1. Controller and contact
Controller within the meaning of Art. 4(7) GDPR:
Elias Schiegl, MLS
Independent IT consultant (sole trader)
Sonnenstraße 15/3/14, 3550 Langenlois, Austria
A data protection officer has not been appointed, as the statutory conditions of Art. 37 GDPR are not met. Please direct all privacy matters to the contact details above.
2. Visiting the website
Every request to our server is logged automatically. This is technically unavoidable and serves the security and stability of the service.
| Data | Purpose | Legal basis | Stored for |
|---|---|---|---|
| IP address | Delivery of the page, defence against attacks and abuse | Art. 6(1)(f) — legitimate interest in a secure service | 7 days |
| Date and time, requested URL, status code, referrer | Error analysis, security | Art. 6(1)(f) | 7 days |
| Browser and operating system | Compatibility, error analysis | Art. 6(1)(f) | 7 days |
Cookies and local storage
We use only cookies that are strictly necessary for the service you requested. No consent banner is required for these under § 165 para. 3 TKG 2021.
| Name / type | Purpose | Lifetime |
|---|---|---|
| Session cookie (PHP session) | Keeps you logged in while you use the site | Until logout or browser close |
| Remember token | Optional "stay signed in" — only set if you choose it | Up to 30 days, or until logout |
| Session storage | Holds your display name and plan while the tab is open | Until the tab is closed |
We do not use tracking cookies, advertising pixels, social plugins or third-party analytics. Should analytics be introduced in the future, it will not run before you have given consent.
Web fonts
This website loads the typefaces "Playfair Display", "DM Sans" and "DM Mono" from Google Fonts (Google Ireland Limited). Your IP address is transmitted to Google in the process. Legal basis: Art. 6(1)(f) — legitimate interest in a consistent presentation. If you prefer to avoid this, the fonts can be self-hosted on request.
3. Account and login
An account is required for everything beyond the public pages. The following data is processed for that purpose.
| Data | Purpose | Legal basis |
|---|---|---|
| First and last name | Identification, personal address, invoicing | Art. 6(1)(b) — performance of the contract |
| Username | Display inside the software and, if you allow it, in the world ranking | Art. 6(1)(b) |
| E-mail address | Login, verification, transactional messages | Art. 6(1)(b) |
| Password (stored only as a salted hash) | Account security | Art. 6(1)(b) |
| Date of birth | Verification of the minimum age of 18 | Art. 6(1)(c) — legal obligation; Art. 6(1)(f) |
| Profile picture (optional) | Display inside the software and in your public profile | Art. 6(1)(a) — consent, by uploading it |
| Last login, last activity, device description | Session management, detection of unauthorised access | Art. 6(1)(f) |
| Plan, plan status and period end | Provision of the booked functions | Art. 6(1)(b) |
Providing this data is not required by statute, but it is necessary to conclude and perform the contract. Without it, an account cannot be created.
Name, username, profile picture and your privacy settings can be changed at any time in My Account. You can delete your account there as well.
4. Tournament and player data
When you run a tournament in Database Mode, we store what is needed to run and reconstruct it: tournament settings and blind structure, participants, buy-ins, rebuys, add-ons, eliminations, final positions and prize amounts, plus the resulting rating changes.
Legal basis: Art. 6(1)(b) GDPR, since this is the very service you booked.
You can add players who do not have an EPTS account. In that case you are the controller for that data and we act as your processor under Art. 28 GDPR. You must have a legal basis for entering it, and you must inform those players. Please do not enter more than a name. Never enter health data, criminal convictions or other special categories of data.
A data processing agreement pursuant to Art. 28 GDPR is available on request at no cost.
5. World ranking and public profile
The world ranking at worldranking.php is a publicly accessible page. It can be viewed without an account and is visible to search engines.
What is published
For players who have switched their statistics to public: username, profile picture, Elo rating, number of rated tournaments, in-the-money rate and rating movement over the last 30 days. Your real name, e-mail address, date of birth and all contract data are never published.
Legal basis
Art. 6(1)(a) GDPR — your consent, given by activating the "share statistics" setting. Publication only takes place while that setting is active.
You can switch the setting off at any time in My Account, with effect for the future. Your entry then disappears from the ranking. Content already indexed or cached by third parties (search engines, archives) is outside our control; we will support you with removal requests where we can.
No decision producing legal effects is taken automatically on the basis of the ranking. The Elo value is a purely descriptive figure and does not constitute profiling within the meaning of Art. 22 GDPR.
6. Friends and social features
You can send friend requests to other users and accept or decline requests. We store the two accounts involved, the status of the connection and the time it was created. The recipient sees your username, your name and your profile picture.
Legal basis: Art. 6(1)(b) GDPR for the function itself; Art. 6(1)(f) GDPR for the legitimate interest of both sides in a working request mechanism. Connections can be removed at any time; the record is then deleted.
7. Contact form and e-mail
If you write to us through the contact form or by e-mail, we process your name, your e-mail address and the content of your message in order to answer it.
Legal basis: Art. 6(1)(b) GDPR where the enquiry concerns a contract or its initiation, otherwise Art. 6(1)(f) GDPR — our legitimate interest in answering enquiries addressed to us.
The form is protected by a simple arithmetic captcha. No third-party captcha service is used, so no data leaves our server for that purpose.
8. Subscriptions and payments
Paid plans are processed through Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Dublin, Ireland.
Card details are entered on Stripe's infrastructure and are never stored on our servers. We receive and store only the Stripe customer and subscription identifier, the current period end, and the last four digits and expiry date of the card so that you can recognise your own payment method.
Legal basis: Art. 6(1)(b) GDPR (performance of the contract) and Art. 6(1)(c) GDPR for the retention of invoices under tax law.
Stripe's own privacy information: stripe.com/privacy.
9. Processors and recipients
Your data is not sold, and it is not passed to advertising networks, social networks or data brokers. It is disclosed only to the following recipients, each bound by a data processing agreement under Art. 28 GDPR:
| Recipient | Role | Location |
|---|---|---|
| STRATO GmbH | Hosting and server operation | Germany / EU |
| Brevo SAS | Transactional e-mail (verification, password reset, notifications) | France / EU |
| Stripe Payments Europe, Ltd. | Payment processing for paid plans | Ireland / EU |
| Google Ireland Limited | Delivery of web fonts | Ireland / EU |
Beyond that, data is disclosed only where we are legally obliged to do so — for example to courts, tax authorities or law enforcement — or where it is necessary to establish, exercise or defend legal claims.
10. Transfers outside the EEA
Our servers and databases are located within the European Union. Some of the processors named above are part of groups with entities in third countries, in particular the United States, and may transfer data there for support and infrastructure purposes.
Such transfers are safeguarded by the European Commission's Standard Contractual Clauses pursuant to Art. 46(2)(c) GDPR and, where the recipient is certified, by the EU–US Data Privacy Framework pursuant to Art. 45 GDPR. A copy of the safeguards can be requested from us.
11. Retention periods
| Data | Kept until |
|---|---|
| Account data | Deletion of the account, then removed within 30 days |
| Tournament and rating data | Deletion of the account; on request earlier, unless the tournament also documents other participants |
| Entry in the world ranking | Immediately upon switching the setting off |
| Server logs including IP address | 7 days |
| Contact enquiries | Until the matter is settled, then up to 6 months for follow-up questions |
| Invoices and accounting records | 7 years (§ 132 Federal Fiscal Code) |
| Data needed to defend legal claims | Until the limitation period expires, generally 3 years |
Where a statutory retention obligation prevents deletion, processing is restricted instead: the data is blocked and used only for the purpose that requires its retention.
12. Security measures
- All traffic is encrypted in transit via TLS (HTTPS).
- Passwords are stored only as salted hashes and are never readable, not even by the operator.
- Database access is restricted to the application and to the operator personally.
- Encrypted backups are taken daily and stored separately.
- Server-side firewall and protection against automated attacks.
- Personal data is separated from public ranking data at query level, so that only the fields marked as public can leave the database.
No system is completely secure. Should a breach occur that is likely to result in a high risk to your rights, we will notify you without undue delay in accordance with Art. 34 GDPR, and the supervisory authority within 72 hours under Art. 33 GDPR.
13. Your rights
You have the right to:
- Access (Art. 15) — a copy of the data we hold about you and information on how it is processed.
- Rectification (Art. 16) — correction of inaccurate or incomplete data.
- Erasure (Art. 17) — deletion, unless a retention obligation applies.
- Restriction (Art. 18) — blocking of processing while a matter is being clarified.
- Data portability (Art. 20) — your data in a structured, machine-readable format.
- Objection (Art. 21) — against processing based on legitimate interest, for reasons arising from your particular situation.
- Withdrawal of consent (Art. 7(3)) — at any time, with effect for the future. The lawfulness of processing carried out before withdrawal is unaffected.
Requests are answered without undue delay and at the latest within one month (Art. 12(3) GDPR). Write to elias.schiegl@gmail.com. We may ask you to confirm your identity before disclosing data.
Austrian Data Protection Authority
Barichgasse 40–42, 1030 Vienna, Austria
Phone: +43 1 52 152-0 · dsb@dsb.gv.at · www.dsb.gv.at
14. Deleting your account
You can delete your account yourself at any time, without asking us and without giving a reason. The option is in My Account under “Delete account”.
How it works
- You confirm that you understand the consequences.
- We send a six-digit code to your e-mail address. It is valid for 15 minutes. This step exists so that nobody can delete your account from a device you left unlocked.
- Once the code is entered, the account is scheduled for deletion — not removed. It stays fully usable for 30 days.
- You can stop the process with one click at any point during those 30 days.
- After 30 days the deletion runs automatically and cannot be reversed.
What is deleted
- Your account: name, username, e-mail address, date of birth, profile picture, password
- Your Elo rating and its full history
- Your achievements and your entry in the world ranking
- Your friendships, tags and favourites
- Your activity feed entries and your own blind structures
What is kept, and why
Tournaments you took part in remain on record, but your entry is detached from your account — it becomes an anonymous entry with no name attached. The reason is that a tournament is not only your data: it also documents the results of everyone else at that table. Deleting it would erase their history along with yours.
Invoices and accounting records for paid plans are kept for seven years (§ 132 Federal Fiscal Code). We cannot delete them earlier, but they are only used for that purpose — processing is restricted in accordance with Art. 18 GDPR.
Beyond that we keep one record per deletion: your former user number, a one-way hash of your e-mail address and the date. That is what lets us confirm later that a deletion actually took place, without keeping the address itself. It is not usable to identify you.
Running subscription
If a paid plan is active when you schedule the deletion, it is cancelled at the end of the period you have already paid for. No further payment is taken. Stopping the deletion does not restart the subscription — you can do that yourself in the billing portal.
After the 30 days there is no way to restore the account, not even for us. Backups are overwritten on a rolling basis and are not searched for individual accounts.
If you prefer not to use the self-service option, write to elias.schiegl@gmail.com. We will handle it manually and confirm once it is done.
15. Minors
The service is directed exclusively at persons aged 18 and over. We do not knowingly process data of minors. Registration requires a date of birth, and accounts that do not meet the age requirement are rejected.
If you become aware that a minor has created an account, please tell us. The account and all associated data will be deleted without delay.
16. Providing your data and automated decisions
Is providing the data required? (Art. 13(2)(e) GDPR)
Providing your first and last name, e-mail address, password and date of birth is not required by statute, but it is necessary to conclude and perform the contract. Without that data we cannot create an account or perform the contract, and no contract can come about. The date of birth is additionally needed to verify the minimum age of 18.
Everything else is voluntary — in particular the profile picture, the username shown in the public ranking, friend connections and the content of contact enquiries. Not providing them has no consequence beyond the corresponding function being unavailable.
| Data | Required? | If you do not provide it |
|---|---|---|
| First and last name, e-mail address, password | Necessary for the contract | No account, no contract |
| Date of birth | Necessary for the contract and the age check | No account |
| Payment data (via Stripe) | Necessary for paid plans only | Use limited to the free Starter plan |
| Profile picture, public statistics, friends | Voluntary | That function is not available |
Automated decision-making and profiling (Art. 13(2)(f), Art. 22 GDPR)
No automated decision-making, including profiling, takes place that produces legal effects concerning you or similarly significantly affects you.
The Elo rating, achievements, ranking position and statistics are calculated automatically, but they serve solely to present sporting results inside the software. They have no legal effect, they do not assess you as a person, your creditworthiness or your conduct outside the game, and they are not passed to third parties for assessment purposes.
17. Changes to this policy
We update this policy when the service or the legal framework changes. The version published here at the time of your visit applies. If a change materially affects processing that is based on your consent, we will obtain your consent again.
Version: August 2026
See also: Terms and Conditions · Legal Notice
1. Verantwortlicher und Kontakt
Verantwortlicher im Sinne des Art. 4 Z 7 DSGVO:
Elias Schiegl, MLS
Selbstständiger IT-Dienstleister (Einzelunternehmer)
Sonnenstraße 15/3/14, 3550 Langenlois, Österreich
Ein Datenschutzbeauftragter wurde nicht bestellt, da die Voraussetzungen des Art. 37 DSGVO nicht vorliegen. Bitte richten Sie alle datenschutzrechtlichen Anliegen an die oben genannten Kontaktdaten.
2. Besuch der Website
Jede Anfrage an unseren Server wird automatisch protokolliert. Das ist technisch unvermeidbar und dient der Sicherheit und Stabilität des Dienstes.
| Daten | Zweck | Rechtsgrundlage | Speicherdauer |
|---|---|---|---|
| IP-Adresse | Auslieferung der Seite, Abwehr von Angriffen und Missbrauch | Art. 6 Abs. 1 lit. f — berechtigtes Interesse an einem sicheren Dienst | 7 Tage |
| Datum und Uhrzeit, aufgerufene URL, Statuscode, Referrer | Fehleranalyse, Sicherheit | Art. 6 Abs. 1 lit. f | 7 Tage |
| Browser und Betriebssystem | Kompatibilität, Fehleranalyse | Art. 6 Abs. 1 lit. f | 7 Tage |
Cookies und lokaler Speicher
Wir setzen ausschließlich Cookies ein, die für den von Ihnen angeforderten Dienst unbedingt erforderlich sind. Für diese ist nach § 165 Abs. 3 TKG 2021 keine Einwilligung erforderlich.
| Name / Art | Zweck | Lebensdauer |
|---|---|---|
| Session-Cookie (PHP-Session) | Hält Sie während der Nutzung angemeldet | Bis zur Abmeldung oder zum Schließen des Browsers |
| Remember-Token | Optionales „angemeldet bleiben“ — wird nur gesetzt, wenn Sie es wählen | Bis zu 30 Tage oder bis zur Abmeldung |
| Session Storage | Speichert Anzeigenamen und Tarif, solange der Tab geöffnet ist | Bis zum Schließen des Tabs |
| Local Storage („epts-legal-lang“) | Merkt sich die gewählte Sprache dieser Rechtstexte | Bis zum Löschen durch Sie |
Wir verwenden keine Tracking-Cookies, keine Werbepixel, keine Social Plugins und keine Analysedienste Dritter. Sollte künftig eine Analysefunktion eingeführt werden, läuft sie nicht vor Ihrer Einwilligung.
Webschriften
Diese Website lädt die Schriften „Playfair Display“, „DM Sans“ und „DM Mono“ von Google Fonts (Google Ireland Limited). Dabei wird Ihre IP-Adresse an Google übermittelt. Rechtsgrundlage: Art. 6 Abs. 1 lit. f — berechtigtes Interesse an einer einheitlichen Darstellung. Auf Wunsch können die Schriften lokal ausgeliefert werden.
3. Konto und Anmeldung
Für alles über die öffentlichen Seiten hinaus ist ein Konto erforderlich. Dafür werden die folgenden Daten verarbeitet.
| Daten | Zweck | Rechtsgrundlage |
|---|---|---|
| Vor- und Nachname | Identifikation, persönliche Ansprache, Rechnungslegung | Art. 6 Abs. 1 lit. b — Vertragserfüllung |
| Benutzername | Anzeige in der Software und, wenn Sie es erlauben, in der Weltrangliste | Art. 6 Abs. 1 lit. b |
| E-Mail-Adresse | Anmeldung, Verifizierung, transaktionale Nachrichten | Art. 6 Abs. 1 lit. b |
| Passwort (nur als gesalzener Hash gespeichert) | Kontosicherheit | Art. 6 Abs. 1 lit. b |
| Geburtsdatum | Überprüfung des Mindestalters von 18 Jahren | Art. 6 Abs. 1 lit. c — rechtliche Verpflichtung; Art. 6 Abs. 1 lit. f |
| Profilbild (optional) | Anzeige in der Software und im öffentlichen Profil | Art. 6 Abs. 1 lit. a — Einwilligung durch den Upload |
| Letzte Anmeldung, letzte Aktivität, Gerätebeschreibung | Sitzungsverwaltung, Erkennung unbefugter Zugriffe | Art. 6 Abs. 1 lit. f |
| Tarif, Tarifstatus und Periodenende | Bereitstellung der gebuchten Funktionen | Art. 6 Abs. 1 lit. b |
Die Bereitstellung dieser Daten ist gesetzlich nicht vorgeschrieben, für den Abschluss und die Erfüllung des Vertrages jedoch erforderlich. Ohne diese Daten kann kein Konto angelegt werden.
Name, Benutzername, Profilbild und Ihre Privatsphäre-Einstellungen können Sie jederzeit unter My Account ändern. Dort können Sie Ihr Konto auch löschen.
4. Turnier- und Spielerdaten
Wenn Sie ein Turnier im Datenbankmodus durchführen, speichern wir, was zur Durchführung und Nachvollziehbarkeit nötig ist: Turniereinstellungen und Blindstruktur, Teilnehmer, Buy-ins, Rebuys, Add-ons, Ausscheiden, Endplatzierungen und Preisgelder sowie die daraus resultierenden Wertungsänderungen.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, da genau das die von Ihnen gebuchte Leistung ist.
Sie können Spieler hinzufügen, die kein EPTS-Konto haben. In diesem Fall sind Sie für diese Daten verantwortlich und wir werden als Ihr Auftragsverarbeiter nach Art. 28 DSGVO tätig. Sie benötigen dafür eine Rechtsgrundlage und müssen die betroffenen Spieler informieren. Bitte geben Sie nicht mehr als einen Namen ein. Geben Sie niemals Gesundheitsdaten, strafrechtliche Informationen oder andere besondere Kategorien personenbezogener Daten ein.
Ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO wird auf Anfrage kostenlos zur Verfügung gestellt.
5. Weltrangliste und öffentliches Profil
Die Weltrangliste unter worldranking.php ist eine öffentlich zugängliche Seite. Sie kann ohne Konto aufgerufen werden und ist für Suchmaschinen sichtbar.
Was veröffentlicht wird
Für Spieler, die ihre Statistik auf öffentlich gestellt haben: Benutzername, Profilbild, Elo-Wertung, Anzahl gewerteter Turniere, ITM-Quote und Wertungsentwicklung der letzten 30 Tage. Ihr Klarname, Ihre E-Mail-Adresse, Ihr Geburtsdatum und sämtliche Vertragsdaten werden niemals veröffentlicht.
Rechtsgrundlage
Art. 6 Abs. 1 lit. a DSGVO — Ihre Einwilligung, erteilt durch Aktivieren der Einstellung „Statistik teilen“. Eine Veröffentlichung erfolgt nur, solange diese Einstellung aktiv ist.
Sie können die Einstellung jederzeit unter My Account mit Wirkung für die Zukunft deaktivieren. Ihr Eintrag verschwindet dann aus der Rangliste. Auf Inhalte, die Dritte bereits indexiert oder zwischengespeichert haben (Suchmaschinen, Archive), haben wir keinen Einfluss; bei Löschanfragen unterstützen wir Sie, soweit uns das möglich ist.
Auf Basis der Rangliste wird keine automatisierte Entscheidung mit Rechtswirkung getroffen. Der Elo-Wert ist eine rein beschreibende Kennzahl und stellt kein Profiling im Sinne des Art. 22 DSGVO dar.
6. Freunde und soziale Funktionen
Sie können anderen Nutzern Freundschaftsanfragen senden und Anfragen annehmen oder ablehnen. Wir speichern die beiden beteiligten Konten, den Status der Verbindung und den Zeitpunkt der Erstellung. Der Empfänger sieht Ihren Benutzernamen, Ihren Namen und Ihr Profilbild.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO für die Funktion selbst; Art. 6 Abs. 1 lit. f DSGVO für das berechtigte Interesse beider Seiten an einem funktionierenden Anfragemechanismus. Verbindungen können jederzeit entfernt werden; der Eintrag wird dann gelöscht.
7. Kontaktformular und E-Mail
Wenn Sie uns über das Kontaktformular oder per E-Mail schreiben, verarbeiten wir Ihren Namen, Ihre E-Mail-Adresse und den Inhalt Ihrer Nachricht, um sie zu beantworten.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, wenn die Anfrage einen Vertrag oder dessen Anbahnung betrifft, sonst Art. 6 Abs. 1 lit. f DSGVO — unser berechtigtes Interesse an der Beantwortung an uns gerichteter Anfragen.
Das Formular ist durch ein einfaches Rechen-Captcha geschützt. Ein Captcha-Dienst Dritter wird nicht eingesetzt, es verlassen dafür also keine Daten unseren Server.
8. Abonnements und Zahlungen
Kostenpflichtige Tarife werden über Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Dublin, Irland, abgewickelt.
Kartendaten werden auf der Infrastruktur von Stripe eingegeben und niemals auf unseren Servern gespeichert. Wir erhalten und speichern nur die Stripe-Kunden- und Abonnement-Kennung, das aktuelle Periodenende sowie die letzten vier Stellen und das Ablaufdatum der Karte, damit Sie Ihr Zahlungsmittel wiedererkennen.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) und Art. 6 Abs. 1 lit. c DSGVO für die steuerrechtliche Aufbewahrung von Rechnungen.
Datenschutzinformationen von Stripe: stripe.com/privacy.
9. Auftragsverarbeiter und Empfänger
Ihre Daten werden nicht verkauft und nicht an Werbenetzwerke, soziale Netzwerke oder Datenhändler weitergegeben. Eine Offenlegung erfolgt ausschließlich an die folgenden Empfänger, die jeweils durch einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO gebunden sind:
| Empfänger | Rolle | Ort |
|---|---|---|
| STRATO GmbH | Hosting und Serverbetrieb | Deutschland / EU |
| Brevo SAS | Transaktions-E-Mails (Verifizierung, Passwort-Zurücksetzung, Benachrichtigungen) | Frankreich / EU |
| Stripe Payments Europe, Ltd. | Zahlungsabwicklung für kostenpflichtige Tarife | Irland / EU |
| Google Ireland Limited | Auslieferung der Webschriften | Irland / EU |
Darüber hinaus werden Daten nur offengelegt, soweit wir gesetzlich dazu verpflichtet sind — etwa gegenüber Gerichten, Abgabenbehörden oder Strafverfolgungsbehörden — oder soweit dies zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich ist.
10. Übermittlung in Drittländer
Unsere Server und Datenbanken befinden sich innerhalb der Europäischen Union. Einzelne der oben genannten Auftragsverarbeiter gehören Konzernen mit Gesellschaften in Drittländern an, insbesondere in den Vereinigten Staaten, und können Daten zu Support- und Infrastrukturzwecken dorthin übermitteln.
Solche Übermittlungen sind durch die Standardvertragsklauseln der Europäischen Kommission gemäß Art. 46 Abs. 2 lit. c DSGVO abgesichert und, soweit der Empfänger zertifiziert ist, zusätzlich durch das EU-US Data Privacy Framework gemäß Art. 45 DSGVO. Eine Kopie der Garantien kann bei uns angefordert werden.
11. Speicherdauer
| Daten | Gespeichert bis |
|---|---|
| Kontodaten | Löschung des Kontos, danach Entfernung binnen 30 Tagen |
| Turnier- und Wertungsdaten | Löschung des Kontos; auf Wunsch früher, sofern das Turnier nicht auch andere Teilnehmer dokumentiert |
| Eintrag in der Weltrangliste | Sofort mit Deaktivieren der Einstellung |
| Serverprotokolle inklusive IP-Adresse | 7 Tage |
| Kontaktanfragen | Bis zur Erledigung, danach bis zu 6 Monate für Rückfragen |
| Rechnungen und Buchhaltungsunterlagen | 7 Jahre (§ 132 BAO) |
| Daten zur Abwehr von Rechtsansprüchen | Bis zum Ablauf der Verjährungsfrist, in der Regel 3 Jahre |
Steht einer Löschung eine gesetzliche Aufbewahrungspflicht entgegen, wird stattdessen die Verarbeitung eingeschränkt: Die Daten werden gesperrt und ausschließlich für jenen Zweck verwendet, der ihre Aufbewahrung erfordert.
12. Sicherheitsmaßnahmen
- Der gesamte Datenverkehr wird per TLS (HTTPS) verschlüsselt übertragen.
- Passwörter werden ausschließlich als gesalzene Hashes gespeichert und sind zu keinem Zeitpunkt lesbar, auch nicht für den Betreiber.
- Der Datenbankzugriff ist auf die Anwendung und den Betreiber persönlich beschränkt.
- Verschlüsselte Sicherungen werden täglich erstellt und getrennt aufbewahrt.
- Serverseitige Firewall und Schutz gegen automatisierte Angriffe.
- Personenbezogene Daten sind bereits auf Abfrageebene von den öffentlichen Ranglistendaten getrennt, sodass nur die als öffentlich gekennzeichneten Felder die Datenbank verlassen können.
Kein System ist vollkommen sicher. Kommt es zu einer Verletzung, die voraussichtlich ein hohes Risiko für Ihre Rechte zur Folge hat, verständigen wir Sie unverzüglich gemäß Art. 34 DSGVO und die Aufsichtsbehörde binnen 72 Stunden gemäß Art. 33 DSGVO.
13. Ihre Rechte
Ihnen stehen folgende Rechte zu:
- Auskunft (Art. 15) — eine Kopie der zu Ihnen gespeicherten Daten und Informationen über deren Verarbeitung.
- Berichtigung (Art. 16) — Korrektur unrichtiger oder unvollständiger Daten.
- Löschung (Art. 17) — Löschung, sofern keine Aufbewahrungspflicht entgegensteht.
- Einschränkung der Verarbeitung (Art. 18) — Sperre der Verarbeitung, solange ein Sachverhalt geklärt wird.
- Datenübertragbarkeit (Art. 20) — Ihre Daten in einem strukturierten, maschinenlesbaren Format.
- Widerspruch (Art. 21) — gegen Verarbeitungen auf Grundlage berechtigter Interessen, aus Gründen, die sich aus Ihrer besonderen Situation ergeben; ein Widerspruch gegen Verarbeitung zu Werbezwecken ist jederzeit ohne Begründung möglich.
- Widerruf der Einwilligung (Art. 7 Abs. 3) — jederzeit mit Wirkung für die Zukunft. Die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung bleibt unberührt.
Anträge werden unverzüglich, spätestens innerhalb eines Monats beantwortet (Art. 12 Abs. 3 DSGVO). Schreiben Sie an elias.schiegl@gmail.com. Wir können Sie vor einer Auskunft um eine Bestätigung Ihrer Identität ersuchen.
Sie haben das Recht, Beschwerde bei einer Aufsichtsbehörde zu erheben, insbesondere bei der
Österreichischen Datenschutzbehörde
Barichgasse 40–42, 1030 Wien
Telefon: +43 1 52 152-0 · dsb@dsb.gv.at · www.dsb.gv.at
14. Löschung Ihres Kontos
Sie können Ihr Konto jederzeit selbst löschen, ohne uns zu fragen und ohne Angabe von Gründen. Die Funktion finden Sie unter My Account bei „Delete account“.
Ablauf
- Sie bestätigen, dass Sie die Folgen verstanden haben.
- Wir senden einen sechsstelligen Code an Ihre E-Mail-Adresse. Er ist 15 Minuten gültig. Dieser Schritt verhindert, dass jemand Ihr Konto von einem unbeaufsichtigten Gerät aus löscht.
- Nach Eingabe des Codes wird das Konto zur Löschung vorgemerkt — nicht entfernt. Es bleibt 30 Tage lang voll nutzbar.
- Sie können den Vorgang während dieser 30 Tage jederzeit mit einem Klick stoppen.
- Nach 30 Tagen läuft die Löschung automatisch und ist nicht umkehrbar.
Was gelöscht wird
- Ihr Konto: Name, Benutzername, E-Mail-Adresse, Geburtsdatum, Profilbild, Passwort
- Ihre Elo-Wertung und deren gesamte Historie
- Ihre Achievements und Ihr Eintrag in der Weltrangliste
- Ihre Freundschaften, Tags und Favoriten
- Ihre Einträge im Aktivitätsverlauf und Ihre eigenen Blindstrukturen
Was bleibt, und warum
Turniere, an denen Sie teilgenommen haben, bleiben erhalten, Ihr Eintrag wird jedoch vom Konto gelöst — er wird zu einem anonymen Eintrag ohne Namen. Der Grund: Ein Turnier ist nicht nur Ihre Angelegenheit, es dokumentiert auch die Ergebnisse aller anderen am Tisch. Eine Löschung würde deren Historie mit auslöschen.
Rechnungen und Buchhaltungsunterlagen zu kostenpflichtigen Tarifen werden sieben Jahre aufbewahrt (§ 132 BAO). Wir können sie nicht früher löschen, verwenden sie aber ausschließlich zu diesem Zweck — die Verarbeitung ist nach Art. 18 DSGVO eingeschränkt.
Darüber hinaus behalten wir pro Löschung einen Datensatz: Ihre frühere Benutzernummer, einen Einweg-Hash Ihrer E-Mail-Adresse und das Datum. Damit können wir später bestätigen, dass eine Löschung tatsächlich stattgefunden hat, ohne die Adresse selbst aufzubewahren. Eine Identifizierung ist damit nicht möglich.
Laufendes Abonnement
Ist bei der Vormerkung ein kostenpflichtiger Tarif aktiv, wird er zum Ende der bereits bezahlten Periode gekündigt. Es wird nichts mehr abgebucht. Ein Abbruch der Löschung setzt das Abonnement nicht automatisch fort — das können Sie im Zahlungsportal selbst erledigen.
Nach Ablauf der 30 Tage kann das Konto nicht wiederhergestellt werden, auch nicht durch uns. Sicherungen werden rollierend überschrieben und nicht nach einzelnen Konten durchsucht.
Wenn Sie die Selbstbedienung nicht nutzen möchten, schreiben Sie an elias.schiegl@gmail.com. Wir erledigen das manuell und bestätigen die Durchführung.
15. Minderjährige
Der Dienst richtet sich ausschließlich an Personen ab 18 Jahren. Wir verarbeiten wissentlich keine Daten Minderjähriger. Für die Registrierung ist ein Geburtsdatum erforderlich; Konten, die das Mindestalter nicht erfüllen, werden abgelehnt.
Wenn Sie Kenntnis davon erlangen, dass eine minderjährige Person ein Konto angelegt hat, teilen Sie uns das bitte mit. Das Konto und alle zugehörigen Daten werden unverzüglich gelöscht.
16. Bereitstellung der Daten und automatisierte Entscheidungen
Erforderlichkeit der Bereitstellung (Art. 13 Abs. 2 lit. e DSGVO)
Die Bereitstellung von Vor- und Nachname, E-Mail-Adresse, Passwort und Geburtsdatum ist gesetzlich nicht vorgeschrieben, für den Abschluss und die Erfüllung des Vertrages jedoch erforderlich. Ohne diese Daten können wir kein Konto anlegen und den Vertrag nicht erfüllen; ein Vertragsabschluss ist dann nicht möglich. Das Geburtsdatum benötigen wir zusätzlich zur Überprüfung des Mindestalters von 18 Jahren.
Alle übrigen Angaben sind freiwillig. Dazu zählen insbesondere Profilbild, Benutzername in der öffentlichen Rangliste, Freundschaftsverbindungen und der Inhalt von Kontaktanfragen. Werden sie nicht bereitgestellt, entsteht kein Nachteil, außer dass die betreffende Funktion nicht zur Verfügung steht.
| Angabe | Erforderlich? | Folge bei Nichtbereitstellung |
|---|---|---|
| Vor- und Nachname, E-Mail-Adresse, Passwort | Für den Vertrag erforderlich | Kein Konto, kein Vertragsabschluss |
| Geburtsdatum | Für den Vertrag und die Altersprüfung erforderlich | Kein Konto |
| Zahlungsdaten (über Stripe) | Nur für kostenpflichtige Tarife erforderlich | Nutzung nur im kostenlosen Tarif Starter |
| Profilbild, öffentliche Statistik, Freunde | Freiwillig | Die jeweilige Funktion steht nicht zur Verfügung |
Automatisierte Entscheidungsfindung und Profiling (Art. 13 Abs. 2 lit. f, Art. 22 DSGVO)
Eine automatisierte Entscheidungsfindung einschließlich Profiling, die Ihnen gegenüber rechtliche Wirkung entfaltet oder Sie in ähnlicher Weise erheblich beeinträchtigt, findet nicht statt.
Elo-Wertung, Achievements, Ranglistenplatz und Statistiken werden zwar automatisch berechnet, sie dienen jedoch ausschließlich der Darstellung sportlicher Ergebnisse innerhalb der Software. Sie haben keine rechtliche Wirkung, führen zu keiner Bewertung Ihrer Person, Ihrer Bonität oder Ihres Verhaltens außerhalb des Spiels und werden nicht an Dritte zu Bewertungszwecken übermittelt.
17. Änderungen dieser Erklärung
Wir aktualisieren diese Erklärung, wenn sich der Dienst oder die Rechtslage ändert. Maßgeblich ist die zum Zeitpunkt Ihres Besuchs hier veröffentlichte Fassung. Betrifft eine Änderung wesentlich eine Verarbeitung, die auf Ihrer Einwilligung beruht, holen wir Ihre Einwilligung erneut ein.
Stand: August 2026
Die deutsche Fassung dieser Datenschutzerklärung ist die maßgebliche Fassung. Die englische Fassung dient der Information.