Datenschutzerklärung
Stand: 08.09.2026. Diese Erklärung wird bei Änderungen der Verarbeitung angepasst.
1. Verantwortlicher
Verantwortlich für die Datenverarbeitung auf dieser Website ist: Maximilian Iliew Eislebener Str. 4 10789 Berlin Deutschland E-Mail: [email protected]
2. Hosting
Diese Website wird auf einem dedizierten Server der IONOS SE (Elgendorfer Str. 57, 56410 Montabaur, Deutschland) in Deutschland gehostet. IONOS verarbeitet in unserem Auftrag Server-Logfiles, die beim Aufruf der Seite technisch anfallen (u. a. IP-Adresse, Zeitstempel, abgerufene Ressource, User-Agent). Rechtsgrundlage ist unser berechtigtes Interesse am sicheren und stabilen Betrieb (Art. 6 Abs. 1 lit. f DSGVO). Mit IONOS besteht ein Vertrag zur Auftragsverarbeitung (Art. 28 DSGVO).
3. Konto, Anmeldung & Authentifizierung
Für die Nutzung von Warcodex ist ein Nutzerkonto erforderlich. Bei der Registrierung und Anmeldung verarbeiten wir: - E-Mail-Adresse, Anzeigename/Benutzername, optional ein Profilbild, - bei Registrierung per Passwort: ein kryptografisch gehashtes Passwort (bcrypt; das Klartext-Passwort wird nicht gespeichert), - eine technische Nutzer-Kennung und ggf. den Verifizierungsstatus der E-Mail. Rechtsgrundlage ist die Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO).
3a. Anmeldung über Google (OAuth)
Optional kann die Anmeldung über ein Google-Konto erfolgen. Dabei übermittelt Google LLC / Google Ireland Ltd. uns die für die Anmeldung erforderlichen Profildaten (Name, E-Mail-Adresse, ggf. Profilbild und eine Google-Konto-Kennung). Es findet ggf. eine Datenübermittlung in die USA statt. Diese ist über die Zertifizierung von Google unter dem EU-US Data Privacy Framework abgesichert; ergänzend bestehen Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO, die auch dann fortgelten, wenn die Zertifizierung entfällt. Rechtsgrundlage ist die Vertragserfüllung bzw. Ihre Einwilligung in den Login-Vorgang (Art. 6 Abs. 1 lit. b bzw. lit. a DSGVO).
3b. Schutz des Registrierungsformulars (Cloudflare Turnstile)
Um automatisierte Massenregistrierungen und Missbrauch abzuwehren, setzen wir auf der Registrierungsseite den Bot-Schutz „Turnstile“ der Cloudflare, Inc. (101 Townsend St., San Francisco, CA 94107, USA) ein. Turnstile wird ausschließlich auf den Formularseiten geladen, auf denen dieser Schutz erforderlich ist, und nicht beim übrigen Besuch der Website. Beim Laden des Prüf-Widgets baut Ihr Browser eine Verbindung zu Cloudflare auf. Dabei verarbeitet Cloudflare technische Signale, insbesondere Ihre IP-Adresse, Angaben zu Browser und Betriebssystem (User-Agent), Merkmale der Verschlüsselungsverbindung sowie die Kennung unserer Website. Inhalte, die Sie in das Formular eintippen, werden dabei nach Angaben des Anbieters nicht ausgelesen oder übertragen. Das Widget setzt in unserer Konfiguration keine Cookies; die optionale Cookie-Funktion („Pre-Clearance“) ist deaktiviert. Wir übermitteln anschließend nur das vom Widget erzeugte Prüf-Ergebnis zur Bestätigung an Cloudflare; Ihre IP-Adresse geben wir dabei nicht zusätzlich weiter. Das Prüf-Ergebnis wird nicht gespeichert und nicht Ihrem Konto zugeordnet. Rechtsgrundlage ist unser berechtigtes Interesse an der Abwehr automatisierter Angriffe und am sicheren Betrieb des Dienstes (Art. 6 Abs. 1 lit. f DSGVO). Der Zugriff auf Informationen in Ihrem Endgerät ist für die von Ihnen ausdrücklich gewünschte Registrierung unbedingt erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG). Cloudflare verarbeitet diese Signale nach eigener Darstellung teils in unserem Auftrag als Auftragsverarbeiter, teils als eigener Verantwortlicher zur Verbesserung der eigenen Bot-Erkennung. Dabei findet eine Datenübermittlung in die USA statt; Cloudflare ist unter dem EU-US Data Privacy Framework zertifiziert und stellt ergänzend Standardvertragsklauseln bereit. Einzelheiten: das Turnstile-Datenschutz-Addendum von Cloudflare. Wenn Sie den Bot-Schutz nicht nutzen möchten, können Sie uns unter [email protected] kontaktieren; eine Registrierung ohne Ausführung des Widgets ist technisch nicht möglich.
3c. Bestätigung Ihrer E-Mail-Adresse (Double-Opt-in)
Nach der Registrierung senden wir eine Bestätigungs-E-Mail an die angegebene Adresse. Sie enthält einen einmalig verwendbaren Link, mit dem Sie bestätigen, dass die Adresse Ihnen gehört. Erst danach ist eine Anmeldung möglich. Damit verhindern wir, dass Konten auf fremde E-Mail-Adressen angelegt werden, und stellen sicher, dass wir Sie bei sicherheitsrelevanten Vorgängen erreichen können. Wir speichern hierfür Ihre E-Mail-Adresse, einen kryptografischen Prüfwert des Bestätigungslinks (nicht den Link selbst), den Zeitpunkt der Erzeugung und den Ablaufzeitpunkt. Der Link ist 24 Stunden gültig. Nach der Bestätigung oder nach Ablauf wird der Prüfwert gelöscht; gespeichert bleibt nur der Zeitpunkt der erfolgreichen Bestätigung. Konten, die nicht innerhalb von 30 Tagen bestätigt werden, löschen wir automatisch vollständig. Rechtsgrundlagen sind die Vertragserfüllung beziehungsweise vorvertragliche Maßnahmen (Art. 6 Abs. 1 lit. b DSGVO) sowie unser berechtigtes Interesse und das Interesse der Inhaber fremder E-Mail-Adressen an der Verhinderung von Fremdregistrierungen (Art. 6 Abs. 1 lit. f DSGVO). Die Bestätigungs-E-Mail enthält keine Werbung. Zum Versand siehe Abschnitt 6.
3d. Nachweis der Nutzungsbedingungen und der Altersbestätigung
Bei der Registrierung akzeptieren Sie unsere Nutzungsbedingungen und bestätigen, dass Sie mindestens 16 Jahre alt sind. Um dies belegen zu können, speichern wir zu Ihrem Konto ausschließlich: den Zeitpunkt der Annahme der Nutzungsbedingungen, die Fassung (Stand-Datum) der angenommenen Nutzungsbedingungen sowie den Zeitpunkt der Altersbestätigung. Wir speichern hierfür bewusst weder Ihr Geburtsdatum noch Ihre IP-Adresse: Zeitpunkt, Fassung und Kontobezug genügen als Nachweis, alles Weitere wäre nicht erforderlich (Grundsatz der Datenminimierung, Art. 5 Abs. 1 lit. c DSGVO). Eine Alterskontrolle über Ausweis- oder Zahlungsdaten findet nicht statt. Eine Zustimmung zur Datenschutzerklärung holen wir nicht ein und können sie auch nicht einholen: die Datenschutzerklärung informiert Sie nach Art. 13 DSGVO, sie ist keine Einwilligung. Die im Dienst tatsächlich einwilligungsbasierten Vorgänge (öffentliches Profil, Teilen-Links, Rangliste, Profilbild auf der Rangliste) erteilen und widerrufen Sie gesondert in Ihren Privatsphäre-Einstellungen; siehe die Abschnitte 5a bis 5d. Rechtsgrundlage für die Nachweisspeicherung ist unser berechtigtes Interesse an der Nachweisbarkeit des Vertragsschlusses und der Altersangabe (Art. 6 Abs. 1 lit. f DSGVO) sowie die Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO). Die Nachweisdaten werden zusammen mit Ihrem Konto gelöscht.
4. Cookies & Sitzung
Wir setzen ausschließlich technisch notwendige Cookies, um Ihre Anmeldung über die Sitzungsdauer aufrechtzuerhalten (Session-Cookie, CSRF-Schutz; JWT-basierte Sitzung). Diese Cookies sind für den Betrieb erforderlich und bedürfen keiner Einwilligung (§ 25 Abs. 2 Nr. 2 TDDDG). Tracking- oder Analyse-Cookies werden derzeit nicht gesetzt. Der auf der Registrierungsseite eingesetzte Bot-Schutz setzt in unserer Konfiguration ebenfalls keine Cookies (siehe Abschnitt 3b). Angaben über Dritte. Wenn Sie ein Spiel erfassen, können Sie den Namen Ihrer Mitspielerin oder Ihres Mitspielers eintragen. Diese Angabe verarbeiten wir ausschließlich zur Führung Ihrer persönlichen Spielhistorie; Rechtsgrundlage ist unser berechtigtes Interesse an der Bereitstellung einer nachvollziehbaren Spielübersicht (Art. 6 Abs. 1 lit. f DSGVO). Die Angabe ist freiwillig, für andere Nutzerinnen und Nutzer nicht sichtbar und wird auf öffentlichen Profilseiten technisch unterdrückt: Dort erscheint der Name einer Gegenspielerin oder eines Gegenspielers nur dann, wenn diese Person selbst ein Konto hat und die Anzeige in ihren Privatsphäre-Einstellungen ausdrücklich freigegeben hat. Andernfalls wird ausschließlich die Bezeichnung „Gegner“ ausgegeben. Eine gesonderte Benachrichtigung der genannten Person ist uns mangels Kontaktdaten nicht möglich (Art. 14 Abs. 5 lit. b DSGVO); Sie können den Eintrag jederzeit selbst ändern oder entfernen. Betroffene Personen können sich unter der im Impressum genannten Adresse an uns wenden.
5. Nutzerinhalte (Sammlung, Listen, Spiele, Fotos)
Inhalte, die Sie selbst anlegen (Armeelisten, Sammlung/Pile of Shame, Spiel-Tracking, hochgeladene Fotos), speichern wir, um Ihnen die Funktionen bereitzustellen. Hochgeladene Bilder werden auf unserem eigenen Objektspeicher (MinIO/S3) auf dem oben genannten Server in Deutschland abgelegt. Beim Spiel-Tracking können Sie den Namen eines Gegenspielers als Freitext eintragen; bitte erfassen Sie hier nur Daten, zu deren Angabe Sie berechtigt sind. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Geben Sie beim Spiel-Tracking den Namen eines Gegenspielers ein, wird dieser auf allen öffentlichen/anonymen Flächen (öffentliche Profile, geteilte Links) serverseitig als „Gegner“ pseudonymisiert; der echte Name eines:r Gegenspielers:in erscheint dort nur, wenn diese:r selbst registriert ist und der Namensanzeige eigenständig zugestimmt hat.
5a. Öffentliche Profile, geteilte Links & Nutzersuche
Standardmäßig ist Ihr Profil privat und nichts wird veröffentlicht (Datenschutz durch Voreinstellung, Art. 25 DSGVO). Sie können sich jederzeit freiwillig dafür entscheiden, einzelne Bereiche sichtbar zu machen: ein öffentliches Profil unter /u/<Handle> (für jede:n bzw. nur für angemeldete Nutzer:innen), einzelne Bereiche (Statistiken, Erfolge, Listen, Spiele) per Schalter, sowie offene Teilen-Links zu einzelnen Spielen (/g/<Token>) oder Listen (/l/<Token>), die ohne Konto abrufbar sind. Welche Daten je Einstellung sichtbar werden, wird Ihnen unmittelbar im jeweiligen Bedienelement angezeigt. Rechtsgrundlage jeder solchen Veröffentlichung ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), nicht die Vertragserfüllung — die Veröffentlichung ist für den Betrieb nicht erforderlich. Jede Erteilung und jeder Widerruf wird zu Nachweiszwecken protokolliert (Art. 7 Abs. 1 DSGVO). Sie können jede Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3 DSGVO) — über die jeweilige Einstellung, über das Widerrufen eines Links oder über „Alle öffentlichen Daten zurückziehen“, das Ihr Profil sofort auf privat setzt, alle Bereiche ausblendet und sämtliche geteilten Links deaktiviert; ein widerrufener Link funktioniert unmittelbar nicht mehr. Nutzersuche & Auffindbarkeit: Wenn Sie „In der Nutzersuche auffindbar“ aktivieren, kann Ihr öffentlicher Handle bzw. Anzeigename von angemeldeten Nutzer:innen über eine interne Suche gefunden werden; hierfür betreiben wir einen technischen Suchindex (Trigramm-Index) über Handle und Anzeigename, dessen alleiniger Zweck die soziale Auffindbarkeit ist. Diese Auffindbarkeit beruht ebenfalls auf Ihrer Einwilligung und ist standardmäßig deaktiviert. Indexierung durch Suchmaschinen erfolgt ausschließlich bei öffentlichen, auffindbaren Profilen; Spiel- und Listen-Links sind generell von der Indexierung ausgeschlossen. Mindestalter (Art. 8 DSGVO): Das Veröffentlichen von Profildaten, das Erstellen offener Teilen-Links, die Teilnahme an der Rangliste (Ziffer 5c) sowie das Anzeigen Ihres Profilbilds gegenüber anderen Nutzern (insbesondere die Rangliste-Einwilligung nach Ziffer 5d) setzen voraus, dass Sie das für eine wirksame Einwilligung erforderliche Alter erreicht haben. Personen unter 16 Jahren können ohne Zustimmung der Sorgeberechtigten nicht wirksam in eine Veröffentlichung einwilligen. Auskunft & Übertragbarkeit: Ihre Profil-, Privatsphäre- und Teilen-Einstellungen (öffentlicher Handle, Sichtbarkeit, Bereichs-Freigaben, Auffindbarkeit, Teilen-Links, Einwilligungs-Protokoll) sind von Ihrem Auskunfts- und Datenübertragbarkeitsrecht (Art. 15, Art. 20 DSGVO) umfasst.
5b. Erfolge, Rang & Titel (Gamification)
Auf Basis Ihrer erfassten Spiele leiten wir spielerische Erfolge („Achievements“), einen daraus errechneten Rang sowie frei wählbare Titel ab und speichern diese Ihrem Konto zugeordnet. Manche Erfolge (z. B. besiegte Gegner-Charaktere oder gespielte Gegner-Aufstellungen) beruhen auf einer vertrauensbasierten Selbstangabe, die Sie nach dem Spiel selbst vornehmen. Rang und Titel sind eine rein additive Auswertung Ihres eigenen Spielfortschritts; sie dienen ausschließlich der spielerischen Motivation und entfalten keine rechtliche Wirkung. Standardmäßig sind Erfolge, Rang und Titel privat und nur für Sie sichtbar. Erst wenn Sie den Bereich „Erfolge“ Ihres öffentlichen Profils freigeben, werden Rang, aktiver Titel und Trophäen für die von Ihnen gewählte Öffentlichkeit sichtbar (öffentliches Profil, geteilte Links, Galerie) — auf Grundlage Ihrer Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), jederzeit widerruflich über denselben Schalter bzw. über „Alle öffentlichen Daten zurückziehen“. Nur wenn Sie zusätzlich „In der Nutzersuche auffindbar“ aktiviert und den Erfolge-Bereich freigegeben haben, kann ein seltener Erfolg (z. B. das Erreichen des höchsten Rangs) mit Ihrem öffentlichen Handle in einer allgemeinen Erfolgs-Meldung an andere Nutzer:innen erscheinen; andernfalls erfolgt eine solche Meldung ausschließlich anonymisiert ohne Ihren Namen. Gegenspieler:innen werden in erfolgsbezogenen öffentlichen Darstellungen stets pseudonym behandelt.
5c. Rangliste
Wenn Sie dies in Ihren Privatsphäre-Einstellungen gesondert aktivieren, erscheinen Sie mit Ihrem Anzeigenamen bzw. öffentlichen Handle, Ihrem Rang, Ihrem aktiven Titel sowie den Werten der folgenden Kennzahlen auf der Warcodex-internen Rangliste: Gewinnrate, Anzahl gewerteter Spiele, Trophäenanzahl, Rangpunkte und aktuelle Siegesserie. Die Rangliste ist ausschließlich für angemeldete Nutzer:innen sichtbar; sie ist zu keinem Zeitpunkt öffentlich oder ohne Konto abrufbar und wird nicht von Suchmaschinen indexiert. Rechtsgrundlage ist Ihre gesonderte, jederzeit widerrufliche Einwilligung (Art. 6 Abs. 1 lit. a DSGVO) — diese Einwilligung ist unabhängig von der Freigabe des Bereichs „Erfolge“ auf Ihrem öffentlichen Profil (Ziffer 5b) und deckt ausschließlich die Rangliste ab. Aktivieren Sie die Rangliste, während Ihr Profil noch auf „privat“ steht, wird im selben Schritt die Sichtbarkeit Ihres Profils auf „nur angemeldete Nutzer:innen“ angehoben; beide Einwilligungen werden getrennt protokolliert (Art. 7 Abs. 1 DSGVO). Sie können die Teilnahme jederzeit mit einem Klick über denselben Schalter widerrufen (Art. 7 Abs. 3 DSGVO); der Widerruf wirkt sofort — Sie werden beim nächsten Seitenaufruf aus der Rangliste entfernt. Die Rangliste zeigt keine Spieldetails, keine Gegner-Identitäten und keine finanziellen Daten; Gegenspieler:innen werden auf der Rangliste nicht dargestellt. Die Sortierung nach Kennzahlen ist eine rein additive Auswertung vorhandener Spieldaten und stellt keine automatisierte Entscheidungsfindung oder Profiling i. S. d. Art. 22 DSGVO dar (vgl. Ziffer 11). Ihre Rangliste-Einstellung (Teilnahme-Status, Einwilligungs-Protokoll) ist von Ihrem Auskunfts- und Datenübertragbarkeitsrecht (Art. 15, Art. 20 DSGVO) umfasst.
5d. Profilbild (Avatar)
Zusätzlich zu einem optional bei der Anmeldung übernommenen Profilbild (siehe Abschnitt 3/3a) können Sie in Ihrem Profil ein eigenes Profilbild hochladen. Dieses wird auf unserem eigenen Objektspeicher (MinIO/S3) in Deutschland abgelegt, serverseitig auf eine passende Größe skaliert und dabei von Metadaten (u. a. Standortdaten) bereinigt. Rechtsgrundlage ist die Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO). Ihr Profilbild wird Ihnen selbst überall angezeigt, wo Sie angemeldet sind, sowie Personen, mit denen bereits eine bestehende Beziehung besteht (Ihrem aktuellen Mitspieler in einem gemeinsamen Spiel, Ihren Kontakten in Direktnachrichten, Personen, gegen die Sie bereits gespielt haben). Auf der Rangliste wird Ihr Profilbild nur angezeigt, wenn Sie hierfür zusätzlich zur allgemeinen Rangliste-Teilnahme eine gesonderte, jederzeit widerrufliche Einwilligung erteilt haben. Auf öffentlichen, auch ohne Anmeldung abrufbaren Seiten (öffentliches Profil, geteilte Spiel-/Listen-Links) wird Ihr Profilbild nicht angezeigt. Löschen Sie Ihr Profilbild oder ersetzen Sie es durch ein neues, wird die zuvor gespeicherte Bilddatei von unserem Objektspeicher entfernt. Bitte laden Sie nur Bilder hoch, an denen Sie die erforderlichen Rechte besitzen (siehe Nutzungsbedingungen).
6. E-Mail-Versand
Für transaktionale E-Mails (z. B. Bestätigung Ihrer E-Mail-Adresse bei der Registrierung, Passwort-Zurücksetzen, von Ihnen aktivierte Benachrichtigungen und Zusammenfassungen) nutzen wir den Dienstleister Resend (Resend Inc., USA) als Auftragsverarbeiter. Dabei wird Ihre E-Mail-Adresse an Resend übermittelt; es findet eine Datenübermittlung in die USA statt (abgesichert über Standardvertragsklauseln/DPF). Rechtsgrundlage: Vertragserfüllung bzw. berechtigtes Interesse (Art. 6 Abs. 1 lit. b / lit. f DSGVO). Mit Resend besteht ein Vertrag zur Auftragsverarbeitung (Art. 28 DSGVO).
7. Schutz vor Missbrauch (Rate-Limiting)
Zur Abwehr von Brute-Force- und Missbrauchsversuchen (z. B. bei Login und Registrierung) verarbeiten wir Ihre IP-Adresse als technischen Zähler. Ihre IP-Adresse wird dabei nicht im Klartext gespeichert: Aus ihr wird mit einem geheimen Schlüssel ein nicht rückrechenbarer Prüfwert gebildet, und nur dieser Prüfwert wird zusammen mit einem Zähler und dem Ablaufzeitpunkt abgelegt. Nach Ablauf des jeweiligen Zeitfensters werden diese Einträge automatisiert gelöscht. Rechtsgrundlage ist unser berechtigtes Interesse an der IT-Sicherheit (Art. 6 Abs. 1 lit. f DSGVO).
8. Feedback
Wenn Sie Feedback senden, verarbeiten wir Ihre Nachricht sowie technische Begleitdaten (aufgerufene Seite, Browser-Kennung/User-Agent) zur Bearbeitung und Produktverbesserung (Art. 6 Abs. 1 lit. f DSGVO).
9. Speicherdauer
Wir speichern personenbezogene Daten nur so lange, wie es für die genannten Zwecke erforderlich ist bzw. solange Ihr Konto besteht. Wenn Ihr Konto deaktiviert (gesperrt) wird, bleiben Ihre identifizierenden Daten für ein kurzes Fenster von bis zu 30 Tagen erhalten, damit eine versehentliche Deaktivierung rückgängig gemacht und ein etwaiger Missbrauch nachverfolgt werden kann; nach Ablauf dieses Fensters werden die identifizierenden Daten automatisiert anonymisiert, wobei lediglich nicht-personenbezogene, aggregierte Kennzahlen (z. B. die Zahl der Abgänge pro Tag) erhalten bleiben. Verlangen Sie die endgültige Löschung Ihres Kontos (Art. 17 DSGVO), werden Ihre personenbezogenen Daten unverzüglich gelöscht und etwaige E-Mail-Schnappschüsse in internen Administrations-Protokollen im selben Vorgang geschwärzt. Ein solches Löschverlangen richten Sie formlos an die im Impressum genannte Kontaktadresse. Wir bestätigen den Eingang und führen die Löschung innerhalb der gesetzlichen Frist des Art. 12 Abs. 3 DSGVO aus. Eine Löschfunktion unmittelbar in den Kontoeinstellungen bieten wir derzeit nicht an. Die E-Mail-Schnappschüsse im Administrations-Protokoll werden zudem unabhängig davon spätestens nach 12 Monaten durch einen nicht zurückrechenbaren Platzhalter ersetzt. Rate-Limiting-Einträge werden nach Ablauf des Zeitfensters automatisiert gelöscht. Ein hochgeladenes Profilbild wird beim Ersetzen, Löschen oder im Rahmen der oben beschriebenen automatisierten Anonymisierung/Löschung auch als Datei aus unserem Objektspeicher entfernt, nicht nur als Datenbank-Verweis. Soweit gesetzliche Aufbewahrungspflichten bestehen, bleiben diese unberührt. Bestätigungs-Links für die E-Mail-Verifizierung verfallen nach 24 Stunden und werden anschließend gelöscht; nicht bestätigte Konten werden spätestens 30 Tage nach der Registrierung automatisch gelöscht (siehe Abschnitt 3c). Die Nachweisdaten zu Nutzungsbedingungen und Altersbestätigung werden zusammen mit Ihrem Konto gelöscht (siehe Abschnitt 3d).
10. Ihre Rechte
Sie haben das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17 – „Recht auf Vergessenwerden“), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) sowie Widerspruch (Art. 21). Sofern eine Verarbeitung auf Einwilligung beruht, können Sie diese jederzeit mit Wirkung für die Zukunft widerrufen. Zur Ausübung Ihrer Rechte genügt eine Nachricht an [email protected]. Sie haben zudem das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren.
11. Keine automatisierte Entscheidungsfindung
Eine automatisierte Entscheidungsfindung oder ein Profiling i. S. d. Art. 22 DSGVO findet nicht statt. Insbesondere stellt das spielerische Erfolgs- und Rangsystem (Gamification) keine solche Entscheidung dar: Rang und Titel sind eine rein additive Auswertung Ihres eigenen Spielfortschritts, entfalten keine rechtliche Wirkung und beeinträchtigen Sie nicht erheblich.
12. Administrative Zugriffe & Protokollierung
Zum Betrieb, zur Nutzerverwaltung und zur Missbrauchsabwehr kann ein Administrator dieses privaten Fan-Projekts auf Ihre Kontodaten zugreifen. Konkret kann ein Administrator: (a) Ihre Kontodaten einsehen (Anzeigename, E-Mail-Adresse, Profilbild bzw. die von Ihrem Anmeldedienst gelieferte Profilbild-URL, Anmeldeart/Provider, Verifizierungsstatus sowie aggregierte Nutzungszahlen wie die Anzahl Ihrer Listen, Spiele und Sammlungs-Einträge); (b) Ihre Rolle/Berechtigung ändern; (c) Ihnen einen Link zum Zurücksetzen Ihres Passworts per E-Mail senden (über den Dienstleister Resend, siehe Abschnitt 6 „E-Mail-Versand“); und (d) Ihr Konto deaktivieren (umkehrbare Sperrung), endgültig löschen oder eine Deaktivierung rückgängig machen. Zur Erstellung interner Statistiken (z. B. Anzahl neuer/aktiver/abgegangener Konten, Verteilung der Anmeldearten) werten wir einzelne Konto-Merkmale (Registrierungsdatum, Anmeldeart, Verifizierungsstatus, Deaktivierungszeitpunkt) aus; gespeichert werden hieraus jedoch nur nicht-personenbezogene Tages-Summen, keine personenbezogenen Einzeldatensätze. Reine Einsichtnahme wird nicht protokolliert. Die genannten verändernden Verwaltungsaktionen werden hingegen in einem internen, nur für Administratoren einsehbaren Protokoll festgehalten, das die Art der Aktion, einen Zeitstempel sowie einen Schnappschuss der beteiligten E-Mail-Adressen (handelnder Administrator und betroffenes Konto) enthält. Dieses Protokoll dient der IT-Sicherheit und der Nachvollziehbarkeit (Rechenschaftspflicht). Es enthält keine Passwörter und keine Sicherheits-Token. Rechtsgrundlage für diese Verarbeitungen ist unser berechtigtes Interesse am sicheren, missbrauchsfreien Betrieb sowie an der Konto-Sicherheit (Art. 6 Abs. 1 lit. f DSGVO); beim admin-ausgelösten Passwort-Reset kommt als sekundäre Grundlage die Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO) hinzu.