🎮 Wanna Play? Datenschutzerklärung

Stand: 4. September 2026

1. Verantwortlicher

Jürgen Ertl — Einzelunternehmer (Geschäftsbezeichnung „WannaPlay")
Lohwaggasse 6/3/3
1220 Wien, Österreich
E-Mail: office.wp@gmx.at
Support-Anfragen: wannaplay.support@gmail.com
Siehe auch Impressum. Ein Datenschutzbeauftragter ist nicht bestellt (nicht erforderlich).

2. Welche Daten wir verarbeiten

• Konto-Daten: Gamertag (Pflicht) sowie optional: E-Mail-Adresse und Passwort (gespeichert ausschließlich als scrypt-Hash, nie im Klartext), Geburtsdatum oder eine grobe Altersspanne, Geschlecht, Motto und Profil-Deko-Einstellungen.
• Steam-Verknüpfung (optional): Beim Steam-Login (Steam OpenID) erhalten wir deine öffentliche SteamID sowie den öffentlichen Anzeigenamen und Avatar. Deine Steam-Zugangsdaten sehen wir nie. Abfragen der Steam-Web-API (z. B. Spielebibliothek, Freundesliste — nur bei öffentlichem Steam-Profil) laufen ausschließlich serverseitig; der Steam-API-Schlüssel verlässt unseren Server nicht.
• Twitch (optional, nur bei freiwilliger Verknüpfung in Einstellungen › Streamer): Beim Verknüpfen (OAuth) erhalten wir Kanal-ID, Kanalname, Anzeigename, Profilbild-URL, Follower-Zahl, Partnerstatus und Erstelldatum des Kanals, um den Streamer-Status (ab 1.000 Followern) zu prüfen und anzuzeigen. Das Zugriffstoken widerrufen wir sofort nach der Prüfung; für die monatliche Nachprüfung genügt die öffentliche Follower-Zahl. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (von dir gewünschte Funktion). Speicherdauer: bis du die Verknüpfung in Einstellungen › Streamer löst oder dein Konto löschst. Anbieter außerhalb der EU — Standardvertragsklauseln.
• TikTok / YouTube / Kick (optional, manuelle Prüfung): Du gibst uns nur den Link deines Kanals und trägst vorübergehend einen Prüf-Code in deine Kanal-Bio ein; unser Team prüft den öffentlichen Kanal und trägt die öffentliche Follower-Zahl ein. Es findet kein automatischer Datenabruf statt, es werden keine Daten an diese Anbieter übermittelt. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (von dir gewünschte Funktion). Speicherdauer: bis du die Verknüpfung in Einstellungen › Streamer löst oder dein Konto löschst.
• Login-Sitzungen: Auth-Tokens werden nur als sha256-Hash gespeichert (Sitzungsdauer gleitend ca. 180 Tage). Einmal-Links für E-Mail-Bestätigung (7 Tage gültig) und Passwort-Zurücksetzen (1 Stunde gültig) werden ebenfalls nur gehasht und einmalig verwendbar gespeichert.
• Inhalte, die du erstellst: Chat-Nachrichten (1:1), Posts, Kommentare, Reaktionen, Bewertungen und Likes/Commends samt Zeitstempeln.
• Bilder: Profilbilder und Post-Bilder. Diese liegen derzeit direkt in unserer Datenbank (base64, Render Postgres, Frankfurt/EU); eine Umstellung auf Cloudflare R2 (EU-Region) ist geplant und wird hier vermerkt, sobald sie erfolgt.
• Push-Benachrichtigungen (optional): Wenn du Benachrichtigungen erlaubst, speichern wir dein Expo-Push-Token, um dir Mitteilungen (z. B. Nachrichten, Einladungen) zuzustellen. Das kannst du in den Einstellungen pro Kategorie abschalten.
• IP-Adressen: werden kurzzeitig und ausschließlich im Arbeitsspeicher des Servers verarbeitet, um Missbrauch zu verhindern (Rate-Limits, z. B. bei Registrierung und Login). Es findet keine dauerhafte Speicherung durch uns statt; unser Hosting-Anbieter kann Verbindungsdaten technisch bedingt kurzfristig protokollieren.
• Blockieren & Melden: Blockierungen und Meldungen speichern wir, um sie durchzusetzen bzw. durch unser Moderations-Team prüfen zu lassen.

3. Zwecke und Rechtsgrundlagen (Art. 6 DSGVO)

• Vertragserfüllung (Art. 6 Abs. 1 lit. b): Konto, Login, Chats, Posts, Matching, Freundesliste, Push-Zustellung — also der Betrieb der App-Funktionen, die du nutzt.
• Einwilligung (Art. 6 Abs. 1 lit. a): optionale Angaben (z. B. Geburtsdatum, Geschlecht, Steam-Verknüpfung). Widerruf jederzeit durch Entfernen der Angabe bzw. Konto-Löschung.
• Berechtigtes Interesse (Art. 6 Abs. 1 lit. f): Sicherheit und Missbrauchsabwehr (IP-Rate-Limits, Sperren, Moderation).

4. Empfänger / Auftragsverarbeiter

Wir verkaufen deine Daten nicht. Aus der App heraus findet keine Weitergabe zu Werbezwecken statt. Für den Betrieb setzen wir folgende Dienstleister (Auftragsverarbeiter bzw. Empfänger) ein:

• Render — Hosting des Servers und der Postgres-Datenbank, Region Frankfurt (EU). Hier liegen die Kontodaten und Inhalte.
• Resend — Versand von System-E-Mails (E-Mail-Bestätigung, Passwort-Zurücksetzen); verarbeitet Empfängeradresse und Mail-Inhalt. Anbieter mit Sitz in den USA — Übermittlung auf Basis von EU-Standardvertragsklauseln (SCC).
• Expo — Zustellung von Push-Benachrichtigungen (Push-Token). Anbieter mit Sitz in den USA — Übermittlung auf Basis von EU-Standardvertragsklauseln (SCC).
• Valve / Steam — nur bei Steam-Login/-Verknüpfung: OpenID-Anmeldung und Abruf deiner öffentlichen Steam-Profildaten über die Steam-Web-API (serverseitig).
• Twitch (Amazon) — nur bei Streamer-Verknüpfung mit Twitch: OAuth-Verknüpfung und Abruf der öffentlichen Kanaldaten (serverseitig). Für TikTok/YouTube/Kick prüfen wir den öffentlichen Kanal manuell — dorthin fließen keine Daten von uns.
• Cloudflare R2 (geplant, EU-Region) — künftige Ablage von Bildern.
• TikTok (nur Website, nur mit Einwilligung) — auf den öffentlichen Seiten (Startseite, Quiz-Seiten, geteilte Links, Rechtstexte) können wir messen, über welche Anzeige ein Besuch zustande kam („TikTok-Pixel"). Der Messpunkt wird erst nach deiner aktiven Zustimmung geladen; lehnst du ab oder entscheidest du gar nicht, wird an TikTok keine Anfrage gestellt. Übertragen werden dann IP-Adresse, aufgerufene Seite, Browser-/Gerätedaten. Rechtsgrundlage: Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 165 Abs. 3 TKG 2021), jederzeit widerrufbar. Anbieter mit Sitz außerhalb der EU — Übermittlung auf Basis von EU-Standardvertragsklauseln (SCC). Widerruf: Die Entscheidung liegt lokal in deinem Browser (wp.consent) — löschst du die Website-Daten dieser Seite, fragen wir neu. In der App wird dieser Messpunkt nicht eingesetzt.

5. Speicherdauer und Löschung

• Konto-Daten und Inhalte speichern wir, bis du dein Konto löschst.
• Login-Sitzungen: ca. 180 Tage (gleitend); E-Mail-Bestätigungs-Links 7 Tage, Passwort-Reset-Links 1 Stunde — jeweils einmalig verwendbar.
• IP-basierte Rate-Limit-Daten: nur flüchtig im Arbeitsspeicher, keine dauerhafte Speicherung.
• Konto-Löschung: jederzeit in der App (Profil → ⚙️ Einstellungen → Konto löschen). Die Löschung erfolgt sofort und kaskadiert: Profil, Chats, Posts, Kommentare, Reaktionen, Bewertungen, Likes, Bilder, Sitzungen und Verknüpfungen werden mitgelöscht.

6. Moderation

Gemeldete Inhalte und Regelverstöße werden von unserem Moderations-Team geprüft. Es kann Inhalte entfernen und Konten befristet oder dauerhaft sperren; über solche Maßnahmen wirst du in der App benachrichtigt. Details in den Nutzungsbedingungen.

7. Deine Rechte (Art. 15–21 DSGVO)

Du hast das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21). Erteilte Einwilligungen kannst du jederzeit mit Wirkung für die Zukunft widerrufen. Wende dich dafür an die oben genannte E-Mail-Adresse. Außerdem hast du das Recht auf Beschwerde bei einer Datenschutz-Aufsichtsbehörde, in Österreich der Datenschutzbehörde (dsb.gv.at).

8. Mindestalter

Wanna Play? richtet sich an Personen ab 16 Jahren. Personen unter 16 Jahren dürfen die App nicht nutzen.

9. Änderungen

Wir passen diese Erklärung an, wenn sich die App oder die eingesetzten Dienste ändern (z. B. Umzug der Bilder zu Cloudflare R2). Die jeweils aktuelle Fassung findest du unter dieser Adresse; das Stand-Datum steht oben.