Datenschutzerklärung

1. Verantwortlicher

Verantwortlicher für die Verarbeitung Ihrer personenbezogenen Daten ist:

Maurice Hurdebise, selbstständiger Unternehmer (natürliche Person), tätig unter dem Handelsnamen „Jack & Mani“. Gooblies ist eines seiner Spiele — das ist der Grund dafür, dass unsere E-Mails Sie von einer Adresse @jackandmani.com aus erreichen. Unternehmensnummer (BCE): 0805.203.037 (nicht umsatzsteuerpflichtig). Anschrift: Rue Chaumont 9, 4970 Stavelot, Belgien. E-Mail: info@jackandmani.com.

Diese Erklärung unterliegt belgischem Recht und der Datenschutz-Grundverordnung (DSGVO). Zuständige Aufsichtsbehörde ist die Autorité de protection des données (APD, belgische Datenschutzbehörde) in Belgien.

2. Der Grundsatz

Das Spiel ist für Ihr Kind, das Konto gehört Ihnen.

Wir kennen weder den Namen noch den Vornamen, weder das Alter noch das Gesicht Ihres Kindes, und wir haben nicht die Absicht, dies zu erfahren. Das Spiel fragt niemals nach einem Spitznamen. Die einzige personenbezogene Angabe, über die wir verfügen, ist Ihre eigene E-Mail-Adresse — die der erwachsenen Person, die das Konto erstellt hat.

Eines muss allerdings klar gesagt und nicht in einer Tabelle versteckt werden: Damit Gooblies funktionieren kann, speichert es den Umriss des Gartens, in dem Ihr Kind spielt, sowie die Stellen, an denen die Kreaturen während der Partien versteckt wurden. Das sind echte GPS-Koordinaten rund um Ihr Zuhause. Der folgende Abschnitt erklärt genau, was gespeichert wird, und Abschnitt 8, wie lange.

Dieses Dokument richtet sich an Sie, die erwachsene Person. Das Spiel selbst spricht das Kind mit „du“ an — das ist gewollt, und es ist der einzige Unterschied im Ton zwischen beiden.

3. Die Daten, die wir verarbeiten

Kontodaten. Ihre E-Mail-Adresse und Ihr Passwort, wenn Sie ein Konto per E-Mail erstellen. Das Passwort wird von unserem Authentifizierungsdienstleister gehasht und auf unserer Seite niemals im Klartext gespeichert. Wenn Sie sich mit Google anmelden, erhalten wir die Kennung des Google-Kontos und die zugehörige E-Mail-Adresse; wir verwenden weder den Namen noch das Foto des Google-Profils. Jedem Konto wird eine technische Kennung (UID) zugewiesen.

Spieldaten. Die vorhandenen Kreaturen und ihr Sättigungsgrad, die Anzahl der Partien, die Entdeckungszähler, der Fortschritt beim Entdecken des Spiels und das Cupcakes-Hauptbuch.

Standortdaten. Zwei verschiedene Dinge, und dies ist der heikelste Teil dieses Dokuments:

• Der Garten. Sie zeichnen selbst auf einer Satellitenkarte den Bereich ein, in dem Ihr Kind spielen darf. Dieser Umriss — 3 bis 60 GPS-Punkte, begrenzt auf 10 000 m² — wird auf Ihrem Gerät und, wenn Sie ein Konto haben, auf unseren Servern gespeichert. In der Praxis beschreibt er die Umgebung Ihres Wohnorts.
• Die Partien. Am Ende einer Partie speichern wir die Positionen der genutzten Verstecke, höchstens sechs, die alle innerhalb des von Ihnen gezeichneten Gartens liegen.

Während einer Partie wird die Position des Geräts vom Spiel fortlaufend ausgelesen, um zu erkennen, ob sich das Kind einer Kreatur nähert. Diese fortlaufende Position wird weder gespeichert noch übermittelt: Sie dient der Berechnung auf dem Gerät und geht danach verloren.

Technische Daten. Ihre IP-Adresse und technische Header können von unserem Hoster protokolliert werden. Mapbox erhält Ihre IP-Adresse, wenn der Kartenhintergrund geladen wird.

Messdaten. Wenn — und nur wenn — Sie der Messung im Banner der Website zugestimmt haben, erhält Google Analytics eine zufällig erzeugte Kennung, Ihre IP-Adresse, die aufgerufenen Seiten und Zähler von Spielhandlungen. Die Einzelheiten stehen in der Übersicht in Abschnitt 4, und unsere Cookie-Richtlinie sagt, wo Ihnen die Frage gestellt wird.

Wir erheben nicht: Name, Vorname, Spitzname, Geburtsdatum, Alter, Foto, Postanschrift, Telefonnummer oder Kontakte.

4. Zwecke und Rechtsgrundlagen

Wir verarbeiten Ihre Daten nur zu festgelegten Zwecken und auf einer genauen Rechtsgrundlage (Artikel 6 DSGVO). Die Einzelheiten finden Sie in der nachstehenden Übersicht.

Ein Wort zur Standortermittlung, denn das ist die Frage, die sich ein Elternteil zuerst stellt. Sie beruht auf der Erfüllung des Vertrags und nicht auf Ihrer Einwilligung, und zwar aus einem einfachen Grund: ohne Garten kein Spiel. Man kann keine Kreatur in einem Garten verstecken, ohne zu wissen, wo der Garten ist. Das nimmt Ihnen nichts — Ihr Browser wird Sie ohnehin um die Erlaubnis bitten, auf Ihren Standort zuzugreifen, und Sie können sie jederzeit in den Einstellungen Ihres Geräts verweigern oder widerrufen; das Spiel funktioniert dann nicht mehr, aber es wird nichts gespeichert.

5. Was wir nicht tun

Dieser Abschnitt ist kurz, weil er kategorisch ist.

Wir haben kein Werbenetzwerk und zeigen keine Werbung. Wir betreiben kein Profiling und treffen keine automatisierten Entscheidungen. Wir machen keine Sitzungsaufzeichnung — nichts filmt den Bildschirm Ihres Kindes — und keine A/B-Tests. Wir verkaufen Ihre Daten nicht und geben sie an niemanden weiter außer an die in Abschnitt 6 aufgeführten technischen Dienstleister. Wir versenden keinen Newsletter und keine Marketing-E-Mails. Das Spiel enthält keine künstliche Intelligenz, keinen Chat, keine soziale Funktion, keine Rangliste und keine Push-Benachrichtigungen.

Eine einzige Ausnahme, und sie liegt bei Ihnen: die in Abschnitt 6 beschriebene Nutzungsmessung, die nur stattfindet, wenn Sie ihr zugestimmt haben. Sie zählt Handlungen — eine begonnene Partie, eine verabreichte Mahlzeit — ohne je zu fragen, wer sie ausgeführt hat.

Die einzigen E-Mails, die Sie erhalten werden, sind: die Bestätigung Ihrer Adresse und das Zurücksetzen Ihres Passworts, versandt von unserem Authentifizierungsdienstleister; sowie der Beleg über Ihre Käufe, versandt von unserem Zahlungsdienstleister.

6. Empfänger und Auftragsverarbeiter

Ihre Daten werden ausschließlich an diejenigen technischen Dienstleister übermittelt, die für den Betrieb des Dienstes zwingend erforderlich sind und nach unseren Weisungen handeln.

Google / Firebase (Google Ireland Limited und Google LLC): Authentifizierung (Firebase Authentication), Anmeldung über Google, Spieldatenbank (Cloud Firestore, Region europe-west1, Belgien), Serverfunktionen (Cloud Functions, dieselbe Region) und Hosting der Website (Firebase App Hosting). Ihre E-Mail-Adresse bleibt auf den Authentifizierungsdienst beschränkt und wird niemals in die Spieldatenbank übernommen.

Stripe (Stripe, Inc., Vereinigte Staaten): Zahlungsabwicklung. Ihre Kreditkartendaten werden unmittelbar bei Stripe eingegeben und verarbeitet und niemals von uns empfangen oder gespeichert. Stripe erhält Ihre E-Mail-Adresse, um Ihnen den Beleg zuzusenden. Wenn Sie mit Apple Pay oder Google Pay bezahlen, sind auch Apple oder Google beteiligt, nach deren eigenen Bedingungen.

Mapbox (Mapbox, Inc., Vereinigte Staaten): der Satellitenkartenhintergrund, der angezeigt wird, wenn Sie den Garten zeichnen oder ansehen. Mapbox erhält Ihre IP-Adresse und die Koordinaten des betrachteten Bereichs. Die Kartendaten stammen ebenfalls von OpenStreetMap.

Sentry (Functional Software, Inc., Vereinigte Staaten): technische Überwachung. Wenn eine Seite nicht mehr funktioniert, erhält Sentry die Fehlermeldung, die Browserversion und die betroffene Stelle im Code, damit wir sie beheben können. Wir haben die standardmäßige Übermittlung personenbezogener Daten abgeschaltet: Weder IP-Adresse noch Sitzungskennung werden den Berichten beigefügt, und es erfolgt keine Bildschirmaufzeichnung.

Google Analytics (Google Ireland Limited): Reichweitenmessung der Website und Nutzungsmessung des Spiels, nur wenn Sie ihr zugestimmt haben in dem dafür vorgesehenen Banner. Google erhält dann Ihre IP-Adresse, die aufgerufenen Seiten, eine zufällig erzeugte Kennung sowie Zähler von Spielhandlungen — eine begonnene Partie, eine gefundene Kreatur, eine verabreichte Mahlzeit, ein abgeschlossener Kauf. Kein Standort, kein Gartenumriss und keine Kontokennung werden übermittelt: Die Messung erlaubt nicht zu wissen, wer spielt. Vor Ihrer Zustimmung wird nichts gemessen, ebenso wenig wenn Sie ablehnen oder wenn Ihnen die Frage nie gestellt wurde.

7. Übermittlungen außerhalb der Europäischen Union

Die Spieldatenbank und die Serverfunktionen werden in der Europäischen Union gehostet (europe-west1, Belgien). Dennoch finden Übermittlungen außerhalb der Europäischen Union statt:

• Google / Firebase: Firestore und die Cloud Functions befinden sich in der Europäischen Union, doch Firebase Authentication ist ein globaler Dienst von Google: Ihre Anmeldedaten können außerhalb der EU verarbeitet werden, und Google als US-amerikanisches Unternehmen kann im Übrigen aus der Ferne auf die Daten zugreifen;
• Stripe (Vereinigte Staaten): Übermittlung der für die Zahlung erforderlichen Daten;
• Mapbox (Vereinigte Staaten): Übermittlung Ihrer IP-Adresse und des aufgerufenen Kartenausschnitts;
• Sentry (Vereinigte Staaten): Übermittlung des technischen Fehlerberichts;
• Google Analytics (Vereinigte Staaten): Haben Sie der Messung zugestimmt, können die Messdaten von Google LLC außerhalb der Europäischen Union verarbeitet werden.

Diese Übermittlungen sind durch die in der DSGVO vorgesehenen Garantien abgesichert: Standardvertragsklauseln der Europäischen Kommission und gegebenenfalls Beitritt zum Datenschutzrahmen EU–USA (Data Privacy Framework).

8. Speicherdauern

Konto, Garten, Fortschritt und Hauptbuch: gespeichert, solange das Konto besteht. Ein Konto, das 36 Monate lang inaktiv bleibt, wird gelöscht.

Positionen der gespielten Partien: 12 Monate nach dem Ende der Partie gespeichert, danach gelöscht.

Fortlaufende Position während einer Partie: wird niemals gespeichert. Sie besteht nur im Arbeitsspeicher des Geräts, für die Dauer der Berechnung.

Elterncode: gespeichert, solange der Code eingerichtet ist; wird mit dem Konto gelöscht.

Nachweis der Zahlungen: gespeichert für die in Belgien geltende gesetzliche Aufbewahrungsfrist für Buchhaltungsunterlagen, also etwa 7 Jahre.

Auf Ihrem Gerät gespeicherte Daten (Fortschritt, Einstellungen, laufende Partie): gespeichert, bis Sie sie löschen. Der Elternbereich bietet eine Schaltfläche, die sämtliche lokalen Daten löscht.

Testpartie ohne Konto: keine Spieldaten werden an unsere Server gesendet. Alles bleibt auf dem Gerät.

Nutzungsmessung: Das Mess-Cookie läuft nach 13 Monaten ab; die detaillierten Berichte werden von Google 14 Monate aufbewahrt, danach bleiben nur noch Summen. Haben Sie der Messung nicht zugestimmt, gibt es nichts aufzubewahren.

9. Ihre Rechte

Gemäß der DSGVO stehen Ihnen die folgenden Rechte zu:

• Auskunftsrecht: die Bestätigung erhalten, dass Sie betreffende Daten verarbeitet werden, und eine Kopie davon erhalten;
• Recht auf Berichtigung: unrichtige Daten berichtigen lassen;
• Recht auf Löschung: die Löschung Ihrer Daten verlangen;
• Recht auf Einschränkung der Verarbeitung;
• Widerspruchsrecht, insbesondere gegen Verarbeitungen, die auf unserem berechtigten Interesse beruhen;
• Recht auf Datenübertragbarkeit: Ihre Daten in einem strukturierten Format erhalten;
• Recht, Ihre Einwilligung jederzeit zu widerrufen, für die Verarbeitungen, die darauf beruhen.

Die Ausübung dieser Rechte ist kostenlos. Schreiben Sie uns dazu an info@jackandmani.com. Wir antworten grundsätzlich innerhalb eines Monats.

Löschung des Kontos. Der Dienst bietet noch keine Schaltfläche zur Selbstbedienungs-Löschung. Um Ihr Konto und sämtliche zugehörigen Daten — einschließlich des Gartens und der Partien — löschen zu lassen, richten Sie Ihre Anfrage per E-Mail an info@jackandmani.com; wir kommen ihr innerhalb von höchstens 30 Tagen nach. In der Zwischenzeit können Sie über den Elternbereich bereits sämtliche auf dem Gerät vorhandenen Daten löschen.

Sie haben außerdem das Recht, Beschwerde bei der Autorité de protection des données (APD, belgische Datenschutzbehörde) in Belgien einzulegen: Rue de la Presse 35, 1000 Bruxelles (www.autoriteprotectiondonnees.be).

10. Die Kinder

Gooblies ist ein Spiel, das für Kinder ab 6 Jahren gestaltet wurde. Das verdient eine genaue Erklärung statt einer beiläufigen Erwähnung.

Das Konto ist das einer erwachsenen Person. Sie erstellen es, Sie akzeptieren die Bedingungen, Sie richten den Elterncode ein und Sie bezahlen gegebenenfalls. Der Vertrag wird mit Ihnen geschlossen. Das Kind nutzt das Spiel, es ist nicht Vertragspartei.

Wir erheben keinerlei personenbezogene Angaben zum Kind: keinen Namen, keinen Spitznamen, kein Geburtsdatum, kein Foto. Was es betrifft, ist der Umriss des Gartens, sind die Positionen der Verstecke seiner Partien, seine Kreaturen und sein Cupcakes-Guthaben — alles Ihrem Konto zugeordnet.

Keine unserer Verarbeitungen beruht auf der Einwilligung des Kindes. Sie beruhen auf der Erfüllung des von Ihnen geschlossenen Vertrags, auf unserem berechtigten Interesse, auf einer rechtlichen Verpflichtung — und, allein für die Nutzungsmessung, auf Ihrer Einwilligung als Erwachsener, erteilt auf der Website, noch bevor das Spiel geöffnet wird. Das Spiel verlangt vom Kind nie etwas: weder sein Einverständnis noch einen Kauf noch eine Angabe über sich. In Belgien liegt das Alter, ab dem eine minderjährige Person im Rahmen von Diensten der Informationsgesellschaft allein in die Verarbeitung ihrer Daten einwilligen kann, bei 13 Jahren; diese Frage stellt sich hier nicht, da wir keine Verarbeitung auf die Einwilligung eines Kindes stützen.

An das Kind wird keinerlei Kaufaufforderung gerichtet. Die Spieloberfläche erwähnt niemals einen Kauf, zeigt keinen Preis und enthält keine Figur, die etwas einfordert. Der Shop liegt hinter einem vierstelligen Elterncode, der von unserem Server und nicht von der Anwendung überprüft wird.

Wenn Sie der Ansicht sind, dass ein Kind uns Daten ohne die erforderliche Zustimmung übermittelt hat, kontaktieren Sie uns unter info@jackandmani.com: Wir nehmen die Überprüfungen vor und löschen die Daten gegebenenfalls.

11. Cookies und Speicherung auf Ihrem Gerät

Der Dienst setzt zwei Cookies, die unbedingt erforderlich sind oder einer Präferenz dienen, ein drittes für die Nutzungsmessung — dieses nur, wenn Sie ihm zugestimmt haben —, und nutzt den lokalen Speicher des Browsers, damit das Spiel ohne Verbindung funktionieren kann. Die Messung ist der einzige einwilligungspflichtige Tracker: Sie ist das Einzige, worum das Banner der Website Sie bittet, und es bittet nur einmal darum.

Die Einzelheiten finden Sie in unserer Cookie-Richtlinie.

12. Sicherheit

Wir setzen geeignete technische und organisatorische Maßnahmen um: Verschlüsselung der Übertragungen (HTTPS), Verwaltung der Passwörter durch einen spezialisierten Authentifizierungsdienst, Authentifizierung der Anfragen über Token sowie Datenbankregeln, die verhindern, dass ein Konto auf die Daten eines anderen zugreift.

Drei Schutzvorkehrungen verdienen es, erwähnt zu werden, weil sie ungewöhnlich sind: Der Elterncode wird in einem Dokument gespeichert, das die Anwendung überhaupt nicht lesen kann, nur der Server hat Zugriff darauf; das Cupcakes-Hauptbuch ist unveränderlich, keine Zeile kann geändert oder gelöscht werden; und die Zeilen, die einem Kauf entsprechen, können ausschließlich vom Server erstellt werden, niemals von der Anwendung.

Da keine Maßnahme absolute Sicherheit gewährleisten kann, empfehlen wir Ihnen, ein starkes Passwort zu wählen und es nicht anderweitig zu verwenden.

13. Die Daten der vorherigen Anwendung

Gooblies ist der Nachfolger einer früheren Anwendung desselben Anbieters. Wenn Sie dort ein Konto hatten, kann Ihnen das Spiel anbieten, Ihren Fortschritt zu übernehmen: Es liest dann rein lesend die mit Ihrem Konto verknüpften Spieldaten dieser früheren Anwendung, um sie in das neue Format zu überführen. In der früheren Anwendung werden keine Daten geschrieben, und der Vorgang findet ausschließlich auf Ihre Anfrage hin statt.

14. Änderungen dieser Erklärung

Wir können diese Erklärung weiterentwickeln, insbesondere um neue Funktionen oder rechtliche Änderungen abzubilden. Jede Änderung wird auf dieser Seite mit einem aktualisierten Datum veröffentlicht. Bei einer wesentlichen Änderung bemühen wir uns, Sie auf geeignetem Wege zu informieren.

15. Kontakt

Bei Fragen zu dieser Erklärung oder zur Ausübung Ihrer Rechte:

Maurice Hurdebise (Jack & Mani) — Dienst Gooblies Rue Chaumont 9, 4970 Stavelot, Belgien E-Mail: info@jackandmani.com

Sie können außerdem Beschwerde bei der Autorité de protection des données (APD, belgische Datenschutzbehörde) in Belgien einlegen: www.autoriteprotectiondonnees.be.