Datenschutzerklärung für das Fynnland-Konto

Wer verantwortlich ist

Verantwortlich nach der Datenschutz-Grundverordnung (DSGVO) bin ich:

Ich betreibe das Konto und die Spiele privat, ohne Werbung, ohne Analyse und ohne Geld damit zu verdienen. Daten aus dem Konto gebe ich nicht zu Werbezwecken weiter.

Was das Fynnland-Konto ist

Mit dem Fynnland-Konto meldest du dich in allen meinen Spielen mit demselben Konto an. Zurzeit sind das Tobuuy unter tobuuy.com und Neon Velocity unter neonvelocity.fynnland.xyz. Verwaltet wird das Konto auf der Kontoseite unter fynn.land/konto. Sie läuft auf dem Fynnland-Kontoserver, einem eigenen Programm bei Cloudflare, das Konten, Anmeldewege, Sitzungen, Zwei-Faktor, Freunde, Spielstände und Bestenlisten für alle Spiele verwaltet.

Das Konto kennt weder Passwort noch E-Mail-Adresse, und ich frage keine ab. Du meldest dich mit Discord, Google, GitHub oder einem Anmeldeschlüssel an (Anmelden).

Auf der Kontoseite kannst du dich anmelden und abmelden, deinen Kontonamen festlegen und ändern, deine Anmeldewege verwalten, deine Freunde und deinen Online-Status verwalten, Zwei-Faktor einschalten, deine Geräte und Sitzungen sehen und beenden, einem Spiel den Zugriff entziehen, deine Daten herunterladen und das Konto löschen.

Die frühere Adresse fynnland.xyz/konto leitet auf fynn.land/konto weiter. Eine Anmeldung von dort gilt auf fynn.land nicht weiter; du meldest dich einmal neu an.

Wo das Konto läuft

Der Kontoserver läuft auf Cloudflare Workers der Cloudflare, Inc., 101 Townsend St, San Francisco, CA 94107, USA. Jede Anfrage an die Kontoseite, auch aus einem Spiel heraus, verarbeitet Cloudflare in meinem Auftrag mit den Verbindungsdaten, die im Abschnitt über den Seitenaufruf der Datenschutzerklärung von fynn.land stehen: IP-Adresse, Zeitpunkt, aufgerufene Adresse und Browserangaben.

Die Kontodaten selbst liegen in einer Datenbank bei Cloudflare (D1), deren Speicherort auf Rechenzentren in der EU beschränkt ist. Dasselbe gilt für das Server-Objekt, in dem der aktuelle Online-Status liegt (Online-Status für Freunde). Die Verarbeitung der Anfragen im Netz von Cloudflare habe ich nicht auf die EU beschränkt. Daten können deshalb in Länder außerhalb der EU übermittelt werden, vor allem in die USA. Cloudflare nimmt am EU-U.S. Data Privacy Framework teil; die Übermittlung in die USA stützt sich auf den Angemessenheitsbeschluss der EU-Kommission (Durchführungsbeschluss (EU) 2023/1795, Art. 45 DSGVO). Falls dieser Beschluss wegfällt, sieht der Vertrag die Standardvertragsklauseln der EU-Kommission vor (Art. 46 Abs. 2 Buchst. c DSGVO). Dafür gilt der Vertrag zur Auftragsverarbeitung von Cloudflare (Data Processing Addendum) nach Art. 28 DSGVO, der Teil der Nutzungsbedingungen von Cloudflare ist. Eine Kopie der Standardvertragsklauseln bekommst du auf Anfrage bei mir.

Die Protokollierung von Anfragen bei Cloudflare ist abgeschaltet, und ich schreibe selbst keine Protokolle. Bei technischen Fehlern gibt der Server eine kurze Fehlermeldung aus, die nicht gespeichert wird; scheitert eine Anmeldung bei Discord, Google oder GitHub, enthält sie nur den Anbieter, den Statuscode und dessen Fehlercode. Zur Fehlersuche kann ich eingehende Anfragen kurzzeitig live mitlesen; auch dabei wird nichts gespeichert. Schalte ich die Protokollierung zur Fehlersuche vorübergehend ein, löscht Cloudflare die Protokolle nach 3 Tagen.

Die Kontoseite setzt keine Cookies, und auch Cloudflare setzt für fynn.land keine. Sie lädt nichts von fremden Servern. Nur wenn du dich mit Discord, Google oder GitHub anmeldest, schickt sie deinen Browser auf deren Anmeldeseite.

Rechtsgrundlage für die Verbindungsdaten ist Art. 6 Abs. 1 Buchst. f DSGVO. Mein berechtigtes Interesse ist, die Kontoseite zuverlässig und sicher auszuliefern.

Was im Konto gespeichert ist

Zu deinem Konto speichert der Kontoserver:

• eine interne Kennung des Kontos: eine Zufallszahl, die nichts über dich aussagt,
• deinen Kontonamen und wann du ihn zuletzt geändert hast. Der Kontoname gilt in allen Fynnland-Spielen, und du legst ihn nur auf der Kontoseite fest. In der ersten Stunde nach dem Anlegen kannst du ihn beliebig oft ändern, danach höchstens alle 14 Tage. Zu Beginn ist er der Anzeigename des Anmeldewegs über Discord, Google oder GitHub, mit dem du das Konto angelegt hast, sonst leer,
• je Anmeldeweg einen Hashwert, berechnet mit einem geheimen Schlüssel (HMAC-SHA-256) aus deiner Nutzerkennung bei Discord, Google oder GitHub bzw. aus deinem Anmeldeschlüssel; die Kennung und den Anmeldeschlüssel selbst speichere ich nicht. Dazu die Art des Wegs, wann du ihn hinzugefügt und wann zuletzt benutzt hast und, bei Discord, Google und GitHub, deinen Anzeigenamen dort (siehe unten),
• je angemeldetem Browser eine Sitzung: ein Hashwert (SHA-256) des Sitzungs-Tokens, wann sie begonnen hat und zuletzt benutzt wurde, für welches Spiel oder die Kontoseite sie gilt, eine grobe Gerätebeschreibung und, mit Zwei-Faktor, wann du in dieser Sitzung zuletzt einen Code eingegeben hast (Geräte und Sitzungen),
• wenn du Zwei-Faktor einschaltest, die Daten dafür (Zwei-Faktor),
• deine Freunde: deinen Freundescode, deine Beziehungen zu anderen Konten mit Zeitpunkt und einen Zähler deiner Anfragen (Freunde),
• deine Einstellungen zum Online-Status (was deine Freunde sehen und ob du Meldungen bekommst) und, solange du deinen Status zeigst, wann du zuletzt online warst, auf die Minute gerundet (Online-Status für Freunde),
• für jedes Spiel, dem du auf der Kontoseite erlaubt hast, dein Konto zu nutzen: welches Spiel und seit wann (Anmelden in einem Spiel),
• je Spiel einen Spielstand, den nur dieses Spiel schreibt und liest, höchstens 32 KB groß, mit dem Zeitpunkt der letzten Änderung; was darin steht, beschreibt das jeweilige Spiel in seiner Datenschutzerklärung (Was ein Spiel sieht),
• je Spiel mit öffentlicher Bestenliste deinen Eintrag dort (Öffentliche Bestenlisten),
• während du dich in einem Spiel anmeldest, für höchstens 60 Sekunden einen einmaligen Anmeldecode als Hashwert (siehe unten),
• wann das Konto angelegt und wann es zuletzt benutzt wurde (höchstens einmal am Tag aktualisiert).

Auf der Kontoseite steht außerdem eine Konto-ID wie CCA1B-5AF12. Sie besteht aus den ersten 10 Zeichen der internen Kennung und ist kein zusätzliches Datum. Sie ändert sich nie, ist kein Geheimnis und kein Anmeldeweg; du kannst sie nennen, wenn du mich um Hilfe bittest, damit ich zwei Konten mit gleichem Namen auseinanderhalten kann.

Schutz vor Missbrauch. Neue Konten sind auf 5 je IP-Adresse in einer Stunde begrenzt (bei IPv6 je Anschlussbereich, den ersten 64 Bit der Adresse). Dafür speichert der Server nicht die Adresse selbst, sondern einen gekürzten Hashwert (HMAC-SHA-256 mit einem geheimen Schlüssel) zusammen mit dem Beginn der Stunde und der Zahl der dort angelegten Konten. Anmelden und Anmeldewege hinzufügen zählen nicht. Nach der Stunde zählt der Eintrag nicht mehr; der Server löscht ihn spätestens am nächsten Tag. Außerdem zählt der Server je IP-Adresse und je Sitzung im Arbeitsspeicher, wie viele Anfragen in kurzer Zeit kommen. Diese Zähler werden nicht gespeichert und verschwinden, wenn Cloudflare die jeweilige Server-Instanz beendet. Ich werte keinen dieser Zähler aus. Rechtsgrundlage ist Art. 6 Abs. 1 Buchst. f DSGVO; mein berechtigtes Interesse ist, dass niemand mit Skripten die Datenbank füllt oder den Dienst lahmlegt.

Anmelden mit Discord, Google, GitHub oder Anmeldeschlüssel

Discord und Google. Die Kontoseite leitet dich im selben Tab zur Anmeldeseite von Discord (Discord Inc., 444 De Haro Street, Suite 200, San Francisco, CA 94107, USA) bzw. Google (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland) weiter. Was dort geschieht, verantworten Discord und Google selbst nach ihren eigenen Datenschutzerklärungen. Stimmst du zu, schickt der Anbieter deinen Browser mit einem einmaligen Code zurück. Der Server tauscht diesen Code beim Anbieter ein und erfährt so deine Nutzerkennung und deinen Anzeigenamen: bei Discord über die Berechtigung „identify“, bei Google über „openid“ und „profile“. Gespeichert werden davon nur die Kennung (als Hashwert, siehe oben) und ein Name: bei Discord dein Anzeigename (ersatzweise dein Benutzername), bei Google dein Vorname, jeweils auf 20 Zeichen gekürzt. Weitere Angaben aus der Antwort (bei Discord etwa das Profilbild, bei Google Nachname und Profilbild) verwende und speichere ich nicht.

GitHub. Die Kontoseite leitet dich zur Anmeldeseite von GitHub (GitHub, Inc., 88 Colin P. Kelly Jr. Street, San Francisco, CA 94107, USA) weiter; was dort geschieht, verantwortet GitHub nach seiner eigenen Datenschutzerklärung. Die Kontoseite fragt keine Berechtigung an, bekommt also nur Zugriff auf dein öffentliches Profil. Stimmst du zu, schickt GitHub deinen Browser mit einem einmaligen Code zurück; der Server tauscht ihn bei GitHub ein und liest dein öffentliches Profil. Gespeichert werden davon nur deine Nutzerkennung (als Hashwert, siehe oben) und ein Name: dein Name bei GitHub, ersatzweise dein Benutzername, auf 20 Zeichen gekürzt. E-Mail-Adresse, Profilbild und alles Weitere aus dem Profil verwende und speichere ich nicht.

Was mit dem Namen des Anbieters geschieht. Legst du mit Discord, Google oder GitHub ein Konto an, wird der Name dein erster Kontoname. Der Name des zuletzt benutzten dieser Wege wird außerdem dort gezeigt, wo dein Konto keinen Kontonamen hat: deinen Freunden, oben auf der Startseite von fynn.land und als erster Name in einer Bestenliste. Spiele bekommen ihn ebenfalls (Was ein Spiel sieht). Er wird bei jeder Anmeldung über diesen Weg aktualisiert und mit dem Anmeldeweg gelöscht. Bei Google ist das dein Vorname; wenn du ihn nicht zeigen willst, gib dem Konto einen anderen Kontonamen.

Bei allen drei Anbietern fragt die Kontoseite weder E-Mail-Adresse noch Freundesliste oder andere Daten an, und den Zugangsschlüssel des Anbieters speichere ich nicht. Discord, Google und GitHub erfahren dabei, dass du dich beim Fynnland-Konto anmeldest.

Anmeldeschlüssel. Statt eines Anbieters kann die Kontoseite einen Anmeldeschlüssel für dich erzeugen. Er besteht aus 25 zufälligen Zeichen und wird nur einmal angezeigt. Du kannst ihn im Browser oder Passwortmanager, als Datei oder auf Papier aufheben. Wer ihn kennt, kommt in dein Konto; einen neuen Schlüssel erzeugen macht den alten ungültig.

Weil das Konto keine E-Mail-Adresse kennt, kann ich dich nicht benachrichtigen und ein Konto nicht wiederherstellen, wenn du alle Anmeldewege verlierst. Hänge deshalb am besten zwei Wege an dein Konto.

Anmelden in einem Spiel

Ein Spiel schickt dich zum Anmelden auf die Kontoseite. Beim ersten Mal fragt sie, ob dieses Spiel dein Konto nutzen darf; deine Zustimmung wird mit dem Zeitpunkt gespeichert, und das Spiel steht danach auf der Kontoseite unter „Spiele mit Zugriff“. Bei jeder Anmeldung, die du in einem Spiel startest, fragt die Kontoseite, ob du mit dem Konto weitermachen willst, mit dem du dort angemeldet bist, oder ein anderes nehmen willst. Direkt nach einer Anmeldung bei Discord, Google oder GitHub im selben Tab geht es ohne weitere Frage zurück zum Spiel.

Dann schickt die Kontoseite deinen Browser mit einem einmaligen Anmeldecode an das Spiel zurück, und zwar nur an eine Adresse, die für dieses Spiel bei mir eingetragen ist. Das Spiel tauscht den Code über seinen Server gegen eine eigene Sitzung. Der Code ist zufällig (128 Bit) und gilt einmal und höchstens 60 Sekunden. Gespeichert ist er nur als Hashwert (SHA-256), zusammen mit deinem Konto, dem Spiel, der Rücksprungadresse, der groben Gerätebeschreibung und einem Prüfwert, den das Spiel beim Start der Anmeldung mitschickt (PKCE), damit nur der Browser, der die Anmeldung begonnen hat, den Code einlösen kann. Beim Einlösen wird er gelöscht, ein abgelaufener spätestens am nächsten Tag.

Die Kontoseite und jedes Spiel haben eigene Sitzungen. Meldest du dich in einem Spiel ab, bleibst du auf der Kontoseite angemeldet und umgekehrt. Eine Sitzung gilt nur dort, wo sie angelegt wurde: Mit der Sitzung eines Spiels lässt sich das Konto nicht auf der Kontoseite verwalten und kein anderes Spiel nutzen.

Stille Prüfung beim ersten Besuch. Ein Spiel, in dem du noch nicht angemeldet bist, kann deinen Browser beim ersten Besuch einmal kurz und ohne Anzeige zur Kontoseite schicken. Bist du dort angemeldet und hast diesem Spiel schon zugestimmt, kommst du mit einem Anmeldecode wie oben angemeldet zurück. Sonst kommst du sofort ohne Anmeldung zurück, und der Kontoserver speichert dazu nichts. Die Kontoseite liest dabei nur ihren Eintrag fl.konto.session (Daten in deinem Browser), um zu prüfen, ob du angemeldet bist. Ob und wann ein Spiel diese Prüfung macht, steht in seiner Datenschutzerklärung. Rechtsgrundlage ist Art. 6 Abs. 1 Buchst. f DSGVO: Mein berechtigtes Interesse ist, dass du mit einem bestehenden Konto ohne erneute Anmeldung weiterspielen kannst. Du kannst dem widersprechen (Widerspruchsrecht). In Tobuuy und Neon Velocity läuft die Prüfung ohnehin nur einmal je Browser und nach dem Abmelden im Spiel nie wieder.

Was ein Spiel von deinem Konto sieht

Ein Spiel, dem du den Zugriff erlaubt hast, bekommt vom Kontoserver nach der Anmeldung:

• deine Konto-ID (zum Beispiel CCA1B-5AF12), deinen Kontonamen und wann du ihn wieder ändern kannst,
• welche Anmeldewege dein Konto hat (nur die Art, etwa „Discord“ oder „Anmeldeschlüssel“),
• den Anzeigenamen deines zuletzt benutzten Anmeldewegs über Discord, Google oder GitHub,
• wann das Konto angelegt wurde,
• wenn es danach fragt, deine Freundesliste: deinen Freundescode und für deine Freunde, offenen Anfragen und Blockierten jeweils Freundescode, Name und seit wann, für deine Freunde außerdem ihren Online-Status in dem Umfang, den sie selbst eingestellt haben (Online-Status für Freunde); das gilt nur für Spiele, die die Freunde-Funktion nutzen dürfen,
• seinen eigenen Spielstand und seinen eigenen Bestenlisteneintrag, nicht die anderer Spiele.

Ändern kann ein Spiel deinen Kontonamen nicht; es führt seinen eigenen Spielernamen in seinem Spielstand. Welche Konto-Funktionen ein Spiel nutzen darf, ist beim Kontoserver für jedes Spiel festgelegt. Neon Velocity darf nur die Anmeldung abschließen, die Angaben oben abrufen und dich abmelden; deine Kontodaten als Datei abrufen, Anmeldewege ändern oder das Konto löschen geht nur auf der Kontoseite. Neon Velocity zeigt vom Konto deinen Namen, deine Anmeldewege und deine Konto-ID („Konto-ID für den Support“). Was Neon Velocity in seinem Spielstand speichert, steht in der Datenschutzerklärung von Neon Velocity.

Dicehoc. Dicehoc darf die Anmeldung abschließen, die Angaben oben abrufen und dich abmelden, außerdem die Freunde-Funktion nutzen: deine Freundesliste mit Online-Status abrufen, Freundschaftsanfragen stellen, beantworten und eigene Anfragen zurückziehen, deine Einstellung zum Online-Status ändern und Freunde in einen Raum einladen (Einladungen). Freunde entfernen und blockieren, deine Kontodaten als Datei abrufen, Anmeldewege ändern oder das Konto löschen geht nur auf der Kontoseite. Was Dicehoc selbst speichert, auch zum freiwilligen Zeigen deines Freundescodes im Raum, steht in der Datenschutzerklärung von Dicehoc.

Tobuuy. Tobuuy ist mein erstes Spiel, aus dem das Konto stammt, und hat beim Kontoserver eine besondere Stellung: Es bekommt die interne Kennung deines Kontos und die deiner Freunde und hält in derselben Datenbank eigene Daten zu deinem Konto, zum Beispiel dein Tobuuy-Profil, Funken, Kosmetik, die Endansichten deiner Partien und in welchem Raum du gerade bist. Diese Daten werden mit deinem Konto gelöscht. Der Datendownload der Kontoseite enthält alles, was Tobuuy dauerhaft zu deinem Konto speichert (Profil, Funken, Kosmetik mit Käufen, Spielername und Farbe, Endansichten), nicht aber den kurzlebigen Eintrag, in welchem Raum du gerade bist. Freunde, Online-Status und Einladungen laufen in Tobuuy über den Kontoserver (Online-Status für Freunde, Einladungen); Tobuuy speichert dazu nichts Eigenes mehr. Für den Online-Status für Freunde meldet der Server von Tobuuy dem Kontoserver, ob du in einer Lobby wartest, spielst oder zuschaust, mit dem Code des Raums, der Runde und, falls eingestellt, dem Rundenlimit, dem Namen der Welt und der Zahl der menschlichen Spieler. Spielernamen, Raumnamen und Chat meldet er nicht. Der Schalter „Online-Status zeigen“ in Tobuuy gilt auch hier: Aus setzt deine Einstellung auf „Niemand“, an setzt sie zurück auf „Online und was ich spiele“, wenn sie auf „Niemand“ stand. Was Tobuuy genau speichert und meldet, steht in der Datenschutzerklärung von Tobuuy, zum Online-Status im Abschnitt „Online-Status auf fynn.land“.

Geräte und Sitzungen

Zu jeder Sitzung, auf der Kontoseite und in jedem Spiel, speichert der Server, wann sie begonnen hat und wann sie zuletzt benutzt wurde (auf den Tag genau), für welches Spiel oder die Kontoseite sie gilt und eine grobe Beschreibung des Geräts wie „Chrome auf Windows“. Diese Beschreibung bildet der Server beim Anmelden aus den Browserangaben deiner Anfrage (User-Agent) und behält davon nur Browserfamilie und Betriebssystem aus einer festen Liste: keine Versionsnummern, kein Gerätemodell, keine IP-Adresse. Sitzungen, die vor dem 28. Oktober 2026 begonnen haben, haben diese Angaben nicht. Ein Konto hat höchstens 20 Sitzungen; eine neue Anmeldung beendet die am längsten unbenutzte darüber hinaus.

Auf der Kontoseite siehst du die Liste und kannst einzelne Sitzungen oder alle anderen beenden.

Zwei-Faktor

Schaltest du Zwei-Faktor ein, speichert der Server ein zufälliges Geheimnis für deine Authenticator-App, verschlüsselt (AES-GCM) mit einem Schlüssel, den nur der Server kennt, dazu wann du es eingeschaltet hast, welcher Code zuletzt angenommen wurde (damit keiner zweimal gilt) und zehn Wiederherstellungscodes nur als Hashwert (HMAC). Den QR-Code zum Einrichten erzeugt dein Browser selbst; das Geheimnis geht an keinen anderen Dienst. Eine begonnene Einrichtung musst du innerhalb von 15 Minuten bestätigen; eine nicht abgeschlossene löscht der Server spätestens am nächsten Tag.

Mit Zwei-Faktor meldest du dich nur auf der Kontoseite an. Nach dem ersten Schritt speichert der Server für höchstens 5 Minuten ein zufälliges Anmeldeticket (nur als Hashwert) mit deinem Konto, dem Spiel und der Gerätebeschreibung; dein Browser hält dasselbe Ticket für diese Zeit im sessionStorage (fl.konto.mfa) und schickt es mit dem Code an den Server. Für heikle Änderungen (Zwei-Faktor ausschalten, neue Wiederherstellungscodes, Anmeldewege ändern, Konto löschen) fragt die Kontoseite erneut nach einem Code, wenn der letzte in dieser Sitzung älter als 10 Minuten ist. Falsche Codes zählt der Server je Konto 10 Minuten lang; nach 5 falschen sperrt er bis zum Ende dieser Zeit.

Freunde

Für die Freunde-Funktion speichert der Server:

• deinen Freundescode: 8 zufällige Zeichen, die du weitergeben kannst; er entsteht, sobald du die Freunde-Funktion zum ersten Mal nutzt,
• für jede Person, mit der du befreundet bist, die du angefragt oder blockiert hast oder die dich angefragt hat, die Art der Beziehung und seit wann,
• wenn du eine Anfrage aus einem Spiel heraus an einen Mitspieler schickst, ohne seinen Freundescode zu kennen (in Tobuuy über seinen Platz im Raum), einen Vermerk dazu. Deine Liste zeigt dann statt seines Codes einen Platzhalter, bis er annimmt; der Vermerk wird gelöscht, sobald die Anfrage nicht mehr offen ist, spätestens am nächsten Tag,
• wie viele Anfragen du in der laufenden Stunde gestellt hast, höchstens 20 (gegen das Durchprobieren von Codes); nach der Stunde zählt der Eintrag nicht mehr und wird spätestens am nächsten Tag gelöscht.

Deine Freunde und wer dich angefragt hat oder von dir angefragt wurde, sehen deinen Kontonamen und deinen Freundescode. Hast du keinen Kontonamen, zeigt die Kontoseite den Anzeigenamen deines Anmeldewegs; ein Spiel kann stattdessen deinen Spielernamen aus diesem Spiel zeigen (Tobuuy tut das). Blockierst du jemanden, verschwindest du aus seiner Liste. Fremde sehen nichts. Ob du gerade online bist und was du spielst, sehen deine Freunde nach deiner Einstellung (Online-Status für Freunde).

Online-Status für Freunde

Bist du angemeldet und hast eine Seite von fynn.land oder ein Fynnland-Spiel mit Freunde-Funktion offen, hält dein Browser eine Verbindung zum Kontoserver (WebSocket an fynn.land/konto/api/live). Er meldet sich darüber einmal mit deinem Sitzungs-Token an. So sehen deine Freunde innerhalb von Sekunden, dass du online bist, und du siehst ihren Status. Die Verbindung läuft wie jede Anfrage über das Netz von Cloudflare (Wo das Konto läuft).

Verarbeitet werden dabei:

• dass mindestens ein Tab von dir offen ist, und in welchem Spiel. Welche Seite von fynn.land du gerade ansiehst, erfährt der Server nicht,
• was ein Spiel zu deinem eigenen Tab meldet: ob du im Menü, in einer Lobby oder in einer Partie bist oder zuschaust, und wenn das Spiel es mitschickt, die Runde, den Namen der Karte oder des Spielmodus, die Spielerzahl und den Code des Raums, über den Freunde beitreten können. Ein Spiel mit eigenem Server kann das auch von dort melden; Tobuuy tut das. Was ein Spiel meldet, steht in seiner Datenschutzerklärung,
• wann deine letzte Verbindung endete, auf die Minute gerundet („zuletzt online“).

Wer es sieht. Nur Konten, mit denen du befreundet bist: die du angenommen hast oder die dich angenommen haben. Wer nur angefragt hat, wen du blockiert hast und alle anderen sehen nichts davon. Ein Spiel, dem du den Zugriff erlaubt hast und das die Freunde-Funktion nutzen darf, kann den Status deiner Freunde in seiner eigenen Freundesliste zeigen, im selben Umfang.

Was du einstellst. Auf der Kontoseite unter Freunde und in Spielen, die es anbieten (in Tobuuy der Schalter „Online-Status zeigen“), wählst du, was deine Freunde sehen: „Online und was ich spiele“ (Voreinstellung), „Nur, dass ich online bin“ oder „Niemand“. Bei „Niemand“ sehen dich alle offline, „zuletzt online“ wird gelöscht und nicht mehr gespeichert; du siehst deine Freunde weiter. Dort schaltest du auch die Meldung ab, die erscheint, wenn ein Freund online kommt. Sie kommt nur, wenn er vorher länger als 10 Minuten offline war.

Wo und wie lange. Dein aktueller Status liegt nur im Arbeitsspeicher eines einzigen Server-Objekts bei Cloudflare (Durable Object), dessen Speicherort wie die Kontodatenbank auf Rechenzentren in der EU beschränkt ist, und nur, solange ein Tab von dir offen ist. Schließt du den letzten Tab, bleibt dein letzter Status dort noch 20 Sekunden gespeichert, damit ein Wechsel zwischen zwei Seiten nicht wie ein Abmelden aussieht; danach giltst du als offline. Was ein Spiel-Server meldet, liegt dort, bis er es zurücknimmt, höchstens 12 Stunden. Einen Verlauf, wann du was gespielt hast, gibt es nicht. „Zuletzt online“ und deine Einstellungen liegen in der Kontodatenbank, bis sie sich ändern, du deinen Status verbirgst oder das Konto löschst.

Einladungen. In einem Fynnland-Spiel kannst du einen Freund in das Spiel oder in deinen Raum einladen. Der Kontoserver prüft, dass ihr befreundet seid, und schickt die Einladung über die Verbindung oben an die Tabs, die dein Freund gerade offen hat, auf fynn.land und in jedem Fynnland-Spiel. Sie enthält deinen Namen und Freundescode, das Spiel, ob zum Mitspielen oder Zuschauen, und einen Link in das Spiel, mit dem Code des Raums, falls es einen gibt. Gespeichert wird die Einladung nirgends: Hat dein Freund gerade nichts offen oder steht seine Einstellung auf „Niemand“, kommt sie nicht an, und das Spiel erfährt nur, dass er offline ist. Nach zehn Minuten wird sie nicht mehr angezeigt. Damit niemand mit Einladungen überhäuft wird, hält der Kontoserver nur im Arbeitsspeicher fest, wann du zuletzt wen eingeladen hast, nicht in der Datenbank. Rechtsgrundlage ist auch hier Art. 6 Abs. 1 Buchst. b DSGVO.

Rechtsgrundlage ist Art. 6 Abs. 1 Buchst. b DSGVO: Der Online-Status ist Teil der Freunde-Funktion, die du mit deinen Freundschaften selbst nutzt, und du bestimmst, wie viel davon deine Freunde sehen. Die Verbindung speichert nichts in deinem Browser; sie verwendet nur das Sitzungs-Token, das ohnehin dort liegt (Daten in deinem Browser).

Einem Spiel den Zugriff entziehen

Einem Spiel kannst du auf der Kontoseite unter „Spiele mit Zugriff“ den Zugriff entziehen. Dann werden deine Zustimmung für dieses Spiel, seine Sitzungen und offene Anmeldecodes gelöscht, und beim nächsten Anmelden fragt die Kontoseite wieder. Sein Spielstand und seine Bestenlisteneinträge bleiben im Konto, bis du das Konto löschst, mich um Löschung bittest oder das Konto nach 24 Monaten ohne Nutzung gelöscht wird. Ein sichtbarer Eintrag in einer öffentlichen Bestenliste bleibt sichtbar, bis du dich in diesem Spiel ausblendest.

Öffentliche Bestenlisten

Ein Spiel kann eine öffentliche Bestenliste haben, die jeder Besucher des Spiels sehen kann. Zurzeit hat nur Neon Velocity eine. Mit Konto legt der Server einen Eintrag für dich an, sobald dein Spielstand einen Bestwert hat: mit einem Namen für die Bestenliste und deinem Bestwert. Ein neuer Eintrag ist zunächst ausgeblendet; die Liste zeigt dich mit Namen, Bestwert und Platz erst, wenn du dich im Spiel einblendest. Einträge, die vor dem 3. November 2026 entstanden sind, behalten ihre bisherige Einstellung. Der Name ist anfangs dein Kontoname, ohne Kontonamen der Anzeigename deines Anmeldewegs. Ist dieser Name schon vergeben, hängt der Server eine Ziffer an; passt er nicht zu den Regeln der Liste oder fehlt er, heißt der Eintrag „Spieler“ mit vier zufälligen Ziffern. Du kannst ihn im Spiel ändern (3 bis 16 Zeichen, in diesem Spiel eindeutig). Der Bestwert kommt aus deinem gespeicherten Spielstand, nicht aus einer eigenen Übertragung: in Neon Velocity die weiteste Strecke oder, sobald du das Ziel erreicht hast, deine schnellste Zielzeit.

Im Konto gespeichert sind dafür je Spiel dieser Name, der Bestwert, seit wann er gilt und ob du sichtbar bist. Im Spiel kannst du dich jederzeit ein- und wieder ausblenden; ausgeblendet zeigt die Liste dich nicht. Die Einträge werden mit dem Konto gelöscht und sind im Datendownload enthalten.

Rechtsgrundlage ist Art. 6 Abs. 1 Buchst. f DSGVO: Mein berechtigtes Interesse ist eine Bestenliste als Teil des Spiels, in der sich Spieler vergleichen können. Weil die Liste dich erst zeigt, wenn du dich selbst einblendest, du einen Namen wählen kannst, der nichts über dich verrät, und dich jederzeit wieder ausblenden kannst, überwiegt dein Interesse daran nicht. Du kannst dem jederzeit widersprechen (Widerspruchsrecht), am einfachsten, indem du dich im Spiel ausblendest.

Statistik ohne Personenbezug

Ich zähle, wie viele Konten es gibt, wie viele in den letzten 7 und 30 Tagen benutzt wurden, wie viele Zwei-Faktor eingeschaltet haben und wie viele an einem Tag neu angelegt wurden; je Spiel außerdem, wie viele Konten es erlaubt haben, in den letzten 30 Tagen genutzt haben, einen Spielstand oder einen Eintrag in der Bestenliste haben. Dafür werden nur die ohnehin gespeicherten Kontodaten gezählt, es wird nichts zusätzlich erhoben. Die Summen enthalten keine Konto-IDs, Namen oder einzelnen Zeitpunkte; ich bewahre sie als Tageswerte bis zu 24 Monate auf. Rechtsgrundlage ist Art. 6 Abs. 1 Buchst. f DSGVO: Mein berechtigtes Interesse ist, zu sehen, wie das Konto und die Spiele genutzt werden.

Daten in deinem Browser

Die Kontoseite legt im Speicher deines Browsers für fynn.land diese Einträge an, und zwar erst, wenn du die jeweilige Funktion nutzt:

• fl.konto.session (localStorage): das Sitzungs-Token der Kontoseite, damit du angemeldet bleibst,
• fl.konto.oauth (localStorage): während einer Anmeldung mit Discord, Google oder GitHub ein zufälliger Prüfwert mit dem Anbieter und der Seite, zu der es danach zurückgeht; gelöscht bei der Rückkehr, sonst nach 10 Minuten nicht mehr verwendet,
• fl.konto.flash und fl.konto.done (sessionStorage): bis zum nächsten Seitenaufruf eine Fehlermeldung oder der Hinweis, dass eine Anmeldung in diesem Tab gerade fertig ist,
• fl.konto.mfa (sessionStorage): bei einer Anmeldung mit Zwei-Faktor das Anmeldeticket für höchstens 5 Minuten (Zwei-Faktor).

Kommst du direkt von der Startseite, während dort Musik läuft, liest die Kontoseite aus dem sessionStorage, welches Stück an welcher Stelle lief (fynnland.musicPos, von der Startseite angelegt), und spielt es weiter; beim Verlassen schreibt sie die Stelle dorthin zurück. Ob die Musik an oder aus ist, steht wie auf der Startseite in fynnland.music (localStorage).

Die Seiten von fynn.land lesen fl.konto.session beim Laden. Die Startseite schickt es an fynn.land/konto/api/status, um oben anzuzeigen, ob und unter welchem Namen du angemeldet bist; diese Abfrage zählt als Nutzung des Kontos (Speicherdauer). Jede Seite mit Kopfzeile (Startseite, Seiten der Spiele und Programme, Downloads) öffnet damit außerdem die Verbindung für den Online-Status und zeigt oben rechts deine Freunde (Online-Status für Freunde). Das Token geht dabei nur an den Kontoserver. Die Seiten speichern davon nichts und schreiben oder löschen den Eintrag nicht; gibt es keinen, fragen sie nicht nach und bauen keine Verbindung auf.

Außer dem Sitzungs-Token, das nur an den Kontoserver geht, verlassen diese Einträge deinen Browser nicht. Die im sessionStorage sind beim Schließen des Tabs weg, die übrigen bleiben, bis du dich abmeldest oder die Websitedaten für fynn.land in deinem Browser löschst. Eine Einwilligung braucht es dafür nicht, weil die Speicherung unbedingt nötig ist, damit die Seite dir den Dienst bietet, den du selbst aufrufst (§ 25 Abs. 2 Nr. 2 TDDDG).

Rechtsgrundlagen

• Für das Konto, die Anmeldung, Sitzungen, Zwei-Faktor, Freunde mit ihrem Online-Status, Spielstände, die Zustimmung für ein Spiel und das Entziehen des Zugriffs ist es Art. 6 Abs. 1 Buchst. b DSGVO: Du legst das Konto an und nutzt es, damit deine Anmeldung und dein Fortschritt für dich in allen Spielen bereitstehen, und du verwaltest und schützt es.
• Für die grobe Gerätebeschreibung und das Zählen falscher Zwei-Faktor-Codes ist es Art. 6 Abs. 1 Buchst. f DSGVO: Dein und mein berechtigtes Interesse ist, fremde Anmeldungen zu erkennen und zu beenden und das Erraten von Codes zu verhindern; dafür reicht die grobe Beschreibung, mehr wird nicht gespeichert.
• Für die Verbindungsdaten (Wo das Konto läuft), den Schutz vor Missbrauch (siehe oben), die stille Prüfung beim ersten Besuch eines Spiels (siehe oben) und öffentliche Bestenlisten (siehe oben) ist es ebenfalls Art. 6 Abs. 1 Buchst. f DSGVO, mit den dort genannten Interessen.
• Für die Einträge in deinem Browser gilt § 25 Abs. 2 Nr. 2 TDDDG (siehe oben).

Gegen Verarbeitungen nach Art. 6 Abs. 1 Buchst. f DSGVO kannst du widersprechen (Widerspruchsrecht). Du bist weder gesetzlich noch vertraglich verpflichtet, ein Konto anzulegen oder Daten anzugeben. Ohne Anmeldeweg lässt sich kein Konto anlegen; ohne Konto spielst du die Spiele trotzdem, nur ohne Spielstand auf dem Server, Freunde und Bestenliste. Automatisierte Entscheidungen oder Profiling im Sinne von Art. 22 DSGVO gibt es nicht.

Speicherdauer und Löschung

Du kannst das Konto auf der Kontoseite jederzeit löschen. Dann werden sofort gelöscht: Kontoname, Anmeldewege, Sitzungen mit ihren Gerätebeschreibungen, die Daten von Zwei-Faktor, Freundescode und Freunde (auch aus den Listen anderer), deine Einstellungen zum Online-Status und „zuletzt online“, Zustimmungen für Spiele, offene Anmeldecodes, die Spielstände aller Spiele, deine Einträge in Bestenlisten und die Daten, die Tobuuy zu deinem Konto hält.

Ein Konto, das 24 Monate lang nicht benutzt wurde, löscht der Server automatisch mit allen diesen Daten. Ein Konto, das nur einen Anmeldeschlüssel als Anmeldeweg hat und in dem noch kein Spielstand und keine Tobuuy-Partie liegt, löscht er schon nach 7 Tagen ohne Nutzung; solche Konten lassen sich mit einem Klick anlegen und würden sonst die Datenbank füllen. Als Nutzung zählt jede Anmeldung und jede Anfrage, die ein Spiel oder die Kontoseite mit deiner Sitzung stellt, auch die Abfrage der Startseite. Eine Sitzung löscht der Server nach 6 Monaten ohne Nutzung. Er räumt einmal am Tag auf.

Im Überblick:

• Verbindungsdaten einer Anfrage (Cloudflare): für die Dauer der Anfrage; keine Protokolle, Ausnahme Fehlersuche: 3 Tage.
• Hashwert der IP-Adresse beim Anlegen eines Kontos (Kontodatenbank, EU): zählt 1 Stunde, gelöscht spätestens am nächsten Tag.
• Anfragezähler je IP-Adresse und Sitzung (Arbeitsspeicher): bis Cloudflare die Server-Instanz beendet.
• Konto: Kontoname, Hashwerte und Anzeigenamen der Anmeldewege, Freunde, Zustimmungen, Spielstände, Bestenlisteneinträge (Kontodatenbank, EU): bis du das Konto löschst, spätestens 24 Monate nach der letzten Nutzung; nur mit Anmeldeschlüssel und ohne Spielstand oder Tobuuy-Partie 7 Tage nach der letzten Nutzung. Ein Anzeigename geht schon mit seinem Anmeldeweg.
• Sitzung mit Gerätebeschreibung (Kontodatenbank, EU): bis zum Abmelden, Beenden auf der Kontoseite, Entziehen des Zugriffs oder Löschen des Kontos, spätestens 6 Monate nach der letzten Nutzung.
• Einmaliger Anmeldecode für ein Spiel (Kontodatenbank, EU): gilt 60 Sekunden, gelöscht beim Einlösen, sonst spätestens am nächsten Tag.
• Zwei-Faktor: Geheimnis, Zeitpunkt, letzter Code, Wiederherstellungscodes (Kontodatenbank, EU): bis zum Ausschalten oder Löschen des Kontos; eine abgebrochene Einrichtung spätestens am nächsten Tag.
• Zwei-Faktor-Anmeldeticket, Zähler falscher Codes (Kontodatenbank, EU): Ticket 5 Minuten, Zähler 10 Minuten; gelöscht spätestens am nächsten Tag.
• Zähler der Freundesanfragen, Vermerk zu Anfragen aus einem Spiel (Kontodatenbank, EU): Zähler 1 Stunde, Vermerk bis die Anfrage nicht mehr offen ist; gelöscht spätestens am nächsten Tag.
• Online-Status (Arbeitsspeicher und Speicher des Live-Objekts bei Cloudflare, EU): solange ein Tab von dir offen ist und 20 Sekunden danach; von einem Spiel-Server gemeldet bis zur Rücknahme, höchstens 12 Stunden.
• Zuletzt online, Einstellungen zum Online-Status (Kontodatenbank, EU): „zuletzt online“ bis zur nächsten Verbindung, bis du den Status verbirgst oder das Konto löschst; die Einstellungen bis zur Änderung oder zum Löschen des Kontos.
• Einträge im Browser (dein Browser): sessionStorage bis zum Schließen des Tabs, localStorage bis zum Abmelden oder bis du die Websitedaten löschst.
• E-Mails an mich (mein Postfach): bis die Sache erledigt ist.

Wer deine Daten erhält

• Cloudflare als mein Auftragsverarbeiter (Wo das Konto läuft),
• Discord, Google oder GitHub, nur wenn du dich darüber anmeldest: den einmaligen Code, den sie selbst ausgegeben haben, und dass du dich beim Fynnland-Konto anmeldest (Anmelden),
• die Spiele, denen du auf der Kontoseite den Zugriff erlaubst, im beschriebenen Umfang (Was ein Spiel sieht); sie betreibe ich selbst,
• deine Freunde und wer mit dir eine Anfrage offen hat: Kontoname bzw. Anzeigename und Freundescode (Freunde), deine Freunde außerdem deinen Online-Status nach deiner Einstellung (Online-Status für Freunde),
• jeder Besucher eines Spiels mit öffentlicher Bestenliste: Name, Bestwert und Platz, solange du sichtbar bist (Bestenlisten).

Sonst niemand, außer ich wäre gesetzlich dazu verpflichtet, etwa auf Anordnung einer Behörde.

Deine Rechte

Du kannst von mir Auskunft über deine Daten verlangen (Art. 15 DSGVO), ihre Berichtigung (Art. 16), ihre Löschung (Art. 17), die Einschränkung der Verarbeitung (Art. 18) und die Übertragung deiner Daten (Art. 20). Eine E-Mail an kontakt@fynnland.xyz genügt.

Weil ich zu einem Konto weder Namen noch E-Mail-Adresse kenne, kann ich dich ihm per E-Mail nicht sicher zuordnen; die Konto-ID allein beweist nicht, dass das Konto dir gehört. Kannst du mir zusätzliche Angaben geben, mit denen ich dich dem Konto sicher zuordnen kann, bearbeite ich deine Anfrage auch per E-Mail (Art. 11 Abs. 2 DSGVO). Schneller und ohne solche Angaben übst du die wichtigsten Rechte auf der Kontoseite selbst aus:

• „Meine Daten herunterladen“ gibt dir alles, was im Konto liegt, als Datei im Format JSON: Konto, Anmeldewege, Freunde, deine Einstellungen zum Online-Status und „zuletzt online“, Zustimmungen, offene Anmeldecodes, Spielstände, Bestenlisteneinträge, Sitzungen und den Stand von Zwei-Faktor, dazu die dauerhaften Daten, die Tobuuy zu deinem Konto hält (Profil, Endansichten, wann du zuletzt online warst). Nicht enthalten sind das Zwei-Faktor-Geheimnis, die Wiederherstellungscodes und die Hashwerte von Sitzungen und Anmeldewegen, die nur zur Prüfung dienen. Das erfüllt Auskunft und Datenübertragbarkeit.
• „Konto löschen“ löscht das Konto mit allen Daten sofort (Speicherdauer und Löschung).
• Den Kontonamen berichtigst du auf der Kontoseite, den Namen in einer Bestenliste im jeweiligen Spiel.

Außerdem kannst du dich bei einer Datenschutz-Aufsichtsbehörde beschweren (Art. 77 DSGVO), vor allem in dem EU-Staat, in dem du wohnst oder arbeitest. Für mich zuständig ist der Landesbeauftragte für den Datenschutz Niedersachsen, Prinzenstraße 5, 30159 Hannover, lfd.niedersachsen.de.

Widerspruchsrecht