Datenschutzerklärung

Inkognito Quest ist ein nicht-kommerzielles Fan-Projekt rund um das Sammelkartenspiel Disney Lorcana. Auf dieser Website findest du den Content des Teams und kostenlose Werkzeuge für Spieler: Deckbuilder, Kartensuche und einen Kalender für Organized-Play-Termine. Angemeldete Team-Mitglieder nutzen zusätzlich Spieltagebuch, Statistiken und die Organisation team-interner Turniere.

Ich verarbeite personenbezogene Daten nur, soweit das für den Betrieb dieser Angebote nötig ist. Es gibt keine Werbung, kein Cross-Site-Tracking, keine Reichweiten-Statistik und keinen Datenverkauf. Diese Erklärung sagt dir, welche Daten dabei anfallen, wozu, auf welcher Rechtsgrundlage und wie lange.

1. Verantwortlicher

Verantwortlich bin ich, Felix Biniossek, Am Planetarium 44, 07743 Jena, kontakt@inkognitoquest.pro.

Einen Datenschutzbeauftragten muss ich nicht bestellen: Die Verarbeitung besonderer Datenkategorien gehört nicht zu meiner Kerntätigkeit und es sind keine 20 Personen ständig mit der Datenverarbeitung beschäftigt (Art. 37 DSGVO, § 38 BDSG); einen bestellt habe ich deshalb nicht.

2. Aufruf der Website (Server-Logfiles) und Missbrauchsabwehr

Wenn du die Website aufrufst, protokolliert mein Webserver automatisch IP-Adresse, Datum und Uhrzeit, aufgerufene Seite und Datenmenge, Verarbeitungsdauer der Anfrage, Statuscode, Browsertyp, Betriebssystem und Referrer-URL. Zweck: technische Auslieferung, Stabilität und Sicherheit des Angebots. Rechtsgrundlage: mein berechtigtes Interesse am störungsfreien und sicheren Betrieb der Website (Art. 6 Abs. 1 lit. f DSGVO). Speicherdauer: 14 Tage; danach automatische Löschung.

Zur Abwehr von Missbrauch (zu viele Anfragen in kurzer Zeit, massenhafter Mailversand) zähle ich Zugriffe kurzzeitig je IP-Adresse und je angeschriebener E-Mail-Adresse. Diese Zähler dienen ausschließlich der Missbrauchsabwehr, werden nicht zu Profilen zusammengeführt und laufen nach kurzer Zeit von selbst ab; wird eine Grenze überschritten, vermerke ich den Vorgang zusätzlich im Anwendungsprotokoll. Rechtsgrundlage: berechtigtes Interesse an der Abwehr automatisierter Angriffe und des Missbrauchs meiner Systeme (Art. 6 Abs. 1 lit. f DSGVO).

3. Hosting und Sicherungskopien

Die Website läuft bei der Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen (Server in Deutschland), die als Auftragsverarbeiter nach Art. 28 DSGVO tätig ist. Durch das Hosting in Deutschland findet keine Drittlandübermittlung statt. Verschlüsselte Sicherungskopien der Datenbank liegen ebenfalls bei Hetzner (Storage Box); Näheres zu den Aufbewahrungsfristen findest du im Abschnitt „Datensicherheit und Sicherungskopien".

4. Kontaktformular und Feedback-Funktion

Über das Kontaktformular verarbeite ich die Daten, die du angibst (Name bzw. Pseudonym, E-Mail-Adresse, Anliegen-Kategorie, Nachricht) sowie zur Spam- und Missbrauchsabwehr eine pseudonymisierte, nicht im Klartext gespeicherte IP-Adresse (HMAC-SHA256) und den Absendezeitpunkt. Nutzt du den Feedback-Knopf im angemeldeten Bereich, kommen dein Konto, die von dir gewählte Dringlichkeit und der Pfad der Seite dazu, von der aus du das Feedback abgeschickt hast — damit ich die Rückmeldung zuordnen kann; Name und E-Mail-Adresse übernehme ich in diesem Fall aus deinem Konto. Zweck: Bearbeitung deiner Anfrage bzw. Rückmeldung sowie Spam- und Missbrauchsabwehr. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO sowie mein berechtigtes Interesse an der Abwehr von Spam und Missbrauch (Art. 6 Abs. 1 lit. f DSGVO); freiwillige Angaben auf Grundlage deiner Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Speicherdauer: bis zur Erledigung der Anfrage, spätestens nach 90 Tagen automatisch gelöscht.

5. Cookies, Einwilligung und lokale Speicherung

Technisch notwendige Cookies sind ohne Einwilligung zulässig (§ 25 Abs. 2 TDDDG): das Sprach-Cookie iq_lang (gewählte Sprache, Laufzeit 1 Jahr) und — im eingeloggten Bereich — das Session-Cookie, das nach 4 Stunden abläuft. Dazu kommt ein Einwilligungs-Cookie iq_consent_youtube, das ausschließlich deine Zustimmung zum Laden eingebetteter YouTube-Videos speichert (kein Tracking); es entsteht erst mit deiner Zustimmung und hat dann eine Laufzeit von 180 Tagen. Setzt du beim Zwei-Faktor-Login den Haken „Dieses Gerät für 14 Tage merken", speichert ein weiteres Cookie iq_2fa_remember (§ 25 Abs. 2 TDDDG) — nur auf deinen ausdrücklichen Wunsch — eine signierte Bestätigung deiner Code-Eingabe, damit die Code-Abfrage auf diesem Gerät entfällt; es enthält keine Klartext-Daten, läuft nach 14 Tagen automatisch ab und wird beim Logout gelöscht.

Öffentliche Deck- und Blog-Seiten tragen eine Aufruf-Zahl. Dafür wird nichts auf deinem Gerät gespeichert und nichts von dort gelesen — kein Cookie, keine lokale Speicherung. Damit ein Neuladen derselben Seite die Zahl nicht erneut hochtreibt, wertet der Server allein den Hinweis aus, den dein Browser bei einem Neuladen ohnehin mitschickt; er wird nicht gespeichert. Serverseitig entsteht kein Besuchsprotokoll und keine IP-Speicherung, sondern allein eine Gesamtzahl an dem jeweiligen Deck bzw. Artikel — sie lässt keinen Rückschluss darauf zu, wer die Seite aufgerufen hat.

Einen seitenweiten Einwilligungs-Banner gibt es nicht. Deine Zustimmung holst du selbst ein, indem du den Knopf im Hinweisfeld über dem Video anklickst — erst dieser Klick lädt das Video und setzt das Cookie. Klickst du nicht, passiert nichts: es wird kein Video geladen und kein Cookie gesetzt. Deine Zustimmung wird für 180 Tage gespeichert. Du kannst sie widerrufen, indem du das Cookie iq_consent_youtube in deinem Browser löschst — danach erscheint das Hinweisfeld wieder. Der Widerruf wirkt für die Zukunft (Art. 7 Abs. 3 DSGVO).

Darüber hinaus speichert die Website einzelne Anzeige- und Ansichtseinstellungen im lokalen Speicher deines Browsers (localStorage) — etwa die gewählte Tabellendichte, Sortierung und Ansichtsart im Deckbuilder sowie den Hinweis, dass du eine Seiten-Einführung bereits weggeklickt hast. Diese Angaben bleiben auf deinem Gerät, werden nicht an mich übertragen und dienen allein deinem Bedienkomfort (§ 25 Abs. 2 TDDDG); du kannst sie jederzeit über die Einstellungen deines Browsers löschen.

6. Nutzerkonto und Team-Bereich

Hast du ein Konto, verarbeite ich Anmelde- und Kontodaten (Benutzername, Anzeigename, E-Mail-Adresse, ein nur als Hash gespeichertes Passwort, optional dein Discord-Konto sowie optionale Spielernamen bei Ravensburger Playhub und duels.ink) und die Inhalte, die du erstellst (Decks einschließlich Coconut-Decks und deren Kandidaten-Listen, Tagebuch, Spiele und Statistiken, Notizen, Turnier-Teilnahmen, Termin-Zusagen, Team-Daten). Zur Absicherung deines Kontos kommen dazu: Zeitpunkte der letzten Anmeldung und der letzten Aktivität, die Anzahl fehlgeschlagener Anmeldeversuche samt einer daraus folgenden zeitweiligen Sperre, Bestätigungscodes für E-Mail-Adressen sowie — wenn du die Zwei-Faktor-Authentifizierung (TOTP) nutzt — deren verschlüsselt gespeicherten Schlüssel und gehashte Ersatzcodes. Ein Session-Cookie hält dich eingeloggt. Rechtsgrundlage: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO). Speicherdauer: für die Dauer des Kontos; Löschung auf Anfrage oder indem du dein Konto selbst löschst.

Bist du Mitglied eines Teams, sehen die anderen Mitglieder deines Teams deine bestätigten Spiele — einzeln und in den Team-Auswertungen, jeweils mit Datum, Ergebnis, verwendetem Deck bzw. Archetyp und deinem Anzeigenamen — sowie deine Test-Sessions in einer Nur-Lese-Ansicht (Titel, Datum und die darin bestätigten Spiele), etwa als Übersicht, wer wann wie viele Spiele mit welchem Deck getestet hat. Deine Session-Notizen, dein Tagebuch und noch unbestätigte importierte Spiele bleiben dabei ausschließlich für dich sichtbar (bei gemeinsamen Sessions auch für deinen Trainingspartner). Zweck: gemeinsame Trainings-Auswertung und Koordination im Team. Rechtsgrundlage: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO). Verlässt du das Team, endet diese namentliche Sichtbarkeit; in bestehenden Team-Auswertungen können deine Beiträge ohne Bezug zu deiner Person erhalten bleiben.

Baust du ein Deck für das Beta-Format [Format Coconut], fließen dessen Kartenauswahl und Tintenkombination in eine öffentlich einsehbare Format-Statistik ein — unabhängig davon, ob du das Deck geteilt hast. Die Coconut-Meta-Seite zeigt daraus, wie viele Decks zu einer Coconut-Karte gebaut wurden, welche Karten darin wie häufig vorkommen und wie sich die Tintenfarben verteilen. Dein Deckname, dein Benutzername und ein Link auf dein Deck erscheinen dort nicht; die zeigt die Seite ausschließlich zu Decks, die du selbst öffentlich geteilt hast. Solange nur wenige Decks zu einer Karte gebaut wurden, kann sich aus den Zahlen allerdings erschließen lassen, welche Karten in einem einzelnen, nicht geteilten Deck stehen. Zweck ist ein Meta-Bild des Formats, das den tatsächlichen Bestand abbildet statt nur den geteilten Ausschnitt; Rechtsgrundlage ist mein berechtigtes Interesse an dieser Auswertung (Art. 6 Abs. 1 lit. f DSGVO), der du nach Art. 21 DSGVO widersprechen kannst. Soll ein Deck nicht mitzählen, lösche es — das Zurückstellen auf „privat" genügt dafür nicht. Mit der Löschung deines Kontos entfallen deine Coconut-Decks vollständig und damit auch ihr Beitrag zur Statistik.

Sicherheitsrelevante Aktionen halte ich in einem internen Protokoll mit Zeitstempel fest. Zweck und berechtigtes Interesse: Nachvollziehbarkeit von Konto-, Zugriffs- und Administrationsvorgängen zur Aufklärung von Missbrauch und Fehlern (Art. 6 Abs. 1 lit. f DSGVO). Die Aufbewahrung ist gestaffelt: fehlgeschlagene Anmeldeversuche 90 Tage; Konto-, Rollen-, Lösch-, Passwort-Reset- und E-Mail-Wechsel-Vorgänge (letztere enthalten die betroffenen E-Mail-Adressen im Klartext) 1 Jahr; administrative Vorgänge — insbesondere Import- und Exportvorgänge, das Zurücksetzen der Zwei-Faktor-Authentifizierung durch die Administration, das Entfernen aus einem Team, das Depublizieren geteilter Decks und Zugriffe auf eingegangene Kontaktnachrichten — bewahre ich dauerhaft auf, weil sie den Nachweis über Datenbestände, deren Herkunft und administrative Eingriffe sichern.

Werden auf der Team-Seite Namen und Bilder von Teammitgliedern öffentlich gezeigt, geschieht das nur mit deren Einwilligung (Art. 6 Abs. 1 lit. a DSGVO); auf Wunsch entferne oder anonymisiere ich diese Angaben.

Erfasst du ein Spiel gegen einen Gegner, der kein Konto hier hat, kannst du dazu freie Angaben speichern (etwa eine Bezeichnung des Gegners, das beobachtete Deck und eine eigene Notiz). Diese Angaben sind ausschließlich für dich und dein Team sichtbar; Zweck ist deine eigene Spielauswertung, Rechtsgrundlage mein berechtigtes Interesse an der Nachvollziehbarkeit deiner Spielhistorie (Art. 6 Abs. 1 lit. f DSGVO). Betroffene Personen können der Verarbeitung widersprechen und Löschung verlangen (Art. 17, 21 DSGVO).

7. Öffentlich geteilte Decklisten

Du kannst deine Decklisten freiwillig teilen — in drei Stufen: „privat" (wie bisher, nicht von außen zugänglich), „nur per Link" (sichtbar für jeden, der den geheimen Link kennt) oder „öffentlich" (sichtbar für alle Besucher der Seite). Standard ist immer „privat"; nichts wird ohne deine ausdrückliche Auswahl einer anderen Stufe zugänglich gemacht. Eine Ausnahme gilt für Decks des Beta-Formats [Format Coconut]: deren Kartenauswahl fließt auch auf der Stufe „privat" in die Coconut-Format-Statistik ein — beschrieben im Abschnitt „Nutzerkonto und Team-Bereich".

Auf einer geteilten Deck-Seite sind sichtbar: die Deckliste, ihr Name, abgeleitete Kennzahlen (etwa die Tinten-Verteilung), das Format, ggf. der Archetyp-Name sowie — wenn du das nicht abwählst — dein Benutzername als Autor. Du kannst stattdessen anonym veröffentlichen; als Autor erscheint dann „ein Spieler". Deine Notizen und sonstigen Konto-Inhalte sind nie Teil der geteilten Seite. Veröffentlichst du nicht-anonym, sind deine öffentlichen Decks zusätzlich auf einer Autoren-Seite unter deinem Benutzernamen gebündelt abrufbar.

Auf einer öffentlichen Deck-Seite kannst du mit einem Konto ein Deck mit „Gefällt mir" markieren. Ich speichere dabei, wer welches Deck markiert hat — sichtbar ist nach außen nur die Gesamtzahl, eine Liste, wer ein Deck mag, gibt es nirgends. Solange das Deck öffentlich ist, kannst du die Markierung jederzeit zurücknehmen; danach wird sie mit deinem Konto gelöscht. Für die Speicherung gilt im Übrigen der Abschnitt „Nutzerkonto und Team-Bereich".

Öffentliche Decks kann jedermann einsehen, kopieren und verlinken; bei „nur per Link" gilt dasselbe für jeden, der den Link kennt — behandle den Link deshalb so vertraulich wie den Inhalt selbst. Derzeit weise ich Suchmaschinen an, die Seite nicht zu erfassen; „Nur per Link"-Seiten tragen darüber hinaus eine eigene Nicht-Indexieren-Anweisung. Beides ist keine Garantie: geteilte Seiten sind technisch für jeden erreichbar, nicht alle Suchmaschinen halten sich an solche Anweisungen, und ich kann die Indexierungs-Einstellung der Seite künftig ändern — öffentliche Decks können dann auch in Suchmaschinen erscheinen.

Rechtsgrundlage des Teilens ist deine Einwilligung, die du durch die aktive Auswahl der Sichtbarkeitsstufe erteilst (Art. 6 Abs. 1 lit. a DSGVO). Du kannst sie jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3 DSGVO), indem du das Deck in „Meine Decks" auf „privat" zurückstellst; die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt. Der Widerruf beendet die Sichtbarkeit deines Decks. Den Beitrag eines Coconut-Decks zur Format-Statistik beendet er nicht — dafür musst du das Deck löschen. Stufst du ein öffentliches Deck nur auf „nur per Link" zurück, bleibt es für alle erreichbar, die den Link kennen. Beachte: Inhalte, die öffentlich oder per Link erreichbar waren, können von Dritten kopiert oder archiviert worden sein — darauf habe ich keinen Einfluss. Das Teilen erzeugt keine zusätzliche Speicherung, sondern steuert die Sichtbarkeit deines Decks; für die Speicherung deiner Decks und für die Coconut-Format-Statistik gilt der Abschnitt „Nutzerkonto und Team-Bereich". Wird dein Konto gesperrt, werden verbliebene geteilte Decks automatisch auf „privat" gesetzt. Löschst du dein Konto, werden deine Coconut-Decks vollständig gelöscht; von den übrigen Decks bleiben anonymisierte Reste im Team-Bestand, die dabei ebenfalls auf „privat" gesetzt werden.

Besucher können geteilte Decks über das Kontaktformular melden (Kategorie „Öffentliches Deck melden"); für diese Meldungen gelten die im Abschnitt „Kontaktformular und Feedback-Funktion" beschriebenen Regeln zur Verarbeitung von Name, E-Mail-Adresse und pseudonymisierter IP-Adresse. Ich behalte mir vor, geteilte Inhalte bei Rechtsverstößen oder Missbrauch auf „privat" zurückzusetzen (berechtigtes Interesse am rechtskonformen Betrieb der Seite, Art. 6 Abs. 1 lit. f DSGVO); der Inhalt bleibt dabei in deinem Konto erhalten, und der Eingriff wird im internen Protokoll sicherheitsrelevanter Aktionen festgehalten.

8. Anmeldung über Discord (optional)

Du kannst dich optional über Discord anmelden bzw. dein Konto verknüpfen (OAuth). Ich fordere dabei ausschließlich die Berechtigung „identify" an und speichere nur deine Discord-Benutzerkennung (ID) und deinen Discord-Benutzernamen; weitergehende Profildaten — etwa die bei Discord hinterlegte E-Mail-Adresse oder dein Profilbild — rufe ich nicht ab. Rechtsgrundlage: Vertragserfüllung bzw. Einwilligung (Art. 6 Abs. 1 lit. b und a DSGVO). Zu Discord als Empfänger siehe den Abschnitt „Empfänger / Auftragsverarbeiter".

9. Eingebettete YouTube-Videos

Videos binde ich über youtube-nocookie.com ein; geladen werden sie erst, nachdem du über den Knopf im Hinweisfeld über dem Video zugestimmt hast. Vorher besteht keine Verbindung zu YouTube/Google. Mit deiner Einwilligung (Art. 6 Abs. 1 lit. a DSGVO i. V. m. § 25 Abs. 1 TDDDG) ist Empfänger Google Ireland Ltd./Google LLC; dabei kann eine Übermittlung in die USA erfolgen (EU-U.S. Data Privacy Framework bzw. Standardvertragsklauseln).

10. Empfänger / Auftragsverarbeiter

Empfänger sind: Hetzner (Hosting und verschlüsselte Sicherungskopien, Auftragsverarbeiter), Brevo (Versand von Verifizierungs-, Passwort- und Sicherheits-Mails, Auftragsverarbeiter), Discord (bei der Anmeldung über Discord sowie bei Turnier-Ankündigungen im Discord-Kanal des Teams, siehe unten), Google/YouTube (nur nach deiner Einwilligung), Ravensburger (Auslieferung der Kartenbilder, siehe unten), der externe Spenden-Dienst Ko-fi (nur wenn du den Spenden-Link aufrufst — dann gilt dessen Datenschutzerklärung) sowie — nur wenn du den optionalen Spiel-Import aktivierst — duels.ink (Abruf deiner Match-Historie; Empfänger des dort von dir erstellten API-Tokens). Rufst du externe Links auf, gelten zusätzlich die Datenschutzerklärungen der jeweils verlinkten Anbieter (siehe Abschnitt „Externe Links und extern ausgelieferte Kartenbilder"). Discord und Google sind US-Anbieter; soweit Daten in die USA übermittelt werden, stützt sich das auf das EU-U.S. Data Privacy Framework bzw. die Standardvertragsklauseln.

11. Musst du deine Daten angeben?

Du kannst diese Website ohne Angabe personenbezogener Daten aufrufen und die öffentlichen Bereiche nutzen; dabei fallen lediglich die technisch notwendigen Zugriffsdaten an. Willst du mich über das Kontaktformular erreichen, brauche ich deine Nachricht; eine Rückmeldung ist nur möglich, wenn du eine Kontaktmöglichkeit angibst. Ein Anspruch auf eine Antwort auf allgemeine Anfragen besteht nicht; deine Datenschutzrechte (Abschnitt 12) bleiben davon unberührt. Für ein Nutzerkonto sind Benutzername, E-Mail-Adresse und Passwort erforderlich; ohne sie lässt sich kein Konto anlegen und der angemeldete Bereich nicht nutzen. Alle übrigen Angaben sind freiwillig; gibst du sie nicht an, entfällt lediglich die jeweilige Zusatzfunktion. Eine gesetzliche Pflicht zur Bereitstellung besteht in keinem Fall.

12. Deine Rechte

Du hast das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18), Datenübertragbarkeit (Art. 20) sowie Widerspruch (Art. 21). Eine erteilte Einwilligung kannst du jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3 DSGVO). Zur Ausübung dieser Rechte genügt eine formlose Nachricht an kontakt@inkognitoquest.pro oder über das Kontaktformular (Kategorie „Datenschutz-Anliegen"); ich antworte unverzüglich, spätestens innerhalb eines Monats (Art. 12 Abs. 3 DSGVO). Einige Rechte kannst du zusätzlich unmittelbar im angemeldeten Bereich ausüben: Dort kannst du deine Daten exportieren und dein Konto löschen.

13. Beschwerderecht

Du hast das Recht, dich bei einer Aufsichtsbehörde zu beschweren — insbesondere bei der Behörde deines gewöhnlichen Aufenthaltsorts, deines Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes (Art. 77 DSGVO). Für mich zuständig ist:

Thüringer Landesbeauftragter für den Datenschutz und die Informationsfreiheit (TLfDI)
Häßlerstraße 8, 99096 Erfurt
Postanschrift: Postfach 900455, 99107 Erfurt
Telefon: +49 (361) 57-3112900
E-Mail: poststelle@datenschutz.thueringen.de
Website: www.tlfdi.de

14. Keine automatisierte Entscheidungsfindung

Eine automatisierte Entscheidungsfindung einschließlich Profiling (Art. 22 DSGVO) findet nicht statt.

15. Datensicherheit und Sicherungskopien

Die Übertragung erfolgt verschlüsselt über TLS (https). Der Zugriff auf personenbezogene Daten ist auf das Notwendige beschränkt; Passwörter speichere ich ausschließlich gehasht, ausgelagerte Sicherungskopien verschlüsselt. Zur Ausfallsicherheit halte ich tägliche Sicherungen 14 Tage lang vor sowie zusätzlich wöchentliche Archiv-Sicherungen. Löschst du dein Konto oder einzelne Daten, wirkt die Löschung sofort im laufenden Betrieb; in den Sicherungskopien können die alten Stände noch bis zu 14 Tage (tägliche Sicherung) bzw. in den Archiv-Sicherungen darüber hinaus enthalten sein. Eine gezielte Einzellöschung innerhalb bestehender Sicherungskopien nehme ich nicht vor, weil das mit unverhältnismäßigem Aufwand verbunden wäre; die Archive nutze ich ausschließlich zur Wiederherstellung nach einem Datenverlust.

16. Minderjährige

Mein Angebot richtet sich nicht gezielt an Kinder unter 16 Jahren. Ich erhebe wissentlich keine personenbezogenen Daten von Kindern ohne Einwilligung der Sorgeberechtigten.

17. Externe Links und extern ausgelieferte Kartenbilder

Diese Website verweist auf externe Angebote (YouTube, Instagram, X, Discord, Ko-fi, Metafy). Rufst du einen solchen Link auf, gelten die Datenschutzerklärungen der jeweiligen Anbieter.

Unabhängig davon liefere ich die Bilder der Lorcana-Karten nicht von meinem Server aus — sie werden direkt vom Bild-Server des Herausgebers Ravensburger (api.lorcana.ravensburger.com) geladen. Das betrifft alle Seiten, auf denen Karten angezeigt werden, auch die ohne Anmeldung nutzbare Kartensuche. Dabei erfährt Ravensburger deine IP-Adresse, den Zeitpunkt des Abrufs und technische Angaben deines Browsers. Zweck: Anzeige der offiziellen Kartenbilder ohne eigene Kopie des urheberrechtlich geschützten Materials. Rechtsgrundlage: berechtigtes Interesse an einer rechtskonformen und aktuellen Darstellung der Kartenbilder (Art. 6 Abs. 1 lit. f DSGVO). Auf die weitere Verarbeitung durch Ravensburger habe ich keinen Einfluss; es gilt deren Datenschutzerklärung.

18. Spiel-Import über duels.ink (optional)

Aktivierst du den optionalen Spiel-Import, hinterlegst du deinen duels.ink-Benutzernamen und einen persönlichen API-Token (dieser wird verschlüsselt gespeichert). Mit dem Token rufe ich serverseitig deine Match-Historie bei duels.ink ab und importiere deine Spiele inklusive Replay-Verweisen und Roh-Spielprotokollen; dabei wird auch der Anzeigename deines jeweiligen Gegners verarbeitet. Zweck: Aufbau deiner persönlichen Spielstatistik. Rechtsgrundlage: Vertragserfüllung bzw. Einwilligung für deine eigenen Daten (Art. 6 Abs. 1 lit. b und a DSGVO), berechtigtes Interesse für den Gegner-Anzeigenamen — die Vollständigkeit und Nachvollziehbarkeit deines eigenen Spielberichts ist ohne die Angabe, gegen wen gespielt wurde, nicht herstellbar (Art. 6 Abs. 1 lit. f DSGVO). Empfänger: duels.ink (Übermittlung deines Tokens zum Datenabruf). Du kannst den Import jederzeit deaktivieren und die importierten Daten (inklusive Roh-Spielprotokollen) löschen.

Interne Spiele — Partien zwischen zwei Team-Mitgliedern — liegen als zwei getrennte Datensätze vor: Jeder der beiden Spieler hat einen eigenen Spielbericht aus seinem eigenen Import und aus seiner eigenen Sicht (inklusive eigenem Spielprotokoll). Löschst oder verwirfst du deine importierten Spiele, entfernt das nur deinen eigenen Datensatz; der Spielbericht deines Mitspielers zu derselben Partie bleibt bestehen, denn er dokumentiert dessen eigenes Spielgeschehen. Darin erscheinst du weiterhin als Gegner mit deinem Anzeigenamen (Rechtsgrundlage wie oben: berechtigtes Interesse, Art. 6 Abs. 1 lit. f DSGVO). Löschst du dein gesamtes Konto, wird dein Name in den verbleibenden Spielberichten anderer Nutzer anonymisiert.

Karteninformationen aus deinen Spielen — deine eigene Deckliste sowie die im Spiel beim Gegner gesehenen Karten — bleiben dauerhaft am jeweiligen Spiel gespeichert. Bestätigst du ein Spiel, fließen die beobachteten Gegner-Karten zusätzlich in eine team-intern geteilte Kartensammlung des zugeordneten Deck-Archetyps ein; diese Sammlung enthält nur Kartennamen und Mengen, keine Angaben zur Person des Gegners. Löschst du dein Konto, entferne ich deine Kontodaten und deine privaten Roh-Spielprotokolle; die Spieleinträge samt Kartenlisten verbleiben in anonymisierter Form im Team-Bestand, da sie ohne deine Kontodaten keiner Person mehr zuzuordnen sind.

19. Teilnahme an Turnier-Terminen (OP-Kalender / RSVP)

Im OP-Kalender kannst du als angemeldeter Nutzer deine Teilnahme an einem Termin markieren. Verarbeitet werden dein Anzeige-/Nutzername, dein Teilnahmestatus und der betreffende Termin. Zweck: team-interne Koordination. Rechtsgrundlage: Vertragserfüllung für die interne Koordination (Art. 6 Abs. 1 lit. b DSGVO). Die Teilnehmer-Namensliste ist ausschließlich für angemeldete Nutzer sichtbar; nicht angemeldete Besucher sehen nur die Anzahl der Teilnehmer, nicht die Namen. Speicherdauer: solange der Termin bzw. dein Konto besteht.

20. Team-Wochenturnier

Als angemeldetes Team-Mitglied kannst du dich zu einem wöchentlichen team-internen Turnier anmelden. Verarbeitet werden dein Anzeige-/Nutzername, der von dir gewählte Deck-Archetyp, deine Anmeldezeit, deine Gruppen- und Paarungszuordnung sowie die gemeldeten Ergebnisse und die daraus berechnete Platzierung. Deine Archetyp-Wahl ist bis zum Turnierstart ausschließlich für dich selbst sichtbar und wird erst mit dem Start aufgedeckt.

Zum Turnierstart geht eine Ankündigung mit der Liste der Teilnehmer-Anzeigenamen in den team-internen Discord-Kanal; Paarungen und Archetypen sind darin nicht enthalten. Nach Abschluss des Turniers folgt eine Ergebnismeldung mit dem Anzeigenamen der Siegerin bzw. des Siegers. Empfänger dieser Übermittlungen ist Discord Inc. (USA) — es gilt der Drittland-Hinweis im Abschnitt „Empfänger / Auftragsverarbeiter". Zweck: Organisation und Ankündigung des Turniers. Rechtsgrundlage: Vertragserfüllung für die Turnierdurchführung (Art. 6 Abs. 1 lit. b DSGVO); für die Nennung deines Namens in der Discord-Ankündigung berufe ich mich auf mein berechtigtes Interesse an der Ankündigung im Team-Kanal (Art. 6 Abs. 1 lit. f DSGVO) — du kannst dieser Nennung jederzeit widersprechen (Art. 21 DSGVO). Speicherdauer: solange das Turnier bzw. dein Konto besteht.

21. Stand und Änderungen

Stand dieser Datenschutzerklärung: 14. August 2026. Ich passe sie an, wenn sich Datenverarbeitung oder Rechtslage ändern. Maßgeblich ist die jeweils hier veröffentlichte aktuelle Fassung.