Datenschutzerklärung

1. Verantwortlicher

Verantwortlich für die Datenverarbeitung auf dieser Website ist:

Brightnext Ltd[Anschrift des eingetragenen Sitzes][Postleitzahl, Ort]Vereinigtes KönigreichE-Mail: [E-Mail]

Unser Vertreter in der EU (Art. 27 DSGVO) ist: [Name und Anschrift des EU-Vertreters]. Sie können sich in allen Datenschutzfragen auch an ihn wenden.

Einen Datenschutzbeauftragten haben wir nicht benannt, weil das Gesetz es für uns nicht verlangt.

Wir sitzen im Vereinigten Königreich und verkaufen weltweit. Für uns gilt die UK-Datenschutz-Grundverordnung (UK GDPR). Weil wir auch an Menschen in der EU verkaufen, gilt zusätzlich die Datenschutz-Grundverordnung der EU (DSGVO). Die Artikel unten sind in beiden gleich nummeriert. Für alle Käuferinnen und Käufer gilt dieselbe Erklärung.

Wir betreuen die Website und Ihre Bestellung aus dem Vereinigten Königreich. Für das Vereinigte Königreich gilt ein Angemessenheitsbeschluss der EU-Kommission (Art. 45 DSGVO).

2. Das Wichtigste in Kürze

• Wir verarbeiten nur die Daten, die wir für Ihr Spiel und den Betrieb der Website brauchen.
• Die Website läuft auf unserem eigenen Server in einem Rechenzentrum in der EU.
• Wir setzen keine Cookies.
• Reichweitenmessung findet nur statt, wenn Sie zustimmen. Sie läuft auf unserem eigenen Server.
• Die Zahlung wickelt Paddle als Händler ab. Ihre Zahlungsdaten sehen wir nicht.
• Wir verkaufen keine Daten und nutzen sie nicht für Werbung.
• Die Angaben aus Ihrem Formular löschen wir 90 Tage nach dem Kauf.

3. Hosting und Server-Logs

Die Website läuft auf einem Server, den wir bei OVH SAS (Frankreich) mieten. Der Server steht in einem Rechenzentrum in [Rechenzentrum-Standort, EU]. OVH verarbeitet die Daten auf dem Server nur in unserem Auftrag; dafür haben wir einen Vertrag nach Art. 28 DSGVO geschlossen. Die Daten liegen in der EU; wir greifen aus dem Vereinigten Königreich darauf zu (Abschnitt 1).

Wenn Sie die Website aufrufen, verarbeitet der Server technisch notwendige Daten: IP-Adresse, Datum und Uhrzeit, aufgerufene Adresse, übertragene Datenmenge, Browser und Betriebssystem sowie die zuvor besuchte Seite (Referrer).

Wir brauchen diese Daten, um die Website auszuliefern, Fehler zu finden und Angriffe abzuwehren. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist ein sicherer und stabiler Betrieb.

Die Server-Logs löschen wir nach [14] Tagen.

4. Schutz vor Missbrauch

Damit niemand das Bestellformular massenhaft benutzt, zählen wir Anfragen pro Absender. Dafür speichern wir nicht Ihre IP-Adresse, sondern nur einen nicht umkehrbaren Prüfwert (Hash) daraus. Dieser Wert wird nach etwa einem Tag gelöscht.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist der Schutz vor Missbrauch und Überlastung.

5. Bestellung und Zahlung über Paddle

Den Kauf wickelt Paddle als Händler (Merchant of Record) ab. Ihr Vertragspartner beim Kauf ist Paddle.com Market Limited (Vereinigtes Königreich), bei Käufen aus den USA Paddle.com Inc. und aus Kanada Paddle.com (Canada) Ltd. Paddle verarbeitet die Daten, die Sie beim Bezahlen eingeben, etwa Name, E-Mail-Adresse, Land, Zahlungsdaten und Steuerangaben, in eigener Verantwortung. Dafür gilt die Datenschutzerklärung von Paddle: [Link zur Datenschutzerklärung von Paddle].

Paddle übermittelt uns die Daten, die wir zur Lieferung brauchen: [laut Paddle-Vertrag prüfen, z. B. E-Mail-Adresse, Land, Bestellnummer, Betrag und Zahlungsstatus]. Ihre Zahlungsdaten sehen wir nicht.

Für das Vereinigte Königreich gilt ein Angemessenheitsbeschluss der EU-Kommission (Art. 45 DSGVO).

6. Ihre Bestellung bei uns

Für die Lieferung verarbeiten wir Ihre E-Mail-Adresse, die Sprache, den Zeitpunkt, den Status der Bestellung und die Bestellnummer von Paddle. Ihre Zustimmung zur sofortigen Bereitstellung speichern wir als Nachweis.

Wir nutzen diese Daten, um Ihre Bestellung auszuführen: Wir erstellen Ihr Spiel, schicken Ihnen den Link und helfen bei Fragen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Buchungsbelege müssen wir aufbewahren, weil das Steuer- und Handelsrecht es verlangt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. c DSGVO.

Ohne E-Mail-Adresse können wir Ihnen das Spiel nicht liefern. Die Angabe ist deshalb für die Bestellung erforderlich.

7. Ihre Angaben für das Spiel

Im Formular geben Sie Inhalte für das Spiel ein: Ihren Namen und den der beschenkten Person, Ihre Beziehung, Insider, Erinnerungen, Quizfragen und Antworten, gemeinsame Orte oder Dinge, Ihren Brief, Ihre Schlussnachricht und das Aussehen der Spielfigur.

Wir nutzen diese Angaben nur, um daraus Ihr Spiel zu bauen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Bevor Sie bestellen, prüft ein automatischer Filter die Texte auf verbotene Inhalte, Links und Schadcode. Lehnt der Filter einen Text ab, können Sie ihn ändern. Eine Entscheidung mit rechtlicher Wirkung im Sinne von Art. 22 DSGVO ist das nicht.

Während Sie das Formular ausfüllen, speichert Ihr Browser einen Entwurf auf Ihrem Gerät (ohne E-Mail-Adresse). Nach der Bestellung wird der Entwurf gelöscht.

8. Daten über die beschenkte Person

Ihre Angaben enthalten auch Daten über eine andere Person: die beschenkte Person. Diese Daten geben Sie uns, nicht die Person selbst.

• Geben Sie nur ein, was Sie für ein privates Geschenk teilen dürfen und was die Person nicht verletzen würde.
• Geben Sie keine besonders sensiblen Daten ein, etwa zu Gesundheit, Religion, politischer Meinung oder Sexualleben.
• Geben Sie keine Adressen, Telefonnummern oder Kontodaten ein.

Wir verarbeiten die Daten der beschenkten Person, weil Sie ihr ein persönliches Geschenk machen möchten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Das berechtigte Interesse liegt darin, das gewünschte Geschenk zu erstellen.

Die beschenkte Person kann sich mit allen Rechten aus Abschnitt 16 an uns wenden. Wir haben keine Kontaktdaten von ihr und informieren sie deshalb nicht selbst (Art. 14 Abs. 5 lit. b DSGVO). Diese Erklärung ist jederzeit öffentlich auf unserer Website abrufbar.

9. Erstellung der Spieltexte mit KI

Einen Teil der Spieltexte formuliert ein KI-Modell: Claude Haiku von Anthropic. Dafür senden wir die Texte aus Ihrem Formular einmal an Anthropic. Ihre E-Mail-Adresse senden wir nicht mit. Ihr Brief und Ihre Schlussnachricht bleiben Wort für Wort Ihre.

Anthropic nutzt Daten aus der API nicht zum Training seiner Modelle. Anthropic löscht Eingaben und Ausgaben innerhalb von 30 Tagen, außer es muss sie länger aufbewahren, um Missbrauch zu verfolgen oder gesetzliche Pflichten zu erfüllen.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, für Daten der beschenkten Person Art. 6 Abs. 1 lit. f DSGVO. Die KI trifft keine Entscheidungen über Sie.

10. Ihr Geschenk-Link

Ihr Spiel liegt unter einem Link mit einer langen Zufallskennung. Wer den Link hat, kann das Spiel spielen. Geben Sie ihn deshalb nur an Menschen weiter, die das Spiel sehen sollen.

Wir speichern die fertigen Spielinhalte, solange der Link gültig ist (siehe Abschnitt 15). Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

11. E-Mail-Versand

Den Link und Hinweise zu Ihrer Bestellung verschicken wir über den Dienst Resend ([Anbietergesellschaft laut Vertrag], USA). Wir nutzen die EU-Versandregion von Resend. Resend verarbeitet Ihre E-Mail-Adresse und den Inhalt der E-Mail in unserem Auftrag. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Wir verschicken keinen Newsletter.

12. Reichweitenmessung mit Umami

Wenn Sie im Hinweisfenster zustimmen, zählen wir Seitenaufrufe mit Umami. Umami läuft auf unserem eigenen Server bei OVH. Kein Drittanbieter erhält dabei Daten. Umami setzt keine Cookies.

Erfasst werden die aufgerufene Seite, die vorherige Seite, Browser, Betriebssystem, Gerätetyp und der ungefähre Standort (Land, Region, Stadt). Ihre IP-Adresse wird dafür kurz verarbeitet, aber nicht in der Statistik gespeichert. Aus IP-Adresse, Browser-Kennung und einem regelmäßig wechselnden Zufallswert bildet Umami eine anonyme Sitzungskennung. Der Zufallswert wechselt [monatlich, laut Umami-Konfiguration].

Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO; für Geräte in Deutschland § 25 Abs. 1 TDDDG, im Vereinigten Königreich Regulation 6 PECR). Sie können sie jederzeit über „Cookie-Einstellungen“ unten auf jeder Seite widerrufen. Der Widerruf gilt für die Zukunft.

Die Statistikdaten löschen wir nach [24] Monaten.

13. Speicher im Browser

Cookies setzen wir nicht. Einige Einstellungen speichert Ihr Browser im lokalen Speicher (localStorage) auf Ihrem Gerät. Sie werden nicht an uns übertragen:

• Ihre Wahl zur Reichweitenmessung
• der Entwurf Ihres Formulars, bis Sie bestellen
• der Spielstand, getrennt für jeden Geschenk-Link
• ob der Ton an oder aus ist

Das ist für die Funktionen nötig, die Sie nutzen (§ 25 Abs. 2 Nr. 2 TDDDG; im Vereinigten Königreich Regulation 6(4) PECR). Sie können diese Daten jederzeit in Ihren Browser-Einstellungen löschen.

14. Empfänger und Dienstleister

Diese Dienstleister verarbeiten Daten in unserem Auftrag und nach unseren Weisungen (Art. 28 DSGVO):

• OVH SAS, Frankreich: Server für Website, Datenverarbeitung und Reichweitenmessung, Rechenzentrum in der EU
• Neon ([Vertragspartner laut Vertrag], USA): Datenbank, Speicherort [EU-Region]
• Anthropic ([Vertragspartner laut Vertrag, z. B. Anthropic PBC], USA): Formulierung der Spieltexte
• Resend ([Anbietergesellschaft laut Vertrag], USA): Versand von E-Mails über die EU-Region

Paddle ist kein Auftragsverarbeiter, sondern als Verkäufer selbst verantwortlich (siehe Abschnitt 5).

Neon, Anthropic und Resend sitzen in den USA oder können von dort auf Daten zugreifen. Resend ist nach dem EU-US Data Privacy Framework zertifiziert. Für die USA gilt dafür ein Angemessenheitsbeschluss der EU-Kommission (Art. 45 DSGVO). Mit Anthropic und Neon haben wir Standardvertragsklauseln der EU-Kommission vereinbart (Art. 46 Abs. 2 lit. c DSGVO). Für Übermittlungen aus dem Vereinigten Königreich gelten die britische Erweiterung des Data Privacy Framework (UK-US Data Bridge) und das britische Zusatzabkommen zu den Standardvertragsklauseln (UK Addendum). [Zertifizierungen und Verträge vor Veröffentlichung prüfen.]

15. Speicherdauer

• Angaben aus dem Formular: Löschung 90 Tage nach dem Kauf.
• Fertiges Spiel und Geschenk-Link: spielbar [12] Monate ab Lieferung, danach Löschung innerhalb von [30] Tagen.
• E-Mail-Adresse und Bestelldaten: bis [6] Jahre nach der Bestellung, damit wir Fragen und Ansprüche klären können (Verjährungsfristen).
• Buchungsbelege: 6 Jahre nach Ende des Geschäftsjahres (Companies Act 2006 und Vorgaben der britischen Steuerbehörde HMRC). [Mit Steuerberatung abstimmen.]
• Server-Logs: [14] Tage. Hash-Wert zum Missbrauchsschutz: etwa ein Tag.
• Statistik aus Umami: [24] Monate.
• Bei Anthropic: höchstens 30 Tage, außer in den in Abschnitt 9 genannten Fällen.
• Daten im Browser: bis Sie sie löschen.

Wie lange Paddle Daten speichert, regelt die Datenschutzerklärung von Paddle.

16. Ihre Rechte

Sie haben das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18) und Datenübertragbarkeit (Art. 20). Eine Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3).

Widerspruchsrecht: Verarbeiten wir Daten auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO, können Sie aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit widersprechen (Art. 21 DSGVO).

Schreiben Sie dafür an [E-Mail]. Damit wir Ihre Bestellung finden, nennen Sie bitte die E-Mail-Adresse, mit der Sie bestellt haben. Für Daten, die Paddle beim Bezahlen verarbeitet, wenden Sie sich bitte an Paddle.

17. Beschwerde bei einer Aufsichtsbehörde

Sie können sich bei einer Datenschutz-Aufsichtsbehörde beschweren (Art. 77 DSGVO). Für uns zuständig ist das Information Commissioner’s Office (ICO), Wycliffe House, Water Lane, Wilmslow, Cheshire SK9 5AF, Vereinigtes Königreich, ico.org.uk. Wohnen Sie in der EU, können Sie sich auch an die Aufsichtsbehörde in Ihrem Land wenden.

18. Keine automatisierten Entscheidungen

Wir treffen keine Entscheidungen, die allein auf automatisierter Verarbeitung beruhen und Ihnen gegenüber rechtliche Wirkung entfalten (Art. 22 DSGVO). Der Textfilter aus Abschnitt 7 hält nur unzulässige Texte zurück; Sie können sie ändern oder uns schreiben.

19. Änderungen

Wir passen diese Erklärung an, wenn sich unser Angebot oder die Rechtslage ändert. Es gilt die Fassung, die hier veröffentlicht ist.

Stand: [Datum]