Datenschutzerklärung

Stand: Juli 2026

1. Verantwortlicher

Janek Gröhl
Rathausstr. 3a
52072 Aachen
Deutschland

2. Kontakt für Datenschutzanfragen

E-Mail: jgroehl(at)outlook.de

3. Welche Daten wir verarbeiten

3.1 Konto & Anmeldung

Bei der Registrierung speichern wir Ihre E-Mail-Adresse und ein Passwort-Hash (bcrypt, das Klartext-Passwort selbst wird nicht gespeichert). Diese Daten sind erforderlich, um Ihnen ein Nutzerkonto und die darüber zugänglichen Funktionen bereitzustellen.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Erfüllung eines Vertrags bzw. vorvertragliche Maßnahmen zur Bereitstellung des Nutzerkontos).

3.2 Sitzungen (Sessions) & Cookies

Nach dem Login setzen wir ein Cookie (toa_session), das ausschließlich ein zufälliges Sitzungs-Token enthält (httponly, SameSite=Lax). Serverseitig speichern wir zu diesem Token: Nutzer-ID, Erstellungs- und Ablaufzeitpunkt sowie den User-Agent Ihres Browsers. Dieses Cookie ist technisch notwendig, damit Sie eingeloggt bleiben — es dient keiner Analyse, keinem Tracking und keiner Werbung, weshalb hierfür keine Cookie-Einwilligung eingeholt werden muss.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b, hilfsweise lit. f DSGVO (berechtigtes Interesse an einer sicheren, funktionsfähigen Sitzungsverwaltung).

3.3 Von Ihnen erstellte Inhalte

Welt-/Story-Daten (z. B. Karten, Figuren, Texte) sowie von Ihnen hochgeladene Bilder werden getrennt je „Story" gespeichert und sind ausschließlich über Ihr Konto abrufbar. Diese Inhalte können personenbezogene Daten enthalten, wenn Sie selbst solche eingeben — das liegt in Ihrer eigenen Verantwortung als Nutzer:in.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

3.4 Passwort-Zurücksetzen

Fordern Sie einen Zurücksetzungs-Link an, senden wir eine E-Mail mit einem zeitlich begrenzten Token an die bei uns hinterlegte Adresse.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

3.5 Server-Logs

Wie bei praktisch jedem Webserver werden beim Aufruf der Seite technische Verbindungsdaten (u. a. IP-Adresse, Zeitpunkt, aufgerufene URL) kurzzeitig in Server-Logs verarbeitet, um den Betrieb sicherzustellen, Fehler zu analysieren und Missbrauch abzuwehren.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem sicheren, stabilen Betrieb).

3.6 Eingebundene externe Ressource (jsDelivr-CDN)

Diese Anwendung lädt die Bibliothek marked.js derzeit von einem externen Content-Delivery-Network (cdn.jsdelivr.net). Beim Laden dieser Ressource wird Ihre IP-Adresse technisch bedingt an den Betreiber dieses CDN übermittelt.

4. Empfänger und Drittländer

Aktuell werden keine Daten an Analyse-, Tracking- oder Werbedienste weitergegeben. Es findet derzeit kein Verkauf von Daten statt.

5. Speicherdauer

Kontodaten: bis zur Löschung des Kontos durch Sie.
Sitzungs-Token: laufen automatisch nach 30 Tagen ab oder werden beim Logout sofort gelöscht.
Passwort-Reset-Token: laufen nach 60 Minuten ab bzw. verfallen nach einmaliger Nutzung.
Story-Inhalte & Uploads: bleiben gespeichert, solange die zugehörige Story besteht.

6. Ihre Rechte

Ihnen stehen nach der DSGVO folgende Rechte zu:

Auskunft über die zu Ihnen gespeicherten Daten (Art. 15 DSGVO)
Berichtigung unrichtiger Daten (Art. 16 DSGVO)
Löschung Ihrer Daten (Art. 17 DSGVO)
Einschränkung der Verarbeitung (Art. 18 DSGVO)
Datenübertragbarkeit (Art. 20 DSGVO)
Widerspruch gegen Verarbeitungen auf Grundlage berechtigten Interesses (Art. 21 DSGVO)
Beschwerde bei einer Datenschutz-Aufsichtsbehörde (Art. 77 DSGVO)

7. Zuständige Aufsichtsbehörde

Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW)
Kavalleriestraße 2–4, 40213 Düsseldorf
www.ldi.nrw.de

8. Datensicherheit

Passwörter werden ausschließlich als bcrypt-Hash gespeichert, niemals im Klartext. Sitzungs-Cookies sind als httponly markiert (per JavaScript nicht auslesbar) und mit SameSite=Lax versehen.

9. Änderungen dieser Erklärung

Diese Datenschutzerklärung wird angepasst, sobald sich die tatsächliche Datenverarbeitung ändert (z. B. durch Hinzunahme eines Hosting-, E-Mail- oder Zahlungsdienstleisters).