Datenschutzerklärung
ChessRiddle – Schach-Trainings-App
Stand: 22.10.2026
Präambel
ChessRiddle ist eine Schach-Trainings-App, die Nutzern ermöglicht, ihre taktischen und visualisierungsbezogenen Schachfähigkeiten durch interaktive Puzzles und computergestützte Analysen zu verbessern.
Die App ist verfügbar als:
- Web-Anwendung unter chessriddle.com
- Mobile App für iOS (Apple App Store)
- Mobile App für Android (Google Play Store)
Diese Datenschutzerklärung informiert über Art, Umfang und Zweck der Verarbeitung personenbezogener Daten innerhalb unserer App und der zugehörigen Webseiten, Funktionen und Inhalte.
Wir, ChessRiddle (nachfolgend auch "wir" oder "uns") nehmen den Schutz Ihrer personenbezogenen Daten ernst und möchten Sie an dieser Stelle über den Datenschutz in unserem Unternehmen informieren.
Uns sind im Rahmen unserer datenschutzrechtlichen Verantwortlichkeit durch das Inkrafttreten der EU-Datenschutz-Grundverordnung (Verordnung (EU) 2016/679; nachfolgend: "DSGVO") zusätzliche Pflichten auferlegt worden, um den Schutz personenbezogener Daten der von einer Verarbeitung betroffenen Person (wir sprechen Sie als betroffene Person nachfolgend auch mit "Kunde", "Nutzer", "Sie", "Ihnen" oder "Betroffener" an) sicherzustellen.
Soweit wir entweder alleine oder gemeinsam mit anderen über die Zwecke und Mittel der Datenverarbeitung entscheiden, umfasst dies vor allem die Pflicht, Sie transparent über Art, Umfang, Zweck, Dauer und Rechtsgrundlage der Verarbeitung zu informieren (vgl. Art. 13 und 14 DSGVO). Mit dieser Erklärung (nachfolgend: "Datenschutzhinweise") informieren wir Sie darüber, in welcher Weise Ihre personenbezogenen Daten von uns verarbeitet werden.
Verantwortlicher
Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) ist
ChessRiddle, Inh. Felix Beck
Kraillinger Weg 9
82061 Neuried
Deutschland
Telefon: +49 15510 814400
E-Mail: info@chessriddle.com
Ein Datenschutzbeauftragter ist nicht bestellt, da die Voraussetzungen nach § 38 BDSG (weniger als 20 Personen ständig mit automatisierter Datenverarbeitung beschäftigt) nicht erfüllt sind.
Allgemeines
Begriffsbestimmungen
Nach dem Vorbild des Art. 4 DSGVO liegen dieser Datenschutzhinweise folgende Begriffsbestimmungen zugrunde:
"Personenbezogene Daten" (Art. 4 Nr. 1 DSGVO) sind alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person ("Betroffener") beziehen. Identifizierbar ist eine Person, wenn sie direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, einer Kennnummer, einer Online-Kennung, Standortdaten oder mithilfe von Informationen zu ihren physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identitätsmerkmalen identifiziert werden kann. Die Identifizierbarkeit kann auch mittels einer Verknüpfung von derartigen Informationen oder anderem Zusatzwissen gegeben sein. Auf das Zustandekommen, die Form oder die Verkörperung der Informationen kommt es nicht an (auch Fotos, Video- oder Tonaufnahmen können personenbezogene Daten enthalten).
"Verarbeiten" (Art. 4 Nr. 2 DSGVO) ist jeder Vorgang, bei dem mit personenbezogenen Daten umgegangen wird, gleich ob mit oder ohne Hilfe automatisierter (d.h. technikgestützter) Verfahren. Dies umfasst insbesondere das Erheben (d.h. die Beschaffung), das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, die Verbreitung oder sonstige Bereitstellung, den Abgleich, die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung von personenbezogenen Daten sowie die Änderung einer Ziel- oder Zweckbestimmung, die einer Datenverarbeitung ursprünglich zugrunde gelegt wurde.
"Verantwortlicher" (Art. 4 Nr. 7 DSGVO) ist die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet.
"Dritter" (Art. 4 Nr. 10 DSGVO) ist jede natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle außer dem Betroffenen, dem Verantwortlichen, dem Auftragsverarbeiter und den Personen, die unter der unmittelbaren Verantwortung des Verantwortlichen oder Auftragsverarbeiters befugt sind, die personenbezogenen Daten zu verarbeiten; dazu gehören auch andere konzernangehörige juristische Personen.
"Auftragsverarbeiter" (Art. 4 Nr. 8 DSGVO) ist eine natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die personenbezogene Daten im Auftrag des Verantwortlichen, insbesondere gemäß dessen Weisungen, verarbeitet (z. B. IT-Dienstleister). Im datenschutzrechtlichen Sinne ist ein Auftragsverarbeiter insbesondere kein Dritter.
"Einwilligung" (Art. 4 Nr. 11 DSGVO) der betroffenen Person bezeichnet jede freiwillig für den bestimmten Fall, in informierter Weise und unmissverständlich abgegebene Willensbekundung in Form einer Erklärung oder einer sonstigen eindeutigen bestätigenden Handlung, mit der die betroffene Person zu verstehen gibt, dass sie mit der Verarbeitung der sie betreffenden personenbezogenen Daten für einen oder mehrere bestimmte Zwecke einverstanden ist.
Rechtsgrundlagen der Datenverarbeitung
Von Gesetzes wegen ist im Grundsatz jede Verarbeitung personenbezogener Daten verboten und nur dann erlaubt, wenn die Datenverarbeitung unter einen der folgenden Rechtfertigungstatbestände fällt:
- Art. 6 Abs. 1 S. 1 lit. a DSGVO ("Einwilligung"): Wenn der Betroffene freiwillig, in informierter Weise und unmissverständlich durch eine Erklärung oder eine sonstige eindeutige bestätigende Handlung zu verstehen gegeben hat, dass er mit der Verarbeitung der ihn betreffenden personenbezogenen Daten für einen oder mehrere bestimmte Zwecke einverstanden ist;
- Art. 6 Abs. 1 S. 1 lit. b DSGVO: Wenn die Verarbeitung zur Erfüllung eines Vertrags, dessen Vertragspartei der Betroffene ist, oder zur Durchführung vorvertraglicher Maßnahmen erforderlich ist, die auf die Anfrage des Betroffenen erfolgen;
- Art. 6 Abs. 1 S. 1 lit. c DSGVO: Wenn die Verarbeitung zur Erfüllung einer rechtlichen Verpflichtung erforderlich ist, der der Verantwortliche unterliegt (z. B. eine gesetzliche Aufbewahrungspflicht);
- Art. 6 Abs. 1 S. 1 lit. d DSGVO: Wenn die Verarbeitung erforderlich ist, um lebenswichtige Interessen des Betroffenen oder einer anderen natürlichen Person zu schützen;
- Art. 6 Abs. 1 S. 1 lit. e DSGVO: Wenn die Verarbeitung für die Wahrnehmung einer Aufgabe erforderlich ist, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde oder
- Art. 6 Abs. 1 S. 1 lit. f DSGVO ("Berechtigte Interessen"): Wenn die Verarbeitung zur Wahrung berechtigter (insbesondere rechtlicher oder wirtschaftlicher) Interessen des Verantwortlichen oder eines Dritten erforderlich ist, sofern nicht die gegenläufigen Interessen oder Rechte des Betroffenen überwiegen (insbesondere dann, wenn es sich dabei um einen Minderjährigen handelt).
Für die von uns vorgenommenen Verarbeitungsvorgänge geben wir im Folgenden jeweils die anwendbare Rechtsgrundlage an. Eine Verarbeitung kann auch auf mehreren Rechtsgrundlagen beruhen.
Datenlöschung und Speicherdauer
Für die von uns vorgenommenen Verarbeitungsvorgänge geben wir im Folgenden jeweils an, wie lange die Daten bei uns gespeichert und wann sie gelöscht oder gesperrt werden. Soweit nachfolgend keine ausdrückliche Speicherdauer angegeben wird, werden Ihre personenbezogenen Daten gelöscht oder gesperrt, sobald der Zweck oder die Rechtsgrundlage für die Speicherung entfällt. Eine Speicherung Ihrer Daten erfolgt grundsätzlich nur auf unseren Servern in Deutschland, vorbehaltlich der in diesen Datenschutzhinweisen ausdrücklich benannten Fälle. Eine Speicherung kann jedoch über die angegebene Zeit hinaus im Falle einer (drohenden) Rechtsstreitigkeit mit Ihnen oder eines sonstigen rechtlichen Verfahrens erfolgen oder wenn die Speicherung durch gesetzliche Vorschriften, denen wir als Verantwortlicher unterliegen (z.B. § 257 HGB, § 147 AO), vorgesehen ist. Wenn die durch die gesetzlichen Vorschriften vorgeschriebene Speicherfrist abläuft, erfolgt eine Sperrung oder Löschung der personenbezogenen Daten, es sei denn, dass eine weitere Speicherung durch uns erforderlich ist und dafür eine Rechtsgrundlage besteht.
Datensicherheit
Wir bedienen uns geeigneter technischer und organisatorischer Sicherheitsmaßnahmen, um Ihre Daten gegen zufällige oder vorsätzliche Manipulationen, teilweisen oder vollständigen Verlust, Zerstörung oder gegen den unbefugten Zugriff Dritter zu schützen (z.B. TLS-Verschlüsselung für unsere Webseite) unter Berücksichtigung des Stands der Technik, der Implementierungskosten und der Natur, des Umfangs, des Kontextes und des Zwecks der Verarbeitung sowie der bestehenden Risiken einer Datenpanne (inklusive von deren Wahrscheinlichkeit und Auswirkungen) für den Betroffenen. Unsere Sicherheitsmaßnahmen werden entsprechend der technologischen Entwicklung fortlaufend verbessert. Nähere Informationen hierzu erteilen wir Ihnen auf Anfrage gerne.
Zusammenarbeit mit Auftragsverarbeitern
Wenn wir zur Abwicklung unseres Geschäftsverkehrs externe Dienstleister (z. B. für die Bereiche IT, Logistik, Telekommunikation, Vertrieb und Marketing) einsetzen, dann werden diese nur nach unserer Weisung tätig und werden i.S.v. Art. 28 DSGVO vertraglich dazu verpflichtet, die datenschutzrechtlichen Bestimmungen einzuhalten.
Voraussetzungen der Weitergabe von personenbezogenen Daten in Drittländer
Im Rahmen unserer Geschäftsbeziehungen können Ihre personenbezogenen Daten an Drittgesellschaften weitergegeben oder offengelegt werden. Diese können sich auch außerhalb des Europäischen Wirtschaftsraums (EWR), also in Drittländern, befinden. Eine derartige Verarbeitung erfolgt ausschließlich zur Erfüllung der vertraglichen und geschäftlichen Verpflichtungen und zur Pflege Ihrer Geschäftsbeziehung zu uns. Über die jeweiligen Einzelheiten der Weitergabe unterrichten wir Sie nachfolgend an den dafür relevanten Stellen. Einigen Drittländern bescheinigt die Europäische Kommission durch sog. Angemessenheitsbeschlüsse einen Datenschutz, der dem EWR-Standard vergleichbar ist. In anderen Drittländern, in die ggf. personenbezogene Daten übertragen werden, herrscht aber unter Umständen wegen fehlender gesetzlicher Bestimmungen kein durchgängig hohes Datenschutzniveau. Soweit dies der Fall ist, achten wir darauf, dass der Datenschutz ausreichend gewährleistet ist. Möglich ist dies über bindende Unternehmensvorschriften, Standard-Vertragsklauseln der Europäischen Kommission zum Schutz personenbezogener Daten, Zertifikate oder anerkannte Verhaltenskodizes.
Keine automatisierte Entscheidungsfindung (einschließlich Profiling)
Wir haben nicht die Absicht, von Ihnen erhobene personenbezogene Daten für ein Verfahren zur automatisierten Entscheidungsfindung (einschließlich Profiling) zu verwenden.
Keine Verpflichtung zur Bereitstellung personenbezogener Daten
Wir machen den Abschluss von Verträgen mit uns nicht davon abhängig, dass Sie uns zuvor personenbezogene Daten bereitstellen. Für Sie als Kunde besteht grundsätzlich auch keine gesetzliche oder vertragliche Verpflichtung, uns Ihre personenbezogenen Daten zur Verfügung zu stellen; es kann jedoch sein, dass wir bestimmte Angebote nur eingeschränkt oder gar nicht erbringen können, wenn Sie die dafür erforderlichen Daten nicht bereitstellen. Sofern dies im Rahmen der nachfolgend vorgestellten, von uns angebotenen Produkte ausnahmsweise der Fall sein sollte, werden Sie gesondert darauf hingewiesen.
Gesetzliche Verpflichtung zur Übermittlung bestimmter Daten
Wir können unter Umständen einer besonderen gesetzlichen oder rechtlichen Verpflichtung unterliegen, die rechtmäßig verarbeiteten personenbezogenen Daten für Dritte, insbesondere öffentlichen Stellen, bereitzustellen (Art. 6 Abs. 1 S. 1 lit. c DSGVO).
Änderungen der Datenschutzhinweise
Im Rahmen der Fortentwicklung des Datenschutzrechts sowie technologischer oder organisatorischer Veränderungen werden unsere Datenschutzhinweise regelmäßig auf Anpassungs- oder Ergänzungsbedarf hin überprüft.
Ihre Rechte
Ihre Rechte als Betroffener bezüglich Ihrer verarbeiteten personenbezogenen Daten können Sie uns gegenüber unter den eingangs angegebenen Kontaktdaten jederzeit geltend machen. Sie haben als Betroffener das Recht:
- gemäß Art. 15 DSGVO Auskunft über Ihre von uns verarbeiteten Daten zu verlangen. Insbesondere können Sie Auskunft über die Verarbeitungszwecke, die Kategorie der Daten, die Kategorien von Empfängern, gegenüber denen Ihre Daten offengelegt wurden oder werden, die geplante Speicherdauer, das Bestehen eines Rechts auf Berichtigung, Löschung, Einschränkung der Verarbeitung oder Widerspruch, das Bestehen eines Beschwerderechts, die Herkunft ihrer Daten, sofern diese nicht bei uns erhoben wurden, sowie über das Bestehen einer automatisierten Entscheidungsfindung einschließlich Profiling und ggf. aussagekräftigen Informationen zu deren Einzelheiten verlangen;
- gemäß Art. 16 DSGVO unverzüglich die Berichtigung unrichtiger oder die Vervollständigung Ihrer bei uns gespeicherten Daten zu verlangen;
- gemäß Art. 17 DSGVO die Löschung Ihrer bei uns gespeicherten Daten zu verlangen, soweit nicht die Verarbeitung zur Ausübung des Rechts auf freie Meinungsäußerung und Information, zur Erfüllung einer rechtlichen Verpflichtung, aus Gründen des öffentlichen Interesses oder zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich ist;
- gemäß Art. 18 DSGVO die Einschränkung der Verarbeitung Ihrer Daten zu verlangen, soweit die Richtigkeit der Daten von Ihnen bestritten wird oder die Verarbeitung unrechtmäßig ist;
- gemäß Art. 20 DSGVO Ihre Daten, die Sie uns bereitgestellt haben, in einem strukturierten, gängigen und maschinenlesbaren Format zu erhalten oder die Übermittlung an einen anderen Verantwortlichen zu verlangen ("Datenübertragbarkeit");
- gemäß Art. 21 DSGVO Widerspruch gegen die Verarbeitung einzulegen, sofern die Verarbeitung aufgrund von Art. 6 Abs. 1 S. 1 lit. e oder lit. f DSGVO erfolgt. Dies ist insbesondere der Fall, wenn die Verarbeitung nicht zur Erfüllung eines Vertrags mit Ihnen erforderlich ist. Sofern es sich nicht um einen Widerspruch gegen Direktwerbung handelt, bitten wir bei Ausübung eines solchen Widerspruchs um die Darlegung der Gründe, weshalb wir Ihre Daten nicht wie von uns durchgeführt verarbeiten sollen. Im Falle Ihres begründeten Widerspruchs prüfen wir die Sachlage und werden entweder die Datenverarbeitung einstellen bzw. anpassen oder Ihnen unsere zwingenden schutzwürdigen Gründe aufzeigen, aufgrund derer wir die Verarbeitung fortführen;
- gemäß Art. 7 Abs. 3 DSGVO Ihre einmal erteilte Einwilligung – also Ihr freiwilliger, in informierter Weise und unmissverständlich durch eine Erklärung oder eine sonstige eindeutige bestätigende Handlung verständlich gemachter Willen, dass Sie mit der Verarbeitung der betreffenden personenbezogenen Daten für einen oder mehrere bestimmte Zwecke einverstanden sind – jederzeit uns gegenüber zu widerrufen, falls Sie eine solche erteilt haben. Dies hat zur Folge, dass wir die Datenverarbeitung, die auf dieser Einwilligung beruhte, für die Zukunft nicht mehr fortführen dürfen und
- gemäß Art. 77 DSGVO sich bei einer Datenschutz-Aufsichtsbehörde über die Verarbeitung Ihrer personenbezogenen Daten in unserem Unternehmen zu beschweren.
Welche Daten wir bei der Nutzung der App erheben
Registrierung und Nutzerkonto
Bei der Registrierung erheben wir:
| Datum | Pflicht/Optional | Zweck | Rechtsgrundlage |
|---|---|---|---|
| Zeitpunkt der Zustimmung und zugestimmte Fassungen der AGB und Datenschutzerklärung | Pflicht | Nachweis der Zustimmung bei Vertragsschluss und der zugestimmten Fassungen | Art. 6 Abs. 1 lit. b und f DSGVO |
| E-Mail-Adresse | Pflicht | Kontoverwaltung, Authentifizierung, Transaktions-E-Mails | Art. 6 Abs. 1 lit. b |
| Passwort (gehasht) | Pflicht | Authentifizierung | Art. 6 Abs. 1 lit. b |
| Nutzername | Optional | Anzeige in Ranglisten und Profil | Art. 6 Abs. 1 lit. b |
| Avatar (Profilbild) | Optional | Personalisierung des Profils | Art. 6 Abs. 1 lit. a |
| Land | Optional (im Profil änderbar) | Anzeige in Ranglisten und Profil, Vorauswahl der Abrechnungswährung und Berechtigung für regionale Preise | Art. 6 Abs. 1 lit. b |
Eine Registrierung des Nutzers ist seine Identifikation zwecks der Vertragserfüllung nach Art. 6 Abs. 1 lit. b DSGVO erforderlich.
Die Daten werden gelöscht, sobald sie für die Erreichung des Zweckes ihrer Erhebung nicht mehr erforderlich sind. Dies ist für die während des Registrierungsvorgangs zur Erfüllung eines Vertrags oder zur Durchführung vorvertraglicher Maßnahmen dann der Fall, wenn die Daten für die Durchführung des Vertrages nicht mehr erforderlich sind. Auch nach Abschluss des Vertrags kann eine Erforderlichkeit, personenbezogene Daten des Vertragspartners zu speichern, bestehen, um vertraglichen oder gesetzlichen Verpflichtungen nachzukommen.
Als Nutzer haben Sie jederzeit die Möglichkeit, die Registrierung aufzulösen. Die über Sie gespeicherten Daten können Sie jederzeit abändern lassen. Sind die Daten zur Erfüllung eines Vertrages oder zur Durchführung vorvertraglicher Maßnahmen erforderlich, ist eine vorzeitige Löschung der Daten nur möglich, soweit nicht vertragliche oder gesetzliche Verpflichtungen einer Löschung entgegenstehen.
Nutzungsdaten
Bei der Nutzung der App erfassen wir, ebenfalls nach Art. 6 Abs. 1 lit. b DSGVO zwecks Vertragserfüllung:
- Puzzle-Versuche (Ergebnis, Anzahl Versuche, Lösungszeit, Puzzle-Typ)
- Evaluations-Versuche (Bewertungsschätzung, Ergebnis, Lösungszeit)
- Glicko-2-Ratings (separate Ratings für Taktik, Visualisierung und Positional, jeweils automatisch berechnet)
- Streak-Daten (Riddle Streak, Evaluation Streak)
- Koordinatentraining-Ergebnisse (serverseitig gespeichert)
- Fehlerhafte Puzzle-Versuche (für das Feature "Practice Mistakes" – Wiederholung bereits falsch gelöster Aufgaben)
- Statistiken und Fortschritt
- Eingegebene Lösungszüge und bereitgestellte Puzzles
- Trainingssitzungen und Trainingspläne
- Selbst eingeschätzte Spielstärke und beste Ranglistenplätze
Wir speichern mit Ihrem Konto verknüpften technischen Kontext bei Puzzle-Versuchen, Koordinaten-Versuchen, Trainingssitzungen, Feedback, Abonnementbeginn und Registrierung. Die erfassten Felder unterscheiden sich je nach Ereignis: eine pseudonyme Sitzungs-ID pro Browser-Tab (chess-tactics-session-id), App-Oberfläche und Plattform, App-Version und Build, User-Agent, Gerätetyp und Zeitzone. Bei Abonnementbeginn werden nur Oberfläche, Plattform, Version und Build erfasst. Bei der Registrierung speichern wir außerdem die Kampagnenparameter (utm_source, utm_medium, utm_campaign) des Links, über den Sie die Website für den Besuch aufgerufen haben, bei dem Sie sich registrieren. Diese werden bis zur Registrierung nur im Arbeitsspeicher Ihres Browser-Tabs gehalten und anschließend mit Ihrem Konto gespeichert.
Dieser Kontext dient Statistiken pro Sitzung, der Fehleranalyse für bestimmte Geräte und Versionen sowie der Anzeige von Zeiten in Ihrer Zeitzone. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO für die Zeitzone, Art. 6 Abs. 1 lit. f DSGVO für die übrigen Felder (berechtigtes Interesse an der Auswertung der Nutzung und der Fehlerbehebung). Für die Kampagnenparameter gilt Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse daran, zu messen, welche Kampagnen und Partnerlinks zu Registrierungen führen).
Einstellungen
Nutzer können über 40 Einstellungen konfigurieren (z.B. Sprache, Brettdesign, Zugnotation, Sound, Schwierigkeitsgrade). Diese werden auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO serverseitig gespeichert und geräteübergreifend synchronisiert.
Push-Benachrichtigungen
Wenn Sie Push-Benachrichtigungen erlauben, übermitteln wir zur Zustellung einen gerätespezifischen Token sowie Titel und Text der jeweiligen Benachrichtigung an Google Firebase Cloud Messaging (FCM) und bei iOS-Geräten zusätzlich an den Apple Push Notification Service (APNs).
Der Benachrichtigungstext kann Folgendes enthalten:
- Den Nutzernamen eines anderen Nutzers
- Duelleinladungen, Annahmen, Ablehnungen, Fristerinnerungen und Ergebnisse
- Freundschaftsanfragen und angenommene Freundschaftsanfragen
- Mit Ihnen geteilte Trainingspläne einschließlich des Plannamens (gekürzt)
- Einladungen zu und Aktivitäten in gemeinsamen Trainingssitzungen
- Arena-Benachrichtigungen: dass eine Arena begonnen hat, Ihren endgültigen Rang und die Anzahl der Teilnehmer und dass Sie einen Arena-Preis gewonnen haben
- Erinnerungen zu Ihrem Abonnement, Testzeitraum oder Krypto-Gold-Zugang
Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung). Sie können jede Kategorie (Duelle, Arenen, Freunde, Training, Konto) einzeln oder alle Push-Benachrichtigungen jederzeit in den Benachrichtigungseinstellungen der App deaktivieren oder die Push-Berechtigung in den Einstellungen Ihres Betriebssystems vollständig entziehen. Der Widerruf wirkt für die Zukunft und berührt die übrige Nutzung der App nicht.
Gerätetokens, die seit 180 Tagen inaktiv sind, werden automatisch gelöscht.
Technische Daten
Beim Zugriff auf unsere App werden automatisch folgende Daten erhoben:
- IP-Adresse (temporär in Server-Logs)
- Gerätetyp, Betriebssystem, Browser-Version
- Zeitzone
- Datum und Uhrzeit des Zugriffs
Rechtsgrundlage für die vorübergehende Speicherung der Daten und der Logfiles ist Art. 6 Abs. 1 lit. f DSGVO.
Die vorübergehende Speicherung der IP-Adresse durch das System ist notwendig, um eine Auslieferung der Website an den Rechner des Nutzers zu ermöglichen. Hierfür muss die IP-Adresse des Nutzers für die Dauer der Sitzung gespeichert bleiben.
Die Speicherung weiterer Metadaten in Logfiles erfolgt, um die Funktionsfähigkeit der Website sicherzustellen. Zudem dienen uns die Daten zur technischen Optimierung der Website und zur Sicherstellung der Sicherheit unserer informationstechnischen Systeme. Eine Auswertung der Daten zu Marketingzwecken findet in diesem Zusammenhang nicht statt.
Zum Schutz vor Missbrauch hält die Anfragenbegrenzung Ihre IP-Adresse kurzzeitig in einem Arbeitsspeicher (Redis), nur für die Dauer des Begrenzungsfensters. Rechtsgrundlage:Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Verhinderung von Missbrauch).
Zahlungsdaten
Die Zahlungsabwicklung erfolgt ausschließlich über Stripe (auch bei Käufen aus der mobilen App – diese leiten zur Stripe Checkout-Seite weiter). Es gibt keine In-App-Käufe über die App Stores.
Wir selbst speichern keine Kreditkartennummern oder Bankverbindungen. Wir erhalten von Stripe lediglich:
- Bestätigung der Zahlung
- Zahlungsmethode (Typ, letzte 4 Ziffern)
- Abrechnungszeiträume
- Stripe-Kunden-ID
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung)
Die Zahlungsabwicklung ermöglicht die Vertragserfüllung durch den Benutzer.
Zu jeder Zahlung speichern wir den Listenpreis und, wenn Ihr Land die Voraussetzungen für eine regionale Preisstufe erfüllt, dieses Land – unabhängig davon, ob Sie zum regionalen oder zum globalen Preis kaufen. Bei Abonnements werden ein angewandter Promo-Code und bei Käufen über einen Partnerlink die Partnerzuordnung erfasst. Der Missbrauch eines regionalen Preises kann zu einer dokumentierten Erstattung oder Kündigung führen.
Wenn Sie vor einem Karten- oder Kryptokauf dem sofortigen Beginn zustimmen, speichern wir den Zeitpunkt dieser Bestätigung zusammen mit der Checkout-Sitzung, dem Preis, der Sprache und den verfügbaren Angaben zu App-Oberfläche, Plattform, Version und Build. Damit weisen wir bei Ausübung des Widerrufsrechts Ihre Zustimmung und Ihre Kenntnisnahme vom Verlust des Widerrufsrechts nach. Der Nachweis wird mit den Zahlungsunterlagen auch nach der Kontolöschung aufbewahrt. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am Nachweis der Zustimmung im Zusammenhang mit Ansprüchen aus dem Vertrag).
Zur Verhinderung wiederholter kostenloser Testphasen behalten wir die für die Testphase verwendete E-Mail-Adresse, die Stripe-Kunden-ID und den Anspruchszeitpunkt auch nach der Kontolöschung. Der Datensatz enthält außerdem die Checkout-Sitzungs-ID, die ursprüngliche Konto-ID und verfügbare Angaben zu App-Oberfläche, Plattform, Version und Build. Unsere Aufbewahrungsregel begrenzt Testphasenansprüche auf 3 Jahre nach dem Anspruch. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Verhinderung wiederholter Testphasen).
Partnerlinks und Promo-Codes
Wenn Sie einen Partnerlink öffnen, zählen wir einen Klick höchstens einmal pro Besucher und Tag anhand eines mit einem Schlüssel gebildeten Hashwerts aus Partnerkennung, IP-Adresse und Datum. Der Marker enthält keine IP-Adresse und wird automatisch 24 Stunden nach dem Klick gelöscht. Partner sehen nur aggregierte Klicks, Registrierungen, Verkäufe und Provisionen, niemals Namen oder E-Mail-Adressen.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Provisionsabrechnung mit Partnern).
Verifizierte Schachtitel (Lichess, Chess.com)
Die Titelverifizierung ist freiwillig und beginnt auf Ihren Wunsch in den Einstellungen. Rechtsgrundlage:Art. 6 Abs. 1 lit. b DSGVO (Bereitstellung der von Ihnen gewünschten Funktion).
Bei Lichess werden Sie zu lichess.org weitergeleitet und melden sich dort an. Wir fordern keine Berechtigungen (keine Scopes) an und lesen nur Ihre Lichess-Konto-ID, Ihren Nutzernamen und Ihren Titel. Wir bitten Lichess unmittelbar danach, den Zugriffstoken zu widerrufen. Der Widerruf kann fehlschlagen und wird nicht erneut versucht. Wir sehen Ihr Lichess-Passwort niemals und speichern den Token nicht. Nur ein akzeptierter Titel wird gespeichert.
Bei Chess.com geben Sie Ihren Chess.com-Nutzernamen ein und stellen eine Verifizierungszeile mit Ihrem ChessRiddle-Nutzernamen und einem Code in Ihr öffentliches Chess.com-Profil. Wir speichern den Chess.com-Nutzernamen, den Code, die Zeile und den Antragsstatus. Über Mailjet senden wir Ihre ChessRiddle-Nutzer-ID und Ihren Nutzernamen, den Chess.com-Nutzernamen, die Profil-URL, den Code und die Zeile zur manuellen Prüfung an unser eigenes Postfach. Die Antrags-E-Mail bleibt bis zur Entscheidung, höchstens 3 Jahre, in unserem Postfach und wird durch die Kontolöschung nicht entfernt. Bei der Titelvergabe lesen wir die Spieler-ID und den Titel für diesen Nutzernamen aus der öffentlichen API von Chess.com. Nach der Entscheidung können Sie die Verifizierungszeile aus Ihrem Chess.com-Profil entfernen.
Bei der Vergabe speichern wir Titel, Plattform, externen Nutzernamen, externe Konto-ID und Vergabezeitpunkt. Andere angemeldete Nutzer sehen den Titel in Ranglisten, Profilen und Arena-Wertungen. Ein externes Konto kann nur ein ChessRiddle-Konto verifizieren.
Ihr Titel bleibt gespeichert, bis Sie ihn in den Einstellungen entfernen oder Ihr Konto löschen. Titelanträge bleiben bis zur Kontolöschung in der Datenbank. Diese Datenbankdatensätze sind im Datenexport enthalten und werden mit dem Konto gelöscht. Die separate Postfachkopie folgt der oben genannten Aufbewahrungsregel auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Bearbeitung von Titelanträgen).
Länderprüfung für regionale Preise
Die IP-Adresse der Anfrage wird lokal auf unserem Server mit der Datenbank DB-IP IP-to-Country Lite abgeglichen, um das Land ausschließlich für das Angebot regionaler Preise zu bestimmen.
Für diese Prüfung wird die IP-Adresse weder gespeichert noch weitergegeben.
Eine Übermittlung in Drittländer findet nicht statt.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Verhinderung des Missbrauchs regionaler Preise).
IP Geolocation by DB-IP (CC BY 4.0)
Soziale Funktionen
Profilsichtbarkeit und Ranglisten
Jeder angemeldete Nutzer kann Ihr Profil sehen, sofern Sie einander nicht blockiert haben. Ihr Profil zeigt Nutzername, Avatar, verifizierten Titel, Land, Ratings, beste Streak, Anzahl gelöster und versuchter Puzzles, Genauigkeit, Ratingverlauf und Mitgliedschaftsbeginn. Nutzer können Sie über Ihren Nutzernamen finden. Ranglisten für Ratings, Streaks und gelöste Puzzles, nach Land filterbar, zeigen Nutzername, Avatar und Titel. Diese Profile und Ranglisten sind für nicht angemeldete Besucher nicht sichtbar.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Ranglisten und Vergleiche sind Teil des Dienstes).
a) Freundschaften
Nutzer können anderen Nutzern Freundschaftsanfragen senden. Angenommene Freunde erhalten zusätzlich die nachfolgend beschriebenen Funktionen, die Freunden vorbehalten sind:
- Duelle, Live-Trainingssitzungen und geteilte Trainingspläne
- Puzzle-Lösungsverlauf unter Voraussetzungen der lit. b)
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung). Die Freundschaften-Funktion ist Bestandteil des vertraglich vereinbarten Leistungsumfangs der App. Die Nutzung dieser Funktionen gehört zum vereinbarten Dienst.
b) Teilen des Puzzle-Lösungsverlaufs mit Freunden
Nutzer können in den Privatsphäre-Einstellungen aktivieren, dass ihr Puzzle-Lösungsverlauf für angenommene Freunde sichtbar ist. Diese Funktion ist standardmäßig deaktiviert.
Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung). Die Einwilligung erfolgt durch aktives Einschalten der entsprechenden Option in den Privatsphäre-Einstellungen. Sie kann jederzeit mit Wirkung für die Zukunft durch Deaktivierung der Option widerrufen werden. Der Widerruf berührt nicht die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung.
c) Freunde-Vorschläge
Nutzer können in den Privatsphäre-Einstellungen festlegen, ob sie in den Freunde-Vorschlägen anderer Nutzer erscheinen. Diese Funktion ist standardmäßig aktiviert.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse). Das berechtigte Interesse liegt in der Förderung der sozialen Vernetzung innerhalb der App. Nutzer können der Verarbeitung jederzeit widersprechen, indem sie die Sichtbarkeit in Freunde-Vorschlägen in den Privatsphäre-Einstellungen deaktivieren.
d) Blockierung
Nutzer können andere Nutzer blockieren. Blockierte Nutzer können dem blockierenden Nutzer keine Freundschaftsanfragen senden und dessen Profil nicht einsehen.
Duelle, Live-Training, Arenen und Sammlungen
- Duelle finden zwischen angenommenen Freunden statt. Ihr Gegner sieht Ergebnisse pro Puzzle und den direkten Vergleich. Einladungen und Ergebnisse werden per E-Mail und Push-Benachrichtigung gesendet.
- Bei Live-Trainingssitzungen zwischen Freunden sieht der Trainer die Züge des Schülers live. Ein geteilter Trainingsplan ist für seinen Empfänger sichtbar.
- Arenen sind öffentlich oder nur über einen Link erreichbar. Jeder angemeldete Nutzer, der eine Arena öffnen kann, sieht Nutzername, Avatar, Titel, Punktzahl und Anwesenheit der Teilnehmer. Preisgewinner erhalten ein Gold-Abonnement.
- Puzzle-Sammlungen sind nur für ihren Eigentümer sichtbar.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Bereitstellung dieser Funktionen). Datensätze bleiben bis zur Kontolöschung gespeichert. Selbst veranstaltete Arenen und dokumentierte Preise bleiben nach der Löschung ohne Verknüpfung zur Person erhalten, auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am Erhalt von Arena- und Preisaufzeichnungen).
E-Mail-Kommunikation
Transaktions-E-Mails
Wir versenden Transaktions-E-Mails über den Dienstleister Mailjet SAS (Frankreich/EU) für folgende Anlässe:
- Konto: Registrierungsbestätigung, Magic-Link-Login, Passwort-Reset, Mitteilung über eine Passwortänderung und E-Mail-Adressänderung einschließlich Mitteilung an die alte Adresse
- Abonnement und Zahlung: Ende der Testphase, fehlgeschlagene Zahlung, Ende eines kostenlosen Zeitraums, Kündigungs- und Reaktivierungsbestätigung, Erstattung regionaler Preise, Widerrufsinformation und Widerrufsbestätigung
- Soziale Funktionen: Duelleinladung und Duellergebnis, Einladung zu einer Live-Trainingssitzung
E-Mails verwenden die in Ihrem Konto gewählte Sprache, soweit eine Übersetzung der jeweiligen E-Mail verfügbar ist. Kündigungsbestätigungen sind auf Deutsch oder Englisch. Widerrufsbestätigungen verwenden die Sprache des Widerrufsformulars, soweit eine Übersetzung verfügbar ist. Widerrufsinformationen nach dem Kauf sind für deutschsprachige Empfänger auf Deutsch. Andere Empfänger erhalten eine lokalisierte Einleitung, soweit eine Übersetzung verfügbar ist, gefolgt vom verbindlichen deutschen Text und einer englischen Übersetzung als Lesehilfe. Öffnungs- und Klicktracking sind deaktiviert.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung – erforderlich für den Betrieb des Nutzerkontos)
Auch bei Einladungen zu Duellen und gemeinsamen Trainingssitzungen speichern wir die Empfängeradresse bei der Vorbereitung des ersten Versandversuchs. Erneute Versuche behalten diese Adresse trotz späterer Änderungen der Konto-E-Mail-Adresse bei, auch nach vorübergehenden Fehlern oder ausgeschöpften Versuchen. Sie bleibt gespeichert, solange die Einladung versandberechtigt und der Versand ausstehend ist. Sie wird bei dokumentiertem Versand, Wegfall der Versandberechtigung oder Löschung des Kontos eines der beiden Teilnehmer gelöscht. Bei gemeinsamen Trainingssitzungen löscht auch die Unterdrückung des Versands die Adresse. Nur der eingeladene Empfänger erhält diese gespeicherte Adresse in seinem Datenexport.
Bei Kündigungs- und Reaktivierungsbestätigungen, Abrechnungsmitteilungen und Bestätigungen von Kryptozahlungen speichern wir die Empfängeradresse bei der Vorbereitung des ersten Versandversuchs. Erneute Versuche verwenden dieselbe Adresse, auch wenn Sie später Ihre Konto-E-Mail-Adresse ändern, damit eine ausstehende Nachricht nicht nochmals an eine andere Adresse gesendet wird. Die gespeicherte Adresse bleibt während des ausstehenden Versands erhalten, auch nach vorübergehenden Fehlern oder ausgeschöpften Zustellversuchen. Sie wird sofort gelöscht, sobald erfolgreicher Versand, dauerhafte Ablehnung oder Unterdrückung des Versands dokumentiert ist.
Wir dokumentieren versendete Abrechnungs- und Kündigungs-E-Mails nach Art. 6 Abs. 1 lit. b und c DSGVO zur Vertragserfüllung und gesetzlichen Dokumentation. Feedback-Nachrichten, Titelanträge und Widerrufserklärungen werden außerdem über Mailjet an unser eigenes Postfach gesendet.
Newsletter (geplant)
Wir planen den Versand eines Newsletters mit Informationen zu neuen Funktionen, Tipps und Aktualisierungen der App. Der Versand erfolgt über Mailjet.
- Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung)
- Anmeldung: Freiwillig, über ein separates Opt-In
- Abmeldung: Jederzeit möglich über den Abmeldelink in jeder Newsletter-E-Mail oder in den Kontoeinstellungen
Bei der Anmeldung zum Newsletter speichern wir:
- E-Mail-Adresse
- Zeitpunkt der Anmeldung
- IP-Adresse der Anmeldung (Nachweis der Einwilligung)
Hosting, Auftragsverarbeiter und Drittanbieter
Mit den nachfolgenden Auftragsverarbeitern haben wir Auftragsverarbeitungsverträge geschlossen. Eigenständige Verantwortliche sind gesondert gekennzeichnet. Für die Weitergabe von personenbezogenen Daten an den Auftragsverarbeiter und die Verarbeitung durch den Auftragsverarbeiter bedarf es keiner weiteren Rechtsgrundlage im Sinne von Art. 6 bis 10 DSGVO als derjenigen, auf die wir selbst als Verantwortliche die Verarbeitung stützen.
Netcup GmbH – Hosting
Supabase Inc. – Datenbank und Authentifizierung
Stripe Inc. – Zahlungsabwicklung
Sentry (Functional Software Inc.) – Fehlerüberwachung
Google LLC – Firebase Cloud Messaging
Apple Inc. – Apple Push Notification Service
Plausible Analytics (selbst gehostet) – Website-Analyse
Mailjet SAS – E-Mail-Versand
Lichess – Eigenständiger Verantwortlicher
lichess.org (Association Lichess, Frankreich) übernimmt als eigenständiger Verantwortlicher Ihre Anmeldung für die freiwillige Titelverifizierung. Wir lesen Konto-ID, Nutzername und Titel wie oben beschrieben. Die Verarbeitung erfolgt in der EU, ohne Übermittlung in Drittländer.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
Chess.com – Eigenständiger Verantwortlicher
Chess.com, LLC (USA) erhält nur den von Ihnen eingegebenen Nutzernamen, wenn wir auf Ihren Wunsch die öffentliche Spieler-API abfragen. Chess.com handelt als eigenständiger Verantwortlicher. Die Übermittlung in die USA ist zur Durchführung der von Ihnen gewünschten Titelverifizierung nach Art. 49 Abs. 1 lit. b DSGVO erforderlich.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
YouTube / Google – Video auf der Startseite
Der Player von youtube-nocookie.com wird erst nach Ihrem Klick auf das Video der Startseite geladen. Google Ireland Limited erhält dann als eigenständiger Verantwortlicher Ihre IP-Adresse und Browserdaten. Übermittlungen in die USA beruhen auf dem EU-US Data Privacy Framework.
Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung durch Klick zum Laden des Videos).
App-Store-Distribution
Apple App Store und Google Play Store dienen ausschließlich der Distribution der App. Zahlungen werden nicht über die App Stores abgewickelt, sondern über Stripe. Für die durch Apple Inc. und Google LLC im Rahmen der App-Store-Nutzung erhobenen Daten gelten die jeweiligen Datenschutzerklärungen dieser Unternehmen.
Beim Herunterladen der App werden die hierfür erforderlichen Informationen an den jeweiligen App-Store-Betreiber übermittelt, insbesondere Nutzername, E-Mail-Adresse, Kundennummer Ihres App-Store-Kontos, Zeitpunkt des Downloads, Zahlungsinformationen sowie die individuelle Gerätemerkmale.
Weitere Informationen zur Datenverarbeitung durch die App-Store-Betreiber finden Sie in deren Datenschutzhinweisen:
- Apple Distribution International Ltd. (Ireland): https://www.apple.com/legal/privacy
- Google Ireland Limited: https://policies.google.com/privacy
Cookies, LocalStorage und technische Speicherungen
Wir verwenden keine Tracking-Cookies oder Werbe-Cookies. Für die Website-Analyse nutzen wir Plausible Analytics (selbst gehostet), das keine Cookies verwendet und keine personenbezogenen Daten erhebt (siehe Abschnitt „Hosting, Auftragsverarbeiter und Drittanbieter“ oben für Details).
Abgesehen von der Push-Registrierung der App, die gemäß § 25 Abs. 1 TDDDG auf Ihrer Einwilligung beruht (siehe Tabelle unten und Push-Benachrichtigungen), sind alle lokalen Speicherungen technisch notwendig für den Betrieb der Website und der App und erfordern gemäß § 25 Abs. 2 Nr. 2 TDDDG (Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz) keine Einwilligung.
Auf der Website
| Speicher | Typ | Zweck | Lebensdauer |
|---|---|---|---|
| sb-*-auth-token | Cookie | Supabase-Sitzungstoken, möglicherweise in nummerierte Teile aufgeteilt. Bei der Anmeldung wird ein zugehöriges -code-verifier-Cookie verwendet | Bis zum Logout oder höchstens etwa 400 Tage |
| chess-tactics-settings | localStorage | Nutzereinstellungen (Sprache, Brettdesign, etc.) | Dauerhaft |
| chess-riddle-daily-limit-reached | localStorage | Tägliches Puzzle-Limit für Free-Nutzer | 1 Tag |
| chessriddle_seen_modes | localStorage | Merkt, ob Erstnutzer-Hinweise angezeigt wurden | Dauerhaft |
| cached-puzzle-data | sessionStorage | Zwischengespeicherte Puzzle-Daten | Browser-Session |
| submitted-puzzle-id-* | sessionStorage | Verhindert doppelte Puzzle-Einreichungen | Browser-Session |
| streak-playing | sessionStorage | Markiert aktive Streak-Sitzung (Navigation Guard) | Browser-Session |
| chess-tactics-session-id | sessionStorage | Pseudonyme Sitzungs-ID pro Tab, mit Anfragen gesendet und mit Nutzungsdaten gespeichert (siehe Nutzungsdaten) | Browser-Session |
| bestEvalStreak | localStorage | Evaluation-Streak-Bestleistung (lokal) | Dauerhaft |
| NEXT_LOCALE | Cookie | Vorübergehende Sprache der angezeigten Seite | 1 Jahr |
| CHOSEN_LOCALE | Cookie | Gespeicherte Kontosprache mit Konto-ID, Serverrevision und Kennzeichnung einer gewählten oder nicht gewählten Sprache. Stellt die ausdrücklich gewählte Sprache bei gewöhnlichen Besuchen wieder her und verhindert, dass ältere Antworten eine überholte Auswahl wiederherstellen. Die Kennzeichnung einer nicht gewählten Sprache behält ihre Revision. Aktuelle Clients entfernen überholte Kontobindungen bei bestätigter Abmeldung oder einem Kontowechsel, wenn gemeinsamer Browserzugriff verfügbar ist. | 1 Jahr |
| __Secure-auth-confirmation | Cookie | Übergabe bei der E-Mail-Bestätigung | 5 Minuten |
| training-session | localStorage | Fortsetzen einer aktiven Trainingssitzung | Trainingssitzungsdaten werden beim Logout entfernt |
| challenge-run | localStorage | Fortsetzen eines Duells und Speichern seines abgeschlossenen Zustands | Duelllaufdaten werden beim Logout entfernt |
| training.setup.lastMode:* | localStorage | Letzter Trainingsmodus | Dauerhaft |
| chessriddle:idempotency:* | sessionStorage | Verhindert doppelte Übermittlungen | Browser-Sitzung |
| chessriddle:lang-adopted:* | sessionStorage | Kontosprache einmal pro Anmeldung anwenden | Browser-Sitzung |
| chessriddle.password-reset | sessionStorage | Übergabe beim Passwort-Reset | Browser-Sitzung |
| engine-cache-v1 | Cache Storage | Zwischengespeicherte Schachengine-Dateien | Dauerhaft |
In der mobilen App
Die App speichert die folgenden Daten ausschließlich auf Ihrem Gerät in einem app-eigenen Speicher, den andere Apps nicht lesen können. Abgesehen von der Push-Registrierung, die nur mit Ihrer Einwilligung besteht (siehe Push-Benachrichtigungen), ist diese Speicherung technisch notwendig.
| Speicher | Typ | Zweck | Lebensdauer |
|---|---|---|---|
| Anmeldesitzung (Supabase-Sitzung einschließlich Refresh-Token und eines temporären Code-Verifizierers während der Anmeldung) | App-Speicher (SharedPreferences / NSUserDefaults) | Hält Sie angemeldet | Sitzung: bis zur Abmeldung. Code-Verifizierer: bis zum Abschluss der Anmeldung oder zur Abmeldung |
| Zugriffstoken, zwischengespeichertes Profil und eine ausstehende Änderung der E-Mail-Adresse | Sicherer Speicher des Betriebssystems (Android Keystore, iOS Keychain) | Authentifiziert Anfragen, zeigt Ihr Profil offline und schließt eine E-Mail-Änderung ab | Bis zur Abmeldung. Anfragen zur E-Mail-Änderung und Wiederholungsmarker laufen nach einem Tag ab und werden bei der Prüfung entfernt |
| Einstellungen, Anzeigepräferenzen und lokale Zähler (Brett, Sound, Haptik, bereits gezeigte Hinweise und Arena-Feiern, ob Sie bereits nach Benachrichtigungen gefragt wurden, letzter Trainingsmodus, persönliche Bestleistungen, Tageslimitstatus, Anzahl der Übungsfehler) | App-Speicher | Merkt sich Ihre Auswahl auf diesem Gerät | Bis zur Deinstallation der App oder zum Löschen ihrer Daten. Bereits gezeigte Hinweise, Bestleistungen im Bewertungstraining, der Tageslimitstatus und die Anzahl der Übungsfehler werden bei der Abmeldung gelöscht |
| Noch nicht vom Server bestätigte Änderungen (ungesendete Puzzle-Einreichungen, Ergänzungen zu Sammlungen) | App-Speicher | Verhindert verlorene oder doppelte Einreichungen bei Verbindungsabbrüchen | Bis zur Bestätigung durch den Server oder zum Verwerfen der ausstehenden Änderung |
| Push-Registrierung (Firebase-Installations-ID und Push-Token, gespeichert vom Firebase SDK) | App-Speicher | Stellt Push-Benachrichtigungen zu, wenn Sie diese erlauben (siehe Push-Benachrichtigungen) | Der Push-Token wird bei der Abmeldung gelöscht. Für die Installations-ID: bis zur Deinstallation der App oder zum Löschen ihrer Daten |
| Zwischengespeicherte Dateien (Eröffnungskatalog, Sprachclips für gesprochene Zugansagen) | App-Dateien/Cache | Schnelleres Laden, weniger Downloads | Eröffnungskatalog: bis zur Deinstallation der App oder zum Löschen ihrer Daten. Sprachclips: bis zum Ersetzen oder Entfernen durch das Betriebssystem |
| Datenexportdatei | Temporäre Datei | Wird nur beim Export Ihrer Daten erstellt, um sie an den Teilen-Dialog zu übergeben | Temporär, im temporären Verzeichnis des Betriebssystems |
| Ungesendete Fehlerberichte (Sentry) | App-Dateien | Übermittelt Fehlerberichte, die noch nicht gesendet werden konnten (nach einem Absturz oder bei fehlender Verbindung) | Bis zum Senden oder Entfernen durch die Cache-Verwaltung des SDK |
Datensicherheit und Aufbewahrung
Technische und organisatorische Maßnahmen
- Transportverschlüsselung: Alle Daten werden über HTTPS/TLS übertragen
- Passwort-Hashing: Passwörter werden mit bcrypt gehasht (via Supabase Auth)
- Row Level Security: Datenbankzugriff ist durch Supabase Row Level Security (RLS) abgesichert – Nutzer können nur ihre eigenen Daten lesen und bearbeiten
- Zugriffskontrollen: Administrativer Zugriff auf Infrastruktur und Datenbank ist auf den Verantwortlichen beschränkt
Aufbewahrungsfristen
| Datenart | Aufbewahrungsfrist | Grundlage |
|---|---|---|
| Nutzerkontodaten | Für die Dauer des Nutzungsverhältnisses; nach Kontolöschung nur noch, soweit einzelne Daten wegen gesetzlicher Pflichten oder zur Rechtsverteidigung weiter benötigt werden. | Art. 6 Abs. 1 lit. b DSGVO während der Vertragslaufzeit, lit. f nachvertraglich. |
| Zahlungsdaten (Stripe) und Nachweise der Zustimmung zum sofortigen Beginn bei Karten- und Kryptokäufen | 10 Jahre nach Ende des Vertragsverhältnisses, auch nach Kontolöschung | § 147 AO i.V.m. § 257 HGB, für den Zustimmungsnachweis Art. 6 Abs. 1 lit. f DSGVO |
| Fehler-Logs (Sentry) | 90 Tage | Art. 6 Abs. 1 lit. f DSGVO |
| Inaktive Gerätetokens für Push-Benachrichtigungen | Automatische Löschung nach 180 Tagen Inaktivität | Art. 6 Abs. 1 lit. a DSGVO |
| Support-Anfragen (E-Mail) | Bis zur endgültigen Klärung, max. 3 Jahre | Art. 6 Abs. 1 lit. f DSGVO |
| Newsletter-Einwilligungsnachweis | 3 Jahre nach Abmeldung | Art. 6 Abs. 1 lit. f DSGVO zur Erfüllung der Nachweispflicht aus § 7 Abs. 2 UWG |
| Schachtitel und Titelanträge | Titel bis zur Entfernung in den Einstellungen oder Kontolöschung, Anträge bis zur Kontolöschung | Art. 6 Abs. 1 lit. b DSGVO |
| Titelantrags-E-Mails in unserem Postfach | Bis zur Entscheidung, höchstens 3 Jahre. Die Kontolöschung entfernt keine Postfachkopien | Art. 6 Abs. 1 lit. f DSGVO |
| Duelle, Live-Sitzungen, Arenen, Sammlungen und Trainingspläne | Bis zur Kontolöschung. Selbst veranstaltete Arenen und Preisaufzeichnungen bleiben ohne Verknüpfung zur Person | Art. 6 Abs. 1 lit. b und f DSGVO |
| Testphasenanspruch | Aufbewahrungsregel: 3 Jahre nach dem Testphasenanspruch, auch nach Kontolöschung | Art. 6 Abs. 1 lit. f DSGVO |
| Feedback-E-Mails in unserem Postfach | Bis zur Klärung, höchstens 3 Jahre. Die Kontolöschung entfernt keine Feedback-E-Mails | Art. 6 Abs. 1 lit. f DSGVO |
| Feedback-Metadaten in der Datenbank | Höchstens 3 Jahre gemäß unserer Aufbewahrungsregel, bei Kontolöschung ohne Kontoverknüpfung | Art. 6 Abs. 1 lit. f DSGVO |
| Versendete Abrechnungs- und Kündigungs-E-Mails und sonstige Abrechnungsunterlagen | Bis zu 10 Jahre | Art. 6 Abs. 1 lit. b und c DSGVO, § 147 AO / § 257 HGB |
| Gespeicherte Empfängeradressen für Einladungen | Während des ausstehenden Versands und bestehender Versandberechtigung. Löschung bei dokumentiertem Versand, Wegfall der Versandberechtigung oder Kontolöschung eines der beiden Teilnehmer. Bei gemeinsamen Trainingssitzungen löscht auch die Unterdrückung des Versands die Adresse. | Art. 6 Abs. 1 lit. b DSGVO |
| Gespeicherte Empfängeradressen für Bestätigungen | Nur während des ausstehenden Versands. Sofortige Löschung bei dokumentiertem erfolgreichem Versand, dauerhafter Ablehnung, Unterdrückung oder Kontolöschung. Verbleibende Versandnachweise folgen ihren bisherigen Aufbewahrungsregeln ohne diese gespeicherte Adresse. | Art. 6 Abs. 1 lit. b DSGVO |
| Partnerklick-Marker | 24 Stunden nach dem Partnerlink-Klick | Art. 6 Abs. 1 lit. f DSGVO |
| Einträge der Anfragenbegrenzung | Nur das Begrenzungsfenster | Art. 6 Abs. 1 lit. f DSGVO |
Internationale Datenübermittlung
Übersicht der Drittlandübermittlungen
| Anbieter | Serverstandort | Anbieter-Sitz | Drittland-Transfermechanismus |
|---|---|---|---|
| Netcup | Deutschland | Deutschland | – (kein Drittland) |
| Chess.com | USA | USA | Art. 49 Abs. 1 lit. b DSGVO |
| Google (FCM, YouTube) | USA | USA / Irland | EU-US DPF |
| Apple (APNs) | USA | USA | Standard Contractual Clauses (SCCs) |
| Supabase | Frankfurt (AWS eu-central-1) | USA (Singapur) | EU-US DPF + SCCs |
| Stripe | USA | USA | EU-US DPF |
| Sentry | Frankfurt (ingest.de.sentry.io) | USA | EU-US DPF + SCCs |
| Mailjet | EU | Frankreich | – (kein Drittland) |
Hinweis zum EU-US Data Privacy Framework (DPF)
Das EU-US Data Privacy Framework wurde am 10. Juli 2023 durch einen Angemessenheitsbeschluss der Europäischen Kommission für gültig erklärt. Die Gültigkeit wurde im September 2025 durch das Gericht der Europäischen Union (EuG) bestätigt. Zum Zeitpunkt dieser Datenschutzerklärung ist eine Berufung beim Europäischen Gerichtshof (EuGH) anhängig.
Zusätzlich zum DPF haben wir mit den relevanten Anbietern Standard Contractual Clauses (SCCs) als ergänzende Schutzmaßnahme vereinbart.
Minderjährige
Die App richtet sich an Nutzer, die das 16. Lebensjahr vollendet haben.
Nutzer unter 16 Jahren dürfen die App nur mit ausdrücklicher Einwilligung eines Erziehungsberechtigten nutzen (Art. 8 DSGVO).
USA / COPPA: Kinder unter 13 Jahren dürfen die App nicht nutzen. Wir erheben wissentlich keine personenbezogenen Daten von Kindern unter 13 Jahren im Sinne des Children's Online Privacy Protection Act (COPPA). Sollten wir Kenntnis erlangen, dass Daten eines Kindes unter 13 Jahren erhoben wurden, werden diese unverzüglich gelöscht.
Hinweise für Nutzer aus Kalifornien (CCPA/CPRA)
Für Nutzer mit Wohnsitz in Kalifornien gelten zusätzlich die Bestimmungen des California Consumer Privacy Act (CCPA) und des California Privacy Rights Act (CPRA).
"Do Not Sell or Share"
Wir verkaufen keine personenbezogenen Daten unserer Nutzer und teilen diese nicht zu Werbezwecken mit Dritten im Sinne des CCPA/CPRA.
Ihre Rechte nach CCPA/CPRA
- Recht auf Auskunft: Sie können Auskunft über die erhobenen personenbezogenen Daten verlangen
- Recht auf Löschung: Sie können die Löschung Ihrer Daten verlangen
- Recht auf Opt-Out: Da wir keine Daten verkaufen oder teilen, ist ein Opt-Out nicht erforderlich
- Recht auf Nicht-Diskriminierung: Ihnen entstehen keine Nachteile durch die Ausübung Ihrer Rechte
Kontakt
Anfragen nach CCPA/CPRA richten Sie bitte an: info@chessriddle.com
Automatisierte Entscheidungsfindung
Die App berechnet automatisch mehrere Glicko-2-Ratings (für Taktik, Visualisierung und Positional) basierend auf den Puzzle-Lösungen und Bewertungsversuchen des Nutzers. Diese Ratings dienen ausschließlich der Auswahl passender Aufgaben-Schwierigkeitsgrade und der Darstellung in Ranglisten.
Es findet keine automatisierte Entscheidungsfindung im Sinne von Art. 22 DSGVO statt, die rechtliche Wirkung entfaltet oder den Nutzer in ähnlicher Weise erheblich beeinträchtigt. Das Rating beeinflusst weder den Zugang zu Funktionen noch die Konditionen des Abonnements.
Datenexport und Kontolöschung
Datenexport
Nutzer können ihre personenbezogenen Daten über die Kontoeinstellungen exportieren. Der Export umfasst alle gespeicherten Kontodaten, Einstellungen und Nutzungsstatistiken in einem maschinenlesbaren Format.
Dies umfasst Schachtitel und Titelanträge, Duelle, Sitzungen, Arenen und Testphasenansprüche.
Kontolöschung
Nutzer können ihr Konto jederzeit in den Kontoeinstellungen löschen. Bei der Kontolöschung werden:
- Profil, Einstellungen, Puzzle- und Trainingsdaten, Ratings, Freundschaften, Duelle, Live-Sitzungen, Arena-Teilnahmen, Sammlungen, Schachtitel und Anträge, Push-Tokens, Avatar und Anmeldekonto werden entfernt. Die externe Avatar- und Anmeldekontolöschung wird als Auftrag vorgemerkt und bei Bedarf erneut versucht.
- Zahlungs- und Abrechnungsunterlagen werden ohne das Konto zur gesetzlichen Dokumentation (§ 147 AO, § 257 HGB: 10 Jahre) aufbewahrt und danach gemäß unserer Aufbewahrungsregel gelöscht.
- Die Kontolöschung eines der beiden Teilnehmer entfernt die Einladung und ihre gespeicherte Empfängeradresse. Ein Absender, der die Adresse bereits kopiert hat, kann einen laufenden Versand noch abschließen.
- Gespeicherte Empfängeradressen für Bestätigungen werden mit der Kontolöschung gelöscht. Ein laufender Versand, für den die Adresse bereits kopiert wurde, kann die E-Mail noch versenden. Die Kontolöschung kann eine bereits an den E-Mail-Dienstleister übergebene Nachricht nicht zurückrufen.
- Widerrufserklärungen bleiben 3 Jahre ab Ende des Jahres ihres Eingangs gespeichert. Testphasenansprüche bleiben nach unserer Aufbewahrungsregel 3 Jahre nach dem Anspruch erhalten, um wiederholte kostenlose Testphasen zu verhindern.
- Feedback-Metadaten bleiben gemäß unserer Aufbewahrungsregel höchstens 3 Jahre in der Datenbank, ohne Kontoverknüpfung. Feedback-E-Mails und Titelantrags-E-Mails bleiben bis zur Klärung oder Entscheidung, höchstens 3 Jahre, in unserem Postfach. Die Kontolöschung entfernt diese E-Mails nicht.
- Von Ihnen veranstaltete Arenen und dokumentierte Preise bleiben ohne Verknüpfung zu Ihnen erhalten, um Arena- und Preisaufzeichnungen zu bewahren.
- Fehler-Logs in Sentry nach spätestens 90 Tagen automatisch gelöscht.
Kontaktaufnahme und Support
Bei der Kontaktaufnahme per E-Mail (info@chessriddle.com) verarbeiten wir die vom Nutzer übermittelten Daten (E-Mail-Adresse, Name, Inhalt der Anfrage) zur Bearbeitung des Anliegens.
Rechtsgrundlage:
- Art. 6 Abs. 1 lit. b DSGVO (bei Anfragen im Zusammenhang mit einem bestehenden Vertrag)
- Art. 6 Abs. 1 lit. f DSGVO i.V.m. EG 47 DSGVO (bei allgemeinen Anfragen – berechtigtes Interesse an der Beantwortung, welches der Erwartung des Nutzers entspricht, dass seine Daten für die Antwort verwendet werden)
Die Daten werden nach endgültiger Klärung des Anliegens gelöscht, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen.
Feedback-Formular in der App
Das Feedback-Formular sendet Ihre Nachricht, einen optionalen Screenshot und Ihre E-Mail-Adresse als Antwortadresse über Mailjet an unser Postfach. Es enthält auch Feedback-Typ, Seiten-URL und User-Agent. Die Feedback-E-Mail bleibt bis zur Klärung, höchstens 3 Jahre, gespeichert und wird durch die Kontolöschung nicht entfernt.
Der Feedback-Datenbankdatensatz enthält nur Feedback-Typ, Nachrichtenlänge, Screenshot-Vorhandensein, Seiten-URL und technischen Kontext (siehe Nutzungsdaten), nicht die Nachricht selbst. Bei Kontolöschung wird seine Kontoverknüpfung entfernt. Unsere Aufbewahrungsregel sieht die Löschung dieser Metadaten nach höchstens 3 Jahren vor.
Um wiederholte Übermittlungen zuzuordnen, speichern wir zusätzlich eine mit Ihrem Konto verknüpfte Übermittlungskennung, einen Prüfwert des Inhalts, Verarbeitungsstatus, die ursprüngliche Empfänger- und Antwortadresse sowie die oben genannten Metadaten. Dieser Wiederholungsnachweis enthält weder Nachricht noch Screenshot. Die stündliche Bereinigung löscht ihn in begrenzten Stapeln nach sieben Tagen ab der ersten Übermittlung, sobald keine Verarbeitung mehr läuft. Bei Kontolöschung wird er gelöscht. Ein bereits laufender Versand kann noch abgeschlossen werden.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Beantwortung von Feedback und der Verbesserung der App).
Widerrufsformular (§ 356a BGB)
Wenn Sie unsere Online-Widerrufsfunktion unter chessriddle.com/withdraw nutzen, verarbeiten wir die von Ihnen übermittelten Daten (Name, Benutzername, E-Mail-Adresse sowie Datum und Uhrzeit des Eingangs Ihrer Widerrufserklärung) ausschließlich zur Erfüllung unserer gesetzlichen Verpflichtung aus § 356a BGB, den Eingang Ihrer Widerrufserklärung auf einem dauerhaften Datenträger mit Angabe von Inhalt, Datum und Uhrzeit zu bestätigen.
Rechtsgrundlage:
- Art. 6 Abs. 1 lit. c DSGVO i.V.m. § 356a BGB (Erfüllung einer rechtlichen Verpflichtung des Verantwortlichen)
Empfänger: Zur Versendung der Eingangsbestätigung übermitteln wir Ihre E-Mail-Adresse, Ihren Namen und Ihren Benutzernamen an unseren Auftragsverarbeiter Mailjet SAS (siehe oben „Mailjet SAS – E-Mail-Versand“). Eine Weitergabe an weitere Dritte oder in Drittländer außerhalb der EU findet nicht statt.
Speicherdauer: Wir speichern Ihre Widerrufserklärung sowie die Eingangsbestätigung zum Nachweis der ordnungsgemäßen Bearbeitung Ihrer Widerrufserklärung. Die Aufbewahrung orientiert sich an der regelmäßigen Verjährungsfrist (drei Jahre nach §§ 195, 199 BGB ab dem Schluss des Jahres, in dem der Widerruf eingegangen ist). Anschließend werden die Daten gelöscht, sofern keine längeren gesetzlichen Aufbewahrungspflichten entgegenstehen.
Freiwilligkeit: Die Nutzung der Online-Widerrufsfunktion und damit die Bereitstellung der angegebenen Daten ist freiwillig. Alternativ können Sie Ihren Widerruf auch postalisch, per Telefax oder per E-Mail erklären (siehe Widerrufsbelehrung in unseren AGB); in diesem Fall verarbeiten wir lediglich die in Ihrer Erklärung enthaltenen Daten. Eine Nichtbereitstellung hat keine vertraglichen Nachteile.
Änderungen dieser Datenschutzerklärung
Wir behalten uns vor, diese Datenschutzerklärung zu aktualisieren, um sie an geänderte Rechtslage, technische Änderungen oder neue Funktionen anzupassen.
Bei wesentlichen Änderungen, die die Rechte der Nutzer betreffen, informieren wir:
- Per E-Mail an die hinterlegte E-Mail-Adresse, und/oder
- Durch einen Hinweis beim nächsten Login in der App
Die aktuelle Version ist stets unter chessriddle.com/privacy abrufbar.
Kontakt und Aufsichtsbehörde
Verantwortlicher
ChessRiddle, Inh. Felix Beck
Kraillinger Weg 9
82061 Neuried
Deutschland
Telefon: +49 15510 814400
E-Mail: info@chessriddle.com
Zuständige Aufsichtsbehörde
Bayerisches Landesamt für Datenschutzaufsicht (BayLDA)
Promenade 18
91522 Ansbach
Deutschland
Telefon: +49 981 180093-0
E-Mail: poststelle@lda.bayern.de
