Datenschutzerklärung

Verantwortlicher

DAMAGE GmbH, Hansaring 18, 48155 Münster, Deutschland — vertreten durch die Geschäftsführer David Julian Albers und Dr. med. Maurice Dellin
E-Mail: kontakt@arthroguess.app oder info@damage.ms

Worum es hier geht

ArthroGuess ist ein Lernquiz. Es gibt keine Werbung, keine Analyse- oder Tracking-Dienste und keine Weitergabe von Daten zu kommerziellen Zwecken. Verarbeitet wird nur, was für den Betrieb des Quiz nötig ist — im Einzelnen:

Konto

Bei der Registrierung werden gespeichert: ein frei wählbarer Name, eine E-Mail-Adresse, der Ausbildungsstand und das Passwort — letzteres ausschließlich als Hash (scrypt), niemals im Klartext. Das Konto wird erst nach Bestätigung der E-Mail-Adresse aktiv; unbestätigte Konten verfallen. Die E-Mail-Adresse dient allein dem Zurücksetzen des Passworts; Reset-Links gelten eine Stunde, sind nur einmal verwendbar und werden ihrerseits nur als Hash gespeichert. Rechtsgrundlage ist die Durchführung des Nutzungsverhältnisses (Art. 6 Abs. 1 lit. b DSGVO).

Der gewählte Name ist für andere Teilnehmer sichtbar: Er erscheint mit Punktestand und Trefferquote in der Bestenliste, die nur angemeldeten Nutzern zugänglich ist. Wer auch dort nicht mit Klarnamen stehen möchte, wählt ein Pseudonym — das ist ausdrücklich zulässig.

Quiznutzung

Zu jeder Antwort werden gespeichert: das beantwortete Bild, die gewählte Kategorie, ob sie richtig war, der Zeitpunkt und die im Browser gemessene Zeit bis zur Auswahl. Diese Daten speisen Punktestand, Bestenliste und Rundenauswertung; Administratoren können sie zu Auswertungszwecken als Tabelle exportieren. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

Cookies und lokale Speicherung

Die Anwendung setzt genau einen Cookie: die Anmeldesitzung (gültig 30 Tage, beim Abmelden serverseitig gelöscht). Er ist technisch notwendig und daher nicht einwilligungspflichtig (§ 25 Abs. 2 TDDDG). Zusätzlich merkt sich der Browser lokal (localStorage, verlässt das Gerät nicht), ob der Cookie-Hinweis bestätigt und die Kurzanleitung gesehen wurde.

Hosting und Server-Logs

Die Anwendung läuft auf einem Server der Hetzner Online GmbH (Deutschland) im Rechenzentrum Falkenstein. Beim Aufruf verarbeitet die Infrastruktur technisch bedingt IP-Adressen und Verbindungsdaten; kurzzeitig hält die Anwendung IP-Adressen zudem im Arbeitsspeicher, um Anmeldeversuche zu begrenzen (Schutz vor Missbrauch, Art. 6 Abs. 1 lit. f DSGVO). Mit Hetzner besteht ein Auftragsverarbeitungsvertrag; eine Übermittlung in Drittländer findet für das Hosting nicht statt.

E-Mail-Versand

Verschickt werden genau zwei Arten von E-Mails: die Bestätigungsmail bei der Registrierung und die „Passwort vergessen“-Mail — technisch über Resend, Inc. (USA; Versand über Serverstandorte in der EU). Weitere E-Mails — Newsletter, Benachrichtigungen, Werbung — gibt es nicht.

Backups

Zur Absicherung gegen Datenverlust wird täglich eine verschlüsselte Sicherung der Datenbank und der Bilddateien erstellt (restic, AES-256; der Schlüssel liegt nicht beim Speicheranbieter). Abgelegt werden die Sicherungen auf einem Speichersystem der Hetzner Online GmbH in Deutschland; erstellt und monatlich probeweise wiederhergestellt werden sie auf dem eigenen Server. Tagessicherungen werden nach 14 Tagen, Wochensicherungen nach 8 Wochen und Monatssicherungen nach 12 Monaten gelöscht. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Datensicherheit).

Speicherdauer und Löschung

Konto- und Quizdaten bleiben gespeichert, solange das Konto besteht. Sie können Ihr Konto samt aller Antworten jederzeit selbst löschen (Konto → Konto löschen) oder die Löschung formlos an die oben genannte Adresse anfragen; in Sicherungskopien verbleiben die Daten danach höchstens bis zum Ablauf der Aufbewahrungsfristen (je nach Sicherungsart 14 Tage bis 12 Monate).

Ihre Rechte

Sie haben nach der DSGVO das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21). Wenden Sie sich dafür an die oben genannte Adresse. Daneben besteht ein Beschwerderecht bei einer Datenschutz-Aufsichtsbehörde.