Datenschutzerklärung

1. Verantwortlicher (Art. 4 Nr. 7 DSGVO)

Verantwortlicher für die Verarbeitung personenbezogener Daten im Sinne der DSGVO ist:

Lukas Biermann (Betreiber von Bradycat)
c/o Block Services, Stuttgarter Str. 106, 70736 Fellbach, Deutschland
E-Mail: [email protected]
Kontaktformular: bradycat.de/support
Discord: discord.bradycat.de

Ein Datenschutzbeauftragter ist gemäß Art. 37 DSGVO nicht verpflichtend zu bestellen, da die Verarbeitung keine umfangreiche Überwachung von Personen umfasst und keine besonderen Kategorien personenbezogener Daten (Art. 9 DSGVO) in großem Umfang verarbeitet werden.

2. Überblick der verarbeiteten Daten

Bradycat verarbeitet ausschließlich Daten, die für den Betrieb des Dienstes technisch erforderlich sind. Wir setzen bewusst auf Datensparsamkeit (Art. 5 Abs. 1 lit. c DSGVO).

Beim Besuch der Website (ohne Login)

• IP-Adresse (durch Cloudflare maskiert / anonymisiert)
• Zeitstempel des Zugriffs
• Aufgerufene URL
• Browser-Typ und Betriebssystem (User-Agent)
• Referrer-URL

Diese Daten werden im Server-Log maximal 7 Tage gespeichert und danach automatisch gelöscht. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an IT-Sicherheit und Fehleranalyse).

Beim Login via Discord OAuth2

• Discord User-ID (numerisch, eindeutiger Identifikator)
• Discord-Benutzername und Discriminator/Anzeigename
• Avatar-URL (Link zum Discord-CDN)
• Liste der Discord-Server (Guilds), denen Sie beigetreten sind
• Zugehörige Rollen auf Servern, auf denen der Bot aktiv ist

Passwörter werden niemals übertragen oder gespeichert. Discord authentifiziert Sie direkt und gibt uns lediglich die oben genannten Informationen über die offizielle Discord-API. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung zur Bereitstellung des Dienstes).

Bei Nutzung des Dashboards und Bots

• Server-Konfigurationseinstellungen (z.B. aktivierte Module, Kanal-IDs)
• Aktivitätsprotokolle des Server-Dashboards (wer hat wann welche Einstellung geändert oder eine Aktion ausgelöst, z.B. eine Nachricht gesendet – ohne deren Inhalt – oder den Serverlisten-Eintrag bearbeitet), mit Discord-ID, Benutzername und Avatar der handelnden Person – für die Administratoren des jeweiligen Servers sichtbar. Bei Eingriffen des BradyCat-Teams wird dem Server nur „BradyCat-Team“ angezeigt; die handelnde Person wird intern zur Klärung von Beschwerden gespeichert.
• Bot-Interaktionen (z.B. Leveldaten, ausgeführte Befehle) – anonymisiert auf Server-Ebene

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).

Bei Nutzung des Team-Panels

Das Team-Panel ist ein Arbeitsbereich für die Teams eines Discord-Servers. Was dort eingetragen wird, sehen die Mitglieder des jeweiligen Teams im Rahmen ihrer Rollen und Rechte, die das Team selbst vergibt.

• Mitgliedschaft: Discord User-ID, zugewiesene Team-Rollen und Beitrittsdatum. Beim Hinzufügen neuer Mitglieder kann nach Namen gesucht werden; die Suche fragt über den Bot die Mitgliederliste des Discord-Servers ab. Suchergebnisse werden nicht gespeichert, nur die ausgewählte Person wird dem Team hinzugefügt.
• Team-Inhalte wie Termine, Meetings (inkl. Zu- und Absagen, Tagesordnung und Protokoll), Notizen, Ankündigungen, Wiki-Artikel und Boards. Titel und Inhalte von Terminen, Meetings, Notizen und Ankündigungen sowie Abwesenheitsgründe werden verschlüsselt gespeichert.
• Abwesenheiten: Zeitraum und optionaler Grund. Name und Zeitraum sehen alle Team-Mitglieder (Team-Seite, Kalender, Startseite); den Grund sehen nur Personen mit dem Recht, Abwesenheiten zu verwalten oder zu bestätigen.
• Lesebestätigungen bei Ankündigungen: Beim Öffnen der Ankündigungsliste wird vermerkt, dass Sie die zu diesem Zeitpunkt veröffentlichten Ankündigungen gesehen haben. Personen mit dem Recht, Ankündigungen zu verwalten, sehen, wer eine Ankündigung gelesen hat und wer noch nicht.
• Kommentare und Verlauf auf Board-Karten: Kommentare mit Name und Zeitpunkt sowie ein Verlauf der Änderungen an einer Karte (z.B. erstellt, verschoben, zugewiesen, erledigt; mit handelnder Person und Zeitpunkt, höchstens die letzten 50 Einträge je Karte). Sichtbar für Team-Mitglieder, die das Board sehen dürfen.
• Benachrichtigungen im Team-Panel (z.B. neue Zuweisung, Meeting-Einladung, neue Ankündigung): Art des Ereignisses, betroffener Titel (verschlüsselt), Zeitpunkt und Gelesen-Status. Sichtbar nur für Sie.
• Direktnachrichten über Discord: Ist die Benachrichtigungsfunktion im Team aktiv, schickt der Bot bei Kartenzuweisungen und nahenden Fälligkeiten eine Direktnachricht über Discord.
• Persönlicher Kalender-Link (iCal): Auf Wunsch erzeugen Sie einen geheimen Link, über den Kalender-Apps Ihre Meetings, Termine und Fälligkeiten abrufen können. Wer den Link kennt, kann diese Einträge lesen; Sie können ihn jederzeit durch einen neuen ersetzen, der alte funktioniert dann nicht mehr.
• Kummerkasten: Einträge werden ohne Discord-ID oder andere Angaben zur Person gespeichert. Für Personen, die den Kummerkasten verwalten, speichern wir den Zeitpunkt ihres letzten Besuchs, um neue Einträge anzuzeigen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung – Bereitstellung des Team-Panels). Für Lesebestätigungen, den Änderungsverlauf und den Besuchszeitpunkt beim Kummerkasten: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse des Teams an einer nachvollziehbaren Zusammenarbeit).

Bei Nutzung der Serverliste

• Discord User-ID des einreichenden Nutzers (als Nachweis der Berechtigung)
• Abstimmungsdaten (wer hat wann gevotet) – zur Missbrauchsprävention
• Meldungen (Reports) inkl. Discord User-ID des Meldenden und optionalem Kommentar

Rechtsgrundlage: Art. 6 Abs. 1 lit. b (Vertragserfüllung) und lit. f DSGVO (berechtigtes Interesse an Missbrauchsprävention und Plattformintegrität).

Bei Abgabe von Feedback im Dashboard

• Sternebewertung (1–5), optionaler Freitext, Zeitpunkt der Abgabe und die zugehörige Feedback-Runde
• Bei namentlichem Feedback: Discord User-ID und Username – sichtbar für autorisierte Administratoren des Bradycat-Teams
• Bei anonymem Feedback: Ihr Name wird dem Team nicht angezeigt. Um Mehrfachabgaben und Missbrauch zu verhindern, speichern wir eine pseudonymisierte Zuordnung zu Ihrem Account (kryptografischer Hash sowie verschlüsselte Discord User-ID).
• Zum Feedback werden keine IP-Adressen oder Browserdaten gespeichert.

Die Abgabe ist freiwillig; pro Feedback-Runde ist eine Abgabe möglich. Bitte geben Sie im Freitext keine personenbezogenen Daten Dritter an. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Verbesserung des Dienstes und an der Verhinderung von Missbrauch).

Bei Kontaktaufnahme über das Support-Ticketsystem

• Name und E-Mail-Adresse (freiwillige Angabe bei Kontaktaufnahme per E-Mail oder Formular)
• Inhalt der Nachricht sowie Betreff und ggf. mitgesendete Anhänge
• Zeitpunkt der Anfrage sowie der gesamte E-Mail-Verlauf (Antworten) zur Fallbearbeitung

Anfragen über [email protected] oder das Kontaktformular werden unter einer Fallnummer (z.B. „BC-123") als Ticket gespeichert und von autorisierten Mitgliedern des Bradycat-Teams zur Beantwortung eingesehen. Eine automatische Eingangsbestätigung wird per E-Mail versendet. Rechtsgrundlage: Art. 6 Abs. 1 lit. b bzw. lit. f DSGVO (Vertragserfüllung bzw. berechtigtes Interesse an der Bearbeitung von Support-Anfragen).

3. Cookies und lokaler Speicher

Wir verwenden ausschließlich technisch notwendige Cookies, die für den Betrieb des Dienstes erforderlich sind. Tracking-, Werbe- oder Analyse-Cookies werden nicht eingesetzt.

• Session-Cookie: Enthält ein verschlüsseltes Session-Token zur Aufrechterhaltung Ihrer Anmeldung. Wird beim Schließen des Browsers oder beim Logout automatisch gelöscht.
• Spracheinstellung: Speichert Ihre gewählte Sprache (de/en) in der Session.
• Cookie-Hinweis: Speichert im lokalen Browser-Speicher (localStorage), ob Sie den Cookie-Hinweisbanner bereits zur Kenntnis genommen haben.
• Kalender-Ansicht (Team-Panel): Speichert im lokalen Browser-Speicher, welche Kalender-Ebenen (Termine, Meetings, Abwesenheiten, Fälligkeiten) Sie ein- oder ausgeblendet haben. Diese Angabe verlässt Ihren Browser nicht.

Rechtsgrundlage für technisch notwendige Cookies: Art. 6 Abs. 1 lit. f DSGVO i.V.m. § 25 Abs. 2 TDDDG (kein Einverständnis erforderlich für rein technische Cookies).

4. Auftragsverarbeiter und Drittdienste

Hetzner Online GmbH (Hosting)

Website, Discord-Bot und Datenbanken werden bei der Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland gehostet. Serverstandort: Helsinki, Finnland (HEL1-DC2) – innerhalb der EU/EWR.

Mit Hetzner besteht ein Vertrag zur Auftragsverarbeitung (AVV) gemäß Art. 28 DSGVO.
Datenschutzerklärung: hetzner.com/rechtliches/datenschutz

Cloudflare, Inc. (CDN und DDoS-Schutz)

Der Netzwerkverkehr wird über Cloudflare, Inc., 101 Townsend St., San Francisco, CA 94107, USA geleitet. Cloudflare agiert als Auftragsverarbeiter (AVV gemäß Art. 28 DSGVO) und schützt den Dienst vor DDoS-Angriffen. Dabei können Verbindungsdaten (IP-Adresse, Zeitstempel, HTTP-Anfragen) kurzzeitig verarbeitet werden.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO – berechtigtes Interesse des Anbieters an IT-Sicherheit, DDoS-Schutz und stabiler Diensterbringung.
Drittlandtransfer: EU-US Data Privacy Framework (DPF) sowie Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO) als Rückfallebene.
Datenschutzerklärung: cloudflare.com/privacypolicy

Discord Inc. (OAuth2-Authentifizierung)

Für den Login nutzen wir die OAuth2-Schnittstelle von Discord Inc., 444 De Haro St, San Francisco, CA 94107, USA. Discord agiert bei der OAuth2-Authentifizierung als eigenständiger Verantwortlicher (kein AVV erforderlich); Bradycat erhält ausschließlich die in Abschnitt 2 genannten Profildaten.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung – Login-Funktion).
Drittlandtransfer: EU-US Data Privacy Framework (DPF) sowie Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO) als Rückfallebene.
Datenschutzerklärung: discord.com/privacy

Keine weiteren Drittdienste

Wir verwenden keine Tracking-Dienste (Google Analytics, Matomo etc.), keine Werbenetzwerke und keine Social-Media-Plugins, die Daten an Dritte übermitteln.

5. Speicherdauer und Löschung

• Server-Logs: Maximal 7 Tage, danach automatische Löschung.
• Session-Daten: Bis zum Logout oder nach 24 Stunden Inaktivität.
• Nutzerdaten (Discord-ID, Username, Avatar): Solange ein aktives Nutzerverhältnis besteht. Bei Account-Löschungsantrag innerhalb von 30 Tagen gelöscht.
• Server-Konfigurationen: Bis zur Entfernung des Bots vom Server oder auf ausdrücklichen Löschungsantrag des Server-Administrators.
• Meldungen (Reports): Bis zur abschließenden Bearbeitung, maximal 1 Jahr.
• Audit-Logs (Team-Panel): Maximal 90 Tage, danach automatische Löschung.
• Benachrichtigungen (Team-Panel): 60 Tage, danach automatische Löschung; bei Löschung des Accounts sofort.
• Team-Inhalte, Kartenkommentare, Änderungsverlauf und Lesebestätigungen: Solange das Team bzw. der jeweilige Inhalt besteht. Bei Löschung des Accounts werden Ihre Lesebestätigungen und Kartenzuweisungen entfernt; Ihre Kommentare und Verlaufseinträge bleiben als Teil der Team-Arbeit erhalten, jedoch ohne Namen und Discord-ID.
• Persönlicher Kalender-Link: Bis Sie ihn ersetzen oder Ihren Account löschen.
• Aktivitätsprotokolle (Server-Dashboard): 90 Tage, danach automatische Löschung. Bei Löschung des Accounts werden eigene Einträge anonymisiert.
• Abstimmungsdaten (Votes): Bis zur Entfernung des Server-Eintrags.
• Support-Tickets (E-Mail/Kontaktformular): Werden bis zur vollständigen Bearbeitung der Anfrage sowie für einen angemessenen Nachverfolgungszeitraum von bis zu 12 Monaten nach Abschluss gespeichert und anschließend gelöscht, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen.
• Feedback: Personenbezogene Angaben (Discord User-ID, Username und die pseudonymisierte Zuordnung) werden 12 Monate nach Ende der jeweiligen Feedback-Runde automatisch entfernt; Bewertung und Freitext bleiben danach ohne Personenbezug für statistische Zwecke erhalten. Von Administratoren entfernte Einträge werden zu diesem Zeitpunkt vollständig gelöscht. Sperren der Feedback-Funktion bestehen bis zu ihrer Aufhebung.

Daten, die aufgrund gesetzlicher Aufbewahrungspflichten (z.B. steuerrechtlicher Natur) zu speichern sind, werden für die gesetzlich vorgeschriebene Dauer aufbewahrt und danach gelöscht.

6. Dateneinsicht bei Meldungen und Moderation

Grundsätzlich sind Ihre Konfigurationen und Nutzerdaten nur für Sie und die von Ihnen autorisierten Personen sichtbar.

Ausnahme bei Meldungen (Reports): Wird ein Server-Eintrag oder Inhalt durch andere Nutzer oder automatische Systeme als regelwidrig gemeldet, behalten wir uns vor, dass autorisierte Mitglieder des Bradycat-Teams (Moderatoren/Admins) Einsicht in die betroffenen Daten nehmen dürfen.

Dies geschieht ausschließlich zur Überprüfung von Verstößen gegen unsere Nutzungsbedingungen, zur Gefahrenabwehr und zur Sicherheit der Plattform. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.

Aufhebung der Anonymität bei Feedback: Verstößt ein anonym abgegebenes Feedback gegen die Verhaltensregeln unserer Nutzungsbedingungen (z.B. Beleidigungen, Drohungen oder Spam), können autorisierte Administratoren die Zuordnung zu Ihrem Discord-Account aufheben. Jede Aufhebung wird mit Zeitpunkt, handelnder Person und Grund protokolliert. In der Folge kann Ihr Account von der Feedback-Funktion ausgeschlossen werden. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.

7. Weitergabe von Daten an Dritte

Eine Weitergabe Ihrer personenbezogenen Daten an Dritte findet nur statt, wenn:

• Sie Ihre ausdrückliche Einwilligung erteilt haben (Art. 6 Abs. 1 lit. a DSGVO),
• dies zur Vertragserfüllung erforderlich ist (Art. 6 Abs. 1 lit. b DSGVO),
• eine gesetzliche Verpflichtung besteht (Art. 6 Abs. 1 lit. c DSGVO, z.B. behördliche Anfragen),
• es zur Wahrung berechtigter Interessen des Anbieters oder Dritter erforderlich ist und keine überwiegenden Interessen der betroffenen Person entgegenstehen (Art. 6 Abs. 1 lit. f DSGVO).

Daten werden nicht verkauft oder für Werbezwecke weitergegeben.

8. Pflicht zur Datenbereitstellung (Art. 13 Abs. 2 lit. e DSGVO)

Die Bereitstellung personenbezogener Daten ist keine gesetzliche Pflicht. Sie ist jedoch für die Nutzung bestimmter Funktionen des Dienstes vertraglich erforderlich:

• Ohne Discord-Login ist die Nutzung des Dashboards, der Serverliste (Eintragen/Voten) und des Team-Panels nicht möglich.
• Ohne Bereitstellung von Server-Konfigurationsdaten kann der Bot die konfigurierten Funktionen nicht ausführen.

Es steht Ihnen frei, die Datenbereitstellung zu verweigern. In diesem Fall können die jeweiligen Funktionen nicht genutzt werden. Die allgemeine Website (Startseite, Serverlist-Ansicht, rechtliche Seiten) ist ohne Login und ohne Datenbereitstellung zugänglich.

9. Ihre Rechte als betroffene Person (Art. 15–22 DSGVO)

Sie haben darüber hinaus folgende Rechte:

• Auskunftsrecht (Art. 15 DSGVO): Auskunft über die von uns verarbeiteten Daten.
• Berichtigung (Art. 16 DSGVO): Berichtigung unrichtiger oder unvollständiger Daten.
• Löschung (Art. 17 DSGVO): Löschung Ihrer Daten („Recht auf Vergessenwerden"), sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen.
• Einschränkung (Art. 18 DSGVO): Einschränkung der Verarbeitung unter bestimmten Voraussetzungen.
• Datenübertragbarkeit (Art. 20 DSGVO): Herausgabe Ihrer Daten in einem strukturierten, maschinenlesbaren Format.
• Widerruf der Einwilligung (Art. 7 Abs. 3 DSGVO): Erteilte Einwilligungen können jederzeit mit Wirkung für die Zukunft widerrufen werden.

Zur Ausübung Ihrer Rechte wenden Sie sich an: [email protected]. Wir bearbeiten Anfragen innerhalb von 30 Tagen (Art. 12 Abs. 3 DSGVO).

Sie haben außerdem das Recht, sich bei der zuständigen Datenschutz-Aufsichtsbehörde zu beschweren. Zuständig für Baden-Württemberg ist der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg, Lautenschlagerstr. 20, 70173 Stuttgart – www.baden-wuerttemberg.datenschutz.de.

10. Minderjährige

Gemäß Art. 8 DSGVO i.V.m. § 8 BDSG gilt in Deutschland eine Einwilligungsgrenze von 16 Jahren. Der Dienst richtet sich nicht gezielt an Personen unter 16 Jahren. Personen unter 16 Jahren dürfen den Dienst nur mit nachweisbarer Einwilligung ihrer Eltern oder Erziehungsberechtigten nutzen.

Sollten wir Kenntnis davon erlangen, dass personenbezogene Daten von Personen unter 16 Jahren ohne entsprechende Einwilligung der Erziehungsberechtigten verarbeitet wurden, werden diese unverzüglich gelöscht und der Zugang gesperrt.

11. Automatisierte Entscheidungsfindung

Bradycat verwendet keine automatisierten Entscheidungsverfahren einschließlich Profiling im Sinne von Art. 22 DSGVO, die rechtliche oder ähnlich bedeutende Auswirkungen auf Sie haben.

12. Sicherheit der Datenverarbeitung

Wir setzen technische und organisatorische Maßnahmen (TOM) gemäß Art. 32 DSGVO ein:

• Verschlüsselung aller Verbindungen via TLS/HTTPS
• Verschlüsselung sensibler Daten (OAuth-Token, Secrets, Inhalte von Team-Terminen, Meetings, Notizen, Ankündigungen, Abwesenheitsgründen, Kummerkasten-Einträgen und Benachrichtigungen) in der Datenbank
• Regelmäßige Sicherheitsupdates der eingesetzten Software
• Zugriffskontrolle: Nur autorisierte Personen haben Zugriff auf Produktionsdaten
• CSRF-Schutz für alle Formulare und API-Endpunkte
• DDoS-Schutz durch Cloudflare

13. Änderungen dieser Datenschutzerklärung

Diese Datenschutzerklärung kann gelegentlich aktualisiert werden, um Änderungen unserer Datenpraktiken oder gesetzliche Anforderungen zu berücksichtigen. Wesentliche Änderungen werden beim nächsten Login angezeigt und erfordern eine erneute Zustimmung.

Die aktuelle Version ist stets unter bradycat.de/legal/privacy abrufbar.