Datenschutzerklärung

Stand: 12. Oktober 2026. Diese Erklärung gilt für die App Ovalings und die Webseite mit den Rechtstexten. Sie sagt dir, welche Daten wir verarbeiten, wozu und welche Rechte du hast.

1. Verantwortlicher

• Luis Dominic Bodenbach, Vogelsbergstraße 27, 60316 Frankfurt am Main
• E-Mail: ovalings.support@proton.me
• Kontaktformular: in der App unter Einstellungen, Rechtliches, Kontakt, und auf der Webseite

Eine Datenschutzbeauftragte oder einen Datenschutzbeauftragten müssen wir nicht benennen. Für alle Fragen zum Datenschutz erreichst du uns über die Wege oben.

2. Welche Daten wir verarbeiten

• Konto: E-Mail-Adresse, Passwort (nur verschlüsselt als Prüfwert, nie im Klartext) und Geburtsjahr.
• Profil: Anzeigename und Freundescode.
• Spielstand: Diamanten, Gold, Energie und deren Buchungen, Eier, Ovalings mit ihrem Verlauf, Gegenstände, Kulissen.
• Miteinander spielen: Freundschaften, Angebote auf dem Marktplatz, Nachrichten in der Inbox.
• Steckbrief der Ovalings: die drei Sätze im Steckbrief und je Aufruf der KI die Kennung deines Kontos, Zeitpunkt, Art des Aufrufs, Modell, Menge der verarbeiteten Textbausteine und Kosten (siehe Abschnitt 7).
• Belohnungsvideos: je abgeholter Belohnung die Kennung deines Kontos, Tag, Stelle im Spiel, ob per Video oder per Monatspass, die Kennung der Transaktion von Google und die Belohnung (siehe Abschnitt 8).
• Käufe mit echtem Geld: Store (Apple oder Google), Kennung des Belegs und der Bestellung, Produkt, Menge, Richtpreis, Zeitpunkt, was gebucht wurde, bei Monatspässen Laufzeit und Stand des Abos, bei Rückerstattungen Zeitpunkt, Grund und was zurückgebucht wurde (siehe Abschnitt 9). Zahlungsdaten wie Kartennummern erhalten wir nicht.
• Freigabe durch Eltern (nur unter 18): die E-Mail-Adresse, die du für deine Eltern angibst, bis zu ihrer Entscheidung, danach nur Stand, Grenze je Monat und Zeitpunkt der Entscheidung (siehe Abschnitt 9).
• Kontaktformular: deine Nachricht, das Thema, deine E-Mail-Adresse und ein verschlüsselter Prüfwert deiner IP-Adresse gegen Spam.
• Technische Daten: Bei jeder Verbindung zu unserem Server fallen IP-Adresse, Zeitpunkt und die Anfrage an.
• Auf deinem Gerät: deine Anmeldung (verschlüsselt), deine Einstellungen und Bilder deiner Ovalings als Zwischenspeicher.

Wir selbst nutzen keine Analyse- oder Tracking-Werkzeuge. Für die Belohnungsvideos ist das Werbe-SDK von Google eingebunden, was es verarbeitet, steht in Abschnitt 8. Die App greift nicht auf Standort, Kontakte, Fotos, Kamera oder Mikrofon zu.

3. Zwecke und Rechtsgrundlagen

• Konto, Spielstand, Freund:innen, Marktplatz und Inbox: damit du Ovalings spielen kannst. Rechtsgrundlage ist der Vertrag über die Nutzung (Art. 6 Abs. 1 lit. b DSGVO).
• Geburtsjahr: um das Mindestalter von 16 Jahren einzuhalten und Käufe für Spielerinnen und Spieler unter 18 zu sperren (Art. 6 Abs. 1 lit. b und c DSGVO).
• Bestätigungsmails und Mails zum Zurücksetzen des Passworts: für dein Konto (Art. 6 Abs. 1 lit. b DSGVO).
• Steckbrief: damit jedes Ovaling eine eigene Beschreibung bekommt (Art. 6 Abs. 1 lit. b DSGVO) und um die Zahl der Aufrufe je Konto und Tag und die Kosten zu begrenzen (Art. 6 Abs. 1 lit. f DSGVO).
• Belohnungsvideos: um die Belohnung, die du dir aussuchst, genau einmal gutzuschreiben und die Grenzen je Tag einzuhalten (Art. 6 Abs. 1 lit. b DSGVO). Für personalisierte Werbung und das Speichern auf deinem Gerät durch Google fragen wir vorher nach deiner Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG).
• Käufe mit echtem Geld: um Käufe zu prüfen, gutzuschreiben, Monatspässe zu führen und Rückerstattungen zu verbuchen (Art. 6 Abs. 1 lit. b DSGVO) und um Belege so lange aufzubewahren, wie das Steuer- und Handelsrecht es verlangt (Art. 6 Abs. 1 lit. c DSGVO).
• Freigabe durch Eltern: um Käufe von Spielerinnen und Spielern unter 18 nur mit Zustimmung der Eltern und in deren Grenze zuzulassen (Art. 6 Abs. 1 lit. b und f DSGVO).
• Buchungen der Spielwährungen und Server-Protokolle: um Betrug, Missbrauch und Fehler zu erkennen und das Spiel sicher zu betreiben. Rechtsgrundlage ist unser berechtigtes Interesse an einem fairen und sicheren Spiel (Art. 6 Abs. 1 lit. f DSGVO).
• Kontaktformular: um deine Anfrage zu beantworten (Art. 6 Abs. 1 lit. b oder f DSGVO).
• Löschen deines Kontos: um deinen Wunsch umzusetzen (Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit Art. 17 DSGVO).

4. Speichern auf deinem Gerät

Die App speichert deine Anmeldung, deine Einstellungen (Sprache, Klang, Darstellung) und Bilder deiner Ovalings auf deinem Gerät. Das ist nötig, damit die App so funktioniert, wie du sie nutzen willst (§ 25 Abs. 2 Nr. 2 TDDDG). Eine Einwilligung braucht es dafür nicht. Wenn du die App löschst, sind diese Daten weg. Was das Werbe-SDK von Google auf deinem Gerät speichert, steht in Abschnitt 8.

5. Empfänger

• Supabase: Unser Server läuft bei Supabase (Supabase Pte. Ltd.), Rechenzentrum in Frankfurt am Main. Supabase verarbeitet die Daten nur in unserem Auftrag und nach unseren Weisungen (Auftragsverarbeitung nach Art. 28 DSGVO). Darüber laufen auch die Bestätigungsmails.
• Anthropic: formuliert die Steckbriefe (Anthropic, PBC, Modell Claude Haiku). Was wir dorthin senden, steht in Abschnitt 7.
• Google AdMob: zeigt die Belohnungsvideos (Google Ireland Limited). Einzelheiten in Abschnitt 8.
• Resend: verschickt die E-Mail an deine Eltern, wenn du unter 18 eine Freigabe für Käufe anfragst (Abschnitt 9).
• Andere Spieler:innen: Deinen Anzeigenamen, deine Vitrine, deine Kulisse und deine Angebote auf dem Marktplatz sehen andere. Dein Profil mit Sammlung sehen nur deine Freund:innen. Die Steckbriefe der Ovalings sehen alle, die das Ovaling ansehen. Deine E-Mail-Adresse sieht niemand.
• Apple und Google: Sie stellen die App bereit und wickeln Käufe in der App ab. Dafür sind sie selbst verantwortlich, es gelten ihre Datenschutzerklärungen. Unser Server fragt bei ihnen jeden Beleg nach, um einen Kauf zu prüfen, und sie melden uns Verlängerungen, Kündigungen und Rückerstattungen. Wir erhalten nur die Angaben, die wir dafür brauchen, keine Zahlungsdaten.
• GitHub: Die Webseite mit den Rechtstexten und die Seite, auf der Eltern Käufe freigeben, liegen bei GitHub Pages (GitHub, Inc.). GitHub speichert dabei die IP-Adresse jedes Besuchs zu Sicherheitszwecken.

Wir verkaufen keine Daten. Für Werbung geben wir nur weiter, was in Abschnitt 8 steht.

6. Übermittlung in Länder außerhalb der EU

Supabase sitzt in Singapur und setzt Dienstleister ein, darunter Amazon Web Services in den USA. Deine Spieldaten liegen in Frankfurt, ein Zugriff aus diesen Ländern ist aber möglich, etwa für Wartung und Support. Grundlage sind die Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO). Eine Kopie bekommst du auf Anfrage. GitHub übermittelt Daten in die USA auf Grundlage des Angemessenheitsbeschlusses für zertifizierte Unternehmen (EU-US Data Privacy Framework) und der Standardvertragsklauseln. Anthropic verarbeitet die Angaben für die Steckbriefe in den USA. Google und Resend können Daten ebenfalls in die USA übermitteln.

7. Steckbrief mit KI

Die drei Sätze im Steckbrief eines Ovalings formuliert eine KI: Claude Haiku von Anthropic. Der Aufruf läuft nur über unseren Server, nie direkt aus der App. Gesendet werden nur Angaben, die aus der Kennung des Ovalings berechnet sind: Familie, Ei, Seltenheit, Beiname, Aussehen (Körper, Augen, Haut, Zeichnung, Brauen, seltene Teile), die Werte als grobe Stufe, Rang in der Seltenheit, Nutzen im Kampf, Zahl der Attacken-Plätze und die Passive. Für eine Übersetzung geht der fertige englische Steckbrief dazu. Dein Name, deine E-Mail-Adresse, der Spitzname des Ovalings oder andere Angaben über dich werden nicht gesendet.

Die KI bestimmt nichts im Spiel. Werte, Chancen und Beute rechnet allein unser Code, die KI formuliert nur. Der Steckbrief entsteht, wenn die Besitzerin oder der Besitzer das Ovaling zum ersten Mal ansieht, und wird beim Ovaling gespeichert. Er bleibt, solange es das Ovaling gibt. Damit wir die Kosten begrenzen können, speichern wir je Aufruf, welches Konto ihn ausgelöst hat (siehe Abschnitt 2).

8. Werbung

Ovalings zeigt nur Werbevideos, die du freiwillig startest, um eine Belohnung zu bekommen, etwa doppelte Beute nach einem Kampf, Energie, Diamanten oder einen Dreh am Glücksrad. Es gibt keine Werbung zwischen den Aktionen und keine Banner. Wer einen Monatspass hat, bekommt dieselben Belohnungen ohne Video.

Die Videos kommen von Google AdMob (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland). Wo es nötig ist, etwa in der EU, fragt die App beim Start über das Einwilligungsformular von Google, ob Google Daten für personalisierte Werbung nutzen und auf deinem Gerät speichern darf. Deine Wahl kannst du jederzeit in den Einstellungen unter „Datenschutz-Optionen für Werbung“ ändern. Ohne Einwilligung zeigt Google nur Anzeigen ohne Personalisierung oder keine. Wir lassen nur Anzeigen zu, die für Jugendliche geeignet sind.

Was Google beim Laden und Zeigen eines Videos verarbeitet (etwa Kennungen des Geräts, IP-Adresse, Angaben zum Gerät und zur Anzeige), entscheidet Google selbst, es gilt die Datenschutzerklärung von Google. Wir geben Google beim Laden eines Videos nur die Kennung deines Kontos und die Stelle im Spiel mit, bei doppelter Beute auch die Kennung des Kampfes. Nach dem Video meldet Google unserem Server, dass du die Belohnung verdient hast. Unser Server prüft die Signatur dieser Meldung und schreibt die Belohnung je Transaktion genau einmal gut. Was wir dabei speichern, steht in Abschnitt 2. Diese Einträge bleiben, bis du dein Konto löschst.

9. Käufe mit echtem Geld

Käufe laufen über den App Store von Apple oder Google Play. Nach dem Kauf schickt die App den Beleg an unseren Server. Der Server fragt bei Apple oder Google nach, ob der Kauf echt und bezahlt ist, und schreibt den Inhalt erst dann gut, je Beleg genau einmal. Apple und Google melden uns außerdem Verlängerungen, Kündigungen und Rückerstattungen.

Bei einer Rückerstattung buchen wir den Inhalt des Kaufs zurück, höchstens bis dein Bestand bei 0 liegt. Fehlen Diamanten, die schon ausgegeben sind, merken wir uns den Fehlbetrag. Ab der zweiten solchen Rückerstattung sind weitere Käufe gesperrt, bis du den Fehlbetrag mit Diamanten ausgleichst.

Bist du unter 18, sind Käufe gesperrt, bis deine Eltern sie freigeben. Dafür gibst du in der App die E-Mail-Adresse deiner Eltern an. Wir schicken ihnen über Resend eine E-Mail mit deinem Anzeigenamen und zwei Links, einen zum Freigeben mit einer Grenze je Monat und einen zum Ablehnen oder späteren Zurückziehen. Von den Links speichern wir nur einen Prüfwert. Die Adresse löschen wir, sobald deine Eltern entschieden haben, spätestens nach 7 Tagen. Danach speichern wir nur, ob freigegeben ist, die Grenze und den Zeitpunkt.

Gästen sind Käufe mit echtem Geld nicht möglich.

10. Wie lange wir Daten speichern

• Konto und Spielstand: bis du dein Konto löschst. Wir merken es dann 30 Tage lang zum Löschen vor. In dieser Zeit sehen andere dich nicht mehr, und du kannst die Löschung abbrechen, indem du dich anmeldest. Danach löschen wir alles, was zu deinem Konto gehört, auch deine Nachrichten über das Kontaktformular, und im Verlauf verkaufter Ovalings fallen deine Konto-Kennung und deine Spitznamen weg. Gastkonten löschen wir sofort. Ovalings, Eier und Gegenstände, die du an andere verkauft hast, gehören diesen und bleiben bei ihnen, ebenso die Steckbriefe dieser Ovalings.
• Belohnungsvideos: bis du dein Konto löschst.
• Adresse der Eltern: bis zu ihrer Entscheidung, höchstens 7 Tage.
• Kontaktformular: bis deine Anfrage erledigt ist, danach höchstens ein Jahr.
• Server-Protokolle: nur kurz, nach den Fristen von Supabase.
• Belege über Käufe: so lange, wie das Steuer- und Handelsrecht es verlangt (bis zu zehn Jahre). Löschst du dein Konto, bleiben sie ohne Verbindung zu deinem Konto erhalten.

11. Deine Rechte

Du hast das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch gegen Verarbeitungen aus berechtigtem Interesse (Art. 21). Eine Einwilligung kannst du jederzeit für die Zukunft widerrufen, die Einwilligung für Werbung direkt in den Einstellungen. Schreib uns sonst über das Kontaktformular oder per E-Mail.

Du kannst dich außerdem bei einer Datenschutz-Aufsichtsbehörde beschweren, etwa in dem Land, in dem du wohnst (Art. 77 DSGVO).

12. Kinder und Jugendliche

Ovalings ist ab 16 Jahren. Für Spielerinnen und Spieler unter 18 sind Käufe mit echtem Geld gesperrt, bis die Eltern sie freigeben (Abschnitt 9). Käufe in der App laufen über Apple und Google, dort greifen zusätzlich deren Einstellungen für Familien.

13. Musst du Daten angeben?

Für ein Konto brauchen wir E-Mail-Adresse, Passwort und Geburtsjahr. Ohne sie kannst du Ovalings nicht spielen. Alles andere entsteht beim Spielen. Belohnungsvideos und Käufe sind freiwillig.

14. Automatisierte Entscheidungen

Was ein Ei enthält, entscheidet der Zufall auf unserem Server, nach den Chancen, die im Shop stehen. Das ist keine Entscheidung über dich als Person. Auch der Steckbrief mit KI beschreibt nur das Ovaling, nicht dich. Wir bilden keine Profile über dich.

15. Sicherheit

Alle Verbindungen sind verschlüsselt. Deine Anmeldung liegt verschlüsselt auf dem Gerät. Werte wie Diamanten und Ovalings schreibt nur der Server, und jedes Konto sieht in der Datenbank nur seine eigenen Daten. Belohnungen und Käufe bucht nur der Server, nach der geprüften Meldung von Google AdMob oder nach Rückfrage bei Apple oder Google.

16. Konto löschen

In der App: Einstellungen, Konto, Konto löschen. Ohne App: über das Kontaktformular auf der Webseite mit dem Thema Konto löschen. Wir löschen dann dein Konto mit allen Daten, nach einer Frist von 30 Tagen, in der du es dir anders überlegen kannst (siehe Abschnitt 10). Ein laufender Monatspass endet dadurch nicht beim Store. Kündige ihn vorher im App Store oder bei Google Play.

17. Änderungen

Ändern sich die App oder die Rechtslage, passen wir diese Erklärung an. Die aktuelle Fassung steht immer in der App und auf der Webseite.