Datenschutzerklärung

Verantwortlich für die Verarbeitung personenbezogener Daten im Zusammenhang mit KOS-MOS ist:

E-Mail: contact@karoldecyk.com

Daten werden nur verarbeitet, soweit dies für die Bereitstellung der Website, die Bearbeitung von Anfragen, die freiwillige öffentliche Bestenliste, freiwillige Nutzungsstatistiken und vom Nutzer gewählte Funktionen erforderlich ist. Dabei gelten insbesondere die Grundsätze der Rechtmäßigkeit, Datenminimierung, Zweckbindung und Speicherbegrenzung.

Je nach Funktion beruht die Verarbeitung auf Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahmen auf Anfrage), Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse) oder Art. 6 Abs. 1 lit. a DSGVO (Einwilligung). Einzelheiten stehen in den folgenden Abschnitten.

Angaben in Formularen und die Teilnahme an der globalen Bestenliste sind freiwillig. Ohne die für eine konkrete Anfrage erforderlichen Kontakt- und Nachrichtendaten kann sie möglicherweise nicht sinnvoll bearbeitet werden. Andere Websitefunktionen hängen nicht von einer Teilnahme an der Bestenliste ab.

Die Website wird über Firebase App Hosting bereitgestellt, einen Google-Dienst auf Google-Cloud-Infrastruktur. Beim Abruf können notwendige Verbindungsdaten verarbeitet werden, insbesondere IP-Adresse, Zeitpunkt, angeforderte Ressource und Browserinformationen, soweit dies für Auslieferung, Sicherheit und Diagnose erforderlich ist.

Die Anwendung wird mit Cloud Build gebaut, auf Cloud Run ausgeführt und über den Google Cloud Load Balancer mit aktiviertem Cloud CDN ausgeliefert. Primäre Region des App-Hosting-Backends ist europe-west4 (Niederlande); nicht zwischengespeicherte Anfragen werden aus dieser Region bedient, während Cloud CDN global arbeitet.

App Hosting stellt Cloud-Build-Build-Logs sowie Cloud-Run- und Cloud-CDN-Runtime-Logs in Cloud Logging bereit. Umfang und Speicherdauer richten sich nach den Google-Cloud-Diensten und der Logging-Konfiguration des Projekts. Aus europe-west4 folgt nicht, dass sämtliche Logs, Build-Artefakte, CDN-Kopien oder sonstige Firebase-Daten ausschließlich in den Niederlanden verarbeitet werden.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO: das berechtigte Interesse an einer sicheren, stabilen und leistungsfähigen Bereitstellung der Website.

• Architektur von Firebase App Hosting
• Logs und Messwerte von Firebase App Hosting

Das Kontaktformular und das Website-Anfrageformular senden Daten an einen eigenen KOS-MOS-Serverendpunkt. Nach der Validierung wird die Anfrage in der Cloud-Firestore-Collection contactRequests gespeichert und ist nur in der geschützten Admin Inbox zugänglich.

Je nach Formular können verarbeitet werden: Name, E-Mail-Adresse, Nachricht oder Projektidee, Thema oder Website-Typ, Sprache sowie optional Budget, Währung und Zeitraum. Die Anwendung speichert mit der Anfrage bewusst weder IP-Adresse noch User-Agent oder Anhänge.

Bei Anfragen zu möglichen Leistungen oder einer Zusammenarbeit ist Art. 6 Abs. 1 lit. b DSGVO die Rechtsgrundlage — vorvertragliche Maßnahmen auf Anfrage der betroffenen Person. Sonstige allgemeine Kommunikation wird nach Art. 6 Abs. 1 lit. f DSGVO verarbeitet — aufgrund des berechtigten Interesses, eingehende Kommunikation anzunehmen, zu organisieren und zu beantworten.

Neue Anfragen erhalten einen technischen Ablaufzeitpunkt von 365 Tagen. Dies ist die Retention des Projekts und keine gesetzlich vorgeschriebene Frist. Die automatische Firestore-Löschrichtlinie ist eingerichtet; die physische Löschung nach Ablauf kann technisch verzögert erfolgen.

Ist das Formular-Backend nicht erreichbar, kann die Website eine vorbereitete Nachricht an die öffentliche KOS-MOS-Adresse öffnen. Die Website speichert keine zusätzliche lokale Kopie des Entwurfs; anschließend versendet der Nutzer die Nachricht über seinen eigenen Mailclient und Mailanbieter.

E-Mails an diese öffentliche KOS-MOS-Adresse werden technisch über Cloudflare Email Routing verarbeitet und an ein verifiziertes internes Postfach des Verantwortlichen weitergeleitet. Die private Zieladresse wird nicht veröffentlicht. Dieser Dienst betrifft ausschließlich eingehende E-Mails an die öffentliche Adresse und ist nicht das Hosting der KOS-MOS-Website, das getrennt über Firebase App Hosting erfolgt.

Die über diesen Routingweg erreichbare öffentliche Adresse lautet: contact@karoldecyk.com

• Dokumentation zu Cloudflare Email Routing

Beim freiwilligen Absenden eines Ergebnisses speichert Cloud Firestore playerName, score, gameVersion, locale, createdAt, status sowie optional runMeta (technische Laufdaten wie Distanz, Münzen, Münzbonus und Build-Kennung). Neue Scores erhalten kein automatisches Ablaufdatum. Die Anwendung ergänzt keine IP-Adresse, keinen User-Agent, keine Nutzer-ID, keine E-Mail-Adresse und keine Geräte-ID.

Der öffentliche Endpunkt liefert nur Nickname (playerName), Score, Sprache, Spielversion und optional den Erstellungszeitpunkt. Dokument-ID, runMeta, status, ältere technische Ablaufdaten und Moderationsinformationen werden nicht veröffentlicht. Ein Nickname kann personenbezogen sein; der gewählte Nickname und Score können öffentlich in der Rangliste erscheinen.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Das berechtigte Interesse besteht im Betrieb und in der Bereitstellung einer öffentlichen Spielrangliste mit begrenztem Datenumfang. Die Teilnahme ist freiwillig und keine Voraussetzung für andere Teile der Website.

Globale Ranglisteneinträge werden grundsätzlich gespeichert, solange das Morfi-Runner-Leaderboard betrieben wird und der Eintrag für diesen Zweck benötigt wird. Das Alter eines Eintrags führt für sich allein nicht zu seiner Ausblendung. Ein Eintrag kann individuell gelöscht werden, insbesondere auf einen berechtigten Antrag der betroffenen Person.

Die Löschung eines Eintrags kann angefragt werden. Für die Zuordnung können Nickname, Score und ungefährer Absendezeitpunkt nötig sein. Bei gleichen Nicknames können zusätzliche Angaben erforderlich sein; eine öffentliche Selbstlösch-API gibt es nicht.

Anfragen zu Ranglisteneinträgen bitte an: contact@karoldecyk.com

Morfi Runner verwendet localStorage für Spielfunktionen. Dies ist kein Analyse- oder Marketingsystem. Folgende Schlüssel werden verwendet:

• kosmos-games-morfi-runner-highscores-v3 — lokale Top-5-Bestenliste
• kosmos-games-morfi-runner-player-name — gemerkter Nickname
• kosmos-games-morfi-runner-sound-v1 — gemerkte Soundeinstellung
• kosmos-games-morfi-runner-preferences-consent-v1 — Entscheidung zum Merken der Einstellungen

KOS-MOS führt eine eigene, begrenzte Nutzungsstatistik ausschließlich, um die Nutzung von Seiten und Bereichen, deren ungefähre Sichtbarkeitszeit, grobe Zugriffsquellen, Geräteklassen und ausgewählte Funktionen zu verstehen und die Website damit zu verbessern. Die Statistik dient nicht Werbung, Marketing, Datenverkauf, websiteübergreifendem Tracking oder der Bildung von Nutzerprofilen.

Die Verarbeitung beginnt erst nach ausdrücklicher Einwilligung. Rechtsgrundlage sind Art. 6 Abs. 1 lit. a DSGVO sowie Art. 399 PKE für den Zugriff auf den Gerätespeicher. Vor der Entscheidung und nach „Nur erforderlich“ werden weder Tracker noch Sitzungs-ID oder Anfrage an /api/analytics gestartet.

Die Videogalerie zeigt lokale Poster. Weder der Seitenaufruf noch das bloße Öffnen des Modals sendet eine Anfrage an Instagram. Erst nach einem ausdrücklichen Aktivierungsklick werden instagram.com/embed.js und das offizielle Instagram-Embed geladen; die Einwilligung wird nicht dauerhaft gespeichert.

Nach der Aktivierung entsteht eine direkte Verbindung zu Instagram/Meta. Meta kann dabei insbesondere IP-Adresse, Browser- und Geräteinformationen, Verbindungsinformationen sowie weitere in der eigenen Datenschutzrichtlinie beschriebene Nutzungsdaten verarbeiten.

Rechtsgrundlage für das vorher blockierte Laden ist die Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO sowie Art. 399 PKE, soweit einschlägig. Ohne Zustimmung bleibt das lokale Poster sichtbar und das Embed wird nicht geladen. Die Statistik-Einwilligung lädt Instagram nicht; die Instagram-Aktivierung erteilt umgekehrt keine Statistik-Einwilligung.

• Datenschutzrichtlinie von Meta

Die MetaMORFS-Downloadbuttons sind normale Links zum GitHub-Repository BlackzonePL/MetaMORFS-Releases. Beim Laden der KOS-MOS-Seite werden dafür weder GitHub-Skript noch API oder iframe eingebunden. Erst mit dem Klick verlässt der Nutzer KOS-MOS und verbindet sich mit GitHub.

Auch bei anderen normalen Links zu externen Websites entsteht eine Verbindung zum jeweiligen Anbieter erst nach Aktivierung des Links, sofern der Inhalt nicht ausdrücklich als eingebettet gekennzeichnet ist.

Nach erfolgreicher Speicherung einer Anfrage versendet der Server über Resend (Plus Five Five, Inc.) eine minimale Benachrichtigung an eine interne Adresse des Betreibers. Enthalten sind neutraler Text, Kontaktkanal oder Quelle, interne Firestore-Request-ID, Serverzeitpunkt, relativer Admin-Pfad und technische Empfängeradresse.

Nicht an Resend übermittelt werden dabei Besuchername, Besucher-E-Mail, Nachricht, Projektidee, Budget oder Zeitraum. Als Sending Region ist Irland (eu-west-1) gewählt; daraus folgt nicht, dass sämtliche Resend-Daten ausschließlich in Irland gespeichert werden.

Resend erklärt im DPA, dass die primären Verarbeitungsvorgänge in den USA stattfinden. Das DPA berücksichtigt Standardvertragsklauseln (SCCs) und das EU–US Data Privacy Framework als Mechanismen für internationale Übermittlungen.

Resend dient ausschließlich dieser ausgehenden minimalen Admin-Benachrichtigung. Eingehende Nachrichten an die öffentliche KOS-MOS-Adresse verarbeitet Resend nicht; dafür wird getrennt Cloudflare Email Routing eingesetzt.

• Resend Data Processing Addendum

KOS-MOS nutzt Cloud Firestore, Cloud Storage und Firebase Admin serverseitig. Kontaktanfragen und Morfi-Runner-Funktionen laufen über eigene Next.js-API-/Serverlogik; Besucher greifen für diese Funktionen nicht direkt über das Firebase Web SDK auf Firestore zu. Fotos aus Cloud Storage werden ebenfalls serverseitig ausgeliefert.

Google/Firebase ist technischer Dienstleister und Auftragsverarbeiter. Die Datenstandorte von Cloud Firestore und Cloud Storage sind anhand der Projekteinstellungen nicht bestätigt und werden nicht aus der App-Hosting-Region abgeleitet. Das gilt ebenso für Firebase-Authentication-Daten und die globale Build-, Logging- und CDN-Infrastruktur.

Googles offizielle Bedingungen sehen die Verarbeitung durch Google und Unterauftragsverarbeiter an deren Infrastrukturstandorten vorbehaltlich anwendbarer Datenstandortzusagen sowie Schutzmechanismen für internationale Übermittlungen vor.

• Firebase Privacy and Security
• Firebase Data Processing and Security Terms

Kontaktanfragen haben eine projektseitige Aufbewahrungsdauer von 365 Tagen; neue Datensätze erhalten serverseitig ein expiresAt-Feld. Statistik-Tagesaggregate werden ab ihrem UTC-Tag fest 24 Monate, minimale Empfangsbelege 7 Tage aufbewahrt. Globale Scores haben kein automatisches Ablaufdatum. Sie bleiben während des Betriebs des Morfi-Runner-Leaderboards und so lange gespeichert, wie sie für dessen Bereitstellung benötigt werden, sofern ein konkreter Eintrag nicht vorher gelöscht wird.

Lokale Spieldaten bleiben im Browser, bis der Nutzer sie löscht, das Merken von Einstellungen widerruft oder die Website-Daten im Browser entfernt. Andere Daten werden nur so lange gespeichert, wie es für den jeweiligen Zweck oder zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich ist.

Zugriff erhalten der Betreiber und — nur im erforderlichen Umfang — Google/Firebase für Firebase App Hosting und die weiteren eingesetzten Firebase-Dienste, Resend sowie bei E-Mails an die öffentliche Adresse Cloudflare Email Routing als technischer Weiterleitungsdienst zum verifizierten internen Postfach. Behörden werden Daten nur offengelegt, wenn geltendes Recht dies verlangt.

Bei Dienstleistern mit Infrastruktur außerhalb des Europäischen Wirtschaftsraums kann es zu internationalen Übermittlungen kommen. Dafür werden die Mechanismen aus Kapitel V DSGVO und den offiziellen Bedingungen des jeweiligen Anbieters eingesetzt, insbesondere Angemessenheitsbeschlüsse oder Standardvertragsklauseln, soweit einschlägig.

Im Rahmen der DSGVO bestehen Rechte auf Auskunft und Kopie, Berichtigung, Löschung, Einschränkung der Verarbeitung sowie Datenübertragbarkeit, soweit anwendbar. Gegen eine Verarbeitung auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO kann Widerspruch eingelegt werden.

Zur Bearbeitung eines Antrags können Informationen erforderlich sein, mit denen die Identität geprüft oder der richtige Datensatz gefunden werden kann. Bitte keine Daten übermitteln, die dafür nicht erforderlich sind.

Datenschutzanfragen können gerichtet werden an: contact@karoldecyk.com

Beruht eine Verarbeitung auf Einwilligung, kann sie jederzeit mit Wirkung für die Zukunft widerrufen werden. Die Rechtmäßigkeit der Verarbeitung vor dem Widerruf bleibt unberührt. Die Statistik lässt sich über „Datenschutzeinstellungen“ deaktivieren; das Merken von Nickname und Sound in den Spieleinstellungen; Instagram-Inhalte müssen nach dem Schließen erneut aktiviert werden.

Aus Gründen, die sich aus der besonderen Situation ergeben, kann einer Verarbeitung nach Art. 6 Abs. 1 lit. f DSGVO widersprochen werden. Die Verarbeitung wird dann beendet, sofern keine zwingenden schutzwürdigen Gründe überwiegen oder die Daten zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen benötigt werden.

Wer der Ansicht ist, dass Daten rechtswidrig verarbeitet werden, kann sich bei einer Datenschutzaufsichtsbehörde beschweren. In Polen ist dies der Prezes Urzędu Ochrony Danych Osobowych (UODO). Nach Art. 77 DSGVO kann auch eine andere zuständige Datenschutzbehörde angerufen werden.

• Offizielle Website der UODO

KOS-MOS setzt keine externen Analyse- oder Werbetracker, kein Meta Pixel, kein Google Analytics und kein allgemeines Marketing-Tracking ein. Die einzigen Nutzungsstatistiken sind die oben beschriebenen eigenen, begrenzten und einwilligungsabhängigen Aggregate.

Bei der normalen Nutzung werden Besucherdaten nicht zur Laufzeit an einen AI-Dienst gesendet. Es findet weder Profiling noch eine automatisierte Entscheidungsfindung mit rechtlicher oder ähnlich erheblicher Wirkung im Sinne von Art. 22 DSGVO statt.

Diese Erklärung kann angepasst werden, wenn sich Funktionen, technische Dienstleister oder rechtliche Anforderungen ändern. Die aktuelle Fassung und ihr Änderungsdatum werden auf dieser Seite veröffentlicht. Wesentliche neue Verarbeitungsvorgänge werden, soweit erforderlich, vor ihrer Einführung erläutert.