitung; der Anbieter verwendet Eingaben und Ausgaben nach eigener Zusage nicht zum Training seiner Modelle, eine kurzzeitige Speicherung erfolgt nur zur Missbrauchskontrolle. Empfänger: KI-Dienst für Audio in den USA |
| KI-generierte Beispielsätze | Beispielsätze für die ausgewählten Lerninhalte erzeugen und bereitstellen | Art. 6 Abs. 1 Buchst. b DSGVO. Speicherdauer und Empfänger: Übermittelte Lerninhalte und Ergebnisse nur nach Maßgabe der technisch erforderlichen Verarbeitung; die Anbieter verwenden Eingaben und Ausgaben nach eigener Zusage nicht zum Training ihrer Modelle. Empfänger: KI-Dienst für Beispielsätze in den USA |
| Import eigener Vokabellisten: Dateiinhalt, Dateiname, erkannte Spalten und importierte Lerninhalte | Vom Nutzer gewünschte Listen einlesen und in eigene Wörter oder Listen überführen | Art. 6 Abs. 1 Buchst. b DSGVO. Speicherdauer und Empfänger: Importierte Lerninhalte bis zur Löschung durch den Nutzer oder zur Kontolöschung; die hochgeladene Datei selbst wird nur zur Durchführung des Imports verarbeitet und nicht dauerhaft gespeichert. Empfänger: Hosting und Datenbank. Bei unklarem Format zusätzlich KI-Dienst zur Import-Einordnung in den USA |
| KI-Einordnung bei unklarem Importformat: kleine Stichprobe aus der hochgeladenen Datei und technische Formatangaben | Spalten und Format erkennen, damit der gewünschte Import durchgeführt werden kann | Art. 6 Abs. 1 Buchst. b DSGVO. Speicherdauer und Empfänger: Nur für die Dauer der Einordnung; der Anbieter verwendet Eingaben und Ausgaben nach eigener Zusage nicht zum Training seiner Modelle. Empfänger: KI-Dienst zur Import-Einordnung in den USA |
| Kontaktanfragen: Kontaktdaten und Inhalt der Nachricht | Anfrage beantworten und gegebenenfalls vorvertragliche oder vertragliche Anliegen bearbeiten | Art. 6 Abs. 1 Buchst. b DSGVO, soweit es um einen Vertrag geht. Im Übrigen Art. 6 Abs. 1 Buchst. f DSGVO. Speicherdauer und Empfänger: Bis zur abschließenden Bearbeitung, anschließend nach gesetzlichen Nachweis- und Aufbewahrungspflichten. Empfänger: E-Mail-Postfach in der Schweiz |
| Sprach-Warteliste: E-Mail-Adresse und gewünschte Sprache | Einmalig informieren, wenn die gewünschte Sprache verfügbar ist | Art. 6 Abs. 1 Buchst. a DSGVO. Speicherdauer und Empfänger: Bis zur Benachrichtigung oder bis zum Widerruf der Einwilligung, anschließend Löschung. Kein Newsletter. Empfänger: Versand von Systemmails in der EU, E-Mail-Postfach in der Schweiz |
| Werbe-Einwilligung: E-Mail-Adresse, Zeitpunkt der Einwilligung, der angezeigte Einwilligungstext samt Fassung und Sprache sowie gegebenenfalls der Zeitpunkt des Widerrufs | Gelegentliche E-Mails zu neuen Funktionen, Sprachen und Angeboten versenden und die erteilte Einwilligung nachweisen können | Art. 6 Abs. 1 Buchst. a DSGVO für den Versand; Art. 6 Abs. 1 Buchst. c und f DSGVO für den Nachweis. Speicherdauer und Empfänger: Versand bis zum Widerruf, längstens bis zur Löschung des Kontos. Einwilligung und Widerruf bewahren wir zum Nachweis drei Jahre nach dem Widerruf oder der Löschung des Kontos auf; nach der Löschung des Kontos ohne Konto-Zuordnung und mit der E-Mail-Adresse nur als Prüfsumme. Empfänger: Datenbank in der EU, Versand von Systemmails in der EU |
| Lern-Erinnerung per Push-Nachricht: Push-Adresse des Geräts beim Browser-Anbieter, zwei Verschlüsselungsschlüssel des Geräts, Zeitpunkt der Einrichtung und der letzten Zustellung je Gerät, gewählte Uhrzeit, Zeitzone des Kontos sowie Tag, Zeitpunkt und Gerätezahl der letzten Erinnerung | Auf Wunsch einmal am Tag an das Lernen erinnern, und nur an Tagen, an denen noch nicht gelernt wurde | Art. 6 Abs. 1 Buchst. a DSGVO. Die Erinnerung wird nur verschickt, wenn du sie in der App ausdrücklich einschaltest; du kannst sie jederzeit in den Einstellungen abschalten. Speicherdauer und Empfänger: Bis zum Abschalten oder bis der Push-Dienst das Gerät nicht mehr kennt, längstens bis zur Löschung des Kontos. Die Zustellung läuft über den Push-Dienst deines Browsers oder Betriebssystems; dorthin übermitteln wir die Push-Adresse deines Geräts und die für die Zustellung nötigen technischen Daten. Je nach Gerät ist das insbesondere der Apple Push Notification Service der Apple Distribution International Ltd., Irland (Übermittlung in die USA auf Grundlage der Standardvertragsklauseln der EU-Kommission), Firebase Cloud Messaging beziehungsweise Web Push der Google Ireland Ltd., Irland (Übermittlung in die USA an die Google LLC, zertifiziert nach dem EU-US Data Privacy Framework, ergänzend Standardvertragsklauseln), der Windows Push Notification Service der Microsoft Ireland Operations Ltd., Irland (Übermittlung in die USA an die Microsoft Corporation, zertifiziert nach dem EU-US Data Privacy Framework, ergänzend Standardvertragsklauseln), oder der Mozilla Push Service der Mozilla Corporation, USA (Standardvertragsklauseln). Der Inhalt der Nachricht ist Ende-zu-Ende verschlüsselt; der Push-Dienst sieht nur, dass eine Nachricht zugestellt wird |
| Rückmeldung in der App (Feedback-Fenster): deine Antworten auf zwei kurze Fragen, ein optionaler Freitext, die Sprache der App, der Zeitpunkt (ohne Kontoverknüpfung nur der Tag) und die Angabe, ob die Antwort mit deinem Konto verknüpft ist | Verstehen, wie Path to Words ankommt, und das Angebot verbessern | Art. 6 Abs. 1 Buchst. f DSGVO. Berechtigtes Interesse an Rückmeldungen zum eigenen Angebot; die Teilnahme ist freiwillig, das Fenster erscheint höchstens zweimal und lässt sich schließen. Speicherdauer und Empfänger: Antworten mit Kontoverknüpfung bis zur Löschung des Kontos. Antworten, die du ohne Kontoverknüpfung absendest, speichern wir ohne Konto-ID, werten sie nicht deinem Konto zugeordnet aus und löschen sie spätestens drei Jahre nach dem Absenden; ein Freitext kann dennoch Rückschlüsse erlauben, wenn du darin Angaben zu dir machst. Empfänger: Datenbank in der EU |
| Änderung der E-Mail-Adresse: bisherige und neue E-Mail-Adresse, Zeitpunkt und technische Protokolldaten | Änderung durchführen, Missbrauch erkennen und Sicherheitsvorgang nachweisen | Art. 6 Abs. 1 Buchst. b und f DSGVO. Speicherdauer und Empfänger: Bis zur Löschung des Kontos. Empfänger: Datenbank und Authentifizierung in der EU |
| Kontolöschung: Löschantrag, Löschdatum, Abbruchstatus und Vertragsstatus | Löschwunsch ausführen, 30-tägige Karenz ermöglichen, laufendes Abo vor Löschung beenden und gesetzlichen Pflichten nachkommen | Art. 6 Abs. 1 Buchst. b und c DSGVO. Die Karenz zusätzlich Art. 6 Abs. 1 Buchst. f DSGVO zum Schutz vor versehentlichen oder missbräuchlichen Löschungen. Speicherdauer und Empfänger: Löschantrag während der Karenz. Nach endgültiger Löschung nur noch Daten, die gesetzlich aufbewahrt werden müssen |
| Inaktivitätsverwaltung von Free-Konten: letzter Nutzungszeitpunkt, Warnstatus und E-Mail-Adresse | Free-Konten nach drei Jahren Inaktivität und zwei Warnmails löschen | Art. 6 Abs. 1 Buchst. f DSGVO. Berechtigtes Interesse an Datenminimierung und der Begrenzung dauerhaft ungenutzter Konten. Speicherdauer und Empfänger: Bis zur Reaktivierung oder endgültigen Löschung. Lifetime-Konten werden nicht wegen Inaktivität gelöscht |
Path to Words verwendet keine Werbe-Tools und keine Analyse-Dienste, die Cookies setzen oder einzelne Nutzer wiedererkennen. Für die Reichweitenmessung kommt ausschließlich der in Abschnitt 3 beschriebene cookielose Dienst zum Einsatz; er setzt keine Cookies und speichert nichts auf dem Endgerät. Daneben werden nur technisch notwendige Cookies oder vergleichbare lokale Speichertechniken eingesetzt. Dazu gehören insbesondere Informationen für Anmeldung und Sitzung, Sprache sowie Anzeigeeinstellungen.
Diese Speicherung ist erforderlich, damit der ausdrücklich gewünschte digitale Dienst bereitgestellt werden kann. Eine Einwilligung nach § 25 Abs. 1 TDDDG ist deshalb nicht erforderlich. Aus diesem Grund wird kein Cookie-Banner eingesetzt.
Für Vorlese-Audio, Beispielsätze, die Einordnung einer kleinen Dateistichprobe bei unklarem Importformat sowie beim Anlegen eigener Wörter für die Bestimmung von Wortart und Artikel und für die Erzeugung von Antwortmöglichkeiten (Ablenker) werden KI-Dienste in den USA eingesetzt. An diese Dienste werden nur die Inhalte übermittelt, die für die jeweilige Funktion erforderlich sind (beim eigenen Wort nur das eingegebene Wortpaar, für die Dauer der Anfrage).
KI-generierte Ausgaben können Fehler enthalten. Sie dienen als Lernhilfe und sollten bei Zweifeln anhand verlässlicher Sprachquellen geprüft werden.
Vorlese-Audio, Beispielsätze und Import-Einordnung erbringt derselbe KI-Anbieter (USA); für Beispielsätze besteht ein zweiter KI-Anbieter (USA) als Ausweichdienst bei Störungen. Beide verwenden Eingaben und Ausgaben nach eigener Zusage nicht zum Training ihrer Modelle. Der Haupt-Anbieter ist nach dem EU-US Data Privacy Framework zertifiziert.
Zahlungen werden über die gehostete Kasse von Stripe abgewickelt. Stripe verarbeitet dabei insbesondere E-Mail-Adresse, Zahlungsart, Zahlungsdaten, Zahlungsstatus und Kaufhistorie. Path to Words erhält nur die Informationen, die zur Zuordnung des Kaufs, zur Freischaltung des Tarifs, zur Vertragsverwaltung und zur Erfüllung gesetzlicher Pflichten benötigt werden.
Rechnungen und Zahlungsbelege werden von Stripe separat erstellt und versendet.
Vertragspartner für die Zahlungsabwicklung im Europäischen Wirtschaftsraum ist regelmäßig Stripe Payments Europe, Ltd. (Irland); dabei können Daten an Stripe, Inc. (USA) übermittelt werden. Stripe ist nach dem EU-US Data Privacy Framework zertifiziert. Einzelheiten enthalten die Datenschutzhinweise von Stripe.
Personenbezogene Daten werden nur an die folgenden Empfängerkategorien übermittelt, soweit dies für den jeweiligen Zweck erforderlich ist:
Bei Empfängern in den USA erfolgt die Übermittlung, soweit anwendbar, auf Grundlage des EU-US Data Privacy Framework. Ist der jeweilige Empfänger nicht entsprechend zertifiziert oder deckt die Zertifizierung die Verarbeitung nicht ab, werden Standardvertragsklauseln der Europäischen Kommission und gegebenenfalls ergänzende Schutzmaßnahmen eingesetzt.
Für Übermittlungen in die Schweiz besteht ein Angemessenheitsbeschluss. Dadurch können personenbezogene Daten grundsätzlich ohne zusätzliche Garantien in die Schweiz übermittelt werden.
Nutzer können ihr Konto in den Einstellungen selbst zur Löschung vormerken. Anschließend gilt eine Karenzzeit von 30 Tagen. Während dieser Zeit kann die Löschung abgebrochen werden. Vor der endgültigen Löschung wird ein laufendes Abonnement beendet. Nach Ablauf der Karenz werden Konto, Lernfortschritt, eigene Wörter, Listen und Notizen endgültig gelöscht, soweit keine gesetzliche Aufbewahrungspflicht besteht.
Rechnungs- und abrechnungsrelevante Daten bleiben für die gesetzlichen Aufbewahrungsfristen gespeichert. Diese Daten werden nach Ablauf der Fristen gelöscht.
Free-Konten können nach drei Jahren Inaktivität gelöscht werden. Vorher werden zwei Warnmails versendet. Lifetime-Konten werden nicht wegen Inaktivität gelöscht.
Ein Export personenbezogener Daten kann über das Kontaktformular angefordert werden. Die Anfrage wird unverzüglich und spätestens innerhalb eines Monats bearbeitet. Je nach Inhalt der Anfrage erfolgt die Bereitstellung im Rahmen des Auskunftsrechts oder des Rechts auf Datenübertragbarkeit.
Betroffene Personen haben nach Maßgabe der gesetzlichen Voraussetzungen folgende Rechte:
Zur Ausübung dieser Rechte genügt eine Nachricht an info@pathtowords.com oder eine Anfrage über pathtowords.com/kontakt.
Soweit eine Verarbeitung auf Art. 6 Abs. 1 Buchst. f DSGVO beruht, kann aus Gründen, die sich aus der besonderen Situation der betroffenen Person ergeben, jederzeit Widerspruch eingelegt werden. Path to Words verarbeitet die betroffenen Daten dann nicht weiter, es sei denn, es bestehen zwingende schutzwürdige Gründe oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.
Eine erteilte Einwilligung kann jederzeit mit Wirkung für die Zukunft widerrufen werden. Die Rechtmäßigkeit der Verarbeitung bis zum Widerruf bleibt unberührt. Für die Sprach-Warteliste kann der Widerruf über das Kontaktformular oder per E-Mail erklärt werden. Die Einwilligung in Werbe-E-Mails lässt sich über den Abmeldelink in jeder solchen E-Mail oder ebenfalls per Nachricht widerrufen.
Betroffene Personen können sich bei einer Datenschutzaufsichtsbehörde beschweren. Für den Verantwortlichen ist regelmäßig zuständig:
Beschwerden können über die von der Behörde bereitgestellten Beschwerdeformulare eingereicht werden.
Es findet keine ausschließlich automatisierte Entscheidungsfindung einschließlich Profiling statt, die gegenüber einer Person rechtliche Wirkung entfaltet oder sie in ähnlicher Weise erheblich beeinträchtigt.
Path to Words trifft angemessene technische und organisatorische Maßnahmen, um personenbezogene Daten vor Verlust, Manipulation, unberechtigtem Zugriff und sonstigen Sicherheitsrisiken zu schützen. Zugangsdaten werden nicht im Klartext gespeichert. Passwörter werden als Hash verarbeitet.
Diese Datenschutzerklärung kann angepasst werden, wenn sich Funktionen, Dienstleister oder rechtliche Anforderungen ändern. Die jeweils aktuelle Fassung wird in der Web-App veröffentlicht. Bei wesentlichen Änderungen, die bestehende Konten betreffen, erfolgt eine angemessene Information.