Datenschutzerklärung

Stand: 1. Oktober 2026

1. Verantwortlicher

E-Mail: henrik.pflugradt@gmail.com

2. Angebot und verarbeitete Daten

Chess21 ist ein privates Schachangebot. Henrik verwaltet einen privaten Kreis manuell angelegter Testaccounts. Eine öffentliche Registrierung ist nicht freigeschaltet. Gespeichert werden Benutzername, eine dauerhafte Konto-ID, ein gesalzener scrypt-Passwort-Hash, Erstellungszeitpunkt und Sperrstatus. Alle aktiven Testaccounts sehen die Benutzernamen der anderen Testaccounts in der Freundesliste. Direktnachrichten werden mit Absender, Empfänger, Inhalt und Zeitpunkt auf dem Server gespeichert und nur den beiden Beteiligten über die Anwendung zugänglich gemacht; es besteht keine Ende-zu-Ende-Verschlüsselung. Accountdaten und Nachrichten werden derzeit dauerhaft gespeichert, bis der Betreiber sie auf Anfrage löscht. Die Nachrichtenansicht zeigt die letzten 100 Nachrichten je Gespräch. Gäste treten einer einzelnen Partie über eine Einladung bei und benötigen kein eigenes Konto. Für Gäste wird eine zufällige Kennung verwendet; ein Name oder eine E-Mail-Adresse wird beim Beitritt nicht abgefragt.

Für den Spielbetrieb werden Partiekennungen, Erstellungszeitpunkte, Einladungs-Hashes und deren Ablaufzeiten, die zufällige Gastkennung, Brettstellungen und gespeicherte Zwischenstellungen, Züge, Spielverlauf, Ergebnis, ausgeloste Farben, Revanchezustimmungen, Verknüpfungen zur Revanchepartie, Versionsstand der Partie und zugeordnete Sitzungen verarbeitet. Das Anmeldepasswort wird geprüft; serverseitig wird ein gesalzener Passwort-Hash als geschütztes Secret verwendet. Sitzungsgeheimnisse werden serverseitig gehasht gespeichert.

Beim Abruf der Website fallen technische Verbindungsdaten an, insbesondere IP-Adresse, Zeitpunkt, angeforderte URL sowie Browser- und HTTP-Informationen. Die Übertragung erfolgt verschlüsselt über HTTPS beziehungsweise sichere WebSockets. Bei WebSocket-Problemen verwendet die Anwendung einen regelmäßigen HTTPS-Abgleich. Die Sitzungsidentität beruht auf einem zufälligen HttpOnly-Cookie, nicht auf einem Gerätefingerabdruck oder einer Bindung an die IP-Adresse. Bitte geben Sie Einladungslinks nur an die Person weiter, die mitspielen soll.

3. Zwecke und Rechtsgrundlagen

Die Verarbeitung zur Anmeldung, zum gewünschten Beitritt und zur Durchführung einer Partie erfolgt zur Bereitstellung der angeforderten Nutzung nach Art. 6 Abs. 1 Buchst. b DSGVO. Die sichere technische Bereitstellung, Abwehr von Missbrauch und Fehleranalyse beruhen auf Art. 6 Abs. 1 Buchst. f DSGVO. Das berechtigte Interesse besteht im Schutz des privaten Spielbereichs, seiner Verfügbarkeit und der darin verarbeiteten Daten.

Wenn Sie uns per E-Mail kontaktieren, verarbeiten wir Ihre E-Mail-Adresse, Ihre Nachricht und weitere von Ihnen mitgeteilte Angaben zur Bearbeitung. Bei Anfragen zur Nutzung ist Art. 6 Abs. 1 Buchst. b DSGVO die Grundlage, bei sonstigen Anfragen Art. 6 Abs. 1 Buchst. f DSGVO mit dem Interesse, Ihr Anliegen zu beantworten.

4. Hosting und Empfänger: Cloudflare

Die Website wird über Cloudflare, Inc., 101 Townsend Street, San Francisco, CA 94107, USA, bereitgestellt. Cloudflare verarbeitet technische Daten zur Auslieferung und Absicherung der Website. Verwendet werden Cloudflare Workers, statische Assets, WebSockets und SQLite-Datenbanken in Durable Objects für Partien, Accounts, Nachrichten und Sitzungen.

Cloudflare betreibt ein weltweites Netzwerk. Eine ausschließliche Verarbeitung in der EU wird nicht zugesagt; Übermittlungen in die USA oder andere Drittländer sind möglich. Cloudflare stellt für die Auftragsverarbeitung Regelungen nach Art. 28 DSGVO bereit und nennt für internationale Übermittlungen insbesondere das EU-US Data Privacy Framework im jeweiligen Anwendungsbereich sowie gegebenenfalls Standardvertragsklauseln. Einzelheiten ergeben sich aus dem Cloudflare Data Processing Addendum und der Datenschutzerklärung von Cloudflare.

Die Worker-Observability-Protokollierung ist in der Anwendung deaktiviert. Unabhängig davon kann Cloudflare eigene Betriebs- und Sicherheitsdaten verarbeiten. Für diese Providerdaten gilt keine von dieser Anwendung festgelegte Löschfrist; maßgeblich sind die anwendbaren Cloudflare-Regelungen. E-Mail-Anfragen werden außerdem durch die für das angegebene E-Mail-Postfach eingesetzten Maildienste verarbeitet.

5. Cookies und Browserspeicher

Die Anwendung verwendet folgende technisch erforderliche Speicherungen, um die ausdrücklich gewünschte Anmeldung, Einladung, Partie und Beendigung bereitzustellen (§ 25 Abs. 2 Nr. 2 TDDDG):

• __Host-chess21: geschütztes Sitzungscookie (HttpOnly, Secure, SameSite=Strict). Laufzeit höchstens 12 Stunden für Henrik und 30 Tage für weitere Testaccounts und Gäste. Nach normalem Partieende bleibt der Zugriff auf die eigenen Ergebnisse, den Verlauf und eine gemeinsam bestätigte Revanche bis zum Ablauf der Sitzung oder der Aufbewahrungsfrist erhalten. Ein ausdrücklicher Sicherheitsabbruch durch Henrik sperrt den betroffenen Gastzugang; beim Aufruf der Endseite wird das Cookie entfernt. Eine Abmeldung widerruft die Sitzung.
• __Host-chess21-ended: technisch erforderliche Endseiten-Markierung, höchstens 30 Tage. Sie verhindert, dass ein beendeter Gastzugang beim erneuten Aufruf in den Spielbereich geleitet wird. Eine erfolgreiche Anmeldung oder ein neuer gültiger Beitritt entfernt die Markierung. Sie erteilt keine Spielberechtigung.
• sessionStorage „chess21-created-invite“: hält den gerade erstellten Einladungslink im Tab des einladenden Testaccounts während des Wechsels zur Online-Partie bereit. Er wird dort beim Auslesen entfernt, ansonsten mit dem Ende der Tabsitzung.
• sessionStorage „chess21-guest-ended“: kennzeichnet das Ende eines Gastzugangs in der Tabsitzung und wird bei einem neuen Beitritt oder mit dem Ende der Tabsitzung entfernt. Die Zugriffskontrolle findet zusätzlich auf dem Server statt.

In der Anwendung sind derzeit keine Werbung, Zahlungen, Analysewerkzeuge oder extern geladenen Schriftarten eingebaut. Sie verwendet kein localStorage. Cookies und Website-Daten können über die Browsereinstellungen entfernt werden; dadurch kann der Zugang zu einer noch laufenden Partie verloren gehen.

6. Speicherdauer

Für die administrative Anwesenheitsübersicht meldet ein sichtbarer Tab eines angemeldeten Testaccounts alle 30 Sekunden ein Signal. Henrik sieht den Accountnamen, den Zeitpunkt des letzten Signals und die Online-Partien mit Gegnern und Ergebnissen. Nach 90 Sekunden ohne Signal gilt der Account als offline. Anwesenheitseinträge, die älter als 24 Stunden sind, werden beim nächsten Anwesenheitssignal bereinigt. Es wird kein Verlauf einzelner Anwesenheitssignale gespeichert. Lokale Bot-Partien werden nicht an diese Übersicht übertragen.

Unbenutzte Einladungen sind 24 Stunden gültig. Eine begonnene Partie bleibt bis zu ihrem normalen Ende oder Henriks Abbruch bestehen. Nach normalem Partieende bleiben die eigenen Partiedaten einsehbar; bei einem Sicherheitsabbruch wird der Gastzugang zur betroffenen Partie widerrufen. Eine beidseitig bestätigte Revanche erzeugt eine neue Partie mit neu ausgelosten Farben und ordnet die bestehende Gastsitzung der neuen Partie zu. Frühere eigene Partien bleiben während ihrer jeweiligen Aufbewahrungsfrist erreichbar. Abgelaufene Sitzungen sind sofort unbrauchbar; die physische Bereinigung abgelaufener Sitzungsdatensätze erfolgt bei der nächsten Erstellung einer Sitzung.

Zur Begrenzung von Anmeldeversuchen werden ein Hash der IP-Adresse und Zähler verwendet. Der Zähler verfällt 15 Minuten nach Beginn des jeweiligen Zählfensters; abgelaufene Zähler werden bei der nächsten Prüfung bereinigt.

Beendete Partien werden 30 Tage nach dem natürlichen Partieende oder einem Abbruch durch Henrik automatisch aus dem laufenden Anwendungsspeicher gelöscht. Dazu gehören der Spielzustand und Spielverlauf, das Ergebnis, der Einladungs-Hash, die Gastzuordnung, der Eintrag in der Partienübersicht und gegebenenfalls noch zugeordnete Sitzungen. Aktive Partien werden dadurch nicht gelöscht. Bei bereits beendeten Altpartien ohne gespeicherten Endzeitpunkt beginnt die 30-Tage-Frist einmalig mit ihrer technischen Migration auf diese Löschregel. Aufrufe oder Neustarts verlängern diese Frist nicht. Vorübergehende technische Fehler können die Ausführung verzögern; fehlgeschlagene Löschungen werden automatisch erneut versucht.

Die Löschregel betrifft den Anwendungsspeicher. Sie verspricht keine zeitgleiche Entfernung aus etwaigen technischen Sicherungs- oder Wiederherstellungssystemen von Cloudflare; deren Aufbewahrung richtet sich nach den anwendbaren Cloudflare-Regelungen. Unbenutzte, lediglich abgelaufene Einladungen zählen nicht als beendete Partien und haben derzeit keine automatische Löschfrist.

Kontaktanfragen werden aufbewahrt, solange dies zur Bearbeitung und gegebenenfalls zur Erfüllung gesetzlicher Aufbewahrungspflichten oder zur Wahrung berechtigter Rechtsansprüche erforderlich ist. Danach werden sie gelöscht.

7. Ihre Rechte

Sie haben nach Maßgabe der gesetzlichen Voraussetzungen das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18) und Datenübertragbarkeit (Art. 20).

Bei Verarbeitungen auf Grundlage von Art. 6 Abs. 1 Buchst. f DSGVO können Sie aus Gründen, die sich aus Ihrer besonderen Situation ergeben, Widerspruch einlegen (Art. 21 DSGVO). Soweit eine Verarbeitung auf einer Einwilligung beruht, kann diese jederzeit mit Wirkung für die Zukunft widerrufen werden. Für die oben beschriebenen erforderlichen Funktionen wird keine Einwilligung eingeholt.

Sie können sich nach Art. 77 DSGVO bei einer Datenschutzaufsichtsbehörde beschweren, insbesondere an Ihrem Aufenthaltsort, Arbeitsplatz oder dem Ort des vermuteten Verstoßes. Eine Anlaufstelle ist die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen, Kavalleriestraße 2–4, 40213 Düsseldorf.

8. Bereitstellung und automatisierte Entscheidungen

Es besteht keine gesetzliche Pflicht, Daten für die Nutzung bereitzustellen. Ohne die technisch erforderlichen Verbindungs- und Sitzungsdaten ist das Spielen jedoch nicht möglich. Es finden keine automatisierten Entscheidungen im Sinne von Art. 22 DSGVO statt, die rechtliche Wirkung entfalten oder Sie in ähnlicher Weise erheblich beeinträchtigen.