Privacy Policy / Datenschutzerklärung

In short

• The simulator runs in your browser. Nothing you enter there is sent to us.
• For the tracker we store your email, a password hash and the matches you log. Nothing else.
• No ads, no analytics, no tracking. Only strictly necessary cookies.
• You can export and delete all your data yourself on your account page at any time.

1. Controller

[FULL_NAME], [STREET], [POSTCODE_CITY], Germany. Email: [EMAIL]

2. What we process, why, and on which legal basis

2.1 Visiting the website

When you open a page, our hosting provider processes your IP address, the time, the requested address, the referrer and your browser's user agent so the page can be delivered and attacks can be detected. Legal basis: Art. 6(1)(f) GDPR (legitimate interest in a secure, working website). These server logs are kept by the hosting provider for a few days at most and are not combined with other data.

2.2 Odds simulator

The simulator runs entirely in your browser. We do not receive or store any simulator settings or results.

2.3 Account

To create an account we process your email address, a hash of your password (we never store the password itself), your time zone (so days are counted correctly), and the time you confirmed you are 16 or older. Legal basis: Art. 6(1)(b) GDPR (providing the service you signed up for). Providing an email address is required to create an account; without one we cannot offer the tracker.

2.4 Match entries

The matches you log: time, number of chests, and optionally duration, treasures found, whether it was a Treasure Hour match, and a short note. Legal basis: Art. 6(1)(b) GDPR. Please do not put personal information in notes.

2.5 Security

To protect accounts we keep: login sessions (a random identifier, the user, the expiry, and a keyed one-way hash of your IP address and user agent), rate-limit counters keyed by a keyed hash of your IP address or email, and a log of security events (for example sign-up, login, failed login, password change) with a keyed hash of the IP address. We never store raw IP addresses for these purposes. Legal basis: Art. 6(1)(f) GDPR (legitimate interest in preventing account takeover, abuse and fraud).

2.6 Bot protection

On the sign-up and password reset pages we use Cloudflare Turnstile to tell people from bots. Turnstile processes technical data such as your IP address and browser characteristics and does not set tracking cookies. Legal basis: Art. 6(1)(f) GDPR (protection against automated abuse).

2.7 Emails

We send only transactional emails: address confirmation, password reset, and notices about changes to your account. Legal basis: Art. 6(1)(b) GDPR. There is no newsletter.

2.8 Error monitoring

If a server error occurs, technical details (error message, affected function, time) are sent to Sentry. We configure it not to send personal data such as email addresses, cookies or IP addresses. Legal basis: Art. 6(1)(f) GDPR (keeping the service working). Nothing is sent from your browser.

2.9 Cookies and storage on your device

We use only strictly necessary cookies: a session cookie that keeps you logged in and a security cookie that protects forms against cross-site request forgery. Your browser also stores your colour theme choice and, for the tracker, matches waiting to be synced and the last view of your entries. All of this is strictly necessary for the functions you use (section 25(2) no. 2 TDDDG, formerly TTDSG), so no consent banner is needed. Details are in the Cookie notice. Logging out or deleting your account clears the tracker data on that device.

2.10 Donations

The donation link leads to an external platform. We do not receive your payment details. The platform's own privacy policy applies there.

3. Recipients and processors

We use the following service providers under data processing agreements (Art. 28 GDPR). Depending on how the site is deployed, either Vercel, Neon and Upstash or Hetzner are used.

Some of these companies are based in the USA. Where data may be transferred there, the transfer is based on the EU-US Data Privacy Framework adequacy decision (Art. 45 GDPR) for certified companies and, in addition, on the EU Standard Contractual Clauses (Art. 46(2)(c) GDPR). We choose EU data regions wherever the provider offers them.

4. How long we keep data

• Account and match data: until you delete your account. Deletion is immediate and permanent.
• Accounts whose email address was never confirmed: deleted after 7 days.
• Sessions: until you log out, at the latest 14 days after login (24 hours without activity).
• Rate-limit counters: up to 26 hours. Account lockout data: up to 24 hours.
• Security event log: 90 days.
• Confirmation and reset links: 24 hours and 30 minutes, single use.
• Server logs and error reports: as short as the provider allows, at most 30 days.
• Emails at the email provider: according to the provider's log retention, at most 30 days.
• Database backups: at most 30 days. Deleted accounts disappear from backups when the backups that contain them expire; backups are only used to recover from failures.

5. Your rights

You have the right to:

• access your data (Art. 15 GDPR) and receive it in a portable format (Art. 20): use Export on your account page;
• rectification (Art. 16): edit entries in the tracker, change your email on your account page;
• erasure (Art. 17): delete your account on your account page;
• restriction of processing (Art. 18);
• object to processing based on Art. 6(1)(f) GDPR on grounds relating to your particular situation (Art. 21);
• withdraw any consent you gave with effect for the future (Art. 7(3)). We currently do not rely on consent for any processing.

To exercise your rights, write to [EMAIL].

You also have the right to lodge a complaint with a data protection supervisory authority (Art. 77 GDPR), in particular in the member state of your residence, your place of work or the place of the alleged infringement. The authority responsible for us is the one of the German federal state in which the controller is based; a list is available from the Federal Commissioner for Data Protection (opens in a new tab).

6. No automated decisions

We do not use automated decision-making or profiling within the meaning of Art. 22 GDPR.

7. Changes

If we change how we process data, we update this page and the date at the top.

Datenschutzerklärung (Deutsch)

Kurz gesagt

• Der Simulator läuft in deinem Browser. Nichts, was du dort eingibst, wird an uns gesendet.
• Für den Tracker speichern wir deine E-Mail-Adresse, einen Passwort-Hash und die von dir erfassten Matches. Sonst nichts.
• Keine Werbung, keine Analyse, kein Tracking. Nur technisch notwendige Cookies.
• Du kannst alle deine Daten jederzeit selbst auf der Kontoseite exportieren und löschen.

1. Verantwortlicher

[FULL_NAME], [STREET], [POSTCODE_CITY], Germany. Email: [EMAIL]

2. Welche Daten wir verarbeiten, wozu und auf welcher Rechtsgrundlage

2.1 Aufruf der Website. Beim Aufruf einer Seite verarbeitet unser Hosting-Anbieter deine IP-Adresse, den Zeitpunkt, die aufgerufene Adresse, den Referrer und den User-Agent deines Browsers, um die Seite auszuliefern und Angriffe zu erkennen. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer sicheren, funktionierenden Website). Diese Server-Logs werden beim Hosting-Anbieter höchstens wenige Tage gespeichert und nicht mit anderen Daten zusammengeführt.

2.2 Simulator. Der Simulator läuft vollständig in deinem Browser. Wir erhalten und speichern keine Einstellungen oder Ergebnisse.

2.3 Konto. Für ein Konto verarbeiten wir deine E-Mail-Adresse, einen Hash deines Passworts (nie das Passwort selbst), deine Zeitzone (damit Tage richtig gezählt werden) und den Zeitpunkt, an dem du bestätigt hast, dass du mindestens 16 Jahre alt bist. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Bereitstellung des Dienstes). Ohne E-Mail-Adresse können wir kein Konto anlegen.

2.4 Matcheinträge. Die von dir erfassten Matches: Zeitpunkt, Anzahl der Truhen und optional Dauer, gefundene Schätze, ob es ein Treasure-Hour-Match war, und eine kurze Notiz. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Bitte trage keine personenbezogenen Daten in Notizen ein.

2.5 Sicherheit. Zum Schutz der Konten speichern wir: Anmeldesitzungen (eine zufällige Kennung, das Konto, das Ablaufdatum und einen schlüsselbasierten Einweg-Hash von IP-Adresse und User-Agent), Zähler zur Ratenbegrenzung mit einem schlüsselbasierten Hash der IP-Adresse oder E-Mail sowie ein Protokoll sicherheitsrelevanter Ereignisse (z. B. Registrierung, Anmeldung, fehlgeschlagene Anmeldung, Passwortänderung) mit einem schlüsselbasierten Hash der IP-Adresse. Rohe IP-Adressen speichern wir dafür nie. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Abwehr von Kontoübernahmen, Missbrauch und Betrug).

2.6 Botschutz. Auf den Seiten zur Registrierung und zum Zurücksetzen des Passworts nutzen wir Cloudflare Turnstile, um Menschen von Bots zu unterscheiden. Turnstile verarbeitet technische Daten wie IP-Adresse und Browsermerkmale und setzt keine Tracking-Cookies. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Schutz vor automatisiertem Missbrauch).

2.7 E-Mails. Wir versenden nur Transaktions-E-Mails: Adressbestätigung, Passwort-Zurücksetzen und Hinweise zu Änderungen an deinem Konto. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Es gibt keinen Newsletter.

2.8 Fehlerüberwachung. Tritt auf dem Server ein Fehler auf, werden technische Angaben (Fehlermeldung, betroffene Funktion, Zeitpunkt) an Sentry gesendet. Wir haben Sentry so eingestellt, dass keine personenbezogenen Daten wie E-Mail-Adressen, Cookies oder IP-Adressen übermittelt werden. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Aus deinem Browser wird nichts gesendet.

2.9 Cookies und Speicherung auf deinem Gerät. Wir verwenden nur technisch notwendige Cookies: ein Sitzungscookie, das dich angemeldet hält, und ein Sicherheitscookie gegen Cross-Site-Request-Forgery. Außerdem speichert dein Browser deine Farbschema-Wahl und für den Tracker noch nicht synchronisierte Matches sowie die letzte Ansicht deiner Einträge. All das ist für die von dir genutzten Funktionen unbedingt erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG, früher TTDSG); eine Einwilligung ist daher nicht nötig. Details im Cookie-Hinweis. Abmelden oder Konto löschen entfernt die Tracker-Daten auf diesem Gerät.

2.10 Spenden. Der Spendenlink führt zu einer externen Plattform. Wir erhalten keine Zahlungsdaten. Dort gilt die Datenschutzerklärung der Plattform.

3. Empfänger und Auftragsverarbeiter

Wir setzen folgende Dienstleister auf Grundlage von Verträgen zur Auftragsverarbeitung (Art. 28 DSGVO) ein. Je nach Betriebsvariante werden entweder Vercel, Neon und Upstash oder Hetzner genutzt.

Einige dieser Unternehmen haben ihren Sitz in den USA. Soweit Daten dorthin übermittelt werden können, erfolgt dies auf Grundlage des Angemessenheitsbeschlusses zum EU-US Data Privacy Framework (Art. 45 DSGVO) für zertifizierte Unternehmen und zusätzlich der EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO). Wo Anbieter EU-Regionen anbieten, nutzen wir diese.

4. Speicherdauer

• Konto- und Matchdaten: bis du dein Konto löschst. Die Löschung erfolgt sofort und endgültig.
• Konten mit nie bestätigter E-Mail-Adresse: Löschung nach 7 Tagen.
• Sitzungen: bis zur Abmeldung, spätestens 14 Tage nach der Anmeldung (24 Stunden ohne Aktivität).
• Zähler zur Ratenbegrenzung: bis zu 26 Stunden. Daten zur Kontosperre: bis zu 24 Stunden.
• Protokoll sicherheitsrelevanter Ereignisse: 90 Tage.
• Bestätigungs- und Zurücksetzungslinks: 24 Stunden bzw. 30 Minuten, einmal nutzbar.
• Server-Logs und Fehlerberichte: so kurz wie beim Anbieter möglich, höchstens 30 Tage.
• E-Mails beim E-Mail-Anbieter: gemäß dessen Protokollaufbewahrung, höchstens 30 Tage.
• Datenbank-Sicherungen: höchstens 30 Tage. Gelöschte Konten verschwinden aus den Sicherungen, wenn diese ablaufen; Sicherungen dienen nur der Wiederherstellung nach Ausfällen.

5. Deine Rechte

Du hast das Recht auf:

• Auskunft (Art. 15 DSGVO) und Datenübertragbarkeit (Art. 20): Export auf deiner Kontoseite;
• Berichtigung (Art. 16): Einträge im Tracker bearbeiten, E-Mail auf der Kontoseite ändern;
• Löschung (Art. 17): Konto auf der Kontoseite löschen;
• Einschränkung der Verarbeitung (Art. 18);
• Widerspruch gegen Verarbeitungen auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO aus Gründen, die sich aus deiner besonderen Situation ergeben (Art. 21);
• Widerruf einer erteilten Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3). Derzeit stützen wir keine Verarbeitung auf eine Einwilligung.

Zur Ausübung deiner Rechte schreibe an [EMAIL].

Du hast außerdem das Recht, dich bei einer Datenschutz-Aufsichtsbehörde zu beschweren (Art. 77 DSGVO), insbesondere in dem Mitgliedstaat deines Aufenthaltsorts, deines Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes. Zuständig für uns ist die Aufsichtsbehörde des Bundeslands, in dem der Verantwortliche seinen Sitz hat; eine Liste gibt es beim Bundesbeauftragten für den Datenschutz (opens in a new tab).

6. Keine automatisierten Entscheidungen

Wir nutzen keine automatisierte Entscheidungsfindung oder Profiling im Sinne von Art. 22 DSGVO.

7. Änderungen

Wenn sich die Verarbeitung ändert, aktualisieren wir diese Seite und das Datum oben.