Datenschutzerklärung

Verantwortlich für die Datenverarbeitung in dieser App ist:

Ein Datenschutzbeauftragter ist derzeit nicht benannt, da die gesetzlichen Voraussetzungen hierfür nicht vorliegen.

Diese App verarbeitet ausschließlich die folgenden Daten:

• Konto-/Login-Daten: E-Mail-Adresse und ein verschlüsselt gespeichertes Passwort (Hash), die bei der Registrierung angelegt werden. Das Passwort wird nie im Klartext gespeichert.
• Spielerprofile: Anzeigename bzw. Spielername innerhalb einer Liga sowie die Zuordnung von Konten zu Ligen (Mitgliedschaft, Rolle).
• Partiedaten: eingetragene Spielergebnisse, beteiligte Spieler:innen und gewählte Charaktere, Bestätigungen sowie Löschanträge/-abstimmungen zu Partien.
• Ranglisten und Statistiken: aus den Partiedaten abgeleitete Auswertungen (z. B. Elo-Werte, Gewinnraten, Charakterstatistiken). Diese werden nicht zusätzlich eingegeben, sondern automatisch berechnet.
• Technische Daten: Beim Aufruf der App verarbeitet der Hosting-Dienst technisch notwendige Verbindungsdaten (z. B. IP-Adresse, Zeitpunkt, abgerufene Seite) in Server-Logs zur Bereitstellung und Absicherung des Dienstes.

• Betrieb des Kontos und Anmeldung (Art. 6 Abs. 1 lit. b DSGVO – Vertragserfüllung).
• Durchführung der Liga: Partien eintragen, bestätigen und löschen (Art. 6 Abs. 1 lit. b DSGVO).
• Berechnung und Anzeige von Ranglisten und Statistiken innerhalb der Liga (Art. 6 Abs. 1 lit. b DSGVO).
• Technische Bereitstellung und Sicherheit der App, inklusive Server-Logs (Art. 6 Abs. 1 lit. f DSGVO – berechtigtes Interesse an einem sicheren Betrieb).

Es findet kein Tracking zu Werbezwecken, kein Profiling und keine Weitergabe von Daten zu Marketingzwecken statt.

Die App wird über die Plattform Lovable betrieben. Alle App-Daten (Konten, Profile, Partien, Ligen) liegen in einer verwalteten Cloud-Datenbank (Supabase-Technologie). Der Zugriff ist durch datenbankseitige Zugriffsregeln (Row Level Security) beschränkt, sodass Nutzer:innen nur die Daten ihrer eigenen Ligen sehen.

TODO: Genauen Hosting-Standort / Serverregion eintragen

Diese App verwendet den lokalen Speicher deines Browsers (Local Storage) für technisch notwendige Einstellungen:

• Anmeldesitzung: ein Sitzungsschlüssel (Spielstein), damit du eingeloggt bleibst. Er wird beim Abmelden gelöscht.
• Spracheinstellung (Deutsch/Englisch).
• Zuletzt gewählte Liga, damit du beim nächsten Besuch direkt in derselben Liga landest.
• Anzeige-Einstellungen, zum Beispiel der Filter „nur eigene Figuren“.
• Turnier-Gastzugang: ein Zugangsschlüssel pro Turnier, falls du ohne Konto über einen Einladungslink teilnimmst. Ohne ihn könntest du deine Turnierteilnahme im Browser nicht mehr fortsetzen.

Darüber hinaus setzt die App keine eigenen Cookies, kein Werbe-Tracking und keine Analyse-Werkzeuge ein. Eine Einwilligung nach § 25 TDDDG ist für die genannten technisch notwendigen Speicherungen nicht erforderlich.

• Hosting und Datenbank: Lovable (App-Plattform und Bereitstellung) sowie Supabase (Datenbank und Anmeldedienst) verarbeiten Daten in unserem Auftrag (Auftragsverarbeitung).
• E-Mail-Versand: Benachrichtigungen (z. B. Einladungen, Hinweise auf ausstehende Bestätigungen) werden über den Resend-Dienst versendet, technisch angebunden über Lovable. Dazu wird deine E-Mail-Adresse an Resend übermittelt; eine Verarbeitung in den USA ist dabei möglich (Drittlandtransfer).
• Schriftarten: Die App lädt Schriften von Google Fonts. Dabei wird deine IP-Adresse an Server von Google übertragen; dies kann auch in die USA erfolgen (Drittlandtransfer). Google stellt die Schriften im Rahmen des EU-US Data Privacy Framework bereit.
• KI-Regelorakel: Fragen und optional hochgeladene Fotos werden über das Lovable AI Gateway an das dort genutzte Sprachmodell von OpenAI übermittelt und dort verarbeitet. Dies kann eine Übermittlung in die USA umfassen (Drittlandtransfer).

Eine darüber hinausgehende Übermittlung von Daten in Drittländer findet nicht statt.

TODO: Auftragsverarbeitungsverträge (DPA) mit den Dienstleistern prüfen und benennen

Zweck: Im Regelorakel unter „Regeln & FAQ“ kannst du eine Regelfrage stellen und optional ein Foto hinzufügen, zum Beispiel von einem Hero Board, einer Karte, einem Status-Spielstein oder einer Spielsituation. Das Foto dient allein dazu, den passenden Charakter, Text oder Zustand zu erkennen. Rechtsgrundlage ist dein Wunsch nach dieser Auswertung (Art. 6 Abs. 1 lit. b bzw. f DSGVO).

Datenart: der Fragetext sowie – falls du eines hinzufügst – das Foto. Bitte fotografiere nur Spielmaterial und keine Personen oder sonstigen persönlichen Inhalte.

Verarbeitung: Das Foto wird im Browser verkleinert und neu erzeugt, wodurch Metadaten wie EXIF- und GPS-Angaben entfernt werden. Es wird nur für die aktuelle Anfrage übertragen, nicht in der App-Datenbank oder in einem öffentlichen Speicher abgelegt und es entsteht keine öffentlich abrufbare Bild-URL.

Empfänger: Die Anfrage und das Foto werden über das Lovable AI Gateway (Lovable) an das dort eingesetzte OpenAI-Modell weitergeleitet, das das Bild auswertet. Dabei kann eine Verarbeitung in den USA erfolgen.

Kein automatisches Speichern: Ein Foto wird nie automatisch aufbewahrt. Nur wenn du ein Bild später ausdrücklich über eine eigene Funktion (z. B. eine Fehlermeldung) übermittelst, wird es für diesen Zweck gespeichert.

Zusätzlich zur Anmeldung mit E-Mail und Passwort kannst du dich freiwillig über „Sign in mit Apple“ oder „Sign in mit Google“ anmelden. Zweck ist ausschließlich die Anmeldung und die Zuordnung zu deinem Konto. Rechtsgrundlage ist die Bereitstellung der von dir gewünschten Anmeldung (Art. 6 Abs. 1 lit. b DSGVO).

Dabei können folgende Daten verarbeitet werden: die Anbieter-Kennung (Provider-ID) deines Kontos, die vom Anbieter übermittelte E-Mail-Adresse – bei Apple auf deinen Wunsch auch eine Relay-Adresse („Hide My Email“) – sowie ein Name, soweit du ihn freigibst. Es werden keine weiteren Berechtigungen angefordert: nur die Standard-Anmeldedaten (Profil, E-Mail, OpenID) für die Kontozuordnung.

Wenn die vom Anbieter bestätigte E-Mail-Adresse bereits zu einem bestehenden Konto gehört, wird die Anmeldung diesem Konto zugeordnet, damit kein zweites Spielerprofil entsteht. Weicht die Adresse ab (z. B. Apple-Relay-Adresse), erfolgt keine stille Zusammenführung; du kannst die Methode stattdessen in deinem Profil unter „Anmeldemethoden“ bewusst verknüpfen oder wieder trennen.

Empfänger sind Apple Inc. (Apple-ID bzw. „Sign in mit Apple“) bzw. Google Ireland Limited/Google LLC (Google-Konto) sowie unser Auth-Dienst bei Lovable/Supabase, der die Anmeldung technisch abwickelt. Beim Aufruf der Anbieterseite verarbeitet der jeweilige Anbieter auch deine IP-Adresse und Geräteangaben eigenverantwortlich. Eine Verarbeitung in den USA und damit eine Drittlandübermittlung ist dabei möglich.

Datenschutzinformationen der Anbieter: Apple unter https://www.apple.com/legal/privacy/ und Google unter https://policies.google.com/privacy. Die Nutzung ist freiwillig; die Anmeldung mit E-Mail und Passwort bleibt ohne Anbieter möglich.

Wenn du in deinem Profil E-Mail-Benachrichtigungen aktiviert hast, verschicken wir Nachrichten zu deinen Ligen und Turnieren (z. B. Einladung, ausstehende Bestätigung, bestätigtes Ergebnis, automatische Bestätigung nach Ablauf der Frist). Rechtsgrundlage ist die Durchführung der Liga-/Turniernutzung (Art. 6 Abs. 1 lit. b DSGVO).

Du kannst E-Mail-Benachrichtigungen in deinem Profil jederzeit abschalten. Gäste ohne Konto erhalten keine E-Mails, da für sie keine E-Mail-Adresse gespeichert wird.

Konto- und Ligadaten werden gespeichert, solange das Konto bzw. die Liga-Mitgliedschaft besteht. Partien können von den beteiligten Spieler:innen über das Löschverfahren der App entfernt werden. Beim Löschen eines Kontos werden die zugehörigen personenbezogenen Daten gelöscht; bereits bestätigte Partien anderer Spieler:innen bleiben in anonymisierter Form bestehen.

TODO: Konkrete Aufbewahrungs- und Löschfristen festlegen

Du hast das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch gegen die Verarbeitung (Art. 15–21 DSGVO). Wende dich dafür an die oben genannte verantwortliche Stelle. Sofern die Verarbeitung auf einer Einwilligung beruht, kannst du diese jederzeit mit Wirkung für die Zukunft widerrufen.

Außerdem hast du das Recht, dich bei einer Datenschutz-Aufsichtsbehörde zu beschweren, wenn du der Ansicht bist, dass die Verarbeitung deiner Daten gegen Datenschutzrecht verstößt.

Diese Datenschutzerklärung wird angepasst, wenn sich die verwendete Technik oder die verarbeiteten Daten ändern. Die jeweils aktuelle Version ist an dieser Stelle abrufbar.