Stand: 31. Juli 2026
Verantwortlicher im Sinne der DSGVO ist:
Ein Datenschutzbeauftragter ist gesetzlich nicht bestellt, da hierfür keine Verpflichtung besteht (privates, nicht-kommerzielles Angebot, keine umfangreiche Verarbeitung im Sinne von Art. 37 DSGVO).
Diese Datenschutzerklärung gilt für das Browser-Spiel „Salzpenner" einschließlich seiner Funktion als installierbare Web-App (PWA). Wir verarbeiten personenbezogene Daten nur, soweit dies zur Bereitstellung eines funktionsfähigen Spiels erforderlich ist oder Sie eingewilligt haben. Wir geben Daten nicht zu Werbezwecken weiter und verkaufen keine Daten.
Beim Aufruf des Spiels werden durch den Hosting-Anbieter (Cloudflare, siehe Ziff. 4) technisch notwendige Verbindungsdaten verarbeitet, insbesondere: IP-Adresse, Datum/Uhrzeit des Zugriffs, angeforderte Datei/URL, übertragene Datenmenge, HTTP-Statuscode, Browsertyp/-version und Betriebssystem (User-Agent), ggf. Referrer-URL. Diese Daten sind technisch erforderlich, um die Inhalte korrekt auszuliefern, Stabilität und Sicherheit zu gewährleisten und Angriffe abzuwehren. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.
Das Spiel wird auf Cloudflare Pages gehostet; die serverseitige Logik läuft als Cloudflare Pages Functions, Daten werden in der Cloudflare-D1-Datenbank gespeichert, und ein Cloudflare-Cron-Worker versendet Push-Benachrichtigungen. Anbieter ist die Cloudflare, Inc., 101 Townsend St, San Francisco, CA 94107, USA, mit EU-Niederlassung Cloudflare Germany GmbH. Cloudflare verarbeitet die unter Ziff. 3 genannten Daten als Auftragsverarbeiter (Art. 28 DSGVO). Eine Übermittlung in die USA kann nicht ausgeschlossen werden; diese ist durch das EU-US Data Privacy Framework und/oder Standardvertragsklauseln abgesichert (siehe Ziff. 16). Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Datenschutzhinweise: cloudflare.com/privacypolicy
Für das Speichern des Spielstands in der Cloud und die Teilnahme an Rangliste/Clans ist eine Anmeldung erforderlich. Die Anmeldung erfolgt über externe Single-Sign-On-Dienste:
accounts.google.com/gsi/client geladen.Alternativ ist eine passwortlose Anmeldung per E-Mail möglich (siehe Ziff. 12).
Damit das externe Anmeldeskript Ihre IP-Adresse nicht ohne Ihr Zutun an den Anbieter
übermittelt, wird es erst geladen, nachdem Sie der Anmeldung über den Hinweis-/Cookie-Banner
bzw. den Login-Bereich zugestimmt haben. Melden Sie sich an, erhalten wir vom Anbieter
ein signiertes Identitäts-Token, aus dem wir speichern: den Anbieter
(„google"/„apple") und eine pseudonyme Nutzerkennung (OAuth-sub).
Wir erhalten und speichern kein Passwort. Übermittelt der Anbieter eine
E-Mail-Adresse, verwenden wir sie ausschließlich als unverbindlichen Vorschlagswert für die
optionale E-Mail-Kommunikation (Ziff. 12) und speichern sie nur, wenn Sie dort aktiv
einwilligen. Der im Spiel angezeigte Name ist ein frei
wählbarer Spitzname. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung
in das Laden des Drittanbieter-Dienstes) sowie Art. 6 Abs. 1 lit. b DSGVO (Bereitstellung der
Account-Funktionen). Bei der Verarbeitung durch Google/Apple ist der jeweilige Anbieter
eigenständig verantwortlich:
Google ·
Apple
Wenn Sie angemeldet sind, speichern wir Ihren Spielstand und spielbezogene Kennzahlen, um den Spielfortschritt geräteübergreifend bereitzustellen: frei gewählter Spielername und Avatar-Variante, den vollständigen Spielstand als JSON, denormalisierte Kennzahlen für die Rangliste (Punkte, Level, Ruhm, gesammelte Flaschen), Clan-Zugehörigkeit und Zeitstempel (Konto-Erstellung, letzte Aktivität). Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
Das Spiel enthält eine Statistik-Seite. Damit diese Verläufe, Trends und Bestmarken zeigen kann, schreiben wir als Teil Ihres Spielstands (Ziff. 6) fort:
Transparenzhinweis: Die Verteilung über die Tagesstunden lässt Rückschlüsse auf Ihren Tagesrhythmus zu. Diese Angaben dienen ausschließlich Ihrer eigenen Statistik-Anzeige sowie – in zusammengefasster, nicht personenbezogener Form – der Betriebsauswertung (Ziff. 8). Sie werden nicht an Dritte weitergegeben, nicht zu Werbezwecken genutzt und nicht mit Daten außerhalb des Spiels zusammengeführt. Andere Spieler sehen diese Daten nicht.
Die Werte werden serverseitig fortgeschrieben, damit sie manipulationssicher sind. Sie werden zusammen mit Ihrem Spielstand gelöscht, wenn Sie Ihren Account zurücksetzen oder löschen (Ziff. 17). Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Bereitstellung der von Ihnen genutzten Spielfunktion).
Für den Betrieb des Spiels werten wir zusammengefasste Kennzahlen aus, etwa Anzahl der Konten, täglich/wöchentlich/monatlich aktive Spieler, Neuregistrierungen, Level-Verteilung, Nutzung einzelner Spielfunktionen und Summen der im Spiel vorhandenen Spielwährung. Hiervon speichern wir einen Tages-Schnappschuss als reine Zahlenreihe ohne Personenbezug dauerhaft, um Entwicklungen über die Zeit zu erkennen.
Ein kleiner Kreis von Administratoren („Game Master") kann darüber hinaus in einem internen, passwortgeschützten Bereich kontobezogene Angaben einsehen: Spielername, Login-Anbieter, Level/Punkte/Ruhm, Zeitpunkt der Registrierung und der letzten Aktivität, Premium-Status, Clan-Zugehörigkeit, Markierungen der Missbrauchserkennung sowie Vorgänge auf dem spielinternen Marktplatz (Ware, Preis, Spielername von Käufer und Verkäufer). Dies dient dem Betrieb, dem Support, der Fehlersuche sowie der Erkennung von Betrug und automatisiertem Spielen.
Zusätzlich erfassen wir technische Fehlermeldungen aus Ihrem Browser (Fehlertext, betroffene Programmdatei und Zeile, Aufrufliste, aufgerufene Spielansicht sowie die Browser-Kennung). Diese Meldungen enthalten keine Konto- oder Spielernummer und werden nach 30 Tagen automatisch gelöscht.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem stabilen, fehlerfreien und manipulationsfreien Spielbetrieb). Sie können dieser Verarbeitung nach Art. 21 DSGVO widersprechen (Ziff. 18).
Bestandteil des Spiels sind eine öffentliche Rangliste sowie Clans. Für andere Spieler sichtbar sind insbesondere Ihr Spielername, Ihre Spielkennzahlen und – bei Clan-Aktivität – Einträge im Clan-Protokoll. Clan-Mitglieder sehen zusätzlich in der Revier-Ansicht Ihre Spielfigur (gewählter Avatar-Stil, Titel), einen ungefähren Online-Status (aktiv in den letzten Minuten) sowie Ihre jüngste Clan-Protokoll-Aktivität; außerdem können Clan-Mitglieder Ihnen eine „Anstups"-Benachrichtigung senden (max. 1×/Tag pro Person, nur bei aktivierten Push-Benachrichtigungen). Verwenden Sie als Spielnamen daher keinen Klarnamen, wenn Sie dies nicht wünschen. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
Das Spiel enthält ein Empfehlungssystem. Hierzu wird ein persönlicher Werbe-Code erzeugt und gespeichert, welcher Account einen anderen geworben hat (einmalige Zuordnung). Dies dient der Vergabe von Empfehlungsboni. Rechtsgrundlage: Art. 6 Abs. 1 lit. b und lit. f DSGVO.
Sofern Sie aktiv zustimmen, senden wir Web-Push-Benachrichtigungen. Dazu speichern wir die
Daten der Push-Subscription (Endpoint sowie die Schlüssel p256dh und
auth), verknüpft mit Ihrer Spielerkennung. Der Versand erfolgt über einen
Cloudflare-Cron-Worker mittels VAPID/Web-Push; die Zustellung läuft technisch über den
Push-Dienst Ihres Browser-/Geräteherstellers. Sie können Push jederzeit in den
Spiel-Einstellungen oder den Browser-/Systemeinstellungen deaktivieren; die Subscription wird
dann gelöscht. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1
TDDDG.
a) Passwortloser E-Mail-Login. Sie können sich alternativ mit Ihrer E-Mail-Adresse anmelden. Dazu senden wir Ihnen einen einmaligen, 10 Minuten gültigen Anmelde-Code bzw. Anmelde-Link. Verarbeitet werden Ihre E-Mail-Adresse, der Code sowie Zeitpunkt und IP-Adresse der Anforderung (Missbrauchs-/Ratenbegrenzung). Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Bereitstellung der Account-Funktion). Ein Passwort wird zu keinem Zeitpunkt erhoben oder gespeichert.
b) Spielbezogene E-Mails (Wochen-Rückblick, Game-News, Dev-Updates). Nur mit Ihrer ausdrücklichen Einwilligung senden wir Ihnen spielbezogene E-Mails. Dabei wählen Sie die Kategorien einzeln: Wochen-Rückblick (wöchentliche Zusammenfassung Ihres Spielfortschritts, ggf. Erinnerungen), Game-News (neue Features, Events, Aktionen) und Dev-Updates (Einblicke in die Entwicklung); wir versenden nur an die von Ihnen gewählten Kategorien. Die Anmeldung erfolgt im Double-Opt-in-Verfahren: Erst nach Klick auf den Bestätigungslink in der Bestätigungs-Mail wird der Versand aktiviert. Zu Nachweiszwecken protokollieren wir den Zeitpunkt der Anmeldung und der Bestätigung sowie die gewählten Kategorien. Für die erstmalige bestätigte Anmeldung schreiben wir Ihrem Spielkonto einmalig eine kleine Ingame-Belohnung (10 Goldzähne) gut; zur Sicherstellung der Einmaligkeit speichern wir den Zeitpunkt der Gutschrift. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung). Sie können die Einwilligung jederzeit insgesamt oder je Kategorie widerrufen — über den Abmeldelink in jeder E-Mail (alle Kategorien) oder in den Spiel-Einstellungen (einzeln); die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt. Die Belohnung verbleibt auch bei Widerruf im Spielkonto.
c) Versanddienstleister. Für den E-Mail-Versand setzen wir Resend (Resend, Inc., 2261 Market Street #5039, San Francisco, CA 94114, USA) als Auftragsverarbeiter (Art. 28 DSGVO) ein. Der Versand erfolgt über eine EU-Infrastruktur (Region eu-west-1, Irland); eine Übermittlung in die USA kann nicht vollständig ausgeschlossen werden und ist durch EU-Standardvertragsklauseln abgesichert (siehe Ziff. 16). Öffnungs- oder Klick-Tracking ist deaktiviert. Datenschutzhinweise: resend.com/legal/privacy-policy
Zur Bereitstellung des Spiels speichern wir Daten lokal in Ihrem Browser
(localStorage), insbesondere den lokalen Spielstand, eine Sitzungskennung/Token zur
Anmeldung sowie Einstellungen (z. B. Sprache, Ton). Diese Speicherung ist für den Betrieb
technisch erforderlich; es handelt sich nicht um Werbe- oder Tracking-Technologien.
Rechtsgrundlage: § 25 Abs. 2 Nr. 2 TDDDG i. V. m. Art. 6 Abs. 1 lit. b und
lit. f DSGVO.
Die verwendeten Schriftarten („Alfa Slab One", „Rubik") werden lokal von unserem Server ausgeliefert (selbst gehostet). Es findet keine Verbindung zu Google-Servern und keine Übertragung Ihrer IP-Adresse an Google zum Laden von Schriften statt.
| Empfänger | Zweck | Sitz |
|---|---|---|
| Cloudflare, Inc. | Hosting, Datenbank, Funktionen, Push-Versand | USA / EU |
| Google Ireland Ltd. | Anmeldung (Google Sign-In) | Irland / USA |
| Apple Distribution International Ltd. | Anmeldung (derzeit inaktiv) | Irland / USA |
| Push-Dienst des jeweiligen Browsers | technische Zustellung der Push-Nachrichten | je nach Anbieter |
| Discord Netherlands B.V. / Discord Inc. | Anmeldung (Discord-Login), optionale Benachrichtigungen | Niederlande / USA |
| Resend, Inc. | E-Mail-Versand (Login-Codes, Wochen-Rückblick, Game-News, Dev-Updates) — EU-Region (Irland) | USA / EU |
Bei den genannten Diensten kann es zu einer Verarbeitung in den USA kommen. Soweit die Anbieter nach dem EU-US Data Privacy Framework zertifiziert sind, besteht ein Angemessenheitsbeschluss der EU-Kommission; ergänzend bzw. andernfalls erfolgt die Übermittlung auf Grundlage von EU-Standardvertragsklauseln (Art. 46 DSGVO).
Sie haben nach der DSGVO das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18), Datenübertragbarkeit (Art. 20), Widerspruch (Art. 21) sowie Widerruf erteilter Einwilligungen (Art. 7 Abs. 3), z. B. für Push-Benachrichtigungen. Zur Ausübung genügt eine formlose Nachricht an die in Ziff. 1 genannten Kontaktdaten.
Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren (Art. 77 DSGVO). Zuständig ist das Bayerische Landesamt für Datenschutzaufsicht (BayLDA), Promenade 18, 91522 Ansbach, lda.bayern.de.
Das Angebot richtet sich nicht gezielt an Kinder. Soweit eine Einwilligung erforderlich ist, sollten Nutzer das in Deutschland maßgebliche Alter von 16 Jahren erreicht haben; andernfalls ist die Zustimmung der Sorgeberechtigten erforderlich.
Eine automatisierte Entscheidungsfindung oder ein Profiling im Sinne des Art. 22 DSGVO findet nicht statt. Die spielinterne „Anti-Cheat"-Logik dient ausschließlich der Missbrauchsvermeidung (Art. 6 Abs. 1 lit. f DSGVO) und hat keine rechtliche Wirkung außerhalb des Spiels.
Wir passen diese Datenschutzerklärung an, sobald Änderungen am Spiel oder an der Rechtslage dies erfordern. Es gilt die jeweils hier veröffentlichte aktuelle Fassung.
Last updated: 31 July 2026. The German version is legally binding.
No data protection officer is appointed (not legally required).
This policy covers the browser game „Salzpenner", including its installable web-app (PWA). We process personal data only as needed to provide a working game or based on your consent. We do not sell data or use it for advertising.
When you access the game, the hosting provider processes technically necessary connection data (IP address, date/time, requested file, data volume, HTTP status, browser/OS user-agent, referrer). Legal basis: Art. 6(1)(f) GDPR.
The game runs on Cloudflare Pages, with server logic as Pages Functions, data stored in Cloudflare D1, and a Cloudflare cron worker sending push notifications (Cloudflare, Inc., USA / Cloudflare Germany GmbH), acting as our processor (Art. 28 GDPR). US transfers may occur, safeguarded per section 16. Legal basis: Art. 6(1)(f) GDPR. Privacy
A login is required for cloud saves, leaderboard and clans. We use Google Sign-In (Google
Ireland Ltd.); Sign in with Apple (Apple Distribution International Ltd.) is currently disabled.
To prevent the external sign-in script from transmitting your IP address to the provider without
your action, it is only loaded after you have consented (via the notice/cookie
banner or the login area). From the signed identity token we store only the provider
(„google"/„apple") and a pseudonymous user ID (OAuth sub). We do not
store your password, and (unless you provide it) neither your real name nor e-mail. The displayed
name is a freely chosen nickname. Legal basis: Art. 6(1)(a) GDPR (consent to loading the
third-party service) and Art. 6(1)(b) GDPR (account features).
Google ·
Apple
While signed in we store your game save and metrics to sync progress across devices: chosen player name and avatar variant, the full game state (JSON), ranking metrics (points, level, fame, bottles collected), clan membership and timestamps. Legal basis: Art. 6(1)(b) GDPR.
The game includes a statistics page. To show trends and personal bests, the following is maintained as part of your game state (section 6):
Transparency note: the hourly distribution allows conclusions about your daily rhythm. It is used solely for your own statistics display and — in aggregated, non-personal form — for operational analysis (section 8). It is not shared with third parties, not used for advertising, and not combined with data from outside the game. Other players cannot see it.
These values are maintained server-side so they cannot be manipulated. They are deleted together with your game state when you reset or delete your account (section 17). Legal basis: Art. 6(1)(b) GDPR.
To operate the game we analyse aggregated metrics such as number of accounts, daily/weekly/monthly active players, sign-ups, level distribution, feature usage and total in-game currency. A daily snapshot of these figures is stored permanently as a plain number series without any personal reference.
In addition, a small group of administrators (“game masters”) can view account-level information in an internal, access-protected area: player name, sign-in provider, level/points/fame, sign-up and last-activity timestamps, premium status, clan membership, abuse-detection flags and in-game marketplace transactions (item, price, player names of buyer and seller). This serves operations, support, debugging and the detection of cheating and automated play.
We also collect technical error reports from your browser (error text, affected file and line, stack trace, the game view in use, and the browser user agent). These reports contain no account or player ID and are deleted automatically after 30 days.
Legal basis: Art. 6(1)(f) GDPR (legitimate interest in stable, error-free and manipulation-free game operation). You may object under Art. 21 GDPR (section 18).
A public leaderboard and clans are part of the game. Your player name, game metrics and clan-log entries are visible to other players. Clan members additionally see your game figure (chosen avatar style, title), an approximate online status (active within the last few minutes) and your latest clan-log activity in the turf scene, and may send you a "poke" notification (max. once per day per person, only if push notifications are enabled). Do not use your real name as the in-game name if you prefer not to. Legal basis: Art. 6(1)(b) GDPR.
A personal referral code is generated and the referring account is recorded (one-time mapping) to grant referral bonuses. Legal basis: Art. 6(1)(b) and (f) GDPR.
With your consent we send web-push notifications. We store the push subscription (endpoint,
p256dh and auth keys) linked to your player ID; delivery runs via a
Cloudflare cron worker (VAPID/Web Push) through your browser vendor's push service. You can
disable push anytime; the subscription is then deleted. Legal basis: Art. 6(1)(a) GDPR,
§ 25(1) TDDDG.
a) Passwordless email sign-in. You may alternatively sign in with your email address. We send you a one-time code/link valid for 10 minutes. We process your email address, the code, and the time and IP address of the request (abuse/rate limiting). Legal basis: Art. 6(1)(b) GDPR. No password is ever collected or stored.
b) Game-related emails (weekly recap, game news, dev updates). Only with your explicit consent do we send game-related emails. You choose the categories individually: weekly recap (weekly summary of your progress, possibly reminders), game news (new features, events, campaigns) and dev updates (development insights); we only send to the categories you selected. Sign-up uses a double-opt-in: sending is only activated after you click the confirmation link. We log the time of sign-up and confirmation as well as the selected categories as proof. For your first confirmed sign-up we credit your game account a one-time small in-game reward (10 gold teeth); to ensure it is granted only once, we store the time of the credit. Legal basis: Art. 6(1)(a) GDPR (consent). You can withdraw consent at any time — in full via the unsubscribe link in every email, or per category in the game settings. The reward remains in your game account even after withdrawal.
c) Sending provider. We use Resend (Resend, Inc., 2261 Market Street #5039, San Francisco, CA 94114, USA) as a processor (Art. 28 GDPR). Sending uses EU infrastructure (region eu-west-1, Ireland); transfers to the USA cannot be fully excluded and are safeguarded by EU standard contractual clauses (see section 16). Open and click tracking is disabled. Privacy notice: resend.com/legal/privacy-policy
We store the local game save, a session token and settings (language, sound) in your
browser's localStorage. This is technically necessary; no tracking/advertising
technology is used. Legal basis: § 25(2)(2) TDDDG with Art. 6(1)(b) and (f) GDPR.
The fonts used („Alfa Slab One", „Rubik") are served locally from our own server (self-hosted). No connection to Google servers and no transmission of your IP address to Google take place for loading fonts.
| Recipient | Purpose | Location |
|---|---|---|
| Cloudflare, Inc. | Hosting, DB, functions, push | USA / EU |
| Google Ireland Ltd. | Google sign-in | Ireland / USA |
| Apple Distribution International Ltd. | Sign-in (currently inactive) | Ireland / USA |
| Your browser's push service | push delivery | varies |
Where processing occurs in the USA, it is based on the EU-US Data Privacy Framework (adequacy decision) and/or EU Standard Contractual Clauses (Art. 46 GDPR).
Server logs are kept only briefly. Account/game-state data is stored while your account exists. You can delete your local save via logout, and delete your server-side data via the „restart"/account-reset function. On request we delete your personal data entirely, absent legal retention obligations.
In-game statistics history (section 7): daily values for a rolling 60 days, older days are overwritten automatically; totals and personal bests are kept while your account exists and are deleted together with it. Technical error reports (section 8) are deleted automatically after 30 days. Aggregated, non-personal operational metrics (section 8) are stored permanently and allow no conclusions about individuals.
Access (Art. 15), rectification (16), erasure (17), restriction (18), portability (20), objection (21), and withdrawal of consent (Art. 7(3)). An informal message to the contact above is sufficient.
You may lodge a complaint with a supervisory authority (Art. 77 GDPR). Competent: Bayerisches Landesamt für Datenschutzaufsicht (BayLDA), Promenade 18, 91522 Ansbach, lda.bayern.de.
The service is not directed at children. Where consent is required, users should be at least 16 (the relevant age in Germany); otherwise a guardian's consent is required.
No automated decision-making or profiling under Art. 22 GDPR takes place. The in-game anti-cheat logic serves abuse prevention only (Art. 6(1)(f) GDPR).
We update this policy when changes to the game or the legal situation require it; the version published here applies.