Datenschutzhinweise von NexStudy

1. Wer verantwortlich ist

Verantwortlich für die Verarbeitung deiner Daten in NexStudy ist die NexAI – Next Generation Artificial Intelligence GbR, vertreten durch die Gesellschafter Maximilian Trenk und Jason Brian Merklein, Untere Bergstraße 13, 74586 Frankenhardt-Honhardt, Deutschland.

Bei Fragen zum Datenschutz erreichst du uns unter mbt@nex-a-i.com.

2. Worum es bei NexStudy geht

NexStudy ist ein persönlicher Lernassistent. Du lädst einen Lernzettel hoch; das System liest ihn, erstellt daraus Lernfassungen, liest sie auf Wunsch vor, beantwortet deine Fragen dazu und fragt dich ab. NexStudy hat keinen geschäftlichen Zweck und ist von den Geschäftsfunktionen des NexAI-Portals getrennt, auf dessen Technik es läuft. Das Vorlesen übernimmt die Sprachausgabe deines Geräts bzw. Browsers. Ist auf deinem Gerät keine deutsche Offline-Stimme installiert, nutzt der Browser die Online-Stimme seines Herstellers (etwa Google, Apple oder Microsoft); der vorgelesene Text geht dann an diesen Anbieter, eine Verarbeitung in den USA ist möglich. Das ist eine Funktion deines Browsers bzw. Betriebssystems; mit diesen Anbietern haben wir keinen Vertrag, und welcher es ist, entscheidet dein Gerät. Möchtest du das nicht, installiere eine Offline-Stimme (iPhone: Einstellungen › Bedienungshilfen › Gesprochene Inhalte › Stimmen; Android: Einstellungen › Sprache & Eingabe › Sprachausgabe).

3. Welche Daten verarbeitet werden

Dein Konto. E-Mail-Adresse, der Name, mit dem wir dich ansprechen sollen, dein Passwort (gespeichert nur als nicht rückrechenbare Prüfsumme), deine Sprache, der Zeitpunkt, zu dem du deine Adresse bestätigt hast, und der Zeitpunkt deiner letzten Anmeldung. Beim Anmelden entsteht eine Sitzung auf deinem Gerät.

Deine Zustimmung. Wann du den Nutzungsbedingungen zugestimmt, die Datenschutzhinweise zur Kenntnis genommen und dein Mindestalter bestätigt hast, jeweils mit der Kennung der Textfassung, die in diesem Moment galt. Eine IP-Adresse speichern wir dazu nicht.

Was du hochlädst. Dateien in den Formaten PDF, Word, PowerPoint, Text, Markdown sowie Bilder (PNG, JPEG, WEBP, HEIC). Die Originaldatei bleibt gespeichert und wird nicht verändert; bei Fotos und Scans legen wir zusätzlich eine verkleinerte Arbeitskopie an.

Was daraus entsteht. Der ausgelesene Text, die Abschnittsgliederung, die Lernfassungen, die Sprachaufnahmen, deine Karteikarten und Prüfungsfragen, deine Antworten samt Bewertung, dein Lernchat, deine Favoriten, Fächer und Einstellungen.

Kein Sicherheitsprotokoll. Anmeldungen und Passwortwechsel von NexStudy-Konten tragen wir nicht in das Sicherheitsprotokoll des Portals ein. Das hält dein Konto aus den Ansichten der Geschäftsführung heraus; dafür können wir bei einem Missbrauchsverdacht keine Anmeldehistorie deines Kontos vorlegen.

4. Registrierung und Mindestalter

Die Registrierung hat zwei Schritte. Im ersten gibst du nur deine E-Mail-Adresse an. Wir legen dafür ein noch nicht nutzbares Konto an und schicken dir einen Bestätigungslink, der 48 Stunden gilt. Im zweiten Schritt öffnest du den Link, legst Namen und Passwort fest und stimmst zu. Erst damit ist dein Konto nutzbar.

Bestätigst du deine Adresse nicht, löschen wir sie samt dem angelegten Konto sieben Tage nach der Registrierung. Weil der Löschlauf einmal täglich läuft, kann das bis zu acht Tage dauern.

Gibt jemand deine Adresse ein, obwohl du schon ein Konto hast, schicken wir dir einen Hinweis und ändern an deinem Konto nichts.

NexStudy darfst du nutzen, wenn du mindestens 16 Jahre alt bist. Das bestätigst du bei der Registrierung.

Für ein Konto brauchen wir deine E-Mail-Adresse, einen Namen (ein Vorname oder Spitzname genügt) und ein Passwort; ohne sie lässt sich kein Konto anlegen. Ohne KI-Einwilligung kannst du dein Konto und deine vorhandenen Lernzettel weiter nutzen, aber nichts Neues aufbereiten lassen. Gesetzlich verpflichtet bist du zu keiner Angabe.

5. Schutz vor Missbrauch

Damit niemand über NexStudy fremde Postfächer mit Mails überschüttet oder massenhaft Konten anlegt, zählen wir Anfragen zur Registrierung und zum Zurücksetzen des Passworts: je IP-Adresse (bei IPv6 je Netzbereich), je E-Mail-Postfach und je Konto. Gespeichert wird dabei nicht die Adresse selbst, sondern ein Schlüsselwert, der mit einem geheimen Schlüssel unseres Servers gebildet wird und ohne diesen nicht auf die Adresse zurückführt. Das ist eine Pseudonymisierung, keine Anonymisierung.

Ein Zähler lebt höchstens so lange wie sein Zeitfenster plus einen Tag, längstens acht Tage. Danach löscht ihn der tägliche Löschlauf.

Dieselbe Bremse gilt für die Eingabe deines Passworts beim Ändern des Passworts und beim Löschen deines Kontos.

6. Auf welcher Rechtsgrundlage

– Konto, Speicherung deiner Lernzettel, ihre Aufbereitung durch das KI-Sprachmodell (Abschnitt 9) und die E-Mails zu deinem Konto: Art. 6 Abs. 1 lit. b DSGVO — das ist die Leistung, die du mit den Nutzungsbedingungen vereinbarst.

– Stehen in deinen Lernzetteln Angaben zu deiner eigenen Gesundheit oder andere besondere Kategorien personenbezogener Daten (Art. 9 DSGVO), verarbeiten wir sie nur mit deiner ausdrücklichen Einwilligung (Art. 9 Abs. 2 lit. a DSGVO). Du erteilst sie mit der KI-Einwilligung vor dem ersten Hochladen und kannst sie unter „Konto“ jederzeit widerrufen. Weil wir solche Angaben nicht von anderen trennen können, geht nach einem Widerruf nichts Neues mehr an das KI-Sprachmodell; deine vorhandenen Lernzettel und Ergebnisse bleiben lesbar. Der Widerruf berührt nicht die Rechtmäßigkeit der Verarbeitung bis dahin.

– Schutz vor Missbrauch und Sicherheit des Dienstes: Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist, fremde Postfächer und den Dienst vor massenhaften Anfragen zu schützen.

7. Wer deine Lerninhalte sehen kann

Deine Lerninhalte gehören ausschließlich zu deinem Konto. Jede Abfrage der Datenbank ist auf dein Konto begrenzt; jede Ausgabe von Dateien prüft die Zugehörigkeit. Andere Konten — auch die der Geschäftsführung — erreichen deine Lernzettel, Fassungen, Aufnahmen, Antworten und Chatverläufe nicht.

Die Geschäftsführung des Portals sieht von NexStudy-Konten nur, wie viele es gibt, und kann gezielt nach genau einer Adresse suchen, etwa um eine Anfrage von dir zu bearbeiten. Eine Liste aller NexStudy-Konten bekommt sie nicht. Sie kann ein Konto sperren oder dir einen Link zum Zurücksetzen des Passworts schicken; der Link geht immer an deine hinterlegte Adresse. Deine Adresse ändern kann sie nicht.

Eine Grenze benennen wir offen: Wer Zugriff auf Server oder Datenbank hat, kann die gespeicherten Inhalte technisch einsehen. Eine Verschlüsselung, deren Schlüssel nur du besitzt, gibt es nicht.

8. Wo die Daten liegen

Dein Konto, deine Dateien, deine Aufnahmen und alle daraus erzeugten Inhalte liegen auf einem Server in Deutschland, den wir bei der Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, betreiben. Hetzner verarbeitet diese Daten als Auftragsverarbeiter nach Art. 28 DSGVO.

Von der Datenbank erstellen wir nächtlich eine verschlüsselte Sicherung und übertragen sie auf einen zweiten Server in Deutschland. Wir bewahren bis zu 30 Sicherungen auf. Sie enthalten nur Datenbankinhalte, keine hochgeladenen Dateien und keine Aufnahmen.

9. Verarbeitung durch ein KI-Sprachmodell

Um aus deinem Lernzettel Lernfassungen, Karteikarten, Prüfungsfragen, Antworten im Lernchat und den Sprechtext zu erzeugen, setzen wir die OpenAI Ireland Limited, 1st Floor, The Liffey Trust Centre, 117–126 Sheriff Street Upper, Dublin 1, D01 YC43, Irland, als Auftragsverarbeiter nach Art. 28 DSGVO ein. Eine Verarbeitung durch die US-Gesellschaft (OpenAI OpCo, LLC) ist möglich.

Übermittelt werden: der Text deines Lernzettels, abschnittsweise oder vollständig; bei Fotos und gescannten PDF-Dateien die Datei selbst als Bild, damit sie abgeschrieben werden kann; deine Fragen im Lernchat samt den passenden Abschnitten; deine Antworten im Prüfungstraining, damit sie bewertet werden können; der Sprechtext für die Tonaufnahme. Reine Textformate (PDF mit Textebene, Word, PowerPoint, Text, Markdown) lesen wir auf unserem eigenen Server aus; dafür wird nichts übermittelt.

Wir weisen OpenAI an, keine abrufbaren Antwortobjekte zu speichern. OpenAI darf Ein- und Ausgaben bis zu 30 Tage aufbewahren, um Missbrauch zu erkennen. Die über die Programmierschnittstelle übermittelten Daten verwendet OpenAI nicht zum Training seiner Modelle.

Soweit eine Verarbeitung in den USA stattfindet, stützen wir sie auf die EU-Standardvertragsklauseln (Art. 46 DSGVO) nebst ergänzenden Schutzmaßnahmen. OpenAI ist nicht unter dem EU-U.S. Data Privacy Framework zertifiziert (geprüft am 06.09.2026 in der amtlichen Liste). Eine Kopie der Garantien kannst du bei uns anfordern.

Was das praktisch heißt: Enthält dein Lernzettel besondere Angaben — etwa Gesundheitsdaten oder Namen anderer Personen —, verlassen auch diese Angaben im Rahmen der Verarbeitung die EU. Lade deshalb nur hoch, was du dafür freigeben möchtest.

10. E-Mail-Versand

Bestätigungslinks, Links zum Zurücksetzen des Passworts, Hinweise bei einer erneuten Registrierung und die Bestätigung einer Kontolöschung versenden wir über die Plus Five Five, Inc. (Resend), 2261 Market Street #5039, San Francisco, CA 94114, USA. Resend ist unter dem EU-U.S. Data Privacy Framework zertifiziert. Übermittelt werden Empfängeradresse und Inhalt der jeweiligen Nachricht. Resend bewahrt Zustellprotokolle so lange auf, wie es zum Nachweis der Zustellung und zur Missbrauchsabwehr nötig ist; die Frist legt Resend fest.

Wo unser Mailversand Fehler protokolliert, steht von deiner Adresse nur der Teil nach dem @.

11. Wie lange gespeichert wird

– Dein Konto und deine Lerninhalte: bis du sie löschst. Eine automatische Löschung nach Ablauf einer Frist gibt es dafür nicht.

– Unbestätigte Registrierungen: sieben Tage, durch den täglichen Lauf höchstens acht.

– Zähler gegen Missbrauch: höchstens acht Tage.

– Datenbanksicherungen: bis zu 30 Tage.

– Nach einer Kontolöschung die Kennung des gelöschten Kontos, ohne Adresse und ohne Namen: 35 Tage. Sie verhindert, dass das Einspielen einer älteren Sicherung dein gelöschtes Konto zurückbringt.

– Beim KI-Dienst OpenAI: bis zu 30 Tage zur Missbrauchserkennung.

12. Dein Konto löschen

Du kannst dein Konto jederzeit selbst löschen: angemeldet unter „Konto“, mit deinem Passwort. Die Löschung wirkt sofort und umfasst dein Konto, deine Zustimmungsnachweise, alle Lernzettel mit Originalen und Arbeitskopien und alles, was daraus entstanden ist, sowie deine Anmeldungen auf allen Geräten. An die bisherige Adresse schicken wir eine Bestätigung.

Was danach noch eine Weile besteht, steht in Abschnitt 11. Auf anderen eigenen Geräten können zwischengespeicherte Inhalte bis zu 24 Stunden im Speicher des Browsers bleiben.

Kommst du nicht mehr in dein Konto, setze über „Passwort vergessen“ ein neues Passwort und lösche es dann. Auf eine Mail allein löschen wir nicht, weil sich Absender fälschen lassen; wir helfen dir aber beim Anmelden.

13. Deine Rechte

Dir stehen die Rechte auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21 DSGVO) zu. Eine erteilte Einwilligung kannst du jederzeit mit Wirkung für die Zukunft widerrufen.

Eine Nachricht an mbt@nex-a-i.com genügt. Du kannst dich außerdem bei einer Aufsichtsbehörde beschweren; für uns zuständig ist der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg.

Dein Widerspruchsrecht (Art. 21 DSGVO)

Soweit wir Daten auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO verarbeiten — die Zähler gegen Missbrauch (Abschnitt 5) —, kannst du dieser Verarbeitung aus Gründen, die sich aus deiner besonderen Situation ergeben, jederzeit widersprechen. Wir verarbeiten die Daten dann nicht mehr, es sei denn, wir können zwingende schutzwürdige Gründe nachweisen, die deine Interessen, Rechte und Freiheiten überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen. Eine Nachricht an mbt@nex-a-i.com genügt.

14. Keine automatisierte Entscheidung

NexStudy trifft keine Entscheidungen über dich mit rechtlicher Wirkung. Die Bewertung deiner Übungsantworten dient allein deinem Lernfortschritt (Art. 22 DSGVO).