This page is also available in English. ›
‹

Datenschutz

Diese Fassung ist maßgeblich. Eine English translation is available.

Verantwortlicher

Christian Schäfer, Nonnenweg 30, 72131 Ofterdingen
E-Mail: hello@hideandsplash.com

Kurz gesagt

Hosting

Die Seite läuft auf einem Server der netcup GmbH, Emmy-Noether-Straße 10, 76131 Karlsruhe, Deutschland, in einem Rechenzentrum in Nürnberg. Mit dem Hoster besteht ein Vertrag zur Auftragsverarbeitung (Art. 28 DSGVO). Den Server betreibe ich selbst.

Server-Protokolle

Der Webserver protokolliert jeden Aufruf mit Zeitpunkt, IP-Adresse und Port, Methode, Host und aufgerufener Adresse (bei Spielseiten mit Spielcode), Protokoll und Verschlüsselungsverfahren, Statuscode, übertragener Datenmenge, Antwortzeit sowie den Kopfzeilen von Anfrage und Antwort, etwa Browser-Kennung (User-Agent), Spracheinstellung und verweisender Seite (Referer). Tritt ein Fehler auf, schreibt er dieselben Angaben in ein Fehlerprotokoll. Die IP-Adresse wird vorher gekürzt: Bei IPv4 wird das letzte Byte, bei IPv6 alles nach den ersten 48 Bit durch Nullen ersetzt. Cookies und Zugangsdaten werden nicht protokolliert.

Die Protokolle dienen dem Betrieb, der Fehlersuche und der Abwehr von Missbrauch (Art. 6 Abs. 1 lit. f DSGVO, berechtigtes Interesse: ein sicherer und funktionierender Betrieb). Sie werden nach spätestens 7 Tagen automatisch gelöscht.

Spiel erstellen

Wer ein Spiel erstellt, legt Namen, Spielfeld (Mittelpunkt und Radius) und Einstellungen fest. Als Mittelpunkt schlägt die Seite euren aktuellen Standort vor, wenn ihr „Mitte = mein Standort“ tippt oder euer Browser den Standort für diese Seite schon freigegeben hat. Ihr könnt die Mitte danach auf der Karte verschieben. Der Mittelpunkt wird mit dem Spiel gespeichert (siehe „Gespeicherte Spieldaten“).

Die Wege, auf denen Items liegen, stammen aus einer Kopie der OpenStreetMap-Daten für Deutschland, Österreich und die Schweiz, die auf dem Server liegt. Nur wenn ein Spielfeld außerhalb dieser Länder liegt, fragt der Server einen öffentlichen Overpass-Server ab (overpass-api.de, ersatzweise overpass.private.coffee). Diese Anfrage kommt vom Server, nicht von eurem Gerät, und enthält nur die Koordinaten des Spielfelds, keine Daten über euch.

Damit nicht zu viele Spiele und Anfragen entstehen, zählt der Server, wie viele Spiele von einem Anschluss aus erstellt werden. Dazu hält er eure IP-Adresse, gekürzt wie oben, eine Stunde lang im Arbeitsspeicher. Die vollständige IP-Adresse wird nicht gespeichert (Art. 6 Abs. 1 lit. f DSGVO, berechtigtes Interesse: Schutz vor Missbrauch und Überlastung).

Standort und Kompass

Im Spiel sendet euer Browser etwa einmal pro Sekunde Position, GPS-Genauigkeit und Kompassrichtung an den Server – nur nach eurer Freigabe im Browser und nur, solange die Spielseite geöffnet ist. Daraus berechnet der Server, ob ihr in der Zone steht, Items einsammelt oder getroffen werdet. Diese Daten liegen ausschließlich im Arbeitsspeicher, werden nicht in der Datenbank gespeichert und spätestens 30 Minuten nach Spielende verworfen.

Wer was sieht: Die Spielleitung sieht auf ihrer Live-Karte Position, Blickrichtung, GPS-Genauigkeit und Nässe aller Teams, auch aus Sicherheitsgründen. Spielt die Spielleitung selbst mit, bekommt sie keine Live-Karte. Andere Teams sehen eure Position nicht. Nur bei einem Wurf erfahren beide Seiten etwas: Das werfende Team sieht, welche Teams es getroffen hat. Das getroffene Team sieht den Namen des werfenden Teams und die Richtung, aus der geworfen wurde – und damit, dass es höchstens 30 m entfernt war.

Im Sensortest schickt euer Browser für jeden Probewurf Position, Ziel und Richtung an den Server, der das Ergebnis zurückgibt. Gespeichert wird dabei nichts.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Bereitstellung des Spiels, an dem ihr teilnehmt). Der Zugriff auf Standort und Kompass eures Geräts ist für das von euch gewünschte Spiel unbedingt erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG). Ohne Standort könnt ihr nicht mitspielen: Wer länger als 30 Sekunden keine Position sendet, gilt als außerhalb der Zone und wird nass. Ohne Kompass funktionieren Werfen und Regenschirm nicht.

Gespeicherte Spieldaten

In der Datenbank gespeichert werden: Spielcode, Name des Spiels, Mittelpunkt und Radius des Spielfelds, Spieleinstellungen, die Wege aus OpenStreetMap, die Zeitpunkte von Erstellung, Start und Ende sowie je Team Name, Farbe, Zeitpunkt des Beitritts, ob das Team-Handy verbunden ist, ob das Team aufgegeben hat, Platzierung und Nässe am Ende. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Alles wird 7 Tage nach dem Erstellen des Spiels automatisch gelöscht. Wählt Teamnamen, die keine Rückschlüsse auf euch zulassen, wenn ihr das nicht möchtet.

Cookies, Sitzung und lokaler Speicher

Ein Sitzungs-Cookie (sessionid) merkt sich, welches Spiel ihr leitet bzw. in welchem Team ihr spielt. Dazu speichert der Server zu eurer Sitzung die Spielcodes und Team-Nummern. Ein zweites Cookie (csrftoken) schützt Formulare vor Missbrauch. Beide Cookies laufen nach 30 Tagen ab, abgelaufene Sitzungen löscht der Server automatisch. Die Cookies sind technisch notwendig (§ 25 Abs. 2 Nr. 2 TDDDG). Rechtsgrundlage für die Sitzung ist Art. 6 Abs. 1 lit. b DSGVO, für den Schutz der Formulare Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse: Schutz vor Missbrauch).

Wenn ihr die Sprache umschaltet oder aus einer Sprachversion heraus ein Spiel erstellt oder beitretet, merkt sich ein weiteres Cookie (django_language) die Sprache, damit die Spielseiten in dieser Sprache erscheinen. Es enthält nur das Sprachkürzel (z. B. de) und läuft nach 30 Tagen ab. Ohne dieses Cookie richten sich die Spielseiten nach der Spracheinstellung eures Browsers. Auch dieses Cookie ist technisch notwendig (§ 25 Abs. 2 Nr. 2 TDDDG); Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Im lokalen Speicher eures Browsers merkt sich die Seite, für welche Spiele ihr die Sensoren schon gestartet habt, und im Sensortest das zuletzt gesetzte Ziel. Diese Einträge verlassen euer Gerät nicht, sind ebenfalls technisch notwendig (§ 25 Abs. 2 Nr. 2 TDDDG) und lassen sich über die Browser-Einstellungen (Websitedaten) löschen.

Kartendarstellung

Die Kartenkacheln lädt euer Browser direkt von der MapTiler AG, Zugerstrasse 22, 6314 Unterägeri, Schweiz. Dabei erhält MapTiler eure IP-Adresse, die Browser-Kennung, die Adresse dieser Website (ohne Unterseite) und welche Kartenausschnitte ihr ladet – im Spiel ist das der Bereich um euren Standort. MapTiler verarbeitet diese Daten nach seiner Datenschutzerklärung: maptiler.com/privacy-policy. Für die Schweiz besteht ein Angemessenheitsbeschluss der EU-Kommission. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse: Darstellung der Spielkarte, ohne die das Spiel nicht funktioniert).

Eure Rechte

Ihr habt das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung und Datenübertragbarkeit (Art. 15–18 und 20 DSGVO). Wendet euch dazu an die oben genannte E-Mail-Adresse. Weil es keine Konten gibt, kann ich Daten nur zuordnen, wenn ihr mir zum Beispiel Spielcode und Teamnamen nennt. Außerdem könnt ihr euch bei einer Datenschutz-Aufsichtsbehörde beschweren, insbesondere in dem EU-Mitgliedstaat eures Aufenthaltsorts, eures Arbeitsplatzes oder des mutmaßlichen Verstoßes. Für mich zuständig ist der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg, Lautenschlagerstraße 20, 70173 Stuttgart, baden-wuerttemberg.datenschutz.de.

Widerspruchsrecht (Art. 21 DSGVO)

Soweit ich Daten auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO verarbeite (Server-Protokolle, Begrenzung neuer Spiele, Schutz der Formulare, Kartendarstellung), könnt ihr dem jederzeit aus Gründen widersprechen, die sich aus eurer besonderen Situation ergeben. Ich verarbeite die Daten dann nicht mehr, es sei denn, ich kann zwingende schutzwürdige Gründe nachweisen, die eure Interessen überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen. Eine formlose Nachricht an hello@hideandsplash.com genügt.

Stand: September 2026