1. Verhältnis zur anwaltlichen Datenschutzerklärung
Die anwaltliche Datenschutzerklärung und diese ergänzenden Hinweise gelten nebeneinander. Diese Hinweise konkretisieren ausschließlich Verarbeitungen, die durch zusätzliche Plattformfunktionen entstehen. Betroffenenrechte und Kontaktmöglichkeiten ergeben sich insbesondere aus Abschnitt 9 der anwaltlichen Datenschutzerklärung.
2. Benutzerkonto, Anmeldung und Sicherheit
Verarbeitet werden insbesondere Benutzername, E-Mail-Adresse, Passwort-Hash, E-Mail-Bestätigungsstatus, Rolle, Berechtigungen, Registrierungs- und Änderungszeitpunkte, der Zeitpunkt der letzten Aktivität, ein gegebenenfalls gesetzter Passwortänderungszwang sowie ein ausgewähltes Profilbild. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO zur Begründung und Durchführung des Nutzungsverhältnisses. Sicherheitsbezogene Verarbeitungen erfolgen zusätzlich nach Art. 6 Abs. 1 lit. f DSGVO; das berechtigte Interesse liegt im Schutz von Konten, Plattform und Nutzern vor Missbrauch.
Bei aktivierter Zwei-Faktor-Authentifizierung werden das für die Authenticator-App benötigte Geheimnis verschlüsselt, der zuletzt verwendete Zeitwert und die Wiederherstellungscodes ausschließlich in nicht direkt lesbarer Form gespeichert.
Der Zeitpunkt der Zustimmung zu den Nutzungsbedingungen und die Prüfsumme der akzeptierten Dokumentfassung werden zum Nachweis der Vertragseinbeziehung gespeichert. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b und lit. f DSGVO.
Benutzername, E-Mail-Adresse und Passwort sind für die Einrichtung eines Benutzerkontos erforderlich. Werden diese Pflichtangaben nicht bereitgestellt oder nicht bestätigt, kann kein Benutzerkonto eingerichtet beziehungsweise genutzt werden. Freiwillige Profilangaben sind als solche gekennzeichnet und können grundsätzlich leer bleiben.
3. Profile, Mitgliederverzeichnis und Namenshistorie
Im nur für angemeldete Nutzer zugänglichen Mitgliederverzeichnis können Benutzername, Rolle, freiwillige Profilbeschreibung, Avatar, Beitrittsmonat sowie Themen-, Beitrags- und Reaktionszahlen angezeigt werden. E-Mail-Adressen und Sicherheitsdaten werden nicht veröffentlicht. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.
Namensänderungen werden zur Vermeidung von Verwechslungen und Missbrauch dokumentiert. Bei Pseudonymisierung wird die lesbare Historie gelöscht; eine Reservierung des früheren Namens kann fortbestehen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO.
4. Support, Kontakt, Meldungen, Beitragslöschung und Partnerschaften
Bei Supporttickets, Kontaktanfragen, Rechtsmeldungen, Beitragslöschungsanfragen und Partnerschaftsanträgen werden die eingegebenen Kontakt- und Inhaltsdaten verarbeitet. Bei Partnerschaftsanträgen werden zusätzlich ein HMAC-basierter IP-Bezug und ein HMAC-basierter User-Agent-Bezug als Missbrauchsschutz gespeichert. Interne Supportnotizen sind nur für berechtigte Teammitglieder sichtbar. Rechtsgrundlage ist je nach Anliegen Art. 6 Abs. 1 lit. b DSGVO sowie Art. 6 Abs. 1 lit. f DSGVO mit dem Interesse an Bearbeitung, Missbrauchsabwehr, Rechtsverteidigung und nachvollziehbarer Moderation.
Bei der Pseudonymisierung eines Kontos wird die frühere Konto-E-Mail-Adresse nicht im Klartext weitergespeichert. Stattdessen kann ein zweckgebundener HMAC-Prüfwert im pseudonymisierten Kontodatensatz verbleiben. Bei einer späteren Beitragslöschungsanfrage wird auch aus der vom Antragsteller genannten früheren Adresse unmittelbar ein HMAC-Prüfwert gebildet. Damit kann die Übereinstimmung geprüft werden, ohne die frühere Adresse im Anfrage-Datensatz im Klartext zu speichern. Für bereits vor Version 2.18.11 pseudonymisierte Konten kann dieser Prüfwert fehlen; dann ist eine anderweitige manuelle Identitätsprüfung erforderlich.
Beitragslöschungsanfragen erhalten einen internen Fristzeitpunkt, ein Prüfergebnis und eine dokumentierte Entscheidung. Ablehnung und Ausführung werden im Auditprotokoll nachvollziehbar festgehalten. Nach abschließender Bearbeitung werden die Formulardaten über die dafür vorgesehene Abschlussfunktion gelöscht, soweit keine weitere Aufbewahrung erforderlich ist.
5. Forum, Guides, Serverliste, Bilder und Benachrichtigungen
Veröffentlichte Beiträge, Guides, Reaktionen, Servereinträge und Tipps werden zur Bereitstellung der Communityfunktionen verarbeitet. Servereinträge können Name, Adresse, Version, Sprache, Spielstil, Mods, Beschreibung, Tipps und externe Links enthalten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Moderations- und Sicherheitsmaßnahmen beruhen ergänzend auf Art. 6 Abs. 1 lit. f DSGVO.
Angemeldete Benutzer können PNG- und JPEG-Bilder in Forenbeiträge einfügen. Dabei werden Bildinhalt, eine zufällige öffentliche Bild-ID, das zugeordnete Benutzerkonto und der sichtbare Benutzername, Alternativtext, Urheber- und Rechtehinweis, gegebenenfalls eine Quellenadresse, Uploadzeitpunkt, Dateityp, Dateigröße, Bildmaße, eine SHA-256-Prüfsumme sowie die Zuordnung zu Thema und Beitrag verarbeitet. Der ursprüngliche Dateiname ist nur für berechtigte Moderationsgruppen sichtbar. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO zur Bereitstellung der gewünschten Veröffentlichungsfunktion sowie Art. 6 Abs. 1 lit. f DSGVO für Sicherheit, Rechtsnachweis, Missbrauchsabwehr und Moderation.
Bilder werden außerhalb des öffentlichen Webverzeichnisses gespeichert, vor der Veröffentlichung serverseitig neu kodiert und ausschließlich über eine kontrollierte Bildroute ausgeliefert. Bei dieser Sicherheitsverarbeitung werden vorhandene EXIF- und sonstige Bildmetadaten entfernt. Dennoch dürfen Nutzer keine Bilder mit unnötigen personenbezogenen Daten, Zugangsdaten oder erkennbaren Personen ohne erforderliche Rechtsgrundlage beziehungsweise Einwilligung hochladen.
Öffentlich eingebettete Bilder sind zusammen mit dem jeweiligen Beitrag abrufbar. Der öffentliche Rechtehinweis und die Bild-ID dienen der Zuordnung und Nachvollziehbarkeit. Weitergehende technische Uploaddaten, ursprünglicher Dateiname, pseudonyme Sicherheitsbezüge und interne Moderationsnotizen sind ausschließlich für berechtigte Administratoren und Moderationsgruppen bestimmt.
6. ASARO Shield und Missbrauchsschutz
ASARO Shield bewertet lokal technische Browser-, Sitzungs- und Netzsignale, Nutzungsdauer, Fehlversuche und vorhandene Vertrauensnachweise, um automatisierte oder missbräuchliche Anfragen zu erkennen. Dabei können HMAC-basierte Bezüge und ein signiertes First-Party-Vertrauenscookie eingesetzt werden. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; das berechtigte Interesse besteht in Verfügbarkeit, Missbrauchsabwehr und Schutz der Plattform. Es findet keine ausschließlich automatisierte Entscheidung mit rechtlicher oder vergleichbar erheblicher Wirkung im Sinne von Art. 22 DSGVO statt.
Beim Bildupload prüft ASARO Shield zusätzlich ein an Konto, Sitzung, Browser- und Netzkontext gebundenes Einmal-Token, Uploadfrequenz, Kontostatus, Dateisignatur, tatsächlichen MIME-Typ, Dateigröße, Bildabmessungen, Wiederholungen und auffällige Dateinamen. Gespeichert werden ein Risikowert, technische Prüfgründe sowie HMAC-basierte IP- und Browserbezüge; IP-Adresse und User-Agent werden dabei nicht im Klartext im Bilddatensatz abgelegt. Abgelehnte Uploads können im Sicherheits- und Auditprotokoll dokumentiert werden.
7. Protokolle, E-Mail-Versand und Empfänger
Auditdaten können HMAC-basierte Bezüge zur vollständigen E-Mail-Adresse, IP-Adresse, Sitzung oder zu Browsermerkmalen sowie Zeit, Aktion, Objekt und handelndes Konto enthalten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO.
Für E-Mails werden Empfängeradresse, Betreff, Inhalt und technische Versanddaten an den Hosting- und E-Mail-Dienstleister übermittelt. Mit dem eingesetzten Dienstleister besteht ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO.
7a. Serverlogos
Serverinhaber und berechtigte Verwaltungsgruppen können ein PNG- oder JPEG-Logo bis 5 MB hochladen. Gespeichert werden eine zufällige Logo-ID, die Zuordnung zum Servereintrag und Benutzerkonto, der angegebene Autor beziehungsweise Rechteinhaber, Rechte- und Quellenhinweise, Alternativtext, Dateityp, Größe, Abmessungen, SHA-256-Prüfsumme sowie pseudonymisierte Sicherheits- und ASARO-Shield-Prüfdaten. Die Datei wird serverseitig neu kodiert und vorhandene Metadaten werden entfernt.
Die Verarbeitung dient der Bereitstellung des freiwillig hochgeladenen Serverlogos, der sicheren Plattformnutzung, Missbrauchsabwehr, Moderation sowie der Bearbeitung von Rechtehinweisen. Rechtsgrundlagen sind je nach Vorgang Art. 6 Abs. 1 Buchst. b und f DSGVO. Das Logo und die vom Nutzer eingetragenen Urheberangaben werden öffentlich angezeigt; technische Schutz- und Kontodaten sind nur für berechtigte Verwaltungsgruppen sichtbar.
8. Speicherdauer
- Rate-Limit-Daten: regelmäßig 7 Tage
- verschlüsselte Beitrags-IP-Adressen: 180 Tage
- nicht veröffentlichte Forenbilder: regelmäßig 7 Tage nach Upload
- aus einem Beitrag entfernte, nicht mehr eingebettete Forenbilder: regelmäßig nach 30 Tagen
- veröffentlichte Forenbilder: grundsätzlich solange der zugehörige Beitrag besteht; bei Löschung oder berechtigter Inhaltsentfernung werden die Bilddateien mit entfernt
- Serverlogos: grundsätzlich solange der zugehörige Servereintrag besteht; bei Austausch, Entfernung, Sperrung oder Löschung des Servereintrags werden die Logo-Dateien entfernt, während ein begrenzter Nachweisdatensatz für Moderation und Rechtsverteidigung bestehen bleiben kann
- Audit-Einträge: 365 Tage
- Mailprotokoll-Archive: 90 Tage
- Fehlerprotokoll-Archive: 30 Tage
- geschlossene Supporttickets einschließlich Nachrichten und interner Notizen: 90 Tage nach letzter Aktualisierung
Andere Anfragen werden gelöscht, sobald Bearbeitung, Nachweis- und Rechtsverteidigungszwecke entfallen, soweit keine gesetzlichen Pflichten entgegenstehen.