Datenschutzerklärung

1. Verantwortlicher

Diese Datenschutzerklärung gilt für middiff.gg, die middiff-Web-App und die zugehörigen Konto- und Produktdienste. Verantwortlich ist BlueBottle GmbH, Rübezahlweg 8A, 83052 Bruckmühl, Deutschland (siehe Impressum). Kontakt: contact@bluebottle.gg.

2. Was wir verarbeiten

Kontodaten: E-Mail-Adresse, interne Konto- und Anmeldekennungen, Anmeldeanbieter sowie Erstellungs- und Änderungszeitpunkte. Die Anmeldung erfolgt wahlweise über Google oder mit E-Mail-Adresse und Passwort. Bei der E-Mail-Anmeldung wird das Passwort über eine verschlüsselte Verbindung an unseren Kontodienst übermittelt und ohne Protokollierung oder Speicherung an Amazon Cognito weitergegeben; Amazon Cognito verwaltet die Zugangsdaten.

Produktdaten: verknüpfte Riot-Konten mit Riot-ID, Spielerkennung (PUUID), Plattform und Spielprofil, Spiel- und Replaydaten, Analyseergebnisse, Coaching-Antworten, Feedback sowie Freigabelinks und Geräteverknüpfungen. Wir verarbeiten diese Daten, um Spiele zu analysieren und die von dir genutzten Coaching- und Freigabefunktionen bereitzustellen. Sie stammen aus deiner Nutzung und den angebundenen Spieldiensten, nicht aus deinem Google-Konto. Über einen von dir erstellten Freigabelink können andere Personen die freigegebenen Spiel- und Berichtsdaten aufrufen.

Abonnement- und Transaktionsdaten: Produkt, Plan, Abrechnungsstatus sowie Paddle-Kunden-, Transaktions- und Abonnementkennungen; wir speichern keine vollständigen Kartendaten. Betriebs- und Sicherheitsdaten: Zeitpunkt, Anfragepfad, Statuscode, übertragene Datenmenge, Referrer, User-Agent, IP-Adresse, Konto- oder Cognito-Kennung sowie technische Fehlerdaten, soweit sie in Webserver-, API- oder Funktionsprotokollen anfallen.

2a. Google-Anmeldung: Zugriff und Verwendung

Wenn du „Mit Google anmelden“ wählst, erfolgt die Authentifizierung über Google und unseren Identitätsdienst Amazon Cognito. Angefordert werden die Berechtigungen openid, email und profile. Diese betreffen deine Identität, E-Mail-Adresse und grundlegende Profilinformationen, beispielsweise Name und Profilbild, die Google dem Anmeldedienst bereitstellen kann. middiff liest aus dem von Cognito ausgestellten Identitätsnachweis die E-Mail-Adresse und eine stabile Kontokennung (sub); Name und Profilbild werden von der middiff-Anwendung derzeit nicht verwendet.

Wir verwenden die E-Mail-Adresse und Kontokennung, um dich zu authentifizieren, ein Konto anzulegen oder mit einem bestehenden BlueBottle-Konto derselben E-Mail-Adresse zu verknüpfen, deine Sitzung aufrechtzuerhalten und dir Zugriff auf deine Kontodaten und gebuchten Funktionen zu geben. Gespeichert werden die E-Mail-Adresse, interne Kontokennung, Zuordnung zur Cognito-Kennung, Google als Anmeldeanbieter und Kontozeitstempel.

Diese Anmeldung gibt middiff keinen Zugriff auf dein Google-Passwort, Gmail-Nachrichten, Google-Drive-Dateien, Kalender oder Kontakte. Die Google-Anmeldung ist optional; alternativ kannst du ein Konto mit E-Mail-Adresse und Passwort verwenden.

Google-Anmeldedaten werden nicht verkauft oder für personalisierte Werbung verwendet. Amazon Cognito verarbeitet die Anmeldung; die middiff-Dienste speichern die daraus benötigten Konto- und Sitzungsdaten wie in Abschnitt 7 beschrieben. Bei einem Kauf werden deine Konto-E-Mail-Adresse, auch wenn sie von Google stammt, und deine interne Kontokennung an Paddle zur Zuordnung der Zahlung übermittelt. Für die Nutzungsanalyse kann die interne middiff-Kontokennung verwendet werden; Google-E-Mail-Adresse, Name und Profilbild werden dabei nicht als Analysefelder übermittelt.

2b. Zweckbindung von Google-Nutzerdaten

middiff verwendet und übermittelt Google-Nutzerdaten ausschließlich für die in dieser Erklärung beschriebenen nutzerbezogenen Funktionen und im Einklang mit der Google API Services User Data Policy einschließlich ihrer Limited-Use-Anforderungen. Wir verwenden oder übermitteln diese Daten nicht für Datenhandel, Kreditwürdigkeitsprüfungen oder personalisierte Werbung und nicht zur Entwicklung, Verbesserung oder zum Training allgemeiner oder nicht personalisierter KI- oder Machine-Learning-Modelle. middiff greift nicht auf Google Workspace APIs zu; unsere Spielanalysen verwenden keine über die Google-Anmeldung erhaltenen Daten als Modelleingaben.

2c. Sitzungen und Schutz deiner Daten

Wir verwenden verschlüsselte HTTPS-Verbindungen für die Anmeldung. Der Browser erhält ein technisch notwendiges Sitzungscookie (bb_session), das im Produktivbetrieb nur über sichere Verbindungen gesendet wird und für JavaScript nicht zugänglich ist (Secure und HttpOnly). Ein kurzlebiges Cookie (bb_oauth, bis zu zehn Minuten) sichert den Anmeldevorgang ab.

Serverseitig speichern wir die Sitzungskennung als Hash sowie die zugehörige Konto- und Cognito-Kennung, E-Mail-Adresse, den Anmeldeanbieter und Sitzungszeitstempel. Ein von Cognito ausgestelltes Refresh-Token wird verschlüsselt auf dem Server gespeichert, um die Anmeldung aufrechtzuerhalten. Dabei handelt es sich um ein Cognito-Token; die middiff-Anwendung erhält keine Google-Access- oder Google-Refresh-Tokens. Diese Tokens werden nicht an den Browser weitergegeben.

3. Optionale Produktanalyse

Unsere Desktop-Produkte verwenden einen von BlueBottle selbst betriebenen Analysedienst auf Hetzner-Infrastruktur in Deutschland, um die Nutzung von Funktionen zu verstehen und die Produkte zu verbessern. Dabei werden pseudonyme Nutzungs- und Sitzungskennungen verwendet. Auf den öffentlichen Websites setzen wir keine Analyse-, Werbe- oder Tracking-Dienste Dritter ein.

Die optionale Erfassung von Nutzungsdaten kann im jeweiligen Produkt unter „Nutzungsdaten“ deaktiviert werden. Die Einstellung gilt nicht für notwendige Konto- und Sicherheitsverarbeitung, technische Serverprotokolle oder die gesonderte Fehlerdiagnose nach Abschnitt 4. Für die Produktanalyse setzen wir keine Cookies ein.

4. Fehlerdiagnose

Release-Versionen der Desktop-Produkte können technische Berichte über unbehandelte Abstürze an unseren Speicher bei AWS in Frankfurt übermitteln. Diese Fehlerdiagnose kann einen begrenzten Ausschnitt des lokalen Produktprotokolls enthalten und erfolgt getrennt von der Nutzungsanalyse.

5. Rechtsgrundlagen (Art. 6 DSGVO)

Vertragserfüllung (Art. 6 Abs. 1 lit. b) für Konto und Anmeldung einschließlich Google-Anmeldung, Produktfunktionen, Abonnement, Kauf und Download. Berechtigte Interessen (Art. 6 Abs. 1 lit. f) für Betriebssicherheit, Fehleranalyse, Missbrauchsvermeidung und die Verbesserung des Produkts durch Nutzungsanalyse, soweit nicht deine entgegenstehenden Interessen oder Rechte überwiegen. Einwilligung (Art. 6 Abs. 1 lit. a), soweit sie gesetzlich erforderlich ist.

6. Zahlungen — Paddle

Käufe werden von Paddle.com Market Ltd als Merchant of Record abgewickelt. Wir übermitteln deine Konto-E-Mail-Adresse und interne Kontokennung zur Zuordnung des Kunden und des Checkouts. Paddle verarbeitet deine Abrechnungs- und Zahlungsdaten nach seiner eigenen Datenschutzerklärung und handelt als eigenständiger Verantwortlicher für Zahlungsabwicklung und Steuern.

7. Hosting, Empfänger und Übermittlungen

Die middiff-Website, API, Produktdatenbank, Sitzungsdaten und der selbst betriebene Analysedienst laufen auf Hetzner-Infrastruktur in Deutschland. Für Identitäts- und Kontodienste verwenden wir Amazon Web Services in der EU (Region Frankfurt, eu-central-1), insbesondere Amazon Cognito und DynamoDB; Download- und Absturzspeicher nutzen ebenfalls AWS.

Wenn du die Google-Anmeldung auswählst, verarbeitet Google den Anmeldevorgang und stellt Amazon Cognito die freigegebenen Identitätsinformationen bereit. Google verarbeitet Daten außerdem nach seinen eigenen Datenschutzbestimmungen. Paddle erhält Daten im Zusammenhang mit Käufen wie in Abschnitt 6 beschrieben. Eine Weitergabe kann zudem erforderlich sein, um gesetzlichen Verpflichtungen oder rechtmäßigen behördlichen Anordnungen nachzukommen. Soweit ein Empfänger Daten außerhalb der EU/des EWR verarbeitet, gelten dessen Datenschutzinformationen und geeignete Garantien wie die EU-Standardvertragsklauseln.

8. Deine Rechte, Löschung und Google-Verbindung

Du hast das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch. Du kannst eine Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen. Um diese Rechte auszuüben oder die Löschung deines middiff-Kontos und der zugehörigen personenbezogenen Daten einschließlich der aus der Google-Anmeldung erhaltenen Daten zu beantragen, schreibe an contact@bluebottle.gg und nenne die betroffene Konto-E-Mail-Adresse. Wir können einen Nachweis verlangen, dass dir das Konto gehört. Gesetzliche Aufbewahrungspflichten und berechtigte Gründe für eine begrenzte weitere Speicherung bleiben vorbehalten.

Die Verbindung zu middiff kannst du in deinem Google-Konto unter den Verbindungen zu Drittanbieter-Apps und -Diensten entfernen. Google erläutert dies unter https://support.google.com/accounts/answer/13533235. Das Entfernen der Verbindung löscht nicht automatisch dein middiff-Konto oder bereits gespeicherte Daten und beendet nicht zwingend eine bestehende middiff-Sitzung. Melde dich zusätzlich bei middiff ab und sende uns gegebenenfalls eine Löschanfrage.

9. Beschwerderecht

Du hast das Recht, dich bei einer Aufsichtsbehörde zu beschweren, insbesondere in dem EU-Mitgliedstaat deines Aufenthalts, Arbeitsorts oder des Orts des mutmaßlichen Verstoßes.

10. Speicherdauer

Kontodaten einschließlich der aus der Google-Anmeldung erhaltenen E-Mail-Adresse und Identitätszuordnung werden gespeichert, solange sie für dein Konto und die Bereitstellung der Dienste benötigt werden. Konto-, Produkt-, Abonnement-, Transaktions- und Betriebsdaten werden nach Zweckfortfall gelöscht, soweit keine handels-, steuer- oder sonstigen gesetzlichen Aufbewahrungspflichten oder berechtigten Gründe für eine weitere Speicherung bestehen. Eine Kontolöschung entfernt nicht automatisch gemeinsam genutzte Spiel- und Analysedaten; verbleibende personenbezogene Bezüge prüfen wir im Rahmen deiner Löschanfrage.

Eine middiff-Sitzung ist nach 14 Tagen Inaktivität oder spätestens 30 Tagen nach Erstellung nicht mehr gültig. Beim Abmelden wird die aktuelle serverseitige Sitzung einschließlich des gespeicherten Cognito-Refresh-Tokens gelöscht. Abgelaufene Sitzungseinträge werden bei einem erneuten Zugriff bereinigt; das Ablaufdatum ist keine garantierte automatische physische Löschfrist.

Nutzungsereignisse werden serverseitig bis zu 400 Tage gespeichert. Für technische Identitätszuordnungen, Funktionsprotokolle und Absturzberichte besteht derzeit keine einheitliche feste automatische Löschfrist. Löschanfragen können an contact@bluebottle.gg gerichtet werden.

11. Änderungen dieser Datenschutzerklärung

Wir halten diese Datenschutzerklärung aktuell und kennzeichnen Änderungen durch das oben angegebene Aktualisierungsdatum. Wenn wir ändern, wie middiff auf Google-Nutzerdaten zugreift oder diese verwendet, speichert oder weitergibt, informieren wir betroffene Nutzer vor Wirksamwerden der Änderung per E-Mail oder durch einen deutlich sichtbaren Hinweis in der App. Soweit erforderlich, holen wir vor der geänderten Verarbeitung eine erneute Einwilligung ein.