Datenschutz

René Hufeisen, 42369 Wuppertal. Kontakt: rene@vovado.de. Die vollständige Anschrift steht im Impressum.

Benutzername, Anzeigename, E-Mail-Adresse, ein Passwort (nur als bcrypt-Prüfsumme, nie im Klartext), der vierstellige Freundescode und das Datum der Anmeldung.

Freiwillig dazu: Profilbild, Banner, Beschreibung, Ort, Lieblingsspiele, der gewählte Anwesenheitszustand und die Zeile „spielt gerade".

Rechtsgrundlage: Artikel 6 Absatz 1 Buchstabe b DSGVO — ohne diese Daten gibt es kein Konto und damit keinen Dienst.

Nachrichten und Anhänge mit Absender und Zeitpunkt — in Kanälen für alle sichtbar, die den Kanal sehen dürfen, in Direktnachrichten für die beiden Beteiligten. Bilder, Sprachnachrichten und Dateien liegen in einem Objektspeicher in Falkenstein (siehe Wer sonst noch beteiligt ist); in der Datenbank steht nur, wo sie liegen.

Mitgliedschaften in Servern, Rollen, Spitznamen und der Beitrittszeitpunkt.

Sitzungen: zu jeder Anmeldung werden IP-Adresse, Browserkennung und Zeitpunkt gespeichert — damit man fremde Anmeldungen erkennen und beenden kann. Sie werden nach 30 Tagen ungültig.

Protokolle der Serververwaltung: wer wen zu welcher Rolle gemacht, wen entfernt oder welche Nachricht gelöscht hat. Das ist die Nachvollziehbarkeit, ohne die Moderation Willkür wäre.

Gespräche laufen DIREKT zwischen den Browsern der Beteiligten (WebRTC). Der Server vermittelt nur den Verbindungsaufbau — Ton und Bild gehen nicht über ihn und werden nirgends aufgezeichnet. Nur wenn eine direkte Verbindung nicht zustande kommt, läuft der Ton verschlüsselt über einen Vermittlungsserver (TURN), der ihn weiterreicht, ohne ihn zu speichern.

Wer sein FiveM-Konto verknüpft, speichert damit seine Spiellizenz und seinen Spielnamen. Die Lizenz wird NIE angezeigt — sie ist eine Kennung, mit der man sich ausgeben könnte. Sie dient nur dazu, „ist im Spiel" und die Fraktionsrollen zuzuordnen. Die Verknüpfung lässt sich jederzeit wieder lösen.

Zwei Dienstleister verarbeiten Daten in unserem Auftrag. Mehr sind es nicht, und mehr sollen es nicht werden.

Hetzner Online GmbH, Gunzenhausen — der Server und der Objektspeicher, in dem Bilder, Sprachnachrichten und Dateien liegen. Standort Falkenstein, Deutschland. Auftragsverarbeitung nach Artikel 28 DSGVO; die Daten verlassen die EU nicht.

Google Ireland Ltd. / Google LLC — nur für Telefonmeldungen („Push"). Damit dein Handy klingelt, während die App zu ist, gehen an Googles Meldedienst: eine zufällige Gerätekennung, der Name des Absenders und der des Kanals oder Servers, sowie ein Auszug der Nachricht. Nicht: dein Passwort, deine E-Mail, dein Verlauf.

Das ist eine Übermittlung in die USA (Artikel 44 ff. DSGVO). Google LLC ist nach dem EU-US Data Privacy Framework zertifiziert; darauf stützt sich die Übermittlung. Wer das nicht will, schaltet Telefonmeldungen in den Einstellungen unter „Benachrichtigungen" aus — dann geht nichts dorthin. Im Browser und im Windows-Programm wird Google ohnehin nicht angesprochen.

Der Mailversand (Bestätigungen, Passwort vergessen) läuft über einen eigenen Mailserver, nicht über einen Dienstleister.

Linkvorschau. Schickt jemand einen Link, holt unser Server die Seite, um Titel und Bild zu zeigen — nicht dein Browser. Die fremde Seite sieht dadurch nur uns, nie die IP-Adressen der Mitglieder: bei dreissig Leuten in einem Kanal wären das sonst dreissig Adressen für einen Link, den einer geschickt hat. Der Abruf geht an die Adresse, die im Link steht — bei YouTube, Twitch, Vimeo, SoundCloud und Reddit an deren öffentliche Vorschau-Schnittstelle.

Nur im Windows-Programm. Im Browser und auf dem Handy wird nichts davon erkannt.

Das Programm sieht auf deinem Rechner nach, welche Programme laufen, und vergleicht sie mit einem Katalog von Spielen. An uns geht nur der Name des erkannten Spiels — nie eine Liste deiner Programme, nie ein Dateipfad. Was nicht im Katalog steht, wird gar nicht erst gemeldet.

Hast du YouTube, Twitch oder Netflix offen, geht ausserdem der Titel dessen hinaus, was dort gerade läuft. Andere Seiten werden nicht angefasst — auch nicht, um sie zu verwerfen: der Fenstertitel wird auf deinem Rechner geprüft, und nur bei diesen drei Marken entsteht überhaupt ein Ergebnis.

Sehen können es deine Freunde und Leute aus deinen Servern, sonst niemand. Es wird nicht gespeichert: es steht im Arbeitsspeicher, solange es läuft, und ist nach spätestens 90 Sekunden ohne Meldung weg. Ein Verlauf entsteht nicht.

Beides lässt sich einzeln abschalten — Einstellungen → Spiel. Es sind zwei Schalter, weil es zwei Entscheidungen sind: „spielt CS2" zu zeigen ist etwas anderes, als zu zeigen, welches Video läuft. Einzelne Spiele lassen sich ausnehmen, ohne alles abzuschalten.

Rechtsgrundlage: Artikel 6 Absatz 1 Buchstabe a DSGVO — Einwilligung, jederzeit widerruflich über die Schalter.

Betreiber eines FiveM-Servers können ihn mit ihrem Vovado-Server verbinden. Dann meldet ihr Spielserver an uns, welche Spiellizenzen gerade online sind, und fragt, ob jemand hereindarf und welche Rollen er bekommt.

Übermittelt wird nur an den Server, zu dem der Schlüssel gehört, und nur über Mitglieder dieses Servers. Der Spielserver erfährt nie, welches Vovado-Konto zu einer Lizenz gehört — er bekommt „ja" oder „nein" und einen Grund.

Für das, was auf dem Spielserver selbst geschieht, ist dessen Betreiber verantwortlich, nicht wir.

Auf der Startseite kann man sich als Tester für die Android-App melden. Gespeichert wird dann die Adresse deines Google-Kontos und, wenn du ihn angibst, dein Name. Mehr wird nicht gefragt.

Die Adresse geht an Google Play — anders lässt sich niemand als Tester eintragen. Play schickt dir daraufhin eine Einladung.

Rechtsgrundlage: Artikel 6 Absatz 1 Buchstabe a DSGVO — du trägst dich selbst ein. Eine Nachricht an die Kontaktadresse genügt, und der Eintrag ist weg. Spätestens wenn der Test vorbei ist, wird die Liste gelöscht.

Keine Werbung, kein Verkauf von Daten, kein Zählpixel, keine Nutzungsstatistik, keine Schriftarten von fremden Servern. Ausser den zwei oben genannten Dienstleistern bekommt niemand etwas — und die bekommen nur, was ihre Aufgabe braucht.

Es gibt kein Einwilligungsfenster für Kekse, weil es nichts einzuwilligen gibt: gespeichert wird ein Sitzungskeks, ohne den man nicht angemeldet bleiben kann, und im Browserspeicher ein paar Einstellungen (gewähltes Mikrofon, Lautstärken). Beides ist technisch notwendig (§ 25 Absatz 2 TDDDG).

Kontodaten: solange das Konto besteht.

Nachrichten: bis sie gelöscht werden — von dir, von der Moderation, oder mit dem Kanal.

Sitzungen: 30 Tage, oder bis zum Abmelden.

Verwaltungsprotokolle: 90 Tage, danach werden sie gelöscht.

Einblicke der Betreiber (wer wann in welchen Kanal gesehen hat): ein Jahr. Sie sind die Gegenkontrolle zu einer weitreichenden Befugnis und dürfen deshalb nicht so schnell verschwinden wie das, was sie belegen.

Auskunft und Mitnahme (Art. 15, 20): In den Einstellungen unter „Konto" lädst du mit einem Klick alles herunter, was über dich gespeichert ist — als Datei.

Löschung (Art. 17): Ebenfalls in den Einstellungen unter „Konto". Dabei entscheidest du selbst, was mit deinen Nachrichten geschieht: Standard ist, dass der Personenbezug verschwindet und der Gesprächsverlauf für die anderen lesbar bleibt („Gelöschtes Konto"). Auf Wunsch werden die Nachrichten mitgelöscht. Server, die dir gehören, werden mit gelöscht.

Berichtigung, Einschränkung, Widerspruch (Art. 16, 18, 21): Vieles änderst du selbst im Profil; für alles andere genügt eine Nachricht an rene@vovado.de.

Beschwerde (Art. 77): bei der Datenschutz-Aufsichtsbehörde deines Bundeslandes — zuständig ist Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW).

Für Kinder unter 16 Jahren braucht es die Zustimmung der Eltern (Artikel 8 DSGVO). Wer jünger ist, legt hier bitte ohne diese Zustimmung kein Konto an.

Die Verbindung ist durchgehend verschlüsselt (HTTPS). Passwörter liegen als bcrypt-Prüfsumme, Sitzungsschlüssel nur als SHA-256 — wer die Datenbank läse, könnte sich damit nicht anmelden. Sollte es dennoch einmal zu einer Datenpanne mit Risiko für dich kommen, wirst du benachrichtigt (Artikel 34 DSGVO).