Datenschutzerklärung

Diese Erklärung beschreibt, welche personenbezogenen Daten wir beim Besuch von shitboxsimulator.com, beim Anlegen eines Kontos, beim Kauf des Spiels und beim Download verarbeiten. Sie beschreibt den tatsächlichen technischen Ablauf und nicht ein Muster. Es gibt auf dieser Seite kein Tracking, keine Analyse-Werkzeuge, keine Werbenetzwerke, keine Social-Media-Plugins, keine eingebetteten Videos fremder Plattformen und keine Schriftarten, die von fremden Servern geladen werden.

1. Verantwortlicher

Verantwortlich im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:

Philipp Schmid
Anschrift wird ergänzt
E-Mail: info@shitboxsimulator.com

Einen Datenschutzbeauftragten haben wir nicht benannt, weil die Voraussetzungen des § 38 Bundesdatenschutzgesetz und des Art. 37 DSGVO bei uns nicht vorliegen. Alle Anfragen zum Datenschutz gehen an die genannte E-Mail-Adresse. Weitere Angaben zum Anbieter stehen im Impressum.

2. Grundsätze

Wir verarbeiten nur die Daten, die für den Betrieb der Seite, dein Konto, den Kauf und den Download des Spiels nötig sind. Wir verkaufen keine Daten, wir geben keine Daten zu Werbezwecken weiter und wir bilden keine Profile. Wo wir Dienstleister einsetzen, nennen wir sie in dieser Erklärung mit Namen, Sitz und Rolle. Alle Systeme, die wir selbst betreiben, stehen in der Europäischen Union.

3. Hosting und Server-Protokolle

Diese Seite läuft auf einem von uns gemieteten Server bei OVH SAS, 2 rue Kellermann, 59100 Roubaix, Frankreich, in einem Rechenzentrum von OVH in Frankreich. OVH stellt Hardware, Strom und Netzanbindung bereit und ist insoweit Auftragsverarbeiter nach Art. 28 DSGVO. OVH hat keinen inhaltlichen Zugriff auf die Daten der Anwendung. Die Anwendung selbst, die Datenbank und der Anmeldedienst laufen auf diesem Server unter unserer Kontrolle.

Bei jedem Aufruf einer Seite verarbeitet der Webserver (Caddy) Verbindungsdaten und schreibt sie in Protokolldateien. Dazu gehören die IP-Adresse deines Geräts, Datum und Uhrzeit des Aufrufs, die aufgerufene Adresse, der HTTP-Statuscode, die übertragene Datenmenge, der Browser-Typ mit Version und Betriebssystem sowie die zuvor besuchte Seite, sofern dein Browser sie mitschickt.

Zweck dieser Verarbeitung ist die Auslieferung der Seite, die Sicherstellung eines stabilen Betriebs, die Fehlersuche und die Abwehr von Angriffen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt im sicheren und funktionsfähigen Betrieb der Seite. Die Protokolle werden nicht mit anderen Daten zusammengeführt und nicht zur Erstellung von Nutzungsprofilen verwendet. Wir werten sie nur anlassbezogen aus, etwa bei einem Angriff oder einer Störung, und löschen sie, sobald sie für diese Zwecke nicht mehr erforderlich sind. Eine feste Löschfrist ist derzeit nicht gesetzt. Sobald sie technisch gesetzt ist, tragen wir sie hier nach.

4. Cookies und lokale Speicherung

Wir setzen ausschließlich technisch notwendige Cookies. Nach dem Anmelden legt die Anwendung Sitzungs-Cookies ab, deren Name mit sb- beginnt und auf auth-token endet. Sie enthalten dein Anmelde-Token und halten die Sitzung aufrecht. Bei jedem Aufruf eines geschützten Bereichs prüft unser Server das Token und erneuert es bei Bedarf. Ohne diese Cookies kannst du dich nicht anmelden und nicht auf deinen Downloadbereich zugreifen. Die Cookies werden beim Abmelden gelöscht oder laufen nach Ablauf der Sitzung ab. Vor dem Anmelden setzen wir keine Cookies.

Zusätzlich speichern wir im lokalen Speicher deines Browsers (localStorage) einen einzelnen Merker, wenn du den Hinweis zu Cookies geschlossen hast. Damit zeigen wir dir den Hinweis nicht bei jedem Aufruf erneut. Dieser Merker enthält keine personenbezogenen Daten, wird nicht an uns übertragen und kann von dir jederzeit über die Einstellungen deines Browsers gelöscht werden.

Rechtsgrundlage für das Speichern und Auslesen ist § 25 Abs. 2 Nr. 2 TDDDG, weil diese Speicherung unbedingt erforderlich ist, um den von dir ausdrücklich gewünschten Dienst bereitzustellen. Für die weitere Verarbeitung der Sitzungsdaten gilt Art. 6 Abs. 1 lit. b DSGVO. Eine Einwilligung ist dafür nicht nötig. Der Hinweis, den du beim ersten Besuch siehst, dient nur der Information. Er bietet keine Auswahl, weil es nichts abzulehnen gibt. Analyse-Cookies, Werbe-Cookies oder Cookies Dritter setzen wir nicht. Auch die Bezahlseite von Stripe ist eine eigene Website von Stripe und setzt ihre Cookies dort, nicht auf shitboxsimulator.com.

5. Konto und Anmeldung

Um das Spiel zu kaufen und herunterzuladen, brauchst du ein Konto. Die Anmeldung läuft über eine von uns selbst betriebene Authentifizierungssoftware (GoTrue) auf unserem eigenen Server. Es ist kein externer Identitätsdienst beteiligt, außer du wählst die Anmeldung mit Google (Abschnitt 6).

Du kannst dich auf drei Wegen anmelden:

Mit E-Mail-Adresse und Passwort. Das Passwort speichern wir ausschließlich als Hash. Wir können es nicht im Klartext lesen und dir auch nicht mitteilen.
Mit einem Anmeldelink (Magic-Link). Du gibst deine E-Mail-Adresse ein, wir schicken dir einen Link mit einem einmaligen, zeitlich begrenzten Token. Ein Klick darauf meldet dich an.
Mit deinem Google-Konto (Abschnitt 6).

Verarbeitet werden deine E-Mail-Adresse, der Passwort-Hash oder die Kennung deines Google-Kontos, ein Anzeigename, sofern Google ihn liefert, der Zeitpunkt der Registrierung, die Zeitpunkte deiner Anmeldungen, die dabei verwendete IP-Adresse sowie die zur Bestätigung der E-Mail-Adresse und zum Zurücksetzen des Passworts erzeugten Token. Zweck ist die Bereitstellung des Kontos, die Zuordnung deiner Lizenz und der Schutz deines Zugangs. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, weil die Verarbeitung für die Erfüllung des Vertrags mit dir erforderlich ist. Die Protokollierung der Anmeldungen stützt sich zusätzlich auf Art. 6 Abs. 1 lit. f DSGVO mit dem berechtigten Interesse, Missbrauch des Kontos zu erkennen.

Das Konto bleibt bestehen, bis du es kündigst. Die Kündigung erklärst du per E-Mail an info@shitboxsimulator.com von der im Konto hinterlegten Adresse. Danach löschen wir die Kontodaten, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht. Kaufbelege bleiben davon unberührt (Abschnitt 12).

6. Anmeldung mit Google

Wenn du dich mit Google anmeldest, leiten wir dich zu Google weiter. Anbieter für Nutzer im Europäischen Wirtschaftsraum ist Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland. Muttergesellschaft ist die Google LLC, 1600 Amphitheatre Parkway, Mountain View, CA 94043, USA.

Du meldest dich bei Google an und bestätigst dort, dass Google uns Daten übermitteln darf. Wir erhalten von Google eine eindeutige Kennung deines Google-Kontos, deine E-Mail-Adresse und, falls hinterlegt, deinen Anzeigenamen und die Adresse deines Profilbilds. Dein Google-Passwort sehen wir nie. Gleichzeitig erfährt Google, dass du dich bei uns anmeldest, und verarbeitet dabei deine IP-Adresse und weitere technische Daten in eigener Verantwortung.

Zweck ist die Anmeldung ohne eigenes Passwort. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, weil du diesen Anmeldeweg selbst wählst, um den Vertrag über dein Konto zu begründen und zu nutzen.

Bei dieser Anmeldung können Daten an die Google LLC in den USA übermittelt werden. Google LLC ist unter dem EU-US Data Privacy Framework zertifiziert. Für diese Übermittlung liegt damit ein Angemessenheitsbeschluss der Europäischen Kommission nach Art. 45 DSGVO vor. Ergänzend stützt Google die Übermittlung auf Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO. Was Google mit den Daten in eigener Verantwortung tut, steht in der Datenschutzerklärung von Google. Wenn du diese Übermittlung vermeiden willst, nutze die Anmeldung mit E-Mail und Passwort oder den Anmeldelink. Beide Wege stehen gleichwertig zur Verfügung.

7. Kauf und Zahlung über Stripe

Die Zahlung beim Kauf des Spiels wickelt Stripe ab. Anbieter für Nutzer im Europäischen Wirtschaftsraum ist Stripe Payments Europe, Limited, 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, D02 H210, Irland. Beim Klick auf den Kaufknopf legen wir in unserer Datenbank eine Bestellung mit dem Status offen an und leiten dich auf eine von Stripe betriebene Bezahlseite. Deine Zahlungsdaten, etwa Kartennummer, Ablaufdatum oder Bankverbindung, gibst du dort direkt bei Stripe ein. Sie erreichen unseren Server nicht.

An Stripe übermitteln wir deine E-Mail-Adresse, den zu zahlenden Betrag, die Bezeichnung des Produkts und interne Kennungen (Nutzer-ID, Bestellnummer, Kennung dieser Seite), mit denen wir die Zahlung deinem Konto zuordnen. Einen Namen übermitteln wir nur, soweit er im Konto hinterlegt ist. Von Stripe erhalten wir über eine signierte Rückmeldung (Webhook) die Vorgangskennung, den Betrag, den Zahlungsstatus und das Ergebnis der Zahlung. Vollständige Kartennummern sehen und speichern wir nicht.

Zweck ist die Abwicklung des Kaufs und die Erfüllung handelsrechtlicher und steuerrechtlicher Pflichten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO für die Zahlungsabwicklung und Art. 6 Abs. 1 lit. c DSGVO für die gesetzlichen Aufbewahrungspflichten. Stripe verarbeitet die Zahlungsdaten als eigenständiger Verantwortlicher, unter anderem zur Betrugsprävention und zur Erfüllung eigener gesetzlicher Pflichten. Stripe kann Daten an die Stripe, Inc. in den USA übermitteln. Grundlage sind das EU-US Data Privacy Framework, unter dem Stripe, Inc. zertifiziert ist, und ergänzend Standardvertragsklauseln nach Art. 46 DSGVO.

8. Lizenzschlüssel, Downloads und Speicherung der Spieldateien

Nach erfolgreicher Zahlung legen wir in deinem Konto eine Lizenz an. Dazu erzeugen wir einen Lizenzschlüssel und speichern ihn zusammen mit dem Zeitpunkt des Kaufs, der Bestellnummer und der Zuordnung zu deinem Konto. Der Schlüssel dient dem Nachweis, dass du das Spiel gekauft hast, und der Freischaltung des Downloads. Wird eine Lizenz gesperrt, etwa nach einem Widerruf oder einer Rückbuchung, vermerken wir das an der Lizenz.

Jeden Download protokollieren wir mit deinem Konto, dem Zeitpunkt und der heruntergeladenen Version (Build). Zweck ist die Nachvollziehbarkeit bei Supportanfragen, die Erkennung von Missbrauch der Lizenz und der Nachweis der Bereitstellung nach § 327b BGB. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO und, für die Missbrauchserkennung, Art. 6 Abs. 1 lit. f DSGVO.

Die Spieldateien selbst liegen in einem privaten Objektspeicher der Hetzner Online GmbH, Industriestraße 25, 91710 Gunzenhausen, Deutschland, am Standort Falkenstein. Der Speicher ist nicht öffentlich erreichbar. Wenn du einen Download startest, prüft unser Server deine Anmeldung und deine Lizenz, erzeugt einen signierten Link, der nur wenige Minuten gültig ist, und übergibt ihn deinem Browser. Beim Abruf über diesen Link verarbeitet Hetzner deine IP-Adresse und den Zeitpunkt des Abrufs. Die Übertragung ist verschlüsselt. Hetzner ist insoweit Auftragsverarbeiter nach Art. 28 DSGVO. Eigene personenbezogene Daten von dir legen wir in diesem Speicher nicht ab.

9. E-Mail-Versand und Kontakt

Bestätigungsmails, Anmeldelinks, Links zum Zurücksetzen des Passworts und Kaufbestätigungen versenden wir über einen eigenen Mailserver (Stalwart), der auf einem von uns gemieteten Server bei OVH am Standort Warschau, Polen, läuft. Ein externer Versanddienst ist nicht beteiligt. Für den Versand verarbeiten wir deine E-Mail-Adresse, den Inhalt der Nachricht und die Zustellprotokolle des Mailservers. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Werbliche E-Mails versenden wir nicht.

Schreibst du uns eine E-Mail, verarbeiten wir deine Adresse, deinen Namen, soweit du ihn angibst, und den Inhalt der Nachricht, um deine Anfrage zu beantworten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, wenn es um deinen Vertrag oder dessen Anbahnung geht, sonst Art. 6 Abs. 1 lit. f DSGVO mit unserem berechtigten Interesse an der Beantwortung. Wir löschen die Korrespondenz, sobald der Vorgang erledigt ist und keine Aufbewahrungspflicht besteht.

10. Empfänger deiner Daten

Im Rahmen der oben beschriebenen Vorgänge erhalten folgende Stellen Daten:

OVH SAS, Frankreich, als Hosting-Anbieter für Anwendung, Datenbank, Anmeldedienst und Mailserver (Auftragsverarbeiter)
Hetzner Online GmbH, Deutschland, als Anbieter des Objektspeichers für die Spieldateien (Auftragsverarbeiter)
Stripe Payments Europe, Limited, Irland, für die Zahlung (eigenständiger Verantwortlicher)
Google Ireland Limited und Google LLC, nur wenn du dich mit Google anmeldest (eigenständiger Verantwortlicher)
Steuerberatung, Behörden und Gerichte, soweit wir gesetzlich dazu verpflichtet sind

Eine weitere Weitergabe findet nicht statt. Innerhalb unseres Betriebs hat nur der Verantwortliche selbst Zugriff auf die Datenbank.

11. Übermittlung in Drittländer

Unsere eigenen Systeme stehen ausschließlich in der Europäischen Union. Eine Übermittlung in Länder außerhalb des Europäischen Wirtschaftsraums findet nur in zwei Fällen statt: bei der Anmeldung mit Google (Abschnitt 6) und bei der Zahlung über Stripe (Abschnitt 7). In beiden Fällen ist der Empfänger in den USA unter dem EU-US Data Privacy Framework zertifiziert, sodass ein Angemessenheitsbeschluss nach Art. 45 DSGVO vorliegt. Ergänzend bestehen Standardvertragsklauseln der Europäischen Kommission nach Art. 46 DSGVO.

12. Speicherdauer

Server-Protokolle: nur so lange, wie sie für Betrieb, Fehlersuche und Sicherheit nötig sind, danach Löschung.
Kontodaten: bis zur Kündigung des Kontos.
Lizenz und Lizenzschlüssel: für die Dauer des Nutzungsrechts. Kündigst du dein Konto, bleibt der Kaufbeleg nach den gesetzlichen Fristen erhalten, der Zugang zum Download entfällt.
Download-Protokoll: so lange, wie das Konto besteht, danach Löschung.
Bestell-, Zahlungs- und Rechnungsdaten: nach § 147 Abgabenordnung und § 257 Handelsgesetzbuch je nach Art des Belegs sechs oder zehn Jahre ab dem Ende des Kalenderjahrs, in dem der Beleg entstanden ist. In dieser Zeit sind die Daten gesperrt und werden nur für diese Pflichten verwendet.
E-Mail-Korrespondenz: bis der Vorgang erledigt ist, sofern keine Aufbewahrungspflicht besteht.

13. Keine automatisierte Entscheidung

Wir treffen keine Entscheidungen, die ausschließlich auf einer automatisierten Verarbeitung beruhen und dir gegenüber rechtliche Wirkung entfalten (Art. 22 DSGVO). Eine Profilbildung findet nicht statt. Die Freischaltung des Downloads nach erfolgreicher Zahlung ist eine rein technische Folge des Kaufs und keine Bewertung deiner Person.

14. Pflicht zur Bereitstellung

Du bist weder gesetzlich noch vertraglich verpflichtet, uns Daten bereitzustellen. Ohne E-Mail-Adresse können wir aber kein Konto anlegen, und ohne Zahlungsabwicklung über Stripe können wir den Kauf nicht durchführen.

15. Deine Rechte

Du hast gegenüber uns folgende Rechte:

Auskunft nach Art. 15 DSGVO über die Daten, die wir zu dir verarbeiten, sowie eine Kopie dieser Daten
Berichtigung unrichtiger oder unvollständiger Daten nach Art. 16 DSGVO
Löschung nach Art. 17 DSGVO, soweit keine Aufbewahrungspflicht oder ein anderer gesetzlicher Grund entgegensteht
Einschränkung der Verarbeitung nach Art. 18 DSGVO
Datenübertragbarkeit nach Art. 20 DSGVO in einem gängigen, maschinenlesbaren Format
Widerspruch nach Art. 21 DSGVO gegen Verarbeitungen, die wir auf Art. 6 Abs. 1 lit. f DSGVO stützen, aus Gründen, die sich aus deiner besonderen Situation ergeben

Für all das reicht eine E-Mail an info@shitboxsimulator.com. Wir antworten innerhalb eines Monats nach Art. 12 Abs. 3 DSGVO. Zur Sicherheit können wir dich bitten, deine Identität nachzuweisen, etwa durch eine Nachricht von der im Konto hinterlegten E-Mail-Adresse. Einwilligungen holen wir derzeit nicht ein, deshalb gibt es auch nichts zu widerrufen.

16. Beschwerderecht bei einer Aufsichtsbehörde

Du hast nach Art. 77 DSGVO das Recht, dich bei einer Datenschutz-Aufsichtsbehörde zu beschweren, insbesondere in dem Mitgliedstaat deines Aufenthaltsorts, deines Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes. Eine Liste der deutschen Aufsichtsbehörden veröffentlicht der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit. Welche Behörde für uns zuständig ist, ergänzen wir zusammen mit der Anschrift.

17. Sicherheit

Alle Verbindungen zu dieser Seite sind mit TLS verschlüsselt. Passwörter speichern wir ausschließlich als Hash. Der Objektspeicher für die Spieldateien ist privat, Zugriff gibt es nur über kurzlebige signierte Links, die unser Server für angemeldete Nutzer mit gültiger Lizenz erzeugt. Rückmeldungen von Stripe nehmen wir nur an, wenn ihre Signatur stimmt. Zugriff auf die Datenbank hat nur der Verantwortliche. Wir halten die eingesetzte Software aktuell.

18. Änderungen dieser Erklärung

Ändert sich der technische Ablauf oder kommt ein neuer Empfänger hinzu, passen wir diese Erklärung an, bevor die neue Verarbeitung beginnt. Es gilt die Fassung, die hier veröffentlicht ist. Wir empfehlen, diese Seite bei Gelegenheit erneut zu lesen.

Die anderen Rechtstexte

Diese Texte sind nicht anwaltlich geprüft.