Datenschutzerklärung Faceoff27

Stand: 5. November 2026

Faceoff27 ist ein Eishockeyspiel im Browser. Hier steht in einfachen Worten, welche Daten wir verarbeiten, wozu, auf welcher Rechtsgrundlage, wer sie sonst noch bekommt, wie lange wir sie behalten und welche Rechte du hast (Art. 13 DSGVO).

Kurz gesagt

• Die Spielmodi gegen den Computer laufen ganz in deinem Browser. Dafür brauchst du kein Konto, und wir bekommen keine Spieldaten.
• Wir haben kein seitenübergreifendes Tracking, keine Werbung und keine fremden Analyse-Werkzeuge. Eine eigene, anonyme Nutzungsstatistik ohne Cookies und ohne Speicherung von IP-Adressen zählt Besuche und Spiele (Abschnitt 2.6). Wir verkaufen keine Daten. Es gibt keinen Cookie-Banner, weil wir auf deinem Gerät nur technisch unbedingt nötige Speicher verwenden.
• Bei Online-Spielen sind die Geräte direkt verbunden. Deine Mitspieler sehen dann deine IP-Adresse.
• Ein Konto brauchst du nur für die Freundes-Liga (Abschnitt 2.8). Dafür speichern wir deine E-Mail-Adresse, deinen Spielernamen und deine Liga-Ergebnisse. Du kannst deine Daten im Konto jederzeit herunterladen und das Konto selbst löschen.
• Für Käufe gilt diese Erklärung erst, wenn diese Funktion freigeschaltet ist. Vorher ergänzen wir sie.

1. Wer ist verantwortlich?

Thomas Beirer-Hippler, Anschrift siehe Impressum
E-Mail: kontakt@faceoff27.de

Für alle Fragen zum Datenschutz und für deine Anfragen (Abschnitt 7) schreibst du an kontakt@faceoff27.de oder nutzt das Kontaktformular.

Einen Datenschutzbeauftragten haben wir nicht benannt, weil wir dazu nicht verpflichtet sind (Art. 37 DSGVO, § 38 BDSG).

2. Welche Daten wir verarbeiten, wozu und auf welcher Grundlage

2.1 Aufruf der Webseite

• Die Webseite (faceoff27.de mit Startseite und play.faceoff27.de mit dem Spiel) und die Spieldateien liefert unser Server bei Hetzner in Deutschland aus. Die Startseite setzt keine Cookies und lädt nichts von fremden Servern.
• Dabei fallen technisch nötige Daten an: IP-Adresse, Zeitpunkt, aufgerufene Adresse, Statuscode, übertragene Datenmenge, Browser-Angaben (User-Agent) und die verweisende Seite.
• Diese Daten stehen im Zugriffsprotokoll des Servers. Wir nutzen sie nur zur Fehlersuche und zur Abwehr von Angriffen und werten sie nicht für andere Zwecke aus.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist eine sichere und stabile Auslieferung der Seite.
• Speicherdauer: 14 Tage, danach automatisch gelöscht.

2.2 Spielen ohne Konto und Speicher im Browser

• Freundschaftsspiel, Saison, Turnier und Training laufen vollständig in deinem Browser.
• Einstellungen, Spielstände (auch Karriere-Statistik, Rekorde, Erfolge, ein laufender Pokal und die Ergebnisse der Tagesaufgabe der letzten 60 Tage), Tastenbelegung, dein lokales Team, welche Spielhinweise du schon gesehen hast, welches Update im Entwicklertagebuch du zuletzt gelesen hast, ob du die Tipps zum Hosten auf dem Handy und die Anleitung zu Schnipp-Hockey schon gesehen hast und ob du den Hinweis zu Online-Spielen schon bestätigt hast, speichert der Browser in seinem lokalen Speicher (localStorage) auf deinem Gerät. Diese Daten werden nicht an uns geschickt.
• Damit der Browser diese Spielstände nicht nach einiger Zeit von selbst löscht, bitten wir ihn einmal, sie dauerhaft zu behalten (persistenter Speicher). Mit „Spielstand sichern“ kannst du sie als Datei auf deinem Gerät speichern und später wieder laden; diese Datei erstellst nur du, sie geht nicht an uns.
• Du kannst sie jederzeit löschen: im Spiel unter „Einstellungen → Lokale Daten“ oder über die Browser-Einstellungen.
• Rechtsgrundlage für das Speichern auf deinem Gerät: § 25 Abs. 2 Nr. 2 TDDDG. Eine Einwilligung ist nicht nötig, weil das Speichern unbedingt erforderlich ist, damit das Spiel deine Einstellungen und Spielstände behalten kann, wie du es ausdrücklich willst. Wir speichern dort nichts für Werbung, Statistik oder Wiedererkennung.

2.3 Online-Spiele (Verbindung zwischen den Geräten)

• Online-Partien laufen direkt zwischen den Browsern (Peer-to-Peer, WebRTC). Ein Browser ist der Host.
• Deine Mitspieler sehen dabei deine IP-Adresse, und du ihre. Aus einer IP-Adresse lässt sich oft ungefähr der Ort und der Internetanbieter ablesen.
• Damit die Verbindung zustande kommt:
  • fragt dein Browser einen öffentlichen STUN-Server von Google. Google sieht dabei deine IP-Adresse;
  • vermittelt unser Signalserver kurz den Verbindungsaufbau. Er verarbeitet deine IP-Adresse für den Raum und für den Schutz vor Missbrauch (Begrenzung der Anfragen). Er speichert keine Spielinhalte;
  • leitet, wenn keine direkte Verbindung möglich ist (z. B. in Mobilfunk- oder Firmennetzen), ein Relay-Server von Cloudflare (TURN) die Spieldaten verschlüsselt weiter. Cloudflare sieht dabei deine IP-Adresse, aber nicht die Spielinhalte. Deine Mitspieler sehen in diesem Fall nur die Adresse des Relays. Die Zugangsdaten dafür holt dein Browser kurz vor der Partie bei unserem Server ab; der zählt dazu deine IP-Adresse nur im Arbeitsspeicher (Missbrauchsschutz).
• Vor dem ersten Online-Spiel zeigen wir dir dazu einen Hinweis.
• Handy als Controller: Koppelst du dein Handy per QR-Code mit dem Spiel auf deinem Computer, verbinden sich beide Geräte auf dieselbe Weise direkt miteinander. Dein Computer sieht dabei die IP-Adresse deines Handys. Die Tastendrücke gehen nur an deinen Computer, nicht an uns.
• Zweck: die Partie möglich machen, die du starten willst.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO; für den Missbrauchsschutz Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem sicheren Dienst).

2.4 Kontakt per E-Mail und Kontaktformular

• Wenn du uns schreibst, verarbeiten wir deine E-Mail-Adresse, deinen Namen (falls angegeben) und den Inhalt deiner Nachricht.
• Das Kontaktformular speichert deine Nachricht nicht auf unserem Server. Es schickt sie als E-Mail an unser Postfach, über den Versanddienst Brevo (Abschnitt 3). Für den Schutz vor Missbrauch merkt sich der Server deine IP-Adresse kurz im Arbeitsspeicher (höchstens eine Stunde).
• Mails an kontakt@faceoff27.de leitet Cloudflare an unser Postfach bei Google weiter (Abschnitt 3).
• Zweck: deine Anfrage beantworten.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, wenn es um die Nutzung des Spiels geht; sonst Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse, Anfragen zu beantworten).
• Speicherdauer: Wir löschen die Nachricht, wenn deine Anfrage erledigt ist, spätestens nach 2 Jahren, außer eine gesetzliche Pflicht verlangt eine längere Aufbewahrung.

2.5 Technische Protokolle des Servers

• Die Dienste auf unserem Server schreiben technische Protokolle für Fehlersuche und Sicherheit. Darin können IP-Adressen und Zeitpunkte stehen.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (sicherer, stabiler Betrieb).
• Speicherdauer: 14 Tage, danach automatisch gelöscht.

2.6 Anonyme Nutzungsstatistik

• Um zu sehen, wie das Spiel genutzt wird, zählen wir Besuche und Spiele. Dafür speichern oder lesen wir nichts auf deinem Gerät (keine Cookies, kein localStorage, kein Fingerprinting).
• Beim Laden der Seite sowie bei Spielbeginn und -ende schickt dein Browser an unseren Server: die Domain der verweisenden Seite (ohne Pfad), utm_source/utm_campaign aus dem Link, die Geräteklasse (Handy/Tablet/Desktop), ob das Spiel vom Home-Bildschirm gestartet wurde, den Spielmodus, die Spieldauer, ob das Spiel beendet oder abgebrochen wurde, das Eingabegerät (Tastatur/Gamepad/Touch) und wie lange die Seite sichtbar war. Eingaben und Spielinhalte werden nicht übertragen.
• Wir speichern keine IP-Adressen. Der Server bildet aus deiner IP-Adresse, dem User-Agent und einem zufälligen Tageswert einen Prüfwert (Hash). Der Tageswert liegt nur im Arbeitsspeicher und wird täglich verworfen. So können wir Besucher eines Tages zählen, dich aber nicht über Tage wiedererkennen. Aus dem User-Agent speichern wir nur die Browserfamilie. Ein Land oder einen Ort ermitteln wir nicht.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist, das Spiel und den Server nach dem tatsächlichen Bedarf zu verbessern. Weil nichts auf deinem Gerät gespeichert oder ausgelesen wird, ist keine Einwilligung nach § 25 TDDDG nötig. Du kannst jederzeit widersprechen (Abschnitt 7).
• Speicherdauer: Einzelereignisse mit Tages-Hash höchstens 30 Tage, danach nur zusammengefasste Tageszahlen ohne Bezug zu einzelnen Besuchern.

2.8 Konto und Freundes-Liga

Ein Konto ist freiwillig. Du brauchst es nur, um mit Freunden in einer Liga zu spielen. Konten gibt es ab 16 Jahren; beim ersten Anmelden bestätigst du das.

Welche Daten

• E-Mail-Adresse: für die Anmeldung. Ein Passwort gibt es nicht. Wir schicken dir bei jeder Anmeldung einen Code und einen Link per E-Mail. Codes und Links speichern wir nur als Prüfwert (Hash), nie im Klartext. Sie gelten 10 Minuten und nur einmal.
• Altersbestätigung: dass du mindestens 16 bist, und wann du das bestätigt hast. Ein Geburtsdatum fragen wir nicht ab.
• Spielername: den du selbst wählst. Andere Mitglieder deiner Ligen sehen ihn in Spielplan und Tabelle. Du kannst ihn höchstens alle 30 Tage ändern.
• Anmeldungen (Sitzungen): Nach dem Anmelden setzt der Server ein Cookie namens __Host-fo27_sid. Es enthält nur eine Zufallszahl, mit der der Server dich wiedererkennt, und ist für die Anmeldung technisch unbedingt nötig. Wir speichern davon nur einen Prüfwert, dazu Zeitpunkt der Anmeldung und der letzten Nutzung und eine grobe Geräteangabe (die ersten 64 Zeichen des User-Agents), damit du im Konto siehst, wo du angemeldet bist, und dich dort abmelden kannst.
• Ligadaten: Name und Einstellungen der Liga, Mitglieder, gewähltes Team, Einladungen, Spielplan, gemeldete Ergebnisse, Bestätigungen, Einsprüche mit deiner Begründung, Entscheidungen des Liga-Besitzers und die Tabelle. Das sehen die Mitglieder der jeweiligen Liga.
• Spielprotokolle: Wer eine Ligapartie hostet, schickt nach dem Spiel ein Protokoll an unseren Server. Es enthält die Eingaben beider Spieler, die Spielkonfiguration (Teams, Spielernamen, Zufallswert der Partie) und Prüfwerte des Spielzustands. Damit können wir eine Partie bei Streit oder als Stichprobe auf unserem Server nachrechnen und prüfen, ob das gemeldete Ergebnis stimmt. Das Ergebnis der Nachrechnung sehen die beiden Spieler und der Liga-Besitzer als Hinweis. Es ändert eine Wertung nicht automatisch; darüber entscheidet der Liga-Besitzer.
• Aktivitätsprotokoll: Konto- und Liga-Aktionen (z. B. Konto angelegt, Liga erstellt, Ergebnis gemeldet) mit Zeitpunkt, zur Nachvollziehbarkeit bei Streit und Missbrauch.
• Missbrauchsschutz: Für die Begrenzung von Anmeldeversuchen nutzt der Server deine IP-Adresse nur im Arbeitsspeicher. Wir speichern sie nicht beim Konto.

Zweck und Rechtsgrundlage

• Konto, Anmeldung, Spielername, Liga, Ergebnisse und Spielprotokolle: damit du die Freundes-Liga nutzen kannst, die du anlegst oder der du beitrittst. Art. 6 Abs. 1 lit. b DSGVO (Vertrag über die Nutzung des Spiels).
• Altersbestätigung, Nachrechnen von Partien, Aktivitätsprotokoll und Missbrauchsschutz: Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist ein fairer, sicherer Ligabetrieb und dass wir nachweisen können, dass Konten nur ab 16 angelegt werden.
• Das Sitzungs-Cookie ist für den von dir gewünschten Dienst unbedingt erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG). Eine Einwilligung ist dafür nicht nötig. Wir nutzen es für nichts anderes.

Wer die Daten bekommt

• Hetzner (Server in Deutschland) speichert alle Konto- und Ligadaten als unser Auftragsverarbeiter.
• Brevo verschickt die Mails mit den Anmeldecodes. Brevo sieht dabei deine E-Mail-Adresse und den Inhalt der Mail.
• Andere Mitglieder deiner Ligen sehen deinen Spielernamen, dein Team, deine Spiele und Ergebnisse, Einsprüche und Entscheidungen in dieser Liga. Deine E-Mail-Adresse sehen sie nicht.

Wie lange

• Konto (E-Mail-Adresse, Spielername, Altersbestätigung): bis du das Konto löschst.
• Anmeldecodes: Deine Adresse im Klartext entfernen wir beim Code mit der Einlösung, sonst spätestens eine Stunde nach dessen Ablauf; den Rest (nur Prüfwerte) nach 24 Stunden.
• Sitzungen: Eine Anmeldung endet nach 180 Tagen ohne Nutzung, spätestens nach 365 Tagen, oder wenn du dich abmeldest. Danach wird sie nach 7 Tagen gelöscht. Das Cookie läuft spätestens dann im Browser ab.
• Spielprotokolle: 14 Tage nach dem Hochladen. Läuft zu der Partie noch ein Einspruch, bleibt das Protokoll, bis der Liga-Besitzer entschieden hat, und wird danach automatisch gelöscht.
• Ligadaten und Ergebnisse: solange die Liga besteht.
• Aktivitätsprotokoll: 90 Tage.
• Datensicherungen: Gelöschte Daten können noch bis zu 30 Tage in unseren verschlüsselten Sicherungen stehen, dann sind sie auch dort weg.

Konto löschen und Daten herunterladen

• Im Konto kannst du unter „Meine Daten“ alle gespeicherten Daten als Datei herunterladen (Art. 15 und 20 DSGVO).
• Unter „Konto löschen“ löschst du dein Konto selbst. Zur Sicherheit fragen wir dazu einen frischen Code per E-Mail ab, wenn deine letzte Anmeldung länger als 15 Minuten her ist.
• Beim Löschen entfernen wir sofort deine E-Mail-Adresse, deinen Spielernamen, deine Altersbestätigung, alle Anmeldungen und offenen Codes. Ligen, die noch nicht begonnen haben, verlässt du. Eine eigene Liga geht an das Mitglied über, das am längsten dabei ist.
• In laufenden oder beendeten Ligen bleiben die Spiele und Ergebnisse stehen, weil die anderen Mitglieder sie für Spielplan und Tabelle brauchen. Sie erscheinen dann unter „Gelöschter Spieler“, ohne Namen und ohne E-Mail-Adresse. Es bleibt nur eine interne Zufallskennung, damit die Tabelle stimmt.

2.9 Kein Profiling, keine automatisierten Entscheidungen

Wir bilden keine Profile über dich, zeigen keine Werbung und treffen keine automatisierten Einzelentscheidungen im Sinn von Art. 22 DSGVO. Auch das Nachrechnen von Ligapartien (Abschnitt 2.8) entscheidet nichts automatisch; es ist nur ein Hinweis für den Liga-Besitzer.

3. Wer deine Daten sonst noch bekommt

Mit den Auftragsverarbeitern haben wir einen Vertrag nach Art. 28 Abs. 3 DSGVO geschlossen bzw. gelten deren Standardverträge zur Auftragsverarbeitung.

Übermittlung in Drittländer

• USA (Cloudflare, Google): Die EU-Kommission hat für Firmen, die nach dem EU-U.S. Data Privacy Framework zertifiziert sind, einen angemessenen Schutz festgestellt (Angemessenheitsbeschluss vom 10. 7. 2023, Art. 45 DSGVO). Cloudflare und Google sind zertifiziert. Zusätzlich gelten die Standardvertragsklauseln der Anbieter (Art. 46 Abs. 2 lit. c DSGVO).
• Mitspieler in anderen Staaten: Deine IP-Adresse geht bei Online-Spielen direkt an das Gerät deines Mitspielers, egal wo er wohnt. Das ist für die Partie, die du starten willst, erforderlich (Art. 49 Abs. 1 lit. b DSGVO).

4. Wie lange wir Daten behalten

5. Sicherheit

• Verbindungen zu unserem Server sind verschlüsselt (HTTPS). Online-Partien laufen über verschlüsselte WebRTC-Verbindungen.
• Der Server steht in Deutschland, bekommt automatisch Sicherheitsupdates und ist nur mit Schlüssel erreichbar. Zugriff hat nur Thomas Beirer-Hippler.
• Kommt es trotzdem zu einer Verletzung des Schutzes personenbezogener Daten, melden wir sie innerhalb von 72 Stunden der Aufsichtsbehörde, außer sie führt voraussichtlich nicht zu einem Risiko (Art. 33 DSGVO). Bei voraussichtlich hohem Risiko benachrichtigen wir auch dich (Art. 34 DSGVO).

6. Pflicht zur Bereitstellung

Du musst uns keine Daten geben. Ohne IP-Adresse können wir die Seite aber technisch nicht ausliefern und keine Online-Verbindung herstellen. Ohne E-Mail-Adresse können wir dir auf eine Anfrage nicht antworten und kein Konto für die Freundes-Liga anlegen.

7. Deine Rechte

Du hast nach der DSGVO das Recht auf:

• Auskunft über deine Daten (Art. 15),
• Berichtigung falscher Daten (Art. 16),
• Löschung (Art. 17),
• Einschränkung der Verarbeitung (Art. 18),
• Datenübertragbarkeit (Art. 20),
• Widerspruch gegen Verarbeitungen, die auf unserem berechtigten Interesse beruhen (Art. 21 Abs. 1). Dann verarbeiten wir die Daten dafür nicht mehr, außer wir haben zwingende schutzwürdige Gründe, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.

Schreib dazu an kontakt@faceoff27.de. Mit Konto kannst du Auskunft, Datenübertragbarkeit, Berichtigung (Spielername) und Löschung auch direkt im Spiel unter „Konto“ erledigen.

Beschwerde bei einer Aufsichtsbehörde (Art. 77 DSGVO): Du kannst dich bei jeder Datenschutz-Aufsichtsbehörde beschweren, zum Beispiel bei der für uns zuständigen:
Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg, Lautenschlagerstraße 20, 70173 Stuttgart, https://www.baden-wuerttemberg.datenschutz.de

8. Änderungen

Wir passen diese Erklärung an, wenn sich der Dienst oder das Recht ändert, zum Beispiel wenn Käufe freigeschaltet werden. Es gilt die Fassung auf https://play.faceoff27.de/datenschutz.html.