Datenschutzerklärung
Stand: 6. Oktober 2026
1. Verantwortlicher
Wettbergsmayr GbR, Theresienstr. 128, 80333 München, vertreten durch die Gesellschafter Justus Wettich und Georg Lichtenberg.
E-Mail: antrag@mybafoeg.de
2. Worum es geht
Mit mybafoeg erstellst du einen Antrag auf Ausbildungsförderung (BAföG). Dafür verarbeiten wir zwangsläufig Daten, die das amtliche Formblatt 1 verlangt — darunter Angaben zu Ausbildung, Wohnsituation, Einkommen, Vermögen, Bankverbindung, Steuer-Identifikationsnummer sowie Angaben zu deinen Eltern. Diese Daten gibst du selbst ein; Nachweise lädst du selbst hoch. Wir verarbeiten nur, was für den Antrag und den Vertrag mit dir nötig ist.
3. Welche Daten wir verarbeiten und warum
| Daten | Zweck | Rechtsgrundlage |
|---|---|---|
| Konto: E-Mail-Adresse, Passwort (gehasht), Handynummer (freiwillig) | Registrierung, Login, Erinnerungen per E-Mail an Frist und fehlende Nachweise; Handynummer nur für Rückfragen | Art. 6 Abs. 1 lit. b DSGVO (Vertrag) |
| Antragsdaten (alle Angaben der 10 Abschnitte inkl. Angaben zu Eltern und Kindern) | Befüllen des amtlichen Formblatts 1, Berechnung der voraussichtlichen Förderung | Art. 6 Abs. 1 lit. b DSGVO |
| Hochgeladene Nachweise (Studienbescheinigung, Mietvertrag/Meldebescheinigung, Versicherungsnachweis, ggf. Steuerbescheide der Eltern, Kontoauszüge) | Inhaltliche Vorprüfung und Weiterleitung an das zuständige Amt | Art. 6 Abs. 1 lit. b DSGVO |
| Gezeichnete Unterschrift (Bild) | Freiwillige Ergänzung des Formblatts; rechtlich genügt die Namensnennung (§ 46 Abs. 1 BAföG) | Art. 6 Abs. 1 lit. a DSGVO (Einwilligung, jederzeit widerrufbar) |
| Zahlungsdaten | Abwicklung der Zahlung über Shopify; wir erhalten nur Bestellnummer, Betrag und Status, keine Kartendaten | Art. 6 Abs. 1 lit. b DSGVO |
| Versandprotokolle (E-Mail-Protokoll, Fax-Sendebericht) | Nachweis der Übermittlung an das Amt | Art. 6 Abs. 1 lit. b und f DSGVO |
| Server-Logs (IP-Adresse, Zeitpunkt, aufgerufene Seite) | Betriebssicherheit, Fehleranalyse | Art. 6 Abs. 1 lit. f DSGVO |
| Widerrufserklärung über „Vertrag widerrufen“ (Name, E-Mail-Adresse, Antrags- oder Bestellnummer, optional eine Nachricht) | Bearbeitung des Widerrufs, Eingangsbestätigung per E-Mail (§ 356a BGB), Rückzahlung | Art. 6 Abs. 1 lit. c DSGVO (gesetzliche Pflicht) |
| Angabe zur Rechtsschutzversicherung | Hinweise zum weiteren Vorgehen bei einem Ablehnungsbescheid; nicht Teil des Antrags | Art. 6 Abs. 1 lit. a DSGVO (freiwillig) |
Daten deiner Eltern und Kinder verarbeiten wir in deinem Auftrag als Teil deines Antrags (Art. 6 Abs. 1 lit. b DSGVO). Bitte informiere die betroffenen Personen über diese Datenschutzerklärung (Art. 14 DSGVO).
Gesundheitsdaten fragen wir nicht gezielt ab. Nennst du in einem Freitextfeld freiwillig solche Angaben (z. B. Krankheit als Grund für eine Lücke im Lebenslauf oder für ein gesunkenes Einkommen deiner Eltern), verarbeiten wir sie nur für deinen Antrag und auf Grundlage deiner ausdrücklichen Einwilligung (Art. 9 Abs. 2 lit. a DSGVO), die du durch die Eingabe erteilst und jederzeit durch Löschen der Angabe widerrufen kannst.
4. Übermittlung an das Amt für Ausbildungsförderung
Dein Antrag wird erst übermittelt, wenn du ausdrücklich auf „Versenden“ klickst. Wir übermitteln das befüllte Formblatt 1 und die von dir hochgeladenen Nachweise in deinem Auftrag als Bote an das nach § 45 Abs. 3 BAföG zuständige Amt — je nach Amt per E-Mail oder Fax. Du erhältst jede E-Mail in Kopie (CC); Rückfragen des Amts gehen direkt an dich (Reply-To). E-Mails werden transportverschlüsselt (TLS) übertragen; eine Ende-zu-Ende-Verschlüsselung bieten die Ämter in der Regel nicht an. Mit dem Klick auf „Versenden“ willigst du in diese Übermittlungsform ein.
5. Auftragsverarbeiter und Empfänger
- Supabase Inc. (Datenbank und Dateispeicher) — Serverstandort EU (Irland, AWS eu-west-1). Auftragsverarbeitung nach Art. 28 DSGVO.
- Vercel Inc., USA (Hosting der Anwendung, Server-Logs) — Auftragsverarbeitung; Übermittlung in die USA auf Grundlage des EU-US Data Privacy Framework bzw. der EU-Standardvertragsklauseln.
- Google Ireland Ltd. (Google AI / Gemini) — inhaltliche Prüfung hochgeladener Nachweise. Das Dokument wird zur Analyse an die Google-API übermittelt; nach unseren Einstellungen werden Eingaben nicht zum Training von Modellen verwendet. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO; die Prüfung ist Teil der vertraglichen Leistung. Eine Übermittlung in Drittländer kann stattfinden (Standardvertragsklauseln).
- Shopify International Ltd., Irland (Zahlungsabwicklung). Beim Bezahlvorgang gilt zusätzlich die Datenschutzerklärung von Shopify und des gewählten Zahlungsdienstleisters.
- Resend Inc., USA (E-Mail-Versand; Übermittlung in die USA auf Grundlage der EU-Standardvertragsklauseln) — Zustellung von Konto- und Antrags-E-Mails sowie der Übermittlung an das Amt. Links in unseren E-Mails führen über unsere eigene Domain, damit wir erkennen können, ob unsere Hinweise ankommen (Klick-Messung ohne Werbe-Tracking, Art. 6 Abs. 1 lit. f DSGVO); der Abmelde-Link ist davon ausgenommen.
- Bei Faxversand: der jeweilige Fax-Dienstleister (z. B. sipgate GmbH, Düsseldorf).
- Das zuständige Amt für Ausbildungsförderung als eigenständiger Verantwortlicher für das Verwaltungsverfahren.
6. Cookies und Einwilligung
Technisch notwendig sind nur das Sitzungs-Cookie (bafoeg_sid, httpOnly, gelöscht nach 30 Tagen oder beim Logout) und die lokale Speicherung deiner Cookie-Wahl (§ 25 Abs. 2 Nr. 2 TDDDG). Alle weiteren Kategorien setzen wir nur mit deiner Einwilligung über das Cookie-Banner (§ 25 Abs. 1 TDDDG, Art. 6 Abs. 1 lit. a DSGVO). Deine Wahl kannst du jederzeit mit Wirkung für die Zukunft über „Cookie-Einstellungen“ im Seitenfuß ändern oder widerrufen. Der eingebettete BAföG-Rechner verarbeitet die eingegebenen Werte nur zur Berechnung und speichert sie nicht.
Marketing (nur mit Einwilligung): Google Ads Conversion-Tracking (Google Ireland Ltd.) setzt Cookies, um Käufe einem Anzeigenklick zuzuordnen. Ohne Einwilligung bleibt der Consent Mode auf „abgelehnt“: keine Werbe-Cookies, keine gespeicherten Kennungen — an Google gehen nur cookielose, aggregierte Signale (z. B. dass ein Kauf stattgefunden hat, Betrag, Zufalls-Transaktionsnummer), aus denen Google Conversions statistisch modelliert (Art. 6 Abs. 1 lit. f DSGVO — Reichweitenmessung). Eine Übermittlung in Drittländer kann stattfinden (EU-Standardvertragsklauseln).
OpenAI Ads (nur mit Einwilligung): Für Anzeigen in ChatGPT nutzen wir das Conversion-Pixel von OpenAI (OpenAI Ireland Ltd.). Mit Marketing-Einwilligung setzt es ein First-Party-Cookie mit der Klick-Kennung aus dem Anzeigenlink und meldet einen Kauf (Betrag, Zahlungs-ID) an OpenAI, damit der Kauf dem Anzeigenklick zugeordnet werden kann. Ohne Einwilligung werden keine Cookies gesetzt und keine Kennungen gespeichert; es gehen nur cookielose, nicht personenbezogene Signale an OpenAI (Art. 6 Abs. 1 lit. f DSGVO — Reichweitenmessung). Eine Übermittlung in die USA kann stattfinden (EU-Standardvertragsklauseln).
Statistik: Zur Produktverbesserung nutzen wir die Analyse-Plattform PostHog (PostHog Inc.), gehostet in der EU (Frankfurt). Ohne Einwilligung arbeitet PostHog cookielos — Kennungen werden nur im Arbeitsspeicher des Browsers gehalten und verfallen beim Schließen der Seite; eingeloggte Nutzer werden über ihre Konto-ID wiedererkannt, damit wir Abbrüche im Antragsprozess verstehen (Art. 6 Abs. 1 lit. f DSGVO). Mit Statistik-Einwilligung speichert PostHog eine Kennung im Browser (localStorage/Cookie), um auch nicht eingeloggte Besuche über Sitzungen hinweg zuzuordnen (Art. 6 Abs. 1 lit. a DSGVO). Eine Aufzeichnung von Sitzungen (Session Replay) findet nicht statt.
Optional kannst du dich mit deinem Google-Konto anmelden („Sign in with Google“, Google Ireland Ltd.). Dabei erhalten wir von Google ausschließlich deine verifizierte E-Mail-Adresse und eine pseudonyme Konto-Kennung, um dein Konto anzulegen bzw. wiederzuerkennen (Art. 6 Abs. 1 lit. b DSGVO). Wir erhalten keinen Zugriff auf deine Google-Daten oder Kontakte; für den Login-Vorgang gilt zusätzlich die Datenschutzerklärung von Google.
7. Newsletter
Nur wenn du bei der Registrierung das entsprechende Kästchen aktiviert hast, senden wir dir Hinweise zu Studienfinanzierung und Fristen (Art. 6 Abs. 1 lit. a DSGVO). Du kannst das jederzeit im Profil oder per E-Mail an uns beenden.
8. Speicherdauer
- Antragsdaten, Nachweise und Versandprotokolle: bis zum Ende des Bewilligungszeitraums zuzüglich 12 Monate (für Rückfragen des Amts und den Folgeantrag), danach Löschung — oder früher, wenn du dein Konto löschst.
- Rechnungen und Zahlungsdaten: 10 Jahre (§ 147 AO, § 257 HGB).
- Server-Logs: 30 Tage.
- Konto ohne Antrag: Löschung nach 24 Monaten Inaktivität.
9. Deine Rechte
Du hast das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21 DSGVO) sowie das Recht, eine erteilte Einwilligung jederzeit mit Wirkung für die Zukunft zu widerrufen. Wende dich dafür an antrag@mybafoeg.de. Außerdem kannst du dich bei einer Aufsichtsbehörde beschweren, z. B. beim Bayerischen Landesamt für Datenschutzaufsicht (BayLDA), Promenade 18, 91522 Ansbach.
10. Datensicherheit
Die Übertragung erfolgt ausschließlich über HTTPS. Passwörter speichern wir nur als Hash (bcrypt). Der Zugriff auf Antragsdaten und Dateien ist auf deinen Account beschränkt; Dateien liegen in privaten, nicht öffentlich erreichbaren Speicherbereichen.
11. Keine automatisierte Entscheidung
Die KI-gestützte Prüfung deiner Nachweise ist eine Empfehlung an dich, kein Bescheid. Über deinen Antrag entscheidet ausschließlich das Amt für Ausbildungsförderung. Eine automatisierte Entscheidung im Sinne des Art. 22 DSGVO findet nicht statt.