Datenschutzerklärung

1. Verantwortlicher

Anatol Heinrich
Myrthengasse 12/7, 1070 Wien
Österreich
E-Mail: info@shadow-decker.com

Für Datenschutzanfragen genügt eine E-Mail an diese Adresse.

2. Hosting und Server-Protokolle

Die Website läuft auf einem Server der Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland (Serverstandort Falkenstein, Deutschland). Hetzner verarbeitet die Daten als Auftragsverarbeiter nach Art. 28 DSGVO.

Bei jedem Aufruf protokolliert der Webserver technische Zugriffsdaten: IP-Adresse, Datum und Uhrzeit, aufgerufene Adresse, Statuscode, übertragene Datenmenge, Referrer und Browser-Kennung (User-Agent). Das dient dem sicheren und stabilen Betrieb sowie der Abwehr von Angriffen (berechtigtes Interesse, Art. 6 Abs. 1 lit. f DSGVO). Die Protokolle werden nach 14 Tagen gelöscht.

Die Verbindung ist per TLS verschlüsselt (Zertifikat von Let's Encrypt).

3. Spielen ohne Konto

Ohne Konto werden Spielstände, freigeschaltete Bilder, Missionsfortschritt und Einstellungen (Lautstärke, Sprache, Tutorial-Status) nur im lokalen Speicher deines Browsers (localStorage) abgelegt und nicht an uns übertragen. Außerdem speichert ein Service Worker Seiten und Grafiken im Browser-Cache, damit das Spiel schneller lädt und offline funktioniert.

Diese Speicherung ist für den von dir gewünschten Dienst unbedingt erforderlich (§ 165 Abs. 3 TKG 2021) und braucht daher keine Einwilligung. Du kannst die Daten jederzeit über die Browser-Einstellungen („Website-Daten löschen") entfernen. Dabei gehen lokale Spielstände verloren.

4. Benutzerkonto

Wenn du ein Konto anlegst, verarbeiten wir:

• E-Mail-Adresse und Passwort. Das Passwort wird nur als bcrypt-Hash gespeichert, nie im Klartext.
• Codename, gewählter Avatar (aus einer vorgegebenen Auswahl) und bevorzugte Sprache.
• Bestätigung des Mindestalters (16 Jahre) mit Zeitpunkt.
• Einstellung, ob du in Ranglisten anonym erscheinst.
• Spieldaten: Cloud-Spielstände, Missionsfortschritt, Statistiken, Achievements, Ergebnisse von Tagesmissionen (inkl. des Zugprotokolls zur Prüfung auf Manipulation), Serien und Ranglisten-Einträge.
• Freiwillige Zwei-Faktor-Anmeldung: Das TOTP-Geheimnis und die Backup-Codes werden verschlüsselt bzw. gehasht gespeichert.
• Kontoänderungen: Bei einer E-Mail-Änderung die alte und die neue Adresse. Zudem ein pseudonymisiertes Protokoll sicherheitsrelevanter Kontoaktionen. Darin steht statt deiner Nutzer-ID ein nicht umkehrbarer Hashwert, und bei E-Mail-Änderungen nur die Domain.

Zweck und Rechtsgrundlage: Bereitstellung des Kontos und der Spielfunktionen (Vertragserfüllung, Art. 6 Abs. 1 lit. b DSGVO). Das Sicherheitsprotokoll dient der Nachvollziehbarkeit und dem Schutz vor Missbrauch (Art. 6 Abs. 1 lit. f DSGVO).

Mindestalter: Das Konto ist ab 16 Jahren zugänglich.

Anmelde-Cookies

Für die Anmeldung setzt die Website ausschließlich technisch notwendige Cookies:

• Sitzungs-Cookie (authjs.session-token, bis zu 30 Tage)
• Schutz vor Cross-Site-Request-Forgery (authjs.csrf-token, Sitzung)
• Rücksprungadresse nach dem Login (authjs.callback-url, Sitzung)

Sie sind für die Anmeldung unbedingt erforderlich (§ 165 Abs. 3 TKG 2021, Art. 6 Abs. 1 lit. b DSGVO).

Passwort-Prüfung

Bei der Registrierung und bei Passwortänderungen prüfen wir, ob das Passwort in bekannten Datenlecks vorkommt. Dazu senden wir die ersten 5 Zeichen des SHA-1-Hashwerts des Passworts an den Dienst „Pwned Passwords" (api.pwnedpasswords.com, betrieben von Troy Hunt über Cloudflare). Das Passwort selbst und der vollständige Hash verlassen den Server nicht, ein Rückschluss auf dich ist nicht möglich. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Schutz deines Kontos).

5. E-Mail-Versand

Für Bestätigungs-, Erinnerungs- und Passwort-Mails nutzen wir Resend (Resend, Inc., USA) als Auftragsverarbeiter. Übermittelt werden deine E-Mail-Adresse und der Inhalt der jeweiligen Mail. Die Übermittlung in die USA erfolgt auf Grundlage der EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO) im Auftragsverarbeitungsvertrag von Resend. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

6. Ranglisten und öffentlich sichtbare Daten

• Monatliche Rangliste: Sie ist öffentlich einsehbar. Sichtbar sind Rang, Anzeigename, Gesamt-Alarm, geschaffte Missionen und Einreichungszeitpunkt. Anzeigename ist dein Codename zum Zeitpunkt der Einreichung oder „Agent Anonymous", wenn du anonym erscheinen möchtest.
• Bestenliste der Tagesmission: Sie ist für angemeldete Spieler sichtbar und folgt deiner aktuellen Anonymitäts-Einstellung.

Deine E-Mail-Adresse ist für andere nie sichtbar. Die Anonymitäts-Einstellung kannst du im Profil jederzeit ändern. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

7. Schutz vor Missbrauch

Um Anmelde- und Registrierungsversuche zu begrenzen, speichern wir kurzzeitig die IP-Adresse bzw. die eingegebene E-Mail-Adresse als Zähler im Arbeitsspeicher-Datenbanksystem Redis. Die Zähler verfallen automatisch nach ihrem Zeitfenster (höchstens 1 Stunde). Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Schutz vor Angriffen).

8. Anonyme Nutzungsstatistik

Um zu verstehen, wie viele Menschen das Spiel nutzen und woher sie kommen, zählen wir Seitenaufrufe und Spielereignisse (z. B. „Tagesmission gestartet") ohne Cookies und ohne im Browser gespeicherte Kennung. Dazu gilt:

• Aus IP-Adresse und Browser-Kennung wird mit einem täglich neu erzeugten Zufallswert ein Hashwert gebildet. Er dient nur dazu, Besucher innerhalb eines Tages einmal zu zählen. Der Zufallswert wird nach spätestens 48 Stunden gelöscht, danach ist der Hashwert niemandem mehr zuordenbar.
• Die IP-Adresse wird nicht gespeichert.
• Gespeichert werden nur Tagessummen (z. B. „120 Aufrufe von /daily-op"), die Domain der verweisenden Seite (z. B. „reddit.com") und die Kennung eines geteilten Links (z. B. „daily").
• Bei angemeldeten Spielern speichern wir zusätzlich, an welchen Tagen das Konto aktiv war, um zu sehen, ob Spieler wiederkommen. Diese Angabe wird mit dem Konto gelöscht.
• Sendet dein Browser „Do Not Track" oder „Global Privacy Control", zählen wir dich nicht.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist die Verbesserung des Spiels und die Reichweitenmessung ohne Tracking.

9. Datensicherung

Die Datenbank wird täglich verschlüsselt gesichert. Sicherungen werden nach 7 Tagen gelöscht. Gelöschte Konten sind daher noch bis zu 7 Tage in Sicherungen enthalten. Wird eine Sicherung wiederhergestellt, werden die Löschungen erneut ausgeführt.

10. Speicherdauer und Löschung

• Kontodaten und alle Spieldaten des Kontos: bis zur Löschung des Kontos. Du kannst das Konto im Profil löschen. Es wird sofort gesperrt und nach 30 Tagen endgültig gelöscht, mit allen Spielständen, Ranglisten-Einträgen, Achievements und dem Sicherheitsprotokoll. Übrig bleibt nur ein nicht umkehrbarer Hashwert als Nachweis der Löschung.
• Lokale Browserdaten: bis du sie im Browser löschst.
• Server-Protokolle: 14 Tage.
• Sicherungen: 7 Tage.

11. Weitergabe

Wir geben deine Daten nicht an Dritte weiter, außer an die oben genannten Auftragsverarbeiter und wenn wir gesetzlich dazu verpflichtet sind. Es gibt keine Werbung, keinen Verkauf von Daten, kein Profiling und keine automatisierte Entscheidungsfindung.

Links zu externen Seiten (z. B. ko-fi.com für freiwillige Spenden oder gamesbymanuel.com) werden erst beim Anklicken aufgerufen. Dann gilt die Datenschutzerklärung des jeweiligen Anbieters.

12. Deine Rechte

Du hast das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21 DSGVO).

Viele davon kannst du direkt im Profil ausüben: Daten exportieren (Auskunft und Datenübertragbarkeit als JSON-Datei), Codename und Einstellungen ändern, Konto löschen. Für alles andere schreib an info@shadow-decker.com.

Du kannst dich außerdem bei der Österreichischen Datenschutzbehörde beschweren: Barichgasse 40–42, 1030 Wien, dsb@dsb.gv.at, www.dsb.gv.at.