Datenschutzerklärung

Verantwortlicher

Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO ist der Betreiber von PlayerCards. Bei allen Fragen zu deinen Daten erreichst du uns über den im Footer verlinkten Discord-Server.

Überblick

PlayerCards zeigt öffentliche Counter-Strike-2-Statistiken als Spielerkarten. Zum Ansehen der Seite brauchst du kein Konto. Wir nutzen keine Werbe- oder Analyse-Tracker, keine externen Schriften und kein Einwilligungsbanner, weil wir nur die unten genannten technisch notwendigen Cookies setzen.

Besuch der Website

Unsere Server stehen hinter Cloudflare. Cloudflare verarbeitet deine IP-Adresse und Anfragedaten, um die Seite auszuliefern, vor Angriffen zu schützen und Bilder zwischenzuspeichern; die Protokolle von Cloudflare können die aufgerufene Adresse samt Query-String enthalten.

Unser Zugriffsprotokoll enthält Anfrage-ID, Methode, Pfad (ohne Query-String, Token maskiert), Host, Status und Dauer, aber keine IP-Adresse, keinen User-Agent und kein Cookie. IP-Adressen nutzen wir kurzzeitig für die Begrenzung von Anfragen (Zähler in Redis, die mit ihrem Zeitfenster ablaufen; IPv6 wird auf ein /64-Netz verkürzt) und um das Land des Besuchers aus dem Cloudflare-Header zu bestimmen.

Um Besucher pro Tag zu zählen, bilden wir einen Hash aus IP-Adresse und User-Agent mit einem täglich wechselnden Salt und legen ihn in einen Zähler. Weder IP-Adresse noch User-Agent werden gespeichert; Salt und Zähler verfallen nach zwei Tagen. Seitenaufrufe werden pro Tag ohne Personenbezug gezählt.

Rechtsgrundlage: unser berechtigtes Interesse am Betrieb, an der Sicherheit und Verbesserung der Seite (Art. 6 Abs. 1 lit. f DSGVO).

Cookies und lokaler Speicher

Wir setzen nur Cookies, die für die genutzten Funktionen erforderlich sind (Art. 6 Abs. 1 lit. f DSGVO, § 25 Abs. 2 TDDDG):

• pc_session: hält dich angemeldet. 30 Tage, HttpOnly; wird beim Abmelden oder Löschen des Kontos entfernt.
• pc_oid_state: schützt die Steam-Anmeldung vor Fälschung. 10 Minuten.
• pc_discord, pc_discord_state, pc_discord_install: Discord-Anmeldung, Dashboard und Bot-Installation. 12 Stunden, 10 Minuten und 10 Minuten.

Anmeldung mit Steam

Du meldest dich über Steam OpenID an. Steam teilt uns nur deine SteamID64 mit; dein Steam-Passwort erreicht uns nie. Danach rufen wir dein öffentliches Profil über die Steam Web API ab und speichern es: SteamID64, Profilname, Avatar-Adressen, Profil-Link und Sichtbarkeit, Land (falls öffentlich), Kontoerstellung und letzte Abmeldung, CS2-Spielzeit und ausgerüstete Profilgegenstände. Außerdem speichern wir deinen Kontodatensatz mit Rolle, Anmeldezeiten, deiner Altersangabe und dem Moderationsstatus.

Öffentliche Steam-Profildaten können auch als Karte für Spieler angezeigt werden, die sich nicht angemeldet haben; du kannst dem widersprechen, indem du dein Konto löschst (siehe unten).

Zweck: Anmeldung und Anzeige deiner Karte. Rechtsgrundlage: Erfüllung des von dir gewünschten Dienstes (Art. 6 Abs. 1 lit. b DSGVO) und bei öffentlichen Karten unser berechtigtes Interesse (Art. 6 Abs. 1 lit. f). Speicherdauer: bis du dein Konto löschst.

Statistiken anderer Dienste

Um Statistiken zu zeigen, senden wir deine SteamID64 an Leetify, FACEIT und csst.at (soweit diese Quellen aktiviert sind) sowie an die Steam Web API von Valve. Diese Dienste erhalten diese Kennung und unsere Server-Adresse und haben eigene Datenschutzerklärungen.

Ergebnisse werden kurz zwischengespeichert: im Arbeitsspeicher ein bis zehn Minuten (Leetify, FACEIT), in Redis bis zu zwei Tage (csst.at). Premier-Wertungen für die Bestenlisten speichern wir 30 Tage, Elo-Punkte für Stream-Widgets 90 Tage.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b und f DSGVO.

Spieldaten vom PC (GSI)

Wenn du Spieldaten einschaltest, sendet CS2 auf deinem PC den Spielstand an deine persönliche Token-Adresse. Wir behalten nur deine eigenen Daten: Karte, Modus, Runden- und Matchergebnisse, Kills, Assists, Tode, Schaden, Geld, Ausrüstung, Spielstände, Share-Code und einen ausgedünnten Positionsverlauf je Runde. Die Rohdaten speichern wir nie; das Token liegt nur als Hash vor. Der Live-Stand (u. a. Position, Bombe, Granaten) liegt 120 Sekunden in Redis. Positionsverläufe und Ereignisse je Runde werden nach 30 Tagen gelöscht. Match- und Rundensummen bleiben, bis du sie oder dein Konto löschst. Du bestimmst, wer Verlauf und Live-Daten sehen darf.

Deinen Valve-Authentifizierungscode für den Match-Verlauf speichern wir, wenn du ihn einträgst, verschlüsselt.

Rechtsgrundlage: deine Einwilligung durch die Einrichtung (Art. 6 Abs. 1 lit. a DSGVO); alle Spieldaten kannst du jederzeit in den Einstellungen löschen.

Twitch

Wenn du Twitch verknüpfst, fragen wir die Berechtigungen channel:manage:predictions, channel:manage:redemptions und channel:read:redemptions an, channel:bot nur, wenn du den Chat-Bot hinzufügst. Wir speichern deine Twitch-Nutzer-ID sowie Zugriffs- und Aktualisierungs-Token verschlüsselt. Von Twitch erhalten wir Ereignisse für deinen Kanal (beendete Vorhersagen, eingelöste Kanalpunkte-Belohnungen). Du kannst die Verknüpfung jederzeit unter /me/twitch/ trennen oder löschen; dabei werden die Token auch bei Twitch widerrufen.

Das PlayerCards-Panel auf Twitch erhält von Twitch Kanal-ID, Rolle und eine anonyme Zuschauer-ID (und deine Twitch-Nutzer-ID, wenn du deine Identität teilst). Abstimmungen von Zuschauern speichern wir unter dieser anonymen ID; Zuschauer, die ihr Steam-Konto verknüpfen, können Verknüpfung, Sammelobjekte und Bestenlisteneintrag über „Meine Daten löschen“ im Panel entfernen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a und b DSGVO. Twitch ist für seine eigene Verarbeitung selbst verantwortlich.

Discord

Wenn du Discord verknüpfst, fragen wir die Berechtigungen identify (Verknüpfung), identify und guilds (Dashboard) oder identify und role_connections.write (verknüpfte Rollen) an. Wir speichern deine Discord-Nutzer-ID, den Nutzernamen, die Verbindung zu deiner SteamID64 und die Zugriffs-Token verschlüsselt. Die Serverliste wird 60 Sekunden zwischengespeichert. Ist der Bot auf einem Server installiert, speichern wir die Server-ID, die Einstellungen, die dort gesehenen verknüpften Mitglieder und ein Protokoll der Dashboard-Änderungen mit der Discord-ID der handelnden Person. Die Discord-Aktivität nutzt ein signiertes Token, das zwei Stunden gilt.

Du kannst Discord in den Einstellungen trennen; Serverbesitzer können den Bot samt Einstellungen entfernen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a und b DSGVO. Discord ist für seine eigene Verarbeitung selbst verantwortlich.

Stream Deck, Panel und Widgets

Beim Koppeln eines Stream Decks oder Panels entsteht ein Geräteschlüssel. Wir speichern nur Hashes der Schlüssel, einen Namen, den du vergeben kannst, und Nutzungszeiten. Zugriffs-Token gelten eine Stunde; ein Schlüssel verfällt nach 90 Tagen Nichtbenutzung und lässt sich jederzeit widerrufen. Kopplungscodes gelten zehn Minuten. Widget-Links enthalten ein geheimes Token, das wir nur als Hash speichern; wer den Link hat, sieht das Widget, halte ihn also privat. Anbieter-Schlüssel, die du für Widgets einträgst, speichern wir verschlüsselt. Änderungen deiner Live-Datenschutz-Einstellung werden protokolliert.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

Uploads und Moderation

Bilder, die du hochlädst (z. B. Sponsor-Bilder), liegen bei Cloudflare R2, zusammen mit Datei-Hash, Größe und dem Ergebnis einer automatischen Bildprüfung. Die Prüfung läuft auf unserem eigenen Server; Bilder werden dafür nicht an Dritte gesendet. Uploads können versteckt auf die Freigabe durch einen Admin warten, und entfernte Bilder merken wir uns als Hash, damit sie nicht wiederkehren. Das Cloudflare-Werkzeug zur Erkennung von Missbrauchsdarstellungen von Kindern prüft zwischengespeicherte Bilder.

Meldungen zu Uploads speichern Grund, optionale Notiz und Kontakt, die du angibst, sowie einen Hash des Meldenden, der nicht auf die IP-Adresse zurückrechenbar ist.

Rechtsgrundlage: unser berechtigtes Interesse am Schutz des Dienstes und Dritter (Art. 6 Abs. 1 lit. f DSGVO) und rechtliche Pflichten (Art. 6 Abs. 1 lit. c).

Werbung

Sponsor-Platzierungen zählen wir mit einem signierten Token. Ein erfasster Einblendungs- oder Klick-Eintrag enthält nur Art, Zeit, Kampagne, Motiv, Platzierung, Land, Geräteklasse und Seitentyp, nie IP-Adresse, User-Agent oder Nutzer-ID. Zum Filtern von Doppelungen und Missbrauch halten wir einen Hash aus IP-Adresse und User-Agent mit täglich wechselndem Salt höchstens einen Tag in Redis. Diese Einträge werden nach 90 Tagen gelöscht; Tagessummen bleiben. Werbekunden erhalten nur Summen.

Klickst du auf eine Anzeige, geht dein Browser direkt zum Werbekunden, der Daten nach eigener Erklärung verarbeiten kann. Manche Anzeigen werden von clash.gg in einem abgeschotteten Rahmen eingebettet; dieser Anbieter erhält dann deine IP-Adresse und Browserdaten.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Messung und Schutz des Werbedienstes).

Empfänger und Hosting

Der Dienst läuft auf einem mit Coolify verwalteten Server; Cloudflare stellt DNS, TLS, Schutz, Zwischenspeicher und R2-Speicher bereit. Der Quellcode liegt bei GitHub. Valve (Steam), Leetify, FACEIT, csst.at, Twitch und Discord erhalten Daten wie oben beschrieben. Gelangen Daten in ein Land außerhalb der EU, gelten die Garantien des jeweiligen Anbieters (etwa Standardvertragsklauseln). Wir verkaufen keine personenbezogenen Daten.

Daten löschen

Du kannst dein Konto selbst unter „Delete account“ im Karten-Editor (/me/) löschen. Das entfernt Anmeldung, Karte, Abzeichen, hochgeladene Bilder, Pick’Em-Daten, Twitch- und Discord-Verknüpfungen, GSI-Daten, Geräteschlüssel, Gästebucheinträge und Wand-Striche sowie Zwischenspeicher. Öffentliche Steam-Profildaten werden nicht gelöscht, aber so markiert, dass keine Karte mehr angezeigt wird. Ist ein Konto gesperrt oder eine Moderation offen, behalten wir den Kontodatensatz, bis der Fall entschieden ist.

Du kannst auch nur Spieldaten löschen, Discord und Twitch trennen oder Geräte einzeln widerrufen. Für alles Weitere melde dich über den im Footer verlinkten Discord-Server.

Deine Rechte

Du hast das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch (Art. 15–21 DSGVO) sowie das Recht, eine Einwilligung jederzeit mit Wirkung für die Zukunft zu widerrufen. Einen automatischen Export gibt es noch nicht; melde dich über den im Footer verlinkten Discord-Server, dann senden wir dir deine Daten. Beruht die Verarbeitung auf berechtigten Interessen, kannst du aus Gründen deiner besonderen Situation widersprechen. Du kannst dich bei einer Datenschutz-Aufsichtsbehörde beschweren, etwa an deinem Wohnort.