Datenschutzerklärung

Kaelith kommt ohne Reichweitenmessung aus. Es gibt keine Werbenetzwerke, keine Besucherzählung, kein Google Analytics und nichts, was dein Verhalten über Seiten hinweg verfolgt. Was gespeichert wird, brauchen wir, damit das Spiel funktioniert — und das steht unten im Einzelnen.

Nils Jansen, Rummelsburger Str. 58, 44581 Castrop-Rauxel
E-Mail: nilsjansen@kaelith.de
Ein Datenschutzbeauftragter ist gesetzlich nicht vorgeschrieben und nicht bestellt.

Beim Aufruf jeder Seite hält der Webserver einen Eintrag fest: deine IP-Adresse, Datum und Uhrzeit, die angeforderte Adresse, den Antwortcode, die übertragene Datenmenge, die zuvor besuchte Seite und die Kennung deines Browsers. Das ist für den Betrieb und die Abwehr von Angriffen erforderlich; Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Diese Einträge werden nach 14 Tagen automatisch gelöscht und nicht mit einem Konto zusammengeführt.

Um zu spielen, brauchst du ein Konto. Dafür speichern wir:

• deine E-Mail-Adresse (auch in einer vereinheitlichten Form, damit dieselbe Adresse in anderer Schreibweise kein zweites Konto bekommt),
• dein Passwort nur als Hash (bcrypt) — im Klartext liegt es nirgends, und niemand kann es auslesen,
• deinen Spitznamen und dein gewähltes Gesicht,
• freiwillig dein Geburtsdatum (wird nur für den Kristallkauf gebraucht, siehe Punkt 7),
• wann das Konto angelegt wurde und wann du zuletzt da warst.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO: ohne diese Angaben gibt es kein Konto und damit kein Spiel.

Du kannst dir Mitteilungen schicken lassen, wenn dein Gegner gezogen hat, dich jemand herausfordert, dich jemand als Freund anfragt oder Post für dich ankommt. Das ist freiwillig und in deinem Konto jederzeit einzeln abschaltbar.

Schaltest du es ein, speichern wir je Gerät:

• die Zustelladresse, die dein Browser dafür erzeugt (ein sogenannter Endpunkt),
• zwei Schlüssel deines Browsers, mit denen die Mitteilung so verschlüsselt wird, dass der Zustelldienst sie nicht lesen kann,
• eine grobe Beschreibung des Geräts („Android, Chrome“), damit du in den Einstellungen erkennst, welches gemeint ist,
• wann zuletzt erfolgreich zugestellt wurde.

Ein fremder Dienst ist dabei beteiligt. Die Zustellung läuft über den Push-Dienst deines Browsers — bei Chrome und Android ist das Google, bei Firefox Mozilla, bei Safari Apple. Dieser Dienst erfährt, dass an dein Gerät etwas zugestellt wird, aber nicht, was darin steht. Wir haben darauf keinen Einfluss; es ist der Weg, den dein Browser dafür vorsieht.

Rechtsgrundlage ist deine Einwilligung, Art. 6 Abs. 1 lit. a DSGVO. Schaltest du die Mitteilungen für ein Gerät wieder aus, löschen wir seine Zustelladresse sofort. Dasselbe geschieht, wenn der Dienst uns meldet, dass es das Gerät nicht mehr gibt.

Ein Kartenspiel ist ein Verlauf, und der wird gespeichert:

• welche Karten dir gehören, was in deinen Decks liegt, was in der Truhe oder im Basar,
• deine Kristalle und jede einzelne Bewegung davon im Buch der Kristalle,
• deine Partien — und zwar der vollständige Verlauf, nicht nur das Ergebnis: gezogene Karten, Züge, Angriffe, der Bericht. Ohne diesen Zustand könnte eine Partie nicht fortgesetzt werden, und ein Streit über einen Zug wäre nicht nachvollziehbar,
• dein Fortschritt im Übungsplatz, im Season Pass und im Tagwerk,
• gewonnene und verlorene Partien für die Rangliste.

Sichtbar für andere Spieler sind: dein Spitzname, dein Gesicht, dein Rang und deine Stufe, deine Beiträge in der Wirtsstube, deine Angebote im Basar und was du im Tischgespräch schreibst. Deine E-Mail-Adresse und dein Geburtsdatum sieht niemand außer der Verwaltung.

Wähle deinen Spitznamen also so, wie du genannt werden möchtest. Er lässt sich nicht ohne Weiteres tauschen, weil daran Partien, Ranglisten und Beiträge hängen.

Was du am Tisch schreibst, in einem Brief an einen anderen Spieler oder in der Wirtsstube, wird mit deinem Spitznamen und dem Zeitpunkt gespeichert. Bei Briefen wird zusätzlich vermerkt, wann der Empfänger sie gelesen hat.

Diese Texte liegen unverschlüsselt in der Datenbank. Sie sind vor anderen Spielern geschützt, aber die Verwaltung kann technisch darauf zugreifen — und tut das, wenn eine Meldung eingeht und geprüft werden muss. Ein Brief in Kaelith ist deshalb kein Ersatz für ein vertrauliches Gespräch. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b und lit. f DSGVO (Betrieb und Missbrauchsabwehr).

Der Kauf von Kristallen gegen Geld ist derzeit nicht geöffnet. Sobald er es ist, gilt: Die Zahlung läuft über Mollie B.V., Keizersgracht 126, 1015 CW Amsterdam, Niederlande. Wir erhalten von dort nur, ob eine Zahlung erfolgreich war, den Betrag und eine Vorgangsnummer — keine Kartennummern und keine Bankverbindung. Deine Zahlungsdaten gibst du direkt bei Mollie ein.

Wir speichern dazu deine E-Mail-Adresse, den Betrag, den Zeitpunkt, den Status und eine Rechnungsnummer. Diese Unterlagen müssen nach § 147 AO und § 257 HGB zehn Jahre aufbewahrt werden und werden deshalb auch dann nicht gelöscht, wenn du dein Konto auflöst. Rechtsgrundlage: Art. 6 Abs. 1 lit. b und lit. c DSGVO.

Das Geburtsdatum dient allein dazu, den Kauf für Minderjährige einzuschränken. Wer nicht kaufen will, muss es nicht angeben.

Du kannst andere Spieler sperren (dann seht ihr euch nicht mehr) und melden. Eine Meldung speichert, wer wen gemeldet hat, den Grund, deinen Text dazu, wo es passiert ist und was die Verwaltung entschieden hat. Ohne diese Angaben liesse sich nichts prüfen. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.

Wir schreiben dir nur, wenn es sein muss — etwa wenn du dein Passwort zurücksetzt. Versendet wird über den Mailserver von Strato (smtp.strato.de). Ein Rücksetzlink ist zeitlich begrenzt und wird nach Gebrauch entwertet. Werbung schicken wir nicht.

Kaelith setzt einen einzigen Keks: den Anmeldungskeks. Er hält deine Sitzung bis zu 30 Tage und enthält deine Kennung, deinen Spitznamen und deine Rolle. Ohne ihn müsstest du bei jedem Klick neu eingeben, wer du bist. Er ist damit technisch erforderlich im Sinne von § 25 Abs. 2 Nr. 2 TDDDG — deshalb gibt es hier auch kein Einwilligungsfenster.

Außerdem legt das Spiel Kleinigkeiten in den Speicher deines Browsers, die dein Gerät nie verlassen: ob der Klang an ist und ob du den Vorspann einer Partie schon gesehen hast. Ein Servicearbeiter bewahrt Bilder und Klänge auf, damit das Spiel auch bei schwachem Netz läuft. Beides löschst du, indem du die Seitendaten in deinem Browser leerst.

Im Tischgespräch und in der Lobby gibt es einen Knopf „Discord starten". Er öffnet dein eigenes Discord in einem neuen Fenster. Wir betreiben dort keinen Server und keinen Sprachkanal.

Von Discord wird auf unserer Seite nichts geladen — kein Skript, kein Bild, kein Keks. Der Knopf ist ein gewöhnlicher Link. Erst dein Klick verlässt Kaelith; ab dann gilt die Datenschutzerklärung von Discord Inc., 444 De Haro Street, San Francisco, USA. Dabei findet eine Übermittlung in die USA statt. Wir übergeben Discord keine Daten von dir — Discord erfährt von uns nicht einmal, dass du bei Kaelith spielst.

Auf einem Server der Strato AG in Deutschland. Es findet keine Übermittlung in ein Drittland statt, außer du klickst selbst auf den Discord-Link (Punkt 11). Mit Strato und mit Mollie bestehen Verträge zur Auftragsverarbeitung nach Art. 28 DSGVO. Die Verbindung zur Seite ist durchgehend verschlüsselt (HTTPS).

• Serverprotokolle: 14 Tage.
• Konto und Spielstand: solange dein Konto besteht.
• Bestellungen: zehn Jahre, gesetzlich vorgeschrieben.
• Meldungen: bis der Fall bearbeitet ist und darüber hinaus so lange, wie es für den Nachweis wiederholter Verstösse nötig ist.

Unter Konto steht ganz unten „Konto löschen". Du tippst zur Sicherheit deine Mailadresse ein, und dann ist es weg — sofort, ohne Nachfrage bei uns. Mit dem Konto verschwinden dein Spielstand, deine Karten, deine Decks, deine Briefe und deine Partien.

Lieber persönlich? Schreib uns an nilsjansen@kaelith.de von der Adresse, mit der du angemeldet bist, dann übernehmen wir das.

Zwei Dinge bleiben: Bestellungen (siehe Punkt 7, gesetzliche Aufbewahrung) und Beiträge in der Wirtsstube, wenn andere darauf geantwortet haben — dort wird dein Spitzname unkenntlich gemacht, statt einen Strang zu zerreißen. Sag Bescheid, wenn du auch die Beiträge selbst gelöscht haben willst.

Du hast das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch gegen eine Verarbeitung, die auf berechtigtem Interesse beruht (Art. 21 DSGVO). Eine Mail an die oben genannte Adresse genügt.

Für Auskunft und Datenübertragbarkeit brauchst du uns aber gar nicht zu fragen: Unter Konto lädst du dir jederzeit selbst eine vollständige Kopie herunter — dein Konto, dein Spielstand, deine Decks, deine Karten, deine Bestellungen und was du geschrieben hast, als Datei, die sich auch mit einem anderen Programm öffnen lässt.

Außerdem kannst du dich bei einer Aufsichtsbehörde beschweren. Für uns zuständig ist die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen, Kavalleriestr. 2-4, 40213 Düsseldorf.

Kaelith richtet sich nicht an Kinder unter 16 Jahren. Wer jünger ist, braucht die Zustimmung der Eltern, um ein Konto anzulegen. Wenn du Elternteil bist und feststellst, dass dein Kind hier ohne deine Zustimmung ein Konto hat, schreib uns — wir löschen es.

Wenn Kaelith etwas Neues bekommt, das Daten betrifft, ändert sich diese Seite mit. Oben steht, wann sie zuletzt angefasst wurde.