Datenschutzerklärung

Stand: 21. Oktober 2026

1. Verantwortlicher

Verantwortlich für die Verarbeitung personenbezogener Daten auf https://ninelives.beastyrabbit.com ist:

Tobias Heer
c/o Impressumservice Dein-Impressum
Stettiner Str. 41
35410 Hungen
Deutschland

E-Mail: datenschutz-ninelives@heerlab.com

Ein Datenschutzbeauftragter ist nicht bestellt, da hierzu keine gesetzliche Pflicht besteht.

2. Überblick

Diese Erklärung informiert darüber, welche personenbezogenen Daten bei der Nutzung von Nine Lives verarbeitet werden, zu welchen Zwecken, auf welcher Rechtsgrundlage und wie lange. Nine Lives ist ein privates, nicht-kommerzielles Projekt. Nine Lives ist ein Rollenspiel im Browser. Man kann ohne Nutzerkonto als Gast spielen; dann bleibt der Spielstand nur im eigenen Browser. Wer sich anmeldet, kann den Spielstand zusätzlich auf dem Server speichern.

Personenbezogene Daten werden nicht verkauft und nicht für Werbung verwendet. Eine automatisierte Entscheidungsfindung einschließlich Profiling im Sinne von Art. 22 DSGVO findet nicht statt.

3. Hosting und Bereitstellung

Nine Lives läuft auf eigener Server-Infrastruktur des Verantwortlichen in Deutschland. Aufrufe aus dem Internet erreichen die Anwendung über einen Reverse-Proxy auf einem virtuellen Server der netcup GmbH, Emmy-Noether-Straße 10, 76131 Karlsruhe, Deutschland (Rechenzentrum in Nürnberg). netcup verarbeitet die Daten dabei als Auftragsverarbeiter; mit netcup besteht ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO. Die Verbindung ist bis zum Reverse-Proxy TLS-verschlüsselt und wird von dort durch einen verschlüsselten Tunnel an die eigene Infrastruktur weitergeleitet.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Das berechtigte Interesse liegt in einer sicheren und zuverlässigen Bereitstellung der Website.

Zur Datensicherung werden regelmäßig Sicherungskopien innerhalb der eigenen Infrastruktur erstellt; sie werden nach Ablauf ihrer Aufbewahrungszeit überschrieben.

4. Server-Logfiles

Bei jedem Aufruf speichert der Reverse-Proxy automatisch folgende Daten:

Die Header Cookie und Authorization werden geschwärzt. URL-Pfade und Abfrageparameter werden protokolliert.

Die Daten dienen dem Betrieb, der Fehleranalyse und der Abwehr von Angriffen und Missbrauch. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Das berechtigte Interesse liegt in Stabilität und Sicherheit des Angebots. Die Logfiles werden nach 14 Tagen automatisch gelöscht.

Daneben entstehen auf dem Reverse-Proxy und in der Anwendung kurzlebige technische Protokolle, etwa Anfrage-, Verbindungs- und Fehlerprotokolle sowie Hinweise der Angriffserkennung (siehe Abschnitt 5). Sie können die IP-Adresse, den Zeitpunkt und die aufgerufene Adresse enthalten und dienen denselben Zwecken auf derselben Rechtsgrundlage. Sie werden nach spätestens 30 Tagen gelöscht.

5. Schutz vor Angriffen (CrowdSec)

Zum Schutz vor Angriffen wertet die Sicherheitssoftware CrowdSec die Server-Logfiles automatisch aus und sperrt IP-Adressen, von denen erkennbar Angriffe ausgehen (zum Beispiel massenhafte Anmeldeversuche oder das Ausspähen von Schwachstellen). Erkennt CrowdSec einen Angriff, werden die IP-Adresse, der Zeitpunkt und die Art des Angriffs an die CrowdSec SAS, 20 rue Maurice Arnoux, 92120 Montrouge, Frankreich, übermittelt. CrowdSec nutzt diese Meldungen für eine gemeinsame Sperrliste, die Angriffe auf viele Server abwehrt. Bei normalem Surfen werden keine Daten an CrowdSec übermittelt.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Das berechtigte Interesse liegt im Schutz der Website und ihrer Nutzer vor Angriffen.

Für diese Verarbeitung sind der Verantwortliche und CrowdSec nach Angaben von CrowdSec gemeinsam verantwortlich (Art. 26 DSGVO): CrowdSec ist für den Betrieb seiner zentralen Dienste und Sperrlisten verantwortlich, der Verantwortliche für den Einsatz auf diesem Server. Sie können Ihre Rechte gegenüber beiden geltend machen, bei CrowdSec unter dpo@crowdsec.net. CrowdSec kann die gemeldeten Daten an Mitglieder und Partner seines Netzwerks weitergeben. Übermittlungen in Länder außerhalb der EU erfolgen nach Angaben von CrowdSec auf Grundlage von Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO).

Vollständige IP-Adressen werden grundsätzlich höchstens drei Monate gespeichert und anschließend schrittweise verallgemeinert. Für bestimmte Angriffsanalysen und Trainingszwecke nennt CrowdSec Ausnahmen von bis zu einem Jahr vor der Anonymisierung. Details: crowdsec.net/privacy-policy.

6. Nutzerkonto und Spielstände

Wenn Sie sich anmelden, speichert Nine Lives auf dem eigenen Server in Deutschland einen Spielerdatensatz mit der Kennung Ihres Nutzerkontos sowie Ihre Spielstände (Spielfortschritt, Einstellungen, Spielzeit und im Spiel vergebene Namen). E-Mail-Adresse und Passwort speichert Nine Lives nicht. Zweck ist, Ihren Spielstand geräteübergreifend bereitzustellen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Beim Spielen als Gast bleibt der Spielstand nur in Ihrem Browser (siehe Abschnitt 10) und wird nicht an den Server übertragen.

Die Daten auf dem Server werden bis zu 10 Jahre gespeichert. Auf Anfrage an datenschutz-ninelives@heerlab.com löscht der Verantwortliche sie früher.

7. Anmeldung mit Clerk

Für die Anmeldung nutzt Nine Lives den Dienst Clerk der Clerk, Inc., 660 King Street, San Francisco, CA 94107, USA, als Auftragsverarbeiter. Clerk wird erst geladen, wenn Sie sich anmelden oder bereits angemeldet sind; beim Spielen als Gast nicht. Dabei verarbeitet Clerk Ihre Kontodaten (E-Mail-Adresse, Benutzername, Passwort in verschlüsselter Form), Ihre IP-Adresse sowie Geräte- und Sitzungsdaten. Dasselbe Nutzerkonto gilt auch für BeastyPage (beastyrabbit.com). Zweck ist die sichere Anmeldung; Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Die Anmeldung ist technisch erforderlich, um den Spielstand mit Ihrem Konto zu verbinden. Clerk ist unter dem EU-US Data Privacy Framework zertifiziert. Die Kontodaten werden gespeichert, bis das Konto gelöscht wird, höchstens bis zu 10 Jahre. Details: Datenschutzerklärung von Clerk.

Bei der Registrierung setzt Clerk zum Schutz vor automatisierten Anmeldungen den Dienst Turnstile der Cloudflare, Inc., 101 Townsend St., San Francisco, CA 94107, USA, ein (Art. 6 Abs. 1 lit. f DSGVO; Cloudflare ist unter dem EU-US Data Privacy Framework zertifiziert; Hinweise). Wenn Sie sich stattdessen mit einem Konto bei Discord, GitHub oder Twitch anmelden, übermittelt der jeweilige Anbieter die Kennung und E-Mail-Adresse Ihres Kontos an Clerk; für die Verarbeitung bei sich ist der Anbieter selbst verantwortlich (Discord, GitHub, Twitch).

8. Nutzungsstatistiken, Fehlerberichte und Einwilligung

Umami und GlitchTip laufen auf eigenen Servern des Verantwortlichen in Deutschland.

Mit Ihrer Einwilligung erfasst Umami Nutzungsstatistiken, Spielereignisse und Leistungswerte, um das Spiel zu verbessern. Außerdem erstellt Umami Sitzungsaufzeichnungen und Heatmaps der Seite, wobei sämtliche Texte und Eingaben maskiert werden. Die Spielfläche im Canvas wird nicht aufgezeichnet. Umami läuft erst, nachdem Sie der Analyse zugestimmt haben. Rechtsgrundlage ist Ihre Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG. Analysedaten werden bis zu 10 Jahre gespeichert. Sie können Ihre Einwilligung jederzeit über Cookie-Einstellungen widerrufen. Beim Widerruf wird das Spiel neu geladen, um die Aufzeichnung zu beenden. Die Rechtmäßigkeit der Verarbeitung vor dem Widerruf bleibt unberührt. Ist Nine Lives auf BeastyPage (beastyrabbit.com) eingebettet, zeigt das Spiel keinen eigenen Einwilligungsbanner und folgt Ihrer Analyse-Auswahl in den Cookie-Einstellungen von BeastyPage; dort können Sie sie ändern oder widerrufen.

GlitchTip erhält Fehlerberichte und technische Diagnosedaten aus dem Browser und vom Server, um Fehler zu finden und zu beheben. Personenbezogene Daten werden nicht absichtlich erhoben; identifizierende Angaben werden gefiltert und IP-Adressen entfernt. GlitchTip speichert nichts auf Ihrem Gerät. Ereignisse werden 90 Tage aufbewahrt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Das berechtigte Interesse liegt in einem stabilen und zuverlässigen Spiel.

Das Einwilligungsbanner speichert Ihre Auswahl im Erstanbieter-Cookie nl_consent für 180 Tage, um Ihre Einstellungen zu merken und anzuwenden. Diese Speicherung ist nach § 25 Abs. 2 Nr. 2 TDDDG technisch erforderlich. Rechtsgrundlage für die Verarbeitung Ihrer Auswahl ist Art. 6 Abs. 1 lit. f DSGVO; das berechtigte Interesse liegt darin, Ihre Datenschutzeinstellungen zu beachten und zu dokumentieren.

9. Kontakt per E-Mail

Wenn Sie per E-Mail Kontakt aufnehmen, werden Ihre E-Mail-Adresse, der Inhalt Ihrer Nachricht und die technischen Angaben der E-Mail verarbeitet, um Ihre Anfrage zu beantworten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Das berechtigte Interesse liegt darin, Anfragen beantworten zu können.

Die E-Mail-Postfächer werden bei der Fastmail Pty Ltd, PO Box 234, Collins Street West, VIC 8007, Australien, als Auftragsverarbeiter betrieben. Dabei können Daten in Länder außerhalb der EU übermittelt werden, insbesondere nach Australien, in die USA und nach Indien. Für diese Übermittlungen verwendet Fastmail Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO). Details: Datenschutzerklärung von Fastmail, Auftragsverarbeitungsvertrag und Standardvertragsklauseln. Eine Kopie der Garantien erhalten Sie auf Anfrage an datenschutz-ninelives@heerlab.com.

Der Verantwortliche löscht Nachrichten nach Erledigung der Anfrage, soweit keine Aufbewahrung erforderlich ist. Bei Fastmail können anschließend noch Sicherungs- und Protokolldaten nach dessen veröffentlichten Löschregeln verbleiben.

10. Cookies und lokale Speicherung

Nine Lives speichert im Browser Ihre Spielstände, Einstellungen und eine zufällige Gast-Kennung (lokaler Speicher und IndexedDB), bis Sie die Website-Daten im Browser löschen. Wenn Sie sich anmelden, setzt Clerk Cookies und lokale Einträge für die Anmeldesitzung mit einer Laufzeit von bis zu einem Jahr. Diese Speicherungen sind für das Spiel und die Anmeldung technisch erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG); eine Einwilligung ist dafür nicht nötig. Das Einwilligungsbanner speichert Ihre Auswahl außerdem für 180 Tage im Cookie nl_consent. Umami läuft nur nach Ihrer Zustimmung zur Analyse, wie in Abschnitt 8 beschrieben. Werbe-Cookies werden nicht gesetzt.

11. Ihre Rechte

Sie haben gegenüber dem Verantwortlichen folgende Rechte hinsichtlich Ihrer personenbezogenen Daten:

Widerspruchsrecht (Art. 21 DSGVO): Soweit eine Verarbeitung auf Art. 6 Abs. 1 lit. f DSGVO beruht, können Sie aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit widersprechen.

Zur Ausübung Ihrer Rechte genügt eine Nachricht an datenschutz-ninelives@heerlab.com.

Sie haben außerdem das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren, insbesondere in dem Mitgliedstaat Ihres gewöhnlichen Aufenthalts, Ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes (Art. 77 DSGVO).

12. Pflicht zur Bereitstellung

Sie sind nicht verpflichtet, personenbezogene Daten bereitzustellen. Ohne die technisch notwendigen Verbindungsdaten kann die Website jedoch nicht ausgeliefert werden. Ohne Nutzerkonto können Sie als Gast spielen; der Spielstand wird dann nur in Ihrem Browser gespeichert.

13. Änderungen

Diese Datenschutzerklärung wird angepasst, wenn sich die Website oder die Rechtslage ändert. Es gilt die jeweils hier veröffentlichte Fassung.