Datenschutzerklärung

1. Datensparsamkeit – das Grundprinzip

Wir sammeln so wenig Daten wie möglich. Es gibt keine Tracker, keine Werbe-Cookies, keine Analytics, keine Weitergabe an Dritte. Nur das Nötigste, damit die Plattform technisch funktioniert.

2. Hosting & technische Logs

Das Frontend wird über die Base44-Plattform ausgeliefert; zur Auslieferung und zum Schutz kommt zudem ein CDN (Cloudflare) zum Einsatz. Aus Sicherheits- und Betriebsgründen werden automatisch folgende Daten in Server-Logs erfasst:

• IP-Adresse (gekürzt / pseudonymisiert)
• User-Agent (Browser- und Betriebssystem-Kennung)
• Aufgerufene URL und HTTP-Statuscode
• Zeitpunkt des Zugriffs
• Referrer (sofern vom Browser übermittelt)

Diese Daten dienen der Abwehr von Missbrauch (DDoS, Bot-Schutz) und werden im CDN gemäß deren Privacy Policy maximal 48 Stunden in EU-Rechenzentren aufbewahrt. Eine Verknüpfung mit deinem Bürger-Konto findet nicht statt.

3. Bürger-Konto (Login-Daten)

Sobald du dich mit deiner Bürger-ID anmeldest, speichern wir auf unserem Backend-Server (Base44, EU-Region) folgende Daten:

• Deine Bürger-ID (z. B. BK-X7K29P)
• Deinen Anzeige-Namen (frei erfundener In-Character-Name)
• Deinen PIN als PBKDF2-Hash (das Original wird nirgendwo gespeichert)
• Deine Discord-ID – entweder von dir selbst hinterlegt oder von einem anderen Nutzer angegeben, um dir etwas zuzustellen (siehe Abschnitt 6)
• Login-Zeitpunkte und Fehlversuche (zur Brute-Force-Abwehr)

Termine, Bewerbungen und Nachrichten werden ebenfalls in unserer Datenbank gespeichert. Sie sind ausschließlich In-Character-Daten ohne realen Bezug.

4. Mitarbeiter-Konto & Personalakten

Für den internen Bereich werden zusätzlich folgende Daten verarbeitet:

• Dienstnummer, RP-Name und Dienstgrad (In-Character)
• Zugangsanfragen mit RP-Name, Discord-ID und Wunschrolle
• Passwort-Hash (PBKDF2) – niemals im Klartext
• Personalakten-Einträge (Notizen, Verwarnungen, Beförderungen) – ausschließlich In-Character
• Stempeluhr-Sessions und Abwesenheitsanträge
• Audit-Logs über durchgeführte Personalaktionen

Diese Daten sind nur für die Personalabteilung und Administration einsehbar und werden nach dem Ausscheiden aus dem Projekt archiviert oder gelöscht.

5. Bewerbungsdaten

Bei einer Bewerbung (extern oder intern) werden folgende Daten gespeichert:

• RP-Vorname, RP-Nachname, RP-Alter, RP-Geburtsdatum, RP-Wohnort
• Discord-Name und Discord-ID
• Motivation, Charakterbeschreibung, Anschreiben, Erfahrungen
• Optional hochgeladene Unterlagen (privat gespeichert, nur Personalabteilung sichtbar)
• Bewerbungsstatus und Entscheidungsgründe

Bewerbungen werden nach Abschluss ins Archiv verschoben und nach einer angemessenen Frist gelöscht, sofern keine Aufbewahrungspflichten des Roleplay-Projekts entgegenstehen.

6. Cookies & lokaler Speicher

Wir verwenden keine Tracking-Cookies. Folgendes wird im Browser gespeichert:

• localStorage – dein Auth-Token (JWT), damit du angemeldet bleibst. Wird beim Logout gelöscht.
• localStorage – Zustimmung zu Datenschutz und Impressum (ConsentGate). Wird beim Verwerfen gelöscht.
• Optionales Session-Cookie – falls vom Backend gesetzt (httpOnly, SameSite-secure). Aktuell nicht aktiv genutzt – der Login läuft über localStorage.
• CDN-Cookies (z. B. __cf_bm) – werden vom CDN zur Bot-Abwehr automatisch gesetzt. Dauer: max. 30 Min.

7. Discord-ID & Benachrichtigungen

Deine Discord-ID wird verarbeitet, um dir Benachrichtigungen aus dem System über Discord zuzustellen – etwa zu Terminen, Zustellungen oder Vorgängen, die dich im Roleplay betreffen. Voraussetzung ist, dass du mit dem Bot mindestens einen Discord-Server teilst und „Direktnachrichten von Server-Mitgliedern" in deinen Discord-Privacy-Einstellungen aktiv hast.

Die ID gelangt auf zwei Wegen in das System: Du hinterlegst sie selbst in den Einstellungen, oder ein anderer Nutzer gibt sie an, um dir im Rahmen des Roleplay-Geschehens etwas zuzustellen oder einen Termin für dich zu buchen. Im zweiten Fall stammen die Daten nicht von dir; die Quelle ist der jeweils veranlassende Nutzer (Art. 14 Abs. 2 lit. f DSGVO).

Du kannst der Zustellung von Benachrichtigungen an eine Discord-ID, die nicht von dir selbst hinterlegt wurde, jederzeit widersprechen – über den Button in jeder Benachrichtigung. Nach dem Widerspruch erhältst du hierzu keine Discord-Nachrichten mehr; die Vorgänge bleiben im Bürgerportal einsehbar. Hast du deine Discord-ID selbst hinterlegt, kannst du die Zustellung jederzeit beenden, indem du die ID in den Einstellungen entfernst. Zur Durchsetzung eines Widerspruchs speichern wir deine Discord-ID in einer Sperrliste, die ausschließlich diesem Zweck dient.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit du die ID selbst hinterlegt hast, und im Übrigen unser berechtigtes Interesse an einem funktionsfähigen Zustellungs- und Terminsystem (Art. 6 Abs. 1 lit. f DSGVO).

Discord verarbeitet deine Daten gemäß deren eigener Datenschutzerklärung. Du kannst die Discord-ID jederzeit unter „Einstellungen" entfernen.

8. Discord-Webhooks & Server-Integration

Für interne Benachrichtigungen nutzt die Plattform Discord-Webhooks. Dabei werden an festgelegte Kanäle strukturierte Nachrichten zu Vorgängen (z. B. neue Bewerbung, Ticket-Zuweisung, Ausbildungstermin) gesendet. Die übermittelten Inhalte sind In-Character-Daten. Empfänger sind ausschließlich Mitglieder des Projekt-Discords mit entsprechender Rolle.

9. Uploads & Dateien

Hochgeladene Dateien (z. B. Bewerbungsunterlagen, Ankündigungsbilder) werden standardmäßig privat gespeichert und sind nur für berechtigte Rollen (Personalabteilung, Administration) zugänglich. Eine öffentliche Verbreitung erfolgt nicht, es sei denn, Inhalte werden ausdrücklich als öffentliche Ankündigung veröffentlicht.

10. KI-Zoll-Assistent

Die Plattform bietet einen KI-gestützten Zoll-Assistenten. Anfragen an den Assistenten werden zur Beantwortung verarbeitet. Es werden keine über das aktuelle Gespräch hinausgehenden Profildaten gespeichert. Die Verarbeitung erfolgt auf Grundlage deines berechtigten Interesses an einer schnellen Auskunft (Art. 6 Abs. 1 lit. f DSGVO).

11. Rechtsgrundlagen der Verarbeitung

• Art. 6 Abs. 1 lit. a DSGVO – Einwilligung (z. B. ConsentGate, Discord-ID-Hinterlegung)
• Art. 6 Abs. 1 lit. b DSGVO – Vertragserfüllung (Bewerbung, Bürger-Konto)
• Art. 6 Abs. 1 lit. c DSGVO – rechtliche Verpflichtung (soweit im RP-Kontext anwendbar)
• Art. 6 Abs. 1 lit. f DSGVO – berechtigtes Interesse (Sicherheit, Benachrichtigungen, KI-Assistent)

12. Speicherdauer & Löschung

Wir speichern Daten nur so lange, wie es für den jeweiligen Zweck erforderlich ist. Bürger-Konten bleiben bis zur Löschung bestehen. Bewerbungen werden nach Abschluss archiviert und nach angemessener Frist gelöscht. Technische Logs werden maximal 48 Stunden aufbewahrt. Auf Wunsch werden deine Daten unverzüglich gelöscht oder gesperrt, sofern keine Aufbewahrungspflichten entgegenstehen.

13. Deine Rechte (DSGVO)

Du hast das Recht auf:

• Auskunft über die zu deiner Bürger-ID gespeicherten Daten (Art. 15 DSGVO)
• Berichtigung unrichtiger Daten (Art. 16 DSGVO)
• Löschung deines Kontos (Art. 17 DSGVO)
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit / Export deiner Daten (Art. 20 DSGVO)
• Widerspruch gegen die Verarbeitung (Art. 21 DSGVO)
• Widerruf einer erteilten Einwilligung (Art. 7 Abs. 3 DSGVO)
• Beschwerde bei einer Aufsichtsbehörde (Art. 77 DSGVO)

Alle Anfragen kannst du an einen Sachbearbeiter im Projekt-Discord oder per DM an die Server-Leitung richten. Bedenke: Da diese Plattform fiktiv ist, beschränken sich die Rechte auf die tatsächlich gespeicherten technischen In-Character-Daten.

14. Was wir NICHT tun

15. Externe Dienste und Verlinkungen

Diese Website kann Verweise und Verlinkungen auf externe Plattformen enthalten, insbesondere auf Discord und FiveM. Beim Aufruf externer Angebote gelten die Datenschutzbestimmungen und Nutzungsbedingungen des jeweiligen Anbieters. Eine Datenübermittlung an diese Anbieter findet nur statt, wenn du den Link aktiv aufrufst.

16. Sicherheit

Wir setzen technische und organisatorische Maßnahmen ein, um deine Daten vor unbefugtem Zugriff, Verlust oder Manipulation zu schützen. Dazu gehören verschlüsselte Übertragung (TLS), gehashte Passwörter/PINs (PBKDF2), rollenbasierte Zugriffskontrolle (RLS) und serverseitige Autorisierung sensibler Aktionen. Ein vollständiger Schutz gegen alle Risiken kann jedoch nie garantiert werden.

17. Änderungen dieser Datenschutzerklärung

Wir behalten uns vor, diese Datenschutzerklärung anzupassen, damit sie stets den aktuellen rechtlichen Anforderungen entspricht oder Änderungen der Leistungen und Dienste widerzuspiegelt. Die jeweils aktuelle Fassung ist auf dieser Website abrufbar.