Datenschutzerklärung

Information nach Art. 13 DSGVO

Maßgebliche Sprache: Diese Dokumente sind auf Deutsch verfasst und ausschließlich in dieser Fassung rechtlich maßgeblich. Die englische Übersetzung dient allein der Verständlichkeit.

Binding version: These documents are written in German and the German version is the only legally binding one. This English translation is provided for convenience only; in the event of any discrepancy, the German text prevails.

Datenschutzerklärung

Fassung 1.0 · Stand: 1. September 2026

1. Verantwortlicher

Christopher David Nunn
c/o flexdienst – #21680, Kurt-Schumacher-Straße 74, 67663 Kaiserslautern, Deutschland
E-Mail: [email protected] · Telefon: +49 176 43886211

2. Datenschutzbeauftragter

Ein Datenschutzbeauftragter ist nicht bestellt. Die Voraussetzungen des § 38 BDSG liegen derzeit nicht vor. Für alle Anliegen zum Datenschutz nutzen Sie bitte die oben genannten Kontaktdaten.

3. Verarbeitungszwecke, Rechtsgrundlagen und Speicherdauer

Zweck	Daten	Rechtsgrundlage	Speicherdauer
Konto und Anmeldung	Benutzername, E-Mail-Adresse, Passwort-Hash, Anmeldezeitpunkte	Art. 6 Abs. 1 lit. b DSGVO	Für die Dauer des Nutzungsverhältnisses; Löschung mit dem Konto
Verifizierung	Verifizierungscodes, Sendeversuche, Zeitstempel	Art. 6 Abs. 1 lit. b DSGVO	Code 10 Minuten gültig; Datensatz spätestens nach 30 Tagen gelöscht
Nachrichten (REACH)	Inhalte, Anhänge, Zeitstempel, Lesestatus	Art. 6 Abs. 1 lit. b DSGVO	24 Stunden nach dem Lesen, spätestens 90 Tage — siehe Ziffer 4
Anrufe (Audio/Video)	Signalisierungsdaten: SDP-Angebote und -Antworten, ICE-Kandidaten (enthalten IP-Adressen), Anrufstatus, Zeitstempel	Art. 6 Abs. 1 lit. b DSGVO	Signalisierungsdaten werden nach Beendigung des Verbindungsaufbaus gelöscht. Gesprächsinhalte werden nicht gespeichert — siehe Ziffer 5
Soziale Funktionen	Beiträge, Stories, Reaktionen, Folgen-Beziehungen	Art. 6 Abs. 1 lit. b DSGVO	Bis zur Löschung durch Sie; Stories automatisch nach 24 Stunden
Spiele	Spielsitzungen, Spielzüge, Ergebnisse	Art. 6 Abs. 1 lit. b DSGVO	Für die Dauer des Nutzungsverhältnisses
VPN-Bereitstellung	Verbindungskonfiguration, Datenvolumen	Art. 6 Abs. 1 lit. b DSGVO	Für die Dauer des Nutzungsverhältnisses
Support	E-Mail-Inhalte, Support-Chatverläufe	Art. 6 Abs. 1 lit. b und lit. f DSGVO	Support-Chat wie Nachrichten (Ziffer 4); E-Mails bis zu 24 Monate zur Bearbeitung von Rückfragen
Meldungen und Moderation	Meldegrund, Freitext, meldende und gemeldete Person	Art. 6 Abs. 1 lit. f DSGVO (Sicherheit der Plattform, Pflichten nach der Verordnung (EU) 2022/2065)	Bis zu 12 Monate nach Abschluss des Vorgangs
Sicherheit und Missbrauchsabwehr	Rate-Limit-Ereignisse, Protokoll administrativer Vorgänge	Art. 6 Abs. 1 lit. f DSGVO	Rate-Limit-Ereignisse 30 Tage; Administrationsprotokoll 12 Monate
Serverprotokolle	IP-Adresse, Zeitpunkt, angeforderte Ressource, Statuscode	Art. 6 Abs. 1 lit. f DSGVO (Betriebssicherheit, Abwehr von Angriffen)	14 Tage
Push-Benachrichtigungen	Gerätetoken, Plattform	Art. 6 Abs. 1 lit. b DSGVO	Bis zur Abmeldung des Geräts oder Löschung des Kontos

4. Automatisches Löschkonzept für Nachrichten

Nachrichten werden 24 Stunden nachdem sie von der empfangenden Person gelesen wurden automatisch gelöscht. Ungelesene Nachrichten werden spätestens nach 90 Tagen gelöscht. Die Löschung erfolgt endgültig und umfasst zugehörige Anhänge.

Ausnahmen, die zu einer längeren Speicherung führen:

Nachrichten, die von einer beteiligten Person als Favorit markiert wurden, bleiben erhalten, bis die Markierung entfernt wird.
In Konversationen zwischen Konten mit der Berechtigung „Permanenter Chat" bleiben Nachrichten erhalten, sofern für die Konversation nicht ausdrücklich eine kürzere Frist gewählt wurde.

5. Inhalte von Anrufen

Sprach- und Videoanrufe werden nach dem WebRTC-Verfahren direkt zwischen den Endgeräten übertragen und sind dabei nach dem Standard verschlüsselt (DTLS-SRTP). Gesprächsinhalte werden von uns weder gespeichert noch mitgehört.

Ist eine direkte Verbindung nicht möglich, wird der Medienstrom über unseren TURN-Server (turn.quasarping.com) weitergeleitet. Der Server leitet den verschlüsselten Datenstrom lediglich weiter; die Inhalte sind für ihn nicht lesbar.

6. Empfänger und Auftragsverarbeiter

Empfänger	Zweck	Ort der Verarbeitung
Hetzner Online GmbH	Hosting und Serverbetrieb	Deutschland
NTT Global Data Centres Americas, Inc.	Rechenzentrum für den von Ihnen wählbaren VPN-Standort Ashburn — Unterauftragsverarbeiter der Hetzner Online GmbH	USA (Virginia)
Cloudflare, Inc.	DNS, Schutz vor Überlastungsangriffen	EU / weltweites Netz
Zoho Corporation GmbH	E-Mail-Versand und -Empfang	EWR
NextDNS Inc.	DNS-Auflösung und Filterung	EU
Apple Inc. / Google Ireland Ltd.	Zustellung von Push-Benachrichtigungen	USA / EU

Mit den genannten Dienstleistern bestehen Verträge zur Auftragsverarbeitung nach Art. 28 DSGVO, soweit sie in unserem Auftrag personenbezogene Daten verarbeiten.

7. Übermittlung in Drittländer

7.1 Von Ihnen gewählter VPN-Standort in den USA

Bitte lesen Sie diesen Absatz, bevor Sie den US-Standort auswählen. Unter den auswählbaren VPN-Standorten befindet sich ein Server in Ashburn, Virginia (USA). Wenn Sie diesen Standort auswählen, wird Ihr gesamter über das VPN geführter Datenverkehr über diesen Server geleitet und unterliegt damit US-amerikanischer Jurisdiktion — einschließlich der dortigen Befugnisse von Behörden, auf Daten zuzugreifen. Ein dem europäischen Recht gleichwertiges Datenschutzniveau kann für diesen Fall nicht zugesichert werden.

Diese Übermittlung erfolgt ausschließlich aufgrund Ihrer eigenen, bewussten Standortwahl. Alle übrigen VPN-Standorte liegen innerhalb der Europäischen Union. Wählen Sie einen EU-Standort, findet insoweit keine Drittlandsübermittlung statt.

Der Server wird von der Hetzner Online GmbH betrieben. Der Standort Ashburn ist kein eigenes Rechenzentrum von Hetzner; dort wird die Infrastruktur der NTT Global Data Centres Americas, Inc. als Unterauftragsverarbeiter genutzt. Vertragspartner bleibt die Hetzner Online GmbH; unser Auftragsverarbeitungsvertrag nach Art. 28 DSGVO erfasst diesen Standort mit.

Grundlage der Übermittlung sind die Standardvertragsklauseln der EU-Kommission nach Art. 46 Abs. 2 lit. c DSGVO. Die Rollen der Unterauftragsverarbeiter sind in Anlage 3 des Auftragsverarbeitungsvertrags beschrieben.

7.2 Weitere Übermittlungen

Darüber hinaus findet eine Übermittlung in Länder außerhalb der EU bzw. des EWR statt bei der Zustellung von Push-Benachrichtigungen an Apple-Geräte sowie bei den unter Ziffer 9 genannten eingebundenen Inhalten. Grundlage sind Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO bzw. — für Empfänger in den USA — das EU-US Data Privacy Framework, soweit der jeweilige Empfänger zertifiziert ist.

8. Speicherung auf Ihrem Endgerät (§ 25 TDDDG)

Wir setzen keine Cookies zu Analyse- oder Werbezwecken ein. Es findet keine Reichweitenmessung und kein Tracking statt.

Im lokalen Speicher Ihres Browsers (localStorage) werden ausschließlich technisch erforderliche Angaben abgelegt: Ihr Anmeldetoken, die gewählte Sprache sowie Oberflächeneinstellungen. Diese Speicherung ist nach § 25 Abs. 2 Nr. 2 TDDDG einwilligungsfrei, weil sie für die von Ihnen ausdrücklich gewünschte Bereitstellung des Dienstes unbedingt erforderlich ist.

9. Eingebundene Inhalte Dritter

Beim Aufruf unserer Seiten werden Inhalte von folgenden Anbietern nachgeladen. Dabei wird Ihre IP-Adresse an den jeweiligen Anbieter übermittelt, weil sie für die Auslieferung technisch erforderlich ist. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO.

Google Fonts (Google Ireland Limited) — Schriftarten von fonts.googleapis.com und fonts.gstatic.com.
jsDelivr / Cloudflare CDN — Programmbibliotheken von cdn.jsdelivr.net und cdnjs.cloudflare.com.
TMDB (The Movie Database) — Film- und Serienbilder in „Movie Night" von image.tmdb.org.
ip-api.com — Ermittlung des Herkunftslandes zur Anzeige passender Verbindungsoptionen.

Hinweis: Wir arbeiten daran, diese Einbindungen durch eigene Auslieferung zu ersetzen, sodass keine Übermittlung an Dritte mehr stattfindet. Diese Erklärung wird entsprechend angepasst.

YouTube-Trailer in „Movie Night"

Auf dieser Website werden Trailer erst nach Ihrer ausdrücklichen Bestätigung geladen. Vor der Bestätigung wird keine Verbindung zu Google hergestellt und keine IP-Adresse übermittelt.

In unserer iOS-App gilt das derzeit noch nicht. Dort wird der Trailer unmittelbar geladen, sobald er angezeigt wird — Ihre IP-Adresse wird dabei ohne vorherige Bestätigung an Google übermittelt. Rechtsgrundlage ist insoweit Art. 6 Abs. 1 lit. f DSGVO. Die Umstellung auf dieselbe Bestätigung wie auf der Website ist in Arbeit; dieser Hinweis wird danach entfernt.

In der Android-App wird der Trailer erst nach Ihrem Antippen geladen — dort erfolgt vorher keine Verbindung zu Google.

10. Verschlüsselung

Die Verbindung zwischen Ihrem Gerät und unseren Servern ist durch TLS verschlüsselt. Passwörter werden ausschließlich als Argon2-Hash gespeichert und sind für uns nicht im Klartext einsehbar.

Ehrlicher Hinweis zu Nachrichten: Direktnachrichten sind derzeit nicht Ende-zu-Ende-verschlüsselt. Sie werden auf unseren Servern in einer Form gespeichert, die für uns technisch lesbar wäre. Wir nehmen davon ausschließlich Kenntnis, soweit dies für den Betrieb technisch erforderlich ist — eine darüber hinausgehende Kenntnisnahme ist uns nach § 3 TDDDG untersagt und findet nicht statt. Eine Ende-zu-Ende-Verschlüsselung ist in Vorbereitung; bis dahin behaupten wir sie ausdrücklich nicht.

11. Erforderlichkeit der Angaben

Für die Einrichtung eines Kontos sind Benutzername, E-Mail-Adresse und Passwort erforderlich. Ohne diese Angaben kann kein Konto bereitgestellt werden. Alle weiteren Angaben sind freiwillig.

12. Automatisierte Entscheidungsfindung

Eine automatisierte Entscheidungsfindung einschließlich Profiling nach Art. 22 DSGVO findet nicht statt. Automatische Sperren zur Missbrauchsabwehr (z. B. Begrenzung der Anmeldeversuche) sind zeitlich begrenzt und können jederzeit durch Kontaktaufnahme überprüft werden.

13. Ihre Rechte

Sie haben nach der DSGVO folgende Rechte:

Auskunft über die zu Ihnen gespeicherten Daten (Art. 15)
Berichtigung unrichtiger Daten (Art. 16)
Löschung (Art. 17)
Einschränkung der Verarbeitung (Art. 18)
Datenübertragbarkeit (Art. 20)
Widerspruch gegen Verarbeitungen auf Grundlage von Art. 6 Abs. 1 lit. f (Art. 21)

Zur Ausübung genügt eine formlose Nachricht an [email protected]. Ihr Konto können Sie jederzeit selbst in den Kontoeinstellungen löschen.

14. Beschwerderecht

Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren. Zuständig ist:

Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Rheinland-Pfalz
Hintere Bleiche 34, 55116 Mainz
datenschutz.rlp.de

Sie können sich auch an die Aufsichtsbehörde Ihres gewöhnlichen Aufenthaltsorts wenden.

15. Änderungen dieser Erklärung

Wir passen diese Erklärung an, wenn sich die Verarbeitung ändert. Die jeweils geltende Fassung ist auf dieser Seite abrufbar; wesentliche Änderungen teilen wir zusätzlich in den Diensten mit.

Privacy Policy

Version 1.0 · As of 1 September 2026

1. Controller

Christopher David Nunn
c/o flexdienst – #21680, Kurt-Schumacher-Straße 74, 67663 Kaiserslautern, Germany
Email: [email protected] · Telephone: +49 176 43886211

2. Data protection officer

No data protection officer has been appointed; the conditions of § 38 BDSG are not currently met. For any data protection matter please use the contact details above.

3. Purposes, legal bases and retention

Purpose	Data	Legal basis	Retention
Account and sign-in	Username, email address, password hash, sign-in times	Art. 6(1)(b) GDPR	For the duration of the user relationship; deleted with the account
Verification	Verification codes, send attempts, timestamps	Art. 6(1)(b) GDPR	Code valid 10 minutes; record deleted after 30 days at the latest
Messages (REACH)	Content, attachments, timestamps, read status	Art. 6(1)(b) GDPR	24 hours after being read, and in any event after 90 days — see section 4
Calls (audio/video)	Signalling data: SDP offers and answers, ICE candidates (which contain IP addresses), call status, timestamps	Art. 6(1)(b) GDPR	Signalling data is deleted once the connection is established. Call content is not stored — see section 5
Social features	Posts, stories, reactions, follow relationships	Art. 6(1)(b) GDPR	Until you delete them; stories automatically after 24 hours
Games	Game sessions, moves, results	Art. 6(1)(b) GDPR	For the duration of the user relationship
VPN provision	Connection configuration, data volume	Art. 6(1)(b) GDPR	For the duration of the user relationship
Support	Email content, support chat history	Art. 6(1)(b) and (f) GDPR	Support chat as for messages (section 4); emails up to 24 months to handle follow-up queries
Reports and moderation	Reason for report, free text, reporting and reported person	Art. 6(1)(f) GDPR (platform safety, obligations under Regulation (EU) 2022/2065)	Up to 12 months after the matter is closed
Security and abuse prevention	Rate-limit events, log of administrative actions	Art. 6(1)(f) GDPR	Rate-limit events 30 days; administration log 12 months
Server logs	IP address, time, resource requested, status code	Art. 6(1)(f) GDPR (operational security, defence against attacks)	14 days
Push notifications	Device token, platform	Art. 6(1)(b) GDPR	Until the device is deregistered or the account deleted

4. Automatic deletion of messages

Messages are automatically deleted 24 hours after the recipient has read them. Unread messages are deleted after 90 days at the latest. Deletion is permanent and includes any attachments.

Exceptions that lead to longer storage:

Messages marked as a favourite by a participant are retained until the marking is removed.
In conversations between accounts holding the "permanent chat" permission, messages are retained unless a shorter period has expressly been chosen for that conversation.

5. Call content

Voice and video calls are transmitted directly between the devices using WebRTC and are encrypted in transit as standard (DTLS-SRTP). We neither store nor listen to call content.

Where a direct connection is not possible, the media stream is relayed via our TURN server (turn.quasarping.com). That server merely forwards the encrypted stream; it cannot read the content.

6. Recipients and processors

Recipient	Purpose	Place of processing
Hetzner Online GmbH	Hosting and server operation	Germany
NTT Global Data Centres Americas, Inc.	Data centre for the user-selectable Ashburn VPN location — sub-processor of Hetzner Online GmbH	USA (Virginia)
Cloudflare, Inc.	DNS, protection against overload attacks	EU / global network
Zoho Corporation GmbH	Sending and receiving email	EEA
NextDNS Inc.	DNS resolution and filtering	EU
Apple Inc. / Google Ireland Ltd.	Delivery of push notifications	USA / EU

Data processing agreements pursuant to Art. 28 GDPR are in place with the providers listed, to the extent they process personal data on our behalf.

7. Transfers to third countries

7.1 The US VPN location you may select

Please read this before selecting the US location. Among the selectable VPN locations is a server in Ashburn, Virginia (USA). If you select this location, all of your traffic routed through the VPN passes through that server and is thereby subject to United States jurisdiction — including the powers of US authorities to access data. A level of data protection equivalent to that under European law cannot be guaranteed in that case.

This transfer occurs solely as a result of your own deliberate choice of location. All other VPN locations are within the European Union. If you select an EU location, no third-country transfer takes place in this respect.

The server is operated by Hetzner Online GmbH. The Ashburn site is not Hetzner's own data centre; the infrastructure of NTT Global Data Centres Americas, Inc. is used there as a sub-processor. Hetzner Online GmbH remains our contractual partner, and our data processing agreement under Art. 28 GDPR covers this location.

The transfer is based on the European Commission's Standard Contractual Clauses pursuant to Art. 46(2)(c) GDPR. The roles of the sub-processors are described in Annex 3 of the data processing agreement.

7.2 Other transfers

Beyond this, transfers outside the EU/EEA occur when push notifications are delivered to Apple devices and in respect of the embedded content listed in section 9. These are based on standard contractual clauses pursuant to Art. 46(2)(c) GDPR or — for recipients in the USA — the EU-US Data Privacy Framework, where the recipient concerned is certified.

8. Storage on your device (§ 25 TDDDG)

We do not use cookies for analytics or advertising. There is no reach measurement and no tracking.

Only technically necessary information is stored in your browser's local storage (localStorage): your sign-in token, the language you have chosen and interface settings. This storage requires no consent under § 25(2) no. 2 TDDDG because it is strictly necessary in order to provide the service you have expressly requested.

9. Embedded third-party content

When you visit our pages, content is loaded from the following providers. Your IP address is transmitted to the provider concerned because it is technically necessary for delivery. The legal basis is Art. 6(1)(f) GDPR.

Google Fonts (Google Ireland Limited) — fonts from fonts.googleapis.com and fonts.gstatic.com.
jsDelivr / Cloudflare CDN — program libraries from cdn.jsdelivr.net and cdnjs.cloudflare.com.
TMDB (The Movie Database) — film and series images in "Movie Night" from image.tmdb.org.
ip-api.com — determining the country of origin in order to display suitable connection options.

Note: We are working to replace these embeds with content served by ourselves, so that no transfer to third parties takes place. This policy will be updated accordingly.

YouTube trailers in "Movie Night"

On this website, trailers are loaded only after your express confirmation. Before you confirm, no connection to Google is established and no IP address is transmitted.

This does not yet apply in our iOS app. There, the trailer is loaded immediately when it is displayed — your IP address is transmitted to Google without prior confirmation. The legal basis in that respect is Art. 6(1)(f) GDPR. The change to the same confirmation used on the website is in progress; this note will be removed afterwards.

In the Android app the trailer is loaded only after you tap it — no connection to Google is made before that.

10. Encryption

The connection between your device and our servers is encrypted using TLS. Passwords are stored only as an Argon2 hash and are not visible to us in plain text.

An honest note about messages: direct messages are currently not end-to-end encrypted. They are stored on our servers in a form that would be technically readable by us. We access them only so far as this is technically necessary to operate the service — any access beyond that is prohibited to us under § 3 TDDDG and does not occur. End-to-end encryption is in preparation; until then we expressly do not claim it.

11. Whether providing data is required

A username, email address and password are required in order to create an account. Without them no account can be provided. All other information is voluntary.

12. Automated decision-making

No automated decision-making, including profiling, within the meaning of Art. 22 GDPR takes place. Automatic blocks for abuse prevention (for example limiting sign-in attempts) are time-limited and can be reviewed at any time by contacting us.

13. Your rights

Under the GDPR you have the following rights:

Access to the data stored about you (Art. 15)
Rectification of inaccurate data (Art. 16)
Erasure (Art. 17)
Restriction of processing (Art. 18)
Data portability (Art. 20)
Objection to processing based on Art. 6(1)(f) (Art. 21)

An informal message to [email protected] is sufficient to exercise these rights. You can delete your account yourself at any time in the account settings.

14. Right to lodge a complaint

You have the right to lodge a complaint with a data protection supervisory authority. The competent authority is:

Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Rheinland-Pfalz
Hintere Bleiche 34, 55116 Mainz, Germany
datenschutz.rlp.de

You may also contact the supervisory authority where you habitually reside.

15. Changes to this policy

We update this policy when our processing changes. The version in force at any time is available on this page; material changes will additionally be notified within the services.