Datenschutzerklärung Shardmoon
1. Verantwortlicher
Shardmoon
Adrian-Arne Kolb
Schorndorfer Weg 38
71732 Tamm, Deutschland
E-Mail: office@kolb-group.ltd
2. Überblick
Shardmoon ist ein Kartenspiel. Zum Spielen brauchst du ein Konto. Wir speichern nur, was für Konto, Online-Partien, Spielbalance und Sicherheit nötig ist. Es gibt keine Werbung, kein Tracking und keine Weitergabe an Werbepartner.
3. Welche Daten wir verarbeiten
| Bereich | Daten | Zweck | Rechtsgrundlage | Speicherdauer |
|---|---|---|---|---|
| Konto | E-Mail-Adresse, Passwort (nur verschlüsselt als Hash gespeichert), Spielername, Zeitpunkt und Version deiner Zustimmung zu dieser Erklärung, Bestätigung „mindestens 16 Jahre“ | Anmeldung, Online-Spiel, Passwort zurücksetzen | Art. 6 Abs. 1 lit. b DSGVO (Nutzungsvertrag) | bis du dein Konto löschst |
| Spielsuche | Konto-ID, gewähltes Deck, Zeitpunkt der Suche | einen Gegner oder Trainings-Bot finden | Art. 6 Abs. 1 lit. b DSGVO | bis ein Spiel startet oder du die Suche verlässt, spätestens nach 20 Sekunden ohne Rückmeldung |
| Online-Partien | Konto-IDs beider Spieler, Decks, kompletter Spielverlauf (Karten, Züge, Lebenspunkte), Zeitstempel | Durchführung der Partie, Schiedsrichter-Funktion, Missbrauch erkennen | Art. 6 Abs. 1 lit. b und f DSGVO | 30 Tage nach Spielbeginn |
| Spielstatistik | pro Partie: Decks, Gegnerart (Mensch, Bot, Computer), wer begann, Ergebnis, Zugzahl, Lebenspunkte, Dauer, Spielprotokoll; auch Übungspartien gegen den Computer | Spielbalance verbessern, Fehler finden | Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem fairen, funktionierenden Spiel) | bis du dein Konto löschst |
| Spielfortschritt | deine Kartensammlung, gewählter Avatar, Startdeck, erfüllte Quests | Sammlung, Belohnungen und Online-Spiel mit deinem Deck | Art. 6 Abs. 1 lit. b DSGVO | bis du dein Konto löschst |
| Feedback | deine Bewertungen und dein Kommentar | Spiel verbessern | Art. 6 Abs. 1 lit. a DSGVO (freiwillig, du sendest es aktiv) | bis du dein Konto löschst |
| Buch-Vorbestellung | E-Mail-Adresse, Konto-ID, Zeitpunkt und Version deiner Einwilligung | dich informieren, sobald das Buch bestellt werden kann | Art. 6 Abs. 1 lit. a DSGVO (Einwilligung, jederzeit widerrufbar über „Remove my email from the list“ oder per E-Mail) | bis zum Widerruf, spätestens bis zum Erscheinen des Buchs |
| Technische Daten | IP-Adresse, Zeitpunkt, Browser bzw. App-Version, aufgerufene Schnittstelle | Betrieb, Sicherheit, Fehlersuche | Art. 6 Abs. 1 lit. f DSGVO | Supabase: 1 Tag. Cloudflare: siehe Abschnitt 5, Cloudflare. |
Andere Spieler sehen von dir nur deinen Spielernamen, deinen gewählten Avatar aus dem Spiel und dein Spiel in der laufenden Partie. Deine E-Mail-Adresse sieht niemand außer uns.
4. Auf deinem Gerät
Das Spiel speichert im lokalen Speicher deines Browsers bzw. der App: deine Anmeldung (Zugangs-Token), deinen Spielernamen und eine Liste deiner letzten Übungspartien. Das ist für die Funktion des Spiels technisch nötig. Es werden keine Tracking-Cookies gesetzt (zu technisch notwendigen Cookies von Cloudflare siehe Abschnitt 5). Beim Abmelden werden Token und Name gelöscht.
5. Dienstleister (Auftragsverarbeiter)
- Supabase (Supabase Inc., USA): Datenbank, Anmeldung und Spielserver. Die Datenbank liegt in der EU (Frankfurt am Main).
- Brevo (Sendinblue SAS, Paris, Frankreich): Versand der Bestätigungs- und Passwort-E-Mails. Dafür werden deine E-Mail-Adresse und dein Spielername übermittelt.
- Cloudflare (Cloudflare Inc., USA): Auslieferung der Webseite des Spiels, Schutz vor Angriffen.
Mit den Anbietern bestehen bzw. werden Verträge zur Auftragsverarbeitung nach Art. 28 DSGVO geschlossen. Eine Übermittlung in die USA ist möglich. Grundlage dafür sind bei Supabase die Standardvertragsklauseln der EU-Kommission, bei Cloudflare der Angemessenheitsbeschluss zum EU-US Data Privacy Framework (Einzelheiten unten). Brevo verarbeitet die Daten in der EU.
Cloudflare
Wir nutzen das Content Delivery Network und die Sicherheitsdienste von Cloudflare, Inc., 101 Townsend Street, San Francisco, CA 94107, USA („Cloudflare“).
Cloudflare betreibt ein weltweit verteiltes Servernetzwerk. Der Datenverkehr zwischen deinem Browser und dem Spiel wird über dieses Netzwerk geleitet. Dabei verarbeitet Cloudflare insbesondere deine IP-Adresse, Datum und Uhrzeit des Zugriffs, die aufgerufene Seite, Browsertyp und Betriebssystem sowie die Referrer-URL. Zur Abwehr von Angriffen und zur Erkennung von Bots kann Cloudflare technisch notwendige Cookies setzen (z. B. „__cf_bm“, „cf_clearance“).
Wir nutzen Cloudflare, um das Spiel sicher, schnell und zuverlässig bereitzustellen und Angriffe abzuwehren. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt in einer sicheren und effizienten Bereitstellung unseres Onlineangebots. Für die genannten technisch notwendigen Cookies gilt zusätzlich § 25 Abs. 2 Nr. 2 TDDDG.
Wir haben mit Cloudflare einen Auftragsverarbeitungsvertrag (Data Processing Addendum) nach Art. 28 DSGVO geschlossen. Cloudflare verarbeitet die Daten ausschließlich nach unseren Weisungen.
Eine Übermittlung in die USA ist möglich. Cloudflare ist nach dem EU-US Data Privacy Framework zertifiziert; damit liegt ein Angemessenheitsbeschluss der EU-Kommission vor (Art. 45 DSGVO). Ergänzend gelten die EU-Standardvertragsklauseln.
Speicherdauer: Cloudflare speichert die Daten nur so lange, wie es zur Bereitstellung des Dienstes erforderlich ist, längstens für die Dauer des Vertragsverhältnisses. Danach werden sie gelöscht, soweit keine gesetzlichen Aufbewahrungspflichten bestehen. Sicherheitsrelevante Ereignisdaten, z. B. IP-Adressen bei Firewall-Ereignissen, werden nach Angaben von Cloudflare mindestens 31 Tage gespeichert.
Weitere Informationen: Datenschutzerklärung von Cloudflare · Auftragsverarbeitungsvertrag
6. Mindestalter
Ein Konto darfst du erst ab 16 Jahren anlegen. Du bestätigst das bei der Registrierung.
7. Deine Rechte
Du hast das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21 DSGVO). Eine Einwilligung kannst du jederzeit für die Zukunft widerrufen. Dein Konto mit allen gespeicherten Daten kannst du im Spiel unter Konto → „Delete account“ selbst sofort löschen. Für alles andere schreib an office@kolb-group.ltd.
Du kannst dich bei einer Datenschutz-Aufsichtsbehörde beschweren, zum Beispiel bei der für unseren Sitz zuständigen: Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg, Lautenschlagerstraße 20, 70173 Stuttgart.
8. Schriftarten
Die Schriftarten (Manrope, Unbounded) liefert das Spiel selbst aus. Es werden keine Daten an Google übertragen.
9. Pflicht zur Bereitstellung
Ohne E-Mail-Adresse, Passwort und Spielernamen können wir kein Konto anlegen und du kannst nicht spielen.
10. Änderungen
Ändert sich diese Erklärung wesentlich, bitten wir dich im Spiel erneut um Zustimmung.
Shardmoon Privacy Policy
1. Controller
Shardmoon
Adrian-Arne Kolb
Schorndorfer Weg 38
71732 Tamm, Germany
Email: office@kolb-group.ltd
2. Overview
Shardmoon is a card game. You need an account to play. We store only what is needed for your account, online games, game balance and security. No advertising, no tracking, no sharing with advertisers.
3. What we process
| Area | Data | Purpose | Legal basis | Kept for |
|---|---|---|---|---|
| Account | email address, password (stored only as a hash), player name, time and version of your consent to this policy, confirmation that you are at least 16 | log-in, online play, password reset | Art. 6(1)(b) GDPR (contract) | until you delete your account |
| Matchmaking | account ID, chosen deck, search time | finding an opponent or a training bot | Art. 6(1)(b) GDPR | until a game starts or you leave, at most 20 seconds without contact |
| Online games | both players' account IDs, decks, the full course of the game (cards, moves, life), timestamps | running the game as referee, detecting abuse | Art. 6(1)(b) and (f) GDPR | 30 days after the game started |
| Game statistics | per game: decks, opponent type (human, bot, computer), who went first, result, turns, life, duration, game log; also practice games against the computer | improving game balance, finding bugs | Art. 6(1)(f) GDPR (legitimate interest in a fair, working game) | until you delete your account |
| Game progress | your card collection, chosen avatar, starter deck, completed quests | collection, rewards and online play with your deck | Art. 6(1)(b) GDPR | until you delete your account |
| Feedback | your ratings and comment | improving the game | Art. 6(1)(a) GDPR (voluntary, you send it) | until you delete your account |
| Book pre-order | email address, account ID, time and version of your consent | telling you when the book can be ordered | Art. 6(1)(a) GDPR (consent, withdraw at any time via “Remove my email from the list” or by email) | until you withdraw, at the latest until the book is published |
| Technical data | IP address, time, browser or app version, endpoint called | operation, security, debugging | Art. 6(1)(f) GDPR | Supabase: 1 day. Cloudflare: see section 5, Cloudflare. |
Other players see only your player name, the avatar you chose from the game and your play in the running game. Nobody but us sees your email address.
4. On your device
The game keeps in your browser's or the app's local storage: your log-in (access token), your player name and a list of your recent practice games. This is needed for the game to work. No tracking cookies are set (for technically necessary Cloudflare cookies see section 5). Logging out removes the token and name.
5. Service providers (processors)
- Supabase (Supabase Inc., USA): database, log-in and game server. The database is located in the EU (Frankfurt am Main).
- Brevo (Sendinblue SAS, Paris, France): sending of confirmation and password emails. Your email address and player name are passed on for this.
- Cloudflare (Cloudflare Inc., USA): delivery of the game's website, protection against attacks.
Data processing agreements under Art. 28 GDPR are in place or will be concluded. Transfers to the USA are possible, based on the EU Commission's standard contractual clauses (Supabase) and the adequacy decision for the EU-US Data Privacy Framework (Cloudflare, details below). Brevo processes the data in the EU.
Cloudflare
We use the content delivery network and security services of Cloudflare, Inc., 101 Townsend Street, San Francisco, CA 94107, USA ("Cloudflare").
Cloudflare runs a worldwide network of servers. Traffic between your browser and the game passes through this network. Cloudflare processes in particular your IP address, date and time of access, the page requested, browser type and operating system, and the referrer URL. To fend off attacks and detect bots, Cloudflare may set technically necessary cookies (e.g. "__cf_bm", "cf_clearance").
We use Cloudflare to deliver the game securely, quickly and reliably and to fend off attacks. Legal basis: Art. 6(1)(f) GDPR; our legitimate interest is the secure and efficient delivery of our online service. For the technically necessary cookies, § 25(2) no. 2 TDDDG applies in addition.
We have concluded a data processing agreement (Data Processing Addendum) with Cloudflare under Art. 28 GDPR. Cloudflare processes the data only on our instructions.
Transfers to the USA are possible. Cloudflare is certified under the EU-US Data Privacy Framework, so an adequacy decision of the EU Commission applies (Art. 45 GDPR). The EU standard contractual clauses apply in addition.
Retention: Cloudflare keeps the data only as long as needed to provide the service, at most for the term of the contract, and then deletes it unless statutory retention duties apply. Security event data, e.g. IP addresses in firewall events, is kept for at least 31 days according to Cloudflare.
More: Cloudflare privacy policy · Data processing agreement
6. Minimum age
You must be at least 16 to create an account. You confirm this when you register.
7. Your rights
You have the right of access (Art. 15), rectification (Art. 16), erasure (Art. 17), restriction (Art. 18), data portability (Art. 20) and to object to processing based on legitimate interests (Art. 21 GDPR). You can withdraw consent at any time for the future. You can delete your account and all stored data yourself, at once, in the game under Account → "Delete account". For anything else write to office@kolb-group.ltd. You may complain to a data protection authority, for example the one responsible for us: Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg, Lautenschlagerstraße 20, 70173 Stuttgart, Germany.
8. Fonts
The game serves its fonts (Manrope, Unbounded) itself. No data goes to Google.
9. Changes
If this policy changes materially, we will ask for your consent again in the game.