Datenschutzerklärung

[ZUM ABSTIMMEN: Diese Datenschutzerklärung ist ein sorgfältig recherchierter Entwurf, aber keine Rechtsberatung. Vor der endgültigen Veröffentlichung rechtlich prüfen lassen.]

1. Verantwortlicher

Jonas Kimmerle
Bahnhofstraße 7, 71116 Gärtringen, Deutschland
E-Mail: kimmerle.development@gmail.com

Ein Datenschutzbeauftragter ist nicht benannt. [ZUM ABSTIMMEN: prüfen, ob eine Benennungspflicht nach Art. 37 DSGVO und § 38 BDSG besteht]

2. Diese Website

2.1 Hosting und Server-Logfiles

Diese Website wird über Cloudflare Workers bei der Cloudflare, Inc., 101 Townsend St, San Francisco, CA 94107, USA, gehostet. Beim Aufruf verarbeitet Cloudflare technisch notwendige Daten, insbesondere IP-Adresse, Datum und Uhrzeit, aufgerufene Adresse, Referrer sowie Browser- und Systeminformationen, um die Seite auszuliefern und vor Angriffen zu schützen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt in einer sicheren, stabilen Bereitstellung der Website.

Speicherdauer der Logdaten: [PLATZHALTER: Speicherdauer der Logfiles bei Cloudflare bzw. ob Workers-Logs aktiviert sind]. Mit Cloudflare besteht ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO (Cloudflare Customer Data Processing Addendum). [ZUM ABSTIMMEN: bestätigen, dass das DPA für das Konto gilt]

Dabei können Daten in die USA übermittelt werden. Cloudflare ist nach eigenen Angaben unter dem EU-US Data Privacy Framework zertifiziert; die Übermittlung stützt sich damit auf den Angemessenheitsbeschluss der EU-Kommission (Art. 45 DSGVO). Ergänzend verwendet Cloudflare Standardvertragsklauseln.

2.2 Keine Cookies, kein Tracking

Diese Website setzt keine Cookies, verwendet keine Analyse- oder Tracking-Werkzeuge und lädt keine externen Schriftarten oder Inhalte von Drittanbietern.

2.3 Kontakt per E-Mail

Wenn du per E-Mail Kontakt aufnimmst, verarbeiten wir deine Angaben zur Bearbeitung der Anfrage (Art. 6 Abs. 1 lit. b bzw. f DSGVO) und löschen sie, sobald sie nicht mehr erforderlich sind und keine gesetzlichen Aufbewahrungspflichten bestehen. Für das Postfach nutzen wir Gmail (Google). [ZUM ABSTIMMEN: Hinweis auf Google als E-Mail-Anbieter gewünscht?]

3. Die Spiele und Apps

3.1 Gemeinsame Dienstleister

• Supabase (Backend: Anmeldung, Datenbank, Echtzeit-Synchronisation): Supabase Pte. Ltd., 65 Chulia Street #38-02/03, OCBC Centre, Singapur 049513. Die Projektdaten liegen in der Region eu-central-1 (Frankfurt am Main). Supabase verarbeitet die Daten als Auftragsverarbeiter auf Grundlage seines Data Processing Addendum, das die EU-Standardvertragsklauseln einbezieht. Supabase setzt Unterauftragsverarbeiter ein, die in einer öffentlichen Liste aufgeführt sind. [ZUM ABSTIMMEN: bestätigen, dass das DPA für das Supabase-Konto gilt]
• Cloudflare (Hosting der Web-Versionen): siehe Abschnitt 2.1.

Beide Spiele nutzen denselben Supabase-Account im kostenlosen Tarif (Free Plan). Supabase protokolliert Anfragen an das Backend (u.a. mit IP-Adresse); diese Logs werden in diesem Tarif laut Supabase 1 Tag aufbewahrt.

Keines der Spiele verwendet Analyse-Werkzeuge, Werbung, Crash-Reporting oder Cookies. Es findet keine automatisierte Entscheidungsfindung einschließlich Profiling im Sinne von Art. 22 DSGVO statt.

3.2 Bid for Beasts

Anmeldung: Für den Online-Modus meldet die App dich anonym bei Supabase an. Dabei wird nur eine zufällige Kennung (UUID) erzeugt; es werden keine E-Mail-Adresse, kein Passwort und kein Name abgefragt.

Spielername: Du wählst einen Spielernamen frei; ein Klarname ist nicht nötig. Der Name wird an die Mitspielerinnen und Mitspieler im selben Raum übertragen.

Online-Räume: Für jeden Raum speichern wir den Raumcode (4–6 Zeichen), die Nutzerkennung des Hosts, den Spielzustand (Spielernamen, Gebote, Karten, Teams, Kampfergebnisse), eine Revisionsnummer sowie Erstellungs- und Änderungszeitpunkt. Der Spielstand wird über private Echtzeit-Kanäle von Supabase zwischen den Teilnehmern synchronisiert. Zugriff haben nur die Teilnehmer des Raums; löschen kann ihn nur der Host.

Lokal auf deinem Gerät (im Browser per localStorage, nicht auf unserem Server) werden gespeichert: Spielstände, Sammlung, das Register gesehener Karten, Profil, Spielernamen, Sprache, Kampagnenstand, die Online-Sitzung (Raumcode, Informationen zum Wiederbeitreten) und das Anmelde-Token von Supabase. Diese Speicherung ist für die von dir gewünschte Funktion erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG). Du kannst die lokalen Daten in der App unter „Datenschutz“ → „Daten löschen“ entfernen.

Rechtsgrundlage: [PLATZHALTER: Rechtsgrundlage, z.B. Art. 6 Abs. 1 lit. b DSGVO für die Bereitstellung des Online-Spiels]

Speicherdauer und Löschung: Online-Räume werden 24 Stunden nach der letzten Aktivität automatisch gelöscht. Anonyme Konten (die zufällige Kennung) werden nicht automatisch gelöscht, sondern bleiben bestehen, bis du die Löschung per E-Mail an kimmerle.development@gmail.com beantragst. Grund: Über die Kennung erkennt dich das Spiel wieder, sodass du nach einem Verbindungsabbruch einem laufenden Raum erneut beitreten kannst. Das Konto enthält keine personenbezogenen Stammdaten wie Name, E-Mail-Adresse oder Passwort.

Altersfreigabe: Bid for Beasts ist ab 13 Jahren freigegeben.

3.3 WhatIf?! [ZUM ABSTIMMEN: Abschnitt ist ein Entwurf]

Für WhatIf?! nutzen wir Supabase (siehe 3.1); die Daten werden in der EU (Rechenzentrum Frankfurt) verarbeitet. Verarbeitet werden:

• ein anonymes Konto ohne E-Mail-Adresse,
• dein Profil: Anzeigename, @-Name und optional ein Profilbild,
• deine Antworten auf die Tagesfragen,
• eigene Fragen und Antworten darauf, einschließlich Fragen im Random Pool, die zufällige Spieler beantworten,
• Freundschaften und Freundschaftsanfragen,
• Punkte,
• Meldungen von Inhalten,
• deine Spracheinstellung,
• deine Zustimmung zu den Regeln und die Bestätigung des Mindestalters von 13 Jahren.

In der Web-Version wird deine Sitzung im localStorage deines Browsers abgelegt, damit du angemeldet bleibst (§ 25 Abs. 2 Nr. 2 TDDDG). WhatIf?! verwendet kein Tracking und zeigt keine Werbung. Push-Benachrichtigungen sind technisch vorbereitet, aber noch nicht aktiv. [ZUM ABSTIMMEN: vor Aktivierung der Push-Benachrichtigungen ergänzen]

Die App wird über Expo/EAS bereitgestellt, die Web-Version über Cloudflare gehostet (siehe 3.1 und 2.1).

Rechtsgrundlage: [PLATZHALTER: Rechtsgrundlagen der Verarbeitung]. Speicherdauer und Löschung: [PLATZHALTER: Speicherdauer, Löschung des Kontos und der Inhalte]

3.4 Kinder und Jugendliche

Bid for Beasts und WhatIf?! sind jeweils ab 13 Jahren freigegeben und richten sich nicht an Kinder unter 13 Jahren. Soweit eine Verarbeitung auf einer Einwilligung beruht, können Jugendliche in Deutschland diese erst ab 16 Jahren selbst erteilen; darunter ist die Zustimmung der Eltern erforderlich (Art. 8 DSGVO). Eltern, die annehmen, dass ihr Kind ohne ihre Zustimmung Daten bereitgestellt hat, können sich jederzeit per E-Mail an uns wenden; wir löschen die Daten dann. [ZUM ABSTIMMEN: ob und wie Art. 8 DSGVO greift, hängt von der gewählten Rechtsgrundlage ab, rechtlich klären]

4. Deine Rechte

Du hast das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21 DSGVO). Eine erteilte Einwilligung kannst du jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3 DSGVO). Du hast außerdem das Recht auf Beschwerde bei einer Datenschutz-Aufsichtsbehörde (Art. 77 DSGVO), z.B. beim Landesbeauftragten für den Datenschutz und die Informationsfreiheit Baden-Württemberg.

Da die Spiele anonyme Konten nutzen, brauchen wir für Anfragen ggf. deine Nutzerkennung bzw. deinen Spielernamen, um deine Daten zuzuordnen. [ZUM ABSTIMMEN: wie Nutzer ihre Kennung finden]

5. Pflicht zur Bereitstellung

Du bist nicht verpflichtet, Daten bereitzustellen. Ohne die anonyme Anmeldung kannst du die Online-Funktionen jedoch nicht nutzen; Bid for Beasts kann lokal auf einem Gerät auch ohne Anmeldung gespielt werden. [ZUM ABSTIMMEN: gilt das auch für WhatIf?!]

Stand: 21.10.2026