EmberwakeRPG
EN

Datenschutzerklärung

1. Verantwortlicher

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO):

Emberwake — Luis Philip Kosok
c/o Online-Impressum 10742
Europaring 90
53757 Sankt Augustin
Deutschland
E-Mail: service@emberwakerpg.com
Kontaktformular: emberwakerpg.com/kontakt

2. Das Wichtigste vorab

Diese Website ist bewusst datensparsam gestaltet:

Welche Daten dabei konkret verarbeitet werden, wird in den folgenden Abschnitten beschrieben.

3. Hosting

Website, Datenbank, E-Mail-Dienst, Domain und Minecraft-Server werden bei MC-HOST24.de, einem Label der Gericke KG, Mühlenstr. 8a, 14167 Berlin, Deutschland, betrieben. Der Anbieter verarbeitet dabei die für den Betrieb erforderlichen Daten im Rahmen des Hostingvertrags.

Auftragsverarbeitung: Die angefragte Bestätigung von MC-HOST24 zum Auftragsverarbeitungsvertrag für Webspace, Datenbank, E-Mail und Gameserver sowie zu Verarbeitungsorten und Unterauftragnehmern liegt noch nicht vor (Stand: 13. September 2026). Diese Angaben sind deshalb noch nicht bestätigt und werden nach Eingang der Antwort ergänzt.

Server-Logfiles: Beim Aufruf der Website verarbeitet der Hoster technisch notwendige Daten, die Ihr Browser automatisch übermittelt: die IP-Adresse, Datum und Uhrzeit des Zugriffs, die angeforderte Ressource sowie die Browserkennung (User-Agent). Diese Verarbeitung ist für Bereitstellung, Stabilität und Sicherheit der Website erforderlich.

Speicherdauer der Server-Logfiles: Die tatsächlichen Aufbewahrungs- und Löschregeln sowie die Protokollfelder und Betreiberzugriffe unseres Tarifs sind vom Hoster noch nicht bestätigt. Eine konkrete Anbieterfrist können wir derzeit nicht angeben.

PHP-Fehlerprotokoll: Die Anwendung schreibt technische Fehler serverseitig in ein nicht öffentliches PHP-Fehlerprotokoll. Je nach Fehler können Zeitpunkt, betroffene Funktion und knappe technische Kontextangaben enthalten sein; Passwörter oder vollständige Geheimnisse sollen dort nicht protokolliert werden. Speicherdauer: Die Rotation und Löschfrist des produktiven PHP-Fehlerprotokolls sind noch nicht abschließend bestätigt. Die angefragte Rückmeldung wird nach ihrem Eingang ergänzt.

E-Mail- und Zustellprotokolle: Der Versand erfolgt über die lokale PHP-Mail-Funktion und den Maildienst des Hosters. Dabei können Absender- und Empfängeradresse, Zeitpunkt, Betreff beziehungsweise Nachrichtenkennung und Zustellstatus in Mailserver-Protokollen verarbeitet werden. Speicherdauer: Die Aufbewahrungs- und Löschregeln für technische E-Mail-, Zustell- und Backupdaten sind vom Anbieter noch nicht bestätigt. Auch die konkrete Aufbewahrungsfrist automatischer Betreiberbenachrichtigungen ist noch nicht abschließend dokumentiert.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der sicheren und effizienten Bereitstellung, Fehlerbehebung und zuverlässigen Zustellung betriebsbezogener Nachrichten).

4. Einladung, Benutzerkonto und Anmeldung

Einladungsantrag: Über das öffentliche Formular können Sie um Zugang zur geschlossenen Alpha bitten. Pflichtangaben sind ein Name beziehungsweise Pseudonym und eine erreichbare E-Mail-Adresse; Minecraft-Name und Freitext sind freiwillig. Wir speichern Antrag, Eingangszeit, Bearbeitungsstatus, entscheidenden Administrator und Versandstatus. An die private Benachrichtigungsadresse des Betreibers geht nur die Antragsnummer mit einem Link zum geschützten Adminbereich, nicht der Formularinhalt. Der Admin kann den Antrag annehmen und eine einmalige Einladung versenden oder ihn ablehnen; die Entscheidung wird per E-Mail mitgeteilt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit die Anfrage auf die gewünschte Teilnahme gerichtet ist, sowie Art. 6 Abs. 1 lit. f DSGVO (geordnetes und missbrauchssicheres Zulassungsverfahren). Es findet keine automatisierte Entscheidung statt.

Neue Konten entstehen nur über einen persönlich ausgegebenen, zeitlich begrenzten Einladungslink. Eingeladene Personen tragen die Kontodaten anschließend selbst ein. Zur Einladung speichern wir den gehashten Token, die vorgesehene Rolle, optional eine vorab eingetragene Empfänger-E-Mail-Adresse und interne Notiz, Ersteller, Ablaufzeit sowie Einlösung. Ein Klartext-Token wird nicht gespeichert. Bei der Einlösung ist die E-Mail-Adresse für das Benutzerkonto ein Pflichtfeld.

Zu jedem Konto speichern wir:

Benutzername, E-Mail-Adresse und Passwort sind für das gewünschte Konto erforderlich; ohne sie kann die Einladung nicht eingelöst werden. Der Anzeigename ist optional. Minecraft- und Discord-Angaben sind nur für die jeweils ausdrücklich gewählte Spielserver- beziehungsweise Community-Verknüpfung erforderlich. Eine automatisierte Entscheidungsfindung oder ein Profiling im Sinne von Art. 22 DSGVO findet nicht statt.

Wird eine Einladung per E-Mail versandt, verarbeitet der Maildienst die Empfängeradresse, den einmaligen Einladungslink und den Namen des Einladenden. Nach erfolgreicher Einlösung sendet die Anwendung automatisch eine Betreiberbenachrichtigung mit Benutzername, Anzeigename, Rolle, Einladendem und Zeitpunkt an das konfigurierte Betreiberpostfach. Die Fristen für Mailprotokolle und diese Benachrichtigung sind in Ziffer 3 als noch zu bestätigende Angaben gekennzeichnet.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Bereitstellung des angeforderten Zugangs und Versand der Einladung) bzw. Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am sicheren Betrieb und an der administrativen Kenntnis über neu eingelöste Einladungen).

Löschung: Mit der Löschung des Kontos werden Kontodaten, offene Minecraft-Verknüpfungscodes, OAuth-Zustände und der auf der Website gespeicherte letzte Spielstand entfernt. Kontobezogene Sperrzähler sowie lokale Skin-/Avatar- Cachedateien werden ebenfalls gelöscht; E-Mail und Notiz der eingelösten Einladung werden geleert und Namen in historischen Einladungen anonymisiert. Zeitlich befristete Sicherheitsprotokolle bleiben bis zum Ablauf ihrer Frist bestehen.

5. Sitzungs-Cookie und Browser-Speicher

Die normalen Inhaltsseiten, Downloads und die Weltkarte werden ohne Start einer Sitzung und ohne Setzen eines Cookies ausgeliefert. Erst beim Aufruf der Anmeldung, eines persönlichen Einladungslinks oder geschützter Kontofunktionen wird genau ein Cookie gesetzt. Es heißt in der Produktivumgebung __Host-ew_session und enthält nur eine zufällige Sitzungskennung — kein Profil und keine Inhalte. Der Kartenproxy übernimmt keine Cookies von BlueMap.

BlueMap 5.23 ist mit useCookies=false konfiguriert. In dieser Version liest oder speichert die Karten-Webapp dadurch auch keine Benutzereinstellungen im Local Storage. Die jeweils betrachtete Kartenposition steht nur im Fragment der Browseradresse (dem Teil nach #); dieses Fragment wird bei HTTP-Anfragen nicht an den Server übertragen.

Das Cookie ist für die ausdrücklich aufgerufenen Anmelde-, Einladungs- und Kontofunktionen technisch notwendig und daher nach § 25 Abs. 2 Nr. 2 TDDDG ohne Einwilligung zulässig. Die mit der Sitzung verbundene personenbezogene Verarbeitung beruht auf Art. 6 Abs. 1 lit. b DSGVO (Bereitstellung der angeforderten Funktion) und Art. 6 Abs. 1 lit. f DSGVO (sicherer Betrieb und Missbrauchsschutz).

Es werden keine einwilligungsbedürftigen Analyse- oder Marketing-Technologien eingesetzt. Deshalb erscheint kein Cookie-Einwilligungsbanner. Der ausschließlich auf den bewusst aufgerufenen Formularseiten eingesetzte Missbrauchsschutz wird als hierfür technisch notwendig behandelt und in Ziffer 12 gesondert erläutert. Die Website registriert auch nicht automatisch einen Service Worker und legt keine Daten in CacheStorage ab. Allgemeine Zwischenspeicherfunktionen des Browsers bleiben davon unberührt.

6. Sicherheitsprotokoll

Zu sicherheits- und administrativ relevanten Ereignissen im geschlossenen Bereich — insbesondere Anmeldung und Sitzung, Einladungen, Konto-, Rollen- und Sicherheitseinstellungen, Minecraft-Verknüpfungen, Bugmeldungen und Verwaltungsaktionen — speichern wir jeweils einen Protokolleintrag mit Zeitpunkt, Ereignisart, Benutzername und gekürzter IP-Adresse. Je nach Ereignis kann eine knappe Kontextangabe hinzukommen, etwa betroffenes Zielkonto, Minecraft-Name, Ticketkennung, Einladungs-E-Mail, Sperrgrund oder technischer Fehlerstatus. Passwörter, Zwei-Faktor-Geheimnisse, vollständige Einladungs- oder Verknüpfungstokens, Inhalte von Bugmeldungen und Browserkennung werden nicht im anwendungseigenen Sicherheitsprotokoll gespeichert.

Die IP-Adresse wird vor dem Speichern gekürzt: Bei IPv4 wird das letzte Oktett auf 0 gesetzt, bei IPv6 werden die letzten 80 Bit entfernt. Die vollständige IP-Adresse wird im anwendungseigenen Sicherheitsprotokoll nicht gespeichert; davon unabhängig sind die Zugriffslogs des Hosters nach Ziffer 3.

Getrennt davon verwendet die Anwendung Sperr- und Kontingentzähler, um wiederholte Anmeldeversuche und automatisierten Missbrauch zu begrenzen. IP-Adresse oder Benutzername werden dafür nur kurzfristig verarbeitet und als deterministischer Einweg-Prüfwert gespeichert; bei IPv6 wird zuvor nur das /64-Netz verwendet, nicht der wechselnde Geräteanteil. Dadurch können wiederholte Eingaben demselben Zähler zugeordnet werden, ohne die Klartext-IP im Zähler zu speichern. Diese Prüfwerte sind pseudonyme, nicht anonyme Daten. Datenbankgestützte Zähler werden nach Ablauf des jeweiligen Zeitfensters beziehungsweise der Sperre beim täglichen Wartungslauf entfernt. Die nur für die öffentlichen Formulare verwendeten Dateizähler werden nach Ablauf des Stundenfensters nicht mehr berücksichtigt. Spätere Formularaufrufe lösen höchstens einmal pro Stunde einen Bereinigungslauf aus; dieser entfernt dann Dateien, deren letzte Änderung mindestens zwei Stunden zurückliegt. Gibt es keinen weiteren Formularaufruf, bleibt die technisch nicht mehr verwendete HMAC-Datei bis zu einem späteren Bereinigungslauf liegen.

Zweck und Rechtsgrundlage: Schutz von Konten und Dienst, Missbrauchsabwehr, technische Fehleranalyse und administrative Nachvollziehbarkeit — Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am sicheren und nachvollziehbaren Betrieb des geschützten Bereichs).

Speicherdauer des Sicherheitsprotokolls: Nach Ablauf von 90 Tagen werden Einträge beim nächsten täglichen Löschlauf entfernt, regelmäßig innerhalb weiterer 24 Stunden. Eine täglich geplante Serveraufgabe führt diesen Lauf aus; der erste Datenbankzugriff eines neuen UTC-Tages ist eine zusätzliche Ausfallsicherung.

7. Minecraft-Konto, Spielserver und Mojang/Microsoft

Bei Registrierung oder Änderung eines Minecraft-Namens fragt unser Server die öffentliche Namens-API unter api.mojang.com ab. Übermittelt wird der eingegebene Minecraft-Name; zurück kommen die zugehörige UUID und die von Mojang geführte Schreibweise. Anbieter ist Microsoft/Mojang. Die Anfrage erfolgt erst nach Ihrer Eingabe und serverseitig, sodass Mojang weder Ihre Website-Sitzung noch Ihre E-Mail-Adresse erhält.

Gespeichert werden Minecraft-Name, UUID sowie Zeitpunkte von Beanspruchung und Bestätigung. Der Spielserver erhält daraus die Freigabe- und Sperrinformationen. Nach einer Bestätigung im Spiel übermittelt er regelmäßig nur für verknüpfte Konten den jeweils aktuellen Spielstand. Dazu können insbesondere Level, Fertigkeiten, Spielzeit, Klasse, RPG-XP, Guthaben, Ruf, Quests, Grundstücke, Kampf- und Bewegungsstatistiken, Welt, Titel, Drache, Attribute und ausgerüstete Gegenstände gehören. Es wird nur der neueste Bericht gespeichert, keine Verlaufshistorie.

Für die Skin-Darstellung ruft die Website nach einer bestätigten Verknüpfung Profil- und Texturinformationen ausschließlich serverseitig bei sessionserver.mojang.com und textures.minecraft.net ab und speichert eine lokale Cachekopie. Die aktuelle Kopie wird höchstens 24 Stunden ohne erneute Prüfung verwendet; überholte Varianten werden beim nächsten Abruf, sämtliche Varianten bei Kontolöschung entfernt. Schlägt der serverseitige Abruf fehl, wird ein lokaler Platzhalter beziehungsweise eine Fehlerantwort verwendet; es gibt keinen direkten Browser-Fallback zu Microsoft/Mojang. Microsoft/Mojang erhält deshalb die Server-IP und die jeweils angefragten Minecraft-Profil- oder Texturdaten, nicht aber die Browser-IP, das Website-Cookie oder die E-Mail-Adresse. Ausrüstungsarten werden aus dem zuletzt gemeldeten Spielstand übernommen und im Browser mit eigenen einfarbigen Materialien dargestellt; dafür werden keine extrahierten Minecraft- Rüstungstexturen ausgeliefert.

Soweit Microsoft für diese Dienste Verantwortlicher ist, nennt Microsoft für Personen im Europäischen Wirtschaftsraum die Microsoft Ireland Operations Limited. Eine Verarbeitung kann auch außerhalb des EWR, insbesondere in den USA, stattfinden. Nach den Datenschutzinformationen von Microsoft ist Microsoft Corporation für vom EU-US Data Privacy Framework erfasste Übermittlungen zertifiziert; für andere internationale Übermittlungen nennt Microsoft insbesondere die Standardvertragsklauseln der EU-Kommission. Welche Garantie greift, hängt vom tatsächlichen Empfänger und Verarbeitungsweg bei Microsoft ab.

Zweck und Rechtsgrundlage: Freischaltung und Betrieb des Spielkontos sowie Darstellung des eigenen Profils — Art. 6 Abs. 1 lit. b DSGVO; Schutz vor falschen Zuordnungen und Missbrauch — Art. 6 Abs. 1 lit. f DSGVO.

Weitere Informationen: Microsoft-Datenschutzerklärung.

8. Optionale Discord-Verknüpfung

Wenn Sie „Mit Discord verbinden“ wählen, werden Sie zu Discord weitergeleitet. Angefordert werden die OAuth-Berechtigungen identify und guilds.join. Nach erfolgreicher Freigabe speichern wir Discord-ID, Discord-Benutzernamen und Zeitpunkt der Verknüpfung. Außerdem verwenden wir die Discord-API, um den Beitritt zum Emberwake-Discord-Server auszuführen und den Mitgliedsstatus anzuzeigen. OAuth-Code und Zugriffstoken werden nur während dieses Vorgangs verarbeitet und von uns nicht dauerhaft gespeichert.

Die Verknüpfung ist freiwillig und kann in den Kontoeinstellungen jederzeit selbstständig getrennt werden, ohne das Website-Konto zu löschen; dabei wird die bei uns gespeicherte Discord-Zuordnung entfernt. Die Mitgliedschaft auf dem Discord-Server und eine bei Discord geführte App-Autorisierung werden dadurch nicht automatisch beendet und müssen bei Discord selbst verwaltet werden. Anbieter für Nutzer im Europäischen Wirtschaftsraum ist Discord Netherlands BV, Schiphol Boulevard 195, 1118 BG Schiphol, Niederlande; Daten können auch in den USA verarbeitet werden. Discord beschreibt in seiner Datenschutzerklärung je nach Übermittlungsweg Angemessenheitsbeschlüsse einschließlich des EU-US Data Privacy Framework, Standardvertragsklauseln oder andere zulässige Garantien. Die Verarbeitung erfolgt zur Ausführung der angeforderten Verknüpfung auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO; die Abfrage und Anzeige des Mitgliedsstatus sowie der Schutz vor missbräuchlichen Zuordnungen beruhen ergänzend auf Art. 6 Abs. 1 lit. f DSGVO.

Weitere Informationen: Discord-Datenschutzerklärung.

9. Fehlermeldungen an GitHub

Im geschlossenen Bereich steht das Formular „Fehler melden“ zur Verfügung. Wenn Sie es absenden, werden Titel, Fehlerbeschreibung, erwartetes Verhalten, Reproduktionsschritte, ausgewählter Server und Schweregrad an GitHub übertragen; dort entsteht daraus ein Ticket im Bug-Tracker des Projekts. Der Website-Benutzername wird dem Issue nicht hinzugefügt. Website-Cookie und Browser-IP-Adresse werden nicht an GitHub weitergereicht; der API-Aufruf kommt von unserem Server.

Anbieter ist die GitHub, Inc., 88 Colin P. Kelly Jr. Street, San Francisco, CA 94107, USA („GitHub“) — eine Tochtergesellschaft der Microsoft Corporation. Damit ist eine Übermittlung in die USA verbunden. GitHub gibt an, am EU-US Data Privacy Framework teilzunehmen. Für internationale Übermittlungen, die nicht auf einem Angemessenheitsbeschluss beruhen, nennt GitHub insbesondere die Standardvertragsklauseln der EU-Kommission. Welche Garantie im Einzelfall greift, hängt vom tatsächlichen Verarbeitungsweg bei GitHub ab.

Die Übertragung erfolgt ausschließlich dann, wenn Sie das Formular aktiv absenden. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Entgegennahme, Nachverfolgung und Behebung freiwillig gemeldeter Fehler).

Bitte beachten: Das verwendete Issue-Repository ist öffentlich. Titel und Inhalt der Meldung sind damit weltweit einsehbar. Sie bleiben grundsätzlich auch nach dem Schließen des Issues öffentlich, bis es gelöscht oder die Sichtbarkeit des Repositorys geändert wird; von Dritten angefertigte Kopien können fortbestehen. Geben Sie deshalb keine vertraulichen oder personenbezogenen Daten Dritter ein. Wenn Sie anschließend einem Link zum Issue folgen, kommuniziert Ihr Browser direkt mit GitHub.

Weitere Informationen finden Sie in der Datenschutzerklärung von GitHub: GitHub General Privacy Statement.

10. BlueMap-Weltkarte

Die Weltkarte wird mit BlueMap auf dem von uns betriebenen Minecraft-Server erzeugt und öffentlich über einen Same-Origin-Proxy unter unserer Website-Adresse bereitgestellt. Sie enthält gerenderte Welt- und Baudaten sowie Markierungen für Grundstücke, Dörfer, Marktplätze, Lagerhäuser, Sonderbauten und Marktstände. Grundstücksmarkierungen können den Minecraft- oder Familiennamen und die Koordinaten des Besitzes enthalten; Marktstandsmarkierungen können den Minecraft-Namen des Händlers nennen.

Spieler werden nicht angezeigt: Die Übertragung von Live- Spielerpositionen und der Spielerliste ist serverseitig deaktiviert. BlueMap ist so konfiguriert, dass es keine Benutzereinstellungen im Browser speichert; Cookies des Ursprungs werden vom Proxy nicht übernommen. Änderungen der Welt werden fortlaufend erkannt; zusätzlich wird mindestens alle fünf Minuten nach übersehenen Änderungen gesucht. Die aus den Spieldaten erzeugten Markierungen werden ebenfalls alle fünf Minuten abgeglichen.

Der technische BlueMap-Rohursprung ist gegen direkten öffentlichen Zugriff gesperrt. Der Browser kommuniziert ausschließlich mit unserer Website; der Proxy leitet weder Browser-IP noch Cookie- oder Autorisierungsdaten an BlueMap weiter und übernimmt auch keine Cookies des BlueMap-Ursprungs. Der Rohursprung sieht nur die Verbindung unseres Servers. Da die Karte öffentlich angeboten wird, sind ihre Inhalte und Markierungen dennoch öffentlich sichtbare Spieldaten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer übersichtlichen Weltkarte für die Spielgemeinschaft).

11. Anonyme Abrufstatistik

Für erfolgreiche GET-Ausgaben erhöht die Anwendung ausschließlich einen Tageszähler aus einer festen Positivliste: Seitenkategorie beziehungsweise Downloadpaket, UTC-Kalendertag und Anzahl. Dabei werden keine IP-Adresse, Besucherkennung, Sitzung, Cookie, Browserkennung, Referrer, Suchparameter oder frei angelieferte URL gespeichert. Mehrere Schreibweisen derselben Seite werden zusammengefasst. HEAD-, 304- und fehlgeschlagene Antworten zählen nicht. Die Werte messen Abrufe am Ursprungsserver, nicht eindeutige Personen; Bots, Neuladen und abgebrochene Downloads können mitzählen.

Die Zähler dienen der Einschätzung, welche Inhalte und Downloads tatsächlich genutzt werden. Nach Ablauf von 400 Tagen werden sie beim nächsten täglichen Löschlauf entfernt, regelmäßig innerhalb weiterer 24 Stunden. Da die Anwendung dabei weder auf Informationen im Endgerät zugreift noch personenbezogene Daten für die Statistik speichert, entsteht kein Nutzerprofil und es ist kein Analyse-Cookie erforderlich. Die technisch notwendigen Hoster-Logfiles nach Ziffer 3 sind hiervon getrennt.

12. Kontakt, Post, öffentliche Formulare und Cloudflare Turnstile

E-Mail und Kontaktformular: Bei Kontakt per E-Mail oder über das öffentliche Formular verarbeiten wir Name (freiwillig), E-Mail-Adresse, Betreff und Nachricht zur Bearbeitung und Beantwortung. Das Formular leitet die Nachricht über den Maildienst des Hosters an service@emberwakerpg.com weiter; es legt keine zusätzliche Inhaltskopie in der Anwendungsdatenbank an. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an erreichbarer Kommunikation) beziehungsweise Art. 6 Abs. 1 lit. b DSGVO, soweit Ihre Anfrage auf eine gewünschte Leistung oder Teilnahme gerichtet ist.

Einladungsantrag: Umfang, Entscheidung und Rechtsgrundlagen sind in Ziffer 4 beschrieben. Für Kontakt- und Einladungsformular begrenzen getrennte Kontingentzähler die externe CAPTCHA-Prüfung auf 20 Versuche je Formular und Stunde sowie erfolgreiche Einsendungen auf fünf Kontaktanfragen beziehungsweise drei Einladungsanträge je Formular und Stunde. Die IP-Adresse wird dafür nur kurzfristig verarbeitet und je Formular und Zählerzweck als getrennter deterministischer Einweg-Prüfwert gespeichert; bei IPv6 wird dafür nur das /64-Netz berücksichtigt, wie in Ziffer 6 beschrieben.

CAPTCHA: Beide öffentlichen Formulare verwenden Cloudflare Turnstile, einen Dienst von Cloudflare, Inc., USA, und verbundenen Unternehmen. Das Turnstile-Skript wird nicht auf der übrigen Website, sondern erst auf der bewusst aufgerufenen Formularseite geladen. Cloudflare kann dabei insbesondere IP-Adresse, User-Agent, TLS-/Browsermerkmale, Website- und Widgetkennung, Herkunft sowie Interaktions- und Zeitdaten verarbeiten, um automatisierte Zugriffe zu erkennen. Wir verwenden keine Pre-Clearance, keine optionale Besucherkennung und keine cData; bei der anschließenden serverseitigen Tokenprüfung übermitteln wir die IP-Adresse nicht nochmals. Das kurzlebige Token wird serverseitig auf Erfolg, erwarteten Hostnamen und getrennte Formularaktion geprüft.

Wir setzen Turnstile ausschließlich zum Schutz der konkret angeforderten Formularfunktion vor Spam und automatisiertem Missbrauch ein und stützen den hierfür erforderlichen Endgerätezugriff auf § 25 Abs. 2 Nr. 2 TDDDG. Die anschließende personenbezogene Verarbeitung beruht auf Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an funktionsfähigen, sicheren Kontaktwegen). Cloudflare kann bestimmte Signale nach seinen Bedingungen auch in eigener Verantwortlichkeit zur Sicherheit und Verbesserung von Turnstile verwenden. Verarbeitungen können in den USA stattfinden; Cloudflare nennt hierfür insbesondere das EU-US Data Privacy Framework und ergänzend Standardvertragsklauseln. Vor dem Produktiveinsatz ist die aktuelle Auftragsverarbeitungsvereinbarung im Cloudflare-Konto abzuschließen und zu archivieren. Weitere Informationen: Turnstile Privacy Addendum, Cloudflare Customer DPA, Cloudflare-Datenschutzerklärung.

Externe Links, unter anderem zu Instagram, YouTube, GitHub, Modrinth und Fabric: Wir binden keine Plugins, Videos, Pixel oder extern geladenen Profilbilder dieser Plattformen ein. Beim bloßen Laden unserer Seite entsteht daher keine Verbindung dorthin. Erst wenn Sie einen entsprechend gekennzeichneten externen Link anklicken, öffnet Ihr Browser die Plattform; für die dortige Verarbeitung ist deren jeweiliger Anbieter verantwortlich.

Post an die c/o-Anschrift: Online-Impressum.de beziehungsweise die Clear-Media UG ist im Rahmen des gebuchten Postservices mit Annahme, Digitalisierung und Bereitstellung der Sendung beauftragt. Dabei werden Absenderdaten und Briefinhalt verarbeitet. Für die weitere Bearbeitung gelten die oben genannten Zwecke und Rechtsgrundlagen; ergänzend kann Art. 6 Abs. 1 lit. c DSGVO für rechtlich erforderliche Korrespondenz gelten. Einzelheiten und Fristen ergeben sich aus dem gebuchten Postservice und der Datenschutzerklärung von Online-Impressum.de.

Die Vertragsrolle, ein gegebenenfalls erforderlicher Auftragsverarbeitungsvertrag sowie die konkreten Empfänger, Verarbeitungsorte und Aufbewahrungsregeln des gebuchten Postservices sind in unserer Dokumentation noch nicht abschließend bestätigt.

13. Speicherdauer

14. Ihre Rechte

Ihnen stehen als betroffener Person insbesondere folgende Rechte zu:

Zudem haben Sie das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren (Art. 77 DSGVO), etwa bei der Aufsichtsbehörde Ihres gewöhnlichen Aufenthaltsorts.

15. Änderungen dieser Erklärung

Wir passen diese Datenschutzerklärung an, sobald sich der Funktionsumfang der Website ändert (z. B. bei Einführung neuer Dienste). Es gilt jeweils die hier veröffentlichte Fassung.

Stand: 3. September 2026

← Zurück zur Startseite