Datenschutzerklärung

1. Verantwortlicher

Andreas Grieb, Gelsenkirchener Str. 85, 45141 Essen
E-Mail: info@andreas-grieb.de

2. Überblick der Verarbeitungen

Diese Plattform hilft der Community, Events für „Blood on the Clocktower" zu finden und zu organisieren. Wir verarbeiten personenbezogene Daten so sparsam wie möglich. Nachfolgend erklären wir, welche Daten wir wozu verarbeiten und an welche Dienste dabei Daten übermittelt werden.

3. Welche Daten wir verarbeiten

• Kontodaten: E-Mail-Adresse, Vorname/Anzeigename, Altersangabe (zur Volljährigkeitsprüfung), optional Geburtsdatum, optional Stadt/PLZ und Kurzbeschreibung (Bio); bei Google-Login zusätzlich die Google-ID.
• Event-/Adressdaten: Von Storytellern eingetragene Veranstaltungsadressen. Diese werden verschlüsselt gespeichert (AES-256-GCM) und nur bestätigten Teilnehmern, dem Storyteller und Administratoren im Klartext angezeigt. Auf der öffentlichen Karte erscheint nur ein um ca. 2 km zufällig verschobener Näherungspunkt.
• Technische Daten: Zur Absicherung von Login und Sitzungen speichern wir zu Anmelde-Tokens und Sitzungen die IP-Adresse und den Browser-Kennung (User-Agent). Sicherheitsrelevante Admin-Aktionen werden in einem Audit-Log mit IP protokolliert.
• Reichweitenmessung: Für eine grobe regionale Besucher-Heatmap verarbeiten wir eine gekürzte, pseudonymisierte Form der IP-Adresse (siehe Abschnitt 8).

4. Zwecke und Rechtsgrundlagen

• Bereitstellung des Nutzerkontos und der Event-Organisation – Art. 6 Abs. 1 lit. b DSGVO (Vertrag/vorvertraglich) bzw. lit. a (Einwilligung) bei der Registrierung.
• Sicherheit, Missbrauchs- und Betrugsvermeidung (Login-Schutz, Rate-Limiting, Audit) – Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem sicheren Betrieb).
• Reichweitenmessung/Heatmap – Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Verbesserung des Angebots); aufgrund der Kürzung/Pseudonymisierung ist der Eingriff minimal.

5. Hosting und Server-Logs

Die Plattform wird bei einem Hosting-Dienstleister betrieben, mit dem ein Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO besteht. Beim Aufruf der Website fallen serverseitig technisch notwendige Zugriffsdaten an (u. a. IP-Adresse, Zeitpunkt, abgerufene Ressource). Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.

6. Cookies und ähnliche Technologien

• Sitzungs-Cookie (technisch notwendig) zur Anmeldung.
• „Angemeldet bleiben" (Cookie BOTC_REMEMBER, Laufzeit bis zu 30 Tage) – nur, wenn du diese Option aktiv wählst.

Diese Cookies sind für den Betrieb erforderlich bzw. beruhen auf deiner Auswahl; es werden keine Werbe- oder Tracking-Cookies Dritter gesetzt.

7. Kartendarstellung (OpenStreetMap)

Zur Anzeige der Karte werden Kartenkacheln von den Servern der OpenStreetMap Foundation (OSMF), St John's Innovation Centre, Cowley Road, Cambridge, CB4 0WS, Vereinigtes Königreich, geladen. Dabei wird deine IP-Adresse an diese Server übermittelt. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Weitere Informationen: OSMF Privacy Policy.

8. Geokodierung von Adressen (Nominatim)

Wenn eine Adresse in Koordinaten umgerechnet wird (z. B. beim Anlegen eines Events), wird die eingegebene Adresse an den Geokodierungsdienst Nominatim der OpenStreetMap Foundation übermittelt. Ergebnisse werden zwischengespeichert, um wiederholte Anfragen zu vermeiden. Rechtsgrundlage: Art. 6 Abs. 1 lit. b/f DSGVO.

9. Reichweitenmessung / Heatmap (GeoIP)

Für eine anonyme, regionale Besucher-Heatmap wird die grobe Herkunftsregion ermittelt. Dazu wird lediglich ein gekürztes IP-Präfix (ohne das letzte Adresssegment) verschlüsselt (HTTPS) an einen Geo-IP-Dienst übermittelt und das Ergebnis nur in stark aggregierter, pseudonymisierter Form gespeichert. Eine Identifizierung einzelner Personen ist damit nicht beabsichtigt und praktisch nicht möglich. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.

10. Anmeldung via Google (OAuth 2.0) – optional

Optional kannst du dich mit einem Google-Konto anmelden (Google Ireland Ltd. / Google LLC). Nur wenn du den „Mit Google anmelden"-Button nutzt, werden Daten (E-Mail-Adresse, Name, Google-ID) zwischen dir, Google und uns ausgetauscht. Bei der regulären Anmeldung per E-Mail erfolgt kein Kontakt zu Google. Es kann eine Übermittlung in die USA erfolgen. Details: Google Datenschutzerklärung. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO.

11. E-Mail-Versand

Wir versenden transaktionale E-Mails (z. B. Login-Links, Erinnerungen, Benachrichtigungen) über einen SMTP-Dienst. Deine E-Mail-Benachrichtigungen kannst du in deinem Profil granular steuern; jede E-Mail enthält zudem einen Abmeldelink. Rechtsgrundlage: Art. 6 Abs. 1 lit. b/f DSGVO.

12. Discord / WhatsApp – optional

Sofern der Betreiber bzw. ein Storyteller entsprechende Integrationen aktiviert, können Event-Ankündigungen an einen Discord-Kanal (Discord Inc.) oder eine WhatsApp-Gruppe (Meta Platforms Inc.) gesendet werden. Dabei können öffentliche Event-Daten (z. B. Titel, Ort/PLZ, Vorname des Storytellers) übermittelt werden. Die Weitergabe der genauen Adresse an eine WhatsApp-Gruppe erfolgt nur nach ausdrücklicher Freigabe durch den Storyteller.

13. Speicherdauer

• Exakte Event-Adressen und -Koordinaten werden nach Ende der Veranstaltung automatisch gelöscht.
• Anmelde-Tokens werden nach Ablauf/Verbrauch entfernt; abgelaufene Sitzungen werden regelmäßig bereinigt.
• Audit-Logs werden nach 90 Tagen, Integrations-Logs nach spätestens 14 Tagen gelöscht.
• Nie bestätigte Konten werden nach 30 Tagen automatisch entfernt.
• Kontodaten speichern wir, bis du dein Konto löschst bzw. die Löschung verlangst.

14. Empfänger / Drittlandübermittlung

Eine Weitergabe erfolgt nur an die oben genannten Dienste, soweit für den jeweiligen Zweck erforderlich. Bei Google, Discord und Meta kann eine Übermittlung in Drittländer (u. a. USA) stattfinden, abgesichert über die jeweiligen Standardvertragsklauseln bzw. den EU-US Data Privacy Framework.

15. Deine Rechte

Du hast das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18), Datenübertragbarkeit (Art. 20) sowie Widerspruch (Art. 21) gegen Verarbeitungen auf Basis berechtigter Interessen. Erteilte Einwilligungen kannst du jederzeit mit Wirkung für die Zukunft widerrufen. Dein Konto kannst du in den Profileinstellungen selbst löschen. Es genügt außerdem eine E-Mail an die oben genannte Adresse.

Du hast zudem das Recht, dich bei einer Datenschutz-Aufsichtsbehörde zu beschweren (Art. 77 DSGVO).

Stand: 08/2026