Datenschutzerklärung

1. Verantwortlich

Verantwortlich für die Datenverarbeitung ist WERBEDREI, Gewerbestrasse 2, 2102 Bisamberg, Österreich (weitere Angaben im Impressum unter https://nebulonx.io/imprint). Für alle Fragen zum Datenschutz und für deine Anfragen erreichst du uns unter [email protected].

2. Besuch der Website

Wenn du nebulonx.io aufrufst, verarbeitet unser Webserver technisch notwendige Angaben: deine IP-Adresse, Datum und Uhrzeit, die aufgerufene Adresse und die Kennung deines Browsers. Das ist nötig, um die Seiten auszuliefern und Angriffe abzuwehren (berechtigtes Interesse, Art. 6 Abs. 1 lit. f DSGVO). Die Protokolle bewahren wir nur so lange auf, wie es für diese Zwecke nötig ist.

Die Website setzt keine Cookies. Im Speicher deines Browsers (localStorage) merkt sie sich höchstens die Sprache, die du gewählt hast, und ob du den Sprach-Hinweis geschlossen hast. Diese Angaben verlassen dein Gerät nicht.

Die Seiten „Galaxien“, „Status“ und die Startseite fragen öffentliche Eckdaten direkt bei unseren Galaxien ab (zum Beispiel g1.nebulonx.io), ohne Cookies. Schriften und Bilder liefern wir selbst aus.

Auf der Seite „Abstimmen“ zeigen wir das Banner eines Spiele-Portals, das dein Browser von dessen Server lädt (derzeit topg.org). Dabei erfährt das Portal deine IP-Adresse; wir senden keine Herkunftsadresse mit. Erst wenn du dort klickst, gelten die Datenschutzbestimmungen des Portals.

3. Dein NebulonX-Konto

Für das Konto verarbeiten wir die Daten, die für das Spiel nötig sind (Vertragserfüllung, Art. 6 Abs. 1 lit. b DSGVO):

• E-Mail-Adresse, Anzeigename, Sprache und eine öffentliche Kontokennung; freiwillig dein Herkunftsland (nie aus der IP-Adresse ermittelt) und wer dein Profil sehen darf,
• Sammlung, Medaillen, Saison-Ergebnisse, Konto-Level, Sternsplitter samt Buchungen, Premium-Zeiträume, Freunde, frühere Namen und Allianz-Mitgliedschaften,
• deine Einstellungen (zum Beispiel Benachrichtigungen und wer dir schreiben darf),
• Passkeys: nur der öffentliche Schlüssel, eine Kennung des Schlüssels und Angaben zum Gerätetyp. Der private Schlüssel bleibt auf deinem Gerät.

Anmeldung: Du meldest dich mit einem Link per E-Mail (24 Stunden gültig) oder mit einem Passkey an. Für deine Sitzung speichern wir nur einen Prüfwert (Hash), dazu deine IP-Adresse als nicht umkehrbaren Prüfwert (bei IPv6 nur das Netz) und eine gekürzte Browserkennung, damit du deine angemeldeten Geräte erkennst und wir Missbrauch erkennen. Abgelaufene Sitzungen löschen wir nach 30 Tagen.

Zustimmung und Ankündigungen: Beim Anlegen des Kontos und wenn eine neue Fassung der Nutzungsbedingungen deine ausdrückliche Zustimmung braucht, speichern wir, wann du welcher Fassung zugestimmt und dein Mindestalter bestätigt hast (mit dem Prüfwert deiner IP-Adresse im Protokoll des Kontos). Kündigen wir dir eine neue Fassung per E-Mail an, speichern wir, welche Fassung das war und wann die Mail an dich ging. Beides dient als Nachweis (berechtigtes Interesse, Art. 6 Abs. 1 lit. f DSGVO) und bleibt gespeichert, solange das Konto besteht.

Wenn du eine Galaxie betrittst, übermittelt das Konto ihr, was sie für das Spiel braucht: Kontokennung, Name, Sprache, Status, Premium, Level, Land, Freunde, Sammlung und deine Einstellungen.

Umfragen: Nimmst du freiwillig an einer Umfrage des Teams teil (im Konto unter „Umfragen“), speichern wir deine Antworten ohne Bezug zu deinem Konto, ohne Zeitpunkt und unter einer zufälligen Kennung — die Auswertung zeigt nie, wer was geantwortet hat. Getrennt davon merken wir uns nur, dass dein Konto teilgenommen hat (Tag und gegebenenfalls gebuchte Sternsplitter), um doppelte Teilnahme zu verhindern und die Belohnung einmal zu buchen (Vertragserfüllung, Art. 6 Abs. 1 lit. b DSGVO); diese Zuordnung löschen wir 90 Tage nach dem Ende der Umfrage. Eine Belohnung steht wie jede Buchung in deiner Geldbörse. Schreib in Freitexte bitte nichts, woran man dich erkennen kann.

4. Spielen in einer Galaxie

In jeder Galaxie speichern wir deinen Spielstand (Planeten, Gebäude, Forschung, Flotten, Berichte, Rangliste) und was du dort schreibst: Nachrichten, Beiträge im Allianz-Feed, Nachrichten im Allianzchat, Bewerbungen, Notizen, Namen von Planeten und Allianzen. Rechtsgrundlage ist die Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO). Die meisten Galaxien laufen in Saisons: Am Ende einer Saison wird die Galaxie zurückgesetzt, Planeten, Flotten, Berichte und Nachrichten werden dann gelöscht, Allianzen bleiben mit ihrem Feed bestehen. Eine Dauer-Galaxie hat kein Saisonende: Dort bleiben dein Spielstand und deine Nachrichten gespeichert, bis die Galaxie endet oder zurückgesetzt wird. Für Nachrichten gibt es dort keine kürzere Frist; löschst du eine Nachricht in deinem Postfach, verschwindet sie nur bei dir.

Älteren Spielverlauf löschen wir in jeder Galaxie auch schon vorher: abgeschlossene Flüge sowie Spionage-, Radar- und Vermessungsberichte nach 30 Tagen, Kampfberichte, abgeschlossene Handelsgeschäfte und die Protokolle zu Punkten und Karma nach 90 Tagen. Ausgenommen sind Berichte, die du mit einem Stern gespeichert hast, und Kampfberichte in der Hall of Fame, bei den Rekorden oder an einem Ticket. Vom Verlauf deiner Punkte bleibt nach 60 Tagen nur ein Wert je Tag.

Allianz-Logos lädst du als Bild hoch. Wir kodieren es neu und speichern es ohne Metadaten. Wird das Logo ersetzt oder die Allianz aufgelöst, löschen wir es.

Spielauswertung: In Galaxien, bei denen wir das ankündigen (zum Beispiel einer Alpha- oder Test-Galaxie), zeichnen wir zusätzlich auf, wie sich das Spiel entwickelt, um das Balancing zu verbessern: einmal am Tag den Spielstand jedes Spielers (Planeten mit Gebäuden, Feldern, Biom und Lager; Forschung, Schiffe, Verteidigung, Klasse und Fähigkeiten), jeden Flug (Auftrag, Start, Ziel, Schiffe, Ladung, Zeiten, Ergebnis) und die Entscheidungen der Bots; die Buchungen der Rohstoffe und die Expeditionsberichte der Bots bewahren wir dort ebenfalls so lange auf. Darin stehen nur Spielstände und Spielaktionen mit deiner Spielerkennung, keine Nachrichten und keine Verbindungsdaten. Rechtsgrundlage ist unser berechtigtes Interesse an einem ausgewogenen Spiel (Art. 6 Abs. 1 lit. f DSGVO). Wir löschen diese Aufzeichnung 30 Tage nach dem Ende der Saison, auch wenn die Galaxie vorher zurückgesetzt wird.

5. Fair Play und Sicherheit

Um Mehrfachkonten, Bots und Angriffe zu erkennen, speichern wir bei der Anmeldung in einer Galaxie Merkmale deiner Verbindung: IP-Adresse, Netz und Browserkennung, aber nur als nicht umkehrbare Prüfwerte (mit einem geheimen Schlüssel gebildet, kein Klartext), für 30 Tage. Dazu kommen Zähler deiner Spielaktivität je Stunde (14 Tage), Treffer unserer Tempolimits (30 Tage) und Prüfergebnisse (90 Tage). Rechtsgrundlage ist unser berechtigtes Interesse an einem fairen und sicheren Spiel (Art. 6 Abs. 1 lit. f DSGVO).

Eingriffe unseres Teams (zum Beispiel Sperren) protokollieren wir, damit sie nachvollziehbar bleiben, und löschen diese Einträge nach 24 Monaten.

6. Zahlungen über Stripe

Premium bezahlst du über Stripe (Stripe Payments Europe, Ltd., Irland). Deine Zahlungsdaten gibst du direkt in das Zahlungsformular von Stripe ein; wir sehen sie nicht. Das Zahlungsformular lädt erst, wenn du auf „Kaufen“ klickst.

An Stripe übermitteln wir Betrag, Währung, Paket, eine interne Zahlungs- und Kontokennung und deine E-Mail-Adresse für die Zahlungsbestätigung. Zur Berechnung der Umsatzsteuer verarbeitet Stripe dein Land, bei den USA und Kanada auch die Postleitzahl.

Wir speichern zu jedem Kauf: Paket, Betrag, Währung, Steuerland und -betrag, die Kennung der Zahlung bei Stripe, ihren Status, den Zeitpunkt deiner Zustimmung zum sofortigen Beginn (Widerrufsrecht) und deine IP-Adresse als nicht umkehrbaren Prüfwert. Um die passende Währung anzuzeigen, ermitteln wir dein Land grob aus deiner Verbindung.

Den Beleg eines Kaufs (Paket, Betrag, Währung, Steuerland und -betrag, Kennungen der Zahlung bei Stripe, Zeitpunkt der Zustimmung zum sofortigen Beginn) bewahren wir sieben volle Kalenderjahre nach dem Jahr der Zahlung auf, wie es das österreichische Steuerrecht verlangt (§ 132 BAO), und löschen ihn danach. Der Beleg nennt dein Konto nur über eine zufällige Kennung, nicht über Name oder E-Mail-Adresse; wird dein Konto gelöscht, bleibt er so pseudonymisiert stehen. Den Prüfwert deiner IP-Adresse an einem Kauf, nie abgeschlossene Kaufvorgänge und die technischen Benachrichtigungen von Stripe löschen wir nach 13 Monaten. Die E-Mail-Adresse für die Zahlungsbestätigung liegt nur bei Stripe.

Rechtsgrundlagen sind die Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO) und gesetzliche Aufbewahrungspflichten für Buchungsbelege (Art. 6 Abs. 1 lit. c DSGVO). Für die Verarbeitung bei Stripe gilt zusätzlich die Datenschutzerklärung von Stripe.

7. E-Mails

Ohne dein Zutun schicken wir nur E-Mails, die für dein Konto nötig sind: Anmelde-Links, die Bestätigung einer neuen E-Mail-Adresse samt Hinweis an die alte, Hinweise zur Registrierung und die Ankündigung neuer Fassungen der Nutzungsbedingungen und dieser Datenschutzerklärung. Auf deinen Wunsch schicken wir außerdem eine Mail, wenn eine Galaxie öffnet, die du dir im Konto vorgemerkt hast („Benachrichtige mich zum Start“): einmal, weil du sie angefordert hast (Art. 6 Abs. 1 lit. b DSGVO); die Vormerkung löschen wir 30 Tage nach dieser Mail. Werbung von Dritten verschicken wir nie; eigene Neuigkeiten nur mit deiner Einwilligung.

Neuigkeiten per E-Mail: Nur wenn du ausdrücklich einwilligst (Art. 6 Abs. 1 lit. a DSGVO), schreiben wir dir über Neuigkeiten von NebulonX, etwa wenn eine neue Galaxie öffnet oder eine Saison startet. Einwilligen kannst du mit einem eigenen Häkchen bei der Registrierung oder in deinem Konto unter „Benachrichtigungen“; vorausgewählt ist es nie, und zum Spielen brauchst du es nicht. Widerrufen kannst du jederzeit dort oder über den Link „Abbestellen“ in jeder dieser Mails; der Widerruf wirkt für die Zukunft. Wir speichern dazu, wann und wo (Registrierung oder Konto) du eingewilligt hast und welchem Wortlaut, und wann und auf welchem Weg du widerrufen hast; wie bei der Zustimmung zu den Nutzungsbedingungen steht im Protokoll des Kontos ein Eintrag mit dem Prüfwert deiner IP-Adresse. Diesen Nachweis bewahren wir auf, solange die Einwilligung besteht, und nach einem Widerruf noch 3 Jahre, damit wir belegen können, dass wir dir schreiben durften (Art. 7 Abs. 1 und Art. 6 Abs. 1 lit. f DSGVO); wird dein Konto gelöscht, löschen wir ihn mit. Welche Neuigkeit an dich ging, merken wir uns 30 Tage, damit keine doppelt kommt.

Für den Versand nutzen wir Microsoft 365 (Exchange Online). E-Mails an uns laufen über den Filterdienst von Hornetsecurity, der sie auf Spam und Schadsoftware prüft, und landen dann ebenfalls in Microsoft 365.

8. Tickets und „Problem melden“

Wenn du uns ein Ticket schreibst oder ein Problem meldest, speichern wir deinen Text, die Antworten und, falls du welche anhängst, Bilder. Bei „Problem melden“ hängen wir technische Angaben an, die bei der Fehlersuche helfen: Browserkennung, Bildschirmgröße und Spracheinstellungen.

Bilder prüfen wir auf Schadsoftware und kodieren sie neu. Dabei entfernen wir Metadaten wie Kamera- und Standortangaben (GPS). Sie sind nur für dich und unser Team sichtbar. Bilder, die du hochlädst, aber nicht abschickst, löschen wir nach 24 Stunden.

Erledigte Tickets (im Konto und in den Galaxien, auch „Problem melden“) löschen wir samt Nachrichten und Bildern 12 Monate nach der letzten Änderung; offene Tickets bleiben, bis sie erledigt sind. Rechtsgrundlage ist die Vertragserfüllung bzw. dein Anliegen (Art. 6 Abs. 1 lit. b DSGVO).

9. Verbindungen mit anderen Diensten

Wenn du dein NebulonX-Konto freiwillig mit Discord, Steam, Xbox (Microsoft), Apple oder Google verbindest, meldest du dich dort an und der Dienst übermittelt uns deine Kennung bei diesem Dienst und, soweit der Dienst ihn liefert, deinen dortigen Anzeigenamen. Wir speichern nur diese beiden Angaben, um die Verbindung anzuzeigen, Missbrauch der einmaligen Belohnung zu verhindern und, nur bei Discord, deine Rollen im NebulonX-Discord („Linked Roles“: Konto verbunden, Konto-Level, Zahl der Galaxien, Konto-Alter, Kontoname) aktuell zu halten; dafür speichern wir bei Discord zusätzlich einen verschlüsselten Zugriffsschlüssel. Mailadresse, Passwort oder weitere Profildaten erhalten bzw. speichern wir nicht.

Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO) bzw. die Erfüllung der Nutzungsvereinbarung (lit. b); du kannst jede Verbindung jederzeit unter Profil → Verbindungen trennen. Dann löschen wir Kennung, Namen und Schlüssel sofort; zurück bleibt nur ein nicht umkehrbarer Prüfwert der Kennung, damit die einmalige Belohnung nicht erneut ausgezahlt wird (berechtigtes Interesse, lit. f). Für die Anmeldung beim jeweiligen Dienst gelten dessen Datenschutzbestimmungen.

10. Push-Benachrichtigungen

Push-Benachrichtigungen gibt es nur, wenn du sie in deinem Browser erlaubst (Einwilligung, Art. 6 Abs. 1 lit. a DSGVO). Wir speichern dann die Zustelladresse, die dein Browser dafür erzeugt, die zugehörigen Schlüssel und die Browserkennung. Zugestellt werden die Hinweise über den Push-Dienst deines Browserherstellers (zum Beispiel Google, Mozilla, Apple oder Microsoft). Du kannst Push jederzeit im Spiel oder in deinem Browser abschalten; ungültige Abos löschen wir automatisch. Welche Hinweise wir zugestellt haben, protokollieren wir 90 Tage lang.

11. Nutzungsauswertung und Fehlerberichte

Um das Spiel zu verbessern, zählen wir, welche Funktionen genutzt werden, und wo auf einer Seite geklickt wird. Für Spieler speichern wir dabei nur Summen über alle Spieler, nie je Person, ohne Zeitpunkte und ohne Texte. Die Stundenwerte löschen wir nach 90 Tagen (berechtigtes Interesse, Art. 6 Abs. 1 lit. f DSGVO).

Tritt im Spiel ein Fehler auf, schickt dein Browser einen technischen Fehlerbericht. Wir speichern ihn mit deiner Spielerkennung, aber ohne IP-Adresse, und löschen ihn nach 30 Tagen.

12. Cookies und Speicher im Browser

Wir verwenden nur technisch notwendige Cookies, ohne Tracking. Dafür brauchen wir keine Einwilligung.

• Konto (account.nebulonx.io): Sitzungs-Cookie für die Anmeldung, 30 Tage, verlängert sich bei Nutzung; kurzlebige Cookies für den Anmelde-Link (1 Stunde), die Registrierung (30 Minuten) und die Weitergabe der Anmeldung an eine Galaxie (15 Minuten).
• Galaxien: Sitzungs-Cookie für die Anmeldung, 7 Tage nach einer Anmeldung über das Konto, sonst 30 Tage; ein Cookie für den Anmelde-Link (1 Stunde).
• Im Speicher deines Browsers (localStorage, sessionStorage) merken sich Website, Konto und Spiel Einstellungen wie Sprache, Zeitzone und Darstellung sowie Zwischenstände (zum Beispiel einen begonnenen Kauf). Diese Angaben bleiben auf deinem Gerät.

13. Hosting, Cloudflare und Sicherungen

Unsere Server stehen in einem Rechenzentrum in Deutschland. Für Namensauflösung (DNS) und teilweise als vorgeschalteter Netzwerkdienst (Proxy) nutzen wir Cloudflare. Dabei laufen Anfragen über Server von Cloudflare, das dabei deine IP-Adresse verarbeitet (berechtigtes Interesse an einem schnellen und vor Angriffen geschützten Betrieb, Art. 6 Abs. 1 lit. f DSGVO).

Unsere Datenbanken sichern wir regelmäßig. Sicherungen außer Haus verschlüsseln wir vorher und legen sie bei Cloudflare R2 in der EU ab; sie werden nach etwa 30 Tagen automatisch gelöscht.

14. Empfänger und Übermittlung in Drittländer

Deine Daten sehen nur unser Team und die oben genannten Dienstleister, soweit es für ihre Aufgabe nötig ist: Stripe (Zahlungen), Microsoft (E-Mail), Hornetsecurity (E-Mail-Filter), Cloudflare (Netzwerk, Sicherungen), auf deinen Wunsch die verbundenen Dienste und der Push-Dienst deines Browsers. Einige dieser Anbieter haben ihren Sitz in den USA oder verarbeiten Daten dort. Die Übermittlung stützen sie auf den Angemessenheitsbeschluss der EU-Kommission (EU-US Data Privacy Framework) oder auf Standardvertragsklauseln (Art. 45, 46 DSGVO).

Andere Spieler sehen, was öffentlich ist: Name, Profil (je nach deiner Einstellung), Rangliste, Allianz und was du in Nachrichten oder im Feed schreibst.

15. Wie lange wir speichern

Wir speichern Daten nur so lange, wie sie für den jeweiligen Zweck nötig sind. Die wichtigsten Fristen:

• Anmelde-Links: 24 Stunden; abgelaufene Sitzungen (Konto und Galaxien): 30 Tage
• Verbindungsmerkmale für Fair Play: 30 Tage; Prüfergebnisse: 90 Tage
• Fehlerberichte: 30 Tage; Nutzungs-Stundenwerte: 90 Tage; Zustellprotokoll der Push-Hinweise: 90 Tage
• Erledigte Tickets samt Nachrichten und Bildern: 12 Monate nach der letzten Änderung (offene Tickets, bis sie erledigt sind)
• Teilnahme an einer Umfrage (welches Konto teilgenommen hat): 90 Tage nach dem Ende der Umfrage; die Antworten selbst sind von Anfang an ohne Konto gespeichert
• Abstimmungen: 400 Tage; Protokoll des Kontos und Protokoll der Eingriffe des Teams: 24 Monate
• Spielstand und Nachrichten einer Galaxie: bis zum Ende der Saison, in einer Dauer-Galaxie bis die Galaxie endet oder zurückgesetzt wird
• Älterer Spielverlauf in jeder Galaxie: abgeschlossene Flüge, Spionage-, Radar- und Vermessungsberichte 30 Tage; Kampfberichte, abgeschlossene Handelsgeschäfte, Protokolle zu Punkten und Karma 90 Tage (Berichte mit Stern und Kampfberichte in Hall of Fame, Rekorden oder an Tickets bleiben)
• Nachrichten im Allianzchat: 7 Tage; gemeldete stehen als Kopie im Ticket
• Spielauswertung (nur auf angekündigten Galaxien): 30 Tage nach dem Ende der Saison
• Zahlungsbelege: sieben volle Kalenderjahre nach dem Jahr der Zahlung (§ 132 BAO), pseudonymisiert; Prüfwert der IP-Adresse eines Kaufs, nie abgeschlossene Kaufvorgänge und technische Benachrichtigungen von Stripe: 13 Monate
• Zustimmung zu den Nutzungsbedingungen (Zeitpunkt und Fassung), Nachweis der Ankündigungs-Mails neuer Fassungen und Konto: solange das Konto besteht
• Einwilligung in Neuigkeiten per E-Mail (Zeitpunkt, Weg, Wortlaut, Widerruf): solange sie besteht, nach einem Widerruf 3 Jahre; welche Neuigkeit an dich ging: 30 Tage; Vormerkung für den Start einer Galaxie: 30 Tage nach der Start-Mail

16. Deine Rechte

Du hast das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch gegen Verarbeitungen aus berechtigtem Interesse (Art. 21). Eine Einwilligung kannst du jederzeit mit Wirkung für die Zukunft widerrufen. Schreib uns dazu einfach von der E-Mail-Adresse deines Kontos an [email protected].

Du kannst dich außerdem bei einer Datenschutz-Aufsichtsbehörde beschweren, zum Beispiel bei der österreichischen Datenschutzbehörde (https://www.dsb.gv.at) oder bei der Behörde deines Wohnsitzlandes.

17. Kinder und Jugendliche

NebulonX richtet sich an Menschen ab 16 Jahren. Wer jünger ist, braucht die Zustimmung der Eltern oder Erziehungsberechtigten.

18. Änderungen

Wenn sich das Spiel oder die Rechtslage ändert, passen wir diese Datenschutzerklärung an. Über jede neue Fassung informieren wir dich mindestens 30 Tage, bevor sie gilt, per E-Mail an die Adresse deines Kontos (wie in Abschnitt 13 der Nutzungsbedingungen beschrieben). Den aktuellen Stand findest du immer unter https://nebulonx.io/privacy-policy.