Datenschutzerklärung

Diese Datenschutzerklärung beschreibt, wie die HeyQQ GmbH personenbezogene Daten von Nutzer:innen im Europäischen Wirtschaftsraum (EWR) gemäß DSGVO verarbeitet.

Sie gilt für Oscar Stories, Oscar Moneyfox, Oscar Science (Lora) sowie die zugehörigen APIs und Backend-Dienste (zusammen die "Services").

Die HeyQQ GmbH ist Verantwortlicher und in Österreich ansässig.

Englische Fassung: /privacy-policy/

Verantwortlicher

HeyQQ GmbH
FN: 572680b
UID: ATU77744201
FB-Gericht: Handelsgericht Wien
Sitz: 1090 Wien
Wasagasse 23, 1090 Wien, Österreich
Geschäftsführer: Dmitrij Rubanov, MA; Mag. Matthias Neumayer, BA

Allgemeiner Produktkontakt: hello@heyqq.app
Datenschutzkontakt: privacy@heyqq.app
Datenschutzbeauftragter (DPO): privacy@oscarstories.com

Welche Daten wir verarbeiten

Je nach Nutzung der Services verarbeiten wir insbesondere folgende Kategorien personenbezogener Daten:

• Konto- und Identitätsdaten: E-Mail-Adresse, User-ID/UID, Benutzername, Authentifizierungsanbieter (E-Mail/Passwort, Apple Sign-In, Google Sign-In sofern aktiviert), Kontotyp (anonym oder registriert) sowie Auth-Metadaten (z. B. Kontoerstellung, letzter Login).
• Kinderprofil-Daten: Name, Alter, Geschlecht, Avatar/Icon, Interessen, Erscheinungsmerkmale und Zuordnungsdaten.
• Nebenfiguren-Daten: Name, Beziehung/Rollenbezeichnung, Geschlecht, Icon/Bildauswahl und Zuordnungsdaten.
• Story- und Lerndaten: generierte Inhalte, Metadaten (z. B. Story-ID, Sprache, Fach-/Themenkontext), Medienlinks (Bild/Video/Audio), Quizinhalte/-ergebnisse sowie Lernfortschritts- und Fehlerhistorie zur didaktischen Personalisierung.
• AI-Qualitäts- und Sicherheitstraces: ausgewählte Request-/Response-Traces und zugehörige Metadaten zur Qualitätskontrolle und zur Sicherstellung altersgerechter Inhalte.
• App-Verhaltens- und Einstellungsdaten: z. B. Prompt-/Onboarding-Flags, Login-Statusflags und in-app Zähler (z. B. Teilen/Coin-bezogene Zähler).
• Analyse- und Interaktionsdaten: Nutzungsereignisse (z. B. Story-Generierung, Teilen, Bewertungen, Feature-Nutzung) sowie Benachrichtigungs-Identifikatoren (z. B. OneSignal-ID, optional/validierte E-Mail). Diese Daten werden soweit möglich pseudonymisiert und/oder aggregiert und enthalten keine direkten Kinder-Identifikatoren.
• Diagnose- und Performancedaten: Crash-/Fehlerdaten und Performance-Metriken.
• Service-Telemetrie (falls anwendbar): Geräteinformationen, Usage Data, Geografie/Region, Sprache, Anzahl der Nutzer:innen, Anzahl der Sitzungen, Sitzungsdauer, Application opens, Application updates, Launches, Betriebssysteme, Diagnosedaten, Crash-Daten und Universally unique identifier (UUID).
• Zahlungs- und Transaktionsdaten (falls anwendbar): Rechnungsadresse, Vorname, Nachname, E-Mail-Adresse, User ID, In-App-Käufe und zugehörige Zahlungsstatus-Metadaten.
• Identifier und Tracking-Technologien: Trackers sowie, soweit anwendbar für Kompatibilität mit Benachrichtigungs-/Werbe-Ökosystemen, eindeutige Gerätekennungen für Werbung (z. B. Google Advertiser ID oder IDFA).

Wir verkaufen keine personenbezogenen Daten, setzen keine Third-Party-Werbe-SDKs ein und nutzen Daten nicht für fremde Werbeprofile.

Für iOS nutzen wir App Tracking Transparency (ATT) nicht für appübergreifendes Tracking und greifen nicht auf die Apple Advertising Identifier (IDFA) zu.

Für Analysen, Tracing und Produktmessung verwenden wir nach Möglichkeit pseudonymisierte Daten und aggregierte Auswertungen und vermeiden direkte Kinder-Identifikatoren.

Einige Datenkategorien sind dienstspezifisch (z. B. Story-Generierungsdaten in Oscar Stories oder fachbezogene Fortschrittsdaten in Oscar Science/Moneyfox). Diese Datenschutzerklärung deckt solche produktspezifischen Varianten ab, soweit sie zur Bereitstellung der Services erforderlich sind.

Zwecke der Verarbeitung

• Bereitstellung von Kontozugang (inkl. anonymem Einstieg und Account-Upgrade).
• Bereitstellung der Kernfunktionen der Services (u. a. personalisierte Lern- und Story-Erlebnisse).
• Personalisierung von Lerninhalten anhand Profilkontext und Lernverlauf.
• Qualitäts- und Sicherheitsprüfung von KI-Ausgaben (inkl. Trace-Review).
• Betrieb von App-Funktionen (z. B. Teilen, Bewertungen, Engagement-Prompts).
• Betrieb der Backend-APIs (z. B. Generierung, Medien, Feedback, konto-bezogene Features).
• Versand von Push-Benachrichtigungen (abhängig von Geräte-/OS-Berechtigungen).
• Produktverbesserung, Stabilitätsanalyse, Fehlerbehebung und Missbrauchsprävention.
• Erfüllung gesetzlicher Pflichten und Durchsetzung/Verteidigung von Rechtsansprüchen.

Oscar Moneyfox KI-Funktionen: übermittelte Daten, Empfänger und Einwilligung

Für KI-gestützte Lern-/Story-Funktionen in Oscar Moneyfox übermitteln wir eine begrenzte Request-Payload, um die angeforderte Ausgabe bereitzustellen.

Wie diese Daten erhoben werden: Ein Teil der Felder wird von Eltern/ Erziehungsberechtigten in der App eingegeben (Profil-/Kontextauswahl), ein weiterer Teil wird technisch durch App/Backend als notwendiger Kontext (z. B. Fortschritt/Status) erzeugt.

• Von Eltern/Erziehungsberechtigten bereitgestellte Eingaben: Avatar-/Profilkontext (z. B. Hauptavatar-Details), ausgewähltes Fach/Thema und optionale Personalisierungswerte.
• Optionale/flexible Profilwerte: Interessen, Erscheinungsbild und Alter können optional sein und können auf Wunsch auch fiktiv angegeben werden.
• Systemseitig erzeugter Kontext: Sprach-/Moduseinstellungen, Fortschrittszähler, Schrittindizes und interne Referenzen zur Bereitstellung der angeforderten Lerninhalte.

Für Oscar Moneyfox KI-Requests verwendete Datenfelder können insbesondere sein: mainAvatar(inkl. normalisierter Interessen), promptLanguage, fastMode,storyMode, selectedSubject, selectedSubjectId,childId, topicId, topicName, topicStepIndex,storyNumber, totalStories und currentProgress.

Wer diese Daten erhält: Die HeyQQ-Backend-APIs (gehostet über Railway) verarbeiten Moneyfox-KI-Requests. Ausgewählte KI-Traces können zur Qualitäts-/Sicherheitsbeobachtung an die Langfuse GmbH übermittelt werden. Wenn unser Backend für die Ausgabeerzeugung vertraglich gebundene Drittanbieter-KI-Modelle nutzt, minimieren wir die Payload auf das für den jeweiligen Request notwendige Maß.

Einwilligung vor Drittanbieter-KI-Übermittlung: Soweit personenbezogene Daten an einen Drittanbieter-KI-Service übertragen werden, holen wir die Einwilligung der Eltern/Nutzer:innen in der App vor der Übermittlung ein. Die Einwilligung kann abgelehnt oder in den App-Einstellungen widerrufen werden; nicht-KI-Funktionen bleiben, soweit technisch möglich, verfügbar.

Wir verpflichten Auftragsverarbeiter mit KI-bezogener Verarbeitung auf ein gleichwertiges Datenschutzniveau, einschließlich vertraglicher Vertraulichkeits- und Sicherheitspflichten sowie anwendbarer Garantien für internationale Datenübermittlungen.

Daten, die zur Bereitstellung der Services erforderlich sind

Bestimmte Daten sind für die Vertragserfüllung erforderlich (z. B. Account-/Identitätsdaten, Eingabedaten zur Inhaltserstellung, technische Betriebsdaten). Ohne diese Daten können einzelne Funktionen oder der gesamte Service nicht bereitgestellt werden.

Optionale Datenverarbeitungen (z. B. optionale Analytics-/Engagement-Tracking-Funktionen) sind nicht für den Kernzugang erforderlich und können über Einwilligungs-/Einstellungsmöglichkeiten gesteuert werden.

Zahlungsabwicklung

Sofern nicht anders angegeben, werden Zahlungen über externe Zahlungsdienstleister verarbeitet. Zahlungsdaten werden direkt beim jeweiligen Anbieter eingegeben; diese Anwendung erhält in der Regel nur eine Bestätigung über den Zahlungsstatus.

• RevenueCat: Verwaltung von Abonnements und In-App-Käufen sowie zugehöriger Kaufhistorien-Metadaten.
• Apple Pay: Zahlungsabwicklung auf unterstützten Apple-Geräten.
• Zahlungen über den Apple App Store: Abwicklung von App-Käufen und In-App-Käufen über Apple.

Speicherorte

• Firebase Authentication: Anmelde-/Identitätsdaten und Kontometadaten.
• Cloud Firestore: Nutzerprofile inkl. Unterkollektionen (z. B. Kinderprofile, Nebenfiguren, Inhalte, Fortschritt, Fehlerhistorie). In Firebase gespeicherte Nutzerdaten werden auf Servern in Europa (EU-Regionen) gespeichert.
• Backend- und Tracing-Infrastruktur: serverseitige Verarbeitung, Betriebslogs, temporäre Verarbeitungsdaten sowie Qualitäts-/Sicherheitstraces.
• App-Runtime-Speicher: temporäre In-Session-Zustände für die Funktionalität.

In den aktuell überprüften mobilen Implementierungen verlassen wir uns für zentrale Kontodatensätze nicht auf eine persistente lokale Speicherung vollständiger Nutzerprofile oder vollständiger Story-Verläufe auf dem Gerät.

Empfänger und Auftragsverarbeiter

Wir geben Daten nur weiter, soweit dies zur Bereitstellung der Services erforderlich ist. Je nach Produkt, Plattform und Funktion kann der Einsatz variieren. Nachfolgend eine Zusammenfassung zentraler Anbieter, Rolle und typischer Datenkategorien.

Mit Auftragsverarbeitern bestehen Datenschutzvereinbarungen (Art. 28 DSGVO). Bei Drittlandbezügen setzen wir geeignete Garantien ein. Eine aktuelle Liste der Auftragsverarbeiter (inklusive Rechtseinheiten und Anschriften) erhalten Sie auf Anfrage unter privacy@oscarstories.com.

Zusätzlich öffnen oder erzeugen wir nutzerseitig Links (z. B. geteilte Story-Links, App-Store-Links oder externe Informationsseiten), wenn Sie entsprechende Funktionen aktiv nutzen.

Rechtsgrundlagen (DSGVO)

• Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO): Kontozugang, Bereitstellung der Services, Personalisierung, Fortschrittsfunktionen.
• Berechtigte Interessen (Art. 6 Abs. 1 lit. f DSGVO): Sicherheit, Betrugsprävention, Qualität, Stabilität, altersgerechte Inhaltsprüfung.
• Einwilligung (Art. 6 Abs. 1 lit. a DSGVO): soweit erforderlich für optionale Analytics-/Engagement-Funktionen, bestimmte Benachrichtigungen und jede Übermittlung personenbezogener Daten an Drittanbieter-KI-Services.
• Rechtliche Verpflichtung (Art. 6 Abs. 1 lit. c DSGVO): z. B. Compliance, Nachweis-/Aufbewahrungspflichten, Behördenanfragen.

Zweck- und Rechtsgrundlagen-Mapping (Kurzüberblick)

• Kontoerstellung, Login und Servicebereitstellung: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO).
• Lern-Personalisierung und Fortschrittsverarbeitung: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO).
• Sicherheits-/Qualitätsprüfungen (inkl. AI-Trace-Review): berechtigte Interessen (Art. 6 Abs. 1 lit. f DSGVO) zur Bereitstellung sicherer und verlässlicher Bildungsinhalte; soweit personenbezogene Daten mit einem Drittanbieter-KI-Service geteilt werden, erfolgt dies erst nach vorheriger Einwilligung in der App.
• Optionale Analytics-/Engagement-Verarbeitung und bestimmte Benachrichtigungen:Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), soweit erforderlich.
• Compliance, Rechtsansprüche und Aufbewahrung: rechtliche Verpflichtung (Art. 6 Abs. 1 lit. c DSGVO) und/oder berechtigte Interessen (Art. 6 Abs. 1 lit. f DSGVO), je nach Fall.

Automatisierte Entscheidungen

Es erfolgt keine ausschließlich automatisierte Entscheidungsfindung mit rechtlicher oder ähnlich erheblicher Wirkung im Sinne von Art. 22 DSGVO.

Soweit eine Einwilligung erforderlich ist, werden optionale Analytics-/Engagement-Verarbeitungen sowie jede Übermittlung personenbezogener Daten an Drittanbieter-KI-Services erst nach Einwilligung aktiviert. Sie können Ihre Einwilligung jederzeit über App-/Geräteeinstellungen oder durch Kontaktaufnahme mit uns widerrufen.

Die Verarbeitung von AI-Traces zur Qualitäts- und Angemessenheitsprüfung erfolgt zur Bereitstellung sicherer und verlässlicher Bildungserlebnisse unter Datenminimierungs- und Zugriffskontrollen.

Elternkontrollen

In unseren kinderfokussierten Produkten stehen Elternkontrollen zur Verfügung, um Profile, Nutzungsparameter, Berechtigungen und datenschutzbezogene Einstellungen zu verwalten.

Internationale Datenübermittlungen

Sofern Daten außerhalb der EU/des EWR verarbeitet werden, stützen wir Übermittlungen auf geeignete Garantien, insbesondere Angemessenheitsbeschlüsse, EU-Standardvertragsklauseln und ergänzende technische und organisatorische Schutzmaßnahmen. Soweit einschlägig und verfügbar, stützen wir Übermittlungen auch auf das EU-U.S. Data Privacy Framework.

Wir bewerten Risiken internationaler Übermittlungen und setzen bei Bedarf zusätzliche Maßnahmen um (z. B. Verschlüsselung, Zugriffskontrollen und Datenminimierung).

Informationen zum Opt-out bei interessenbasierter Werbung

Ergänzend zu anbieterspezifischen Einstellungen können Nutzer:innen allgemeine Präferenzen für interessenbasierte Werbung über branchenweite Angebote verwalten.

• YourOnlineChoices (EU): www.youronlinechoices.com
• Network Advertising Initiative (US): www.networkadvertising.org
• Digital Advertising Alliance (US): www.privacyrights.info
• AppChoices: youradchoices.com/appchoices

Zusätzlich können gerätebezogene Werbe- und Benachrichtigungseinstellungen angepasst werden. Die Verfügbarkeit einzelner Optionen hängt von Gerät, Betriebssystemversion und Region ab.

Speicherdauer

Wir speichern personenbezogene Daten nur so lange wie erforderlich. Typische Fristen:

• Kontodaten: solange das Konto aktiv ist; Löschung nach verifiziertem Löschantrag, vorbehaltlich gesetzlicher Aufbewahrungspflichten.
• Inhalts-/Lern-/Fortschrittsdaten: solange für Verlauf, Personalisierung und Lernkontinuität erforderlich; Löschung nach verifiziertem Löschantrag, soweit keine gesetzliche Pflicht entgegensteht.
• Diagnose-/Sicherheits-/Performance-Logs: typischerweise bis zu 12 Monate, sofern keine längere Aufbewahrung für Sicherheitsvorfälle/Rechtsansprüche erforderlich ist.
• Analytics-/Tracing-Daten: begrenzte Aufbewahrung, typischerweise bis zu 24 Monate, soweit keine kürzere Frist konfiguriert ist.
• Support-/Datenschutzkorrespondenz: typischerweise bis zu 24 Monate nach Abschluss.
• Gesetzlich erforderliche Unterlagen: gemäß anwendbaren Aufbewahrungspflichten (z. B. nach österreichischem Steuer-/Unternehmensrecht).

Nach Bearbeitung von Löschanfragen können begrenzte Restkopien für einen kurzen, definierten Backup-Zyklus in verschlüsselten Sicherungen verbleiben und werden danach automatisch überschrieben/ gelöscht.

Kontolöschung und Datenlöschung

Löschanfragen können über unsere GDPR-Anfragen-Seite (DSAR & Kontolöschung)oder per E-Mail an privacy@oscarstories.com gestellt werden.

Nach verifizierter Anfrage löschen wir Konto und zugehörige personenbezogene Daten über Apps und Backend-Services hinweg, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht.

Kinder und Jugendschutz

Die Oscar-Apps sind für Nutzung mit elterlicher/erziehungsberechtigter Beteiligung vorgesehen. Kinderbezogene Profildaten werden für Personalisierung und Lernfunktionen mit entsprechender Aufsicht bereitgestellt; es stehen Elternkontrollen zur Verfügung.

In Österreich liegt die Altersgrenze für eine eigenständige Einwilligung in Dienste der Informationsgesellschaft bei 14 Jahren. Soweit erforderlich, ist unterhalb dieser Grenze die Zustimmung durch Eltern/Erziehungsberechtigte notwendig.

Wenn Sie vermuten, dass kinderbezogene Daten ohne ausreichende Berechtigung bereitgestellt wurden, kontaktieren Sie uns bitte zur Prüfung und Löschung.

Ihre Rechte (EU/EWR)

Sie haben das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Widerspruch, Datenübertragbarkeit sowie Widerruf erteilter Einwilligungen.

Zur Ausübung Ihrer Rechte nutzen Sie bitte unsere GDPR-Anfragen-Seite (DSAR & Kontolöschung)oder kontaktieren Sie privacy@oscarstories.com. Wir antworten ohne unangemessene Verzögerung und in der Regel innerhalb eines Monats.

Sie haben außerdem das Recht auf Beschwerde bei der zuständigen Aufsichtsbehörde. In Österreich ist dies die Österreichische Datenschutzbehörde, Barichgasse 40-42, 1030 Wien, Österreich, www.dsb.gv.at.

Datensicherheit

Wir setzen technische und organisatorische Maßnahmen ein, um personenbezogene Daten zu schützen (z. B. Zugriffskontrollen und Datenminimierung). Eine vollständige Sicherheit kann dennoch nicht garantiert werden.

Änderungen dieser Datenschutzerklärung

Wir können diese Datenschutzerklärung von Zeit zu Zeit aktualisieren. Die jeweils aktuelle Version wird auf dieser Seite veröffentlicht.

Stand: 6. März 2026