Datenschutz im Silentap-Betatest
Fassung 2026-11-v1 · Vorbereiteter Hinweis für die freiwillige Nutzungsanalyse und den unabhängigen Feedbackbogen.
Wer ist verantwortlich?
Noch einzutragen: Vollständiger Name bzw. Firma und ladungsfähige Anschrift des Betreibers, Datenschutz-Kontakt, gegebenenfalls Datenschutzbeauftragter sowie die zuständige Datenschutzaufsichtsbehörde. Für Fragen und die Ausübung deiner Rechte muss hier vor Testbeginn eine funktionierende Kontaktmöglichkeit stehen. Eine E-Mail-Adresse wird von Spielern nicht verlangt.
Du entscheidest freiwillig
Du kannst Silentap vollständig spielen, ohne Nutzungsanalyse zu erlauben oder Feedback abzugeben. Es gibt keine vorausgewählte Einwilligung. Die beiden Entscheidungen sind unabhängig. Eine Ablehnung wird lokal respektiert; du kannst die Datenschutzeinstellungen im Spiel später ändern. Freiwillige Analyse beginnt erst nach deiner ausdrücklichen Einwilligung. Eine frühere Nutzung wird nicht nachträglich als Analyseereignis übertragen.
Der kurze Beta-Einstieg informiert nur über Spiel, Feedback und die Möglichkeit, die Webseite als App zu speichern. „Jetzt spielen“, das Ansehen der Modi oder eine Installationsanleitung erteilen keine Analyseeinwilligung. Für den Spieleinstieg legst du ein lokales Spielerprofil bewusst an oder wählst ein vorhandenes aus; es wird kein Gastprofil automatisch angelegt und kein echter Name verlangt. Vorhandene Profile werden nicht ersetzt oder an die Analyse übertragen.
Welche Daten erhält die Nutzungsanalyse?
Nach Einwilligung erzeugt dein Browser eine zufällige Testkennung und ein zugehöriges Geheimnis zur Berechtigungsprüfung. Übermittelt werden Testkohorte, Einwilligungsfassung und -zeitpunkt sowie begrenzte Ereignisse zu App-Nutzung, Spielsitzungen, Rundenbeginn und -ende, Spielmodus, Punktzahl, aktiver Dauer, Pause, Abbruch und technisch erkennbaren Fehlerkategorien. Fehlerkategorien sind fest vorgegeben; vollständige Fehlermeldungen, Stapelprotokolle, Dateiinhalte und Bildschirmaufnahmen werden nicht übertragen.
Die Testkennung ist pseudonym und nicht anonym. Sie verbindet ausschließlich die Ereignisse dieses Betatests. Sie wird nicht aus deinem Gerät abgeleitet. Keine Spieler- oder Profilnamen, vorhandenen Profile, Sicherungsdateien, E-Mail-Adressen, Touch-Bewegungsverläufe, Gerätefingerabdrücke oder präzisen Standortdaten werden für diesen Zweck erhoben. Die bisherigen lokalen Spielerprofile sind technisch unabhängig.
Welche Daten erhält der Feedbackbogen?
Die Teilnahme am Fragebogen ist unabhängig von der Analyse. Alle inhaltlichen Fragen sind freiwillig. Übermittelt werden nur ausgefüllte Antworten, die zufällige Antwortkennung, die Einwilligungsfassung und der serverseitige Eingang. Ein optionaler Einladungscode ordnet eine Antwort einer Testkohorte zu. Der aufgerufene Einladungscode wird für diesen Tab im Sitzungsspeicher gehalten, damit ein Neuladen den Fragebogen und einen ausdrücklich gespeicherten Entwurf nicht von der richtigen Testgruppe trennt. Er wird vor dem Laden externer Skripte aus der sichtbaren Adresse entfernt. Wenn du auf demselben Browser wirksam an der Analyse teilnimmst, kann die Antwort über deine Testkennung dem Testverlauf zugeordnet werden. Ohne Analyse wird keine solche Testkennung erzeugt.
Bei einem gemeinsamen QR-Zugang kann die serverseitig konfigurierte Kampagne die Testgruppen-Zuordnung übernehmen. Die Kampagnenkennung ist kein Analyse-Opt-in und keine individuelle Teilnehmerkennung. Antworten werden weiterhin erst nach deiner gesonderten freiwilligen Bestätigung übermittelt; ein Aufruf des Fragebogens zählt nicht als abgegebene Antwort.
Bitte gib in Freitexten keine Namen, Kontaktdaten, Angaben zu anderen Menschen oder vertraulichen Inhalte an. Der Betreiber kann Originaltexte lesen und anhand nachvollziehbarer Themenregeln oder manuell kategorisieren. Eine Rückmeldung beschreibt deine persönliche Wahrnehmung; sie wird nicht automatisch als nachgewiesener technischer Fehler gewertet. Es werden keine Texte an einen KI-Dienst geschickt.
Wofür werden die Daten verwendet?
Der Betreiber möchte verstehen, ob neue Spieler das Spiel verstehen, welche Modi sie spielen, wie lange sie spielen und an welchen Tagen sie zurückkehren. Das Feedback erfasst getrennt davon subjektive Eindrücke, Verbesserungswünsche, Weiterempfehlung und erklärte Kaufbereitschaft. Es gibt keine Werbeprofile, keine automatisierten Entscheidungen mit rechtlicher Wirkung und keinen Verkauf der Daten. Eine tatsächliche Zahlung erfolgt über diesen Betatest nicht.
Vorbereitet ist zunächst ein geschlossener Pilot mit 30–50 freiwilligen volljährigen Testpersonen und individuellen Einladungscodes. Minderjährige sollen für diesen Pilot nicht eingeladen werden; ein Code ist jedoch kein Altersnachweis. Vor Testbeginn noch zu ergänzen: Testländer, konkrete Testdauer, Rekrutierungsweg und verantwortlicher Kontakt. Der Pilot ist noch nicht für echte Teilnehmer freigegeben.
Zusätzlich wird ein gemeinsamer QR-Zugang für eine spätere breitere Testkampagne technisch vorbereitet. Ein Kampagnenlink ordnet den Zugang einer Testgruppe zu; er ist keine Einwilligung, keine Gerätekennung und kein Nachweis einer individuellen Person. Reiner Aufruf oder Ablehnung verbrauchen keinen Analyseplatz. Analyseaufnahmen und Feedbackantworten haben getrennte Kontingente und werden erst nach der jeweiligen bewussten Entscheidung angenommen. Zielgruppe, öffentliche Verteilung und Missbrauchsschutz sind vor Freigabe gesondert zu prüfen. Eine eigene Adresse wie beta.silentap.app ist damit noch nicht eingerichtet.
Wiederkehr wird nach einheitlichen UTC-Kalendertagen und serverseitig bestätigten Nutzungen ausgewertet. Mehrere Nutzungen am selben Tag zählen einmal. Offline oder verspätet eingegangene Ereignisse können nur eingeschränkt zeitlich ausgewertet werden. Ergebnisse werden ausschließlich aus wirklich vorhandenen Daten berechnet. Die Auswertung der einwilligenden Gruppe ist nicht ohne Weiteres auf alle Spieler übertragbar.
Rechtsgrundlagen und lokale Speicherung
Für die freiwillige personenbezogene Nutzungsanalyse und die Übermittlung personenbezogener Feedbackangaben ist eine Einwilligung gemäß Art. 6 Abs. 1 Buchst. a und Art. 7 DSGVO vorgesehen. Die erforderlichen Informationen richten sich nach Art. 13 DSGVO. Soweit Informationen im Endgerät gespeichert oder ausgelesen werden, ist zusätzlich § 25 TDDDG zu beachten: Für optionale Analysekennung und Entwürfe wird die Einwilligung eingeholt; die eng begrenzte Speicherung einer Ablehnung, deiner Datenschutzauswahl, eines ausstehenden Löschauftrags oder einer ausdrücklich gewünschten Funktion ist gesondert auf die Erforderlichkeitsausnahme des § 25 Abs. 2 Nr. 2 TDDDG zu prüfen.
Im Browser verbleiben deine Datenschutzauswahl, die Fassung und Zeit der Entscheidung, gegebenenfalls Testkennung und Geheimnis, eine begrenzte Warteschlange freigegebener Analyseereignisse sowie die Entscheidung über Feedback-Einladungen. Die Testkennung und ihr Geheimnis werden beim nächsten Onlinezugriff nach der vom Server mitgeteilten Aufbewahrungsfrist auch lokal entfernt; ohne verlässliche Serverzeit wird kein vorzeitiger Ablauf angenommen. Für die frühestens nach 15 vollständigen Tagen erscheinende Einladung wird zusätzlich lokal ein Testbeginn je Kohorte vorgemerkt. Ohne Analyse wird diese Vormerkung nicht als Nutzungsstatistik übertragen. „Später“ verschiebt die Einladung um mindestens drei Tage. „Nicht mehr fragen“ und eine bestätigte Abgabe verhindern weitere Einladungen für denselben Test.
Damit ein bewusst abgeschlossener Beta-Einstieg nicht bei jedem Start erneut erscheint, wird unter silentapBetaWelcomeV1 die aktuelle Kampagnenkennung, ersatzweise die Testgruppenkennung, mit einem festen technischen Versionspräfix lokal vorgemerkt. Dies geschieht erst nach ausdrücklich bestätigtem Spielen mit erfolgreich gespeichertem beziehungsweise bewusst gewähltem Profil. Das Ansehen der Modi, ein Feedbackaufruf, „Nein“, Zurückgehen oder eine abgebrochene Profilanlage setzen diese Merkhilfe nicht. Der einzelne Wert enthält keinen Zeitstempel, keine Besuchsliste und keine zufällige Nutzerkennung; eine neue Phase ersetzt den alten Wert. Er wird nicht als Analyseereignis übertragen. Ein automatischer Zeitablauf dieses Merkwerts ist nicht eingebaut. Die enge Erforderlichkeit, Dauer und gegebenenfalls Entfernung dieser Speicherung nach § 25 TDDDG sind vor einem echten öffentlichen Test ausdrücklich rechtlich zu bestätigen. Sie ist keine Analyseeinwilligung.
Beim Start über den Home-Bildschirm kann der ursprüngliche Einladungslink fehlen. Du kannst ihn dann ausdrücklich in der App übernehmen. Der dafür nötige Einladungscode wird getrennt von Spielprofilen auf diesem Gerät gespeichert, ebenso bei einer ausdrücklich begonnenen Analyse-Anmeldung. Das Übernehmen allein erteilt keine Analyseeinwilligung und erzeugt keine Teilnehmerkennung. Bei bestätigter Teilnehmerlöschung oder beim nächsten verlässlich zeitbestimmten Aufruf nach der mitgeteilten Aufbewahrungsfrist wird der gespeicherte Code entfernt. Die rechtliche Einordnung dieser für den gewünschten Zugang erforderlichen lokalen Speicherung ist vor einem echten Pilot gesondert zu bestätigen.
Ist eine gemeinsame QR-Kampagne serverseitig als Standard eingerichtet, kann die Home-App ihren Zugang auch ohne den ursprünglichen URL-Parameter abrufen. Die Installation selbst aktiviert keine Analyse. Safari und installierte Web-App können getrennte lokale Speicher verwenden; eine automatische Übernahme oder Zusammenführung deiner Analysekennung wird nicht versprochen. Bestehende Berechtigungsdaten im selben Speicher werden weiterverwendet. Eine neue freiwillige Aufnahme in einem getrennten Kontext kann als weitere pseudonyme Teilnahme erscheinen; es wird dafür kein Fingerprinting eingesetzt.
Antwortentwürfe bleiben standardmäßig nur im Arbeitsspeicher des geöffneten Tabs. Erst wenn du „Antwortentwurf auf diesem Gerät speichern“ auswählst, werden Antworten und die nötige Kennung für Wiederholungsversuche lokal gespeichert. Du kannst den Entwurf löschen oder die Auswahl zurücknehmen. Sobald eine Übermittlung versucht wurde, bleiben die zuerst gesendeten Angaben für Wiederholungsversuche unverändert: Bei verlorener Serverbestätigung darf nicht versehentlich eine geänderte oder doppelte Antwort entstehen. Bis zur Bestätigung kann nur genau diese Abgabe erneut versucht werden. Lokal gespeicherte Entwürfe werden nach 30 Tagen beim nächsten Öffnen verworfen. Der Löschbeleg kann freiwillig heruntergeladen und vom Gerät wieder entfernt werden. Auf einem gemeinsam verwendeten Gerät solltest du keinen Entwurf speichern.
Cloudflare, Übertragung und Missbrauchsschutz
Die Website wird über Cloudflare Pages ausgeliefert. Freigegebene Daten gehen verschlüsselt über HTTPS an Cloudflare Pages Functions und werden in einer Cloudflare-D1-Datenbank des Betreibers gespeichert. Der Verwaltungsbereich und sämtliche administrativen APIs müssen durch Cloudflare Access und serverseitige Prüfung abgesichert sein. Im öffentlichen Browsercode befinden sich keine Datenbank- oder Administratorschlüssel.
Eine Netzwerkverbindung übermittelt technisch eine IP-Adresse und HTTP-Verbindungsdaten an den Hostinganbieter. Die Anwendung speichert für den Betatest keine rohen IP-Adressen oder vollständigen Browserkennungen in D1. Unabhängige Cloudflare-Sicherheits- und Zugriffsprotokolle können dennoch existieren. Deren konkrete Nutzung, Fristen und Rechtsgrundlagen muss der Betreiber vor Aktivierung prüfen und ergänzen. Eine Löschung in der Betatest-Datenbank löscht nicht automatisch unabhängig geführte Anbieterprotokolle.
Zum Schutz vor automatisierten Abgaben kann Cloudflare Turnstile eingebunden werden. Gültige Einladungen und freigegebene Kampagnen begrenzen den Zugang; für eine öffentliche Kampagne kann der Betreiber zusätzlich eine erfolgreiche Turnstile-Prüfung verlangen. Ohne gültigen Einladungs- oder Kampagnenzugang ist eine erfolgreich geprüfte allgemeine Aufnahme nur bei entsprechender Serverkonfiguration möglich. Ein Challenge-Skript wird nur bei freigeschaltetem, tatsächlich konfiguriertem Schutz geladen. Dabei können IP-Adresse, Browser- und Interaktionssignale verarbeitet werden; die Anwendung speichert das Prüfungstoken nicht dauerhaft. Mehr Informationen bietet Cloudflares Datenschutzerklärung.
Rechtlich und betrieblich zu prüfen: Auftragsverarbeitungsvertrag nach Art. 28 DSGVO mit Cloudflare, genauer Vertragspartner und Unterauftragsverarbeiter, Speicher- und Verarbeitungsorte, bei Drittlandübermittlungen die einschlägigen Garantien nach Art. 44 ff. DSGVO sowie die für Turnstile und Cloudflare Access erforderlichen Hinweise und Rechtsgrundlagen. Eine garantierte ausschließliche Verarbeitung in Deutschland oder der EU wird hier nicht behauptet.
Die eingerichtete Silentap-Testvorschau verwendet eine D1-Datenbank mit technisch bestätigter EU-Jurisdiktion. Diese Beschränkung gilt für die Datenbank selbst. Daraus folgt keine Zusage, dass die Ausführung der Website, Anmeldung, Verbindungsprotokolle, Support und sämtliche weiteren Anbieterleistungen ausschließlich in der EU erfolgen. Der tatsächlich eingerichtete Umfang muss vor Testbeginn geprüft und hier konkretisiert werden.
Technisch verwendet die Testvorschau Cloudflare Pages, Pages Functions, D1, Access/Zero Trust für die Betreiberanmeldung und einen getrennten Workers-Dienst zur Fristlöschung. Turnstile ist für den derzeit vorgesehenen geschlossenen Einladungstest nicht eingerichtet; es wird dafür kein Challenge-Skript benötigt. Die vorstehende Beschreibung einer möglichen Turnstile-Nutzung betrifft eine spätere, gesondert zu prüfende Öffnung.
Wie lange bleiben die Daten gespeichert?
Als einstellbarer Ausgangspunkt ist eine Löschung 90 Tage nach Ende der jeweiligen Testkohorte vorgesehen. Der Betreiber muss ein Testende festlegen und die dokumentierte Bereinigung regelmäßig ausführen bzw. automatisieren. Eine kürzere Frist kann eingestellt werden. Es gibt keine stillschweigende unbegrenzte Aufbewahrung als beabsichtigten Betriebsmodus. Löschanforderungen werden unabhängig von dieser Frist bearbeitet. Exportierte CSV-Dateien und separate Sicherungen müssen vom Betreiber ebenfalls fristgerecht gelöscht und zugriffsgeschützt behandelt werden.
Nach Widerruf endet jede weitere freiwillige Analyse. Bereits rechtmäßig verarbeitete Daten werden dadurch nicht rückwirkend rechtswidrig. Du kannst zusätzlich ausdrücklich ihre Löschung verlangen. Minimale Nachweise von Einwilligung, Widerruf und Löschung dürfen nur in dem Umfang und für die Frist verbleiben, die für den jeweiligen Zweck rechtlich erforderlich sind; die konkrete Nachweis- und Backupfrist ist vor Testbeginn festzulegen.
Eine Löschung in der aktiven Datenbank entfernt nicht automatisch sämtliche Wiederherstellungsstände des Anbieters. Die tatsächliche D1-Time-Travel-/Backupfrist, der gesperrte Umgang mit Sicherungen sowie die erneute Umsetzung bereits fälliger Löschungen nach einer Wiederherstellung sind vor Testbeginn verbindlich festzulegen und hier zu ergänzen. Die tägliche Bereinigung und ihr Umgang mit Ausfällen müssen tatsächlich überwacht werden.
Widerruf und Löschung ohne Spielernamen
Im Spiel kannst du die Nutzungsanalyse widerrufen. Die lokale Ereignisübertragung stoppt sofort und vorgemerkte Analyseereignisse werden verworfen. Ein Widerrufs- oder Löschauftrag bei fehlender Verbindung muss beim nächsten Onlinezugriff bestätigt werden; ohne Serverbestätigung wird keine abgeschlossene Löschung behauptet. Lass den Browserdatensatz bis zur Bestätigung bestehen oder bewahre deine Berechtigungsdaten sicher auf.
Kommt die Antwort einer inzwischen abgebrochenen Teilnahme verspätet an, wird diese Teilnahme nicht nachträglich aktiviert. Die Anwendung merkt stattdessen deren Kennung und Löschgeheimnis getrennt als ausstehenden Bereinigungsauftrag auf diesem Gerät vor. Bei Verbindung wird ausschließlich die Löschung wiederholt; nach bestätigter Löschung werden diese lokalen Zugangsdaten entfernt. Eine neuere Teilnahme wird dadurch nicht überschrieben.
Über die Löschfunktion im Spiel lassen sich der Testkennung zugeordnete Daten löschen. Einzelnes Feedback kann auf der Feedbackseite mit dem Löschbeleg gelöscht werden. Der Beleg enthält eine zufällige Antwortkennung und ein Geheimnis; teile ihn nicht öffentlich. Er wird nur zur Berechtigungsprüfung verwendet und ersetzt deinen Namen. Werden sämtliche lokalen Berechtigungsdaten und Belege gelöscht, kann der Betreiber eine Antwort möglicherweise nicht mehr sicher dir zuordnen. Ein beliebiger Spielername ist kein geeigneter Ersatznachweis.
Damit bereits unterwegs befindliche Übertragungen einen gelöschten Datensatz nicht unmittelbar erneut anlegen, bleibt ein gesonderter kryptografischer Löschschutzwert für 24 Stunden wirksam. Er wird aus Kennung und Geheimnis abgeleitet und enthält weder die ursprüngliche Kennung noch Antworten oder Nutzungsereignisse. Dieser begrenzte Zuordnungsnachweis wird vorsorglich weiterhin als pseudonym behandelt. Abgelaufene Werte entfernt der tägliche Wartungslauf, im regulären Betrieb spätestens innerhalb weiterer 24 Stunden. Die Erforderlichkeit, Rechtsgrundlage und Frist dieses Löschschutzes sind vor Testfreigabe ausdrücklich rechtlich zu bestätigen; er wird nicht für Nutzungsanalysen verwendet.
Deine Rechte
Nach Maßgabe der DSGVO hast du insbesondere Rechte auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerruf deiner Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3). Soweit eine Verarbeitung auf berechtigte Interessen gestützt wird, kann ein Widerspruchsrecht nach Art. 21 bestehen. Du kannst dich bei einer Datenschutzaufsichtsbehörde beschweren (Art. 77). Für Auskunft und ähnliche Anfragen ist die oben noch einzutragende Kontaktmöglichkeit zu nutzen. Der Betreiber darf einen angemessenen Nachweis der Zuordnung verlangen, aber nicht unnötig weitere personenbezogene Daten erheben.
Vor Testbeginn verbindlich zu klären
Eine ergänzende Prüfliste für den Betreiber und spezialisierte Rechtsberatung ist vorbereitet. Offen sind insbesondere die konkreten Betreiberangaben, Dienstleisterverträge, internationale Datenflüsse, Minderjährigenschutz, lokale Speicherung, Anbieterprotokolle und Sicherungsfristen. Eine technische Einrichtung stellt keine rechtliche Freigabe dar.
Der Betreiber muss die fehlenden Kontakt- und Verantwortlichenangaben ergänzen, die Zielgruppe und gegebenenfalls Anforderungen an Einwilligungen Minderjähriger prüfen, Dienstleisterverträge und Drittlandgarantien bewerten, die konkreten Anbieterprotokoll- und Sicherungsfristen festlegen sowie das Löschverfahren und die Datenschutzhinweise rechtlich prüfen lassen. Erst danach dürfen die serverseitigen Schalter nach Freigabe aktiviert werden.