Datenschutz & Compliance Protokoll v4.0

DATENSCHUTZERKLÄRUNG – NUMOPIA: MATHE & KOPFRECHNEN Gültig ab: Oktober 2026 | Version: 5.0 1. VERANTWORTLICHE STELLE Numopia wird betrieben durch: Name: Mohamad Chaaban Adresse: Wittbräucker Str. 586a, 44267 Dortmund, Deutschland E-Mail: info@numopia.com Website: https://www.numopia.com 2. WAS IST NUMOPIA? Numopia ist ein kostenloses Lernspiel für Kopfrechnen und Mathematik (Klassenstufe 1–7 und Erwachsene). Das Spiel ist werbefrei, kostenlos und verkauft keine Daten. Es ist als Web-App (www.numopia.com) und als Android-App im Google Play Store verfügbar. Beide Varianten nutzen dieselben Server und dieselbe Datenhaltung. Wir erheben nur die Daten, die für den Spielbetrieb notwendig sind. Wir betreiben keine Werbung, kein Nutzer-Tracking und keine Analyse-Dienste. Es gibt keine Zahlungsfunktion und damit keine Zahlungsdaten. 3. WELCHE DATEN WIR VERARBEITEN SPIELKONTO (bei Registrierung): - Nickname (selbst gewählt, frei erfindbar – kein echter Name erforderlich) - Avatar (Bild-ID aus einer festen Auswahlliste) - Klassenstufe (1–2, 3–4 oder 5–7 bzw. Erwachsene) – wir fragen NICHT das Alter ab, sondern nur die Klassenstufe - Zugangsdaten: entweder E-Mail + Passwort oder Google-Login. Passwörter speichert Google Firebase Authentication in gehashter Form – wir können sie niemals einsehen - Land (optional, für die Landesflagge neben dem Highscore) SPIELBETRIEB: - Spielstände, Highscores und Spielhistorie (Punkte, Aufgaben, benötigte Zeit) - Aktueller Spielmodus und Raum, wenn du online spielst - Vordefinierte Emoji-Reaktionen im Mehrspieler-Modus (kein freier Text-Chat) FÜR KINDER-KONTEN (Klassenstufe 1–7): - E-Mail-Adresse eines Erziehungsberechtigten – VERSCHLÜSSELT gespeichert (siehe Abschnitt 6 und 8) FÜR LEHRER-KONTEN (Schul-Zugang): - Kontakt-E-Mail-Adresse des Lehrers – ebenfalls VERSCHLÜSSELT gespeichert FEEDBACK-FUNKTION (nur wenn du sie nutzt): - Deine Feedback-Nachricht, der Typ (Fehler/Vorschlag), die Seiten-URL, Browser und Betriebssystem; ein Screenshot nur dann, wenn du ihn selbst anhängst TECHNISCHE DATEN (automatisch): - Zeitpunkt des letzten Seitenaufrufs und grober Gerätetyp (mobil/Desktop/Browserkennung), solange du die Seite offen hast („Presence") - Kurze Server-Protokolle beim Web-Aufruf (Internetanbieter-Technik: IP-Adresse, Zeitpunkt, abgerufene Seite) – automatisch gelöscht WAS WIR NICHT TUN: - Keine Werbung, kein Tracking, keine Analyse-Tools, keine Weitergabe an Dritte zu Marketing-Zwecken - Keine Google-Analytics- oder Facebook-Pixel-Artefakte – der Code enthält schlicht keine Analyse-Dienste - Keine Zahlungs- oder Bankdaten (das Spiel ist kostenlos) - Keine Gesichtserkennung, kein Mikrofon, keine Kamera, kein Standort-Tracking 4. GASTMODUS (SPIELEN OHNE KONTO) Du kannst Numopia ohne Registrierung nutzen. Technisch erhält dein Gerät dann eine anonyme, zufällige Kennung von Firebase Authentication – ohne Name, ohne E-Mail, ohne personenbezogene Angaben. Dein Spielstand läuft unter dieser anonymen Kennung. Wenn du ein richtiges Konto registrierst, kannst du den Gast-Fortschritt mitnehmen. Auch Gast-Daten unterliegen denselben Schutzregeln wie alle anderen Daten. 5. UNSERE DIENSTLEISTER (AUFTRAGSVERARBEITER NACH ART. 28 DSGVO) Wir betreiben keine eigenen Server. Diese Anbieter verarbeiten Daten ausschließlich in unserem Auftrag: GOOGLE FIREBASE (Authentifizierung + Datenbank): - Anbieter: Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland - Datenbank-Region: Frankfurt, Deutschland (europe-west3) – deine Spieldaten bleiben in der EU - Datenschutz: https://firebase.google.com/support/privacy - Mit Google besteht ein Datenverarbeitungsvertrag (DPA) - Google hält für seine Cloud-Infrastrukturbranchenübliche Zertifizierungen (u. a. ISO 27001, SOC 2) vor VERCEL (WEB-HOSTING & GLOBALES CDN): - Anbieter: Vercel Inc., 410 Terry Ave N, Seattle, WA 98109, USA - Hosting mit Edge-Knoten weltweit; bei Aufrufen aus Deutschland wird bevorzugt der EU-/Frankfurt-Knoten genutzt - Datenschutz: https://vercel.com/legal/privacy-policy - Verarbeitet: ausgelieferte Seiteninhalte und kurze Zugriffsprotokolle GOOGLE SIGN-IN (NUR FALLS DU MIT GOOGLE LOGGST): - OAuth-2.0-Anmeldung über Google; dabei erhält Numopia nur deinen Google-Namen und deine Google-E-Mail-Adresse - https://policies.google.com/privacy STRATO (DOMAIN & E-MAIL-VERSEND): - Anbieter: STRATO AG, Otto-Ostrowski-Straße 7, 10249 Berlin, Deutschland - Verwaltet die Domain numopia.com und versendet unsere E-Mails (z. B. Eltern-Bestätigungen) – Server in Deutschland - Datenschutz: https://www.strato.de/datenschutz/ WHATSAPP-KANAL (NUR WENN DU IHM FOLGST – HINWEIS, KEIN AUFTRAGSVERARBEITER): - Für Neuigkeiten bieten wir einen WhatsApp-Kanal an (Anbieter: WhatsApp Ireland Ltd. / Meta Platforms Ireland Ltd., Grand Canal Square, Dublin 2, Irland) - Ein Klick auf den Kanal-Link führt dich zu WhatsApp: Ab dort gilt die Datenschutzerklärung von Meta (https://www.whatsapp.com/legal/privacy-policy-eea) – nicht diese Erklärung - Wir verwalten nur den Inhalt des Kanals. Deine Telefonnummer wird uns als Kanal-Betreiber von WhatsApp nicht angezeigt; wir erhalten von WhatsApp keine personenbezogenen Daten über unsere Follower - Ob und wie du WhatsApp nutzt, entscheidest du allein – Numopia funktioniert vollständig ohne WhatsApp Rechtsgrundlagen: Art. 6(1)(b) DSGVO (Vertragserfüllung – Bereitstellung des Spiels) und Art. 28 DSGVO (Auftragsverarbeitung) für alle Dienstleister. 6. KINDERSCHUTZ & ELTERN-EINWILLIGUNG Numopia richtet sich ausdrücklich auch an Schulkinder. Deshalb gilt: - Bei der Registrierung fragen wir nur die KLASSENSTUFE ab, nie das Alter und nie den Geburtstag. - Wählt ein Kind die Klassenstufe 1–2, 3–4 oder 5–7, ist eine ELTERN-EINWILLIGUNG zwingend erforderlich (Art. 8 DSGVO). Wir verlangen sie unabhängig vom Land für alle Minderjährigen – also auch in Ländern, in denen die DSGVO erst ab 16 gelten würde. - Das Kind gibt dazu die E-Mail-Adresse eines Erziehungsberechtigten an. Diese Adresse wird AES-256-verschlüsselt gespeichert (Abschnitt 8). - Die Eltern erhalten eine E-Mail mit zwei Links: bestätigen oder ablehnen. Lehnen sie ab, wird das Konto sofort gesperrt und vom Betreiber entfernt. - Sichtbar für andere Spieler sind nur Nickname und Avatar (sowie die Landesflagge, falls gewählt). Die E-Mail-Adresse der Eltern ist für niemanden sichtbar – auch nicht für den Betreiber. - Es gibt keinen freien Chat zwischen Spielern. Die einzige Kommunikation sind vordefinierte Emoji-Reaktionen. - Eltern können jederzeit die Löschung des Kinderkontos verlangen (Abschnitt 9) oder auf den Ablehn-Link aus der E-Mail zurückgreifen. Hinweis für Eltern: Eine kompakte Übersicht „Für Eltern" mit allen Kinderschutz-Funktionen findest du auf der Webseite. Bei Fragen: info@numopia.com. 7. RECHTSGRUNDLAGEN (DSGVO) - Art. 6(1)(b) – Vertragsführung: Spielkonto, Spielstände, Highscores (das Spiel kann ohne diese Daten nicht betrieben werden) - Art. 6(1)(a) – Einwilligung: Eltern-Einwilligung bei Kinder-Konten; optionale Angaben wie Land; Feedback-Nachricht - Art. 6(1)(f) – berechtigtes Interesse: kurze Server-Protokolle für Sicherheit und Störungsbeseitigung; Presence-Anzeige aktiver Spieler - Art. 8 – Kinder-Schutz: Einwilligung der Erziehungsberechtigten bei allen Minderjährigen - Art. 13/14 – Informationspflicht: erfüllt diese Erklärung 8. SICHERHEITSMASSNAHMEN (ART. 32 DSGVO) - VERSCHLÜSSELTE KONTAKT-DATEN: Eltern- und Lehrer-E-Mail-Adressen werden mit AES-256-GCM verschlüsselt in der Datenbank gespeichert. Der Schlüssel liegt ausschließlich in der geschützten Server-Umgebung – nicht im Code, nicht in der Datenbank, nicht im Browser. Selbst bei einem Diebstahl der gesamten Datenbank wären die Adressen nicht lesbar. Auch der Betreiber kann sie nicht einsehen; sie werden ausschließlich automatisch zum Versand der notwendigen E-Mails kurzzeitig entschlüsselt. - DATENBANK-ZUGRIFF: Nutzerdaten sind durch strikte Zugriffregeln geschützt (Server-seitige Prüfung); eigene Daten sieht nur das eigene Konto, Fremd-Zugriffe sind technisch ausgeschlossen. - TRANSPORT: Alle Verbindungen laufen über TLS (HTTPS). - PASSWÖRTER: ausschließlich gehasht bei Firebase Authentication. - KEINE ANALYSE-DIENSTE: kein Google Analytics, kein Tracking – damit gibt es keine Tracking-Daten, die geschützt werden müssten. - Wir prüfen diese Maßnahmen regelmäßig intern. Ein externes Sicherheits-Audit hat nicht stattgefunden (wird bei Bedarf nachgeholt). 9. DEINE RECHTE (ART. 15–21 DSGVO) AUSKUNFT (Art. 15): Du kannst jederzeit eine Übersicht deiner gespeicherten Daten anfordern – kostenlos, per E-Mail an info@numopia.com (Betreff: „Auskunft"). BERICHTIGUNG (Art. 16): Nickname, Avatar und Land kannst du direkt im Spiel selbst ändern. Alles andere korrigieren wir auf Anfrage. LÖSCHUNG (Art. 17): Du kannst dein Konto SELBST und SOFORT löschen – in der App über „Konto löschen" (Einstellungen/Profil). Die Löschung entfernt Konto und Spielstände vollständig. Alternativ per E-Mail. Ausnahmen: gesetzliche Aufbewahrung (z. B. handelsrechtliche Vorgaben für die Impressum-Sphäre des Betreibers). EINSCHRÄNKUNG (Art. 18), DATENÜBERTRAGBARKEIT (Art. 20, Format JSON), WIDERSPRUCH (Art. 21, z. B. gegen Presence-Anzeige – kann durch Nicht-Nutzung oder Löschung ausgeübt werden): jeweils per E-Mail, kostenlos. Antwortzeit: innerhalb von 30 Tagen (bei komplexen Anfragen verlängert auf maximal 60 Tage, wir informieren dich dann). 10. BESCHWERDE BEI DER AUFSICHTSBEHÖRDE (ART. 77 DSGVO) Zuständige Aufsichtsbehörde (Deutschland, NRW): Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW) Adresse: Kavalleriestraße 8, 40213 Düsseldorf, Deutschland E-Mail: poststelle@ldi.nrw.de Telefon: +49 211 38424-0 Online-Beschwerde: https://www.ldi.nrw.de/beschwerde Alle weiteren EU-Datenschutzaufsichtsbehörden: https://edpb.ec.europa.eu/about-edpb/board/members_de Für Nutzer außerhalb der EU: Wir gewähren unabhängig vom Wohnsitz dieselben Datenschutzrechte wie für EU-Bürger. 11. SPEICHERDAUER - Aktives Konto: bis zur Löschung (durch dich jederzeit möglich) - Gelöschtes Konto: Spielstände und Profildaten werden mit der Löschung entfernt; technische Backups der Datenbank laufen nach maximal 90 Tagen ab - Eltern-/Lehrer-E-Mails: verschlüsselt, bis das zugehörige Konto gelöscht wird - Server-Protokolle (Web-Hosting): kurzlebig, automatische Löschung nach wenigen Wochen - Presence-Daten: enden mit dem Schließen der Seite, verfallen spätestens nach kurzer Zeit 12. COOKIES & LOKALE SPEICHERUNG Numopia setzt keine Tracking- oder Werbe-Cookies. Es gibt kein Consent-Banner, weil wir keine nicht-notwendigen Cookies verwenden. Lokal auf deinem Gerät werden nur die technische Anmelde-Sitzung (Firebase-Authentifizierung) und Spieler-Einstellungen (z. B. Sprache, Sound) gespeichert. Diese Daten verlassen dein Gerät nicht. 13. ANDROID-APP (GOOGLE PLAY STORE) Die Android-App ist ein WebView-Wrapper: Sie zeigt die Web-App in einem App-Rahmen und nutzt dieselben Server und dieselbe Datenschutzerklärung. Sie fordert KEINE App-Berechtigungen an (kein Kamera-, Mikrofon-, Standort- oder Kontakte-Zugriff). Die im Play Store hinterlegten „Data Safety"-Angaben entsprechen dieser Erklärung. Für den Download selbst gilt die Datenschutzerklärung von Google Play. 14. ÄNDERUNGEN DIESER ERKLÄRUNG Diese Erklärung kann bei Änderungen des Angebots angepasst werden. Die jeweils aktuelle Version findest du immer unter www.numopia.com/[de]/privacy. Bei wesentlichen Änderungen informieren wir Nutzer im Spiel. 15. KONTAKT FÜR DATENSCHUTZ-ANFRAGEN E-Mail: info@numopia.com (Betreff z. B. „Auskunft", „Löschung", „Datenschutz") Post: Mohamad Chaaban, Wittbräucker Str. 586a, 44267 Dortmund, Deutschland ZUSAMMENFASSUNG – WAS WIR VERSPRECHEN: 1. Kostenlos, werbefrei, keine In-App-Käufe 2. Kein Tracking, keine Analyse-Dienste 3. Spielerdaten in Deutschland/EU (Frankfurt) 4. Eltern- und Lehrer-E-Mails verschlüsselt – nicht einmal der Betreiber kann sie lesen 5. Kinder spielen nur mit Eltern-Einwilligung 6. Kein freier Chat zwischen Spielern 7. Konto jederzeit selbst löschbar 8. Deine DSGVO-Rechte gelten für alle Nutzer weltweit Version: 5.0 | Sprache: Deutsch | Gültig ab: Oktober 2026 | Letzte Aktualisierung: 5. Oktober 2026