Datenschutzerklärung

Stand: 16. August 2026

Kurzfassung: Vocatale verwendet keine Werbetracker und keine Reichweitenanalyse. Für Konten und Synchronisierung wird Supabase eingesetzt. Bei eingebauter KI werden die erforderlichen Eingaben zur Sicherheitsprüfung und Generierung an KI-Dienstleister übermittelt. Eigene API-Schlüssel bleiben im Browser und werden nicht mit Vocatale synchronisiert. Für die Browser-Erweiterung gibt es einen eigenen Datenschutzhinweis zu ausgewählten Seitentexten und Chrome-Berechtigungen.

1. Verantwortlicher

Verantwortlich für die Verarbeitung personenbezogener Daten im Zusammenhang mit Vocatale ist:

Wen-Tao Wu
E-Mail: contact@vocatale.com

2. Welche Daten Vocatale verarbeitet

Je nach Nutzung können folgende Daten verarbeitet werden:

technische Zugriffsdaten wie IP-Adresse, Zeitpunkt, aufgerufene Datei, Browserinformationen und Fehlerdaten;
Kontodaten wie E-Mail-Adresse, interne Nutzer-ID, Login-Anbieter und Sitzungsdaten;
Lerndaten wie Sprachen, Niveau, Einstellungen, Wortschatz, Lernstatus, Lesefortschritt, Geschichten und Serien;
bei KI-Funktionen: ausgewählte Wörter, Prompts, Texteingaben, Story-Kontext, generierte Antworten sowie technische Nutzungs- und Kostenmetadaten;
bei einem iOS-Creditkauf: Apple-Produkt- und Transaktionskennungen, Creditmenge, Umgebung, Kaufzeit, Erfüllungs- und Erstattungsstatus; vollständige Zahlungskartendaten erhält Vocatale nicht;
bei der Lite/Pro-Benachrichtigung: die angegebene E-Mail-Adresse und Zeitpunkte der Anmeldung;
bei Nutzung eines eigenen KI-Anbieters: lokal gespeicherte Anbieter-, Modell-, Endpunkt- und API-Key-Einstellungen.

3. Zwecke und Rechtsgrundlagen

Zweck	Rechtsgrundlage
Bereitstellung der Website und App	Art. 6 Abs. 1 lit. b DSGVO; bei rein technischen Schutzmaßnahmen zusätzlich Art. 6 Abs. 1 lit. f DSGVO
Konto, Anmeldung und Cloud-Synchronisierung	Art. 6 Abs. 1 lit. b DSGVO
KI-Generierung, Wörterbuch- und Übersetzungsfunktionen	Art. 6 Abs. 1 lit. b DSGVO, wenn die jeweilige Funktion angefordert wird
Kaufabwicklung, Erstattungen und Creditguthaben	Art. 6 Abs. 1 lit. b DSGVO; für gesetzliche Buchführungs- und Steuerpflichten Art. 6 Abs. 1 lit. c DSGVO
Missbrauchsabwehr, Moderation, Fehleranalyse und Systemsicherheit	Art. 6 Abs. 1 lit. f DSGVO; berechtigtes Interesse an einem sicheren und verlässlichen Dienst
Lite/Pro-Benachrichtigung	Art. 6 Abs. 1 lit. a DSGVO; die Einwilligung kann jederzeit widerrufen werden

4. Hosting, Supabase und Apple-Käufe

GitHub Pages

Die öffentliche Website wird über GitHub Pages bereitgestellt. Beim Abruf verarbeitet GitHub technisch erforderliche Zugriffsdaten, insbesondere die IP-Adresse, um die Dateien auszuliefern und den Dienst zu schützen. Anbieter ist GitHub, Inc. Weitere Informationen enthält die Datenschutzerklärung von GitHub.

Supabase

Vocatale nutzt Supabase für Authentifizierung, Kontoverwaltung, Cloud-Synchronisierung, die Warteliste, serverseitige KI-Funktionen und das Creditbuch. Gespeichert werden insbesondere Kontodaten, synchronisierte Lerndaten, Credit- und Kaufdatensätze sowie KI-Nutzungsmetadaten. API-Schlüssel, die Nutzer für einen eigenen KI-Anbieter eintragen, werden vor der Synchronisierung entfernt.

Weitere Informationen enthält die Datenschutzerklärung von Supabase.

Apple In-App Purchase

Creditpakete in der iOS-App werden über Apple In-App Purchase gekauft. Apple zeigt und verarbeitet die Zahlung und stellt Vocatale eine signierte Transaktion bereit. Vocatale prüft diese Transaktion bei Apple, bevor Credits dem angemeldeten Konto gutgeschrieben werden. Für die Zahlungsabwicklung gelten zusätzlich Apples Bedingungen und Datenschutzhinweise. Gekaufte Credits verfallen nicht.

5. Anmeldung über Drittanbieter

Vocatale unterstützt E-Mail-Anmeldung sowie – soweit aktiviert – Apple, Google, Microsoft, GitHub und WeChat. Ein Drittanbieter erhält Daten erst, wenn seine Anmeldemöglichkeit ausgewählt wird. Dabei werden die für die Anmeldung notwendigen Identitäts- und Verbindungsdaten zwischen dem Anbieter und Supabase ausgetauscht. Es gelten zusätzlich die Datenschutzhinweise des ausgewählten Anbieters. In der iOS-App wird „Mit Apple anmelden“ angeboten.

Vocatale speichert keine Passwörter im Anwendungscode. Die Authentifizierung wird durch Supabase verarbeitet. OAuth-Anmeldungen verwenden PKCE. Facebook ist derzeit nicht aktiviert. WeChat ist derzeit nicht konfiguriert.

6. KI-Funktionen

Eingebaute KI („Managed AI“)

Wörterbuchabfragen sendet Vocatale auf der globalen und der China-Route der eingebauten KI direkt an DeepSeek. Dabei werden weder die OpenAI-Sicherheitsprüfung noch OpenRouter verwendet. Bei anderen Funktionen der eingebauten KI sendet Vocatale die erforderlichen Eingaben zunächst an OpenAI zur automatisierten Sicherheitsprüfung und danach entweder über OpenRouter auf der globalen Route oder an den separat konfigurierten Anbieter der China-Route (derzeit DeepSeek); auch die Ausgabe wird automatisiert geprüft. Der jeweils verwendete Anbieter erhält den Inhalt der Anfrage und technische Verbindungsdaten.

Prompts und vollständige KI-Ausgaben werden nicht im operativen KI-Anfragenbuch gespeichert. Eine erfolgreich erzeugte Geschichte kann jedoch als Teil der Lernbibliothek im Supabase-Konto gespeichert werden. Für Abrechnung, Missbrauchsschutz und Fehlerbehebung werden Metadaten verarbeitet, etwa Funktionsart, Route, Anbieter, Modell, Tokenmengen, Kosten, Status und Moderationskategorien.

Weitere Informationen: OpenRouter Privacy Policy, OpenAI Privacy Policy und DeepSeek Privacy Policy.

Eigener KI-Anbieter („Bring your own provider“)

Wählt ein Nutzer einen eigenen KI-Anbieter oder einen eigenen kompatiblen Endpunkt, verbindet sich der Browser direkt mit diesem Ziel. Der API-Key und die Anbieter-Konfiguration werden lokal im Browser gespeichert, nicht an Vocatale übertragen und nicht in die Vocatale-Cloud synchronisiert. Für diese direkte Verarbeitung gelten die Bedingungen und Datenschutzhinweise des ausgewählten Anbieters. Bei gemeinsam genutzten Geräten sollte der Key nach der Nutzung entfernt werden.

Transparenz und Entscheidungen

Als KI-generiert gekennzeichnete Geschichten, Beispielsätze, Merkhilfen und Erklärungen werden automatisiert erstellt und können Fehler enthalten. Sie ersetzen keine professionelle oder verbindliche Auskunft. Vocatale trifft keine ausschließlich automatisierten Entscheidungen mit rechtlicher oder vergleichbar erheblicher Wirkung über Nutzer.

7. Wörterbuch, Übersetzung und Sprachausgabe

Das Nachschlagen eines Wortes erfolgt über die in dieser Erklärung beschriebene KI-Funktion und wird nicht an einen Wörterbuch- oder Übersetzungsdienst Dritter übertragen. Zwei weitere Aktionen können solche Dienste weiterhin nutzen, sofern kein KI-Anbieter konfiguriert ist: das Speichern eines markierten Wortes über die Leseleiste und der Import einer Wortliste. Dabei kann der Begriff an DictionaryAPI.dev und für eine maschinelle Übersetzung an MyMemory übertragen werden; technisch bedingt erhalten diese Dienste außerdem die IP-Adresse.

Die Sprachausgabe nutzt die im Browser oder Betriebssystem verfügbaren Stimmen. Bei als online gekennzeichneten Stimmen kann der Browser Text an den jeweiligen Sprachdienst des Geräte- oder Browseranbieters übertragen. Vocatale erhält dabei keine zusätzliche Kopie der Audiodaten.

8. Browser-Speicher und Cookies

Vocatale verwendet derzeit keine Analyse-, Werbe- oder Profiling-Cookies. Die App nutzt localStorage und sessionStorage, um ausdrücklich gewünschte Funktionen bereitzustellen, insbesondere:

Login-Sitzung und sichere PKCE-Anmeldung;
gewählte Sprache, Niveau und Darstellung;
lokalen Wortschatz, Lernfortschritt und Geschichten;
Onboarding- und Bedienzustand;
lokale Einstellungen und Schlüssel eines selbst gewählten KI-Anbieters.

Diese Speicherung ist für die jeweils angeforderte App-Funktion erforderlich. Deshalb wird kein Einwilligungsbanner angezeigt. Lokale Daten können über die Browser-Einstellungen gelöscht werden; danach können Anmeldung, lokale Lernstände oder gespeicherte Anbieter-Einstellungen verloren gehen.

9. Lite/Pro-Benachrichtigung

Wer seine E-Mail-Adresse in das Formular einträgt und zustimmt, erhält eine Nachricht, sobald Lite/Pro beziehungsweise Vocatale-Credits verfügbar sind. Die Einwilligung umfasst keinen allgemeinen Newsletter. Die Adresse bleibt bis zur Benachrichtigung oder bis zum Widerruf gespeichert. Nach Abschluss der Benachrichtigungsaktion wird sie gelöscht, sofern keine andere Rechtsgrundlage besteht.

Widerruf und Löschung sind jederzeit per E-Mail an contact@vocatale.com möglich. Die Rechtmäßigkeit der Verarbeitung vor dem Widerruf bleibt unberührt.

10. Speicherdauer

Konten und synchronisierte Lerndaten: bis zur Löschung des Kontos oder bis die Daten für den Dienst nicht mehr erforderlich sind.
Lokale App-Daten: bis sie in der App oder über die Browser-Einstellungen gelöscht werden.
Warteliste: bis zur angekündigten Benachrichtigung oder bis zum Widerruf.
Sicherheits-, Fehler- und KI-Nutzungsmetadaten: nur so lange, wie sie für Sicherheit, Missbrauchsabwehr, Abrechnung, Fehlerbehebung oder die Verteidigung von Rechtsansprüchen erforderlich sind.
Kaufdatensätze und gesetzlich erforderliche Nachweise: für die jeweils geltenden Buchführungs-, Steuer-, Betrugsabwehr-, Erstattungs- und Verjährungsfristen.

Wenn Daten nicht unmittelbar gelöscht werden können, werden sie bis zum Wegfall des Aufbewahrungsgrundes gesperrt oder in ihrer Verwendung eingeschränkt.

Bei der Löschung eines Kontos werden Konto, synchronisierte Lerndaten, verfügbares Creditguthaben, Wort-Statistiken und ein etwaiger Wartelisteneintrag gelöscht. Abrechnungszeilen zu Managed-AI-Anfragen und Apple-Transaktionsdatensätze können für korrekte Abrechnung, Buchführung, Betrugsabwehr und Erstattungen erhalten bleiben; die Vocatale-Kontozuordnung wird dabei entfernt. KI-Abrechnungszeilen enthalten weder Eingaben noch erzeugte Inhalte.

11. Empfänger und Übermittlungen

Empfänger können GitHub, Supabase, Apple für In-App Purchase, die vom Nutzer ausgewählten Login-Anbieter, OpenRouter, OpenAI, der Anbieter der China-Route sowie die oben genannten Wörterbuch-, Übersetzungs- und Sprachdienste sein. Einige Anbieter verarbeiten Daten in den USA, China oder anderen Staaten außerhalb des Europäischen Wirtschaftsraums. Solche Übermittlungen erfolgen – abhängig von Anbieter und Verarbeitung – auf Grundlage eines Angemessenheitsbeschlusses, geeigneter Garantien wie Standardvertragsklauseln oder einer anderen anwendbaren Rechtsgrundlage.

Bei einem selbst konfigurierten KI-Endpunkt bestimmt der Nutzer selbst das Ziel der direkten Übermittlung.

12. Rechte betroffener Personen

Betroffene Personen haben nach Maßgabe der gesetzlichen Voraussetzungen das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch. Eine Einwilligung kann jederzeit mit Wirkung für die Zukunft widerrufen werden.

Für Datenübertragbarkeit und Löschung ist keine Anfrage nötig: Angemeldete Nutzer finden unter „Meine Daten“ eine Schaltfläche, die alle zum Konto gespeicherten Daten als JSON-Datei herunterlädt, sowie eine Schaltfläche, die das Konto nach einer Rückfrage endgültig löscht. Die heruntergeladene Datei enthält keine Passwörter und keine Anmelde-Token.

Anfragen können an contact@vocatale.com gesendet werden. Zur Vermeidung unbefugter Datenzugriffe kann ein geeigneter Nachweis verlangt werden, dass die anfragende Person Inhaber des betreffenden Kontos ist. Außerdem besteht das Recht, sich bei einer zuständigen Datenschutzaufsichtsbehörde zu beschweren.

13. Minderjährige

Vocatale richtet sich nicht gezielt an Kinder unter 16 Jahren. Personen unter 16 Jahren sollen kein Konto und keine Benachrichtigungsanmeldung ohne Zustimmung einer erziehungsberechtigten Person verwenden. In Freitextfelder sollten keine sensiblen personenbezogenen Daten über die eigene oder andere Personen eingegeben werden.

14. Sicherheit und Änderungen

Vocatale verwendet unter anderem verschlüsselte HTTPS-Verbindungen, kontobezogene Zugriffsregeln, PKCE bei OAuth, serverseitig verwahrte Dienstschlüssel, Eingabegrenzen, Moderation und Maßnahmen gegen missbräuchliche Nutzung. Kein internetbasierter Dienst kann jedoch absolute Sicherheit garantieren.

Diese Erklärung wird angepasst, wenn sich Funktionen, Anbieter oder rechtliche Anforderungen wesentlich ändern. Die aktuelle Fassung ist stets unter dieser Adresse abrufbar.