Datenschutzerklärung

Stand: 30. Oktober 2026

Diese Erklärung gilt für das Spiel Tobuuy unter tobuuy.com, das ich selbst betreibe. Bis Oktober 2026 hieß es BuyOut und lief unter buyout.fynnland.xyz (2.5).

1. Verantwortlicher

Ich verdiene mit Tobuuy kein Geld. Ein Konto ist freiwillig (2.6). Es gibt keine Werbung, keine Analyse und keine Weitergabe von Daten zu Werbezwecken.

2. Das Spiel unter tobuuy.com

2.1 Aufruf und Verbindung

Wenn du das Spiel aufrufst, verarbeitet der Server deine IP-Adresse, Datum und Uhrzeit, die aufgerufene Adresse, Angaben deines Browsers (z. B. Browsertyp, Sprache) und die Daten, die du im Spiel sendest. Während du in einem Raum bist, hält dein Browser dafür eine verschlüsselte Verbindung (WebSocket) zum Raum. Mit Konto hält jeder Tab, in dem das Spiel offen ist, außerdem eine Verbindung zum Freunde-Server, damit deine Freunde sehen, dass du online bist, und Einladungen ankommen (2.6). Ohne diese Daten kann das Spiel nicht ausgeliefert werden und keine Verbindung halten.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, weil du das Spiel nutzen willst. Soweit kein Nutzungsvertrag besteht, stütze ich mich auf Art. 6 Abs. 1 lit. f DSGVO; mein berechtigtes Interesse ist, das Spiel bereitzustellen.

Die Protokollierung von Anfragen bei Cloudflare (Workers Logs und Traces) ist abgeschaltet, und ich schreibe selbst keine Protokolle. Der Server gibt bei technischen Fehlern eine kurze Fehlermeldung ohne Namen, Chat-Texte, Sitzplatz-Tokens oder IP-Adressen aus; sie wird nicht gespeichert. Zur Fehlersuche kann ich die eingehenden Anfragen kurzzeitig live mitlesen (dabei sind auch IP-Adressen sichtbar); auch dabei wird nichts gespeichert. Schalte ich die Protokollierung zur Fehlersuche vorübergehend ein, löscht Cloudflare die Protokolle nach 3 Tagen. Was Cloudflare als Dienstleister für den Betrieb seines Netzes verarbeitet, steht in Abschnitt 3.

2.2 Schutz vor Missbrauch

Damit niemand das Spiel mit Skripten lahmlegt, setzt der Server Grenzen:

• Neue Räume: höchstens 6 in 10 Minuten je IP-Adresse. Dafür speichert der Server nicht die Adresse selbst, sondern einen gekürzten Hashwert (SHA-256 mit einem geheimen Zufallswert) zusammen mit den Zeitpunkten, zu denen Räume angelegt wurden. Einträge, die älter als 10 Minuten sind, zählen nicht mehr und werden beim nächsten Anlegen eines Raums gelöscht.
• Neue Konten (2.6): höchstens 5 in einer Stunde je IP-Adresse (bei IPv6 je Anschlussbereich, den ersten 64 Bit der Adresse). Dafür speichert der Server in der Kontodatenbank nicht die Adresse selbst, sondern einen gekürzten Hashwert (HMAC-SHA-256 mit einem geheimen Schlüssel) zusammen mit dem Beginn der Stunde und der Zahl der dort angelegten Konten. Anmelden und Anmeldewege hinzufügen zählen nicht. Nach der Stunde zählt der Eintrag nicht mehr; der Server löscht ihn spätestens am nächsten Tag.
• Anfragen: Für jede IP-Adresse zählt der Server im Arbeitsspeicher, wie viele Anfragen in kurzer Zeit kommen. Diese Zähler werden nicht gespeichert und verschwinden, wenn Cloudflare die jeweilige Server-Instanz beendet.
• Nachrichten und Chat: Zähler je Verbindung und je Sitzplatz, ohne IP-Adresse. Sie verschwinden mit der Verbindung oder spätestens mit dem Raum.
• Anmeldung zum Verwaltungsbereich (2.4): Fehlgeschlagene Anmeldeversuche zählt der Server je IP-Adresse, ebenfalls nur als gekürzten Hashwert mit Zeitpunkt. Nach 5 Fehlversuchen in 10 Minuten ist die Anmeldung von dieser Adresse gesperrt. Einträge, die älter als 10 Minuten sind, zählen nicht mehr und werden bei der nächsten Anfrage an den Verwaltungs-Server gelöscht.

Ich werte diese Zähler nicht aus. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; mein berechtigtes Interesse ist ein stabiles, sicheres Spiel für alle.

2.3 Räume, Spielername, Spielstand

Wenn du einen Raum anlegst oder betrittst, verarbeitet der Server:

• den Spielernamen, den du eingibst (ein Spitzname genügt, höchstens 20 Zeichen); als Gastgeber heißt der Raum nach deinem Namen, bis du ihm einen anderen gibst,
• deine Wahl von Farbe, Figur, Würfeln, Wurf-Effekt und Spur; mit Konto außerdem, welche bezahlten Teile dein Konto besitzt, damit der Raum deine Auswahl prüfen kann, und eine interne Kennung deines Kontos, damit deine Freunde sehen, in welchem Raum du bist und ob du dort in der Lobby wartest, spielst oder zuschaust; das gilt auch, wenn du nur zuschaust (beides erfährt der Server aus deinem Konto, nicht aus deinem Browser; es bleibt im Raum, andere Spieler sehen es nicht, und es wird mit dem Raum gelöscht),
• als Gastgeber die Einstellungen der Runde und Feldnamen, die du festlegst,
• den Spielstand mit allen Zügen und die Statistik am Ende,
• ein zufälliges Sitzplatz-Token, das dich beim Wiederverbinden deinem Platz zuordnet,
• wann du zuletzt verbunden warst, damit das Spiel erkennt, ob du noch da bist (sonst übernimmt nach kurzer Zeit ein Autopilot deine Züge).

Alle Personen im selben Raum, auch Zuschauer, sehen deinen Namen, deine Figur und Würfel mit Effekten und Spur, deine Züge, den Spielstand und die Statistik. Ein neuer Raum ist privat: Hinein kommt nur, wer den Raumcode oder den Einladungslink kennt.

Öffentliche Räume. Der Gastgeber kann seinen Raum in der Lobby öffentlich schalten und jederzeit wieder privat. Ein öffentlicher Raum steht in der Raumliste im Startmenü, die jeder sieht, der das Spiel aufruft. Die Liste zeigt je Raum den Raumcode, den Spielernamen des Gastgebers, einen Namen für die Liste, die Karte, die Zahl der belegten Plätze und der Bots und ob die Runde noch wartet oder schon läuft. Den Namen für die Liste legt der Gastgeber fest; legt er keinen fest, steht dort „Raum von“ mit seinem Spielernamen. Die Namen der übrigen Spieler stehen nicht in der Liste. Über die Liste kann jeder dem Raum beitreten, solange in der Lobby ein Platz frei ist, und sonst zuschauen. Wer so in den Raum kommt, sieht alles, was dort zu sehen ist, auch Namen und Chat. Dass ein Raum öffentlich ist, sehen alle im Raum in der Lobby und als Hinweis im Chat. Der Raum verschwindet aus der Liste, sobald der Gastgeber ihn privat schaltet, das Spiel endet oder der Raum gelöscht wird. Das Tutorial ist nie öffentlich.

Rechtsgrundlage für die Liste ist beim Gastgeber Art. 6 Abs. 1 lit. b DSGVO, weil er sie einschaltet, um Mitspieler zu finden. Für die übrigen Personen im Raum ist es Art. 6 Abs. 1 lit. f DSGVO; das berechtigte Interesse ist, offene Runden mit Fremden spielen zu können. Wer das nicht möchte, verlässt den Raum oder bittet den Gastgeber, ihn privat zu schalten.

Die Raumdaten liegen bei Cloudflare im Speicher des Raum-Servers (Durable Object mit einer SQLite-Datenbank). Der Raum wird nach jeder Änderung gespeichert, damit ein Spiel einen Neustart des Servers übersteht. Den Speicherort habe ich nicht auf die Europäische Union beschränkt; Cloudflare kann ihn auch außerhalb der EU wählen, zum Beispiel in den USA (Abschnitt 3).

Ein Raum wird mit allen seinen Daten gelöscht:

• 10 Minuten nach Spielende, wenn der Gastgeber keine neue Runde startet,
• wenn in der Lobby kein Mensch mehr sitzt; wer dort die Verbindung verliert, wird nach 30 Sekunden entfernt,
• wenn mit einem laufenden Spiel 5 Minuten lang niemand verbunden ist,
• wenn 45 Minuten lang niemand verbunden ist und nichts passiert,
• beim Tutorial, sobald du es verlässt,
• sofort, wenn ich ihn nach einer Meldung schließe (2.4).

Solange jemand mit einem Raum verbunden ist, bleibt er bestehen. Verlässt du einen Raum vorher, bleibt dein Name im Spielstand und in den Hinweisen im Chat stehen, bis der Raum gelöscht wird. Beim Löschen leert der Raum-Server seinen gesamten Speicher. Ich bewahre keine Partien, Namen, Chats oder Statistiken über das Raumende hinaus auf. Nach Angaben von Cloudflare lässt sich dieser Speicher technisch auf frühere Stände der letzten 30 Tage zurücksetzen; ich nutze diese Funktion nicht.

Ein zentraler Verwaltungs-Server (ebenfalls ein Durable Object) vergibt die Raumcodes. Er kennt je Raum nur den Code und zwei Zeitpunkte und löscht den Eintrag, wenn der Raum endet, spätestens nach 12 Stunden. Für öffentliche Räume hält er zusätzlich den Listeneintrag mit der Zeit seiner letzten Meldung. Er löscht ihn, sobald der Raum privat wird oder endet; ein Eintrag, den sein Raum 25 Minuten lang nicht erneuert, erscheint nicht mehr in der Liste.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, hilfsweise lit. f (Bereitstellung des gemeinsamen Spiels).

2.4 Chat

Nachrichten im Raum-Chat sehen alle Personen im Raum, auch Zuschauer. Es gibt keine privaten Nachrichten. Ein Raum hält höchstens die letzten 100 Nachrichten; sie werden mit dem Raum gelöscht (2.3). Der Gastgeber kann Mitspieler aus der Lobby entfernen, solange das Spiel nicht begonnen hat. Jede Person kann andere im Raum für sich stummschalten; das merkt sich nur ihr Browser (2.5), der Server erfährt davon nichts. Die Regeln stehen in den Regeln für Chat und Namen.

Wenn du mir einen Chat-Inhalt oder einen Namen meldest, verarbeite ich deine Meldung, um sie zu prüfen und zu beantworten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; mein berechtigtes Interesse ist, rechtswidrige Inhalte zu entfernen. Meldungen und meine Antwort bewahre ich bis zu 6 Monate auf, damit ich bei Rückfragen nachweisen kann, wie ich entschieden habe. Wie du etwas meldest, steht im Impressum.

Prüfung gemeldeter Räume. Für Meldungen habe ich einen Verwaltungsbereich, der mit einem geheimen Schlüssel geschützt ist und den nur ich nutze. Er zeigt die offenen Räume mit Raumcode, Raumname, Spielphase, der Zahl der Spieler, Bots und Zuschauer, den Zeitpunkten von Anlegen und letzter Aktivität und ob der Raum öffentlich ist. Um eine Meldung zu prüfen, öffne ich dort den gemeldeten Raum, solange er besteht. Dann sehe ich die Namen der Spieler und Zuschauer, ob sie verbunden sind, eigene Feldnamen und die letzten bis zu 100 Chat-Nachrichten mit Uhrzeit und Absender. Sitzplatz-Tokens und IP-Adressen zeigt der Verwaltungsbereich nicht. Je nach Ergebnis schalte ich den Chat des Raums ab, entferne einzelne Nachrichten, ersetze einen Spielernamen durch „Spieler“ mit Platznummer, ersetze den Raumnamen durch „Tobuuy-Runde“, nehme einen öffentlichen Raum aus der Raumliste (der Gastgeber kann ihn dann nicht wieder eintragen) oder schließe den Raum, wodurch er mit allen Daten sofort gelöscht wird. Was im Raum geändert wird, sehen alle im Raum.

Räume sehe ich mir nur an, um eine Meldung zu prüfen. Ich kopiere aus ihnen nichts heraus, außer dem, was ich zu einer Meldung als Nachweis meiner Entscheidung festhalte (etwa den beanstandeten Text, den Namen und den Raumcode); das bewahre ich zusammen mit der Meldung bis zu 6 Monate auf. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; mein berechtigtes Interesse ist, gemeldete rechtswidrige Inhalte zügig zu prüfen und zu entfernen und die Regeln für Chat und Namen durchzusetzen.

2.5 Daten in deinem Browser

Das Spiel setzt keine Cookies. Auch Cloudflare setzt für das Spiel keine: Funktionen, die Cookies setzen würden (Bot-Abwehr, Sicherheitsprüfungen) und Web Analytics sind für tobuuy.com und die frühere Adresse buyout.fynnland.xyz nicht eingeschaltet.

Im lokalen Speicher deines Browsers (localStorage) legt das Spiel diese Einträge ab, und zwar erst, wenn du die jeweilige Funktion nutzt:

Name, Sitzplatz-Token und deine Auswahl an Figur, Würfeln, Effekt und Spur gehen nur an den Raum, dem du beitrittst (mit Konto auch das Sitzungs-Token, damit der Server nachsehen kann, welche Teile dein Konto besitzt; das Token selbst erreicht den Raum nicht); Feldnamen aus einer Vorlage nur dann, wenn du sie als Gastgeber für deinen Raum übernimmst; deine gespeicherten Lobby-Einstellungen nur an Räume, die du selbst anlegst. Mit Konto gehen außerdem Name, deine Auswahl, Farbe, Käufe, Profil und die Endansicht jeder zu Ende gespielten Partie an dein Konto (2.6). Die übrigen Einträge verlassen deinen Browser nicht. Alle Einträge bleiben, bis du die Website-Daten für tobuuy.com in deinem Browser löschst. Ein Sitzplatz-Token ist nutzlos, sobald sein Raum gelöscht ist.

Umzug von buyout.fynnland.xyz. Rufst du die frühere Adresse buyout.fynnland.xyz auf, schickt sie deinen Browser zur selben Seite unter tobuuy.com weiter und nimmt dabei die Einträge buyout.* mit, die das Spiel dort im lokalen Speicher abgelegt hat, damit Profil, Einstellungen und Auswahl erhalten bleiben. Nicht mitgenommen werden buyout.account (das Sitzungs-Token), buyout.signin, buyout.oauth, buyout.sessions (die Sitzplatz-Tokens), buyout.testKey und buyout.silentTried; mit Konto meldest du dich unter tobuuy.com einmal neu an. Die Einträge stehen dafür in dem Teil der Adresse hinter dem Zeichen #, den der Browser an keinen Server schickt. Das Spiel unter tobuuy.com übernimmt nur Einträge, die dort noch fehlen, und nimmt diesen Teil sofort aus der Adresse. Es übernimmt sie nur, wenn der Browser als Herkunft die frühere Adresse meldet und die Weiterleitung höchstens 10 Minuten alt ist; deshalb schickt die frühere Adresse bei dieser Weiterleitung ihren Namen (ohne Pfad) mit. Unter buyout.fynnland.xyz bleiben die Einträge in deinem Browser, bis du die Website-Daten dafür löschst. Die Übernahme ist für die Funktion nötig, die du aufrufst, das Spiel unter der neuen Adresse wie bisher zu nutzen (§ 25 Abs. 2 Nr. 2 TDDDG).

Ohne Konto bleibt das Profil (buyout.profile) in deinem Browser; es geht an keinen Server und verlässt den Browser nur, wenn du es im Profil selbst als Datei exportierst. Damit eine Partie nach dem Neuladen nicht doppelt gezählt wird, schickt der Raum am Spielende eine zufällige Kennung der Partie mit; sie sagt nichts über Personen und verschwindet mit dem Raum.

Das Profil wird nur angelegt, wenn du zustimmst. Das Spiel fragt am Ende deiner ersten Partie, sobald das Ergebnis zu sehen ist, ob es dieses und künftige Ergebnisse speichern darf. Bis zu deiner Antwort bleibt das Ergebnis nur im geöffneten Tab. „Speichern“ (ohne Konto: „Nur in diesem Browser speichern“) und „Nicht speichern“ sind gleichwertig, nichts ist vorausgewählt. Ohne Konto bietet dasselbe Fenster außerdem „Mit Konto speichern“ an; das ist keine Antwort auf diese Frage, sondern der Weg zur Anmeldung, nach der die Partie im Konto nachgetragen wird (2.6). Schließt du die Frage ohne Antwort, wird nichts gespeichert; das Spiel fragt dann am Ende deiner nächsten Partie erneut. Du kannst die Aufzeichnung auch selbst im Profil einschalten. Rechtsgrundlage ist deine Einwilligung (§ 25 Abs. 1 TDDDG, Art. 6 Abs. 1 lit. a DSGVO). Du kannst sie jederzeit widerrufen, indem du die Aufzeichnung im Profil ausschaltest; mit „Verlauf löschen“ entfernst du Partien und Erfolge sofort. Der Widerruf gilt für die Zukunft. Gespeichert bleibt danach nur deine Antwort selbst, damit das Spiel nicht erneut fragt (§ 25 Abs. 2 Nr. 2 TDDDG). Meldest du dich mit einem Konto an, schaltet das die Aufzeichnung ein, weil das Konto genau dafür da ist (2.6). Solange du angemeldet bist, bleibt sie an; nach dem Abmelden kannst du sie im Profil wieder ausschalten.

2.6 Konto (freiwillig)

Spielen geht ohne Konto. Mit einem Konto liegt dein Profil (2.5) auch auf dem Server, damit du auf anderen Geräten weiterspielen kannst. Anlegen und anmelden kannst du dich auf der Kontoseite unter fynn.land/konto (siehe unten) auf vier Wegen: mit Discord, mit Google, mit GitHub oder mit einem Anmeldeschlüssel, den die Seite für dich erzeugt. Im Profil des Spiels schickt dich „Mit fynnland-Konto anmelden“ dorthin, danach kommst du angemeldet zurück. Eine E-Mail-Adresse brauchst du nicht, und das Spiel fragt keine ab.

Im Konto gespeichert werden:

• dein Profil wie in 2.5 beschrieben (eigene Ergebnisse je Partie, Erfolge, höchstens 200 Partien einzeln, keine Namen von Mitspielern),
• die Endansicht deiner letzten 50 Partien, die du mit Konto zu Ende gespielt hast: Karte, Brettgröße, Runden, Ausgang, für jeden Platz Spielername, Farbe, ob Bot, Platzierung und Vermögen, einige Kennzahlen und der Geldverlauf. Darin stehen also auch die Spielernamen deiner Mitspieler, so wie sie im Raum hießen. Kommt eine neue Partie dazu, löscht der Server die älteste über 50,
• deine Funken: eine Spielwährung ohne Geldwert, die du für beendete Partien bekommst und gegen Kosmetik eintauschen kannst (Figuren, Würfel, Effekte, Spuren; kein Echtgeld, kein Einfluss auf die Regeln). Gespeichert sind dein Stand, wie viele Funken du am aktuellen Tag schon verdient hast (für die Tagesgrenze) und bei jeder Partie im Verlauf der gutgeschriebene Betrag. Berechnet wird er im Spielraum aus Spielzeit, Platzierung und Gegnern und daraus, wie viele Entscheidungen du selbst getroffen hast; diese Zählung bleibt im Raum und verschwindet mit ihm. Spielst du das Tutorial bis zum Ende, bekommst du einmalig einen Willkommensbetrag; gespeichert ist, wann und wie viel,
• dein Kontoname: ein Name für alle Fynnland-Spiele, den du nur auf der Kontoseite festlegst und änderst, und wann du ihn zuletzt geändert hast (er lässt sich höchstens alle 14 Tage ändern); zu Beginn der Anzeigename des Anmeldewegs über Discord, Google oder GitHub, mit dem du das Konto angelegt hast, sonst leer,
• dein zuletzt benutzter Spielername in Tobuuy und deine Farbe; der Spielername ist vom Kontonamen getrennt und lässt sich im Spiel jederzeit ändern,
• deine Freunde: ein zufälliger Freundescode, den du weitergeben kannst; für jede Person, mit der du befreundet bist, die du angefragt oder blockiert hast oder die dich angefragt hat, die Art der Beziehung und seit wann; wie viele Anfragen du in der laufenden Stunde gestellt hast (gegen das Durchprobieren von Codes, nach der Stunde gelöscht); solange du mit Konto in einem Raum bist, dessen Raumcode, ob du in der Lobby bist, spielst oder zuschaust, und seit wann (gelöscht, sobald du den Raum verlässt, die Partie endet oder der Raum schließt, spätestens nach 6 Stunden),
• dein Online-Status für Freunde: ob du ihn verbirgst (Einstellung unter „Freunde“, anfangs sichtbar für Freunde) und wann du zuletzt online warst, auf die Minute genau, gespeichert beim Schließen deiner letzten Verbindung zum Freunde-Server; solange du deinen Status verbirgst, wird dieser Zeitpunkt gelöscht und nicht mehr gespeichert,
• offene Einladungen: wer wen in welchen Raum eingeladen hat, ob zum Mitspielen oder Zuschauen, und wann; eine Einladung gilt 3 Minuten und wird gelöscht, sobald sie angenommen, abgelehnt, zurückgezogen oder ersetzt ist, sonst spätestens am nächsten Tag; außerdem, wie viele Einladungen du in den letzten 10 Minuten verschickt hast (gegen Massen-Einladungen, danach gelöscht),
• deine Kosmetik: welche Teile du mit Funken gekauft hast, welche du ausgewählt hast, und je Kauf Zeitpunkt, Teil, Preis in Funken und eine zufällige Kennung der Kaufanfrage (damit eine wiederholte Anfrage nicht doppelt abbucht); die Kennung zeigt der Kaufverlauf nicht an,
• je Anmeldeweg über Discord, Google oder GitHub dein Anzeigename dort (siehe unten) und wann du diesen Weg zuletzt benutzt hast,
• für jedes andere Spiel, dem du auf der Kontoseite erlaubt hast, dein Konto zu nutzen: welches Spiel und seit wann,
• für jedes andere Spiel mit öffentlicher Bestenliste dein Eintrag dort: Name, Bestwert, seit wann er gilt und ob du sichtbar bist (siehe unten),
• während du dich in einem anderen Spiel über die Kontoseite anmeldest, für höchstens 60 Sekunden ein einmaliger Anmeldecode als Hashwert (siehe unten),
• wann das Konto angelegt und zuletzt benutzt wurde (höchstens einmal am Tag aktualisiert),
• je Anmeldeweg ein Hashwert, berechnet mit einem geheimen Schlüssel (HMAC-SHA-256) aus deiner Nutzerkennung bei Discord, Google oder GitHub bzw. aus deinem Anmeldeschlüssel; die Kennung und den Anmeldeschlüssel selbst speichere ich nicht,
• je angemeldetem Browser ein Hashwert (SHA-256) des Sitzungs-Tokens, wann die Sitzung begonnen hat und zuletzt benutzt wurde, für welches Spiel oder die Kontoseite sie gilt und eine grobe Gerätebeschreibung (siehe unten).

Anmeldung mit Discord oder Google. Die Kontoseite leitet dich im selben Tab zur Anmeldeseite von Discord (Discord Inc., 444 De Haro Street, Suite 200, San Francisco, CA 94107, USA) bzw. Google (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland) weiter. Was dort geschieht, verantworten Discord und Google selbst nach ihren eigenen Datenschutzerklärungen. Stimmst du zu, schickt der Anbieter deinen Browser mit einem einmaligen Code zurück. Der Server tauscht diesen Code beim Anbieter ein und erfährt so deine Nutzerkennung und deinen Anzeigenamen: bei Discord über die Berechtigung „identify“, bei Google über „openid“ und „profile“. Gespeichert werden davon nur die Kennung (als Hashwert, siehe oben) und ein Name: bei Discord dein Anzeigename (ersatzweise dein Benutzername), bei Google dein Vorname, jeweils auf 20 Zeichen gekürzt. Legst du damit ein Konto an, wird der Name dein erster Kontoname; sonst dient er nur als Vorschlag für deinen Spielernamen, wenn weder dein Konto noch dein Browser schon einen hat; er wird bei jeder Anmeldung über diesen Weg aktualisiert und mit dem Anmeldeweg gelöscht. Weitere Angaben aus der Antwort (bei Discord etwa das Profilbild, bei Google Nachname und Profilbild) verwende und speichere ich nicht. E-Mail-Adresse, Freundesliste oder andere Daten fragt das Spiel nicht an, und den Zugangsschlüssel des Anbieters speichere ich nicht. Discord und Google erfahren dabei, dass du dich beim fynnland-Konto anmeldest.

Partie nachtragen. Spielst du ohne Konto und wählst nach einer Partie „Mit Konto speichern“ (im Fenster am Spielende oder über die Funken-Zeile im Endbildschirm), holt der Server die Funken deines Sitzes aus dem Raum, bevor dieser schließt, und hält sie für dich bereit: Betrag, Kennung der Partie, deine Sitz-Nummer, Beginn und Ende deiner Spielzeit und den Grund, falls es keine Funken gibt, so wie der Raum sie berechnet hat. Der Datensatz liegt in der Kontodatenbank unter einem Hashwert (SHA-256) aus Raumcode und Sitzplatz-Token, ohne Konto, Name oder IP-Adresse. Dein Browser merkt sich derweil im sessionStorage (buyout.lateGame) dein Ergebnis und die Endansicht der Partie wie in 2.5, Raumcode und Sitzplatz-Token, und schickt dich zur Kontoseite. Kommst du angemeldet zurück, geht die Partie an dein Konto wie eine, die du angemeldet gespielt hast, und der Server schreibt die bereitgehaltenen Funken gut, einmal je Sitz und nur bis 30 Minuten nach dem Ende der Partie; später kommt die Partie ohne Funken in deinen Verlauf. Der Eintrag im Browser wird beim Abschicken gelöscht, beim Schließen des Tabs, und nach 40 Minuten nicht mehr verwendet; den Datensatz auf dem Server löscht die Gutschrift, sonst der Server spätestens am Tag nach seinem Ablauf. Beides ist für die Funktion nötig, die du aufrufst (§ 25 Abs. 2 Nr. 2 TDDDG); Rechtsgrundlage für den Datensatz ist Art. 6 Abs. 1 lit. b DSGVO, weil du das Konto für diese Partie anlegst oder nutzt.

Anmeldung mit GitHub. Nur auf der Kontoseite. Sie leitet dich zur Anmeldeseite von GitHub (GitHub, Inc., 88 Colin P. Kelly Jr. Street, San Francisco, CA 94107, USA) weiter; was dort geschieht, verantwortet GitHub nach seiner eigenen Datenschutzerklärung. Die Kontoseite fragt keine Berechtigung an, bekommt also nur Zugriff auf dein öffentliches Profil. Stimmst du zu, schickt GitHub deinen Browser mit einem einmaligen Code zurück; der Server tauscht ihn bei GitHub ein und liest dein öffentliches Profil. Gespeichert werden davon nur deine Nutzerkennung (als Hashwert, siehe oben) und ein Name: dein Name bei GitHub, ersatzweise dein Benutzername, auf 20 Zeichen gekürzt, wie bei Discord und Google als erster Kontoname eines neuen Kontos und als Vorschlag für deinen Spielernamen. E-Mail-Adresse, Profilbild und alles Weitere aus dem Profil verwende und speichere ich nicht, den Zugangsschlüssel von GitHub auch nicht. GitHub erfährt dabei, dass du dich beim fynnland-Konto anmeldest.

Anmeldeschlüssel. Der Schlüssel besteht aus 25 zufälligen Zeichen und wird nur einmal angezeigt. Er gilt auf der Kontoseite und damit in jedem Spiel; ein Passwortmanager, der ihn früher unter buyout.fynnland.xyz gespeichert hat, bietet ihn auf fynn.land nicht von selbst an, deshalb zeigt das Spiel Konten, die nur einen Schlüssel haben, einmal einen Hinweis dazu. Du kannst ihn im Browser oder Passwortmanager, als Datei oder auf Papier aufheben. Wer ihn kennt, kommt in dein Konto; einen neuen Schlüssel erzeugen macht den alten ungültig.

Abgleich. Bei der ersten Anmeldung kommt das Profil aus diesem Browser mit ins Konto. Danach schickt dein Browser nach jeder Partie, die du bis zum Ende spielst, dein Ergebnis und die Endansicht der Partie, und wenn du Name, Figur, Würfel, Effekt, Spur oder Farbe änderst oder etwas kaufst, die Änderung an dein Konto. Beim Abmelden entfernt das Spiel das Profil aus dem Browser; es bleibt im Konto. Andere Spieler sehen nichts von deinem Konto: Es gibt keine öffentlichen Profile und keine Ranglisten. Nur deine Freunde sehen deinen Kontonamen (ohne Kontonamen deinen Spielernamen), deinen Freundescode, ob du gerade online bist und wo (im Menü, in der Lobby eines Raums, in einer Partie oder als Zuschauer, jeweils mit dem Raumcode, damit sie beitreten oder zuschauen können) und, wenn du offline bist, wann du zuletzt online warst. Online heißt: Das Spiel ist in einem Tab mit deinem Konto offen. Wo du bist, meldet der Raum selbst, nicht dein Browser. Wer dich angefragt hat oder von dir angefragt wurde, sieht nur Kontonamen (ersatzweise Spielername) und Freundescode, Fremde gar nichts. Blockierst du jemanden, verschwindest du aus seiner Liste und er sieht nie, ob und wo du spielst. Die gespeicherten Endansichten kannst nur du in deinem Profil unter „Verlauf“ öffnen.

Online-Status und Einladungen. Solange du angemeldet bist und das Spiel offen hast, hält jeder Tab eine verschlüsselte Verbindung (WebSocket) zum Freunde-Server bei Cloudflare (ein Durable Object). Er kennt je Verbindung nur die interne Kennung deines Kontos und wann sie begann, und nur solange die Verbindung besteht; über ihn erfahren deine Freunde Änderungen an deinem Status sofort, und Einladungen kommen an. Unter „Freunde“ kannst du deinen Online-Status verbergen: Dann sehen auch deine Freunde dich als offline, ohne Raum und ohne Zeitpunkt; du siehst deine Freunde weiter und bekommst weiter Einladungen. Ein Freund kann dich in seinen Raum einladen. Du siehst, wer dich einlädt, in welchen Raum und ob zum Mitspielen oder Zuschauen, und entscheidest selbst. Ob die Einladung bei dir angekommen ist, erfährt er nicht, nur ob du angenommen oder abgelehnt hast. Einladen kann nur, wer mit dir befreundet ist; Blockierte können es nicht.

Kontoseite. Unter fynn.land/konto betreibe ich eine Seite für das Konto, die zum selben Server und zur selben Datenbank gehört wie das Spiel hier. Die frühere Adresse fynnland.xyz/konto leitet dorthin weiter; eine Anmeldung von dort gilt auf fynn.land nicht weiter, du meldest dich dort einmal neu an. Dort kannst du dich anmelden, deinen Kontonamen festlegen und ändern (in der ersten Stunde nach dem Anlegen beliebig oft, danach höchstens alle 14 Tage), deine Anmeldewege verwalten, Zwei-Faktor einschalten, deine Geräte und Sitzungen sehen und beenden, einem Spiel den Zugriff entziehen, deine Daten herunterladen, das Konto löschen und dich abmelden. Tobuuy und andere Spiele (siehe unten) schicken dich zum Anmelden dorthin; danach steht das Spiel dort unter „Spiele mit Zugriff“. Beim ersten Mal fragt die Seite, ob dieses Spiel dein Konto nutzen darf; deine Zustimmung wird gespeichert (siehe oben). Bist du danach auf der Kontoseite schon angemeldet, geht es ohne weiteren Klick zurück zum Spiel. Ein Spiel, in dem du noch nicht angemeldet bist, schickt deinen Browser beim ersten Besuch einmal kurz und ohne Anzeige zur Kontoseite: Bist du dort angemeldet und hast diesem Spiel schon zugestimmt, kommst du angemeldet zurück, sonst ohne Anmeldung, und es wird nichts gespeichert. Dann schickt die Seite deinen Browser mit einem einmaligen Anmeldecode an das Spiel zurück, und zwar nur an die Adresse, die für dieses Spiel eingetragen ist. Das Spiel tauscht den Code über den Server gegen eine eigene Sitzung. Der Code ist zufällig (128 Bit) und gilt einmal und höchstens 60 Sekunden. Gespeichert ist er nur als Hashwert (SHA-256), zusammen mit deinem Konto, dem Spiel, der Rücksprungadresse und einem Prüfwert, den das Spiel beim Start der Anmeldung mitschickt (PKCE), damit nur das Spiel, das die Anmeldung begonnen hat, den Code einlösen kann. Beim Einlösen wird er gelöscht, ein abgelaufener spätestens am nächsten Tag. Die Kontoseite und jedes Spiel haben eigene Sitzungen: Meldest du dich in einem Spiel ab, bleibst du auf der Kontoseite angemeldet und umgekehrt. Die Kontoseite legt keine Cookies an. Die Startseite unter fynn.land liest dieses Sitzungs-Token aus dem Browser und fragt damit beim Server nur ab, ob du angemeldet bist und unter welchem Kontonamen; das zählt als Nutzung des Kontos (siehe oben). Von dort gehst du auch zur Kontoseite und meldest dich ab. Die Kontoseite speichert im Browser für fynn.land (localStorage) ihr Sitzungs-Token (fl.konto.session), während einer Anmeldung mit Discord, Google oder GitHub einen zufälligen Prüfwert mit dem Anbieter und der Seite, zu der es danach zurückgeht (fl.konto.oauth, höchstens 10 Minuten), und bis zum nächsten Seitenaufruf eine Fehlermeldung (fl.konto.flash) oder den Hinweis, dass eine Anmeldung in diesem Tab gerade fertig ist (fl.konto.done, beide sessionStorage). Kommst du direkt von der Startseite, während dort Musik läuft, liest die Kontoseite aus dem sessionStorage, welches Stück an welcher Stelle lief (fynnland.musicPos, von der Startseite angelegt), und spielt es weiter; beim Verlassen schreibt sie die Stelle dorthin zurück, und ob die Musik an oder aus ist, steht wie auf der Startseite in fynnland.music (localStorage). Diese Einträge verlassen deinen Browser nicht; der im sessionStorage ist beim Schließen des Tabs weg. Sie sind für die Funktion nötig, die du aufrufst (§ 25 Abs. 2 Nr. 2 TDDDG).

Geräte und Sitzungen. Zu jeder Sitzung (in Tobuuy, auf der Kontoseite und in jedem anderen Spiel) speichert der Server, wann sie begonnen hat und wann sie zuletzt benutzt wurde (auf den Tag genau), für welches Spiel oder die Kontoseite sie gilt und eine grobe Beschreibung des Geräts wie „Chrome auf Windows“. Diese Beschreibung bildet der Server beim Anmelden aus den Browserangaben deiner Anfrage (User-Agent) und behält davon nur Browserfamilie und Betriebssystem aus einer festen Liste: keine Versionsnummern, kein Gerätemodell, keine IP-Adresse. Sitzungen, die vor dem 28. Oktober 2026 begonnen haben, haben diese Angaben nicht. Auf der Kontoseite siehst du die Liste und kannst einzelne Sitzungen oder alle anderen beenden.

Zwei-Faktor. Schaltest du Zwei-Faktor ein, speichert der Server ein zufälliges Geheimnis für deine Authenticator-App, verschlüsselt (AES-GCM) mit einem Schlüssel, den nur der Server kennt, dazu wann du es eingeschaltet hast, welcher Code zuletzt angenommen wurde (damit keiner zweimal gilt) und zehn Wiederherstellungscodes nur als Hashwert (HMAC). Den QR-Code zum Einrichten erzeugt dein Browser selbst; das Geheimnis geht an keinen anderen Dienst. Meldest du dich mit Zwei-Faktor an, speichert der Server nach dem ersten Schritt für höchstens 5 Minuten ein zufälliges Anmeldeticket (nur als Hashwert) mit deinem Konto, dem Spiel und der Gerätebeschreibung; dein Browser hält dasselbe Ticket für diese Zeit im sessionStorage (fl.konto.mfa, § 25 Abs. 2 Nr. 2 TDDDG) und schickt es mit dem Code an den Server. Falsche Codes zählt der Server je Konto 10 Minuten lang; nach 5 falschen sperrt er bis zum Ende dieser Zeit.

Zugriff entziehen. Einem Spiel kannst du auf der Kontoseite den Zugriff entziehen. Dann werden deine Zustimmung für dieses Spiel, seine Sitzungen und offene Anmeldecodes gelöscht, und beim nächsten Anmelden fragt die Kontoseite wieder. Sein Spielstand und seine Bestenlisteneinträge bleiben im Konto, bis du das Konto löschst, mich um Löschung bittest oder das Konto nach 24 Monaten ohne Nutzung gelöscht wird. Ein sichtbarer Eintrag in einer öffentlichen Bestenliste bleibt sichtbar, bis du dich in diesem Spiel ausblendest.

Rechtsgrundlage und Löschung. Für die Sitzungen selbst, Zwei-Faktor und das Entziehen des Zugriffs ist es Art. 6 Abs. 1 lit. b DSGVO: Du meldest dich an und verwaltest und schützt dein Konto. Für die Gerätebeschreibung und das Zählen falscher Codes ist es Art. 6 Abs. 1 lit. f DSGVO: Dein und mein berechtigtes Interesse ist, fremde Anmeldungen zu erkennen und zu beenden und das Erraten von Codes zu verhindern; dafür reicht die grobe Beschreibung, mehr wird nicht gespeichert. Du kannst dem widersprechen (9). Gerätebeschreibung und Zeiten werden mit der Sitzung gelöscht (Abmelden, Beenden, Zugriff entziehen, 6 Monate ohne Nutzung oder mit dem Konto), Geheimnis und Wiederherstellungscodes beim Ausschalten von Zwei-Faktor oder mit dem Konto, eine nicht abgeschlossene Einrichtung nach spätestens einem Tag.

Andere Spiele. Dasselbe Konto gilt auch in Neon Velocity (neonvelocity.fynnland.xyz), einem weiteren Spiel von mir. Meldest du dich dort an, laufen Anmeldung, Sitzung und Freunde über denselben Server und dieselbe Datenbank wie hier; Neon Velocity hat keinen eigenen Zugriff auf die Datenbank und bekommt dein Konto nur so zu sehen, wie Tobuuy es dir zeigt, als Namen aber deinen Kontonamen, nicht deinen Spielernamen aus Tobuuy. Ändern kann ein anderes Spiel deinen Kontonamen nicht; es führt seinen eigenen Spielernamen in seinem Spielstand. Für jedes Spiel liegt im Konto außerdem ein Spielstand, den nur dieses Spiel schreibt und liest (bei Neon Velocity zum Beispiel Münzen, Verbesserungen, Bestwerte und Summen; was genau, steht in dessen Datenschutzerklärung), mit dem Zeitpunkt der letzten Änderung. Ein Spielstand ist höchstens 32 KB groß, wird mit dem Konto gelöscht und ist im Datendownload enthalten. Öffentliche Bestenliste. Neon Velocity zeigt eine öffentliche Bestenliste, die jeder Besucher des Spiels sehen kann. Mit Konto stehst du dort automatisch, sobald dein Spielstand einen Bestwert hat: mit einem Namen für die Bestenliste (anfangs dein Kontoname, im Spiel änderbar, eindeutig in diesem Spiel), deinem Bestwert und deinem Platz. Der Bestwert kommt aus deinem gespeicherten Spielstand: in Neon Velocity die weiteste Strecke oder, sobald du das Ziel erreicht hast, deine schnellste Zielzeit. Im Konto gespeichert sind dafür je Spiel dieser Name, der Bestwert, seit wann er gilt und ob du sichtbar bist. Im Spiel kannst du dich jederzeit ausblenden; dann zeigt die Liste dich nicht mehr. Die Einträge werden mit dem Konto gelöscht und sind im Datendownload enthalten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO: Die Bestenliste gehört zum Spiel, das du mit deinem Konto spielst; du kannst ihr durch Ausblenden jederzeit entgehen.

Speicherort und Dauer. Die Kontodaten liegen bei Cloudflare in einer Datenbank (D1), deren Speicherort auf Rechenzentren in der EU beschränkt ist (Abschnitt 3). Du kannst das Konto auf der Kontoseite (im Profil des Spiels unter „Konto verwalten“) jederzeit löschen; Profil, Funken, Käufe, Freunde, Online-Status, Einladungen von und an dich, Endansichten, Spielstände anderer Spiele, Einträge in Bestenlisten, Zustimmungen für andere Spiele, offene Anmeldecodes, Anmeldewege, Sitzungen mit ihren Gerätebeschreibungen und die Daten von Zwei-Faktor werden dann sofort gelöscht, auch aus den Listen anderer, und deine Verbindungen zum Freunde-Server werden getrennt. Ein Konto, das 24 Monate lang nicht benutzt wurde, löscht der Server automatisch, eine Sitzung nach 6 Monaten ohne Nutzung. Ein Konto, das nur einen Anmeldeschlüssel als Anmeldeweg hat und in dem noch keine Partie und kein Spielstand eines anderen Spiels liegt, löscht der Server schon nach 7 Tagen ohne Nutzung; solche Konten lassen sich mit einem Klick anlegen und würden sonst die Datenbank füllen. Unter „Meine Daten herunterladen“ bekommst du deine Kontodaten als Datei, ohne das Zwei-Faktor-Geheimnis, die Wiederherstellungscodes und die Hashwerte von Sitzungen und Anmeldewegen, die nur zur Prüfung dienen.

Weil das Spiel keine E-Mail-Adresse kennt, kann ich dich nicht benachrichtigen und ein Konto nicht wiederherstellen, wenn du alle Anmeldewege verlierst. Hänge deshalb am besten zwei Wege an dein Konto.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO: Du legst das Konto an, damit ich deinen Fortschritt für dich aufbewahre. Das Sitzungs-Token in deinem Browser ist dafür unbedingt erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG). Für die Spielernamen deiner Mitspieler in den Endansichten ist es Art. 6 Abs. 1 lit. f DSGVO: Du sollst eine Partie später so ansehen können, wie sie zu Ende ging, und dazu gehört, wer mitgespielt hat. Gespeichert ist nur der Name, den jemand im Raum selbst gewählt und allen Mitspielern gezeigt hat, nichts, was auf ein Konto oder eine Person außerhalb des Spiels verweist; er bleibt nur in deinem Konto, höchstens für deine letzten 50 Partien. Wer mitgespielt hat, kann dem widersprechen (9).

2.7 Keine Inhalte von Dritten

Schriften, Bilder, 3D-Grafik, Klänge und Musik kommen vom selben Server. Das Spiel lädt nichts von anderen Anbietern nach, bindet keine sozialen Netzwerke ein und nutzt keine Analyse- oder Werbedienste. Nur wenn du dich auf der Kontoseite mit Discord, Google oder GitHub anmeldest, leitet sie dich auf deren Anmeldeseite weiter (2.6).

3. Cloudflare als Dienstleister

Das Spiel läuft auf Cloudflare Workers und Durable Objects der Cloudflare, Inc., 101 Townsend St, San Francisco, CA 94107, USA. Cloudflare verarbeitet die in Abschnitt 2 genannten Daten, die beim Server ankommen, in meinem Auftrag. Mit Cloudflare besteht ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO (Cloudflare Data Processing Addendum), der Teil der Nutzungsbedingungen von Cloudflare ist.

Cloudflare betreibt Rechenzentren weltweit; deine Anfrage wird meist in einem Rechenzentrum in deiner Nähe angenommen. Ich habe die Verarbeitung nicht auf die EU beschränkt. Daten können deshalb in Länder außerhalb der EU übermittelt werden, insbesondere in die USA. Cloudflare nimmt nach eigener Angabe am EU-US Data Privacy Framework teil; die Übermittlung in die USA stützt sich auf den Angemessenheitsbeschluss der EU-Kommission (Durchführungsbeschluss (EU) 2023/1795, Art. 45 DSGVO). Für den Fall, dass dieser Beschluss entfällt, sieht der Vertrag die Standardvertragsklauseln der EU-Kommission vor (Art. 46 Abs. 2 lit. c DSGVO).

Für bestimmte eigene Zwecke, etwa die Sicherheit seines Netzes, beschreibt Cloudflare eine eigene Verantwortlichkeit. Näheres steht in der Datenschutzerklärung von Cloudflare.

4. Wer deine Daten erhält

Die Mitspieler und Zuschauer in deinem Raum (Abschnitte 2.3 und 2.4), wobei Mitspieler mit Konto deinen Spielernamen in der Endansicht der gemeinsamen Partie behalten (2.6), bei einem öffentlichen Raum jeder Besucher des Spiels den Listeneintrag mit dem Spielernamen des Gastgebers (2.3), Cloudflare als Dienstleister (Abschnitt 3) ein anderes Spiel, dem du es auf der Kontoseite erlaubst, dein Konto so, wie du es siehst (2.6), und, nur wenn du dich mit Discord, Google oder GitHub anmeldest, der jeweilige Anbieter den einmaligen Anmeldecode (2.6). Sonst niemand, außer ich wäre gesetzlich dazu verpflichtet, etwa auf Anordnung einer Behörde.

5. Speicherdauer im Überblick

6. E-Mail

Wenn du mir schreibst, verarbeite ich deine Adresse und Nachricht, um zu antworten (Art. 6 Abs. 1 lit. f DSGVO, bei Fragen zur Nutzung des Spiels lit. b), und lösche sie, wenn sie dafür nicht mehr nötig ist. Für Meldungen zu Chat-Inhalten gilt Abschnitt 2.4.

7. Pflicht zur Angabe, automatisierte Entscheidungen

Du bist weder gesetzlich noch vertraglich verpflichtet, Daten anzugeben, und musst nichts angeben, was auf dich schließen lässt; als Spielername genügt ein Spitzname. Ohne die technischen Verbindungsdaten kannst du allerdings nicht mitspielen. Es gibt keine automatisierte Entscheidungsfindung und kein Profiling im Sinne von Art. 22 DSGVO. Die Bots im Spiel treffen nur Spielzüge.

8. Deine Rechte

Du hast das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18) und Datenübertragbarkeit (Art. 20). Schreib dafür an die Adresse in Abschnitt 1. Mit Konto kannst du Auskunft, Übertragung und Löschung auch selbst erledigen: „Meine Daten herunterladen“ und „Konto löschen“ unter Profil, „Konto verwalten“. Weil ich zu einem Konto weder Namen noch E-Mail-Adresse kenne, kann ich dich ihm per E-Mail nicht sicher zuordnen. Räume werden nach kurzer Zeit gelöscht; einem Raum kann ich dich oft nur zuordnen, wenn du mir Raumcode, Spielernamen und Zeitpunkt nennst.

Außerdem kannst du dich bei einer Datenschutz-Aufsichtsbehörde beschweren (Art. 77 DSGVO). Für mich zuständig ist der Landesbeauftragte für den Datenschutz Niedersachsen, Prinzenstraße 5, 30159 Hannover, lfd.niedersachsen.de. Du kannst dich auch an die Behörde deines Wohnorts wenden.

9. Widerspruchsrecht