Datenschutzerklärung

Konto

Was: E-Mail-Adresse, Passwort (nur als bcrypt-Hash — im Klartext existiert es nirgends), Anzeigename, Freundeskennung, Spielerkennung, Zeitpunkt der Registrierung und der E-Mail-Bestätigung.

Wozu: Damit es ein Konto gibt. Ohne Adresse gibt es keinen Weg zurück ins Konto, ohne Passwort keine Anmeldung.

Grundlage: Art. 6 Abs. 1 lit. b DSGVO — Erfüllung des Nutzungsvertrags.

Wie lange: Bis zur Löschung des Kontos.

Anmeldungen und Geräte

Was: Je Anmeldung eine Zeile mit IP-Adresse, Browserkennung, Zeitpunkt der Anmeldung und der letzten Aktivität. Der Sitzungsschlüssel selbst steht nur als Hash in der Datenbank.

Wozu: Damit die Anmeldung funktioniert — und damit du unter Konto → Geräte siehst, wo du angemeldet bist, und einzelne oder alle beenden kannst. Genau dafür ist die IP-Adresse da: Sie beantwortet die Frage „war das mein Anschluss?". Angezeigt wird sie gekürzt.

Grundlage: Art. 6 Abs. 1 lit. b und lit. f DSGVO — Vertragserfüllung sowie unser berechtigtes Interesse an der Sicherheit der Konten.

Wie lange: Browser-Anmeldungen 30 Tage, Launcher- Anmeldungen 7 Tage — oder bis du sie beendest.

E-Mail-Bestätigung und Passwort-Zurücksetzung

Was: Eine einmalige Marke, gespeichert als SHA-256-Hash, mit Ablaufzeitpunkt. Die Marke selbst steht nur in der E-Mail.

Wozu: Damit niemand ein Konto auf eine fremde Adresse anlegen kann und damit es einen Weg zurück gibt, wenn das Passwort weg ist.

Wie lange: Bestätigung 7 Tage, Zurücksetzung 1 Stunde. Verbrauchte Marken werden nach 30 Tagen entfernt.

Tickets im Hilfebereich

Was: Was du schreibst, dazu Betreff, Kategorie und die Kennung deines Browsers. Ohne Konto zusätzlich die E-Mail-Adresse, die du angibst, und der Name, unter dem wir dich ansprechen sollen.

Wozu: Um dir zu antworten. Ohne Adresse können wir das nicht.

Grundlage: Art. 6 Abs. 1 lit. b DSGVO, bei Anfragen ohne Konto lit. f — unser berechtigtes Interesse daran, Anfragen zu beantworten.

Wie lange: Tickets eines Kontos bleiben nach dessen Löschung ohne Verknüpfung stehen; in ihnen steht auch, was wir geantwortet und entschieden haben, und das kann Dritte betreffen — etwa eine Meldung über jemand anderen.

Verifizierungsanträge

Was: Die gewünschte Kennung, dein Nachweis im Wortlaut, eine optionale Rückfrage-Adresse und die Entscheidung samt Begründung.

Wozu: Um zu prüfen, ob du die Person bist, für die man dich hält, und um die Entscheidung nachvollziehbar zu halten.

Grundlage: Art. 6 Abs. 1 lit. b DSGVO.

Sperren

Was: Umfang, Grund, Dauer, wer sie verhängt und wer sie aufgehoben hat.

Wozu: Um sie durchzusetzen und um sie auf Nachfrage erklären zu können.

Grundlage: Art. 6 Abs. 1 lit. f DSGVO — unser berechtigtes Interesse an einem funktionierenden Miteinander.

Käufe

Was: Welche Spiele zu deinem Konto gehören, eingelöste Schlüssel, Zeitpunkte.

Grundlage: Art. 6 Abs. 1 lit. b und lit. c DSGVO — Vertragserfüllung und steuerliche Aufbewahrungspflichten.

Wie lange: Kaufbelege unterliegen den handels- und steuerrechtlichen Fristen von bis zu zehn Jahren. Sie bleiben auch nach einer Kontolöschung erhalten, dann ohne Verknüpfung zu deinem Konto.

Absturzberichte

Was: Fehlermeldung, Programmversion, Betriebssystem — und, wenn du angemeldet warst, die Zuordnung zu deinem Konto.

Wozu: Um Fehler zu finden.

Grundlage: Art. 6 Abs. 1 lit. f DSGVO.

Serverprotokolle

Was: Der Webserver hält wie üblich IP-Adresse, Zeitpunkt, aufgerufene Adresse und Browserkennung fest.

Wozu: Betrieb und Abwehr von Angriffen.

Grundlage: Art. 6 Abs. 1 lit. f DSGVO. Wie lange: in der Regel 14 Tage.

Unser Hoster

Die Plattform läuft auf gemieteten Servern in Deutschland. Der Anbieter verarbeitet Daten ausschließlich in unserem Auftrag; darüber besteht ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO.

Das Forum

Das Forum läuft auf denselben Servern. Anzeigename, Freundeskennung und Avatar werden aus deinem Konto dorthin übernommen — in eine Richtung: Wir führen die Konten, das Forum zeigt sie an.

Was du im Forum schreibst, ist öffentlich lesbar. Das ist der Sinn eines Forums, aber es ist eine Entscheidung, die du bei jedem Beitrag triffst.

Spielserver

Verbindest du dich mit einem Spielserver, erhält dieser deine Spielerkennung, deinen Anzeigenamen und deine IP-Adresse — technisch unvermeidbar, sonst käme keine Verbindung zustande. Server, die nicht von uns betrieben werden, sind für ihre Daten selbst verantwortlich.

Drittländer

Eine Übermittlung außerhalb der EU findet nicht statt.

Auskunft (Art. 15)

Ohne Antrag und ohne Wartezeit: Datei herunterladen. Sie enthält alles, was zu deinem Konto gespeichert ist — bis auf die Hashes von Passwort und Sitzungen, die dir nichts über dich sagen, aber jedem etwas, der die Datei findet.

Berichtigung (Art. 16)

Anzeigename, Freundeskennung und Passwort änderst du selbst im Konto. Für alles andere genügt ein Ticket.

Löschung (Art. 17)

Ebenfalls selbst, sofort, ohne Angabe von Gründen — siehe oben, was dabei zurückbleibt.

Einschränkung, Widerspruch, Übertragbarkeit (Art. 18, 20, 21)

Die Auskunftsdatei ist maschinenlesbares JSON und damit zugleich die Datenübertragbarkeit. Für Einschränkung und Widerspruch schreib uns — bei Verarbeitungen auf Grundlage berechtigter Interessen prüfen wir deinen Widerspruch im Einzelfall.

Beschwerde (Art. 77)

Du kannst dich bei einer Datenschutz-Aufsichtsbehörde beschweren, etwa der des Bundeslandes, in dem du wohnst. Uns wäre ein Ticket lieber, aber das ist deine Entscheidung und keine Voraussetzung.