Who Liked? Datenschutzerklärung

1.Wofür das gilt

Diese Datenschutzerklärung gilt für Who Liked?, das Party-Quiz unter wholiked.logsy.de (einschließlich der Spielverbindung über wholiked-ws.logsy.de), und für die Anmeldung über TikTok, die das Spiel benutzt.

2.Verantwortlicher

Verantwortlich für die Verarbeitung im Sinne von Art. 4 Nr. 7 DSGVO ist:

Ein Datenschutzbeauftragter ist nicht bestellt; die gesetzlichen Schwellen (§ 38 BDSG) sind nicht erreicht. Fragen zum Datenschutz beantwortet der Verantwortliche selbst unter der genannten Adresse.

3.Hosting: wo die Daten liegen

Alle Bestandteile von Who Liked? — Webseite, Spielserver, Datenbank, Zwischenspeicher und Sicherungen — laufen auf einem Server, den wir bei Hetzner mieten. Er steht im Rechenzentrum Helsinki, Finnland, also in der Europäischen Union. Es gibt keine weiteren Kopien deiner Daten an anderen Orten.

Anbieter

Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland

Wofür

Bereitstellung des Servers (Rechenzentrum Helsinki). Hetzner hat keinen Zugriff auf die Inhalte, betreibt aber die Hardware und das Netz.

Welche Daten

Alle in dieser Erklärung genannten Daten, weil sie auf diesem Server gespeichert sind.

Rechtsgrundlage

Art. 6 Abs. 1 lit. f DSGVO (sicherer, zuverlässiger Betrieb); Auftragsverarbeitungsvertrag nach Art. 28 DSGVO.

Server-Logfiles. Der Webserver protokolliert bei jedem Aufruf die IP-Adresse, Zeitpunkt, aufgerufene Adresse, Statuscode, übertragene Datenmenge, die Seite, von der du kommst, und die Kennung deines Browsers. Wir brauchen das, um Störungen und Angriffe zu erkennen. Die Logs werden täglich rotiert und nach 14 Tagen gelöscht. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.

Sicherungen. Die Datenbank wird jede Nacht gesichert; die Sicherungen liegen auf demselben Server, sind nur für den Verantwortlichen zugänglich und werden nach 14 Tagen gelöscht. Löschst du dein Konto, kann es deshalb bis zu 14 Tage dauern, bis auch die letzte Sicherung ohne deine Daten ist. Sicherungen werden nur zur Wiederherstellung nach einem Ausfall zurückgespielt, nicht ausgewertet.

4.Cloudflare: der Weg zum Server

Jeder Aufruf von wholiked.logsy.de läuft über das Netz von Cloudflare. Cloudflare beantwortet DNS-Anfragen, stellt die TLS-Verschlüsselung her, wehrt Überlastangriffe ab und leitet die Anfrage an unseren Server weiter. Dabei verarbeitet Cloudflare deine IP-Adresse und die technischen Angaben der Anfrage. Inhalte der Seite werden dort nicht dauerhaft gespeichert.

Anbieter

Cloudflare, Inc., 101 Townsend St., San Francisco, CA 94107, USA — in der EU vertreten durch Cloudflare Germany GmbH, Rosental 7, 80331 München

Wofür

Content Delivery Network, DNS, TLS-Zertifikate, Schutz vor Überlast- und Bot-Angriffen.

Welche Daten

IP-Adresse, Kopfzeilen der Anfrage (Browser, Sprache, aufgerufene Adresse), Zeitpunkt. Bei einer Sicherheitsprüfung kann Cloudflare ein technisch notwendiges Cookie setzen (z. B. __cf_bm oder cf_clearance).

Rechtsgrundlage

Art. 6 Abs. 1 lit. f DSGVO (Verfügbarkeit und Sicherheit); Auftragsverarbeitungsvertrag nach Art. 28 DSGVO.

Drittland

Cloudflare kann Daten in den USA verarbeiten. Cloudflare ist unter dem EU-US Data Privacy Framework zertifiziert (Angemessenheitsbeschluss der EU-Kommission vom 10. Juli 2023, Art. 45 DSGVO); ergänzend gelten die Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO).

5.Anmeldung über TikTok

Es gibt nur einen Weg in das Spiel: die Anmeldung mit deinem TikTok-Konto über das TikTok Login Kit. Du wirst zu TikTok weitergeleitet, meldest dich dort an und erlaubst Who Liked? den Zugriff auf drei Dinge. Wir erhalten dann von TikTok:

• Grundlegende Kontodaten (user.info.basic): eine anonyme Kennung (open_id), deinen Anzeigenamen und dein Profilbild.
• Profil (user.info.profile): deinen Nutzernamen (@handle) und den Link zu deinem Profil.
• Deine eigenen veröffentlichten Videos (video.list): Kennung, Beschreibung, Vorschaubild, Einbettungslink, Dauer und Veröffentlichungsdatum jedes öffentlichen Videos. Das ist das Material, aus dem die Runden bestehen.

Wir erhalten nicht: deine Likes auf TikTok, deine Nachrichten, deine Follower, deine E-Mail-Adresse oder Telefonnummer, private Videos oder Entwürfe.

Dazu speichern wir die Zugangsschlüssel (Access- und Refresh-Token), die TikTok uns ausstellt. Nur damit können wir deine Videoliste später aktualisieren und neue Clips ins Spiel bringen. Die Schlüssel werden regelmäßig erneuert und beim Löschen deines Kontos sofort vernichtet. Du kannst den Zugriff jederzeit auch bei TikTok selbst widerrufen (Einstellungen → Sicherheit → Apps und Websites verwalten); danach werden keine neuen Videos mehr abgerufen.

Anbieter

TikTok Technology Limited, 10 Earlsfort Terrace, Dublin, D02 T380, Irland (zuständig für Nutzer im EWR)

Wofür

Anmeldung (Login Kit), Bereitstellung deiner Videoliste, Einbettungs-Player (siehe 8).

Welche Daten

TikTok erfährt, dass du dich bei Who Liked? anmeldest und wann wir deine Videoliste abrufen. Was TikTok darüber hinaus speichert, regelt TikToks eigene Datenschutzerklärung.

Rechtsgrundlage

Art. 6 Abs. 1 lit. b DSGVO (die Anmeldung ist Teil des Nutzungsverhältnisses); die Freigabe der Zugriffsrechte erteilst du bei TikTok als Einwilligung.

Drittland

TikTok kann Daten nach eigenen Angaben auch außerhalb des EWR verarbeiten, unter anderem in den USA, Singapur und Malaysia. Dafür ist TikTok verantwortlich; wir übermitteln selbst nichts dorthin.

6.Was im Spiel entsteht

Beim Spielen speichern wir, was das Spiel braucht:

• Deine Reaktionen im Feed: welche Videos deiner Mitspieler du in der App likest, speicherst oder repostest, mit Zeitpunkt. Sie sind der Kern des Spiels: Ein Clip läuft, die anderen raten, wer von euch ihn geliked hat — und bei der Auflösung sehen alle in der Partie, dass es du warst. Like also nur, was die Runde sehen darf. Deine Likes auf TikTok selbst erhalten wir nicht; TikTok gibt sie über seine Schnittstelle nicht heraus.
• Partien: wer mit wem gespielt hat, welche Videos liefen, wer wen getippt hat, Punkte, Platzierungen, Serien und Zeitpunkt.
• Konto: gewählter Anzeigename, Avatar-Vorlage, Farbe, Erfahrungspunkte, Liga, Abzeichen, Missionsfortschritte, dein persönlicher Freundescode, Freundschaften und Club-Zugehörigkeiten.
• Steckbrief: Aus deinen Reaktionen errechnen wir, auf welche Inhaltskategorien du ansprichst (etwa „Gym", „Katzen", „Comedy"), wie oft Mitspieler dich richtig erraten und wen du am besten liest. Daraus entsteht ein Spaß-Titel. Das ist eine Auswertung deines Verhaltens (Profiling im Sinne von Art. 4 Nr. 4 DSGVO) — sie dient ausschließlich dem Spiel, hat keine rechtliche oder ähnlich erhebliche Wirkung für dich (Art. 22 DSGVO greift nicht) und ist nur für dich und deine Mitspieler sichtbar.
• Sitzungen: eine zufällige Sitzungskennung, ihr Ablaufdatum und die Kennung deines Browsers, damit wir dich beim nächsten Aufruf wiedererkennen.
• Benachrichtigungen: Freundschaftsanfragen, Einladungen, abholbare Belohnungen — innerhalb der App, nie per E-Mail oder Push.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO: Ohne diese Daten gibt es das Spiel nicht, für das du dich angemeldet hast.

7.Spielserver und Echtzeitverbindung

Während einer Partie hält dein Browser eine dauerhafte Verbindung (WebSocket) zu unserem Spielserver unter wholiked-ws.logsy.de. Über sie laufen Beitritt, Timer, Tipps und Auflösung. Der Zustand eines Spielraums liegt für die Dauer der Partie in einem Zwischenspeicher (Redis) auf demselben Server und wird nach dem Ende verworfen; nur das Ergebnis wandert in die Datenbank (siehe 6). Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

8.Eingebettete TikTok-Videos

Die Clips laufen im offiziellen Einbettungs-Player von TikTok; wir laden keine Videos herunter, speichern und veröffentlichen keine. Sobald ein Clip im Feed oder in einer Runde geladen wird, stellt dein Browser eine direkte Verbindung zu den Servern von TikTok her. TikTok erhält dabei deine IP-Adresse, technische Angaben zu deinem Browser und die Information, welches Video eingebettet wurde, und kann eigene Cookies setzen — insbesondere, wenn du in demselben Browser bei TikTok angemeldet bist. Auch die Vorschaubilder der Videos kommen von TikToks Servern.

Das passiert erst, wenn du es erlaubst. Vor dem ersten Clip zeigt die App statt des Players eine Nachfrage mit genau dieser Erklärung und dem Knopf „TikTok-Player aktivieren" (Zwei-Klick-Lösung). Bis dahin wird weder der Player noch ein Vorschaubild von TikTok geladen. Deine Entscheidung speichern wir mit Zeitpunkt an deinem Konto, damit sie auf jedem Gerät gilt; im Profil kannst du sie jederzeit zurücknehmen — danach fragt der Player wieder. Ohne Freigabe lässt sich allerdings nicht spielen, denn ohne Clip gibt es nichts zu raten.

Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, für den Zugriff auf deinen Browser § 25 Abs. 1 TDDDG). Was TikTok mit den Daten tut, regelt die Datenschutzerklärung von TikTok.

9.Klassifikation der Videos (Anthropic)

Damit der Steckbrief sagen kann, worauf du ansprichst, muss jedes Video einer Inhaltskategorie zugeordnet werden. Das erledigt ein Sprachmodell von Anthropic. Wir schicken dafür ausschließlich den Text, der unter dem Video steht: Beschreibung, Hashtags und den Titel des verwendeten Sounds. Es gehen keine Angaben zu dir oder zum Ersteller mit — kein Name, keine Kennung, kein Bild, kein Video. Das Ergebnis ist eine Kategorie pro Video, die wir speichern; der gesendete Text wird von uns nicht weitergegeben.

Weil eine Videobeschreibung theoretisch Namen oder Erwähnungen enthalten kann, die der Ersteller selbst hineingeschrieben hat, führen wir Anthropic hier als Empfänger auf.

Anbieter

Anthropic, PBC, 548 Market St., PMB 90375, San Francisco, CA 94104, USA

Wofür

Zuordnung von Videobeschreibungen zu Inhaltskategorien über die Anthropic-API.

Welche Daten

Beschreibung, Hashtags und Sound-Titel eines Videos — ohne Personenbezug von unserer Seite. Anthropic verwendet Eingaben über die API nach seinen Geschäftsbedingungen nicht zum Training seiner Modelle und speichert sie nur befristet.

Rechtsgrundlage

Art. 6 Abs. 1 lit. f DSGVO (Bereitstellung der Spielfunktion „Steckbrief“); Auftragsverarbeitungsvertrag nach Art. 28 DSGVO.

Drittland

USA. Die Übermittlung stützt sich auf die Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO), die Teil des Vertrags mit Anthropic sind.

10.Cookies und Speicherung im Browser

Wir setzen drei Cookies, alle technisch notwendig im Sinne von § 25 Abs. 2 Nr. 2 TDDDG. Deshalb gibt es keinen Cookie-Banner — es gibt nichts, dem man zustimmen oder widersprechen müsste:

• wl_session — deine Sitzung. Enthält nur eine zufällige Kennung, gültig 30 Tage, wird beim Abmelden gelöscht.
• wl_oauth_state — ein Schutz gegen gefälschte Anmeldeversuche während der Weiterleitung zu TikTok. Gültig 10 Minuten.
• wl_einladung — merkt sich einen Einladungslink, bis die Anmeldung durch ist. Nur, wenn du über einen solchen Link kommst; gültig 15 Minuten.

Vor der Anmeldung setzen wir gar keinen Cookie. Der erste entsteht, wenn du auf „Mit TikTok anmelden" drückst. Darauf weist ein Hinweis am unteren Rand der öffentlichen Seiten hin; dass du ihn weggeklickt hast, merkt sich dein Browser in einem Eintrag im lokalen Speicher (wl_cookie_hinweis) — ohne Cookie, ohne Übertragung an uns.

Dazu kann Cloudflare bei einer Sicherheitsprüfung ein eigenes, ebenfalls technisch notwendiges Cookie setzen (siehe 4), und der TikTok-Player kann Cookies von TikTok setzen — aber erst, nachdem du ihn freigegeben hast (siehe 8). Wir verwenden keine Tracking-, Analyse- oder Werbe-Cookies.

11.Schutz vor Missbrauch und Fehlerprotokoll

Ratenbegrenzung. Um automatisierte Anmeldeversuche zu bremsen, zählen wir Aufrufe der Anmeldeseite je IP-Adresse in einem Zeitfenster von fünf Minuten. Der Zähler liegt im Zwischenspeicher und verfällt mit dem Fenster; die IP-Adresse wird dafür nicht dauerhaft gespeichert. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.

Fehlerprotokoll. Tritt im Betrieb ein Fehler auf, speichern wir die technische Meldung, den Ort im Programm und — wenn bekannt — die Kennung des betroffenen Kontos, damit wir den Fehler nachstellen und beheben können. Diese Einträge werden nach 30 Tagen gelöscht. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.

12.Schriften und externe Inhalte

Die Schrift der Seite (Nunito) liefern wir von unserem eigenen Server aus; es wird keine Verbindung zu Google Fonts oder einem anderen Schriftdienst aufgebaut. Außer den in 4, 5, 8 und 9 genannten Diensten werden keine Inhalte von Dritten geladen.

13.Empfänger und Übermittlung in Drittländer

Deine Daten sehen: wir als Betreiber; deine Mitspieler, soweit es das Spiel vorsieht (Anzeigename, Avatar, Liga, Abzeichen, in Partien auch deine Reaktionen auf die dort gezeigten Clips und deine Tipps); und die in 3, 4, 5 und 9 genannten Dienstleister in dem dort beschriebenen Umfang. Eine Weitergabe an andere Dritte findet nicht statt, es sei denn, wir sind gesetzlich dazu verpflichtet.

In Länder außerhalb des EWR gelangen Daten nur über Cloudflare (4) und Anthropic (9), jeweils auf Grundlage eines Angemessenheitsbeschlusses oder der Standardvertragsklauseln der EU-Kommission. Eine Kopie der Klauseln stellen wir auf Anfrage zur Verfügung.

14.Wie lange wir speichern

• Konto, Videos, Reaktionen, Steckbrief, Freunde, Missionen: solange dein Konto besteht.
• Nach der Kontolöschung: TikTok-Zugangsschlüssel, Reaktionen, Feed-Historie, Profil und Freundschaften sofort. Deine Teilnahme an gemeinsamen Partien nach 30 Tagen — solange bleibt sie als „gelöschter Spieler" erhalten, damit die Ranglisten deiner Mitspieler nicht zerfallen. Danach ist alles weg; Sicherungen sind spätestens 14 Tage später überschrieben (siehe 3).
• Sitzungen: 30 Tage oder bis zum Abmelden.
• Server-Logfiles: 14 Tage. Fehlerprotokoll: 30 Tage. Sicherungen: 14 Tage.
• Zwischenspeicher (Spielräume, Ratenbegrenzung): Minuten bis Stunden, mit dem Ende der Partie bzw. des Zeitfensters.

15.Kinder und Jugendliche

TikTok verlangt für ein Konto ein Mindestalter von 13 Jahren, und nur wer ein TikTok-Konto hat, kann hier mitspielen. Nach Art. 8 DSGVO in Verbindung mit dem deutschen Recht ist eine Einwilligung in die Verarbeitung personenbezogener Daten bei Diensten wie diesem erst ab 16 Jahren ohne Zustimmung der Eltern wirksam. Bist du jünger als 16, darfst du Who Liked? nur nutzen, wenn ein Erziehungsberechtigter zustimmt. Wir erheben keine Altersangaben und können das nicht prüfen; erfahren wir, dass ein Konto ohne diese Zustimmung angelegt wurde, löschen wir es.

16.Rechtsgrundlagen im Überblick

• Art. 6 Abs. 1 lit. b DSGVO (Vertrag): alles, was das Spiel selbst ausmacht — Anmeldung, Videos, Reaktionen, Partien, Steckbrief, Spielverbindung.
• Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an sicherem, zuverlässigem Betrieb): Hosting, Server-Logs, Cloudflare, Ratenbegrenzung, Fehlerprotokoll, Sicherungen, Klassifikation. Du kannst dieser Verarbeitung widersprechen (siehe 17); für Hosting und Sicherheit bleibt allerdings kein Betrieb ohne sie möglich.
• Art. 6 Abs. 1 lit. a DSGVO (Einwilligung): die Freigabe des TikTok-Players in der App (siehe 8) und die Freigabe der Zugriffsrechte, die du bei TikTok erteilst (siehe 5). Beide sind jederzeit widerrufbar; die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung bleibt unberührt.
• § 25 Abs. 2 Nr. 2 TDDDG: die technisch notwendigen Cookies.

17.Deine Rechte

Du hast gegenüber uns das Recht auf:

• Auskunft (Art. 15 DSGVO) über die zu dir gespeicherten Daten,
• Berichtigung (Art. 16) — Anzeigename, Avatar und Farbe änderst du direkt im Profil,
• Löschung (Art. 17) — die Kontolöschung findest du im Profil; sie wirkt sofort und ohne Rückfrage bei uns,
• Einschränkung der Verarbeitung (Art. 18),
• Datenübertragbarkeit (Art. 20) — auf Anfrage erhältst du deine Daten in einem maschinenlesbaren Format,
• Widerspruch (Art. 21) gegen Verarbeitungen auf Grundlage berechtigter Interessen,
• Widerruf einer Einwilligung (Art. 7 Abs. 3) mit Wirkung für die Zukunft.

Für alles, was nicht im Profil selbst geht, genügt eine Nachricht an [email protected]. Wir antworten spätestens innerhalb eines Monats.

Beschwerde. Du kannst dich bei einer Datenschutz-Aufsichtsbehörde beschweren (Art. 77 DSGVO), etwa an deinem Wohnort. Für uns zuständig ist:

18.Keine Pflicht, keine Werbung, keine automatisierten Entscheidungen

Du bist weder gesetzlich noch vertraglich verpflichtet, uns Daten zu geben — ohne TikTok-Konto kannst du allerdings nicht mitspielen. Wir verwenden deine Daten nicht für Werbung, verkaufen sie nicht und geben sie nicht zu Marketingzwecken weiter. Es gibt keine automatisierten Entscheidungen mit rechtlicher Wirkung für dich; der Steckbrief (siehe 6) ist Spiel, nicht Bewertung.

19.Datensicherheit

Alle Verbindungen sind mit TLS verschlüsselt. Der Server ist nur über Schlüssel-Authentifizierung erreichbar, Datenbank und Zwischenspeicher sind nicht aus dem Internet zugänglich, Zugang zu Betriebsdaten hat ausschließlich der Verantwortliche. Sitzungscookies sind gegen Zugriff durch Skripte geschützt (HttpOnly, Secure).

20.Änderungen

Ändert sich am Spiel etwas, das diese Erklärung betrifft — ein neuer Dienstleister, eine neue Funktion —, passen wir sie an und setzen das Datum oben neu. Die jeweils aktuelle Fassung steht unter wholiked.logsy.de/datenschutz. Bei wesentlichen Änderungen weisen wir in der App darauf hin.