Entwurf – vor Veröffentlichung rechtlich prüfen.

Datenschutzerklärung

Diese Erklärung beschreibt, welche personenbezogenen Daten wir verarbeiten, wenn du das Spiel Harena unter harena.aniheroes.com (Marke AniHeroes) nutzt, wozu wir das tun und welche Rechte du hast.

Kurz gesagt: Wir verarbeiten nur, was das Spiel zum Funktionieren braucht. Es gibt kein Tracking, keine Analyse-Werkzeuge, keine Werbung und keine Inhalte von Drittanbietern. Bilder erzeugen wir auf eigener Hardware, nicht bei einem KI-Anbieter. Ein hochgeladenes Foto für einen Foto-Avatar löschen wir sofort nach der Verarbeitung, spätestens nach einer Stunde.

1. Verantwortliche

Julia Kosin
Wilstedter Straße 61
24558 Henstedt-Ulzburg
Deutschland
E-Mail: julia@kosin.info

Das Spiel wird privat und nicht kommerziell betrieben. Eine Datenschutzbeauftragte ist gesetzlich nicht vorgeschrieben und nicht benannt. Bei Fragen zum Datenschutz schreibe uns an die oben genannte Adresse.

2. Nur für Erwachsene

Harena ist ein Spiel für Erwachsene und befindet sich im geschlossenen Test. Ein Konto darf nur anlegen, wer mindestens 18 Jahre alt ist. Bei der Registrierung bestätigst du das. Wir verarbeiten wissentlich keine Daten von Minderjährigen. Erfahren wir, dass ein Konto einer minderjährigen Person gehört, löschen wir es.

3. Hosting

Das Spiel läuft auf einem virtuellen Server der OVH SAS, 2 rue Kellermann, 59100 Roubaix, Frankreich, im Rechenzentrum Gravelines (Frankreich, EU). Dort liegen die Datenbank mit Konten, Spielständen und Chat, die Spielbilder und die Avatare; dort läuft auch unser Mailserver für den Versand (Abschnitt 11). OVH verarbeitet diese Daten nur in unserem Auftrag und nach unseren Weisungen (Auftragsverarbeitung nach Art. 28 DSGVO).

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Bereitstellung des Spiels) und lit. f DSGVO (berechtigtes Interesse an einem sicheren und zuverlässigen Betrieb).

4. Aufruf der Seite und Server-Protokolle

Bei jedem Aufruf verarbeitet der Server technisch notwendige Daten: IP-Adresse, Datum und Uhrzeit, aufgerufene Adresse, HTTP-Statuscode, übertragene Datenmenge, Browser-Kennung (User-Agent) und die verweisende Seite. Inhalte von Anmelde-, Registrierungs- und Kontoanfragen (zum Beispiel Passwörter) werden nicht protokolliert, ebenso wenig Cookies.

Zweck: Auslieferung der Seite, Fehlersuche, Abwehr von Angriffen. Dazu zählen Anfragelimits je IP-Adresse und eine automatische, zeitlich begrenzte Sperre von IP-Adressen nach wiederholten Fehlversuchen oder auffällig vielen Anfragen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Betrieb und Sicherheit).

Speicherdauer: Protokolle höchstens 14 Tage, Zähler für Anfragelimits höchstens 24 Stunden, automatische IP-Sperren höchstens eine Woche.

5. Konto

Für Harena brauchst du ein Konto. Die Registrierung ist im geschlossenen Test zusätzlich durch ein Zugangspasswort geschützt, das wir eingeladenen Personen geben.

Wir verarbeiten:

• E-Mail-Adresse,
• Passwort, nur als nicht umkehrbarer Hash (argon2id) gespeichert,
• deine Bestätigung, mindestens 18 Jahre alt zu sein, und weitere Zustimmungen jeweils mit Zeitpunkt und Version,
• Spielername (für andere sichtbar),
• angemeldete Geräte: Sitzungen mit Gerätebezeichnung und Zeitpunkt der letzten Aktivität,
• Einmal-Links für E-Mail-Bestätigung, Passwort-Reset und E-Mail-Änderung (nur als Hash gespeichert).

Zweck: Anmeldung, Schutz deines Kontos, Zuordnung deines Spielstands, Freischaltung von Chat und sozialen Funktionen, Einhaltung der Altersgrenze.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Nutzungsverhältnis). Für die Altersbestätigung zusätzlich Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit dem Jugendmedienschutz-Staatsvertrag.

Deine E-Mail-Adresse sehen andere Spielerinnen und Spieler nie.

Speicherdauer: bis du dein Konto löschst, längstens bis zu den Fristen für das Ende des Tests und für inaktive Konten (Abschnitt 16). Sitzungen laufen nach 30 Tagen ohne Nutzung ab, spätestens nach 180 Tagen. Bestätigungs- und Änderungslinks gelten 24 Stunden, Links zum Zurücksetzen des Passworts 30 Minuten.

6. Spielstand und Spielfunktionen

Wir speichern deinen Spielstand auf dem Server: Fortschritt, Heldinnen und Helden, Gegenstände, Einstellungen (Inhaltsmodus, Sprache, Ton, Barrierefreiheit), Erfolge, Marktplatz- und Gildenaktivitäten sowie die Buchungen der Spielwährung Kristalle.

Kristalle sind eine Testwährung ohne Geldwert. Es gibt keine Käufe mit echtem Geld. Wir verarbeiten deshalb keine Zahlungsdaten.

Zweck: Bereitstellung des Spiels, Speichern und Synchronisieren deines Fortschritts, Schutz vor Manipulation.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

Speicherdauer: wie dein Konto (Abschnitt 16). Im Testbetrieb können Spielstände zurückgesetzt werden.

7. Cookies und lokaler Speicher

Wir setzen nur technisch notwendige Cookies:

Außerdem speichert das Spiel Daten im lokalen Speicher deines Browsers (Local Storage, Service-Worker-Cache), etwa eine Gerätekennung für den Spielstand, eine lokale Kopie des Spielstands, Einstellungen und Hinweise, die du schon gesehen hast. Der Service-Worker-Cache hält Programmdateien vor, damit das Spiel schneller lädt.

Wir verwenden keine Cookies oder Speichertechniken für Werbung, Tracking oder Reichweitenmessung. Das Spiel lädt keine Schriften, Skripte oder andere Inhalte von fremden Servern.

Rechtsgrundlage: § 25 Abs. 2 Nr. 2 TDDDG (unbedingt erforderlich für den von dir gewünschten Dienst) und Art. 6 Abs. 1 lit. b DSGVO. Den lokalen Speicher kannst du jederzeit in den Einstellungen deines Browsers löschen.

8. Chat und soziale Funktionen

Es gibt Welt-Chat, weltübergreifenden Chat, Handels-Chat, Gilden-Chat und private Nachrichten. Schreiben kann nur, wer ein Konto mit bestätigter E-Mail-Adresse und einen Spielernamen hat.

Wir verarbeiten deine Nachrichten mit Zeitpunkt, Kanal, Spielername und Avatar sowie Blockierungen, Meldungen und Moderationsmaßnahmen. Andere Teilnehmende des jeweiligen Kanals sehen deine Nachrichten, deinen Spielernamen und deinen Avatar. Ein automatischer Wortfilter und Anfragelimits schützen vor Missbrauch.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Chat als Teil des Spiels); Moderation, Meldungen und Missbrauchsschutz nach Art. 6 Abs. 1 lit. f DSGVO (Schutz der Spielgemeinschaft, Erfüllung unserer Pflichten als Anbieter).

Speicherdauer der Nachrichten:

Danach werden Nachrichten automatisch gelöscht. Gemeldete Nachrichten bewahren wir als Kopie bis zur Entscheidung über die Meldung auf, höchstens 90 Tage. Moderationsmaßnahmen protokollieren wir 12 Monate lang und löschen sie danach; wird ein Konto vorher gelöscht, bleibt der Eintrag bis dahin nur pseudonymisiert erhalten.

9. Avatare

9.1 Vorgefertigte Avatare

Du kannst kostenlos einen vorgefertigten Avatar oder ein Wappen wählen. Dabei verarbeiten wir nur deine Auswahl.

9.2 Fantasy-Avatar (ohne Foto)

Du kannst dir aus Merkmalen (zum Beispiel Haarfarbe, Frisur, Stil) einen gezeichneten Fantasy-Avatar erzeugen lassen. Dafür wird kein Foto und kein Bild einer realen Person verwendet. Wir speichern die gewählten Merkmale und die erzeugten Bilder.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Speicherdauer: bis du den Avatar oder dein Konto löschst. Nicht gewählte Entwürfe löschen wir spätestens nach 24 Stunden.

9.3 Foto-Avatar (freiwillig)

Wenn du möchtest, kannst du aus einem Foto von dir ein gezeichnetes Porträt im Stil des Spiels erzeugen lassen. Das ist freiwillig und nur mit bestätigter E-Mail-Adresse möglich. Vorher bestätigst du ausdrücklich: „Das bin ich, und ich bin mindestens 18.“

So gehen wir mit deinem Foto um:

• Verkleinerung schon im Browser: Das Foto wird vor dem Hochladen auf 1024 Pixel verkleinert und neu kodiert. Metadaten wie Kamera, Aufnahmezeit und GPS-Standort werden dabei entfernt.
• Verschlüsselte Zwischenablage: Auf dem Server liegt das Foto nur verschlüsselt mit einem eigenen Schlüssel je Auftrag, nie in der Datenbank und nie in Sicherungskopien.
• Automatische Prüfung: Ein Programm prüft einmalig, ob das Bild genau ein Gesicht zeigt und keine Nacktheit enthält. Die Gesichtserkennung stellt nur fest, ob und wo ein Gesicht im Bild ist. Es werden keine biometrischen Merkmale gespeichert, kein Gesichtsabgleich durchgeführt und niemand identifiziert. Besteht das Foto die Prüfung nicht, wird es sofort gelöscht und nicht weiterverarbeitet.
• Nur ein Ausschnitt geht weiter: Für die Erzeugung verwenden wir nur einen Bildausschnitt um das Gesicht. Dieser wird verschlüsselt an unseren eigenen Grafikrechner übertragen (Abschnitt 10), dort nur im Arbeitsspeicher verarbeitet und nicht als Datei gespeichert.
• Löschung: Das Foto und der Schlüssel werden sofort nach der Verarbeitung gelöscht, spätestens nach einer Stunde, auch wenn die Verarbeitung scheitert. Weil der Schlüssel mitgelöscht wird, bleiben keine lesbaren Reste zurück.
• Immer jugendfrei: Der Foto-Avatar ist immer ein bekleidetes, jugendfreies Porträt (SFW). Er wird technisch getrennt vom übrigen Spiel verarbeitet und nie als Spielkarte, Spielfigur, Video oder für Inhalte für Erwachsene verwendet, auch nicht als Vorlage dafür.
• Kein Training, keine Weitergabe: Dein Foto wird nicht zum Training von KI-Modellen verwendet und nicht an Dritte weitergegeben.
• Sichtbarkeit: Der fertige Avatar ist nur als Profilbild in Chat, Gilde, Profil und Spielerliste sichtbar. Neue Avatare sehen wir uns in der Moderation an. Andere können einen Avatar melden.

Rechtsgrundlage: deine Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO. Du kannst sie jederzeit widerrufen, indem du den Avatar löschst oder zu einem vorgefertigten Avatar wechselst. Die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung bleibt davon unberührt.

Speicherdauer: Foto höchstens eine Stunde; nicht gewählte Entwürfe höchstens 24 Stunden; der gewählte Avatar, bis du ihn oder dein Konto löschst oder wir ihn wegen eines Verstoßes entfernen.

Lade nur ein Foto von dir selbst hoch. Fotos anderer Personen sind nicht erlaubt (siehe Nutzungsbedingungen).

10. Bilderzeugung auf eigener Hardware

Spielbilder und Avatare erzeugen wir mit KI-Modellen auf eigener Hardware, die wir selbst in Deutschland betreiben. Es wird kein externer KI-Dienst genutzt. Der Grafikrechner holt Aufträge über eine verschlüsselte Verbindung beim Spielserver ab und liefert die fertigen Bilder dorthin zurück. Personenbezogene Daten sind dabei nur beim Foto-Avatar betroffen (Abschnitt 9.3). Da wir die Hardware selbst betreiben, ist hier kein Dritter beteiligt.

11. E-Mails

Wir schicken dir nur E-Mails, die für dein Konto nötig sind: Bestätigung der E-Mail-Adresse, Zurücksetzen des Passworts, Hinweise auf Änderungen an deinem Konto (zum Beispiel neue E-Mail-Adresse, Löschung) und die Ankündigung, bevor wir ein inaktives Konto löschen (Abschnitt 16). Kein Newsletter, keine Werbung, keine Tracking-Pixel und keine externen Bilder.

Die E-Mails versenden wir über einen eigenen Mailserver, der nur zum Versand dient und auf demselben Server bei OVH läuft wie das Spiel (Abschnitt 3). Eingehende E-Mails nimmt dieser Server nicht an.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

12. Feedback und Meldungen

Wenn du uns über das Feedback-Formular im Spiel schreibst, speichern wir deine Nachricht zusammen mit deinem Spielerkonto, um sie zu bearbeiten und dir im Spiel zu antworten. Meldungen von Inhalten oder Spielern speichern wir mit der Begründung, bis wir darüber entschieden haben.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b und lit. f DSGVO. Speicherdauer: Feedback-Nachrichten 12 Monate, danach werden sie gelöscht; Meldungen wie in Abschnitt 8.

13. Push-Benachrichtigungen (freiwillig)

Wenn du Benachrichtigungen einschaltest und dein Browser das erlaubt, speichern wir die vom Browser erzeugte Push-Adresse (Endpunkt mit Schlüsseln) und die Arten von Benachrichtigungen, die du ausgewählt hast. Zugestellt werden Push-Nachrichten über den Push-Dienst deines Browser-Herstellers (zum Beispiel Google bei Chrome, Mozilla bei Firefox, Apple bei Safari). Der Inhalt ist dabei verschlüsselt; der Push-Dienst erfährt aber, dass und wann eine Nachricht an dein Gerät geht.

Rechtsgrundlage: deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG). Du kannst Benachrichtigungen jederzeit in den Spieleinstellungen oder im Browser abschalten; dann löschen wir die Push-Adresse.

14. Empfänger

• OVH SAS (Hosting des Spiels und des Mailservers, Frankreich), als Auftragsverarbeiter,
• Push-Dienst deines Browsers, nur wenn du Benachrichtigungen einschaltest,
• andere Spielerinnen und Spieler, soweit Inhalte für sie bestimmt sind (Spielername, Avatar, Chatnachrichten, Marktplatz- und Gildenaktivitäten),
• Behörden, nur wenn wir gesetzlich dazu verpflichtet sind.

Wir verkaufen keine Daten und geben sie nicht zu Werbezwecken weiter.

15. Übermittlung in Drittländer

Wir übermitteln keine personenbezogenen Daten in Länder außerhalb der EU bzw. des EWR. Alle Server stehen in der EU.

Einzige Ausnahme: Schaltest du Push-Benachrichtigungen ein, kann der Push-Dienst deines Browser-Herstellers seinen Sitz außerhalb der EU haben (zum Beispiel Google oder Apple in den USA). Diese Übermittlung geht auf deine Entscheidung für den jeweiligen Browser und die Benachrichtigungen zurück. Für die USA besteht ein Angemessenheitsbeschluss der EU-Kommission (EU-U.S. Data Privacy Framework), soweit der Anbieter dort zertifiziert ist.

16. Speicherdauer und Löschung im Überblick

Konto löschen: In den Kontoeinstellungen kannst du dein Konto jederzeit selbst löschen. Die Löschung wirkt sofort: Konto, Spielstand, Avatare, Chatnachrichten, Sitzungen und E-Mail-Adresse werden entfernt. In den Sicherungskopien sind die Daten noch bis zum Ablauf der oben genannten Fristen enthalten und werden danach überschrieben. Eine Wiederherstellung aus Sicherungen erfolgt nur bei technischen Störungen. Moderationsprotokolle bleiben bis zum Ablauf ihrer 12 Monate pseudonymisiert erhalten, offene Meldungen höchstens 30 Tage.

Die Sicherungskopien liegen auf dem Spielserver und als Kopie auf eigener Hardware in Deutschland.

Ende des Tests: Endet der geschlossene Test, löschen wir die Konten 90 Tage danach, sofern sie nicht ins reguläre Spiel übernommen werden. Über das Ende des Tests und eine mögliche Übernahme informieren wir im Spiel und per E-Mail.

Inaktive Konten: Hast du dich 12 Monate lang nicht angemeldet, löschen wir dein Konto. 30 Tage vorher schicken wir dir eine E-Mail; meldest du dich bis dahin an, bleibt das Konto bestehen.

17. Deine Rechte

Du hast das Recht auf

• Auskunft über deine gespeicherten Daten (Art. 15 DSGVO),
• Berichtigung unrichtiger Daten (Art. 16 DSGVO),
• Löschung (Art. 17 DSGVO),
• Einschränkung der Verarbeitung (Art. 18 DSGVO),
• Datenübertragbarkeit (Art. 20 DSGVO): In den Kontoeinstellungen kannst du deine Daten (Konto, Spielstände, Kristall-Buchungen, eigene Chatnachrichten u. a.) als JSON-Datei herunterladen,
• Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO),
• Widerspruch gegen Verarbeitungen, die auf unserem berechtigten Interesse beruhen (Art. 21 DSGVO), aus Gründen, die sich aus deiner besonderen Situation ergeben.

Schreib uns dazu einfach an julia@kosin.info.

18. Beschwerderecht

Du kannst dich bei einer Datenschutz-Aufsichtsbehörde beschweren. Für uns zuständig ist:

Unabhängiges Landeszentrum für Datenschutz Schleswig-Holstein (ULD)
Holstenstraße 98
24103 Kiel
www.datenschutzzentrum.de

19. Automatisierte Entscheidungen

Wir treffen keine automatisierten Entscheidungen mit rechtlicher oder ähnlich erheblicher Wirkung (Art. 22 DSGVO). Automatisch laufen nur die Prüfung beim Foto-Avatar (ein Gesicht, keine Nacktheit), der Wortfilter im Chat und Anfragelimits. Lehnt die Prüfung ein Foto ab, wird es nicht verarbeitet und die Kristalle werden erstattet; du kannst es mit einem anderen Foto erneut versuchen oder einen vorgefertigten Avatar wählen. Sperren von Konten entscheiden Menschen.

20. Pflicht zur Bereitstellung

Ohne E-Mail-Adresse, Passwort und Altersbestätigung können wir dir kein Konto und damit keinen Zugang zum Spiel geben. Alle weiteren Angaben (Foto-Avatar, Fantasy-Avatar, Push-Benachrichtigungen, Chat) sind freiwillig.

21. Sicherheit

Wir übertragen alle Daten verschlüsselt (HTTPS). Passwörter und Anmeldetoken speichern wir nur als Hash. Das Spiel setzt Schutzmaßnahmen gegen Angriffe ein, unter anderem Anfragelimits, Sperren nach Fehlversuchen und strenge Sicherheitsrichtlinien im Browser.

22. Änderungen

Wir passen diese Erklärung an, wenn sich das Spiel oder die Rechtslage ändert. Wesentliche Änderungen kündigen wir im Spiel an.

Stand: 5. November 2026