Diese Hinweise ergänzen die Datenschutzerklärung um das Benutzerkonto und die Servermiete. Für den Besuch der Website, das Spiel und die offiziellen Server gilt jene Erklärung.
1. Verantwortlicher
Patrick Hackl, HACKLWORKS, Vogelkammweg 3, 94518 Spiegelau, Deutschland, E-Mail: info [at] hacklworks [dot] de.
2. Benutzerkonto
- Registrierung mit E-Mail: E-Mail-Adresse, Anzeigename, Passwort. Das Passwort speichern wir nur als Argon2id-Hash; wir können es nicht lesen. Die Adresse bestätigen Sie über einen Link (gültig 48 Stunden); unbestätigte Registrierungen löschen wir nach 7 Tagen.
- Schutz vor automatisierten Registrierungen: Bei Registrierung und Anmeldung prüfen wir Formulare auf automatisierte Eingaben; nach mehreren Versuchen muss Ihr Browser eine kleine Rechenaufgabe lösen. Dabei werden keine Daten an Dritte übermittelt.
- Passwortprüfung: Beim Festlegen eines Passworts prüfen wir es gegen bekannte Datenlecks über den Dienst „Have I Been Pwned“ (Troy Hunt, ausgeliefert über Cloudflare, Inc., USA) mit dem k-Anonymitätsverfahren: Übermittelt werden nur die ersten 5 Zeichen des SHA-1-Hashwerts – weder das Passwort noch Ihre E-Mail-Adresse. Die Anfrage stellt unser Server, nicht Ihr Browser. Rechtsgrundlage Art. 6 Abs. 1 lit. f DSGVO (Schutz Ihres Kontos).
- Anmeldung mit Steam (OpenID 2.0): Sie werden zu Valve Corporation, 10400 NE 4th St, Bellevue, WA 98004, USA (steamcommunity.com) weitergeleitet. Valve teilt uns nur Ihre öffentliche SteamID64 mit; Ihr Passwort erhalten wir nicht. Optional rufen wir über die Steam Web API Ihren öffentlichen Anzeigenamen und Ihr Profilbild ab. Valve ist nach eigenen Angaben unter dem EU-US Data Privacy Framework zertifiziert.
- PESTBOUND-ID: die aus dem öffentlichen Schlüssel des Spiels abgeleitete Kennung (of-…) und dieser öffentliche Schlüssel; Nachweis per Signatur aus dem Spiel.
- Zwei-Faktor-Anmeldung (optional): ein verschlüsselt gespeichertes TOTP-Geheimnis und gehashte Wiederherstellungscodes.
- Sitzungen und Sicherheit: je Anmeldung Zeitpunkt, Anmeldeart, Browserkennung (User-Agent) und IP-Adresse – angezeigt unter Konto › Sicherheit, damit Sie fremde Anmeldungen erkennen und beenden können. Fehlgeschlagene Anmeldungen zählen wir, um Konten nach mehreren Fehlversuchen kurz zu sperren. IP-Adressen im Prüfprotokoll werden nach 30 Tagen entfernt.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Nutzungsvertrag über das Konto) und lit. f (Sicherheit, Missbrauchsabwehr).
3. E-Mails
Wir senden nur E-Mails, die für Ihr Konto oder Ihren Vertrag nötig sind (Bestätigung, Passwort-Zurücksetzen, Sicherheitshinweise, Löschbestätigung, erforderliche Mitteilungen zu Ihrem Vertrag) – keine Werbung. Der Versand erfolgt über einen E-Mail-Dienstleister, der für uns als Auftragsverarbeiter nach Art. 28 DSGVO tätig ist. Versandprotokoll (Empfänger, Vorlage, Zeitpunkt) 30 Tage; der Inhalt (mit Einmal-Links) wird nach dem Versand gelöscht.
4. Bestellung, Abrechnung, Server-Betrieb
- Bestellung: Paket, Region, Servername, Abo-Status, Zustimmungen (Zeitpunkt, Version, Wortlaut-Hash, IP-Adresse, Browserkennung) als Nachweis nach §§ 356 Abs. 4, 357a Abs. 2 BGB – Art. 6 Abs. 1 lit. b und c DSGVO.
- Zahlung durch Stripe: Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Dublin 2, Irland, erhält Name, E-Mail, Rechnungsadresse, Zahlungsdaten und die Bestellung und ist dafür teils eigenständig verantwortlich (Zahlungsdienstrecht, Betrugsprävention). Eine Übermittlung an Stripe, Inc. (USA) ist möglich; Stripe stützt sie auf das EU-US Data Privacy Framework und Standardvertragsklauseln. Wir speichern keine Kartendaten. Rechnungen stellt Stripe in unserem Auftrag aus.
- Server-Betrieb: Einstellungen, Admin- und Whitelist-Kennungen, Serverprotokolle, Spielstand-Backups, RCon-Befehle mit Zeitpunkt und IP-Adresse (Prüfprotokoll). Auf Ihrem Server fallen außerdem die Spielerdaten an, die die Datenschutzerklärung beschreibt (u. a. Chat im Serverprotokoll) – Art. 6 Abs. 1 lit. b und f DSGVO.
- Serverliste: Name, Beschreibung, Regeln, Discord-Link, Banner-Adresse, Spielerzahl und Adresse Ihres Servers sind in der öffentlichen Serverliste des Spiels sichtbar.
5. Hosting und Regionen
Website, Konto-Datenbank und Server-Steuerung laufen bei der Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen (Rechenzentrum in Deutschland). Mietserver laufen in der gewählten Region: „Deutschland“ bei Hetzner (Nürnberg) oder der OVH GmbH, Christophstr. 19, 50670 Köln; „Finnland“ bei Hetzner (Helsinki); „USA Ost“ und „USA West“ bei Hetzner in den USA (Ashburn, Hillsboro) oder bei OVH US LLC (Virginia, Oregon). Wählen Sie eine Region in den USA, werden die Daten des Servers – einschließlich der Daten der Spieler darauf – in den USA gespeichert und verarbeitet; Grundlage sind die Auftragsverarbeitungsverträge der Anbieter mit Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO). Mit allen Anbietern besteht ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO.
6. Speicherdauer
- Kontodaten bis zur Löschung des Kontos (Konto › Datenschutz; Ausführung 14 Tage nach dem Antrag, frühestens nach Ende des letzten bezahlten Zeitraums).
- Rechnungs- und Buchungsbelege bis zu 10 Jahre (§ 147 AO, § 257 HGB) – bei Stripe; Bestelldaten und Einwilligungsnachweise bis zum Ablauf der Verjährung (regelmäßig 3 Jahre ab Ende des Jahres der Vertragsbeendigung).
- Backups gelöschter Server 30 Tage; Sitzungen höchstens 30 Tage; IP-Adressen im Prüfprotokoll 30 Tage; Server-Logdateien höchstens 14 Tage.
7. Ihre Rechte
Auskunft (Art. 15 DSGVO) – als Datei unter Konto › Datenschutz › „Deine Daten herunterladen“ (auch Art. 20), Berichtigung (16), Löschung (17) – unter Konto › Datenschutz, Einschränkung (18), Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (21), Widerruf von Einwilligungen (7 Abs. 3), Beschwerde bei einer Aufsichtsbehörde (77), z. B. dem Bayerischen Landesamt für Datenschutzaufsicht, Promenade 18, 91522 Ansbach. Anfragen an info [at] hacklworks [dot] de.
8. Cookies und lokaler Speicher
Im Konto-, Anmelde-, Bestell- und Verwaltungsbereich setzen wir ausschließlich technisch notwendige Cookies (§ 25 Abs. 2 Nr. 2 TDDDG, keine Einwilligung nötig). Es gibt dort kein Tracking; Analyse- oder Werbedienste werden in diesem Bereich nicht geladen.
| Name | Zweck | Dauer |
|---|---|---|
| __Host-pb_sid | Anmeldesitzung | 30 Tage |
| __Host-pb_bind | Schutz vor Formular-Fälschung (CSRF), Bindung der Steam-/ID-Anmeldung an diesen Browser | 1 Tag |
| __Host-pb_mfa | zweiter Anmeldeschritt (2FA) | 5 Minuten |
| __Host-pb_next | Rücksprung nach der Steam-Anmeldung | 15 Minuten |
Ihre Auswahl in den Cookie-Einstellungen speichert die Website als „pb_consent“ im lokalen Speicher Ihres Browsers (nur falls dieser blockiert ist, als Cookie) – mit Zeitpunkt und Versionskennung, für 12 Monate. Stripe setzt auf checkout.stripe.com eigene Cookies zur Betrugsprävention.
9. Reichweitenmessung
Google Tag Manager und Google Analytics laufen nur nach Ihrer Einwilligung und nur auf den öffentlichen Seiten der Website, nie im Konto-, Anmelde-, Bestell- und Verwaltungsbereich. Einzelheiten: Datenschutzerklärung, Abschnitt 4.