Der Betreiber verantwortet insbesondere Plattformbetrieb, Zugangssicherung, Missbrauchsabwehr und Kommunikation mit Organisatoren. Zusätzliche Kontaktdaten stehen im Impressum.
Der jeweilige Veranstalter bestimmt, wer an seinem Turnier oder seiner Liga teilnimmt, welche Ergebnisse erfasst werden, wem Inhalte gezeigt und wie lange sie für den Veranstaltungszweck benötigt werden. Dafür ist er grundsätzlich eigener datenschutzrechtlich Verantwortlicher und muss Teilnehmer passend informieren.
Soweit SchockOut die Veranstaltungsdaten ausschließlich nach dokumentierter Weisung verarbeitet, gilt die elektronisch bestätigte Vereinbarung zur Auftragsverarbeitung. Die Nutzung von Einstellungen, Freigaben, Exporten und Löschfunktionen gilt als dokumentierte Weisung. Die folgenden Angaben nennen die vorgesehenen Zwecke und Rechtsgrundlagen; die konkrete Zulässigkeit einer Veranstaltung, insbesondere von Aufnahmen und öffentlichen Ergebnisanzeigen, muss der Veranstalter zusätzlich sicherstellen.
2. Hosting, Domain und Schutz des Betriebs
SchockOut wird derzeit über ChatGPT Sites von OpenAI bereitgestellt. Die Anwendung nutzt Cloudflare Workers zur Verarbeitung von Anfragen, eine Cloudflare-D1-Datenbank für Datensätze und Cloudflare R2 für hochgeladene Dateien und Kamera-Ersatzbilder.
Für die Domain schockout.de und die Kontaktadresse support@schockout.de werden Domain-, DNS- und E-Mail-Dienste der STRATO GmbH, Otto-Ostrowski-Straße 7, 10249 Berlin, Deutschland, eingesetzt. Je nach Nutzung verarbeitet STRATO dabei insbesondere Domain-, Verbindungs- und Kommunikationsdaten. Weitere Informationen enthält die Datenschutzerklärung von STRATO. Soweit STRATO personenbezogene Daten im Auftrag verarbeitet, ist die hierfür geltende Vereinbarung zur Auftragsverarbeitung maßgeblich.
Beim Aufruf gelangen insbesondere IP-Adresse, Zeitpunkt, angeforderte URL, Browser- und Geräteinformationen, Übertragungs- und Fehlerdaten an die beteiligte Infrastruktur. Sie dienen Auslieferung, Verfügbarkeit, Fehleranalyse und Missbrauchsabwehr. Rechtsgrundlage für diese notwendigen Betriebs- und Sicherheitszwecke ist Art. 6 Abs. 1 lit. f DSGVO.
Die Anwendung bildet für ihre Zugriffsbeschränkungen kryptografische Prüfwerte aus Verbindungsmerkmalen und dem jeweiligen Vorgang. Diese Zähler sind zeitlich begrenzt. Infrastruktur-Anbieter können daneben eigene Zugriffs- und Fehlerprotokolle führen. Deren Aufbewahrung ist nicht aus dem Anwendungscode ableitbar.
HTTPS, getrennte Berechtigungen und serverseitige Zugangskontrollen dienen dem Schutz der Daten. Zugangsschlüssel werden je nach Funktion als Prüfwert und/oder verschlüsselt gespeichert. Nicht sämtliche Datenbankinhalte sind anwendungsseitig verschlüsselt; berechtigte Administration und technische Dienstleister können je nach Aufgabe Zugriff benötigen.
3. Organisatorenzugang und Sicherheitsprüfung
Für neue Organisatorenzugänge werden Alias, interne Kennung, optional eine Organisationsangabe, die Bestätigung der Nutzungsangaben und technische Zeitpunkte gespeichert. Zusätzlich werden die bestätigte Version dieser Datenschutzerklärung, die Version der Vereinbarung zur Auftragsverarbeitung und der Annahmezeitpunkt dokumentiert. Der zufällig erzeugte Zugangscode wird nur kurz nach Erstellung oder Erneuerung im Klartext angezeigt; dauerhaft wird ein kryptografischer Prüfwert gespeichert. Sitzungen werden separat zugeordnet. Für Betrieb und Support besteht ein technisch getrennter, besonders geschützter Systemzugang. Verwaltungsvorgänge können mit Aktion, Zeitpunkt, interner Kennung und betroffenem Datensatz protokolliert werden.
Ein selbst gewähltes Passwort, eine persönliche E-Mail-Adresse oder ein Google-Login sind für diesen anwendungseigenen Codezugang nicht erforderlich. Eine gegebenenfalls vorgeschaltete Anmeldung der Hosting-Plattform wird vom jeweiligen Hostinganbieter verarbeitet; dafür gelten dessen Datenschutzinformationen. Ältere plattformgebundene Zugänge können eine interne Plattformkennung verwenden.
Die lokale Sicherheitsaufgabe verwendet ein verschlüsseltes Einmal-Token mit fünf Minuten Gültigkeit, eine Mindestbearbeitungszeit, ein unsichtbares Bot-Feld und Missbrauchszähler.
Grundlage für Konto und angeforderte Nutzung ist Art. 6 Abs. 1 lit. b DSGVO; Zugriffssicherung und Missbrauchsschutz erfolgen auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO.
4. Turniere, Teilnehmer und Ergebnisse
Verarbeitet werden Veranstaltungsname, Ort, Termin, Regeln, Phasen, Tischanzahlen und Zeitplan sowie Spielnamen/Aliase, Anmeldung, Anwesenheit, Warteliste, Ersatzspieler, Tisch- und Sitzplatz, Rundenergebnisse, Sonderwürfe, Weiterkommen und Platzierungen. Rundenaufrufe und deren aktive Bestätigung erzeugen Status- und Zeitangaben, damit der Organisator die Bereitschaft sehen kann. Korrekturen, Runden im Papierkorb und Wiederherstellungen können in Protokollen nachvollziehbar bleiben.
Spieler benötigen kein dauerhaftes Organisatorenkonto und können einen Spielnamen verwenden. Auch ein Alias ist personenbezogen, wenn eine Person daran erkennbar ist. Die aktuelle Spieleranmeldung verlangt keine E-Mail-Adresse. Angaben können direkt von Spielern, manuell vom Organisator oder durch Schriftführer stammen. Auch bei Eintragung durch Dritte müssen Teilnehmer über die Verarbeitung informiert werden.
Zweck ist die Durchführung und Nachvollziehbarkeit des jeweiligen Turniers. Soweit für das vereinbarte Spielangebot erforderlich, gilt Art. 6 Abs. 1 lit. b DSGVO; für geordnete Organisation und Ergebnisdarstellung im vorgesehenen Teilnehmerkreis Art. 6 Abs. 1 lit. f DSGVO nach Interessenabwägung. Darüber hinausgehende Veröffentlichungen benötigen eine gesondert tragfähige Grundlage, gegebenenfalls eine freiwillige Einwilligung.
Tischverteilung, Qualifikation und Rangfolge werden nach den festgelegten Spielregeln und Ergebnissen berechnet. Sie dienen der Spielorganisation, nicht einer rechtlich oder ähnlich erheblich wirkenden automatisierten Entscheidung nach Art. 22 DSGVO. Der Organisator bleibt Ansprechpartner für Prüfung und Berichtigung.
5. Ligen und Stammtische
Im getrennten Liga- und Stammtischbereich werden Liga- und Saisonname, Treffpunkt, Spielabendtermine, Teilnehmernamen, Tischzuordnung, Anwesenheit und Rundenergebnisse gespeichert. Abgeschlossene Spielabende fließen in die zugehörige Saisonrangliste ein. Daraus entstehen etwa Ligapunkte, Tagesplatzierungen, Zahl der Spielabende, Schock-Aus-Wertungen und Durchschnitte.
Eine Rangliste kann innerhalb dieser Liga mehrere Spielabende umfassen. Es gibt keine daraus abgeleitete öffentliche Gesamtliga aller SchockOut-Turniere. Die Verwaltung ist dem jeweiligen Organisator zugeordnet. Zweck und Rechtsgrundlagen entsprechen der vereinbarten Spielorganisation in Abschnitt 4; eine spätere öffentliche Veröffentlichung ist damit nicht pauschal erlaubt.
6. QR-Codes, Schriftführer, Gast- und Beameransichten
QR-Codes werden innerhalb der Anwendung ohne externen QR-Generator erzeugt. Sie enthalten Links für Anmeldung, Teilnehmer-Wiederzugang, Schriftführung, Gäste oder Kamera. Wer einen berechtigenden Link besitzt, kann die freigegebene Funktion verwenden. Solche Codes dürfen nur dem vorgesehenen Personenkreis zugänglich gemacht werden.
Schriftführer-Links sind im aktuellen Stand einem Turnier, einer bestimmten Phase und einem Tisch zugeordnet. Bestehende gültige Links werden für diese Zuordnung wiederverwendet, bis sie erneuert oder widerrufen werden; sie sind nicht automatisch ein Zugang zu allen späteren Phasen. Sie erlauben im freigegebenen Bereich das Eintragen, Korrigieren, Löschen und Wiederherstellen von Ergebnissen sowie Tischnotizen, jedoch keine allgemeine Organisatorverwaltung. Teilnehmer-Wiederzugangslinks enthalten eine signierte Teilnehmerkennung; sie haben keine eigene feste Ablaufzeit und werden bei Entfernung des Spielerplatzes oder Turniers unbrauchbar. Der daraus ausgestellte Turnier-Pass hat eine eigene begrenzte Laufzeit.
Für den Turniertag-Leitstand erzeugt der Schriftführer-Browser eine zufällige, tischbezogene Gerätekennung. An den Server gelangen nur ein kontextgebundener, nicht umkehrbarer Prüfwert, Phase, Tisch und der Zeitpunkt des letzten Kontakts. Damit sieht der Organisator, ob an einem Tisch aktuell eine Schriftführer-Seite verbunden ist. Es werden dafür weder Gerätebezeichnung noch Browserkennung gespeichert. Inaktive Einträge werden nach sieben Tagen bereinigt und bei Turnier- oder Accountlöschung entfernt.
Teilnehmerzugänge erlauben die eigene Übersicht und freigegebene Spielbereiche sowie die Bestätigung eines Rundenaufrufs; sie sind daher nicht ausschließlich lesend. Gast- und Beameransichten dienen der Anzeige. Sie können Namen, Zuordnungen, Ergebnisse und Platzierungen zeigen; eine Beamerprojektion ist für Anwesende sichtbar. Darüber muss der Veranstalter informieren und den Umfang passend begrenzen.
Zweck ist die gewünschte Teilnahme, Ergebniserfassung oder Anzeige auf den Grundlagen aus Abschnitt 4. Ein QR-Code ist weder Anonymisierung noch Einwilligung in beliebige Veröffentlichungen.
7. Freiwillige Push-Mitteilungen
Spieler können Push-Mitteilungen auf ihrem Gerät aktivieren. Gespeichert werden gerätespezifische Push-Adresse und erforderliche Schlüssel verschlüsselt, ein Zuordnungsprüfwert, Turnier- und Teilnehmerkennung sowie technische Zustellzeitpunkte, letzter technischer Antwortstatus und die Anzahl aufeinanderfolgender Fehlversuche. Der Organisator sieht nur den daraus abgeleiteten Zustand wie „bereit“, „prüfen“ oder „kein Push“, nicht die Push-Adresse oder Schlüssel. Er kann einen bereits aktiven Rundenaufruf für einen einzelnen zugeordneten Spieler erneut anstoßen. Der Browser installiert hierfür einen Service Worker, der Nachrichten auch bei geschlossener Seite empfangen kann.
Der Rundenaufruf sendet eine verschlüsselte Web-Push-Nachricht mit Turnierkennung und -name, Phase, Hinweistext sowie Tisch und Platz. Je nach Gerät stellt ein Push-Dienst des Browser- oder Betriebssystemanbieters, beispielsweise Google, Apple, Mozilla oder Microsoft, die Nachricht zu. Dieser verarbeitet Zustelladresse und Verbindungsmetadaten; der Nachrichteninhalt ist für den Browser verschlüsselt. Bei Bedarf fragt der Browser zusätzlich offene Aufrufe über den geschützten Spielerzugang ab.
Nachrichten können auf dem Sperrbildschirm erscheinen und dort von anderen gesehen werden. Ton und Vibration hängen von den Geräteeinstellungen ab. Grundlage der freiwilligen Zustellung ist die Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO. Sie können Push auf der Spielerübersicht deaktivieren oder die Browserberechtigung entziehen. Ohne Push bleiben die normalen Spieler- und Ergebnisfunktionen verfügbar.
Der Entzug einer Browserberechtigung allein löscht nicht zwingend sofort den Datenbankeintrag. Die Anwendung entfernt Abos bei Deaktivierung über ihre Push-Funktion, bestimmten endgültigen Zustellfehlern sowie bei Spielerwechsel, Spieler- oder Turnierlöschung. Für eine weitergehende Löschung können Sie den Betreiber kontaktieren.
8. Smartphone-Kamera und WebRTC
Die Kamera wird erst nach aktivem Start und Gerätefreigabe verwendet. Es wird kein Ton angefordert. Das Livevideo wird verschlüsselt per WebRTC an die berechtigte Beamer-/Kameraansicht übertragen und von SchockOut nicht als Videodatei aufgezeichnet.
Für den Verbindungsaufbau wird der STUN-Dienst von Cloudflare angesprochen. Signalisierungsnachrichten enthalten Verbindungsbeschreibungen und Netzwerkkandidaten; darin können IP-Adressen und weitere Netzwerkmerkmale stehen. Diese Daten werden über den SchockOut-Server zwischen den Geräten ausgetauscht. Auch bei direkter Übertragung können Gegenstellen die öffentliche IP-Adresse erkennen.
Zusätzlich wird während der Übertragung ungefähr alle acht Sekunden ein komprimiertes JPEG-Ersatzbild hochgeladen und das vorige Bild überschrieben. Anders als das Livevideo ist dies eine serverseitig gespeicherte Momentaufnahme. Beim ordentlichen Stoppen wird ihre Löschung angefordert. Verwaiste Bilder werden beim entsprechenden späteren Abruf auf ihr Alter geprüft; es gibt keine garantierte zeitgesteuerte Löschung genau nach 15 Minuten. Signalisierungsdaten sind 90 Sekunden gültig; ihre Bereinigung erfolgt ebenfalls zugriffsabhängig. Bei Turnierlöschung werden die zugehörigen Kameradaten entfernt.
Die Gerätefreigabe des Kamerabedieners ist keine Einwilligung aller abgebildeten Personen. Vor dem Filmen müssen Zweck, Empfänger, Ersatzbilder und Widerrufsmöglichkeit erklärt und die erforderlichen Einwilligungen eingeholt werden. Bei einwilligungsbasiertem Einsatz gilt Art. 6 Abs. 1 lit. a DSGVO. Kameranutzung ist für die Teilnahme nicht erforderlich. Keine heimlichen Aufnahmen; bei Minderjährigen ist die erforderliche Beteiligung der Sorgeberechtigten zu prüfen. Private Aufzeichnungen durch Zuschauer kann SchockOut nicht vollständig verhindern.
9. Turnierlogo und Hallenplan
Organisatoren können Logos und Raumpläne hochladen. Gespeichert werden Bilddatei, Zuordnung und technische Dateiangaben. Tischpositionen, Bereichsnamen und eingezeichnete Wege beziehen sich auf diesen Plan. Die Funktion ortet kein Smartphone und verwendet kein GPS-Tracking.
Logos erscheinen unter anderem auf Beameransichten, Berichten und Urkunden; Raumpläne unterstützen Tischzuordnung und Rundenaufruf. Bilder können Personen oder zusätzliche Dateimetadaten enthalten. Laden Sie nur erforderliche Inhalte hoch, für die Nutzungsrechte und datenschutzrechtliche Grundlage vorliegen. Die Bereitstellung erfolgt für die gewünschte Veranstaltungsdarstellung nach Abschnitt 4. Bei Änderungen und Löschungen sind auch Exporte und Kopien zu berücksichtigen.
10. Bot-Testspiel und private Online-Tische
Das Bot-Testspiel verarbeitet Würfe und Spielzüge im Browser. Für Organisatoren können abgeschlossene Partien mit Spielname, Ergebnis, Verlierername, Runden, Schock-Aus-Zahl, Dauer und Zeitpunkt im eigenen Zugang gespeichert werden. Ergebnisse eines reinen temporären Teilnehmerzugangs werden nicht als Organisator-Spielstatistik gespeichert.
Private Online-Tische speichern Raumkennung und Einladungscode, Gastgeberzuordnung, Spielernamen, Sitzplätze, Zugriffsschlüssel-Prüfwerte, Verbindungsstatus, Würfe, Spielzüge und Ereignisse zur Synchronisation. Diese Informationen sind im berechtigten Spielraum sichtbar. Räume sind für zwölf Stunden ab Erstellung nutzbar; abgelaufene Datensätze werden bei späteren Aufrufen der Bereinigung entfernt und nicht garantiert sekundengenau nach zwölf Stunden physisch gelöscht.
Zweck ist das gewünschte gemeinsame Spiel. Grundlage ist Art. 6 Abs. 1 lit. b DSGVO, für Zugriffssicherung ergänzend Art. 6 Abs. 1 lit. f DSGVO. Bot-Gegner sind Spielprogramm-Logik; dafür wird kein externer KI-Chatdienst angesprochen.
11. News, Willkommensnachrichten und Kontakt
Organisatoren erhalten System- und Willkommensnachrichten sowie persönliche Antworten. Gespeichert werden Inhalt, Priorität, Zuordnung, Zustellzeitpunkt und Lesestatus. Interne Organisatoranfragen enthalten eingegebenen Namen, Betreff, Text, Organisatorkennung, Bearbeitungsstatus, Zeitpunkte und Antwortverlauf. Diese Verläufe sind nur für den betroffenen Organisator und die berechtigte Systemverwaltung vorgesehen.
Die öffentliche Kontaktstelle kann ohne Anmeldung für allgemeine, rechtliche, Sicherheits- und Datenschutzanfragen genutzt werden. Dabei werden Name, E-Mail-Adresse, Anliegenart, Betreff, Nachricht, Status und Zeitpunkte verarbeitet. Name, E-Mail, Betreff und Text werden anwendungsseitig verschlüsselt gespeichert; die Systemverwaltung entschlüsselt sie erst in ihrem geschützten Postfach. Die Sicherheitsaufgabe, Rate-Limits und Verbindungsdaten dienen der Missbrauchsabwehr.
Öffentliche Anfragen werden über die angegebene E-Mail-Adresse beantwortet. Erledigte Vorgänge werden regelmäßig nach sechs Monaten gelöscht. Offene oder in Bearbeitung befindliche Vorgänge werden spätestens nach 24 Monaten geprüft und gelöscht, wenn kein weiterer Zweck oder eine Pflicht zur Aufbewahrung besteht. Eine frühere berechtigte Löschung bleibt möglich.
Die Übertragung erfolgt über HTTPS; kein Nachrichtensystem ist ein Ende-zu-Ende-verschlüsselter Messenger. Bitte keine Zugangscodes, Gesundheitsdaten oder unnötigen vertraulichen Informationen eintragen. Bei direkter E-Mail an support@schockout.de werden Absender, Inhalt und Kommunikationsdaten auch durch den E-Mail-Dienst von STRATO verarbeitet.
Grundlage ist Art. 6 Abs. 1 lit. b DSGVO für nutzungsbezogene oder vorvertragliche Anliegen und Art. 6 Abs. 1 lit. f DSGVO für Support, Sicherheit und notwendige Betriebsinformationen. Soweit eine Einwilligung erforderlich oder ausdrücklich erteilt wird, gilt ergänzend Art. 6 Abs. 1 lit. a DSGVO.
12. Berichte, Urkunden, Exporte und Backups
Organisatoren können Ergebnisse, Spielabende und Ranglisten in den vorgesehenen Exportformaten herunterladen oder Berichte und Urkunden über den Browser als PDF drucken. Die Ausgaben können Namen, Platzierungen, Punkte, Termine, Orte und Logos enthalten. Empfänger von ausgehändigten, ausgedruckten oder veröffentlichten Ausgaben erhalten diese Daten außerhalb der Anwendung.
Turnierbackups sind dem Turnier und seinem Organisator zugeordnet und werden in der Datenbank anwendungsseitig verschlüsselt gespeichert. Sie enthalten Daten des Sicherungszeitpunkts. Vor bestimmten Wiederherstellungen und Test-/Zurücksetzvorgängen werden zusätzliche Sicherungen angelegt.
Einzelne Datenlöschungen verändern nicht automatisch sämtliche älteren Sicherungen oder heruntergeladenen Dateien. Wiederherstellen kann alte personenbezogene Daten erneut einbringen. Bei Löschanfragen müssen betroffene Backups und bei Wiederherstellung erneut auftauchende Daten mitberücksichtigt werden. Vollständige Turnier- und Accountlöschung entfernen die zugehörigen Anwendungsbackups; fremde Downloads und Ausdrucke lassen sich nicht aus der Ferne löschen.
Zweck ist die angeforderte Auswertung und Wiederherstellbarkeit. Grundlage sind Art. 6 Abs. 1 lit. b DSGVO und, soweit zur Datensicherheit erforderlich, Art. 6 Abs. 1 lit. f DSGVO. Die Backupfunktion erlaubt keine unbegrenzte Aufbewahrung entgegen berechtigten Löschansprüchen.
13. Cookies und Speicherung auf dem Gerät
Die SchockOut-Anwendung setzt keine Werbe- oder Analysewerkzeuge ein. Notwendige Cookies halten gewünschte Anmeldungen und Spielzugänge aufrecht. Für unbedingt erforderliche Zugriffe gilt § 25 Abs. 2 Nr. 2 TDDDG; die anschließende Verarbeitung richtet sich nach den oben genannten Grundlagen. Vorgeschaltete Plattformdienste haben eigene Hinweise.
Organisator und Systemverwaltung
Getrennte HttpOnly-Sitzungscookies; regulär 30 Tage beziehungsweise vier Stunden. Das verschlüsselte Cookie zur kurzzeitigen Anzeige eines neuen Codes gilt höchstens zehn Minuten.
Turnier-Pass und eigene Übersicht
Verschlüsselte, turnierbezogene HttpOnly-Cookies und ein Merkcookie für das zuletzt aktive Turnier. Die Laufzeit richtet sich nach dem Termin: grundsätzlich bis 48 Stunden danach, bei Ausstellung mindestens 24 Stunden und insgesamt höchstens 180 Tage.
Privater Online-Tisch
Beim Beitritt wird ein raumbezogenes HttpOnly-Cookie für bis zu zwölf Stunden gesetzt. Der Raum kann bereits vorher ablaufen oder gelöscht werden.
Speicherhinweis
Die Auswahl „Nur notwendige verwenden“ wird im lokalen Browserspeicher hinterlegt, damit der Hinweis nicht bei jedem Seitenaufruf erneut erscheint. Über die Schaltfläche in diesem Abschnitt kann der Hinweis jederzeit wieder geöffnet werden.
Schriftführer-Status
Der Schriftführer-Browser speichert lokal eine zufällige Kennung für Turnier, Phase und Tisch. Sie dient ausschließlich der Anzeige des letzten Kontakts im Leitstand und kann durch Löschen der Websitedaten entfernt werden.
Push / installierbare Web-App
Bei freiwilliger Push-Aktivierung speichert der Browser Service Worker, Berechtigung und Push-Abo. Diese können in den Website-Einstellungen entfernt werden. Der aktuelle Service Worker legt keine Offline-Kopie der Turnierdaten an.
Cookies und lokale Einstellungen können in den Browsereinstellungen gelöscht oder blockiert werden. Dadurch können Anmeldungen, Wiederzugänge oder die Online-Tischnutzung verloren gehen und der Speicherhinweis erneut erscheinen. Das Löschen eines Cookies löscht nicht automatisch die zugehörigen Serverdaten.
14. Speicherdauer und Löschung
Turniere werden standardmäßig ohne festen Ablauftermin gespeichert. Der Organisator kann stattdessen je Turnier eine Frist von 1, 2, 3, 5 oder 10 Jahren festlegen und sie verlängern. Vor dem Stichtag werden im News-Postfach Hinweise erzeugt. Ein abgelaufener Stichtag markiert das Turnier zunächst zur Prüfung; er löst keine unangekündigte automatische Löschung aus.
„Dauerhaft“ bezeichnet nur das Fehlen eines vorab gesetzten technischen Ablauftermins. Es ist keine Erlaubnis, personenbezogene Daten unabhängig vom Zweck unbegrenzt aufzubewahren. Nach Wegfall des Zwecks sind Daten zu löschen oder wirksam zu anonymisieren, soweit keine einschlägige gesetzliche Pflicht oder andere tragfähige Grundlage eine begrenzte weitere Aufbewahrung erfordert. Mindestens jährlich sowie bei wesentlichen Funktionsänderungen prüft der Betreiber die tatsächlichen Bestände, offenen Vorgänge und Anbieterfristen.
Für Organisator-Zugänge wird die letzte Nutzung dokumentiert. Nach 24 Monaten ohne Aktivität wird der Zugang zur manuellen Systemprüfung angezeigt und durch eine Systemnachricht gekennzeichnet. Er wird nicht allein wegen Zeitablaufs automatisch entfernt. Eine Löschung durch die Systemverwaltung erfordert eine aktive Sitzung, den exakten Alias und eine erneute Eingabe des Systemschlüssels.
Das Ablaufdatum einer Sitzung oder eines Raums begrenzt den Zugriff. Es ist nicht automatisch der Zeitpunkt der physischen Löschung. Abgelaufene Sitzungen, Missbrauchszähler, Online-Räume und bestimmte Schlüsselreste werden durch zugriffsabhängige Bereinigung entfernt. Ohne weitere Zugriffe können Datensätze länger vorhanden bleiben. Für öffentliche Kontaktanfragen gelten sechs Monate nach Erledigung beziehungsweise eine spätestens nach 24 Monaten fällige Prüfung. Für Kamera und Signalisierung gelten die Besonderheiten aus Abschnitt 8.
Organisatoren können ihren gesamten Zugang nach erneuter Codeprüfung löschen. Dabei werden eigene Turniere, Ligen, verwaltete Online-Räume, Spielstatistiken, Nachrichten, Kontaktverläufe, rechtliche Annahmen, Zugänge und zugehörige Anwendungsdaten entfernt. Bei Spielerplätzen in fremdverwalteten Veranstaltungen sind deren Veranstalter einzubeziehen. Für externe Ausdrucke, Downloads, Plattformprotokolle und etwaige Anbieter-Sicherungen gelten zusätzliche Prozesse. Der vollständige Plan steht im Datenschutzkonzept.
15. Empfänger und internationale Verarbeitung
Zugriff erhalten je nach Funktion der zuständige Organisator, befugte Schriftführer, Teilnehmer oder Gäste der freigegebenen Ansicht sowie die berechtigte Systemverwaltung für Betrieb und Support. Bei Projektionen und ausgegebenen Dokumenten kommen Zuschauer oder Empfänger hinzu.
Technisch beteiligt sind STRATO für Domain-, DNS- und E-Mail-Dienste, OpenAI/ChatGPT Sites, Cloudflare und bei freiwilligem Push der vom Gerät genutzte Zustelldienst. Kamera-Verbindungsaufbau und gegebenenfalls Turnstile/TURN beziehen ebenfalls Cloudflare ein. Die europäischen Datenschutzinformationen von OpenAI nennen OpenAI Ireland Limited für die dort beschriebenen Verarbeitungen von Personen im EWR. Cloudflare beschreibt seine Verarbeitung in der Datenschutzerklärung von Cloudflare.
Eine ausschließlich deutsche oder europäische Speicherung ist nicht zugesagt. Internationale Infrastruktur, Push- und Verbindungsdienste können Verarbeitungen außerhalb des EWR einschließen. Je nach Anbieter kommen hierfür insbesondere Angemessenheitsbeschlüsse oder Standardvertragsklauseln mit ergänzenden Maßnahmen als Übermittlungsgrundlage in Betracht.
16. Ihre Rechte und Wahlmöglichkeiten
Nach den gesetzlichen Voraussetzungen können Sie Auskunft und eine Kopie Ihrer Daten, Berichtigung, Löschung, Einschränkung der Verarbeitung und Datenübertragbarkeit verlangen. Einwilligungen können Sie jederzeit für die Zukunft widerrufen; eine zuvor rechtmäßige Verarbeitung wird dadurch nicht rückwirkend unzulässig.
Widerspruch: Gegen Verarbeitungen auf Grundlage berechtigter Interessen können Sie aus Gründen Ihrer besonderen Situation Widerspruch einlegen. Nutzen Sie dafür die öffentliche Kontaktstelle oder die Kontaktadresse im Impressum; für Daten einer konkreten Veranstaltung können Sie auch deren Organisator ansprechen.
Anfragen werden grundsätzlich unverzüglich und spätestens innerhalb der gesetzlichen Regelfrist beantwortet. Bei hoher Komplexität oder zahlreichen Anfragen kann die gesetzlich zulässige Verlängerung genutzt werden; darüber und über die Gründe wird rechtzeitig informiert.
Sie dürfen sich bei einer Datenschutzaufsichtsbehörde beschweren, insbesondere an Ihrem Aufenthaltsort, Arbeitsplatz oder dem Ort eines vermuteten Verstoßes. Eine Übersicht der deutschen Aufsichtsbehörden hilft bei der Auswahl. Vorherige Kontaktaufnahme mit SchockOut ist hierfür nicht erforderlich.
Zur Zuordnung einer Anfrage können Angaben zu Turnier und Spielname sowie ein geeigneter Nachweis der Zugehörigkeit nötig sein. Es wird nur der geringstmögliche Nachweis verlangt, der eine Herausgabe an Unbefugte verhindert. Senden Sie niemals vollständige Zugangscodes. Ohne gespeicherte E-Mail-Adresse können Zugänge nicht automatisch per E-Mail wiederhergestellt werden.
Nur die für einen gewünschten Zugang oder eine Teilnahme notwendigen Angaben sind erforderlich. Kamera, Push und optionale Uploads sind freiwillig. Ohne Spielname oder erforderliche Zuordnungsdaten kann die entsprechende Teilnahme nicht eingerichtet werden.
17. Datenschutzorganisation und Sicherheitsvorfälle
Das veröffentlichte Datenschutzkonzept beschreibt Datenminimierung, Zugriffskontrollen, Aufbewahrungs- und Löschplan, Betroffenenanfragen, Kamera-Freigabe, Anbieterprüfung und regelmäßige Überarbeitung.
Bei einem vermuteten Sicherheitsvorfall werden Zugänge oder Schlüssel soweit erforderlich gesperrt, Ursache und betroffene Daten eingegrenzt, Risiken dokumentiert und betroffene Organisatoren ohne unangemessene Verzögerung informiert. Der jeweils Verantwortliche prüft gesetzliche Meldungen an Aufsichtsbehörde und Betroffene. Schutzmaßnahmen werden anschließend angepasst.
SchockOut verspricht keine absolute Sicherheit. Die gesetzlichen Pflichten zur risikogerechten Sicherung, Meldung und Rechenschaft werden durch diesen ehrlichen Hinweis nicht eingeschränkt.
Rundenentwürfe und Turniervorlagen
Zur Absicherung einer gewünschten Punkteübertragung speichert der Schriftführer-Browser vorübergehend einen lokalen Rundenentwurf mit Spielerkennungen, Punktewerten, Sonderwurfauswahl und einer zufälligen Übertragungskennung. Namen und Zugangstokens werden darin nicht gespeichert. Entwürfe werden nach bestätigter Speicherung entfernt; abgelaufene Entwürfe werden nach höchstens 24 Stunden beim nächsten Öffnen einer Erfassungsseite bereinigt. Ohne erneutes Öffnen können die lokalen Daten länger auf dem Gerät verbleiben. Sie lassen sich über die Websitedaten des Browsers oder beim Wiederherstellungsangebot entfernen. Eine Übertragung findet erst nach einer aktiven Speicher- beziehungsweise Prüfaktion statt.
Organisatoren können eigene Turniervorlagen speichern. Sie enthalten Regeln, Tischsetup, Rundenlimits sowie optional Logo und Raumplan einschließlich Beschriftungen, jedoch keine Teilnehmerlisten, Ergebnisse oder Zugangslinks. Vorlagen sind dem Organisator zugeordnet, werden verschlüsselt gespeichert und bleiben bis zur Löschung der Vorlage oder des Organisator-Zugangs erhalten. Bilder werden separat kopiert; die Löschung des ursprünglichen Turniers entfernt deshalb nicht automatisch dessen gespeicherte Vorlage.