Stand: 12. August 2026
Kastra ist ein privates Spiel für einen geschlossenen Kreis. Es werden nur die Daten verarbeitet, die für den Betrieb nötig sind. Es gibt keine Werbung, keine Reichweitenmessung und keine Weitergabe von Daten zu Werbezwecken.
Ein Datenschutzbeauftragter ist für ein Angebot dieser Größe nicht bestellt.
| Daten | Zweck | Rechtsgrundlage |
|---|---|---|
| Benutzername und Passwort (nur als Hashwert gespeichert) | Konto anlegen, anmelden, Spieler unterscheiden | Art. 6 Abs. 1 lit. b DSGVO |
| Spieldaten: Partien, Spielzüge, Ergebnisse, Zeitpunkte, Einladungen, Favoriten | Spielbetrieb, Archiv, Statistik, Ranking | Art. 6 Abs. 1 lit. b DSGVO |
| Zeitpunkt der letzten Anmeldung | Anzeige „zuletzt online" für Mitspieler | Art. 6 Abs. 1 lit. b DSGVO |
| Sitzungscookie | Angemeldet bleiben | § 25 Abs. 2 Nr. 2 TDDDG, Art. 6 Abs. 1 lit. b DSGVO |
| Server-Protokolle: IP-Adresse, Zeitpunkt, aufgerufene Adresse, Browserkennung | Betrieb, Fehlersuche, Abwehr von Missbrauch | Art. 6 Abs. 1 lit. f DSGVO |
| Push-Anmeldung des Geräts (Adresse beim Push-Dienst, Schlüssel) | Benachrichtigung, wenn du am Zug bist | Art. 6 Abs. 1 lit. a DSGVO (Einwilligung) |
Das Passwort wird niemals im Klartext gespeichert, sondern ausschließlich als bcrypt-Hashwert. Die Übertragung zwischen Gerät und Server erfolgt verschlüsselt über HTTPS.
Nach der Anmeldung wird ein einzelnes Cookie gesetzt. Es enthält den Benutzernamen, einen Ablaufzeitpunkt und eine Signatur, mit der der Server prüft, dass der Inhalt nicht verändert wurde.
kastra_sessionDieses Cookie ist technisch notwendig – ohne es ist eine Anmeldung nicht möglich. Es dient nicht der Analyse und nicht der Wiedererkennung über andere Angebote hinweg. Weitere Cookies werden nicht gesetzt.
Wichtig zu wissen: Push-Benachrichtigungen lassen sich technisch nicht ohne Beteiligung Dritter zustellen. Sie laufen zwingend über den Push-Dienst des jeweiligen Browser- oder Geräteherstellers.
Wenn du Benachrichtigungen aktivierst, erzeugt dein Browser eine Geräteadresse bei einem dieser Dienste. Diese Adresse wird auf dem Kastra-Server gespeichert und beim Versand einer Benachrichtigung dorthin übermittelt:
fcm.googleapis.comweb.push.apple.comnotify.windows.comupdates.push.services.mozilla.comÜbermittelt werden dabei die Geräteadresse und der verschlüsselte Inhalt der Benachrichtigung. Diese Anbieter haben ihren Sitz teilweise in den USA, sodass eine Übermittlung in ein Drittland stattfinden kann.
Grundlage ist ausschließlich deine Einwilligung, die du beim Einschalten der Benachrichtigungen erteilst. Du kannst sie jederzeit widerrufen: im Dashboard über „🔕 Push deaktivieren" oder in den Browsereinstellungen. Danach wird die Geräteadresse auf dem Server gelöscht. Ohne Push-Benachrichtigungen ist Kastra uneingeschränkt nutzbar.
Darüber hinaus werden keine Daten an Dritte weitergegeben. Es sind keine Analysedienste, keine Werbenetzwerke, keine externen Schriftarten und keine Inhalte von fremden Servern eingebunden.
Kastra ist ein Mehrspielerspiel – einige Angaben sind für die anderen Teilnehmenden des geschlossenen Kreises sichtbar:
Nicht sichtbar sind dein Passwort, deine Favoritenliste und deine persönliche Statistik. Wähle als Benutzernamen bitte nichts, das mehr über dich verrät, als du preisgeben möchtest.
Nach der Datenschutz-Grundverordnung steht dir zu:
Eine formlose E-Mail an opicrack@outlook.de genügt. Die Löschung des Kontos samt zugehöriger Spieldaten erfolgt auf Wunsch jederzeit.
Du kannst dich bei einer Datenschutz-Aufsichtsbehörde beschweren. Zuständig ist:
Der Hessische Beauftragte für Datenschutz und InformationsfreiheitBenutzername und Passwort sind für ein Konto erforderlich – ohne sie ist keine Teilnahme möglich. Weitere Angaben wie eine E-Mail-Adresse oder ein Klarname werden ausdrücklich nicht verlangt. Push-Benachrichtigungen sind freiwillig.
Es findet keine automatisierte Entscheidungsfindung und kein Profiling statt. Ranking und Statistik sind reine Auswertungen der gespielten Partien.
Kastra wird privat betrieben und nicht von einem Unternehmen. Ein Schutzniveau wie bei einem gewerblichen Anbieter kann daher nicht zugesichert werden. Verwende bitte ein Passwort, das du nirgendwo sonst benutzt.
Ändert sich der Funktionsumfang, wird dieser Text angepasst. Maßgeblich ist die jeweils hier veröffentlichte Fassung mit dem oben genannten Stand.