Datenschutzerklärung

Hier steht, welche personenbezogenen Daten anfallen, wenn du endocraft.app besuchst oder etwas eingibst: wozu ich sie verarbeite, auf welcher Rechtsgrundlage, wer sie außer mir bekommt und wie lange ich sie aufbewahre. Personenbezogen sind alle Angaben, die sich auf dich beziehen lassen, zum Beispiel deine E-Mail-Adresse oder die IP-Adresse deines Geräts.

1. Verantwortlicher

Verantwortlich für die Datenverarbeitung auf dieser Website bin ich:

Marco Enders
EndoCraft
Virchowstraße 29
67227 Frankenthal
Deutschland

E-Mail: marco@endocraft.app
Kontaktformular: im Impressum

Für alle Fragen zum Datenschutz und für deine Rechte (Abschnitt 11) kannst du mir dorthin schreiben.

2. Aufruf der Website

Die Website liegt bei Cloudflare Pages. Wenn du eine Seite aufrufst, sendet dein Browser technisch bedingt Daten an den Server. Cloudflare verarbeitet diese Daten: deine IP-Adresse, Datum und Uhrzeit, die aufgerufene Adresse, die Seite, von der du kommst, Browser und Betriebssystem sowie Angaben zur Verbindung. Das ist nötig, um dir die Seite auszuliefern, sie schnell zu laden und Angriffe abzuwehren. Außerdem kann Cloudflare Fehlerberichte deines Browsers über gescheiterte Verbindungen empfangen (Network Error Logging).

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Mein berechtigtes Interesse ist eine sichere, erreichbare und schnelle Website.

Speicherdauer: Cloudflare bewahrt diese Daten nach eigenen Angaben nur für begrenzte Zeit auf. Ich selbst sehe in meinem Cloudflare-Konto nur zusammengefasste Zahlen, etwa die Anzahl der Aufrufe, und keine einzelnen Besucher.

Cookies: Die Website setzt keine Cookies. Nur wenn Cloudflare eine Anfrage für verdächtig hält und eine Sicherheitsprüfung zeigt, kann Cloudflare ein technisch notwendiges Sicherheits-Cookie setzen. Rechtsgrundlage dafür ist § 25 Abs. 2 Nr. 2 TDDDG.

Schriften: Alle Schriften liegen auf diesem Server. Dein Browser lädt nichts von Google Fonts oder anderen Schriftdiensten.

Anbieter: Cloudflare, Inc., 101 Townsend St., San Francisco, CA 94107, USA. Cloudflare arbeitet als mein Auftragsverarbeiter. Der Auftragsverarbeitungsvertrag ist Teil der Cloudflare-Bedingungen. Zur Übermittlung in die USA siehe Abschnitt 10.

3. Mein Server für Formulare und Studio

Das Kontaktformular, die Eintragung für E-Mails, das Studio und der Zähler auf der Gratis-Seite für Dungeon Master sprechen mit meinem Server unter endocraft-production.up.railway.app. Dabei werden deine IP-Adresse, Datum und Uhrzeit, die aufgerufene Adresse und dein Browser übertragen.

Railway führt darüber Zugriffsprotokolle, die auch die IP-Adresse enthalten, und bewahrt sie in meinem Tarif 7 Tage auf. Mein Server selbst schreibt keine E-Mail-Adressen und keine Nachrichteninhalte in sein Protokoll. Zum Schutz vor Missbrauch zählt er, wie oft eine IP-Adresse kurz hintereinander etwas abschickt (zum Beispiel höchstens fünf Nachrichten in 15 Minuten). Diese Zähler liegen nur im Arbeitsspeicher und werden nicht dauerhaft gespeichert.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO, mein Interesse an einem sicheren und missbrauchsfreien Betrieb. Für das, was du über den Server erledigst, gilt zusätzlich die Rechtsgrundlage aus dem jeweiligen Abschnitt.

Anbieter: Railway Corporation, 548 Market St PMB 68956, San Francisco, CA 94104, USA. Vertreter in der EU ist die DP-Dock GmbH, Ballindamm 39, 20095 Hamburg. Der Server läuft in der Region US West (Kalifornien, USA). Railway arbeitet als mein Auftragsverarbeiter.

4. Kontaktformular und E-Mail

Schreibst du mir über das Kontaktformular im Impressum, verarbeite ich deinen Namen, deine E-Mail-Adresse, deine Nachricht und den Zeitpunkt. Mein Server schickt die Nachricht über den Versanddienst Resend an meine Adresse marco@endocraft.app. Von dort leitet Cloudflare sie in mein Postfach bei einem E-Mail-Anbieter in Deutschland weiter. Mein Server speichert die Nachricht nicht. Gegen Spam hat das Formular ein unsichtbares Feld und prüft, wie schnell es abgeschickt wurde. Dienste Dritter wie ein Captcha sind dafür nicht eingebunden.

Schreibst du mir direkt an marco@endocraft.app, läuft die E-Mail ebenfalls über Cloudflare in dasselbe Postfach.

Zweck und Rechtsgrundlage: Ich nutze deine Angaben nur, um deine Anfrage zu beantworten. Geht es um einen Vertrag oder um eine Bestellung, ist die Rechtsgrundlage Art. 6 Abs. 1 lit. b DSGVO, sonst Art. 6 Abs. 1 lit. f DSGVO (mein Interesse, Anfragen zu beantworten).

Speicherdauer: Ich lösche die Anfrage, wenn sie erledigt ist und keine Rückfragen mehr zu erwarten sind. Länger bleibt sie nur, wenn Handels- oder Steuerrecht eine Aufbewahrung verlangt, bei Geschäftsbriefen zum Beispiel bis zu sechs Jahre.

Anbieter: Plus Five Five, Inc. („Resend“), 2261 Market Street #5039, San Francisco, CA 94114, USA. Resend verschickt die Mails aus Irland (Region eu-west-1), speichert Nachrichten und Versanddaten aber in den USA und löscht sie nach eigenen Fristen. Der Auftragsverarbeitungsvertrag ist Teil der Resend-Bedingungen. Cloudflare speichert bei der Weiterleitung nach eigenen Angaben keine Inhalte.

5. E-Mails, für die du dich einträgst

Auf drei Seiten kannst du deine E-Mail-Adresse eintragen. Was du danach bekommst, hängt von der Seite ab:

• Gratis-Szene für Dungeon Master (endocraft.app/free/): Nach der Bestätigung bekommst du die Szene per E-Mail. Ein paar Tage später folgt eine zweite E-Mail mit einem kostenlosen One-Shot und einem Angebot aus meinem Etsy-Shop. Weitere E-Mails dieser Reihe gibt es nicht.
• Neue Stream-Szenen (endocraft.app/streamers/free/): eine Nachricht, wenn es eine neue Szene gibt. Eine Mail-Serie gibt es nicht.
• EndoCraft Studio (Studio-Seiten): Neuigkeiten zum Studio, vor allem früher Zugang und ein Rabatt zum Start.

So läuft die Bestätigung (Double-Opt-In): Nach dem Eintragen schicke ich dir eine E-Mail mit einem Bestätigungslink. Erst wenn du auf der verlinkten Seite bestätigst, stehst du auf der Liste. Ohne Bestätigung bekommst du keine weitere E-Mail, und ich lösche die Eintragung nach 30 Tagen.

Was gespeichert wird:

• deine E-Mail-Adresse und die Liste, für die du dich eingetragen hast,
• die Zeitpunkte der Eintragung, der Bestätigungs-Mail und der Bestätigung,
• deine IP-Adresse und die Kennung deines Browsers (User-Agent) bei der Eintragung sowie die IP-Adresse bei der Bestätigung,
• über welche Seite oder Kampagne du gekommen bist (zum Beispiel „pinterest“ oder Kampagnenangaben aus dem Link),
• welche E-Mails ich dir geschickt habe und wann du dich abgemeldet hast.

Zweck und Rechtsgrundlage: Ich schicke dir die E-Mails, die du angefordert hast. Rechtsgrundlage ist deine Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO. Die Zeitpunkte und IP-Adressen speichere ich, damit ich nachweisen kann, dass du eingewilligt hast (Art. 7 Abs. 1 DSGVO). Rechtsgrundlage dafür ist Art. 6 Abs. 1 lit. f DSGVO. Die Herkunftsangaben nutze ich, um zu sehen, welche Kanäle funktionieren (Art. 6 Abs. 1 lit. f DSGVO).

Abmelden und Widerruf: Jede E-Mail enthält einen Abmeldelink. Du kannst mir auch einfach schreiben. Die Abmeldung gilt sofort. Ein Widerruf ändert nichts an der Rechtmäßigkeit dessen, was bis dahin auf Grundlage deiner Einwilligung passiert ist.

Speicherdauer: Deine Daten bleiben gespeichert, solange die Liste für dich läuft. Bei der Gratis-Szene endet sie mit der zweiten E-Mail, bei Stream-Szenen und Studio dann, wenn du dich abmeldest. Danach bewahre ich Adresse, Zeitpunkte und IP-Adressen noch drei Jahre auf, um die Einwilligung nachweisen zu können, und lösche sie dann. Unbestätigte Eintragungen lösche ich nach 30 Tagen.

Keine Messung: Ich messe nicht, ob du eine E-Mail öffnest oder einen Link anklickst. Die Links in den E-Mails enthalten nur allgemeine Kampagnenangaben (etwa „welcome_email“) und keine Kennung, die auf dich zurückführt. Lädt dein E-Mail-Programm die Bilder in einer Mail, kommen sie von endocraft.app; dabei fallen die Verbindungsdaten aus Abschnitt 2 an.

Dienstleister: Für den Versand ist es Resend (Abschnitt 4). Gespeichert wird in der Datenbank von Supabase (Abschnitt 7).

6. Wünsche

Nach der Eintragung für die Gratis-Szene und auf der Founding-Seite des Studios kannst du mir einen Wunsch schicken, etwa welche Figur in deiner Szene vorkommen soll. Gespeichert werden dein Text, die Seite und, wenn du sie angegeben hast, deine E-Mail-Adresse. Die Adresse brauche ich, um den Wunsch deiner Eintragung zuzuordnen. Deine IP-Adresse speichere ich dabei nicht.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, soweit ich dir daraufhin etwas erstelle, etwa die angekündigte Szene. Sonst gilt Art. 6 Abs. 1 lit. f DSGVO, mein Interesse zu erfahren, was gewünscht wird.

Speicherdauer: Gehört der Wunsch zu einer bestätigten Eintragung, so lange wie diese (Abschnitt 5). Sonst lösche ich ihn nach einem Jahr.

7. EndoCraft Studio

Im Studio, das sich noch in einer geschlossenen Testphase befindet, erzeugst du mit einem Einladungscode Bilder und kurze Videos aus einer Beschreibung.

Einladungscode: Code und Guthaben stehen in meiner Datenbank. Hast du den Code per E-Mail von mir bekommen, ist er dort mit deiner E-Mail-Adresse verknüpft.

Erzeugen: Für ein Bild schickt mein Server deine Beschreibung und gegebenenfalls dein Feedback an Anthropic. Dort macht ein KI-Modell daraus eine genaue Bildanweisung. Die Anweisung geht an AI/ML API, wo das Bild oder Video entsteht. Weder deine IP-Adresse noch dein Code noch deine E-Mail-Adresse gehen an diese Anbieter. Bitte schreib keine Namen oder anderen persönlichen Angaben in deine Beschreibung.

Was gespeichert wird: Pro Bild speichere ich in der Datenbank deinen Code, deine Beschreibung, die erzeugte Bildanweisung, dein Feedback, die Adressen der erzeugten Bilder, die Variante, die du gewählt hast, den Zeitpunkt und deine IP-Adresse. Die IP-Adresse dient nur der Missbrauchsabwehr; ich entferne sie nach 30 Tagen. Den Rest nutze ich, um dir deine Bilder anzuzeigen und das Studio zu verbessern. Ich lösche ihn auf deinen Wunsch, spätestens aber 12 Monate nach der Erzeugung.

Teilen: Speicherst du ein Bild zum Teilen, lege ich es unter einem zufälligen Link an, zusammen mit der Beschreibung, der Bildadresse und dem Code. Wer den Link kennt, kann das Bild sehen. Ich lösche den Link auf deinen Wunsch, spätestens aber nach 12 Monaten.

Kaufen: Guthaben kann man im Studio derzeit nicht kaufen. Ändert sich das, ergänze ich diese Erklärung vorher.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, weil du das Studio nutzt und dafür einen Einladungscode angefordert hast. Missbrauchsabwehr und Verbesserung des Studios stützen sich auf Art. 6 Abs. 1 lit. f DSGVO.

Anbieter:

Anthropic Ireland, Limited

6th Floor, South Bank House, Barrow Street, Dublin 4, D04 TR29, Irland. Anthropic löscht Ein- und Ausgaben nach eigenen Angaben innerhalb von 30 Tagen und nutzt sie nicht zum Training. Die Verarbeitung kann in den USA stattfinden (Abschnitt 10).

AI/ML API (Boiler Labs FZ-LLC)

RAKEZ Business Zones, Business Center 03, Unit B04-515, Ras Al Khaimah, Vereinigte Arabische Emirate. Dorthin gehen nur die Bildanweisung und bei Videos das Ausgangsbild. Die erzeugten Bilder liegen zunächst auf den Servern dieses Anbieters. Zur Übermittlung siehe Abschnitt 10.

Supabase Pte. Ltd. (Datenbank)

65 Chulia Street #38-02/03, OCBC Centre, Singapur 049513. Die Datenbank liegt in der Region West EU (Irland). Der Auftragsverarbeitungsvertrag ist Teil der Supabase-Bedingungen. Zu Zugriffen von außerhalb der EU siehe Abschnitt 10.

8. Speicher in deinem Browser

Nur das Studio legt Angaben im Speicher deines Browsers ab (Local Storage):

• deinen Einladungscode, damit du ihn nicht bei jedem Besuch neu eingeben musst,
• dein zuletzt bekanntes Guthaben, damit es sofort angezeigt wird,
• ob du den Hinweis „Als App installieren“ weggeklickt hast.

Außerdem richtet das Studio einen Service Worker ein. Er legt die Programmdateien des Studios im Browser ab, damit es sich wie eine App installieren und ohne Verbindung öffnen lässt. Persönliche Angaben enthält dieser Speicher nicht. Die Angaben verlassen deinen Browser nicht von selbst; den Code schickt das Studio nur dann an meinen Server, wenn du es benutzt.

Rechtsgrundlage: § 25 Abs. 2 Nr. 2 TDDDG, weil das Ablegen unbedingt nötig ist, damit das Studio so funktioniert, wie du es nutzen willst. Du kannst die Angaben jederzeit löschen, indem du die Websitedaten für endocraft.app in deinem Browser löschst; dann musst du den Code neu eingeben.

Alle anderen Seiten speichern nichts in deinem Browser.

9. Links und meine Profile auf Plattformen

Die Website verlinkt auf meinen Shop bei Etsy, auf itch.io und Fiverr sowie auf mein Profil bei Pinterest. Solange du nicht klickst, gehen dabei keine Daten an diese Plattformen. Klickst du, gilt dort die Datenschutzerklärung der jeweiligen Plattform. Kaufst du auf Etsy, schließt du den Vertrag über Etsy. Etsy ist für seine eigene Verarbeitung selbst verantwortlich (Etsy Ireland UC, 5th Floor, One Le Pole Square, Ship Street Great, Dublin 8, Irland).

Meine Profile auf Instagram, TikTok und Pinterest: Besuchst du sie, verarbeiten die Plattformen deine Daten nach ihren eigenen Datenschutzerklärungen. Ich sehe dort, was du öffentlich tust, also etwa Kommentare und Likes, und erhalte von den Plattformen zusammengefasste Statistiken, aus denen ich keine einzelnen Personen erkenne. Bei diesen Statistiken können die Plattform und ich gemeinsam verantwortlich sein (Art. 26 DSGVO). Deine Rechte machst du am wirksamsten direkt bei der Plattform geltend; du kannst dich aber auch an mich wenden. Rechtsgrundlage für meine Profile ist Art. 6 Abs. 1 lit. f DSGVO, mein Interesse, mit Interessierten in Kontakt zu kommen.

• Instagram: Meta Platforms Ireland Limited, Merrion Road, Dublin 4, D04 X2K5, Irland
• TikTok: TikTok Technology Limited, 10 Earlsfort Terrace, Dublin, D02 T380, Irland
• Pinterest: Pinterest Europe Ltd., Waterloo Exchange, 3rd Floor, Waterloo Road, Dublin 4, Irland

TikTok-Schnittstelle: Ich nutze die offizielle TikTok-Schnittstelle nur, um eigene Videos als Entwürfe in mein eigenes TikTok-Konto zu laden. Daten anderer TikTok-Nutzer verarbeite ich dabei nicht.

10. Empfänger und Übermittlung in Drittländer

Außer mir bekommen nur diese Dienstleister Daten. Sie verarbeiten sie in meinem Auftrag und nur nach meinen Weisungen. Ich verkaufe keine Daten und gebe sie nicht für Werbung weiter.

Cloudflare (USA): Hosting, Weiterleitung von E-Mails

Die Übermittlung stützt sich auf den Angemessenheitsbeschluss der EU-Kommission zum EU-US Data Privacy Framework (Art. 45 DSGVO). Cloudflare ist danach zertifiziert.

Railway (USA, Server in Kalifornien): Formulare und Studio

Data Privacy Framework (Art. 45 DSGVO). Railway ist zertifiziert.

Resend (USA): E-Mail-Versand

Data Privacy Framework (Art. 45 DSGVO). Resend ist zertifiziert.

Supabase (Singapur; Datenbank in Irland)

Die Daten liegen in der EU. Für Zugriffe aus Singapur oder anderen Drittländern gelten die EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO) aus dem Auftragsverarbeitungsvertrag.

Anthropic (Irland; Verarbeitung auch in den USA): Bildanweisungen im Studio

EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO) aus dem Auftragsverarbeitungsvertrag.

AI/ML API (Vereinigte Arabische Emirate): Bild- und Videoerzeugung im Studio

Für die Emirate gibt es keinen Angemessenheitsbeschluss der EU-Kommission, und mit AI/ML API habe ich keine Standardvertragsklauseln vereinbart. Deshalb gehen dorthin nur Bildanweisungen und Ausgangsbilder, keine IP-Adressen, Codes oder E-Mail-Adressen. Schreibst du trotzdem persönliche Angaben in deine Beschreibung, gehen sie mit, weil die Bilderzeugung, die du angefordert hast, sonst nicht möglich ist. Das stützt sich auf Art. 49 Abs. 1 lit. b DSGVO.

Mein E-Mail-Anbieter (Deutschland)

In seinem Postfach landen deine Nachrichten an mich.

Den Status einer Zertifizierung kannst du unter dataprivacyframework.gov nachsehen. Auf Anfrage nenne ich dir die Fundstellen der Standardvertragsklauseln.

11. Deine Rechte

Du hast das Recht auf Auskunft über deine gespeicherten Daten (Art. 15 DSGVO), auf Berichtigung (Art. 16), auf Löschung (Art. 17), auf Einschränkung der Verarbeitung (Art. 18) und auf Datenübertragbarkeit (Art. 20). Eine Einwilligung kannst du jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3). Schreib mir dafür an marco@endocraft.app.

12. Beschwerde bei der Aufsichtsbehörde

Du kannst dich bei einer Datenschutz-Aufsichtsbehörde beschweren (Art. 77 DSGVO), etwa an deinem Wohnort. Für mich zuständig ist:

Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Rheinland-Pfalz
Hintere Bleiche 34, 55116 Mainz
Postfach 30 40, 55020 Mainz
www.datenschutz.rlp.de

13. Pflichtangaben und Änderungen

Du bist nicht verpflichtet, mir Daten zu geben. Ohne deine E-Mail-Adresse kann ich dir aber keine E-Mails schicken und auf das Kontaktformular nicht antworten, und ohne Code funktioniert das Studio nicht. Automatisierte Entscheidungen oder Profiling im Sinne von Art. 22 DSGVO finden nicht statt.

Ändert sich etwas an der Website oder an den Diensten, passe ich diese Erklärung an. Es gilt die Fassung, die hier steht.

Diese Erklärung gibt es auch auf Englisch: Privacy Policy. Maßgeblich ist die deutsche Fassung.