Datenschutzerklärung

1. Verantwortlicher

Verantwortlich im Sinne der DSGVO

Survivor Competitions UG (haftungsbeschränkt) i.G.

Anschrift

Ringstraße 23, 61169 Friedberg

Vertreten durch

Dirk Raczkowski

Kontakt

Info@touchdown-survivor.com

2. Welche Daten verarbeitet werden

Konto

Bei der Registrierung werden Vorname, Nachname, ein Anzeigename, E-Mail-Adresse, Land und Geburtsjahr erhoben. Das Passwort wird ausschließlich als kryptografischer Hash gespeichert, nie im Klartext. Dazu kommen der Zeitpunkt der Registrierung und der Zeitpunkt der E-Mail-Bestätigung.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO — ohne Konto ist das Spiel nicht nutzbar. Das Geburtsjahr dient der Alterskontrolle, das Land der korrekten Anzeige von Anstoßzeiten.

Zustimmung zu den Nutzungsbedingungen

Bei der Registrierung und bei jeder erneuten Zustimmung zu einer geänderten Fassung der Nutzungsbedingungen werden das Konto, die Version der Bedingungen, der Zeitpunkt und eine gekürzte IP-Adresse (letzter Block entfernt) gespeichert. Das ist der Nachweis, dass und welcher Fassung zugestimmt wurde.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b und f DSGVO — Nachweis der Einbeziehung der Vertragsbedingungen.

Spielbetrieb

Zugehörigkeit zu Ligen, ein je Liga frei wählbarer Anzeigename (in der öffentlichen Liga stattdessen der Anzeigename des Kontos), die wöchentlich abgegebenen Picks, Platzierungen, Serien und die Einträge in der Hall of Fame. Dazu kommt ein Aktivitäten-Verlauf der eigenen Ligen (etwa „Wettbewerb angelegt“, „Mitglied beigetreten“), der den Mitgliedern im Dashboard angezeigt wird. Innerhalb einer Liga sind diese Angaben für die übrigen Mitglieder sichtbar — das ist der Zweck des Spiels. Fremde Picks der laufenden Week bleiben bis zum Ablauf der Abgabefrist verborgen. Eine Weitergabe an Dritte findet nicht statt.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

Öffentliche Liga

Es gibt eine öffentliche Liga, in der grundsätzlich alle Konten Mitglied sind. Nach der Bestätigung der E-Mail-Adresse wird ein Konto automatisch Mitglied dieser Liga und Teilnehmer ihrer Wettbewerbe, deren Abgabefrist für die Startwoche noch nicht verstrichen ist; dasselbe geschieht, wenn dort ein neuer Wettbewerb entsteht. Sichtbar ist für die übrigen Mitglieder ausschließlich der Anzeigename — niemals der Vor- und Nachname. Ist kein Anzeigename gesetzt, wird der Vorname angezeigt.

Die automatische Teilnahme lässt sich jederzeit abwählen („Mein Konto“ in Web und Apps). Ab dann kommt keine neue Teilnahme mehr dazu; bereits bestehende Teilnahmen bleiben und lassen sich bis zur ersten Abgabefrist des jeweiligen Wettbewerbs einzeln beenden. Die öffentliche Liga kann außerdem jederzeit verlassen und wieder betreten werden; ein Austritt wählt die automatische Teilnahme mit ab.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO — die öffentliche Liga ist Teil der angebotenen Leistung; Art. 6 Abs. 1 lit. f DSGVO für die automatische Aufnahme, der jederzeit widersprochen werden kann.

Anmeldung und Sitzung

Nach der Anmeldung wird ein Sitzungs-Cookie gesetzt. Es enthält ausschließlich einen zufälligen Token; in der Datenbank liegt davon nur ein Hash. Das Cookie ist httpOnly (für Skripte nicht lesbar), SameSite=Lax und wird im Betrieb nur über HTTPS übertragen. Es ist technisch notwendig und wird deshalb ohne Einwilligung gesetzt.

Daneben verwendet die Anwendung zwei weitere funktionale Cookies, beide ohne Tracking und ohne Weitergabe an Dritte: Wer das Erscheinungsbild (hell/dunkel) umstellt, dessen Wahl wird in einem Cookie (fl-theme, Laufzeit ein Jahr) gespeichert, damit sie beim nächsten Besuch erhalten bleibt. Und wer einen Einladungslink öffnet, ohne angemeldet zu sein, dessen Einladung wird in einem Cookie (pending_invite, httpOnly, Laufzeit 14 Tage) zwischengespeichert, damit sie nach Registrierung oder Anmeldung eingelöst werden kann.

Weitere Cookies setzt die Anwendung nicht — insbesondere keine Cookies zu Werbe-, Analyse- oder Trackingzwecken; auch die unten beschriebene Reichweitenmessung kommt ohne Cookie aus. Da alle drei genannten Cookies für den vom Nutzer gewünschten Dienst erforderlich sind (§25 Abs. 2 Nr. 2 TDDDG), ist keine Einwilligung nötig; deshalb gibt es auch kein Cookie-Banner. Im Browser wird zusätzlich eine einzelne Anzeige-Einstellung des Pick-Boards („alle Spieler anzeigen“) lokal gespeichert; sie verlässt das Gerät nicht.

Rechtsgrundlage: §25 Abs. 2 Nr. 2 TDDDG in Verbindung mit Art. 6 Abs. 1 lit. b DSGVO.

Reichweitenmessung

Um zu verstehen, welche Seiten genutzt werden, betreiben wir eine eigene, selbst gehostete Reichweitenmessung (Umami) auf demselben Server wie die Anwendung. Erfasst werden je Seitenaufruf die aufgerufene Adresse, die verweisende Seite, Browsersprache, ungefähre Bildschirmgröße sowie Land und Browsertyp; die Daten verlassen unseren Server nicht.

Die Messung setzt kein Cookie und speichert nichts auf Ihrem Gerät. Um wiederkehrende Aufrufe innerhalb eines Tages zusammenzufassen, wird aus IP-Adresse, Browserkennung und einem täglich wechselnden Zufallswert eine Prüfsumme gebildet; sie wird nicht gespeichert und lässt sich am Folgetag nicht mehr zuordnen. Die IP-Adresse selbst wird nicht gespeichert. Es entstehen keine Nutzerprofile, es findet keine geräte- oder seitenübergreifende Wiedererkennung statt, und die Messdaten werden nicht mit Ihrem Spielkonto zusammengeführt.

Die so erhobene Seitenstatistik wird nicht automatisch gelöscht, sondern ohne zeitliche Begrenzung aufbewahrt, solange wir die Messung betreiben — sie enthält keine personenbezogenen Angaben. Eine Löschung erfolgt, wenn die Messung eingestellt wird.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO — berechtigtes Interesse an einer bedarfsgerechten Gestaltung des Angebots. Eine Einwilligung nach §25 TDDDG ist nicht erforderlich, weil weder Informationen auf Ihrem Endgerät gespeichert noch von dort ausgelesen werden; deshalb gibt es auch für die Messung kein Banner.

Schutz vor Missbrauch

Um automatisierte Anmeldeversuche zu begrenzen, werden Zählerstände zu IP-Adressen gespeichert. IP-Adressen sind personenbezogene Daten. Die Einträge sind zeitlich begrenzt und verfallen automatisch.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO — berechtigtes Interesse an der Sicherheit der Konten.

Meldungen

Wer eine Liga oder einen Wettbewerb meldet (etwa wegen unzulässiger Geldeinsätze), dessen Meldung wird mit Konto, Zeitpunkt und Begründung gespeichert und ist ausschließlich für die Systemverwaltung einsehbar — nicht für die gemeldete Liga. Festgehalten wird zusätzlich, wie das Gemeldete zum Zeitpunkt der Meldung hieß und was in seiner Beschreibung stand. Diese Abschriften sind der Beleg: sie bleiben unverändert, auch wenn Name oder Beschreibung später geändert werden oder die Liga gelöscht wird. Beschreibungen schreibt der Commissioner der jeweiligen Liga; sie sind innerhalb der Liga ohnehin für alle Mitglieder sichtbar.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO — berechtigtes Interesse an einem regelkonformen Betrieb.

Kontaktaufnahme

Wer uns über das Kontaktformular schreibt, übermittelt Name, E-Mail-Adresse und Nachricht. Diese Angaben gehen als E-Mail an unser Support-Postfach und werden dort so lange aufbewahrt, wie es für die Bearbeitung der Anfrage nötig ist. In der Anwendung selbst wird die Nachricht nicht gespeichert; zur Abwehr von Missbrauch wird lediglich ein zeitlich begrenzter Zählerstand zur IP-Adresse geführt.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Beantwortung der Anfrage) und lit. f DSGVO (Missbrauchsabwehr).

E-Mails und Protokolle

Zu jeder versendeten E-Mail wird festgehalten, welcher Art sie war und wann sie an wen ging; das verhindert doppelte Erinnerungen. Sicherheits- und verwaltungsrelevante Vorgänge — Anmeldungen, Rollenänderungen, manuelle Eingriffe, Löschungen, Neuauswertungen — werden in einem Protokoll erfasst. Dieses Protokoll ist ausschließlich für die Systemverwaltung einsehbar, nicht für andere Mitspieler.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.

Server-Protokolle

Beim Aufruf der Anwendung verarbeitet der Server technisch bedingt die IP-Adresse sowie Zeitpunkt und aufgerufene Adresse der Anfrage; Webserver und Systemdienste halten solche Angaben kurzzeitig in Protokollen fest. Sie dienen dem Betrieb, der Fehlersuche und der Abwehr von Angriffen und werden nicht mit dem Spielkonto zusammengeführt oder zu anderen Zwecken ausgewertet.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO — berechtigtes Interesse an einem sicheren, funktionsfähigen Betrieb.

3. Was nicht stattfindet

Keine Trackingdienste Dritter, keine Werbenetzwerke, keine Profilbildung, keine geräte- oder seitenübergreifende Wiedererkennung, keine automatisierte Entscheidungsfindung im Sinne des Art. 22 DSGVO, keine Weitergabe oder ein Verkauf von Daten an Dritte. Die einzige Auswertung ist die oben beschriebene, selbst gehostete Reichweitenmessung ohne Cookies und ohne Personenbezug. Schriften und Bilder liegen auf demselben Server wie die Anwendung; es werden keine externen Inhalte nachgeladen, die Ihre IP-Adresse an Dritte übermitteln würden. Die Anwendung enthält keine KI-Funktionen.

4. Empfänger und Auftragsverarbeiter

Die Anwendung läuft auf einem Server in Deutschland. Neben den beiden folgenden Auftragsverarbeitern (Art. 28 DSGVO) erhalten keine Dritten personenbezogene Daten.

Mit unseren Hosting- und E-Mail-Dienstleistern bestehen bzw. werden Auftragsverarbeitungsverträge nach Art. 28 DSGVO geschlossen.

Spielplan und Ergebnisse ruft der Server bei einem öffentlichen Sportdatendienst ab. Dabei werden ausschließlich Spieldaten geholt; es werden keine Nutzerdaten übertragen.

5. Speicherdauer

Kontodaten

bis zur Löschung des Kontos

Zustimmungsnachweise

3 Jahre ab Löschung des Kontos

Server-Protokolle

14 Tage

Kontaktanfragen

12 Monate nach Abschluss der Anfrage

Sicherungskopien

14 Tage (rollierend)

Sitzungen und Bestätigungs-Token verfallen automatisch nach Ablauf ihrer Gültigkeit; die Zählerstände des Missbrauchsschutzes ebenfalls. Die Seitenstatistik der Reichweitenmessung wird ohne zeitliche Begrenzung aufbewahrt (siehe Abschnitt 3, „Reichweitenmessung“).

Picks, Platzierungen und Einträge in der Hall of Fame gehören zu den Wettbewerben der übrigen Mitglieder und bleiben deshalb erhalten — bei der Löschung Ihres Kontos werden sie anonymisiert; an die Stelle des Namens tritt „Gelöschtes Konto“. Die Einträge des System-Protokolls verweisen weiterhin auf das Konto und bleiben als Sicherheitsnachweis bestehen; die personenbezogenen Angaben des Kontos selbst werden dabei entfernt.

6. Ihre Rechte und der Löschweg

Sie haben das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21). Vorname, Nachname, Land und Geburtsjahr können Sie jederzeit selbst unter „Mein Konto“ ändern.

Löschung: Ihr Konto können Sie jederzeit selbst löschen — in Web und Apps unter „Mein Konto“, ohne Angabe von Gründen. Dabei werden Ihre personenbezogenen Angaben entfernt beziehungsweise anonymisiert; Einzelheiten und Fristen stehen unter „Speicherdauer“.

Für alle weiteren Anliegen genügt eine Nachricht an Info@touchdown-survivor.com

7. Beschwerderecht

Sie können sich bei einer Datenschutz-Aufsichtsbehörde beschweren. Zuständig ist: Der Hessische Beauftragte für Datenschutz und Informationsfreiheit, Wiesbaden

8. Änderungen

Ändert sich, welche Daten die Anwendung verarbeitet, wird diese Erklärung mit derselben Änderung angepasst.