Datenschutzerklärung

Stand: 18. Oktober 2026

1. Verantwortlicher

Verantwortlich für die Verarbeitung personenbezogener Daten auf poker-studio.org, app.poker-studio.org, api.poker-studio.org und play.poker-studio.org bin ich:

E-Mail: [email protected]
Kontaktformular: app.poker-studio.org/kontakt

Einen Datenschutzbeauftragten habe ich nicht benannt; dazu besteht keine Pflicht (§ 38 BDSG).

Die deutsche und die englische Fassung dieser Erklärung sind gleichwertig.

2. Überblick

Poker Studio ist ein Werkzeug für Pokerspieler (Hand-Tracker, Hand-Replayer, Trainer) und befindet sich in einer geschlossenen Beta-Phase. Ich verarbeite personenbezogene Daten nur, soweit das für den Betrieb der Website, die Bearbeitung von Beta-Anfragen und Kontaktanfragen und die Nutzung der App nötig ist. Ich verkaufe keine Daten, setze keine Werbe-, Tracking- oder Analyse-Cookies ein und nutze keine Dienste für Besucherstatistiken.

3. Hosting und Aufruf der Seiten

Poker Studio läuft auf diesen Diensten:

• Die Startseite (poker-studio.org) und die Web-App (app.poker-studio.org) liefert Cloudflare Pages aus, ein Dienst der Cloudflare, Inc., 101 Townsend St., San Francisco, CA 94107, USA.
• Die Schnittstelle der App (api.poker-studio.org) und deine gespeicherten Daten liegen auf meinem Server der Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, im Rechenzentrum Falkenstein (Deutschland). Alle Verbindungen zur Schnittstelle laufen verschlüsselt über das Netzwerk von Cloudflare (Proxy): Cloudflare nimmt die Verbindung entgegen, schützt sie vor Angriffen und leitet sie an meinen Server weiter. Dabei laufen auch die Inhalte, die du überträgst (zum Beispiel Hand-Historien), über Cloudflare.
• Der öffentliche Hand-Replayer und geteilte Hände (play.poker-studio.org) laufen auf Cloudflare Workers; die geteilten Hände speichert Cloudflare in einer D1-Datenbank (Abschnitt 11). Für die Fehlersuche sind die Workers-Logs von Cloudflare eingeschaltet; sie enthalten Aufrufdaten wie Zeitpunkt, aufgerufene Adresse und technische Anfragedaten.

Cloudflare verarbeitet die übertragenen Inhalte und die Protokolle meines Cloudflare-Kontos (Kundenprotokolle) in meinem Auftrag. Bestimmte technische Netzwerk- und Sicherheitsdaten verarbeitet Cloudflare daneben in eigener Verantwortung, insbesondere zur Absicherung seines Netzwerks. Näheres erläutert Cloudflare in seiner Datenschutzerklärung: www.cloudflare.com/privacypolicy.

Bei jedem Aufruf werden technisch notwendige Daten verarbeitet: IP-Adresse, Datum und Uhrzeit, aufgerufene Adresse, übertragene Datenmenge sowie Browser und Betriebssystem (User-Agent). Zweck ist die Auslieferung der Seiten, die Sicherheit des Angebots und die Fehlersuche. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; mein berechtigtes Interesse liegt in einem sicheren und funktionsfähigen Angebot.

Auf meinem Server lösche ich die Zugriffsprotokolle des Webservers (nginx) nach 14 Tagen und das Systemprotokoll (journald) nach 30 Tagen. Cloudflare löscht die Workers-Logs nach 3 Tagen.

4. Spamschutz ohne Captcha-Dienstleister

Das Formular „Einladung anfragen“ (app.poker-studio.org/einladung) und das Kontaktformular (app.poker-studio.org/kontakt) schütze ich mit einem Proof-of-Work-Verfahren (ALTCHA) vor automatisierten Anfragen. Für den Spamschutz nutze ich keinen zusätzlichen Captcha-Dienstleister. Das lokal ausgelieferte Programm löst eine Rechenaufgabe; mein Server prüft die Lösung. Die in Abschnitt 3 beschriebenen Hosting-Dienstleister bleiben an der technischen Übertragung beteiligt. Das Programm ist Teil der App, setzt keine Cookies und legt nichts im Speicher deines Browsers ab. Die Aufgabe enthält keine Angaben über dich und ist höchstens 10 Minuten gültig. Zusätzlich enthalten beide Formulare ein für Menschen unsichtbares Feld, das nur Bots ausfüllen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; mein berechtigtes Interesse ist der Schutz der Formulare und fremder Postfächer vor Missbrauch.

5. Anfrage für die Closed Beta

Wenn du eine Einladung anfragst, verarbeite ich:

• deine E-Mail-Adresse,
• deine Antwort auf die Frage, warum du teilnehmen möchtest,
• Spielart, Hände pro Woche und die Plattformen, auf denen du spielst,
• die gewählte Sprache, den Zeitpunkt der Anfrage und der Bestätigung, den Bearbeitungsstand sowie die Version (das Datum) dieser Datenschutzerklärung, die du zur Kenntnis genommen hast,
• bei einer Ablehnung die Begründung, die ich dir schicke.

Zweck ist die Prüfung deiner Anfrage, die E-Mails dazu und, wenn ich annehme, die Freischaltung deiner E-Mail-Adresse für die Registrierung. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Bearbeitung deiner Anfrage auf Teilnahme an der Beta). Mit der Checkbox „Ich habe die Datenschutzerklärung zur Kenntnis genommen“ bestätigst du nur, dass du diese Hinweise gesehen hast; eine Einwilligung ist das nicht.

Pflichtangaben sind E-Mail-Adresse, Begründung, Spielart, Hände pro Woche, Plattformen (bei „Andere“ auch deren Name) und die beiden Checkboxen. Du bist nicht verpflichtet, sie zu machen; ohne sie kann ich deine Anfrage aber nicht bearbeiten.

Zum Schutz vor Missbrauch zähle ich, wie viele Anfragen von deiner IP-Adresse kommen (höchstens 5 pro Stunde). Für diesen Zähler halte ich die IP-Adresse nur im Arbeitsspeicher des Servers und schreibe sie nicht in eine Datei oder Datenbank; es zählen nur Anfragen der letzten Stunde, und ein Neustart des Servers löscht alle Einträge (Art. 6 Abs. 1 lit. f DSGVO).

Double-Opt-in

Nach dem Absenden bekommst du eine E-Mail mit einem Bestätigungslink, der 48 Stunden gültig ist. Der Link öffnet eine Seite mit der Schaltfläche „Anfrage bestätigen“; erst dein Klick darauf bestätigt die Anfrage. Erst nach der Bestätigung wird deine Anfrage im Bearbeitungsbereich angezeigt und von mir bearbeitet. Das verhindert, dass eine Anfrage ohne Zugriff auf das angegebene Postfach bearbeitet wird. Nicht bestätigte Anfragen, die älter als 7 Tage sind, löscht mein Server bei seiner stündlichen Bereinigung.

Speicherdauer

Die Daten deiner Anfrage lösche ich, sobald die Beta-Phase endet, spätestens 12 Monate nach deiner Anfrage (täglicher Löschlauf meines Servers), und jederzeit früher, wenn du mich darum bittest. Nehme ich deine Anfrage an, speichere ich deine E-Mail-Adresse und deine Konto-Kennung in der Liste der Beta-Mitglieder, solange deine Mitgliedschaft besteht, also bis dein Konto gelöscht wird.

6. Kontaktformular und E-Mails an mich

Über das Kontaktformular (app.poker-studio.org/kontakt) kannst du mir eine Nachricht schicken. Pflichtangaben sind deine E-Mail-Adresse und die Nachricht; ohne sie kann ich dir nicht antworten. Dein Name ist freiwillig. Das Formular schickt genau eine E-Mail an mein Postfach [email protected], mit deiner Adresse als Antwortadresse. Die Nachricht wird nicht in einer Datenbank oder Datei auf meinem Server gespeichert. Zum Schutz vor Missbrauch gelten der Spamschutz aus Abschnitt 4 und dieselbe Begrenzung nach IP-Adresse wie bei der Beta-Anfrage (höchstens 5 pro Stunde, nur im Arbeitsspeicher).

Zweck ist die Beantwortung deiner Nachricht. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, wenn es um deine Beta-Teilnahme oder dein Konto geht, sonst Art. 6 Abs. 1 lit. f DSGVO (mein Interesse, Anfragen zu beantworten). Dasselbe gilt für E-Mails, die du mir direkt schreibst. Kontaktnachrichten lösche ich, sobald deine Anfrage erledigt ist, spätestens nach 12 Monaten.

7. E-Mail-Versand und Postfach

Mein Postfach [email protected] ist ein eigenes Postfach bei der ALL-INKL.COM – Neue Medien Münnich, Inh. René Münnich, Hauptstraße 68, 02742 Friedersdorf, Deutschland; es leitet nichts an andere Postfächer weiter. Über den Mailserver von All-Inkl verschicke ich auch die E-Mails zu deiner Beta-Anfrage (Bestätigung, Annahme, Ablehnung). Dabei werden deine E-Mail-Adresse, der Inhalt der E-Mail und der Versandzeitpunkt verarbeitet. Rechtsgrundlage für die E-Mails zur Beta-Anfrage ist Art. 6 Abs. 1 lit. b DSGVO.

E-Mails zu einer Beta-Anfrage lösche ich aus dem Postfach, sobald die Anfrage abgeschlossen ist, spätestens nach 12 Monaten. Die E-Mail zur Bestätigung deiner Adresse bei der Registrierung verschickt nicht All-Inkl, sondern Auth0 (Abschnitt 8).

8. Registrierung und Anmeldung

Für Registrierung und Anmeldung nutze ich Auth0, einen Dienst der Okta, Inc., 100 First Street, San Francisco, CA 94105, USA. Mein Auth0-Mandant wird in der EU-Region betrieben. Verarbeitet werden deine E-Mail-Adresse, dein Passwort (bei Auth0 nur als Hash gespeichert), Anmeldezeitpunkte sowie IP-Adresse und Browserdaten zur Absicherung der Anmeldung. Die E-Mail zur Bestätigung deiner Adresse verschickt Auth0. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Bereitstellung deines Kontos). Dein Konto bei Auth0 besteht, bis es gelöscht wird. Auth0 löscht die Anmeldeprotokolle nach 1 Tag.

Meldest du dich mit Google an, erhalte ich von Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland, die dafür nötigen Profildaten (Kennung, E-Mail-Adresse, Name). Verbindest du Discord in den Einstellungen, erhalte ich von Discord Netherlands BV, Schiphol Boulevard 195, 1118 BG Schiphol, Niederlande, die dafür nötigen Profildaten (Kennung, Benutzername, gegebenenfalls E-Mail-Adresse). Google und Discord verarbeiten dabei Daten auch in eigener Verantwortung nach ihren eigenen Datenschutzbestimmungen.

Prüfung der Freigabe

Während der Beta kann sich nur registrieren, wessen E-Mail-Adresse ich freigegeben habe. Dafür fragt Auth0 bei der Registrierung meinen Server, ob deine Adresse freigegeben ist. Bei einer Registrierung mit E-Mail und Passwort ohne Freigabe lehnt Auth0 sie ab, bevor ein Konto entsteht. Bei der ersten Anmeldung mit Google oder mit einem nicht verknüpften Discord-Konto legt Auth0 das Konto zunächst an. Bei fehlender Freigabe wird die Anmeldung abgelehnt und die Löschung des vorübergehend angelegten Kontos unmittelbar angestoßen. Fehlgeschlagene Löschungen werden erneut ausgeführt. Jeder abgelehnte Versuch hinterlässt einen Eintrag in den Anmeldeprotokollen von Auth0 (1 Tag). Wurde dabei mit Google oder Discord vorübergehend ein Konto angelegt, hinterlässt die Ablehnung zusätzlich einen Eintrag mit der Konto-Kennung im Systemprotokoll meines Servers (30 Tage). Bei jedem Zugriff prüft mein Server, ob dein Konto zur Beta gehört; das Ergebnis hält er höchstens 60 Sekunden im Arbeitsspeicher. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b und f DSGVO (Schutz der geschlossenen Beta).

9. Speicher in deinem Browser

Die App legt in deinem Browser nur die folgenden Einträge ab. Bei jedem steht, wozu er dient und warum er für die Funktion erforderlich ist, die du ausdrücklich nutzt (§ 25 Abs. 2 Nr. 2 TDDDG):

• Anmeldedaten von Auth0 im lokalen Speicher (localStorage) von app.poker-studio.org: Zugangs-Token (gültig 10 Stunden), ID-Token und Refresh-Token sowie ein Cookie, das nur anzeigt, ob du angemeldet bist. Zweck: Du bleibst angemeldet, ohne dich bei jedem Aufruf neu anzumelden. Der Refresh-Token gilt höchstens 30 Tage und verfällt schon nach 15 Tagen ohne Nutzung. Beim Abmelden werden diese Daten entfernt.
• Für den Anmeldevorgang speichert Auth0 vorübergehend technische Transaktionsdaten im sessionStorage, insbesondere Sicherheitswerte zur Zuordnung und Absicherung der Anmeldung. Zweck: Schutz der Anmeldung vor untergeschobenen Antworten. Sie werden gelöscht, sobald die Anmeldung abgeschlossen ist oder du den Tab schließt.
• Auf der Anmeldeseite (pokerstudio.eu.auth0.com) setzt Auth0 eigene Cookies für die Anmeldesitzung und zum Schutz der Anmeldung. Zweck: Du musst dein Passwort nicht bei jeder Anmeldung neu eingeben. Die Sitzung endet nach 3 Tagen ohne Nutzung, spätestens nach 7 Tagen.
• Das Design (hell/dunkel) nur nach deiner Wahl: Bis du das Design selbst umschaltest, gilt die Voreinstellung, ohne dass etwas gespeichert wird. Zweck: Deine Wahl gilt auch beim nächsten Besuch.
• Einstellungen der Handliste und des Replayers, Sitz-Layouts sowie der Anzeigename und die Social-Links, die du für geteilte Hände einträgst. Zweck: Deine eigenen Einstellungen bleiben erhalten.
• Filter und gespeicherte Filterprofile der Handliste. Zweck: Die Handliste zeigt beim nächsten Aufruf die Auswahl, die du zuletzt eingestellt oder als Profil gespeichert hast.
• Trainer: die laufende Trainingsrunde, deine Trainer-Optionen und die Warteschlangen mit Antworten aus dem Training, den Lernkarten und dem Equity-Training, die noch nicht an meinen Server übertragen sind. Zweck: Keine Antwort geht verloren, wenn die Verbindung abbricht; jede Antwort wird aus der Warteschlange entfernt, sobald mein Server sie bestätigt hat.
• Auf der Startseite das Design und ob Animationen pausiert sind, im öffentlichen Replayer die Replayer-Einstellungen (Tischdesign, Kartenstil, Abspielgeschwindigkeit), jeweils nur nach deiner Wahl. Zweck: Deine Wahl gilt auch beim nächsten Besuch.

Alles außer den Anmeldedaten bleibt, bis du es in der App änderst oder die Website-Daten in deinem Browser löschst. Die öffentlichen Seiten (Einladung, Kontakt, Impressum, Datenschutz) speichern die Sprache und ein von der Startseite übergebenes Design nur in der Adresse, nicht in deinem Browser.

10. Daten in der App

Was du in Poker Studio speicherst (importierte Hand-Historien, Notizen und Gedanken zu Händen, Ranges, Trainer-Ergebnisse, Einstellungen), verarbeite ich auf meinem Server bei Hetzner in Deutschland, um dir die Funktionen bereitzustellen (Art. 6 Abs. 1 lit. b DSGVO). Die Übertragung läuft über Cloudflare (Abschnitt 3). Ich speichere diese Daten, bis dein Konto gelöscht wird; auf deinen Wunsch lösche ich dein Konto mit allen App-Daten, eine formlose E-Mail genügt.

Daten anderer Spieler

Hand-Historien enthalten auch die Spielernamen (Screennames) deiner Mitspieler und ihre Aktionen. Diese verarbeite ich nur, damit du deine Hände ansehen und auswerten kannst, und führe sie nicht zu Profilen anderer Spieler zusammen (Art. 6 Abs. 1 lit. f DSGVO; mein berechtigtes Interesse und deines ist die Auswertung deines eigenen Spiels). Wenn du eine Hand teilst, ersetze ich jeden Spielernamen durch die Position am Tisch (zum Beispiel „BTN“) und deinen eigenen durch „Hero“; Handnummer, Tischname, Turnier-ID und Zeitpunkt der Hand kommen nicht in die geteilte Hand.

Hinweise für Mitspieler (Art. 14 DSGVO)

Dieser Absatz richtet sich an Spieler, die in den Hand-Historien anderer Nutzer vorkommen. Wenn andere Nutzer Hand-Historien hochladen, kann ich darin deinen Spielernamen und deine Spielaktionen erhalten, auch wenn du selbst kein Konto bei Poker Studio hast. Quelle sind die von diesen Nutzern bereitgestellten Hand-Historien ihres Pokerraums. Ich verarbeite diese Daten nur, damit der hochladende Nutzer seine eigenen Hände ansehen und auswerten kann (Art. 6 Abs. 1 lit. f DSGVO), und führe sie nicht zu Profilen zusammen. Die Daten bleiben so lange gespeichert wie die betreffende Hand im Konto des hochladenden Nutzers.

Du hast das Recht auf Auskunft, Widerspruch und Löschung. Schreib mir dazu über die oben genannten Kontaktdaten und nenne deinen Spielernamen und den Pokerraum; solche Anfragen bearbeite ich von Hand. Einzeln benachrichtigen kann ich dich nicht, weil ich von dir nur den Spielernamen kenne (Art. 14 Abs. 5 lit. b DSGVO); deshalb informiere ich an dieser Stelle.

11. Geteilte Hände

Teilst du eine Hand, ist sie über ihren Link für alle abrufbar, die den Link kennen. Gespeichert wird die Hand mit ersetzten Spielernamen und ohne direkte Handkennungen (Abschnitt 10), dazu die Angaben, die du beim Teilen auswählst: auf Wunsch das Ergebnis und die Karten deiner Gegner beim Showdown, deine Gedanken zur Hand und bis zu zwei Fragen. Was du dort selbst schreibst, kann personenbezogene Angaben enthalten. Die geteilte Hand liegt in der D1-Datenbank von Cloudflare. Intern bleibt der Link deinem Konto zugeordnet: Auf meinem Server speichere ich, welche deiner Hände du unter welchem Link geteilt hast, und Cloudflare speichert dafür eine pseudonyme Eigentümerkennung. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Die geteilte Hand bleibt gespeichert, bis du den Link löschst. Beim Löschen entferne ich die aktive Freigabe und ihr Vorschaubild. In den Wiederherstellungskopien der D1-Datenbank (Time Travel von Cloudflare) können sie noch bis zu 7 Tage enthalten sein. Das Vorschaubild des Links (zum Beispiel für die Vorschau in Messengern) dürfen Browser und Zwischenspeicher bis zu 1 Jahr aufbewahren; solche Kopien bleiben nach dem Löschen des Links bis zu diesem Ablauf bestehen. Kopien, die andere bereits gespeichert oder weitergegeben haben, kann ich nicht zurückholen.

12. KI-Zugang

In den Einstellungen unter „KI-Zugang“ kannst du einem KI-Werkzeug deiner Wahl (zum Beispiel Claude, ChatGPT, Gemini oder Codex) oder einem eigenen Skript Zugriff auf dein Konto geben, etwa um Hand-Historien zu importieren, Ranges zu lesen oder zu ändern oder Trainer-Ergebnisse auszuwerten. Dafür gibt es zwei Wege:

• einen persönlichen Zugangsschlüssel (Token), den du anlegst und selbst in deinem Werkzeug einträgst; er gilt für die von dir gewählten Bereiche (Scopes) und läuft nach der von dir gewählten Frist von 1 bis 365 Tagen ab,
• eine Verbindung über OAuth: Du bestätigst den Zugriff auf einer Seite der App, und das Werkzeug erhält dafür Zugangs-Tokens, die jeweils 1 Stunde gelten; die Freigabe selbst gilt 90 Tage.

Auf deinen Auftrag stellt meine Schnittstelle dem verbundenen Werkzeug die durch deine Freigabe gedeckten Daten bereit. Bei einem lokal betriebenen Werkzeug erfolgt die Bereitstellung an dieses Werkzeug; bei einem Cloud-Dienst erhält dessen Anbieter die abgerufenen Daten. Wer Empfänger ist und in welchem Land er sitzt, ergibt sich aus dem Werkzeug, das du wählst; für die Verarbeitung dort gelten dessen Datenschutzbestimmungen. Sitzt der Anbieter außerhalb der EU, erfolgt die Übermittlung auf deine ausdrückliche Anweisung, um die von dir gewünschte Leistung zu erbringen (Art. 49 Abs. 1 lit. b DSGVO). Für diese Funktion setze ich keine eigene KI ein. Den Zugangsschlüssel oder die OAuth-Freigabe kannst du jederzeit in den Einstellungen widerrufen.

Dazu speichere ich auf meinem Server bei Hetzner in Deutschland:

• Zugangsschlüssel: nicht den Schlüssel selbst, sondern nur seinen Hashwert (SHA-256), dazu Name, Scopes, Art des Zugangs, die Zeitpunkte von Anlage, Ablauf, Rotation und Widerruf sowie einen Erkennungshinweis (die ersten sechs und die letzten zwei Zeichen). Den vollständigen Schlüssel siehst du nur einmal beim Anlegen.
• Zugriffsprotokoll: zu jedem Zugriff und jeder Verwaltungsaktion Zeitpunkt, Kennung des Zugangs, aufgerufene Funktion, Ergebnis, die gekürzte IP-Adresse (IPv4 auf /24, IPv6 auf /48), die gekürzte Kennung des aufrufenden Programms (User-Agent, höchstens 80 Zeichen) und Mengenangaben (zum Beispiel Zahl der importierten Hände), keine Inhalte. Du siehst dieses Protokoll selbst in den Einstellungen. Einträge, die älter als 90 Tage sind, löscht mein Server bei seinem täglichen Löschlauf.
• Systemprotokoll: Zu jedem Zugriff schreibt mein Server zusätzlich eine Zeile mit deiner Konto-Kennung, der Kennung des Zugangs, der aufgerufenen Funktion, Mengenangaben und bei Importen dem Dateinamen in das Systemprotokoll (journald); es wird nach 30 Tagen gelöscht.
• Zur Begrenzung der Zugriffshäufigkeit zählt mein Server Zugriffe nur im Arbeitsspeicher.

Widerrufene oder abgelaufene Zugänge funktionieren nicht mehr; ihr Eintrag bleibt in deiner Liste sichtbar. Wird dein Konto gelöscht, lösche ich alle Zugänge und das Zugriffsprotokoll mit. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Der KI-Zugang ist freiwillig; Poker Studio ist ohne ihn vollständig nutzbar.

13. Empfänger und Übermittlung in Drittländer

Deine Daten erhalten nur diese Empfänger:

• Cloudflare, Inc., USA (Auslieferung von Startseite und Web-App über Cloudflare Pages, Proxy vor der Schnittstelle, Replayer und geteilte Hände über Cloudflare Workers mit Workers-Logs und D1-Datenbank), in meinem Auftrag; bestimmte technische Netzwerk- und Sicherheitsdaten in eigener Verantwortung (Abschnitt 3). Übermittlung in die USA auf Grundlage des EU-US Data Privacy Framework (Angemessenheitsbeschluss, Art. 45 DSGVO) und der Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO). Datenschutzerklärung: www.cloudflare.com/privacypolicy, Auftragsverarbeitungsvertrag: www.cloudflare.com/cloudflare-customer-dpa.
• Hetzner Online GmbH, Deutschland (Server für Schnittstelle und App-Daten), in meinem Auftrag.
• ALL-INKL.COM – Neue Medien Münnich, Deutschland (Postfach und E-Mail-Versand), in meinem Auftrag.
• Okta, Inc. (Auth0), USA, Mandant in der EU-Region (Registrierung und Anmeldung), in meinem Auftrag. Soweit Daten in die USA gelangen: EU-US Data Privacy Framework (Art. 45 DSGVO) und Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO). Datenschutzerklärung: www.okta.com/legal/privacy-policy.
• Google, nur wenn du dich mit Google anmeldest: Google Ireland Limited, Irland, in eigener Verantwortung. Google übermittelt Daten auch an Google LLC, USA, auf Grundlage des EU-US Data Privacy Framework (Art. 45 DSGVO). Datenschutzerklärung: policies.google.com/privacy.
• Discord, nur wenn du Discord verbindest: Discord Netherlands BV, Niederlande, und Discord Inc., USA, in eigener Verantwortung. Übermittlung in die USA auf Grundlage des EU-US Data Privacy Framework (Art. 45 DSGVO) bzw. der Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO). Datenschutzerklärung: discord.com/privacy.
• Alle, die den Link einer von dir geteilten Hand kennen (Abschnitt 11).
• Die KI-Werkzeuge, die du selbst verbindest, bei einem Cloud-Dienst dessen Anbieter, mit den Daten, die sie über deinen Zugang abrufen; Empfänger, Land und Grundlage der Übermittlung (Art. 49 Abs. 1 lit. b DSGVO) siehe Abschnitt 12.

Darüber hinaus gebe ich deine Daten nur weiter, wenn ich gesetzlich dazu verpflichtet bin.

Informationen zu den jeweils eingesetzten Übermittlungsgarantien und eine Kopie der einschlägigen Garantien erhältst du auf Anfrage über die oben genannten Kontaktdaten.

14. Speicherdauer im Überblick

• Zugriffsprotokolle des Webservers (nginx): 14 Tage.
• Systemprotokoll des Servers (journald): 30 Tage.
• Sicherungen vor Updates auf dem Server: höchstens 31 Tage.
• Workers-Logs bei Cloudflare: 3 Tage.
• Anmeldeprotokolle bei Auth0: Auth0 löscht sie nach 1 Tag.
• Refresh-Token von Auth0 in deinem Browser: 30 Tage, verfällt schon nach 15 Tagen ohne Nutzung.
• Anmeldesitzung bei Auth0: endet nach 3 Tagen ohne Nutzung, spätestens nach 7 Tagen.
• Nicht bestätigte Beta-Anfragen: 7 Tage (stündliche Bereinigung).
• Beta-Anfragen: bis zum Ende der Beta-Phase, spätestens 12 Monate nach der Anfrage (täglicher Löschlauf).
• Liste der Beta-Mitglieder (E-Mail-Adresse, Konto-Kennung): solange die Mitgliedschaft besteht.
• E-Mails zu Beta-Anfragen im Postfach [email protected]: bis die Anfrage abgeschlossen ist, spätestens 12 Monate.
• Kontaktnachrichten: bis die Anfrage erledigt ist, spätestens 12 Monate.
• IP-Adressen für die Begrenzung der Anfragen: nur im Arbeitsspeicher, es zählt nur die letzte Stunde.
• Konto und App-Daten (auch bei Auth0): bis dein Konto gelöscht wird.
• Zugriffsprotokoll des KI-Zugangs: 90 Tage (täglicher Löschlauf).
• Geteilte Hände: bis du den Link löschst; in Wiederherstellungskopien der D1-Datenbank bis zu 7 weitere Tage; Vorschaubilder in Zwischenspeichern bis zu 1 Jahr.
• Daten von Mitspielern in Hand-Historien: solange die Hand im Konto des hochladenden Nutzers liegt.
• Daten in deinem Browser: siehe Abschnitt 9.

15. Deine Rechte

Du hast das Recht auf

• Auskunft über deine gespeicherten Daten (Art. 15 DSGVO),
• Berichtigung unrichtiger Daten (Art. 16 DSGVO),
• Löschung (Art. 17 DSGVO) und Einschränkung der Verarbeitung (Art. 18 DSGVO),
• Datenübertragbarkeit (Art. 20 DSGVO),
• Widerspruch (Art. 21 DSGVO, Abschnitt 16).

Eine formlose E-Mail an [email protected] oder eine Nachricht über das Kontaktformular genügt.

16. Widerspruchsrecht

Du kannst jederzeit aus Gründen, die sich aus deiner besonderen Situation ergeben, der Verarbeitung deiner Daten widersprechen, die ich auf Art. 6 Abs. 1 lit. f DSGVO stütze (Art. 21 Abs. 1 DSGVO). Das betrifft vor allem die Server- und Zugriffsprotokolle, den Spamschutz und die Begrenzung der Anfragen, die Beantwortung von Kontaktnachrichten außerhalb deiner Beta-Teilnahme und die Daten anderer Spieler in Hand-Historien. Ich verarbeite die Daten dann nicht mehr, es sei denn, ich kann zwingende schutzwürdige Gründe nachweisen, die deine Interessen, Rechte und Freiheiten überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen. Eine formlose E-Mail an [email protected] genügt.

17. Beschwerde bei einer Aufsichtsbehörde

Du kannst dich bei einer Datenschutz-Aufsichtsbehörde beschweren, insbesondere in dem Mitgliedstaat deines Aufenthaltsorts, deines Arbeitsplatzes oder des mutmaßlichen Verstoßes (Art. 77 DSGVO). Für mich zuständig ist:

18. Keine automatisierte Entscheidung

Über Beta-Anfragen entscheide ich selbst. Eine automatisierte Entscheidung oder Profiling im Sinne von Art. 22 DSGVO findet nicht statt.