Datenschutzerklärung

1. Verantwortlicher

CyberClash ist ein Spiel von Voidra Games. Verantwortlich im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:

Ugur Cemal Akar (Voidra)
Alter Teichweg 32
22081 Hamburg
Telefon: +49 176 60397342
E-Mail: privacy@voidra.games

2. Das Wichtigste in Kürze

Für CyberClash brauchen Sie ein Konto. Wir verarbeiten die Daten, die das Spiel braucht: Konto, Spielstände, Online-Partien mit Chat, Freunde, Bestenlisten und Käufe. Absturzberichte sendet die App nur, wenn Sie das erlauben.

Die App nutzt keine Werbe-ID (IDFA), keine Standortdaten, keine Werbenetzwerke und kein Tracking. Wir selbst werten Ihre Nutzung nicht aus (keine Nutzungsanalyse wie etwa Google Analytics). Die eingebauten Firebase-Module übermitteln Google aber technische Angaben, siehe Abschnitte 8 und 9. Die App greift nicht auf Kamera, Mikrofon, Fotos oder Ihr Adressbuch (Kontakte-App) zu. Wir verkaufen keine Daten.

3. Konto und Anmeldung

Registrierung mit E-Mail: E-Mail-Adresse, Benutzername und Passwort. Das Passwort speichert Firebase nicht im Klartext, sondern nur als Hashwert. Firebase schickt Ihnen Bestätigungs- und Passwort-Mails.

"Mit Apple anmelden": eine Kennung Ihrer Apple-ID, Ihre E-Mail-Adresse (auf Wunsch eine anonyme Weiterleitungsadresse von Apple) und, wenn Sie ihn freigeben, Ihr Name. Danach wählen Sie einen Benutzernamen.

Jedes Konto erhält eine zufällige Nutzer-ID. Ihre E-Mail-Adresse sehen andere Spieler nicht.

4. Spielstände und Profil

Zu Ihrem Konto speichern wir: Benutzername, gewählten und freigeschaltete Charaktere, Level und Erfahrungspunkte je Charakter, Siege, Niederlagen und beste Siegesserie, Statistiken mit Ihren letzten Partien, Erfolge, Tagesaufgaben, Login-Serie, Designs, Spielwährung (Rabbits, Red Pills), gekaufte Inhalte und den Zeitpunkt der Kontoerstellung. So bleibt Ihr Fortschritt erhalten, auch auf einem neuen Gerät.

5. Online-Partien, Chat und Freunde

• Online-Partien: Benutzernamen und Nutzer-IDs beider Spieler, Einsatz, Spielzüge mit Zeitpunkt, Spielstand, eingesetzte Karten, Reaktionen und ob die Spieler gerade verbunden sind.
• Lobby: Wenn Sie eine offene Partie eröffnen, sehen andere angemeldete Spieler Ihren Benutzernamen, Ihre Nutzer-ID und den Einsatz.
• Chat: Nachrichten (bis 500 Zeichen) mit Absender und Zeitpunkt. Sie gehören zur jeweiligen Partie und werden mit ihr gelöscht.
• Freunde: Freundesliste und Freundschaftsanfragen mit Benutzername und Charakter, Herausforderungen mit Benutzername, Partie und Zeitpunkt. Andere Spieler können Sie über Ihren genauen Benutzernamen finden.
• Bestenlisten: Benutzername, Charakter, Siege, Niederlagen, beste Siegesserie und Saisonpunkte.
• Online-Status: Solange Sie angemeldet sind und die App verbunden ist, speichern wir, dass Sie online sind.
• Blockieren und Melden: Ihre Liste blockierter Spieler. Wenn Sie jemanden melden, speichern wir Benutzernamen und Nutzer-IDs beider Seiten, den Grund, die letzten Chat-Nachrichten der Partie (höchstens 20), Zeitpunkt und App-Version. Meldungen können nur wir lesen.

6. Was andere Spieler sehen

Angemeldete Spieler können Ihr Profil abrufen, also alle Angaben aus Abschnitt 4 außer der E-Mail-Adresse. Dazu gehören auch Spielwährung, gekaufte Inhalte (mit Transaktions-ID), Statistiken und Login-Serie. Außerdem sehen sie Ihre Einträge in den Bestenlisten und ob Sie online sind. Ihr Gegner sieht Ihre Züge und Chat-Nachrichten. Zu einem Benutzernamen lässt sich auch ohne Konto die zugehörige zufällige Nutzer-ID abfragen.

7. Käufe

In-App-Käufe wickelt Apple ab. Zahlungsdaten erhalten wir nicht. Damit wir einen Kauf Ihrem Konto gutschreiben können, schickt die App den von Apple signierten Kaufbeleg an unseren Server (Cloud Functions in Belgien). Wir prüfen ihn und speichern Transaktions-ID, Produkt, Art des Kaufs (Test- oder Echtkauf) und Zeitpunkt zu Ihrem Konto, damit ein Kauf nicht doppelt eingelöst wird. Kaufen Sie einen Charakter mit Spielwährung, speichern wir Preis, Währung und Zeitpunkt.

8. Absturzberichte (Firebase Crashlytics)

Die App sendet Absturzberichte nur, wenn Sie das erlauben: beim ersten Start über das freiwillige Kästchen oder später mit dem Schalter "Absturzberichte senden" unter Einstellungen > Rechtliches. Ohne Konto finden Sie den Schalter auf dem Anmeldebildschirm unter "Datenschutz & Rechtliches". Ab Werk ist der Schalter aus.

Mit Ihrer Einwilligung schickt die App nach einem Absturz einen Bericht an Google (Firebase Crashlytics): Fehlerprotokoll, App-Version, Gerätemodell, iOS-Version, Angaben zu Arbeitsspeicher und Speicherplatz, Zeitpunkt sowie zufällige Kennungen der Installation und der Sitzung. Zu Beginn jeder Sitzung meldet die App außerdem Sitzungs-Kennung, Installations-Kennung, Gerätemodell, iOS-Version, App-Version und Netzwerkart. Wir verknüpfen diese Daten nicht mit Ihrem Konto.

Zweck: Fehler finden und beheben. Rechtsgrundlage: Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG). Sie können sie jederzeit mit demselben Schalter widerrufen. Löschen Sie Ihr Konto, schaltet die App den Schalter ebenfalls aus. Google speichert die Berichte 90 Tage und kann sie weltweit verarbeiten, auch in den USA.

Das Ausschalten wirkt spätestens ab dem nächsten Start der App. Daten, die zu diesem Zeitpunkt schon zum Versand vorbereitet waren, können danach noch einmal übertragen werden. Berichte, die das Crashlytics-Modul auf dem Gerät vorgemerkt hat, löscht die App beim Start, solange der Schalter aus ist.

Das Crashlytics-Modul ist fest in die App eingebaut. Auch ohne Ihre Einwilligung legt es auf dem Gerät eine zufällige Installations-Kennung und einen Ordner für Fehlerberichte mit Angaben zu Gerät und App an und zeichnet Abstürze dort auf. Ohne Ihre Einwilligung verlassen diese Daten das Gerät nicht.

9. Firebase (Google) und Schutz vor Missbrauch

Wir nutzen Firebase von Google: Firebase Authentication für die Anmeldung, die Realtime Database für Profile, Spielstände, Partien, Chat, Freunde, Bestenlisten und Meldungen, Cloud Functions für die Kaufprüfung und automatische Löschläufe sowie App Check gegen manipulierte Apps. Google verarbeitet die Daten dabei in unserem Auftrag (Auftragsverarbeiter, Art. 28 DSGVO).

Realtime Database und Cloud Functions laufen in der Google-Cloud-Region europe-west1 (Belgien). Firebase Authentication verarbeitet Ihre Anmeldedaten laut Google ausschließlich in Rechenzentren in den USA.

Bei jedem Zugriff verarbeitet Firebase Ihre IP-Adresse und technische Angaben zur App (Gerätetyp, iOS-Version, App-Version). Anfragen an Firebase Authentication und App Check enthalten außerdem Angaben zu den verwendeten Firebase-Versionen und an welchen Tagen die App Firebase genutzt hat. Laut Google speichert Firebase Authentication IP-Adressen einige Wochen, die Realtime Database IP-Adressen und Geräteangaben einige Tage und Cloud Functions IP-Adressen nur vorübergehend. Protokolle unserer Cloud Functions (bei Käufen mit Nutzer-ID, Produkt und Transaktions-ID) löscht Google nach 30 Tagen.

Firebase App Check: Die App weist gegenüber Firebase mit Apples App Attest bzw. DeviceCheck nach, dass Anfragen aus der echten App kommen. Dazu erzeugt iOS auf Ihrem Gerät einen Nachweis, den Apple bestätigt. Firebase erhält daraufhin ein Token, das höchstens 7 Tage gilt.

Mehr dazu: firebase.google.com/support/privacy

10. Kontakt per E-Mail

Schreiben Sie uns eine E-Mail, etwa über Einstellungen > Hilfe & Support, verarbeiten wir Ihre E-Mail-Adresse, den Inhalt und die Angaben, die die App vorausfüllt (App-Version, Gerätemodell, iOS-Version, Sprache und Benutzername), um Ihnen zu antworten. Die vorausgefüllten Angaben können Sie vor dem Senden löschen.

Unsere Postfächer bei voidra.games betreibt Zoho in unserem Auftrag (Auftragsverarbeiter, Art. 28 DSGVO) im EU-Rechenzentrum von Zoho. Zoho gehört zu einer Unternehmensgruppe mit Sitz außerhalb der EU.

11. Speicherung auf Ihrem Gerät

Die App speichert auf Ihrem Gerät Ihre Anmeldung (im Schlüsselbund), Einstellungen, Spielstände, Wiederholungen von Partien, die Tagesserie für das Widget und die Daten für App Check. Das ist für den Dienst, den Sie nutzen wollen, unbedingt erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG). Erinnerungen plant die App nur lokal auf dem Gerät. Es werden keine Push-Tokens an Server übertragen.

Außerdem legen die eingebauten Firebase-Module selbst Daten auf dem Gerät ab: ein Protokoll, welche Firebase-Versionen an welchen Tagen aktiv waren (siehe Abschnitt 9), und das Crashlytics-Modul eine zufällige Installations-Kennung und lokale Fehlerdaten (siehe Abschnitt 8).

12. Zwecke und Rechtsgrundlagen

• Konto, Spielstände, Online-Partien, Chat, Freunde, Bestenlisten und das Gutschreiben von Käufen: Erfüllung des Nutzungsvertrags (Art. 6 Abs. 1 lit. b DSGVO).
• Melden und Blockieren, App Check, Server-Protokolle und der Schutz vor doppelt eingelösten Käufen: unser berechtigtes Interesse an einem sicheren, fairen und missbrauchsfreien Spielbetrieb (Art. 6 Abs. 1 lit. f DSGVO).
• Absturzberichte: Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG).
• E-Mail-Anfragen: Art. 6 Abs. 1 lit. b DSGVO, wenn es um Ihr Konto oder das Spiel geht, sonst unser berechtigtes Interesse, Anfragen zu beantworten (Art. 6 Abs. 1 lit. f DSGVO).
• Speichern und Auslesen auf Ihrem Gerät für Anmeldung, Einstellungen, Spielstände, Widget und App Check: § 25 Abs. 2 Nr. 2 TDDDG. Auslesen und Senden von Absturzberichten und Sitzungsdaten: Ihre Einwilligung (§ 25 Abs. 1 TDDDG).

13. Empfänger

• Google (Firebase) als Auftragsverarbeiter, siehe Abschnitte 8 und 9.
• Zoho als Auftragsverarbeiter für E-Mails, siehe Abschnitt 10.
• Apple als eigener Verantwortlicher: App Store (Download und Käufe), "Mit Apple anmelden", App Attest und DeviceCheck.
• Andere Spieler, siehe Abschnitt 6.

14. Übermittlung in Drittländer

Firebase Authentication verarbeitet Daten in den USA, Crashlytics weltweit. Auch bei den übrigen Firebase-Diensten und bei Zoho lässt sich eine Übermittlung in Länder außerhalb der EU nicht ausschließen.

Google LLC ist unter dem EU-US Data Privacy Framework zertifiziert (Angemessenheitsbeschluss der EU-Kommission, Art. 45 DSGVO). Die Datenverarbeitungsbedingungen von Google für Firebase sehen zusätzlich die Standardvertragsklauseln der EU-Kommission vor (Art. 46 Abs. 2 lit. c DSGVO). Der Vertrag zur Auftragsverarbeitung von Zoho beruht auf den Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO).

15. Speicherdauer

• Konto, Profil, Spielstände, Freunde und Bestenlisten: bis Sie Ihr Konto löschen.
• Online-Partien samt Chat: automatisch 24 Stunden nach Spielbeginn. Der Löschlauf läuft stündlich.
• Lobby-Einträge: wenn Sie die Lobby verlassen, spätestens nach etwa 2 Stunden.
• Online-Status: bis die Verbindung endet.
• Herausforderungen: in der Regel nach 2 Minuten.
• Meldungen: automatisch 12 Monate nach Eingang. Der Löschlauf läuft täglich.
• Kaufbelege (Transaktions-ID, Produkt, Art des Kaufs, Zeitpunkt): dauerhaft, auch nach einer Kontolöschung, damit derselbe Kauf nicht ein zweites Mal eingelöst werden kann. Die Nutzer-ID im Kaufbeleg entfernen wir automatisch 3 Jahre nach der Gutschrift. Haben Sie die Werbung per Kauf entfernt, bleibt die Transaktions-ID dieses Kaufs außerdem in Ihrem Profil, bis Sie Ihr Konto löschen (siehe Abschnitt 6).
• Server-Protokolle: laut Google einige Tage (Realtime Database) bis einige Wochen (Authentication), Protokolle der Cloud Functions 30 Tage.
• Absturzberichte: 90 Tage.
• E-Mails: bis Ihre Anfrage erledigt ist, soweit keine gesetzliche Aufbewahrungspflicht besteht.

16. Konto löschen

Sie können Ihr Konto jederzeit in der App unter Einstellungen > Konto löschen entfernen. Wir löschen dann sofort Ihr Konto, Ihr Profil mit den Spielständen, Ihre Freundesliste, Bestenlisten-Einträge, Online-Status, Ihre Liste blockierter Spieler und Ihre Online-Partien. Die Einwilligung in Absturzberichte schaltet die App auf diesem Gerät aus.

Nicht sofort gelöscht werden: Meldungen, die Sie abgegeben haben oder die Sie betreffen (bis 12 Monate nach Eingang), Kaufbelege (die Zuordnung zu Ihrem Konto bis 3 Jahre nach der Gutschrift, siehe Speicherdauer), noch offene Freundschaftsanfragen und Herausforderungen, die Sie an andere geschickt haben, sowie Einträge in den Blockierlisten anderer Spieler. In Sicherungskopien und Protokollen von Google können Anmeldedaten noch bis zu 180 Tage, Protokolle der Cloud Functions bis zu 30 Tage und Absturzberichte bis zu 90 Tage liegen.

17. Pflicht zur Angabe und automatisierte Entscheidungen

Außer der Einführung mit Übungsrunde können Sie CyberClash nur mit einem Konto spielen. Ohne E-Mail-Adresse oder Apple-ID können Sie kein Konto anlegen. Gesetzlich oder vertraglich verpflichtet sind Sie dazu nicht. Absturzberichte sind freiwillig. Eine automatisierte Entscheidungsfindung einschließlich Profiling (Art. 22 DSGVO) findet nicht statt.

18. Ihre Rechte

Sie haben das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16 DSGVO), Löschung (Art. 17 DSGVO), Einschränkung der Verarbeitung (Art. 18 DSGVO), Datenübertragbarkeit (Art. 20 DSGVO) und Widerspruch (Art. 21 DSGVO, siehe Abschnitt 19). Eine Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3 DSGVO). Schreiben Sie dazu an privacy@voidra.games.

Sie können sich außerdem bei einer Datenschutz-Aufsichtsbehörde beschweren (Art. 77 DSGVO). Für uns zuständig ist der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit.

19. Widerspruchsrecht (Art. 21 DSGVO)

20. Kinder

Unser Angebot richtet sich nicht an Kinder unter 16 Jahren. Personen unter 16 Jahren dürfen die App nur mit Zustimmung der Erziehungsberechtigten nutzen. Konten, die erkennbar von Kindern unter 16 Jahren ohne diese Zustimmung angelegt wurden, löschen wir unverzüglich.

21. Änderungen

Wir passen diese Datenschutzerklärung an, wenn sich die App oder die Rechtslage ändert. Sie steht gleichlautend in der App und unter voidra.games/cyberclash/datenschutz.html.