Datenschutzerklärung

1. Verantwortlicher

Angaben zum Verantwortlichen entnehmen Sie bitte dem Impressum.

Kontakt Datenschutz:
E-Mail: contact@speedchess.de

2. Grundsätze der Datenverarbeitung

SpeedChess ist eine werbefreie, nicht-kommerzielle Schachplattform (Hobbyprojekt).

Die Verarbeitung personenbezogener Daten erfolgt ausschließlich:

• zur Bereitstellung der technischen Funktionen der Plattform
• zur Sicherstellung von Betriebssicherheit und Stabilität
• zur Vermeidung von Missbrauch und Angriffen
• soweit dies zur Nutzung der Plattform erforderlich ist

Es erfolgt:

• keine Weitergabe zu Werbe- oder Profilingzwecken
• kein Einsatz externer Tracking- oder Analyse-Dienste
• keine automatisierte Entscheidungsfindung im Sinne von Art. 22 DSGVO
• keine kommerzielle Profilbildung

3. Rechtsgrundlagen

Die Verarbeitung erfolgt auf Basis von:

• Art. 6 Abs. 1 lit. b DSGVO (Vertrag / Nutzung der Plattform)
• Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse: IT-Sicherheit, Stabilität, Missbrauchsvermeidung)
• Art. 6 Abs. 1 lit. a DSGVO (Einwilligung für optionale Angaben)
• § 25 Abs. 2 TTDSG (unbedingt erforderliche Speicherung im Endgerät)

Berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO):
Das berechtigte Interesse liegt in:

• dem sicheren Betrieb der Plattform
• der Abwehr von Angriffen (z. B. Spam, Bot-Nutzung, Missbrauch)
• der technischen Stabilität der Dienste

4. Datenverarbeitung im Detail

4.1 Server-Logfiles

Beim Aufruf der Website werden automatisch verarbeitet:

• IP-Adresse (kurzfristig)
• Datum und Uhrzeit des Zugriffs
• Request-Informationen (HTTP-Methode, Pfad, Statuscode)
• User-Agent (Browser/Device-Informationen)

Zweck:

• Betrieb der Website
• IT-Sicherheit
• Fehlerdiagnose
• Missbrauchserkennung

Darüber hinaus werden im serverseitigen System-Log (Winston-Logger) zusätzlich verarbeitet:

• Benutzername des eingeloggten Nutzers (pseudonymisiertes Kennzeichen, kein Klarname)
• Spielereignisse und Verbindungsstatus (intern, kein öffentlicher Zugang)

Speicherdauer: max. 7 Tage, danach automatische Löschung durch Log-Rotation
Aufbewahrungsort: Serverseitig (IONOS-Server, Deutschland) — nicht öffentlich zugänglich
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse: IT-Sicherheit, Fehlerdiagnose)
Hinweis gem. Art. 13 Abs. 2 lit. a DSGVO: Die Speicherdauer beträgt maximal 7 Tage. Eine längere Aufbewahrung erfolgt nicht. Log-Dateien sind nicht öffentlich einsehbar und werden ausschließlich intern für Sicherheits- und Diagnosezwecke verwendet.

4.2 Cookies / Session-Technologie

Es werden ausschließlich technisch notwendige Cookies verwendet.

• Session-Cookie: chess.sid

Zweck: Authentifizierung und Sitzungsverwaltung
Technologie: Express Session / Socket.io
Speicherdauer: 7 Tage oder bis Logout
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO i.V.m. § 25 Abs. 2 TTDSG

Dieses Cookie ist technisch zwingend erforderlich für:

• Login-Funktion
• Spielbetrieb
• Sicherheitsmechanismen

Eine Deaktivierung ist nicht möglich, da sonst die Plattform nicht funktionsfähig wäre.

4.3 Browser LocalStorage / SessionStorage

Zur technischen Funktionsfähigkeit werden lokal gespeichert:

• is_logged_in — Anmeldestatus (true/false)
• navbar_user — Basisprofildaten (ID, Benutzername, Avatar) in SessionStorage
• chess_prefs — Schachbrett-Einstellungen (Figuren-Design, Farben, Soundoptionen)
• arena_pending_game — zwischengespeicherte Arena-Spiel-ID (UUID) für laufende Turniersitzungen
• arena_review_pgn — PGN der letzten Turnierpartie zur Nachspielanalyse (enthält Benutzernamen)
• arena_review_ts — Zeitstempel der letzten Turnierpartie (für Ablaufsteuerung)
• ca_friends — zwischengespeicherte Freundesliste (ID, Benutzername, Bewertung) für sofortige UI-Darstellung
• qi_guest_name — vom Nutzer eingegebener Gastname für Schnelleinladungen (SessionStorage)

Einordnung (wichtig für Audit):
Diese Werte werden ausschließlich im Browser des Nutzers gespeichert und verlassen das Gerät nicht. SpeedChess verarbeitet oder überträgt diese Daten nicht an Server außerhalb der normalen Spielsitzung.

Zwecke:

• Vermeidung zusätzlicher Serveranfragen
• konsistente Darstellung der Benutzeroberfläche
• Vermeidung von UI-Ladeeffekten

Rechtsgrundlage:

• Art. 6 Abs. 1 lit. f DSGVO
• § 25 Abs. 2 TTDSG (technisch erforderlich)

4.4 Registrierung

Verarbeitet werden:

• Benutzername
• E-Mail-Adresse
• Passwort (bcrypt-Hash)
• Spielstatistiken
• Partiedaten (PGN / Züge)
• optionale Profildaten

Zwecke:

• Bereitstellung eines Benutzerkontos
• Durchführung von Online-Schachpartien
• Ranglisten und Spielhistorie

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO
Speicherdauer: bis zur Kontolöschung

4.5 Automatische Spracherkennung

Bei der Registrierung und der Passwort-Zurücksetzung wird der HTTP-Header Accept-Language des Browsers verwendet, um die Sprache der Bestätigungs- bzw. Benachrichtigungs-E-Mail automatisch zu erkennen (z. B. Deutsch für de, Rumänisch für ro).

Es werden dabei keinerlei IP-Adressen verarbeitet. Die Spracherkennung erfolgt ausschließlich anhand des vom Browser übermittelten Accept-Language-Headers. Es findet keine externe Übertragung statt.

Zweck: Automatische Sprachanpassung der E-Mail-Kommunikation
Speicherdauer: nicht gespeichert (keine Verarbeitung personenbezogener Daten)
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse: benutzerfreundliche Kommunikation in der Muttersprache)

4.6 Turniere

SpeedChess bietet eine Turnierfunktion an, bei der Nutzer an organisierten Schachturnieren teilnehmen können. Im Rahmen der Turnierteilnahme werden folgende personenbezogene Daten verarbeitet:

• Benutzername (für Rangliste und Paarungen)
• Turnierpunkte (Score, Wins, Draws, Losses)
• Abschlussrang im Turnier
• Buchholz-Wertung (Tiebreak-System)
• Turnier-Elo-Bewertung
• Turnier-Partiedaten (Gegner-ID, Ergebnis je Runde)

Zweck:

• Durchführung und Verwaltung von Online-Schachturnieren
• Paarungsberechnung und Ergebniserfassung
• Darstellung von Ranglisten und Turnierhistorie

Bei Kontolöschung werden die Turnier-Partiedaten (tournament_games) anonymisiert: die Spieler-ID wird auf NULL gesetzt, der Benutzername wird durch „[Konto gelöscht]" ersetzt. Die Turnierergebnisse (Paarungen, Ergebnisse) bleiben für die anderen Teilnehmer erhalten, sind jedoch nicht mehr einer bestimmten Person zuzuordnen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung — Bereitstellung der Turnierfunktion)
Speicherdauer: bis zur Kontolöschung; bei Kontolöschung: Anonymisierung der Partiedaten

5. Hosting

IONOS SE
Serverstandort: Deutschland
ISO 27001 zertifizierte Rechenzentren

Verarbeitung: IP, Logs, Meta- und Kommunikationsdaten

Auftragsverarbeitung (AVV): Ein Vertrag gemäß Art. 28 DSGVO besteht.

5b. Auftragsverarbeiter (Subprozessoren)

Gemäß Art. 28 DSGVO werden folgende Auftragsverarbeiter eingesetzt. Mit allen Auftragsverarbeitern, die personenbezogene Daten verarbeiten, besteht ein Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO.

Dienstleister	Zweck	Datenkategorie	Land	AVV
IONOS SE Karl-Marx-Str. 67, 67433 Neustadt a. d. W.	Webhosting, Serverbetrieb, Datenbankhosting	IP-Adressen, Log-Daten, alle gespeicherten Nutzerdaten	🇩🇪 Deutschland	✅ AVV IONOS
Google LLC (Gmail SMTP) 1600 Amphitheatre Pkwy, Mountain View, CA, USA	Transaktionale E-Mails (Kontobestätigung, Passwort-Reset, Elternfreigabe)	E-Mail-Adressen, Benutzernamen, Bestätigungslinks	🇺🇸 USA (SCCs)	✅ Google Workspace DPA
Accept-Language (HTTP-Header) Browser-Standard, keine externe Bibliothek	Automatische Spracherkennung für E-Mails (Accept-Language)	Accept-Language-Header (kein personenbezogenes Datum, keine Speicherung)	— (lokal, keine Übertragung)	— (kein AVV erforderlich)
Nodemailer Open-Source-Bibliothek (npm)	SMTP-Versand-Bibliothek (nur lokale Ausführung)	Keine eigenständige Datenverarbeitung	— (lokal)	— (kein AVV erforderlich)
Ko-fi Ko-fi Labs Inc., ko-fi.com/privacy	Freiwillige Unterstützung / Weiterleitung an Ko-fi	E-Mail-Adresse, Zahlungsdaten (verarbeitet ausschließlich durch Ko-fi — SpeedChess erhält keine Zahlungsdaten)	🇮🇪 Irland / 🇺🇸 USA	🔗 Ko-fi DPA (externer Anbieter — kein AVV mit SpeedChess)

6. Technische Architektur (Privacy by Design)

• keine extern geladenen Fonts oder Skripte
• keine Drittanbieter-APIs für Tracking oder Analytics
• vollständige lokale Ausführung sensibler Komponenten

6.1 Lokale Ressourcen

Alle Ressourcen (Schriften, Skripte, Stylesheets) werden lokal gehostet. Es erfolgt keine Verbindung zu externen Diensten wie Google Fonts oder ähnlichen Drittanbietern.

6.2 Schach-Engine

Stockfish

• vollständig clientseitige Ausführung (Browser)
• keine Datenübertragung an externe Server
• keine Telemetrie

7. Kontaktformular

Verarbeitet werden:

• Name
• E-Mail
• Nachricht
• Benutzer-ID (falls eingeloggt)
• Zeitstempel

Zweck: Bearbeitung von Supportanfragen

Speicherung:

• Die Speicherung erfolgt in der gesicherten PostgreSQL-Datenbank des Servers (IONOS SE, Deutschland).
• Der Zugriff ist ausschließlich serverseitig dem Betreiber vorbehalten und weder öffentlich zugänglich noch über das Internet abrufbar.
• keine externe Weitergabe

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO
Speicherdauer: max. 12 Monate oder bis Bearbeitung abgeschlossen

7b. WebRTC / P2P-Verbindungen

SpeedChess verwendet eine hybride Verbindungsarchitektur: Spielzüge werden, sofern technisch möglich, direkt zwischen den Browsern der Spieler übertragen (Peer-to-Peer / WebRTC). Ist keine direkte Verbindung möglich, erfolgt die Übertragung über den eigenen Server (Socket.io-Relay, IONOS SE, Deutschland).

Für die Aushandlung der P2P-Verbindung (NAT-Traversal) werden öffentliche STUN-Server in Deutschland verwendet:

• 1&1 STUN — stun.1und1.de (Deutschland 🇩🇪)
• T-Online STUN — stun.t-online.de (Deutschland 🇩🇪)
• Nextcloud STUN — stun.nextcloud.com (Deutschland 🇩🇪)

Dabei wird die IP-Adresse der Nutzer kurzzeitig für die NAT-Traversal-Aushandlung verarbeitet und nicht gespeichert. Die STUN-Server speichern keine personenbezogenen Daten dauerhaft. Nach erfolgreicher oder gescheiterter Verbindungsaushandlung werden keine weiteren Daten übermittelt.

Hinweis zur IP-Adresse: Bei einer erfolgreichen WebRTC-Direktverbindung kann die echte IP-Adresse des Nutzers dem jeweiligen Spielpartner im Rahmen des ICE-Aushandlungsprozesses (ICE Candidates) technisch zugänglich werden. Dies ist eine systemimmanente Eigenschaft von WebRTC-P2P-Verbindungen und lässt sich ohne den Einsatz eines TURN-Relays nicht vollständig vermeiden. Die IP-Adresse wird dabei nicht von SpeedChess gespeichert und nicht an Dritte weitergegeben — sie ist lediglich im Rahmen der direkten Spielverbindung für den Spielpartner sichtbar.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung — Bereitstellung der Spielfunktion mit geringer Latenz) sowie Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse: direkte Spielverbindung mit geringer Latenz).
Speicherdauer beim STUN-Server: keine dauerhafte Speicherung.

8. Unterstützungsfunktion

Aktuell in Entwicklung.

Bei Aktivierung erfolgt eine Ergänzung zu:

• Zahlungsdienstleistern
• Datenübermittlung im Zahlungsprozess
• steuer- / abrechnungsrelevanten Informationen

9. Minderjährigenschutz (Art. 8 DSGVO)

SpeedChess richtet sich an Nutzer ab 13 Jahren. Eine Registrierung unter 13 Jahren ist technisch ausgeschlossen.

Personen zwischen 13 und 16 Jahren dürfen die Plattform nur mit ausdrücklicher Einwilligung der Erziehungsberechtigten nutzen. Der Einwilligungsnachweis wird gespeichert (Art. 8 DSGVO).

Sollte bekannt werden, dass personenbezogene Daten von Personen unter 16 Jahren ohne entsprechende Einwilligung verarbeitet wurden, werden diese unverzüglich gelöscht.

10. Rechte der betroffenen Personen

Sie haben jederzeit das Recht auf:

• Auskunft (Art. 15 DSGVO)
• Berichtigung (Art. 16 DSGVO)
• Löschung (Art. 17 DSGVO)
• Einschränkung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruch (Art. 21 DSGVO)

Zusätzlich besteht das Recht auf Beschwerde bei einer Datenschutzaufsichtsbehörde.

11. Sicherheit der Verarbeitung

Es werden geeignete technische und organisatorische Maßnahmen eingesetzt, insbesondere:

• Zugriffskontrollen (serverseitig)
• Verschlüsselung sensibler Daten (Passwörter via bcrypt)
• Trennung von Log- und Nutzerdaten
• minimale Datenhaltung
• regelmäßige Log-Rotation

13. Verzeichnis der Verarbeitungstätigkeiten (Art. 30 DSGVO)

Gemäß Art. 30 Abs. 5 DSGVO besteht grundsätzlich eine Ausnahme für Organisationen mit weniger als 250 Mitarbeitern. Da SpeedChess jedoch Daten von Minderjährigen (13–16 Jahre) verarbeitet, ist die Ausnahme nicht anwendbar. Das folgende Verzeichnis dokumentiert alle relevanten Verarbeitungstätigkeiten.

Verarbeitungstätigkeit	Datenarten	Zweck	Rechtsgrundlage	Speicherdauer	Empfänger / Auftragsverarbeiter
Kontoregistrierung	Benutzername, E-Mail (Hash), Passwort (bcrypt), Geburtsdatum, is_minor	Art. 6 Abs. 1 lit. b DSGVO	Vertragserfüllung	Bis zur Kontolöschung; Anonymisierung bei Kontolöschung	IONOS SE (AVV)
Minderjährige (13–16 Jahre)	parent_email (temporär), parent_token, Geburtsdatum, consent_log	Art. 8 DSGVO	Elterliche Einwilligung	parent_email: nach Genehmigung gelöscht; consent_log: 3 Jahre	IONOS SE, Google LLC (SCCs)
Chat-Nachrichten	Absender-ID, Empfänger-ID, Nachrichtentext, Zeitstempel	Art. 6 Abs. 1 lit. b DSGVO	Plattformfunktion	1 Jahr (automatische Löschung)	IONOS SE (AVV)
Schachpartien	Benutzernamen (Weiß/Schwarz), PGN, FEN, Ergebnis, Zeitkontrolle	Art. 6 Abs. 1 lit. b DSGVO	Plattformfunktion	Bis zur Kontolöschung; Anonymisierung bei Kontolöschung	IONOS SE (AVV)
Kontaktanfragen / Support-Tickets	Name, E-Mail-Adresse, Nachrichtentext, user_id (falls eingeloggt)	Art. 6 Abs. 1 lit. f DSGVO	Berechtigtes Interesse (Bearbeitung von Anfragen)	12 Monate	IONOS SE (AVV)
Freiwillige Unterstützung (Ko-fi)	Weiterleitung zu Ko-fi; SpeedChess verarbeitet keine Zahlungsdaten	Art. 6 Abs. 1 lit. a DSGVO	Einwilligung (freiwillig)	— (keine Speicherung durch SpeedChess)	Ko-fi Labs Inc. (externer Anbieter)

12. Änderungen

Diese Datenschutzerklärung kann angepasst werden, sofern rechtliche oder technische Änderungen dies erforderlich machen.