Datenschutzerklärung

Stand: 9. November 2026

Diese Datenschutzerklärung erklärt, welche personenbezogenen Daten wir verarbeiten, wenn du WANTED SIX besuchst oder ein Konto nutzt: wofür, auf welcher Rechtsgrundlage, an wen Daten gehen, wo sie liegen, wie lange wir sie speichern und welche Rechte du hast. Sie beschreibt die Plattform so, wie sie heute technisch funktioniert. Wo etwas noch nicht so umgesetzt ist, wie wir es anstreben, sagen wir das offen.

Diese Erklärung gibt es auf Deutsch und auf Englisch. Beide Fassungen haben denselben Inhalt. Sollten sie sich widersprechen, gilt die für dich günstigere Auslegung. Ergänzend gelten die Cookie-Richtlinie mit allen Cookies und Speichereinträgen im Detail, die Nutzungsbedingungen, die Community-Richtlinien und das Impressum.

Das Wichtigste in Kürze

• Verantwortlich ist die WKD GmbH in Amstetten, Österreich. Du erreichst uns unter hello@wantedsix.com oder über das Kontaktformular.

• Lesen kannst du WANTED SIX ohne Konto. Ein Konto gibt es ab 18 Jahren; dafür brauchen wir E-Mail-Adresse, Passwort (oder deine Anmeldung mit Google), Handle (Benutzername) und Anzeigenamen.

• Datenbank, Anmeldung und Dateien liegen in Frankfurt am Main. Die Serverfunktionen der Website laufen aber in Washington, D.C., USA. Anfragen an unsere Server, Formulareingaben, Chat- und Kommentartexte, Bild-Uploads und Datenexporte laufen deshalb über Server in den USA; bei angemeldeten Mitgliedern betrifft das jeden Seitenaufruf. Grundlage sind das EU-U.S. Data Privacy Framework und Standardvertragsklauseln.

• Google Analytics 4 ist aktiv, läuft aber nur, wenn du in den Cookie-Einstellungen dem Zweck „Statistik“ und Google Analytics 4 als Dienst zugestimmt hast. Werbe-Tracker sind keine aktiv: Google Ads, den Meta Pixel (Facebook und Instagram) und den TikTok Pixel haben wir technisch vorbereitet, sie sind aber nicht eingeschaltet.

• Unsere eigene Statistik und YouTube-Videos laden nur mit deiner Einwilligung. Fingerprinting setzen wir nicht ein.

• Profile sind standardmäßig öffentlich. Du kannst dein Profil auf privat stellen; Handle und Anzeigename bleiben dann trotzdem sichtbar, etwa an deinen Kommentaren.

• Direktnachrichten und Crew-Chats kann unser Team über die Plattform nicht lesen. Sie sind aber nicht Ende-zu-Ende-verschlüsselt. Meldest du Nachrichten, geht nur der von dir ausgewählte Auszug an die Moderation.

• Nach einer Kontolöschung bleiben einige Daten zurück: deine Kommentare und Chatnachrichten (als „Gelöschtes Konto“), dein Punkteverlauf, Moderationsvorgänge und Einwilligungsnachweise, derzeit aber auch deine E-Mail-Adresse, deine Anmeldedaten und hochgeladene Dateien. Was genau und warum, steht im Abschnitt „Kontolöschung“. Auf Anfrage entfernen wir alles, was wir nicht aufbewahren müssen.

• Für einige Daten haben wir Löschfristen festgelegt, deren automatische Löschung aber noch nicht eingeschaltet ist. Für andere Daten gibt es noch keine feste Frist. Beides sagen wir bei jeder Verarbeitung offen.

• Deine Daten lädst du unter Daten & Konto herunter. Eine vollständige Auskunft, eine Berichtigung, eine Löschung oder einen Widerspruch verlangst du per E-Mail; wir antworten innerhalb eines Monats.

Verantwortlicher und Kontakt

Verantwortlich für die Verarbeitung personenbezogener Daten auf WANTED SIX im Sinne von Art. 4 Nr. 7 DSGVO ist die WKD GmbH, Arthur-Krupp-Straße 1, 3300 Amstetten, Österreich, Firmenbuchnummer FN 685687p, Firmenbuchgericht Landesgericht St. Pölten, E-Mail hello@wantedsix.com. Die WKD GmbH betreibt WANTED SIX und entscheidet über Zwecke und Mittel der Verarbeitung. Alle weiteren Unternehmensangaben findest du im Impressum.

Für Datenschutzanliegen erreichst du uns per E-Mail, über das Kontaktformular oder per Post an die genannte Anschrift, jeweils auf Deutsch oder Englisch.

Einen Datenschutzbeauftragten haben wir nicht benannt. Dazu sind wir nach Art. 37 DSGVO nicht verpflichtet: Unsere Kerntätigkeit besteht weder in einer umfangreichen, regelmäßigen und systematischen Überwachung von Personen noch in der umfangreichen Verarbeitung besonderer Kategorien personenbezogener Daten oder von Daten über strafrechtliche Verurteilungen und Straftaten. Alle Datenschutzanliegen richtest du direkt an die oben genannte Adresse.

So machst du deine Rechte geltend

Vieles erledigst du selbst im Mitgliederbereich: Profil, Sichtbarkeit und Benachrichtigungen änderst du in den Kontoeinstellungen, unter Daten & Konto lädst du deine Daten herunter und beantragst die Löschung deines Kontos. Deine Cookie-Auswahl änderst oder widerrufst du jederzeit über „Cookie-Einstellungen“ im Footer der öffentlichen Seiten oder über die Schaltfläche in der Cookie-Richtlinie.

Für alles andere, etwa eine vollständige Auskunft nach Art. 15 DSGVO, die Berichtigung deiner E-Mail-Adresse, die Löschung bestimmter Daten, eine Einschränkung oder einen Widerspruch, gehst du so vor:

1. Schick deine Anfrage an hello@wantedsix.com oder über das Kontaktformular. Hast du ein Konto, nenne deinen Handle und schreib am besten von der E-Mail-Adresse, mit der du registriert bist.

2. Wir prüfen, ob die Anfrage wirklich von dir stammt, damit niemand fremde Daten erhält. Dafür können wir dich bitten, die Anfrage aus deinem Konto oder von deiner hinterlegten E-Mail-Adresse zu bestätigen. Wir fragen nur nach den Angaben, die wir für diese Prüfung brauchen.

3. Wir antworten innerhalb eines Monats. Bei komplexen oder zahlreichen Anfragen kann sich diese Frist um bis zu zwei weitere Monate verlängern; dann sagen wir dir das innerhalb des ersten Monats und nennen die Gründe (Art. 12 Abs. 3 DSGVO).

4. Die Bearbeitung ist kostenlos. Nur bei offenkundig unbegründeten oder exzessiven Anfragen dürfen wir nach Art. 12 Abs. 5 DSGVO ein angemessenes Entgelt verlangen oder die Bearbeitung ablehnen.

Rechtsgrundlagen kurz erklärt

Bei jeder Verarbeitung nennen wir die Rechtsgrundlage. Gemeint ist Folgendes:

• Art. 6 Abs. 1 lit. a DSGVO: deine Einwilligung, etwa für Statistik, YouTube-Videos und den Newsletter. Für das Speichern und Auslesen von Informationen auf deinem Gerät, das nicht unbedingt erforderlich ist, gilt zusätzlich § 165 Abs. 3 TKG 2021.

• Art. 6 Abs. 1 lit. b DSGVO: die Erfüllung des Nutzungsvertrags mit dir, also alles, was du als Mitglied nutzt.

• Art. 6 Abs. 1 lit. c DSGVO: eine rechtliche Pflicht, etwa aus dem Digital Services Act (DSA) bei Meldungen rechtswidriger Inhalte, die Pflicht, Einwilligungen nachzuweisen, oder die Beantwortung deiner Datenschutzanfragen.

• Art. 6 Abs. 1 lit. f DSGVO: unser berechtigtes Interesse. Welches Interesse das ist, schreiben wir jeweils dazu. Dagegen kannst du Widerspruch einlegen (siehe „Dein Recht auf Widerspruch“).

• § 165 Abs. 3 TKG 2021: Cookies und Speichereinträge, ohne die die Plattform oder eine von dir gewünschte Funktion nicht funktioniert, setzen wir ohne Einwilligung ein.

Die einzelnen Verarbeitungen

Für jede Verarbeitung findest du unten dieselben Punkte: welche Daten, wofür, auf welcher Rechtsgrundlage, wer sie erhält, wo sie liegen, wie lange wir sie speichern und ob du sie angeben musst. Zwei Dinge gelten fast überall und stehen deshalb nur hier:

• Speicherort Frankfurt: Unsere Datenbank, die Anmeldung und der Dateispeicher laufen bei Supabase in Frankfurt am Main (Region eu-central-1). Vertragspartner ist die Supabase Pte. Ltd. in Singapur; Zugriffe für Support und Betrieb sind auch aus Singapur und den USA möglich. Grundlage dafür sind Standardvertragsklauseln.

• Serverfunktionen in den USA: Die Website läuft bei Vercel. Seiten, Formulare und Schnittstellen werden von Serverfunktionen in Washington, D.C., USA (Region iad1) verarbeitet. Was du als angemeldetes Mitglied abrufst oder absendest, läuft deshalb über die USA, bevor es in Frankfurt gespeichert wird. Grundlage sind das EU-U.S. Data Privacy Framework, nach dem Vercel zertifiziert ist, und Standardvertragsklauseln. Wo dein Browser direkt mit Supabase in Frankfurt spricht, sagen wir das bei der jeweiligen Verarbeitung.

1. Website-Aufruf, Hosting und Server-Protokolle

Rufst du eine Seite auf, nimmt bei Anfragen aus Europa in der Regel ein Vercel-Standort in Frankfurt am Main die Anfrage entgegen. Statische Inhalte kommen aus dem Zwischenspeicher von Vercel, dynamische Inhalte erzeugen unsere Serverfunktionen in den USA. Banner, Titelbilder und Vorschaubilder lädt unser Server selbst bei Supabase bzw. YouTube und liefert sie dir aus, sodass dein Browser dafür keine fremden Server kontaktiert. Profilbilder und andere kleine Avatarbilder lädt dein Browser direkt aus unserem Dateispeicher bei Supabase. Suchbegriffe verarbeiten wir nur, um Ergebnisse anzuzeigen; ein eigenes Suchprotokoll führen wir nicht. Schriftarten liegen auf unseren eigenen Servern. Für die Offline-Seite speichert dein Browser über einen Service Worker einige Dateien der Website zwischen, ohne personenbezogene Daten.

• Daten: IP-Adresse, Zeitpunkt, aufgerufene Adresse einschließlich Suchparametern, Browserkennung (User-Agent), verweisende Seite, Spracheinstellung des Browsers, die von deinem Browser mitgesendeten Cookies (siehe Cookie-Richtlinie) und technische Fehlermeldungen.

• Zweck: Seiten ausliefern, die passende Sprache wählen, angemeldete Sitzungen aktuell halten, Bilder passend verkleinern, den Betrieb absichern sowie Fehler und Angriffe erkennen.

• Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist ein sicheres, schnelles und funktionsfähiges Angebot. Für angemeldete Mitglieder zusätzlich Art. 6 Abs. 1 lit. b DSGVO.

• Empfänger: Vercel Inc. (Hosting, Auslieferung, Serverfunktionen) und Supabase (Datenbank, Dateispeicher) als Auftragsverarbeiter.

• Speicherort und Übermittlung: Auslieferung über das Netz von Vercel, für Europa in der Regel Frankfurt am Main; Serverfunktionen in Washington, D.C., USA (Data Privacy Framework und Standardvertragsklauseln); Supabase in Frankfurt am Main.

• Speicherdauer: Vercel und Supabase führen technische Protokolle mit Verbindungsdaten. Wie lange sie diese aufbewahren, richtet sich nach den Einstellungen der Anbieter; eigene Kopien dieser Protokolle legen wir nicht an. Unser eigener Code schreibt nur Fehlermeldungen in diese Protokolle, keine Inhalte.

• Bereitstellung: Technisch notwendig. Ohne diese Daten kann die Website nicht angezeigt werden.

2. Registrierung und Altersbestätigung

Ein Konto legst du unter „Registrieren“ an. Dein Browser schickt die Angaben direkt an unseren Anmeldedienst Supabase Auth in Frankfurt; sie laufen nicht über unsere Serverfunktionen in den USA. Ob ein Handle noch frei ist, prüfen wir schon während der Eingabe.

• Daten: E-Mail-Adresse, Passwort (gespeichert nur als Hash), Handle (3 bis 24 Zeichen, später nicht änderbar), Anzeigename, Sprache, deine Bestätigung, dass du mindestens 18 Jahre alt bist, mit Zeitpunkt, und die Annahme der Nutzungsbedingungen mit Zeitpunkt und Fassung. Optional ein Creator-Code und, wenn du über einen Einladungslink kommst, der Einladungscode; beide Codes speichern wir auch in den Kontodaten des Anmeldedienstes. Mit Statistik-Einwilligung zählt unsere eigene Statistik pseudonym, dass ein Registrierungsformular begonnen wurde (siehe Abschnitt 32).

• Zweck: Konto anlegen, deine öffentliche Identität festlegen, Volljährigkeit und Annahme der Bedingungen nachweisen, Einladungen und Creator-Unterstützung zuordnen (siehe Abschnitt 25).

• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Abschluss und Erfüllung des Nutzungsvertrags); für den Nachweis von Alter und Zustimmung zusätzlich Art. 6 Abs. 1 lit. f DSGVO, unser berechtigtes Interesse, belegen zu können, dass nur Volljährige ein Konto haben und die Bedingungen angenommen wurden.

• Empfänger: Supabase als Auftragsverarbeiter. Handle und Anzeigename sind öffentlich sichtbar (siehe Abschnitt 9).

• Speicherort und Übermittlung: Frankfurt am Main. Die Registrierungsseite selbst liefert Vercel aus.

• Speicherdauer: Solange dein Konto besteht. Was nach einer Löschung bleibt, steht im Abschnitt „Kontolöschung“.

• Bereitstellung: E-Mail-Adresse, Passwort, Handle, Anzeigename, Altersbestätigung und Annahme der Bedingungen sind für ein Konto erforderlich; ohne sie können wir kein Konto anlegen. Creator- und Einladungscode sind freiwillig. Einen Ausweis prüfen wir nicht.

3. E-Mail-Bestätigung und E-Mails zu deinem Konto

Nach der Registrierung, wenn du eine Bestätigung erneut anforderst oder dein Passwort vergessen hast, bekommst du eine E-Mail mit einem einmaligen Link. Diese E-Mails verschickt unser Anmeldedienst Supabase über unseren E-Mail-Versanddienst Brevo (siehe Abschnitt 30). Der Link wird erst auf unserer Bestätigungsseite eingelöst, damit E-Mail-Programme, die Links vorab aufrufen, ihn nicht verbrauchen. Eine Änderung deiner E-Mail-Adresse kannst du derzeit nicht selbst vornehmen; schreib uns dafür.

• Daten: E-Mail-Adresse, einmaliger Bestätigungscode, Spracheinstellung, Zeitpunkt der Bestätigung.

• Zweck: Nachweis, dass dir die E-Mail-Adresse gehört, und Wiederherstellung des Zugangs.

• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

• Empfänger: Supabase und Brevo als Auftragsverarbeiter; dein eigener E-Mail-Anbieter als Empfänger der E-Mail.

• Speicherort und Übermittlung: Supabase in Frankfurt am Main; das Einlösen des Links läuft über unsere Serverfunktionen in den USA.

• Speicherdauer: Die Codes gelten nur einmal. Die Bestätigung deiner Adresse speichern wir, solange dein Konto besteht.

• Bereitstellung: Eine bestätigte E-Mail-Adresse ist Voraussetzung für einige Funktionen, etwa Abstimmungen bei Challenges und Belohnungen für Einladungen und Creator-Codes.

4. Anmeldung und Sitzungen

Du meldest dich mit E-Mail-Adresse und Passwort an; dein Browser schickt beides direkt an Supabase Auth in Frankfurt. Danach hält ein Sitzungs-Cookie dich angemeldet. Unter Kontosicherheit kannst du alle Sitzungen auf anderen Geräten beenden.

• Daten: E-Mail-Adresse, Passwort (nur zum Abgleich mit dem gespeicherten Hash), Zeitpunkt der letzten Anmeldung; je Sitzung IP-Adresse, Browserkennung, Zeitpunkte und ob ein zweiter Faktor genutzt wurde. Das Sitzungs-Cookie enthält Zugangsschlüssel mit deiner Nutzer-ID, deiner E-Mail-Adresse und deinen Kontoangaben, bei Google-Anmeldung auch Name und Bildadresse aus deinem Google-Konto.

• Zweck: Dich anmelden und angemeldet halten, Sitzungen verwalten und Missbrauch deines Kontos erkennen.

• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO; für IP-Adresse und Browserkennung Art. 6 Abs. 1 lit. f DSGVO, unser berechtigtes Interesse, Konten vor fremdem Zugriff zu schützen. Das Sitzungs-Cookie ist unbedingt erforderlich (§ 165 Abs. 3 TKG 2021).

• Empfänger: Supabase als Auftragsverarbeiter; Vercel, weil jede Seitenanfrage angemeldeter Mitglieder das Sitzungs-Cookie mitschickt und unsere Serverfunktionen es prüfen.

• Speicherort und Übermittlung: Sitzungsdaten in Frankfurt am Main; das Sitzungs-Cookie mit deiner E-Mail-Adresse geht bei jeder Seitenanfrage an unsere Serverfunktionen in den USA.

• Speicherdauer: Das Cookie kann bis zu 400 Tage bestehen und wird beim Abmelden gelöscht. Für Sitzungsdaten in der Datenbank gibt es derzeit keine automatische Löschfrist; sie können bis zur Löschung deines Kontos gespeichert bleiben. Auf Anfrage löschen wir alte Sitzungen früher.

• Bereitstellung: Erforderlich, um dein Konto zu nutzen. Eine Liste deiner Sitzungen zeigen wir derzeit nicht an; Auskunft darüber bekommst du auf Anfrage.

5. Passwort vergessen und Passwort ändern

Hast du dein Passwort vergessen, schicken wir dir über Supabase einen Link (siehe Abschnitt 3). Öffnest du ihn, setzt unser Server für 30 Minuten ein Cookie, das nur deine Nutzer-ID enthält und belegt, dass dieser Browser den Link geöffnet hat. Dein neues Passwort sendest du dann an unsere Serverfunktion, die es an Supabase weitergibt. Änderst du dein Passwort in den Einstellungen, bestätigst du zuerst dein aktuelles Passwort; beides geht direkt von deinem Browser an Supabase.

• Daten: E-Mail-Adresse, einmaliger Link, deine Nutzer-ID im Wiederherstellungs-Cookie, neues Passwort (gespeichert nur als Hash).

• Zweck: Zugang wiederherstellen und Passwort ändern.

• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO; das Cookie ist unbedingt erforderlich (§ 165 Abs. 3 TKG 2021).

• Empfänger: Supabase, Brevo und Vercel als Auftragsverarbeiter.

• Speicherort und Übermittlung: Beim Zurücksetzen über den Link läuft das neue Passwort über unsere Serverfunktion in den USA, bevor es in Frankfurt als Hash gespeichert wird. Die Änderung in den Einstellungen geht direkt nach Frankfurt.

• Speicherdauer: Das Wiederherstellungs-Cookie gilt 30 Minuten und wird nach dem Setzen des Passworts oder beim Abmelden gelöscht. Der Passwort-Hash bleibt, solange dein Konto besteht.

• Bereitstellung: Freiwillig; ohne Wiederherstellung kannst du ein vergessenes Passwort nicht ersetzen.

6. Anmeldung mit Google

Statt mit E-Mail-Adresse und Passwort kannst du dich mit deinem Google-Konto registrieren und anmelden. Du meldest dich dann bei Google an, und Google schickt das Ergebnis über Supabase Auth an uns. Beim ersten Mal wählst du Handle und Anzeigenamen, bestätigst dein Alter und nimmst die Nutzungsbedingungen an. Den Anzeigenamen füllen wir mit dem Namen aus deinem Google-Konto vor; dein Google-Profilbild verwenden wir nicht. Gibt es schon ein Konto mit derselben E-Mail-Adresse, wird die Google-Anmeldung automatisch mit diesem Konto verknüpft.

• Daten: Von Google: E-Mail-Adresse und ob Google sie bestätigt hat, Name, Adresse deines Google-Profilbilds und deine Google-Konto-ID. Supabase speichert diese Angaben als Identitätsdaten und in den Kontoangaben, die auch im Sitzungs-Cookie stehen.

• Zweck: Anmeldung ohne eigenes Passwort, Vorausfüllen des Anzeigenamens.

• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

• Empfänger: Google (Google Ireland Limited bzw. Google LLC) ist für die Anmeldung bei Google selbst verantwortlich; es gilt die Datenschutzerklärung von Google (öffnet in neuem Tab). Supabase verarbeitet die Daten als unser Auftragsverarbeiter.

• Speicherort und Übermittlung: Supabase in Frankfurt am Main; der Austausch des Anmeldecodes läuft über unsere Serverfunktionen in den USA. Google kann Daten in den USA verarbeiten; Google LLC ist nach dem EU-U.S. Data Privacy Framework zertifiziert.

• Speicherdauer: Solange dein Konto besteht. Eine Schaltfläche zum Trennen der Google-Verknüpfung gibt es derzeit nicht; auf Anfrage trennen wir sie. Nach einer Kontolöschung bleiben die Google-Identitätsdaten derzeit gespeichert, bis du ihre Entfernung verlangst (siehe Abschnitt 37).

• Bereitstellung: Freiwillig. Du kannst dich auch mit E-Mail-Adresse und Passwort registrieren.

7. Steam-Verifizierung

Eine Anmeldung mit Steam bieten wir nicht an. Als Mitglied kannst du aber unter Verknüpfungen ein Steam-Konto verifizieren. Dazu leiten wir dich zu Steam weiter, wo du dich bei Valve anmeldest. Steam schickt uns eine Bestätigung zurück, die unser Datenbankserver direkt bei Steam gegenprüft.

• Daten: Deine SteamID (eine 17-stellige Nummer), Zeitpunkt der Verifizierung, Sichtbarkeit der Verknüpfung; für den Ablauf kurzlebige Prüfwerte, die wir nur als Hash speichern. Steam-Profilname und Steam-Avatar rufen wir nicht ab.

• Zweck: Ein Steam-Konto als verifiziert auf deinem Profil anzeigen.

• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

• Empfänger: Valve Corporation (USA) ist für die Anmeldung bei Steam selbst verantwortlich; es gilt die Datenschutzerklärung von Valve (öffnet in neuem Tab). Deine verifizierte SteamID ist standardmäßig öffentlich auf deinem Profil sichtbar.

• Speicherort und Übermittlung: Gespeichert in Frankfurt am Main. Die Rückleitung von Steam läuft über unsere Serverfunktionen in den USA; die Gegenprüfung schickt unser Datenbankserver in Frankfurt an Steam in den USA. Sie enthält nur die Angaben, die Steam selbst ausgestellt hat, und erfolgt nur, wenn du die Verifizierung startest.

• Speicherdauer: Die SteamID, bis du die Verknüpfung entfernst oder dein Konto gelöscht wird. Prüfwerte, die älter als einen Tag sind, löschen wir jeweils beim nächsten Start einer Steam-Verifizierung.

• Bereitstellung: Freiwillig. Die Sichtbarkeit stellst du je Verknüpfung um; entfernen kannst du die Verknüpfung jederzeit.

8. Zwei-Faktor-Anmeldung

Unter Kontosicherheit kannst du die Anmeldung zusätzlich mit einer Authenticator-App absichern (zeitbasierte Einmalcodes) und ein zweites Gerät als Ersatz hinterlegen. Wiederherstellungscodes gibt es nicht. Den QR-Code für die Einrichtung erzeugt Supabase; einen fremden QR-Dienst nutzen wir dafür nicht.

• Daten: Geheimer Schlüssel des Faktors, Bezeichnung mit Einrichtungszeitpunkt, Status, Zeitpunkte der letzten Prüfung; je Sitzung, ob der zweite Faktor genutzt wurde.

• Zweck: Schutz deines Kontos. Teammitglieder, die einen zweiten Faktor eingerichtet haben, erhalten Verwaltungsrechte erst nach Anmeldung mit diesem Faktor.

• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO und Art. 6 Abs. 1 lit. f DSGVO, unser berechtigtes Interesse an sicheren Konten.

• Empfänger: Supabase als Auftragsverarbeiter.

• Speicherort und Übermittlung: Frankfurt am Main; die Einrichtung läuft direkt zwischen deinem Browser und Supabase.

• Speicherdauer: Bis du den Faktor entfernst. Nach einer Kontolöschung bleiben die Faktoren derzeit gespeichert, bis du ihre Entfernung verlangst.

• Bereitstellung: Freiwillig. Verlierst du alle eingerichteten Geräte, hilft dir unser Support nach einer Prüfung deiner Identität; schreib uns dafür.

9. Profil und Sichtbarkeit

Dein Profil ist standardmäßig öffentlich, und alle Bereiche sind sichtbar. Unter Privatsphäre stellst du es auf privat, blendest einzelne Bereiche aus und legst fest, wer dir folgen und schreiben darf. Inhalte änderst du unter Profil bearbeiten.

• Daten: Handle, Anzeigename, Profilbild, Banner, Beschreibung „Über mich“ (bis 500 Zeichen), Sprache, Sichtbarkeitseinstellungen, Einstellungen zu Follows und Direktnachrichten, Kontostatus, „Mitglied seit“ (Monat und Jahr), Level und Rang, Creator-Kennzeichen.

• Zweck: Deine Identität in der Community und die Steuerung, was andere sehen.

• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

• Empfänger: Bei öffentlichem Profil alle Besucher, auch ohne Konto: immer Handle, Anzeigename, Profilbild, Banner, „Mitglied seit“, Level, Rang und Creator-Kennzeichen, dazu je nach Einstellung Beschreibung, Follower-Zahlen und -Listen, Gaming-Konten, ausgerüstete Rewards und Crew. Bei privatem Profil bleiben Handle und Anzeigename sichtbar, etwa an Kommentaren; Mitglieder deiner Crew sehen dich weiterhin in der Mitgliederliste. Öffentliche Profile können von Suchmaschinen erfasst werden, sobald wir die Plattform für Suchmaschinen freigeben; private Profile geben wir dafür nicht frei. Zum Team siehe „Empfänger im Überblick“.

• Speicherort und Übermittlung: Gespeichert in Frankfurt am Main; verarbeitet über unsere Serverfunktionen in den USA (siehe oben).

• Speicherdauer: Solange dein Konto besteht; bei der Kontolöschung wird das Profil pseudonymisiert.

• Bereitstellung: Handle und Anzeigename sind erforderlich, alles andere ist freiwillig. Den Handle kannst du nach der Einrichtung nicht mehr ändern.

10. Profilbilder, Banner und Bildverarbeitung

Lädst du ein Profilbild oder ein Banner hoch, landet die Datei zuerst in einem nicht öffentlichen Ordner. Unser Server prüft das tatsächliche Dateiformat und die Größe, richtet das Bild aus, verkleinert es und speichert es neu als WebP-Datei. Dabei entfernt er alle Metadaten wie Kameradaten oder Standortangaben und löscht anschließend die hochgeladene Originaldatei.

• Daten: Die Bilddatei, die dich oder andere Personen zeigen kann, und ihr Speicherpfad.

• Zweck: Darstellung deines Profils.

• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

• Empfänger: Das fertige Bild liegt in einem öffentlichen Speicher und ist für jeden abrufbar, der seine Adresse kennt; die Adresse enthält deine Nutzer-ID. Supabase und Vercel als Auftragsverarbeiter.

• Speicherort und Übermittlung: Die Bearbeitung erfolgt in unserer Serverfunktion in den USA; gespeichert wird in Frankfurt am Main.

• Speicherdauer: Solange das Bild verwendet wird. Ersetzt oder entfernst du ein Bild, bleibt die alte Datei derzeit gespeichert und über ihre Adresse abrufbar; das gilt auch nach einer Kontolöschung. Auf Anfrage löschen wir solche Dateien.

• Bereitstellung: Freiwillig.

11. Gaming-Konten

Unter Verknüpfungen kannst du bis zu zehn Gaming-Konten angeben, etwa bei PlayStation, Xbox, Steam, Epic oder anderen Plattformen. Diese Angaben prüfen wir nicht, außer bei der Steam-Verifizierung (Abschnitt 7).

• Daten: Plattform, Gamertag, ID oder Link, optionale Bezeichnung, Sichtbarkeit, Verifizierungsstatus.

• Zweck: Anderen zeigen, wo sie dich beim Spielen finden.

• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

• Empfänger: Neu hinzugefügte Gaming-Konten sind standardmäßig öffentlich auf deinem Profil sichtbar, solange dein Profil öffentlich ist und du den Bereich nicht ausblendest. Die Sichtbarkeit stellst du je Eintrag um.

• Speicherort und Übermittlung: Gespeichert in Frankfurt am Main; verarbeitet über unsere Serverfunktionen in den USA (siehe oben).

• Speicherdauer: Bis du den Eintrag entfernst; bei der Kontolöschung werden alle Gaming-Konten gelöscht.

• Bereitstellung: Freiwillig.

12. Follows und Blockierungen

Du kannst anderen Mitgliedern folgen und Mitglieder blockieren. Eine Blockierung verhindert in beide Richtungen neue Follows, Antworten, Likes und Direktnachrichten; bestehende Follows und Kommentare bleiben bestehen. Deine Blockierungen siehst und hebst du unter Privatsphäre auf.

• Daten: Wer wem folgt und seit wann; wen du blockiert hast und seit wann.

• Zweck: Soziale Verbindungen in der Community, Benachrichtigung über neue Follower, Schutz vor unerwünschtem Kontakt.

• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO; Folgen ist auf 50 Vorgänge in zehn Minuten begrenzt, gestützt auf Art. 6 Abs. 1 lit. f DSGVO, unser berechtigtes Interesse am Schutz vor Spam.

• Empfänger: Die Person, der du folgst, wird benachrichtigt. Follower- und Gefolgt-Listen und deren Zahlen sind öffentlich, außer das Profil ist privat oder der Bereich ausgeblendet; private Profile erscheinen nicht in den Listen anderer. Den genauen Zeitpunkt eines Follows sieht nur das jeweilige Mitglied selbst. Wen du blockiert hast, siehst nur du; die blockierte Person wird nicht benachrichtigt, sieht aber in einer gemeinsamen Unterhaltung oder wenn sie dir schreiben will, dass zwischen euch eine Blockierung besteht.

• Speicherort und Übermittlung: Gespeichert in Frankfurt am Main; verarbeitet über unsere Serverfunktionen in den USA (siehe oben).

• Speicherdauer: Bis du entfolgst oder die Blockierung aufhebst; bei der Kontolöschung werden Follows und Blockierungen in beide Richtungen gelöscht.

• Bereitstellung: Freiwillig. Unter Privatsphäre kannst du neue Follower ganz ausschließen.

13. Kommentare und Likes

Unter Beiträgen der Redaktion und unter Creator-Inhalten kannst du als Mitglied kommentieren und Likes vergeben. Kommentare sind reiner Text mit höchstens 2.000 Zeichen.

• Daten: Kommentartext, Bezug (Beitrag, Antwort auf einen Kommentar), Zeitpunkte von Erstellung, Bearbeitung und Löschung, Status; bei Likes, was du wann gelikt hast.

• Zweck: Öffentliche Diskussion; Benachrichtigung der Person, der du antwortest, und gegebenenfalls des Creators, unter dessen Inhalt du kommentierst, jeweils ohne den Kommentartext.

• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO; für die Begrenzung auf fünf Kommentare pro Minute Art. 6 Abs. 1 lit. f DSGVO, unser berechtigtes Interesse am Schutz vor Spam.

• Empfänger: Kommentare sind für alle Besucher sichtbar, mit Handle und Anzeigenamen, bei öffentlichem Profil auch mit Profilbild. Bei Likes ist nur die Gesamtzahl öffentlich, nicht wer gelikt hat.

• Speicherort und Übermittlung: Gespeichert in Frankfurt am Main; Kommentartexte laufen beim Senden und Anzeigen über unsere Serverfunktionen in den USA.

• Speicherdauer: Eine automatische Löschfrist gibt es nicht. Löschst du einen Kommentar, ist er sofort für alle ausgeblendet; der Text bleibt derzeit in unserer Datenbank gespeichert, auf Anfrage löschen wir ihn endgültig. Bearbeitest du einen Kommentar, wird der alte Text überschrieben. Likes werden beim Entfernen gelöscht. Was nach einer Kontolöschung geschieht, steht in Abschnitt 37.

• Bereitstellung: Freiwillig.

14. Direktnachrichten und Crew-Chats

Direktnachrichten schreibst du einzelnen Mitgliedern, Crew-Chats laufen in den Kanälen deiner Crew. Wer dir schreiben darf, legst du unter Privatsphäre fest; standardmäßig sind das nur Mitglieder, denen du folgst und die dir folgen. Je nach Einstellung können andere dir eine Anfrage mit genau einer Nachricht schicken, die du annimmst oder ablehnst.

• Daten: Nachrichtentext (bis 2.000 Zeichen), Absender, Zeitpunkte, Bearbeitungs- und Löschvermerk, Teilnehmende und Status von Anfragen, Lesestand und Stummschaltung; bei Crew-Kanälen Kanalname und Mindestrolle.

• Zweck: Private Kommunikation zwischen Mitgliedern und innerhalb von Crews.

• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO; für Missbrauchsgrenzen (etwa 30 Nachrichten pro Minute und 20 neue Unterhaltungen pro Stunde) Art. 6 Abs. 1 lit. f DSGVO, unser berechtigtes Interesse am Schutz vor Spam.

• Empfänger: Direktnachrichten lesen nur die beiden Beteiligten. Crew-Kanäle lesen die aktuellen Mitglieder der Crew mit ausreichender Rolle; neue Mitglieder sehen auch frühere Nachrichten eines Kanals, und wer die Crew verlässt, verliert den Zugriff sofort. Unser Team, auch Betreiber und Admins, kann fremde Chats über die Plattform nicht lesen. Benachrichtigungen über neue Direktnachrichten enthalten nie den Text.

• Speicherort und Übermittlung: Gespeichert in Frankfurt am Main. Nachrichtentexte laufen beim Senden und bei jedem Abruf über unsere Serverfunktionen in den USA. Für die Live-Aktualisierung verbindet sich dein Browser direkt mit Supabase in Frankfurt; darüber gehen nur Kennungen, keine Texte.

• Speicherdauer: Eine automatische Löschfrist für Chatverläufe gibt es derzeit nicht. Löschst du eine eigene Nachricht, wird ihr Text entfernt und ein Platzhalter bleibt. Bearbeiten kannst du eine Nachricht 15 Minuten lang; der alte Text wird überschrieben. Ganze Unterhaltungen lassen sich nicht löschen. Löst sich eine Crew auf, werden ihre Kanäle archiviert, die Nachrichten bleiben gespeichert.

• Bereitstellung: Freiwillig.

Chats werden verschlüsselt übertragen, sind aber nicht Ende-zu-Ende-verschlüsselt. Wer die Datenbank technisch betreibt und direkten Zugriff darauf hat, könnte sie einsehen. Teile in Chats deshalb keine Passwörter oder anderen sensiblen Daten.

Meldest du Nachrichten, wählst du selbst bis zu 20 Nachrichten einer Unterhaltung aus. Nur diese Auswahl geht als unveränderliche Kopie an die Moderation, mit Text, Absender-Handle und Zeitpunkt jeder Nachricht; in einem Crew-Kanal kann sie Nachrichten mehrerer Mitglieder enthalten. Die Kopie bleibt erhalten, auch wenn eine Nachricht später gelöscht oder ein Konto gelöscht wird. Sehen können sie nur Teammitglieder mit einer eigenen Berechtigung für Chat-Belege, und jeder Zugriff wird protokolliert. Mehr dazu in Abschnitt 26.

15. Benachrichtigungen

Im Mitgliederbereich informieren wir dich über neue Follower, Nachrichten, Crew- und Creator-Ereignisse, Challenges, Rewards, Events und Sicherheitsthemen. Unter Benachrichtigungen einstellen wählst du pro Bereich, ob du sie auf der Website und per E-Mail erhalten möchtest. Sicherheitshinweise, etwa zu Löschanträgen oder Moderationsentscheidungen, lassen sich nicht abschalten.

• Daten: Art und Zeitpunkt der Benachrichtigung, Kennungen und Handles der beteiligten Mitglieder oder Inhalte, Lesestatus; bei Moderationsentscheidungen die Begründung; deine Einstellungen pro Bereich. Ist für einen Bereich der E-Mail-Versand eingeschaltet (bei Sicherheitshinweisen immer), merken wir die Benachrichtigung zusätzlich mit ihrem vollständigen Inhalt für den E-Mail-Versand vor.

• Zweck: Dich über Vorgänge in deinem Konto informieren.

• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO; für die Mitteilung von Moderationsentscheidungen zusätzlich Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit Art. 17 DSA.

• Empfänger: Nur du. Benachrichtigungen enthalten nie den Text von Nachrichten oder Kommentaren.

• Speicherort und Übermittlung: Gespeichert in Frankfurt am Main; verarbeitet über unsere Serverfunktionen in den USA (siehe oben).

• Speicherdauer: Eine automatische Löschfrist gibt es derzeit nicht; Benachrichtigungen werden mit der Kontolöschung gelöscht. Für den E-Mail-Versand vorgemerkte Benachrichtigungen bleiben mit ihrem Inhalt, etwa der Begründung einer Moderationsentscheidung, derzeit ohne feste Frist gespeichert, auch nach einer Kontolöschung (siehe Abschnitt 30).

• Bereitstellung: Standardmäßig sind Benachrichtigungen auf der Website an (außer für Marketing) und per E-Mail aus (außer Sicherheitshinweisen). E-Mail-Benachrichtigungen verschicken wir derzeit noch nicht, weil der Versand von Plattform-E-Mails bis auf Weiteres auf Testadressen unseres Teams beschränkt ist (siehe Abschnitt 30).

16. Crews

Mitglieder können Crews gründen, ihnen beitreten, sich bewerben, eingeladen werden, sie verlassen und auflösen. Die Leitung einer Crew (Owner, Crew-Admins und Officers) verwaltet Mitglieder, Rollen, Bewerbungen und Einladungen. Jede Crew hat eigene Chat-Kanäle (Abschnitt 14).

• Daten: Crew-Profil (Name, Kürzel, Beschreibungen, Logo, Banner, Plattformen, Sprachen, Region, Zeitzone, Spielstil, Links, Status); Mitgliedschaft mit Rolle und Beitrittsdatum; Verlauf von Beitritten und Austritten mit Art des Endes; Bewerbungen mit deinen Antworten auf die Fragen der Crew (bis 1.000 Zeichen je Antwort), Entscheidung und Begründung; Einladungen; ein Crew-Protokoll über Verwaltungsaktionen wie Rollenänderungen oder Entfernungen mit Grund.

• Zweck: Crew-Verzeichnis, Mitgliederverwaltung, Rechte innerhalb der Crew, Zugang zu den Crew-Kanälen, Teilnahme an Crew-Challenges und Nachvollziehbarkeit für die Crew-Leitung.

• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

• Empfänger: Profile aktiver Crews sind öffentlich. Die öffentliche Mitgliederliste zeigt Handle, Anzeigenamen, Profilbild, Rolle und Beitrittsdatum nur von Mitgliedern mit öffentlichem Profil, die ihre Crew nicht ausgeblendet haben; die übrigen werden nur gezählt. Mitglieder der Crew sehen die vollständige Liste. Bewerbungen und Antworten sehen Owner, Crew-Admins und Officers; das Crew-Protokoll sehen Owner und Crew-Admins. Schränkt die Moderation eine Crew ein, steht der Grund im Crew-Protokoll.

• Speicherort und Übermittlung: Gespeichert in Frankfurt am Main; verarbeitet über unsere Serverfunktionen in den USA (siehe oben).

• Speicherdauer: Mitgliedschaften enden mit Austritt, Entfernung oder Auflösung. Der Verlauf, Bewerbungen, Einladungen und das Crew-Protokoll bleiben derzeit ohne feste Frist gespeichert, auch nach einer Auflösung. Für die Details abgelehnter Bewerbungen ist eine Frist von 90 Tagen festgelegt; die automatische Löschung ist noch nicht eingeschaltet. Aufgelöste Crews bleiben mit Texten, Logo und Banner als aufgelöst gespeichert.

• Bereitstellung: Freiwillig. Die Fragen einer Crew beantwortest du freiwillig; gib dort keine Passwörter oder Ausweisdaten an.

17. Creator-Bewerbung

Über die Creator-Bewerbung bewirbst du dich für das Creator-Programm. Das Team prüft die Bewerbung und deine Kanäle von Hand; Rückfragen beantwortest du auf der Bewerbungsseite.

• Daten: Profilname, Schwerpunkt, Vorstellung (bis 1.000 Zeichen), ein bis sechs Links zu deinen Kanälen auf YouTube, Twitch, TikTok, X, Instagram oder Kick, Zeitpunkt deiner Bestätigung der Creator-Richtlinien; Rückfragen des Teams und deine Antworten, Status, Entscheidung mit Begründung und entscheidende Person. Das Team sieht dazu deinen Handle, Anzeigenamen, dein Profilbild und die Zahl früherer Bewerbungen.

• Zweck: Entscheidung über die Zulassung als Creator; Einhaltung der Wartezeit von 14 Tagen nach einer Ablehnung oder einem Widerruf.

• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Anbahnung und Durchführung der Teilnahme am Creator-Programm).

• Empfänger: Du und Teammitglieder mit Berechtigung zur Prüfung von Creator-Bewerbungen. Deine Kanäle rufen wir bei der Bewerbung nicht automatisch ab.

• Speicherort und Übermittlung: Gespeichert in Frankfurt am Main; verarbeitet über unsere Serverfunktionen in den USA (siehe oben).

• Speicherdauer: Ohne feste Frist, auch nach Ablehnung oder Rückzug. Für die Details abgelehnter Bewerbungen ist eine Frist von 90 Tagen festgelegt; die automatische Löschung ist noch nicht eingeschaltet. Offene Bewerbungen werden bei einer Kontolöschung zurückgezogen, aber nicht gelöscht.

• Bereitstellung: Freiwillig; ohne Bewerbung keine Zulassung als Creator.

18. Creator-Seite, Creator-Inhalte und Creator-Statistik

Als zugelassener Creator gestaltest du im Creator Studio deine Creator-Seite und veröffentlichst Clips, Edits, Screenshots, Guides und Posts selbst. Das Team gibt Beiträge nicht vorher frei, kann sie bei Verstößen aber mit Begründung ausblenden; Texte und Medien ändert es nicht. Bilder werden wie Profilbilder neu kodiert und ohne Metadaten gespeichert (Abschnitt 10).

• Daten: Creator-Seite (Adresse, die zugleich dein Creator-Code ist, Anzeigename, Schwerpunkt, Beschreibung, Profilbild, Banner, bis zu sechs Kanal-Links, verknüpfter YouTube-Kanal, Aufbau der Seite, Verifizierung mit Datum, Status); Inhalte (Titel, Zusammenfassung, Schlagwörter, Titelbild, Text, YouTube-Video, bis zu 12 Bilder, Sprache, Status, Moderationsvermerk) und jede gespeicherte Fassung; zusammengefasste Aufrufzahlen deiner Seite und Inhalte.

• Zweck: Dein öffentlicher Auftritt als Creator, die Veröffentlichung deiner Inhalte und eine Reichweitenübersicht für dich.

• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

• Empfänger: Creator-Seite und veröffentlichte Inhalte sind für alle Besucher sichtbar, solange dein Profil öffentlich und dein Creator-Status aktiv ist, einschließlich Handle, Beschreibung, Kanal-Links, YouTube-Kanal, Verifizierungsdatum, Erstelldatum und Follower-Zahl. Bilder liegen im öffentlichen Speicher. Die Aufrufzahlen im Creator Studio stammen nur von Besuchern mit Statistik-Einwilligung und zeigen keine Einzelpersonen; Werte von 1 bis 4 zeigen wir nicht genau an.

• Speicherort und Übermittlung: Gespeichert in Frankfurt am Main; Bildbearbeitung und Anzeige über unsere Serverfunktionen in den USA.

• Speicherdauer: Ohne feste Frist. Inhalte kannst du zurückziehen oder archivieren, aber nicht selbst löschen; frühere Fassungen bleiben gespeichert. Auf Anfrage löschen wir Inhalte endgültig. Wird dein Creator-Status widerrufen, sind Seite und Inhalte nicht mehr öffentlich. Bei einer Kontolöschung leeren wir zusätzlich die Angaben der Creator-Seite; die Adresse der Seite, die Inhalte und ihre Bilddateien bleiben derzeit gespeichert, die Bilder sind über ihre direkte Adresse weiter abrufbar.

• Bereitstellung: Freiwillig.

19. YouTube-Kanal von Creatorn und YouTube-Daten

Creator können im Creator Studio einen YouTube-Kanal verknüpfen. Unser Server ruft dann über die Schnittstelle von Google (YouTube Data API) regelmäßig öffentliche Angaben zum Kanal und zu den neuesten Videos ab. Auf dieselbe Weise laden wir Daten zu offiziellen Trailern. Ob dir der Kanal wirklich gehört, prüfen wir nicht technisch; ein Kanal kann nur mit einem Creator verknüpft sein.

• Daten: Kanal-ID oder Handle; von Google abgerufen: Kanaltitel, Handle, Kanalbild, die neuesten Uploads, Videotitel, Veröffentlichungsdatum, Dauer, Vorschaubild, Status sowie Aufruf- und Like-Zahlen. Abonnentenzahlen rufen wir nicht ab.

• Zweck: Die neuesten Videos auf der Creator-Seite, im Creator-Bereich der Startseite und bei den Trailern anzeigen.

• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO gegenüber Creatorn; für offizielle Trailer Art. 6 Abs. 1 lit. f DSGVO, unser berechtigtes Interesse, über das Spiel zu informieren.

• Empfänger: Google erhält unseren API-Schlüssel sowie Kanal-IDs, Handles und Video-IDs, aber keine Daten von Besuchern. Die abgerufenen Angaben einschließlich der Aufruf- und Like-Zahlen zeigen wir öffentlich.

• Speicherort und Übermittlung: Die Abfragen schickt unsere Serverfunktion in den USA an Google; Google LLC ist nach dem EU-U.S. Data Privacy Framework zertifiziert. Gespeichert wird in Frankfurt am Main.

• Speicherdauer: Zwischengespeicherte Kanal- und Videodaten haben keine feste Frist und werden regelmäßig aktualisiert. Entfernst du die Verknüpfung oder wird dein Konto gelöscht, löschen wir den Kanaleintrag; bereits abgerufene Videodaten und der Handle-Eintrag bleiben derzeit im Zwischenspeicher. Technische Abrufprotokolle löschen wir automatisch nach zwei Tagen.

• Bereitstellung: Freiwillig.

20. Events, Zusagen und Wartelisten

Bei offiziellen Events und bei Events von Creatorn kannst du zusagen oder absagen. Ist ein Event voll, kommst du auf die Warteliste und rückst automatisch in der Reihenfolge der Anmeldung nach. Fristen für Anmeldung und Abmeldung stehen beim jeweiligen Event. Legst du als Creator ein Event an, sind seine Angaben öffentlich.

• Daten: Deine Zusage, Absage oder dein Wartelistenplatz mit Zeitpunkt und gegebenenfalls Zeitpunkt des Nachrückens; versendete Erinnerungen. Bei eigenen Events als Creator: Titel, Beschreibung, Banner, Zeiten, Online-Link und Kapazität.

• Zweck: Plätze verwalten, die Warteliste abarbeiten, dich 24 Stunden und 1 Stunde vor Beginn erinnern und über Absagen oder Verschiebungen informieren.

• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

• Empfänger: Öffentlich sind nur die Zahlen. Wer zugesagt hat, sehen bei offiziellen Events Teammitglieder mit Berechtigung zur Eventverwaltung (Handle, Anzeigename, Profilbild bei öffentlichem Profil, Zeitpunkte), auch bei privaten Profilen. Creator sehen bei ihren Events nur Zahlen.

• Speicherort und Übermittlung: Gespeichert in Frankfurt am Main; verarbeitet über unsere Serverfunktionen in den USA (siehe oben).

• Speicherdauer: Zusagen bleiben ohne feste Frist gespeichert, auch nach dem Event. Das Protokoll der Erinnerungen löschen wir automatisch nach 180 Tagen. Bei einer Kontolöschung sagen wir künftige Teilnahmen ab; vergangene bleiben gespeichert.

• Bereitstellung: Freiwillig; ohne Zusage keine Teilnahme.

21. Fortschritt: XP, Season Points, Wanted Tokens, Season Pass, Rewards und Boosts

Für Aktivitäten auf WANTED SIX erhältst du nach festen Regeln Erfahrungspunkte (XP), Season Points (SP) und Wanted Tokens (WT). WT kannst du nur im Rewards-Katalog gegen digitale Gegenstände wie Banner, Abzeichen oder einen XP-Boost einlösen. Sie lassen sich weder kaufen noch auszahlen oder übertragen und haben keinen Geldwert. Der Season Pass ist kostenlos.

• Daten: Jede Gutschrift und Abbuchung mit Art, Anlass, Zeitpunkt und Regelwerk; Kontostände, Level und Rang; Belege für abgeholte Stufen und Belohnungen; Limits je Zeitraum; eingelöste und ausgerüstete Rewards; Boosts mit Aktivierung und Ablauf; die Tage, an denen du aktiv warst (nur das Datum); Korrekturen durch das Team mit Begründung, die du in deinem Verlauf siehst.

• Zweck: Punkte fair und nachvollziehbar gutschreiben, Limits einhalten, Level und Ränge berechnen und Rewards bereitstellen. Die Aktivitätstage zählen auch als Voraussetzung für Belohnungen aus Einladungen und Creator-Codes (Abschnitt 25).

• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO; für die Aufbewahrung des Verlaufs nach einer Kontolöschung Art. 6 Abs. 1 lit. f DSGVO, unser berechtigtes Interesse an einem manipulationssicheren und nachweisbaren Punktesystem.

• Empfänger: Level und Rang stehen immer auf deinem öffentlichen Profil; ausgerüstete Rewards sind sichtbar, solange du den Bereich „Ausgerüstete Rewards“ nicht ausblendest. Teammitglieder mit Berechtigung für Korrekturen oder Rewards sehen den Verlauf.

• Speicherort und Übermittlung: Gespeichert in Frankfurt am Main; verarbeitet über unsere Serverfunktionen in den USA (siehe oben).

• Speicherdauer: Ohne feste Frist; der Verlauf bleibt auch nach einer Kontolöschung erhalten.

• Bereitstellung: Entsteht automatisch, wenn du die Funktionen nutzt.

22. Daily Missions und Frage des Tages

Daily Missions sind kleine tägliche Aufgaben, etwa einchecken, einen neuen Beitrag entdecken oder die Frage des Tages beantworten. Für die Entdecken-Aufgabe wird ein Beitrag als gelesen markiert, wenn du ihn selbst markierst oder, solange eine solche Aufgabe läuft, wenn er 20 Sekunden sichtbar war oder du über 60 Prozent gescrollt hast. Die Frage des Tages kannst du einmal pro Tag beantworten.

• Daten: Deine Missionen mit Fortschritt, Abschluss und Abholung; Ereignisse wie Check-in, als gelesen markierte Beiträge (welcher Beitrag und wann), Challenge-Anmeldungen und Einreichungen; deine Antworten auf die Frage des Tages mit gewählter Antwort, richtig oder falsch, und Zeitpunkt.

• Zweck: Fortschritt der Missionen berechnen und Belohnungen gutschreiben. Abgeschlossene Missionen zählen auch für Belohnungen aus Einladungen und Creator-Codes.

• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

• Empfänger: Nur du. Das Team sieht die Vorlagen der Missionen, nicht deinen Fortschritt.

• Speicherort und Übermittlung: Gespeichert in Frankfurt am Main; verarbeitet über unsere Serverfunktionen in den USA (siehe oben).

• Speicherdauer: Ohne feste Frist; die Daten bleiben auch nach einer Kontolöschung erhalten.

• Bereitstellung: Freiwillig.

23. Ranglisten und Hall of Fame

Die Ranglisten zeigen Spieler nach XP, das Season Board nach Season Points und die Hall of Fame die besten drei einer Season. Sie werden aus deinen Fortschrittsdaten berechnet.

• Daten: Platz, Handle, Anzeigename, Profilbild, XP, Level und Rang bzw. Season Points; in der Hall of Fame Art, Platz, Punktzahl, Titel und Datum.

• Zweck: Wettbewerb in der Community.

• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

• Empfänger: Alle Besucher, auch ohne Konto. In den Ranglisten erscheinen nur aktive öffentliche Profile; private, gesperrte oder gelöschte Profile erscheinen als Platzhalter oder gar nicht. Teammitglieder können Einträge mit Begründung ausblenden, ändern aber keine Zahlen.

• Speicherort und Übermittlung: Gespeichert in Frankfurt am Main; verarbeitet über unsere Serverfunktionen in den USA (siehe oben).

• Speicherdauer: Ranglisten werden laufend neu berechnet. Hall-of-Fame-Einträge bleiben dauerhaft gespeichert; bei privatem oder gelöschtem Profil erscheinen sie ohne deinen Namen.

• Bereitstellung: Du erscheinst automatisch, solange dein Profil öffentlich ist. Herausnehmen kannst du dich nur, indem du dein Profil auf privat stellst; das Ausblenden einzelner Profilbereiche genügt dafür nicht.

24. Challenges, Nachweise und Abstimmungen

Bei Challenges meldest du dich allein oder mit deiner Crew an, reichst einen Beitrag mit Nachweisen ein, und das Team bewertet ihn. Manche Challenges enden mit einer Abstimmung der Community. Teilnahmegebühren oder Einsätze gibt es nicht. Derzeit vergeben wir keine Geld- oder Sachpreise; falls wir solche anbieten, gelten vorab eigene Teilnahmebedingungen.

• Daten: Anmeldung (du oder deine Crew, wer angemeldet hat, Status, Rückzug oder Ausschluss mit Grund) und Aufstellung der Crew; Einreichung mit Text (bis 2.000 Zeichen), bis zu drei Links und bis zu zehn Nachweisdateien (Bilder oder Videos bis 25 MB) sowie jede gespeicherte Fassung; Bewertung mit Notizen, Punkten, Rückfragen und bewertender Person; Ergebnis und Platz; deine Stimme bei Abstimmungen.

• Zweck: Teilnahme ermöglichen, Leistungen von Menschen prüfen und bewerten lassen, Ergebnisse festhalten und faire Abstimmungen sichern.

• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO; für die Prüfung der Teilnahme- und Abstimmungsvoraussetzungen und den Schutz vor Manipulation zusätzlich Art. 6 Abs. 1 lit. f DSGVO, unser berechtigtes Interesse an fairen Wettbewerben.

• Empfänger: Nachweisdateien liegen in einem nicht öffentlichen Speicher. Sehen können sie nur du und Teammitglieder mit Bewertungsberechtigung, jeweils über Links, die nach fünf Minuten ablaufen; jeder Zugriff des Teams wird protokolliert. Bei Challenges mit Abstimmung sind Text und Links freigegebener Einreichungen während der Abstimmung öffentlich, bei privatem Profil ohne deinen Namen. Ergebnisse sind öffentlich, bei privatem Profil ebenfalls ohne Namen. Bei Abstimmungen ist nur das Gesamtergebnis öffentlich, nicht wer wofür gestimmt hat. Die Crew-Leitung sieht die Anmeldung ihrer Crew.

• Speicherort und Übermittlung: Gespeichert in Frankfurt am Main. Nachweisbilder werden in unserer Serverfunktion in den USA geprüft, neu kodiert und ohne Metadaten gespeichert. Videos lädt dein Browser unverändert direkt in den Speicher in Frankfurt; ihre Metadaten, etwa Aufnahmeort oder Gerät, bleiben dabei erhalten.

• Speicherdauer: Ohne feste Frist, auch nach einer Kontolöschung. Nachweisdateien kannst du nicht selbst löschen; auf Anfrage löschen wir sie, sobald sie nicht mehr für die Bewertung oder einen Streitfall gebraucht werden.

• Bereitstellung: Freiwillig. Abstimmen kannst du mit bestätigter E-Mail-Adresse und einem Konto, das mindestens sieben Tage alt ist; für dich selbst oder deine eigene Crew kannst du nicht stimmen.

25. Einladungen und Creator-Codes

Mit deinem persönlichen Einladungslink kannst du Freunde einladen (Freunde einladen). Außerdem kannst du bei der Registrierung oder innerhalb von 30 Tagen danach einen Creator unterstützen, indem du seinen Creator-Code angibst (Creator unterstützen). Wer einlädt bzw. unterstützt wird, erhält WT, wenn das neue Mitglied bestimmte Voraussetzungen erfüllt. Geld gibt es dafür nicht.

• Daten: Dein Einladungscode; bei Eingeladenen, wer eingeladen hat, Zeitpunkt der Registrierung, Status und Frist der Qualifizierung; der von dir unterstützte Creator mit Beginn, Wechseln und Status; gutgeschriebene und vorgemerkte WT; zur Wiedererkennung einer Person ein Hashwert (SHA-256) deiner vereinheitlichten E-Mail-Adresse. Für den Abgleich ziehen wir auch die E-Mail-Adressen von mit dem Konto verknüpften Anmeldungen wie Google heran.

• Zweck: Belohnungen gutschreiben und Missbrauch verhindern: Eine Person soll nur einmal eingeladen werden und einen Creator nur einmal auslösen können, auch über Zweitkonten oder nach Löschung und Neuregistrierung. Für die Qualifizierung prüfen wir automatisch, ob die E-Mail-Adresse bestätigt ist, das Konto mindestens sieben Tage alt ist, du an mindestens drei verschiedenen Tagen aktiv warst und innerhalb von 30 Tagen mindestens zwei Missionen abgeschlossen hast.

• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO für Teilnahme und Gutschrift; Art. 6 Abs. 1 lit. f DSGVO für Hashwert, Abgleich und Aufbewahrung, unser berechtigtes Interesse am Schutz dieser Programme vor Mehrfachbelohnungen und Missbrauch.

• Empfänger: Wer einlädt, sieht nur Zahlen, keine Namen. Creator sehen nur zusammengefasste Zahlen ihrer Unterstützer, keine Namen oder Handles; bei sehr wenigen Unterstützern kann ein Creator aber unter Umständen ableiten, wer ihn unterstützt. Einzelne Zuordnungen sehen nur Teammitglieder mit Berechtigung zur Missbrauchsprüfung; wird eine Zuordnung wegen Missbrauchs aufgehoben, erfährt die begünstigte Person den Grund.

• Speicherort und Übermittlung: Gespeichert in Frankfurt am Main; verarbeitet über unsere Serverfunktionen in den USA (siehe oben).

• Speicherdauer: Ohne Frist. Hashwert und Verlauf bewahren wir dauerhaft auf, damit die Regeln auch nach einer Kontolöschung wirken. Ein solcher Hashwert ist nicht anonym: Wer deine E-Mail-Adresse kennt, kann ihn nachbilden.

• Bereitstellung: Freiwillig. Einen gewählten Creator kannst du frühestens nach 30 Tagen wechseln; ein vollständiges Beenden der Unterstützung ist nicht vorgesehen.

26. Meldungen, Moderation, Sanktionen und Einsprüche

Als Mitglied meldest du Kommentare, Creator-Inhalte, Beiträge, Profile, Crews, Creator-Events, Challenge-Einreichungen und Chatnachrichten direkt auf der Plattform. Rechtswidrige Inhalte kann jeder melden, auch ohne Konto: über das Kontaktformular oder per E-Mail an hello@wantedsix.com, mit der genauen Adresse des Inhalts, einer Begründung, warum er rechtswidrig ist, deinem Namen und deiner E-Mail-Adresse (außer bei Darstellungen sexuellen Missbrauchs von Kindern) und der Erklärung, dass deine Angaben nach bestem Wissen richtig und vollständig sind. Du erhältst eine Eingangsbestätigung und eine Information über unsere Entscheidung.

Über Meldungen und Maßnahmen entscheiden Menschen aus unserem Team bzw. der Betreiber; automatisch festgelegt wird nur die Reihenfolge, in der Meldungen bearbeitet werden. Betroffene erhalten jede Maßnahme mit Begründung. Gegen eine aktive Sanktion kannst du einmal Einspruch einlegen, in deinen Kontoeinstellungen; den Einspruch prüft das Team erneut. Außerdem kannst du dich an eine zertifizierte außergerichtliche Streitbeilegungsstelle nach Art. 21 DSA oder an die Gerichte wenden; Einzelheiten stehen in den Nutzungsbedingungen.

• Daten: Bei Meldungen: meldende Person, Grund, Angaben (bis 1.000 Zeichen), betroffener Inhalt und betroffenes Konto; bei Meldungen ohne Konto Name, E-Mail-Adresse und Angaben. Im Fall: Status, Priorität, Zahl der Meldungen, bearbeitende Person, Entscheidung mit Begründung und der Verlauf aller Schritte. Bei Sanktionen: Art (Verwarnung oder Sperre), Beginn, Ende, Begründung, Aufhebung. Bei Einsprüchen: dein Text (10 bis 2.000 Zeichen), Entscheidung und Begründung. Gemeldete Chat-Auszüge siehe Abschnitt 14.

• Zweck: Meldungen bearbeiten, rechtswidrige Inhalte und Verstöße gegen die Nutzungsbedingungen und Community-Richtlinien ausblenden oder ahnden, Betroffenen die Gründe mitteilen, Einsprüche prüfen, wiederholte Verstöße erkennen und Entscheidungen nachweisen.

• Rechtsgrundlage: Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit Art. 16 bis 18 DSA (Bearbeitung von Meldungen, Begründung von Entscheidungen, Meldung bestimmter Straftaten); Art. 6 Abs. 1 lit. b DSGVO für die Durchsetzung der Nutzungsbedingungen; Art. 6 Abs. 1 lit. f DSGVO, unser berechtigtes Interesse an einer sicheren Community, an nachvollziehbaren Entscheidungen und an der Verteidigung gegen Rechtsansprüche.

• Empfänger: Teammitglieder mit Moderationsberechtigung sehen Fälle einschließlich der Identität der meldenden Person; die gemeldete Person erfährt nicht, wer gemeldet hat. Teammitglieder bekommen Fälle, die sie selbst betreffen, nicht angezeigt; ausgenommen ist der Betreiber selbst. Besteht der Verdacht einer Straftat, die das Leben oder die Sicherheit von Personen bedroht, informieren wir die zuständigen Strafverfolgungsbehörden (Art. 18 DSA).

• Speicherort und Übermittlung: Gespeichert in Frankfurt am Main; verarbeitet über unsere Serverfunktionen in den USA (siehe oben).

• Speicherdauer: Für abgeschlossene Moderationsfälle ist eine Frist von 180 Tagen festgelegt, im Streitfall länger; die automatische Löschung ist noch nicht eingeschaltet. Sanktionen, Einsprüche und gemeldete Chat-Auszüge bewahren wir derzeit ohne feste Frist auf, auch nach einer Kontolöschung, um wiederholte Verstöße zu erkennen und Entscheidungen nachweisen zu können.

• Bereitstellung: Meldungen sind freiwillig; bis zu zehn Meldungen pro Stunde sind möglich. Bei Meldungen rechtswidriger Inhalte brauchen wir die genannten Angaben, um sie prüfen zu können.

27. Verwaltungsprotokoll

Wichtige Aktionen des Teams und des Systems protokollieren wir, etwa Moderationsentscheidungen, Sanktionen, Änderungen an Teamrechten, Änderungen an Events, die Bearbeitung von Kontaktanfragen, Datenexporte und Löschanträge.

• Daten: Handelnde Person, Aktion, betroffenes Objekt, Grund, Zustand vor und nach der Änderung, Zeitpunkt. Private Chattexte enthält das Protokoll nicht; Zugriffe auf gemeldete Chat-Auszüge werden nur mit Kennungen vermerkt.

• Zweck: Nachvollziehbarkeit und Kontrolle von Verwaltungsaktionen, Schutz vor Missbrauch von Teamrechten, Nachweis gegenüber Betroffenen und Behörden. Die Einträge zu Datenexporten dienen auch der Begrenzung auf drei Exporte in zehn Minuten.

• Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO, unser berechtigtes Interesse an einer kontrollierten und nachweisbaren Verwaltung; soweit es um unsere Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO geht, Art. 6 Abs. 1 lit. c DSGVO.

• Empfänger: Nur Teammitglieder mit entsprechender Berechtigung.

• Speicherort und Übermittlung: Frankfurt am Main.

• Speicherdauer: Eine feste Frist ist derzeit nicht festgelegt; die Einträge bleiben auch nach einer Kontolöschung erhalten.

• Bereitstellung: Entsteht automatisch.

28. Kontaktformular, Tipps und Fehlermeldungen

Über das Kontaktformular, Tipp senden und Fehler melden erreichen uns deine Nachrichten. Eine automatische Eingangsbestätigung per E-Mail verschicken wir nicht. Über neue Nachrichten informieren wir unser Team mit einer E-Mail an unser Postfach; sie nennt nur die Art der Nachricht und eine Kurzkennung, nicht ihren Text und nicht deine Adresse. Tipps veröffentlichen wir nicht automatisch.

• Daten: Art der Nachricht, Betreff, Text (bis 4.000 Zeichen), bei Tipps und Fehlermeldungen optional die Adresse der betroffenen Seite; deine E-Mail-Adresse (beim Kontaktformular ohne Anmeldung erforderlich, sonst freiwillig); bei Anmeldung deine Nutzer-ID; Sprache und eine grobe Geräteklasse (etwa Desktop oder Mobil); Bearbeitungsstatus, bearbeitende Person und interne Notizen.

• Zweck: Deine Anfrage bearbeiten und beantworten, Tipps für unsere Redaktion prüfen, Fehler beheben.

• Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO, unser berechtigtes Interesse, Anfragen zu bearbeiten und die Plattform zu verbessern; bei Anfragen zu deinem Konto Art. 6 Abs. 1 lit. b DSGVO; bei Datenschutzanfragen und Meldungen rechtswidriger Inhalte Art. 6 Abs. 1 lit. c DSGVO.

• Empfänger: Teammitglieder mit Berechtigung für Kontaktanfragen. Antworten schicken wir dir per E-Mail aus unserem E-Mail-Postfach; dabei verarbeitet auch unser E-Mail-Anbieter deine Adresse und den Inhalt.

• Speicherort und Übermittlung: Gespeichert in Frankfurt am Main; die Formulare laufen über unsere Serverfunktionen in den USA.

• Speicherdauer: Für erledigte Nachrichten ist eine Frist von 365 Tagen nach der letzten Bearbeitung festgelegt; die automatische Löschung ist noch nicht eingeschaltet. Bei einer Kontolöschung bleiben deine Nachrichten derzeit gespeichert.

• Bereitstellung: Freiwillig. Ohne E-Mail-Adresse können wir Gästen nicht antworten.

29. Schutz der Formulare vor Missbrauch

Damit Formulare nicht massenhaft missbraucht werden, begrenzen wir, wie oft sie genutzt werden können. Das gilt für Kontakt, Tipps und Fehlermeldungen von Gästen, für die Newsletter-Anmeldung und für das Speichern von Cookie-Einwilligungen.

• Daten: Bei Formularen von Gästen und bei der Newsletter-Anmeldung wird deine IP-Adresse (bei IPv6 nur das /64-Netz) nur im Arbeitsspeicher verarbeitet. Daraus und aus dem aktuellen Datum bildet der Server mit einem geheimen Schlüssel einen Hashwert, der sich täglich ändert; gespeichert wird nur ein weiterer Hash davon mit Zeitpunkt. Für Limits pro E-Mail-Adresse oder Konto speichern wir außerdem Hashwerte deiner E-Mail-Adresse bzw. Nutzer-ID.

• Zweck: Spam und Missbrauch verhindern.

• Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO, unser berechtigtes Interesse an funktionsfähigen Formularen ohne Spam.

• Empfänger: Niemand; es gibt keine Ansicht dieser Werte.

• Speicherort und Übermittlung: Der Hashwert entsteht in unserer Serverfunktion in den USA; gespeichert wird in Frankfurt am Main.

• Speicherdauer: Alle Zählerstände löschen wir automatisch spätestens nach einem Tag, die aus der IP-Adresse gebildeten Werte in der Regel schon nach einer Stunde.

• Bereitstellung: Technisch notwendig, um die Formulare zu nutzen.

30. Newsletter und E-Mails der Plattform

Den Newsletter erhältst du nur mit deiner ausdrücklichen Einwilligung und erst, nachdem du die Anmeldung über einen Link in einer Bestätigungs-E-Mail bestätigt hast (Double-Opt-in). Freiwillig kannst du angeben, auf welchen Plattformen du spielst; dann können wir Inhalte passend für dich auswählen. Über den persönlichen Einstellungslink in jeder Newsletter-E-Mail oder, wenn die Adresse zu deinem Konto gehört, in deinen Benachrichtigungseinstellungen änderst du jederzeit Sprache und Plattformen oder meldest dich ab. Newsletter und E-Mails der Plattform, also Bestätigungen, Benachrichtigungen und Hinweise an unser Team, verschicken wir über den E-Mail-Versanddienst Brevo; Plattform-E-Mails laufen vorher durch unsere eigene Warteschlange. Der Versand ist derzeit auf Testadressen unseres Teams beschränkt: An andere Adressen gehen noch keine Newsletter, Newsletter-Bestätigungen oder Benachrichtigungs-E-Mails, eine Newsletter-Anmeldung bleibt deshalb vorerst unbestätigt. Die E-Mails zu Registrierung, Bestätigung der Konto-Adresse und Passwort (Abschnitte 3 und 5) sind davon nicht betroffen.

Sobald du die Anmeldung bestätigt hast, übertragen wir deine E-Mail-Adresse mit Sprache, Plattformangaben, Status, Zeitpunkt der Einwilligung, Herkunft der Anmeldung (Newsletter-Seite oder Kontobereich) und deinem persönlichen Einstellungslink in unsere Newsletter-Liste bei Brevo und halten diese Angaben automatisch aktuell. Meldest du dich ab, entfernen wir dich aus der Liste. Brevos eigener Abmeldelink in Newsletter-E-Mails, dauerhafte Zustellfehler und Beschwerden sperren deine Adresse bei Brevo für alle Marketing-E-Mails aus unserem Brevo-Konto; solche Sperren übernehmen wir regelmäßig als Abmeldung. Eine Sperre heben wir nicht automatisch auf, auch nicht nach einer erneuten Anmeldung; das prüfen wir von Hand.

• Daten: E-Mail-Adresse, Sprache, freiwillige Plattformangaben, Status (offen, bestätigt, abgemeldet), Herkunft der Anmeldung, deine Nutzer-ID, wenn die Adresse der bestätigten Adresse deines Kontos entspricht, Hashwerte des Bestätigungscodes und deines Einstellungslinks, Fassung des Einwilligungstextes, Zeitpunkte von Anmeldung, Bestätigung und Abmeldung, Zahl der Anmeldeversuche, Weg der Abmeldung, Stand und Zeitpunkt des Abgleichs mit Brevo, Zeitpunkt eines Löschauftrags. Bei Brevo: E-Mail-Adresse, Zugehörigkeit zu unserer Newsletter-Liste, die oben genannten Newsletter-Angaben, Sperrvermerke sowie Zustell- und Abmeldeereignisse; Links in Plattform-E-Mails führen derzeit über eine Weiterleitung von Brevo, die erfasst, ob ein Link angeklickt wurde. In der Warteschlange: Empfängeradresse, Vorlage, Platzhalter wie Anzeigename oder Links, Versandstatus; Benachrichtigungs-E-Mails nennen nur die Art der Benachrichtigung, nie ihren Inhalt, Hinweise an unser Team nur die Art einer Anfrage und eine Kurzkennung.

• Zweck: Newsletter versenden, Inhalte nach Sprache und Plattform auswählen und deine Einwilligung nachweisen; Abmeldungen und Sperren zwischen WANTED SIX und Brevo abgleichen; Plattform-E-Mails zustellen; unser Team über neue Anfragen informieren.

• Rechtsgrundlage: Newsletter einschließlich Plattformangaben: Art. 6 Abs. 1 lit. a DSGVO; Nachweis der Einwilligung und Umsetzung von Abmeldungen: Art. 6 Abs. 1 lit. c in Verbindung mit Art. 7 Abs. 1 und 3 DSGVO; Benachrichtigungs-E-Mails: Art. 6 Abs. 1 lit. b DSGVO; Hinweise an unser Team: Art. 6 Abs. 1 lit. f DSGVO, unser berechtigtes Interesse, Anfragen zügig zu bearbeiten.

• Empfänger: Brevo SAS (Paris, Frankreich) als Auftragsverarbeiter für Newsletter-Liste und Versand (siehe „Auftragsverarbeiter“). In WANTED SIX sehen Teammitglieder mit Newsletter-Berechtigung Adressen nur gekürzt, die Plattformangaben je Anmeldung und als Gesamtzahlen; wer unser Brevo-Konto verwaltet, sieht dort die vollständigen Angaben.

• Speicherort und Übermittlung: Bei uns gespeichert in Frankfurt am Main; Anmeldung, Einstellungsseite und Abgleich laufen über unsere Serverfunktionen in den USA. Brevo speichert in der EU (Frankreich, Deutschland, Belgien); nach den Bedingungen von Brevo ist eine Verarbeitung außerhalb des EWR durch Brevo, verbundene Unternehmen oder Unterauftragsverarbeiter möglich, gestützt auf Standardvertragsklauseln bzw. für die USA auf das EU-U.S. Data Privacy Framework.

• Speicherdauer: Der Bestätigungslink gilt 72 Stunden. Für unbestätigte Anmeldungen ist eine Frist von 30 Tagen festgelegt, für Einträge der E-Mail-Warteschlange 90 Tage nach Versand, Abbruch oder endgültigem Fehlschlag; die automatische Löschung ist noch nicht eingeschaltet. Nach einer Abmeldung bleibt der Eintrag mit deiner Adresse und dem Abmeldevermerk derzeit ohne feste Frist gespeichert; bei Brevo bleibt dein Kontakt außerhalb unserer Liste mit dem Vermerk „abgemeldet“ und den zuletzt übertragenen Angaben (Sprache, Plattformen, Einstellungslink, Datum der Einwilligung). Auf Anfrage löschen wir den Eintrag bei uns und entfernen die Newsletter-Angaben bei Brevo; den Brevo-Kontakt mit deiner E-Mail-Adresse selbst löschen wir auf ausdrücklichen Wunsch zusätzlich, soweit er nicht für ein anderes Angebot der WKD GmbH gespeichert ist.

• Bereitstellung: Freiwillig, auch die Plattformangaben. Abmelden kannst du dich jederzeit über den Einstellungs- oder den Abmeldelink in jeder Newsletter-E-Mail oder in deinen Benachrichtigungseinstellungen.

31. Cookie-Einstellungen und Einwilligungsnachweis

Beim ersten Besuch fragen wir dich, welchen optionalen Zwecken du zustimmst: Statistik und YouTube-Videos, sowie Marketing, falls ein entsprechender Anbieter eingerichtet ist. „Nur notwendige“ und „Alle akzeptieren“ sind gleichwertig erreichbar; über „Einstellungen“ wählst du einzeln, auch je Anbieter. Deine Auswahl änderst oder widerrufst du jederzeit über „Cookie-Einstellungen“ im Footer der öffentlichen Seiten oder über die Schaltfläche in der Cookie-Richtlinie. Eine frühere Auswahl gilt für Statistik und YouTube weiter; eine frühere Zustimmung zur externen Karte wirkt nicht mehr, weil wir keine externe Karte mehr einbinden. Marketing und alle Drittanbieter bleiben dabei aus, bis du sie ausdrücklich wählst.

• Daten: Im Cookie w6_consent: Fassung, gewählte Zwecke, freigegebene Anbieter, Zeitpunkt. Als Nachweis in unserer Datenbank: Fassung, Zwecke, Anbieter, Zeitpunkt und, wenn du angemeldet bist, deine Nutzer-ID. IP-Adresse, Browserkennung oder Gerätemerkmale speichern wir dafür nicht.

• Zweck: Deine Entscheidung umsetzen und nachweisen können.

• Rechtsgrundlage: Das Cookie ist unbedingt erforderlich (§ 165 Abs. 3 TKG 2021). Der Nachweis beruht auf Art. 6 Abs. 1 lit. c in Verbindung mit Art. 7 Abs. 1 DSGVO.

• Empfänger: Niemand außer unseren Auftragsverarbeitern.

• Speicherort und Übermittlung: Der Nachweis läuft über unsere Serverfunktionen in den USA und wird in Frankfurt am Main gespeichert.

• Speicherdauer: Das Cookie gilt 180 Tage; danach fragen wir erneut. Nachweise bewahren wir auf, solange wir die Erteilung oder den Widerruf einer Einwilligung nachweisen können müssen; eine feste Höchstfrist ist derzeit nicht festgelegt. Nachweise angemeldeter Mitglieder bleiben auch nach einer Kontolöschung erhalten.

• Bereitstellung: Eine Auswahl ist freiwillig. Ohne Entscheidung bleibt alles Optionale ausgeschaltet.

32. Eigene Statistik

Mit deiner Einwilligung in „Statistik“ zählen wir Seitenaufrufe mit einem eigenen System. Ohne Einwilligung sendet dein Browser keine Statistikdaten. Die Statistik ist pseudonym, nicht anonym.

• Daten: Pro Aufruf: die Art der Seite als allgemeine Vorlage (nicht die genaue Adresse), Sprache, Geräteklasse (Mobil, Tablet oder Desktop, ermittelt aus der Fensterbreite), Domain der verweisenden Website, ein Kampagnenparameter (utm_source), bei Detailseiten das angesehene Objekt (bei Creator-Seiten die Kennung des Creators) sowie das Ereignis „Registrierung begonnen“. Dein Browser erzeugt eine zufällige Kennung, die nur für diesen Tab gespeichert wird (w6_aid); der Server speichert daraus nur einen Hash mit einem täglich wechselnden Zufallswert. Verweisende Seite und Kampagnenparameter des ersten Aufrufs liest dein Browser schon vor der Einwilligung, behält sie aber nur im Arbeitsspeicher und sendet sie erst nach deiner Zustimmung. IP-Adresse, Browserkennung und Nutzer-ID speichern wir in der Statistik nicht.

• Zweck: Reichweite nach Seitentypen, Quellen und Geräten verstehen; zusammengefasste Aufrufzahlen für Creator.

• Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO und § 165 Abs. 3 TKG 2021. Das Herausfiltern von Bots anhand der Browserkennung beruht auf Art. 6 Abs. 1 lit. f DSGVO, unserem berechtigten Interesse an verlässlichen Zahlen; die Browserkennung wird dafür nur geprüft, nicht gespeichert.

• Empfänger: Teammitglieder mit Statistik-Berechtigung sehen nur zusammengefasste Zahlen; Creator sehen nur die Zahlen ihrer eigenen Seiten und Inhalte. Keine Weitergabe an Dritte.

• Speicherort und Übermittlung: Die Daten laufen über unsere Serverfunktionen in den USA und werden in Frankfurt am Main gespeichert.

• Speicherdauer: Die täglichen Zufallswerte löschen wir automatisch nach zwei Tagen; danach lassen sich Besuche nicht mehr über mehrere Tage verknüpfen. Für Einzelereignisse ist eine Frist von 30 Tagen festgelegt; die automatische Löschung ist noch nicht eingeschaltet. Tagessummen ohne Personenbezug bewahren wir ohne Frist auf. Die Tab-Kennung endet mit dem Tab und wird bei einem Widerruf sofort gelöscht.

• Bereitstellung: Freiwillig. Ohne Einwilligung kannst du die Website uneingeschränkt nutzen.

33. YouTube-Videos und Vorschaubilder

Videos binden wir über youtube-nocookie.com ein. Vor deiner Einwilligung siehst du einen Platzhalter; Vorschaubilder von Trailern und Creator-Videos holt unser Server bei YouTube ab und liefert sie dir selbst aus, sodass dein Browser dabei keine Verbindung zu Google aufbaut. Nach deiner Einwilligung in „YouTube-Videos“ lädt der Player auf Seiten mit Video automatisch, und Vorschaubilder im Videobereich lädt dein Browser direkt von YouTube. Ein Video startet erst, wenn du es abspielst; der Trailer auf der Startseite lädt den Player erst nach einem Klick.

• Daten: Beim Laden des Players und der Vorschaubilder im Videobereich: deine IP-Adresse, Browserkennung, die Adresse unserer Website als Herkunft und Informationen, die der Player auf deinem Gerät speichert oder ausliest.

• Zweck: Videos abspielen.

• Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO und § 165 Abs. 3 TKG 2021.

• Empfänger: Google Ireland Limited. Für das Einbinden und die Übermittlung an Google sind wir mit Google gemeinsam verantwortlich; für die weitere Verarbeitung ist Google allein verantwortlich (Datenschutzerklärung von Google (öffnet in neuem Tab)).

• Speicherort und Übermittlung: Google kann Daten in den USA verarbeiten; Google LLC ist nach dem EU-U.S. Data Privacy Framework zertifiziert.

• Speicherdauer: Wir speichern dabei nichts. Wie lange Google Daten aufbewahrt, bestimmt Google. Widerrufst du die Einwilligung, entfernen wir den Player sofort.

• Bereitstellung: Freiwillig. Ohne Einwilligung bleiben eingebettete Videos ausgeblendet.

34. Karte von Leonida

Die interaktive Karte betreiben wir selbst. Kartenbild und Ortsdaten stammen aus der Community-Datenbank GTADB (map.gtadb.org, CC BY 4.0); wir speichern sie selbst. Neue Ortsdaten ruft unser Server über GitHub ab, dabei werden keine Daten über dich übertragen. Kartenbilder, Fotos und Ortsdaten lädt dein Browser von WANTED SIX selbst und von unserem Speicher bei Supabase in Frankfurt am Main; dabei fallen wie bei jedem Seitenaufruf technische Daten wie deine IP-Adresse an (Abschnitt 1). Die Karte bindet keine Inhalte oder Dienste Dritter ein und lädt deshalb ohne Einwilligung. Ohne Konto speichert nur dein Browser deine eigenen Orte, Favoriten, Strecken und deine Einheit (siehe Cookie-Richtlinie); wir erhalten davon nichts, solange du die Orte nicht selbst in dein Konto übernimmst. Mit Konto verarbeiten wir:

• Daten: Favoriten (bis 500), eigene Orte mit Name, Position, optionaler Notiz und Zeitpunkt (bis 300) und gespeicherte Strecken mit Name und Wegpunkten (bis 50); bei Ortsvorschlägen Name, Position und Kategorie des Orts, deine optionale Notiz (bis 280 Zeichen), dein Konto, der Zeitpunkt sowie Prüfstatus, Zeitpunkt und Begründung der Entscheidung.

• Zweck: Deine Orte, Favoriten und Strecken auf allen Geräten bereitstellen; Ortsvorschläge prüfen und angenommene Orte in die öffentliche Karte aufnehmen. Veröffentlicht werden dabei nur Name, Position und Kategorie des Orts, nicht dein Konto und nicht deine Notiz.

• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO; für die Begrenzung auf zehn Vorschläge in 24 Stunden Art. 6 Abs. 1 lit. f DSGVO, unser berechtigtes Interesse am Schutz vor Spam.

• Empfänger: Deine Favoriten, eigenen Orte und Strecken siehst nur du. Ortsvorschläge sehen Teammitglieder mit Berechtigung für die Karte, mit deinem Handle und deiner Notiz.

• Speicherort und Übermittlung: Gespeichert in Frankfurt am Main; beim Laden, Speichern und Senden laufen die Daten über unsere Serverfunktionen in den USA (Abschnitt 1).

• Speicherdauer: Eine automatische Löschfrist gibt es nicht. Favoriten, eigene Orte und Strecken bleiben gespeichert, bis du sie löschst, spätestens bis zur Ausführung deiner Kontolöschung (ein offener Löschantrag allein löscht noch nichts). Offene Ortsvorschläge werden dabei gelöscht; bei entschiedenen entfernen wir den Bezug zu deinem Konto, deine Notiz und die Begründung; Name, Position, Kategorie, Prüfstatus und die Zeitpunkte bleiben ohne Bezug zu dir gespeichert. Die Entscheidung des Teams mit ihrer Begründung bleibt ohne Bezug zu dir im Verwaltungsprotokoll (Abschnitt 27). Angenommene Orte bleiben Teil der öffentlichen Karte.

• Bereitstellung: Freiwillig. Ohne Konto funktioniert die Karte vollständig; eigene Orte bleiben dann auf deinem Gerät. Ortsvorschläge sind nur mit Konto möglich.

35. Reichweitenmessung mit Google Analytics 4 und vorbereitete Werbemessung

Wir haben vier Dienste technisch vorbereitet, mit denen wir messen könnten, wie Besucher zu WANTED SIX kommen und ob unsere Werbung wirkt: Google Analytics 4, Google Ads, den Meta Pixel (für Werbung auf Facebook und Instagram) und den TikTok Pixel. Aktiv ist davon nur Google Analytics 4, und das nur mit deiner Einwilligung. Google Ads, der Meta Pixel und der TikTok Pixel sind nicht aktiv: Es wird kein Skript dieser Anbieter geladen, und es gehen keine Daten an sie. Für Google Analytics 4 und für jeden weiteren dieser Dienste, falls wir ihn einschalten, gilt verbindlich:

• Ein Dienst läuft nur, wenn er in den Cookie-Einstellungen ausdrücklich aufgeführt ist und du sowohl dem Zweck (Statistik bei Google Analytics 4, Marketing bei den anderen) als auch dem einzelnen Anbieter zugestimmt hast. Vor deiner Zustimmung wird nichts geladen und keine Anfrage an den Anbieter gesendet. Eine frühere Einwilligung umfasst einen neu hinzugekommenen Anbieter nie.

• Seitenaufrufe melden wir nur auf öffentlichen Seiten, deren Adresse kein Mitglied bezeichnet und keine privaten Eingaben enthält: nicht auf Profil-, Crew- und Creator-Seiten, nicht in der Suche, nicht beim Zurücksetzen des Passworts oder bei der Bestätigung der E-Mail-Adresse und nie im Mitgliederbereich. Auf den gemeldeten Seiten können trotzdem Mitglieder zu sehen sein, etwa in Ranglisten oder an Kommentaren. Abfrageparameter der Seitenadresse gehen nicht an die Anbieter, ausgenommen Kampagnenparameter und Klick-Kennungen aus Anzeigen (etwa utm_source, gclid, fbclid oder ttclid).

• Außer Seitenaufrufen melden wir nur diese Schritte: Registrierung begonnen und Registrierung abgeschickt (beides nur an Google Analytics 4), Registrierung abgeschlossen (erst wenn die E-Mail-Adresse bestätigt ist; an Google Analytics 4 mit der Angabe, ob über E-Mail oder mit Steam registriert wurde), Creator-Bewerbung abgeschickt und Anmeldung zu einem Event.

• Wir nutzen keine serverseitige Übermittlung (etwa Conversions API oder Events API), keinen automatischen Abgleich von Formulareingaben (Advanced Matching), keine gehashten E-Mail-Adressen und kein Fingerprinting.

• Widerrufst du die Einwilligung, stoppen die Dienste sofort, wir löschen ihre Cookies auf unserer Domain und laden die Seite neu. Cookies auf den eigenen Domains der Anbieter können wir nicht löschen; diese entfernst du in deinem Browser.

• Rechtsgrundlage ist jeweils deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO und § 165 Abs. 3 TKG 2021). Auf Art. 49 DSGVO stützen wir Übermittlungen dabei nicht.

Für die einzelnen Dienste gilt (bei Google Ads, Meta Pixel und TikTok Pixel im Fall ihrer Aktivierung):

Google Analytics 4

• Anbieter und Rolle: Google Ireland Limited als unser Auftragsverarbeiter.

• Daten: Seitenaufrufe (Adresse ohne Abfrageparameter, ausgenommen Kampagnenparameter wie utm_source; beim ersten Seitenaufruf eines Besuchs die Domain der verweisenden Website), die genannten Schritte, Browser- und Geräteinformationen, Sprache, Bildschirmauflösung, ein aus der IP-Adresse abgeleiteter ungefährer Standort und Cookie-Kennungen. Die IP-Adresse wird an Google übertragen, von Google Analytics nach Angaben von Google aber nicht gespeichert. Google-Signale und Werbefunktionen sind ausgeschaltet.

• Cookies auf unserer Domain: _ga und _ga_ mit angehängter Kennung, nach Angaben von Google bis zu 2 Jahre. Bestätigst du eine Registrierung, nachdem du Google Analytics 4 zugestimmt hast, setzen wir außerdem w6_conversion: Es enthält nur den Schritt und den Weg der Registrierung (E-Mail oder Steam), keine Kennung, und wird beim nächsten Aufruf einer öffentlichen Seite gemeldet und gelöscht, spätestens nach 24 Stunden.

• Speicherdauer bei Google: Ereignis- und Nutzerdaten 2 Monate (zusammengefasste Berichte sind davon nicht betroffen).

• Drittland: Google kann Daten in den USA verarbeiten; Google LLC ist nach dem EU-U.S. Data Privacy Framework zertifiziert, ergänzend sehen die Bedingungen von Google Standardvertragsklauseln vor.

Google Ads

• Anbieter und Rolle: Google Ireland Limited als eigenständig Verantwortlicher.

• Zweck: messen, ob Registrierungen, Creator-Bewerbungen oder Event-Anmeldungen auf Google-Anzeigen zurückgehen, und Remarketing, also dir später passende Werbung bei Google zeigen.

• Daten: Seitenaufrufe, die genannten Schritte, Klick-Kennungen aus Anzeigen, Browser- und Geräteinformationen, IP-Adresse und Cookie-Kennungen.

• Cookies auf unserer Domain: _gcl_au und weitere _gcl-Cookies, nach Angaben von Google 90 Tage. Google kann zusätzlich Cookies auf eigenen Domains setzen.

• Speicherdauer: bestimmt Google als eigenständig Verantwortlicher (Datenschutzerklärung von Google (öffnet in neuem Tab)).

• Drittland: wie bei Google Analytics 4.

Meta Pixel (Facebook und Instagram)

• Anbieter und Rolle: Meta Platforms Ireland Limited, Block J, Serpentine Avenue, Dublin 4, Irland. Für die Erhebung und Übermittlung der Daten auf unserer Website sind wir mit Meta gemeinsam verantwortlich (Art. 26 DSGVO); die Einzelheiten regelt die von Meta vorgegebene Vereinbarung über die gemeinsame Verantwortlichkeit (Controller Addendum). Für die weitere Verarbeitung ist Meta allein verantwortlich. Deine Rechte kannst du bei uns und bei Meta geltend machen.

• Zweck: messen, ob Besuche, Registrierungen, Creator-Bewerbungen oder Event-Anmeldungen auf Werbung bei Facebook oder Instagram zurückgehen, und dir dort passende Werbung zeigen.

• Daten: Seitenaufrufe (PageView) und die Ereignisse CompleteRegistration, SubmitApplication und EventRegistration, Seitenadresse, verweisende Seite, IP-Adresse, Browserinformationen, Cookie-Kennungen und Klick-Kennungen aus Anzeigen.

• Cookies auf unserer Domain: _fbp und _fbc, nach Angaben von Meta 90 Tage. Meta kann zusätzlich Cookies auf eigenen Domains setzen.

• Speicherdauer: Meta bewahrt Ereignisdaten nach seinen Bedingungen bis zu zwei Jahre auf.

• Drittland: Meta kann Daten an Meta Platforms, Inc. in den USA übermitteln; Meta Platforms, Inc. ist nach dem EU-U.S. Data Privacy Framework zertifiziert, ergänzend nennt Meta Standardvertragsklauseln (Datenschutzrichtlinie von Meta (öffnet in neuem Tab)).

TikTok Pixel

• Anbieter und Rolle: TikTok Technology Limited (Irland) und TikTok Information Technologies UK Limited. TikTok verarbeitet die Daten nach eigenen Angaben als mit uns gemeinsam Verantwortlicher; für die Erhebung und Übermittlung auf unserer Website wären wir mit TikTok gemeinsam verantwortlich. Deine Rechte kannst du bei uns und bei TikTok geltend machen.

• Zweck: messen, ob Besuche, Registrierungen, Creator-Bewerbungen oder Event-Anmeldungen auf Werbung bei TikTok zurückgehen, und dir dort passende Werbung zeigen.

• Daten: Seitenaufrufe und die Ereignisse CompleteRegistration, SubmitForm und EventRegistration, Seitenadresse, IP-Adresse, Browserinformationen, Zeitstempel, Cookie-Kennungen und Klick-Kennungen aus Anzeigen.

• Cookies auf unserer Domain: _ttp, ttcsid und ttclid, nach Angaben von TikTok bis zu 13 Monate ab der letzten Nutzung. TikTok kann zusätzlich Cookies auf eigenen Domains setzen.

• Speicherdauer: bestimmt TikTok nach seinen Bedingungen.

• Drittland: TikTok speichert Daten nach eigenen Angaben auf Servern in den USA, Malaysia und Singapur; Gesellschaften der TikTok-Gruppe in weiteren Ländern erhalten begrenzten Fernzugriff. TikTok stützt diese Übermittlungen auf Standardvertragsklauseln (Datenschutzerklärung von TikTok (öffnet in neuem Tab)).

36. Links zu anderen Websites

Links zu anderen Websites, etwa zu Rockstar Games, Discord oder den Kanälen von Creatorn, übermitteln erst beim Anklicken Daten an den jeweiligen Anbieter, insbesondere deine IP-Adresse. Für die Verarbeitung auf diesen Websites ist der jeweilige Anbieter verantwortlich.

37. Kontolöschung

Die Löschung deines Kontos beantragst du unter Daten & Konto. Leitest du eine Crew mit weiteren Mitgliedern, übergibst du vorher die Leitung oder löst die Crew auf. So läuft die Löschung ab:

1. Antrag: Dein öffentliches Profil ist sofort nicht mehr sichtbar, und dein Konto ist eingeschränkt. Du kannst dich weiter anmelden, deine Daten herunterladen und den Antrag zurückziehen, solange er nicht bearbeitet ist. Einen optionalen Grund (bis 1.000 Zeichen) speichern wir mit dem Antrag.

2. Bearbeitung: Der Betreiber führt die Löschung von Hand aus; unser Ziel sind höchstens 30 Tage.

3. Ausführung: Wir pseudonymisieren dein Profil: Der Handle wird durch „deleted_“ und eine aus deiner Nutzer-ID abgeleitete Zeichenfolge ersetzt, der Anzeigename durch „Gelöschtes Konto“; Beschreibung sowie Verweise auf Profilbild und Banner werden entfernt, und das Profil wird privat. Gelöscht werden Gaming-Konten, Follows, Likes, Blockierungen, Benachrichtigungen und deren Einstellungen, Favoriten, eigene Orte und Strecken der Karte, offene Ortsvorschläge sowie alle Sitzungen; bei entschiedenen Ortsvorschlägen werden der Bezug zu deinem Konto, die Notiz und die Begründung entfernt; die Anmeldung wird dauerhaft gesperrt. Crew-Mitgliedschaften enden (eine Crew, die du allein leitest, wird aufgelöst), offene Bewerbungen und Einladungen werden geschlossen, der Creator-Status endet und die Creator-Seite wird geleert, künftige Event-Zusagen werden abgesagt, Newsletter-Anmeldungen abgemeldet und Teamrechte entzogen.

Was derzeit nach der Ausführung bleibt und warum:

• Anmeldedaten: deine E-Mail-Adresse und der Hash deines Passworts im Anmeldesystem, bei Google-Anmeldung die Google-Identitätsdaten (Name, E-Mail-Adresse, Bildadresse, Konto-ID) und eingerichtete Zwei-Faktor-Faktoren. Die E-Mail-Adresse behalten wir zum Schutz vor Missbrauch, etwa um die Umgehung von Sperren zu erkennen; die übrigen Anmeldedaten werden derzeit technisch nicht mitgelöscht.

• Inhalte, die andere betreffen: Deine Kommentare bleiben öffentlich sichtbar und deine Chatnachrichten für die anderen Beteiligten lesbar, jeweils als „Gelöschtes Konto“, damit Diskussionen und Unterhaltungen verständlich bleiben. Ebenso bleiben gemeldete Chat-Auszüge, deine Crew-Bewerbungen mit Antworten, der Crew-Verlauf, Einträge im Crew-Protokoll sowie Texte, Logo und Banner einer dabei aufgelösten Crew gespeichert.

• Nachweise: Moderationsfälle, deine Meldungen, Sanktionen, Einsprüche, das Verwaltungsprotokoll, Einwilligungsnachweise, die Zeitpunkte deiner Registrierung, Altersbestätigung und Annahme der Nutzungsbedingungen sowie dein Löschantrag mit Grund, um Entscheidungen und Einwilligungen nachweisen, uns gegen Rechtsansprüche verteidigen und wiederholte Verstöße erkennen zu können.

• Punkte und Wettbewerb: XP- und WT-Verlauf, Belege, Rewards, Boosts, Aktivitätstage, Missionen, Antworten auf die Frage des Tages, Challenge-Teilnahmen, Einreichungen, Nachweisdateien, Stimmen und Ergebnisse sowie Hall-of-Fame-Einträge (ohne Namen), damit Punktestände, Ranglisten und Wettbewerbe stimmig bleiben.

• Einladungen und Creator-Codes: der Hashwert deiner E-Mail-Adresse, der Einladungs- und Unterstützungsverlauf, gutgeschriebene WT und die Zuordnung deiner Registrierung zu einem Code, damit nach einer Neuregistrierung keine Mehrfachbelohnung entsteht.

• Creator-Daten: die Adresse deiner Creator-Seite, deine Creator-Bewerbungen, deine Inhalte mit allen Fassungen (ausgeblendet) und zwischengespeicherte YouTube-Videodaten.

• Dateien: hochgeladene Profilbilder, Banner und Bilder in Creator-Inhalten bleiben derzeit im öffentlichen Speicher und sind über ihre direkte Adresse abrufbar; Nachweisdateien bleiben im nicht öffentlichen Speicher.

• Formulare, E-Mails und Events: Kontakt-, Tipp- und Fehlermeldungen mit deiner E-Mail-Adresse, der abgemeldete Newsletter-Eintrag (bei Brevo gegebenenfalls der Kontakt mit dem Vermerk „abgemeldet“), für den E-Mail-Versand vorgemerkte Benachrichtigungen, Einträge der E-Mail-Warteschlange und vergangene Event-Zusagen.

Diese Daten bleiben mit der pseudonymisierten Kennung deines Kontos verbunden. Pseudonymisierung ist keine Anonymisierung: Wir können sie weiterhin deinem früheren Konto zuordnen. Möchtest du, dass wir mehr entfernen, schreib uns an hello@wantedsix.com. Wir löschen dann auch Anmeldedaten, Dateien, Kommentartexte und alle weiteren Einträge, die wir weder aufgrund einer gesetzlichen Pflicht noch aus überwiegenden berechtigten Gründen aufbewahren müssen, und sagen dir, was aus welchem Grund bleibt. Kopien in Datensicherungen verschwinden nach Ablauf der Sicherungsfrist (Abschnitt 39).

• Daten: Dein Antrag mit Zeitpunkten, Status, optionalem Grund und der Entscheidung.

• Zweck: Deinen Löschwunsch umsetzen.

• Rechtsgrundlage: Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit Art. 17 DSGVO; für die Aufbewahrung der oben genannten Daten Art. 6 Abs. 1 lit. f DSGVO, unser berechtigtes Interesse an Nachweisbarkeit, an verständlichen Unterhaltungen, an der Abwehr von Rechtsansprüchen und am Schutz vor Missbrauch, für Einwilligungsnachweise und Vorgänge nach dem DSA Art. 6 Abs. 1 lit. c DSGVO.

• Empfänger: Teammitglieder mit Berechtigung für Datenschutzanfragen sehen den Antrag einschließlich deines Grundes; ausführen kann die Löschung nur der Betreiber.

• Speicherort und Übermittlung: Gespeichert in Frankfurt am Main; verarbeitet über unsere Serverfunktionen in den USA (siehe oben).

• Speicherdauer: Der Antrag bleibt als Nachweis gespeichert; eine feste Frist ist derzeit nicht festgelegt.

• Bereitstellung: Freiwillig.

38. Datenexport und Auskunft

Unter Daten & Konto lädst du jederzeit eine JSON-Datei mit den wichtigsten Daten zu deinem Konto herunter, auch während einer Sperre oder eines Löschantrags. Andere Mitglieder erscheinen darin nur mit ihrer Nutzer-ID und ihrem Handle.

• Enthalten: E-Mail-Adresse mit Bestätigungs-, Registrierungs- und letztem Anmeldezeitpunkt, alle Profilangaben und Einstellungen, Gaming-Konten, Follows in beide Richtungen, Blockierungen, Likes, Kommentare, Benachrichtigungseinstellungen, die neuesten 1.000 Benachrichtigungen, XP- und WT-Verlauf mit Belegen, Rewards, Boosts, Aktivitätstage, Einwilligungsnachweise, Löschanträge, Challenge-Teilnahmen, Einreichungen mit den Pfaden der Nachweisdateien, Stimmen, deine Formulare, Newsletter-Einträge und Kartendaten (Favoriten, eigene Orte, Strecken, Ortsvorschläge).

• Noch nicht enthalten: Chats, Crew-Daten, Creator-Daten, Event-Zusagen, Missionen, Antworten auf die Frage des Tages und Season-Daten, Bewertungen und frühere Fassungen von Challenge-Einreichungen, Hall-of-Fame-Einträge, Moderationsdaten, Einladungen und Creator-Codes, Anmeldeidentitäten (etwa Google), Sitzungen, Zwei-Faktor-Faktoren, für den E-Mail-Versand vorgemerkte Einträge, Einträge im Verwaltungsprotokoll und die Dateien selbst.

• Vollständige Auskunft: Alles, was der Export nicht enthält, bekommst du auf Anfrage nach Art. 15 DSGVO per E-Mail an hello@wantedsix.com, innerhalb eines Monats.

• Daten: Die oben genannten Daten; zusätzlich vermerken wir jeden Export mit Zeitpunkt.

• Zweck: Auskunft und Datenübertragbarkeit (Art. 15 und 20 DSGVO).

• Rechtsgrundlage: Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit Art. 15 und 20 DSGVO; für den Vermerk Art. 6 Abs. 1 lit. f DSGVO, unser berechtigtes Interesse am Schutz vor massenhaften Abrufen (höchstens drei Exporte in zehn Minuten).

• Empfänger: Nur du; Teammitglieder mit Berechtigung für Datenschutzanfragen sehen, dass und wann du exportiert hast.

• Speicherort und Übermittlung: Der Export wird in unserer Serverfunktion in den USA erstellt und an deinen Browser geschickt.

• Speicherdauer: Die Datei selbst speichern wir nicht. Der Vermerk bleibt im Verwaltungsprotokoll (Abschnitt 27).

• Bereitstellung: Freiwillig.

39. Datensicherungen

Unser Datenbankdienstleister Supabase erstellt für unseren Tarif nach seinen Angaben täglich eine Sicherung der Datenbank und hält die Sicherungen der letzten sieben Tage vor. Hochgeladene Dateien sind darin nicht enthalten.

• Daten: Der gesamte Inhalt der Datenbank zum Zeitpunkt der Sicherung.

• Zweck: Wiederherstellung nach technischen Störungen, Fehlern oder Angriffen.

• Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO, unser berechtigtes Interesse an der Verfügbarkeit und Integrität der Daten; zugleich eine Sicherheitsmaßnahme nach Art. 32 DSGVO.

• Empfänger: Supabase als Auftragsverarbeiter.

• Speicherort und Übermittlung: Nach Angaben von Supabase in derselben Region wie die Datenbank, also in Frankfurt am Main.

• Speicherdauer: Sieben Tage. Gelöschte Daten können daher noch bis zu sieben Tage in einer Sicherung enthalten sein, bevor diese überschrieben wird.

• Bereitstellung: Entsteht automatisch.

Speicherdauer im Überblick

Wir speichern Daten nur so lange, wie wir sie für den jeweiligen Zweck brauchen oder gesetzlich aufbewahren müssen. Nicht alle Löschfristen laufen schon automatisch: Für einige Daten haben wir Fristen festgelegt, deren automatische Löschung noch nicht eingeschaltet ist. Wir schalten sie vor dem öffentlichen Start der Plattform ein; bis dahin können diese Daten länger gespeichert sein. Für andere Daten gibt es noch keine feste Frist; dort nennen wir das Kriterium. Auf Anfrage löschen wir früher, soweit keine Pflicht entgegensteht.

Buchhaltungsunterlagen, für die eine gesetzliche Aufbewahrungspflicht von sieben Jahren gilt (§ 132 BAO), fallen bei WANTED SIX derzeit nicht an, weil die Plattform kostenlos ist und keine Zahlungen verarbeitet.

Woher Daten stammen, die du uns nicht selbst gibst

Die meisten Daten gibst du uns selbst, oder sie entstehen, wenn du die Plattform nutzt. Einige Daten über dich erhalten wir von anderen (Art. 14 DSGVO):

• Andere Mitglieder: Meldungen über deine Inhalte oder dein Konto, Nachrichten an dich, Follows, Einladungen in eine Crew, Entscheidungen der Crew-Leitung über deine Bewerbung und Einträge im Crew-Protokoll.

• Personen ohne Konto: Meldungen rechtswidriger Inhalte über das Kontaktformular oder per E-Mail, die dich betreffen können.

• Unser Team: Moderationsentscheidungen, Sanktionen, Bewertungen von Challenge-Einreichungen, Entscheidungen über Creator-Bewerbungen und Korrekturen am Punkteverlauf.

• Wer dich einlädt: den Einladungscode, über den du dich registriert hast.

• Google: bei der Anmeldung mit Google die in Abschnitt 6 genannten Kontodaten; bei verknüpften YouTube-Kanälen öffentliche Kanal- und Videodaten über die YouTube Data API.

• Steam (Valve): die Bestätigung deiner SteamID.

• Brevo: ob deine Adresse bei Brevo gesperrt ist, etwa nach einer Abmeldung über Brevos Abmeldelink, einem dauerhaften Zustellfehler oder einer Beschwerde (Abschnitt 30).

Empfänger im Überblick

Wir verkaufen keine personenbezogenen Daten. Daten erhalten nur die folgenden Stellen, jeweils im oben beschriebenen Umfang.

Auftragsverarbeiter

Diese Dienstleister verarbeiten Daten in unserem Auftrag und nach unseren Weisungen. Mit ihnen bestehen Auftragsverarbeitungsverträge nach Art. 28 DSGVO, die Teil ihrer Vertragsbedingungen sind.

Zu den Unterauftragsverarbeitern von Supabase gehören unter anderem Amazon Web Services (Hosting) und Supabase, Inc. in den USA (Support). Die Standardvertragsklauseln sind Teil der veröffentlichten Auftragsverarbeitungsverträge von Vercel (öffnet in neuem Tab) und Supabase (öffnet in neuem Tab). Der Auftragsverarbeitungsvertrag von Brevo ist Anhang 3 seiner Nutzungsbedingungen (öffnet in neuem Tab). Antworten auf Anfragen schreiben wir aus unserem E-Mail-Postfach; dabei verarbeitet auch der Anbieter dieses Postfachs deine E-Mail-Adresse und den Inhalt der Nachrichten.

Eigenständig Verantwortliche

• Google (Google Ireland Limited, Google LLC) für die Anmeldung mit Google und für die weitere Verarbeitung beim Abspielen von YouTube-Videos.

• Valve Corporation für die Anmeldung bei Steam im Rahmen der Steam-Verifizierung.

• Google Ireland Limited für Google Ads, falls aktiviert.

Über die YouTube Data API erhält Google außerdem die in Abschnitt 19 genannten Kanal- und Video-Kennungen, aber keine Daten von Besuchern.

Gemeinsam Verantwortliche

• Google Ireland Limited für das Einbinden von YouTube-Videos und die Übermittlung an Google (Abschnitt 33).

• Meta Platforms Ireland Limited sowie TikTok Technology Limited und TikTok Information Technologies UK Limited für die Erhebung und Übermittlung durch ihre Pixel, falls aktiviert (Abschnitt 35).

Bei gemeinsamer Verantwortlichkeit kannst du deine Rechte bei uns und beim jeweiligen Partner geltend machen. Für die gemeinsame Phase sind wir dafür zuständig, dich zu informieren und deine Einwilligung einzuholen, bevor Daten an den Partner gehen; für die weitere Verarbeitung ist allein der jeweilige Partner zuständig.

Öffentlichkeit und andere Mitglieder

Öffentliche Inhalte wie Profile, Kommentare, Crew-Seiten, Creator-Seiten und -Inhalte, Ranglisten und Challenge-Ergebnisse sieht jeder Besucher. Andere Mitglieder sehen außerdem, was du ihnen schreibst oder in deiner Crew teilst.

Innerhalb von WANTED SIX

Im Team erhalten nur Personen Zugriff, die ihn für ihre Aufgabe brauchen, und nur mit einer dafür vergebenen Berechtigung; jede Berechtigung wird in der Datenbank geprüft, und Verwaltungsaktionen werden protokolliert. Teammitglieder mit Berechtigung zur Nutzerverwaltung sehen Profilangaben auch dann, wenn du sie ausgeblendet hast, dazu Kontostatus, die Zahl deiner Kommentare, Meldungen und Sanktionen, den Tag deiner letzten Aktivität und einen offenen Löschantrag. Die E-Mail-Adresse deines Kontos sehen nur der Betreiber und Personen mit Berechtigung für Datenschutzanfragen; eine E-Mail-Adresse, die du in einem Formular angibst, sehen außerdem die Personen, die solche Anfragen bearbeiten. Private Chats kann niemand im Team über die Plattform lesen.

Behörden und Gerichte

Wir geben Daten an Behörden und Gerichte nur weiter, wenn wir gesetzlich dazu verpflichtet sind oder es zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen nötig ist (Art. 6 Abs. 1 lit. c bzw. lit. f DSGVO). Das können sein: Strafverfolgungsbehörden, wenn der Verdacht einer Straftat besteht, die das Leben oder die Sicherheit von Personen bedroht (Art. 18 DSA), oder auf gerichtliche oder behördliche Anordnung; die KommAustria als Koordinatorin für digitale Dienste in Österreich, wenn sie nach dem DSA Auskünfte verlangt; Gerichte; die Datenschutzbehörde im Rahmen eines Verfahrens.

Übermittlungen in Länder außerhalb der EU

Einige Empfänger sitzen in Ländern außerhalb der EU bzw. des EWR oder verarbeiten Daten dort. Für die USA besteht ein Angemessenheitsbeschluss der EU-Kommission für Unternehmen, die nach dem EU-U.S. Data Privacy Framework zertifiziert sind (Durchführungsbeschluss (EU) 2023/1795). Ansonsten stützen sich Übermittlungen auf Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO). Weil das Data Privacy Framework rechtlich umstritten ist, nennen wir auch die Standardvertragsklauseln, die Vercel, Google und Meta in ihren Bedingungen ergänzend vorsehen.

Eine Kopie der Standardvertragsklauseln, die für unsere Dienstleister gelten, erhältst du auch auf Anfrage bei uns.

Automatisierte Entscheidungen

Entscheidungen, die dir gegenüber rechtliche Wirkung entfalten oder dich in ähnlicher Weise erheblich beeinträchtigen, treffen wir nicht ausschließlich automatisiert (Art. 22 DSGVO). Über Meldungen, Sanktionen, Einsprüche, Creator-Bewerbungen und die Bewertung von Challenge-Einreichungen entscheiden Menschen.

Automatisch nach festen Regeln laufen: die Berechnung von XP, Level, Rängen und Ranglisten, Gutschriften für Missionen und den Season Pass, die Prüfung, ob Einladungen und Creator-Unterstützungen die Voraussetzungen für WT erfüllen, einschließlich des Abgleichs, ob zwei Konten zur selben Person gehören, die Berechtigung zum Abstimmen, das Nachrücken auf Wartelisten, das Ende befristeter Sperren und die Reihenfolge, in der das Team Meldungen bearbeitet. Diese Abläufe betreffen nur Punkte ohne Geldwert oder organisatorische Abläufe. Missbrauchsgrenzen und Längenprüfungen sind technische Schutzmaßnahmen, keine Entscheidungen über dich. Hältst du ein Ergebnis für falsch, schreib uns; wir prüfen es dann von Hand.

Minderjährige

Die Community-Funktionen von WANTED SIX richten sich an Erwachsene. Ein Konto gibt es erst ab 18 Jahren; das bestätigst du bei der Registrierung selbst, eine Prüfung von Ausweisen findet nicht statt. Die österreichische Altersgrenze von 14 Jahren für die Einwilligung in Dienste der Informationsgesellschaft (§ 4 Abs. 4 DSG) spielt für Konten deshalb keine Rolle. Öffentliche Seiten kann jeder ohne Konto lesen. Hast du Hinweise, dass ein Konto einer minderjährigen Person gehört, schreib uns.

Datensicherheit

Wir schützen deine Daten mit technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, unter anderem:

• Verbindungen zur Website sind per HTTPS (TLS) verschlüsselt; Browser werden angewiesen, nur verschlüsselte Verbindungen zu nutzen (HSTS).

• Website und Browser greifen auf die Datenbank nur über geprüfte Funktionen zu, die bei jedem Aufruf die Berechtigung prüfen; direkte Tabellenzugriffe sind gesperrt.

• Teamrechte werden einzeln vergeben; wer einen zweiten Faktor eingerichtet hat, erhält Verwaltungsrechte erst nach dessen Nutzung. Verwaltungsaktionen werden protokolliert.

• Passwörter sowie Bestätigungs-, Abmelde- und Prüfcodes speichern wir als Hash; im Klartext stehen Bestätigungs- und Abmeldelinks nur in der E-Mail-Warteschlange, bis die E-Mail verschickt oder verworfen ist.

• Hochgeladene Bilder werden neu kodiert und von Metadaten befreit (Videos als Challenge-Nachweise ausgenommen); Nachweisdateien liegen in einem nicht öffentlichen Speicher und sind nur über kurzlebige Links abrufbar.

• Die Datenbank wird täglich gesichert.

Grenzen gibt es auch: Chats sind nicht Ende-zu-Ende-verschlüsselt, und Bilder im öffentlichen Speicher kann abrufen, wer ihre Adresse kennt. Absolute Sicherheit kann niemand garantieren. Stellen wir eine Verletzung des Schutzes personenbezogener Daten fest, gehen wir nach Art. 33 und 34 DSGVO vor und informieren die Datenschutzbehörde und, wenn ein hohes Risiko besteht, auch dich.

Deine Rechte

• Auskunft (Art. 15 DSGVO): ob und welche Daten wir über dich verarbeiten, mit Zwecken, Empfängern, Speicherdauer und Herkunft, sowie eine Kopie.

• Berichtigung (Art. 16 DSGVO): Profilangaben änderst du selbst; Änderungen deiner E-Mail-Adresse und andere Korrekturen nehmen wir auf Anfrage vor.

• Löschung (Art. 17 DSGVO): über Daten & Konto oder auf Anfrage, soweit keine Pflicht oder kein überwiegendes berechtigtes Interesse an der Aufbewahrung besteht.

• Einschränkung der Verarbeitung (Art. 18 DSGVO): etwa solange die Richtigkeit von Daten strittig ist.

• Datenübertragbarkeit (Art. 20 DSGVO): Daten, die du uns bereitgestellt hast und die wir auf Grundlage deiner Einwilligung oder des Vertrags automatisiert verarbeiten, in einem gängigen, maschinenlesbaren Format; der JSON-Export deckt einen großen Teil davon ab, den Rest erhältst du auf Anfrage.

• Widerspruch (Art. 21 DSGVO): siehe den folgenden Hinweis.

• Widerruf von Einwilligungen (Art. 7 Abs. 3 DSGVO) und Beschwerde bei einer Aufsichtsbehörde (Art. 77 DSGVO): siehe unten.

Wie du diese Rechte geltend machst, steht im Abschnitt „So machst du deine Rechte geltend“.

Dein Recht auf Widerspruch

Widerspruchsrecht nach Art. 21 DSGVO: Verarbeiten wir Daten auf Grundlage unseres berechtigten Interesses (Art. 6 Abs. 1 lit. f DSGVO), kannst du aus Gründen, die sich aus deiner besonderen Situation ergeben, jederzeit widersprechen. Wir verarbeiten die Daten dann nicht mehr, es sei denn, wir können zwingende schutzwürdige Gründe nachweisen, die deine Interessen, Rechte und Freiheiten überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen. Verarbeiten wir Daten für Direktwerbung, kannst du dem jederzeit ohne Angabe von Gründen widersprechen; wir verarbeiten sie dann nicht mehr für diesen Zweck. Deinen Widerspruch richtest du formlos an hello@wantedsix.com oder über das Kontaktformular.

Widerruf von Einwilligungen

Eine Einwilligung kannst du jederzeit mit Wirkung für die Zukunft widerrufen, so einfach, wie du sie erteilt hast: Cookie-Einwilligungen über „Cookie-Einstellungen“ im Footer der öffentlichen Seiten oder über die Schaltfläche in der Cookie-Richtlinie, den Newsletter über den Einstellungs- oder Abmeldelink in jeder Newsletter-E-Mail oder in deinen Benachrichtigungseinstellungen. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt davon unberührt.

Beschwerde bei der Datenschutzbehörde

Meinst du, dass wir deine Daten nicht rechtmäßig verarbeiten, kannst du dich bei einer Datenschutz-Aufsichtsbehörde beschweren. In Österreich ist das die Österreichische Datenschutzbehörde, Barichgasse 40–42, 1030 Wien, Telefon +43 1 52 152-0, E-Mail dsb@dsb.gv.at, www.dsb.gv.at (öffnet in neuem Tab). Du kannst dich auch an die Aufsichtsbehörde in dem EU-Mitgliedstaat wenden, in dem du lebst oder arbeitest oder in dem der mutmaßliche Verstoß stattgefunden hat. Wir freuen uns aber, wenn du dich vorher an uns wendest, damit wir die Sache klären können.

Änderungen dieser Datenschutzerklärung

Wir passen diese Erklärung an, wenn sich die Plattform, unsere Dienstleister oder die Rechtslage ändern, insbesondere bevor wir einen neuen Dienst einschalten, den Versand von E-Mails für alle freigeben oder automatische Löschfristen einschalten. Es gilt die hier veröffentlichte Fassung mit ihrem Stand-Datum.