Datenschutzerklärung
Stand: 11.07.2026. Diese Erklärung wird bei Änderungen der Verarbeitung angepasst.
1. Verantwortlicher
Verantwortlich für die Datenverarbeitung auf dieser Website ist: Maximilian Iliew Eislebener Str. 4 10789 Berlin Deutschland E-Mail: [email protected]
2. Hosting
Diese Website wird auf einem dedizierten Server der IONOS SE (Elgendorfer Str. 57, 56410 Montabaur, Deutschland) in Deutschland gehostet. IONOS verarbeitet in unserem Auftrag Server-Logfiles, die beim Aufruf der Seite technisch anfallen (u. a. IP-Adresse, Zeitstempel, abgerufene Ressource, User-Agent). Rechtsgrundlage ist unser berechtigtes Interesse am sicheren und stabilen Betrieb (Art. 6 Abs. 1 lit. f DSGVO). Mit IONOS besteht ein Vertrag zur Auftragsverarbeitung (Art. 28 DSGVO).
3. Konto, Anmeldung & Authentifizierung
Für die Nutzung von Warcodex ist ein Nutzerkonto erforderlich. Bei der Registrierung und Anmeldung verarbeiten wir: - E-Mail-Adresse, Anzeigename/Benutzername, optional ein Profilbild, - bei Registrierung per Passwort: ein kryptografisch gehashtes Passwort (bcrypt; das Klartext-Passwort wird nicht gespeichert), - eine technische Nutzer-Kennung und ggf. den Verifizierungsstatus der E-Mail. Rechtsgrundlage ist die Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO).
3a. Anmeldung über Google (OAuth)
Optional kann die Anmeldung über ein Google-Konto erfolgen. Dabei übermittelt Google LLC / Google Ireland Ltd. uns die für die Anmeldung erforderlichen Profildaten (Name, E-Mail-Adresse, ggf. Profilbild und eine Google-Konto-Kennung). Es findet ggf. eine Datenübermittlung in die USA statt; Google ist unter dem EU-US Data Privacy Framework zertifiziert. Rechtsgrundlage ist die Vertragserfüllung bzw. Ihre Einwilligung in den Login-Vorgang (Art. 6 Abs. 1 lit. b bzw. lit. a DSGVO).
4. Cookies & Sitzung
Wir setzen ausschließlich technisch notwendige Cookies, um Ihre Anmeldung über die Sitzungsdauer aufrechtzuerhalten (Session-Cookie, CSRF-Schutz; JWT-basierte Sitzung). Diese Cookies sind für den Betrieb erforderlich und bedürfen keiner Einwilligung (§ 25 Abs. 2 Nr. 2 TTDSG). Tracking- oder Analyse-Cookies werden derzeit nicht gesetzt.
5. Nutzerinhalte (Sammlung, Listen, Spiele, Fotos)
Inhalte, die Sie selbst anlegen (Armeelisten, Sammlung/Pile of Shame, Spiel-Tracking, hochgeladene Fotos), speichern wir, um Ihnen die Funktionen bereitzustellen. Hochgeladene Bilder werden auf unserem eigenen Objektspeicher (MinIO/S3) auf dem oben genannten Server in Deutschland abgelegt. Beim Spiel-Tracking können Sie den Namen eines Gegenspielers als Freitext eintragen; bitte erfassen Sie hier nur Daten, zu deren Angabe Sie berechtigt sind. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Geben Sie beim Spiel-Tracking den Namen eines Gegenspielers ein, wird dieser auf allen öffentlichen/anonymen Flächen (öffentliche Profile, geteilte Links) serverseitig als „Gegner“ pseudonymisiert; der echte Name eines:r Gegenspielers:in erscheint dort nur, wenn diese:r selbst registriert ist und der Namensanzeige eigenständig zugestimmt hat.
5a. Öffentliche Profile, geteilte Links & Nutzersuche
Standardmäßig ist Ihr Profil privat und nichts wird veröffentlicht (Datenschutz durch Voreinstellung, Art. 25 DSGVO). Sie können sich jederzeit freiwillig dafür entscheiden, einzelne Bereiche sichtbar zu machen: ein öffentliches Profil unter /u/<Handle> (für jede:n bzw. nur für angemeldete Nutzer:innen), einzelne Bereiche (Statistiken, Erfolge, Listen, Spiele) per Schalter, sowie offene Teilen-Links zu einzelnen Spielen (/g/<Token>) oder Listen (/l/<Token>), die ohne Konto abrufbar sind. Welche Daten je Einstellung sichtbar werden, wird Ihnen unmittelbar im jeweiligen Bedienelement angezeigt. Rechtsgrundlage jeder solchen Veröffentlichung ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), nicht die Vertragserfüllung — die Veröffentlichung ist für den Betrieb nicht erforderlich. Jede Erteilung und jeder Widerruf wird zu Nachweiszwecken protokolliert (Art. 7 Abs. 1 DSGVO). Sie können jede Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3 DSGVO) — über die jeweilige Einstellung, über das Widerrufen eines Links oder über „Alle öffentlichen Daten zurückziehen“, das Ihr Profil sofort auf privat setzt, alle Bereiche ausblendet und sämtliche geteilten Links deaktiviert; ein widerrufener Link funktioniert unmittelbar nicht mehr. Nutzersuche & Auffindbarkeit: Wenn Sie „In der Nutzersuche auffindbar“ aktivieren, kann Ihr öffentlicher Handle bzw. Anzeigename von angemeldeten Nutzer:innen über eine interne Suche gefunden werden; hierfür betreiben wir einen technischen Suchindex (Trigramm-Index) über Handle und Anzeigename, dessen alleiniger Zweck die soziale Auffindbarkeit ist. Diese Auffindbarkeit beruht ebenfalls auf Ihrer Einwilligung und ist standardmäßig deaktiviert. Indexierung durch Suchmaschinen erfolgt ausschließlich bei öffentlichen, auffindbaren Profilen; Spiel- und Listen-Links sind generell von der Indexierung ausgeschlossen. Mindestalter (Art. 8 DSGVO): Das Veröffentlichen von Profildaten, das Erstellen offener Teilen-Links, die Teilnahme an der Rangliste (Ziffer 5c) sowie das Anzeigen Ihres Profilbilds gegenüber anderen Nutzern (insbesondere die Rangliste-Einwilligung nach Ziffer 5d) setzen voraus, dass Sie das für eine wirksame Einwilligung erforderliche Alter erreicht haben. Personen unter 16 Jahren können ohne Zustimmung der Sorgeberechtigten nicht wirksam in eine Veröffentlichung einwilligen. Auskunft & Übertragbarkeit: Ihre Profil-, Privatsphäre- und Teilen-Einstellungen (öffentlicher Handle, Sichtbarkeit, Bereichs-Freigaben, Auffindbarkeit, Teilen-Links, Einwilligungs-Protokoll) sind von Ihrem Auskunfts- und Datenübertragbarkeitsrecht (Art. 15, Art. 20 DSGVO) umfasst.
5b. Erfolge, Rang & Titel (Gamification)
Auf Basis Ihrer erfassten Spiele leiten wir spielerische Erfolge („Achievements“), einen daraus errechneten Rang sowie frei wählbare Titel ab und speichern diese Ihrem Konto zugeordnet. Manche Erfolge (z. B. besiegte Gegner-Charaktere oder gespielte Gegner-Aufstellungen) beruhen auf einer vertrauensbasierten Selbstangabe, die Sie nach dem Spiel selbst vornehmen. Rang und Titel sind eine rein additive Auswertung Ihres eigenen Spielfortschritts; sie dienen ausschließlich der spielerischen Motivation und entfalten keine rechtliche Wirkung. Standardmäßig sind Erfolge, Rang und Titel privat und nur für Sie sichtbar. Erst wenn Sie den Bereich „Erfolge“ Ihres öffentlichen Profils freigeben, werden Rang, aktiver Titel und Trophäen für die von Ihnen gewählte Öffentlichkeit sichtbar (öffentliches Profil, geteilte Links, Galerie) — auf Grundlage Ihrer Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), jederzeit widerruflich über denselben Schalter bzw. über „Alle öffentlichen Daten zurückziehen“. Nur wenn Sie zusätzlich „In der Nutzersuche auffindbar“ aktiviert und den Erfolge-Bereich freigegeben haben, kann ein seltener Erfolg (z. B. das Erreichen des höchsten Rangs) mit Ihrem öffentlichen Handle in einer allgemeinen Erfolgs-Meldung an andere Nutzer:innen erscheinen; andernfalls erfolgt eine solche Meldung ausschließlich anonymisiert ohne Ihren Namen. Gegenspieler:innen werden in erfolgsbezogenen öffentlichen Darstellungen stets pseudonym behandelt.
5c. Rangliste
Wenn Sie dies in Ihren Privatsphäre-Einstellungen gesondert aktivieren, erscheinen Sie mit Ihrem Anzeigenamen bzw. öffentlichen Handle, Ihrem Rang, Ihrem aktiven Titel sowie den Werten der folgenden Kennzahlen auf der Warcodex-internen Rangliste: Gewinnrate, Anzahl gewerteter Spiele, Trophäenanzahl, Rangpunkte und aktuelle Siegesserie. Die Rangliste ist ausschließlich für angemeldete Nutzer:innen sichtbar; sie ist zu keinem Zeitpunkt öffentlich oder ohne Konto abrufbar und wird nicht von Suchmaschinen indexiert. Rechtsgrundlage ist Ihre gesonderte, jederzeit widerrufliche Einwilligung (Art. 6 Abs. 1 lit. a DSGVO) — diese Einwilligung ist unabhängig von der Freigabe des Bereichs „Erfolge“ auf Ihrem öffentlichen Profil (Ziffer 5b) und deckt ausschließlich die Rangliste ab. Aktivieren Sie die Rangliste, während Ihr Profil noch auf „privat“ steht, wird im selben Schritt die Sichtbarkeit Ihres Profils auf „nur angemeldete Nutzer:innen“ angehoben; beide Einwilligungen werden getrennt protokolliert (Art. 7 Abs. 1 DSGVO). Sie können die Teilnahme jederzeit mit einem Klick über denselben Schalter widerrufen (Art. 7 Abs. 3 DSGVO); der Widerruf wirkt sofort — Sie werden beim nächsten Seitenaufruf aus der Rangliste entfernt. Die Rangliste zeigt keine Spieldetails, keine Gegner-Identitäten und keine finanziellen Daten; Gegenspieler:innen werden auf der Rangliste nicht dargestellt. Die Sortierung nach Kennzahlen ist eine rein additive Auswertung vorhandener Spieldaten und stellt keine automatisierte Entscheidungsfindung oder Profiling i. S. d. Art. 22 DSGVO dar (vgl. Ziffer 11). Ihre Rangliste-Einstellung (Teilnahme-Status, Einwilligungs-Protokoll) ist von Ihrem Auskunfts- und Datenübertragbarkeitsrecht (Art. 15, Art. 20 DSGVO) umfasst.
6. E-Mail-Versand
Für transaktionale E-Mails (z. B. Passwort-Zurücksetzen, von Ihnen aktivierte Benachrichtigungen und Zusammenfassungen) nutzen wir den Dienstleister Resend (Resend Inc., USA) als Auftragsverarbeiter. Dabei wird Ihre E-Mail-Adresse an Resend übermittelt; es findet eine Datenübermittlung in die USA statt (abgesichert über Standardvertragsklauseln/DPF). Rechtsgrundlage: Vertragserfüllung bzw. berechtigtes Interesse (Art. 6 Abs. 1 lit. b / lit. f DSGVO). Mit Resend besteht ein Vertrag zur Auftragsverarbeitung (Art. 28 DSGVO).
7. Schutz vor Missbrauch (Rate-Limiting)
Zur Abwehr von Brute-Force- und Missbrauchsversuchen (z. B. bei Login/Registrierung) verarbeiten wir kurzzeitig Ihre IP-Adresse als technischen Zähler. Diese Daten werden nur für die Dauer eines kurzen Zeitfensters gespeichert und danach überschrieben. Rechtsgrundlage ist unser berechtigtes Interesse an der IT-Sicherheit (Art. 6 Abs. 1 lit. f DSGVO).
8. Feedback
Wenn Sie Feedback senden, verarbeiten wir Ihre Nachricht sowie technische Begleitdaten (aufgerufene Seite, Browser-Kennung/User-Agent) zur Bearbeitung und Produktverbesserung (Art. 6 Abs. 1 lit. f DSGVO).
9. Speicherdauer
Wir speichern personenbezogene Daten nur so lange, wie es für die genannten Zwecke erforderlich ist bzw. solange Ihr Konto besteht. Wenn Ihr Konto deaktiviert (gesperrt) wird, bleiben Ihre identifizierenden Daten für ein kurzes Fenster von bis zu 30 Tagen erhalten, damit eine versehentliche Deaktivierung rückgängig gemacht und ein etwaiger Missbrauch nachverfolgt werden kann; nach Ablauf dieses Fensters werden die identifizierenden Daten automatisiert anonymisiert, wobei lediglich nicht-personenbezogene, aggregierte Kennzahlen (z. B. die Zahl der Abgänge pro Tag) erhalten bleiben. Verlangen Sie die endgültige Löschung Ihres Kontos (Art. 17 DSGVO), werden Ihre personenbezogenen Daten unverzüglich gelöscht und etwaige E-Mail-Schnappschüsse in internen Administrations-Protokollen im selben Vorgang geschwärzt. Die E-Mail-Schnappschüsse im Administrations-Protokoll werden zudem unabhängig davon spätestens nach 12 Monaten durch einen nicht zurückrechenbaren Platzhalter ersetzt. Rate-Limiting-Daten werden nach Ablauf des Zeitfensters überschrieben. Ein hochgeladenes Profilbild wird beim Ersetzen, Löschen oder im Rahmen der oben beschriebenen automatisierten Anonymisierung/Löschung auch als Datei aus unserem Objektspeicher entfernt, nicht nur als Datenbank-Verweis. Soweit gesetzliche Aufbewahrungspflichten bestehen, bleiben diese unberührt.
10. Ihre Rechte
Sie haben das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17 – „Recht auf Vergessenwerden“), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) sowie Widerspruch (Art. 21). Sofern eine Verarbeitung auf Einwilligung beruht, können Sie diese jederzeit mit Wirkung für die Zukunft widerrufen. Zur Ausübung Ihrer Rechte genügt eine Nachricht an [email protected]. Sie haben zudem das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren.
11. Keine automatisierte Entscheidungsfindung
Eine automatisierte Entscheidungsfindung oder ein Profiling i. S. d. Art. 22 DSGVO findet nicht statt. Insbesondere stellt das spielerische Erfolgs- und Rangsystem (Gamification) keine solche Entscheidung dar: Rang und Titel sind eine rein additive Auswertung Ihres eigenen Spielfortschritts, entfalten keine rechtliche Wirkung und beeinträchtigen Sie nicht erheblich.
12. Administrative Zugriffe & Protokollierung
Zum Betrieb, zur Nutzerverwaltung und zur Missbrauchsabwehr kann ein Administrator dieses privaten Fan-Projekts auf Ihre Kontodaten zugreifen. Konkret kann ein Administrator: (a) Ihre Kontodaten einsehen (Anzeigename, E-Mail-Adresse, Profilbild bzw. die von Ihrem Anmeldedienst gelieferte Profilbild-URL, Anmeldeart/Provider, Verifizierungsstatus sowie aggregierte Nutzungszahlen wie die Anzahl Ihrer Listen, Spiele und Sammlungs-Einträge); (b) Ihre Rolle/Berechtigung ändern; (c) Ihnen einen Link zum Zurücksetzen Ihres Passworts per E-Mail senden (über den Dienstleister Resend, siehe Abschnitt 6 „E-Mail-Versand“); und (d) Ihr Konto deaktivieren (umkehrbare Sperrung), endgültig löschen oder eine Deaktivierung rückgängig machen. Zur Erstellung interner Statistiken (z. B. Anzahl neuer/aktiver/abgegangener Konten, Verteilung der Anmeldearten) werten wir einzelne Konto-Merkmale (Registrierungsdatum, Anmeldeart, Verifizierungsstatus, Deaktivierungszeitpunkt) aus; gespeichert werden hieraus jedoch nur nicht-personenbezogene Tages-Summen, keine personenbezogenen Einzeldatensätze. Reine Einsichtnahme wird nicht protokolliert. Die genannten verändernden Verwaltungsaktionen werden hingegen in einem internen, nur für Administratoren einsehbaren Protokoll festgehalten, das die Art der Aktion, einen Zeitstempel sowie einen Schnappschuss der beteiligten E-Mail-Adressen (handelnder Administrator und betroffenes Konto) enthält. Dieses Protokoll dient der IT-Sicherheit und der Nachvollziehbarkeit (Rechenschaftspflicht). Es enthält keine Passwörter und keine Sicherheits-Token. Rechtsgrundlage für diese Verarbeitungen ist unser berechtigtes Interesse am sicheren, missbrauchsfreien Betrieb sowie an der Konto-Sicherheit (Art. 6 Abs. 1 lit. f DSGVO); beim admin-ausgelösten Passwort-Reset kommt als sekundäre Grundlage die Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO) hinzu.