Datenschutz

Stand: 16.10.2026

Wir nehmen den Schutz deiner Daten ernst und haben holygods.net von Anfang an nach dem Prinzip „Privacy by Design“ gebaut: kein Tracking, keine Werbe-Cookies, keine Analyse-Tools, alle Schriften und Skripte liegen auf unserem eigenen Server. Im Folgenden erfährst du genau, welche Daten wir wofür verarbeiten.

1. Verantwortlicher

Andreas Bilke, Merkenicher Str. 161, 50735 Köln
E-Mail: contact@holygods.net
Telefon: +4922116932828

2. Hosting und Server-Logfiles

holygods.net wird auf einem eigenen Server in Deutschland betrieben. Hosting-Anbieter: netcup GmbH, Emmy-Noether-Straße 10, 76131 Karlsruhe, Deutschland. Mit dem Anbieter besteht ein Vertrag zur Auftragsverarbeitung (Art. 28 DSGVO).

Bei jedem Aufruf speichert der Webserver automatisch: IP-Adresse, Datum und Uhrzeit, aufgerufene URL, HTTP-Statuscode, übertragene Datenmenge, Referrer-URL und Browser-/Betriebssystem-Kennung (User-Agent). Zweck ist der sichere und stabile Betrieb (Fehleranalyse, Abwehr von Angriffen). Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Die Logfiles werden nach spätestens 14 Tagen gelöscht, sofern sie nicht zur Aufklärung eines konkreten Sicherheitsvorfalls benötigt werden.

3. Cookies und lokale Speicherung

Wir setzen ausschließlich technisch unbedingt erforderliche Cookies ein (§ 25 Abs. 2 Nr. 2 TDDDG). Eine Einwilligung ist dafür nicht nötig, deshalb gibt es bei uns kein Cookie-Banner.

4. Keine Drittanbieter beim Seitenaufruf

Schriftarten, Stylesheets und Skripte werden ausschließlich von unserem Server geladen. Bilder externer Plattformen (z. B. Profilbilder von Discord oder Steam, Spiele-Cover, Twitch-Vorschaubilder) laden wir über unseren eigenen Server (Bild-Proxy bzw. lokaler Cache) – deine IP-Adresse wird beim Ansehen der Seite also nicht an diese Anbieter übertragen.

5. Registrierung und Nutzerkonto

Für die Nutzung der Community-Funktionen benötigst du ein Konto. Bei der Registrierung per E-Mail verarbeiten wir: Handle (öffentlicher Nutzername), E-Mail-Adresse, Passwort (ausschließlich als Argon2id-Hash, nie im Klartext) und deine Sprache. Deine E-Mail-Adresse bestätigst du über einen Link (Double-Opt-in), der 24 Stunden gültig ist.

Freiwillig kannst du dein Profil ergänzen: Anzeigename, Avatar, Bio, Spielstil, Mikrofon-Präferenz, bevorzugte Rollen, Online-Zeiten, Altersgruppe/Geburtsjahr, Land/Region, gesprochene Sprachen, Plattform-IDs (z. B. Riot-ID, BattleTag, PSN), Spielebibliothek und Rang-Angaben.

Rechtsgrundlage ist die Erfüllung des Nutzungsvertrags (Art. 6 Abs. 1 lit. b DSGVO). Die Angaben sind für die Kontonutzung erforderlich (Pflichtfelder) bzw. freiwillig (Profilfelder). Löschst du dein Konto, werden die Daten innerhalb von 30 Tagen gelöscht oder anonymisiert, soweit keine gesetzlichen Aufbewahrungspflichten bestehen (z. B. Rechnungen, s. Ziffer 11).

6. Schutz vor Missbrauch beim Login

Zum Schutz vor Brute-Force-Angriffen speichern wir fehlgeschlagene und erfolgreiche Anmeldeversuche mit einem Hashwert der eingegebenen E-Mail-Adresse und der IP-Adresse für 30 Tage. Zusätzlich gelten Anfragelimits pro IP-Adresse (kurzlebige Zähler, wenige Minuten). Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Sicherheit der Konten).

Bei der Wahl eines Passworts prüfen wir, ob es in bekannten Datenlecks vorkommt. Dazu wird nur der Anfang (5 Zeichen) eines SHA-1-Hashwerts an den Dienst „Pwned Passwords“ (Have I Been Pwned, über Cloudflare) übermittelt (k-Anonymity-Verfahren). Weder dein Passwort noch deine E-Mail-Adresse oder andere Daten verlassen dabei unseren Server; ein Rückschluss auf dich ist nicht möglich.

Optional kann bei der Registrierung Cloudflare Turnstile (Cloudflare, Inc., 101 Townsend St., San Francisco, CA 94107, USA) als Bot-Schutz aktiv sein. Dabei werden technische Browserinformationen und die IP-Adresse an Cloudflare übermittelt. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Schutz vor automatisierten Fake-Registrierungen). Cloudflare ist unter dem EU-US Data Privacy Framework zertifiziert.

7. Anmeldung und Verknüpfung mit Discord, Steam und Twitch

Du kannst dich alternativ über Discord oder Steam anmelden bzw. diese Konten (und Twitch) mit deinem HolyGods-Profil verknüpfen. Dies geschieht nur auf deine aktive Veranlassung. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

• Discord (Discord Inc., 444 De Haro Street, Suite 200, San Francisco, CA 94107, USA): Wir erhalten deine Discord-ID, deinen Benutzernamen, Anzeigenamen, dein Profilbild und – sofern bei Discord bestätigt – deine E-Mail-Adresse. Mit der Berechtigung „guilds.join“ treten wir für dich unserem Community-Server bei. Zugriffstokens speichern wir verschlüsselt.
• Steam (Valve Corporation, P.O. Box 1688, Bellevue, WA 98009, USA): Wir erhalten deine SteamID64. Über die Steam-Web-API lesen wir deinen Profilnamen, dein Profilbild sowie – sofern dein Steam-Profil öffentlich ist – deine Spielebibliothek, Spielzeiten und Errungenschaften, um dein Profil automatisch zu befüllen und passende Mitspieler vorzuschlagen. Die Synchronisation wiederholt sich regelmäßig, solange die Verknüpfung besteht.
• Twitch (Twitch Interactive, Inc., 350 Bush Street, 2nd Floor, San Francisco, CA 94104, USA): Für den „Streamer-Radar“ erhalten wir deine Twitch-ID, deinen Kanalnamen sowie bei Livegang Titel, Spiel, Zuschauerzahl und Vorschaubild. Diese Informationen zeigen wir öffentlich auf der Startseite an, solange du live bist.
• Diablo3Stats (diablo3stats.de): Wenn du dein Diablo3Stats-Konto per Einmal-Code verknüpfst, erhalten wir deinen BattleTag und deine Diablo-III-Kennzahlen (Gesamtspielzeit, Paragon, Seasons, Helden, Kills, bester Großer Nephalemportal). Damit zeigen wir deine bestätigte Spielzeit in deiner Bibliothek an. Die Synchronisation wiederholt sich regelmäßig, solange die Verknüpfung besteht; du kannst sie hier oder auf Diablo3Stats jederzeit lösen.

Du kannst Verknüpfungen jederzeit in deinem Profil lösen; die zugehörigen Tokens löschen wir dann sofort. Bei der Anmeldung über diese Anbieter gelten zusätzlich deren Datenschutzbestimmungen. Die Übermittlung in die USA erfolgt auf deine Veranlassung zur Erfüllung des von dir gewünschten Logins (Art. 49 Abs. 1 lit. b DSGVO) bzw. auf Grundlage des EU-US Data Privacy Framework, soweit der jeweilige Anbieter zertifiziert ist.

8. Discord-Bot und Voice-Integration

Hast du dein Discord-Konto verknüpft, verarbeitet unser Bot auf dem HolyGods-Discord-Server: deine Discord-ID, deine Rollen auf dem Server sowie deinen Sprachkanal-Status (in welchem Kanal du bist, stummgeschaltet/taub, Bildschirmübertragung aktiv). Damit erstellen wir temporäre Sprachkanäle für Matches, synchronisieren Ränge und Rollen zwischen Website und Discord und zeigen auf der Website an, wer gerade im Voice ist. Aus der Dauer der Voice-Sitzungen berechnen wir Erfahrungspunkte (XP).

Gesprächsinhalte (Audio) werden niemals aufgezeichnet oder verarbeitet. Der aktuelle Voice-Status wird bei jeder Änderung überschrieben; abgeschlossene Voice-Sitzungen (Beginn, Ende, Dauer) speichern wir 90 Tage. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

9. Matchmaking, Lobbys und automatische Vorschläge

Lobbys (Titel, Spiel, Sprache, Termin, Teilnehmer mit Handle, Avatar und Karma-Wert) sind öffentlich sichtbar – auch für nicht angemeldete Besucher –, sofern die Lobby als „öffentlich“ erstellt wurde.

Unser Matching-Algorithmus schlägt dir passende Gruppen vor. Dazu werden deine Spielebibliothek, Spielzeiten, gesprochenen Sprachen, Region, Rang/Skill, Karma-Wert, Online-Zeiten und bevorzugten Rollen ausgewertet (Profiling). Die Vorschläge haben keine rechtliche oder ähnlich erhebliche Wirkung; du entscheidest selbst, ob du einer Gruppe beitrittst. Für den Squad-Balancer (faire Teameinteilung) verwenden wir Rang, K/D-Wert und Rolle der Teilnehmer. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

10. Karma- und Reputationssystem

Nach organisierten Matches können sich Teilnehmer gegenseitig bewerten (z. B. „Pünktlich“, „Shotcaller“, „Toxisch“). Aus den Bewertungen berechnen wir einen Karma-Wert, der auf deinem Profil sichtbar ist und das Matching beeinflusst. Freitext-Kommentare sind nur für die Moderation sichtbar; wer dich bewertet hat, wird dir nicht angezeigt. Einzelbewertungen speichern wir 12 Monate; danach fließen sie nur noch aggregiert in den Karma-Wert ein.

Erhältst du innerhalb kurzer Zeit wiederholt negative Bewertungen von verschiedenen Spielern, kann das System eine befristete LFG-Sperre (keine Lobby-Erstellung/-Teilnahme) automatisch verhängen. Du kannst jederzeit eine Überprüfung durch einen Menschen verlangen, deinen Standpunkt darlegen und die Entscheidung anfechten (Art. 22 Abs. 3 DSGVO) – per Support-Ticket oder an contact@holygods.net. Rechtsgrundlage: Art. 6 Abs. 1 lit. b und f DSGVO (faires, respektvolles Miteinander).

11. PRO-Abo und Zahlungsabwicklung

Zahlungen für das PRO-Abo wickelt Stripe (Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, D02 H210, Irland) ab. Deine Zahlungsdaten (z. B. Kartendaten) gibst du direkt bei Stripe ein; wir erhalten sie nicht. Wir erhalten von Stripe eine Kunden- und Abo-Kennung, den Abo-Status, Betrag, Währung, Land (für die korrekte Umsatzsteuer) und Rechnungsinformationen. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO; für Rechnungen Art. 6 Abs. 1 lit. c DSGVO i. V. m. § 147 AO, § 257 HGB (Aufbewahrung 10 Jahre). Datenschutzhinweise von Stripe: stripe.com/de/privacy.

12. E-Mails

Wir versenden ausschließlich transaktionale E-Mails (Bestätigung der E-Mail-Adresse, Passwort-Zurücksetzung, Sicherheits- und Kontohinweise) über unseren eigenen Mailserver. Einen Newsletter versenden wir nur mit deiner ausdrücklichen Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), die du jederzeit widerrufen kannst.

13. In-Game-Overlay

Verbindest du das HolyGods-Overlay (Overwolf/Desktop-App), bestätigst du die Kopplung über einen Code auf unserer Website. Das Overlay erhält ein Zugriffstoken, das nur Lesezugriff auf deinen Lobby-, Match- und Voice-Status gewährt, 90 Tage gilt und bei uns nur als Hashwert gespeichert wird. Du kannst es jederzeit in deinem Profil widerrufen.

14. Moderation, Sicherheit und Protokollierung

Zur Durchsetzung unserer Nutzungsbedingungen verarbeiten wir Meldungen (Tickets), Verwarnungen und Sperren. Sperren können sich auf Konto, E-Mail-Adresse, Discord-ID, SteamID oder IP-Adresse(n) beziehen und werden für die Dauer der Sperre gespeichert. Administrative Handlungen unseres Teams werden manipulationssicher protokolliert (Audit-Log, inkl. IP-Adresse des handelnden Teammitglieds; IP-Adressen werden nach 90 Tagen entfernt). Anwendungs-Fehlerprotokolle löschen wir nach 14 Tagen. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.

15. Öffentliche Inhalte

Dein Handle, Anzeigename, Avatar, Level, Karma-Wert, Badges sowie von dir veröffentlichte Inhalte (Lobbys, Forenbeiträge, Clips, Clan-Mitgliedschaften und Aktivitäten im Community-Feed) sind öffentlich bzw. für andere Mitglieder sichtbar. Einzelne Profilfelder kannst du in den Privatsphäre-Einstellungen verbergen.

16. Empfänger und Auftragsverarbeiter

Deine Daten werden nicht verkauft und nicht zu Werbezwecken weitergegeben. Empfänger sind nur: unser Hosting-Anbieter (Auftragsverarbeiter), Stripe (Zahlungen), sowie – nur bei aktiver Nutzung der jeweiligen Funktion – Discord, Valve (Steam) und Twitch. Eine Übermittlung an Behörden erfolgt nur bei gesetzlicher Verpflichtung.

17. Deine Rechte

Du hast das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch gegen Verarbeitungen auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO (Art. 21). Erteilte Einwilligungen kannst du jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3). Wende dich dazu einfach an contact@holygods.net.

Du hast außerdem das Recht, dich bei einer Datenschutz-Aufsichtsbehörde zu beschweren (Art. 77 DSGVO).

18. Mindestalter

holygods.net richtet sich an Personen ab 16 Jahren. Wir verarbeiten wissentlich keine Daten jüngerer Kinder; werden wir darauf aufmerksam, löschen wir das Konto.

19. Datensicherheit

Wir setzen technische und organisatorische Maßnahmen nach Art. 32 DSGVO ein, u. a.: durchgehende TLS-Verschlüsselung (HSTS), Passwort-Hashing mit Argon2id, Verschlüsselung gespeicherter Zugriffstokens, Speicherung von Einmal- und API-Tokens nur als Hashwert, strenge Content-Security-Policy, Schutz vor CSRF und Brute-Force-Angriffen, rollenbasierte Zugriffsrechte für unser Team und manipulationssichere Protokollierung.

20. Änderungen

Wir passen diese Datenschutzerklärung an, wenn sich unser Angebot oder die Rechtslage ändert. Es gilt die jeweils hier veröffentlichte Fassung.