Datenschutzerklärung

Stand: [Datum]

Diese Erklärung beschreibt, welche personenbezogenen Daten wir verarbeiten, wenn du die Website von AscendMMO besuchst und das Spiel spielst, wozu wir das tun und welche Rechte du hast.

1. Verantwortlicher

[Vorname Nachname]
[ggf. Firmenname]
[Straße Nr.]
[PLZ Ort]
[Land]
E-Mail: [E-Mail für Datenschutzanfragen]

2. Datenschutzbeauftragter

[Ein Datenschutzbeauftragter ist nicht benannt, weil keine gesetzliche Pflicht dazu besteht. – ODER: Name und Kontaktdaten des Datenschutzbeauftragten]

3. Das Wichtigste in Kürze

Wir verarbeiten nur Daten, die wir für den Betrieb des Spiels, die Sicherheit deines Kontos und ein faires Spiel brauchen.
Keine Werbung, kein Tracking, keine Analyse-Tools, keine Social-Media-Plugins. Wir verkaufen keine Daten.
Wir setzen nur technisch notwendige Cookies. Deshalb gibt es kein Cookie-Banner.
Schriftarten und Grafiken liefern wir selbst aus; beim Aufruf werden keine Daten an Google Fonts oder ähnliche Dienste übertragen.
Du kannst deine Daten jederzeit in den Einstellungen herunterladen und dein Konto löschen.

4. Aufruf der Website und des Spiels

Server-Logdateien. Bei jedem Aufruf verarbeitet unser Server technisch notwendige Daten: deine IP-Adresse, Datum und Uhrzeit, die aufgerufene Adresse (ohne Parameter), Protokoll, Statuscode und übertragene Datenmenge. Wir schreiben bewusst keine Parameter (sie können Bestätigungs-Links enthalten) und keinen Referrer in die Logs. Zweck: Auslieferung der Seiten, Fehlersuche und Abwehr von Angriffen. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem sicheren und stabilen Betrieb). Die Logs werden nach [Anzahl] Tagen gelöscht.

Schutz vor Überlastung (Rate Limiting). Um Angriffe wie das massenhafte Ausprobieren von Passwörtern abzuwehren, zählt unser Server kurzzeitig im Arbeitsspeicher die Anfragen pro IP-Adresse. Diese Zähler werden nicht dauerhaft gespeichert. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.

Cloudflare. Die Verbindung zu unseren Seiten läuft über das Netzwerk von Cloudflare (Cloudflare, Inc., 101 Townsend St., San Francisco, CA 94107, USA), das die Verschlüsselung (TLS), die Auslieferung und den Schutz vor Angriffen übernimmt. Dabei verarbeitet Cloudflare deine IP-Adresse und die technischen Daten der Anfrage. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (sichere und schnelle Auslieferung, Schutz vor Angriffen). Zur Übermittlung in die USA siehe Abschnitt 13.

5. Benutzerkonto

Für das Spiel brauchst du ein Konto. Wir speichern:

deine E-Mail-Adresse,
dein Passwort nur als sicheren Hash (nie im Klartext),
deine Sprache (Deutsch oder Englisch),
die Bestätigung, dass du mindestens 16 Jahre alt bist, und die Version der Nutzungsbedingungen, die du akzeptiert hast,
den verwendeten Einladungscode (solange die Alpha nur mit Einladung offen ist),
Zeitpunkt der Registrierung und der E-Mail-Bestätigung, Kontostatus und Rolle (z. B. Spieler oder Moderator).

Zweck ist die Bereitstellung deines Kontos und des Spiels. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertrag über die Nutzung des Spiels).

Schutz vor Passwort-Angriffen. Nach mehreren falschen Anmeldeversuchen sperren wir die Anmeldung für die betroffene E-Mail-Adresse kurz. Dazu speichern wir nur einen Hash der E-Mail-Adresse und die Anzahl der Fehlversuche; die Daten werden nach einer erfolgreichen Anmeldung bzw. spätestens nach etwa einer Stunde gelöscht. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.

6. Anmeldung, Sitzungen und Cookies

Wenn du angemeldet bist, speichern wir zu jeder Sitzung (ein Gerät bzw. Browser) den Zeitpunkt der Anmeldung und der letzten Nutzung sowie eine grobe Angabe zu Browser und Betriebssystem (z. B. „Firefox unter Windows“). So kannst du in den Einstellungen sehen, wo du angemeldet bist, und dich überall abmelden.

Wir verwenden ausschließlich technisch notwendige Cookies und Speicher im Browser (§ 25 Abs. 2 Nr. 2 TDDDG; Rechtsgrundlage für die weitere Verarbeitung: Art. 6 Abs. 1 lit. b und f DSGVO):

access_token – hält dich angemeldet; gültig 15 Minuten.
refresh_token – erneuert die Anmeldung, ohne dass du dich neu einloggen musst; gültig bis zu [30] Tage, wird bei jeder Nutzung ausgetauscht.
ascend_did – eine zufällige Gerätekennung, die wir nur verschlüsselt (gehasht) auswerten, um Konto-Missbrauch und Mehrfachkonten zu erkennen (siehe Abschnitt 9); gültig 400 Tage.
ascend_maint_bypass – nur für Mitglieder des Teams: Zugang während Wartungsarbeiten; gültig 12 Stunden.
Lokaler Speicher des Browsers (localStorage/sessionStorage) – deine Spracheinstellung, die Einstellung für reduzierte Animationen, wann du zuletzt eine Bestätigungs-Mail angefordert oder den Hinweis dazu ausgeblendet hast und (auf der Startseite am Handy) ob du alle Inhalte aufgeklappt hast. Diese Daten bleiben in deinem Browser und werden nicht an uns übertragen.

Die Cookies sind auf unsere Domains beschränkt, für Skripte nicht lesbar (HttpOnly) und werden nur verschlüsselt übertragen.

7. Spielbetrieb

Damit das Spiel funktioniert, speichern wir deinen Spielstand: Charakter (Name, Familienname, Aussehen, Klasse, Stufe, Werte), Familie und Generationen, Inventar und Tresor, laufende und abgeschlossene Aktionen, Kämpfe und Dungeon-Läufe, ein Aktivitätsprotokoll, Berufe, Sammlungen, Event-Fortschritt und kosmetische Gegenstände. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

Wirtschaft. Jede Bewegung der Spielwährungen Gold und Jade wird in einem Kassenbuch (Ledger) protokolliert, ebenso Handel im Auktionshaus und an der Jade-Börse, Mitgliedschaften sowie Einzahlungen und Entnahmen bei Gilden. Das dient dem Spielbetrieb, der Nachvollziehbarkeit und der Aufdeckung von Betrug und Echtgeldhandel. Rechtsgrundlage: Art. 6 Abs. 1 lit. b und f DSGVO. Derzeit gibt es keine Käufe mit echtem Geld; Jade wird in der Testphase nur vom Team vergeben.

Für andere sichtbar sind dein Charaktername und Familienname, Stufe, Klasse, Aussehen, dein Profil (inklusive eines freiwilligen Profiltexts), deine Platzierungen in Ranglisten, deine Gilde, deine Angebote im Auktionshaus sowie deine Nachrichten im öffentlichen Chat und im Gilden-Chat.

8. Chat, Freunde, Online-Status, Meldungen und Moderation

Chat. Wir speichern Nachrichten im öffentlichen Chat, im Gilden-Chat und Flüsternachrichten (private Nachrichten) mit Absender, Kanal und Zeitpunkt, um sie zuzustellen und Missbrauch verfolgen zu können. Ein automatischer Filter prüft Nachrichten auf verbotene Inhalte. Flüsternachrichten sehen Moderatoren nur, wenn sie Teil einer Meldung sind. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Chatfunktion) und lit. f (Schutz der Community).

Freunde und Blockierungen. Wir speichern deine Freundschaften, Freundschaftsanfragen, blockierten Spieler und deine Einstellungen (wer dir flüstern darf, ob Freunde und Gilde deinen Online-Status und Aufenthaltsort sehen, Sprachen des globalen Chats). Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

Echtzeit-Verbindung und Online-Status. Während du spielst, hält dein Browser eine Echtzeit-Verbindung (WebSocket) zu unserem Server, über die Chat-Nachrichten und Spielereignisse sofort ankommen. Solange die Verbindung besteht, merken wir uns, dass du online bist; beim Trennen wird das gelöscht. Deinen Status und Aufenthaltsort sehen nur Freunde und Gildenmitglieder, und nur, wenn du das in den Einstellungen erlaubst.

Meldungen und Moderation. Wenn du einen Spieler oder eine Nachricht meldest, speichern wir die Meldung zusammen mit einer Kopie der betroffenen Nachrichten als Beweis. Moderationsmaßnahmen (Verwarnung, Stummschaltung, Handelssperre, Sperre), Einsprüche und alle Aktionen des Teams werden protokolliert. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (sicheres, faires Spiel; Erkennen wiederholter Verstöße).

9. Schutz vor Betrug, Mehrfachkonten und Bots

Konto-Signale. Um Mehrfachkonten und Kontenmissbrauch zu erkennen, speichern wir pro Tag nur verschlüsselte Prüfwerte (HMAC-Hashes): einen Hash der Gerätekennung aus dem Cookie ascend_did und einen Hash deiner gekürzten IP-Adresse (nur das Netz, IPv4 /24 bzw. IPv6 /48). Die vollständige IP-Adresse speichern wir dafür nicht. Aus übereinstimmenden Werten leiten wir Verknüpfungen zwischen Konten ab, die z. B. Handel zwischen eigenen Konten verhindern. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Betrugsprävention, faire Spielwirtschaft).

Bot-Erkennung (Guardian). Damit Bots und Makros kein unfaires Spiel ermöglichen, werten wir Spieltelemetrie automatisiert aus (Profiling): Reaktionszeiten und Klickpositionen beim Momentum-Knopf, Szenenfunde, Momentum-Prüfungen, Sitzungszeiten, Wirtschafts- und Handelssignale sowie Antworten auf Prüfungen im Spiel. Daraus berechnen wir täglich Merkmale und eine Bewertung. Mögliche Folgen: eine kurze Prüfung im Spiel („Ein wandernder Geist versperrt dir den Weg“), vorübergehend zurückgehaltene Handelserlöse oder die Vorlage bei unserem Team. Die Auswertung sperrt oder beschränkt dich nie von selbst: Einschränkungen wie eine Drosselung oder Sperre beschließt immer ein Mensch, sie werden dir erklärt, und du kannst Einspruch einlegen. Es findet daher keine ausschließlich automatisierte Entscheidung im Sinne von Art. 22 DSGVO statt. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Schutz vor Betrug und Manipulation, faires Spiel für alle).

10. E-Mails

Wir senden dir E-Mails nur, wenn es für dein Konto nötig ist: zur Bestätigung deiner E-Mail-Adresse und zum Zurücksetzen deines Passworts. Die Links darin sind einmalig und laufen ab (Bestätigung nach 24 Stunden, Passwort-Reset nach 1 Stunde). Keine Newsletter, keine Werbung. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

11. Mitarbeitende und Moderation

Zugriff auf personenbezogene Daten haben nur die Betreiber und – soweit für ihre Aufgabe nötig – Mitglieder des Moderationsteams (z. B. für Meldungen, Einsprüche und Prüfungen von Guardian-Hinweisen). Jeder Zugriff über die Moderationswerkzeuge wird protokolliert.

12. Empfänger und Auftragsverarbeiter

Wir geben deine Daten nicht an Dritte weiter, außer an Dienstleister, die sie in unserem Auftrag und nach unseren Weisungen verarbeiten (Art. 28 DSGVO):

Hosting: [Name und Anschrift des Hosting-Anbieters], Serverstandort: [Land]. Betrieb der Server und Datenbank.
Cloudflare, Inc. (USA): Auslieferung der Seiten, TLS-Verschlüsselung, Schutz vor Angriffen (siehe Abschnitt 4).
E-Mail-Versand: [Name und Anschrift des E-Mail-Anbieters], Serverstandort: [Land]. Versand der Bestätigungs- und Passwort-Mails.
Zahlungsanbieter: derzeit keiner. Wenn wir Käufe mit echtem Geld einführen, ergänzen wir diese Erklärung vorher.

Darüber hinaus geben wir Daten nur weiter, wenn wir gesetzlich dazu verpflichtet sind (z. B. an Behörden).

13. Übermittlung in Drittländer

Cloudflare, Inc. hat ihren Sitz in den USA. Die Übermittlung stützt sich auf [den Angemessenheitsbeschluss der EU-Kommission zum EU-US Data Privacy Framework, unter dem Cloudflare zertifiziert ist / die EU-Standardvertragsklauseln – bitte prüfen und anpassen]. [Falls Hosting- oder E-Mail-Anbieter außerhalb der EU sitzen: hier ergänzen.] Alle übrigen Daten verarbeiten wir in der Europäischen Union.

14. Speicherdauer

Wir löschen Daten, sobald sie für ihren Zweck nicht mehr nötig sind. Im Einzelnen:

Konto und Spielstand (inklusive Aktionen, Kämpfen, Aktivitätsprotokoll): solange dein Konto besteht.
Sitzungen: abgemeldete Sitzungen 30 Tage nach der Abmeldung, alle übrigen spätestens [60] Tage nach dem Start.
Bestätigungs- und Passwort-Links: 7 Tage nach Ablauf.
Server-Logdateien: [Anzahl] Tage.
Chat-Nachrichten: 30 Tage.
Meldungen samt Beweisen: 180 Tage nach Abschluss des Falls; Einsprüche: 180 Tage nach der Entscheidung; Sanktionen: 24 Monate nach ihrem Ende.
Konto-Signale und Verknüpfungen (Hashes): 30 Tage.
Guardian-Rohdaten (Telemetrie, Prüfungen): 90 Tage; tägliche Merkmale: 12 Monate.
Kassenbuch (Gold): Einzelbuchungen 180 Tage, danach nur noch zusammengefasste Werte ohne Personenbezug.
Handelsereignisse zu Gegenständen: 180 Tage; Gildenprotokolle: 90 Tage.
Jade und Mitgliedschaften der Testphase: werden zum Start der Beta gelöscht. Sobald es echte Käufe gibt, bewahren wir Kaufbelege so lange auf, wie es Handels- und Steuerrecht verlangen (bis zu 10 Jahre).
Protokoll der Team-Aktionen: [Frist festlegen].
Datensicherungen (Backups): Gelöschte Daten können noch bis zu [21] Tage in Backups enthalten sein, bis diese automatisch überschrieben werden.

15. Datenexport und Kontolöschung

In den Einstellungen kannst du jederzeit alle Daten, die wir zu deinem Konto gespeichert haben, als Datei herunterladen (Art. 15 und 20 DSGVO). Aus Sicherheitsgründen enthält der Export keine Passwort-Hashes und keine Geheimnisse des Spiels; abgeleitete Guardian-Bewertungen der letzten 30 Tage halten wir zurück, damit die Bot-Erkennung nicht ausgetrickst werden kann.

Du kannst dein Konto in den Einstellungen löschen. Nach einer Wartezeit von 7 Tagen (eine erneute Anmeldung bricht die Löschung ab) werden Konto, Charakter und alle zugehörigen Spieldaten gelöscht. Ausnahmen: Einträge im Kassenbuch werden anonymisiert statt gelöscht; in Meldungen, Gildenprotokollen und Handelsverläufen erscheinst du danach als „gelöschter Spieler“; Sanktionen bewahren wir bis zum Ende ihrer Frist auf, um wiederholten Missbrauch zu verhindern (Art. 6 Abs. 1 lit. f DSGVO). Für 30 Tage bleibt ein gehashter Verweis auf Geräteverknüpfungen des gelöschten Kontos bestehen, damit Gildenguthaben nicht über gelöschte Konten verschoben werden können.

16. Deine Rechte

Du hast das Recht auf

Auskunft über deine Daten (Art. 15 DSGVO),
Berichtigung unrichtiger Daten (Art. 16 DSGVO),
Löschung (Art. 17 DSGVO),
Einschränkung der Verarbeitung (Art. 18 DSGVO),
Datenübertragbarkeit (Art. 20 DSGVO),
Widerspruch gegen Verarbeitungen, die auf unserem berechtigten Interesse beruhen (Art. 21 DSGVO), aus Gründen, die sich aus deiner besonderen Situation ergeben.

Viele dieser Rechte kannst du direkt in den Einstellungen ausüben (Datenexport, Kontolöschung, Chat- und Sichtbarkeitseinstellungen). Für alles andere schreib uns an [E-Mail für Datenschutzanfragen].

17. Beschwerderecht

Du kannst dich bei einer Datenschutz-Aufsichtsbehörde beschweren, zum Beispiel bei der für uns zuständigen Behörde:

[Aufsichtsbehörde]
[Anschrift der Aufsichtsbehörde]
[Website der Aufsichtsbehörde]

18. Mindestalter

AscendMMO ist für Personen ab 16 Jahren. Bei der Registrierung bestätigst du, dass du mindestens 16 Jahre alt bist. Erfahren wir, dass ein Konto von einer jüngeren Person angelegt wurde, löschen wir es.

19. Pflicht zur Bereitstellung

Ohne E-Mail-Adresse, Passwort und die Bestätigungen bei der Registrierung können wir kein Konto anlegen. Alle übrigen Angaben (z. B. Profiltext) sind freiwillig.

20. Änderungen

Wir passen diese Erklärung an, wenn sich das Spiel oder die Rechtslage ändert. Die jeweils aktuelle Fassung findest du hier; über wesentliche Änderungen informieren wir dich im Spiel.