Datenschutzhinweise

1. Verantwortlicher — Verantwortlich für die Verarbeitung durch Simply Cosplay ist die im Impressum genannte Person oder Organisation. Die dort genannte Post- und E-Mail-Adresse kann auch für Datenschutzanfragen verwendet werden; soweit eine besondere Datenschutzadresse angegeben ist, wird sie zusätzlich auf der Kontaktseite veröffentlicht.

2. Datenschutzbeauftragte Person — Eine Datenschutzbeauftragte oder ein Datenschutzbeauftragter wird hier mit Kontaktdaten genannt, sobald eine gesetzliche Benennungspflicht besteht oder freiwillig eine solche Person bestellt wurde. Ob eine Pflicht nach § 38 BDSG oder wegen Art und Umfang der Verarbeitung besteht, muss vor der Freigabe anhand der tatsächlichen Organisation geprüft werden.

3. Geltungsbereich und Rollen — Diese Hinweise gelten für die Simply-Cosplay-App, simplycosplay.de, öffentliche Profile, Community-Funktionen, Synchronisation, Support und Warteliste. Simply ist für den technischen Betrieb und die eigenen Verarbeitungszwecke verantwortlich. Wer ein öffentliches oder geschäftliches Profil betreibt, kann für die dort eigenständig veröffentlichten Inhalte und Zwecke zusätzlich selbst datenschutzrechtlich verantwortlich sein; die Verantwortlichkeit von Simply für den Plattformbetrieb entfällt dadurch nicht.

4. Grundsätze — Wir verarbeiten personenbezogene Daten nur, soweit dies für eine gewählte Funktion, die Sicherheit und den Betrieb, die Erfüllung eines Vertrags, eine gesetzliche Pflicht oder einen ausdrücklich genannten berechtigten Zweck erforderlich ist. Wo eine Einwilligung nötig ist, kann sie mit Wirkung für die Zukunft widerrufen werden. Freitextfelder sind nicht dafür gedacht, besonders sensible Daten nach Art. 9 DSGVO zu speichern.

5. Nutzung ohne Konto — Projekte, Teile, Budgets, Termine, Notizen und Referenzen können je nach App-Fassung zunächst nur auf dem Gerät gespeichert werden. Solange keine Online-Funktion genutzt wird, erhält Simply diese lokalen Inhalte nicht. Lokale Daten können bei Geräteverlust, Deinstallation oder Zurücksetzen verloren gehen.

6. Konto und Anmeldung — Bei Registrierung und Anmeldung verarbeiten wir insbesondere E-Mail-Adresse, Benutzerkennung, verschlüsselte beziehungsweise gehashte Zugangsinformationen, Bestätigungs- und Sicherheitsstatus sowie Zeitpunkte sicherheitsrelevanter Vorgänge. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO; Sicherheitsprotokolle beruhen zusätzlich auf Art. 6 Abs. 1 lit. f DSGVO. Das berechtigte Interesse ist der Schutz von Konten und Systemen.

7. Gastkonto — Wird ein Gastkonto verwendet, werden eine technische Kontokennung, der Gaststatus und die dafür synchronisierten Daten verarbeitet. Ein Gastkonto kann bei Verlust des Geräts oder der lokalen Zugangsdaten möglicherweise nicht wiederhergestellt werden. Vor der Umwandlung in ein dauerhaftes Konto werden die dafür erforderlichen Kontaktdaten erhoben.

8. E-Mail-Codes und Zwei-Faktor-Schutz — Für Einmalcodes, E-Mail-Bestätigungen, Wiederherstellung und Sicherheitshinweise verarbeiten wir E-Mail-Adresse, Token beziehungsweise nur deren Hashwerte, Versand- und Nutzungszeitpunkte und begrenzte Fehlversuche. Bei freiwillig aktivierter TOTP-Zwei-Faktor-Authentifizierung verarbeiten wir das verschlüsselt gespeicherte Geheimnis, Wiederherstellungscodes und den Aktivierungsstatus.

9. Anmeldung mit Apple oder Google — Bei einer ausdrücklich gewählten Anmeldung über Apple oder Google erhalten wir vom jeweiligen Anbieter eine technische Anbieterkennung und, soweit freigegeben, E-Mail-Adresse und Profildaten. Umgekehrt erfährt der Anbieter, dass die Anmeldung bei Simply erfolgt. Rechtsgrundlage ist die Durchführung des gewählten Anmeldevorgangs nach Art. 6 Abs. 1 lit. b DSGVO. Es gelten zusätzlich die Datenschutzhinweise des gewählten Anbieters.

10. Prüfung kompromittierter Passwörter — Bei der Passwortwahl kann ein k-Anonymitätsverfahren von Have I Been Pwned verwendet werden. Dabei wird nur ein kurzer Präfix eines aus dem Passwort gebildeten Hashwerts übertragen, niemals das Passwort oder der vollständige Hash. Die Antwort wird lokal mit dem vollständigen Hash verglichen. Zweck ist die Kontosicherheit nach Art. 6 Abs. 1 lit. f DSGVO.

11. Synchronisation und private Inhalte — Bei aktivierter Synchronisation verarbeiten wir die dafür ausgewählten Projekte, Teile, Budgets, Termine, Notizen, Referenzen, Build-Logs, Einstellungen und technischen Änderungsstände. Zweck ist die geräteübergreifende Bereitstellung nach Art. 6 Abs. 1 lit. b DSGVO. Welche Inhalte öffentlich werden, entscheidet die nutzende Person gesondert.

12. Bilder und Dateien — Hochgeladene Bilder, Videos und Dateien werden zusammen mit technischen Metadaten, Zuordnung, Dateigröße, Dateityp und Speicherpfad verarbeitet. Metadaten, die nicht benötigt werden, sollen beim Upload entfernt werden. Dateien können über einen gesonderten Objektspeicher oder ein Auslieferungsnetz bereitgestellt werden; Anbieter, Standort und Löschablauf müssen vor Freigabe konkret ergänzt werden.

13. Öffentliche Profile — Veröffentlichte Namen, Profiltexte, Bilder, Links, Projekte und sonstige freigegebene Angaben sind im Internet abrufbar und können von Suchmaschinen, Archiven oder anderen Personen kopiert werden. Rechtsgrundlage ist die vom Kontoinhaber veranlasste Veröffentlichung als Vertragsleistung nach Art. 6 Abs. 1 lit. b DSGVO. Eine spätere Deaktivierung entfernt nicht automatisch fremde Kopien oder Suchmaschinen-Caches.

14. Eigene Domains — Für eine verbundene Domain verarbeiten wir Domainname, Kontozuordnung, Prüfstatus, DNS- und Zertifikatsinformationen sowie technische Fehler. Für Ausstellung und Erneuerung eines TLS-Zertifikats können Domain und erforderliche technische Daten an eine Zertifizierungsstelle wie Let’s Encrypt übermittelt und in öffentlich einsehbaren Certificate-Transparency-Protokollen veröffentlicht werden. Die konkret verwendete Stelle ist vor Freigabe einzutragen.

15. Community-Profil und Altersgrenze — Für die Community verarbeiten wir Profil, Community-Status, Zustimmungsversion und das angegebene Geburtsjahr, um die Mindestalterregel zu prüfen. Das vollständige Geburtsdatum wird dafür nicht benötigt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO; Schutz- und Nachweisdaten können auf Art. 6 Abs. 1 lit. f und lit. c DSGVO beruhen.

16. Community-Inhalte — Beiträge, Kommentare, Reaktionen, Follows, Lesezeichen, Challenges, Gruppen und geteilte Build-Logs werden entsprechend der gewählten Sichtbarkeit gespeichert und angezeigt. Öffentliche Inhalte sind allgemein abrufbar; Inhalte in Gruppen werden den vorgesehenen Mitgliedern bereitgestellt. Die Verarbeitung dient der gewählten Community-Funktion nach Art. 6 Abs. 1 lit. b DSGVO.

17. Direktnachrichten — Nachrichten und Anhänge werden für Absender und Empfänger gespeichert und transportverschlüsselt übertragen, sind aber nicht Ende-zu-Ende-verschlüsselt. Der Betreiber kann auf Inhalte zugreifen, wenn dies zur Bearbeitung einer Meldung, zur Störungsbehebung oder aufgrund einer gesetzlichen Pflicht erforderlich und verhältnismäßig ist. Eine an andere zugestellte Nachricht kann nicht in jedem Fall aus deren Konto oder Gerät zurückgerufen werden.

18. Meldungen, Moderation und Beschwerden — Bei einer Meldung verarbeiten wir die gemeldete Fundstelle und den gemeldeten Inhalt, Begründung, Nachweise, Kontaktdaten, beteiligte Konten, Prüfvermerke, Maßnahmen, Entscheidungsgründe und Beschwerden. Dies erfolgt zur Erfüllung gesetzlicher Pflichten, insbesondere des Digital Services Act, nach Art. 6 Abs. 1 lit. c DSGVO und zur Abwehr von Missbrauch nach Art. 6 Abs. 1 lit. f DSGVO.

19. Standort und Karten — Standortdaten werden nur nach Freigabe durch das Betriebssystem verwendet, etwa um eine Veranstaltungskarte auf den ungefähren eigenen Standort auszurichten. Die App fragt nach derzeitiger Planung nur den Standort während der Nutzung ab. Kartendarstellungen stammen je nach Betriebssystem von Apple Maps oder Google Maps; Kartenanbieter erhalten technisch erforderliche Anfrage- und Gerätedaten nach ihren eigenen Bedingungen.

20. Kamera, Mediathek und Zwischenablage — Kamera und Mediathek werden nur nach Betriebssystemfreigabe geöffnet, wenn ein Bild aufgenommen oder ausgewählt wird. Ausgewählte Inhalte werden erst durch die gewählte Speicher- oder Uploadaktion verarbeitet. Die Zwischenablage wird nur auf eine ausdrückliche Einfügehandlung hin ausgelesen. Einzelheiten der Geräteberechtigungen zeigt das Betriebssystem.

21. Openverse — Bei einer Suche nach offen lizenzierten Referenzbildern sendet die App den eingegebenen Suchbegriff derzeit unmittelbar an die Openverse-API. Dabei erhält der Dienst technisch auch IP-Adresse, Zeitpunkt sowie übliche Verbindungs- und Geräteinformationen. Die Nutzung dieser Suche ist freiwillig; vor der Freigabe ist zu prüfen, ob und mit welchem Anbieterstatus beziehungsweise welcher Drittlandgrundlage der Direktabruf erfolgt.

22. Externe Integrationen — Werden Inhalte oder Profile von Twitch, YouTube, Discord, Bluesky, Mastodon, Etsy oder anderen ausdrücklich ausgewählten Diensten verknüpft, verarbeiten wir die eingegebene Kennung beziehungsweise URL und öffentlich abrufbare Ergebnisdaten. Ein Abruf kann dem Drittanbieter IP-Adresse des Simply-Servers, Zeitpunkt und Suchparameter offenlegen. Eine direkte Kontoautorisierung findet nur statt, wenn dies in der Oberfläche ausdrücklich angezeigt wird.

23. Shop-Suche und Provisionslinks — Produktsuchen können an eBay, Etsy, Amazon, AliExpress oder weitere angezeigte Anbieter übermittelt werden. Bei einem Klick wird die Zieladresse geöffnet; der Shop erhält die üblichen Verbindungsdaten und gegebenenfalls eine Affiliate-Kennung. Simply kann Klicks nur aggregiert je Link und Tag zählen; nach aktuellem Konzept werden dafür keine Besucher-IP, Cookies, User-Agent-Daten oder Referrer in der Klickstatistik gespeichert. Unabhängig davon kann die Statistik der Website nach Abschnitt 30 den Klick auf einen Link, der die Website verlässt, mit dem Domainnamen des Ziels zählen.

24. Warteliste — Für die Warteliste verarbeiten wir E-Mail-Adresse, Eintragungs- und Bestätigungszeitpunkt sowie nur den Hash des Bestätigungstokens. Grundlage ist die Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO. Der Bestätigungslink gilt sieben Tage und einmal; unbestätigte Einträge werden nach 14 Tagen gelöscht. Die Adresse wird für eine einzelne Nachricht zur App-Veröffentlichung verwendet und danach gelöscht. Ein Widerruf ist jederzeit möglich.

25. Kontakt und Support — Bei Kontaktanfragen verarbeiten wir Absenderdaten, Inhalt, Anhänge, Zeitpunkte und die Bearbeitungshistorie, um das Anliegen zu beantworten. Rechtsgrundlage ist je nach Anliegen Art. 6 Abs. 1 lit. b, lit. c oder lit. f DSGVO. Das berechtigte Interesse liegt in nachvollziehbarem Support und der Abwehr von Missbrauch. Gesetzlich erforderliche Mitteilungen werden entsprechend den geltenden Fristen aufbewahrt.

26. Server-, Sicherheits- und Domainprotokolle — Beim Abruf von App, API, Website oder eigener Domain fallen IP-Adresse, Zeitpunkt, Zieladresse, Übertragungsmenge, Statuscode und technische Kennungen an. Sie werden für Auslieferung, Fehleranalyse, Ratenbegrenzung und Angriffserkennung verarbeitet. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Die reguläre Aufbewahrung zentraler Protokolle ist derzeit auf 30 Tage ausgelegt; Sicherheitsvorfälle können eine längere, zweckgebundene Sicherung erfordern.

27. Fehlerberichte — Bei einem App-Fehler können Fehlerart, Fehlermeldung, technischer Stack, betroffener Bildschirm, Plattform und App-Version an die Simply-API und die selbst betriebene Fehleranalyse GlitchTip gesendet werden. Kontoinhalte sollen nicht absichtlich enthalten sein; Freitext in Fehlermeldungen kann dies aber nicht vollständig ausschließen. Pro App-Start sind die Übermittlungen begrenzt. Grundlage ist Art. 6 Abs. 1 lit. f DSGVO.

28. Expo Insights — Die derzeit eingebundene Expo-Insights-Komponente kann beim App-Start eine dauerhafte Installations- beziehungsweise EAS-Client-Kennung, Projektkennung, App-Version, Plattform und Betriebssystemversion an i.expo.dev übertragen. Vor einer Veröffentlichung muss diese Verarbeitung entweder entfernt oder erst nach wirksamer Einwilligung aktiviert und mit Empfänger, Zweck, Speicherdauer und Drittlandgarantie vollständig beschrieben werden. Diese Entwurfsfassung behauptet keine bereits erteilte Einwilligung.

29. Produkttelemetrie — Soweit die selbst betriebene, in der App als freiwillig ausgewiesene Telemetrie aktiviert wird, werden technische Ereignisse, pseudonyme gehashte Kennungen, Plattform, Version und grobe Leistungswerte verarbeitet. Der Inhalt privater Projekte ist nicht für Telemetrie vorgesehen. Ereignisse sind nach aktuellem Schema auf eine Aufbewahrung von 90 Tagen ausgelegt. Vor Freigabe muss geprüft werden, ob die Funktion tatsächlich aktiv ist und wie die Einwilligung umgesetzt wird.

30. Statistik und Fehlerdiagnose der Website — Um zu erkennen, wie simplycosplay.de und die darüber ausgelieferten öffentlichen Seiten genutzt werden und wo sie haken, zählt ein eigenes Skript Seitenaufrufe und sendet sie an unsere eigenen Server; ein fremder Analysedienst ist nicht eingebunden. Erfasst werden die aufgerufene Seite als Muster ohne die wechselnden Bestandteile der Adresse (etwa „/blog/[slug]“) und der Zeitpunkt; beim ersten Aufruf eines Besuchs zusätzlich der Domainname der Website, von der der Besuch kam (nicht die dortige Adresse und kein Suchbegriff), und der Wert des Kampagnenparameters „utm_source“, falls der aufgerufene Link einen trug; außerdem Klicks auf einzelne von uns benannte Schaltflächen und auf Links, die zu einer anderen Website führen (davon nur deren Domainname). Je Besuch kommen hinzu: das aus der Zeitzone des Browsers abgeleitete Land, die Sprache des Browsers ohne Region, die Größenklasse des Fensters (Handy, Tablet oder Computer) sowie Browser- und Betriebssystemfamilie; Zeitzone und User-Agent selbst werden für die Statistik nicht gespeichert. Zur Fehlerdiagnose werden Ladezeiten und Skriptfehler der Seite erfasst (Fehlerart, Meldung, technischer Stack). Dafür wird kein Cookie gesetzt und nichts auf dem Gerät gespeichert. Mehrere Ereignisse werden über eine Zufallskennung verbunden, die nur im Arbeitsspeicher der geöffneten Seite besteht, mit jedem Laden der Seite neu entsteht und auf dem Server nur als mit einem geheimen Schlüssel gebildeter Hashwert gespeichert wird. Ein Besuch lässt sich deshalb weder einem späteren Besuch noch einem Konto zuordnen; gezählt werden Besuche, nicht Besucherinnen und Besucher. Die IP-Adresse wird für diese Statistik nicht gespeichert; der Webserver verwendet sie höchstens eine Minute lang im Arbeitsspeicher, um Anfragen zu begrenzen (zu Serverprotokollen siehe Abschnitt 26). Ausgewertet wird nur zusammengefasst, etwa Aufrufe je Tag, Seite, Herkunft, Land und Gerät; die Ereignisse sind auf eine Aufbewahrung von 90 Tagen ausgelegt und werden danach gelöscht. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; das berechtigte Interesse liegt darin, Reichweite und Fehler der eigenen Website zu erkennen und sie zu verbessern. Sendet der Browser das Signal „Do Not Track“ oder „Global Privacy Control“, behandeln wir das als Widerspruch nach Art. 21 DSGVO: Seitenaufrufe, Herkunft, Klicks sowie Land, Sprache und Fensterklasse werden dann nicht erfasst, übermittelt werden nur noch Ladezeiten und Skriptfehler. Vor Freigabe ist zu prüfen, ob das Auslesen von Zeitzone, Sprache, Fensterbreite und Herkunftsseite durch das Skript ohne Einwilligung nach § 25 TDDDG zulässig ist; andernfalls sind diese Angaben erst nach Einwilligung zu erheben oder aus den ohnehin übermittelten Verbindungsdaten abzuleiten.

31. Cookies und Gerätespeicher — Die öffentlichen Marketing- und Profilseiten setzen nach aktuellem Stand keine Analyse- oder Werbe-Cookies. Die Statistik der Website nach Abschnitt 30 kommt ohne Cookie und ohne Speicherung auf dem Gerät aus; sie liest nur die dort genannten Angaben des Browsers aus. Für Anmeldung und Sicherheit können technisch notwendige Sitzungsinformationen auf dem Gerät oder als Cookie gespeichert beziehungsweise ausgelesen werden; Rechtsgrundlage ist § 25 Abs. 2 TDDDG und Art. 6 Abs. 1 lit. b beziehungsweise f DSGVO. Die App speichert den Sitzungstoken derzeit im SQLite-basierten lokalen Speicher. Vor Produktfreigabe muss geprüft werden, ob für den erforderlichen Schutz stattdessen der sichere Schlüsselspeicher des Betriebssystems zu verwenden ist.

32. Empfänger und Auftragsverarbeiter — Daten erhalten nur Stellen, die sie für Betrieb, Hosting, Objektspeicher, E-Mail, Fehleranalyse, Sicherheit oder eine ausdrücklich gewählte Integration benötigen. Mit Auftragsverarbeitern werden, soweit erforderlich, Verträge nach Art. 28 DSGVO geschlossen. Eine vollständige Liste mit Anbieter, Funktion, Sitz und Verarbeitungsort wird vor Freigabe ergänzt; ohne diese Liste ist der Hinweis nicht vollständig.

33. Übermittlungen in Drittländer — Dienste von Apple, Google, Expo, Openverse, externen Shops oder sozialen Netzwerken können Daten außerhalb von EU und EWR verarbeiten. Eine Übermittlung erfolgt nur bei Angemessenheitsbeschluss oder mit geeigneten Garantien, insbesondere EU-Standardvertragsklauseln, und erforderlicher ergänzender Prüfung. Die tatsächlich eingesetzten Anbieter und Garantien müssen vor Freigabe konkret genannt werden.

34. Speicherdauer — Kontodaten bestehen für die Vertragsdauer und werden nach Kontolöschung entfernt, soweit keine gesetzliche Aufbewahrung, Beweissicherung oder laufende Beschwerde entgegensteht. Abgeschlossene Speicher-Löschaufträge werden nach sieben Tagen, gelesene Community-Benachrichtigungen nach 90 Tagen, geschlossene Moderationsberichte und Entscheidungen nach zwei Jahren, technische Löschmarker nach 180 Tagen und inaktive Ratenbegrenzungsdaten nach etwa einer Stunde bereinigt. Ungelesene Benachrichtigungen bleiben bis zur Erledigung oder Kontolöschung. Abweichende steuer- oder handelsrechtliche Fristen bleiben unberührt.

35. Kontolöschung und Datenexport — Ein registriertes Konto kann über die in der App vorgesehene Funktion gelöscht werden. Die Löschung umfasst die dem Konto zugeordneten Serverdaten nach Ablauf notwendiger technischer und gesetzlicher Fristen; lokale Kopien auf Geräten müssen gegebenenfalls dort entfernt werden. Vor der Löschung kann ein Datenexport angefordert werden. Bereits an andere zugestellte Nachrichten, rechtmäßig anonymisierte Angaben oder fremde Kopien können nicht immer entfernt werden.

36. Rechte — Betroffene Personen haben nach Maßgabe der Art. 15 bis 21 DSGVO Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch. Einwilligungen können jederzeit mit Wirkung für die Zukunft widerrufen werden. Zur sicheren Zuordnung kann ein angemessener Identitätsnachweis verlangt werden. Anfragen können an den im Impressum oder auf der Kontaktseite genannten Datenschutzkontakt gerichtet werden.

37. Widerspruch — Soweit eine Verarbeitung auf Art. 6 Abs. 1 lit. f DSGVO beruht, kann aus Gründen, die sich aus der besonderen Situation ergeben, widersprochen werden. Gegen Direktwerbung kann jederzeit ohne besondere Begründung widersprochen werden; eine solche Werbung ist derzeit nicht vorgesehen.

38. Beschwerde — Es besteht das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren, insbesondere am gewöhnlichen Aufenthaltsort, Arbeitsplatz oder Ort des mutmaßlichen Verstoßes. Die für den Betreiber federführend zuständige Behörde wird nach Eintragung des tatsächlichen Sitzes hier oder auf der Kontaktseite konkret benannt.

39. Pflichtangaben und automatisierte Entscheidungen — Konto-E-Mail und Zugangsdaten sind für ein registriertes Konto erforderlich; optionale Profil- und Community-Angaben werden als solche gekennzeichnet. Ohne erforderliche Angaben kann die jeweilige Funktion nicht angeboten werden. Simply trifft nach derzeitigem Konzept keine ausschließlich automatisierte Entscheidung mit rechtlicher oder ähnlich erheblicher Wirkung. Moderationshilfen dürfen die menschliche Prüfung unterstützen, aber nicht allein endgültig entscheiden.

40. Minderjährige — Die planenden Grundfunktionen richten sich nicht ausschließlich an Erwachsene. Für die Community gilt jedoch ein Mindestalter von 16 Jahren. Erkennen wir, dass Daten entgegen der Altersregel oder ohne erforderliche Zustimmung verarbeitet wurden, prüfen und löschen oder beschränken wir sie. Sorgeberechtigte können sich an den Datenschutzkontakt wenden.

41. Sicherheit — Wir treffen angemessene technische und organisatorische Maßnahmen, darunter verschlüsselte Übertragung, Zugriffsbeschränkungen, Hashing von Passwörtern und Tokens, Ratenbegrenzung, Protokollierung sicherheitsrelevanter Vorgänge und getrennte Speicherbereiche. Kein System ist absolut sicher. Bei einer meldepflichtigen Verletzung werden Aufsichtsbehörden und betroffene Personen nach den gesetzlichen Vorgaben informiert.

42. Änderungen — Diese Hinweise werden angepasst, wenn Funktionen, Anbieter oder Rechtslage sich ändern. Wesentliche Änderungen werden in verständlicher Form kenntlich gemacht. Ist eine Einwilligung betroffen, wird eine neue Einwilligung eingeholt; eine bloße Textänderung ersetzt sie nicht.