Datenschutzrichtlinie

1. Wer wir sind

JDR Ninja ist ein kollaboratives Verzeichnis für frankophone Rollenspielschaffende und -ressourcen, betrieben von JDR Ninja, einer in Quebec, Kanada, registrierten selbständigen Person.

Für die Zwecke von Law 25 und der DSGVO handelt JDR Ninja als Verantwortlicher (DSGVO) und als Person mit der höchsten Autorität innerhalb des Unternehmens zum Schutz personenbezogener Daten (Law 25). Dieselbe Person ist als verantwortliche Person für den Schutz personenbezogener Daten (RPRP) benannt.

Kontaktdaten des RPRP: [email protected]

2. Welche Daten wir erheben

2.1 Automatisch erhobene Daten

Wenn Sie die Website besuchen, erfassen unsere Server automatisch:

• Ihre IP-Adresse, die vorübergehend in den Serverzugriffsprotokollen gespeichert wird (14 Tage).
• Ihr User-Agent (Browsertyp, Betriebssystem).
• Die aufgerufenen Seiten, Zeitstempel der Anfragen, HTTP-Antwortcode und Verarbeitungsdauer.
• Die essenziellen Cookies, die für den Betrieb der Website erforderlich sind (siehe Abschnitt 8).

2.2 Daten, die Sie uns freiwillig bereitstellen

Wenn Sie das Kontaktformular nutzen (für eine Frage, ein technisches Problem oder um einen Kreativen vorzuschlagen), erheben wir:

• Ihren Namen oder Ihr Pseudonym.
• Ihre E-Mail-Adresse (erforderlich, nur zur Beantwortung Ihrer Anfrage verwendet).
• Die Kategorie Ihrer Anfrage und den Inhalt Ihrer Nachricht.

Diese Informationen werden nicht in unserer Datenbank gespeichert: Ihre Nachricht wird direkt über einen privaten Discord-Kanal (Discord Inc., Vereinigte Staaten) an unser Team übermittelt, wo sie für die Bearbeitungsdauer Ihrer Anfrage aufbewahrt werden kann. Mit dem Absenden des Formulars willigen Sie in diese Übermittlung ein.

2.3 Dojo-Kontodaten (wenn Sie ein Konto erstellen)

Wenn Sie ein öffentliches Konto im Dojo erstellen, erheben wir:

• Ihre E-Mail-Adresse (erforderlich, für Authentifizierung und kontobezogene Mitteilungen verwendet).
• Ihr Passwort, gespeichert als irreversibler kryptografischer Hash (bcrypt) - wir haben keinen Zugriff auf Ihr Klartextpasswort.
• Einen öffentlichen Benutzernamen (angezeigter Spitzname, zwischen 3 und 30 alphanumerische Zeichen).
• Einen optionalen Anzeigenamen.
• Das Datum und die Uhrzeit der Kontoerstellung.

Wenn Sie sich über einen Drittanbieter anmelden (Google, Microsoft, Discord, Twitch oder Facebook), übermittelt uns dieser Anbieter Ihre E-Mail-Adresse und Ihren Profilnamen. Es werden keine weiteren Informationen des Anbieters gespeichert. Die Anmeldung über einen Drittanbieter ist vollständig optional; Sie können jederzeit ein Konto mit E-Mail-Adresse und Passwort erstellen.

2.4 Daten für „Einen Spieltisch finden“

Wenn Sie über die Funktion „Einen Spieltisch finden“ eine Anzeige veröffentlichen oder sich auf eine Anzeige bewerben, erheben wir außerdem:

• Den Inhalt der Anzeige: Titel, kurze und lange Beschreibung, Spielsystem, Sprache, Verfügbarkeit, Erfahrungsniveau, Spielformat, Anzahl freier Plätze.
• Einen optionalen öffentlichen Standort (Gebiet, Stadt, Region, Land) - zur Anzeige für alle Besucher bestimmt.
• Einen optionalen privaten Standort (Ortsbezeichnung, Breiten- und Längengrad, Ortskennung) - der ausschließlich zur Berechnung der Entfernung bei einer Umkreissuche verwendet wird. Diese Felder werden niemals öffentlich angezeigt und bleiben nur für Sie und das Moderationsteam sichtbar. Sie können die genaue Adresse in der privaten Unterhaltung mit einem Bewerber teilen, nachdem Sie dessen Bewerbung angenommen haben. Wenn Sie in dem Formular zum Erstellen oder Bearbeiten einer Anzeige eine Adresse über die Autovervollständigung von Google Places eingeben, wird Ihre teilweise Eingabe an Server von Google LLC (Vereinigte Staaten) übermittelt, um Vorschläge bereitzustellen; keine andere Seite der Website lädt ein Google-Places-Skript.
• Den Inhalt der Bewerbungen, die Sie senden (Vorstellungsnachricht, Antworten auf benutzerdefinierte Fragen). Diese Inhalte sind nur für den Organisator der betreffenden Anzeige und das Moderationsteam sichtbar.
• Den Inhalt der Nachrichten, die in privaten Unterhaltungen nach einer Bewerbung ausgetauscht werden. Sichtbar nur für beide Parteien und im Fall einer Meldung für das Moderationsteam.
• Die Blockierungen, die Sie einrichten (wen Sie blockiert haben und warum).
• Die Meldungen, die Sie einreichen (Ziel, Grund, optionale Details, kryptografischer HMAC-SHA256-Fingerabdruck Ihrer IP-Adresse, User-Agent - zu Anti-Missbrauchs-Prüfzwecken).

Benachrichtigungs-E-Mails im Rahmen dieser Funktion (neue Bewerbung, eröffnete Unterhaltung, neue Nachricht, nicht ausgewählte Bewerbung) sind bewusst generisch: Sie enthalten niemals den Titel der Anzeige, den Inhalt einer Nachricht, Ihre Antworten auf eine Frage oder irgendwelche Kontaktdaten. Sie müssen sich auf der Website anmelden, um die Details einzusehen.

2.5 Was wir nicht erheben

• Kein Newsletter, daher keine Marketing-Mailingliste.
• Es werden keine sensiblen Daten im Sinne von Law 25 (ethnische Herkunft, politische oder religiöse Meinungen, sexuelle Orientierung, biometrische oder Gesundheitsdaten) angefordert oder verarbeitet.
• Keine Zahlungsdaten: Die Website bietet derzeit keine kommerziellen Transaktionen an.
• Keine automatische Geolokalisierung: Der Standort einer Anzeige wird nur auf Ihre ausdrückliche Anfrage eingegeben, und die Umkreissuche wird nur aktiviert, wenn Sie selbst Koordinaten bereitstellen.

3. Warum wir diese Daten erheben (Zwecke)

• Bereitstellung des Dienstes: Seiten anzeigen, Sitzungen angemeldeter Nutzer verwalten, Angriffe verhindern (CSRF, anwendungsbezogene Dienstverweigerung).
• Ihr Dojo-Konto erstellen und verwalten: Ihnen ermöglichen, sich zu registrieren, sich zu authentifizieren (per E-Mail/Passwort oder über einen Drittanbieter), Ihren Benutzernamen anzupassen und auf mitgliedergeschützte Funktionen zuzugreifen.
• Vorschläge von Kreativen bearbeiten: ein Kreativenprofil prüfen, validieren und gegebenenfalls veröffentlichen. Sie per E-Mail bezüglich Ihres Vorschlags kontaktieren.
• Sicherheit und Missbrauchsbekämpfung: bösartige Einreichungen, Spam und automatisierte Angriffe erkennen und verhindern. Zugriffsprotokolle werden bei Vorfällen punktuell eingesehen.
• Anonymisierte Reichweitenstatistiken (nur wenn Sie über das Cookie-Banner einwilligen): verstehen, wie die Website genutzt wird, um sie zu verbessern. Es werden keine individuellen Daten für kommerzielle Zwecke genutzt.
• Rechtliche Konformität: Nachweise der Cookie-Einwilligung aufbewahren (Law 25, DSGVO) und auf Anfragen zuständiger Behörden antworten, wenn das Gesetz dies verlangt.

4. Rechtsgrundlage der Verarbeitung

Für Besucher in Quebec und Kanada stützen wir uns bei nicht zwingend erforderlichen Verarbeitungen auf die Einwilligung (Law 25, Art. 12) und bei wesentlichen Verarbeitungen auf die Erforderlichkeit zur Erbringung des Dienstes.

Für Besucher in der Europäischen Union gelten die folgenden Rechtsgrundlagen der DSGVO:

• Berechtigtes Interesse (Art. 6 Abs. 1 lit. f): Sicherheit der Website, Missbrauchsprävention, technische Zugriffsprotokolle.
• Erfüllung eines Vertrags (Art. 6 Abs. 1 lit. b): Bearbeitung Ihres Kreativenvorschlags, wenn Sie uns schreiben; Erstellung und Verwaltung Ihres Dojo-Kontos.
• Einwilligung (Art. 6 Abs. 1 lit. a): Analyse- und Marketing-Cookies, Video-Integrationen Dritter (Twitch, YouTube).
• Rechtliche Verpflichtung (Art. 6 Abs. 1 lit. c): Aufbewahrung von Einwilligungsnachweisen.

5. Auftragsverarbeiter und Weitergabe Ihrer Daten

Wir verkaufen, vermieten oder tauschen Ihre personenbezogenen Daten nicht. Wir setzen jedoch technische Auftragsverarbeiter ein, die für den Betrieb der Website erforderlich sind:

Die Ausführungsinfrastruktur der Anwendung (Webserver) wird ebenfalls in Kanada gehostet.

Jeder dieser Anbieter ist uns gegenüber durch vertragliche Verpflichtungen gebunden (Auftragsverarbeitungsklauseln oder Nutzungsbedingungen mit gesetzlichen Pflichten), die Vertraulichkeit, Sicherheit und die begrenzte Nutzung Ihrer Daten für die beschriebenen Zwecke gewährleisten.

6. Übermittlungen außerhalb Quebecs und außerhalb der EU

Für Nutzer in Quebec und Kanada (Law 25 Art. 17)

Die im Rahmen des Dienstes erhobenen Daten (Datenbank, Dateien, Protokolle) werden in Kanada gespeichert und verarbeitet. Es findet keine systematische Übermittlung Ihrer personenbezogenen Daten außerhalb Quebecs statt.

Ausnahmen betreffen Drittanbieter-Integrationen, die Sie durch Ihre Einwilligung aktivieren (Twitch, YouTube, Google Analytics), deren Server sich in den Vereinigten Staaten befinden. Durch die Aktivierung dieser Integrationen über das Cookie-Banner willigen Sie in diese Übermittlung ein. Wenn Sie dies nicht wünschen, lehnen Sie diese Cookie-Kategorien einfach ab.

Wenn Sie die Anmeldung über einen Drittanbieter nutzen (Google, Microsoft, Discord, Twitch oder Facebook), werden Ihre E-Mail-Adresse und Ihr Profilname im Rahmen des OAuth-2.0-Authentifizierungsprotokolls über die Server dieses Anbieters in den Vereinigten Staaten geleitet. Diese Übermittlung findet nur statt, wenn Sie die Anmeldung über diesen Anbieter ausdrücklich einleiten; sie erfolgt nicht beim bloßen Besuch der Website.

Wenn Sie das Kontaktformular nutzen, werden die von Ihnen eingegebenen Informationen (Name, E-Mail, Nachricht) an einen privaten Kanal unseres Teams übermittelt, der von Discord Inc. (Vereinigte Staaten) gehostet wird. Diese Übermittlung erfolgt nur, wenn Sie das Formular freiwillig absenden.

Für Nutzer in der Europäischen Union (DSGVO Kapitel V)

Datenübermittlungen nach Kanada unterliegen dem teilweisen Angemessenheitsbeschluss der Europäischen Kommission vom 20. Dezember 2001 (Entscheidung 2002/2/EG), der für kanadische kommerzielle Organisationen ein angemessenes Schutzniveau anerkennt. Ihre Daten sind daher bei der Verarbeitung in Kanada durch einen mit der DSGVO vergleichbaren Rahmen geschützt.

Für Übermittlungen in die Vereinigten Staaten (Twitch, YouTube, Google Analytics, Discord) stützen wir uns auf die Standardvertragsklauseln der Europäischen Kommission und auf zusätzliche Verschlüsselungs- und Minimierungsmaßnahmen dieser Anbieter.

7. Aufbewahrungsfristen

Nach Ablauf dieser Fristen werden die Daten gelöscht oder irreversibel anonymisiert. Anonymisierte Daten gelten nicht mehr als personenbezogene Daten.

8. Cookies und Tracker

Wir verwenden Cookies, um den Betrieb der Website sicherzustellen und, vorbehaltlich Ihrer Einwilligung, zur Reichweitenmessung und Einbindung von Drittinhalten.

Cookie-Kategorien

• Essenzielle Cookies (immer aktiv): erforderlich für den Betrieb der Website. Dazu gehören das Authentifizierungs-Cookie (ninja_auth) für Dojo- und Sanctum-Konten, das Token zum Schutz vor Anforderungsfälschung (.AspNetCore.Antiforgery.) und das OAuth-Korrelations-Cookie (.AspNetCore.Correlation.), das vorübergehend bei der Anmeldung über einen Drittanbieter gesetzt wird. Für diese Cookies ist keine Einwilligung erforderlich.
• Analyse-Cookies (Einwilligung erforderlich): anonymisierte Reichweitenmessung, falls aktiviert. Standardmäßig deaktiviert.
• Cookies von Drittinhalten (Einwilligung erforderlich): werden von Twitch und YouTube gesetzt, wenn Sie einen eingebetteten Videoplayer laden. Standardmäßig deaktiviert.

Lokaler Speicher

Zusätzlich zu den Cookies wird ein Wert im lokalen Speicher Ihres Browsers abgelegt, wenn Sie den Analyse-Cookies zustimmen:

• jdrn_cp (Einwilligung erforderlich): enthält ausschließlich ein Datum. Es dient uns dazu, die nachstehend beschriebene Messung nur einmal täglich zu senden statt auf jeder Seite. Dieser Wert wird gelöscht, sobald Sie Ihre Einwilligung in die Analyse widerrufen.

Anzeigemessung

Um das Layout der Website an die tatsächlich genutzten Bildschirme anzupassen, messen wir zwei verschiedene Dinge.

• Ohne Einwilligung und ohne etwas auf Ihrem Gerät abzulegen: Aus den Informationen, die Ihr Browser von sich aus mit jeder Anfrage übermittelt (der User-Agent-Header und, bei Browsern die sie selbsttätig senden, die Angabe Sec-CH-UA-Mobile), leiten wir ab, ob es sich um ein Mobilgerät oder einen Computer handelt. Wir fordern niemals zusätzliche Informationen von Ihrem Browser an. Diese Messung stützt sich auf unser berechtigtes Interesse daran, die Website auf den Geräten unserer Besucher lesbar zu halten.
• Nur mit Ihrer Einwilligung in die Analyse: Einmal täglich erfassen wir die Größe Ihres Fensters (in Bereichen, niemals den genauen Wert), die Pixeldichte Ihres Bildschirms, das Vorhandensein eines Touchscreens und Ihre Präferenz für ein helles oder dunkles Design. Wir erheben weder die physische Auflösung Ihres Bildschirms noch Ihre Zeitzone, Ihre Browsersprache oder die Liste Ihrer Schriftarten: Diese Angaben würden eher dazu dienen, Sie zu identifizieren, als die Website zu verbessern.

Diese Messungen werden in aggregierter Form und verknüpft mit einer temporären Kennung gespeichert, die sich täglich ändert. Sie erlauben es nicht, Sie von einem Tag auf den anderen wiederzuerkennen.

Ihre Präferenzen verwalten

Sie können Ihre Auswahl jederzeit über das Cookie-Banner, das bei Ihrem ersten Besuch angezeigt wird, oder über die Seite Cookie-Einstellungen ändern. Der Widerruf der Einwilligung ist so einfach wie ihre Erteilung.

9. Ihre Rechte

Sie haben die folgenden Rechte in Bezug auf Ihre personenbezogenen Daten:

• Auskunftsrecht (Law 25 Art. 27 / DSGVO Art. 15): eine Bestätigung erhalten, dass Ihre Daten verarbeitet werden, und eine Kopie erhalten.
• Recht auf Berichtigung (Law 25 Art. 28 / DSGVO Art. 16): unrichtige oder unvollständige Daten korrigieren lassen.
• Recht auf Löschung (Law 25 Art. 28.1 / DSGVO Art. 17): die Löschung Ihrer Daten verlangen, wenn diese nicht mehr erforderlich sind.
• Recht auf Datenübertragbarkeit (Law 25 Art. 27 Abs. 3 - in Kraft seit dem 22. September 2024 / DSGVO Art. 20): Ihre Daten in einem strukturierten und gängigen technischen Format erhalten.
• Recht auf Widerruf der Einwilligung (Law 25 Art. 14 / DSGVO Art. 7): Ihre Einwilligung jederzeit so einfach widerrufen, wie Sie sie erteilt haben.
• Recht auf Einstellung der Verbreitung und Deindexierung (Law 25 Art. 28.1): verlangen, dass Ihre Daten nicht mehr verbreitet werden oder dass Hyperlinks, die dorthin führen, aus Suchmaschinen deindexiert werden.
• Widerspruchsrecht (DSGVO Art. 21): einer Verarbeitung widersprechen, die auf berechtigtem Interesse beruht.
• Recht auf Einschränkung (DSGVO Art. 18): in bestimmten Fällen die Aussetzung der Verarbeitung verlangen.
• Recht auf Festlegung postmortaler Anweisungen (Law 25 Art. 40.1): festlegen, was nach Ihrem Tod mit Ihren Daten geschehen soll.

Um eines dieser Rechte auszuüben, schreiben Sie an unseren RPRP unter [email protected]. Wir antworten innerhalb von höchstens 30 Tagen (Law 25 Art. 32 und DSGVO Art. 12 Abs. 3). Für die Bearbeitung Ihrer Anfrage kann ein Identitätsnachweis verlangt werden.

9.1 Konto-Löschung im Selbstservice

Wenn Sie ein Dojo-Konto haben, können Sie Ihr Recht auf Löschung direkt über Ihr Profil ausüben, ohne uns schreiben zu müssen:

• Melden Sie sich an, öffnen Sie Mein Profil und verwenden Sie die Schaltfläche „Mein Konto löschen“ im Gefahrenbereich.
• Eine Bestätigung ist erforderlich (aktuelles Passwort oder Bestätigungsphrase für Konten, die über einen externen Anbieter verbunden sind).

Die Löschung erfolgt durch irreversible Anonymisierung, eine ausdrücklich durch Law 25 (Art. 23) und die Quebecer Verordnung zur Anonymisierung personenbezogener Daten (in Kraft seit Mai 2024) sowie durch die DSGVO (Erwägungsgrund 26) zugelassene Alternative zur Vernichtung.

Was sofort anonymisiert oder gelöscht wird:

• E-Mail-Adresse, Benutzername, Anzeigename, Profilkennung, Telefonnummer und Zeitzone - überschrieben durch nicht reidentifizierende Werte.
• Passwort (bereits als kryptografischer Hash gespeichert) - gelöscht.
• Verbindungen mit externen Anbietern (Google, Microsoft, Discord, Twitch, Facebook) - gelöscht.
• Authentifizierungs-Tokens und benutzerdefinierte Claims - gelöscht.
• Mit Ihrem Konto verbundene Nachweise der Cookie-Einwilligung (einschließlich des kryptografischen Fingerabdrucks Ihrer IP und Ihres User-Agents) - gelöscht.

Was ohne Personenbezug aufbewahrt wird:

• Interne Audit-Protokolle: zu Sicherheits- und Missbrauchserkennungszwecken aufbewahrt, aber die Verknüpfung mit Ihrem Konto wird aufgehoben (Benutzerfeld auf NULL gesetzt).
• Die von Ihnen hochgeladenen Dateien: aufbewahrt, wenn sie von veröffentlichten Inhalten verwendet werden, jedoch ohne Verknüpfung mit Ihrer Identität.
• Die von Ihnen geprüften Kreativenvorschläge (falls Sie Teammitglied waren): Die Prüfung bleibt gespeichert, aber die Verknüpfung mit Ihrem Konto wird aufgehoben.
• Die unter Ihrer Autorensignatur veröffentlichten Blogartikel (falls zutreffend): Sie bleiben mit ihrem Anzeigenamen online, Ihr Konto ist jedoch nicht mehr damit verknüpft. Eine gesonderte Anfrage an den RPRP ist erforderlich, um auch die öffentliche Signatur zu anonymisieren.

Der Vorgang ist irreversibel: Die Zeile Ihres Kontos bleibt in der Datenbank erhalten (mit überschriebenen Identifikationsfeldern), um die referenzielle Integrität der ohne Personenbezug aufbewahrten Daten gemäß Art. 23 Abs. 2 von Law 25 zu wahren. Sie können später weiterhin ein neues Konto mit derselben E-Mail-Adresse erstellen.

10. Automatisierte Entscheidungen

JDR Ninja setzt keine automatisierte Entscheidungsfindung ein, die rechtliche Wirkung oder eine erhebliche Wirkung auf Sie hat (Law 25 Art. 12.1 / DSGVO Art. 22). Kreative und Ressourcen des Verzeichnisses werden vor der Veröffentlichung manuell von einer menschlichen Person hinzugefügt und geprüft.

11. Sicherheit

Wir setzen angemessene technische und organisatorische Maßnahmen zum Schutz Ihrer Daten um:

• Standardmäßig verschlüsselte Kommunikation (HTTPS/TLS auf der gesamten Website).
• IP-Adressen von Einreichungen werden als gesalzene kryptografische Fingerabdrücke gespeichert (nicht im Klartext).
• Beschränkter Administratorzugriff, geschützt durch ein komplexes Passwort (Mindestlänge 12 Zeichen, Komplexitätsanforderungen) und eine Sitzungsablaufzeit von 8 Stunden.
• Durchsatzbegrenzung (Rate Limiting) für öffentliche Formulare zur Vermeidung von Missbrauch.
• Protokolle werden nur 14 Tage lang auf der kanadischen Hosting-Infrastruktur aufbewahrt.
• Regelmäßige Sicherheitsupdates der Softwarekomponenten.

Gemäß Law 25 (Art. 3.5) und der DSGVO (Art. 33-34) werden wir die Commission d'accès à l'information (CAI), gegebenenfalls die CNIL, sowie die betroffenen Personen unverzüglich benachrichtigen, wenn ein Vertraulichkeitsvorfall ein ernsthaftes Schadensrisiko darstellt.

12. Minderjährige

JDR Ninja richtet sich an ein erwachsenes und jugendliches Publikum mit Interesse an Rollenspielen. Wir erheben wissentlich keine personenbezogenen Daten von Kindern unter 14 Jahren (Schwelle gemäß Law 25 Art. 4.1) oder unter 15 Jahren (Schwelle gemäß dem französischen Gesetz zur Umsetzung der DSGVO).

Wenn Sie Elternteil oder Vormund sind und feststellen, dass ein Minderjähriger unter Ihrer Verantwortung uns personenbezogene Daten übermittelt hat, kontaktieren Sie uns unter [email protected] und wir werden diese löschen.

13. Änderungen dieser Richtlinie

Diese Richtlinie kann aktualisiert werden, um rechtliche, technische oder betriebliche Änderungen widerzuspiegeln. Das Datum der letzten Aktualisierung und die Versionsnummer stehen oben auf dieser Seite.

Bei einer wesentlichen Aktualisierung (neue Verarbeitung, neuer Auftragsverarbeiter, Zweckänderung) erscheint das Cookie-Banner erneut, damit Sie Ihre Einwilligung überprüfen können.

14. Beschwerden bei Behörden

Wenn Sie der Ansicht sind, dass Ihre Rechte nicht eingehalten werden, können Sie uns zunächst unter [email protected] schreiben. Wenn unsere Antwort Sie nicht zufriedenstellt, können Sie eine Beschwerde bei der zuständigen Datenschutzbehörde einreichen:

• In Quebec: Commission d'accès à l'information (CAI) - 2045, rue Stanley, Büro 900, Montreal (Quebec) H3A 2V4.
• In Frankreich: Commission nationale de l'informatique et des libertés (CNIL) - 3 place de Fontenoy, 75007 Paris.
• In einem anderen Land der Europäischen Union: bei der nationalen Datenschutzbehörde Ihres Wohnsitzlandes (Liste auf edpb.europa.eu).

15. Kontakt der verantwortlichen Person für den Schutz personenbezogener Daten