1. Verantwortliche und Kontakt

Diensteanbieter / Betreiber der Plattform (gemeinsam verantwortlich):

ludicbrain (Einzelunternehmen) – Inhaber: Simon Rothe
Große Bergstraße 152, 22767 Hamburg
Tel.: 040 75685541 · E-Mail: info@ludicbrain.de · USt-ID: DE327827301

deutschundfranke mediadesign GmbH
Bürgermeister-Beck-Ring 14, 72336 Balingen
Tel.: 07433 3094612 · E-Mail: info@deutschundfranke.de · HRB: 729893 · USt-ID: DE264850322

Einheitlicher Kontakt (Anfragen/Betroffenenrechte/Support):
E-Mail: info@entdecke-unsere-stadt.de
Post: Simon Rothe, ludicbrain, Große Bergstraße 152, 22767 Hamburg (z. Hd. Datenschutz)

2. Gemeinsame Verantwortlichkeit (Art. 26 DSGVO)

ludicbrain und deutschundfranke sind für die Plattform gemeinsam verantwortlich.

Aufgabenteilung (Essenz): ludicbrain – Spielkonzept, Inhalte, Nutzerkommunikation; deutschundfranke – Hosting, Betrieb, Sicherheit sowie Bild-/Highscore-Workflow.

Betroffene können ihre Rechte gegenüber beiden Verantwortlichen geltend machen; zentraler Ansprechpartner: info@entdecke-unsere-stadt.de.
Die interne Vereinbarung zur Aufgabenteilung liegt vor und wird auf Anfrage bereitgestellt.

3. Zweck und Rechtsgrundlagen der Verarbeitung

3.1 Spiel-Durchführung & Spielsteuerung (zwingend)

Daten: Fotos (Aufgabenlösung), Live-GPS (Stations-Freischaltung), technische Stabilitätsdaten (Fehlercodes/Logs), Teamname, Spielstatus.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung). Die Foto- und GPS-Funktionen sind zwingende Bestandteile der Spielmechanik; ohne diese Funktionen können die Aufgaben nicht gelöst und das Spiel nicht ordnungsgemäß durchgeführt werden.

Keine Zweitnutzung: Spiel-Fotos werden nicht veröffentlicht und nicht zu Werbe-, Profiling- oder Social-Media-Zwecken eingesetzt; ausschließlich Aufgabenlösung und ggf. kurzzeitige Fehleranalyse. Keine biometrische Auswertung/Gesichtserkennung.

3.2 Betriebssicherheit / IT-Sicherheit / Fehleranalyse (zwingend)

Daten: Server-Logs, IP-Hash, Fehlermeldungen.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an sicherem Betrieb und Fehlerbehebung).

3.3 Öffentliche Rangliste (Highscore)

Daten: Teamname + Punkte (keine Fotos).

Zweck: Darstellung einer Rangliste als integraler Gaming-Bestandteil (Vergleichbarkeit/Wettbewerb).

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse). Pseudonym empfohlen; Opt-out („Nicht im Highscore anzeigen“) vorhanden; Widerspruchsrecht nach Art. 21 DSGVO jederzeit per E-Mail an datenschutz@entdecke-unsere-stadt.de.

4. Kategorien personenbezogener Daten

• Bilddaten: Spiel-Fotos zur Aufgabenlösung (keine biometrische Auswertung, keine Veröffentlichung).
• Standortdaten: Live-GPS während des Spiels (zweckgebunden, keine dauerhafte Speicherung über die Session hinaus).
• System-/Metadaten: Logdaten, Fehlermeldungen, Browser-/Geräteinfos.
• Spielmetadaten: Teamname (pseudonym empfohlen), Punkte/Highscore, Spielstatus.
• Öffentliche Darstellung: Teamname + Punkte im Highscore (keine Fotos); Opt-out möglich; Entfernung/Widerspruch per E-Mail.
• Consent-Daten: nur für optionale Analytics (Zeitstempel, Entscheidung, Version).

5. Empfänger / Auftragsverarbeiter (AVV / TOM)

Wir nutzen Dienstleister (Hosting, CDN, Bildspeicher, Monitoring). Diese verarbeiten Daten ausschließlich nach unseren Weisungen (Art. 28 DSGVO). Hosting in der EU/DE.

Städte/Kommunen erhalten keinen Zugriff auf personenbezogene Spiel-/Nutzungsdaten und keine individuellen Statistiken.

Für alle Dienstleister bestehen AVV; Subprocessor-Liste und TOM stellen wir auf Anfrage bereit.

Drittlandübermittlungen: finden grundsätzlich nicht statt. Sollte im Einzelfall ein Anbieter mit Sitz außerhalb der EU/EWR eingesetzt werden, erfolgen Übermittlungen ausschließlich auf Basis der EU‑Standardvertragsklauseln (Art. 46 DSGVO) und – sofern erforderlich – zusätzlicher technischer/organisatorischer Maßnahmen.

6. Endgerätezugriffe & LocalStorage (§ 25 TDDDG)

Für den Spielfortschritt werden technisch notwendige LocalStorage-Einträge genutzt; es werden keine Tracking-Cookies eingesetzt.

• Art der Daten: Spielfortschritt, Einstellungen, technische Zuordnungen (z. B. imagecode).
• Speicherort: ausschließlich auf Ihrem Endgerät.
• Serverseitig: Der imagecode wird serverseitig gespeichert, um Uploads zuordnen zu können; keine Verknüpfung mit weiteren personenbezogenen Daten.

Rechtsgrundlage: § 25 Abs. 2 Nr. 2 TDDDG (zwingend erforderlicher Endgerätezugriff zur Bereitstellung des ausdrücklich gewünschten Dienstes) sowie Art. 6 Abs. 1 lit. b DSGVO (Durchführung des Spiels). Optionales Analytics greift nur mit Einwilligung nach § 25 Abs. 1 TDDDG i. V. m. Art. 6 Abs. 1 lit. a DSGVO. Speicherdauer siehe § 8.

7. Pseudonymisierte Nutzungsstatistik (optional)

Wir können bestimmte Nutzungsdaten pseudonym auswerten (z. B. an welchen Stationen Gruppen fortsetzen/abbrechen) – über zufällige Spielcodes, ohne direkte Personenbezüge.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse) ohne Cookies/Drittanbieter-Tools oder (bei Tool-Einsatz) Art. 6 Abs. 1 lit. a + § 25 Abs. 1 TDDDG (Einwilligung).

Speicherdauer: Anonymisierung nach Auswertung, spätestens nach 30/90 Tagen.

8. Speicherdauer / Löschung (inkl. Backups)

• Spiel-Fotos: so kurz wie möglich, grundsätzlich bis 14 Tage nach Spielende; danach Löschung/Anonymisierung.
• Highscore (Teamname + Punkte): dauerhaft (bis Widerspruch/Opt-out); Entfernung/Widerspruch jederzeit per E-Mail an datenschutz@entdecke-unsere-stadt.de.
• Server-/Sicherheitslogs: 30 Tage (bei Vorfall länger).
• Fehleranalyse-Daten: 90 Tage.
• imagecode (Upload-Zuordnung): bis Abschluss der Aufgaben-/Fehleranalyse, max. 30 Tage; danach Löschung bzw. Entkoppelung der Zuordnung (Token bleibt lokal beim Nutzenden; serverseitige Verknüpfung entfällt).
• Consent-Logs (nur Analytics): i. d. R. bis zu 3 Jahre nach Jahresende.
• Backups: Gelöschte Daten rotieren mit dem Backup-Zyklus automatisiert aus (max. 35 Tage).

9. Rechte der betroffenen Personen

Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch (insbesondere gegen Verarbeitungen auf Basis von Art. 6 lit. f, z. B. Highscore), sowie Beschwerde bei einer Aufsichtsbehörde.

Kontakt: datenschutz@entdecke-unsere-stadt.de (Eingangsbestätigung i. d. R. binnen 7 Tagen; Antwort i. d. R. binnen 1 Monat).

10. Technische und organisatorische Maßnahmen (Sicherheit)

TLS/HTTPS, Zugriffsbeschränkungen, Protokollierung, regelmäßige Backups, Monitoring, Verschlüsselung ruhender Daten, Pseudonymisierung wo möglich.

Minimierung bei Fotos: EXIF-Entfernung, Größenlimit, kein Einsatz biometrischer Erkennung; optional client-seitige Gesichts-Detektion mit Upload-Block für versehentliche Gesichter.

11. Datenschutzvorfälle (Incident-Handling)

Bei Vorfällen prüfen wir, begrenzen den Schaden, dokumentieren Maßnahmen und melden – sofern erforderlich – binnen 72 Stunden an Aufsicht/Betroffene. Kontakt: datenschutz@entdecke-unsere-stadt.de.

12. Kinder und Minderjährige (Aufsicht)

Das Angebot kann von Minderjährigen genutzt werden. Unter 16 Jahren nur mit Aufsicht/Einverständnis einer sorgeberechtigten Person. Da Foto- und GPS-Verarbeitungen vertragsnotwendig sind (Art. 6 Abs. 1 lit. b DSGVO), ist keine Online-Einwilligung nach Art. 8 DSGVO erforderlich.

Zusätzlich verpflichtend: In-App Just-in-Time-Hinweise (z. B. keine Gesichter/Passant:innen; sichere Nutzung im Straßenverkehr).

13. Sicherheit & Straßenverkehr

Der Straßenverkehr hat jederzeit Vorrang. Nutzen Sie das Spiel nur zu Fuß und aufmerksam; betreten Sie keine gesperrten/gefährlichen Bereiche. Minderjährige nur unter Aufsicht.

14. DPIA — Kurzbeschreibung

Für Live-Standortdaten besteht erhöhtes Risiko. Maßnahmen: Speicherbegrenzung, Pseudonymisierung/Aggregation, Zugriffsbegrenzung, verschlüsselte Übertragung, regelmäßige Sicherheitsprüfungen. Kurzfassung auf Anfrage.

15. Änderungen und Versionierung

Diese Erklärung wird aktualisiert, wenn Funktionen, Abläufe oder rechtliche Vorgaben sich ändern.