Datenschutzerklärung für die App „Zip your Lips!“#

Stand: 29. September 2026

Diese Datenschutzerklärung gilt für die App „Zip your Lips!“ für iPhone und iPad (App Store, Bundle-ID de.pakumedia.zipyourlips). Für unsere Website gilt die gesonderte Datenschutzerklärung unter https://pakumedia.de/datenschutz.

1. Verantwortlicher#

Pamuk und Kuscu GbR (PAKU Media), Marke „PAKU Studios“
vertreten durch die Gesellschafter Aykut-Rasih Pamuk und Bünyamin Kuşcu
Friedhofstraße 171
33659 Bielefeld
Deutschland

E-Mail: hello@pakumedia.de
Telefon: 0521 98 99 40 99

2. Überblick#

„Zip your Lips!“ ist ein Partyspiel für Gruppen. Du kannst

• auf einem Gerät spielen („Pass & Play“),
• online mit Freunden in Räumen spielen, denen man über einen Raumcode, einen QR-Code oder eine Einladung beitritt,
• optional den kostenpflichtigen Party Pass abonnieren.

Wir verarbeiten nur die Daten, die für diese Funktionen nötig sind. Die App enthält keine Werbung. Nutzungsstatistik und Fehlerberichte (PostHog) laufen nur, wenn du ausdrücklich zustimmst (siehe 3.15). Beim Löschen eines Kontos erhält PostHog nur dessen Nutzerkennung, damit dort zugehörige Daten gelöscht werden, auch ohne Zustimmung (siehe 6). Abstürze der App selbst (native Abstürze) gehen nicht an PostHog. Die App verwendet keine Werbe-ID (IDFA) und betreibt kein Tracking im Sinne von Apples App Tracking Transparency. Die App versendet keine Push-Benachrichtigungen. Wir verkaufen keine personenbezogenen Daten.

3. Welche Daten wir verarbeiten und warum#

3.1 Daten, die nur auf deinem Gerät gespeichert werden#

Im App-Speicher deines Geräts liegen:

• Einstellungen (Sprache, Ton, Vibration), ob du das Onboarding gesehen hast,
• ein laufendes Pass-&-Play-Spiel, damit du es nach einer Unterbrechung fortsetzen kannst,
• ein Zähler für die Bewertungsabfrage (siehe 3.13),
• deine Antwort auf die Frage zu Nutzungsstatistik und Fehlerberichten (siehe 3.15), bei einer Zustimmung mit der Nutzerkennung des Kontos, dem sie gehört. Solange deine Zustimmung besteht, außerdem die Daten der PostHog-Programmbibliothek: zufällige Kennungen für Gerät und Sitzung und, solange du angemeldet bist, deine Nutzerkennung, die mitgesendeten Eigenschaften (App-Sprache, Gastkonto, Level, Party-Pass-Status, Fassung des Fragetexts), technische Angaben zur App und zum Gerät (App-Version und Build-Nummer, Kennung der App, Betriebssystem und dessen Version, Gerätetyp), die von PostHog geladenen Projekteinstellungen sowie noch nicht gesendete Statistikdaten und Fehlerberichte (auch den Bericht über einen Fehler, der die App beendet hat, bis zum nächsten Start). Hört die App auf zu senden (nach einem Widerruf, wenn sich ein anderes Konto anmeldet oder wenn du dein Konto löschst, siehe 3.15), löscht sie die noch nicht gesendeten Daten und setzt PostHog auf deinem Gerät zurück: Die Kennungen, auch die zufällige Gerätekennung, und die mitgesendeten Eigenschaften werden gelöscht. Bis zum nächsten Start der App bleiben nur Daten gespeichert, die nicht gesendet werden und keiner Person bei PostHog zugeordnet sind: der Vermerk von PostHog, dass nichts gesendet werden darf, die geladenen Projekteinstellungen, die technischen Angaben zur App und zum Gerät, die die Programmbibliothek nach dem Zurücksetzen neu anlegt, und, wenn die App bis dahin wieder in den Vordergrund kommt, eine neue zufällige Sitzungskennung. Startet die App ohne deine Zustimmung, löscht sie alle Dateien der PostHog-Programmbibliothek. Konnte die App nach einem Widerruf einen Löschauftrag für bereits gesendete Daten noch nicht senden (siehe 3.15), speichert sie ihn, bis er gesendet ist, längstens bis zur Deinstallation der App, mit der Nutzerkennung des Kontos, dem die Zustimmung gehörte, bzw. mit den zufälligen PostHog-Kennungen dieses Geräts,
• deine Anmeldesitzung (Zugriffs- und Aktualisierungstoken), damit du angemeldet bleibst,
• Zwischenspeicher deines Kontos: eigene Decks, Favoriten, noch nicht hochgeladene Spielverläufe und Erfahrungspunkte, der zuletzt bekannte Party-Pass-Status, die Zustimmung zu den Nutzungsbedingungen und die Adresse deines zuletzt gewählten Profilbilds.

Die kontobezogenen Zwischenspeicher werden beim Abmelden und nach dem Löschen des Kontos vom Gerät entfernt. Ausgenommen ist der Vermerk, welche Version der Nutzungsbedingungen ein Konto auf diesem Gerät akzeptiert hat (mit dessen Nutzerkennung); er bleibt bis zur Deinstallation der App. Deine Antwort zu Nutzungsstatistik und Fehlerberichten (bei einer Zustimmung mit der Nutzerkennung, der sie gehört) bleibt beim Abmelden erhalten, bis du sie änderst oder die App deinstallierst; meldet sich ein anderes Konto an, vergisst die App eine Zustimmung, und löschst du dein Konto, vergisst sie deine Antwort (siehe 3.15). Einstellungen bleiben bis zur Deinstallation der App erhalten.

3.2 Konto: Gast, Apple oder Google#

Online-Funktionen, der Spielverlauf, der Party Pass und das Speichern über Geräte hinweg brauchen ein Benutzerkonto. Die App legt es so an:

• Gastkonto: Tippst du auf „Als Gast spielen“, wird ein anonymes Konto mit einer zufälligen Kennung und einem Anzeigenamen wie „Player-1234“ erstellt. Besteht noch kein Konto, legt die App ein Gastkonto auch dann automatisch an, wenn du online gehst, ein Pass-&-Play-Spiel beendest, den Party Pass kaufen möchtest oder Käufe wiederherstellst (sofern eine Internetverbindung besteht). Wir erheben dabei keine E-Mail-Adresse und keinen Namen.
• Mit Apple anmelden: Apple übermittelt uns eine Nutzerkennung und deine E-Mail-Adresse, bei Bedarf eine anonyme Weiterleitungsadresse von Apple („E-Mail-Adresse verbergen“). Die App fragt auch deinen Namen an, speichert ihn aber nicht.
• Mit Google anmelden: Google übermittelt uns eine Nutzerkennung, deine E-Mail-Adresse und die Profilangaben, die Google dabei mitschickt (Name, Adresse deines Google-Profilbilds). Unser Anmeldesystem speichert diese Angaben mit deinem Konto. Die App zeigt sie anderen nicht an und verwendet sie nicht als Anzeigenamen. Die Google-Anmeldung läuft in einem Browserfenster innerhalb der App.

Neue Apple- oder Google-Konten erhalten einen neutralen Anzeigenamen wie „Player-1234“. Deine E-Mail-Adresse siehst nur du (Einstellungen → Konto).

Gastkonto verknüpfen: Meldest du dich als Gast mit Apple oder Google an, wird das Gastkonto mit dieser Anmeldung verknüpft. Kennung, Fortschritt, Freunde, Spielverlauf und Käufe bleiben erhalten. Gehört die Apple-ID oder das Google-Konto schon zu einem anderen Konto, fragt die App nach. Wechselst du in das bestehende Konto, wird das bisherige Gastkonto mit seinen Daten gelöscht, auch bei PostHog (siehe 6). Ausnahme: Ein Gastkonto mit aktivem Party Pass bleibt bestehen, damit der Kauf wiederhergestellt werden kann.

Bei der Anmeldung verarbeitet unser Anmeldesystem außerdem technische Daten wie Zugriffstoken, Anmeldezeitpunkte und die IP-Adresse der Anfrage.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Bereitstellung der Funktionen, die du nutzen möchtest).

3.3 Profil#

Zu deinem Konto speichern wir:

• Anzeigename (2–24 Zeichen, eindeutig) und optional ein Profilbild,
• Erfahrungspunkte (XP), Level und deinen gewählten Titel; zum Schutz vor Missbrauch und zur Berechnung deines Saison-Fortschritts protokollieren wir XP-Gutschriften mit Zeitpunkt und den angewendeten Boni (Party Pass, Freunde im Spiel, Host, MVP, XP-Gutschein, Wochenende),
• Saison-Pass: die Belohnungen, die du erhalten hast (Gegenstand, Saison, Stufe, Zeitpunkt des Erhalts, bei XP-Gutscheinen der Zeitpunkt der Einlösung), welche Gegenstände du ausgerüstet hast (Rahmen, bis zu drei Abzeichen, Spielfigur, Konfetti, Buzzer, Reißverschluss-Effekt, Spielbrett, Live-Cam-Bühne) und einen aktivierten XP-Gutschein. Deine ausgerüsteten Gegenstände sehen die Mitspielenden in deinem Raum (siehe 3.5), Rahmen und Abzeichen auch deine Freunde (siehe 3.6),
• deine Tages-Serie (aktuelle und beste Serie, letzter Spieltag),
• Spielstatistiken (Online-Spiele, Siege, erklärte Begriffe, wie oft du in Online-Spielen beim Erklären übersprungen hast, Buzzer), die Anzahl deiner Pass-&-Play-Spiele,
• je beendetem Online-Spiel eine Auswertung: Sieg, Host, MVP, Team, Teamgröße, Anzahl der Teams, Mitspielenden und Geräte, wie viele weitere Personen an deinem Gerät mitgespielt haben, Anzahl der Freunde im Spiel, Runden, in denen du erklärt hast, erklärte und übersprungene Begriffe, Fouls, Buzzer, Begriffe je Spielvariante und Spieldauer. Damit vergeben wir XP und können dir später Erfolge und Aufgaben rückwirkend gutschreiben. Diese Auswertung siehst nur du,
• den Status deines Party Pass (aktiv, Ablaufdatum),
• ob es ein Gastkonto ist,
• Version und Zeitpunkt deiner Zustimmung zu den Nutzungsbedingungen,
• den Code der Lobby, in der du gerade bist (damit Freunde beitreten können),
• Erstellungs- und Änderungszeitpunkt.

Wortfilter: Anzeigenamen und eigene Decks prüft unser Server gegen eine Liste eindeutig beleidigender, sexueller und extremistischer Begriffe. Treffer werden nicht gespeichert.

Profilbild: Du wählst ein Foto über die Fotoauswahl des Systems. Die App erhält nur dieses eine Foto, verkleinert es auf 512 Pixel, speichert es als JPEG und lädt es in den Speicherbereich „avatars“ hoch. Dieser Speicherbereich ist öffentlich lesbar: Wer die Adresse des Bildes kennt, kann es abrufen. In der App sehen dein Bild deine Freunde, Personen, mit denen eine Freundschaftsanfrage offen ist, Personen, die dich blockiert haben (in ihrer Blockierliste), und die Mitspielenden in einem Online-Raum, in dem du bist (siehe 3.5). Lade kein Bild hoch, auf dem andere Personen ohne deren Einverständnis zu sehen sind.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO; für den Wortfilter und das Missbrauchsprotokoll Art. 6 Abs. 1 lit. f DSGVO (Schutz der Nutzenden und des Spielbetriebs).

3.4 Pass-&-Play-Spielverlauf#

Beendest du ein Pass-&-Play-Spiel, speichern wir eine Zusammenfassung in deinem Konto: Datum, Dauer, Spielbrett und Varianten, Teamnamen, die eingegebenen Namen der Mitspielenden, Sieger, die Rundenübersicht (wer in der Runde erklärt, gezeichnet oder pantomimisch dargestellt hat, die Begriffe mit ihrem Ergebnis – erraten, übersprungen oder Fehler – und wie lange jeder Begriff zu sehen war, im Duell auch Einsprüche, dazu die Punkte), die Sprache der Karten, die gewählten Wortpakete, die Anzahl eingemischter eigener Decks und bis zu 12 Zeichnungen. Ohne Verbindung wird sie zunächst auf dem Gerät vorgemerkt und später hochgeladen. Nur du kannst diese Einträge sehen. Deine Freunde sehen nur die Anzahl deiner Pass-&-Play-Spiele. Bitte gib für Mitspielende nur Spitznamen oder Vornamen ein.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Für die Namen der Mitspielenden Art. 6 Abs. 1 lit. f DSGVO (unser und dein Interesse, den Spielverlauf vollständig anzuzeigen).

3.5 Online-Räume und Online-Spiele#

Wenn du einen Raum erstellst oder ihm beitrittst, verarbeiten wir:

• Raumdaten: Raumcode, Host, Einstellungen, gewählte Decks, Status.
• Teilnahmedaten: dein Anzeigename im Raum, Team, Sitzplatz, Bereit-Status, Verbindungsstatus, der Zeitpunkt deines letzten Lebenszeichens (die App sendet es im Raum regelmäßig, damit abgebrochene Verbindungen erkannt werden) und welche App-Funktionen dein Gerät unterstützt. Entfernt dich der Host aus einer Lobby, speichern wir das, damit du diesem Raum nicht erneut beitrittst.
• Mitspielende an deinem Gerät: Spielen weitere Personen an deinem Gerät mit, speichern wir die Namen, die du für sie eingibst (bis zu drei, je höchstens 24 Zeichen), mit deinem Platz im Raum. Alle im Raum sehen diese Namen in Lobby und Spiel. Sie werden mit dem Raum gelöscht (siehe 5) oder, wenn du dein Konto löschst, mit deiner Teilnahme. Bitte gib nur Spitznamen oder Vornamen ein.
• Spieldaten: Runden, gezogene Begriffe mit dem Zeitpunkt, zu dem sie gezogen und aufgelöst wurden, Punkte und Spielereignisse mit Zeitstempel (z. B. Buzzer, Fehler, Überspringen, Einspruch, wer erklärt oder kontrolliert).
• Live-Zeichnen: Deine Striche werden während der Zeichenrunde in Echtzeit über den Echtzeitdienst unseres Hosters (Supabase Realtime) an die Mitspielenden gesendet und dabei nicht gespeichert. Wird der gezeichnete Begriff erraten, speichern wir die fertige Zeichnung mit Begriff und dir als Urheber. Die Mitspielenden dieses Spiels können sie nach der Runde sehen. Mitspielende mit Party Pass können deine Zeichnung als Favorit speichern; dann liegt eine Kopie mit deinem Anzeigenamen in ihrem Profil und ist für ihre Freunde sichtbar (siehe 3.7).
• Eigene Decks des Hosts: Startet der Host ein Spiel mit eigenen Decks, speichern wir eine Kopie der Begriffe. Die Mitspielenden sehen die Begriffe im Spiel und den Decknamen in der Lobby.

Mitspielende im Raum sehen deinen Anzeigenamen, dein Profilbild, deine ausgerüsteten Saison-Gegenstände (Rahmen, Abzeichen, Spielfigur, Konfetti, Buzzer, Reißverschluss-Effekt, Live-Cam-Bühne und, wenn du Host bist, das Spielbrett), die Namen der Mitspielenden an deinem Gerät, dein Team, deinen Bereit- und Verbindungsstatus, deine Zeichnungen, dein Live-Video (siehe 3.10) und deine Spielaktionen. Nach dem Spiel sehen alle Teilnehmenden das Spiel in ihrem Spielverlauf (Teams, Namen, Runden, Begriffe, Zeichnungen).

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Für die Namen der Mitspielenden an deinem Gerät Art. 6 Abs. 1 lit. f DSGVO (unser und dein Interesse, das gemeinsame Spiel durchzuführen).

3.6 Freunde, Einladungen und Online-Status#

• Freundescode: Dein Konto erhält einen 6-stelligen Freundescode, den du auch als QR-Code zeigen oder über das Teilen-Menü deines Geräts weitergeben kannst. Wer ihn kennt, kann dir eine Freundschaftsanfrage senden. Anfragen sind pro Stunde begrenzt.
• Freundschaften und Anfragen: Wir speichern, wer wem wann eine Anfrage gesendet hat und ob sie angenommen wurde. Bei einer offenen Anfrage seht ihr gegenseitig Anzeigenamen, Profilbild und Saison-Rahmen.
• Online-Status: Solange die App geöffnet ist, sendet sie etwa jede Minute ein Lebenszeichen. Bestätigte Freunde sehen, ob du online bist und in welcher offenen Lobby du gerade bist.
• Was Freunde außerdem sehen: dein Profil mit Level und XP-Fortschritt, Titel, Tages-Serie, Statistiken, Saison-Rahmen und Abzeichen, deine Favoriten-Zeichnungen und ob du einen aktiven Party Pass hast. Die App deiner Freunde erhält dafür deinen Profildatensatz, darunter auch deine ausgerüsteten Saison-Gegenstände, einen aktivierten XP-Gutschein, das Ablaufdatum deines Party Pass und das Erstellungsdatum deines Kontos; angezeigt werden nur die genannten Angaben.
• Einladungen: Wir speichern Einladende, Eingeladene, Raum, Status und Zeitpunkt.

Nach einer Blockierung seht ihr diese Informationen gegenseitig nicht mehr.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

3.7 Eigene Decks und Favoriten#

Eigene Decks (Name, Emoji, Begriffe und No-Go-Wörter) werden auf deinem Gerät und in deinem Konto gespeichert, damit sie auf all deinen Geräten verfügbar sind. Nur du siehst sie, außer du verwendest sie als Host in einem Online-Spiel (siehe 3.5). Zeichnungen, die du als Favoriten markierst, speichern wir als Kopie (Striche und Begriff) in deinem Konto, in drei Alben: deine eigenen Zeichnungen aus Online-Spielen, Zeichnungen anderer Spielender aus Online-Spielen, an denen du teilgenommen hast (nur mit Party Pass; gespeichert mit dem Anzeigenamen der zeichnenden Person zum Zeitpunkt des Speicherns), und Zeichnungen aus Pass-&-Play-Spielen. Je Album sind es höchstens 3, mit Party Pass höchstens 9. Deine Favoriten sind für dich und deine bestätigten Freunde sichtbar.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

3.8 Melden, Blockieren, Video ausblenden#

Du kannst Profile, Zeichnungen, Live-Videos und die eigenen Decks eines Hosts melden, Spieler blockieren und Live-Videos anderer ausblenden.

• Meldungen enthalten: dein Konto als meldende Person, Art und Kennung des gemeldeten Inhalts, den gewählten Grund (beleidigend oder hasserfüllt, sexuelle Inhalte, Belästigung oder Mobbing, Spam, etwas anderes; bei Meldungen über das Spielermenü in der Lobby stattdessen den Vermerk „Lobby“, bei Decks den Ort der Meldung: Lobby oder Spiel), die Kennungen der gemeldeten Person, der Runde, der Zeichnung oder des Raums, bei Decks den Decknamen, sowie Zeitpunkt und Bearbeitungsstatus. Eine Kopie des gemeldeten Inhalts wird nicht angelegt.
• Blockierungen enthalten, wer wen wann blockiert hat. Beim Blockieren löschen wir bestehende Freundschaften, offene Anfragen und Einladungen zwischen euch und trennen euch in gemeinsamen Lobbys.
• Video ausblenden wirkt nur auf deinem Gerät und wird nicht gespeichert.

Die gemeldete Person erfährt nicht, wer sie gemeldet hat.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist der Schutz der Nutzenden vor rechtswidrigen und anstößigen Inhalten und die Durchsetzung unserer Nutzungsbedingungen. Soweit wir gesetzlich zur Bearbeitung von Hinweisen verpflichtet sind (z. B. Art. 16 DSA), Art. 6 Abs. 1 lit. c DSGVO.

3.9 Zustimmung zu den Nutzungsbedingungen#

Wir speichern, welche Version der Nutzungsbedingungen du wann akzeptiert hast, auf deinem Gerät und in deinem Profil.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b und f DSGVO (Nachweis des Vertragsschlusses).

3.10 Kamera, Mikrofon und Live-Video (Pantomime)#

• QR-Code-Scanner: Die Kamera wird nur geöffnet, wenn du einen Freundes- oder Raum-QR-Code scannst. Das Bild wird ausschließlich auf deinem Gerät ausgewertet und weder gespeichert noch übertragen.
• Live-Kamera in Pantomime-Runden: Die Live-Kamera gibt es, wenn du oder der Host des Raums einen aktiven Party Pass hast. Bist du mit Darstellen an der Reihe, fragt die App vor dem Senden nach der Kamerafreigabe. Während deiner Pantomime-Runde wird dein Kamerabild live an die Mitspielenden im selben Spiel übertragen. Nur wer gerade darstellt, sendet Video, alle anderen empfangen nur. Die Übertragung läuft über LiveKit (siehe 4.3). Dafür stellt unser Server ein Zugangstoken mit deiner Nutzerkennung, deinem Anzeigenamen und einer Kennung für diese Runde aus. Es gilt für die Rundenzeit plus zwei Minuten.
• Kein Ton: Die App nimmt keinen Ton auf und überträgt keinen. Unser Server erlaubt nur das Senden des Kamerabilds.
• Keine Aufzeichnung: Wir zeichnen Live-Videos nicht auf und speichern sie nicht.

Du kannst die Kamerafreigabe jederzeit in den Einstellungen deines Geräts widerrufen (in der App: Einstellungen → Berechtigungen). Die Live-Kamera und der QR-Scanner funktionieren dann nicht.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Den Zugriff auf die Kamera erlaubst du über die Abfrage des Betriebssystems (§ 25 Abs. 1 TDDDG).

3.11 Teilen#

Du kannst Zeichnungen als Bild, deinen Freundescode und den Code eines Online-Raums über das Teilen-Menü deines Geräts weitergeben. Das Bild wird auf deinem Gerät erzeugt. Wohin du etwas teilst, erfahren wir nicht. Hast du der Nutzungsstatistik zugestimmt (siehe 3.15), erfassen wir nur, dass du das Teilen-Menü geöffnet hast, für welche Art von Inhalt (Zeichnung, Freundescode oder Raumcode, ohne den Code selbst) und, soweit das Gerät es meldet, ob du ein Ziel gewählt hast, aber nicht welches.

3.12 Party Pass (In-App-Abonnement)#

Den Party Pass kaufst du über den App Store. Den Kauf und die Zahlung wickelt Apple ab. Zahlungsdaten (z. B. Kreditkarte) erhalten wir nicht.

Zur Verwaltung der Abos nutzen wir RevenueCat (siehe 4.2). Dabei werden verarbeitet:

• deine Nutzerkennung aus unserem System (bei RevenueCat als „App User ID“),
• Kaufbelege und Transaktionsdaten des App Store (Produkt, Kauf- und Ablaufdatum, Probezeitraum, Verlängerung, Kündigung, Erstattung),
• technische Daten, die das RevenueCat-SDK für den Abgleich braucht (z. B. App-Version, Betriebssystem, Store-Land und Währung).

RevenueCat meldet Käufe, Verlängerungen, Kündigungen und Abläufe an unseren Server. Direkt nach einem Kauf fragt die App diesen Stand auch selbst ab. Wir speichern daraus nur, welches Produkt aktiv ist und bis wann es gilt. Deine Freunde sehen, ob du einen aktiven Party Pass hast. Bist du Host, können die Mitspielenden in deinem Raum die Party-Pass-Funktionen für dieses Spiel mitnutzen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

3.13 Bewertungsabfrage#

Nach jedem dritten beendeten Spiel, höchstens alle drei Tage, kann die App die Bewertungsabfrage von Apple anzeigen. Den Zähler speichert die App nur auf deinem Gerät. Ob und wie du bewertest, erfahren wir nicht. Hast du der Nutzungsstatistik zugestimmt (siehe 3.15), erfassen wir, dass die App die Abfrage angefordert hat.

3.14 Server-Protokolle und App-Konfiguration#

Beim Start fragt die App die Mindestversion und einen möglichen Wartungshinweis ab. Bei jeder Anfrage an unsere Server fallen technisch notwendige Protokolldaten an, u. a. IP-Adresse, Zeitpunkt, angefragter Endpunkt, Statuscode und App-Kennung (User-Agent). Sie dienen dem sicheren Betrieb und der Fehlersuche. Unser Hoster Supabase löscht diese Protokolle nach 7 Tagen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist ein sicherer und stabiler Betrieb.

3.15 Nutzungsstatistik und Fehlerberichte (nur mit deiner Einwilligung)#

Kurz gesagt: Nur wenn du „Erlauben“ tippst, sendet die App Nutzungsstatistik (welche Bildschirme und Funktionen du nutzt) und Fehlerberichte an PostHog, verknüpft mit deiner Spieler-ID bzw. einer zufälligen Kennung. Gespeichert werden die Daten in der EU; PostHog ist ein US-Unternehmen (siehe 4.4). Ohne Zustimmung sendet die App dafür nichts, und du kannst alles nutzen. Ausschalten kannst du es jederzeit mit einem Tipp unter Einstellungen → Rechtliches → Statistik & Fehlerberichte teilen. Dann sendet die App nichts mehr und lässt das bereits Gesendete löschen (die Daten zu deinem Konto, sobald du damit auf diesem Gerät angemeldet bist). Sonst lassen wir die Daten löschen, wenn 12 Monate lang nichts mehr dazu eingegangen ist, und mit deinem Konto. Die Einzelheiten folgen.

Die App fragt dich auf dem Startbildschirm, ob du Nutzungsstatistik und Fehlerberichte teilen möchtest. Mit „Erlauben“ stimmst du zu und bestätigst, dass du mindestens 16 Jahre alt bist oder deine Erziehungsberechtigten einverstanden sind (siehe 8). Auf dieser Karte stehen der Hinweis zum Alter und der Link zu dieser Datenschutzerklärung außerhalb des scrollbaren Textes und sind immer sichtbar. „Nein danke“ ist eine gleich große Schaltfläche direkt unter „Erlauben“. Deine Antwort kannst du jederzeit unter Einstellungen → Rechtliches → Statistik & Fehlerberichte teilen ändern: Schaltest du den Schalter ein, zeigt die App dieselbe Karte wie auf dem Startbildschirm; zugestimmt hast du erst mit „Erlauben“, mit „Nein danke“ bleibt der Schalter aus. Zum Ausschalten, also zum Widerruf, genügt ein Tipp ohne weitere Rückfrage. Die Einwilligung ist freiwillig. Ohne sie kannst du die App mit allen Funktionen nutzen. Solange keine Zustimmung besteht, sendet die App dafür nichts und legt dafür keine Kennung an. Einzige Ausnahme: Nachdem die App aufgehört hat zu senden, können bis zum nächsten Start der App noch Daten der PostHog-Programmbibliothek auf dem Gerät bleiben, und kommt die App in dieser Zeit wieder in den Vordergrund, legt die Programmbibliothek eine neue zufällige Sitzungskennung an; nichts davon wird gesendet (siehe 3.1). Hattest du einer früheren Fassung des Fragetexts zugestimmt, die nur die Nutzungsstatistik umfasste, gilt diese Zustimmung nicht weiter, und die App fragt erneut; ein „Nein danke“ zu dieser Fassung bleibt bestehen.

Für wen deine Antwort gilt: Eine Zustimmung gehört zu dem Konto, mit dem du beim Zustimmen angemeldet bist. Bist du beim Zustimmen nicht angemeldet, gehört sie zu dem ersten Konto, mit dem du dich danach auf diesem Gerät anmeldest, auch zu einem Gastkonto, das die App für dich anlegt. Verknüpfst du ein Gastkonto mit Apple oder Google, bleibt es dasselbe Konto. Meldet sich auf diesem Gerät ein anderes Konto an, gilt deine Zustimmung nicht dafür: Die App hört auf zu senden, setzt PostHog auf dem Gerät zurück (siehe 3.1), sendet für dieses Konto nichts und fragt auf dem Startbildschirm erneut. Das ist kein Widerruf, deshalb lässt die App dabei nichts löschen: Was sie bis dahin für dein Konto gesendet hat, bleibt bei PostHog gespeichert. Löschen lassen wir es wie in 5 beschrieben: wenn 12 Monate lang kein Ereignis mehr dazu eingegangen ist, mit deinem Konto (siehe 6), nach einem Widerruf auf einem Gerät, auf dem deine Zustimmung gilt (siehe unten), oder auf Anfrage. Ein „Nein danke“ auf die erneute Frage ist kein solcher Widerruf und löscht nichts. Möchtest du die Daten früher löschen lassen, schreib uns an hello@pakumedia.de und nenne uns den Freundescode des Kontos. Wir prüfen die Anfrage, bevor wir löschen; bestehen begründete Zweifel, ob sie von dir kommt, bitten wir vorher um zusätzliche Angaben (Art. 12 Abs. 6 DSGVO). Nach dem Abmelden bleibt deine Zustimmung auf diesem Gerät gespeichert, bis sich ein anderes Konto anmeldet; die App erfasst dann aber nichts, bis du dich wieder mit deinem Konto anmeldest. Löschst du dein Konto, setzt die App deine Antwort zurück, auch ein „Nein danke“, und fragt danach erneut. Sonst gilt ein „Nein danke“ für das Gerät, auch für jedes andere Konto, mit dem du dich darauf anmeldest. Deine Antwort gilt nur auf dem Gerät, auf dem du sie gibst. Nutzt du dein Konto auf mehreren Geräten, fragt die App auf jedem Gerät einzeln, und ein Widerruf beendet das Senden nur auf dem Gerät, auf dem du ihn erklärst. Der Löschauftrag nach einem Widerruf (siehe unten) betrifft dagegen alle bei PostHog gespeicherten Daten zu deinem Konto, auch die von deinen anderen Geräten; hast du dort zugestimmt, sendet die App auf diesen Geräten danach weiter.

Stimmst du zu, sendet die App über den Dienst PostHog (siehe 4.4):

Nutzungsstatistik:

• welche Bildschirme du öffnest und welche Funktionen du nutzt, zum Beispiel Spiel gestartet oder beendet, Raum erstellt oder beigetreten, Einstellung geändert, Teilen-Menü geöffnet (siehe 3.11), Party Pass angesehen, Kauf gestartet, abgebrochen oder abgeschlossen (mit dem gewählten Plan und der Stelle der App, an der du die Party-Pass-Seite geöffnet hast), Käufe wiederhergestellt, jeweils mit Angaben wie Spielvarianten, Spielbrettlänge oder Anzahl der Teams und Spielenden,
• Fehlercodes, wenn eine Aktion fehlschlägt: wenn unser Server sie ablehnt (zum Beispiel „Raum voll“ oder „Update nötig“), keine Verbindung besteht oder ein Kauf oder das Wiederherstellen von Käufen scheitert,
• dass du zugestimmt hast und zu welcher Fassung des Fragetexts (als Nachweis deiner Einwilligung).

Fehlerberichte, wenn in der App ein unerwarteter Fehler auftritt (nicht abgefangene JavaScript-Fehler, nicht behandelte Promise-Ablehnungen und Fehler beim Aufbau der Bildschirmanzeige):

• die Fehlerart und die Fehlermeldung. Aus der Fehlermeldung entfernt die App vor dem Senden Links (mit einer beliebigen Protokollangabe wie „https://“ oder beginnend mit „www.“), E-Mail-Adressen, zufällige Kennungen (UUIDs), Tokens im JWT-Format (zum Beispiel Anmeldetokens), Text in doppelten Anführungszeichen, geraden (") wie typografischen (zum Beispiel „…“), die Werte in Datenbank-Fehlermeldungen der Form „(Spalte)=(Wert)“ und Raum- oder Freundescodes, soweit die App sie als solche erkennt (Codes mit mindestens einer Ziffer und Codes direkt nach dem Wort „code“ oder „room“), und kürzt sie auf 500 Zeichen,
• den Stack-Trace: Datei, Funktion, Zeile und Spalte im Programmcode der App, einschließlich der darin enthaltenen Programmbibliotheken. Lokale Variablen und Quelltextzeilen sendet die App nicht; zufällige Kennungen (UUIDs) in Dateipfaden, etwa die des Installationsordners, ersetzt sie durch einen Platzhalter.

Tritt beim Aufbau der Bildschirmanzeige ein Fehler auf, auch direkt beim Start der App, beendet sich die App nicht, sondern zeigt den Hinweis „Da ist etwas schiefgelaufen“ mit der Schaltfläche „Nochmal versuchen“. Mit deiner Einwilligung sendet sie dazu einen Fehlerbericht wie oben, aber ohne die Angabe, welche Bildschirmelemente gerade aufgebaut wurden (Komponenten-Stack). Beendet ein Fehler die App, kann der Bericht auf deinem Gerät gespeichert und beim nächsten Start gesendet werden, aber nur, wenn deine Einwilligung dann noch besteht. Abstürze der App selbst (native Abstürze) sendet die App nicht an PostHog. Solche Absturzberichte erhalten wir nur von Apple, wenn du in den iOS-Einstellungen das Teilen mit App-Entwicklern erlaubt hast. Damit Fehlerberichte lesbar sind, laden wir die Source Maps des Programmcodes der App zu PostHog hoch. Sie enthalten keine personenbezogenen Daten. PostHog fasst gleichartige Fehlerberichte zu Fehlergruppen zusammen. Name und Beschreibung einer Gruppe sind nur die Fehlerart, nicht die Fehlermeldung. Eine Gruppe hat keinen Bezug zu einer Person und bleibt bestehen, wenn deine Daten gelöscht werden.

Zu jedem Ereignis und jedem Fehlerbericht:

• App-Version und Build-Nummer, Name und Kennung der App, Sprache der App, Gerätetyp (iPhone oder iPad), Betriebssystem und dessen Version, Bildschirmgröße sowie Spracheinstellung und Zeitzone des Geräts,
• den gerade geöffneten Bildschirm (nur als Muster wie „/game/[id]“, ohne Raum-, Spiel- oder Nutzerkennung) und eine zufällige Sitzungskennung,
• ob du ein Gastkonto nutzt, dein Level, deinen Party-Pass-Status und die Fassung des Fragetexts, zu der du zugestimmt hast,
• die Kennungen von PostHog: eine zufällige Kennung, die PostHog auf deinem Gerät speichert, und, solange du angemeldet bist (auch mit einem Gastkonto), deine Nutzerkennung aus unserem System (Spieler-ID). PostHog legt dazu ein Profil an, auch ohne Konto (siehe 5). Meldest du dich an, verknüpft PostHog die zufällige Kennung mit deiner Nutzerkennung. Dann sind auch die vorher unter dieser Kennung gesendeten Daten deinem Konto zugeordnet.

Nicht gesendet werden Konsolenausgaben, Protokolle deiner vorherigen Schritte, Bildschirmfotos und Aufzeichnungen deiner Sitzung. Wir senden bewusst keine Namen, keine Texte, die du eingibst, keine Zeichnungen, Raumcodes oder Kamerabilder und keinen Standort. Fehlermeldungen bereinigt die App vor dem Senden wie oben beschrieben; ganz ausschließen können wir nicht, dass eine Fehlermeldung trotzdem ein Bruchstück solcher Inhalte enthält, etwa einen Namen.

IP-Adresse: Bei jeder Übertragung erhält PostHog technisch bedingt die IP-Adresse deines Geräts. PostHog speichert sie nicht zu deinen Ereignissen und Fehlerberichten und ermittelt daraus keinen Standort. Auf dem Weg zu PostHog kann sie auch der in 4.4 genannte Netzwerkdienstleister sehen.

Wir nutzen die Daten nur, um die App und den Party Pass zu verbessern und Fehler zu finden und zu beheben, zum Beispiel um zu sehen, welche Funktionen genutzt werden, wo Spielende aufhören, von wo aus die Party-Pass-Seite geöffnet und welcher Plan gewählt wird, wie viele Käufe begonnen und abgeschlossen werden und welche Fehler wie oft auftreten. Wir nutzen sie nicht für Werbung und nicht für automatisierte Entscheidungen über dich und geben sie nicht an Dritte weiter.

Rechtsgrundlage: deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO; für das Speichern und Auslesen der Kennungen und noch nicht gesendeter Daten auf deinem Gerät § 25 Abs. 1 TDDDG). Du kannst sie jederzeit mit Wirkung für die Zukunft widerrufen. Danach sendet die App ab sofort keine Nutzungsdaten und Fehlerberichte mehr, löscht noch nicht gesendete Daten auf deinem Gerät und setzt PostHog auf deinem Gerät zurück (siehe 3.1). Enthält ein Fehlerbericht trotz der Bereinigung ausnahmsweise Angaben zu einer anderen Person, etwa den Namen einer mitspielenden Person, ist Rechtsgrundlage dafür Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist, Fehler in der App zu finden und zu beheben. Wir werten solche Angaben nicht aus, sie werden mit dem Fehlerbericht gelöscht (siehe 5), und die betroffene Person kann widersprechen (Art. 21 DSGVO).

Unabhängig von deiner Antwort speichert die App auf deinem Gerät, was nötig ist, um deine Entscheidung umzusetzen und nachzuweisen: deine Antwort (bei einer Zustimmung mit der Nutzerkennung, der sie gehört), nach einem Widerruf noch nicht gesendete Löschaufträge (mit der Nutzerkennung des Kontos, dem die Zustimmung gehörte, bzw. den zufälligen PostHog-Kennungen dieses Geräts) und bis zum nächsten Start der App den Vermerk von PostHog, dass nichts gesendet werden darf (§ 25 Abs. 2 Nr. 2 TDDDG; Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit Art. 7 Abs. 1 und Art. 17 DSGVO, für ein gespeichertes „Nein danke“ Art. 6 Abs. 1 lit. f DSGVO: unser Interesse, deine Entscheidung zu beachten, ohne erneut zu fragen). Die übrigen Restdaten der Programmbibliothek bis zum nächsten Start (siehe 3.1) entstehen technisch bedingt, weil sich die Programmbibliothek ohne Neustart der App nicht vollständig entfernen lässt; die App sendet sie nicht, wertet sie nicht aus und löscht sie, sobald sie ohne deine Zustimmung startet.

Löschung nach einem Widerruf: Bereits gesendete Daten lassen wir dann bei PostHog löschen, ohne dass du dich an uns wenden musst; für die Daten zu deinem Konto gilt das, solange du mit dem Konto, dem deine Zustimmung gehört, angemeldet bist oder dich auf diesem Gerät wieder damit anmeldest.

• Daten zu deinem Konto: Bist du mit dem Konto angemeldet, dem deine Zustimmung gehört, übermittelt unser Server dessen Nutzerkennung sofort an PostHog mit dem Auftrag, die zugehörige Person mit allen Nutzungsdaten und Fehlerberichten zu löschen, auch den vorher unter einer verknüpften zufälligen Kennung gesendeten. Bist du gerade nicht mit diesem Konto angemeldet, speichert die App den Auftrag auf deinem Gerät und sendet ihn, sobald dieses Konto auf diesem Gerät wieder angemeldet ist. Bis dahin bleiben die Daten bei PostHog gespeichert. Meldest du dich auf diesem Gerät nicht mehr mit diesem Konto an oder löschst du die App vorher, schreib uns an hello@pakumedia.de und nenne uns den Freundescode des Kontos. Wir prüfen die Anfrage und löschen die Daten dann von Hand; bestehen begründete Zweifel, ob die Anfrage von dir kommt, bitten wir vorher um zusätzliche Angaben (Art. 12 Abs. 6 DSGVO).
• Daten zu diesem Gerät: Außerdem übermittelt unser Server die zufälligen PostHog-Kennungen dieses Geräts an PostHog mit demselben Auftrag, auch wenn deine Zustimmung keinem Konto gehört. Diesen Auftrag sendet die App, sobald auf diesem Gerät ein Konto angemeldet ist, auch ein Gastkonto (siehe 3.2); bis dahin bleibt er auf dem Gerät gespeichert. Daten unter einer früheren zufälligen Kennung, die mit keinem Konto verknüpft wurde (etwa wenn die App gelöscht wurde, bevor sich darauf ein Konto angemeldet hatte), können wir keiner Person zuordnen. Wir lassen sie löschen, wenn 12 Monate lang kein Ereignis mehr dazu eingegangen ist (siehe 5).

Konnte die App einen Auftrag nicht senden, etwa ohne Verbindung, bleibt er auf deinem Gerät gespeichert, und die App versucht es bei jedem Start und jeder Anmeldung erneut (den Auftrag für ein Konto, sobald dieses Konto angemeldet ist, den für die zufälligen Kennungen, sobald irgendein Konto angemeldet ist). Von noch nicht gesendeten zufälligen Kennungen behält die App höchstens die 16 neuesten (das wird erst nach vielen Widerrufen ohne Verbindung erreicht); Daten unter älteren lassen wir nach der 12-Monats-Regel löschen (siehe 5). Sobald ein Auftrag bei unserem Server eingeht, leitet er ihn sofort an PostHog weiter. Hatte PostHog dazu Daten, wiederholt unser Server den Auftrag in der Regel beim nächsten täglichen Lauf, frühestens 15 Minuten später, damit auch Daten erfasst werden, die zu diesem Zeitpunkt noch unterwegs waren. Schlägt die Löschung bei PostHog fehl, verfahren wir wie beim Löschen eines Kontos (Warteschlange, siehe 5 und 6). Nach einer Löschung geben wir die Kennung bei PostHog frei, sodass Daten, die später darunter eingehen (etwa wenn du erneut zustimmst), eine neue Person bilden, die sich ebenso löschen lässt. Die Ereignisse und Fehlerberichte einer gelöschten Person entfernt PostHog zeitversetzt, in der Regel innerhalb weniger Tage. Das gilt ebenso beim Löschen des Kontos (siehe 6). Rechtsgrundlage für die Übermittlung der Kennungen ist Art. 6 Abs. 1 lit. c in Verbindung mit Art. 17 DSGVO.

Auf Anfrage an hello@pakumedia.de lassen wir Daten zu deiner Nutzerkennung bei PostHog auch ohne Widerruf von Hand löschen, unverzüglich nachdem wir die Anfrage geprüft haben. Wie lange die Daten gespeichert bleiben, wenn du nicht widerrufst, steht in 5.

3.16 Auswertung von Spieldaten#

Um Wortkarten und Spielregeln zu verbessern, werten wir die Daten aus Online-Spielen (siehe 3.5) und aus dem Pass-&-Play-Spielverlauf (siehe 3.4) zusammengefasst aus, zum Beispiel wie oft ein Begriff erraten, übersprungen oder mit einem Fehler beendet wurde und wie lange das im Durchschnitt dauerte. Dafür bilden wir Summen und Durchschnitte ohne Bezug zu einzelnen Personen. Diese zusammengefassten Zahlen bewahren wir auch nach der Löschung der zugrunde liegenden Spieldaten auf.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist ein gut spielbares Spiel mit verständlichen Begriffen. Du kannst dieser Verarbeitung widersprechen (Art. 21 DSGVO).

4. Empfänger und Auftragsverarbeiter#

Supabase, RevenueCat, LiveKit und PostHog (4.1 bis 4.4) verarbeiten Daten in unserem Auftrag. Mit ihnen haben wir Verträge zur Auftragsverarbeitung nach Art. 28 DSGVO geschlossen. Apple und Google (4.5), andere Nutzende (4.6) und Behörden (4.7) sind keine Auftragsverarbeiter.

4.1 Supabase (Datenbank, Anmeldung, Dateispeicher, Serverfunktionen, Echtzeit)#

Vertragspartner: Supabase Pte. Ltd., 65 Chulia Street #38-02/03, OCBC Centre, Singapur 049513. Datenbank, Anmeldesystem und der Speicher für Profilbilder liegen in der Region EU-Central (Frankfurt am Main). Serverfunktionen und der Echtzeitdienst können in einem anderen Rechenzentrum von Supabase ausgeführt werden, das der Anfrage näher liegt. Zugriffe von Supabase außerhalb der EU (z. B. für Support) sind nicht ausgeschlossen. Sie sind durch die EU-Standardvertragsklauseln abgesichert (Art. 46 Abs. 2 lit. c DSGVO).

4.2 RevenueCat (Abo-Verwaltung)#

RevenueCat, Inc., 1032 E Brandon Blvd #3003, Brandon, FL 33511, USA. Verarbeitet die unter 3.12 genannten Daten. Die Übermittlung in die USA ist durch die EU-Standardvertragsklauseln abgesichert (Art. 46 Abs. 2 lit. c DSGVO).

4.3 LiveKit (Live-Video)#

LiveKit Incorporated, 369 Sutter St, San Francisco, CA, USA. Die Live-Kamera läuft über LiveKit Cloud. LiveKit leitet das Video über das nächstgelegene Rechenzentrum seines weltweiten Netzes weiter und speichert es nicht. Das Video kann dabei Server außerhalb der EU durchlaufen. LiveKit erhält außerdem deine IP-Adresse, deine Nutzerkennung und deinen Anzeigenamen. LiveKit ist nach dem EU-US Data Privacy Framework zertifiziert (Angemessenheitsbeschluss, Art. 45 DSGVO). Ergänzend gelten die EU-Standardvertragsklauseln.

4.4 PostHog (Nutzungsstatistik und Fehlerberichte, nur mit Einwilligung)#

PostHog, Inc., San Francisco, Kalifornien, USA. Verarbeitet die unter 3.15 genannten Nutzungsdaten und Fehlerberichte, und nur, wenn du zugestimmt hast. Dabei erhält PostHog technisch bedingt auch die IP-Adresse deines Geräts, speichert sie aber nicht zu deinen Ereignissen und Fehlerberichten und ermittelt daraus keinen Standort (siehe 3.15). Außerdem laden wir die Source Maps des Programmcodes der App zu PostHog hoch (ohne personenbezogene Daten, siehe 3.15). Ohne deine Zustimmung erhält PostHog von uns zu dir nur Löschaufträge: Beim Löschen eines Kontos (auch eines Gastkontos, und auch wenn du nie zugestimmt hast) übermittelt unser Server dessen Nutzerkennung, nach einem Widerruf die Nutzerkennung des Kontos, dem die Zustimmung gehörte, und die zufälligen PostHog-Kennungen des Geräts, jeweils mit dem Auftrag, die zugehörige Person mit allen dort gespeicherten Nutzungsdaten und Fehlerberichten zu löschen (siehe 3.15 und 6, dort auch die Rechtsgrundlage). Gastkonten, die wir nach 90 Tagen löschen, gleicht unser Server dafür zuerst mit PostHog ab und lässt nur die Nutzerkennungen löschen, zu denen PostHog Daten hat. Profile, zu denen 12 Monate lang kein Ereignis eingegangen ist, lassen wir dort ebenfalls löschen (siehe 5). Wir nutzen PostHog Cloud EU: Die Daten werden in der EU (Frankfurt am Main) gespeichert. PostHog ist ein US-Unternehmen und kann die Daten auch in den USA und anderen Ländern verarbeiten, etwa wenn Mitarbeitende von PostHog für Betrieb oder Support darauf zugreifen. Auf dem Weg zu PostHog können die Daten, auch deine IP-Adresse, außerdem Server eines Netzwerkdienstleisters von PostHog außerhalb der EU durchlaufen. PostHog, Inc. ist nach dem EU-US Data Privacy Framework zertifiziert (Angemessenheitsbeschluss, Art. 45 DSGVO). Ergänzend gelten die EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO).

4.5 Apple und Google#

• Anmeldung: Nutzt du „Mit Apple anmelden“ oder „Mit Google anmelden“, verarbeiten Apple Distribution International Ltd. (Irland) bzw. Google Ireland Limited (Irland) deine Anmeldedaten in eigener Verantwortung nach ihren Datenschutzbestimmungen.
• Käufe und Vertrieb: Download, Käufe, Zahlungen, Probezeiträume, Kündigungen, Erstattungen und Bewertungen wickelt Apple in eigener Verantwortung ab.

4.6 Andere Nutzende#

Wie in Abschnitt 3 beschrieben, sehen Mitspielende und Freunde bestimmte Profil- und Spieldaten. Außerhalb der App abrufbar ist nur dein Profilbild, und zwar über seine Adresse.

4.7 Behörden#

Wir geben Daten an Behörden nur weiter, wenn wir gesetzlich dazu verpflichtet sind.

5. Speicherdauer#

6. Konto löschen#

Du kannst dein Konto jederzeit in der App löschen: Einstellungen → Konto → Konto löschen. Dabei löschen wir unwiderruflich:

• dein Benutzerkonto mit den Anmeldedaten von Apple oder Google,
• dein Profil und dein Profilbild,
• Freundescode, Freundschaften, Anfragen, Einladungen und Blockierungen (auch die, mit denen andere dich blockiert haben),
• Statistiken, XP, Saison-Pass-Belohnungen, Online-Status und Party-Pass-Status,
• deinen Pass-&-Play-Spielverlauf, eigene Decks (auch deren Kopien aus Online-Spielen) und Favoriten,
• deine Teilnahmen an Online-Räumen und -Spielen,
• deine Nutzungsstatistik und Fehlerberichte bei PostHog, falls du zugestimmt hattest. Die App löscht vorher noch nicht gesendete Daten auf deinem Gerät, setzt PostHog auf deinem Gerät zurück (siehe 3.1) und setzt deine Antwort auf die Frage zurück; die App fragt danach erneut (siehe 3.15). Dann übermittelt unser Server deine Nutzerkennung an PostHog mit dem Auftrag, die zugehörige Person mit allen Nutzungsdaten und Fehlerberichten zu löschen, auch den vorher unter einer verknüpften zufälligen Kennung gesendeten. Das tun wir auch, wenn du nie zugestimmt hast (dann ist dort nichts zu löschen): Deine Antwort auf die Frage liegt nur auf deinem Gerät, deshalb wissen wir auf dem Server nicht, wer zugestimmt hat. Rechtsgrundlage ist Art. 6 Abs. 1 lit. c in Verbindung mit Art. 17 DSGVO; hattest du nie zugestimmt, Art. 6 Abs. 1 lit. f DSGVO: Unser berechtigtes Interesse ist, Löschungen vollständig auszuführen, ohne auf dem Server speichern zu müssen, wer zugestimmt hat. Hatte PostHog Daten zu dir, wiederholt unser Server den Auftrag in der Regel beim nächsten täglichen Lauf, frühestens 15 Minuten später, damit auch Daten erfasst werden, die noch unterwegs waren. Die Ereignisse und Fehlerberichte entfernt PostHog zeitversetzt, in der Regel innerhalb weniger Tage. Schlägt die Löschung bei PostHog fehl, bleibt deine Nutzerkennung dafür in einer Warteschlange, und wir versuchen es bei der täglichen Bereinigung bis zu 14-mal erneut (siehe 5). Bleibt sie auch dann erfolglos, löschen wir dein Profil bei PostHog mit den Ereignissen und Fehlerberichten von Hand; eine weitere Anfrage von dir ist dafür nicht nötig.

Ohne Bezug zu deiner Person bleiben erhalten: Zeichnungen und Spielereignisse aus Online-Spielen, die im Spielverlauf der anderen Teilnehmenden stehen, sowie Meldungen, die du erstellt hast. Meldungen über dich bleiben für die Bearbeitung bestehen (siehe 5). Ausnahme: Hat jemand eine Zeichnung von dir als Favorit gespeichert, bleibt diese Kopie mit dem damals gespeicherten Anzeigenamen im Profil dieser Person, bis sie die Kopie entfernt oder ihr Konto löscht.

Nicht automatisch gelöscht wird dein Kundendatensatz bei RevenueCat (Nutzerkennung und Kaufhistorie). Schreib uns an hello@pakumedia.de, dann lassen wir ihn löschen. Kaufbelege bei Apple richten sich nach den Regeln von Apple.

Wichtig: Das Löschen des Kontos kündigt kein laufendes Abo. Die App weist dich vor dem Löschen darauf hin. Kündige den Party Pass vorher in deinen Apple-Abo-Einstellungen (in der App: Einstellungen → Party Pass → Abo verwalten).

Du kannst die Löschung auch per E-Mail an hello@pakumedia.de verlangen. Wir prüfen die Anfrage, bevor wir löschen; bestehen begründete Zweifel, ob sie von dir kommt, bitten wir vorher um zusätzliche Angaben (Art. 12 Abs. 6 DSGVO).

7. Deine Rechte#

Du hast das Recht auf

• Auskunft (Art. 15 DSGVO),
• Berichtigung (Art. 16 DSGVO),
• Löschung (Art. 17 DSGVO),
• Einschränkung der Verarbeitung (Art. 18 DSGVO),
• Datenübertragbarkeit (Art. 20 DSGVO),
• Widerspruch gegen Verarbeitungen auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO aus Gründen, die sich aus deiner besonderen Situation ergeben (Art. 21 DSGVO),
• Widerruf einer Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO), z. B. der Einwilligung in Nutzungsstatistik und Fehlerberichte in der App (Einstellungen → Rechtliches → Statistik & Fehlerberichte teilen) oder der Kamerafreigabe in den Geräteeinstellungen.

Wende dich dazu an hello@pakumedia.de.

Automatisierte Entscheidungen im Einzelfall einschließlich Profiling im Sinne von Art. 22 DSGVO finden nicht statt.

Außerdem kannst du dich bei einer Datenschutz-Aufsichtsbehörde beschweren (Art. 77 DSGVO). Für uns zuständig ist: Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen, Kavalleriestraße 2–4, 40213 Düsseldorf, https://www.ldi.nrw.de.

8. Kinder und Jugendliche#

Pass & Play auf einem Gerät kann ohne Altersgrenze gespielt werden. Ein Konto mit Apple oder Google, die Online-Funktionen (Räume, Freunde, Live-Kamera) und der Party Pass richten sich an Personen ab 16 Jahren. Bist du jünger als 16, darfst du sie nur mit Zustimmung deiner Erziehungsberechtigten nutzen. Das gilt auch für die Einwilligung in Nutzungsstatistik und Fehlerberichte (siehe 3.15): Mit „Erlauben“, auf dem Startbildschirm oder nach dem Einschalten des Schalters in den Einstellungen, bestätigst du, dass du mindestens 16 Jahre alt bist oder deine Erziehungsberechtigten einverstanden sind. Darauf weist der Text der Frage über den Schaltflächen hin. Trifft beides nicht zu, tippe auf „Nein danke“.

Wenn du glaubst, dass uns ein Kind ohne die erforderliche Zustimmung Daten übermittelt hat (auch über Nutzungsstatistik und Fehlerberichte), schreib uns an hello@pakumedia.de und nenne uns möglichst den Freundescode des Kontos (Freunde-Tab). Der Freundescode hilft uns, das Konto zu finden, weist aber nichts nach, denn er lässt sich weitergeben. Wir löschen deshalb erst, wenn wir geprüft haben, dass der Hinweis vom Kind oder seinen Erziehungsberechtigten kommt und das Konto dem Kind gehört, und bitten dafür um zusätzliche Angaben (Art. 12 Abs. 6 DSGVO). Bestätigt sich der Hinweis, lassen wir die Nutzungsstatistik und Fehlerberichte des Kontos bei PostHog löschen und löschen, wenn die Erziehungsberechtigten es verlangen, das Konto mit seinen Daten, wie in 6 beschrieben (ein laufendes Abo kündigt das nicht). Schneller geht es auf dem Gerät des Kindes: Dort können Erziehungsberechtigte die Einwilligung selbst widerrufen (Einstellungen → Rechtliches → Statistik & Fehlerberichte teilen); dann lässt die App auch die bereits gesendeten Nutzungsdaten und Fehlerberichte löschen, wie in 3.15 beschrieben. Dort können sie auch das Konto selbst löschen (Einstellungen → Konto → Konto löschen), auch bei PostHog. Daten unter einer früheren zufälligen Kennung, die mit keinem Konto verknüpft wurde, können wir keiner Person zuordnen; wir lassen sie löschen, wenn 12 Monate lang kein Ereignis mehr dazu eingegangen ist (siehe 5).

9. Datensicherheit#

Die Verbindungen zwischen App, unseren Servern, LiveKit und PostHog sind verschlüsselt (TLS). Zugriffsregeln in der Datenbank (Row Level Security) beschränken jeden Datensatz auf die Berechtigten. Spielentscheidende und sicherheitsrelevante Schreibvorgänge laufen ausschließlich über geprüfte Serverfunktionen.

10. Änderungen#

Wir passen diese Datenschutzerklärung an, wenn sich die App oder die Rechtslage ändert. Es gilt die jeweils in der App verlinkte Fassung.