Datenschutz

Kurz gesagt: Du kannst ZORALEN ohne Konto spielen – dann bleibt dein Fortschritt in deinem Browser, und an uns gehen nur anonyme Spielstatistiken. Mit Konto speichern wir, was nötig ist, damit Fortschritt, Freunde und Bestenliste funktionieren. Nur wenn du im Banner zustimmst, werten wir zusätzlich aus, wie du spielst – auf unserem eigenen Server, ohne Werbung und ohne Weitergabe. Keine Cookies.

1. Verantwortlicher

Einen Datenschutzbeauftragten haben wir nicht benannt, da wir dazu nicht verpflichtet sind. Fragen zum Datenschutz bitte an die obige Adresse.

2. Aufruf des Spiels: Hosting und Server-Logs

Das Spiel läuft auf einem Server der Hetzner Online GmbH (Industriestr. 25, 91710 Gunzenhausen) in Deutschland. Hetzner verarbeitet die Daten als unser Auftragsverarbeiter (Art. 28 DSGVO). Beim Aufruf verarbeitet der Server technisch notwendige Verbindungsdaten: IP-Adresse, Zeitpunkt, aufgerufene Adresse, Browserkennung (User-Agent) und Referrer.

Unser Server und der vorgeschaltete Webserver protokollieren diese Verbindungsdaten. Zweck: Auslieferung des Spiels, Sicherheit und Fehlersuche. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem sicheren, stabilen Betrieb). Speicherdauer: höchstens 14 Tage, außer bei einem konkreten Sicherheitsvorfall.

Zum Schutz vor Missbrauch (z. B. massenhafte Anmeldeversuche) zählt der Server Anfragen je IP-Adresse. Diese Zähler liegen nur im Arbeitsspeicher und verfallen nach höchstens einer Stunde.

Für den Verwaltungsbereich (nur für den Betreiber, mit zweitem Faktor) protokolliert der Server jeden Anmeldeversuch und jede Verwaltungsaktion: Zeitpunkt, betroffenes Konto bzw. eingegebene E-Mail-Adresse, Ergebnis und IP-Adresse. Zweck: Schutz vor unbefugtem Zugriff und Nachvollziehbarkeit von Eingriffen in Konten. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Speicherdauer: die IP-Adresse 14 Tage, der übrige Eintrag ein Jahr.

3. Speicher in deinem Browser

Das Spiel setzt keine Cookies. Es nutzt den lokalen Speicher deines Browsers (Local Storage). Die meisten Einträge brauchst du für Funktionen des Spiels – das ist ohne Einwilligung zulässig (§ 25 Abs. 2 Nr. 2 TDDDG). Die Analyse-Id legen wir nur mit deiner Einwilligung an (§ 25 Abs. 1 TDDDG, siehe Abschnitt 5). Die Einträge verlassen dein Gerät nicht, außer wo angegeben.

Du kannst die Einträge jederzeit über die Einstellungen deines Browsers löschen („Websitedaten löschen“). Ohne Konto ist dein Fortschritt dann weg.

4. Spielen ohne Konto

Ohne Konto speichern wir keine Daten, die dich identifizieren. Nach einem Lauf (Solo oder als Host, nicht im PvP) sendet das Spiel eine anonyme Spielstatistik an unseren Server: Welt, Modus, erreichte Welle, Punkte, Abschüsse, Dauer, gewählte Module, Waffen, Build, Level und Todesursache. Ohne deine Einwilligung enthält sie weder Namen noch eine Geräte- oder Browserkennung; mit Einwilligung trägt sie zusätzlich deine Analyse-Id (Abschnitt 5). Wir nutzen sie, um Schwierigkeit und Balancing zu verbessern (Art. 6 Abs. 1 lit. f DSGVO).

Fehlerberichte: Stürzt das Spiel ab oder tritt ein Skriptfehler auf, sendet es einen Fehlerbericht: Fehlermeldung, technische Fundstelle, Spielversion, Spielzustand (z. B. Welt und Welle) und Browserkennung (User-Agent); bist du angemeldet, auch deine Konto-ID und deinen Pilotennamen. Zweck ist die Fehlerbehebung (Art. 6 Abs. 1 lit. f DSGVO). Wir behalten höchstens die 500 jüngsten Fehlerarten.

Mehrspieler: Räume laufen über unseren Server (WebSocket). Für die Dauer der Runde verarbeitet er Pilotenname, Schiff, Lackierung, Positionen und Spielereignisse und leitet sie an die Mitspieler im Raum weiter. Es gibt keinen Chat. Nach Ende der Runde wird davon nichts gespeichert (außer der anonymen Statistik oben). Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Bereitstellung des gewünschten Mehrspieler-Modus).

5. Nutzungsanalyse – nur mit deiner Einwilligung

Beim ersten Start fragen wir dich in einem Banner, ob wir auswerten dürfen, wie ZORALEN gespielt wird. „Ablehnen“ und „Akzeptieren“ sind gleichwertig; das Spiel funktioniert in beiden Fällen gleich. Nur wenn du zustimmst, legen wir eine zufällige Analyse-Id (pd_aid) in deinem Browser an und senden folgende Ereignisse an unseren eigenen Server:

• Sitzung: Beginn und Dauer, Browsersprache, Spielsprache, Zeitzone, ob es dein erster Besuch ist;
• Gerät: Gerätetyp (Desktop/Tablet/Mobil), Browserkennung (User-Agent), Bildschirm- und Fenstergröße, Pixeldichte, Zahl der Prozessorkerne, ungefährer Arbeitsspeicher, Touch-Unterstützung, angeschlossenes Gamepad, Bezeichnung der Grafikkarte;
• Herkunft: die Seite, von der du kommst (ohne Suchparameter), Kampagnen-Angaben aus dem Link (utm_source, utm_medium, utm_campaign), ob du über einen Einladungslink kamst;
• Nutzung: welche Menübereiche du öffnest, gestartete und beendete Läufe (Welt, Modus, Spielerzahl, Level, Welle, Punkte, Abschüsse, Dauer, Aufgeben) mit der durchschnittlichen Bildrate, im Koop zusätzlich mit dem Ping (Durchschnitt, 95-%-Wert, Höchstwert der Verbindungslaufzeit zum Host bzw. zu den Gästen); die Lauf-Statistik aus Abschnitt 4 wird mit deiner Analyse-Id verknüpft;
• mit Konto zusätzlich deine Konto-Id, sodass wir Analyse und Konto zusammen auswerten können;
• deine Einwilligung selbst (Zeitpunkt und Fassung des Bannertexts) als Nachweis.

Zweck: verstehen, wo Spieler hängen bleiben oder aufhören, auf welchen Geräten das Spiel ruckelt, wie Spieler zu uns finden, und das Spiel danach verbessern. Rechtsgrundlage: deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG). Empfänger: niemand außer uns – die Daten liegen auf unserem Server und werden nicht an Analyse- oder Werbedienste weitergegeben (der Server steht bei Hetzner in Deutschland, Abschnitt 2). Speicherdauer: 13 Monate, danach automatisch gelöscht.

Widerruf: jederzeit unter „Datenschutz-Einstellungen“ (unten in der Menü-Seitenleiste). Widerrufst du, löschen wir sofort alle Ereignisse zu deiner Analyse-Id auf dem Server, entfernen die Verknüpfung in der Lauf-Statistik und die Id aus deinem Browser. Die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung bleibt unberührt.

6. Spielkonto

Wenn du ein Konto anlegst, speichern wir:

• E-Mail-Adresse, Pilotenname und Passwort – das Passwort nur als sicherer Hash (scrypt), nie im Klartext;
• ob die E-Mail bestätigt ist, Zeitpunkt der Registrierung und der letzten Aktivität;
• deinen Spielstand: Level, Erfahrung, OsCoins, Splitter, gekaufte und gefundene Gegenstände, Builds, Erfolge, Statistik, Pilotenzeichen, Expeditions- und Koop-Missionsfortschritt;
• deine Läufe für die Bestenliste (Welt, Modus, Punkte, Welle, Abschüsse, Team, Zeitpunkt, Spieldauer – die Dauer sieht nur die Moderation, um unplausible Ergebnisse zu erkennen) und die Spielstatistik aus Abschnitt 4 mit deiner Konto-ID;
• Sitzungsschlüssel (nur als Hash, 60 Tage gültig) und Bestätigungscodes (30 Minuten gültig);
• deine Freundschaften und Freundschaftsanfragen;
• deine Freischaltungen (z. B. Vollversion): Produkt, Herkunft (Kauf im Browser, Steam, Schlüssel oder Vergabe durch uns), Belegnummer und Zeitpunkt, bei einer Rücknahme (z. B. Erstattung) auch deren Zeitpunkt;
• wenn du einen Geschenk-Schlüssel einlöst: welcher Schlüssel (wir speichern nur einen Fingerabdruck, nicht den Schlüssel selbst) von welchem Konto wann eingelöst wurde. Löschst du das Konto, bleibt der Schlüssel als verbraucht markiert, ohne Bezug zu dir. Fehlversuche zählen wir nur kurz im Arbeitsspeicher (höchstens 10 je Stunde, je Konto und IP-Adresse), um Durchprobieren zu verhindern.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO – ohne diese Daten kann das Konto nicht funktionieren. Speicherdauer: bis du das Konto löschst. Nicht bestätigte Registrierungen löschen wir automatisch nach 7 Tagen, abgelaufene Codes und Sitzungen ebenfalls.

Konto löschen: jederzeit im Spiel unter Pilot → Konto → Konto löschen. Konto, Spielstand, Läufe, Freundschaften und Meldungen werden sofort gelöscht. Spielstatistik und Fehlerberichte bleiben ohne Bezug zu dir (anonymisiert) erhalten.

Was andere sehen

• Bestenliste (öffentlich): Pilotenname, Pilotenzeichen, Punkte, Welle und ggf. Teamname deiner besten Läufe. Bei Koop-Läufen im Riss zusätzlich die Pilotennamen aller Mitglieder der Gruppe (auch von Gästen ohne Konto) und die erreichte Tiefe.
• Speedrun-Bestenliste (öffentlich, auch auf der Seite speedrun.html): nur für Läufe, die du selbst einreichst – Pilotenname, Zeit, Zwischenzeiten, Kategorie/Etappe, Wertung (Glitchless/Alles erlaubt), Datum und der Video-Link, den du einträgst (nur der Link; wir laden oder speichern das Video nicht). Mit dem Lauf speichern wir zusätzlich den Flugschreiber (Position, Tempo, Lebenspunkte, Schild und Gegner in der Nähe etwa viermal pro Sekunde, dazu Ereignisse wie Zonenwechsel, Truhen, Kartenwahl, Bosse, Tode, Pausen und Zwischenzeiten) und den Lauf-Code; beides sieht nur die Moderation zur Prüfung. Speicherdauer: abgelehnt → Video-Link und Flugschreiber sofort gelöscht, der Eintrag nach 90 Tagen; ohne Video-Link nach 90 Tagen gelöscht; angenommen → Flugschreiber 90 Tage nach der Prüfung gelöscht, Zeit und Video-Link bleiben öffentlich, bis du das Konto löschst oder die Moderation den Eintrag entfernt. Nicht eingereichte Läufe verlassen deinen Browser nicht.
• Freunde: ob du online bist und wann du zuletzt aktiv warst, in welchem Raum du gerade spielst, deine Lackierung, Statistik und Erfolge.
• Mitspieler im Raum: Pilotenname, Schiff und Level.

Wähle deshalb als Pilotennamen keinen echten Namen, wenn du das nicht möchtest.

E-Mails

Wir schicken nur E-Mails, die für dein Konto nötig sind: Bestätigungscode bei der Registrierung, Link zum Zurücksetzen des Passworts und einen Hinweis, falls jemand mit deiner Adresse ein zweites Konto anlegen will. Keinen Newsletter, keine Werbung. Die Mails kommen von noreply@zoralen.com; den Versand übernimmt der Mailserver unseres Hosters Hetzner Online GmbH als Auftragsverarbeiter (Art. 28 DSGVO).

Meldungen und Moderation

Spieler können andere Konten melden (Grund: Name, Cheat, Sonstiges). Wir speichern, wer wen wann aus welchem Grund gemeldet hat, und prüfen die Meldung. Bei Verstößen gegen die Nutzungsbedingungen können wir einen Namen zurücksetzen, Bestenlisten-Einträge entfernen oder das Konto sperren; Sperre und Grund speichern wir am Konto. Rechtsgrundlage: Art. 6 Abs. 1 lit. b und f DSGVO (Durchsetzung der Spielregeln, faire Bestenlisten).

Schenken oder entziehen wir eine Freischaltung oder erzeugen bzw. sperren wir Geschenk-Schlüssel, halten wir in einem internen Protokoll fest, wer (Name des Admin-Kontos) wann was für welches Konto getan hat. Das Protokoll sehen nur Admins; löschst du dein Konto, verliert der Eintrag den Bezug zu dir. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Nachvollziehbarkeit von Freischaltungen).

Der Server prüft gemeldete Ergebnisse automatisch auf Plausibilität (z. B. Welle und Punkte im Verhältnis zur Spielzeit) und begrenzt Belohnungen je Minute. Das dient der Fairness und hat keine rechtliche oder ähnlich erhebliche Wirkung im Sinne von Art. 22 DSGVO.

Anmeldung mit Steam

In der Steam-Fassung und auf der Website („Mit Steam anmelden“) kannst du dich mit deinem Steam-Konto anmelden oder ein bestehendes Konto damit verknüpfen. Dabei erhalten wir von der Valve Corporation (10400 NE 4th St, Bellevue, WA 98004, USA) deine Steam-ID (eine öffentliche Nummer deines Steam-Kontos) und prüfen bei Steam, ob das Anmelde-Ticket gültig ist und ob du ZORALEN auf Steam dauerhaft besitzt (für die Freischaltung der Vollversion). Wir speichern die Steam-ID mit deinem Konto und als Beleg der Freischaltung; Passwort, E-Mail-Adresse oder Zahlungsdaten deines Steam-Kontos erhalten wir nicht. Ein Konto, das du nur mit Steam anlegst, hat keine E-Mail-Adresse und kein Passwort bei uns; löschen kannst du es im Spiel mit deinem Pilotennamen als Bestätigung.

Für die Steam-Erfolge, den Spielstatus bei deinen Steam-Freunden (z. B. „Im Raum K7QX“) und Einladungen nutzt die Steam-Fassung den Steam-Client auf deinem Rechner; was Steam dabei speichert, regelt die Datenschutzerklärung von Valve. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (du wählst die Anmeldung mit Steam). Speicherdauer: bis du das Konto löschst.

Offline spielen (Steam-Fassung): Ohne Verbindung merkt sich die Steam-Fassung deine Ergebnisse (Läufe, Expeditionsstand, Truhen, Erfolge) und dein letztes Kontoprofil auf deinem Rechner und überträgt sie beim nächsten Kontakt an unseren Server. Nachgemeldete Läufe prüft der Server wie alle anderen; in die Bestenliste kommen sie nicht.

Kauf der Webversion: Startest du einen Kauf, lädt das Spiel erst dann die Kasse von Paddle (cdn.paddle.com; Paddle.com Market Ltd, London, Vereinigtes Königreich). Paddle ist Verkäufer (Merchant of Record) und verarbeitet Zahlungs-, Rechnungs- und Steuerdaten in eigener Verantwortung, siehe Datenschutzhinweis von Paddle. An Paddle übergeben wir deine Konto-Id und – sofern vorhanden – deine E-Mail-Adresse zum Vorausfüllen. Paddle meldet uns den Kauf (Transaktions-Id, Konto-Id, Produkt, Erstattungen); wir speichern das als Beleg der Freischaltung am Konto solange das Konto besteht (Art. 6 Abs. 1 lit. b DSGVO); Rechnungen und Steuerbelege führt Paddle. Für das Vereinigte Königreich besteht ein Angemessenheitsbeschluss der EU-Kommission.

7. Mindestalter

Für ein Konto musst du mindestens 16 Jahre alt sein oder die Zustimmung deiner Erziehungsberechtigten haben. Ohne Konto werden keine Daten erhoben, die dich identifizieren. Der Nutzungsanalyse (Abschnitt 5) darfst du unter 16 Jahren nur mit Zustimmung deiner Erziehungsberechtigten zustimmen (Art. 8 DSGVO).

8. Empfänger und Drittländer

Deine Daten erhalten nur: unser Hoster Hetzner (Abschnitte 2 und 6, Deutschland), Paddle beim Kauf der Webversion (Abschnitt 6, Vereinigtes Königreich) und – nur wenn du dich mit Steam anmeldest – Valve (Steam, USA; Abschnitt 6, „Anmeldung mit Steam“). Wir verkaufen keine Daten und geben sie nicht zu Werbezwecken weiter. Behörden erhalten Daten nur, wenn wir gesetzlich dazu verpflichtet sind.

9. Deine Rechte

Du hast das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18) und Datenübertragbarkeit (Art. 20) sowie auf Widerruf deiner Einwilligung (Art. 7 Abs. 3). Schreib uns dazu einfach an info@ossai.de.

Widerspruchsrecht (Art. 21 DSGVO): Soweit wir Daten auf Grundlage berechtigter Interessen verarbeiten (Art. 6 Abs. 1 lit. f DSGVO), kannst du aus Gründen, die sich aus deiner besonderen Situation ergeben, jederzeit widersprechen.

Beschwerde: Du kannst dich bei einer Datenschutz-Aufsichtsbehörde beschweren (Art. 77 DSGVO). Für uns zuständig: Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen, Kavalleriestraße 2–4, 40213 Düsseldorf, www.ldi.nrw.de.

10. Sonstiges

Die Bereitstellung deiner Daten ist freiwillig; ohne Konto-Daten kannst du aber kein Konto nutzen. Alle Verbindungen sind per TLS verschlüsselt. Ändert sich das Spiel so, dass sich die Datenverarbeitung ändert, passen wir diese Erklärung an.

Stand: Oktober 2026