Cookies und Speicher

Stand: 2026-11-12

Leo speichert nur, was es zum Funktionieren braucht: kein Tracking, keine Werbung, keine Analyse, kein Cookie-Banner. Alles unten setzt Leo selbst (Erstanbieter), und es ist unbedingt erforderlich für etwas, das du angefordert hast (§ 25 Abs. 2 Nr. 2 TDDDG), oder es ist eine Wahl, die du selbst getroffen hast.

Was Leo in deinem Browser speichert
Name	Art	Zweck	Speicherdauer	Anbieter	Unbedingt erforderlich
`authjs.session-token (__Secure-authjs.session-token over HTTPS)`	Cookie	Hält dich angemeldet (verschlüsselte, signierte Sitzung; HttpOnly).	30 Tage, verlängert, solange du Leo nutzt; beim Abmelden gelöscht	Erstanbieter (Leo)	Ja
`authjs.csrf-token, authjs.callback-url (with __Host- / __Secure- prefixes over HTTPS)`	Cookie	Schützt die Anmeldung vor gefälschten Anfragen und bringt dich zur vorherigen Seite zurück.	Bis der Browser geschlossen wird	Erstanbieter (Leo)	Ja
`authjs.state, authjs.pkce.code_verifier, authjs.nonce`	Cookie	Nur während du dich mit Google oder Apple anmeldest: verbindet deren Antwort mit deiner Anmeldung (HttpOnly).	Höchstens 15 Minuten	Erstanbieter (Leo)	Ja
`leo.tz`	Cookie	Die Zeitzone deines Geräts, damit „heute“, deine Serie und fällige Karten um deine Mitternacht wechseln.	Bis der Browser geschlossen wird	Erstanbieter (Leo)	Ja
`leo.lang`	Cookie	Die Sprache, die du für Leos Seiten gewählt hast (gesetzt, wenn du sie wählst, wenn du von einer deutschen Seite weitergehst, oder aus deiner Kontoeinstellung).	1 Jahr	Erstanbieter (Leo)	Deine Wahl
`leo.gcal`	Cookie	Nur während du Google Kalender verbindest: prüft, dass Googles Antwort zu deiner Anfrage gehört (HttpOnly).	Höchstens 10 Minuten, gelöscht, sobald die Verbindung steht	Erstanbieter (Leo)	Ja
`leo_guardian`	Cookie	Nur für Eltern oder Erziehungsberechtigte, die die Elternseite über einen E-Mail-Link geöffnet haben (HttpOnly, nur auf /guardian).	1 Stunde	Erstanbieter (Leo)	Ja
`leo.start`	Session Storage	Deine Antworten bei der Anmeldung, während du die Schritte ausfüllst (nie das Passwort), damit ein Neuladen oder der Weg über Google sie nicht verliert.	Bis der Tab geschlossen wird	Erstanbieter (Leo)	Ja
`leo.start.under`	Session Storage	Nur wenn das bei der Anmeldung oder auf der Probeseite angegebene Geburtsdatum unter dem Mindestalter liegt: hält diesen Hinweis in diesem Tab offen. Sonst wird nichts gespeichert oder gesendet.	Bis der Tab geschlossen wird	Erstanbieter (Leo)	Ja
`leo:say`	Session Storage	Eine Nachricht, die du auf einer Seite geschickt hast, auf dem Weg zum Gespräch, das sich dafür öffnet.	Bis sie angekommen ist (Sekunden); höchstens bis der Tab geschlossen wird	Erstanbieter (Leo)	Ja
`leo.pages.writing`	Session Storage	Welche Notizbuchseiten du bei Leo in Auftrag gegeben hast und die noch geschrieben werden, damit der Hinweis, dass eine fertig ist, auch nach dem Neuladen kommt.	Bis die Seite geschrieben ist (ein, zwei Minuten); höchstens bis der Tab geschlossen wird	Erstanbieter (Leo)	Ja
`leo.draft.*`	Local Storage	Was du an Leo geschrieben, aber noch nicht abgeschickt hast (eins je Gespräch und das Feld auf der Startseite), damit es beim Verlassen der Seite oder Neuladen nicht verloren geht.	Bis du es abschickst, höchstens 30 Tage; beim Abmelden gelöscht	Erstanbieter (Leo)	Ja
`leo.exam.*`	Local Storage	Deine Antworten in einer laufenden Probeprüfung, damit Neuladen oder ein Verbindungsabbruch sie nicht verliert.	Bis du die Prüfung abgibst oder dich abmeldest	Erstanbieter (Leo)	Ja
`leo.rail.conversations`	Local Storage	Ob du die Liste der Gespräche in der Seitenleiste eingeklappt hast.	Bis du dich abmeldest	Erstanbieter (Leo)	Deine Wahl
`leo.streak.celebrated`	Local Storage	Dass ein Serien-Meilenstein schon gefeiert wurde, damit er nicht zweimal erscheint.	Bis du dich abmeldest	Erstanbieter (Leo)	Ja
`__stripe_mid, __stripe_sid`	Cookie	Erst wenn du das Zahlungsformular öffnest (der Button auf der Bestellseite oder „… mehr dazunehmen“ auf deiner Tarifseite): Stripes Betrugsprävention für die Zahlung, die du begonnen hast. Von Stripe gesetzt und gelesen.	__stripe_mid ein Jahr, __stripe_sid 30 Minuten	Erstanbieter (Leo)	Ja
`leo.consent.youtube`	Local Storage	Nur wenn du „Für YouTube merken“ ankreuzt: deine Einwilligung, YouTube-Videos ohne erneute Nachfrage zu laden.	Bis du sie auf dieser Seite zurücksetzt oder dich abmeldest	Erstanbieter (Leo)	Deine Wahl

Beim Abmelden löscht Leo alles, was es auf diesem Gerät im Local und Session Storage gespeichert hat.

YouTube-Videos

Ein YouTube-Video in deiner Bibliothek wird beim Öffnen nicht geladen: Du siehst ein Vorschaubild, das Leo selbst ausliefert, und einen Abspielknopf. Erst wenn du auf Abspielen drückst, verbindet sich dein Browser mit YouTube (Google Ireland Limited) im erweiterten Datenschutzmodus (youtube-nocookie.com); YouTube erhält dann deine IP-Adresse und kann Informationen auf deinem Gerät speichern. Wenn du „Für YouTube merken“ ankreuzt, speichert Leo diese Wahl in deinem Browser (leo.consent.youtube) und startet Videos ohne erneute Nachfrage. Du kannst sie jederzeit mit dem Knopf unten widerrufen.

https://www.youtube-nocookie.com (Google Ireland Limited (YouTube, privacy-enhanced mode)): Erst nachdem du bei einem YouTube-Video in deiner Bibliothek auf Abspielen drückst (oder „Für YouTube merken“ angekreuzt hast).
https://vercel.com (Vercel Inc. (Vercel Blob, the file store of Leo's hosting)): Nur wenn Leo bei Vercel läuft, und nur während du eine Datei hochlädst: Sie geht direkt in Leos privaten Dateispeicher. Auf deinem Gerät wird nichts gespeichert.

Deine Auswahl

Bezahlen

Tarife und zusätzliche Zeit bezahlst du in einem Formular unseres Zahlungsdienstleisters Stripe (Stripe Payments Europe, Limited), das in Leos Seite erscheint. Von Stripe wird nichts geladen, bevor du auf der Bestellseite auf den Abo-Button oder auf deiner Tarifseite auf „… mehr dazunehmen“ drückst. Dann lädt dein Browser Stripe.js von Stripe, deine Karten- oder Kontodaten gehen direkt an Stripe und nie an Leo, und Stripe setzt die beiden oben genannten Cookies zur Betrugsprävention.

https://js.stripe.com, https://*.js.stripe.com, https://hooks.stripe.com, https://checkout.stripe.com, https://api.stripe.com (Stripe Payments Europe, Limited (the payment form)): Erst nachdem du auf der Bestellseite auf den Abo-Button oder auf deiner Tarifseite auf „… mehr dazunehmen“ drückst: Dort erscheint Stripes Zahlungsformular (Stripe.js von js.stripe.com; Kartendaten bleiben in Stripes Rahmen).
https://link.com, https://*.link.com (Stripe Payments Europe, Limited (Link)): Nur im Zahlungsformular von Stripe, wenn du mit Link bezahlst (Stripes Dienst für gespeicherte Zahlungsdaten).

Andere Dienste, die du nur per Klick erreichst

Diese öffnen sich nur, wenn du dorthin klickst, auf ihren eigenen Seiten: Stripe (wenn du deinen Tarif verwaltest (Stripes Kundenportal)), Google (wenn du dich mit Google anmeldest oder deinen Kalender verbindest) und Apple (wenn du dich mit Apple anmeldest). Leo bettet nichts von ihnen in seine Seiten ein.

English version

This English text is a convenience translation. The German version is the binding one.

Cookies and storage

Leo stores only what it needs to work: no tracking, no advertising, no analytics, no consent banner. Everything below is set by Leo itself (first party) and is strictly necessary for something you asked for (§ 25 (2) no. 2 TDDDG), or is a choice you made yourself.

What Leo keeps in your browser
Name	Type	Purpose	Lifetime	Party	Strictly necessary
`authjs.session-token (__Secure-authjs.session-token over HTTPS)`	Cookie	Keeps you signed in (an encrypted, signed session; HttpOnly).	30 days, renewed while you use Leo; removed when you sign out	First party (Leo)	Yes
`authjs.csrf-token, authjs.callback-url (with __Host- / __Secure- prefixes over HTTPS)`	Cookie	Protects sign-in against forged requests and returns you to the page you came from.	Until the browser is closed	First party (Leo)	Yes
`authjs.state, authjs.pkce.code_verifier, authjs.nonce`	Cookie	Only while you sign in with Google or Apple: ties their answer to the sign-in you started (HttpOnly).	15 minutes at most	First party (Leo)	Yes
`leo.tz`	Cookie	Your device's time zone, so “today”, your streak and due cards turn over at your midnight.	Until the browser is closed	First party (Leo)	Yes
`leo.lang`	Cookie	The language you chose for Leo's pages (set when you choose it, when you go on from a German page, or from your account's setting).	1 year	First party (Leo)	Your choice
`leo.gcal`	Cookie	Only while you connect Google Calendar: checks that Google's answer belongs to the request you started (HttpOnly).	10 minutes at most, removed when the connection finishes	First party (Leo)	Yes
`leo_guardian`	Cookie	Only for a parent or guardian who opened the guardian page from an email link (HttpOnly, only on /guardian).	1 hour	First party (Leo)	Yes
`leo.start`	Session storage	Your sign-up answers while you fill in the steps (never the password), so a reload or a trip to Google does not lose them.	Until the tab is closed	First party (Leo)	Yes
`leo.start.under`	Session storage	Only if the birth date given at sign-up or on the trial page is under the minimum age: keeps that screen up in this tab. Nothing else is stored or sent.	Until the tab is closed	First party (Leo)	Yes
`leo:say`	Session storage	A message you sent from one page, carried to the conversation that opens for it.	Until it is delivered (seconds); at most until the tab is closed	First party (Leo)	Yes
`leo.pages.writing`	Session storage	Which notebook pages you asked Leo to write and are still being written, so the notice that one is done still comes after a reload.	Until the page is written (a minute or two); at most until the tab is closed	First party (Leo)	Yes
`leo.draft.*`	Local storage	Words you typed to Leo and have not sent yet (one per conversation, and the home screen's field), so leaving the page or a reload does not lose them.	Until you send it, at most 30 days; deleted when you sign out	First party (Leo)	Yes
`leo.exam.*`	Local storage	Your answers in a mock exam you are sitting, so a reload or a lost connection does not lose them.	Until you hand the exam in or sign out	First party (Leo)	Yes
`leo.rail.conversations`	Local storage	Whether you folded the list of conversations in the side rail.	Until you sign out	First party (Leo)	Your choice
`leo.streak.celebrated`	Local storage	That a streak milestone was already celebrated, so the moment is not shown twice.	Until you sign out	First party (Leo)	Yes
`__stripe_mid, __stripe_sid`	Cookie	Only once you open the payment form (the order page's button or “Add more”): Stripe's fraud prevention for the payment you started. Set by Stripe, read by Stripe.	__stripe_mid one year, __stripe_sid 30 minutes	First party (Leo)	Yes
`leo.consent.youtube`	Local storage	Only if you tick “Remember for YouTube”: your consent to load YouTube videos without asking each time.	Until you reset it on this page or sign out	First party (Leo)	Your choice

Signing out clears everything Leo keeps in local and session storage on this device.

YouTube videos

A YouTube video in your library is not loaded when you open it: you see a picture of it, served by Leo, and a play button. Only when you press play does your browser connect to YouTube (Google Ireland Limited) through its privacy-enhanced mode (youtube-nocookie.com); YouTube then receives your IP address and may store information on your device. If you tick “Remember for YouTube”, Leo stores that choice in your browser (leo.consent.youtube) and starts videos without asking again. You can withdraw it at any time with the button below.

https://www.youtube-nocookie.com (Google Ireland Limited (YouTube, privacy-enhanced mode)): Only after you press play on a YouTube video in your library (or ticked “Remember for YouTube”).
https://vercel.com (Vercel Inc. (Vercel Blob, the file store of Leo's hosting)): Only when Leo runs on Vercel, and only while you upload a file: it goes straight to Leo's private file store. Nothing is stored on your device.

Your choices

Paying

Plans and top-ups are paid in a form from our payment provider, Stripe (Stripe Payments Europe, Limited), drawn inside Leo's page. Nothing of Stripe's loads until you press the order page's subscribe button or “Add more” on your plan page. Then your browser loads Stripe.js from Stripe, your card or bank details go straight to Stripe and never reach Leo, and Stripe sets the two fraud-prevention cookies listed above.

https://js.stripe.com, https://*.js.stripe.com, https://hooks.stripe.com, https://checkout.stripe.com, https://api.stripe.com (Stripe Payments Europe, Limited (the payment form)): Only after you press the order page’s subscribe button or “Add more” on your plan page: Stripe’s payment form is drawn there (Stripe.js from js.stripe.com, card details stay inside Stripe’s frames).
https://link.com, https://*.link.com (Stripe Payments Europe, Limited (Link)): Only inside Stripe’s payment form, if you choose to pay with Link (Stripe’s saved-payment service).

Other services you reach only by clicking

These open only when you click to go there, on their own sites: Stripe (when you manage your plan (Stripe’s customer portal)), Google (when you choose to sign in with Google or connect your calendar) and Apple (when you choose to sign in with Apple). Leo embeds nothing from them in its pages.