Welche Daten Rasenregie wirklich braucht.

Verantwortlicher und Kontakt

Nils Brauer · handelnd unter der Geschäftsbezeichnung FORGXD Brands

Rasenregie ist ein Angebot von FORGXD Brands.

Kastanienweg 53 · 45739 Oer-Erkenschwick · Deutschland

E-Mail: info@rasenregie.de

Ein Datenschutzbeauftragter ist nicht bestellt. Datenschutzanfragen erreichen unmittelbar den Verantwortlichen über die genannte Adresse.

Aufruf, Hosting und geschützte Testumgebung

Beim Aufruf verarbeiten die beteiligten Hosting- und Netzwerkdienste technisch erforderliche Verbindungsdaten wie IP-Adresse, Zeitpunkt, aufgerufene Adresse, Browserkennung und Statuscode. Zweck sind sichere Auslieferung, Fehlererkennung und Angriffsabwehr. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; das berechtigte Interesse liegt im sicheren, stabilen und missbrauchsarmen Betrieb.

Die aktive Produktionslaufzeit verwendet OpenAI Sites für Veröffentlichung und Anwendungsbetrieb. Cloudflare stellt DNS, D1-Datenbank, den getrennten Test-Worker, Zugriffsschutz, Turnstile, Transaktionsmail und den Platzwart-Dienst bereit. Die Testumgebung besitzt eine eigene, auf die EU beschränkte D1-Datenbank und ist durch Cloudflare Access auf freigegebene Tester begrenzt. Produktions- und Testdaten werden nicht vermischt.

Das zusätzliche Cloudflare-Zugangsfenster betrifft ausschließlich die geschützte Testumgebung. Für die öffentliche Beta auf rasenregie.de ist keine Cloudflare-Anmeldung erforderlich.

Rasenregie speichert in der Anwendung keine vollständigen IP-Adressprotokolle. Cloudflare Workers Logs sind je nach Tarif höchstens sieben Tage verfügbar. Hostingseitige Sicherheitsdaten werden nur nach den vertraglichen Anbieterfristen und solange aufbewahrt, wie Betriebssicherheit, Missbrauchsabwehr oder gesetzliche Pflichten dies erfordern.

Lokaler Speicher und § 25 TDDDG

Karriereplätze, Einstellungen, Tutorialstatus, Farbschema, temporäre Bedienzustände und für die installierbare Web-App nötige Cache-Dateien liegen im Browser beziehungsweise auf dem Gerät. Sie ermöglichen den ausdrücklich gewünschten Spiel-, Offline- und Speicherbetrieb. Grundlage ist § 25 Abs. 2 Nr. 2 TDDDG; eine Einwilligung ist dafür nicht erforderlich.

Rasenregie setzt keine Analyse-, Werbe- oder Social-Media-Cookies und keine vergleichbaren nicht erforderlichen Speichermechanismen ein. Deshalb wird derzeit kein Einwilligungsbanner angezeigt. Bei Einführung eines nicht erforderlichen Dienstes würde dieser vor einer Einwilligung blockiert. Die Anmeldung speichert außerdem die erforderliche Kontositzung im Browser, damit du angemeldet bleibst. Abmelden beendet diese Sitzung; es löscht nicht automatisch deine Karrieren. Einzelne Speicherplätze lassen sich im Spiel löschen. Unter „Datenschutz“ im Managerprofil kannst du die lokalen Karriere- und Wiederherstellungskopien des angemeldeten Kontos auf diesem Gerät ausdrücklich entfernen. Cloud-Kopien und andere Geräte bleiben dabei erhalten. Vollständiges Löschen der Website-Daten in den Browsereinstellungen entfernt zusätzlich Einstellungen und Anmeldedaten dieses Browsers.

Beta-Vormerkungen

Rasenregie-Konto und Supabase

Für registrierte Konten verarbeiten wir E-Mail-Adresse, selbst gewählten Managernamen, stabile Konto-ID, Bestätigungs-, Sitzungs- und Sicherheitsdaten. Passwörter speichert Rasenregie nicht selbst. Konto, Anmeldung und Wiederherstellung beruhen auf Art. 6 Abs. 1 lit. b DSGVO.

Die Authentifizierung stellt Supabase bereit; das Projekt ist für die Region Frankfurt konfiguriert. Neue Konten entstehen über die Registrierung auf der Anmeldeseite. Spielen erfordert ein bestehendes Rasenregie-Konto mit von Supabase bestätigter Konto-E-Mail. Nach dieser Bestätigung wird der Spielzugang automatisch aktiv. Die separate Bestätigung einer Vormerkung ist dafür nicht ausreichend. Bestätigungen der Vormerkungsadresse und freiwillige Liga-Hinweise werden als Transaktionsmail über Cloudflare Email Sending versendet. Konto-Bestätigungen, gegebenenfalls persönliche Einladungen und Wiederherstellungen versendet Supabase über den dort eingerichteten produktionsfähigen Mailweg. Supabase-Authentifizierungsprotokolle können Konto-ID, IP-Adresse, Browserkennung, Ereignis und Zeitpunkt enthalten.

Bei neuen Registrierungen werden deine Selbsterklärungen zu Mindestalter, gegebenenfalls erforderlicher Zustimmung der Erziehungsberechtigten und die Fassungen der akzeptierten Beta-Regeln und gelesenen Datenschutzhinweise im Konto gespeichert. Beim ersten bestätigten Spielzugriff erfassen wir einen gesonderten Beleg mit serverseitigem Erfassungszeitpunkt. Das ist keine Ausweis- oder amtliche Altersprüfung. Für frühere Konten wird keine rückwirkende Bestätigung erfunden. Die Kenntnisnahme der Datenschutzhinweise ist keine pauschale Einwilligung in andere Verarbeitungszwecke.

Cloud-Spielstände und Freundesliga

Mit Konto können bis zu drei Spielstände mit Managername, Verein, Kader, Entscheidungen und Karrierefortschritt in Cloudflare D1 synchronisiert werden. In privaten Freundesligen kommen Konto-ID, Manager- und Clubname, geprüfte Mannschaftswerte, Teamstart und Startbudget, Bereitschaft, Tabelle, Spielplan, Ergebnisse, Mannschaftssnapshots, Reaktionen, eigene Ligakader und Aufstellungen, Training, Gebote, Transfers, Finanzbewegungen, Friständerungen, Abwesenheitszeitraum, Kabinennachrichten, Ligaereignisse und kontobezogene Hinweise hinzu. Sparsame technische Ereigniszähler helfen, Frist- und Stabilitätsprobleme zu erkennen. Grundlage ist Art. 6 Abs. 1 lit. b DSGVO; Sicherheits- und Stabilitätsauswertungen beruhen ergänzend auf Art. 6 Abs. 1 lit. f DSGVO.

Andere Ligamitglieder sehen Manager- und Clubname, Stärke, Tabellenwerte und Ergebnisse, nicht aber E-Mail-Adresse oder interne Konto-ID. Der persönliche Datenexport entfernt deshalb fremde Kennungen. Freiwillige E-Mail- und Browser-Hinweise lassen sich je Liga abschalten. Liga-Hinweise und Kabinennachrichten werden höchstens 365 Tage, sparsame Betriebsmetriken höchstens 90 Tage gespeichert. Vollständig inaktive Freundesligen werden grundsätzlich nach 365 Tagen bereinigt. Bei Löschung eines Kontos werden eigene Liga-Snapshots und eigene Kabinennachrichten entfernt; Kader-, Transfer- und Finanzzuordnungen sowie erforderliche Ergebnisstände und Chroniken anderer Teilnehmer werden ohne Konto-ID und unter „Gelöschter Manager“ fortgeführt.

Discord, frühere Forumdaten und externe Links

Die freiwillige Discord-Verbindung speichert stabile Rasenregie-Konto-ID, Discord-ID, Discord-Benutzername, öffentlichen Anzeigenamen, Avatar-Kennung, Rollenstatus und Zeitpunkte. Discord erhält im OAuth-Ablauf die Anfrage nach Identität und Serverbeitritt. Der Zugriffstoken wird nur unmittelbar verwendet und nicht dauerhaft gespeichert. Rechtsgrundlage ist Art. 6 Abs. 1 lit. a DSGVO. Die Verbindung lässt sich im Managerprofil trennen.

Der frühere Forumzugang ist über die Beta-Website nicht mehr verfügbar. Bereits gespeicherte Forumdaten bei ALL-INKL.COM können Konto-ID, Profilname, Beiträge, Reaktionen, Moderationsvorgänge und Sicherheitsprotokolle umfassen. Öffentliche Beiträge werden bei einer Kontolöschung gelöscht oder anonymisiert, soweit Rechte anderer oder die Integrität einer Diskussion keine andere rechtmäßige Behandlung verlangen.

Der Discord-Einladungslink sowie Instagram, TikTok, YouTube und Twitch sind reine externe Links. Beim Laden einer Rasenregie-Seite wird dadurch nichts an diese Netzwerke übertragen. Erst die Auswahl eines Links öffnet den eigenständig verantworteten Dienst. Social-Pixel, automatisch geladene Feeds und Werbetracker sind nicht eingebunden.

Supporttickets und E-Mail

Private Supporttickets enthalten Konto-ID, E-Mail-Adresse, Kategorie, Betreff, Nachricht, Status, Antworten sowie sparsame technische Angaben wie Spielversion, betroffene Seite und gekürzte Browserkennung. Ein Spielstand wird nicht automatisch übertragen. Grundlage sind Art. 6 Abs. 1 lit. b und lit. f DSGVO; das berechtigte Interesse liegt in Fehlerbehebung und sicherem Testbetrieb.

Zusätzlich kann im Rasenregie-Discord ohne geöffnetes Spielkonto ein privater Ticketkanal angelegt werden. Dabei werden Discord-ID, Ticketnummer, Kategorie, Betreff, angegebene Spielversion und Gerät, freiwilliger Kontext, Beschreibung, Ergänzungen, Anhänge, Status, Bearbeiterkennung und Zeitpunkte verarbeitet. Formular- und Gesprächsinhalte bleiben im privaten Discord-Kanal; der Platzwart speichert lokal nur Kanal-, Rollen-, Nutzer- und Statuskennungen. Das Web-Ticketsystem und Discord werden nicht automatisch zusammengeführt. Discord verarbeitet die Nutzung seines Dienstes eigenständig nach seinen Datenschutzinformationen. Geschlossene Discord-Tickets werden nach 30 Tagen einschließlich lokaler Metadaten und zugehöriger Auditeinträge gelöscht. Die anfragende Person erhält nach Möglichkeit eine Direktnachricht ohne Ticketinhalt.

Bei E-Mails an info@rasenregie.de werden Absender, Empfänger, Betreff, Inhalt, Zeitpunkte und Zustellmetadaten verarbeitet. Grundlage ist Art. 6 Abs. 1 lit. b DSGVO bei Vertrags- und vorvertraglichen Anliegen, sonst Art. 6 Abs. 1 lit. f DSGVO. Unverschlüsselte E-Mail ist regelmäßig nicht Ende-zu-Ende verschlüsselt; Passwörter, Tokens und fremde personenbezogene Daten gehören deshalb nicht in eine Nachricht.

Datensparsame Betriebsereignisse

Rasenregie speichert höchstens einmal pro Konto, Ereignisart, grober Oberflächenklasse und Kalendertag, ob Spiel oder Hilfe geöffnet, eine Karriere begonnen, eine Partie oder Saison abgeschlossen, das 2D-Spiel angesehen, eine lokale Sicherung wiederhergestellt oder die Web-App installiert wurde. Daneben werden App-Version, Zeitpunkt und ausschließlich die grobe Klasse Desktop-Browser, Handy-Browser, installierte Desktop- oder Handy-Web-App beziehungsweise Android-Test-App gespeichert. Zweck sind Teststeuerung, Stabilitätsprüfung und zusammengefasste Produktkennzahlen auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO. Zusätzlich kann höchstens einmal täglich je Konto, Qualitätsart und Oberflächenklasse eine grobe Zustandsklasse „gut“, „beobachten“, „schlecht“ oder „fehlgeschlagen“ für Ladezeit, 2D-Bildfluss, lokale Sicherung, Cloud-Abgleich und Laufzeitstabilität entstehen. FPS-, Millisekunden- und Fehlertext-Rohwerte, Freitext und Spielstandinhalt werden dabei nicht übertragen. Exaktes Gerätemodell, Bildschirmauflösung und Browserkennung werden nicht als Betriebsereignis gespeichert. Es entstehen keine Werbe-ID, IP-Sammlung, Tastaturaufzeichnung, Standortspur oder Sitzungswiedergabe. Im Managerprofil kannst du jederzeit widersprechen oder eine Einschränkung beantragen. Nach Eingang werden neue optionale Betriebsereignisse und Qualitätssignale dieses Kontos nicht mehr gespeichert; vorhandene Daten werden aus diesen Produktauswertungen ausgeschlossen. Die Sperre bleibt auch nach Abschluss der Anfrage bestehen. Notwendige Sicherheits- und Bearbeitungsprotokolle sind davon getrennt.

Empfänger und Auftragsverarbeiter

Je nach Funktion werden folgende Anbieter eingesetzt:

• OpenAI Ireland Ltd.: OpenAI Sites Hosting, Wartung und Support.
• Cloudflare, Inc.: DNS, Netzwerk, Zugriffsschutz, Turnstile, Worker, D1-Datenbank und Transaktionsmail.
• Supabase, Inc.: Konto, Authentifizierung und Authentifizierungsprotokolle.
• ALL-INKL.COM - Neue Medien Münnich: Domain, E-Mail und Community-Webspace.
• Hetzner Online GmbH: unabhängige, verschlüsselte Sicherungskopien in einer Storage Box.
• GitHub Actions: private Entwicklungsprüfungen und zeitweilige Verarbeitung im automatischen Sicherungslauf.
• Discord Netherlands B.V.: eigenständig verantworteter Discord-Dienst bei freiwilliger Verbindung.

Im privaten GitHub-Repository werden keine produktiven Kontoinhalte, Datenbankkopien, E-Mails, Tickets oder Spielstände abgelegt. Der automatische Sicherungslauf verarbeitet jedoch einen Supabase-Datenbankexport vorübergehend auf einem GitHub-Actions-Runner. Er verschlüsselt das Sicherungspaket vor dem Versand an R2 und Hetzner; der Datenexport wird weder als Repository-Datei noch als herunterladbares Actions-Artefakt veröffentlicht. Anbieterinformationen: OpenAI Sites DPA, Cloudflare DPA, Supabase DPA, ALL-INKL.COM Datenschutz und Discord Datenschutz.

Der öffentliche Discord-Link öffnet Discord erst, wenn du ihn anklickst. Bei einer freiwilligen Kontoverbindung können Discord-Avatarbilder vom Discord-Bilddienst geladen werden. Dabei erhält dieser Dienst die für den Bildabruf notwendigen Verbindungsdaten. Cloudflare Turnstile wird nur in Formularen eingebunden, die diese Missbrauchsprüfung tatsächlich verwenden; es ist kein Werbetracker.

Drittlandübermittlungen

Global arbeitende Anbieter können Daten außerhalb des Europäischen Wirtschaftsraums verarbeiten. Soweit nötig beruhen Übermittlungen auf einem Angemessenheitsbeschluss einschließlich EU-US Data Privacy Framework oder auf EU-Standardvertragsklauseln mit ergänzenden Schutzmaßnahmen. Die Supabase-Region Frankfurt und die EU-Jurisdiktion der Test-D1 begrenzen den Datenbankstandort, schließen aber internationalen Netzwerk-, Sicherheits- oder Supportzugriff nicht vollständig aus. Kopien der einschlägigen Garantien können über den Datenschutzkontakt angefordert werden.

Konkrete Lösch- und Aufbewahrungsfristen

• Unbestätigte neue Vormerkungen: sieben Tage; bestätigte Vormerkungen spätestens 31. Dezember 2026.
• Cloud-Spielstände und Kontozugang: bis Vertragsende oder bestätigter Löschanfrage.
• Inaktive Freundesligen: zwölf Monate nach der letzten Ligaaktivität.
• Betriebsereignisse und grobe Qualitätssignale: 90 Tage.
• Offene Tickets ohne Aktivität: Abschluss nach zwölf Monaten; Löschung 180 Tage nach Abschluss.
• Geschlossene Discord-Supporttickets: Kanal, lokale Metadaten und zugehörige Auditeinträge nach 30 Tagen.
• Adminprotokoll: 180 Tage, ohne Nachrichteninhalt.
• OAuth- und SSO-Zustände: zehn Minuten gültig, spätestens nach 24 Stunden gelöscht.
• Discord-Zuordnung: bis zur Trennung; lokale Löschung unmittelbar bei Trennung.
• Kontomigrationssicherung: 30 Tage.
• Betroffenenanfragen: nach Abschluss pseudonymisiert, Nachweis nach drei Jahren gelöscht.
• Registrierungserklärungen und Sperre optionaler Produktauswertungen: bis zur Kontolöschung; der Nachweis einer bearbeiteten Datenschutzanfrage folgt der gesonderten Frist.
• Allgemeine E-Mail-Korrespondenz: sechs Monate nach Abschluss, sofern kein Geschäfts- oder Rechtsvorgang fortbesteht.
• Geschäftsbriefe: sechs Jahre; Buchungsbelege und Rechnungen: acht Jahre; Bücher und Jahresabschlüsse: zehn Jahre, soweit diese Pflichten tatsächlich greifen.

Supabase hält im aktiven Pro-Tarif tägliche Plattformsicherungen sieben Tage vor; Cloudflare D1 Time Travel beträgt im Paid-Tarif grundsätzlich 30 Tage. Zusätzlich entstehen clientseitig verschlüsselte, private Wiederherstellungsexporte in Cloudflare R2 und einer Hetzner Storage Box am deutschen Standort Falkenstein. Diese zusätzlichen Exportdateien werden in R2 und Hetzner planmäßig nach 30 Tagen durch den täglichen Sicherungslauf gelöscht. Die Automatik kontrolliert anschließend, ob die vorgesehenen Dateien entfernt wurden. Bei einer Betriebsstörung kann sich ein Lauf verzögern; fehlgeschlagene Läufe müssen nachbearbeitet werden. Die Storage Box hält zusätzlich bis zu zehn automatisch rotierende Sicherungsstände. Darin können bereits entfernte Exportdateien noch bis zum Ersatz des betreffenden Sicherungsstands enthalten sein; die 30-Tage-Frist ist deshalb keine Höchstfrist für sämtliche Sicherungskopien. Diese Exporte werden nicht regulär genutzt, sind nur mit einem getrennt verwahrten privaten Schlüssel lesbar und müssen nach einer Wiederherstellung bestätigte Löschungen erneut anwenden. Cloudflare Workers Logs enden spätestens nach sieben Tagen.

Auskunft, Export, Löschung und weitere Rechte

Soweit die Voraussetzungen vorliegen, bestehen Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch. Eine Einwilligung kann jederzeit für die Zukunft widerrufen werden. Im Managerprofil kann eine maschinenlesbare Datenauskunft direkt heruntergeladen und eine Kontolöschung mit Referenz und Monatsfrist angefordert werden. Lokale Browser-Spielstände werden zusätzlich im Spiel exportiert.

Vollständige Auskunfts- und Löschvorgänge schließen nach Identitätsprüfung auch Supabase, Discord, Community, E-Mail und Backup-Nachlauf ein. Anfragen werden unverzüglich, grundsätzlich innerhalb eines Monats beantwortet. Bei komplexen oder zahlreichen Anfragen kann die gesetzliche Verlängerung mit rechtzeitiger Begründung genutzt werden. Kontakt: info@rasenregie.de.

Beschwerden sind bei einer Datenschutzaufsichtsbehörde möglich, insbesondere bei der Landesbeauftragten für Datenschutz und Informationsfreiheit Nordrhein-Westfalen.

Schutz und Datenschutzverletzungen

Zugriffe werden serverseitig nach Konto und Rolle getrennt, Übertragungen verschlüsselt, öffentliche und geheime Schlüssel getrennt und produktive Daten vom Quellcode-Repository und von der Testdatenbank getrennt gehalten. Die zeitweilige Verarbeitung im Sicherungslauf ist oben beschrieben. Lösch-, Export-, Wiederherstellungs- und Berechtigungswege werden regelmäßig geprüft. Bei einer Datenschutzverletzung werden Umfang, Folgen und Maßnahmen dokumentiert; die Aufsicht wird bei meldepflichtigem Risiko möglichst innerhalb von 72 Stunden und betroffene Personen bei hohem Risiko unverzüglich informiert.

Kein Marketingtracking, keine KI-Entscheidung und 16+

Es gibt keine Werbeprofile, Marketinganalyse, personalisierten Tracker, Social-Pixel oder ausschließlich automatisierte Entscheidung mit rechtlicher oder vergleichbar erheblicher Wirkung. Die Beta-Auswahl entscheidet kein Algorithmus allein. Karriereeingaben, Tickets und Spielstände werden nicht an ein generatives KI-Modell zur Analyse oder zum Training gesendet.

Vormerkung und Beta richten sich an Personen ab 16 Jahren. Es wird kein Geburtsdatum erhoben, sondern nur die 16+-Bestätigung. Eine Öffnung für jüngere Personen erfolgt erst nach gesonderter Risiko- und Zustimmungsprüfung.

Generative KI wurde bei ausgewählten fiktiven Spielerporträts als Produktionswerkzeug eingesetzt. Diese Dateien enthalten keine absichtlich übernommenen Konto-, Karriere- oder Ticketdaten. Welche Inhalte betroffen sind und wie sie gekennzeichnet werden, erklärt die öffentliche Seite KI & Transparenz.

Freiwilliges Profil und Supporter-Käufe

Für Supporter-Rechnungen verarbeiten wir außerdem deinen Namen, die Rechnungsanschrift und die Bestätigung, dass du als Privatperson mit Wohnsitz in Deutschland kaufst. Diese Daten sind nicht öffentlich im Spielerprofil sichtbar. Nach bestätigter Zahlung übermitteln wir Rechnungsdaten, Paket, Betrag, Leistungsdatum und Zahlungsreferenz an Lexware Office (Haufe-Lexware GmbH & Co. KG), um die Rechnung zu erstellen und in deinem Konto als PDF bereitzustellen. Rechtsgrundlagen sind die Vertragsabwicklung nach Art. 6 Abs. 1 lit. b DSGVO und gesetzliche Buchführungs- und Aufbewahrungspflichten nach Art. 6 Abs. 1 lit. c DSGVO. Rechnungsbelege bleiben auch bei Kontolöschung nach den gesetzlichen Fristen aufbewahrt; die Verknüpfung zum Spielkonto wird getrennt. Die automatische Ausstellung wird erst nach Abschluss der Einrichtung aktiviert.

Du kannst einen Anzeigenamen, Lieblingsverein, einen kurzen Profiltext und ein Profilbild hinterlegen. Diese Angaben sind freiwillig und zunächst nur in deinem Konto und deiner eigenen Spielansicht sichtbar. Bilder werden auf einen kleinen Ausschnitt reduziert und ohne eingebettete Metadaten gespeichert. Du kannst die Angaben ändern oder leeren und das Bild entfernen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO für die von dir gewünschten Profilfunktionen.

Bei einem optionalen Supporter-Kauf verarbeiten wir Kontozuordnung, Paket, Betrag, Zeitpunkt, PayPal-Bestell- und Zahlungsreferenz sowie Zahlungsstatus. Zahlungsdaten wie Karten- oder Bankangaben gibst du direkt bei PayPal (Europe) S.à r.l. et Cie, S.C.A., Luxemburg, ein; sie werden nicht in Rasenregie gespeichert. Die Weitergabe an PayPal erfolgt erst beim Start des Checkouts. Zweck ist Kaufabwicklung, Freischaltung und gegebenenfalls Rückabwicklung, auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO. Für PayPal gilt zusätzlich dessen Datenschutzerklärung.

Bei freiwillig verbundenem Discord-Konto gleichen wir zusätzlich die erworbene Supporter-Rolle ab. Profilangaben und Profilbild werden nicht nach Discord übertragen. Zahlungsnachweise unterliegen gegebenenfalls gesetzlichen Aufbewahrungspflichten (Art. 6 Abs. 1 lit. c DSGVO); die spielbezogene Kontozuordnung wird bei einer Kontolöschung getrennt. Profil- und Bestelldaten sind in der Datenauskunft enthalten.