Datenschutzerklärung

1. Verantwortlich

Verantwortlich für die Verarbeitung ist Justin, Betreiber von Bonderosa Scripts. Erreichbar unter justin@justfuture.at oder auf Discord. Anfragen zum Datenschutz gehen an dieselbe Adresse — es gibt keine getrennte Stelle dafür, und es antwortet niemand anderes.

2. Wo die Seite läuft

Die Seite läuft auf einem Server, den der Betreiber selbst betreibt. Es sind keine Analysedienste, keine Werbenetzwerke, keine Tracking-Pixel und keine externen Content-Delivery-Netzwerke eingebunden. Auch die verwendeten Schriftarten (Chakra Petch, IBM Plex Sans, JetBrains Mono) werden vom eigenen Server ausgeliefert — dein Browser stellt beim Besuch dieser Seite keine Verbindung zu Google oder anderen Dritten her.

3. Zugriffsdaten des Webservers

Der vorgeschaltete Webserver protokolliert jeden Aufruf mit IP-Adresse, Zeitpunkt, aufgerufener Adresse, Browserkennung und HTTP-Statuscode. Das ist technisch notwendig, um die Seite auszuliefern, und dient der Erkennung von Störungen und Angriffen.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO — das berechtigte Interesse am sicheren und störungsfreien Betrieb.

Speicherdauer: Diese Protokolle werden nach 3 Monaten automatisch gelöscht. Die Löschung ist als tägliche Aufgabe auf dem Server eingerichtet und läuft ohne Zutun.

4. Download-Bereich und Zugangs-Keys

Scripts werden nur gegen einen Zugangs-Key ausgeliefert. Bei jedem Versuch — ob erfolgreich oder nicht — wird ein Eintrag mit folgenden Angaben gespeichert:

• Zeitpunkt des Versuchs
• welches Script angefragt wurde
• welcher Key benutzt wurde, sofern er gültig war
• die IP-Adresse
• das Ergebnis (Download, falscher Key, abgelaufen, Limit erreicht)

Warum die IP-Adresse gespeichert wird

Ohne sie wären zwei Dinge nicht möglich, auf die dieser Bereich angewiesen ist:

• Schutz vor dem Durchprobieren von Keys. Nach fünf Fehlversuchen wird die betreffende Adresse gesperrt, nach zehn und zwanzig Versuchen jeweils länger. Ohne einen Bezug zur Herkunft der Anfrage könnte ein Angreifer beliebig viele Keys durchprobieren.
• Erkennen weitergegebener Keys. Ein Key ist für einen Kunden bestimmt. Taucht derselbe Key plötzlich aus einer Vielzahl unterschiedlicher Adressen auf, ist er weitergegeben worden — das lässt sich nur so feststellen.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Das berechtigte Interesse besteht in der Abwehr von Angriffen auf den geschützten Bereich und in der Durchsetzung der Lizenzbedingungen.

Speicherdauer: Diese Einträge werden nach 3 Monaten vollständig gelöscht — nicht anonymisiert, sondern entfernt. Die Löschung läuft beim Start der Anwendung, danach alle sechs Stunden und zusätzlich jedes Mal, wenn der Betreiber das Protokoll öffnet. Ein Eintrag kann diese Frist deshalb nicht überdauern.

Erhalten bleibt lediglich ein Zähler, wie oft ein Script insgesamt heruntergeladen wurde. Dieser Zähler enthält keinerlei Personenbezug — weder IP-Adressen noch Zeitpunkte noch Keys.

Sperrliste

Die Liste der aktuell gesperrten Adressen liegt ausschließlich im Arbeitsspeicher, wird nicht auf die Festplatte geschrieben und ist nach spätestens zwei Stunden, jedenfalls aber nach einem Neustart der Anwendung, leer.

5. Lizenzprüfung der ausgelieferten Scripts

Ein gekauftes Script prüft auf dem Server des Kunden, ob seine Lizenz noch gültig ist. Es fragt dazu beim Start und danach einmal täglich bei dieser Seite an. Zu jeder Anfrage wird ein Eintrag gespeichert:

• Zeitpunkt der Anfrage
• der verwendete Lizenzschlüssel und um welches Script es geht
• eine Serverkennung — der SHA-256-Wert eines Serverschlüssels mit Zusatz. Aus ihr lässt sich nicht zurückrechnen, um welchen Server es sich handelt; sie dient ausschließlich dazu, denselben Server bei der nächsten Anfrage wiederzuerkennen
• der vom Server gemeldete Anzeigename und die Scriptversion
• die IP-Adresse, unter der die Anfrage eingeht
• die erteilte Antwort (gültig, unbekannt, gesperrt, Serverlimit, abgelaufen)

Warum die IP-Adresse gespeichert wird

Sie entscheidet nicht darüber, ob eine Lizenz gültig ist — Anbieter wechseln IP-Adressen, und hinter einem Proxy wäre der Wert ohnehin nicht aussagekräftig. Sie wird aus zwei anderen Gründen mitgeschrieben: um die Anfragebremse von sechzig Anfragen je Stunde durchzusetzen, und um zu erkennen, wenn ein Lizenzschlüssel aus auffällig vielen unterschiedlichen Richtungen benutzt wird.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO — die Prüfung ist Bestandteil der Lizenz und ohne sie nicht durchführbar — sowie Art. 6 Abs. 1 lit. f DSGVO für die Abwehr missbräuchlicher Nutzung.

Speicherdauer: Diese Protokolleinträge werden nach 3 Monaten vollständig gelöscht, im selben Löschlauf wie die Einträge des Download-Bereichs.

Getrennt davon bleibt zu jeder Lizenz gespeichert, welche Server auf ihr eingetragen sind: Serverkennung, Anzeigename, Scriptversion, Zeitpunkt der ersten und der letzten Anfrage sowie die zuletzt gesehene IP-Adresse. Diese Angaben sind die Lizenz selbst — ohne sie ließe sich die vereinbarte Anzahl an Servern nicht durchsetzen. Sie bleiben deshalb bestehen, solange die Lizenz besteht, und werden gelöscht, sobald der betreffende Server von der Lizenz gelöst oder die Lizenz entfernt wird.

6. Cookies und lokale Speicherung

Diese Seite setzt keine Cookies für Besucher. Es gibt keinen Cookie-Banner, weil es nichts einzuwilligen gibt.

Die gewählte Sprache (Deutsch oder Englisch) wird im lokalen Speicher deines Browsers abgelegt. Dieser Wert verlässt dein Gerät nicht und wird nie an den Server gesendet. Du kannst ihn jederzeit über die Einstellungen deines Browsers löschen.

Ein Cookie wird nur gesetzt, wenn du dich anmeldest — als Kunde in deinem Konto oder als Betreiber in der Verwaltung. Es enthält allein die Sitzungskennung, läuft nach sieben Tagen ab und dient keinerlei Auswertung. Ohne dieses Cookie ist eine Anmeldung technisch nicht möglich; eine Einwilligung ist dafür nicht erforderlich (§ 25 Abs. 2 TDDDG).

7. Verwaltungsbereich

Der Verwaltungsbereich ist nicht öffentlich und steht nur dem Betreiber offen. Er lässt sich nicht über die Registrierung erreichen: Wer sich hier ein Konto anlegt, bekommt ein Kundenkonto, und der Zugang zur Verwaltung wird bei jedem Aufruf gesondert geprüft.

Zur Anmeldung werden E-Mail-Adresse und Passwort gespeichert, das Passwort ausschließlich als nicht rückrechenbarer Hash. Zu jeder Sitzung werden Zeitpunkt, IP-Adresse und Browserkennung festgehalten; abgelaufene Sitzungen werden im selben Löschlauf entfernt wie die Download-Protokolle.

8. Panel-Vorschau

Auf der Script-Seite lässt sich die Bedienoberfläche des Scripts anklicken. Diese Vorschau läuft vollständig in deinem Browser und wird von derselben Domain geladen. Sie sendet keine Daten an den Server und ruft keine externen Adressen auf — was du darin anklickst, erfährt niemand.

9. Kundenkonto

Wer ein Script erworben hat, kann sich ein Konto anlegen. Darin stehen die eigenen Lizenzen, die dazugehörigen Downloads und die eigenen Support-Anfragen. Ein Konto ist freiwillig — die Scripts lassen sich auch ohne betreiben, und Downloads sind weiterhin über einen Zugangs-Key möglich.

Gespeichert werden: Name, E-Mail-Adresse und das Passwort, ausschließlich als nicht rückrechenbarer Hash. Dazu der Zeitpunkt der Registrierung und ob die Adresse bestätigt wurde. Zu jeder Anmeldung werden Zeitpunkt, IP-Adresse und Browserkennung festgehalten; abgelaufene Sitzungen werden im selben Löschlauf entfernt wie die übrigen Protokolle.

Warum die Adresse bestätigt werden muss: Eine Lizenz wird dem Konto zugeordnet, dessen bestätigte Adresse zur Adresse der Lizenz passt. Ohne diese Bestätigung könnte sich jemand mit einer fremden Adresse registrieren und dadurch Einsicht in fremde Lizenzen erhalten. Die Bestätigung schützt also nicht uns, sondern dich.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO — das Konto dient der Erfüllung des Vertrags über das erworbene Script.

Aufbewahrung: Solange das Konto besteht. Du kannst die Löschung jederzeit formlos verlangen; sie erfolgt dann unverzüglich. Bestehen zu dem Zeitpunkt noch laufende Lizenzen, bleibt die Lizenz selbst mit dem darauf vermerkten Namen bestehen — sie ist Vertragsunterlage —, die Verbindung zum Konto wird gelöst.

Anmeldeversuche: Registrierung, Anmeldung und das Zurücksetzen des Passworts sind in der Zahl der Versuche je IP-Adresse begrenzt. Dafür werden ein Zähler und der Zeitpunkt des letzten Versuchs gespeichert, verknüpft mit der IP-Adresse. Ohne diese Begrenzung ließen sich Passwörter durchprobieren. Die Zähler laufen nach wenigen Minuten bis Stunden von selbst ab. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; das berechtigte Interesse liegt in der Sicherheit der Konten.

10. Support-Anfragen

Aus dem Kundenkonto heraus lassen sich Anfragen stellen. Gespeichert werden der Betreff, der Text der Anfrage und der weitere Schriftwechsel, die gewählte Kategorie, das betroffene Script und — falls angegeben — die eingefügte Konsolenausgabe des Servers.

Bitte beachten: Was du in eine Anfrage schreibst, wird gespeichert. Trag deshalb keine Passwörter, Lizenzschlüssel oder Daten deiner Spielerinnen und Spieler ein. Für die Fehlersuche ist beides nicht nötig.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO — Support gehört zur Erfüllung des Vertrags.

Aufbewahrung: Eine als gelöst markierte Anfrage schließt sich nach 14 Tagen automatisch, wenn niemand mehr darauf antwortet. Geschlossene Anfragen werden nach 12 Monaten vollständig gelöscht — samt Schriftwechsel. Diese Frist ist länger als die 90 Tage der technischen Protokolle, weil ein Supportverlauf Vertragsunterlage sein kann. Beide Zahlen stehen an einer Stelle im Programm und werden hier von dort gelesen.

11. E-Mail-Versand

An die von dir angegebene Adresse gehen ausschließlich Nachrichten, die du selbst ausgelöst hast: die Bestätigung deiner Adresse, das Zurücksetzen des Passworts und der Hinweis, dass es eine Antwort auf deine Support-Anfrage gibt. Es gibt keinen Newsletter und keine Werbung.

Der Versand läuft über einen eigenen Mailserver innerhalb der Europäischen Union. Die Nachrichten enthalten keine Zählpixel und keine Nachverfolgung — ob und wann du sie öffnest, ist uns nicht bekannt.

12. Weitergabe an Dritte

Es findet keine Weitergabe statt. Die Daten werden nicht verkauft, nicht für Werbung genutzt, nicht mit anderen Quellen zusammengeführt und nicht in Länder außerhalb der EU übermittelt. Eine Herausgabe erfolgt nur, soweit dazu eine gesetzliche Verpflichtung besteht.

Es findet keine automatisierte Entscheidungsfindung und kein Profiling statt. Die IP-basierte Sperre ist eine rein technische Zählung von Fehlversuchen und trifft keine Aussage über die Person dahinter.

13. Deine Rechte

Nach der DSGVO stehen dir gegenüber dem Verantwortlichen folgende Rechte zu:

• Auskunft über die zu deiner Person gespeicherten Daten (Art. 15)
• Berichtigung unrichtiger Daten (Art. 16)
• Löschung (Art. 17)
• Einschränkung der Verarbeitung (Art. 18)
• Datenübertragbarkeit (Art. 20)
• Widerspruch gegen Verarbeitungen auf Grundlage des berechtigten Interesses (Art. 21)

Eine formlose Nachricht an justin@justfuture.at genügt. Hast du ein Kundenkonto, reicht die Adresse des Kontos zur Zuordnung. Geht es dagegen um einen Eintrag in den technischen Protokollen, nenne bitte den ungefähren Zeitpunkt und die verwendete IP-Adresse — diese Protokolle enthalten keinen Namen und lassen sich sonst niemandem zuordnen.

Unabhängig davon steht dir ein Beschwerderecht bei einer Aufsichtsbehörde zu. Für Österreich ist das die Österreichische Datenschutzbehörde, Barichgasse 40–42, 1030 Wien.

14. Stand

Diese Erklärung gibt den Stand der eingesetzten Software wieder. Wird die Aufbewahrungsfrist im Programm geändert, ändert sich die hier genannte Angabe automatisch mit — sie wird aus derselben Stelle gelesen, die auch die Löschung steuert.