Datenschutzerklärung

1Das Wichtigste in Kürze

• Skinrush ist ein Simulator mit Spielgeld. Es gibt keine Käufe, Einzahlungen oder Auszahlungen – wir verarbeiten keine Zahlungsdaten.
• Für einen Account brauchen wir einen Benutzernamen, eine E-Mail-Adresse und ein Passwort oder ein verbundenes Konto (Discord, Steam). Als Gast spielst du ohne diese Angaben, mit einem zufällig vergebenen Namen.
• In der App zeigen wir Werbung über Google AdMob – personalisiert nur, wenn du einwilligst. Videos mit Prämie siehst du nur, wenn du sie selbst startest. Daten verkaufen wir nicht.
• Die Website nutzt keine Tracking-Cookies und keine Analyse-Werkzeuge.
• Du kannst deinen Account jederzeit in der App löschen – deine Daten werden dabei endgültig entfernt.

2Website

Beim Aufruf von skinrush.app überträgt dein Browser technisch bedingt Daten an unseren Server: IP-Adresse, Datum und Uhrzeit, aufgerufene Adresse, die zuvor besuchte Seite sowie Browser und Betriebssystem. Wir brauchen sie, um die Seite auszuliefern und vor Missbrauch zu schützen (Art. 6 Abs. 1 lit. f DSGVO), und bewahren sie nur so lange auf, wie Betrieb und Sicherheit es erfordern.

Bilder von Kisten und Skins kommen von cdn.skinrush.app über das Netzwerk von Cloudflare, Inc. (USA). Das Band mit dem aktuellen Live-Event lädt öffentliche Daten von api.skinrush.app. Dabei werden jeweils dieselben technischen Daten übertragen.

Schriften liefern wir selbst aus; es gehen keine Daten an Google oder andere Schriftanbieter.

Wählst du über den Umschalter eine Sprache, merkt sich ein Cookie („locale“, ein Jahr) deine Wahl, damit dich skinrush.app beim nächsten Besuch in dieser Sprache empfängt. Ob Töne an oder aus sind, speichert dein Browser lokal. Beides dient nur der Funktion, die du gewählt hast, und ist ohne Einwilligung zulässig (§ 25 Abs. 2 Nr. 2 TDDDG).

Die Spiele zum Ausprobieren (Kisten, Mines, Provably Fair) laufen vollständig in deinem Browser; dabei wird nichts an uns gesendet.

3Spielen im Browser (play.skinrush.app)

Auf play.skinrush.app läuft die App in deinem Browser – mit demselben Account und denselben Daten wie auf dem Handy (siehe die folgenden Abschnitte). Beim Aufruf überträgt dein Browser dieselben technischen Daten wie bei der Website.

Damit du angemeldet bleibst, liegt dein Anmelde-Token im lokalen Speicher des Browsers (localStorage) dieser Seite, ebenso deine Einstellungen (etwa Sprache und Töne) und zwischengespeicherte Spieldaten, damit die Seite schneller lädt. Das ist für das Spiel nötig und ohne Einwilligung zulässig (§ 25 Abs. 2 Nr. 2 TDDDG). Beim Abmelden entfernen wir das Token und die Spieldaten.

Im Browser gibt es keine Werbung, keine Push-Benachrichtigungen und keine Nutzungsstatistik.

Registrierst du dich im Browser, prüft Cloudflare Turnstile (Cloudflare, Inc., USA), ob ein Mensch das Formular ausfüllt, damit niemand automatisiert massenhaft Accounts anlegt. Dazu wertet Turnstile Daten über deinen Browser und deine Verbindung aus, darunter die IP-Adresse; unser Server prüft das Ergebnis bei Cloudflare und schickt dabei deine IP-Adresse mit. Rechtsgrundlage ist unser berechtigtes Interesse, Accounts und Spiel vor Missbrauch zu schützen (Art. 6 Abs. 1 lit. f DSGVO). Mehr dazu in der Datenschutzerklärung von Cloudflare unter cloudflare.com/privacypolicy.

4Dein Account

Wenn du dich in der App oder im Browser registrierst, speichern wir:

• Benutzername – für andere Spieler sichtbar, etwa in Battles, Trades und der Rangliste
• E-Mail-Adresse – nur für dich sichtbar; für Codes zum Bestätigen, Passwort zurücksetzen, E-Mail ändern und Account löschen
• Passwort – nur als Hash, nie im Klartext
• Sprache der App, damit E-Mails und Benachrichtigungen in deiner Sprache kommen
• Zeitpunkt der Registrierung

Spielst du als Gast, speichern wir weder E-Mail-Adresse noch Passwort – nur einen zufällig vergebenen Benutzernamen, die Sprache der App und den Zeitpunkt des Starts. Einen Gast-Account erreichst du allein über das Anmelde-Token auf deinem Gerät, bis du ihn in den Einstellungen mit einer E-Mail-Adresse oder einem verbundenen Konto sicherst. Solange stehst du in keiner Rangliste und keiner Spielersuche.

Rechtsgrundlage ist der Nutzungsvertrag (Art. 6 Abs. 1 lit. b DSGVO): Ohne diese Daten können wir dir keinen Account bereitstellen. Damit du angemeldet bleibst, legt die App ein Anmelde-Token im geschützten Speicher deines Geräts ab (Schlüsselbund bzw. Keystore), im Browser im lokalen Speicher von play.skinrush.app.

5Anmelden mit Discord oder Steam

Verbindest du ein Konto bei Discord oder Steam, erhalten wir vom jeweiligen Dienst:

• Discord: Konto-ID, Anzeigename, Profilbild und – wenn sie bei Discord bestätigt ist – deine E-Mail-Adresse. Damit Name und Bild aktuell bleiben, speichern wir ein Refresh-Token von Discord.
• Steam: Steam-ID, Anzeigename und Profilbild.

Das Profilbild eines verbundenen Kontos kann als dein Profilbild in Skinrush erscheinen. Für die Anmeldung gelten zusätzlich die Datenschutzbestimmungen von Discord Inc. bzw. Valve Corporation (beide USA). In den Einstellungen kannst du die Verbindung jederzeit trennen; die Daten dieses Kontos löschen wir dann (Art. 6 Abs. 1 lit. b DSGVO).

6Spielstand und soziale Funktionen

Damit das Spiel funktioniert, speichern wir, was du in Skinrush tust und besitzt: Coins und Diamanten mit Buchungsverlauf, Inventar und Loadout, Drops, Upgrader, Trade Ups, Mines-Runden, Battles, Käufe im Shop, Bank, Level, XP, Statistiken, Spielzeit für die Zeitbelohnungen und die Seeds für Provably Fair (Art. 6 Abs. 1 lit. b DSGVO).

Freunde, Freundschaftsanfragen, Trades und Geschenke speichern wir mit den beteiligten Accounts. Wer dein Profil mit Inventar und Statistiken sehen darf, stellst du in den Einstellungen ein: alle, nur Freunde oder niemand. Benutzername und Profilbild sehen andere Spieler dort, wo ihr zusammen spielt oder handelt.

7E-Mails

E-Mails mit Codes (Adresse bestätigen, Passwort zurücksetzen, E-Mail ändern, Account löschen) verschicken wir über Plunk (useplunk.com) als Auftragsverarbeiter. Plunk erhält dafür deine E-Mail-Adresse und die Nachricht. Newsletter oder Werbung verschicken wir nicht.

8Push-Benachrichtigungen

Erlaubst du Benachrichtigungen, meldet die App ein Push-Token deines Geräts und die Plattform (iOS oder Android) an unseren Server. Benachrichtigungen – etwa zu Freundschaftsanfragen, Trades, Geschenken oder einem vollen Tresor – senden wir über den Push-Dienst von Expo (650 Industries, Inc., USA), der sie an Apple bzw. Google weiterleitet. Übertragen werden das Token und der Text der Nachricht.

Welche Benachrichtigungen du bekommst, stellst du in den Einstellungen ein; die Erlaubnis kannst du jederzeit in den Systemeinstellungen entziehen (Art. 6 Abs. 1 lit. a DSGVO). Tokens abgemeldeter Geräte löschen wir automatisch.

9Nutzungsstatistik in der App

Um zu verstehen, welche Bildschirme und Funktionen genutzt werden, sendet die App Nutzungsdaten an unser Analyse-Werkzeug Portus (portus.sh):

• aufgerufene Bildschirme – ohne Benutzernamen oder Item-IDs in der Adresse
• einzelne Aktionen: Registrieren, als Gast starten, Anmelden, Kiste öffnen, Upgrader, Trade Up, Battle erstellen, Mines starten, Kauf im Shop, Sticker aufkleben, Video mit Prämie angesehen
• eine zufällige Installations-ID, App-Version, Build, Plattform und Version des Betriebssystems
• solange du angemeldet bist deine Nutzer-ID, bei der Anmeldung zusätzlich Benutzername und Profilbild

Passwörter, Anmelde-Tokens und E-Mail-Adressen werden nie übertragen. Wir nutzen die Daten nur, um Skinrush zu verbessern, nicht für Werbung (Art. 6 Abs. 1 lit. f DSGVO). Du kannst dem jederzeit per E-Mail widersprechen.

10Werbung in der App (Google AdMob)

Die App finanziert sich über Werbung: eine Anzeige beim Öffnen der App, Anzeigen zwischen Listeneinträgen (gekennzeichnet mit „Anzeige“) und Videos mit Prämie, die du freiwillig startest. Die Anzeigen liefert Google AdMob, ein Dienst der Google Ireland Limited (Gordon House, Barrow Street, Dublin 4, Irland); dabei können Daten auch an Google LLC (USA) gehen. Auf der Website gibt es keine Werbung.

Damit Anzeigen ausgeliefert, gezählt und gegen Betrug geprüft werden können, verarbeitet Google:

• die Werbe-ID deines Geräts (iOS: IDFA, nur wenn du es erlaubst; Android: Werbe-ID)
• IP-Adresse und daraus ein ungefährer Standort, Gerätemodell, Betriebssystem, Sprache und App-Version
• Interaktionen mit Anzeigen: ob eine Anzeige gezeigt, angetippt oder ein Video zu Ende gesehen wurde

Beim ersten Start fragt die App über die Einwilligungsabfrage von Google (Google User Messaging Platform), ob Google Informationen auf deinem Gerät speichern und abrufen und dir personalisierte Werbung zeigen darf (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG). Auf dem iPhone fragt zusätzlich iOS, ob die App dich über Apps hinweg verfolgen darf (App Tracking Transparency). Ohne Einwilligung zeigt Google nur eingeschränkte, nicht personalisierte Anzeigen. Deine Wahl änderst du jederzeit in der App unter Einstellungen → Datenschutz-Optionen, die Erlaubnis für das Tracking in den Systemeinstellungen; die Werbe-ID kannst du dort auch zurücksetzen.

Videos mit Prämie: Damit wir die Prämie gutschreiben können, gibt die App deiner Anfrage an Google deine Nutzer-ID und die Art der Prämie mit (etwa „Coins“). Hast du ein Video zu Ende gesehen, meldet Google das unserem Server mit einer Transaktionsnummer, deiner Nutzer-ID und der Prämie. Wir speichern daraus, wann du welche Prämie bekommen hast, für die Tageslimits 30 Tage lang (Art. 6 Abs. 1 lit. b DSGVO).

Wie Google diese Daten verwendet, erklärt Google unter policies.google.com/technologies/partner-sites und in seiner Datenschutzerklärung (policies.google.com/privacy).

11Server und Sicherheit

Server und Datenbank betreibt ein Hosting-Anbieter in unserem Auftrag. Bei jeder Anfrage verarbeitet der Server deine IP-Adresse: Wir nutzen sie, um Missbrauch zu begrenzen, etwa zu viele Registrierungen oder fehlgeschlagene Anmeldungen (dafür liegt sie nur kurz im Arbeitsspeicher), und sie erscheint in Server-Logs zur Fehlersuche. In der Datenbank speichern wir keine IP-Adressen (Art. 6 Abs. 1 lit. f DSGVO).

12Fehlerberichte

Tritt in der App, auf der Website oder auf unserem Server ein Fehler auf, geht ein Fehlerbericht an GlitchTip, unser Werkzeug zur Fehlersuche, das wir selbst auf einem eigenen Server betreiben. Ein Bericht enthält die Fehlermeldung mit der Stelle im Code, die Version von App bzw. Website, Gerätemodell, Betriebssystem bzw. Browser und die Schritte kurz vor dem Fehler, etwa aufgerufene Seiten und Anfragen an unseren Server (ohne deren Inhalt).

Cookies, Anmelde-Tokens, Passwörter, Inhalte von Anfragen und deine IP-Adresse fügen wir nicht hinzu. Wir nutzen die Berichte nur, um Fehler zu finden und zu beheben, und löschen sie nach 90 Tagen (Art. 6 Abs. 1 lit. f DSGVO).

13Empfänger und Übermittlung in Drittländer

Daten geben wir nur an die genannten Dienstleister weiter, soweit sie sie für ihre Aufgabe brauchen. Einige sitzen in den USA (Cloudflare, Expo, Discord, Valve, Apple, Google). Die Übermittlung stützt sich auf den Angemessenheitsbeschluss zum EU-US Data Privacy Framework, soweit der Anbieter zertifiziert ist, sonst auf Standardvertragsklauseln der EU-Kommission (Art. 46 DSGVO).

14Speicherdauer und Löschen

Deine Daten speichern wir, solange dein Account besteht. Du kannst ihn jederzeit in der App unter Einstellungen löschen; zur Sicherheit bestätigst du das mit einem Code per E-Mail (ohne hinterlegte E-Mail-Adresse, etwa als Gast, genügt die Bestätigung in der App). Dann löschen wir Account, Inventar, Verlauf, Freundschaften, verbundene Konten und Push-Tokens endgültig. In Battles mit anderen Spielern bleibt dein Platz erhalten, dein Name wird durch „Gelöschter Nutzer“ ersetzt.

Gast-Accounts, die nie gesichert und ein Jahr lang nicht benutzt wurden, löschen wir automatisch – ohne Anmeldeweg sind sie dann ohnehin nicht mehr erreichbar.

Codes per E-Mail laufen nach kurzer Zeit ab und werden nach Gebrauch gelöscht.

15Deine Rechte

Du hast das Recht auf:

• Auskunft über deine gespeicherten Daten (Art. 15 DSGVO)
• Berichtigung falscher Daten (Art. 16 DSGVO)
• Löschung (Art. 17 DSGVO) und Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruch gegen Verarbeitungen, die auf unserem berechtigten Interesse beruhen (Art. 21 DSGVO)
• Widerruf einer Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO)
• Beschwerde bei einer Datenschutz-Aufsichtsbehörde (Art. 77 DSGVO)

Vieles geht direkt in der App: E-Mail-Adresse und Passwort ändern, verbundene Konten trennen, Profil-Sichtbarkeit und Benachrichtigungen einstellen und den Account löschen.

16Kinder und Jugendliche

Skinrush ist ab 13 Jahren (siehe Nutzungsbedingungen). Wir erheben wissentlich keine Daten jüngerer Kinder; erfahren wir davon, löschen wir den Account.

17Änderungen

Ändern sich Funktionen oder Dienstleister, passen wir diese Erklärung an. Es gilt die hier veröffentlichte Fassung; das Datum oben zeigt den Stand.