1. Verantwortlicher
Martin Pfeffer
celox.io — IT-Dienstleistungen
Flughafenstraße 24, 12053 Berlin
E-Mail: martin.pfeffer@celox.io
Telefon: +49 151 590 824 65
2. Übersicht der Verarbeitungen
Ohne Anmeldung erhebt diese Anwendung keine personenbezogenen Daten. Es werden keine Cookies gesetzt, kein Tracking durchgeführt, keine Drittanbieter eingebunden.
Mit Anmeldung über Google werden die in Abschnitt 4 beschriebenen Daten verarbeitet, um den Spielstand pro Nutzer zu speichern und beim erneuten Login wiederherzustellen.
3. Hosting & Server-Logs
Die Anwendung wird auf einem virtuellen Server (VPS, Standort Deutschland) gehostet. Beim Aufruf jeder Seite werden in den Server-Logs folgende Daten automatisch erfasst:
- IP-Adresse (gekürzt nach 24 Stunden)
- Datum und Uhrzeit der Anfrage
- Aufgerufene URL und Statuscode
- Browsertyp und Betriebssystem (User-Agent)
- Referrer-URL (falls vom Browser übermittelt)
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem stabilen, sicheren Betrieb). Speicherdauer: 14 Tage, danach automatische Löschung.
4. Google-Login (OAuth 2.0)
Die Anmeldung erfolgt über den OAuth-2.0-Authorization-Code-Flow bei Google. Sie werden zu Google weitergeleitet und entscheiden dort, welche Daten Sie an diese Anwendung freigeben.
Nach erfolgreicher Anmeldung speichern wir die folgenden, von Google bereitgestellten Informationen in unserer Datenbank:
- Google-Subject-ID (eindeutiger anonymer Identifier)
- E-Mail-Adresse
- Anzeigename (sofern bereitgestellt)
- URL des Profilbilds (sofern bereitgestellt)
- Zeitstempel der Erst- und Letzt-Anmeldung
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Durchführung des Spielbetriebs einschließlich der Spielstand-Speicherung) sowie Ihre Einwilligung gemäß Art. 6 Abs. 1 lit. a DSGVO.
Drittland-Übermittlung: Während des Login-Prozesses werden Daten an Google LLC (USA) übermittelt. Google legt offen, dass dabei eine Verarbeitung in den USA stattfindet. Es bestehen Standardvertragsklauseln gemäß Art. 46 DSGVO. Weitere Informationen: policies.google.com/privacy.
5. Session-Cookie
Nach erfolgreicher Anmeldung setzen wir ein einziges, technisch erforderliches Cookie:
- Name:
xword_session - Inhalt: HMAC-signiertes Token mit Ihrer User-ID und Ablaufzeit
- Eigenschaften: HttpOnly, Secure, SameSite=Lax
- Lebensdauer: 30 Tage
Das Cookie enthält keine Tracking-Informationen und wird nicht an Dritte weitergegeben. Rechtsgrundlage: § 25 Abs. 2 Nr. 2 TDDDG (für die Erbringung des Dienstes unbedingt erforderlich).
Zusätzlich wird während des Login-Vorgangs ein kurzlebiger xword_oauth_state-Cookie zur Absicherung gegen CSRF gesetzt; dieser wird nach Abschluss des Logins gelöscht.
6. Spielstand-Daten
Pro Nutzer und Rätsel speichern wir:
- Aktuell eingegebene Buchstaben (Grid-State)
- Genutzte Hinweis-Felder
- Anzahl der angefragten Hinweise
- Verstrichene Spielzeit (in Millisekunden)
- Lösungsstatus (gelöst / nicht gelöst) und Lösungszeitpunkt
- Spielmodi-Einstellungen (Hardcore- und Live-Validierungs-Status)
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Speicherdauer: bis zur Löschung Ihres Kontos oder bis Sie die Spielstände in den Einstellungen selbst zurücksetzen.
7. Auftragsverarbeitung / Empfänger
Wir setzen außer Google (Login) keine externen Dienstleister ein. Es findet kein Werbe-Tracking, keine Profilbildung und keine Weitergabe an Dritte statt.
8. Ihre Rechte
Sie haben jederzeit das Recht auf:
- Auskunft über Ihre gespeicherten Daten (Art. 15 DSGVO)
- Berichtigung unrichtiger Daten (Art. 16 DSGVO)
- Löschung Ihrer Daten (Art. 17 DSGVO)
- Einschränkung der Verarbeitung (Art. 18 DSGVO)
- Datenübertragbarkeit (Art. 20 DSGVO)
- Widerspruch gegen die Verarbeitung (Art. 21 DSGVO)
- Beschwerde bei einer Aufsichtsbehörde (Art. 77 DSGVO)
Sie können Ihre Spielstände und Ihr Konto jederzeit selbst in den Einstellungen (Klick auf Ihren Avatar → „Einstellungen") unwiderruflich löschen. Bei einem Konto-Lösch-Vorgang werden sowohl der User-Datensatz als auch alle zugehörigen Spielstände aus der Datenbank entfernt.
Zuständige Aufsichtsbehörde: Berliner Beauftragte für Datenschutz und Informationsfreiheit, Friedrichstr. 219, 10969 Berlin.
9. SSL/TLS-Verschlüsselung
Diese Anwendung nutzt durchgehend HTTPS (TLS 1.3) mit Zertifikaten von Let's Encrypt. Sie erkennen die verschlüsselte Verbindung am Schloss-Symbol in Ihrer Browserzeile.
10. Stand
Diese Datenschutzerklärung wurde zuletzt aktualisiert: 2026-05-15.