Datenschutz

Geltungsbereich dieser Hinweise

Diese Hinweise gelten für unsere Website und das Sudoku-Gastspiel sowie für Anfragen an den Betreiber. Sie erklären die benötigten Daten, ihre Zwecke und die geltenden Aufbewahrungsregeln. Andere angekündigte Spiele und spätere Konten- oder Werbefunktionen gehören nicht zu dieser Ausgabe.

Das Wichtigste zuerst

• Sie spielen ohne Konto, Werbung oder Analysewerkzeuge.
• Ihr Spielstand bleibt in der geöffneten Seite. Sie können ihn bewusst über einen Link teilen.
• Sprache und eine zufällige Sicherheitskennung können in Ihrem Browser gespeichert werden.
• Die Sicherheitsprüfung ALTCHA und der QR-Generator laufen mit Dateien von unserer eigenen Website.

Verantwortlicher und Kontakt

Matthias Stadler
Höllbergstraße 4a
60431 Frankfurt am Main
Deutschland

Weitere Anbieterangaben stehen im Impressum.

Website und Spielbetrieb

Beim Abruf erreichen unseren Server technisch Ihre IP-Adresse, der angefragte Pfad, Zeitpunkt und Browser-/Verbindungsangaben. Dazu gehört beim Laden eines Rätsels dessen Kennung. Diese Informationen werden benötigt, um die Website und das angeforderte Rätsel auszuliefern sowie Missbrauch abzuwehren. Wir verwenden sie nicht zur Erstellung von Werbe- oder Nutzungsprofilen.

In dieser Ausgabe ist Sudoku spielbar. Andere angekündigte Spiele sind noch nicht verfügbar. Es gibt keine Registrierung, Kontenspielstände, Werbenetzwerke, Reichweitenmessung oder eingebetteten Social-Media-Inhalte. Bewertungen werden nicht übertragen oder gespeichert. Schriftdateien werden nicht von einem externen Dienst geladen. Das Anwendungsbackend protokolliert keine Besucherzugriffe, Anfrageinhalte oder Sicherheitstokens.

Für Bereitstellung und Schutz stützen wir uns auf Art. 6 Abs. 1 Buchst. f DSGVO: unser Interesse an einer funktionsfähigen, sicheren und ressourcenschonenden Website. Die Verarbeitung wird auf diesen Zweck begrenzt. Die Rechte der Besucher, insbesondere von Kindern, sind dabei zu berücksichtigen.

Spielstand und bewusstes Teilen

Zahlen, Notizen, Zugverlauf und Spielzeit bleiben im Arbeitsspeicher der geöffneten Seite. Beim Neuladen oder Schließen geht dieser Spielstand verloren. Es wird dafür kein automatisches Browser- oder Serverprofil angelegt.

Auf Wunsch erstellt die Teilen-Funktion einen Link mit Rätselkennung und gegebenenfalls Ihren Einträgen und Notizen. Diese Angaben stehen hinter dem Zeichen # im Link und werden beim gewöhnlichen HTTP-Aufruf nicht mitgesendet. Der Link enthält nur die für das Teilen vorgesehene Sprachangabe als URL-Parameter. Wer den Link erhält, kann seinen Inhalt lesen. Er kann außerdem in Browserhistorie oder Browsersynchronisierung verbleiben.

Der QR-Code wird auf Ihrem Gerät erzeugt. „Kopieren“ übergibt den Link an Ihre Zwischenablage; die Teilen-Funktion Ihres Geräts übergibt ihn an die von Ihnen gewählte Anwendung. Dort gelten deren Verarbeitung und Aufbewahrung. Für das Erstellen und Übergeben des gewünschten Links gilt ebenfalls Art. 6 Abs. 1 Buchst. f DSGVO, soweit dabei personenbezogene Daten verarbeitet werden: unser Interesse, die ausdrücklich angeforderte Teilen-Funktion bereitzustellen. Veröffentlichen Sie über den Link keine vertraulichen Angaben.

Sprache und zufällige Abrufkennung

Ihre bewusst gewählte Sprache wird im lokalen Browserspeicher (localStorage) gespeichert. Die Website liest diese Einstellung bei späteren Aufrufen, auch auf Rechteseiten, und kann die Sprache zusätzlich im Link führen. Ohne ausdrückliche Sprachwahl wird keine neue Spracheinstellung gespeichert. Der Eintrag bleibt bis zum Löschen der Website-Daten erhalten.

Beim ersten Rätselabruf stellt unser Server eine zufällige signierte Kennung für diesen Browser bereit. Sie wird im localStorage für unsere Level-API gespeichert und bei Abrufen mitgesendet, um neue Rätseldownloads auf einen je 20 Sekunden zu begrenzen. Sie ist weder Konto noch Hardware-Fingerabdruck. Beim Gastspiel wird dieselbe gespeicherte Kennung höchstens eine Stunde lang wiederverwendet. Beim nächsten erforderlichen neuen Rätselabruf wird ein abgelaufener oder ungültiger Eintrag verworfen und ersetzt. Während der Browser geschlossen ist, kann die Website keinen eigenen Löschlauf ausführen. Ist der lokale Speicher gesperrt, nutzt die geöffnete Seite nur ihren Arbeitsspeicher mit derselben Wiederverwendungsgrenze.

Serverseitig werden für die Abrufbegrenzung die zufällige Kennung und die Zeit des letzten erfolgreichen Downloads gespeichert. Im laufenden Backend werden Einträge außerhalb des 20-Sekunden-Fensters zusätzlich jede Minute bereinigt, gewöhnlich also innerhalb von bis zu etwa 80 Sekunden nach dem Abruf. Bei einem angehaltenen Dienst verschiebt sich die Bereinigung bis zum nächsten Start; ein technischer Fehler kann sie verzögern.

Sie können die Website-Daten in den Einstellungen Ihres Browsers löschen. Dadurch werden Sprache und Kennung zurückgesetzt; ein neuer Abruf kann eine neue Kennung benötigen. Die Verarbeitung dient der gewünschten Spracheinstellung beziehungsweise dem Schutz des angeforderten Spiels, auf Grundlage von Art. 6 Abs. 1 Buchst. f DSGVO. Für die Speicherung und den Zugriff auf Ihrem Gerät wird die Ausnahme für den ausdrücklich gewünschten Dienst nach § 25 Abs. 2 Nr. 2 TDDDG zugrunde gelegt. Die Wiederverwendung ist auf die begrenzte Spielsitzung ausgerichtet und nicht auf dauerhaftes Wiedererkennen. Diese Einordnung gilt für die hier beschriebene Funktion und ist keine pauschale Ausnahme für beliebige localStorage-Nutzung.

Selbst gehostete Sicherheitsprüfung mit ALTCHA

Vor dem Spieleinstieg bestätigen Sie eine Sicherheitsprüfung. Ihr Browser löst eine begrenzte Rechenaufgabe; unser Server prüft die Lösung und stellt eine Freigabe aus. Dabei wird kein externer CAPTCHA-Prüfdienst kontaktiert und kein Cookie gesetzt. Die Integration erfasst keine Verhaltenssignatur Ihrer Maus- oder Tastaturbedienung.

Eine Aufgabe gilt höchstens zehn Minuten, eine Freigabe höchstens eine Stunde. Die Freigabe verbleibt im Arbeitsspeicher der Seite. Nach Neuladen oder Schließen ist vor einem neuen Spielzugang erneut eine Sicherheitsprüfung nötig. Der Server hält Aufgaben, Freigabeprüfwerte und aus IP-Adressen abgeleitete pseudonyme Kennungen zur Begrenzung von Sicherheitsanfragen im Arbeitsspeicher. Die Pseudonyme werden mit einem zufälligen geheimen Prozessschlüssel gebildet; es handelt sich nicht um anonyme Daten.

Abgelaufene Servereinträge werden bei weiteren Sicherheitsanfragen und zusätzlich jede Minute entfernt. Ein Begrenzungseintrag kann bis zehn Minuten nach der letzten zugehörigen Anfrage bestehen; die regelmäßige Bereinigung kann bis etwa eine weitere Minute benötigen. Ein Backendneustart verwirft diese Sicherheitsbestände. Die Prüfung und Begrenzung schützt Verfügbarkeit und Levelabrufe; Grundlage ist Art. 6 Abs. 1 Buchst. f DSGVO. Die während des angeforderten Spielzugangs benötigte Speicherung auf Ihrem Gerät wird nach § 25 Abs. 2 Nr. 2 TDDDG eingeordnet.

Hosting, Empfänger und Betriebsprotokolle

Hosting und E-Mail beziehen wir von IONOS SE, Elgendorfer Straße 57, 56410 Montabaur, Deutschland. Der VPS für unsere Website steht in Spanien. Eine Vereinbarung zur Auftragsverarbeitung ist Bestandteil unserer IONOS-Vertragsunterlagen. Für die VPS-Plattform und deren Support nennt die Unterauftragnehmerliste Arsys Internet S.L.U. in Spanien. Unser Servicepostfach ist IONOS Mail Basic. Dafür nennt die Liste die 1&1 Mail & Media GmbH in Deutschland als Maildienst und die Open-Xchange GmbH in Deutschland für den Webmailer. Es bestehen keine Mailweiterleitung und kein zusätzlich beauftragter Archivdienst.

IONOS verarbeitet die für die beauftrageten Leistungen erforderlichen Daten. Die AVV sieht EU/EWR als Verarbeitungsraum vor und erlaubt erforderliche Drittlandübermittlungen unter den Voraussetzungen der Art. 44 ff. DSGVO. Der VPS-Standort ist deshalb keine Zusage, dass sämtliche Support- und Infrastrukturverarbeitung ausschließlich in Spanien oder der EU erfolgt. Die konkreten Anbieterregelungen stehen in der IONOS-Vereinbarung zur Auftragsverarbeitung mit ihren Anhängen.

Wir führen keine allgemeinen Besucherzugriffsprotokolle. Notwendige Betriebs-, Fehler- und TLS-Diagnosen können insbesondere Zeitpunkt, betroffene Domain oder Dienstbezeichnung, technische Fehlermeldungen und Verbindungsangaben enthalten. Diese Daten dienen dem sicheren Betrieb und der Fehlerbehebung auf Grundlage von Art. 6 Abs. 1 Buchst. f DSGVO. Unser getrenntes Dienstjournal ist auf sieben Tage und ein begrenztes Speichervolumen eingestellt. Rotation und Bereinigung im laufenden Betrieb dienen dieser Frist; technische Störungen oder Stillstand können die tatsächliche Löschung verzögern. Eine vollständige Anonymität aller technischen Diagnosen wird nicht zugesichert.

Für zusätzliche Diagnosen der VPS-Infrastruktur weisen die uns vorliegenden IONOS-Produktunterlagen keine gesonderte konkrete Aufbewahrungsfrist aus. Diese Verarbeitung richtet sich nach der beauftragten Infrastrukturleistung und deren erforderlichem Betrieb; unsere eigene Journalregel begrenzt keine gesonderten IONOS-Systeme. Die für Serverdaten genannte Löschung spätestens fünf Tage nach Kündigung ist keine Frist für laufende VPS-Diagnosen.

Die Betriebsüberwachung prüft Auslastung und Systemzustände; Warnungen gehen über IONOS an den Betreiber. Sie können die betroffene System- oder Dienstbezeichnung, Ereignis, Zeitpunkt, Serverkennung und technische Zustands- oder Auslastungsangaben enthalten. Die eingerichteten Ressourcenregeln dienen keiner Auswertung von Spielständen oder Browserkennungen. Für bearbeitete Alarmmails gilt die manuelle Löschfrist von spätestens 30 Tagen nach Bearbeitung; besondere rechtliche Aufbewahrungs- oder Anspruchssicherungsgründe werden im Einzelfall gesondert erfasst. Eine automatische Postfachlöschung wird nicht vorausgesetzt.

Für verschlüsselte HTTPS-Verbindungen verwenden wir Zertifikate von Let's Encrypt, einem Dienst der Internet Security Research Group (ISRG) in den USA. Unser Server übermittelt zur Ausstellung und Erneuerung Domainnamen, seine IP-Adresse und technische Antrags- und Validierungsdaten. Let's Encrypt bewahrt diese Angaben nach eigenen Angaben mindestens zwei Jahre auf. Zertifikatsangaben einschließlich der Domainnamen werden in öffentlichen Certificate-Transparency-Verzeichnissen veröffentlicht. Die privaten Schlüssel bleiben auf unserem Server; Spielstände, Nachrichtentexte und Browserkennungen werden bei der Zertifikatsbeantragung nicht übermittelt. Einzelheiten stehen in den Datenschutzhinweisen von Let's Encrypt. Diese Zertifikatsverwaltung ist von Ihren gewöhnlichen Spielanfragen getrennt.

Kontakt per E-Mail oder Telefon

Bei einer E-Mail erhalten wir Ihre Absenderadresse, den Inhalt und gegebenenfalls Anhänge sowie Zustell-/Verbindungsdaten. Wir verarbeiten diese Angaben zur Bearbeitung Ihrer Anfrage; Zugriff erhält der Betreiber und technisch der beauftragte E-Mail-Dienst IONOS. Bitte senden Sie nur die für Ihr Anliegen erforderlichen Angaben.

Telefonische Anfragen bearbeitet der Betreiber. Dabei können Ihre übermittelte Rufnummer, der Zeitpunkt des Anrufs sowie die von Ihnen mitgeteilten Angaben zur Beantwortung Ihres Anliegens verarbeitet werden. Bitte teilen Sie nur die dafür erforderlichen Informationen mit.

Allgemeine Anfragen werden auf Grundlage von Art. 6 Abs. 1 Buchst. f DSGVO bearbeitet, unserem Interesse an der Beantwortung eingehender Nachrichten. Bei einer konkreten Vertrags- oder vorvertraglichen Anfrage kann Art. 6 Abs. 1 Buchst. b DSGVO gelten. Die Aufbewahrung richtet sich nach der erforderlichen Bearbeitung Ihres Anliegens und gegebenenfalls konkret einschlägigen gesetzlichen Pflichten oder der notwendigen Sicherung von Rechtsansprüchen. Für allgemeine erledigte Anfragen und notwendige Gesprächsnotizen gilt die manuelle Löschfrist von spätestens sechs Monaten nach Abschluss; besondere gesetzliche Aufbewahrungs- oder Anspruchssicherungsgründe werden im Einzelfall gesondert erfasst. Eine automatische Postfachlöschung wird nicht vorausgesetzt. Nach der Löschung durch uns sehen die IONOS-Vertragsunterlagen für E-Mail-Daten eine zusätzliche Anbieterfrist von höchstens sieben Tagen vor, ebenso nach Vertragsende. Für Mailprotokolle nennen die Anbieterunterlagen höchstens 28 Tage ab Entstehung; diese Anbieterfristen ersetzen nicht unsere eigene Bearbeitungs- und Löschregel.

Ihre Rechte

Unter den gesetzlichen Voraussetzungen können Sie Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung und Datenübertragbarkeit verlangen. Soweit eine Verarbeitung auf Einwilligung beruht, können Sie diese für die Zukunft widerrufen. Es besteht keine Pflicht, uns eine allgemeine Kontaktanfrage zu senden. Ohne notwendige Verbindungs- und Sicherheitsdaten können wir den angeforderten Spielzugang unter Umständen nicht bereitstellen. Es findet keine automatisierte Entscheidung über Sie mit rechtlicher oder ähnlich erheblicher Wirkung und kein darauf gerichtetes Profiling statt.

Widerspruch: Gegen eine Verarbeitung auf Grundlage berechtigter Interessen können Sie aus Gründen Ihrer besonderen Situation nach Art. 21 DSGVO Widerspruch einlegen. Wir prüfen dann, ob die Verarbeitung beendet werden muss oder zwingende schutzwürdige Gründe beziehungsweise die Sicherung von Rechtsansprüchen entgegenstehen. Wenden Sie sich dazu an die oben genannte Kontaktadresse.

Sie können sich bei einer Datenschutzaufsichtsbehörde beschweren, insbesondere in dem Mitgliedstaat Ihres Aufenthalts, Arbeitsplatzes oder des vermuteten Verstoßes. Für unseren Sitz ist der Hessische Beauftragte für Datenschutz und Informationsfreiheit zuständig: Postfach 3163, 65021 Wiesbaden. Das offizielle Beschwerdeangebot der hessischen Datenschutzaufsicht öffnet sich erst, wenn Sie dem Link folgen; dann gilt die Verarbeitung der dortigen Website.