Datenschutzerklärung
Hier steht vollständig, welche Daten beim Spielen von Runenwacht anfallen, wo sie liegen und wann sie gelöscht werden. Runenwacht ist eine frühe Testversion.
1. Verantwortliche
Ümran Kaya, Schmachthäger Straße 60, 22309 Hamburg, Deutschland
E-Mail: hello@realhopedied.com
2. Grundsätze
Runenwacht verzichtet auf Tracking, Analysewerkzeuge, Werbung, Social-Media-Plugins, externe Schriftarten und Content-Delivery-Netzwerke. Alle Dateien (Seiten, Skripte, Grafiken) kommen vom eigenen Server. Die Content Security Policy des Servers erlaubt dem Browser nur Verbindungen zum eigenen Server. Wir fragen keine E-Mail-Adresse, keinen echten Namen und kein Geburtsdatum ab. Es gibt keinen Chat und keine Nachrichten zwischen Spielern.
3. Hosting und Serverstandort
Das Spiel läuft auf einem virtuellen Server der netcup GmbH, Emmy-Noether-Straße 10, 76131 Karlsruhe. Der Server steht in einem Rechenzentrum in Nürnberg, Deutschland. netcup verarbeitet die Daten auf diesem Server in unserem Auftrag. Mit netcup besteht ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO. Eine Übermittlung in Länder außerhalb der EU findet nicht statt.
4. Verschlüsselung und Zertifikat
Die Verbindung ist per HTTPS verschlüsselt. Aufrufe über HTTP werden auf HTTPS umgeleitet. Das Zertifikat stellt Let's Encrypt (Internet Security Research Group, USA) aus. Dabei wird nur der Domainname des Spiels übermittelt, keine Daten von Besuchern. Dein Browser baut beim Spielen keine Verbindung zu Let's Encrypt auf.
5. Server-Protokolle
Zugriffsprotokolle: Der Webserver (Caddy) führt kein Zugriffsprotokoll. Normale Aufrufe werden also nicht mit IP-Adresse gespeichert.
Fehlerprotokolle: Tritt bei einer Anfrage ein Fehler im Webserver auf (zum Beispiel weil der Spielserver gerade neu startet), schreibt Caddy einen Eintrag in das Systemprotokoll (systemd-journald). Dieser Eintrag kann IP-Adresse und Port, Datum und Uhrzeit, Methode und aufgerufene Adresse sowie die mitgesendeten Kopfzeilen der Anfrage enthalten, etwa die Browserkennung (User-Agent). Cookies und Zugangsdaten schwärzt Caddy dabei. Außerdem protokolliert Caddy die Ausstellung und Erneuerung des Zertifikats. Der Spielserver selbst schreibt nur Start- und Fehlermeldungen ohne IP-Adressen in das Systemprotokoll.
Server-Zugang: Verbindungsversuche zum Wartungszugang des Servers (SSH) werden mit IP-Adresse im Systemprotokoll vermerkt. Zum Schutz vor Angriffen sperrt fail2ban IP-Adressen nach 5 fehlgeschlagenen Anmeldeversuchen innerhalb von 10 Minuten für 1 Stunde. fail2ban speichert diese IP-Adressen in seiner Datenbank 1 Tag und in seiner Protokolldatei höchstens 14 Tage. Für Spieler ist das nicht relevant, da das Spiel diesen Zugang nicht nutzt.
Speicherdauer: Das Systemprotokoll wird nach 14 Tagen automatisch gelöscht. Wir werten die Protokolle nicht für Statistiken aus und nutzen sie nur zur Fehlersuche und Abwehr von Angriffen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO, unser berechtigtes Interesse ist ein sicherer und stabiler Betrieb.
6. Schutz vor zu vielen Anmeldeversuchen
Bei Registrierung, Login und Kontolöschung zählt der Spielserver die Anfragen pro IP-Adresse (höchstens 30 in 10 Minuten). Die IP-Adresse liegt dafür nur im Arbeitsspeicher, wird nicht auf die Festplatte geschrieben, nach Ablauf der 10 Minuten verworfen und spätestens bei einem Neustart des Servers gelöscht. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (Schutz der Konten vor dem Erraten von Passwörtern).
7. Spielkonto
Für ein Konto speichern wir in der Datenbank auf dem Server:
- deinen Spielernamen (zusätzlich in Kleinschreibung, damit jeder Name nur einmal vergeben wird),
- dein Passwort nur als gesalzenen scrypt-Hash, nie im Klartext,
- den Zeitpunkt der Registrierung (für den 72 Stunden Neulingsschutz),
- den Spielstand: Gold, Erfahrung, Stufe, Position und Stufe deines Hofs auf der Weltkarte, Abklingzeit für den Weltboss,
- deine Gegenstände mit Werten, Zustand und Erstellungszeitpunkt,
- deine Expeditionen mit Ziel, Start, Ende, Abholzeitpunkt und Ergebnis,
- deinen Schaden und die Zahl deiner Treffer an jedem Weltboss sowie ob du die Belohnung abgeholt hast,
- für jede Anmeldung einen SHA-256-Hash des Sitzungsschlüssels und dessen Ablaufzeitpunkt.
Nicht gespeichert werden: IP-Adresse, E-Mail-Adresse, Zeitpunkt des letzten Logins, Gerätedaten.
Für andere Spieler sichtbar: Eingeloggte Spieler sehen auf der Weltkarte deinen Spielernamen, deine Stufe sowie Position und Stufe deines Hofs. In der Rangliste des Weltbosses (die ersten 10) erscheinen Spielername, Schaden und Zahl der Treffer. Wähle deshalb einen Namen, der nicht auf deine Person schließen lässt.
Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Bereitstellung des Spiels, für das du dich angemeldet hast). Ohne Spielername und Passwort ist kein Konto möglich.
8. Cookie
Nach Registrierung oder Login setzt der Server ein einziges Cookie (__Host-rw_sid). Es enthält nur einen zufälligen Sitzungsschlüssel, ist httpOnly (für Skripte nicht lesbar), nur über HTTPS gültig, SameSite=Strict und läuft nach 7 Tagen ab. Beim Abmelden und bei der Kontolöschung wird es entfernt. Auf dem Server liegt nur ein Hash des Schlüssels, abgelaufene Sitzungen werden bei späteren Anmeldungen gelöscht. Das Cookie ist für den Login unbedingt erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG), deshalb braucht es keine Einwilligung und es gibt kein Cookie-Banner. Weitere Cookies, localStorage oder vergleichbare Speicher nutzt das Spiel nicht.
9. Mindestalter
Bei der Registrierung musst du bestätigen: „Ich bin mindestens 16 Jahre alt und habe die Datenschutzhinweise gelesen.“ Ohne diese Bestätigung lehnt der Server die Registrierung ab. Die Bestätigung selbst wird nicht gespeichert und dein Alter wird nicht abgefragt oder geprüft.
10. Speicherdauer und Löschung
Deine Kontodaten bleiben gespeichert, bis du das Konto löschst. Du kannst es jederzeit im Spiel unter „Konto“ mit deinem Passwort selbst löschen. Dabei werden dein Spielerdatensatz, deine Sitzungen, Gegenstände, Expeditionen und Weltboss-Einträge sofort und vollständig aus der Datenbank entfernt. Dein Hof verschwindet von der Karte und dein Name wird wieder frei. Alternativ löschen wir dein Konto auf Anfrage per E-Mail.
Sicherungen: Der Server legt täglich um 4:15 Uhr eine Sicherung der Datenbank an, die auf demselben Server bleibt. Sicherungen werden nach 14 Tagen automatisch gelöscht. Ein gelöschtes Konto kann deshalb noch höchstens 15 Tage in diesen Sicherungen liegen. Wir greifen nur zur Wiederherstellung nach einem Fehler darauf zu. Wird ein Konto gelöscht und danach eine Sicherung eingespielt, löschen wir es erneut.
Eine automatische Löschung inaktiver Konten gibt es in der Testphase noch nicht. Wird das Spiel eingestellt, löschen wir die Datenbank und alle Sicherungen.
11. Deine Rechte
Du hast das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch gegen Verarbeitungen auf Grundlage von Art. 6 Abs. 1 lit. f (Art. 21 DSGVO). Schreib dazu an hello@realhopedied.com und nenne deinen Spielernamen. Eine automatisierte Entscheidung im Sinne von Art. 22 DSGVO findet nicht statt.
Du kannst dich bei einer Aufsichtsbehörde beschweren, zum Beispiel beim Hamburgischen Beauftragten für Datenschutz und Informationsfreiheit, Ludwig-Erhard-Straße 22, 20459 Hamburg.
Stand: November 2026, Testversion von Runenwacht.