Diese Hinweise erläutern, welche personenbezogenen Daten bei der Nutzung von FROSTBYTE verarbeitet werden. FROSTBYTE ist ein fiktives Cybersecurity-Planspiel. Es werden keine echten Anlagen-, IP- oder Schwachstellendaten verarbeitet.
1. Verantwortlicher
Verantwortlich für die Datenverarbeitung ist die Kompetenzzentrum Digitale Wasserwirtschaft gemeinnützige GmbH,
Am Europa-Center 4,
45145 Essen
Tel.: 0201 475 890 20
info@kdw-nrw.de (nachfolgend „Anbieter“).
Weitere Informationen zum Anbieter findest du unter www.kdw-nrw.de.
Datenschutzbeauftragter beim Verantwortlichen:
Datenschutz Ruhr GmbH
Hauptstr. 2
45219 Essen
schabio@datenschutz-ruhr.de
Tel.: 0201 890 66 123
2. Zweck der Verarbeitung
Personenbezogene Daten werden verarbeitet, um:
- die Anmeldung per Magic Link zu ermöglichen,
- dein Spielerprofil und den Spielstand zu führen,
- gewertete und Übungsrunden auszuwerten,
- optional Highscores gemäß deiner Sichtbarkeitseinstellung anzuzeigen,
- Missbrauch und Rate-Limits zu steuern,
- Barrierefreiheitswünsche (z. B. reduzierte Animationen) zu beachten.
Rechtsgrundlage der einzelnen Verarbeitungen ist:
| Verarbeitung | Mögliche Rechtsgrundlage |
|---|---|
| Konto und Magic-Link-Anmeldung | Art. 6 Abs. 1 lit. b DSGVO |
| Spielerprofil und Spielstand | Art. 6 Abs. 1 lit. b DSGVO |
| Missbrauchs- und Angriffserkennung | Art. 6 Abs. 1 lit. f DSGVO |
| Rate-Limiting | Art. 6 Abs. 1 lit. f DSGVO |
| freiwillige öffentliche Rangliste | je nach Gestaltung Art. 6 Abs. 1 lit. a oder b DSGVO |
| Speicherung technisch notwendiger Browserinformationen | § 25 Abs. 2 Nr. 2 TDDDG |
| Barrierefreiheitseinstellungen | Art. 6 Abs. 1 lit. b oder f DSGVO |
3. Welche Daten verarbeitet werden
- Kontodaten: E-Mail-Adresse, Benutzerkennung, Zeitpunkt und Status der Anmeldung sowie Authentifizierungs- und Sitzungsdaten zur Anmeldung über einen Magic Link mithilfe von Supabase Auth. Ein eigenes Anmeldeprotokoll (z. B. mit IP-Adresse) führt die Anwendung in ihrer eigenen Datenbank nicht.
- Profildaten: Spielername, optionaler Organisationsname, Highscore-Sichtbarkeit, Zeitpunkt der Annahme der Hinweise, Einstellung zu reduzierten Animationen.
- Spieldaten: Spielstände, Entscheidungen innerhalb der fiktiven Szenarien, Punkte, Abzeichen, Platzierungen sowie zeitbezogene Angaben zum Einsatz (insbesondere Start- und Abschlusszeitpunkt einer Runde, aktive Spieldauer und Antwortzeiten je Aufgabe). Diese Angaben dienen der Wertung, der Auswertung und dem persönlichen Einsatzbericht.
- Technische Betriebsdaten in der Anwendungsdatenbank: Rate-Limit- Kennungen zum Schutz vor Missbrauch. Dabei werden E-Mail-Adressen bzw. Benutzerkennungen gehasht gespeichert; die Anwendung speichert für Spielerzugriffe keine IP-Adressen in der eigenen Anwendungsdatenbank. Es gibt kein Besucherzähl-/Analytics-System innerhalb der Anwendung.
- Aufruf der Website / Verbindungsdaten: Beim allgemeinen Aufruf der Webseiten entstehen technisch erforderliche Verbindungs- und Zugriffsdaten beim Hosting-Anbieter (siehe Abschnitt 5), etwa IP-Adresse, Zeitpunkt, aufgerufene Adresse sowie Angaben zu Browser und Betriebssystem. Diese Daten werden nicht in der Spiel-Datenbank als Besuchshistorie gespeichert.
- Authentifizierungs- und Sicherheitsdaten bei Supabase: Zusätzlich zu den in der Anwendungsdatenbank gespeicherten Kontodaten kann Supabase Auth im Rahmen der Anmeldung und Sitzungsverwaltung technisch erforderliche Protokoll- und Sicherheitsdaten verarbeiten (siehe Abschnitt 5), insbesondere Zeitpunkt der Anmeldung sowie ggf. IP-Adresse und Endgerät-/Browserinformationen.
Für anonyme Highscore-Einträge wird ein deterministisch erzeugter Alias („Anonymer Wasserwichtel #NNN“) verwendet. UUID und E-Mail erscheinen nicht in der öffentlichen Rangliste.
4. Highscore und Sichtbarkeit
Du kannst im Profil wählen:
- Privat: kein Eintrag in der öffentlichen Rangliste (Standardeinstellung),
- Anonym: nur generierter Alias,
- Öffentlich: Spielername und optional Organisation in der Rangliste.
Die Standardeinstellung für neue Profile ist privat. Ein Eintrag in der öffentlichen Rangliste erfolgt erst, wenn du die Sichtbarkeit ausdrücklich auf anonym oder öffentlich änderst. Du kannst die Einstellung jederzeit im Profil anpassen.
5. Empfänger und Auftragsverarbeitung
Supabase
Für die Anmeldung per Magic Link, die Verwaltung der Benutzerkonten, die Datenbank und die serverseitige Spiellogik nutzen wir Dienste von:
Supabase Pte. Ltd.
65 Chulia Street, #38-02/03
OCBC Centre
Singapore 049513
Singapur
Bei der Anmeldung wird deine E-Mail-Adresse an Supabase übermittelt. Supabase verarbeitet außerdem eine deinem Benutzerkonto zugeordnete Nutzerkennung, den Status der E-Mail-Bestätigung, Anmelde- und Sitzungsdaten sowie technisch erforderliche Protokoll- und Sicherheitsdaten. Hierzu können insbesondere der Zeitpunkt einer Anmeldung, die IP-Adresse und Informationen über das verwendete Endgerät oder den Browser gehören.
Supabase Auth erzeugt für die Anmeldung einen zeitlich begrenzt gültigen Magic Link und überprüft diesen bei dessen Verwendung. Ein Passwort wird dabei nicht erhoben. Die Verarbeitung dient dazu, dein Benutzerkonto einzurichten, deine Zugangsberechtigung zu überprüfen, deine Sitzung aufrechtzuerhalten und unberechtigte Zugriffe sowie Missbrauch zu verhindern.
Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit die Verarbeitung für die Bereitstellung des Spiels erforderlich ist. Die Verarbeitung von Sicherheits- und Protokolldaten erfolgt außerdem auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse besteht im sicheren und störungsfreien Betrieb des Spiels sowie in der Verhinderung missbräuchlicher Zugriffe.
Supabase verarbeitet die Daten in unserem Auftrag. Mit Supabase besteht ein Vertrag über die Auftragsverarbeitung nach Art. 28 DSGVO.
Supabase hat seinen Sitz in Singapur. Für Singapur besteht kein Angemessenheitsbeschluss der Europäischen Kommission. Soweit Supabase oder von Supabase eingesetzte Dienstleister personenbezogene Daten in Singapur oder einem anderen Staat außerhalb der Europäischen Union und des Europäischen Wirtschaftsraums verarbeiten, erfolgt die Übermittlung auf Grundlage der Standardvertragsklauseln der Europäischen Kommission nach Art. 46 Abs. 2 lit. c DSGVO. Die Standardvertragsklauseln sind Bestandteil des mit Supabase geschlossenen Vertrags über die Auftragsverarbeitung.
Das von uns eingesetzte Supabase-Projekt wird in der EU (Irland) betrieben. Die Speicherung der primären Projektdaten in dieser Region schließt einzelne Zugriffe oder Verarbeitungen aus Drittländern, etwa im Rahmen von Support-, Sicherheits- oder Wartungsleistungen, nicht vollständig aus.
Weitere Informationen zur Datenverarbeitung durch Supabase findest du in den Datenschutz- und Vertragsinformationen von Supabase.
Hosting-Anbieter
Für den Betrieb und die Bereitstellung der Webanwendung setzen wir einen Hosting-Anbieter ein. Der Hosting-Anbieter verarbeitet dabei in unserem Auftrag technisch erforderliche Verbindungs- und Zugriffsdaten. Dazu können insbesondere IP-Adresse, Datum und Uhrzeit des Zugriffs, aufgerufene Inhalte, übertragene Datenmenge sowie Angaben zum Browser und Betriebssystem gehören.
Die Verarbeitung erfolgt auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse besteht in der sicheren, zuverlässigen und technisch funktionsfähigen Bereitstellung der Webanwendung. Soweit der Hosting-Anbieter personenbezogene Daten in unserem Auftrag verarbeitet, besteht ein Vertrag über die Auftragsverarbeitung nach Art. 28 DSGVO.
Eine Übermittlung an weitere Empfänger findet nicht statt, sofern sie nicht für die Bereitstellung des Spiels erforderlich ist, du eingewilligt hast oder eine gesetzliche Verpflichtung besteht.
Eine Übermittlung an weitere Dritte findet nicht statt, sofern sie nicht zur Vertragserfüllung erforderlich ist oder eine gesetzliche Pflicht besteht. Soweit Anbieter außerhalb der EU/EWR eingesetzt werden, erfolgen geeignete Garantien nach Maßgabe der DSGVO (z. B. Standardvertragsklauseln), soweit anwendbar.
6. Speicherdauer
Konten und zugehörige Spieldaten bleiben gespeichert, solange dein Zugang besteht und die Zwecke fortbestehen. Du kannst die Löschung deines Kontos und der damit verbundenen Daten verlangen. Angemeldete Nutzerinnen und Nutzer können ihr Konto zusätzlich selbst im Profil unter „Konto löschen“ unwiderruflich löschen. Rate-Limit-Einträge werden nur für den jeweils erforderlichen Schutzzeitraum vorgehalten. Gesetzliche Aufbewahrungspflichten bleiben unberührt.
7. Pflicht zur Bereitstellung
Ohne E-Mail-Adresse ist eine Anmeldung nicht möglich. Ohne Annahme der Spielbedingungen und Datenschutzhinweise sowie ohne abgeschlossenes Profil kann das Spiel nicht gestartet werden.
8. Keine automatisierte Entscheidung
Es findet keine automatisierte Entscheidungsfindung einschließlich Profiling im Sinne von Art. 22 DSGVO statt, die dir gegenüber rechtliche Wirkung entfaltet. Die Spielwertung dient ausschließlich dem Planspiel.
9. Cookies und lokale Speicherung
Für die Anmeldung und die Aufrechterhaltung deiner Sitzung werden technisch notwendige Authentifizierungsinformationen auf deinem Endgerät gespeichert. Abhängig von der technischen Umsetzung erfolgt dies in einem Cookie oder einer vergleichbaren lokalen Browserspeicherung. Die Speicherung ist erforderlich, damit du während der Nutzung als angemeldeter Benutzer erkannt wirst und auf geschützte Bereiche zugreifen kannst.
Rechtsgrundlage für das Speichern und Auslesen technisch erforderlicher Informationen auf deinem Endgerät ist § 25 Abs. 2 Nr. 2 TDDDG. Die anschließende Verarbeitung personenbezogener Daten erfolgt auf Grundlage von Art. 6 Abs. 1 lit. b beziehungsweise lit. f DSGVO.
10. Deine Rechte
Unter den Voraussetzungen der Datenschutz-Grundverordnung (DSGVO) stehen dir als betroffener Person folgende Rechte zu:
- Auskunft gem. Art. 15 DSGVO über die zu deiner Person gespeicherten Daten. Du kannst insbesondere aussagekräftige Informationen über die Einzelheiten der Verarbeitung sowie eine Kopie deiner Daten verlangen;
- Berichtigung gem. Art. 16 DSGVO von unrichtigen oder unvollständigen Daten, die bei uns gespeichert sind;
- Löschung gem. Art. 17 DSGVO der bei uns gespeicherten Daten, soweit die Verarbeitung nicht zur Ausübung des Rechts auf freie Meinungsäußerung und Information, zur Erfüllung einer rechtlichen Verpflichtung, aus Gründen des öffentlichen Interesses oder zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich ist;
- Einschränkung der Verarbeitung gem. Art. 18 DSGVO, soweit du die Richtigkeit der Daten bestreitest, die Verarbeitung unrechtmäßig ist, wir die Daten nicht mehr benötigen und du deren Löschung ablehnst, weil du sie zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen benötigst, oder du Widerspruch gegen die Verarbeitung gem. Art. 21 DSGVO eingelegt hast;
- Datenübertragbarkeit gem. Art. 20 DSGVO, soweit du uns personenbezogene Daten aufgrund einer Einwilligung gem. Art. 6 Abs. 1 lit. a DSGVO oder auf Grundlage eines Vertrags gem. Art. 6 Abs. 1 lit. b DSGVO bereitgestellt hast und wir diese Daten mithilfe automatisierter Verfahren verarbeiten. Du erhältst deine Daten in einem strukturierten, gängigen und maschinenlesbaren Format. Soweit dies technisch machbar ist, kannst du außerdem verlangen, dass wir die Daten direkt an einen anderen Verantwortlichen übermitteln;
- Widerspruch gem. Art. 21 DSGVO gegen die Verarbeitung deiner personenbezogenen Daten, soweit diese auf Grundlage von Art. 6 Abs. 1 lit. e oder f DSGVO erfolgt und sich aus deiner besonderen Situation Gründe für den Widerspruch ergeben oder sich der Widerspruch gegen Direktwerbung richtet. Das Recht auf Widerspruch besteht nicht, wenn wir zwingende schutzwürdige Gründe für die Verarbeitung nachweisen können, die deine Interessen, Rechte und Freiheiten überwiegen, oder wenn die Verarbeitung der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen dient. Soweit bei einzelnen Verarbeitungsvorgängen kein Recht auf Widerspruch besteht, weisen wir dort darauf hin;
- Widerruf gem. Art. 7 Abs. 3 DSGVO einer von dir erteilten Einwilligung mit Wirkung für die Zukunft;
- Beschwerde gem. Art. 77 DSGVO bei einer Datenschutzaufsichtsbehörde, wenn du der Ansicht bist, dass die Verarbeitung deiner personenbezogenen Daten gegen die DSGVO verstößt. Du kannst dich insbesondere an die Aufsichtsbehörde deines üblichen Aufenthaltsortes, deines Arbeitsplatzes oder unseres Unternehmenssitzes wenden.
Außerdem kannst du dich bei einer Datenschutzaufsichtsbehörde beschweren. Zuständig ist in der Regel die Aufsichtsbehörde deines gewöhnlichen Aufenthaltsorts.
11. Sicherheit
Der Zugriff auf Spieldaten ist über Authentifizierung und Row Level Security abgesichert. Spielwertung und schreibende Spielaktionen erfolgen serverseitig. Dennoch kann keine absolute Sicherheit von Internetdiensten garantiert werden.
12. Kinder und Jugendliche
FROSTBYTE richtet sich ausschließlich an volljährige Personen. Minderjährigen ist die Nutzung nicht gestattet. Wir verarbeiten personenbezogene Daten von Kindern und Jugendlichen daher planmäßig nicht.
Eine technische Altersprüfung findet nicht statt. Mit der Nutzung bzw. der Annahme der Spielbedingungen und dieser Hinweise bestätigst du, volljährig zu sein.
13. Änderungen
Diese Hinweise können angepasst werden, wenn sich das Spiel, die Infrastruktur oder Rechtslage ändern. Die aktuelle Fassung ist unter dieser Seite abrufbar.
Ergänzend gelten die Spielbedingungen.