Datenschutzhinweise

1. Verantwortlicher und Kontakt

SkriptAtelier UG (haftungsbeschränkt)
Am Mausepfad 34
34474 Diemelstadt
Deutschland
Datenschutzanfragen:
Allgemeine Anfragen:

Diese Datenschutzerklärung beschreibt die Verarbeitung personenbezogener Daten beim Besuch von talealley.app, beim Kauf von Tickets, bei der Anmeldung zum öffentlichen Test, beim Newsletter und bei der Nutzung der TaleAlley-App. Für Daten, die Paddle als eigenständiger Verkäufer in eigener Verantwortung verarbeitet, gelten zusätzlich dessen Datenschutzhinweise unter https://www.paddle.com/legal/privacy.

2. Grundsätze und Rechtsgrundlagen

Wir verarbeiten nur die Daten, die für den jeweiligen Zweck erforderlich sind. Je nach Verarbeitung kommen insbesondere Art. 6 Abs. 1 lit. b DSGVO (Bereitstellung der vertraglich vereinbarten App- und Spielfunktionen), lit. c (gesetzliche Pflichten), lit. f (berechtigte Interessen an Sicherheit, Fehlerbehebung und Support) oder lit. a (gesonderte Einwilligung, insbesondere freiwillige Veröffentlichungen) in Betracht. Wo eine Einwilligung erforderlich ist, wird sie getrennt eingeholt und ist grundsätzlich mit Wirkung für die Zukunft widerruflich.

Das Lesen dieser Hinweise ist keine Einwilligung. Eine durch iOS oder Android erteilte Berechtigung zum Zugriff auf Standort, Kamera oder Mikrofon ist von einer etwa erforderlichen datenschutzrechtlichen Einwilligung zu unterscheiden. Endgerätezugriffe unterliegen außerdem den anwendbaren Anforderungen des TDDDG.

3. Besuch der Website und Cloudflare

Unsere Website wird über Cloudflare Workers und weitere Cloudflare-Dienste bereitgestellt. Hierbei können IP-Adresse, Zeitpunkt des Zugriffs, aufgerufene Ressourcen, Browser- und Geräteinformationen sowie Sicherheits- und Netzwerkereignisse verarbeitet werden. Dies dient der Auslieferung, technischen Funktionsfähigkeit und Absicherung unseres Angebots. Rechtsgrundlage ist grundsätzlich Art. 6 Abs. 1 lit. f DSGVO. Soweit gesetzliche Pflichten betroffen sind, ist es Art. 6 Abs. 1 lit. c DSGVO.

Nach dem zuletzt technisch geprüften Stand verwendet die Website Cloudflare Web Analytics. EU-Besuche sind in der derzeitigen Konfiguration von dieser Auswertung ausgenommen. Cloudflare kann darüber hinaus technische Verbindungs- und Sicherheitsprotokolle verarbeiten. Für unterschiedliche Kategorien von Workers-Logs, Sicherheitsereignissen, Analysedaten und administrativen Protokollen gelten unterschiedliche Speicherfristen. Eine auf sämtliche Cloudflare-Verarbeitungen beschränkte Datenverarbeitung ausschließlich innerhalb der EU ist nicht zugesichert.

Falls du bei einer geschützten Website-Vorschau einen Zugang erhältst, kann dafür ein technisch erforderliches Sitzungscookie verwendet werden. Das aktuelle Vorschaukonzept sieht eine Laufzeit von acht Stunden vor. Ein öffentliches TaleAlley-Angebot benötigt dieses Vorschaucookie nicht. Werden künftig technisch nicht notwendige Cookies, externe Inhalte oder Analyse- und Marketingdienste eingesetzt, informieren wir hierüber und holen vorher, soweit erforderlich, eine Einwilligung ein.

4. Kontakt per E-Mail und Support

Wenn du uns kontaktierst, verarbeiten wir deine E-Mail-Adresse, den Nachrichteninhalt und nötige Kommunikationsdaten, um deine Anfrage zu bearbeiten. Rechtsgrundlage ist je nach Anlass Art. 6 Abs. 1 lit. b oder lit. f DSGVO. Für die technische E-Mail-Bereitstellung nutzen wir nach der aktuellen Anbieterübersicht Pixel X e.K., Kuhstraße 26–27, 38100 Braunschweig. Anfragen werden gelöscht, sobald sie nicht mehr erforderlich sind, sofern nicht gesetzliche Dokumentations- oder Aufbewahrungspflichten entgegenstehen.

5. E-Mail-Versand über Mailjet

Automatische E-Mails und unseren Newsletter versenden wir über die Mailjet GmbH, Alt Moabit 2, 10557 Berlin, als Auftragsverarbeiter. Zu den automatischen E-Mails gehören die Ticket-E-Mail mit dem Spielcode nach einem Kauf, die E-Mails zum öffentlichen Test und interne Benachrichtigungen an unsere eigenen Postfächer, etwa zu Käufen, die eine Prüfung brauchen, oder zu gemeldeten KI-Antworten. Beim Test sind das die Bestätigungsmail mit dem Link, die Bestätigung deines vorgemerkten Platzes, später die E-Mail mit dem Code und nach dem Spiel die E-Mail mit unseren Fragen. Mailjet erhält dafür die Empfängeradresse, gegebenenfalls einen Namen und den Inhalt der jeweiligen Mail und speichert die Daten nach eigenen Angaben in Rechenzentren in der EU. Öffnungs- und Klickverfolgung sind ausgeschaltet, auch beim Newsletter. Wir erfahren also nicht, ob du eine Mail öffnest oder einen Link darin anklickst. Absender- und Antwortadresse der automatischen E-Mails ist . Rechtsgrundlage ist für Ticket- und Testmails Art. 6 Abs. 1 lit. b DSGVO, für den Newsletter deine Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO und für interne Benachrichtigungen Art. 6 Abs. 1 lit. f DSGVO.

6. Ticketkauf über Paddle

Tickets werden im Paddle-Checkout durch Paddle als eigenständigen Verkäufer und Merchant of Record verkauft. Beim Bezahlen verarbeitet Paddle in eigener Verantwortung die dafür erforderlichen Käufer-, Zahlungs-, Steuer- und Transaktionsdaten, beispielsweise E-Mail-Adresse, Land, Rechnungsanschrift, Postleitzahl und gewählte Zahlungsart. Vollständige Karten- und Bankdaten werden nicht in unserer TaleAlley-Datenbank gespeichert.

Der Website-Checkout lädt Paddle erst, nachdem die Zahlungsfunktion aufgerufen wurde. Zur Erstellung des Spielcodes, zur Buchungszuordnung, zur Bearbeitung von Stornierungen und zum Kundensupport speichern wir zu jedem Kauf nur die Paddle-Transaktionsnummer, die gekaufte Geschichte, die Anzahl der Tickets für Erwachsene und für Jugendliche, die Sprache, Fassung und Zeitpunkt deiner Zustimmung zur Bereitstellung vor Ablauf der Widerrufsfrist, Währung und Gesamtbetrag, den Kaufzeitpunkt, den Status sowie den ausgegebenen Code mit seinem Event. Startet mit dem Code ein Abenteuer, halten wir fest, wie viele Geräte für Erwachsene und für Jugendliche mitgespielt haben und wann gestartet wurde. So bleibt nachvollziehbar, welche Tickets genutzt wurden. Bei einer Stornierung speichern wir, wie viele Tickets storniert wurden, den Erstattungsbetrag, den Bearbeitungsstand und die Paddle-Nummer der Erstattung. Wird der Code nach einer Erstattung oder Rückbuchung gesperrt, speichern wir zusätzlich Zeitpunkt und Grund der Sperrung. Deine E-Mail-Adresse und, falls bei Paddle hinterlegt, deinen Namen rufen wir nur bei Paddle ab, um dir die Ticket-E-Mail und E-Mails zu einer Stornierung zu senden. Beides speichern wir nicht, ebenso wenig Land und Postleitzahl. Rechtsgrundlage ist für die Bereitstellung der Leistung grundsätzlich Art. 6 Abs. 1 lit. b DSGVO, für gesetzliche Nachweise Art. 6 Abs. 1 lit. c DSGVO und für technische Sicherheit sowie berechtigte Kundenanfragen gegebenenfalls Art. 6 Abs. 1 lit. f DSGVO.

Kaufbezogene Daten bewahren wir auf, solange dies für die Bereitstellung, Bearbeitung offener Ansprüche, Rückabwicklung und gesetzliche Aufbewahrungspflichten erforderlich ist. Der Umgang mit Kauf- und Zahlungsverarbeitungsdaten bei Paddle richtet sich zusätzlich nach dessen Datenschutzhinweisen.

7. Anmeldung zum öffentlichen Test

Für die Anmeldung zum öffentlichen Test auf talealley.app/test verarbeiten wir Vorname, Nachname und E-Mail-Adresse der anmeldenden Person, die Zahl der Erwachsenen, der Jugendlichen von 13 bis 17 Jahren und der Kinder unter 13 Jahren in der Gruppe, die gewählte Geschichte und den Spielmodus, die Sprache, die Fassungen der bestätigten Bedingungen und Hinweise und deine Auswahl zum Newsletter. Dazu kommen der Stand der Anmeldung, die Zeitpunkte von Anmeldung und Bestätigung, ein gehashter Wert des Bestätigungslinks und sein Ablaufzeitpunkt, der Versandstatus unserer E-Mails, der Stand der Eintragung in den Newsletter und später der zugeteilte Event-Code. Namen und Alter der übrigen Mitspieler fragen wir nicht ab. Wir speichern die Anmeldung in unserer Datenbank bei Supabase und nutzen sie, um die Plätze zu vergeben, die Altersregeln der Geschichte zu prüfen, deine Anmeldung zu bestätigen, dir später den Code zu schicken, nach dem Spiel dein Feedback einzuholen und dir zum Test zu schreiben. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Dein Geburtsdatum fragen wir nur ab, um zu prüfen, dass du am Tag der Anmeldung volljährig bist. Diese Prüfung übernimmt der Server unserer Website bei Cloudflare, siehe Abschnitt 3. Das Geburtsdatum speichern wir nicht und geben es nicht weiter, auch nicht an Supabase. Rechtsgrundlage ist auch hier Art. 6 Abs. 1 lit. b DSGVO.

Nach dem Absenden schicken wir dir eine E-Mail mit einem Link. Erst wenn du die Anmeldung damit bestätigst, ist sie abgeschlossen (Double-Opt-in). So stellen wir sicher, dass die E-Mail-Adresse wirklich dir gehört. Als Nachweis speichern wir die Zeitpunkte deiner Anmeldung und deiner Bestätigung. Rechtsgrundlage ist unser berechtigtes Interesse nach Art. 6 Abs. 1 lit. f DSGVO, Anmeldungen mit fremden E-Mail-Adressen zu verhindern und Anmeldungen nachweisen zu können.

Damit Programme nicht die kostenlosen Plätze abräumen, schützt Cloudflare Turnstile das Anmeldeformular. Turnstile wird nur auf der Anmeldeseite geladen und wertet technische Signale wie IP-Adresse, TLS-Fingerabdruck, Browserkennung und die aufrufende Website aus, um Menschen von automatisierten Zugriffen zu unterscheiden. Dafür handelt Cloudflare in unserem Auftrag. Zur Verbesserung der Boterkennung nutzt Cloudflare die Signale nach eigenen Angaben zusätzlich in eigener Verantwortung. Rechtsgrundlage ist unser berechtigtes Interesse an einer fairen Vergabe der Plätze nach Art. 6 Abs. 1 lit. f DSGVO.

Alle E-Mails zum Test versenden wir über Mailjet, wie in Abschnitt 5 beschrieben. Antworten auf unsere E-Mails erreichen unser Postfach .

Feedback nach dem Spiel gehört zum Test. Dafür schicken wir dir nach dem Spiel eine E-Mail mit ein paar Fragen. Deine Antworten nutzen wir, um TaleAlley zu verbessern. Bitte schreibe keine unnötigen persönlichen Angaben in deine Antworten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Ob du uns nach dem Spiel Fotos oder Videos schickst, damit wir sie auf unseren Social-Media-Kanälen oder unserer Website zeigen, entscheidest du freiwillig. Wir zeigen sie nur mit deiner gesonderten Einwilligung und nur, wenn alle erkennbaren Personen einverstanden sind. Rechtsgrundlage ist deine Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO, die du jederzeit für die Zukunft widerrufen kannst.

Bestätigst du deine Anmeldung nicht innerhalb von 48 Stunden, löschen wir sie. Eine bestätigte Anmeldung, für die wir noch keinen Code verschickt haben, löschen wir 90 Tage nach der Bestätigung. Haben wir dir einen Code geschickt, löschen wir die Anmeldedaten spätestens drei Monate nach dem Ende deines Tests, also nach Ablauf deines Codes. Auf deinen Wunsch löschen wir sie auch früher. Vorname, Nachname und E-Mail-Adresse werden dabei in jedem Fall entfernt. Übrige Angaben wie Geschichte und Gruppenzusammensetzung können ohne Namen und E-Mail-Adresse für die Statistik erhalten bleiben. Den Nachweis einer Newsletter-Einwilligung bewahren wir getrennt auf, wie in Abschnitt 8 beschrieben. Für die Spiel- und Sitzungsdaten des Abenteuers gelten die folgenden Abschnitte.

8. Newsletter

Bei der Anmeldung zum öffentlichen Test kannst du mit einem eigenen Häkchen unseren Newsletter bestellen. Darin informieren wir dich per E-Mail über neue Geschichten, neue Städte und Aktionen von TaleAlley. Das Häkchen ist nicht vorausgewählt. Der Newsletter ist freiwillig und keine Bedingung für die Teilnahme am Test.

Den Newsletter schicken wir dir erst, wenn du die Bestellung bestätigt hast (Double-Opt-in). Dafür genügt der Link in unserer Bestätigungsmail zur Anmeldung. Er bestätigt Anmeldung und Newsletter zusammen. Nach der Bestätigung tragen wir deine E-Mail-Adresse und deinen Vornamen in unsere Newsletter-Kontaktliste bei Mailjet ein. Auch den Newsletter versenden wir über Mailjet, wie in Abschnitt 5 beschrieben. Rechtsgrundlage ist deine Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO.

Du kannst den Newsletter jederzeit abbestellen, über den Link in jedem Newsletter oder mit einer Nachricht an . Damit widerrufst du deine Einwilligung für die Zukunft. Deine Teilnahme am Test bleibt davon unberührt.

Als Nachweis deiner Einwilligung speichern wir deine E-Mail-Adresse, die Sprache, die Zeitpunkte von Bestellung und Bestätigung und dass du den Newsletter bei der Anmeldung zum öffentlichen Test bestellt hast. Diesen Nachweis bewahren wir getrennt von den Anmeldedaten zum Test auf. Nachweis und Eintrag in der Kontaktliste bleiben gespeichert, solange du den Newsletter beziehst, und danach nur so lange, wie wir die Einwilligung nachweisen müssen. Rechtsgrundlage für den Nachweis ist unser berechtigtes Interesse, die Einwilligung belegen zu können, nach Art. 6 Abs. 1 lit. f DSGVO.

9. Teilnahme ohne dauerhaftes Benutzerkonto

Für TaleAlley benötigst du kein dauerhaftes Benutzerkonto mit Passwort. Ein frei gewählter Spielername genügt. Die Verwendung des echten Namens ist nicht erforderlich. Die App verarbeitet eine Spielerkennung, Altersgruppe, Team-/Eventzuordnung und die für die Spielsitzung notwendigen Angaben. Zur Altersprüfung verwenden wir Altersgruppen (unter 13, 13–15, 16–17 und ab 18). Ein vollständiges Geburtsdatum ist nicht zur dauerhaften Speicherung vorgesehen. Kinder unter 13 Jahren nehmen ohne eigenen TaleAlley-Spieler auf dem Gerät einer erwachsenen Begleitperson teil.

10. Spiel-, Team- und Sitzungsdaten

Während eines laufenden Abenteuers können folgende Daten verarbeitet werden: Spielerkennung und gewählter Spielername, Event- und Teamzuordnung, Rolle und Spielmodus, Spielstart und -ende, Missionsfortschritt, Antworten, Ergebnisse, Hinweise, Werkzeug- und Fundstückstatus, Punktestand sowie technische Sitzungs- und Synchronisationsdaten. Diese Daten sind für die gemeinsame Spielmechanik, die Wiederherstellung nach Unterbrechungen und die Abwehr unberechtigter Aktionen erforderlich. Rechtsgrundlage ist grundsätzlich Art. 6 Abs. 1 lit. b DSGVO. Für zusätzliche Sicherheitsvorgänge kann Art. 6 Abs. 1 lit. f DSGVO einschlägig sein.

Nach dem endgültigen Spielende wird eine technisch begrenzte Wiederherstellungsfrist von höchstens 168 Stunden (sieben Tagen) vorgesehen. Wenn die vorgesehenen Geräte die Abschlussdaten vorher nachweisbar gesichert haben, können serverseitige Laufzeitdaten früher bereinigt werden. Kauf- und Abrechnungsbelege, gesonderte Einwilligungsnachweise und aus Sicherheitsgründen begrenzt aufzubewahrende Code-Statusdaten sind hiervon zu unterscheiden.

11. Auf deinem Gerät verbleibende Inhalte

Nach Abschluss können auf deinem Gerät dein persönlicher Punktestand und das freigeschaltete Wissen mit Texten, Bildern und Audio verbleiben, sofern für die Geschichte vorhanden auch eine ausführlichere Zusammenfassung der Geschichte mit ausgewählten Bildern. Ein vollständiges Archiv sämtlicher Missionen, Fundstücke, Videos oder KI-Gespräche wird nicht angelegt. Die App nutzt außerdem geschützte lokale Speicher für Session- und Wiederherstellungsdaten. Lokale Inhalte können bis zum Entfernen der App auf deinem Gerät verbleiben. Nach Löschung lokaler Daten und Bereinigung der serverseitigen Sitzung ist eine Wiederherstellung möglicherweise nicht mehr möglich.

12. Standortverarbeitung bei volljährigen Teilnehmern

Während der aktiven Nutzung können volljährige Spieler TaleAlley den Gerätestandort freigeben. Dieser wird für Orientierung, standortabhängige Missionen, Ortsprüfungen, Team-Presence und bestimmte Werkzeuge genutzt. Dabei können aktuelle Koordinaten, Genauigkeit und Zeitpunkte zeitweise an unseren Server übertragen werden. Wir erstellen kein dauerhaftes Bewegungsprofil und verwenden keinen fortlaufenden Hintergrundstandort. Standortbezogene Laufzeitdaten werden mit der Spielbereinigung entfernt, soweit keine getrennten, gesetzlich erforderlichen Nachweise betroffen sind.

Die Verarbeitung der für das ortsbasierte Spiel notwendigen Standortdaten dient grundsätzlich der Bereitstellung der angeforderten Spielfunktionen (Art. 6 Abs. 1 lit. b DSGVO). Du kannst die Geräteberechtigung im Betriebssystem ändern. Ohne geeignete Standortdaten stehen einige Spielfunktionen gegebenenfalls nicht oder nur eingeschränkt zur Verfügung.

13. Minderjährige und Location Anchor

Eigene Spieler unter 18 Jahren geben für TaleAlley keinen eigenen Gerätestandort frei. Karten-, Such- und Routenfunktionen mit eigenem Standortbezug sowie das KI-Walkie sind auf ihren Geräten gesperrt. Standortabhängige Missionen greifen auf die geeignete Position eines volljährigen Teammitglieds zurück. Auf dem Gerät des Minderjährigen werden nur benötigte abgeleitete Spielwerte wie „Ziel erreicht“, Richtung oder Entfernung bereitgestellt. Die Rohkoordinaten der erwachsenen Person sollen nicht übermittelt werden.

Minderjährige erhalten keine Newsletter-, personalisierten Werbe- oder Personenfoto-Veröffentlichungsfunktionen. Die notwendigen Spielverarbeitungen und die rechtliche Grundlage für die Teilnahmefreigabe werden altersgerecht zusätzlich erläutert.

14. Karten und Routen über Mapbox

Bei der Nutzung von Karten, Ortssuche und Fußwegrouten durch volljährige Spieler setzen wir nach dem aktuellen App-Konzept Mapbox Maps, Search Box und Directions ein. Dabei können Kartenanfragen, Suchbegriffe, Sprach-/Länderangaben, IP-Adresse, Geräteinformationen, zufällige Sitzungs-/Abrechnungskennungen und bei entsprechenden Funktionen Start-, Ziel- oder Nähekoordinaten übertragen werden. Die Verarbeitung dient der Bereitstellung aufgerufener Karten- und Routenfunktionen. Mapbox kann bestimmte Telemetrie in eigener Verantwortung verarbeiten. Diese Mapbox-Telemetrie ist beim ersten Start der App ausgeschaltet. Du kannst sie in den Einstellungen der App im Bereich Datenschutz einschalten und dort jederzeit wieder ausschalten. Auch bei ausgeschalteter Telemetrie sendet die App die Anfragen an Mapbox, die für eine aufgerufene Karten-, Such- oder Routenfunktion erforderlich sind. Anbieterangaben zu Speicherfristen und internationalen Verarbeitungen stehen in den jeweils aktuellen Mapbox-Unterlagen.

15. Kamera und freiwillige Hilfefotos

Die Spielwerkzeuge UV-Lampe, Infrarot und Echo-Scanner verwenden ein lokales Live-Kamerabild. Dieses wird für die Simulation verwendet und durch diese Werkzeuge nicht als Foto oder Video auf unsere Server hochgeladen. Das Spielwerkzeug „Richtmikrofon“ nutzt vorbereitete Tonspuren und nimmt deine Stimme nicht auf.

Zur Meldung eines blockierten oder nicht zugänglichen Missionsortes kannst du freiwillig ein Hilfefoto aufnehmen und an uns übermitteln. Es wird ausschließlich zur Bewertung und Bearbeitung der Meldung genutzt, nicht für KI-Auswertungen oder eine öffentliche Galerie. Bitte fotografiere nach Möglichkeit keine fremden Personen, erkennbaren Kfz-Kennzeichen oder sonstigen unnötigen personenbezogenen Informationen. Das Foto wird nach Bearbeitung, spätestens nach 14 Tagen, gelöscht. Rechtsgrundlage der Meldungsbearbeitung ist grundsätzlich Art. 6 Abs. 1 lit. f DSGVO.

16. Freiwilliges KI-Walkie und ElevenLabs

Das KI-Walkie steht ausschließlich volljährigen Spielern zur Verfügung. Die Nutzung ist freiwillig. Vorbereitete Nachrichten sind ohne KI verfügbar. Erst nach aktiver Auswahl des KI-Kontakts wird die Mikrofonberechtigung angefragt. Für die Sprachfunktion werden die gesprochene Eingabe und der notwendige Story-/Missionskontext an ElevenLabs übertragen. Der Kontext kann technische Spieler- und Sitzungskennungen, Sprache, Missionsinformationen und einen begrenzten vorangegangenen Gesprächsverlauf enthalten. Freiwillig gesprochene persönliche Angaben können dabei ebenfalls übertragen werden. Bitte nenne deshalb keine unnötigen oder vertraulichen personenbezogenen Daten.

ElevenLabs verwendet für die Sprachantworten weitere Modell- und technische Transportdienste. Im zuletzt dokumentierten Stand sind OpenAI als primärer Modellanbieter sowie je nach Konfiguration Google oder Anthropic als mögliche Ersatzmodelle vorgesehen. Die Live-Audioübertragung erfolgt technisch über WebRTC/LiveKit. Welche Unterauftragnehmer und Drittlandtransfers im konkreten Produktionsvertrag eingesetzt werden, richtet sich nach der tatsächlichen Konfiguration und den geltenden Anbieterunterlagen. Mit ElevenLabs besteht ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO, der für Übermittlungen in Drittländer auch EU-Standardvertragsklauseln umfasst. Der Nutzung unserer Daten zum Training der ElevenLabs-Modelle haben wir in unserem ElevenLabs-Konto widersprochen. TaleAlley selbst trainiert keine KI-Modelle mit deinen Daten.

TaleAlley legt selbst keine dauerhaft gespeicherten Roh-Audioaufnahmen dieser KI-Gespräche in Supabase an. Notwendige Transkripte, Antworten, Sitzungskennungen und Zeitpunkte werden für die laufende Spielsitzung verarbeitet und mit deren Laufzeitdaten bereinigt. Bei den zuletzt dokumentierten ElevenLabs-Kontakten waren neue Audioaufzeichnungen deaktiviert und die Gesprächsaufbewahrung auf null Tage eingestellt. Dies bedeutet eine geplante Löschung nach dem Gespräch, nicht die technisch garantierte sofortige Löschung sämtlicher Transkripte, Metadaten oder Sicherungskopien. Der gesonderte „Zero Retention Mode“ ist nach dem zuletzt geprüften Konfigurationsstand nicht aktiviert. Für die Verarbeitung durch den Anbieter gelten dessen tatsächliche Vertrags-, Aufbewahrungs- und Transferbedingungen. Bei einer Datenschutzanfrage prüfen wir vorhandene TaleAlley-Daten und, soweit erforderlich, mit dem Anbieter die dortigen Lösch- und Auskunftsmöglichkeiten.

Hältst du eine Antwort der KI für falsch oder unpassend, kannst du sie im Walkie mit „Antwort melden“ an uns melden. Wir speichern dann den gemeldeten Antworttext, Geschichte, Mission, Funkkontakt, Sprache und Zeitpunkt, die Team- und Eventzuordnung, die pseudonyme Spielerkennung sowie Sitzungs- und Gesprächskennungen. Deine eigenen gesprochenen Worte speichern wir dabei nicht. Wir prüfen jede Meldung, um Fehler der KI-Rolle zu erkennen und sie zu verbessern. Über neue Meldungen werden wir per E-Mail an benachrichtigt. Diese Benachrichtigung enthält keine Angaben zu Spielern. Nach unserer Prüfung, spätestens 90 Tage nach der Meldung, entfernen wir den Bezug zu Spieler, Team, Event, Sitzung, Gespräch und Funkkontakt. Der gemeldete Antworttext, Geschichte, Mission, Sprache, Bearbeitungsstatus und Zeitpunkte bleiben danach als anonyme Angaben ohne zeitliche Begrenzung gespeichert, damit wir das Walkie verbessern können. Rechtsgrundlage ist unser berechtigtes Interesse an zutreffenden und angemessenen KI-Antworten nach Art. 6 Abs. 1 lit. f DSGVO.

17. Sorgeberechtigten-Freigabe

Eigene TaleAlley-Spieler zwischen 13 und 17 Jahren benötigen vor der Teilnahme eine Freigabe für das konkrete Abenteuer, Event und den Teilnehmerplatz. Diese erfolgt über einen sicheren, teilbaren Link. Mit einem einzigen Haken bestätigt die sorgeberechtigte Person dort auch, dass sie die minderjährige Person selbst begleitet oder eine geeignete volljährige Person mit der Aufsicht während des Abenteuers betraut hat. Für die Freigabe erfassen wir grundsätzlich keinen Namen und keine E-Mail-Adresse der sorgeberechtigten Person und keine Angaben zur Begleitperson. Es werden die notwendigen Teilnehmer-/Eventzuordnungen, Altersgruppe, Freigabestatus und -zeitpunkt, Textversionen und gehashte geheime Linkwerte verarbeitet. Das vollständige Geburtsdatum des Minderjährigen wird nicht gespeichert.

Die Freigabe kann bis zum tatsächlichen Spielstart über den dafür vorgesehenen Verwaltungslink zurückgenommen werden. Die Einführung zählt nicht als Spielstart. Die Teilnahmefreigabe stellt keine allgemeine DSGVO-Einwilligung für optionale Funktionen dar. Zum Nachweis der Teilnahmefreigabe kann ein auf die erforderlichen Angaben begrenzter Datensatz getrennt von den Laufzeitdaten aufbewahrt werden. Das gegenwärtige Aufbewahrungsmodell sieht drei Jahre ab Ende des Kalenderjahres des jeweiligen Abenteuers vor.

18. Freiwillige Hall of Fame und Gruppenfotos

Teams können nach dem Spiel freiwillig an der Hall of Fame teilnehmen. Die Entscheidung trifft die volljährige Teamleitung. Die Entscheidungen über App-Eintrag, optionales Gruppenfoto und zusätzliche Website-Veröffentlichung werden getrennt abgefragt. Veröffentlicht werden können Teamname, Punktestand, Stadt, Abenteuername und, bei gesonderter Freigabe, ein Gruppenfoto. Für öffentliche Personenfotos müssen die erforderlichen Rechte und Einwilligungen aller erkennbaren Personen vorliegen. Minderjährige dürfen auf solchen Fotos nicht abgebildet sein. Bei Teams mit minderjährigen Spielern und Schulevents ist die Gruppenfoto-Veröffentlichung nicht vorgesehen.

Die öffentliche Veröffentlichung endet spätestens nach zwölf Monaten oder früher nach einem wirksamen Widerruf. Der Widerruf kann über die angebotenen Einstellungen oder per E-Mail an erklärt werden. Ein erforderlicher, datenminimierter Nachweis der Einwilligung kann getrennt aufbewahrt werden. Das bisherige Modell sieht drei Jahre ab Ende des Kalenderjahres vor, in dem die Veröffentlichung oder Einwilligung endet.

19. Bewertung und Feedback nach dem Spiel

Nach dem Spiel kannst du das Abenteuer freiwillig mit einer Sternbewertung von eins bis fünf bewerten und einen Kommentar dazuschreiben. Wir speichern dazu die Bewertung, den optionalen Kommentar, Plattform, App-Version, Sprache, Geschichte und Datum sowie die Eventzuordnung und pseudonyme Team- und Spielerkennungen. Sieben Tage nach der Bewertung entfernen wir den Bezug zu Team, Spieler und Event. Sternbewertung, Kommentar, Plattform, App-Version, Sprache, Geschichte und Datum bleiben danach als anonyme Angaben ohne zeitliche Begrenzung gespeichert. Wir nutzen sie, um TaleAlley zu verbessern. Bitte schreibe keine Namen oder anderen persönlichen Angaben in den Kommentar. Rechtsgrundlage ist unser berechtigtes Interesse an der Verbesserung von TaleAlley nach Art. 6 Abs. 1 lit. f DSGVO. Wenn du TaleAlley zusätzlich im App Store oder bei Google Play bewertest, geschieht das direkt beim jeweiligen Anbieter nach dessen Bedingungen.

20. Supabase, Protokolle und Sicherheitsdaten

Für Datenbank, Realtime-Synchronisation, Storage und serverseitige Funktionen wird Supabase eingesetzt. Das produktive Projekt ist nach dem aktuellen Stand in eu-central-1 (Frankfurt am Main) angelegt. Die Projektregion allein bedeutet nicht, dass alle Unterauftragnehmer oder administrativen Anbieterprozesse ausschließlich in der EU stattfinden. Bei Support, Fehleranalyse und IT-Sicherheit fallen technisch erforderliche Protokolle an, die zweckgebunden und nach festgelegten Fristen verarbeitet werden. Externe App-Crash- und Analytics-SDKs wie Firebase Analytics, Crashlytics und Sentry sind im zuletzt geprüften App-Stand nicht integriert.

Nach dem Spielende bleibt zu jedem Zugangs- oder Kaufcode ein eng begrenzter Statuseintrag erhalten. Er hält nur fest, ob der Code eingelöst, abgelaufen oder storniert wurde, mit Zeitpunkt und Geschichte, aber ohne Namen oder andere Angaben zu Personen. So lassen sich eine spätere Einlösung, eine missbräuchliche Wiederverwendung oder eine Erstattung nachvollziehen, und die App kann erklären, warum ein bereits verwendeter Code nicht mehr funktioniert. Der Eintrag wird 400 Tage nach seiner letzten Änderung gelöscht. Solche Nachweise sind von einem dauerhaft gespeicherten Bewegungs- oder Spielverlauf zu unterscheiden.

21. Empfänger und mögliche Drittlandübermittlungen

Je nach Funktion erhalten insbesondere Cloudflare, Pixel X, Mailjet, Paddle, Supabase, Mapbox, bei der Anmeldung zum öffentlichen Test Cloudflare Turnstile und bei aktiver KI-Nutzung ElevenLabs sowie dessen technische Unterauftragnehmer Daten. Paddle ist für eigene Checkout-Verarbeitungen grundsätzlich selbst verantwortlich. Andere Anbieter können abhängig von der Verarbeitung als Auftragsverarbeiter oder eigenständige Verantwortliche handeln. Eine Verarbeitung außerhalb der EU beziehungsweise des EWR erfolgt nur unter den dafür erforderlichen gesetzlichen Voraussetzungen, insbesondere anhand eines Angemessenheitsbeschlusses oder geeigneter Garantien wie EU-Standardvertragsklauseln, soweit anwendbar.

22. Speicherdauer im Überblick

Personenbezogene Daten werden gelöscht, sobald sie für ihren Zweck nicht mehr erforderlich sind, es sei denn, gesetzliche Pflichten oder berechtigte Nachweisinteressen verlangen eine weitere Speicherung. Für die wichtigsten Funktionen gelten nach dem dokumentierten Konzept insbesondere folgende Fristen:

Spiel- und Standort-Laufzeitdaten: Bereinigung nach bestätigter Sicherung, spätestens sieben Tage nach endgültigem Spielende.
Hilfefotos zu blockierten Orten: nach Auswertung, spätestens nach 14 Tagen.
Öffentliche Hall-of-Fame-Einträge und Fotos: höchstens zwölf Monate, bei Widerruf früher.

Minimale Sorgeberechtigten-Freigabe- und Hall-of-Fame-Einwilligungsnachweise: bislang geplante Frist von drei Jahren ab Ende des jeweils maßgeblichen Kalenderjahres.
Kauf- und Transaktionsdaten: solange für Leistung, Ansprüche oder gesetzliche Nachweise erforderlich.

Anmeldungen zum öffentlichen Test: ohne Bestätigung nach 48 Stunden, bestätigt ohne Code 90 Tage nach der Bestätigung, mit Code spätestens drei Monate nach Ablauf des Codes.

Newsletter und Nachweis der Einwilligung: solange du den Newsletter beziehst, danach so lange, wie wir die Einwilligung nachweisen müssen.
Code-Status ohne Personenbezug: 400 Tage nach der letzten Änderung.
Bewertungen nach dem Spiel: Bezug zu Team, Spieler und Event nach sieben Tagen, danach anonym ohne zeitliche Begrenzung.

Meldungen von KI-Antworten: Bezug zu Spieler, Team, Event, Sitzung, Gespräch und Funkkontakt nach der Prüfung, spätestens 90 Tage nach der Meldung, danach anonym ohne zeitliche Begrenzung.
Anbieterinterne Protokolle: nach den jeweiligen dokumentierten Anbieter- und Produktfristen.

23. Deine Rechte und Anfragen

Nach Maßgabe der gesetzlichen Voraussetzungen hast du Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch gegen Verarbeitung auf Grundlage berechtigter Interessen. Einwilligungen kannst du für die Zukunft widerrufen. Wende dich hierfür an . Zur Zuordnung vorhandener Daten können Event-Code, Spielername und ungefährer Spielzeitpunkt hilfreich sein. Bitte sende keine unnötigen persönlichen Angaben.

Du kannst dich bei der zuständigen Datenschutzaufsichtsbehörde beschweren, insbesondere beim Hessischen Beauftragten für Datenschutz und Informationsfreiheit oder einer anderen zuständigen Behörde. Bereits ordnungsgemäß gelöschte oder nur lokal gespeicherte Daten können wir nicht aus unseren Servern wiederherstellen.

24. Automatisierte Entscheidungen und Aktualisierungen

TaleAlley trifft keine ausschließlich automatisierten Entscheidungen, die gegenüber Nutzern rechtliche oder vergleichbar erhebliche Auswirkungen entfalten. Rollenverteilung, Punkte und KI-Dialoge dienen dem Spiel. Wenn wir Funktionen, Anbieter, Datenflüsse oder rechtliche Grundlagen wesentlich ändern, aktualisieren wir diese Datenschutzerklärung entsprechend.