Datenschutzerklärung

1. Verantwortlicher

Andreas Grieb, Gelsenkirchener Str. 85, 45141 Essen
E-Mail: info@andreas-grieb.de

2. Überblick der Verarbeitungen

Diese Plattform hilft der Community, Events für „Blood on the Clocktower" zu finden und zu organisieren. Wir verarbeiten personenbezogene Daten so sparsam wie möglich. Nachfolgend erklären wir, welche Daten wir wozu verarbeiten und an welche Dienste dabei Daten übermittelt werden.

3. Welche Daten wir verarbeiten

• Kontodaten: E-Mail-Adresse, Vorname/Anzeigename, Altersangabe (zur Volljährigkeitsprüfung), optional Geburtsdatum, optional Stadt/PLZ und Kurzbeschreibung (Bio); bei Google-Login zusätzlich die Google-ID.
• Event-/Adressdaten: Von Storytellern eingetragene Veranstaltungsadressen. Diese werden verschlüsselt gespeichert (AES-256-GCM) und nur bestätigten Teilnehmern, dem Storyteller und Administratoren im Klartext angezeigt. Auf der öffentlichen Karte erscheint nur ein um ca. 2 km zufällig verschobener Näherungspunkt.
• Technische Daten: Zur Absicherung von Login und Sitzungen speichern wir zu Anmelde-Tokens und Sitzungen die IP-Adresse und den Browser-Kennung (User-Agent). Sicherheitsrelevante Admin-Aktionen werden in einem Audit-Log mit IP protokolliert. Zu deinem Konto merken wir uns ausserdem den Zeitpunkt deiner letzten Anmeldung und deiner letzten Aktivität (minutengenau, ohne die aufgerufene Seite) – damit erkennen wir ungenutzte Konten und können sie aufräumen.
• Reichweitenmessung: Für eine grobe regionale Besucher-Heatmap verarbeiten wir eine gekürzte, pseudonymisierte Form der IP-Adresse (siehe Abschnitt 8).

4. Zwecke und Rechtsgrundlagen

• Bereitstellung des Nutzerkontos und der Event-Organisation – Art. 6 Abs. 1 lit. b DSGVO (Vertrag/vorvertraglich) bzw. lit. a (Einwilligung) bei der Registrierung.
• Sicherheit, Missbrauchs- und Betrugsvermeidung (Login-Schutz, Rate-Limiting, Audit) – Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem sicheren Betrieb).
• Reichweitenmessung/Heatmap – Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Verbesserung des Angebots); aufgrund der Kürzung/Pseudonymisierung ist der Eingriff minimal.

5. Hosting und Server-Logs

Die Plattform wird bei einem Hosting-Dienstleister betrieben, mit dem ein Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO besteht. Beim Aufruf der Website fallen serverseitig technisch notwendige Zugriffsdaten an (u. a. IP-Adresse, Zeitpunkt, abgerufene Ressource). Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.

6. Cookies und ähnliche Technologien

• Sitzungs-Cookie (technisch notwendig) zur Anmeldung.
• „Angemeldet bleiben" (Cookie BOTC_REMEMBER, Laufzeit bis zu 30 Tage) – nur, wenn du diese Option aktiv wählst.

Diese Cookies sind für den Betrieb erforderlich bzw. beruhen auf deiner Auswahl; es werden keine Werbe- oder Tracking-Cookies Dritter gesetzt.

7. Kartendarstellung (OpenStreetMap)

Zur Anzeige der Karte werden Kartenkacheln von den Servern der OpenStreetMap Foundation (OSMF), St John's Innovation Centre, Cowley Road, Cambridge, CB4 0WS, Vereinigtes Königreich, geladen. Dabei wird deine IP-Adresse an diese Server übermittelt. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Weitere Informationen: OSMF Privacy Policy.

8. Geokodierung von Adressen (Nominatim)

Wenn eine Adresse in Koordinaten umgerechnet wird (z. B. beim Anlegen eines Events), wird die eingegebene Adresse an den Geokodierungsdienst Nominatim der OpenStreetMap Foundation übermittelt. Ergebnisse werden zwischengespeichert, um wiederholte Anfragen zu vermeiden. Rechtsgrundlage: Art. 6 Abs. 1 lit. b/f DSGVO.

9. Reichweitenmessung / Heatmap (GeoIP)

Für eine anonyme, regionale Besucher-Heatmap wird die grobe Herkunftsregion ermittelt. Dazu wird lediglich ein gekürztes IP-Präfix (ohne das letzte Adresssegment) verschlüsselt (HTTPS) an einen Geo-IP-Dienst übermittelt und das Ergebnis nur in stark aggregierter, pseudonymisierter Form gespeichert. Eine Identifizierung einzelner Personen ist damit nicht beabsichtigt und praktisch nicht möglich. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.

10. BotC Vorleser – anonyme Nutzungszählung (optional)

Der BotC Vorleser ist ein Browser-Werkzeug, das den Spielverlauf auf botc.app ansagt. Ist die Einstellung „Anonyme Nutzungszählung" eingeschaltet (Voreinstellung), meldet er beim Start höchstens einmal pro Tag und Browser zwei Angaben an botcmap.de: seine Fassungsnummer und den Installationsweg (Lesezeichen, Userscript oder Erweiterung). Mehr nicht.

Es entsteht kein Personenbezug. Gespeichert wird ausschließlich ein Zähler je Tag, Fassung und Installationsweg – keine IP-Adresse, kein Hash, keine Sitzungs- oder Browserkennung, kein Name, kein Konto und nichts aus dem Spiel. Auch die Zahl der Personen wird bewusst nicht ermittelt: Wer ein Werkzeug einsetzt, das den Spielzustand vorliest, ist mit hoher Wahrscheinlichkeit blind oder sehbehindert, sodass eine zurückführbare Nutzungsspur faktisch ein Gesundheitsdatum im Sinne von Art. 9 DSGVO wäre. Deshalb wird nur gezählt, nicht unterschieden.

Zweck ist allein die Frage, ob sich die Weiterentwicklung des Werkzeugs lohnt. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Abschaltbar jederzeit im Einstellungsdialog des Vorlesers (Alt+Umschalt+A) unter „Bedienung"; danach wird nichts mehr gesendet. Zur technischen Missbrauchsbremse wird die IP-Adresse des Aufrufs kurzzeitig als Hash in der allgemeinen Anfragebegrenzung geführt – wie bei jedem anderen Formular dieser Seite – und nicht mit dem Zähler verknüpft.

Die Meldung erreicht uns auch dann ohne jedes Cookie, wenn du nebenbei auf BotC Map angemeldet bist: Sie kommt von einer fremden Domain (botc.app), und unser Sitzungs-Cookie ist auf SameSite=Lax gesetzt, wird dabei also nicht mitgeschickt. Eine Verbindung zu deinem Konto kann so auch technisch nicht entstehen. Als Seitenaufruf wird die Meldung ebenfalls nicht gezählt.

11. Anmeldung via Google (OAuth 2.0) – optional

Optional kannst du dich mit einem Google-Konto anmelden (Google Ireland Ltd. / Google LLC). Nur wenn du den „Mit Google anmelden"-Button nutzt, werden Daten (E-Mail-Adresse, Name, Google-ID) zwischen dir, Google und uns ausgetauscht. Bei der regulären Anmeldung per E-Mail erfolgt kein Kontakt zu Google. Es kann eine Übermittlung in die USA erfolgen. Details: Google Datenschutzerklärung. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO.

12. E-Mail-Versand

Wir versenden transaktionale E-Mails (z. B. Login-Links, Erinnerungen, Benachrichtigungen) über einen SMTP-Dienst. Deine E-Mail-Benachrichtigungen kannst du in deinem Profil granular steuern; jede E-Mail enthält zudem einen Abmeldelink. Rechtsgrundlage: Art. 6 Abs. 1 lit. b/f DSGVO.

13. Discord / WhatsApp – optional

Sofern der Betreiber bzw. ein Storyteller entsprechende Integrationen aktiviert, können Event-Ankündigungen an einen Discord-Kanal (Discord Inc.) oder eine WhatsApp-Gruppe (Meta Platforms Inc.) gesendet werden. Dabei können öffentliche Event-Daten (z. B. Titel, Ort/PLZ, Vorname des Storytellers) übermittelt werden. Die Weitergabe der genauen Adresse an eine WhatsApp-Gruppe erfolgt nur nach ausdrücklicher Freigabe durch den Storyteller.

14. Speicherdauer

• Exakte Event-Adressen und -Koordinaten werden nach Ende der Veranstaltung automatisch gelöscht.
• Anmelde-Tokens werden nach Ablauf/Verbrauch entfernt; abgelaufene Sitzungen werden regelmäßig bereinigt.
• Audit-Logs werden nach 90 Tagen, Integrations-Logs nach spätestens 14 Tagen gelöscht.
• Nie bestätigte Konten werden nach 30 Tagen automatisch entfernt.
• Kontodaten speichern wir, bis du dein Konto löschst bzw. die Löschung verlangst.
• Die Nutzungszahlen des BotC Vorlesers (Abschnitt 10) bleiben unbefristet gespeichert – sie enthalten keinen Personenbezug, es gibt daher nichts zu löschen. Zurücksetzen lassen sie sich jederzeit.

15. Empfänger / Drittlandübermittlung

Eine Weitergabe erfolgt nur an die oben genannten Dienste, soweit für den jeweiligen Zweck erforderlich. Bei Google, Discord und Meta kann eine Übermittlung in Drittländer (u. a. USA) stattfinden, abgesichert über die jeweiligen Standardvertragsklauseln bzw. den EU-US Data Privacy Framework.

16. Deine Rechte

Du hast das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18), Datenübertragbarkeit (Art. 20) sowie Widerspruch (Art. 21) gegen Verarbeitungen auf Basis berechtigter Interessen. Erteilte Einwilligungen kannst du jederzeit mit Wirkung für die Zukunft widerrufen. Dein Konto kannst du in den Profileinstellungen selbst löschen. Es genügt außerdem eine E-Mail an die oben genannte Adresse.

Du hast zudem das Recht, dich bei einer Datenschutz-Aufsichtsbehörde zu beschweren (Art. 77 DSGVO).

Stand: 09/2026