Datenschutzerklärung

1. Verantwortlicher

Simon Helfenfinger
Salmendörfli 8, 5084 Rheinsulz, Schweiz
E-Mail: mpo94@gmx.ch

Diese Erklärung gilt für die Website www.challenge-hub.de und für das Minecraft-Plugin Challenge Hub (Demo und Vollversion), soweit es mit dieser Website Verbindung aufnimmt.

2. Serverlogs

Beim Aufruf dieser Website erhebt der Webserver technisch bedingt automatisch Informationen wie IP-Adresse, Datum und Uhrzeit der Anfrage, aufgerufene Seite, übertragene Datenmenge sowie Browser- und Betriebssystem-Informationen. Das gilt auch für die Verbindungen, die das Plugin aufbaut (Abschnitt 7). Diese Daten dienen ausschließlich dem sicheren und stabilen Betrieb der Seite (Art. 6 Abs. 1 lit. f DSGVO).

Die Protokolle dieses Webservers werden nur rotierend gespeichert: Es wird ein begrenzter Umfang (höchstens rund 0,5 MB) vorgehalten, ältere Einträge werden laufend überschrieben. Eine feste Löschfrist in Tagen gibt es deshalb nicht – je mehr Verkehr die Seite hat, desto schneller verschwinden Einträge. Bei üblichem Besucheraufkommen bleiben sie einige Tage bis wenige Wochen erhalten, bei sehr geringem Verkehr auch länger.

3. Cookies und Tracking

Diese Website setzt keine Analyse-, Marketing- oder Tracking-Cookies ein und nutzt keine Tracking-Tools. Es werden auch keine Schriftarten oder Skripte von Drittanbietern (z. B. Google Fonts) nachgeladen – alle Stile sind lokal auf diesem Server eingebunden.

Ein einziges Cookie gibt es: Wenn ihr euch in euer Kundenkonto einloggt (Abschnitt 6), setzen wir das Sitzungs-Cookie chub_session. Es enthält eine signierte Anmeldekennung (kodierte E-Mail-Adresse, Ablaufzeitpunkt, Signatur), aber nicht euer Passwort. Es wird nur an diese Website gesendet (HttpOnly, SameSite=Lax, über HTTPS zusätzlich Secure), ist 30 Tage gültig und wird beim Abmelden gelöscht. Es ist technisch notwendig, um euch angemeldet zu halten, und wird deshalb ohne Einwilligung gesetzt (Art. 6 Abs. 1 lit. b DSGVO; § 25 Abs. 2 Nr. 2 TDDDG). Ohne Login wird kein Cookie gesetzt.

4. Zahlungsabwicklung über Stripe

Der Kauf wird über den Zahlungsdienstleister Stripe (Stripe, Inc. bzw. für Kund:innen im EWR: Stripe Payments Europe, Ltd.) abgewickelt. Beim Klick auf „Jetzt kaufen“ werdet ihr auf die Bezahlseite von Stripe weitergeleitet. Dort eingegebene Zahlungs- und Kontaktdaten (z. B. Name, E-Mail-Adresse, Kartendaten) werden direkt von Stripe verarbeitet – diese Website selbst speichert keine Kartendaten und sieht sie zu keinem Zeitpunkt.

Nach erfolgreicher Zahlung ruft unser Server über die Stripe-API den Zahlungsstatus sowie (falls von Stripe übermittelt) die E-Mail-Adresse der Bestellung ab, um den Download freizuschalten und euren Lizenzschlüssel zu erzeugen (Abschnitt 5). Außerdem meldet Stripe uns die abgeschlossene Zahlung automatisch; daraus speichern wir eine einfache Bestellübersicht (Zeitpunkt, Stripe-Vorgangsnummer, E-Mail, Betrag) lokal – zur eigenen Buchhaltung und für Support-Anfragen (Art. 6 Abs. 1 lit. b und c DSGVO, Erfüllung des Kaufvertrags bzw. steuerliche Aufbewahrungspflichten). Die Bestellübersicht bewahren wir so lange auf, wie es gesetzliche Aufbewahrungspflichten verlangen (in der Schweiz für Buchungsbelege in der Regel zehn Jahre).

Die Verarbeitung durch Stripe kann auch außerhalb der EU/des EWR erfolgen. Details dazu, insbesondere zu eingesetzten Garantien wie EU-Standardvertragsklauseln, findet ihr in der Datenschutzerklärung von Stripe: https://stripe.com/de/privacy.

Von Stripe nutzen wir ausschließlich die gehostete Bezahlseite (Stripe Checkout) für Einmalzahlungen – keine Abonnements und keine Rechnungsstellung oder Steuerberechnung über Stripe. Beim Kauf legt Stripe in unserem Stripe-Konto ein Kundenprofil an (u. a. Name und E-Mail-Adresse aus dem Bezahlvorgang), auf das wir im Stripe-Dashboard zugreifen können, etwa für Support-Anfragen und Rückerstattungen. Welche Zahlungsmethoden angeboten werden, richtet sich nach den Einstellungen unseres Stripe-Kontos.

5. Lizenzschlüssel

Nach erfolgreicher Zahlung erzeugt unser Server einen persönlichen Lizenzschlüssel (Format CHUB-XXXX-XXXX-XXXX-XXXX) und speichert ihn mit der Stripe-Vorgangsnummer, der E-Mail-Adresse der Bestellung und dem Zeitpunkt der Erstellung. Schlüssel, die wir von Hand ausstellen (z. B. Testschlüssel, Geschenk oder Ersatz), speichern wir mit einer E-Mail-Adresse, falls eine angegeben wird, und einer internen Notiz.

Der Schlüssel dient dazu, das Plugin zu aktivieren (Abschnitt 7), die aktuelle Version herunterzuladen und Support-Anfragen zuzuordnen. Wir können ihn sperren, wenn das nötig ist – etwa nach einer Rückerstattung; gesperrt wird dabei nur der Schlüssel, und zwar immer von Hand durch uns, nie automatisch. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Erfüllung des Kaufvertrags), für die Sperrung auch lit. f (Schutz vor missbräuchlicher Nutzung). Wir speichern den Schlüssel, solange die Lizenz besteht.

6. Kundenkonto (optional)

Ihr könnt freiwillig ein Kundenkonto anlegen, um eure Lizenzschlüssel jederzeit online einzusehen. Dafür speichern wir eure E-Mail-Adresse, das Passwort ausschließlich als gesalzenen Hash (scrypt, nie im Klartext) sowie den Zeitpunkt der Erstellung und der letzten Passwortänderung. Das Passwort legt ihr nicht auf der Registrierungsseite fest, sondern über einen Link, den wir an eure E-Mail-Adresse schicken (60 Minuten gültig); genauso funktioniert „Passwort vergessen“. Welche Schlüssel im Konto erscheinen, ergibt sich über die E-Mail-Adresse (dieselbe wie beim Kauf).

Für den Versand dieser E-Mails nutzen wir den SMTP-Server unseres E-Mail-Anbieters (GMX); er erhält dabei eure Adresse und den Inhalt der Nachricht (den Link). Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (ihr habt das Konto angefordert). Wir speichern die Kontodaten, bis ihr das Konto löschen lasst – schreibt uns dazu eine E-Mail. Eure Lizenzschlüssel bleiben davon unberührt, sie gehören zum Kauf.

7. Das Plugin: Aktivierung, Check-in und Update-Prüfung

Das Plugin läuft auf eurem eigenen Minecraft-Server. Es nimmt an drei Stellen Verbindung zu dieser Website auf; die folgenden Angaben stammen aus dem Plugin, nicht aus eurem Browser. Spielerdaten (Namen, UUIDs, Chatnachrichten, Standorte o. Ä.) überträgt das Plugin dabei nie – nur die hier genannten Angaben zu Server und Lizenz. Eine Schritt-für-Schritt-Erklärung der Aktivierung steht auf der Seite Aktivierung.

a) Aktivierung (nur Vollversion)

Die Vollversion muss einmal pro Server mit dem Lizenzschlüssel aktiviert werden. Bei der Online-Aktivierung (Befehl /lizenz) überträgt das Plugin einmalig euren Lizenzschlüssel, eine zufällig erzeugte Kennung der Installation (Instanz-ID), den Rechnernamen (Hostname) des Servers und die Plugin-Version. Technisch bedingt sieht unser Server dabei auch die IP-Adresse (siehe Abschnitt 2), speichert sie aber nicht bei der Aktivierung. Wir prüfen den Schlüssel, binden ihn an die Instanz-ID (ein Schlüssel gilt standardmäßig für einen Server) und antworten mit einem digital signierten Aktivierungscode, den das Plugin selbst prüft.

Hat der Server kein Internet, geht die Offline-Aktivierung: Dann überträgt der Server selbst nichts. Das Plugin zeigt einen Anfragecode an (er enthält Lizenzschlüssel und Instanz-ID, nicht Hostname oder Plugin-Version), den ihr selbst auf der Seite Offline-Aktivierung eingebt. Die Website verarbeitet ihn wie bei der Online-Aktivierung.

Zieht ihr den Schlüssel auf einen anderen Server um, gebt ihr die Aktivierung mit /lizenz deaktivieren frei; dabei überträgt das Plugin Lizenzschlüssel und Instanz-ID an diese Website, damit wir den Platz freigeben können.

Gespeichert werden Schlüssel, Instanz-ID, Art der Aktivierung (online oder offline) und die Zeitpunkte von Aktivierung und letzter Meldung, außerdem – bei der Online-Aktivierung und über spätere Check-ins (siehe b) – Hostname und Plugin-Version. Wir speichern diese Angaben, solange die Lizenz besteht. Wird eine Aktivierung freigegeben (z. B. bei einem Umzug auf einen anderen Server), bleibt der Datensatz als „freigegeben“ erhalten, damit ein noch laufender alter Server das beim nächsten Check-in erfährt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (die Aktivierung gehört zur gekauften Leistung) und lit. f (Schutz vor unberechtigter Mehrfachnutzung).

b) Check-in (Demo und Vollversion)

Kurz nach dem Start und danach alle vier Stunden (in der config.yml einstellbar) meldet sich das Plugin bei dieser Website mit: Instanz-ID, Hostname, Plugin-Version, Edition (Demo oder Vollversion) und – falls ein Schlüssel hinterlegt ist – dem Lizenzschlüssel. Technisch bedingt sehen wir dabei auch die IP-Adresse. Zwecke sind ein grober Überblick über die Zahl der Installationen (Statistik, Support), der Schutz vor missbräuchlicher Nutzung und die Antwort an das Plugin, ob der Schlüssel inzwischen gesperrt oder die Aktivierung freigegeben wurde – so erfährt ein laufender Server zum Beispiel von einer Rückerstattung. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Lizenzschutz und Statistik).

Wir speichern Instanz-ID, Hostname, Schlüssel, Version, Edition, IP-Adresse, den Zeitpunkt der ersten und der letzten Meldung und die Zahl der Meldungen. Ein Eintrag wird automatisch gelöscht, wenn sich der Server 180 Tage lang nicht mehr gemeldet hat.

Abschalten: Der Check-in lässt sich jederzeit mit checkin.enabled: false in der config.yml des Plugins abstellen. Die Aktivierung bleibt davon unberührt – sie wird lokal geprüft und gilt dauerhaft. Ein Server ohne Check-in erfährt allerdings nichts von einer späteren Sperrung des Schlüssels. Beim Start schreibt das Plugin ins Serverlog, was es überträgt.

c) Update-Prüfung (Demo und Vollversion)

Kurz nach dem Start und danach alle vier Stunden fragt das Plugin die aktuelle Version ab, um Operatoren auf Updates hinzuweisen. Dabei werden keine Angaben zu Server oder Lizenz gesendet – nur die technisch üblichen Verbindungsdaten (IP-Adresse, Plugin-Version im User-Agent), die im Serverlog landen (Abschnitt 2). Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Abschalten geht mit update-check.enabled: false in der config.yml.

Hinweis zum Hostnamen: Er ist der Rechnername eures Servers und kann – je nach Benennung – Rückschlüsse auf Personen zulassen. Bei der Online-Aktivierung und beim Check-in wird er mitgeschickt; die Offline-Aktivierung überträgt ihn nicht, und der Check-in lässt sich abschalten.

8. Empfänger und Datenübermittlung

Wir geben eure Daten nicht an Dritte weiter – mit den beiden oben genannten Ausnahmen: Stripe (Zahlung, Abschnitt 4) und unser E-Mail-Anbieter (Mails des Kundenkontos, Abschnitt 6). Die Daten aus Aktivierung und Check-in bleiben bei uns; wir verkaufen keine Daten und nutzen sie nicht für Werbung. Da wir unseren Sitz und unseren Server in der Schweiz haben, werden Daten von Personen aus der EU/dem EWR in die Schweiz übermittelt; für die Schweiz besteht ein Angemessenheitsbeschluss der EU-Kommission.

9. Eure Rechte

Ihr habt das Recht auf Auskunft, Berichtigung, Löschung und Einschränkung der Verarbeitung eurer personenbezogenen Daten sowie ein Widerspruchsrecht gegen die Verarbeitung und ein Recht auf Datenübertragbarkeit. Wendet euch dazu an die oben genannte Kontakt-E-Mail-Adresse. Wo wir Daten auf Grundlage eines berechtigten Interesses verarbeiten (Serverlogs, Check-in, Update-Prüfung), könnt ihr dem jederzeit widersprechen – beim Check-in und bei der Update-Prüfung geht das auch direkt über die Einstellungen des Plugins (Abschnitt 7). Außerdem habt ihr das Recht, euch bei einer Datenschutz-Aufsichtsbehörde zu beschweren. Für Personen in der Schweiz gilt das Schweizer Datenschutzgesetz (DSG); die Rechte entsprechen im Wesentlichen den hier genannten.

10. Hosting

Diese Website und alle beschriebenen Dienste (Kundenkonto, Aktivierung, Check-in, Update-Prüfung) werden von uns selbst betrieben – auf eigener Hardware (einem NAS) in der Schweiz. Es ist kein Reverse-Proxy- oder CDN-Dienst eines Drittanbieters vorgeschaltet; die Verbindung ist per HTTPS verschlüsselt.

11. Externe Links

Diese Seite verlinkt auf externe Angebote (z. B. Discord, YouTube, Stripe). Beim Klick verlasst ihr diese Website; für die Datenverarbeitung dort sind die jeweiligen Betreiber verantwortlich.

Stand: 21. September 2026