Datenschutzerklärung

1. Verantwortlicher

Thomas Houben
Vorstadt 13
41812 Erkelenz
E-Mail: info@ultrasupply.org

2. Hosting und Server-Protokolle

Hosting: noez (GHOSTnet GmbH), Rechenzentrum in Frankfurt am Main.

Für Auslieferung, Sicherheit und Fehlerbehebung verarbeitet der Server technische Verbindungsdaten. Das nginx-Zugriffsprotokoll speichert die gekürzte IP-Adresse (IPv4 ohne letztes Byte, IPv6 nur die ersten drei Blöcke), Zeitpunkt, Anfrage einschließlich URL, Status, Datenmenge, Referrer und Browserkennung. Fehlerprotokolle können vollständige IP-Adressen enthalten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; berechtigtes Interesse ist der sichere Betrieb. Die konfigurierte tägliche Rotation hält 14 Archivdateien vor, zuzüglich der aktuellen Datei (regelmäßig bis etwa 15 Tage). Bestätigungs- und Reset-Links enthalten kurzlebige Geheimnisse, die in Zugriffsprotokollen erscheinen können.

3. Benutzerkonto

Wir verarbeiten Benutzername, E-Mail-Adresse, einen gesalzenen Passwort-Hash, Erstellungs-, Bestätigungs- und letzte Anmeldezeit, die akzeptierte Version der Nutzungsbedingungen samt Zeitpunkt, die Bestätigung des Mindestalters 16 Jahre, Sperrstatus, die letzte Moderationsentscheidung mit Grund und Zeitpunkt sowie erworbene Berechtigungen. Zweck ist die Bereitstellung und Verwaltung des Kontos und des Spiels (Art. 6 Abs. 1 lit. b DSGVO). Eine gesonderte Datenschutz-Einwilligung ist dafür nicht nötig. Ohne Pflichtangaben kann kein Konto erstellt werden. Solange Konten optional sind, bleibt der bisherige Spielzugang verfügbar.

Bestätigungs-, Reset- und Sitzungstokens werden im Kontenspeicher nur als SHA-256-Hashes gehalten. Unbestätigte Konten werden nach 48 Stunden automatisch entfernt. Bestätigte Konten bleiben bis zur Löschung bestehen. Bestätigungslinks für E-Mail-Adressen gelten 48 Stunden, Passwort-Reset-Links eine Stunde. Bei Kontolöschung entfernen wir das Konto, Tokens, Sitzungen und namensbezogene Spielbalance-Einstellungen sofort aus dem aktiven Kontenspeicher.

IP-basierte Missbrauchszähler werden für Registrierung, Anmeldung und Passwort-Reset vorübergehend im Arbeitsspeicher gehalten (höchstens eine Stunde bei aktiver Bereinigung; spätestens beim Neustart entfernt). Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO, berechtigtes Interesse ist Schutz vor Missbrauch.

4. E-Mail

Bestätigungs-, Reset- und Löschbestätigungsmails werden über den eigenen Mailserver versandt. Dabei werden Zieladresse und Nachrichteninhalt verarbeitet (Art. 6 Abs. 1 lit. b DSGVO).

5. Spielbetrieb

Spielername, Spielstatistiken (z. B. Punkte, Abschüsse, Tode), Chatnachrichten und Spielerpositionen werden zur Durchführung des Mehrspieler-Spiels an verbundene Mitspieler übertragen. Laufende Spielzustände liegen im Arbeitsspeicher. Normaler Chat wird nicht dauerhaft gespeichert; Nachrichten werden an verbundene Spieler übertragen und aus der serverseitigen Ereigniswarteschlange entfernt. Absichtlich gemeldete Inhalte werden gesondert als Moderationsfall gespeichert. Mit /mark absichtlich gesendete Fehlermarkierungen werden mit Name, Text, Position, Blickrichtung, Karte und Zeitpunkt serverseitig gespeichert. Spielbalance-Einstellungen durch Administratoren sind an den Spielernamen gebunden. Es handelt sich um manuell vergebene Spielparameter, nicht um eine automatisierte personenbezogene Profilbildung. Rechtsgrundlage ist für den Spielbetrieb Art. 6 Abs. 1 lit. b DSGVO, für Fehlerbehebung und Missbrauchsabwehr lit. f (berechtigtes Interesse: funktionsfähiger und fairer Spielbetrieb). /mark-Markierungen werden nach 90 Tagen bei Serverstart und minütlich im laufenden Betrieb gelöscht. Markierungen sind vom aktiven Kontenspeicher getrennt; bei Auskunft oder Löschung weiterer personenbezogener Spieldaten bitte den Verantwortlichen kontaktieren.

6. Technisch notwendiger Browserspeicher

Das Cookie cob_session hält die Anmeldung aufrecht (HttpOnly, Secure, SameSite=Lax, 30 Tage mit gleitender Verlängerung bei Seitenaufrufen). Abmelden widerruft die Sitzung. Im localStorage stehen callofbongi.settings.v1 (Spielsteuerung, Anzeige, Audio, Name, Klassen-/Skinwahl) und bongi.crosshair (gewählte Fadenkreuz-Einstellungen), jeweils bis zur Löschung im Browser. Im sessionStorage speichert bongiAdmin das ausdrücklich eingegebene Admin-Passwort für den jeweiligen Tab bis zum Abmelden oder Schließen der Browsersitzung. Zugang hierzu nur auf vertrauenswürdigen Geräten verwenden. Diese technisch notwendigen Funktionen beruhen auf § 25 Abs. 2 Nr. 2 TDDDG; die anschließende Verarbeitung auf Art. 6 Abs. 1 lit. b DSGVO. Du kannst den lokalen Speicher über die Browsereinstellungen löschen.

7. Optionale Werbung und Cookie-Einstellungen

Werbung ist standardmäßig deaktiviert und ausschließlich auf der Startseite vorgesehen. Das Spiel lädt keine Werbe- oder CMP-Skripte. Bei aktivierter Werbung und Google-CMP kann die CMP über „Cookie-Einstellungen“ ausdrücklich geladen werden. Vor diesem Klick werden keine Anfragen an Google gestellt. Die anschließende Einwilligungsabfrage erfolgt über Googles zertifizierte CMP „Datenschutz & Mitteilungen“ (IAB TCF); ein eigenes Einwilligungsbanner wird nicht eingesetzt. Google Consent Mode setzt ad_storage, ad_user_data, ad_personalization und analytics_storage zunächst auf denied. Anzeigenplätze werden erst nach entsprechender CMP-Zustimmung angefordert. Bei CMP-Einstellung „none“ werden keine Anzeigen geladen.

Google AdSense / CMP: Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland. Bei Nutzung können IP-Adresse, Browserdaten, Einwilligungsstatus und Werbeinteraktionen verarbeitet sowie Cookies oder vergleichbare Kennungen verwendet werden. Rechtsgrundlage für optionale Werbung ist Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG. Eine Übertragung an Google LLC in den USA ist möglich; soweit die Voraussetzungen vorliegen, erfolgt sie auf Grundlage des EU-US Data Privacy Framework (Art. 45 DSGVO), andernfalls sind die anwendbaren Transfergarantien zu prüfen. Datenschutzerklärung von Google.

Die Einwilligung ist freiwillig und für das Spielen nicht erforderlich. Über „Cookie-Einstellungen“ auf der Startseite lässt sich die CMP erneut öffnen und die Zustimmung mit Wirkung für die Zukunft widerrufen. Die Rechtmäßigkeit der bisherigen Verarbeitung bleibt unberührt.

8. Optionale Käufe über Creem

Der Shop ist standardmäßig deaktiviert. Beim Kauf führt eine Weiterleitung zur gehosteten Kasse von Creem. Creem ist Verkäufer/Merchant of Record und übernimmt im Rahmen seiner Vertragsbedingungen Umsatzsteuer/OSS, Rechnungen, Widerruf und Erstattungen. Armitage Labs OÜ, Rotermanni 14, 10111 Tallinn, Estland. Creem verarbeitet Käuferdaten als eigener Verantwortlicher.

Erst nach Betätigung von „Weiter zur Zahlung bei Creem“ senden wir Produktkennung, zufällige Bestellreferenz, E-Mail-Adresse und interne Konto-ID zur Zuordnung an Creem. Nach Zahlung oder Erstattung verarbeitet unser Server die signierte Rückmeldung und passt kosmetische/Unterstützer-Berechtigungen an. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Kein Creem-Skript wird in deinem Browser geladen. Für die Kasse gelten Creems eigene Datenschutzerklärung und Bedingungen.

Wir speichern zur Zahlungszuordnung Bestell-/Transaktions- und Vertragskennungen, bezahlte Perioden, Status, Preisbezeichnung und den Zeitpunkt der Bereitstellungszustimmung. Das unveränderliche Taler-Journal enthält Konto-ID, Betrag, Grund, Referenz und Zeitpunkt. Gegenbuchungen korrigieren Erstattungen, ohne historische Einträge zu überschreiben. Bei Kontolöschung bleiben notwendige Buchungsnachweise unter der internen Konto-ID; eine Zuordnung über Creem-Belege kann weiterhin möglich sein (Pseudonymisierung, keine garantierte Anonymisierung) erhalten.

Bei vollständigen Runden speichern wir ausschließlich für angemeldete Konten kompakt Datum, Klasse, Kartenkürzel, Abschüsse und Tode für höchstens 30 Tage (maximal 3 000 Runden). Ausrüstung und Namensfarbe werden zur Anzeige gespeichert und an Mitspieler übertragen. Fadenkreuz-Einstellungen bleiben im Browser. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Bei Kündigung speichern wir Name, Bestätigungs-E-Mail, Vertragskennung, Kündigungsart, gegebenenfalls Grund, gewünschten Endtermin und Eingangszeit; diese Daten dienen der Bearbeitung und Bestätigung der Erklärung.

9. Meldungen, Widerruf und Kündigung

Bei einer Meldung speichern wir Name, freiwillige E-Mail, Fundstelle, Grund, Eingangszeit, Status und Entscheidung zur menschlichen Moderation (Art. 6 Abs. 1 lit. f DSGVO; Interesse: Schutz der Beteiligten und Rechtsdurchsetzung; soweit gesetzlich verpflichtet lit. c). Meldungen werden 90 Tage nach Abschluss, unbearbeitete Meldungen 90 Tage nach Eingang gelöscht. Kontosperren werden mit Begründung per E-Mail mitgeteilt. Widerrufe und Kündigungen enthalten Identifikation, Kontakt, Vertrag und Eingangszeit, bei Kündigung auch Art/Termin/gegebenenfalls Grund (Art. 6 Abs. 1 lit. b und c DSGVO). Widerrufsvorgänge werden bis zum Ende des dritten Kalenderjahres nach Eingang zum Nachweis und zur Rechtsverteidigung aufbewahrt (Art. 6 Abs. 1 lit. f DSGVO); bei Streitfällen ist eine gesonderte gesetzlich erforderliche Aufbewahrung mit Löschprüfung möglich. Für Kündigungs- und Zahlungsbelege sind die gesetzlichen Fristen vor Shop-Freischaltung verbindlich festzulegen. Bestätigungsmails werden über eine dauerhafte Versandwarteschlange verarbeitet; erfolgreich versandte Kopien werden nach 30 Tagen gelöscht, ausstehende bleiben bis zum Versand sichtbar.

10. Deine Rechte

Du hast nach den gesetzlichen Voraussetzungen Rechte auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch gegen Verarbeitung auf Grundlage berechtigter Interessen aus Gründen deiner besonderen Situation (Art. 21 DSGVO). Eine Einwilligung kann jederzeit für die Zukunft widerrufen werden. Kontodaten kannst du auf der Kontoseite herunterladen und dein Konto dort löschen; für darüber hinausgehende Anliegen wende dich an info@ultrasupply.org.

Du kannst dich bei einer Datenschutzaufsichtsbehörde beschweren (Art. 77 DSGVO), insbesondere bei der Landesbeauftragten für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW), Düsseldorf. Eine automatisierte Entscheidungsfindung einschließlich Profiling im Sinne des Art. 22 DSGVO findet durch den Spielbetreiber nicht statt.

Stand: 6. November 2026.