Couch Clash

Datenschutzerklärung

Stand: 18.10.2026

1. Verantwortlicher

spoboo GmbH, Kirchsteig 14, 78647 Trossingen, vertreten durch den Geschäftsführer Philip Junge. E-Mail: info@spoboo.com (siehe Impressum).

2. Das Wichtigste in Kürze

  • Couch Clash braucht kein Nutzerkonto – ein Konto ist freiwillig (nur E-Mail-Adresse, kein Passwort). Werbe-Messung von Google Ads gibt es nur, wenn ihr im Cookie-Banner zustimmt; Analyse-Tracker setzen wir nicht ein – Besuche zählen wir selbst, nur als anonyme Tageszahlen.
  • Ein Spielraum mit Namen, Antworten und Punkten wird nach spätestens 24 Stunden gelöscht.
  • Foto-Figuren sind freiwillig. Das Foto wird nach der Umwandlung gelöscht.
  • Bezahlt wird über Stripe. Kartendaten sehen wir nie.

3. Aufruf der Website und Hosting

Beim Aufruf verarbeiten unsere Dienstleister technisch notwendige Daten (IP-Adresse, Zeitpunkt, Browser-Informationen), um die Seite auszuliefern und vor Missbrauch zu schützen. Die Website wird bei Vercel Inc. (USA) betrieben, der Spielserver und die Speicher bei Cloudflare, Inc. (USA). Rechtsgrundlage ist unser berechtigtes Interesse an einem sicheren, funktionierenden Angebot (Art. 6 Abs. 1 lit. f DSGVO). Beide Anbieter sind nach dem EU-US Data Privacy Framework zertifiziert; ergänzend gelten Standardvertragsklauseln.

Besucherzählung: Um zu sehen, wie viele Menschen Couch Clash nutzen und woher sie ungefähr kommen, zählen wir selbst – ohne Analyse-Dienst, ohne Cookie und ohne etwas auf eurem Gerät zu speichern. Öffnet ihr die Website von außerhalb, schickt die Seite unserem Spielserver bei Cloudflare den Pfad der Seite, die Adresse der vorherigen Seite (wir behalten nur ihren Domainnamen, z. B. „google.com“) und ggf. die Kampagnen-Angabe aus dem Link. Tretet ihr einem Spielraum bei, zählen wir ebenfalls mit. Land und Region (z. B. Bundesland) ermittelt Cloudflare aus der IP-Adresse der Anfrage; wir speichern davon nur Tageszähler („heute 12 Besuche aus Bayern über Google“) – keine IP-Adresse, keine Geräte-Kennung, keinen Namen, nichts, was sich einer Person zuordnen lässt. Die Zähler löschen wir nach zwei Jahren. Rechtsgrundlage ist unser berechtigtes Interesse, unser Angebot zu verstehen und zu verbessern (Art. 6 Abs. 1 lit. f DSGVO).

4. Spielen

Mit „Fernseher“ meinen wir hier jeden großen Bildschirm, auf dem das Spiel im Browser läuft – Smart-TV, Laptop, PC oder Beamer. Wer mitspielt, gibt einen Spielnamen ein und wählt ein Emoji. Im Spielraum verarbeiten wir Name, Figur, Antworten und Punkte, um das Spiel durchzuführen (Art. 6 Abs. 1 lit. b DSGVO). Der Raum wird nach spätestens 24 Stunden gelöscht. Für die Verbesserung der Fragen speichern wir Statistiken (z. B. wie oft eine Frage richtig beantwortet wurde) und ein Spielprotokoll mit Zeiten – beides ohne Namen und ohne Antworttexte; das Protokoll wird nach 180 Tagen gelöscht. Wie euch ein Spiel gefallen hat (😴 / 🙂 / 🔥, zu kurz / zu lang), speichern wir nur als Anzahl pro Spiel – nicht, wer wie abgestimmt hat. Die freiwillige Feedbackseite „Wie war die Show?“ (Sterne, welches Spiel am kurzweiligsten war, wo es sich gezogen hat, ein freier Text) speichern wir ohne Namen und ohne Spieler-ID, um die Spiele zu verbessern (Art. 6 Abs. 1 lit. f DSGVO); bitte schreibt keine Namen oder Kontaktdaten in den Text. Der Text wird nach 180 Tagen gelöscht.

Bevor Spiele für Erwachsene laufen (🔞, z. B. im Party-Modus), bestätigt jede Person am eigenen Handy, dass sie mindestens 18 ist. Diese Antwort (Ja / Nein, ohne Geburtsdatum) liegt nur im Spielraum, damit das Spiel erst startet, wenn alle bestätigt haben, und wird mit ihm nach spätestens 24 Stunden gelöscht; sie geht an keinen anderen Dienst. Rechtsgrundlage ist die Durchführung des Spiels (Art. 6 Abs. 1 lit. b DSGVO) und der Jugendschutz.

Im Spiel „Wer hat schon mal?“ beantwortet ihr vorab geheim einige Aussagen mit Ja oder Nein – manche davon (im Party-Modus) betreffen sehr Persönliches. Diese Antworten halten wir nur im laufenden Spielraum, und nur solange sie gebraucht werden: Nicht gespielte Aussagen verwerfen wir direkt nach der Beichte, jede gespielte nach ihrer Auflösung, spätestens am Ende der Runde ist alles weg. Andere sehen nur die Anzahl der Ja-Antworten – Namen nur, wenn der Host „Enthüllung“ einschaltet, und bei 🌶️-Fragen nie. Die Antworten gehen an keine KI, in keine Statistik, kein Spielprotokoll und keine Fehlermeldung.

„📞 Remote Call“ (freiwillig): Wer von zu Hause mitspielt, kann auf dem Handy einen Sprachkanal zum Wohnzimmer einschalten. Dann übertragen wir die Stimme der Geräte im Call live über Cloudflare Realtime (Cloudflare, Inc., USA) – verschlüsselt, ohne Aufzeichnung und ohne Speicherung; der Dienst bekommt dafür die IP-Adressen der Geräte, aber keine Spielnamen. Das Mikrofon wird erst nach eurer Freigabe im Browser genutzt, auf dem Fernseher erst nach einem Klick auf „Mikro freigeben“. Rechtsgrundlage ist die Durchführung des gewünschten Dienstes (Art. 6 Abs. 1 lit. b DSGVO); ihr könnt jederzeit auflegen oder stummschalten, der Host kann den Call abschalten. In den Kinderspielen gibt es den Call nicht.

„Versaut erklärt“ – Mithören (freiwillig): Wer erklärt, kann auf dem Handy „🎙️ Mithören“ einschalten. Dann nutzt das Handy die eingebaute Spracherkennung des Browsers, um zu merken, ob ein verbotenes Wort fällt. Die Sprache geht dabei direkt vom Browser an dessen Anbieter – bei Chrome und Edge an Google (Google LLC, USA), bei Safari an Apple (Apple Inc., USA; teils bleibt sie auf dem Gerät) – und nicht über unsere Server; es gelten deren Datenschutzbestimmungen. Den Abgleich mit den Tabuwörtern macht das Handy selbst: An den Spielraum geht nur, ob mitgehört wird und welches der Tabuwörter gefallen ist – kein Text, keine Aufnahme. Das Mikrofon wird erst nach eurer Freigabe im Browser genutzt; ausschalten geht jederzeit, ohne Mithören gilt Ehrensache. Das Handy merkt sich nur, dass Mithören an war, und versucht es beim nächsten Erklären wieder. Rechtsgrundlage ist die Durchführung des gewünschten Dienstes (Art. 6 Abs. 1 lit. b DSGVO). Das Spiel gibt es nur im Partymodus ab 18, nie in den Kinderspielen.

„🕵️ Geheimaufträge“ beim Anheizer: Wer „Reinrufer“ spielt, schickt kurze Zurufe (bis 60 Zeichen). Diese Texte bewertet eine KI von OpenAI (OpenAI, L.L.C., USA) nach Witz und Originalität und – im Kinder- und Familienmodus – darauf, ob sie auf dem Fernseher erscheinen dürfen. Dabei gehen nur die Texte unter anonymen Kennungen an OpenAI, nie Spielernamen. Gute Zurufe zeigt der Fernseher mit dem Spielnamen. Die Texte liegen nur im Spielraum (gelöscht spätestens 24 Stunden nach dem Spiel), nicht in Statistiken oder Spielprotokollen. Im Modus „Nur Cache“ und in den Kinderspiel-Räumen geht nichts an OpenAI – dann schätzt das Spiel selbst und zeigt im Kinder- und Familienmodus nichts an. Rechtsgrundlage ist die Durchführung des gewünschten Dienstes (Art. 6 Abs. 1 lit. b DSGVO); die Aufträge lassen sich in den Einstellungen abschalten.

„Eat my …“ (Aufholjagd): Wer auf dem letzten Platz liegt, tippt ein Spezialgebiet als Freitext ein (bis 40 Zeichen, z. B. „Pokémon“). Das Thema geht an eine KI von OpenAI (OpenAI, L.L.C., USA), die prüft, ob es zum Spielmodus passt, und dazu Fragen schreibt und nachprüft – ohne Spielernamen. Das Thema speichern wir zusammen mit den geschriebenen Fragen ohne Bezug zu einer Person, um die Fragen zu prüfen und später wiederzuverwenden. Im Modus „Nur Cache“ und in den Kinderspiel-Räumen geht nichts an OpenAI. Rechtsgrundlage ist die Durchführung des gewünschten Dienstes (Art. 6 Abs. 1 lit. b DSGVO); die automatische Aufholjagd lässt sich in den Einstellungen abschalten.

Begrüßung: Vor der ersten Runde begrüßt der Moderator alle mit Namen – dazu sagt jeder Fernseher, in wessen Wohnzimmer er steht (z. B. „Philipp“), und er grüßt, wer gerade per „📞 Remote Call“ dabei ist. Den Wohnzimmer-Namen speichern wir im Browser des Fernsehers und im Spielraum (gelöscht nach spätestens 24 Stunden); für die Ansage geht er wie die Spielnamen an OpenAI (Text des Moderators) und ElevenLabs (Stimme). Rechtsgrundlage ist die Durchführung des Spiels (Art. 6 Abs. 1 lit. b DSGVO).

Zeichnungen aus „Zeichnen“: Jede Zeichnung speichern wir als Bild bei Cloudflare, zusammen mit dem Begriff, dem Spielnamen der Person, die gezeichnet hat, und dem Datum – damit ihr sie in der Siegerehrung seht und über den Link der Session (Raumcode plus nicht erratbarer Schlüssel, nur für die, die dabei waren) herunterladen könnt. Bei „Bilderpost“ landet so jede aufgedeckte Kette in der Galerie: das Original, die Zeichnungen, die eingetippten Begriffe und die Spielnamen der Zeichnenden; die wildeste Kette zeigen wir außerdem in der Siegerehrung. Ohne Konto werden die Zeichnungen nach 7 Tagen gelöscht. Wer mit dem Link „In meinem Konto behalten“ wählt, bekommt eine Kopie des Abends (Bilder, Begriffe, bei Bilderpost auch die geratenen Begriffe, Spielnamen der Zeichnenden, Datum) in sein Konto; sie bleibt, bis ihr sie oder das Konto löscht (siehe Konto). Rechtsgrundlage ist die Durchführung des Spiels bzw. des gewünschten Dienstes (Art. 6 Abs. 1 lit. b DSGVO).

„Mein Ergebnis teilen“ (freiwillig): Während des Spiels merkt sich der Spielraum je Spieler die beantworteten Fragen samt eigener Antwort und, wenn der Moderator eine Antwort verspottet hat, seinen Spruch (Text und den ohnehin gespeicherten Audioclip). Jedes Handy sieht davon nur die eigenen Antworten; mit dem Raum ist alles nach spätestens 24 Stunden weg. Erst wenn ihr wirklich teilt, speichern wir bei Cloudflare einen Post: euren Spielnamen, Platz („Platz 2 von 6“), genau die eine gewählte Frage mit eurer Antwort und der Lösung (bzw. eure Zeichnung – bei Bilderpost eure eigene Zeichnung aus einer Kette mit dem, was ihr zeichnen wolltet, und ob der Nächste es erkannt hat), den Moderatorspruch dazu, das Bild der Karte und – wenn ihr den Schalter „Mein Avatar auf dem Post“ anlasst – eure Figur. Namen oder Antworten anderer Spieler stehen nie darauf. Der Post ist für alle mit dem Link sichtbar (couchclash.com/r/…, nicht in Suchmaschinen), wird nach 90 Tagen automatisch gelöscht und lässt sich vom eigenen Handy aus vorher löschen. Wohin ihr den Link schickt, entscheidet ihr über das Teilen-Menü eures Handys – wir binden dafür keinen Drittanbieter ein. Wer auf der Seite miträt, schickt uns nur seine Antwort; wir zählen sie, ohne sie zu speichern. Rechtsgrundlage ist die Durchführung des gewünschten Dienstes (Art. 6 Abs. 1 lit. b DSGVO).

Damit wir merken, wann und wie viel gespielt wird, bekommen wir beim ersten Spiel eines Raums eine kurze Nachricht per WhatsApp (über den Dienst CallMeBot) bzw. per E-Mail: den Spielnamen des Hosts (der Spieler am Host-Handy, sonst der erste Spieler), den Raumcode, wie viele mitspielen, den Modus, die geplanten Spiele und wie der Raum entstanden ist (z. B. Guthaben, Probespiel oder Spoboo-Event). Namen anderer Spieler, Antworten oder Kontaktdaten stehen nie darin. Wir speichern davon nichts. Rechtsgrundlage ist unser berechtigtes Interesse, den Spielbetrieb im Blick zu behalten (Art. 6 Abs. 1 lit. f DSGVO).

5. Speicherung auf eurem Gerät

Wir speichern im Browser (Local Storage) Einstellungen, euren zuletzt benutzten Namen, den Zugang zum Spielraum und – bei einem Kauf – eure Guthaben-Codes (höchstens 10, damit ihr sie beim Beitreten antippen könnt), damit ihr nach einem Neuladen weiterspielen könnt; wer sich mit einem Konto anmeldet, bekommt dort zusätzlich den Anmelde-Schlüssel des Geräts. Für „Teilen & Empfehlen“ kommen die Lösch-Schlüssel eurer Posts dazu. Für den Wiedereinstieg setzen wir zusätzlich ein Cookie (cc_player_…, 24 Stunden). Kommt ihr über den Link eines Partners (?ref=CODE) oder gebt einen Partnercode ein, merken wir uns diesen Code 30 Tage im Browser und in einem Cookie (cc_ref), damit der Rabatt beim Kauf gilt – nur der Code, nichts über euch. Eure Wahl im Cookie-Banner („Alle akzeptieren“ / „Nur notwendige“) merken wir uns ebenfalls im Browser. Nur wenn ihr „Alle akzeptieren“ wählt, merken wir uns außerdem 30 Tage, über welche unserer Anzeigen ihr gekommen seid (siehe Google Ads). Außerdem merken wir uns im Browser, über welchen Kanal das Gerät zum ersten Mal kam (z. B. „instagram“ aus einem Kampagnen-Link, „google“ als Suchmaschine, der Name einer verlinkenden Website oder „gast“ nach dem Mitspielen) – nur dieser Name, nie die ganze Adresse. Er geht beim Eröffnen eines Spielraums und beim Kauf an uns, damit wir sehen, welche Wege zu Spielabenden führen; Rechtsgrundlage ist unser berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO). Damit niemand dieselbe Frage zweimal bekommt, merkt sich das Handy pro Spielername (und der Fernseher für sich) die Nummern der schon gespielten Fragen – nur Nummern, keine Antworten. Sie gehen beim Beitritt an den Spielraum und werden mit ihm gelöscht. Das ist für den gewünschten Dienst unbedingt erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG); eine Einwilligung ist dafür nicht nötig.

Runden-Gedächtnis. Damit eure Runde auch mit neuen Handys oder anderen Namen keine Frage doppelt bekommt, schickt der Fernseher bzw. Laptop des Hosts seine zufällige Geräte-ID an unseren Spielserver. Wir speichern davon nur einen nicht umkehrbaren Hashwert und dazu die Nummern der Fragen, die an diesem Gerät gespielt wurden, mit Datum – keine Namen, keine Antworten, keine Spieler-IDs. Ein Eintrag wird gelöscht, wenn die Frage dort 12 Monate nicht mehr gespielt wurde. Zahlen daraus (wie viele frische Fragen einer Runde bleiben) nutzen wir, um rechtzeitig neue Fragen zu schreiben. Rechtsgrundlage: Bereitstellung des Spiels, das ihr nutzt (Art. 6 Abs. 1 lit. b DSGVO) und unser berechtigtes Interesse an einem abwechslungsreichen Spiel (Art. 6 Abs. 1 lit. f DSGVO). Löscht ihr die Website-Daten im Browser des Fernsehers, bekommt er eine neue ID und das alte Gedächtnis ist nicht mehr zuzuordnen.

6. Foto-Figuren (freiwillig)

Wer möchte, macht ein Selfie, aus dem eine Cartoon-Figur wird. Das Foto wird dazu an OpenAI, L.L.C. (USA) übermittelt und nach der Umwandlung gelöscht; wir speichern es nicht. Die erzeugten Figuren liegen bei Cloudflare und werden mit dem Spielraum nach spätestens 24 Stunden gelöscht. Wer die Figur „für nächstes Mal behält“, findet sie nur auf dem eigenen Handy wieder – mit einem freiwilligen Konto (siehe Abschnitt 9) auch auf den anderen angemeldeten Geräten; sie wird nach 365 Tagen ohne Spiel gelöscht und lässt sich jederzeit selbst löschen. Rechtsgrundlage ist eure Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), die ihr vor dem ersten Foto gebt und jederzeit widerrufen könnt. Kinder unter 16 Jahren nutzen die Foto-Funktion bitte nur mit Zustimmung der Eltern.

7. Moderator und KI-Funktionen

Der Moderator spricht mit einer KI-Stimme von ElevenLabs Inc. (USA). Dafür werden die Texte, die er sagt – auch eure Spielnamen –, an ElevenLabs übermittelt. Einmal gesprochene Namen speichern wir als Audioclip, damit sie beim nächsten Mal gleich klingen; ein Bezug zu einer Person oder einem Raum wird dabei nicht gespeichert. Einige Spiele lassen Antworten von einer KI (OpenAI) prüfen oder kommentieren; dabei werden die Antworttexte übermittelt, bei Kommentaren auch Spielnamen und Punkte. Für die „Highlights des Abends“ in der Siegerehrung merkt sich der Spielraum während des Spiels die peinlichsten falschen Antworten jedes Spielers, die Antworten, über die der Moderator gelästert hat, und Antworten, die nur eine Person wusste (im Wortlaut). Am Ende gehen bis zu 14 davon – mit Frage, Spielname, dem Spruch des Moderators und der Punktzahl des Siegers – einmal an OpenAI, die KI wählt höchstens drei aus; deren gesprochener Text geht an ElevenLabs. Nicht im Modus „Nur Cache“, nie im Klassenmodus. Für die Kommentare zu ungelösten Zeichnungen gehen der Begriff und die Rate-Versuche (ohne Namen) an OpenAI. Bei „Abmalen ✨ Live“ gehen pro Bild das Original und die Zeichnungen aller Mitspielenden mit ihrer Ähnlichkeit an OpenAI – ohne Spielnamen (die KI sieht nur „Spieler A, B …“); bei „Abmalen“ vergleicht der Fernseher die Zeichnungen im eigenen Browser, an uns gehen nur Zahlen. Bei „Bilderpost ✨ Live“ geht nach dem letzten Schritt jede Kette einmal an OpenAI: das Original, alle Zeichnungen der Kette, die eingetippten Begriffe und die Ähnlichkeitswerte – ebenfalls ohne Spielnamen; bei „Bilderpost“ bleibt alles im Raum (der Vergleich läuft wie bei „Abmalen“ im Fernseher). Mit dem Raum ist alles nach spätestens 24 Stunden gelöscht. Rechtsgrundlage ist die Durchführung des Spiels (Art. 6 Abs. 1 lit. b DSGVO). Die Anbieter verarbeiten die Daten als Auftragsverarbeiter bzw. nach dem EU-US Data Privacy Framework und Standardvertragsklauseln.

Spezial-Editionen für Firmen, Städte und Vereine: Für eine Edition ruft unser Server die Website des Auftraggebers ab und schickt deren Text an OpenAI, um Branche, Standorte, Motto und Themen vorzuschlagen; außerdem schreibt OpenAI aus diesen Angaben, den vom Auftraggeber eingegebenen Stichpunkten („Insider-Infos“) und dem gewünschten Thema Quizfragen sowie Begriffe, Spalten, Aussagen und Rätsel für Standardspiele, die eine zweite KI-Prüfung auf Richtigkeit und Jugendschutz durchlaufen. Es geht um Angaben zur Organisation, nicht um Spielerdaten; wir bitten darum, keine Namen von Mitarbeitern einzutragen. Die Ergebnisse speichern wir bei der Edition, bis sie gelöscht wird. Rechtsgrundlage ist die Durchführung des Auftrags (Art. 6 Abs. 1 lit. b DSGVO).

Mitarbeiterumfrage einer Spezial-Edition: Über einen Link des Auftraggebers können Kolleginnen und Kollegen kurze Antworten (höchstens 40 Zeichen je Frage) für „Wir haben 100 Leute gefragt“ abgeben. Die Umfrage ist anonym: Wir fragen keinen Namen und keine E-Mail-Adresse und speichern zu einer Antwort nur ihren Text – keine IP-Adresse; auf dem Handy merken wir uns nur, dass schon mitgemacht wurde. Zur Auswertung schicken wir die Antworten ohne weitere Angaben an OpenAI, das gleiche Antworten zusammenfasst; daraus entsteht ein Spielboard mit Anteilen. Der Auftraggeber sieht nur Anzahlen und das fertige Board, nie einzelne Antworten. Nach der Auswertung löschen wir die Antworten sofort, sonst mit der Umfrage. Bitte keine Namen in die Antworten schreiben. Die Teilnahme ist freiwillig; Rechtsgrundlage ist Ihre Einwilligung durch das Absenden (Art. 6 Abs. 1 lit. a DSGVO).

Bühne, Song und Gutscheine einer Spezial-Edition: Für eine eigene Showbühne und Gutschein-Motive schicken wir die Stichwörter des Auftraggebers, seine Hausfarben, sein Logo und Bilder unseres Studios bzw. Moderators an OpenAI (Bildgenerierung); für den Edition-Song den Liedtext-Entwurf aus den Angaben zur Organisation an OpenAI (Text). Den Song selbst produzieren wir von Hand mit Suno (Suno, Inc., USA): Dafür geben wir dort nur den Liedtext und die Musikwünsche des Auftraggebers ein (Stil, Stimmung, gewünschte Namen und Begriffe, Referenzsong) – keine Kontaktdaten, keine Daten von Spielern. Die Wünsche speichern wir mit dem Auftrag. Für individuelle Gutscheine kann der Auftraggeber Namen der Beschenkten angeben („Für Maria Müller“): Diese Namen speichern wir nur bis zum einmaligen Export der Gutscheine und löschen sie dann; sie gehen nicht an KI-Dienste – die Gutscheine selbst entstehen im Browser des Auftraggebers. Rechtsgrundlage ist die Durchführung des Auftrags (Art. 6 Abs. 1 lit. b DSGVO); für die Namen ist der Auftraggeber verantwortlich, wir verarbeiten sie in seinem Auftrag.

Eigener Moderator einer Spezial-Edition: Statt Lenny kann eine echte Person (z. B. die Chefin) moderieren – nur mit ihrer Einwilligung. Wir speichern dazu den Namen der Person, das Datum und das unterschriebene Einwilligungsdokument (abrufbar nur für uns und für das Unternehmen, das die Edition selbst einrichtet und das Dokument hochgeladen hat), den Namen und die Texte des Moderators im Spiel. Ein Foto der Person geht zusammen mit unserem Moderatorenbild an OpenAI (Bildgenerierung, USA, EU-Standardvertragsklauseln), das daraus gezeichnete Bilder im Couch-Clash-Stil macht; das Foto selbst speichern wir nicht. Die gezeichneten Bilder liegen bei uns und sind in den Spielen dieser Edition zu sehen. Für eine eigene Stimme geht eine Sprachaufnahme einmal an ElevenLabs (USA, EU-Standardvertragsklauseln), das daraus eine Stimme erzeugt (Instant Voice Clone); die Aufnahme speichern wir nicht, die erzeugte Stimme liegt in unserem ElevenLabs-Konto. Mit ihr spricht der Moderator die Sätze des Spiels, die wir wie alle Moderatorensätze speichern. Löschen wir den Moderator, löschen wir Bilder, Einwilligung, die Stimme bei ElevenLabs und die damit gesprochenen Sätze. Wird eine Edition nach ihrer Laufzeit nicht verlängert, wird sie archiviert; 30 Tage danach löschen wir den Moderator automatisch. Rechtsgrundlage ist die Einwilligung der Person (Art. 6 Abs. 1 lit. a DSGVO), die sie jederzeit beim Auftraggeber oder bei uns widerrufen kann; für die Abwicklung des Auftrags die Vertragsdurchführung (Art. 6 Abs. 1 lit. b DSGVO).

8. Musik und Produktbilder

In den Musikspielen lädt der Fernseher Hörproben direkt von Deezer bzw. Apple (iTunes) – und ein Handy, auf dem ihr „Ton auf diesem Handy“ eingeschaltet habt, ebenfalls. Dabei erhalten diese Anbieter eure IP-Adresse (Art. 6 Abs. 1 lit. f DSGVO).

Die Produktbilder in „Preis (Pi)raten“ stammen aus Open Food Facts, Open Beauty Facts und Open Products Facts (Lizenz CC BY-SA). Wir laden sie einmalig herunter und zeigen sie von unseren eigenen Servern (Cloudflare) – euer Gerät ruft dabei nichts bei Open Food Facts ab, und wir übermitteln dorthin keine Daten über euch.

Im Partyspiel „Heiße Preise?“ (ab 18) zeigen wir Produkte von ORION (Orion Versand GmbH & Co. KG), die wir jede Nacht aus dem Produktfeed des Affiliate-Netzwerks Awin (AWIN AG, Berlin) laden. Die Produktbilder lädt euer Fernseher bzw. Handy direkt von den Servern von Awin bzw. ORION; dabei erhalten diese eure IP-Adresse und technische Browserdaten (ohne Referrer). Rechtsgrundlage ist unser berechtigtes Interesse, das Spiel mit aktuellen Produkten anzubieten (Art. 6 Abs. 1 lit. f DSGVO). Bei der Auflösung zeigen wir bei vorrätigen Produkten einen als „Anzeige“ gekennzeichneten Link („Bei ORION ansehen“, am Fernseher als QR-Code). Tippt ihr darauf, speichern wir nur das Produkt, den Raumcode, das Gerät (Handy oder QR-Code) und die Uhrzeit – keine IP-Adresse, keinen Namen – und leiten euch über Awin zu ORION weiter. Ab dort gelten die Datenschutzhinweise von Awin und ORION (z. B. Tracking-Cookies für die Provision); wir erhalten von Awin nur Provisionsdaten ohne Bezug zu euch. Für die automatische Auswahl der Produkte gehen Produktname, -beschreibung und -bild (keine Daten über euch) an OpenAI.

9. Kauf und Bezahlung

Bezahlt wird über Stripe Payments Europe, Ltd. (Irland); je nach Zahlart ist auch PayPal (Europe) S.à r.l. et Cie, S.C.A. (Luxemburg) beteiligt. Zahlungsdaten gebt ihr direkt bei Stripe ein; wir erhalten nur die E-Mail-Adresse, den Betrag, das Gekaufte und den Zahlungsstatus. Wir speichern den Kauf, um euer Guthaben freizuschalten und euch eure Codes und den Link zu eurer Bestellung zu schicken (Art. 6 Abs. 1 lit. b DSGVO), und bewahren Rechnungsdaten für die gesetzlichen Fristen auf (Art. 6 Abs. 1 lit. c DSGVO i. V. m. HGB und AO). Die E-Mail mit dem Link verschicken wir über Resend, Inc. (USA).

Rechnung: Für die richtige Umsatzsteuer fragt Stripe in der Kasse nur das Land (und je nach Land die Postleitzahl) ab; wer als Unternehmen kauft, gibt dort freiwillig Firmenname, Rechnungsanschrift und USt-IdNr. an. Stripe berechnet daraus die Steuer (Stripe Tax), prüft eine USt-IdNr. bei den zuständigen Stellen (bei EU-Nummern über das System VIES der EU-Kommission), legt dafür bei Stripe ein Kundenkonto an und erstellt die Rechnung – bei einer Erstattung zusätzlich eine Gutschrift. Diese Daten liegen bei Stripe; wir rufen die Rechnung nur ab, wenn ihr sie über den Knopf „Rechnung herunterladen“ öffnet. Rechtsgrundlage ist die Vertragsabwicklung und unsere gesetzliche Pflicht zur Rechnung und zur richtigen Steuer (Art. 6 Abs. 1 lit. b und c DSGVO); aufbewahrt wird nach Handels- und Steuerrecht (§ 257 HGB, § 147 AO).

Guthaben und Gutscheine: Gekauftes Guthaben hängt an einem Code. Den Code speichern wir nur als nicht umkehrbaren Hashwert mit seinen letzten Zeichen; im Klartext liegt er nur bei eurer Bestellung (abrufbar über den geheimen Link der Bestätigungsseite und in der Mail) und – wenn ihr ihn dort selbst hinterlegt – in eurem Konto. Zu jedem Code speichern wir Guthaben, Herkunft, Status und, wie viel davon an welchem Abend verbraucht wurde (Spielerminuten je Preisstufe und Raumcode – keine Namen). Damit ein neuer Spielraum am selben Abend den Rabatt weiterführt, verknüpfen wir den Abend mit der zufälligen Geräte-ID des Host-Geräts (höchstens 6 Stunden zurück). Im Spielraum steht, wer für wen zahlt; Beträge sieht nur der Host und jeder für seinen eigenen Code. Läuft ein Code leer und jemand übernimmt, sehen alle im Spiel dessen Spielnamen. Damit niemand Codes durchprobiert, zählen wir Versuche je gekürzter Prüfsumme aus IP-Adresse und Browser (nicht die IP-Adresse selbst) und löschen sie nach einem Tag. PDF und Bilder der Gutscheine entstehen in eurem Browser. Erhöhen wir die Verbrauchssätze, schreiben wir Konto-Inhabern vorher eine E-Mail (über Resend). Rechtsgrundlage ist die Durchführung des Vertrags (Art. 6 Abs. 1 lit. b DSGVO), für die Kaufdaten die gesetzlichen Aufbewahrungsfristen (Art. 6 Abs. 1 lit. c DSGVO i. V. m. HGB und AO) und für den Schutz vor Missbrauch unser berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO).

Eigenes Design mit KI: Habt ihr beim Gutschein „Eigenes Design mit KI“ gekauft, beschreibt ihr nach dem Bezahlen auf der Bestellseite euer Motiv. Euer Wunschtext und – wenn ihr eins hochladet oder eure gespeicherte Figur nehmt – ein Foto bzw. die Figur gehen zusammen mit unserem Host-Bild an OpenAI (Bild-KI, USA, EU-Standardvertragsklauseln), das daraus Vorschläge malt. Vorher prüft die Moderations-Schnittstelle von OpenAI Wunschtext, Widmung und Foto auf unzulässige Inhalte (etwa Nacktheit oder Gewalt). Das Foto speichern wir nicht; es wird nur für diese Prüfung und diesen einen Aufruf übertragen. Ein Foto mit Personen ladet ihr nur hoch, wenn ihr das Recht dazu habt und die Abgebildeten einverstanden sind (bei Kindern die Eltern) – das bestätigt ihr mit einem Häkchen. Wunschtext, Widmung und die Vorschläge speichern wir an der Bestellung; die Bilder liegen unter einer zufälligen, nicht erratbaren Adresse. Wählt ihr ein Motiv, löschen wir die übrigen Vorschläge sofort, sonst nach 30 Tagen. Das gewählte Motiv und die Widmung stehen auf den Gutscheinen (bei „Zusenden“ drucken wir das Motiv auf die Karte) und werden angezeigt, wenn jemand den Code einlöst – auch als Begrüßung auf dem Fernseher, wenn der Code im Spiel eingelöst wird. Rechtsgrundlage ist die Durchführung des Vertrags (Art. 6 Abs. 1 lit. b DSGVO), für abgebildete Personen deren Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), die ihr eingeholt habt.

Geschenkset zusenden: Wählt ihr „Geschenkset zusenden“, braucht ihr kein Konto. Wir speichern die Lieferadresse (Name, ggf. Zusatz, Straße, PLZ, Ort, Land) an der Bestellung, um das Geschenkset zu drucken und per Post zu verschicken – bei mehreren Gutscheinen, die wir direkt an die Beschenkten schicken sollen, die Adresse jedes Beschenkten. Nur wenn ihr angemeldet seid und „Adresse in meinem Konto merken“ ankreuzt, speichern wir eure Adresse zusätzlich in eurem Konto, damit ihr sie beim nächsten Mal nicht neu eingeben müsst. An der Bestellung löschen wir die Adressen 90 Tage nach dem Versand; im Konto bleibt sie, bis ihr sie ändert oder das Konto löscht. Die Adresse geht an die Post bzw. den Paketdienst, der die Sendung zustellt; eine Sendungsnummer speichern wir an der Bestellung und schicken sie euch per E-Mail (über Resend). Über eine neue Bestellung benachrichtigen wir uns selbst (z. B. per WhatsApp über CallMeBot oder ntfy) – ohne Name und ohne Adresse. Den Code des Geschenksets seht ihr nicht; er steht nur auf der Karte und gilt ab dem Versand. Rechtsgrundlage ist die Durchführung des Vertrags (Art. 6 Abs. 1 lit. b DSGVO).

Konto (freiwillig): Wer möchte, legt unter /konto ein Konto an, damit die eigenen Codes auf jedem Gerät dabei sind. Dafür speichern wir eure E-Mail-Adresse, wann das Konto angelegt und zuletzt genutzt wurde, welche selbst hinterlegten Guthaben-Codes dazugehören, welche Zeichnungen ihr behalten habt (eine Kopie bei Cloudflare, höchstens 50 Abende; die Bilder sind wie die Galerie nur über einen nicht erratbaren Link erreichbar, die Liste nur angemeldet), eure Foto-Figuren (jede Figur, die ihr angemeldet macht, höchstens 12; die Bilder liegen wie oben bei Cloudflare und werden nach 365 Tagen ohne Spiel gelöscht), den Namen und den Avatar aus dem Beitrittsformular (Emoji oder selbst gebautes Gesicht – nur die gewählten Bausteine wie Frisur oder Brille, kein Bild), Kinderprofile, wenn ihr welche anlegt (für jedes Kind ein Name – ein Spitzname reicht – und sein Avatar, höchstens 8; kein Foto, kein Alter), eure Lieblingsspiele und welche Geräte angemeldet sind (nur als Prüfsumme eines zufälligen Schlüssels, der im Browser liegt). Angemeldet wird ohne Passwort über einen Link per E-Mail; dafür geht nur eure Adresse und der Link an Resend, Inc. (USA). Der Link gilt 15 Minuten und einmal. Damit niemand mit Links überschwemmt wird, merken wir uns zu jedem angeforderten Link eine gekürzte Prüfsumme von IP-Adresse und Browser (nicht die IP-Adresse selbst) und löschen sie mit dem Link nach spätestens einem Tag. Rechtsgrundlage ist die Durchführung des gewünschten Dienstes (Art. 6 Abs. 1 lit. b DSGVO). Ihr könnt einzelne Abende, einzelne Figuren, einzelne Kinderprofile und das ganze Konto jederzeit unter /konto selbst löschen – mit dem Konto sind auch die behaltenen Zeichnungen und Figuren weg; eure Guthaben-Codes gelten weiter (Kaufdaten bewahren wir wie oben beschrieben auf). Ein Gerät, das 180 Tage nicht genutzt wurde, wird abgemeldet. Nach 24 Monaten ohne Anmeldung schreiben wir euch eine Erinnerung; meldet sich innerhalb von 30 Tagen niemand an, löschen wir das Konto.

Firmenkonto und kostenlose Vorschau für Firmen: Wer auf /firmen/vorschau eine Vorschau für eine eigene Edition erstellt, meldet sich wie beim Konto per E-Mail-Link an (das bestätigt die Adresse) und ergänzt das Konto um Angaben zur Firma: Name der Ansprechperson, Firma (oder Stadt, Verein), Website, Größe, Rolle und – freiwillig – eine Telefonnummer. Diese Angaben fragen wir nur in diesem Ablauf ab, nie beim normalen Konto. Unser Server liest die angegebene Website (nur öffentliche Seiten) und schickt deren Text an OpenAI (USA, EU-Standardvertragsklauseln), um eine Vorschau zu erstellen; personenbezogene Angaben aus dem Konto gehen dabei nicht an OpenAI. Die Vorschauen speichern wir am Konto. Über neue Kontakte, Vorschauen und Angebotsanfragen informieren wir uns selbst per E-Mail (über Resend) bzw. per Push-Nachricht ohne personenbezogene Angaben. Wir nutzen die Angaben, um die Vorschau zu zeigen und euch auf eure Anfrage hin zu beraten und ein Angebot zu machen (Art. 6 Abs. 1 lit. b DSGVO, vorvertragliche Maßnahmen); Werbung schicken wir euch dafür nicht. Gelöscht wird alles mit dem Konto (unter /konto jederzeit möglich, sonst nach 24 Monaten ohne Nutzung) oder auf eine kurze Nachricht an uns.

Persönliche Beratung für Firmen: Über das Formular „Persönliche Beratung anfragen“ auf /firmen könnt ihr uns ohne Konto schreiben. Wir speichern dann Name, E-Mail-Adresse, Firma (oder Stadt, Verein), Website, Größe, Rolle, – freiwillig – eine Telefonnummer und eure Nachricht bei unserem Hoster Cloudflare und informieren uns selbst per E-Mail (über Resend) bzw. per Push-Nachricht ohne personenbezogene Angaben. Damit niemand das Formular überschwemmt, merken wir uns zu jeder Anfrage eine gekürzte Prüfsumme von IP-Adresse und Browser (nicht die IP-Adresse selbst). Wir nutzen die Angaben nur, um euch auf eure Anfrage hin zu beraten und ein Angebot zu machen (Art. 6 Abs. 1 lit. b DSGVO, vorvertragliche Maßnahmen); Werbung schicken wir euch dafür nicht. Die Anfrage löschen wir nach einem Jahr oder früher auf eine kurze Nachricht an uns.

Firmen-Menü (Bestellen einer Spezial-Edition): Bestellt ihr eine Spezial-Edition selbst, speichern wir an eurem Konto die Rechnungsdaten – Firma, optional Ansprechperson, Anschrift, Land, optional USt-IdNr. und die E-Mail-Adresse für Rechnungen – sowie eure Editionen, gebuchten Module und Bestellungen. Rechnungsdaten und USt-IdNr. geben wir an unseren Zahlungsdienstleister Stripe (Stripe Payments Europe Ltd., Irland), der die Zahlung abwickelt, die Laufzeit abrechnet, die Rechnungen schreibt und per E-Mail verschickt und eine EU-USt-IdNr. beim Mehrwertsteuer-Informationsaustauschsystem der EU (VIES) prüft. Über unseren E-Mail-Dienst Resend schreiben wir nur an die E-Mail-Adresse des Kontos, mit dem die Edition angelegt wurde: wenn Spielzeit-Codes bereitliegen, wenn die Edition live ist, kurz bevor eine nicht verlängerte Laufzeit endet und wenn die Edition archiviert wurde – mit dem Namen der Edition und Links ins Firmen-Menü. Rechtsgrundlage ist die Vertragsdurchführung (Art. 6 Abs. 1 lit. b DSGVO); Rechnungen und Buchungsdaten bewahren wir so lange auf, wie es Handels- und Steuerrecht verlangen (Art. 6 Abs. 1 lit. c DSGVO, § 257 HGB, § 147 AO).

Gutscheine eurer Firma per E-Mail: Hat euch eine Firma (z. B. euer Arbeitgeber) einen Gutschein für ihre Spezial-Edition per E-Mail geschickt, hat sie uns dafür eure E-Mail-Adresse und ggf. euren Namen gegeben. Verantwortlich ist dann die Firma; wir verarbeiten die Angaben nur in ihrem Auftrag (Art. 28 DSGVO), um euch den Code zu schicken und der Firma zu zeigen, ob die E-Mail zugestellt, abgewiesen oder von euch als Spam markiert wurde – ob ihr sie öffnet oder auf Links klickt, erfassen wir nicht. Die E-Mail verschicken wir über Resend, Inc. (USA, EU-US Data Privacy Framework und Standardvertragsklauseln). Adresse, Name und die Zuordnung zum Code löschen wir 30 Tage nach dem Versand; danach bleibt nur die Zahl der verschickten E-Mails. Für Auskunft, Widerspruch oder Löschung wendet euch an die Firma – oder an uns, wir geben es weiter.

Angebote und Rechnungen für Firmen: Für ein Angebot zu einer Spezial-Edition speichern wir die Firmendaten, die uns die Firma dafür gibt – Firmenname, Anschrift, optional Ansprechperson, E-Mail-Adresse und USt-IdNr. – zusammen mit den angebotenen Positionen und Preisen. Die Angaben bleiben bei uns und gehen an niemanden weiter. Rechtsgrundlage sind vorvertragliche Maßnahmen und die Vertragsdurchführung (Art. 6 Abs. 1 lit. b DSGVO); angenommene Angebote und Rechnungen bewahren wir so lange auf, wie es das Handels- und Steuerrecht verlangt (Art. 6 Abs. 1 lit. c DSGVO, § 257 HGB, § 147 AO), nicht angenommene Angebote löschen wir auf eine kurze Nachricht an uns.

Anmelden mit Spoboo (freiwillig): Statt per E-Mail-Link könnt ihr euch mit eurem Konto bei Spoboo anmelden, einem Produkt der spoboo GmbH – und umgekehrt bei Spoboo mit eurem Couch-Clash-Konto. Das passiert nur, wenn ihr den Knopf dafür antippt und auf der anderen Seite bestätigt. Über einen kurzlebigen, signierten Link (2 Minuten, nur einmal gültig) geht dabei nur die bestätigte E-Mail-Adresse mit der Kennung des Kontos auf der jeweils anderen Seite hin und her – keine Namen, keine Spielstände, keine Käufe. Meldet ihr euch hier mit Spoboo an, speichern wir die Adresse in eurem Konto und die Spoboo-Kennung als Verknüpfung (mit dem Konto gelöscht). Damit ein Link nur einmal funktioniert, merken wir uns einen Tag lang einen Hash seiner Kennung. Rechtsgrundlage ist die Durchführung des gewünschten Dienstes (Art. 6 Abs. 1 lit. b DSGVO). Spoboo und Couch Clash haben jeweils ihr eigenes Profilbild; nichts wird automatisch abgeglichen. Wollt ihr bei Spoboo eine eurer Couch-Clash-Figuren als Profilbild, wählt ihr sie hier unter /konto/avatar-spoboo aus – erst dann bekommt Spoboo genau dieses eine Bild (über einen einmaligen Code, 2 Minuten gültig), keine anderen Figuren und keine weiteren Daten. Rechtsgrundlage ist eure Einwilligung (Art. 6 Abs. 1 lit. a DSGVO) durch die Auswahl.

Empfehlungen: Teilen- und Empfehlungslinks führen einfach zu Couch Clash, ohne Empfehlungscode. Wir speichern nicht, wer wen empfohlen hat, und es gibt dafür weder Rabatt noch Belohnung. Für unsere Statistik zählen wir nur Ereignisse (geteilt, aufgerufen, mitgeraten, Gratis-Runde geklickt) – ohne IP-Adresse, ohne Personenbezug, ohne Drittanbieter-Tracking. Rechtsgrundlage ist unser berechtigtes Interesse an einer anonymen Zählung (Art. 6 Abs. 1 lit. f DSGVO).

Partnerprogramm: Manche Partner (z. B. Creator oder Vereine) haben einen eigenen Code und Link. Spielt ihr damit, bekommt euer Spielraum einen Rabatt, und der Partner erhält eine Provision auf diese Käufe. Dafür merken wir uns am Spielraum, welcher Partnercode gilt, und speichern zu jedem Kauf damit: Partner, Raum-Kennung, Paket, Listenpreis, Rabatt, bezahlten Betrag (brutto und netto), Zahlungsart, Provision und deren Status – keine Namen, keine E-Mail-Adressen der Käufer. Der Partner erfährt nichts über euch, sondern bekommt von uns nur Summen für seine Abrechnung. Auf den Kaufseiten im Raum steht „empfohlen von“ mit dem Namen des Partners. Von unseren Partnern selbst speichern wir Name, Code, Konditionen und – für Gutschrift und Buchhaltung – optional E-Mail-Adresse, Anschrift und ob sie Kleinunternehmer sind. Rechtsgrundlage: Durchführung des Kaufs mit Rabatt (Art. 6 Abs. 1 lit. b DSGVO), bei den Partnern der Partnervertrag (Art. 6 Abs. 1 lit. b DSGVO) und die gesetzlichen Aufbewahrungsfristen für Abrechnungsdaten (Art. 6 Abs. 1 lit. c DSGVO i. V. m. HGB und AO).

10. Hilfe und Fehlerberichte

Über „Hilfe“ bzw. „Problem melden“ könnt ihr uns schreiben. Wir speichern eure Nachricht, das gewählte Thema und – freiwillig – eure E-Mail-Adresse, damit wir antworten können. Automatisch dabei sind technische Angaben zur Fehlersuche: Raumcode, Spielphase und Spiel, App-Version, Browser, Bildschirmgröße sowie die letzten Fehlermeldungen und Ereignisse auf dem Gerät – keine Spielnamen und keine Antworten. Stürzt die Seite ab, senden wir den Fehlertext mit denselben technischen Angaben (ohne Nachricht und ohne E-Mail) auch ohne eure Meldung. Gespeichert wird bei Cloudflare; Antworten verschicken wir über Resend. Über eine neue Meldung werden wir per E-Mail und Kurznachricht benachrichtigt – die Kurznachricht enthält nur Thema, Raumcode und Meldungsnummer, nie eure Nachricht oder E-Mail-Adresse. Für die Fehlerbehebung können wir den Inhalt ohne E-Mail-Adresse in unser nicht öffentliches Entwicklungssystem (GitHub, Inc., USA) übernehmen. Wenn ihr Geld zurück möchtet, erstatten wir über Stripe. Rechtsgrundlage ist die Bearbeitung eures Anliegens (Art. 6 Abs. 1 lit. b DSGVO) bzw. unser berechtigtes Interesse an einem fehlerfreien Angebot (Art. 6 Abs. 1 lit. f DSGVO). Meldungen löschen wir nach 12 Monaten, automatische Fehlerberichte nach 90 Tagen.

11. Spieleabende über Spoboo

Plant ein Host einen Spieleabend in der App Spoboo (ebenfalls spoboo GmbH), übermittelt Spoboo uns für diesen Abend: Datum, Modus, Sprache, ob der Abend öffentlich oder privat ist, und für jede eingeladene Person eine Kennung, den Anzeigenamen, die Zusage und ob sie vorbeikommt oder von zu Hause spielt. Daraus erzeugen wir einen reservierten Raumcode und für jede eingeladene Person einen persönlichen Teilnahmelink. Über den Gruppenlink eines Spieleabends (z. B. in einer WhatsApp-Gruppe geteilt) könnt ihr euch auch selbst eintragen: Wir speichern dann den eingegebenen Namen und ob ihr vorbeikommt oder von zu Hause spielt, erzeugen euren persönlichen Link und teilen Spoboo diese Anmeldung mit, damit ihr im Event erscheint. Bei Kinder-Events genügt ein Vorname oder Spitzname. Solange ihr auf der Warteseite eures persönlichen Links auf den Start wartet, merken wir uns, wann sie zuletzt nachgefragt hat; der Host sieht daraus nur, wie viele gerade warten. Den Namen des Hosts und Adressen erhalten bzw. speichern wir nicht. Tritt jemand dem Spiel bei, melden wir Spoboo den Spielnamen, den Zeitpunkt und – bei Eingeladenen – deren Kennung, damit der Host im Event sieht, wer schon dabei ist. Nach dem Spiel senden wir Spoboo die Rangliste (Spielnamen, Punkte und – bei Eingeladenen – deren Kennung), damit sie im Event erscheint. Rechtsgrundlage ist die Durchführung des Spieleabends, den ihr über Spoboo vereinbart habt (Art. 6 Abs. 1 lit. b DSGVO). Die Daten liegen bei Cloudflare und werden 30 Tage nach dem Termin gelöscht. Auf dem Handy merken wir uns die Einladung für den Raum (Local Storage), damit ihr nach einem Neuladen wieder reinkommt.

Lustiges Profilbild für Spoboo (freiwillig): Wer sich in Spoboo ein Profilbild im Couch-Clash-Stil erstellen lässt, dessen Foto schickt Spoboo an uns; wir lassen daraus bei OpenAI, L.L.C. (USA) das Bild der Figur malen und geben es sofort an Spoboo zurück. Bei uns wird dabei weder das Foto noch das Bild gespeichert, und wir erfahren keinen Namen und keine Kennung der Person. Rechtsgrundlage ist die Einwilligung, die ihr in Spoboo vor dem Erstellen gebt (Art. 6 Abs. 1 lit. a DSGVO).

Firmenevents (Couch Clash Business): Bei einem Firmenevent spielen viele Teams gleichzeitig. Ihr tretet über den Link oder den QR-Code am Tisch ohne Konto bei – nur mit einem Spitznamen, einer Figur und freiwillig einem Gruppencode (damit Kolleg:innen ins selbe Team kommen). Diese Angaben speichern wir beim Event (Cloudflare), um euch Teams zuzuteilen und den Zähler „… sind da“ zu zeigen; dazu, welche Fragen euer Team gespielt hat und wann sie begannen (für den Fairness-Abgleich zwischen den Teams). Rechtsgrundlage ist die Durchführung des Events, zu dem euch euer Arbeitgeber eingeladen hat (Art. 6 Abs. 1 lit. b und f DSGVO). Ein Event wird 30 Tage nach dem Anlegen gelöscht, die Spielräume wie immer nach 24 Stunden. Auf dem Handy merken wir uns euren Platz im Event (Local Storage), damit ihr nach einem Neuladen wieder reinkommt. Auf dem Bühnenscreen erscheinen die Spitznamen der Besten (wenn die Einzelwertung eingeschaltet ist) und der Spieler im Halbfinale und Finale; nur dort spricht der Moderator, und dabei können Spitznamen vorgelesen werden (ElevenLabs, siehe Abschnitt 7).

12. Kinderspiele und Lernwörter

In den kostenlosen Kinderspielen spricht der Moderator nur Sätze, die schon gespeichert sind – während des Spiels geht nichts an einen KI-Dienst, und Foto-Figuren gibt es dort nicht. Für „Lernwörter schreiben“ könnt ihr eigene Wortlisten anlegen. Wir speichern den Namen der Liste, die Wörter und die Einstellungen (Sekunden pro Buchstabe, Rundendauer) bei Cloudflare, dazu einen verschlüsselten Wert (Hash) des geheimen Schlüssels eures Geräts, dem die Liste gehört – kein Name, keine E-Mail. Beim Speichern werden neue Wörter einmal an ElevenLabs übermittelt, damit sie vorgelesen werden können; die Aussprache legen wir ohne Bezug zu eurer Liste ab und nutzen sie für dasselbe Wort wieder. Tragt bitte keine Namen oder andere persönlichen Angaben als Lernwörter ein. Rechtsgrundlage ist die Bereitstellung der Funktion, die ihr nutzt (Art. 6 Abs. 1 lit. b DSGVO). Eine Liste, die ein Jahr lang weder gespielt noch geändert wurde, löschen wir automatisch; ihr könnt sie jederzeit selbst löschen. Die Ergebnisse eines Kindes (welche Wörter geschafft, welche Schreibweisen daneben waren) speichern wir nur auf dem Handy des Kindes (Local Storage), nicht auf unseren Servern.

Im Kindermodus und in den Kinderspielen gibt ein Kind wie alle anderen einen Spielnamen ein (ein Spitzname reicht) und baut sich seine Figur aus festen Bausteinen (Frisur, Sommersprossen, Brille … – kein Foto) oder wählt ein Tier. Dazu tippt es sein Alter (4 bis 12+) und seine Klasse (Kita, Vorschule, 1 bis 6) an. Spielname, Figur, Alter und Klasse halten wir nur im laufenden Spielraum bei Cloudflare – alle Bildschirme des Raums zeigen sie, damit die Spiele zu den Kindern passen – und löschen sie mit dem Raum spätestens nach 24 Stunden. Alter und Klasse gehen an keinen anderen Dienst und nicht in Statistiken oder Spielprotokolle; der Spielname wird verarbeitet wie jeder Spielername (siehe oben), ein Konto ist nicht nötig. Euer Handy merkt sich die Kinder, die darauf gespielt haben (Local Storage), damit sie beim nächsten Mal nur noch antippen müssen – mit „✕“ könnt ihr ein Kind dort jederzeit vergessen. Rechtsgrundlage ist die Durchführung des Spiels (Art. 6 Abs. 1 lit. b DSGVO).

Im Spiel „Mathe & Deutsch“ wählt jeder auf seinem Handy seine Klasse (1 bis 6) oder „Erwachsen“. Die Stufe halten wir nur im laufenden Spielraum, damit jeder passende Aufgaben bekommt; der Fernseher zeigt sie nicht an. Euer Handy merkt sich die zuletzt gewählte Stufe (Local Storage), damit sie beim nächsten Mal schon ausgewählt ist. Kommentiert der Moderator eine Aufgabe live, erfährt die KI (OpenAI) nur, ob ein Spielname zu einem Kind oder einem Erwachsenen gehört – nie die Klasse und nie die Aufgabe. In den kostenlosen Kinderspielen geht auch das an keine KI. Rechtsgrundlage ist die Durchführung des Spiels (Art. 6 Abs. 1 lit. b DSGVO).

Im Klassenmodus sieht die Lehrkraft nach einer Runde eine Auswertung. Die Einzelergebnisse mit Namen werden nur auf ihrem eigenen Bildschirm angezeigt (nicht auf verbundenen Fernsehern) und nirgends gespeichert; ein CSV-Download oder Ausdruck entsteht nur auf ihrem Gerät. Erstellt die Lehrkraft einen „Link zur Auswertung“, speichern wir nur die anonyme Klassenübersicht bei Cloudflare – je Aufgabe, wie viele Kinder sie richtig hatten, der häufigste Fehler (nur wenn mindestens zwei Kinder ihn gleich geschrieben haben) und die Fehler je Aufpassstelle bzw. Einmaleins-Reihe; keine Namen, keine Kennungen der Kinder. Wer den Link hat, kann die Übersicht öffnen. Nach 30 Tagen löschen wir sie automatisch. Rechtsgrundlage ist die Bereitstellung der Funktion (Art. 6 Abs. 1 lit. b DSGVO).

Wir werben mit Anzeigen in der Google-Suche. Um zu sehen, welche Anzeigen sich lohnen, nutzen wir das Conversion-Tracking von Google Ads der Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland („Google“) – nur, wenn ihr im Cookie-Banner „Alle akzeptieren“ wählt. Ohne eure Einwilligung laden wir kein Skript von Google, es werden keine Google-Cookies gesetzt und es geht nichts an Google.

Mit eurer Einwilligung lädt eure Seite das Google-Tag (gtag.js). Es setzt Cookies (z. B. _gcl_au, _gcl_aw, bis zu 90 Tage) und meldet Google, wenn nach einem Klick auf eine unserer Anzeigen eine Testrunde startet oder ein Kauf abgeschlossen ist – mit dem Betrag, der Währung und einer Kennung des Kaufs (Stripe-Bestellnummer), keine Namen, keine E-Mail-Adressen, keine Zahlungsdaten. Google erhält dabei technisch eure IP-Adresse und Browser-Informationen und kann die Messung mit eurem Google-Konto verbinden, wenn ihr dort angemeldet seid. Wir nutzen den Google Consent Mode (v2): Standard ist „abgelehnt“, erst eure Zustimmung schaltet die Messung ein.

Außerdem merken wir uns mit eurer Einwilligung 30 Tage im Browser, über welche Anzeige ihr gekommen seid (Kampagne, Anzeigengruppe, Suchbegriff und die Klick-Kennung gclid aus dem Link), und speichern diese Angaben beim Kauf an der Bestellung (bei uns und in den Metadaten bei Stripe), damit wir Umsatz und Anzeige einander zuordnen können. Ohne Einwilligung gehen nur Kampagne und Suchbegriff aus dem Link der Anzeige mit, solange ihr auf der Seite bleibt – nicht die Klick-Kennung, nichts wird im Browser gespeichert.

Google kann Daten auch in die USA übermitteln; Google LLC ist nach dem EU-US Data Privacy Framework zertifiziert, zusätzlich gelten die Standardvertragsklauseln der EU-Kommission. Für die Conversion-Messung sind wir und Google gemeinsam bzw. jeweils eigenständig verantwortlich (Google Ads Controller-Controller Data Protection Terms). Mehr bei Google: policies.google.com/privacy. Rechtsgrundlage ist eure Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG). Ihr könnt sie jederzeit über „Cookie-Einstellungen“ unten auf jeder Seite widerrufen; dann löschen wir die gespeicherte Anzeige und die Google-Cookies im Browser.

14. Eure Rechte

Ihr habt das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch sowie das Recht, eine Einwilligung jederzeit zu widerrufen. Schreibt uns dazu an info@spoboo.com. Außerdem könnt ihr euch bei einer Datenschutz-Aufsichtsbehörde beschweren, zum Beispiel beim Landesbeauftragten für den Datenschutz und die Informationsfreiheit Baden-Württemberg.

Eine automatisierte Entscheidungsfindung oder ein Profiling findet nicht statt.