Datenschutzerklärung

Verantwortlicher und Kontakt

Julian Roth

Rathausstr. 7
76228 Karlsruhe

E-Mail: j.roth+ca_datenschutz(at)kaosnetz.de

Website und Hosting

Beim Besuch der Website verarbeiten wir deine IP-Adresse, den Zeitpunkt des Zugriffs, die angefragte Seite, den Antwortstatus und technische Browserinformationen. Diese Daten benötigen wir, um die Website auszuliefern, Störungen zu beheben und Angriffe zu erkennen.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt in der sicheren und zuverlässigen Bereitstellung des Angebots.

Hostinganbieter: Hetzner Online GmbH

Verarbeitungsorte: Deutschland, Rechenzentrumsstandorte Nürnberg/Falkenstein. Die Anwendung und PostgreSQL-Datenbank werden auf einem Hetzner-KVM-Server betrieben.

Der Hostinganbieter und die mit Betrieb und Wartung betrauten Personen erhalten im erforderlichen Umfang Zugang zu Verbindungsdaten und gespeicherten Anwendungsdaten.

Aufbewahrung der Serverprotokolle: Nginx-Protokolle werden täglich rotiert; es werden maximal 14 rotierte Archive vorgehalten. Das persistente systemd-Journal einschließlich Gunicorn-Protokollen ist auf maximal 14 Tage und 512 MB begrenzt; Journaldateien werden spätestens täglich rotiert. Rsyslog wird täglich rotiert und hält maximal 14 Archive vor. Andere Systemdienste können abweichende Rotationsregeln besitzen.

Benutzerkonto und Anmeldung

Für ein neues Konto benötigen wir einen Benutzernamen, eine E-Mail-Adresse und ein Passwort. Wir speichern das Passwort als Prüfwert (Hash), außerdem deine Kontokennung, den Aktivierungs- und Berechtigungsstatus, Anmeldezeitpunkte sowie deine persönlichen Einstellungen. Diese Angaben dienen der Kontoverwaltung und der Zuordnung deiner Spielinhalte.

Zur Bestätigung deiner E-Mail-Adresse verarbeiten wir die Adresse, den Bestätigungsstatus, einen einmaligen Prüfbezug und den Versandzeitpunkt. Der Bestätigungslink ist 24 Stunden gültig. Du kannst dich auch ohne vorherige Bestätigung deiner E-Mail-Adresse anmelden.

Wenn du dein Passwort zurücksetzt, verarbeiten wir deine E-Mail-Adresse und einen einmalig verwendbaren Wiederherstellungslink. Dieser ist 24 Stunden gültig. Eingegebene Passwörter werden auch zur Prüfung der Passwortanforderungen verarbeitet.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO: Wir verarbeiten die Angaben zur Bereitstellung des von dir angeforderten Benutzerkontos einschließlich seiner Wiederherstellung. Ohne die bei der Registrierung erforderlichen Angaben kannst du kein neues Konto anlegen.

Passkeys und Zwei-Faktor-Anmeldung

Passkeys: Wenn du einen Passkey einrichtest, speichern wir dessen Bezeichnung, öffentliche Anmeldedaten und Kennung, Geräte- und Transportmerkmale, Sicherungsstatus, Nutzungszähler sowie Erstellungs- und letzte Nutzungszeit. Bei der Einrichtung werden dein Benutzername, gegebenenfalls dein Anzeigename und eine Kontokennung an den von dir gewählten Authenticator oder Passwortmanager übergeben. Private Schlüssel und biometrische Merkmale erhalten wir nicht.

Zwei-Faktor-Anmeldung: Bei Aktivierung speichern wir ein verschlüsseltes Authentifizierungsgeheimnis, den Aktivierungsstatus und -zeitpunkt sowie Prüfwerte deiner Wiederherstellungscodes mit Erstellungs- und Verbrauchszeitpunkten. Der Einrichtungs-QR-Code enthält das Geheimnis und deine E-Mail-Adresse oder deinen Benutzernamen als Kontobezeichnung. Du überträgst diese Angaben an deine gewählte Authenticator-App.

Beide Anmeldeoptionen sind freiwillig. Rechtsgrundlagen sind Art. 6 Abs. 1 lit. b DSGVO für die gewünschte Funktion und Art. 6 Abs. 1 lit. f DSGVO für unser berechtigtes Interesse am Schutz deines Kontos. Die serverseitigen Angaben verarbeiten wir im Rahmen des Hostingbetriebs. Eine Synchronisation durch deinen Geräte-, Authenticator- oder Passwortmanageranbieter richtet sich nach dem von dir gewählten Dienst.

Passkey-Daten bleiben bis zur Entfernung des Passkeys oder zur Kontolöschung gespeichert. Daten zur Zwei-Faktor-Anmeldung werden bei deren Deaktivierung oder bei Kontolöschung entfernt. Wiederherstellungscodes bleiben bis zu ihrer Erneuerung, der Deaktivierung oder der Kontolöschung gespeichert; ihr Verbrauch allein löscht den Prüfwert nicht.

Spielinhalte und gemeinsame Nutzung

Wir speichern die von dir eingegebenen Charakterwerte, Inventare, Gegenstandsübergaben, Lern- und Spielhistorien, Kalenderdaten, Tagebucheinträge, Freitexte, Vorlagen und Bilder. Bei der Nutzung von Spielgruppen kommen Gruppen, Rollen, Einladungen, Nachrichten, Tabellen, Spielleiternotizen und gemeinsam verwendete Karten hinzu. Diese Inhalte sind deinem Konto zugeordnet; Freitexte und Bilder können auch Angaben über andere Personen enthalten.

Die eigene Charakterverwaltung steht dir über dein Konto zur Verfügung. Bei der Suche nach Übergabeempfängern und bei Gruppeneinladungen sehen andere angemeldete Nutzer Charakternamen, Rasse und den zugehörigen Benutzernamen. Berechtigte Gruppenmitglieder, Gruppenleitungen, Spielleiter und Übergabebeteiligte erhalten Zugang zu den jeweils gemeinsam genutzten Inhalten und Historien. Inhalte können dabei auch von anderen Spielbeteiligten stammen.

Hochgeladene Bilder sind über ihre Dateiadresse auch ohne Anmeldung abrufbar. Verwende deshalb keine vertraulichen Bilder oder personenbezogenen Inhalte, zu deren Veröffentlichung du nicht berechtigt bist.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO für die von dir gewünschten Verwaltungs- und Zusammenarbeitsfunktionen. Freitexte, Bilder und gemeinsame Spielfunktionen nutzt du freiwillig. Für die Charakterverwaltung benötigen wir keine sensiblen Angaben über die Gesundheit, Religion oder andere persönliche Lebensbereiche realer Personen.

Schutz vor unberechtigten Zugriffen

Zum Schutz deiner Daten protokollieren wir sicherheitsrelevante Vorgänge: Anmeldungen und zuordenbare Fehlversuche, Änderungen von Passwort und E-Mail-Adresse, Änderungen an Passkeys und Zwei-Faktor-Anmeldung, Sitzungsbeendigungen sowie Deaktivierungs- und Löschanfragen. Die Einträge enthalten Kontobezug, Ereignisart, Zeitpunkt, IP-Adresse, eine grobe Browser- und Betriebssystemangabe sowie ergänzende Angaben wie eine Passkey-Bezeichnung oder die Zahl beendeter Sitzungen.

Zur Begrenzung missbräuchlicher Anmeldeversuche verarbeiten wir außerdem Benutzernamen, IP-Adressen, Browser- und Anfrageinformationen, Zeitpunkte, Versuchszähler und Sperrzeiten. Dabei verwenden wir auch aus IP- und Kontobezügen abgeleitete Kennungen. Auffällige Zugriffe werden in Sicherheitsprotokollen festgehalten. Automatische Prüfungen können weitere Versuche vorübergehend sperren; bei einer unzutreffenden Sperre kannst du uns um Prüfung bitten.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse besteht darin, Kontoübernahmen und automatisierten Missbrauch zu verhindern und die Sicherheit des Angebots zu erhalten. Zugriff haben die zuständigen Administratoren; deine angezeigte Kontoaktivität kannst du selbst einsehen.

Konto-Sicherheitsereignisse, die älter als 365 Tage sind, werden bei der nächsten Bereinigung gelöscht. Die Bereinigung wird derzeit durch neue sicherheitsrelevante Kontovorgänge ausgelöst. Bis dahin können ältere Einträge weiterhin gespeichert bleiben.

Weitere Anmelde- und Schutzprotokolle: Das systemseitige Authentifizierungsprotokoll auth.log wird täglich rotiert; es werden maximal 14 rotierte Archive vorgehalten.

Cookies und Browserspeicher

Anmeldung: Das Cookie sessionid ordnet deinen Browser einer Sitzung zu. Darin verwalten wir deine Anmeldung, laufende Sicherheitsprüfungen und vorübergehende Spielwerte. Die Laufzeit beträgt 14 Tage und kann bei Änderungen der Sitzung erneuert werden. Durch Abmeldung oder Beendigung einer Sitzung wird deren Zugang ungültig.

Formularschutz: Das Cookie csrftoken schützt Formulare und Änderungsanfragen vor unbefugten Zugriffen. Seine Laufzeit beträgt 364 Tage und kann bei Nutzung erneuert werden.

Dauerhafte lokale Speicherung (LocalStorage): Dein Browser speichert Fensterpositionen, Größen, Sichtbarkeit, Kartenanordnung, Auswahlzustände, Einstellungen des Kampfberechners, Würfelmodifikatoren und die letzten bis zu zehn Schnellslot-Würfe einschließlich Bezeichnungen und Ergebnissen. Auf dem Gerät gespeicherte Tagebuchinhalte werden bei ihrer Übernahme in das Benutzerkonto an uns übertragen. Schnellslot-Anordnungen werden auch in deinem Konto gespeichert. Lokale Daten bleiben bis zum Überschreiben oder Löschen der Websitedaten erhalten, auch nach Abmeldung oder Kontolöschung.

Speicherung für einen Browser-Tab (SessionStorage): Aktive Ansichten, Zauberfilter, Zwischenauswahlen im Spielleiterschirm und Schadensanzeigen bleiben für die jeweilige Tab-Sitzung erhalten. Eine Wiederherstellung von Tabs durch den Browser kann diese Speicherung verlängern.

Die Cookies für Anmeldung und Formularschutz sind für die angeforderten Funktionen technisch erforderlich; diese Speicherzugriffe beruhen auf § 25 Abs. 2 Nr. 2 TDDDG. Personenbezogene Daten zur Bereitstellung deines Kontos verarbeiten wir nach Art. 6 Abs. 1 lit. b DSGVO, zum Schutz vor unberechtigten Zugriffen nach Art. 6 Abs. 1 lit. f DSGVO.

Die beschriebenen lokalen Anzeigeeinstellungen und Spielzustände werden beim Aufrufen oder Bedienen der jeweiligen Funktion automatisch gelesen beziehungsweise gespeichert. Die dauerhafte Wurfhistorie und reine Anzeigepräferenzen sind für einzelne Würfe und die aktuelle Darstellung nicht technisch erforderlich und benötigen grundsätzlich eine vorherige Einwilligung. Eine solche Einwilligungsabfrage gibt es derzeit nicht. Diese Speicherzugriffe dienen der Wiederherstellung deiner Oberfläche und Spielbedienung; Werbe- oder Reichweitenmessung findet dadurch nicht statt.

Du kannst Cookies und Websitedaten in deinen Browsereinstellungen löschen oder blockieren. Dabei gehen lokale Einstellungen verloren; ohne erforderliche Cookies sind Anmeldung und Formulare nicht nutzbar. Andere Personen mit Zugriff auf dasselbe Browserprofil können dort gespeicherte Daten einsehen.

Schriftarten

Diese Website verwendet lokal bereitgestellte Schriftarten. Beim Laden dieser Schriftarten wird keine Verbindung zu externen Schriftartenanbietern hergestellt.

E-Mail und Kontaktanfragen

Kontomails dienen ausschließlich der Registrierung, E-Mail-Verifizierung und Passwortwiederherstellung. Dafür verwenden wir deine E-Mail-Adresse zum Versand von Bestätigungslinks und von dir angeforderten Links zur Passwortwiederherstellung. Dabei werden Empfängeradresse, Absender, Betreff, Nachrichteninhalt und Zustellinformationen verarbeitet. Rechtsgrundlage ausschließlich für den erforderlichen Versand und die Zustellung dieser Kontomails ist Art. 6 Abs. 1 lit. b DSGVO. Diese Angabe gilt nicht für zusätzliche Öffnungs- oder Klickauswertungen.

E-Mail-Dienst: Brevo – SMTP-Dienstleister für transaktionale System-E-Mails, insbesondere E-Mail-Verifizierung und Passwort-Zurücksetzung.

Empfänger und Verarbeitungsorte: Brevo nutzt nach Anbieterangaben Hosting-Infrastruktur in Frankreich und Deutschland sowie Google-Cloud-Infrastruktur in Belgien. Weitere Unterauftragsverarbeiter ergeben sich aus den Vertragsunterlagen von Brevo.

Speicherdauer: Transaktionsprotokolle werden bei Brevo nach einem Monat automatisch gelöscht. Die Aufbewahrungsregel gilt für sämtliche Absender. Vorschauen von Transaktions-E-Mails werden nicht gespeichert.

Öffnungs- und Klickauswertung: Zur technischen Überwachung der Zustellbarkeit unserer Transaktions-E-Mails verwendet Brevo eine anonymisierte Öffnungs- und Klickstatistik. Die Auswertungen werden nicht einzelnen Empfängern zugeordnet und dienen ausschließlich der Überprüfung des E-Mail-Versands. Eine personenbezogene Auswertung des Öffnungs- und Klickverhaltens findet nicht statt. Rechtsgrundlage für die Verarbeitung erforderlicher Zustellinformationen ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse besteht in der zuverlässigen Zustellung und technischen Überwachung unserer System-E-Mails.

Beim Laden des Logos einer Kontomail stellt dein E-Mail-Programm oder dessen Bildproxy eine Verbindung zu unserem Server her. Dabei fallen die im Abschnitt Website und Hosting beschriebenen Verbindungsdaten an.

Wenn du uns kontaktierst, verarbeiten wir deine Absender- und Kontaktdaten sowie den Inhalt und etwaige Anlagen zur Bearbeitung deiner Anfrage. Grundlage ist Art. 6 Abs. 1 lit. b DSGVO bei Anfragen zur Kontonutzung; bei anderen Anliegen Art. 6 Abs. 1 lit. f DSGVO aufgrund unseres berechtigten Interesses an deren Beantwortung. Zugang erhalten die zuständigen Ansprechpartner und beteiligten E-Mail-Dienstleister.

Kontaktpostfach und Aufbewahrung: Rechtliche und datenschutzbezogene Kontaktanfragen werden über die angegebene E-Mail-Adresse bearbeitet. Nachrichten werden für die Bearbeitung des jeweiligen Anliegens aufbewahrt und anschließend gelöscht, soweit keine gesetzlichen Aufbewahrungspflichten oder berechtigten Gründe für eine weitere Speicherung bestehen.

Freiwillige DDDice-Anbindung

Du kannst DDDice für die externe Darstellung deiner Würfe freiwillig aktivieren und mit deinen eigenen Zugangsdaten einrichten. Wir speichern dafür deinen API-Schlüssel, die Raumkennung, gegebenenfalls das Raumpasswort und das gewählte Würfelset in deinem Konto. Bei aktiver und vollständig eingerichteter Anbindung baut dein Browser bereits beim Öffnen des Charakterbogens eine Verbindung zu DDDice auf. Auch das Abrufen von Würfelsets in den Einstellungen verbindet dich mit dem Dienst.

DDDice erhält Verbindungs- und Browserdaten, die Authentifizierung und Rauminformationen sowie bei Würfen Würfelwerte, Würfelset und Ergebnisbezeichnung. Über deinen API-Schlüssel kann DDDice die Vorgänge deinem dortigen Konto zuordnen. Andere Raumteilnehmer können die Würfe sehen. Wir verarbeiten diese Angaben zur Bereitstellung der von dir gewünschten Würfeldarstellung nach Art. 6 Abs. 1 lit. b DSGVO.

Die für diese Anbindung geladene Software greift außerdem auf lokale Diagnoseeinstellungen zu und kann die zuletzt erfolgreiche Verbindungsart mit Zeitpunkt und Verbindungsdauer im Browser speichern. Diese Angaben dienen der Diagnose und dem erneuten Verbindungsaufbau.

Anbieter ist The 3D Dice Company LLC. Wir verantworten die Speicherung deiner Anbindungseinstellungen und die durch unsere Anwendung ausgelöste Übermittlung. Für dein dortiges Konto und die Verarbeitung innerhalb seines Dienstes ist DDDice selbst verantwortlich. DDDice verarbeitet personenbezogene Daten nach seiner Datenschutzerklärung in den USA. Dort findest du auch Kontaktmöglichkeiten zur Ausübung deiner Rechte gegenüber DDDice und Informationen zur Verarbeitung durch diesen Dienst.

Du kannst die Anbindung ausschalten und die gespeicherten Zugangsdaten entfernen. Die Zugangsdaten bleiben bis zu ihrer Entfernung oder Kontolöschung gespeichert; Ausschalten allein löscht sie nicht. Externe Räume und Wurfdaten bei DDDice werden dadurch nicht gelöscht. Die lokale Würfelfunktion kannst du ohne DDDice verwenden.

Dienstleister und internationale Übermittlungen

Empfänger und Auftragsverarbeitung: Hetzner ist Dienstleister für Hosting, Serverinfrastruktur und automatische Backups. Brevo verarbeitet Empfänger- und Versanddaten als E-Mail-Dienstleister; der Auftragsverarbeitungsvertrag ist Bestandteil der Brevo-Nutzungsbedingungen.

Übermittlungen außerhalb des Europäischen Wirtschaftsraums und Schutzmaßnahmen: Das Hosting der Anwendung erfolgt in Deutschland. Brevo nutzt europäische Hosting-Standorte; mögliche weitere Verarbeitungen durch Unterauftragsverarbeiter richten sich nach den Vertrags- und Datenschutzregelungen des Anbieters. Administrative Discord-Benachrichtigungen werden an Discord übermittelt und können außerhalb des Europäischen Wirtschaftsraums verarbeitet werden.

Informationen zu den dich betreffenden Empfängern und gegebenenfalls eine Kopie anwendbarer Übermittlungsgarantien kannst du über die oben angegebenen Kontaktwege anfordern.

Speicherung, Löschung und Export

Kontodaten bleiben für die Dauer der Kontonutzung gespeichert, Spielinhalte bis zu ihrer Löschung. Eine Deaktivierung sperrt die Anmeldung und beendet aktive Sitzungen, erhält aber die gespeicherten Daten. Auch archivierte Charaktere und Gruppen bleiben gespeichert.

Du kannst die dauerhafte Kontolöschung in deinen Kontoeinstellungen mit deinem aktuellen Passwort und einer ausdrücklichen Bestätigung anfordern. Nach erfolgreicher Kontolöschung werden auch die zu deinem Konto gehörenden hochgeladenen Bilder vollständig aus dem aktiven Speicher gelöscht. Gemeinsame Gruppenrollen, Einladungen, Übergaben oder Eigentumshistorien können eine gesonderte Bearbeitung erfordern. Für diese Fälle kannst du uns über die Kontaktadresse um Löschung oder Anonymisierung bitten.

Unbestätigte und inaktive Konten sowie gemeinsame Spielhistorien werden nicht allein wegen ausbleibender Nutzung automatisch gelöscht. Soweit eine weitere Speicherung zur Erfüllung einer gesetzlichen Pflicht oder zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich ist, erfolgt die Löschung nach Wegfall dieses Grundes.

Über den Datenexport kannst du Kontobasisdaten und eigene Charakterdaten herunterladen. Lokale Browserdaten und Daten bei selbst gewählten externen Diensten löschst du zusätzlich dort.

Sicherungskopien

Sicherungskopien dienen der Wiederherstellung nach Datenverlust oder Störungen. Die Verarbeitung beruht auf Art. 6 Abs. 1 lit. f DSGVO und unserem berechtigten Interesse an der Verfügbarkeit und Wiederherstellbarkeit deiner Daten.

Hetzner erstellt täglich automatische Serversicherungen. Es werden sieben rotierende Backup-Versionen vorgehalten. Ältere automatische Sicherungen werden durch neue Versionen ersetzt. Gelöschte Daten können bis zur Überschreibung der jeweiligen Sicherung weiterhin in Backups enthalten sein. Zusätzlich können manuelle Snapshots erstellt werden; diese unterliegen nicht der automatischen Rotation der sieben Backups.

Entwicklungs- und Testumgebungen

Produktionsdaten werden durch die Anwendung nicht automatisch in Entwicklungs- oder Testumgebungen kopiert. Entwicklungs- und Testinstallationen werden gesondert betrieben.

Administrative Betriebsdienste

Discord-Webhook
Für technische Serverwartungsbenachrichtigungen wird ein Discord-Webhook verwendet. Übermittelt werden Hostname, Datum und Uhrzeit, Wartungs- und Neustartdauer, Neustartstatus sowie gegebenenfalls Fehler-Exit-Codes. Die HTTPS-Verbindung übermittelt außerdem die öffentliche Quell-IP des Servers. Die untersuchten Meldungen enthalten keine Benutzerkonten-, E-Mail- oder Charakterdaten. Empfänger ist Discord; die weitere Verarbeitung erfolgt nach den Datenschutzbestimmungen des Dienstes.

Deine Rechte

Unter den gesetzlichen Voraussetzungen kannst du Auskunft und eine Kopie deiner personenbezogenen Daten, Berichtigung, Löschung, Einschränkung der Verarbeitung und Datenübertragbarkeit verlangen (Art. 15–20 DSGVO). Nutze dafür die oben angegebenen Kontaktwege. Zur sicheren Zuordnung einer Anfrage können wir erforderliche Angaben zur Identitätsbestätigung erbitten. Wir beantworten Anfragen grundsätzlich innerhalb eines Monats; über eine gesetzlich zulässige Verlängerung informieren wir dich mit Begründung.

Widerspruchsrecht: Wenn wir Daten aufgrund berechtigter Interessen nach Art. 6 Abs. 1 lit. f DSGVO verarbeiten, kannst du aus Gründen deiner besonderen Situation jederzeit widersprechen. Wir beenden die Verarbeitung, sofern keine zwingenden schutzwürdigen Gründe überwiegen oder die Verarbeitung der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen dient (Art. 21 DSGVO).

Eine erteilte Einwilligung kannst du jederzeit für die Zukunft widerrufen. Die Rechtmäßigkeit der Verarbeitung bis zum Widerruf bleibt unberührt.

Du kannst dich bei einer Datenschutzaufsichtsbehörde beschweren, insbesondere an deinem Aufenthaltsort, Arbeitsplatz oder am Ort des vermuteten Verstoßes (Art. 77 DSGVO). Eine Übersicht bietet die Liste der deutschen Datenschutzaufsichtsbehörden.

Bei der Kontoverwaltung treffen wir keine ausschließlich automatisierten Entscheidungen mit rechtlicher oder ähnlich erheblicher Wirkung im Sinne von Art. 22 DSGVO.