Betrieben von: DigitalFreedom — einer Marke der DigitalFreedom Global LLC

Verantwortlicher (juristische Person): DigitalFreedom Global LLC, 30 N Gould St, Ste N, Sheridan, WY 82801, Vereinigte Staaten

Datenschutz: data-protection@digitalfreedom.co.za
Formular für Datenschutzanfragen: https://data-protection.digitalfreedom.co.za
Allgemein: hello@digitalfreedom.co.za

1. Einleitung

Diese Datenschutzerklärung beschreibt, wie die DigitalFreedom Global LLC („wir”) personenbezogene Daten erhebt, verwendet, speichert und schützt, wenn Sie die Snapshots-App für iOS und die Website snapshots-quiz.app nutzen (zusammen „die Dienste”). Wo sich App und Website unterscheiden, steht das ausdrücklich im jeweiligen Abschnitt.

1.1 Weltweiter Anwendungsbereich

Snapshots wird über den Apple App Store vertrieben und ist damit in jedem Land verfügbar, das dieser Store bedient. Diese Erklärung gilt weltweit, unabhängig davon, wo Sie die Dienste herunterladen oder nutzen.

1.2 DSGVO als weltweiter Mindeststandard

Wir wenden die Datenschutz-Grundverordnung (DSGVO) als weltweite Untergrenze an: Jeder Nutzer, in jedem Land, erhält mindestens das hier beschriebene DSGVO-Schutzniveau. Ist Ihr örtliches Recht strenger, gilt der strengere Maßstab. Berücksichtigt sind unter anderem DSGVO und BDSG, UK GDPR und Data Protection Act 2018, das Schweizer DSG, CCPA/CPRA und die übrigen US-Bundesstaatengesetze, PIPEDA, der australische Privacy Act 1988, die brasilianische LGPD, das japanische APPI, das koreanische PIPA, der indische DPDP Act und POPIA.

2. Verantwortlicher

Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO ist:

DigitalFreedom Global LLC (handelnd als DigitalFreedom) 30 N Gould St, Ste N Sheridan, WY 82801 Vereinigte Staaten

Für Datenschutzanfragen nutzen Sie das Formular unter https://data-protection.digitalfreedom.co.za oder schreiben an data-protection@digitalfreedom.co.za. Beide Wege stehen offen — und jeder andere Kanal ebenfalls; wir bearbeiten Ihre Anfrage, wie immer sie uns erreicht.

Ein Datenschutzbeauftragter ist nicht bestellt: Der Anbieter erreicht die Schwelle des Art. 37 DSGVO / § 38 BDSG nicht.

3. Welche Daten verarbeitet werden

3.1 Die App — was das Gerät verlässt

Snapshots funktioniert ohne E-Mail-Adresse, ohne Passwort und ohne Social Login. An unser Backend gehen:

Daten	Wozu	Wann
Spielername, den Sie beim ersten Start wählen	Er kennzeichnet Ihren Eintrag in der globalen Bestenliste und muss eindeutig sein	Einmal bei der Anlage, danach mit jedem Punktestand
Punktestände — Endpunktzahl, Anzahl gelöster Rätsel, Zeitstempel	Bestenliste und persönlicher Rekord	Am Ende einer Runde oder später, sobald Sie wieder online sind
Sprachcode des Rätselsatzes (z. B. `de`, `en`)	Damit das Backend die Rätsel in Ihrer Spielsprache ausliefert	Mit jeder Rätselanfrage
Technische Verbindungsdaten — IP-Adresse, Zeitpunkt, User Agent, angefragte Ressource	Unvermeidlich beim Betrieb eines Servers; Auslieferung, Sicherheit, Fehleranalyse	Bei jeder Anfrage

Das ist die vollständige Liste. Es gibt keine E-Mail-Adresse, kein Passwort, keinen Klarnamen, sofern Sie keinen in das Spielernamensfeld eintragen, keine Zahlungsdaten und keinen Zugriff auf Adressbuch, Kalender, Fotos, Mikrofon, Kamera, Standort oder Gesundheitsdaten.

3.2 Die App — was auf dem Gerät bleibt

Gelöste Rätsel, heruntergeladene Rätselbilder, Ihre Einstellungen, Ihre Tonpräferenz, Ihr persönlicher Rekord und die lokale Kopie Ihres Spielerdatensatzes liegen in einer lokalen Datenbank auf dem Gerät. Sie werden nicht übertragen. Wer die App löscht, löscht sie mit.

3.3 Die App — was nicht enthalten ist

Kein Analyse-SDK von Dritten. Kein Firebase Analytics, kein Google Analytics for Firebase, kein Amplitude, kein Mixpanel.
Kein Crash-Reporting-SDK. Abstürze erreichen uns nur über Apples eigene aggregierte Berichte, sofern Sie in iOS der Weitergabe an Entwickler zugestimmt haben.
Keine Werbung. Kein Werbe-SDK, keine Anzeige, nichts wird an ein Werbenetzwerk verkauft.
Keine Werbe-ID. Die IDFA wird nie ausgelesen, und es erscheint keine App-Tracking-Transparency-Abfrage, weil es nichts zu fragen gibt.
Keine Push-Nachrichten von einem Server. Erinnerungen plant iOS lokal auf dem Gerät; es wird kein Push-Token registriert, und keines verlässt das Gerät.

3.4 Die Website

Daten	Zweck	Rechtsgrundlage
Server-Logdaten beim Hoster (IP-Adresse, Zeitpunkt, angefragte URL, User Agent)	Auslieferung der Seiten, Sicherheit, Fehleranalyse	Art. 6 Abs. 1 lit. f DSGVO — berechtigtes Interesse am Betrieb
Google Analytics 4 mit Consent Mode v2	Aggregierte Reichweiten- und Inhaltsmessung	§ 25 Abs. 1 TDDDG und Art. 6 Abs. 1 lit. a DSGVO — Ihre Einwilligung für alles, was auf dem Gerät gespeichert oder ausgelesen wird; vor der Einwilligung nur cookielose aggregierte Pings auf Art. 6 Abs. 1 lit. f
Ihre Cookie-Entscheidung	Damit wir nicht erneut fragen	Unbedingt erforderlich, § 25 Abs. 2 Nr. 2 TDDDG
Ihre Sprach- und Themenwahl	Damit die Seite so aussieht, wie Sie sie verlassen haben	Unbedingt erforderlich, § 25 Abs. 2 Nr. 2 TDDDG

Die Website ist ein statischer Build und wird über GitHub Pages (GitHub, Inc.) ausgeliefert; deren Server schreiben die Zugriffsprotokolle, wir greifen darauf nicht zu. Schriften liegen auf dieser Domain — es gibt keine Google-Fonts-Anfrage, kein CDN, kein eingebettetes Video und kein Social Plugin. Einzelheiten samt Cookie-Namen und Laufzeiten stehen in der Cookie-Richtlinie.

3.5 Support und rechtliche Korrespondenz

Wenn Sie uns schreiben — Support, Datenschutzanfrage, Schwachstellenmeldung —, verarbeiten wir den Inhalt Ihrer Nachricht, Ihre E-Mail-Adresse und das, was Sie sonst mitschicken, um Ihnen zu antworten. Rechtsgrundlage: Art. 6 Abs. 1 lit. b und f DSGVO, bei gesetzlich vorgeschriebener Bearbeitung Art. 6 Abs. 1 lit. c.

4. Rechtsgrundlagen

Rechtsgrundlage	Wofür
Vertragserfüllung, Art. 6 Abs. 1 lit. b DSGVO	Anlage des Spielernamens, Auslieferung der Rätsel, Speicherung der Punktestände, Bestenliste, Freischaltung des Kaufs
Berechtigte Interessen, Art. 6 Abs. 1 lit. f DSGVO	Server-Logs, Missbrauchs- und Betrugsabwehr, Fehleranalyse, cookielose aggregierte Messung vor der Einwilligung
Einwilligung, Art. 6 Abs. 1 lit. a DSGVO	Google Analytics auf der Website und alles weitere, was über das unbedingt Erforderliche hinaus auf dem Gerät gespeichert oder ausgelesen wird
Rechtliche Verpflichtung, Art. 6 Abs. 1 lit. c DSGVO	Steuer- und Buchführungsunterlagen zu Käufen, Bearbeitung gesetzlicher Anfragen

5. Wozu wir die Daten verwenden

Wir nutzen Ihre Daten, um Snapshots bereitzustellen und zu betreiben, die Bestenliste anzuzeigen, Rätsel in Ihrer Sprache auszuliefern, Ihren Kauf zu prüfen und wiederherzustellen, Ihre Nachrichten zu beantworten, den Dienst abzusichern, Fehler zu finden und zu beheben sowie gesetzliche Pflichten zu erfüllen. Wir erstellen keine Profile, bauen keine Werbezielgruppen und trainieren mit Ihren Daten keine KI-Modelle.

6. Wer Ihre Daten erhält

6.1 Auftragsverarbeiter

Verarbeiter	Rolle	Ort
Civo Ltd.	Cloud-Infrastruktur — Kubernetes-Cluster, verwaltete PostgreSQL-Datenbank, S3-kompatibler Objektspeicher für die Rätselbilder	London, Vereinigtes Königreich (`lon1`)
RevenueCat, Inc.	Verwaltung des In-App-Kaufs: Belegprüfung und Berechtigungsstatus, verknüpft mit einer pseudonymen App-User-ID	Vereinigte Staaten
Migadu Mail AG	E-Mail-Hosting für die Kontakt- und Supportadressen	Schweiz
Google Ireland Ltd.	Google Analytics 4 — nur Website, und nur nach Ihrer Einwilligung	EWR, mit Weiterübermittlung an Google LLC in den Vereinigten Staaten
GitHub, Inc.	Hosting dieser statischen Website (GitHub Pages)	Vereinigte Staaten

OpenAI Ireland Ltd. erzeugt die Rätselwörter und -bilder, bevor ein Spieler sie sieht, in einem geplanten Hintergrundlauf auf unseren Servern. Es werden keine Nutzerdaten an OpenAI gesendet — kein Spielername, kein Punktestand, keine Nachricht. OpenAI ist damit Lieferant der Inhaltsproduktion, nicht Empfänger Ihrer personenbezogenen Daten.

Die Liste kann sich ändern; der aktuelle Stand wird in unserem Unterauftragsverarbeiter-Register geführt und ist unter data-protection@digitalfreedom.co.za abrufbar.

6.2 Plattform und Vertrieb

Apple Distribution International Ltd. handelt als eigenständig Verantwortlicher für App-Store-Vertrieb, TestFlight und In-App-Käufe. Apple ist Verkäufer des Kaufs in EU/EWR, im Vereinigten Königreich, in der Schweiz und in der Türkei (Kommissionär) und im Übrigen unser Vertreter; dort ist Verkäufer die DigitalFreedom Global LLC. Apple gibt uns Ihre Zahlungsdaten nicht weiter; wir sehen keine Kartendaten. Für Apples eigene Verarbeitung gilt https://www.apple.com/legal/privacy/.

6.3 Gesetzliche Anforderungen

Wir geben Daten heraus, soweit Gesetz, gerichtliches Verfahren oder ein rechtmäßiges behördliches Ersuchen es verlangen — und nicht darüber hinaus.

6.4 Unternehmensübergang

Bei Verschmelzung, Übernahme oder Verkauf von Vermögenswerten können Daten übergehen. Sie würden vorab informiert, wie in § 15 beschrieben.

6.5 Kein Verkauf

Wir verkaufen Ihre personenbezogenen Daten nicht und geben sie nicht für kontextübergreifende verhaltensbasierte Werbung weiter.

7. Drittlandübermittlungen

Civo lon1 (London, Vereinigtes Königreich) — gedeckt vom Angemessenheitsbeschluss der Europäischen Kommission für das Vereinigte Königreich nach Art. 45 DSGVO.
Migadu (Schweiz) — gedeckt vom Angemessenheitsbeschluss für die Schweiz nach Art. 45 DSGVO.
RevenueCat, Inc. (Vereinigte Staaten) — EU-Standardvertragsklauseln nach dem veröffentlichten DPA-Rahmen von RevenueCat, dazu Verschlüsselung bei Übertragung und Speicherung sowie pseudonyme App-User-IDs. Zahlungskartendaten sind nicht betroffen: Die Zahlung wickelt Apple ab.
Google Ireland Ltd. / Google LLC (Vereinigte Staaten) — EU-Standardvertragsklauseln (Durchführungsbeschluss (EU) 2021/914), das UK International Data Transfer Addendum und Googles Teilnahme am EU-US Data Privacy Framework.
GitHub, Inc. (Vereinigte Staaten) — Standardvertragsklauseln nach den Datenschutzbedingungen von Microsoft/GitHub.
Apple — eigenständig Verantwortlicher; konzerninterne Übermittlungen nach Apples eigenen Garantien.

Der Verantwortliche selbst ist außerhalb des EWR niedergelassen. Die von uns durchgeführte Verarbeitung findet daher außerhalb des EWR statt; wir wenden darauf den DSGVO-Maßstab als weltweite Untergrenze an (§ 1.2). Für Übermittlungen ohne Angemessenheitsbeschluss stützen wir uns auf Standardvertragsklauseln, wenden die Garantien des Kapitels V an und bewerten das Recht des Empfängerlandes, bevor ein Verarbeiter eingesetzt wird.

8. Speicherdauer

Daten	Dauer
Spielername und Anlagedatum	Bis Sie die Löschung verlangen
Punktestände in der Bestenliste	Bis Sie die Löschung verlangen
Server-Logs	30 Tage, dann gelöscht
Kauf- und Berechtigungsdaten (bei RevenueCat und Apple)	Für die Dauer der Berechtigung; steuerlich relevante Unterlagen 7 Jahre — die Frist, die den Verantwortlichen in den Vereinigten Staaten bindet
Supportkorrespondenz	3 Jahre ab Abschluss
Dokumentation von Datenschutzanfragen	6 Jahre ab Abschluss, Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO
Google-Analytics-Daten	14 Monate

Löschen heißt löschen, nicht markieren. Was wir aus rechtlichen Gründen behalten, ist auf diesen Zweck beschränkt — siehe Datenlöschung.

8a. Gesundheitsdaten

Keine. Snapshots liest keine HealthKit-Daten, schreibt keine und bietet keine Gesundheits- oder Fitnessfunktion. Art. 9 DSGVO ist nicht berührt.

8b. Zugriff auf Informationen auf Ihrem Gerät

Unabhängig vom Datenschutzrecht verlangen § 25 Abs. 1 TDDDG und Art. 5 Abs. 3 der Richtlinie 2002/58/EG Ihre Einwilligung für das Speichern von Informationen auf Ihrem Gerät und das Auslesen bereits gespeicherter Informationen — gleich, ob es personenbezogene Daten sind.

Was	Wo	Grundlage
Lokale Spieldatenbank — Spielerdatensatz, gelöste Rätsel, Bilder, Einstellungen	App	Unbedingt erforderlich, § 25 Abs. 2 Nr. 2 TDDDG
Google-Analytics-Cookies	Website	Einwilligung, § 25 Abs. 1 TDDDG
Cookie-Entscheidung, Sprach- und Themenwahl im Local Storage	Website	Unbedingt erforderlich, § 25 Abs. 2 Nr. 2 TDDDG

Eine Werbe-ID wird auf keiner der beiden Oberflächen ausgelesen.

9. Datensicherheit

Verschlüsselung bei der Übertragung (TLS); Datenbank und Objektspeicher sind verschlüsselt gespeichert
Zugriffskontrolle nach dem Prinzip der geringsten Rechte; administrative Zugänge mit Mehr-Faktor-Authentifizierung
Backend-Anfragen sind über ein Anwendungs-Bearer-Token authentifiziert
Tägliche Datenbank-Backups
Dokumentierte Reaktion auf Vorfälle nach unserem internen Notfallplan (Art. 33/34 DSGVO)
Koordinierte Offenlegung von Schwachstellen, veröffentlicht auf der Sicherheitsseite und maschinenlesbar unter /.well-known/security.txt

Kein System ist vollständig sicher; absolute Sicherheit behaupten wir nicht.

9.1 Benachrichtigung bei Datenschutzverletzungen

Ist eine Verletzung des Schutzes personenbezogener Daten voraussichtlich mit einem hohen Risiko für Ihre Rechte und Freiheiten verbunden (Art. 34 DSGVO), benachrichtigen wir betroffene Nutzer unverzüglich. Da Snapshots keine E-Mail-Adresse speichert, ist eine öffentliche Mitteilung auf dieser Website der Weg, auf dem wir Sie erreichen können; sie nennt Art der Verletzung, betroffene Datenkategorien, wahrscheinliche Folgen, ergriffene Maßnahmen und eine Kontaktstelle.

10. Ihre Rechte

10.1 Der DSGVO-Katalog als weltweite Untergrenze

Wo immer Sie leben, stehen Ihnen mindestens zu: Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18), Datenübertragbarkeit (Art. 20), Widerspruch (Art. 21), Widerruf einer Einwilligung jederzeit und so einfach, wie sie erteilt wurde (Art. 7 Abs. 3), sowie Beschwerde bei einer Aufsichtsbehörde.

10.2 Was Ihre Rechtsordnung ergänzt

Manche Rechtsordnungen gewähren mehr als diese Untergrenze oder knüpfen andere Fristen, Rechtsbehelfe und benannte Ansprechpartner daran. § 17 ist die eine Stelle, an der das steht. Nichts in § 17 senkt die Untergrenze.

10.3 Wie Sie sie ausüben

Schreiben Sie an data-protection@digitalfreedom.co.za oder nutzen Sie das Formular unter https://data-protection.digitalfreedom.co.za. Da Snapshots keine E-Mail-Adresse speichert, nennen Sie bitte den Spielernamen, damit wir Ihre Daten finden. Wir antworten binnen eines Monats (Art. 12 Abs. 3 DSGVO) oder innerhalb der kürzeren Frist, die Ihre Rechtsordnung vorsieht.

11. Kinder

Snapshots ist ein Spiel für ein allgemeines Publikum und richtet sich nicht an Kinder. Das Alter, ab dem ein Kind in eine Datenverarbeitung einwilligen kann, legen die Mitgliedstaaten zwischen 13 und 16 Jahren fest (Art. 8 Abs. 1 DSGVO); deshalb nennt diese Erklärung keine einzelne Zahl. Wir erheben wissentlich keine Daten von Kindern unterhalb der maßgeblichen Altersgrenze; erfahren wir davon, löschen wir sie umgehend. Wenn Sie Elternteil oder Sorgeberechtigter sind und vermuten, dass Ihr Kind einen Spielernamen angelegt hat, schreiben Sie an data-protection@digitalfreedom.co.za — wir entfernen ihn.

12. Cookies und Tracking

Getrennt beschrieben in der Cookie-Richtlinie, die die Website betrifft. Die App setzt keine Cookies und enthält keinen der dort genannten Tags.

13. Automatisierte Entscheidungen und KI

13.1 Automatisierte Entscheidungen

Wir treffen keine automatisierten Entscheidungen mit rechtlicher Wirkung oder ähnlich erheblicher Beeinträchtigung (Art. 22 DSGVO). Die Bestenliste ist eine sortierte Punkteliste, keine Entscheidung über einen Menschen.

13.2 KI in Snapshots

Die Rätselwörter und die drei Hinweisbilder je Rätsel werden mit künstlicher Intelligenz erzeugt — OpenAI GPT-4o für die Wörter und ihre Übersetzungen, DALL·E 3 für die Bilder — in einem geplanten Lauf auf unseren Servern, bevor das Rätsel einen Spieler erreicht. Zwei Folgen:

Jedes Bild in Snapshots ist KI-generierter Inhalt, keine Aufnahme einer realen Szene. Diese Offenlegung erfolgt im Sinne des Art. 50 der KI-Verordnung (Verordnung (EU) 2024/1689) zur Transparenz über synthetische Inhalte.
Nichts von dem, was Sie tun, geht an OpenAI. Spielername, Punktestände, Antworten und Nachrichten werden nie an einen KI-Anbieter übermittelt, und keine Ihrer Daten fließen in ein Modelltraining.

13.3 Werbung

Wir versenden keine Werbe-E-Mails und keine Werbe-Push-Nachrichten. Es gibt keinen Newsletter und keinen Verteiler.

14. Links zu Dritten

Die Dienste verlinken auf Seiten Dritter — den App Store, die Datenschutzhinweise der Verarbeiter, Normungsorganisationen. Für deren Datenschutzpraxis sind wir nicht verantwortlich.

15. Änderungen dieser Erklärung

Wir können diese Erklärung aktualisieren. Wesentliche Änderungen kündigen wir über die Dienste an; verlangt eine Änderung nach anwendbarem Recht Ihre Einwilligung, holen wir sie ein, bevor die Änderung für Sie gilt — bloße Weiternutzung gilt nie als Einwilligung. Das Datum „Zuletzt aktualisiert” oben nennt den Stand.

16. Kontakt

DigitalFreedom Global LLC, 30 N Gould St, Ste N, Sheridan, WY 82801, Vereinigte Staaten

Datenschutz: data-protection@digitalfreedom.co.za · https://data-protection.digitalfreedom.co.za
Allgemein: hello@digitalfreedom.co.za
Support: https://support.apps.digitalfreedom.co.za

In der EU und im EWR können Sie sich außerdem an die Aufsichtsbehörde Ihres Landes wenden.

17. Regionale Bestimmungen

Was die einzelnen Rechtsordnungen zur Untergrenze hinzufügen. § 10.1 nennt die überall geltende Untergrenze; nichts hier senkt sie. Alle Anfragen: data-protection@digitalfreedom.co.za oder https://data-protection.digitalfreedom.co.za.

17.1 Europäische Union und EWR

Die Verarbeitung richtet sich nach der DSGVO, die über das EWR-Abkommen auch in Norwegen, Island und Liechtenstein gilt.
Es gibt keine federführende Aufsichtsbehörde. Der Verantwortliche ist nicht in der Union niedergelassen; das One-Stop-Shop-Verfahren nach Art. 56 DSGVO greift nicht.
Sie können Beschwerde bei der Aufsichtsbehörde Ihres gewöhnlichen Aufenthalts, Ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes einlegen (Art. 77 DSGVO) — in den EWR-Staaten Datatilsynet (Norwegen), Persónuvernd (Island) oder die Datenschutzstelle (Liechtenstein).
Datenschutz-Folgenabschätzungen führen wir durch, wo Art. 35 sie verlangt.
Zum Alter der digitalen Einwilligung, das die Mitgliedstaaten zwischen 13 und 16 festlegen, siehe § 11.

17.2 Vereinigtes Königreich

Es gelten UK GDPR und Data Protection Act 2018. Aufsichtsbehörde ist das Information Commissioner’s Office (ICO), https://ico.org.uk.

17.3 Schweiz

Das revidierte Datenschutzgesetz (revDSG) gilt für Sachverhalte, die sich in der Schweiz auswirken, unabhängig vom Sitz des Verantwortlichen. Der DSGVO-Maßstab dieser Erklärung deckt seine Substanz ab.
Auskunftsrecht (Art. 25 revDSG): im Wesentlichen das Auskunftsrecht des Art. 15 DSGVO; wir antworten binnen 30 Tagen.
Meldung von Verletzungen (Art. 24 revDSG): dem EDÖB „so rasch als möglich” zu melden. Unser Plan folgt der jeweils kürzesten Frist, praktisch also der 72-Stunden-Frist der DSGVO.
Zuständig ist der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB).

17.4 Vereinigte Staaten

Der gemeinsame Kern der Bundesstaatengesetze. Die umfassenden Gesetze (Virginia, Colorado, Connecticut, Texas, Oregon und die übrige Familie) gewähren im Wesentlichen die Rechte aus § 10.1 und ergänzen zwei Punkte:

Rechtsbehelf. Lehnen wir Ihre Anfrage ab, können Sie bei uns Widerspruch einlegen; unsere Antwort nennt den Weg zur Beschwerde beim Attorney General Ihres Bundesstaates. Ausnahme Utah: dort sieht das Gesetz kein Widerspruchsverfahren vor.
Fristen. Wir antworten binnen 45 Tagen, einmal um weitere 45 Tage verlängerbar mit Hinweis. Ausnahme Iowa: dort erlaubt das Gesetz 90 Tage plus 45 Tage Verlängerung — wir wenden die kürzere Frist an.

Biometrie (Illinois BIPA). Es werden keine biometrischen Identifikatoren erhoben; Snapshots nutzt weder Face ID noch Touch ID.

Gesundheitsdaten (Washington, Nevada). Snapshots verarbeitet keine Gesundheitsdaten; der My Health My Data Act und die Regelung in Nevada sind nicht berührt, eine gesonderte Gesundheitsdaten-Richtlinie wird deshalb nicht veröffentlicht.

„Do Not Sell or Share”-Link. Nicht erforderlich: Es wird nichts verkauft und nichts für kontextübergreifende verhaltensbasierte Werbung weitergegeben. Ändert sich das, wird der Link Pflicht und erscheint.

Kalifornien — Hinweis bei der Erhebung (CCPA/CPRA)

Kalifornischen Einwohnern spätestens bei der Erhebung zu geben, Cal. Civ. Code §§ 1798.100(a) und 1798.130(a)(5)(A). Die vollständige Erklärung dazu: https://snapshots-quiz.app/de/datenschutz/.

Kategorie (CCPA § 1798.140(v))	Was erhoben wird	Zweck	Zu geschäftlichen Zwecken offengelegt?	Verkauft oder geteilt?
A. Kennungen	Spielername; IP-Adresse; pseudonyme App-User-ID für den Kauf	Bestenliste, Auslieferung, Sicherheit, Berechtigung	Ja — an die Verarbeiter aus § 6.1	Nein
B. Kundendaten	Kaufstatus (freigeschaltet / nicht freigeschaltet)	Wiederherstellung des Kaufs	Ja — RevenueCat, Apple	Nein
C. Geschützte Merkmale	Keine	—	—	—
D. Kommerzielle Informationen	Der einmalige In-App-Kauf	Leistungserbringung	Ja — Apple, RevenueCat	Nein
E. Biometrische Daten	Keine	—	—	—
F. Internet- und Netzwerkaktivität	Anfragen an unser Backend; Seitenaufrufe nach Einwilligung	Auslieferung, Sicherheit, aggregierte Messung	Ja — Civo, Google (nur Website)	Nein
G. Standortdaten	Keine. Die IP-Adresse dient der Auslieferung und Sicherheit, nicht der Ortung	—	—	Nein
H. Sensorische Daten	Keine	—	—	—
I. Berufsbezogene Daten	Keine	—	—	—
J. Ausbildungsdaten	Keine	—	—	—
K. Schlussfolgerungen	Keine	—	—	—
L. Sensible personenbezogene Daten	Keine	—	—	—

Wir haben personenbezogene Daten kalifornischer Einwohner weder verkauft noch geteilt und haben das auch nicht vor. Speicherdauern stehen in § 8. Ihre Rechte — Auskunft, Löschung, Berichtigung, Übertragbarkeit, Diskriminierungsfreiheit — üben Sie unter data-protection@digitalfreedom.co.za aus; wir prüfen Anfragen risikoangemessen und antworten binnen 45 Tagen, einmal um 45 Tage verlängerbar. Ein bevollmächtigter Vertreter wird mit Nachweis akzeptiert.

Shine the Light (§ 1798.83): Wir legen keine personenbezogenen Daten für Direktmarketingzwecke Dritter offen; die jährliche Antwort lautet „keine”. Global Privacy Control wird als gültiges Opt-out-Signal beachtet; da wir weder verkaufen noch teilen, ändert es praktisch nichts, wird aber respektiert. Beschwerden: California Privacy Protection Agency, 2101 Arena Boulevard, Sacramento, CA 95834, https://cppa.ca.gov/complaint/, oder der California Attorney General.

17.5 Kanada

Einwilligung (PIPEDA Grundsatz 3): ausdrücklich, wenn die Daten sensibel oder der Zweck nicht offensichtlich ist; konkludent, wenn er offensichtlich und die Daten nicht sensibel sind. Widerruf jederzeit, vorbehaltlich gesetzlicher oder vertraglicher Beschränkungen und angemessener Ankündigung.
Ihre Rechte: Auskunft und Kopie, Beanstandung der Richtigkeit und Berichtigung, Widerruf der Einwilligung, Beschwerde beim Office of the Privacy Commissioner of Canada, https://www.priv.gc.ca. Wir antworten binnen 30 Tagen (PIPEDA § 8(4)).
Québec (Law 25): Verantwortliche Person für den Schutz personenbezogener Daten ist Marcel R. G. Berger, data-protection@digitalfreedom.co.za, 30 N Gould St, Ste N, Sheridan, WY 82801, Vereinigte Staaten. Vor jeder Übermittlung von Daten aus Québec ins Ausland erfolgt eine Folgenabschätzung; Zielorte sind das Vereinigte Königreich und die Schweiz (angemessen) sowie die Vereinigten Staaten unter Standardvertragsklauseln. Sie können Ihre Daten in einem strukturierten, gängigen technischen Format verlangen und werden über ausschließlich automatisierte Entscheidungen informiert — wir treffen keine. Eine französische Fassung dieser Erklärung liegt unter https://snapshots-quiz.app/fr/confidentialite/.
CASL: Wir versenden überhaupt keine kommerziellen elektronischen Nachrichten.
Provinzgesetze (BC PIPA, Alberta PIPA) gelten, soweit sie strenger sind; Beschwerden auch bei OIPC BC und OIPC Alberta.

17.6 Australien und Neuseeland

Australien: Der Privacy Act 1988 und die Australian Privacy Principles gelten für ein ausländisches Unternehmen, das in Australien Geschäfte betreibt. APP 12 sieht für Auskunft 30 Tage vor. APP 8 macht uns für den Umgang eines ausländischen Empfängers mit Ihren Daten verantwortlich — mit ein Grund, warum jeder Empfänger in § 6 benannt ist. Beschwerden: Office of the Australian Information Commissioner (OAIC).
Neuseeland: Der Privacy Act 2020 gilt für eine ausländische Stelle, die in Neuseeland Geschäfte betreibt. IPP 12 beschränkt Weitergaben ins Ausland; Auskunftsanfragen werden binnen 20 Arbeitstagen beantwortet. Beschwerden: Office of the Privacy Commissioner (NZ).

17.7 Brasilien (LGPD)

Encarregado (Art. 41 LGPD): Marcel R. G. Berger, data-protection@digitalfreedom.co.za, 30 N Gould St, Ste N, Sheridan, WY 82801, Vereinigte Staaten. Diese Erklärung ist die von der ANPD-Resolution CD/ANPD Nr. 18/2024 verlangte Veröffentlichung dieser Kontaktdaten.
Rechtsgrundlagen (Art. 7): Vertragserfüllung (V) für Spiel, Bestenliste und Kauf; rechtliche Verpflichtung (II) für die den Verantwortlichen bindenden Aufbewahrungspflichten; berechtigtes Interesse (IX) für Sicherheit und Fehleranalyse; Einwilligung (I) für die Website-Analyse.
Ihre Rechte nach Art. 18: Bestätigung, Zugang, Berichtigung, Anonymisierung, Sperrung oder Löschung nicht erforderlicher Daten, Übertragbarkeit, Löschung einwilligungsbasierter Daten, Auskunft über Weitergaben und über die Folgen einer Verweigerung sowie Widerruf der Einwilligung. Wir antworten binnen 15 Tagen (Art. 19 § 3).
Übermittlungen (Art. 33): Angemessenheit für das Vereinigte Königreich und die Schweiz, vertragliche Garantien für die US-Strecken.
Kinder (Art. 14): Die Verarbeitung von Daten eines Kindes unter 12 Jahren verlangt eine besondere und hervorgehobene elterliche Einwilligung; ein solches Verfahren betreiben wir nicht und verarbeiten solche Daten daher nicht wissentlich.
Vorfälle (Art. 48): ANPD und Betroffene werden benachrichtigt; unser Ziel sind 72 Stunden. Beschwerden: https://www.gov.br/anpd. Eine portugiesische Fassung liegt unter https://snapshots-quiz.app/pt/privacidade/.

17.8 Indien (DPDP Act, 2023)

Die DigitalFreedom Global LLC ist Data Fiduciary und nicht als Significant Data Fiduciary eingestuft.
Einwilligung (§ 6): frei, spezifisch, informiert, unbedingt und eindeutig, durch klare bestätigende Handlung, so einfach widerrufbar wie erteilt.
Ihre Rechte (§§ 11–14): Auskunft darüber, was verarbeitet und mit wem geteilt wird; Berichtigung, Vervollständigung und Löschung; Beschwerdeverfahren; Benennung einer anderen Person zur Wahrnehmung Ihrer Rechte im Fall von Tod oder Handlungsunfähigkeit.
Grievance Officer (§ 8(10), IT Rules 2021): Marcel R. G. Berger, data-protection@digitalfreedom.co.za. Eingangsbestätigung binnen 24 Stunden, Erledigung binnen 15 Tagen, bei komplexen Beschwerden mit Begründung auf 30 Tage verlängerbar. Eskalation: das Data Protection Board of India, sobald konstituiert.
Kinder (§ 9): Daten einer Person unter 18 Jahren werden nur mit nachprüfbarer elterlicher Einwilligung verarbeitet; kein Tracking, keine Verhaltensbeobachtung, keine an Kinder gerichtete Werbung — es gibt überhaupt keine Werbung.
Übermittlungen (§ 16): zulässig außer in als beschränkt notifizierte Länder; keines der genutzten Zielländer ist derzeit beschränkt.

17.9 Japan (APPI)

Das APPI gilt für einen ausländischen Betreiber, der personenbezogene Informationen im Zusammenhang mit der Erbringung von Leistungen an Personen in Japan erhebt; Snapshots ist daher erfasst.
Zweckbestimmung: Der Verwendungszweck wird so eng wie möglich bestimmt und hier veröffentlicht. Eine Zweckänderung ist auf das beschränkt, was mit dem ursprünglichen Zweck in sachlichem Zusammenhang bleibt; alles Weitergehende erfordert eine neue Einwilligung.
Weitergabe an Dritte im Ausland: Es werden keine Nutzerdaten an Dritte zu deren eigenen Zwecken weitergegeben. Die Verarbeiter aus § 6.1 handeln weisungsgebunden; betroffene Länder sind das Vereinigte Königreich, die Schweiz und die Vereinigten Staaten, die Garantien stehen in § 7.
Öffentlich zugängliche Angaben (Art. 32): Name und Anschrift des Betreibers, die Verwendungszwecke, das Verfahren für Offenlegungsanfragen und die Beschwerdestelle stehen in dieser Erklärung und im Impressum. Vertreter: Marcel R. G. Berger.
Meldung von Verletzungen: für meldepflichtige Kategorien vorläufige Meldung an die Personal Information Protection Commission binnen etwa 3–5 Tagen, Abschlussmeldung binnen 30 Tagen (60 bei unbefugtem Zugriff).
Es werden keine Werbe-E-Mails versandt; das 特定電子メール法-Regime ist damit nicht berührt.

17.10 Korea (PIPA)

PIPA gilt für einen ausländischen Betreiber, der personenbezogene Informationen im Rahmen des Angebots von Leistungen an betroffene Personen in Korea verarbeitet; Snapshots ist daher erfasst.
Einzeln aufgeschlüsselte, getrennte Einwilligung: Wo Einwilligung die Grundlage ist, wird sie je Punkt getrennt eingeholt, Pflicht- und Wahlangaben werden unterschieden, und die Ablehnung einer Wahlangabe blockiert den Dienst nie.
Grenzüberschreitende Übermittlung: Empfänger, Zielländer, übermittelte Angaben und Zwecke stehen in §§ 6 und 7.
Unter 14 Jahren: Die Verarbeitung erfordert die Einwilligung des gesetzlichen Vertreters. Snapshots richtet sich nicht an Kinder; es gilt § 11.
Fristen: Auskunft, Berichtigung, Löschung und Aussetzung werden binnen 10 Tagen bearbeitet, andernfalls nennen wir Grund und Zeitplan. Diese Frist ist kürzer als der DSGVO-Monat und geht vor.
Verletzungen: Betroffene werden unverzüglich benachrichtigt; oberhalb der gesetzlichen Schwelle wird die Personal Information Protection Commission binnen 72 Stunden informiert.

17.11 Türkei (KVKK)

Das KVKK (Gesetz Nr. 6698) ähnelt der DSGVO im Aufbau, stützt sich aber stärker auf die ausdrückliche Einwilligung als allgemeine Grundlage; jede Verarbeitung wird gesondert am türkischen Recht gemessen.
Übermittlungen ins Ausland stützen sich auf die Garantien aus § 7 und, soweit erforderlich, auf Ihre ausdrückliche Einwilligung nach Offenlegung der Übermittlung.
Frist: 30 Tage. Beschwerde bei der Kişisel Verileri Koruma Kurumu ist nach vorheriger Anfrage bei uns möglich — binnen 30 Tagen nach unserer Antwort oder 60 Tagen nach Ihrer Anfrage.

17.12 Südafrika (POPIA)

POPIA § 3(1) gilt für einen in der Republik ansässigen Verantwortlichen oder für eine Verarbeitung mit dort belegenen Mitteln. Beides trifft nicht zu: Der Verantwortliche sitzt in Wyoming und verarbeitet auf Servern in London. Ein .co.za-Domainname ist ein Name, kein Verarbeitungsmittel — das Gesetz ist auf den vorliegenden Sachverhalt nicht anwendbar. Anfragen nach POPIA-Muster beantworten wir dennoch über dieselben Kanäle und in denselben Fristen wie überall sonst — als Serviceversprechen, nicht als Eingeständnis der Anwendbarkeit. Zwei Punkte, an denen POPIA von der DSGVO-Untergrenze abweicht, ausdrücklich benannt: Es behandelt jeden unter 18 als Kind, und § 22(1) verlangt eine Meldung ohne die Hochrisiko-Schwelle der DSGVO; unser Notfallplan folgt dem DSGVO-Maßstab. Die Information Regulator: JD House, 27 Stiemens Street, Braamfontein, Johannesburg, 2001, https://inforegulator.org.za.

17.13 Alle übrigen Länder

Überall, wo der App Store vertreibt und kein Abschnitt oben greift: Die DSGVO-Untergrenze dieser Erklärung ist Ihr Mindeststandard (§ 1.2), strengeres zwingendes örtliches Recht geht vor, und jede Anfrage läuft über data-protection@digitalfreedom.co.za oder https://data-protection.digitalfreedom.co.za.