Stand: 15. Oktober 2026
Verantwortlich für die Datenverarbeitung im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:
Christopher Hollweck (Shenra)
Simmelsdorfer Straße 8
90482 Nürnberg, Deutschland
E-Mail: info@shenra.io
Für alle Fragen zum Datenschutz und zur Ausübung deiner Rechte genügt eine E-Mail an diese Adresse. Zuständige Aufsichtsbehörde: Bayerisches Landesamt für Datenschutzaufsicht (BayLDA), Promenade 18, 91522 Ansbach.
Shenra ist eine Security-Awareness-App: kurze Lerninhalte („Schutzmomente"), angekündigte und unangekündigte Phishing-Übungen, ein Meldeweg für verdächtige Nachrichten, die KI-Assistentin „Luna" und Sammelkarten als Motivation. Shenra kann privat genutzt oder von einem Arbeitgeber für die dienstliche Nutzung bereitgestellt werden. Privatkonto und Arbeitskonto sind technisch vollständig getrennt: keine Kontoverknüpfung, kein gegenseitiger Zugriff, keine gemeinsame Ansicht.
Diese Erklärung gilt für die Website shenra.io, die Web-App app.shenra.io (einschließlich der installierbaren App/PWA) und die zugehörigen Server-Dienste.
Du kannst dein privates Shenra-Konto mit deinem Google-Konto anlegen und dich damit anmelden. Diese Anmeldung ist freiwillig; alternativ ist die Anmeldung per E-Mail möglich.
Shenra fordert bei Google ausschließlich die Basis-Berechtigungen openid, email und
profile an. Damit erhalten wir:
Wir erhalten keinen Zugriff auf dein Gmail-Postfach, deine Kontakte, deinen Kalender, Google Drive, Fotos oder andere Google-Dienste, und wir erhalten nie dein Google-Passwort.
Die Nutzung und Weitergabe von Informationen, die Shenra über Google-APIs erhält, entspricht der Google API Services User Data Policy, einschließlich der Anforderungen an die eingeschränkte Nutzung („Limited Use").
Google-Daten werden nur an unseren Hosting- und Datenbankdienstleister Supabase übermittelt, der sie in unserem Auftrag speichert (Ziffer 6). Wir speichern sie, solange dein Konto besteht. Löschst du dein Konto in der App (Profil → Sicherheit) oder per E-Mail an info@shenra.io, werden die Google-Daten zusammen mit deinem Konto gelöscht. Den Zugriff von Shenra auf dein Google-Konto kannst du jederzeit unter myaccount.google.com/permissions widerrufen.
Für die Anmeldung mit Apple oder Microsoft gilt dasselbe sinngemäß: Wir erhalten nur E-Mail-Adresse, Name und eine Kennung des jeweiligen Kontos.
E-Mail-Adresse, Anmeldedaten (bei E-Mail-Anmeldung ein Passwort, das nur verschlüsselt gespeichert wird), optional Anzeigename, Profilbild, Sprache und Einstellungen. Bei dienstlicher Nutzung stellt dein Arbeitgeber das Konto über Microsoft Entra ID bzw. SCIM bereit (Name, dienstliche E-Mail, Gruppen- und Organisationsangaben).
Abgeschlossene Schutzmomente, Antworten in Übungen, Reaktionen auf Phishing-Übungen (z. B. gemeldet, geklickt), gesammelte Karten und daraus berechneter Schutzstatus. Diese Werte siehst nur du.
Wenn du sie startest, prüfen wir deine E-Mail-Adresse gegen bekannte Datenlecks bei Have I Been Pwned. Wir speichern, in welchen Datenlecks die Adresse vorkommt und welche Datenarten betroffen sind, um dir passende Schritte zu zeigen. Passwörter aus Datenlecks erhalten und speichern wir nicht.
Wenn du Luna nutzt, verarbeiten wir deine Nachrichten und von dir angehängte Bilder, um Antworten zu erzeugen. Luna kann einzelne Fakten zu deiner Sicherheitslage merken (z. B. „nutzt einen Passwort-Manager"); diese siehst, änderst und löschst du unter „Was Luna weiß". Luna fragt nie nach Passwörtern, TANs oder Kartendaten. Arbeits-Luna und Privat-Luna sind vollständig getrennt; Administratoren haben keinen Zugriff auf Gespräche mit Luna.
Leitest du eine verdächtige Nachricht an Shenra weiter oder meldest sie in der App, verarbeiten wir sie ausschließlich, um sie zu prüfen und dir das Ergebnis zu zeigen.
Aktivierst du Push-Benachrichtigungen, speichern wir die dafür nötige Abo-Information deines Browsers bzw. Geräts.
Pro Konto führen wir Tageszähler (z. B. Anzahl Luna-Anfragen), um Missbrauch und Kosten zu begrenzen – ohne Gesprächsinhalte. Beim Aufruf entstehen technische Protokolldaten (IP-Adresse, Zeitpunkt, Fehlerdiagnose) für Betrieb, Sicherheit und Fehlerbehebung.
| Zweck | Rechtsgrundlage |
|---|---|
| Konto, Anmeldung (auch mit Google), App und Kernfunktionen | Art. 6 Abs. 1 lit. b DSGVO |
| Dienstliche Nutzung im Auftrag des Arbeitgebers | Art. 6 Abs. 1 lit. b DSGVO i. V. m. § 26 Abs. 1 BDSG; ergänzend lit. f (IT-Sicherheit) |
| Datenleck-Prüfung, Luna-Gedächtnis, Push-Benachrichtigungen | Art. 6 Abs. 1 lit. a DSGVO (Einwilligung, jederzeit widerrufbar) |
| Missbrauchsschutz, IT-Sicherheit, Protokolle | Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse) |
| Erfüllung rechtlicher Pflichten | Art. 6 Abs. 1 lit. c DSGVO |
| Dienstleister | Zweck | Ort |
|---|---|---|
| Supabase | Datenbank, Anmeldung, Server-Funktionen | EU |
| Hostinger | Auslieferung von Website und App | EU |
| netcup | Versand der Phishing-Übungsmails | EU |
| Microsoft Azure OpenAI / OpenAI | KI-Verarbeitung für Luna | EU |
| Mailjet | Service-E-Mails | EU |
| Have I Been Pwned | Datenleck-Prüfung (nur wenn du sie startest) | Australien |
| Google, Apple, Microsoft | Anmeldung mit dem jeweiligen Konto (nur bei Nutzung) | je nach Anbieter, u. a. USA |
Werden Daten in ein Land außerhalb der EU übermittelt, geschieht das auf Grundlage geeigneter Garantien nach Art. 44 ff. DSGVO, insbesondere EU-Standardvertragsklauseln bzw. dem EU-US Data Privacy Framework. Eine Liste der Auftragsverarbeiter erhältst du auf Anfrage.
| Daten | Speicherdauer |
|---|---|
| Konto- und Anmeldedaten (inkl. Google-Daten) | bis zur Löschung des Kontos |
| Luna-Gesprächsverlauf, privat | von dir einstellbar: 1, 7, 30, 90 oder 180 Tage |
| Lern- und Übungsdaten | solange das Konto besteht |
| Technische Protokolle | nur so lange, wie für Betrieb und Sicherheit nötig |
Dein privates Konto kannst du in der App jederzeit vollständig löschen; dabei werden die zugehörigen Daten entfernt. Alternativ genügt eine E-Mail an info@shenra.io.
Übertragung ausschließlich verschlüsselt (HTTPS), zeilenbasierte Zugriffskontrolle in der Datenbank, strikte Trennung von Privat- und Arbeitsdaten, optionale Zwei-Faktor-Anmeldung.
Shenra speichert nur, was technisch nötig ist (Anmeldung, Einstellungen, Offline-Funktion). Es gibt keine Werbe- oder Tracking-Cookies und keine Analyse-Dienste Dritter.
Wir passen diese Erklärung an, wenn sich Funktionen oder Rechtslage ändern. Es gilt die jeweils hier veröffentlichte Fassung.
Last updated: 15 October 2026. The German version above is legally binding.
Christopher Hollweck (Shenra), Simmelsdorfer Straße 8, 90482 Nürnberg, Germany · info@shenra.io
Shenra is a security-awareness app (short lessons, phishing exercises, a channel for reporting suspicious messages and the AI assistant “Luna”), available at shenra.io and app.shenra.io. Private and work accounts are fully separate.
Data we access. Shenra requests only the openid, email and
profile scopes. We receive your email address and its verification status, your name (we store only
your first name as display name), your profile picture URL and your Google account ID. We do not access Gmail,
Contacts, Calendar, Drive, Photos or any other Google service, and we never receive your Google password.
How we use it. To create your Shenra account and sign you in, to show your first name and picture in the app, to send account-related emails, and — only if you start it — to check your email address against known data breaches.
Sharing. Google user data is shared only with our database and hosting provider Supabase, which stores it on our behalf. We do not sell it, use it for advertising, use it to train AI models, or share it with your employer. Humans read it only with your consent, for security or abuse prevention, or where required by law.
Storage and deletion. We keep it while your account exists. Deleting your account in the app (Profile → Security) or emailing info@shenra.io deletes it. You can revoke Shenra's access at any time at myaccount.google.com/permissions.
Shenra's use and transfer of information received from Google APIs adheres to the Google API Services User Data Policy, including the Limited Use requirements.
Account data and settings; lesson and exercise progress (visible only to you); optional breach-check results from Have I Been Pwned; messages you send to Luna; messages you report as suspicious; push subscription data if enabled; usage counters for abuse prevention and technical logs (IP address, time, errors).
Supabase (database, authentication – EU), Hostinger (hosting – EU), netcup (exercise emails – EU), Microsoft Azure OpenAI / OpenAI (AI processing for Luna – EU), Mailjet (service emails – EU), Have I Been Pwned (breach check – Australia, only if you start it), Google/Apple/Microsoft (sign-in, only if used). Transfers outside the EU rely on Standard Contractual Clauses or the EU-US Data Privacy Framework.
Under the GDPR you have the right of access, rectification, erasure, restriction, data portability and objection, the right to withdraw consent, and the right to lodge a complaint with a supervisory authority (e.g. BayLDA, Ansbach). Contact: info@shenra.io.
Only technically necessary storage. No advertising or tracking cookies, no third-party analytics.