HESTRAGA

Datenschutzerklärung

Verantwortlicher

Sebastian Noll, Talstraße 12, 65527 Niedernhausen, Deutschland, noll.sebastian@gmail.com

Welche Daten wir verarbeiten

Kontaktformular

Wenn du das Kontaktformular im Impressum nutzt, verarbeiten wir die von dir eingegebene Nachricht sowie – nur falls du sie freiwillig angibst – deinen Namen und deine E-Mail-Adresse für die Rückantwort, außerdem die aufrufende Seite und die von dir gewählte Sprache. Zweck ist ausschließlich die Bearbeitung und Beantwortung deiner Anfrage. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit deine Anfrage die Nutzung unserer Dienste betrifft, im Übrigen Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Beantwortung von Anfragen und am Schutz vor missbräuchlicher Nutzung des Formulars). Die Nachricht wird in der Server-Datenbank auf unserem Spielhost gespeichert, nach abschließender Bearbeitung gelöscht, spätestens jedoch 90 Tage nach Eingang automatisch endgültig gelöscht; sie kann darüber hinaus für die Dauer der üblichen Backup-Rotation in unseren Datenbank-Backups (siehe Speicherdauer) enthalten bleiben.

Zweck und Rechtsgrundlage

Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO) für Kontoführung und Spielbetrieb; berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO) für Missbrauchsschutz und Betriebsstabilität während der Alpha-Testphase.

Website-Anmeldung und Sitzungsübergabe an das Spiel

Die Konto-Seite leitet Anmeldung und Registrierung an unser selbst betriebenes Senoi-Keycloak unter auth.senoi.de/realms/senoi weiter (Testumgebung: auth-test.senoi.de/realms/senoi). Das Passwort wird dort verarbeitet. Der Spielserver erhält es nicht. Seit der Umschaltung auf 0.4.0 werden Supabase und Turnstile für diese Anmeldung nicht eingesetzt. Es handelt sich um einen neuen Datenbestand ohne Verknüpfung alter Konten oder Datenimport. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Kontoführung) sowie Art. 6 Abs. 1 lit. f DSGVO (Missbrauchsschutz).

Keycloak setzt auf der Authdomain technisch notwendige Sitzungscookies. Website und Spiel nutzen Access- und Refresh-Token; die Website hält Sitzungsdaten im sessionStorage des Browsers. Zugriffstoken gelten 300 Sekunden, die zentrale Sitzung endet nach 1800 Sekunden Inaktivität bzw. spätestens nach 43200 Sekunden. Die technisch erforderliche Speicherung für die gewünschte Anmeldung stützt sich auf § 25 Abs. 2 Nr. 2 TDDDG.

Beim Klick auf „Spielen“ wird ein browsergebundener Serverhandoff verwendet: ein begrenzt gültiger Übergabecode statt eines Tokens in der Spieladresse. Der Übergabecode ist höchstens zwei Minuten gültig; die serverseitige Ablage wird zum Ablauf gelöscht. Die kurze Zwischenspeicherung dient der ausdrücklich ausgelösten Sitzungsübergabe (Art. 6 Abs. 1 lit. b DSGVO).

Kontomails

Bestätigung und Wiederherstellung des Kontozugangs verwenden echte Kontomails von no-reply@senoi.de über unseren eigenen Postfix. Es werden keine externen Relaydienste genutzt.

Empfänger / Auftragsverarbeiter

Eingesetzte externe Dienstleister

Angaben zu externen Dienstleistern. Anmeldung und Kontomails betreiben wir selbst; Entwicklungswerkzeuge sind unten gesondert beschrieben. Die Webadressen sind bewusst als Text angegeben und nicht verlinkt.

Website, Spiel und Senoi-Anmeldung werden auf getrennt verwalteten virtuellen Servern betrieben. Die eingesetzten Hostingdienstleister können technisch erforderliche Verbindungs- und Betriebsdaten verarbeiten. Die Serververwaltung und der Kontomailversand erfolgen durch den Betreiber.

DomainFactory GmbH – Domainregistrar
c/o WeWork, Neuturmstraße 5, 80331 München, Deutschland
Register: Amtsgericht München, HRB 150294
USt-IdNr.: DE813084387
Datenstandort: Deutschland.
Verarbeitet als Registrar ausschließlich Registrierungsdaten des Betreibers, keine Daten der Besucher oder Spieler.
Web: https://www.df.eu (zuletzt abgerufen am 20.08.2026)

GitHub, Inc. – Quellcodeverwaltung und CI
88 Colin P. Kelly Jr. Street, San Francisco, CA 94107, USA
Datenstandort: Wechselnde Standorte, unter anderem die USA. Eine EU-Datenresidenz besteht nur im Enterprise-Tarif und wird hier nicht genutzt.
Konzerngesellschaft in der EU: GitHub B.V., Prins Bernhardplein 200, 1097 JB Amsterdam, Niederlande.
Zertifiziert unter dem EU-U.S. Data Privacy Framework.
Web: https://github.com (zuletzt abgerufen am 20.08.2026)

Codex von OpenAI und Claude von Anthropic werden im Auftrag des Betreibers für Code, Dokumentation und Betrieb genutzt. Dabei werden auftragsbezogen bereitgestellte Inhalte und ausgewählte Diagnoseangaben verarbeitet; diese können auch Nutzerdaten enthalten. Laufende Spielhandlungen werden nicht automatisch vollständig an generative KI übermittelt. Datenbank-Backups gehen nicht an GitHub.

Domainregistrierung

Die Domains hestraga.com und hestraga.de sind über die DomainFactory GmbH (c/o WeWork, Neuturmstraße 5, 80331 München, Deutschland) als technischen Dienstleister registriert. DomainFactory verarbeitet dabei als Registrar ausschließlich Registrierungsdaten des Betreibers dieser Website, keine Daten der Besucher oder Spieler.

Nutzerinnen und Nutzer in der Schweiz

Für Personen in der Schweiz gilt neben der DSGVO auch das Schweizer Datenschutzgesetz (DSG). Nach Art. 3 Abs. 1 DSG erfasst es auch Sachverhalte, die im Ausland veranlasst werden, sich aber in der Schweiz auswirken. Verantwortlich ist die oben genannte Person mit Wohnsitz in Deutschland. Die Europäische Union und die Schweiz erkennen das Datenschutzniveau der jeweils anderen Seite als angemessen an – die Schweiz durch die Entscheidung 2000/518/EG der Europäischen Kommission, Deutschland durch Anhang 1 der Schweizer Datenschutzverordnung. Für Übermittlungen zwischen der Schweiz und Deutschland sind daher keine zusätzlichen Garantien erforderlich. Die Staaten, in die darüber hinaus Daten gelangen können, sind oben bei den einzelnen Dienstleistern genannt (Art. 19 Abs. 4 DSG).

Speicherdauer

Kontodaten werden bis zur Löschung des Senoi-Kontos gespeichert. Identity-Ereignisse werden sieben Tage aufbewahrt. Technische Mail- und Authlogs auf dem Identityhost werden wöchentlich rotiert; vier rotierte Dateien und die aktive Datei bleiben erhalten. Die nginx-Logs dieses Hosts werden täglich rotiert; 14 rotierte Dateien und die aktive Datei bleiben erhalten. Diese Fristen gelten nicht als Aussage über die Logs des getrennten Spielhosts.

Backups werden täglich verschlüsselt auf einem zweiten eigenen VPS angelegt; aufbewahrt werden 14 erfolgreiche Stände. Gelöschte Daten können bis zum Austausch dieser Stände in Backups enthalten bleiben. Für zusätzliche Umstellungssicherungen ist die Aufbewahrung der letzten zwei Stände festgelegt. Das ist eine Anzahlgrenze und keine feste Frist in Tagen.

Spielprofil und gesamtes Konto löschen

Die Löschung nur des Spielprofils berührt die Senoi-Identität nicht. Bei der Löschung des gesamten Kontos wird das Spielprofil anonymisiert und die Nutzung alter Token gesperrt; die Senoi-Identität wird separat gelöscht. Verbleibende Spiel-Tombstones und Subject-Fingerprints sind pseudonyme Lösch- und Sperrbelege, keine echt anonymen Daten.

Pseudonyme Lösch- und Sperrbelege haben derzeit keine automatische Ablauffrist. Ihre weitere Aufbewahrung ist daran gebunden, dass dieselbe Senoi-Kennung technisch erneut zur Anlage oder zum Zugriff auf ein gelöschtes Spielprofil verwendet werden kann und der Beleg zur Verhinderung dieses Vorgangs erforderlich bleibt.

Direkter E-Mail-Kontakt

Die Kontaktadresse noll.sebastian@gmail.com ist ein privat genutztes Gmail-Postfach. Bei direktem E-Mail-Kontakt verarbeitet Google Nachrichteninhalte, Absenderangaben und technische Metadaten. Für Nutzer im EWR benennt Google Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland, als Verantwortlichen. Die Bearbeitung von Anfragen beruht auf Art. 6 Abs. 1 Buchst. b DSGVO bei vertraglichen Anliegen, sonst Buchst. f zur Bearbeitung von Kontaktanfragen. Nachrichten werden für die Bearbeitung und erforderliche Nachweise aufbewahrt.

Nach Googles Angaben können Daten insbesondere in den USA verarbeitet werden. Angaben zu den dort beschriebenen Übermittlungsmechanismen und Bezugswegen für Garantien stehen unter https://policies.google.com/privacy/frameworks?hl=de; weitere Informationen unter https://policies.google.com/privacy?hl=de. Beim bloßen Aufruf unserer statischen Seiten wird Gmail nicht eingebunden. Das private Kontaktpostfach ist von unserem selbst betriebenen Kontomailversand und vom gesonderten Kontaktformular zu unterscheiden.

Deine Rechte

Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch nach Art. 15–21 DSGVO sowie Beschwerderecht bei einer Aufsichtsbehörde. Wende dich dazu an noll.sebastian@gmail.com.