Datenschutz

Verantwortlicher

Paul Buyse, handelnd unter 121 Studios
Heimstättenstraße 3
82166 Gräfelfing
Deutschland
kontakt@121-studios.com

Kurz gesagt

Die öffentlichen Seiten setzen keine Cookies, messen keine Reichweite und binden keine fremden Skripte oder Schriften ein. Beim Besuch fallen nur die technischen Daten an, die jeder Webserver verarbeitet. Die Abschnitte unter „Noch nicht aktiv“ gelten erst, wenn die jeweilige Funktion freigeschaltet ist.

Hosting und Server Logs

Die Seite liegt bei ALL INKL.COM, Neue Medien Münnich, Inhaber René Münnich, Hauptstraße 68, 02742 Friedersdorf. Der Anbieter nennt ein eigenes Rechenzentrum in Deutschland. Beim Aufruf verarbeitet der Server technisch nötige Daten: IP Adresse, Datum und Uhrzeit, aufgerufene Adresse, übertragene Datenmenge, zuvor besuchte Seite, sofern der Browser sie sendet, sowie Browser und Betriebssystem. Das dient dem sicheren und stabilen Betrieb. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt in genau diesem Betrieb.

[Speicherdauer der Server Logs: Angabe folgt] [Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO mit dem Hoster: Bestätigung folgt]

Speicher im Browser

Für den Warenkorb ist ein Eintrag im lokalen Speicher deines Browsers vorgesehen (localStorage, Name 121_warenkorb). Er enthält nur die Kennung der gewählten Karte, bleibt auf deinem Gerät und wird nicht an uns gesendet. Solange nichts bestellbar ist, wird er nicht angelegt. Du kannst ihn jederzeit in deinem Browser löschen.

Schriften und Bilder

Schriften, Bilder und Skripte liegen auf demselben Server wie die Seite. Dein Browser baut dafür keine Verbindung zu anderen Anbietern auf.

Links zu anderen Seiten

Wir verlinken auf Discord, gu5.gg und openomsi.org. Daten gehen an diese Anbieter erst, wenn du dem Link folgst. Dort gelten deren Datenschutzregeln.

Kontakt

Ein allgemeines Kontaktformular gibt es nicht. Du schreibst uns per Mail an kontakt@121-studios.com oder contact@121-studios.com. Schreibst du uns, verarbeiten wir deine Angaben, um dir zu antworten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO, bei Fragen zu einem Vertrag lit. b. Wir löschen die Angaben, wenn sie nicht mehr nötig sind und keine gesetzliche Aufbewahrungspflicht besteht.

Widerrufsfunktion

Das Formular auf der Seite zum Widerruf verarbeitet Name, Angabe zum Vertrag und Mailadresse, damit du einen Vertrag widerrufen kannst und wir dir den Eingang bestätigen können. Rechtsgrundlage ist Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit § 356a BGB. Die Angaben gehen per Mail an uns und an dich und werden auf dem Webserver nicht gespeichert. Die Mails bewahren wir auf, solange es für den Nachweis und wegen gesetzlicher Aufbewahrungspflichten nötig ist. Derzeit läuft die Funktion im Testbetrieb und sendet keine Mail.

Gegen Missbrauch speichern wir bei jedem bestätigten Widerruf einen nicht umkehrbar verschlüsselten Wert deiner IP Adresse mit dem Zeitpunkt, höchstens eine Stunde lang. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO, unser berechtigtes Interesse ist der Schutz vor massenhaftem Missbrauch. Fremde Dienste sind daran nicht beteiligt.

Deine Rechte

Du hast das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch gegen Verarbeitungen nach Art. 6 Abs. 1 lit. f (Art. 21). Eine erteilte Einwilligung kannst du jederzeit für die Zukunft widerrufen. Eine automatisierte Entscheidung im Einzelfall nach Art. 22 DSGVO findet bei uns nicht statt.

Du kannst dich außerdem bei einer Aufsichtsbehörde beschweren. Für uns zuständig ist das Bayerische Landesamt für Datenschutzaufsicht, Promenade 18, 91522 Ansbach, www.lda.bayern.de.

Aufbewahrung

Gilt für jede Funktion, sobald sie aktiv ist.

• Rechnungen und Buchungsbelege: acht Jahre (§ 147 Abs. 3 AO, § 14b UStG, § 257 Abs. 4 HGB, soweit anwendbar). Aufzeichnungen und Bücher: zehn Jahre. Geschäftsbriefe, auch solche zu einem Kauf: sechs Jahre. Die Frist beginnt jeweils am Ende des Kalenderjahrs (§ 147 Abs. 4 AO).
• Nachweise zu Zustimmung, Lieferung und Widerruf: bis zum Ablauf der Verjährung, in der Regel drei Jahre ab Ende des Jahres (§§ 195, 199 BGB), länger, wenn sie zu den Unterlagen oben gehören.
• Kennung und Zuordnung zum Kauf: so lange wie die Kaufunterlagen. Nach einer Kontolöschung bleiben sie nur mit dem Kaufvorgang verbunden.
• Tickets ohne Kaufbezug: drei Jahre nach dem Abschluss, auch nach dem Löschen des Kontos. Fundfälle: bis die Sache erledigt und etwaige Ansprüche verjährt sind.
• Protokoll der Zugriffe durch das Team und gespeicherte Mails: zwölf Monate. Hashwerte zur Mengenbegrenzung: höchstens ein Tag.
• Bestellung ohne Zahlung samt Zustimmung, ab Verkaufsstart: 30 Tage nach dem Anlegen. So lange kann eine verspätete Zahlungsmeldung noch eintreffen.
• Bestellmail mit PDF, ab Verkaufsstart: sechs Jahre ab dem Ende des Jahres, in dem sie gesendet wurde (§ 147 Abs. 1 Nr. 3, Abs. 3 und 4 AO), länger, wenn sie als Rechnung gilt. Verlauf des Kontos: drei Jahre ab dem Ende des Jahres der Änderung.

Konto und Support

Kundenkonten

Für dein Konto verarbeiten wir Vorname und Nachname, Mailadresse, einen nicht lesbaren Prüfwert deines Passworts, deine Sprache, die Zeitpunkte von Registrierung, Mailbestätigung und letzter Anmeldung sowie deine Zustimmung zu den Nutzungsbedingungen mit Fassung und Zeitpunkt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Ohne diese Angaben können wir kein Konto anlegen. Die Daten liegen bei unserem Hoster in Deutschland.

Cookies. Die öffentlichen Seiten setzen keine Cookies. Im Kontobereich und in der Verwaltung unter /admin setzen wir ein Sitzungscookie, das dafür unbedingt erforderlich ist (§ 25 Abs. 2 Nr. 2 TDDDG). Es endet mit der Browsersitzung. Nur wenn du beim Anmelden selbst den Haken „Angemeldet bleiben“ setzt, kommt das Cookie konto121_bleiben hinzu, im Team bei „Dieses Gerät 30 Tage merken“ das Cookie adm121_geraet. Es gilt fest 30 Tage und verlängert sich nicht. Bei uns liegen dazu ein Hashwert des Zufallswerts aus dem Cookie, Browser und Betriebssystem als Kurzname sowie die Zeitpunkte, der Eintrag fällt mit Ablauf der Frist weg. Das ist der von dir ausdrücklich gewünschte Dienst (§ 25 Abs. 2 Nr. 2 TDDDG), Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, im Team lit. f.

Schutz vor Missbrauch. Gegen massenhafte Anmeldeversuche und ähnlichen Missbrauch zählen wir Versuche. Deine IP Adresse speichern wir dafür nur als nicht umkehrbaren Hashwert, höchstens einen Tag lang. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO, unser berechtigtes Interesse ist die Sicherheit der Konten.

Mails. Mails zu deinem Konto und zu Anfragen senden wir über unsere eigenen Mailkonten, über eine verschlüsselte Verbindung und digital signiert. Vom Versand halten wir Zeitpunkt, Art und Ergebnis fest. Den gesendeten Text speichern wir zu deinem Konto, damit wir nachvollziehen können, was wir dir geschickt haben. Einmalige Links speichern wir dabei nicht, und ein Lizenzcode steht nie in einer Mail. Diese gespeicherten Mails löschen wir nach zwölf Monaten. Ab Verkaufsstart gilt für die Bestellmail mit ihrem PDF eine längere Frist, siehe „Aufbewahrung“. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b und f DSGVO, für die Bestellmail auch lit. c.

Verlauf deines Kontos. Änderungen an deinem Konto halten wir fest: wer sie wann vorgenommen hat, welches Feld betroffen ist, alter und neuer Wert sowie der Grund. Das dient der Sicherheit und dem Nachweis. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Die Einträge löschen wir drei Jahre nach dem Ende des Jahres, in dem sie entstanden sind.

Über Updates benachrichtigen. Diese Einstellung ist zunächst aus. Schaltest du sie ein, schreiben wir dir, wenn es ein Update gibt. Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), du kannst sie jederzeit in deinem Konto ausschalten. Über Aktualisierungen, die wir dir nach § 327f BGB schulden, informieren wir dich unabhängig davon (Art. 6 Abs. 1 lit. c DSGVO).

Konto löschen. Wenn du dein Konto löschst, fallen Vorname und Nachname, Mailadresse, Passwort, die Verknüpfungen mit anderen Diensten und die Support Notizen zum Konto weg. Es bleibt eine leere Kontonummer. Im Verlauf werden Werte und Gründe durch „entfernt“ ersetzt, Art, Zeitpunkt und Bearbeiter bleiben. Bei gespeicherten Mails fallen Adresse und Inhalt weg, außer bei der Bestellmail. An der leeren Kontonummer hängen weiter Käufe mit den dort gespeicherten Angaben, Zustimmungen, Nachweise und Tickets, solange wir sie nach „Aufbewahrung“ behalten müssen oder dürfen (Art. 17 Abs. 3 lit. b und e DSGVO).

Anmeldung über Steam

Du kannst dich freiwillig über Steam anmelden oder dein Konto damit verbinden. Der Knopf führt dich zur Seite von Steam der Valve Corporation (USA). Dort meldest du dich an, wir sehen dein Passwort nicht. Steam teilt uns nur deine SteamID mit. Vorname, Nachname und Mailadresse fragen wir beim ersten Mal selbst ab. Wir speichern die SteamID zu deinem Konto bei unserem Hoster in Deutschland, bis du die Verbindung trennst oder das Konto löschst. Wir rufen weder deine Spieleliste noch deinen Profilnamen ab und prüfen nicht, ob du OMSI 2 besitzt. Für die Verarbeitung bei Valve gilt deren Datenschutzerklärung. Rechtsgrundlage bei uns ist Art. 6 Abs. 1 lit. b DSGVO.

Anmeldung über Google

Freiwillig. Gilt, sobald der Knopf „Mit Google anmelden“ freigeschaltet ist. Solange er gesperrt ist, fließen keine Daten an Google.

Du kannst dich freiwillig über Google anmelden oder dein Konto damit verbinden. Der Knopf führt dich zur Anmeldeseite von Google, dort meldest du dich an, wir sehen dein Google Passwort nicht. Erst nach deinem Klick baut dein Browser eine Verbindung zu Google auf. Wir fragen die Angaben openid, email und profile ab. Google teilt uns daraufhin deine Google Kennung (sub), deine bestätigte Mailadresse sowie Vorname und Nachname (given_name, family_name) mit. Die Kennung speichern wir zu deinem Konto, bis du die Verbindung trennst oder das Konto löschst. Mailadresse, Vorname und Nachname übernehmen wir nur, wenn du dabei ein neues Konto anlegst. Gibt es schon ein Konto mit derselben bestätigten Mailadresse, verbinden wir es mit Google. Ein Profilbild speichern wir nicht. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Für die Verarbeitung bei Google gilt dessen Datenschutzerklärung. Verantwortlich ist danach für Nutzer im Europäischen Wirtschaftsraum und in der Schweiz die Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland, für andere Nutzer die Google LLC, 1600 Amphitheatre Parkway, Mountain View, CA 94043, USA. Daten können dabei in die USA gelangen. Google gibt an, dass die Google LLC nach dem EU US Data Privacy Framework zertifiziert ist, und stützt Übermittlungen im Übrigen auf Standardvertragsklauseln.

Anfragen und Tickets

Bei einer Anfrage verarbeiten wir Betreff, deine Texte und unsere Antworten, den zuständigen Bearbeiter, interne Notizen des Teams, Sprache, Status und Zeitpunkte sowie die zugehörigen Bestelldaten und Kontodaten, um dir zu helfen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, außerhalb eines Vertrags lit. f mit dem Interesse, Anfragen zu beantworten.

Wer bei uns Zugriff hat

Zugriff auf Kundendaten haben nur Paul Buyse und von ihm ausgewählte Teammitglieder, nur soweit es für ihre Aufgabe nötig ist, nach seiner Anweisung und zur Vertraulichkeit verpflichtet (Art. 29 und Art. 32 Abs. 4 DSGVO). Jede Ansicht eines Kontos protokollieren wir zur Sicherheit und löschen diese Einträge nach zwölf Monaten. Das Team kann Support Notizen zu einem Konto anlegen, sie fallen mit dem Löschen des Kontos weg. Notizen in einem Ticket bleiben beim Ticket. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO, unser berechtigtes Interesse ist der Schutz der Daten.

Mailversand und Eingangsbestätigung

Darstellung. Hintergrundbild und die Webschriften Saira und Barlow unserer Mails liegen auf unserem Server. Lädt dein Mailprogramm sie beim Öffnen, geht deine IP Adresse an unseren Server, und der Abruf steht mit IP Adresse und Zeitpunkt im Server Log unseres Hosters. Die Adressen sind für alle Empfänger gleich, wir erkennen daran also nicht, wer eine Mail geöffnet hat. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO, unser berechtigtes Interesse ist die einheitliche Darstellung. Du kannst das Nachladen in deinem Mailprogramm abschalten.

Eingangsbestätigung. Schreibst du an kontakt@121-studios.com oder contact@121-studios.com, antworten wir dir einmal automatisch, dass die Nachricht eingegangen ist. Dafür liest unser Server nur Kopfzeilen deiner Mail, etwa den Absender und Hinweise auf automatische Mails, und speichert sie nicht. Damit du nicht mehrfach Antworten bekommst, halten wir deinen Absender nur als Hashwert fest, 24 Stunden lang. Automatische Mails und Verteiler erhalten keine Antwort. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO, unser berechtigtes Interesse ist, dir den Eingang zu bestätigen.

Noch nicht aktiv

Die folgenden Abschnitte beschreiben Funktionen, die derzeit nicht aktiv sind. Es fließen dafür noch keine Daten. Wir geben hier an, was gelten wird, sobald die jeweilige Funktion startet.

Käufe und Zahlung über Stripe

Noch nicht aktiv. Gilt ab Verkaufsstart.

Ein Kauf setzt ein Konto voraus. Dafür verarbeiten wir Bestellnummer, Karte, Preis, Land, Mailadresse, Zeitpunkte, deine Zustimmung zum vorzeitigen Beginn mit Wortlaut und Zeitpunkt sowie die Kennungen der Zahlung bei Stripe. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, für steuerliche Unterlagen lit. c, für den Nachweis deiner Zustimmung lit. c und f.

Du bezahlst auf einer Seite von Stripe, unser Vertragspartner ist Stripe Payments Europe, Limited (Irland). Dort gibst du deine Zahlungsdaten direkt ein, wir sehen sie nicht und speichern sie nicht. Stripe verarbeitet Daten laut seinem Vertrag zur Datenverarbeitung teils als unser Auftragsverarbeiter und teils in eigener Verantwortung, etwa für die Betrugsabwehr und die Zusammenarbeit mit Banken. Stripe gibt an, dass Daten auch in die USA gelangen können, und stützt Übermittlungen unter anderem auf das EU US Data Privacy Framework und auf Standardvertragsklauseln. Stripe ermittelt für die Umsatzsteuer dein Land aus deinen Angaben beim Bezahlen, etwa der Rechnungsanschrift. Mehr steht in der Datenschutzerklärung von Stripe. Zahlst du mit PayPal, gibst du deine Daten zusätzlich bei PayPal (Europe) S.à r.l. et Cie, S.C.A. in Luxemburg ein, dort gilt die Datenschutzerklärung von PayPal. Zahlst du mit Revolut Pay, bestätigst du die Zahlung bei Revolut, dort gilt die Datenschutzerklärung von Revolut.

Lizenzcode, Mails und Download

Noch nicht aktiv. Gilt ab Verkaufsstart.

Die Bestellbestätigung senden wir dir per Mail über unseren Hoster, sie enthält keinen Code. In der Bestellung halten wir fest, welcher der beiden Knöpfe „In meinem Konto einlösen“ und „Code an jemand anderen weitergeben“ wann benutzt wurde und wer den Code wann angezeigt oder eingelöst hat. Bezahlte Codes liegen verschlüsselt bei uns, damit sie in der Bestellung abrufbar bleiben. Zu jedem Download speichern wir Kauf, Konto, Zeitpunkt und Fassung der Karte, aber keine IP Adresse. Das brauchen wir als Nachweis der Bereitstellung und für den Beginn der Ausführung (§ 327b Abs. 6 BGB, § 356 Abs. 6 BGB). Rechtsgrundlage ist Art. 6 Abs. 1 lit. b und f DSGVO.

Weitergegebene Codes. Löst eine andere Person den Code ein, verbinden wir den Kauf mit ihrem Konto. Für die einlösende Person verarbeiten wir dazu ihre Kontodaten, den Zeitpunkt und die Downloads. Der Käufer erfährt von uns nicht, wer eingelöst hat, nur ob und wann der Code eingelöst wurde. Die einlösende Person erhält von uns keine Daten des Käufers. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, für die Verbindung beider Datensätze zum Schutz vor Missbrauch lit. f. Daten geben wir nur weiter, soweit das für die Rechtsverfolgung nötig ist.

Die Karte selbst liegt im Speicher Cloudflare R2 von Cloudflare, Inc. (USA), in dem für die EU festgelegten Bereich. Für deinen Kauf entsteht dort ein Paket mit der Kennung, es wird nach drei Tagen wieder gelöscht und bei Bedarf neu erzeugt. Zum Herunterladen erzeugen wir einen signierten Link, der 24 Stunden gilt. Er enthält keinen Namen und keine Mailadresse, aber wer ihn hat, kann in dieser Zeit laden, gib ihn also nicht weiter. Beim Download verarbeitet Cloudflare als unser Auftragsverarbeiter deine IP Adresse und technische Daten der Anfrage. Die Downloadadresse zeigt deshalb Cloudflare und nicht unsere Domain. Der Vertrag mit Cloudflare stützt Übermittlungen in die USA auf das EU US Data Privacy Framework und auf Standardvertragsklauseln.

Kennung in der Karte

Noch nicht aktiv. Gilt ab Verkaufsstart.

Ausgelieferte Kopien enthalten eine Kennung, die dem jeweiligen Kauf zugeordnet ist. Sie ist je Kauf fest und bleibt bei jedem erneuten Download gleich. Damit können wir bei einer unerlaubten Veröffentlichung feststellen, aus welchem Kauf die Kopie stammt. Die Kennung selbst enthält keine Angaben zu deiner Person. Die Zuordnung zum Kauf und zum Konto, in dem der Code eingelöst wurde, gibt es nur bei uns, deshalb sind das für uns personenbezogene Daten. Ein Fund zeigt nur, aus welchem Kauf die Dateien stammen, nicht, wer sie veröffentlicht hat. Wo die Kennung steckt, nennen wir nicht, weil sie sonst ihren Zweck verlöre.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist der Schutz unserer Karte vor unerlaubter Weitergabe. Du kannst dem nach Art. 21 DSGVO aus Gründen deiner besonderen Situation widersprechen. Auf Anfrage nennen wir dir nach Art. 15 DSGVO die zu deinem Kauf gespeicherten Daten einschließlich des Werts der Kennung. Bei einem Fund verarbeiten wir zusätzlich Fundort, Datum und Prüfsumme des Fundes und melden die Veröffentlichung dem jeweiligen Anbieter. Daten des Kaufs geben wir nur weiter, soweit das für die Rechtsverfolgung nötig ist, etwa an Anwälte oder Gerichte.