Datenschutzerklärung

Datenschutzbeauftragter

Wir haben einen Datenschutzbeauftragten benannt. Für Fragen zum Datenschutz erreichst Du ihn unter:

Nachrichten an diese E-Mail-Adresse liest nur unser Datenschutzbeauftragter.

Hosting

Die Website läuft auf einem Server der IONOS SE, Elgendorfer Straße 57, 56410 Montabaur, Deutschland. Mit der IONOS SE besteht ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO.

Webserver-Logdateien

Bei jedem Aufruf speichert der Webserver:

• IP-Adresse
• Datum und Uhrzeit
• Anfragezeile (Methode, aufgerufene URL, Protokoll)
• Statuscode und übertragene Datenmenge
• Referrer (die zuvor besuchte Seite, sofern Dein Browser sie übermittelt)
• User-Agent (Browser- und Systemkennung)

Tritt bei einem Aufruf ein Fehler auf, schreibt der Webserver zusätzlich einen Eintrag in sein Fehlerprotokoll, mit Zeitpunkt, IP-Adresse, aufgerufener URL und Fehlermeldung.

Unser Server sendet die Referrer-Policy „no-referrer“. Dein Browser gibt deshalb beim Verlassen unserer Seite keine Referrer-Angabe weiter.

Die Logdateien, einschließlich der Fehlerprotokolle, werden täglich rotiert, 7 Tage lang als Archiv aufbewahrt und danach gelöscht. Ein einzelner Eintrag bleibt damit höchstens 8 Tage gespeichert.

Anwendungs-Logdateien

Der Anwendungsserver protokolliert je Anfrage:

• Zeitpunkt
• IP-Adresse des Besuchers (vom vorgeschalteten Webserver übermittelt) und gegebenenfalls der Port der Verbindung zwischen Webserver und Anwendungsserver
• aufgerufene URL einschließlich Query-String sowie Host
• HTTP-Methode, Statuscode und Antwortzeit
• eine zufällig erzeugte Anfrage-ID

User-Agent, Referrer und Anfrage-Inhalte protokolliert er nicht. Cookies, Authorization-Header, CSRF-Token, Passwörter, Anmeldelinks, E-Mail-Adressen, Codes der Zwei-Faktor-Anmeldung, Lösungen des Spamschutzes und Geheimnisse werden in den Logs maskiert bzw. gar nicht erst übergeben. Bei Serverfehlern wird zusätzlich der technische Fehlerhergang protokolliert. Bei einzelnen Sicherheitsereignissen im Benutzerkonto-Bereich werden zusätzlich Benutzer-IDs und teilweise die Sitzungs-ID protokolliert, etwa bei einer Passwortänderung, bei einer Rollenänderung (ausführendes und betroffenes Konto), wenn ein bereits ersetztes Anmelde-Token erneut verwendet wird, bei der Anforderung und Einlösung eines Anmeldelinks (ob ein Konto existiert und ggf. dessen Benutzer-ID, nie die E-Mail-Adresse), beim Auslösen eines Löschlaufs im Adminbereich und bei Änderungen der System-Einstellungen (jeweils Benutzer-ID des Administrators, bei Einstellungen zusätzlich die Namen der geänderten Felder, keine Werte von Passwörtern).

Die Logs werden im Protokoll des Hosting-Systems gespeichert und nach 7 Tagen gelöscht.

Zähler zur Missbrauchsabwehr

Im Arbeitsspeicher des Servers (nicht in der Datenbank) führen wir kurzfristig Zähler:

• pro IP-Adresse (bei IPv6 pro Adressbereich /64) die Zahl der Anfragen (allgemein je 1 Minute; für Anmeldung, Passwortänderung, Einrichtung und Prüfung der Zwei-Faktor-Anmeldung, Token-Erneuerung, das Abrufen von Spamschutz-Aufgaben sowie das Prüfen und Einlösen von Anmelde- und Bestätigungslinks je 5 Minuten; für das Anfordern von Anmeldelinks und Bestätigungslinks für eine neue E-Mail-Adresse je 15 Minuten)
• pro Kombination aus Benutzername und IP-Adresse die Zahl fehlgeschlagener Anmeldeversuche (Zeitfenster 15 Minuten)
• für das Anfordern von Anmeldelinks: je Kombination aus E-Mail-Adresse und Browser (Hashwert des Zufallswerts aus dem Cookie __Host-rison_ml; Zeitfenster 1 Minute, 1 Stunde und 24 Stunden), je Kombination aus E-Mail-Adresse und IP-Adresse bzw. -Bereich (Zeitfenster 1 Stunde), je E-Mail-Adresse (Zeitfenster 1 Minute, 1 Stunde und 24 Stunden), für Adressen ohne Konto zusätzlich je Empfänger-Domain (1 Stunde) und insgesamt (1 Stunde und 24 Stunden) sowie die Gesamtzahl versendeter E-Mails (1 Stunde und 24 Stunden). Die E-Mail-Adresse halten wir dafür nur als pseudonymisierten Hashwert einer vereinheitlichten Schreibweise (Kleinschreibung, ohne „+“-Zusatz), gebildet mit einem zufälligen Schlüssel, der nur im Arbeitsspeicher liegt; die Domain im Klartext.
• je Registrierungslink die Zahl der damit versuchten, bereits vergebenen Benutzernamen (höchstens 60 Minuten; nach 5 Versuchen ist der Link verbraucht) und je Administratorkonto die Zahl angeforderter Adresswechsel (1 Stunde); Schlüssel sind ein Hashwert des Links bzw. die Benutzer-ID

Die Zähler sind in der Anzahl begrenzt, alte Einträge werden verdrängt. Jeder Eintrag verfällt mit seinem Zeitfenster, spätestens nach 24 Stunden. Bei einem Neustart des Servers gehen sie verloren.

Spamschutz (ALTCHA)

Die Formulare zur Anmeldung mit Passwort und zum Anfordern eines Anmeldelinks schützen wir mit ALTCHA, einem Spamschutz ohne Bilderrätsel.

Beim Absenden löst Dein Browser eine kleine Rechenaufgabe, die unser Server zuvor ausgegeben und signiert hat; der Server prüft die Lösung. Die Open-Source-Software läuft vollständig auf unserem Server bei der IONOS SE: Es werden keine Daten an den Anbieter von ALTCHA oder an andere Dritte übertragen, keine Cookies gesetzt, nichts in Deinem Browser gespeichert und keine Maus- oder Tastatureingaben ausgewertet.

Der Server verarbeitet dabei Deine IP-Adresse (Begrenzung der abrufbaren Aufgaben, siehe Zähler oben) und merkt sich bereits verwendete Aufgaben bis zu ihrem Ablauf nach höchstens 5 Minuten im Arbeitsspeicher, damit eine Lösung nicht mehrfach verwendet werden kann. Diese Einträge enthalten keine personenbezogenen Daten. Rechtsgrundlage ist unser berechtigtes Interesse am Schutz vor automatisierten Anfragen, Spam und dem Erraten von Passwörtern (Art. 6 Abs. 1 lit. f DSGVO).

Zweck und Rechtsgrundlage

Die Verarbeitung Deiner IP-Adresse ist technisch nötig, um Dir die Website auszuliefern. Die Speicherung in Logdateien und die Zähler dienen dem sicheren und stabilen Betrieb, der Fehleranalyse und der Abwehr von Angriffen und Missbrauch. Rechtsgrundlage ist unser berechtigtes Interesse an diesen Zwecken (Art. 6 Abs. 1 lit. f DSGVO). Wir führen diese Daten nicht mit anderen Datenquellen zusammen. Die Bereitstellung Deiner IP-Adresse ist weder gesetzlich noch vertraglich vorgeschrieben. Sie ist aber technisch erforderlich, um die Website an Dein Gerät auszuliefern; ohne sie können wir die Website nicht anzeigen.

4.1 Cookies

Die folgenden Cookies setzt der Server nur im Zusammenhang mit der Anmeldung für ein Benutzerkonto (Abschnitt 5). Alle sind „httpOnly“ (für JavaScript nicht lesbar), „Secure“ (nur über HTTPS) und „SameSite=Strict“ (nicht bei Aufrufen von fremden Seiten).

4.2 Lokaler Speicher (localStorage)

Ohne Deine Auswahl wird die Seite auf Deutsch angezeigt. Der Eintrag enthält keine Angaben zu Deiner Person und wird nur in Deinem Browser gelesen, nicht an uns übertragen. Er dient allein dazu, Deine Sprachwahl beim nächsten Besuch beizubehalten. Wir stützen uns dafür auf § 25 Abs. 2 Nr. 2 TDDDG. Du kannst den Eintrag jederzeit über die Browsereinstellungen löschen.

Andere Speicher in Deinem Browser (sessionStorage, IndexedDB, Cache API, Service Worker) nutzen wir nicht.

Gespeicherte Kontodaten

• Benutzername
• E-Mail-Adresse (in Kleinschreibung), an die wir Anmeldelinks schicken; bei per Link angelegten Konten immer vorhanden
• Passwort, falls vorhanden, ausschließlich als bcrypt-Hash, nie im Klartext (per Link angelegte Konten haben kein Passwort)
• Rolle (Spieler, Manager, Administrator)
• Geheimnis für die Zwei-Faktor-Anmeldung (TOTP), verschlüsselt gespeichert (AES-256-GCM), dazu ihr Status und der zuletzt verwendete Zeitschritt
• Zahl fehlgeschlagener Prüfungen des zweiten Faktors bzw. des aktuellen Passworts bei einer Passwortänderung, und gegebenenfalls das Ende einer Sperre (nach 5 Fehlversuchen wird das Konto für 15 Minuten gesperrt)
• Zeitpunkt der letzten Anmeldung, der Anlage und der letzten Änderung

Wir speichern im Konto keinen Klarnamen und keine IP-Adresse. Die E-Mail-Adresse zeigt die Anwendung weder anderen Nutzern noch Administratoren an (Administratoren sehen im Adminbereich nur ihre eigene Adresse); einsehen können sie sonst nur Personen mit direktem Zugriff auf die Datenbank (Betrieb, Bearbeitung von Auskunftsersuchen). Für Administratoren ist die Zwei-Faktor-Anmeldung verpflichtend, auch bei der Anmeldung per Link.

Ändert ein Administrator die System-Einstellungen (zum Beispiel Löschfristen oder den Mailversand), speichern wir, welches Konto die letzte Änderung vorgenommen hat und wann.

Administratoren können die E-Mail-Adresse ihres Kontos im Adminbereich hinterlegen oder ändern. Dafür schicken wir einen Bestätigungslink an die neue Adresse (gleiche Regeln wie für Anmeldelinks); erst nach der Bestätigung speichern wir sie. Dabei beenden wir die übrigen Sitzungen des Kontos, löschen offene Anmeldelinks der alten und der neuen Adresse und schicken an die bisherige Adresse einen Hinweis auf die Änderung.

Spielerkonten, mit denen sich 24 Monate lang niemand angemeldet hat, löschen wir automatisch und endgültig, samt Sitzungen, E-Mail-Adresse und offenen Anmeldelinks (Löschlauf in der Regel einmal täglich um 03:00 Uhr deutscher Zeit). Bei einem Konto, mit dem sich nie jemand angemeldet hat, zählt die Frist ab der Anlage; die Nutzung einer bestehenden Sitzung zählt wie eine Anmeldung. Vorher schicken wir keine Erinnerung per E-Mail. Ausgenommen sind Konten von Administratoren und Betreiberpersonal (wir löschen sie, sobald sie nicht mehr benötigt werden) und Konten mit gespeicherten Spielwelten (diese Funktion wird derzeit nicht genutzt).

Sitzungsdaten

Bei der Anmeldung sowie bei Einrichtung und Prüfung der Zwei-Faktor-Anmeldung speichern wir:

• Sitzungs-ID und Benutzer-ID
• Sitzungsstufe (Zwei-Faktor-Prüfung ausstehend oder aktiv)
• Hashwerte des aktuellen und des vorherigen Refresh-Tokens, nicht die Tokens selbst
• vollständige IP-Adresse und User-Agent (gekürzt auf 255 Zeichen)
• Zeitpunkte von Anlage, letzter Nutzung, Ablauf und Widerruf

Zweck ist eine sichere Sitzungsverwaltung: Wir erkennen damit gestohlene oder mehrfach verwendete Tokens und wehren unbefugte Zugriffe ab.

Eine Sitzung läuft nach 14 Tagen ohne Erneuerung ab, während der Zwei-Faktor-Prüfung nach 5 Minuten. Beim Abmelden wird die Sitzung widerrufen, bei einer Passwortänderung alle anderen Sitzungen des Kontos. Wird ein bereits ersetztes Refresh-Token erneut verwendet, widerrufen wir die betroffene Sitzung. Abgelaufene und widerrufene Sitzungsdatensätze löschen wir einschließlich IP-Adresse und User-Agent automatisch 30 Tage nach Ablauf bzw. Widerruf; der Löschlauf erfolgt in der Regel einmal täglich um 03:00 Uhr deutscher Zeit.

Anmeldung und Registrierung per E-Mail-Link

Gibst Du auf der Seite „Anmelden“ Deine E-Mail-Adresse ein, schicken wir Dir einen Link, mit dem Du Dich anmeldest. Gibt es zu der Adresse noch kein Konto, legst Du mit dem Link eines an: Das Konto entsteht erst, wenn Du den Link öffnest, einen Benutzernamen wählst und bestätigst. Ob es zu einer Adresse ein Konto gibt, verraten wir bei der Anforderung nicht.

Zu jedem Link speichern wir in der Datenbank:

• die E-Mail-Adresse, an die der Link geht
• einen SHA-256-Hash des Links (nicht den Link selbst), einen Hashwert aus Zweck, Adresse und Browser-Bindung sowie einen SHA-256-Hash der vereinheitlichten Adresse (Kleinschreibung, ohne Zusatz nach „+“, bei Gmail ohne Punkte), damit Schreibvarianten derselben Adresse gemeinsam gezählt werden
• einen SHA-256-Hash des Zufallswerts aus dem Cookie __Host-rison_ml (Browser-Bindung)
• Zweck (Anmeldung oder Bestätigung einer neuen Adresse, dann auch die Benutzer-ID), Zeitpunkt der Erstellung und des Ablaufs

Ein Link ist je nach Einstellung 5 bis 60 Minuten gültig und funktioniert nur einmal. Forderst Du im selben Browser einen neuen Link an, ersetzt er Deinen vorherigen und gilt nur so lange wie dieser; Links, die in anderen Browsern angefordert wurden, bleiben gültig (höchstens drei je Adresse gleichzeitig, Schreibvarianten wie name+x@ zählen zusammen). Sobald einer davon eingelöst ist, werden alle anderen Anmeldelinks dieser Adresse ungültig. Das Öffnen des Links meldet Dich noch nicht an; das geschieht erst, wenn Du auf der Seite bestätigst. Für Konten mit Zwei-Faktor-Anmeldung ist danach zusätzlich der Code aus der Authenticator-App nötig.

Der Link enthält das Einmal-Token nur im Fragment der Adresse (nach „#“). Diesen Teil überträgt Dein Browser nicht an unseren Server; er erscheint deshalb in keiner Logdatei. Die Seite entfernt ihn sofort aus der Adresszeile.

Den Datensatz löschen wir, sobald der Link eingelöst oder durch einen neuen ersetzt wurde, sonst beim ersten Löschlauf nach seinem Ablauf (in der Regel einmal täglich um 03:00 Uhr deutscher Zeit). Wird zu einer Adresse kein Konto angelegt, ist sie bei uns danach nur noch in den Protokollen des Mailsystems enthalten. Hat jemand Deine Adresse ohne Dein Wissen eingegeben, kannst Du die E-Mail einfach ignorieren: Ohne Einlösen entsteht kein Konto, und der Datensatz wird wie beschrieben gelöscht. Widersprechen kannst Du jederzeit (Abschnitt 10).

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Anmeldung und Anlage des Kontos auf Deine Anfrage) sowie Art. 6 Abs. 1 lit. f DSGVO für die Missbrauchsabwehr (Zähler, Browser-Bindung, Spamschutz). Ohne E-Mail-Adresse können wir Dir keinen Anmeldelink schicken.

E-Mail-Versand

Anmeldelinks verschicken wir über das Mailsystem unseres Servers bei der IONOS SE (Abschnitt 3, Auftragsverarbeitung). Absender ist eine Adresse der reDim GmbH (derzeit team@redim.de). Die E-Mails enthalten nur den Link, seine Gültigkeit und Hinweise, keine Bilder, keine Zählpixel und keine Links zu Dritten. Bis zur Übergabe an das Mailsystem liegt eine E-Mail im Arbeitsspeicher unserer Anwendung, bei vorübergehenden Fehlern für höchstens zwei weitere Zustellversuche innerhalb weniger Minuten. Kann das Mailsystem eine E-Mail nicht sofort zustellen, hält es sie samt Empfängeradresse und Link bis zu 5 Tage in seiner Warteschlange und versucht es erneut. An den Mailserver des Empfängers überträgt es E-Mails verschlüsselt (TLS), wenn dieser das unterstützt; ob die Übertragung verschlüsselt ist, hängt deshalb auch vom Mailanbieter des Empfängers ab. Die E-Mail landet beim Mailanbieter der Adresse, die Du angegeben hast; wo und wie dieser sie verarbeitet (auch außerhalb der EU), bestimmt Dein Anbieter, nicht wir.

Das Mailsystem des Servers protokolliert für jede E-Mail Absender, Empfängeradresse, Zeitpunkt und Zustellstatus (Speicherdauer siehe Abschnitt 9). Kann eine E-Mail nicht zugestellt werden, geht die Fehlermeldung (Rückläufer) nicht an das Absenderpostfach, sondern an ein eigenes Postfach auf unserem Server bei der IONOS SE (derzeit bounce@rison.de). Ein Rückläufer enthält oft die ursprüngliche E-Mail samt Empfängeradresse und Link. Wir nutzen Rückläufer nur, um Zustellprobleme zu erkennen, und löschen sie spätestens nach 30 Tagen. Rechtsgrundlage für die Protokolle und das Rückläufer-Postfach ist unser berechtigtes Interesse, die Zustellung der angeforderten E-Mails zu prüfen und Missbrauch abzuwehren (Art. 6 Abs. 1 lit. f DSGVO).

Antworten auf unsere E-Mails und Nachrichten an Adressen der reDim GmbH (zum Beispiel team@redim.de oder datenschutz@redim.de) verarbeitet das E-Mail-System der reDim GmbH.

Verschicken wir E-Mails künftig über einen anderen Mailserver, passen wir diese Erklärung vorher an.

Spielwelten

Das Datenmodell sieht gespeicherte Spielwelten mit Verweis auf ein Benutzerkonto vor. Die aktuelle Anwendung nutzt diese Funktion nicht.

Rechtsgrundlage für Benutzerkonten

Art. 6 Abs. 1 lit. b DSGVO (Bereitstellung des Kontos) und Art. 6 Abs. 1 lit. f DSGVO (Sicherheit des Systems, Missbrauchsabwehr). Eine gesetzliche Pflicht, diese Daten bereitzustellen, besteht nicht. Ohne sie können wir jedoch kein Konto anlegen; die Nutzung eines Kontos ist dann nicht möglich.

Empfänger

Wir geben diese Daten nicht an Dritte weiter. Die Datenbank läuft auf demselben Server der IONOS SE wie die Website (Abschnitt 3). Die IONOS SE kann als unsere Auftragsverarbeiterin technisch Zugriff haben.

Beschwerderecht (Art. 77 DSGVO)

Du kannst Dich bei einer Datenschutz-Aufsichtsbehörde beschweren, insbesondere in dem Mitgliedstaat Deines Aufenthaltsorts, Deines Arbeitsplatzes oder des mutmaßlichen Verstoßes. Für uns zuständig ist:

Der Hessische Beauftragte für Datenschutz und Informationsfreiheit
Gustav-Stresemann-Ring 1
65189 Wiesbaden