Datenschutzerklärung der JKz-Group und Abteilungen

Diese Datenschutzerklärung informiert über die Verarbeitung personenbezogener Daten durch die JKz-Group (Inhaber: Jonas Kuhlgatz) sowie deren Unterprojekte und Dienste: JKz-Development (Entwicklung & Veröffentlichung von Software und Videospielen), JKz-Entertainment (Social-Media-Management & Online-Marketing), JKz-Games (Community & Plattformangebote), JKz-GameStore (Vertrieb von Indie-Spielen), JKz-GameCloud (Speicher- und Synchronisationsdienst), JKz-GameServer (Multiplayer-Server-Hosting), RedBlock Network (eigenständiges Minecraft-Netzwerk unter mc-redblock.de und play.mc-redblock.de; außerdem der konfigurierte Alias www.mc-redblock.de, soweit darüber unser Angebot bereitgestellt wird), RedBlock SMP (davon getrenntes Minecraft-Survival-Projekt unter smp.mc-redblock.de), RubyGuard (rubyguard.de, www.rubyguard.de und dashboard.rubyguard.de), knickstation (knickstation.de, www.knickstation.de, app.knickstation.de und api.knickstation.de), MC Kingdoms (mc-kingdoms.de), JKz-GameJam (Community-Events), JKz-Creators, JKz-Musics sowie alle verbundenen Panels, APIs, Tools und Social-Media-Auftritte.

RedBlock Network, RedBlock SMP, RubyGuard, knickstation und MC Kingdoms sind Unterprojekte, die von Jonas Kuhlgatz unter der Bezeichnung JKz-Group verwaltet und betrieben werden. Der Geltungsbereich umfasst sämtliche dem jeweiligen Projekt zugeordneten Unterseiten, Subdomains, Webanwendungen, Communitybereiche, Panels, APIs und zugehörigen Serverdienste, soweit diese von der JKz-Group betrieben werden. Das gemeinsam genutzte Panel unter panel.mc-redblock.de ist jeweils insoweit erfasst, wie es das betreffende Projekt verwaltet. Ein gemeinsames Panel bedeutet nicht, dass Daten aller Projekte für sämtliche Panelnutzer sichtbar sind.

Diese zentrale Erklärung wird durch die Datenschutzhinweise des RedBlock Network, die Datenschutzhinweise des RedBlock SMP und die Datenschutzhinweise von RubyGuard ergänzt. Projektspezifische Hinweise konkretisieren die jeweilige Verarbeitung; sie ersetzen keine Betroffenenrechte und schaffen keine zusätzlichen Verarbeitungsbefugnisse. Zentrale und lokale Angaben sind zusammen zu lesen. Bei abweichenden Angaben können Sie die tatsächlichen Bedingungen über unseren Datenschutzkontakt klären lassen; eine pauschale Rangfolge, die eine unzutreffende Angabe verbindlich machen würde, besteht nicht. Für Dienste externer Anbieter gelten deren eigene Hinweise zusätzlich.

Für die Verarbeitung personenbezogener Daten gelten die Datenschutz-Grundverordnung (DSGVO), das Bundesdatenschutzgesetz (BDSG) und die einschlägigen Vorschriften des TDDDG. Diese Information ersetzt weder erforderliche Einwilligungen noch die Umsetzung technischer Schutz- und Löschmaßnahmen. Diese Erklärung beschreibt Art, Umfang und Zwecke der Verarbeitung, die jeweiligen Rechtsgrundlagen, Empfänger, Speicherdauern sowie die Rechte betroffener Personen. Die projektspezifischen Angaben in Abschnitt 5 konkretisieren auch die nachfolgenden allgemeinen Datenkategorien und Übersichten; diese sind nicht als Aussage zu verstehen, dass jedes Unterprojekt sämtliche beschriebenen Verarbeitungen durchführt.

1. Verantwortlicher

Jonas Kuhlgatz, handelnd unter JKz-Group
Inhaber: Jonas Kuhlgatz
Tatsächlicher Sitz: Gnarrenburg, Niedersachsen, Deutschland

Ladungsfähige Zustellanschrift (Online-Impressumsservice):
c/o Online-Impressum.de #30320
Europaring 90
53757 Sankt Augustin
E-Mail (allgemein): info@jkz-group.de
E-Mail (Datenschutz): datenschutz@jkz-group.de

Die Anschrift in Sankt Augustin ist ausschließlich die ladungsfähige Zustellanschrift des beauftragten Online-Impressumsservices und nicht der tatsächliche Sitz der JKz-Group. Der tatsächliche Sitz befindet sich in Gnarrenburg, Niedersachsen.

Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO ist Jonas Kuhlgatz, handelnd unter JKz-Group, soweit nachfolgend nicht ausdrücklich etwas anderes angegeben wird. Für einzelne Unterprojekte können wir Auftragsverarbeiter (z. B. Hosting, Zahlungsabwicklung, Newsletter-Dienstleister) einsetzen. Soweit ein Dienstleister in unserem Auftrag personenbezogene Daten verarbeitet, ist hierfür eine Vereinbarung gemäß Art. 28 DSGVO erforderlich. Eigenständig verantwortliche Anbieter sind davon zu unterscheiden.

Ergänzend gelten die Grundsätze aus dem Unternehmensgesetz der JKz-Group, insbesondere zu Datenschutz, Informationssicherheit und Datenethik (Privacy by Design & Default, Rollen- und Berechtigungskonzepte, Incident-Response-Prozesse).

2. Begriffe / Definitionen (Auszug)

„Personenbezogene Daten“ sind alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen (Art. 4 Nr. 1 DSGVO).
„Verarbeitung“ ist jeder Vorgang im Zusammenhang mit personenbezogenen Daten (Erheben, Speichern, Übermitteln, Löschen etc.).
„Verantwortlicher“ ist die Stelle, die über Zwecke und Mittel der Verarbeitung entscheidet (Art. 4 Nr. 7 DSGVO).
„Auftragsverarbeiter“ ist eine Stelle, die personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet (Art. 4 Nr. 8 DSGVO).
„User-ID“ ist eine öffentlich sichtbare, zufällig generierte Kennung (z. B. im Format xxx-xxx), die als Erkennungsmerkmal, für Freundschaftsanfragen sowie zur Zuordnung in Logs/Dateien dient.
„Anmeldedaten“ sind private Zugangsdaten (E-Mail, Passwort-Hash, ggf. 2FA-Token). User-ID und Anmeldedaten werden strikt getrennt verarbeitet.
„Einwilligung“ ist jede freiwillige, informierte und unmissverständlich abgegebene Willensbekundung für eine bestimmte Verarbeitung (Art. 4 Nr. 11 DSGVO).

3. Kategorien personenbezogener Daten

Je nach Nutzung unserer Dienste verarbeiten wir insbesondere:

Accountdaten: Name (freiwillig), E-Mail-Adresse, User-ID, Anzeigename, Passwort (gehasht), 2FA-Token, Rollen/Rechte, Verifizierungsstatus.
Kommunikationsdaten: Freundschaftsanfragen, Nachrichten, Support-Tickets, Kommentare, Foren-/Community-Beiträge, Moderationshinweise, Sperrvermerke.
Spieldaten: Spiele-Uploads, Beschreibungen, Metadaten, Spielstände/Cloud-Saves, Highscores, Matchmaking-Daten, Bewertungs- und Ranking-Informationen.
Server-/Technikdaten: IP-Adresse, Gerät/Client, Zugriffszeit, Request-IDs, Session-IDs, Tokens, Fehler-/Performance-Logs, Sicherheits- und Missbrauchslogs.
Finanz-/Vertragsdaten: Kaufhistorie, Rechnungsdaten, Zahlungsstatus (Zahlungsabwicklung erfolgt über Zahlungsanbieter; wir speichern keine vollständigen Zahlungsinstrumente wie Kreditkartennummern).
Marketplace-/Developer-Daten: Developer-Profil, rechtlicher Name/Firma, Inhaber-/Kontaktangaben, Anschrift, Land, Support-/Kontakt-E-Mail, Stripe-Connect-Konto-ID, Stripe-Onboarding-Status, Steuerstatus, Steuernummer oder USt-IdNr., Provisionssätze, Verkäuferabrechnungen und Auszahlungs-/Abrechnungsstatus.
GameStore-Transaktionsdaten: Warenkorb, Bestell- und Order-IDs, gekaufte Spiele/Builds, Checkout-Gruppe, Zahlungsanbieter, Payment-/Session-/Transaction-IDs, Zahlungsstatus, Plattformprovision, Stripe-Gebühren, Verkäuferauszahlungsbeträge, Rechnungsnummern, PDF-Pfade, Rechnungsversandstatus, Refund-Anträge, Refund-Gründe, Bearbeitungsstatus und Admin-Vermerke.
Nutzungs- und Interaktionsdaten im GameStore: Aufrufe, Downloads, Downloadzeitpunkte, Downloadquelle (z. B. Web/Launcher/API), verwendete Build-Versionen, pseudonymisierte IP- und User-Agent-Hashes, User-Agent-Familie, Betriebssystem, Bewertungen, Favoriten, Watchlist-/Wunschlisten-Einträge, Kommentare, Kommentar-Votes, Such- und Filterinteraktionen, Warenkorbinteraktionen sowie künftig For-You-/Empfehlungssignale wie Klicks, Impressions, Käufe, Downloads, Verweildauer, Kategorien-/Genreinteressen und negative Signale (z. B. Ausblenden/Überspringen), soweit diese Funktionen bereitgestellt werden.
Support-, Report- und Moderationsdaten: Meldungen/Reports, Report-Kategorien, Beschreibungen, Kontakt-E-Mail, Beteiligte, Nachrichten, Anhänge, Statushistorie, Moderationsregeln, Regelverstöße, Sanktionen, Sperren, Admin-Notizen und Nachweise zur Missbrauchsabwehr.
Integrationsdaten: Discord-Verknüpfungen, Discord-User-ID, Guild-ID, Rollenaufträge, Badge-Zuweisungen, Beta-Key-Zuweisungen sowie technische Statusdaten von angebundenen Diensten.
Event-/GameJam-Daten: Registrierungen, Teamzugehörigkeit, eingereichte Spiele, Jury-Feedback, Bewertungsergebnisse, Preisvergabe, Einwilligungen für Mediennutzung.
Marketing-/Creator-Daten: Daten zu Social-Media-Kanälen, Reichweitenstatistiken, Creator-Profile, Kampagnendaten und ggf. vertragliche Absprachen mit Creators.
Keycloak-/Login-Daten: Technische Authentifizierungsdaten beim Einsatz eines dedizierten Login-Dienstes (z. B. Keycloak), insbesondere Tokens, Zeitpunkte von Logins und Rolleninformationen (siehe auch Abschnitt 5).

4. Zwecke der Verarbeitung und Rechtsgrundlagen

Wir verarbeiten personenbezogene Daten nur, soweit dies zur Bereitstellung unserer Angebote, zur Erfüllung vertraglicher Pflichten, zur Wahrung berechtigter Interessen oder aufgrund gesetzlicher Vorgaben erforderlich ist. Im Überblick:

Soweit wir um Ihre Einwilligung bitten, erfolgt die Verarbeitung auf Grundlage von Art. 6 Abs. 1 lit. a DSGVO. Sie können eine erteilte Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen.

5. Verarbeitung je Unterprojekt

JKz-Development: Verwaltung von Entwickler-Accounts, Projektdaten, Repositorien, Bug-Reports; Zweck: Entwicklung/Qualitätssicherung (Art. 6 Abs. 1 lit. b, f DSGVO).
JKz-Entertainment: Verwaltung und Planung von Social-Media-Profilen, Community-Management und Kampagnen; hierfür können aggregierte Nutzungsstatistiken und öffentlich sichtbare Profildaten von Plattformen verarbeitet werden. Soweit soziale Netzwerke eine gemeinsame Verantwortlichkeit vorsehen, gelten die Informationen gemäß Art. 26 DSGVO der jeweiligen Plattformen zusätzlich.
JKz-Games: Community-Funktionen wie Profile, Freundschaftssystem, Kommentare und Foren; Moderation nach Hausordnung und Unternehmensgesetz (berechtigtes Interesse an einer sicheren, diskriminierungsfreien Community).
JKz-GameStore: Spiele-Uploads, Darstellung, Kaufabwicklung; Zahlungsabwicklung über Drittanbieter; steuerliche Aufbewahrungspflichten werden eingehalten. Im Marketplace-Modell verarbeiten wir zusätzlich Verkäufer-/Developer-Daten, Stripe-Connect-Status, Rechnungs-/Steuerdaten, Provisions- und Verkäuferabrechnungsdaten, Käuferrechnungen, Refund-Daten, Warenkorb-, Kauf-, Download-, Bewertungs-, Favoriten-, Watchlist-, Kommentar- und Such-/Filterdaten. Download-Events können zur Lizenzprüfung, Betrugs-/Missbrauchsabwehr, technischen Bereitstellung, Statistik und künftig zur Personalisierung der For-You-/Empfehlungsseite verarbeitet werden. IP-Adresse und User-Agent werden für Download-Events nach Möglichkeit nur gehasht/pseudonymisiert gespeichert.
JKz-GameCloud: Speicherung und Synchronisation von Spielständen; Löschung bei Account-Löschung, spätestens nach ca. 30 Tagen, sofern keine gesetzlichen Pflichten entgegenstehen.
JKz-GameServer: Betrieb von Multiplayer-Sitzungen, Match-/Server-Logs; IP- und technische Daten zur Stabilität, Missbrauchserkennung und ggf. Abrechnung. Die konkrete Speicherdauer richtet sich nach dem jeweiligen Spielserver und dessen Zweck.
RedBlock Network: Das RedBlock Network ist ein eigenständiges Minecraft-Netzwerk. Verarbeitet werden insbesondere IP-Adresse, Minecraft-Name und -UUID, Verbindungs- und Profildaten, Chat und Kommandos, Spielstände, Inventare, Positionen, Statistiken, virtuelle Wirtschaft und Transaktionen, Claims, Rechte/Ränge, Minigame-Ergebnisse sowie Sicherheits- und Moderationsdaten. Hinzukommen bei entsprechender Nutzung Bedrock-/Geyser-/Floodgate-Daten und Daten berechtigter Pterodactyl-Panelnutzer, soweit diese das Network verwalten. Die vollständigen produktspezifischen Angaben stehen in der Datenschutzerklärung des RedBlock Network.
RedBlock SMP: Das RedBlock SMP ist ein vom RedBlock Network getrenntes Minecraft- Survival-Projekt. Zu seinen Verarbeitungen gehören insbesondere IP-Adresse, Minecraft-Name und -UUID, Spielstand und Weltinteraktionen, Chat und Kommandos, Statistiken, Sicherheits-, CoreProtect- und Moderationsdaten sowie je nach Nutzung Discord-OAuth-Verknüpfungen und Voice-Chat-Verkehr. Für das SMP gilt eine eigene Datenschutzerklärung.
JKz-GameJam: Teilnehmerregistrierung, Teamverwaltung, Einreichungen, Jury-Bewertung, Preisvergabe; Mediennutzung (Screenshots/Trailer) nur mit Einwilligung.
JKz-Creators / JKz-Musics: Verwaltung von Creator- bzw. Musikprojekten, Kooperationen, Kampagnendaten und ggf. Vertragsdaten; Kommunikation und Abwicklung erfolgen auf vertraglicher Grundlage (Art. 6 Abs. 1 lit. b DSGVO) und zur Pflege der Zusammenarbeit (Art. 6 Abs. 1 lit. f DSGVO).
Keycloak / Login-Dienst: Für die zentrale Authentifizierung kann ein separater Login-Dienst (z. B. Keycloak) eingesetzt werden. Dabei werden insbesondere E-Mail-Adresse, User-ID, Passwort-Hash, Rollen sowie Tokens verarbeitet. Der Dienst dient der sicheren Anmeldung und Rechtevergabe über mehrere Unterprojekte hinweg. Es gelten dieselben Sicherheitsstandards (z. B. Hashing, TLS, Rollen-/Rechtemanagement) wie für andere produktive Systeme.

Gemeinsame Webverarbeitung, Datenquellen und erforderliche Angaben

Beim Abruf der genannten Websites, Panels und APIs erhält die Serverinfrastruktur automatisch die IP-Adresse, Zeitpunkt, angeforderte Adresse einschließlich mitgesendeter URL-Parameter, HTTP-Methode, Statuscode, übertragene Datenmenge, Referrer soweit vom Browser mitgeteilt, User-Agent und Bearbeitungsdauer. Zugriffs- und Fehlerprotokolle dienen der Auslieferung, Fehleranalyse und Abwehr von Angriffen. Fehlerprotokolle können zusätzlich technische Fehler- und Anfrageinformationen enthalten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unsere Interessen sind ein sicherer, verfügbarer Dienst und die Aufklärung konkreter Störungen. Bei angeforderten Konto- und Vertragsfunktionen ist Art. 6 Abs. 1 lit. b DSGVO einschlägig, soweit die Verarbeitung dafür erforderlich ist. Die reguläre Weblog-Rotation sieht tägliche Archive mit 14 aufbewahrten Rotationen vor, entsprechend ungefähr 15 Tagen einschließlich der laufenden Datei. Gesondert zur Aufklärung eines Vorfalls gesicherte Auszüge sind davon zu unterscheiden.

API-Aufrufe verarbeiten zusätzlich die für den jeweiligen Endpunkt übermittelten Parameter, Formulardaten oder Dateien sowie Authentifizierungs- und Sitzungskennungen. Fehlgeschlagene Logins, ungültige Anfragen und technische Fehler können Sicherheitsereignisse auslösen. Rate-Limits verwenden je nach Anwendung Zähler, Zeitfenster und Sitzungs- oder pseudonymisierte Verbindungskennungen. Passwörter und Zugangstokens sollen nicht in frei zugängliche Inhalte oder URL-Parameter eingetragen werden.

Daten stammen unmittelbar aus Ihren Eingaben, Ihrem Browser oder Spielclient, aus den im Folgenden bezeichneten Identitätsdiensten, aus Spielservern und Discord sowie aus Beiträgen, Meldungen und Bearbeitungsschritten anderer Beteiligter. Ohne die notwendigen Verbindungsdaten ist eine Auslieferung nicht möglich; ohne Konto- oder Berechtigungsnachweis können geschützte Funktionen nicht genutzt werden. Freiwillige Profilfelder, Medien, Communitybeiträge und externe Angebote sind davon zu unterscheiden. Bei formulargebundenen Funktionen ist erkennbar, welche Angaben für deren Bearbeitung benötigt werden.

RedBlock Network und RedBlock SMP: ergänzende Web- und Serverfunktionen

Die beiden Projekte bleiben organisatorisch getrennte Angebote desselben Verantwortlichen. play.mc-redblock.de verwendet denselben Webauftritt wie mc-redblock.de. Minecraft-Server verarbeiten Namen, UUIDs, IP-Adressen und Verbindungszeiten sowie Spielstände und die Daten der genutzten Spielmechaniken. Die vorhandenen Konfigurationen sehen die Prüfung von Java-Konten im Online-Modus über Microsoft/Mojang vor. Bedrock-Zugänge über Geyser betreffen auch Xbox-/Bedrock-Identitäts-, Verbindungs- und Skininformationen. Beim Network ist zusätzlich eine globale Floodgate-Kontoverknüpfung konfiguriert. Daraus darf keine entsprechende Kontoverknüpfung für sämtliche anderen Minecraft-Projekte abgeleitet werden.

SMP-Verifizierung: Bei der Discord-Verifizierung wird die Minecraft-UUID in einer PHP-Sitzung mit einem zufälligen OAuth-Sicherheitswert verknüpft. Nach Ihrer Autorisierung werden über Discord die Kontokennung und die Mitgliedschaft beziehungsweise Rollen im Projektserver geprüft. Die Zuordnung von Minecraft-UUID zu Discord-ID und der Verknüpfungszeitpunkt werden serverseitig gespeichert. Die zugehörige API beantwortet für eine übermittelte UUID, ob eine Verknüpfung beziehungsweise Freischaltung vorhanden ist. OAuth-Code und Zugangstoken werden zur Abwicklung des Identitätsabgleichs verarbeitet. Zweck ist die Zugangskontrolle; Rechtsgrundlagen sind Art. 6 Abs. 1 lit. b DSGVO für den angeforderten Spielzugang und lit. f für die Abwehr unberechtigter Zugriffe. Die Discord-Autorisierung ist keine pauschale Einwilligung in weitere Datenverarbeitungen. Für die Verknüpfungsdatei ist keine automatische Löschfrist hinterlegt; Löschanfragen und der Wegfall des Zugangsbedarfs müssen gesondert bearbeitet werden.

SMP-Statistik und Teamdarstellung: Die Website liest Minecraft-Statistikdateien und ordnet UUIDs über den Spieler-Namenscache zu. Spielernamen, Spielzeit, Tode und Spieler-Kills werden auf der öffentlich zugänglichen Startseite dargestellt und nach Spielzeit sortiert. Zweck ist die Darstellung des Spielgeschehens und der Community (Art. 6 Abs. 1 lit. f DSGVO). Bei einem Widerspruch aus Ihrer besonderen Situation prüfen wir die weitere Anzeige. Die Teamdarstellung lädt Skinbilder unmittelbar von mc-heads.net; dabei erhält dieser Anbieter die angefragte Skin-/Namenskennung sowie technisch die IP-Adresse und Browser-Abrufdaten des Besuchers. Eine Browserverbindung entsteht beim Laden dieser Bilder.

SMP-Spielmechaniken und Sprache: Zusätzlich zu den oben beschriebenen Daten betreffen die konfigurierten Funktionen Claims, virtuelle Wirtschaft und Shoptransaktionen, Rechte/Ränge sowie CoreProtect-Protokolle über Weltinteraktionen und Spielerkommandos. Diese dienen Spielbetrieb, Schutz von Bauwerken und Moderation (Art. 6 Abs. 1 lit. b beziehungsweise lit. f DSGVO). Der optionale Voice-Chat überträgt Stimme und Verbindungsdaten an Gesprächsteilnehmer; die Serverkonfiguration erzwingt die Teilnahme daran nicht. Eine zentrale dauerhafte Sprachaufzeichnung wird hier nicht behauptet. Aufnahmen durch Teilnehmer sind von der bloßen Sprachübertragung zu unterscheiden und bedürfen einer eigenen rechtlichen Grundlage.

Aufbewahrung der Spielserverdaten: Die Weblog-Rotation gilt nicht für Minecraft-Welten, Plugin-Datenbanken oder archivierte Konsolenprotokolle. Spielstände, Inventare, Claims, Wirtschaft und Rechte bleiben an den betreffenden Zugang und die Spielwelt gebunden. Sicherheits- und Moderationsnachweise sind auf den konkreten Schutz- oder Nachweiszweck zu begrenzen. Für sämtliche Plugins und Archive lässt sich keine einheitliche automatische Löschfrist angeben; ergänzende Angaben der jeweiligen Projekterklärung und erforderliche Einzelfallprüfungen sind zu berücksichtigen. Ein Weltwechsel oder eine Kontosperre bedeutet nicht automatisch die vollständige Löschung aller Archive.

Gemeinsames Administrationspanel panel.mc-redblock.de

Das Pterodactyl-Panel verarbeitet für berechtigte Nutzer Kontoname, E-Mail-Adresse, gegebenenfalls Vor- und Nachname, interne Kennung, Passwort-Hash, Zwei-Faktor-Einstellungen, Serverzuordnung und Berechtigungen. Hinzu kommen Sitzungen, API-Schlüssel-Zuordnungen, Ablauf-/Widerrufsdaten, SFTP-Zugriffe und Aktivitätsereignisse mit Akteur, Zeitpunkt, IP-Adresse, betroffenen Ressourcen und technischen Metadaten. Passwort-Reset-Funktionen verarbeiten E-Mail-Adresse und Resetnachweise. Zweck ist die gesicherte Verwaltung der zugeordneten Server (Art. 6 Abs. 1 lit. b und f DSGVO). Konto-, Aktivitäts- und Berechtigungsdaten liegen in der Paneldatenhaltung; die Sitzungsdaten werden im konfigurierten Sitzungsbackend gespeichert. Die tatsächlichen Ablauf- und Löschfristen hängen von der Panelkonfiguration ab; eine allgemeine Löschfrist für sämtliche Spielserverdaten folgt daraus nicht.

Die Paneloberfläche bindet Google Fonts ein. Administrationsansichten laden Gravatar-Bilder mit einem aus der E-Mail-Adresse abgeleiteten Hash; der Hash ist keine Anonymisierung. Google beziehungsweise Gravatar erhalten bei einem solchen Browserabruf IP-Adresse, Browserinformationen, Zeitpunkt und die angefragte Ressource. reCAPTCHA ist als konfigurierbarer Schutz von Login und Passwort-Reset vorgesehen; bei aktiviertem Einsatz werden Prüfwerte und Verbindungs-/Interaktionsmerkmale an Google übertragen. Auch Paneltelemetrie ist konfigurierbar. Die Existenz dieser Funktionen bedeutet nicht, dass sämtliche optionalen Funktionen in jeder Installation aktiv sind. Die vorhandenen Minecraft-bStats-Konfigurationen aktivieren technische Pluginmetriken; diese betreffen Server-/Softwareinformationen und eine Installationskennung, nicht eine von uns angelegte Spielerstatistik beim Telemetrieanbieter.

RubyGuard – rubyguard.de und dashboard.rubyguard.de

RubyGuard ist unser Discord-Bot-Projekt mit öffentlicher Website, Verwaltungsdashboard, APIs und Mitgliederportal. Zum Projekt gehören auch www.rubyguard.de und die jeweils von uns betriebenen Unterseiten und weiteren Subdomains. Die Website informiert über den Bot; die folgenden zusätzlichen Verarbeitungen betreffen insbesondere dashboard.rubyguard.de.

Anmeldung: Das Dashboard nutzt Discord-OAuth mit dem Berechtigungsumfang „identify“. Discord liefert Konto-ID, Benutzername, Anzeigename und Avatar-Kennung. OAuth-Code, Sicherheitswert und ein vorübergehender Zugriffstoken dienen dem Anmeldevorgang. Das Dashboard speichert kein Discord-Passwort, aber sehr wohl serverseitige Sitzungsdaten mit der bestätigten Identität, Aktivitätszeitpunkten und CSRF-Sicherheitswerten. Der Anmelde-Sicherheitswert ist zehn Minuten gültig; angemeldete Sitzungen laufen nach zwei Stunden Inaktivität ab. Die Sitzungskennung wird regelmäßig erneuert. Profilbilder werden über Discords CDN geladen, das dabei Browser-Abrufdaten erhält. Grundlage ist Art. 6 Abs. 1 lit. b DSGVO für den gewünschten Zugang und lit. f für Zugangsschutz und Berechtigungsprüfung.

Serververwaltung und Botdaten: Das Dashboard liest und bearbeitet serverbezogene Dokumente und Fachtabellen in einer relationalen Datenbank. Dazu gehören Discord-Server-, Nutzer-, Rollen- und Kanal-IDs, Namen, Profilbilder und Beitrittsinformationen, Team- und Zugriffsrechte sowie Einstellungen für Moderation, Nachrichtenfilter, automatische Rollen und Nachrichten, Verifikation, Anti-Raid-/Anti-Nuke-Schutz, Tickets, XP, Bewertungen und Statistik. Je nach eingesetzten Modulen werden Warnungen, Meldungen, Moderationsfälle mit Gründen und Sanktionen, Verifikationsstatus und Versuchen, Sicherheitsereignisse, Nachrichtenanzahlen und Sprachkanal-Aktivitätswerte angezeigt. Sprachkanal-Aktivitätswerte sind keine Tonaufnahmen. Die Dashboardberechtigungen beschränken den Zugriff nach Server und Aufgabe; berechtigte Serveradministratoren und Moderatoren erhalten damit ebenfalls Zugriff, nicht ausschließlich Botentwickler.

Tickets, Einsprüche und Betroffenenrechte: Tickettranskripte enthalten Autorenkennungen, Namen, Avataradressen, Nachrichtentexte, Anhänge und Versandzeitpunkte. Das Mitgliederportal verarbeitet Einsprüche gegen Moderationsentscheidungen einschließlich Fallbezug, Begründung, gewünschtem Ergebnis, Nachrichten, Bearbeitungsstatus und Entscheidung. Datenschutzanträge speichern Antragstyp, Identitätszuordnung, Angaben zum Anliegen, Antwort, Bearbeiter und Zeitpunkte; Benachrichtigungen informieren über den Verlauf. Ein auf die angemeldete Person zugeschnittener Datenexport berücksichtigt die Rechte anderer Personen und interne Vermerke. Rechtsgrundlagen sind Art. 6 Abs. 1 lit. b DSGVO bei angefordertem Support, lit. f bei Moderation und Rechtsverteidigung sowie lit. c in Verbindung mit Art. 12 bis 22 DSGVO bei der Bearbeitung gesetzlicher Betroffenenrechte.

Nachvollziehbarkeit und Speicherung: Änderungen an Einstellungen werden mit ausführender Nutzerkennung, Serverbezug, Aktion, Ziel, Anfragekennung und erforderlichen Vorher-/Nachherwerten protokolliert. Schutzbedürftige Schlüsselwerte werden im vorgesehenen Auditfilter ausgespart. Rate-Limits verwenden Sitzungszähler und Zeitfenster. Die Ticketverwaltung erlaubt eine konfigurierbare Transkript-Aufbewahrung nach Ticketabschluss; ihr Vorgabewert beträgt 90 Tage. Für Schutz-Snapshots ist ein Vorgabewert von 30 Tagen vorgesehen. Diese Vorgaben belegen keine überall tatsächlich ausgeführte automatische Löschung. Für übrige Konfigurations-, Fall-, Audit- und Antragsdaten ist kein einheitlicher automatischer Löschzeitpunkt im Webdienst festgelegt. Maßgeblich sind der Fortbestand des erforderlichen Server-/Fallbezugs, die Erledigung des Anliegens, erforderliche Nachweise und gesetzliche Pflichten; eine fortbestehende Speicherung muss auf diesen Zweck begrenzt bleiben.

Die Daten entstehen durch Dashboardeingaben, Discord-Kontoabgleich, Bot-/Serverereignisse und Angaben beteiligter Personen. Der Umfang einzelner Botmodule richtet sich nach den aktivierten Funktionen des jeweiligen Discord-Servers. Für eigene Entscheidungen externer Discord-Serverbetreiber über Moderation und Datennutzung ist deren Verantwortung gesondert zu berücksichtigen; allein die Installation von RubyGuard begründet keine von uns behauptete pauschale Auftragsverarbeiterrolle. Discord betreibt seine Plattform unter eigener Verantwortung.

knickstation – knickstation.de, app.knickstation.de und api.knickstation.de

knickstation ist ein von der JKz-Group betriebenes Profil-, Discovery- und Communityangebot. Erfasst sind auch www.knickstation.de sowie unsere zugehörigen Unterseiten, APIs und Subdomains. Die Hauptseite informiert über das Projekt; Konto-, Profil- und Communityfunktionen werden über die App und deren API bereitgestellt.

Konto und Authentifizierung: Die Anmeldung erfolgt über den zentralen JKz-Group-Login auf auth.jkz-group.de mit OpenID Connect und PKCE. Verarbeitet werden insbesondere die Login-Kontokennung, Benutzername, E-Mail-Adresse und deren Bestätigungsstatus, lokale Nutzer-ID, Anmelde-Sicherheitswerte und Tokens. Die API speichert Sitzungskennungs-Hashes, pseudonymisierte IP-/User-Agent-Werte und den letzten Aktivitätszeitpunkt. Logout widerruft die lokale Sitzung. Kontoänderungen können Benutzername, E-Mail-Adresse, Passwortänderung und Zwei-Faktor-Einrichtung betreffen. Ein über die API zur Änderung eingegebenes Passwort wird an den zentralen Login-Dienst übermittelt; Bestätigungs- und Sicherheitsaktionen können dort E-Mails auslösen. Die lokale Profildatenbank und der Login-Dienst sind zu unterscheiden. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO für die angeforderte Kontoverwaltung und lit. f für deren Absicherung.

Profile und besonders schutzbedürftige Angaben: Profile verarbeiten Anzeigename, Biografie, Pronomen, Profilbild, Sichtbarkeitseinstellungen, Altersangabe und gewünschte Altersspanne, selbst gesetzten Online-Status, Sprache, Region, Interessen und Kontaktpräferenzen. Zusätzliche, für die technische Anmeldung nicht erforderliche Felder betreffen geschlechtliche Identität, sexuelle und romantische Orientierung, Beziehungsform, Erfahrungen, persönliche Grenzen und Aftercare. Angaben zur sexuellen Orientierung oder zum Sexualleben gehören zu den besonderen Kategorien nach Art. 9 DSGVO; auch Freitexte oder Medien können solche Angaben oder Gesundheitsinformationen enthalten. Solche Inhalte sind für die technische Anmeldung nicht erforderlich. Eine Verarbeitung dieser besonderen Kategorien bedarf neben einer Grundlage nach Art. 6 DSGVO einer Ausnahme nach Art. 9 Abs. 2 DSGVO, insbesondere einer gesonderten ausdrücklichen Einwilligung, soweit keine andere Ausnahme tatsächlich greift. Das bloße Speichern eines Profils, die Zustimmung zu Nutzungsbedingungen oder eine Sichtbarkeitseinstellung ersetzt diesen Nachweis nicht. Diese Erklärung behauptet deshalb keine bereits durch diese Handlungen erteilte ausdrückliche Einwilligung.

Darstellung und Auswahl: Die Profildatenbank speichert Auswahlwerte und Texte zusammen mit der Nutzerzuordnung. Für die angeforderte Darstellung und Interaktion werden gewöhnliche Profildaten auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO verarbeitet, Sicherheits- und Missbrauchsprüfungen auf Grundlage von lit. f. Die Discovery-Ausgabe filtert Profile nach der gewünschten Altersspanne und sortiert abhängig von der gewählten Ansicht nach Kontoaktualität, selbst gesetztem Online-Status, gleicher Ortschaft oder vorhandenen Profilbildern. Das ist keine Zusicherung einer Identitäts-, Alters- oder Sicherheitsprüfung. Der Feed liefert Alter und Status zusätzlich zu freigegebenen Profilbildern und der jeweiligen Biografie; die Altersausgabe ist derzeit nicht an die separate Alterssichtbarkeit des Profilformulars gekoppelt. Sichtbarkeitseinstellungen sind deshalb nicht mit einer umfassenden technischen Zugriffssperre gleichzusetzen. Gespeicherte Aktionen wie Merken, Knick und Golden-Knick enthalten handelnde und betroffene Nutzerkennung, Aktion, Status und Zeitpunkte; sie dienen den gewählten Kontakt- und Merklistefunktionen.

Standort und Karte: Die optionale Standortfunktion verlangt eine Standortfreigabe im Formular und nutzt die Browser-Geolokalisierung. Die App sendet Breiten- und Längengrad an unsere API; diese übermittelt sie serverseitig an nominatim.openstreetmap.org der OpenStreetMap Foundation zur Bestimmung einer Ortschaft. Der Anbieter erhält die Koordinaten und technische Angaben unseres Serverabrufs. Im Profil wird die ermittelte Ortschaft gespeichert; der untersuchte Speichervorgang legt keine präzisen Koordinaten im Profil ab. Wird die Standortfreigabe beim Speichern entfernt, wird die Ortschaft dort geleert. Grundlage der optionalen Standortbestimmung ist Art. 6 Abs. 1 lit. a DSGVO; eine Einwilligung kann für die Zukunft widerrufen werden. Die App bindet für eine vorhandene Ortschaft außerdem Google Maps ein: Dabei werden die Ortschaft sowie IP-Adresse und Browser-Abrufdaten an Google übertragen. Die vorhandene Standortfreigabe enthält keine gesonderte Bestätigung für diese Kartenübermittlung. Eine Browser-Standortberechtigung ist nicht automatisch eine Einwilligung in alle Verarbeitungen externer Kartendienste.

Uploads und Löschung: Avatar- und Profilmedienfunktionen verarbeiten Bild- beziehungsweise Videodateien, Dateityp, Bildunterschrift, Medienkennung, Nutzerzuordnung, Reihenfolge und Feedfreigabe. Dateien werden im Mediendateisystem gespeichert, Metadaten in der Datenbank. Veröffentlichte Medien können von anderen Personen abgerufen werden; Dateimetadaten können Bestandteil eines Uploads bleiben. Die vorhandene Medien-Löschfunktion markiert den Datenbankeintrag als gelöscht und entfernt ihn aus den regulären Listen, beseitigt aber nicht selbst die physische Datei. Auch ein Avatarwechsel löscht die vorherige Datei nicht automatisch. Eine vollständige Dateilöschung oder Kontolöschung kann daher nicht allein aus einer ausgeblendeten Anzeige abgeleitet werden; wenden Sie sich für entsprechende Anfragen an unseren Datenschutzkontakt.

Communities und Veranstaltungen: Bei der Erstellung und Nutzung werden Communityname, Beschreibung, Tags, Sichtbarkeitsstufe, Eigentümer- und Mitgliedschaftszuordnung einschließlich Rollen, Beiträge mit Autor, Titel, Text, Links und Inhaltswarnungen sowie Veranstaltungsangaben verarbeitet. Veranstaltungen enthalten insbesondere Gastgeber, Ort, Zeit, Beschreibung, Kapazität und gegebenenfalls Hinweise zu Barrierefreiheit und Sicherheit. Diese Inhalte werden den nach der jeweiligen Funktion zugelassenen Personen angezeigt. Bei Links verlassen Sie gegebenenfalls unser Angebot. Zweck ist die angeforderte Communityorganisation (Art. 6 Abs. 1 lit. b DSGVO); für freiwillige sensible Inhalte gelten zusätzlich die oben genannten Anforderungen. Nicht jede in der Datenbank vorgesehene Funktion ist bereits in der Oberfläche verfügbar.

Moderation, technische Daten und Aufbewahrung: Die API enthält eine Meldemöglichkeit für vorhandene Video-Beiträge mit meldender Nutzerkennung, Grund und Freitext; sie setzt ein Prüfsignal, keine automatische Strafe. Die aktuelle Profil-Discovery-Ausgabe aktiviert diese Meldemöglichkeit nicht für Profilkarten. Auditereignisse speichern Ereignistyp, Akteur, betroffene öffentliche Kennung, IP-/User-Agent-Hash und Zeitbezug. Rate-Limits speichern Aktionsbezug, pseudonymisierte Zuordnung, Zähler und Rücksetzzeitpunkt. Diese Verarbeitung dient der Missbrauchsabwehr (Art. 6 Abs. 1 lit. f DSGVO). Hashwerte sind pseudonymisierte, nicht notwendig anonyme Daten. Für Konto-, Profil-, Community-, Audit- und widerrufene Sitzungsdatensätze ist keine allgemeine automatische Bereinigung mit fester Frist belegt. Sie werden nach dem jeweiligen Nutzungszweck und bei Löschanfragen beurteilt; technische Löschmarkierungen und das Zurücksetzen eines Rate-Limits sind keine vollständige Löschung aller zugehörigen Daten.

MC Kingdoms – mc-kingdoms.de

MC Kingdoms ist unser Minecraft-Community- und Staffelprojekt mit Informationsseiten, Bewerbung, Mediengalerie und vorhandener Dynmap-Webanbindung. Unsere zugehörigen Unterseiten und betriebenen Subdomains sind erfasst. Die Website verlinkt außerdem aktuell.mc-kingdoms.de, anmeldung.mc-kingdoms.de und discord.mc-kingdoms.de als Projektadressen. Die Verlinkung allein beschreibt keine gesonderte Datenverarbeitung dieser Ziele; bei Weiterleitungen ist auch der tatsächlich aufgerufene Dienst maßgeblich.

Bewerbung: Das Staffel-Bewerbungsformular erfasst E-Mail-Adresse, Minecraft- und Discord-Name, Geburtsdatum, Name und Farbe des Königreichs, Charaktergeschichte, gewählte Social-Media-Plattformen und gegebenenfalls Profilverweise. Optional wird eine Skin-Datei hochgeladen; die gewünschte Verwendung des Skins wird gesondert ausgewählt. Gespeichert werden außerdem Bestätigungen zu Teilnahme, Regeln, Kenntnis möglicher Audioinhalte und Sanktionen, ein Regelkenntnis-PIN sowie Bearbeitungsstatus und Herkunft der Bewerbung. Die Angaben liegen in der Bewerbungsdatenbank; Skin-Dateien werden separat gespeichert. Zweck ist die Entscheidung über eine Teilnahme und die Organisation der Staffel (Art. 6 Abs. 1 lit. b DSGVO), einschließlich der vorgesehenen Altersprüfung anhand der Eingabe. Die Daten sind für das Projektteam bestimmt und werden nicht allein durch die Bewerbung vollständig veröffentlicht.

Das Formular nennt für die betreffende Staffel ein Mindestalter von 13 Jahren und enthält eine Teilnahmebestätigung auch für Sorgeberechtigte. Die Eingabe eines Geburtsdatums oder einer Checkbox belegt jedoch keine verifizierte Zustimmung einer sorgeberechtigten Person. Die Kenntnisnahme möglicher Audioaufnahmen ist ebenfalls keine pauschale Erlaubnis zur Aufzeichnung und Veröffentlichung von Stimme oder Bild. Eine über die Teilnahmeorganisation hinausgehende Mediennutzung erfordert eine gesonderte tragfähige Grundlage; insbesondere sind Umfang, Freiwilligkeit, Widerruf und Rechte Minderjähriger zu berücksichtigen. Für die Bewerbungsdaten und Skin-Dateien ist im Formularcode kein automatischer Löschlauf festgelegt. Nach Abschluss des Auswahl- beziehungsweise Teilnahmeverfahrens ist zu prüfen, welche Angaben noch für die konkrete Staffel oder erforderliche Nachweise benötigt werden.

Meme-Konten und Galerie: Die vorhandenen Konto- und Uploadfunktionen verarbeiten Nutzername, gegebenenfalls Spitzname, Nutzer-ID, Passwort-Hash und eine zusätzliche Login-Kennung. Beim Login und Upload werden die eingegebenen Zugangsnachweise geprüft. Die Galerie speichert hochgeladene Dateien mit Dateiname, Titel, Suchbegriffen und Uploader-Zuordnung; diese Informationen und der zugeordnete Spitzname können öffentlich angezeigt werden. Zweck ist die angeforderte Veröffentlichung und Zuordnung von Communitymedien (Art. 6 Abs. 1 lit. b DSGVO), ergänzt um Zugangsschutz nach lit. f. Rechte abgebildeter Personen bleiben zu beachten. Für Konto- und Galerieinhalte ist kein allgemeiner automatischer Löschzeitpunkt festgelegt.

Karten und externe Medien: Die vorhandene Dynmap-Websoftware dient der Anzeige von Spielwelt- und Spielerinformationen. Ihre Proxyfunktion übermittelt Anfragen, gegebenenfalls Chat-/Formularinhalte, Browserkennung, IP-Adresse und Cookies an das zugeordnete Kartenbackend. Welche Spielerpositionen, Weltinformationen oder Chatfunktionen tatsächlich sichtbar sind, hängt von dessen Freigabe und Erreichbarkeit ab; die Websoftware allein belegt keine aktuell öffentlich erreichbare Livekarte. Zweck sind die angeforderten Karten-/Communityfunktionen und Zugangsschutz (Art. 6 Abs. 1 lit. b und f DSGVO). Auf der Staffel-4-Seite werden ein YouTube-Video und Skinbilder von s.namemc.com direkt eingebunden. Beim Laden erhält der jeweilige Anbieter insbesondere IP-Adresse, Browser-/Referrerangaben und die Video-/Bildkennung. Ein vorgelagertes Freigabeverfahren für diese Einbindungen ist in dieser Seite nicht vorgesehen. Eine bloße Beschreibung in dieser Erklärung ersetzt eine gegebenenfalls erforderliche Einwilligung nicht.

Ein älterer Newsletter-Aufnahmehandler ist im Website-Footer vorhanden, ein funktionierender projektspezifischer Newsletterversand ist damit nicht nachgewiesen. Wir stellen dies daher nicht als bestehenden Newsletterdienst dar. Für tatsächlich genutzte Kontaktwege werden Ihre Absenderangaben, Nachrichten und Anhänge zur Bearbeitung des Anliegens verarbeitet (Art. 6 Abs. 1 lit. b DSGVO bei vorvertraglichen oder vertraglichen Anliegen, sonst lit. f für sachgerechte Kommunikation).

6. Empfänger / Auftragsverarbeiter

Wir setzen sorgfältig ausgewählte Dienstleister ein (z. B. Hosting/Serverbetrieb, Zahlungsabwicklung, E-Mail-Versand, IT-Support, Analyse-Tools). Dienstleister, die personenbezogene Daten in unserem Auftrag verarbeiten, sind im Rahmen einer Vereinbarung nach Art. 28 DSGVO einzubinden. Identitäts-, Kommunikations- und Inhaltsanbieter können hingegen eigenständig verantwortlich sein. Die konkrete Rolle richtet sich nach der jeweiligen Leistung, nicht allein nach der Bezeichnung als technischer Dienstleister.

Für die beschriebenen fünf Projekte ist kein eigenständiger Verkauf personenbezogener Daten zu Werbezwecken vorgesehen. Direkte Einbindungen externer Dienste sind davon zu unterscheiden: Discord und sein CDN, Microsoft/Mojang/Xbox, Geyser-/Floodgate-Dienste, MCHeads, Google Maps, YouTube und Google Fonts, Gravatar sowie NameMC erhalten die in den jeweiligen Abschnitten bezeichneten Daten. Der serverseitige Ortsabgleich nutzt die OpenStreetMap Foundation. Berechtigte Projektteams und Teilnehmer beziehungsweise Besucher erhalten Daten entsprechend der konkreten Verwaltungs- oder Veröffentlichungsfunktion. Eine Offenlegung gegenüber Behörden/Steuerstellen erfolgt nur im Rahmen gesetzlicher Pflichten oder bei entsprechender behördlicher Anordnung.

7. Internationale Datenübermittlungen

Die Nutzung von Discord, Microsoft-/Xbox-Diensten, Google-Diensten einschließlich Maps und YouTube sowie Gravatar kann eine Verarbeitung außerhalb der EU/des EWR, insbesondere in den USA, umfassen. Auch für die OpenStreetMap Foundation und weitere externe Skin-/Brückendienste ist der jeweilige Verarbeitungsort zu berücksichtigen. Ein Abruf über einen europäischen Hostnamen beweist keine ausschließliche Verarbeitung im EWR. Der zentrale JKz-Group-Login ist demgegenüber ein eigener Dienst; die Verwendung der Software Keycloak allein bedeutet keine Übertragung an deren Hersteller.

Für Übermittlungen, für die wir verantwortlich sind, müssen die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sein. In Betracht kommen ein einschlägiger Angemessenheitsbeschluss nach Art. 45 DSGVO oder geeignete Garantien nach Art. 46 DSGVO, insbesondere Standardvertragsklauseln mit der erforderlichen Prüfung und ergänzenden Maßnahmen. Eine pauschale Annahme, alle Anbieter seien zertifiziert oder alle Garantien bereits vereinbart, wird hier nicht getroffen. Informationen über die konkrete Grundlage und eine Kopie beziehungsweise Bezugsquelle einschlägiger Garantien können Sie über unseren Datenschutzkontakt anfordern. Eine Einwilligung in die Standortnutzung oder in ein Video ist nicht automatisch eine ausdrückliche Drittland-Risikoeinwilligung nach Art. 49 DSGVO.

8. Speicherdauer und Löschung

Personenbezogene Daten werden nur so lange gespeichert, wie es für die jeweiligen Zwecke erforderlich ist oder wir gesetzlich dazu verpflichtet sind. Danach werden Daten gelöscht oder anonymisiert. Für die fünf ausdrücklich beschriebenen Projekte gelten vorrangig die konkreten technischen Speicherangaben und Löschkriterien in Abschnitt 5. Die folgende Übersicht beschreibt die sonstigen zentralen Dienste; sie ist keine Zusicherung, dass ein dort genannter Löschlauf auch in jedem Unterprojekt eingerichtet ist.

9. Cookies, Tracking & Newsletter

9.1 Cookies und vergleichbare Technologien

Wir verwenden auf unseren Webseiten und Diensten Cookies und ähnliche Technologien (z. B. Local Storage), um grundlegende Funktionen bereitzustellen und – sofern Sie zustimmen – Nutzungsdaten zur Reichweitenmessung oder für Marketingzwecke zu erheben.

Technisch notwendige Cookies dienen z. B. dem Session-Management, CSRF-Schutz, Login-Status oder der Speicherung Ihrer Datenschutzeinstellungen. Diese werden auf Grundlage von § 25 Abs. 2 TDDDG und Art. 6 Abs. 1 lit. b, f DSGVO eingesetzt.

Optionale (Analyse-/Marketing-)Cookies werden nur gesetzt, wenn Sie hierzu Ihre Einwilligung erteilen (§ 25 Abs. 1 TDDDG i. V. m. Art. 6 Abs. 1 lit. a DSGVO). Ein Einwilligungsdialog ist nicht auf allen Unterprojekten vorhanden. Eine fehlende Abfrage wird durch diese Erklärung nicht ersetzt.

RubyGuard und die SMP-Verifizierung verwenden PHP-Sitzungscookies. knickstation verwendet das Cookie knickstation_session; die Browser-Cookielaufzeit ist als Sitzung ausgestaltet, während serverseitige Datensätze gesondert zu beurteilen sind. Die knickstation-App speichert außerdem die zuletzt gewählte Ansicht, Einstellungsseite, Feed-Registerkarte und Communityansicht im LocalStorage. Diese Präferenzen bleiben bis zur Änderung oder Löschung des Browserspeichers erhalten; sie sind keine Zugangstokens. Für die dauerhafte Präferenzspeicherung ist im vorhandenen Ablauf keine gesonderte Einwilligungsabfrage vorgesehen. Die Dynmap-Websoftware verwendet eine Rücksprungadresse im Cookie und PHP-Sitzungen; das Panel verwendet Sitzungs-/CSRF-Funktionen und lokal gespeicherte Oberflächeneinstellungen. Nur für einen ausdrücklich gewünschten Dienst unbedingt erforderliche Speicherzugriffe fallen unter § 25 Abs. 2 Nr. 2 TDDDG. Allein eine Komfortfunktion oder ihre Erwähnung im Rechtstext begründet diese Ausnahme nicht.

Direkte Drittanbieterabrufe wie Google Maps, YouTube, Profilbilder oder Schriftarten können schon beim Laden der jeweiligen Ansicht stattfinden. Ob der Anbieter zusätzlich Cookies oder vergleichbare Kennungen verwendet, richtet sich nach dem konkreten Abruf und Browserzustand. Die Anforderungen an eine Einwilligung nach § 25 Abs. 1 TDDDG und Art. 6 Abs. 1 lit. a DSGVO sind von der bloßen Information über den Abruf zu unterscheiden.

9.2 Reichweitenmessung & Analyse

Soweit wir Analysetools (z. B. zur Reichweitenmessung) einsetzen, informieren wir an dieser Stelle bzw. in den Cookie-Einstellungen über den konkreten Dienst, die erzeugten Datenkategorien (z. B. pseudonymisierte Nutzungsprofile) und die Speicherdauer. Die Verarbeitung erfolgt auf Basis Ihrer Einwilligung; Sie können diese jederzeit mit Wirkung für die Zukunft widerrufen.

Für den JKz-GameStore können wir auch ohne optionales Marketing-Tracking technisch notwendige und vertragsbezogene Nutzungsdaten verarbeiten, etwa Warenkorb, Checkout-Status, gekaufte Inhalte, Downloadfreischaltung, Download-Events, Bewertungen, Favoriten, Watchlist und Kommentare. Diese Verarbeitung dient der Bereitstellung gewünschter Funktionen, Lizenzprüfung, Abrechnung, Sicherheit und Produktverbesserung (Art. 6 Abs. 1 lit. b und f DSGVO). Soweit für künftige For-You-/Empfehlungsfunktionen zusätzliche nicht notwendige Endgeräteinformationen gespeichert oder ausgelesen werden, holen wir vorab eine Einwilligung nach § 25 Abs. 1 TDDDG ein.

9.3 Newsletter

Die Newsletter der zentralen JKz-Group-Dienste werden ausschließlich nach ausdrücklicher Anmeldung (z. B. Double-Opt-In-Verfahren) versendet. Wir speichern dabei Ihre E-Mail-Adresse sowie den Zeitpunkt der Anmeldung und Bestätigung. Die Einwilligung ist jederzeit mit Wirkung für die Zukunft widerrufbar, z. B. über den Abmeldelink in jeder E-Mail oder über Kontaktaufnahme an die im Impressum bzw. oben genannte Adresse.

10. Community-Regeln, Missbrauchs- und Jugendschutz

Zur Gewährleistung einer sicheren und inklusiven Community behalten wir uns Moderationsmaßnahmen vor (Hinweise, Sperren, Löschungen). Inhalte, die gegen Gesetze, unsere Hausordnung, das Unternehmensgesetz oder die Upload-/Nutzungsbedingungen verstoßen, können entfernt werden. Hinweise auf rechtswidrige Inhalte werden dokumentiert und geprüft.

Altersfreigaben und Vorgaben des Jugendschutzgesetzes (JuSchG) werden bei Spielen beachtet. Für Nutzer unter 18 Jahren können Funktionen eingeschränkt oder nur mit Zustimmung der Erziehungsberechtigten bereitgestellt werden.

Bei gemeldeten Risiken (z. B. Betrugsversuche, Bedrohungen, Hassrede) verarbeiten wir Daten auf Grundlage unseres berechtigten Interesses an einem sicheren Betrieb (Art. 6 Abs. 1 lit. f DSGVO) und können Daten in berechtigten Fällen an zuständige Behörden weitergeben.

11. Technische und organisatorische Maßnahmen (TOM)

Art. 32 DSGVO verlangt dem Risiko angemessene Schutzmaßnahmen. In den untersuchten Diensten werden insbesondere HTTPS-Zugänge, Passwort-Hashing für gespeicherte Anmeldepasswörter, Sitzungs- und CSRF-Schutz, Berechtigungsprüfungen, Auditprotokolle und teilweise Rate-Limits eingesetzt. Die konkrete Ausstattung unterscheidet sich je nach Anwendung; insbesondere bestehen Zwei-Faktor-Funktionen nicht automatisch für jeden Zugang. Eine universelle Zwei-Faktor-Pflicht, lückenlose Anonymisierung, vollständig automatisierte Löschung oder garantierte Wiederherstellbarkeit wird nicht zugesichert. Geheimnisse, interne Zugangsdaten und sicherheitskritische Konfigurationsdetails werden nicht in dieser Erklärung veröffentlicht.

11.1 Ende-zu-Ende-verschlüsselte Chats (E2EE)

Sofern wir Chat- oder Nachrichtenfunktionen mit Ende-zu-Ende-Verschlüsselung (End-to-End Encryption, „E2EE“) anbieten, werden Nachrichteninhalte ausschließlich auf den Endgeräten der beteiligten Nutzer ver- und entschlüsselt. Bei diesen ausdrücklich als E2EE ausgestalteten Funktionen werden Nachrichten auf unseren Servern nur in verschlüsselter Form gespeichert oder übertragen. Dies ist keine Aussage über sämtliche Kommunikationsangebote: Minecraft-Chat, RubyGuard-Tickettranskripte und Einspruchsnachrichten sowie knickstation-Communitybeiträge sind davon nicht erfasst und können für ihre jeweilige Funktion serverseitig verarbeitet werden.

Die zur Ver- und Entschlüsselung erforderlichen kryptografischen Schlüssel werden lokal auf den Endgeräten erzeugt und gespeichert und nicht im Klartext an uns übermittelt oder von uns gespeichert. Dadurch haben wir keinen Zugriff auf die Inhalte der E2EE-Kommunikation und können diese weder lesen noch nachträglich wiederherstellen.

Wichtiger Hinweis: Aufgrund dieses Sicherheitskonzepts können E2EE-Nachrichten auf anderen Geräten/Installationen nur dann eingesehen werden, wenn diese über den entsprechenden Schlüssel verfügen. Nachrichten, die von anderen Geräten versendet oder empfangen wurden, können daher auf einem Gerät ohne passenden Schlüssel nicht angezeigt bzw. entschlüsselt werden (z. B. nach Gerätewechsel, Neuinstallation oder Verlust lokaler Daten).

Für den technischen Betrieb und zur Missbrauchsabwehr verarbeiten wir – soweit erforderlich – Metadaten (z. B. Zeitpunkte der Übermittlung, beteiligte User-IDs, Zustellstatus, technische Protokolldaten, IP-Adresse und Sicherheits-/Abuse-Logs). Rechtsgrundlage ist in der Regel Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) sowie Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem sicheren Betrieb).

Eine Offenlegung gegenüber Behörden erfolgt nur im Rahmen gesetzlicher Pflichten bzw. gültiger Anordnungen. Bei E2EE-Inhalten können dabei regelmäßig nur die vorhandenen Metadaten bereitgestellt werden, nicht jedoch die entschlüsselten Nachrichteninhalte.

12. Minderjährige

Minecraft- und Discord-Communityangebote können auch Minderjährige betreffen. Das MC-Kingdoms-Bewerbungsformular prüft eine Altersangabe ab 13 Jahren für die betreffende Staffel; knickstation sieht bei den Profilangaben eine Altersspanne ab 18 Jahren vor. Solche Eingabeprüfungen sind keine verlässliche Alters- oder Sorgeberechtigtenverifizierung. Es gelten die tatsächlich ausgewiesenen projektbezogenen Altersanforderungen und die Voraussetzungen für einen wirksamen Vertragsschluss. Soweit eine unmittelbar an Kinder gerichtete Dienstleistung der Informationsgesellschaft auf einer Einwilligung beruht und Art. 8 DSGVO anwendbar ist, bedarf es bei unter 16-Jährigen der Einwilligung beziehungsweise Zustimmung der sorgeberechtigten Person. Art. 8 ersetzt weder die Prüfung der Geschäftsfähigkeit noch die besonderen Voraussetzungen für sensible Daten und Medienaufnahmen. Sorgeberechtigte können sich wegen Auskunft, Einschränkung oder Löschung an unseren Datenschutzkontakt wenden.

13. Mediennutzung bei GameJams

Bild-, Ton- und Videomaterial von Einreichungen (z. B. Screenshots, Trailer, Gameplay-Ausschnitte) verwenden wir zu Kommunikations-, Dokumentations- und Präsentationszwecken nur auf Grundlage einer gesonderten Einwilligung. Diese Einwilligung ist freiwillig und kann jederzeit mit Wirkung für die Zukunft widerrufen werden. Ohne Einwilligung erfolgt keine öffentliche Nutzung dieser Medien, die über die reine Teilnahmeabwicklung hinausgeht.

14. Rechte der betroffenen Personen

Betroffene Personen haben im Rahmen der gesetzlichen Voraussetzungen jederzeit folgende Rechte:

• Recht auf Auskunft (Art. 15 DSGVO)
• Recht auf Berichtigung (Art. 16 DSGVO)
• Recht auf Löschung („Recht auf Vergessenwerden“, Art. 17 DSGVO)
• Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Recht auf Datenübertragbarkeit (Art. 20 DSGVO)
• Recht auf Widerspruch gegen Verarbeitungen nach Art. 6 Abs. 1 lit. e oder f DSGVO (Art. 21 DSGVO)
• Recht auf Widerruf einer erteilten Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO)

Zur Ausübung Ihrer Rechte genügt eine formlose Anfrage an die oben genannte Kontaktadresse. Aus Gründen der Datensicherheit kann ein geeigneter Identitätsnachweis erforderlich sein. Die Anfrage wird grundsätzlich innerhalb eines Monats beantwortet; eine gesetzlich zulässige Verlängerung wird begründet mitgeteilt. Ein Identitätsnachweis wird nur bei begründeten Zweifeln und im erforderlichen Umfang verlangt. Senden Sie keine Passwörter oder Zugangstokens. Sie haben nach Art. 77 DSGVO das Recht auf Beschwerde bei einer Datenschutzaufsichtsbehörde, insbesondere am Aufenthaltsort, Arbeitsplatz oder Ort des vermuteten Verstoßes. Für den Sitz in Niedersachsen ist insbesondere der Landesbeauftragte für den Datenschutz Niedersachsen zuständig. Der Widerruf einer Einwilligung berührt nicht die Rechtmäßigkeit der davor erfolgten Verarbeitung.

Hinweis auf besonderes Widerspruchsrecht (Art. 21 DSGVO)

Sie haben das Recht, aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit gegen die Verarbeitung Ihrer personenbezogenen Daten, die auf Art. 6 Abs. 1 lit. e oder f DSGVO beruht, Widerspruch einzulegen. Gegen Direktwerbung und damit verbundenes Profiling können Sie jederzeit ohne Angabe einer besonderen Situation widersprechen; danach erfolgt keine weitere Verarbeitung zu diesen Werbezwecken.

15. Automatisierte Entscheidungen / Profiling

Die beschriebenen Webfunktionen sehen Filter, Ranglisten und technische Zugangskontrollen vor. Daraus wird keine pauschale Aussage über die Wirkung jeder automatisierten Moderationskonfiguration abgeleitet. Insbesondere bei RubyGuard können konfigurierte Verifikations- und Schutzregeln Zugänge oder Berechtigungen beeinflussen; Entscheidungen können über das Mitgliederportal beziehungsweise den Support zur menschlichen Prüfung vorgelegt werden. Soweit eine ausschließlich automatisierte Entscheidung rechtliche oder ähnlich erhebliche Wirkung im Sinne von Art. 22 DSGVO entfaltet, sind die zusätzlichen gesetzlichen Voraussetzungen und Schutzrechte einzuhalten. Ranking- und Empfehlungsfunktionen im GameStore (z. B. „beliebte Spiele“) basieren auf transparenten, statistischen Kriterien (z. B. Downloads, Bewertungen) und dienen der Nutzerfreundlichkeit. Diskriminierende oder manipulative („Dark Pattern“-)Mechanismen sind gemäß unserem Unternehmensgesetz ausgeschlossen.

Künftige personalisierte Empfehlungen, insbesondere eine For-You-Page im GameStore, können auf pseudonymisierten Nutzungs- und Interaktionssignalen beruhen. Dazu zählen z. B. betrachtete Spiele, Impressions, Klicks, Suchbegriffe, Filter, Kategorien/Genres, Favoriten, Watchlist-Einträge, Warenkorb, Käufe, Downloads, Bewertungen, Kommentare, Verweildauer sowie negative Signale wie Überspringen oder Ausblenden. Zweck ist es, relevante Inhalte anzuzeigen, Missbrauch zu verhindern, die Plattform zu verbessern und Entwicklern aggregierte Reichweiten-/Performanceinformationen bereitzustellen. Rechtsgrundlage ist je nach konkreter Ausgestaltung Art. 6 Abs. 1 lit. b DSGVO für gewünschte personalisierte Funktionen, Art. 6 Abs. 1 lit. f DSGVO für berechtigte Interessen an Produktverbesserung und relevanter Darstellung sowie bei einwilligungsbedürftigen Technologien Art. 6 Abs. 1 lit. a DSGVO i. V. m. § 25 TDDDG. Eine ausschließlich automatisierte Entscheidung mit rechtlicher Wirkung findet dadurch nicht statt.

16. Soziale Netzwerke (JKz-Entertainment) / gemeinsame Verantwortlichkeit

Für Präsenzen in sozialen Netzwerken (z. B. YouTube, Instagram, TikTok, Discord) gelten zusätzlich die Datenschutzbestimmungen der jeweiligen Plattformen. Soweit dort eine gemeinsame Verantwortlichkeit in Betracht kommt (Art. 26 DSGVO), stellen wir die erforderlichen Hinweise bereit und verarbeiten Plattform-Insights ausschließlich in aggregierter oder pseudonymisierter Form, soweit dies möglich ist.

17. Datenschutz-Kontakt / Datenschutzbeauftragte*r

Für Datenschutzanfragen wenden Sie sich bitte an die im Abschnitt „Verantwortlicher“ genannte Adresse (E-Mail: datenschutz@jkz-group.de). Ein*e Datenschutzbeauftragte*r ist derzeit nicht bestellt. Ob eine Benennungspflicht besteht, ist insbesondere mit Blick auf Umfang und Art der Verarbeitung sensibler Profildaten und systematischer Beobachtung zu prüfen; diese Erklärung bestätigt nicht das Nichtbestehen einer solchen Pflicht. Bei einer Benennung werden die Kontaktdaten an dieser Stelle ergänzt.

18. Änderungen dieser Erklärung

Diese Datenschutzerklärung wird fortlaufend an rechtliche und technische Entwicklungen angepasst. Über wesentliche Änderungen informieren wir in geeigneter Weise (z. B. per E-Mail, In-App-Hinweis oder Hinweis auf unseren Webseiten). Jede Fassung erhält ein Aktualisierungsdatum („Stand“). Maßgeblich ist die jeweils aktuelle, hier bereitgestellte Version.

Anhang A: Verzeichnis typischer Verarbeitungstätigkeiten

Nachstehend eine zusammenfassende Übersicht typischer Vorgänge. Sie ist kein vollständiges internes Verzeichnis nach Art. 30 DSGVO und bestätigt nicht dessen Vorliegen. Die konkreten Informationen zu den fünf Communityprojekten stehen in Abschnitt 5; aus einer beispielhaften Zeile folgt keine entsprechende Verarbeitung in jedem Unterprojekt.

Vorgang: User-Registrierung
Daten: E-Mail, User-ID, Passwort-Hash, 2FA-Daten
Zweck: Accountanlage, Zugangskontrolle, Sicherheit
Rechtsgrundlage: Art. 6 Abs. 1 lit. b, f DSGVO
Empfänger/Sub-Prozessoren: Hosting, E-Mail-Versand, Login-Dienst

Vorgang: Login & Session-Verwaltung
Daten: E-Mail, Hash, Session-ID, Tokens
Zweck: Authentifizierung, Sitzungsverwaltung
Rechtsgrundlage: Art. 6 Abs. 1 lit. b, f DSGVO
Empfänger/Sub-Prozessoren: Hosting, Login-Dienst

Vorgang: Freundschaftssystem & Community
Daten: User-ID, Anzeigename, Freundschaftsbeziehungen, Nachrichten
Zweck: Community-Funktionen, Social Features
Rechtsgrundlage: Art. 6 Abs. 1 lit. b, f DSGVO
Empfänger/Sub-Prozessoren: — (ggf. Hosting)

Vorgang: GameStore-Käufe
Daten: Kauf- und Rechnungsdaten, Nutzerkennung, Warenkorb, Order-/Checkout-/Payment-IDs, Zahlungsstatus, digitale Widerrufs-/Downloadfreigabe, Käufer- und Verkäuferrechnung
Zweck: Vertragserfüllung, Lizenzfreischaltung, Abrechnung, Nachweis, gesetzliche Aufbewahrung
Rechtsgrundlage: Art. 6 Abs. 1 lit. b, c DSGVO
Empfänger/Sub-Prozessoren: Zahlungsanbieter, Steuerberater, Behörden

Vorgang: Developer-/Marketplace-Abwicklung
Daten: Developer-Profil, rechtlicher Name/Firma, Anschrift, Land, Kontakt-E-Mail, Stripe-Connect-Account-ID, Onboarding-Status, Steuerstatus, Steuernummer/USt-IdNr., Provisionssätze, Verkäuferabrechnungen, Refund- und Auszahlungsdaten
Zweck: Verkäuferidentifikation, Zahlungs- und Auszahlungsabwicklung, Rechnungserstellung, Verkäuferabrechnung, steuerliche Nachweise
Rechtsgrundlage: Art. 6 Abs. 1 lit. b, c, f DSGVO
Empfänger/Sub-Prozessoren: Zahlungsanbieter, Hosting, E-Mail-Versand, Steuerberater, Behörden

Vorgang: GameStore-Nutzung, Downloads und Empfehlungen
Daten: Download-Events, Build-/Game-/Order-IDs, Downloadzeitpunkt, Downloadquelle, Betriebssystem, pseudonymisierte IP-/User-Agent-Hashes, Bewertungen, Favoriten, Watchlist, Kommentare, Kommentar-Votes, Such-/Filterinteraktionen, künftige For-You-Signale
Zweck: Downloadbereitstellung, Lizenzprüfung, Betrugs- und Missbrauchsabwehr, Statistik, Fehleranalyse, Produktverbesserung, Personalisierung/Empfehlungen
Rechtsgrundlage: Art. 6 Abs. 1 lit. b, f DSGVO; bei einwilligungsbedürftigen Technologien Art. 6 Abs. 1 lit. a DSGVO und § 25 TDDDG
Empfänger/Sub-Prozessoren: Hosting/IT, interne Auswertungssysteme

Vorgang: Reports, Support und Moderation
Daten: Report-Inhalte, Kategorien, Kontakt-E-Mail, Beteiligte, Nachrichten, Anhänge, Statushistorie, Moderationsverstöße, Sanktionen, Admin-Notizen
Zweck: Bearbeitung von Meldungen, Community-Schutz, Rechtsdurchsetzung, Missbrauchsabwehr
Rechtsgrundlage: Art. 6 Abs. 1 lit. b, c, f DSGVO
Empfänger/Sub-Prozessoren: Moderation/Admins, Hosting, ggf. Behörden oder Rechteinhaber

Vorgang: Integrationen, Badges und Beta-Zugänge
Daten: Discord-User-ID, Guild-ID, Rollenaufträge, Verknüpfungsstatus, Badges, Beta-Keys, Versandstatus
Zweck: Verknüpfung externer Dienste, Rollen-/Badge-Vergabe, Beta-Zugang, Missbrauchsschutz
Rechtsgrundlage: Art. 6 Abs. 1 lit. b, f DSGVO
Empfänger/Sub-Prozessoren: jeweiliger Integrationsanbieter, Hosting/IT

Vorgang: GameCloud
Daten: Spielstände, Metadaten, Zeitstempel
Zweck: Synchronisation, Backup von Spielständen
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO
Empfänger/Sub-Prozessoren: Hosting/Storage

Vorgang: GameServer-Betrieb – RedBlock Network
Daten: IP-Adresse, Minecraft-Name/UUID, Profil- und Verbindungsdaten, Spielstand/Weltinteraktionen, Chat/Kommandos, Match-/Wirtschafts-/Ranglistenwerte, Bedrock-/Geyser-/Floodgate- und Moderationsdaten
Zweck: Multiplayer-Betrieb, Stabilität, Sicherheit
Rechtsgrundlage: Art. 6 Abs. 1 lit. b, f DSGVO
Empfänger/Sub-Prozessoren: Hosting, Microsoft/Mojang, ggf. GeyserMC/MineSkin und weitere in der Network-Erklärung genannte technische Empfänger; Details unter mc-redblock.de/datenschutz/

Vorgang: GameServer-Betrieb – RedBlock SMP (eigenständiges Projekt)
Daten: IP-Adresse, Minecraft-Name/UUID, Profil- und Verbindungsdaten, Spielstand/Weltinteraktionen, Chat/Kommandos, Statistiken, Discord-Verknüpfung, Voice-Chat- sowie Sicherheits-, CoreProtect- und Moderationsdaten
Zweck: Multiplayer-Betrieb, Stabilität, Sicherheit und Community-Verwaltung
Rechtsgrundlage: Art. 6 Abs. 1 lit. b, f DSGVO
Empfänger/Sub-Prozessoren: Hosting, Microsoft/Mojang, Discord und ggf. weitere in der eigenen SMP-Erklärung genannte technische Empfänger; Details unter smp.mc-redblock.de/datenschutz/

Vorgang: GameJam
Daten: Registrierung, Einreichungen, Bewertungen, Medien
Zweck: Durchführung, Bewertung, Preisvergabe, Dokumentation
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, für Mediennutzung Art. 6 Abs. 1 lit. a DSGVO
Empfänger/Sub-Prozessoren: Jury/Sponsoren (minimiert)

Vorgang: Marketing & Newsletter
Daten: E-Mail, Nutzungsdaten (bei Opt-in), Interaktionen
Zweck: Newsletterversand, Angebotskommunikation, Reichweitenanalyse
Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO
Empfänger/Sub-Prozessoren: Newsletter-Provider, ggf. Analyse-Tools

Anhang B: Technische Mindestmaßnahmen (Beispielkatalog)

Der folgende Beispielkatalog beschreibt Schutzziele und mögliche Maßnahmen. Er ist keine Bestätigung, dass jede Maßnahme in jedem Unterprojekt bereits umgesetzt ist. Die im untersuchten Bestand festgestellten Maßnahmen und Grenzen sind in Abschnitt 5 und Abschnitt 11 beschrieben:

• Passwort-Hashing mit Argon2id (parametrisiert) oder bcrypt
• Zwei-Faktor-Schutz insbesondere für privilegierte Zugänge, soweit im jeweiligen Dienst eingerichtet
• TLS-Verschlüsselung (aktueller Stand), HSTS, regelmäßige Zertifikatserneuerung
• Rollen- und Rechtemanagement (Least-Privilege), Logging und Monitoring kritischer Ereignisse
• Regelmäßige Patches/Updates, Abhängigkeiten-Scanning (SCA), Schwachstellenmanagement
• Backups mit Wiederherstellungstests; definierte Aufbewahrungs- und Löschpläne
• Rate-Limiting/Throttling, Bot-/Spam-Schutz, Content-Moderation und Abuse-Prozesse
• Privacy by Design & Default: minimale Datenerhebung, Pseudonymisierung wo möglich

Anhang C: Datenfluss (vereinfachte Darstellung)

Im Regelbetrieb werden personenbezogene Daten in folgendem vereinfachten Ablauf verarbeitet: Nutzer → Registrierung/Login → Profil/Community → GameStore/GameCloud/GameServer → Abrechnung (falls Kauf) → Support/Moderation.

Für die fünf Communityprojekte bestehen zusätzliche Datenwege: Discord-Verifizierung und Botdaten → Dashboard/Moderation; Minecraft-Statistikdateien → öffentliche SMP-Statistik; knickstation-Profil und Medien → Discovery/Community; freigegebener Standort → Ortsabgleich und Kartenanbieter; MC-Kingdoms-Bewerbung → Projektteam sowie Galerieupload → öffentliche Darstellung. HTTPS schützt die jeweiligen Webverbindungen, bedeutet aber keine Ende-zu-Ende-Verschlüsselung aller Spiel-, Karten-, Sprach- und Backendverbindungen. Nutzerkennungen dienen der jeweiligen Konto-, Inhalts- und Ereigniszuordnung. Die konkret eingesetzten Identitätsdienste und Empfänger ergeben sich aus Abschnitt 5.