Datenschutz

1. Verantwortlicher

[[Vorname Nachname bzw. Firma]]
[[Anschrift]]
E-Mail: [[E-Mail-Adresse]]

2. Kurz zusammengefasst

Diese Seite kommt ohne Tracking, Werbung, Analysewerkzeuge und Inhalte Dritter aus. Schriften, Bilder und Skripte liegen auf dem eigenen Server. Personenbezogene Daten fallen nur an, soweit es für den Betrieb technisch nötig ist oder wenn Sie ein Konto nutzen.

3. Hosting

Die Seite läuft auf einem Server der Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, im Rechenzentrum Nürnberg (Deutschland). Hetzner verarbeitet die Daten in unserem Auftrag; mit Hetzner besteht ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO [[bitte bestätigen, dass der Vertrag abgeschlossen ist]]. Eine Übermittlung in Länder außerhalb der EU findet nicht statt.

4. Aufruf der Seite und Server-Protokolle

Beim Aufruf überträgt Ihr Browser technisch notwendige Daten (unter anderem IP-Adresse, angefragte Adresse, Zeitpunkt, Browserkennung), damit die Seite ausgeliefert werden kann. Ein Zugriffsprotokoll wird nicht geführt. Nur wenn beim Ausliefern ein Fehler auftritt, schreibt der Webserver einen Eintrag in ein Fehlerprotokoll, der die IP-Adresse und die angefragte Adresse enthalten kann. Dieses Protokoll wird täglich gewechselt und nach 14 Tagen automatisch gelöscht. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist ein sicherer und fehlerfreier Betrieb.

5. Cookies

Die öffentlichen Seiten setzen keine Cookies. Ein kleines Skript fragt nur auf diesem Server ab, ob Sie angemeldet sind, um im Kopf „Konto“ statt „Anmelden“ zu zeigen; dabei wird nichts gespeichert. Nur der Anmeldebereich unter /konto/ verwendet zwei technisch notwendige Cookies mit Zufallswerten:

• __Host-bn_csrf: schützt die Formulare vor Missbrauch, gültig höchstens 2 Stunden, wird nach der Anmeldung entfernt.
• __Host-bn_sitzung: hält Sie nach der Anmeldung angemeldet, gültig höchstens 7 Tage, endet beim Abmelden.

Beide sind für den von Ihnen angefragten Dienst unbedingt erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG) und benötigen keine Einwilligung.

6. Konten für Entwickler und Spieler

Ein Konto gibt es nur mit Einladungscode. Für die Registrierung genügen ein frei gewählter Benutzername (ein Fantasiename reicht, bitte kein Klarname) und ein Passwort; eine E-Mail-Adresse wird nicht erhoben. Gespeichert werden:

• Benutzername und Rolle (Entwickler oder Spieler),
• das Passwort ausschließlich als nicht umkehrbarer Hash (scrypt),
• Zeitpunkt der Kontoanlage und der letzten Anmeldung,
• über welche Einladung das Konto angelegt wurde und welches Konto eingeladen hat (für die Grenze von 24 Personen je Gruppe),
• wie viele eigene Einladungen das Konto vergeben kann,
• für jede laufende Anmeldung ein Hash des Sitzungs-Cookies und dessen Ablaufzeit,
• für den Alpha-Download: wie oft das Konto welche Version heruntergeladen hat und wann zuletzt (keine IP-Adresse),
• falls ein Passwort zurückgesetzt werden soll: ein Hash des Rücksetzcodes, der 24 Stunden gilt und nach Gebrauch oder Ablauf gelöscht wird.

Einladungscodes werden nur als nicht umkehrbarer Hash gespeichert, zusammen mit Rolle, Zeitpunkt der Erstellung und des Ablaufs (7 Tage), dem ausstellenden Konto (bei persönlichen Einladungen) und, nach dem Einlösen, dem neuen Konto. Beim Abholen eines freien Codes wird nichts über Sie gespeichert; zum Schutz vor automatisiertem Abräumen hält der Server die IP-Adresse höchstens 10 Minuten im Arbeitsspeicher (siehe Abschnitt 7).

Zweck ist die Bereitstellung des geschützten Bereichs. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Nutzung des Kontos auf Ihren Wunsch). Die Daten liegen nur auf dem genannten Server und werden nicht weitergegeben.

Löschung: Sie können Ihr Konto jederzeit löschen lassen. Ein Konto, das 12 Monate lang nicht benutzt wurde, wird automatisch gelöscht. Abgelaufene Sitzungen werden laufend entfernt, nicht eingelöste Einladungscodes verfallen und werden 30 Tage nach Ablauf gelöscht.

7. Schutz vor Missbrauch

Um das Ausprobieren von Passwörtern und das massenhafte Abrufen von Formularen zu verhindern, merkt sich der Server die IP-Adresse bei fehlgeschlagenen Anmeldungen und bei vielen Anfragen kurz im Arbeitsspeicher, höchstens 15 Minuten. Sie wird dabei nicht auf Datenträger geschrieben. Die kurze Rechenfrage beim Abholen eines Codes wird ohne Dienste Dritter auf dem eigenen Server geprüft. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist die Sicherheit der Konten.

8. Pflicht zur Bereitstellung

Sie sind nicht verpflichtet, Daten anzugeben. Ohne Konto stehen die öffentlichen Seiten vollständig zur Verfügung. Eine automatisierte Entscheidungsfindung oder ein Profiling findet nicht statt.

9. Ihre Rechte

Sie haben das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21). Dazu genügt eine Nachricht an die oben genannte Adresse. Außerdem können Sie sich bei einer Datenschutz-Aufsichtsbehörde beschweren (Art. 77 DSGVO), zum Beispiel bei [[zuständige Aufsichtsbehörde im Bundesland des Betreibers]].

10. Stand

2. Oktober 2026