Datenschutz

Diese Datenschutzerklärung informiert Sie über Art, Umfang und Zweck der Verarbeitung personenbezogener Daten auf dieser Website, im Zusammenhang mit unseren Minecraft-Servern und der Live-Karte (map.wom-hosting.com) sowie in der App WOM Untis (untis.wom-hosting.com, Abschnitt 7). WOM Hosting ist ein privates, nicht-kommerzielles Projekt einer Privatperson.

Zum Impressum gelangen Sie hier: Impressum

1. Verantwortlicher

Mats Wibbeke
Rolfshof 35
33104 Paderborn
E-Mail: [email protected]

Ein Datenschutzbeauftragter ist nicht benannt, da hierzu keine gesetzliche Pflicht besteht.

Die Bereitstellung Ihrer Daten ist weder gesetzlich noch vertraglich vorgeschrieben. Ohne Benutzername und Passwort (bzw. Google-Anmeldung) kann jedoch kein Konto angelegt werden; alle weiteren Angaben sind freiwillig. Eine automatisierte Entscheidungsfindung einschließlich Profiling im Sinne von Art. 22 DSGVO findet nicht statt.

Kontakt per E-Mail

Wenn Sie uns eine E-Mail schreiben (z. B. mit einer Frage, einem Hinweis auf rechtswidrige Inhalte oder einer Anfrage zu Ihren Rechten), verarbeiten wir Ihre E-Mail-Adresse, ggf. Ihren Namen und den Inhalt Ihrer Nachricht, um Ihr Anliegen zu bearbeiten (Art. 6 Abs. 1 lit. f DSGVO; bei Anfragen zu Ihren Rechten nach Art. 15 bis 22 DSGVO Art. 6 Abs. 1 lit. c DSGVO). E-Mails an unsere Adresse nimmt Cloudflare entgegen und leitet sie an unser Postfach bei Gmail weiter (Email Routing, siehe Abschnitt 6); auch unsere Antworten versenden wir über Gmail. Anbieter von Gmail ist Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland; Google kann die Nachrichten auch in den USA verarbeiten (Google LLC ist unter dem EU-US Data Privacy Framework zertifiziert, Art. 45 DSGVO). Wir löschen die Nachricht, sobald Ihr Anliegen abschließend bearbeitet ist.

2. Sicherheitsmaßnahmen (SSL/TLS)

Diese Seite nutzt aus Sicherheitsgründen und zum Schutz der Übertragung vertraulicher Inhalte eine SSL- bzw. TLS-Verschlüsselung. Eine verschlüsselte Verbindung erkennen Sie daran, dass die Adresszeile des Browsers mit „https://“ beginnt. Passwörter werden ausschließlich als kryptografischer Hash (bcrypt) gespeichert, nie im Klartext.

3. Aufruf der Website

Hosting

Die Website, die Live-Karte, WOM Untis und unsere Minecraft-Server laufen auf eigener Hardware, die wir selbst betreiben; ein externer Hosting-Anbieter ist nicht beteiligt. Unsere Domain verwaltet Cloudflare, über das auch alle Anfragen an die Website geleitet werden (siehe Abschnitt 6).

Server-Log-Dateien

Beim Aufruf der Website werden automatisch Informationen verarbeitet, die Ihr Browser übermittelt (IP-Adresse, Zeitpunkt, aufgerufene Seite, HTTP-Statuscode, übertragene Datenmenge, die zuvor besuchte Seite (Referrer) und Browserkennung). Bei technischen Fehlern sowie bei einzelnen sicherheitsrelevanten Vorgängen (z. B. fehlgeschlagene Anmeldung mit Google, abgelehnte Profiltexte samt der beanstandeten Begriffe, Shop-Käufe, neue Bug-Reports) protokolliert die Anwendung zusätzlich IP-Adresse, Zeitpunkt, Anfragemethode, aufgerufenen Pfad und ggf. die ID Ihres Accounts. Dies erfolgt auf Grundlage unseres berechtigten Interesses an der Sicherheit und Stabilität der Website sowie an der Aufklärung von Missbrauch (Art. 6 Abs. 1 lit. f DSGVO). Die Logs auf Ebene von Cloudflare werden nach 24 Stunden, die Logs auf unserem Ursprungsserver nach 7 Tagen gelöscht.

Schutz vor Missbrauch (Rate-Limiting)

Zum Schutz vor Angriffen (z. B. Passwort-Rateversuchen) wird die Anzahl der Anfragen pro IP-Adresse kurzzeitig im Arbeitsspeicher des Servers gezählt. Diese Zähler werden nach spätestens 10 Minuten verworfen und nicht dauerhaft gespeichert. Zusätzlich wird für fehlgeschlagene Login-Versuche je Benutzername bzw. E-Mail-Adresse der Zeitpunkt des Versuchs (ohne IP-Adresse) für 15 Minuten im Arbeitsspeicher festgehalten (Art. 6 Abs. 1 lit. f DSGVO).

Besucherzählung

Wir zählen Besuche in aggregierter Form: Pro Stunde wird lediglich ein Zähler erhöht, wenn eine Seite von außen aufgerufen wird (z. B. über ein Lesezeichen, die direkte Eingabe der Adresse oder einen Link auf einer anderen Website); das Weiterklicken innerhalb unserer Website wird (in aktuellen Browsern) nicht erneut gezählt. Dafür wird ausschließlich die von Ihrem Browser ohnehin mitgesendete Herkunftsangabe der Anfrage ausgewertet. Es werden keine Cookies gesetzt und keine Informationen auf Ihrem Endgerät gespeichert oder ausgelesen. Automatisierte Zugriffe (Bots) werden anhand der Browserkennung ausgeschlossen. IP-Adressen, Browserkennungen oder sonstige Merkmale werden für die Zählung nicht gespeichert; die gespeicherten Zählwerte lassen keinen Rückschluss auf einzelne Besucher zu. Die Zählwerte werden zeitlich unbegrenzt gespeichert und ausschließlich von Administratoren eingesehen, um die Nutzung der Website nachzuvollziehen (Art. 6 Abs. 1 lit. f DSGVO).

Cookies und lokaler Speicher

Wir setzen ausschließlich technisch notwendige bzw. von Ihnen ausdrücklich gewünschte Cookies und Einträge im lokalen Speicher Ihres Browsers (localStorage/sessionStorage). Diese sind gemäß § 25 Abs. 2 Nr. 2 TDDDG von der Einwilligungspflicht ausgenommen; die anschließende Verarbeitung erfolgt auf Grundlage von Art. 6 Abs. 1 lit. b bzw. lit. f DSGVO.

Was die App WOM Untis in Ihrem Browser speichert, steht in Abschnitt 7. Da wir keine einwilligungspflichtigen Cookies oder Analyse-Dienste einsetzen, zeigen wir keinen Cookie-Banner an. Sollten wir künftig einen solchen Dienst einführen, wird diese Datenschutzerklärung vorher ergänzt und wir holen Ihre Einwilligung ein, bevor der Dienst aktiv wird.

4. Benutzerkonto

Registrierung und Login

Für die Registrierung benötigen wir einen Benutzernamen und ein Passwort; ohne diese Angaben ist kein Konto möglich. Wir speichern außerdem den Zeitpunkt der Registrierung. Neue Benutzernamen werden automatisiert auf unserem eigenen Server mit einer Wortliste auf anstößige Begriffe geprüft. Bei der Wahl eines Passworts prüfen wir, ob es in bekannten Datenlecks vorkommt (Dienst „Have I Been Pwned“, api.pwnedpasswords.com): Dabei verlässt nur ein Bruchstück (die ersten 5 Zeichen) eines Hashwerts unseren Server, weder das Passwort selbst noch Ihre IP-Adresse oder andere Daten von Ihnen. Rechtsgrundlage für die Verarbeitung Ihrer Kontodaten ist die Bereitstellung des von Ihnen gewünschten Kontos (Art. 6 Abs. 1 lit. b DSGVO).

E-Mail-Adresse (freiwillig)

Sie können bei der Registrierung oder später freiwillig eine E-Mail-Adresse angeben, z. B. um sich damit anzumelden oder ein vergessenes Passwort zurückzusetzen. Zur Bestätigung senden wir Ihnen einen Code (15 Minuten gültig); Links zum Zurücksetzen des Passworts sind 30 Minuten gültig. Codes und Links werden nur als Hashwert gespeichert. Andere E-Mails (z. B. Werbung oder Newsletter) versenden wir nicht. Für den Versand nutzen wir den Dienst Resend (Resend, Inc., USA) als Auftragsverarbeiter; dabei werden Ihre E-Mail-Adresse und der Inhalt der E-Mail an Resend übermittelt. Resend ist unter dem EU-US Data Privacy Framework zertifiziert; die Übermittlung in die USA erfolgt auf dieser Grundlage (Art. 45 DSGVO), ergänzend auf Grundlage der EU-Standardvertragsklauseln (Art. 46 DSGVO). Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Sie können die E-Mail-Adresse jederzeit in den Kontoeinstellungen entfernen.

Anmeldung mit Google (freiwillig)

Sie können sich optional mit Ihrem Google-Konto registrieren oder anmelden bzw. dieses mit Ihrem Konto verknüpfen. Dazu werden Sie auf eine Seite von Google (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland) weitergeleitet; dort gelten die Datenschutzbestimmungen von Google. Wir erhalten von Google ausschließlich Ihre Google-Konto-ID und Ihre E-Mail-Adresse (samt der Angabe, dass Google sie bestätigt hat) und speichern diese zusammen mit dem Zeitpunkt der Verknüpfung. Haben Sie in Ihrem Konto noch keine E-Mail-Adresse hinterlegt, übernehmen wir die E-Mail-Adresse Ihres Google-Kontos als bestätigte E-Mail-Adresse Ihres Kontos. Stimmt sie mit der bestätigten E-Mail-Adresse eines bestehenden Kontos überein, wird dieses Konto bei der Anmeldung mit Google automatisch mit Ihrem Google-Konto verknüpft. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Die Verknüpfung können Sie jederzeit in den Kontoeinstellungen aufheben. Google kann Daten auch in den USA verarbeiten; Google LLC ist unter dem EU-US Data Privacy Framework zertifiziert (Art. 45 DSGVO).

Profil

Freiwillig können Sie eine kurze Biografie und ein eigenes Profilbild hinterlegen. Hochgeladene Bilder werden auf unserem Server verkleinert, dabei werden sämtliche Metadaten (z. B. Standort- und Kameradaten) entfernt; das gespeicherte Bild ist unter einer zufällig gewählten, nicht erratbaren Adresse abrufbar. Vor dem Speichern prüfen auf unserem eigenen Server laufende Erkennungsmodelle automatisiert, ob das Bild unangemessene Inhalte enthält (z. B. sexuelle Darstellungen, verfassungsfeindliche oder hasserfüllte Symbole, Gewaltdarstellungen); ist das der Fall, wird es nicht gespeichert und Sie können ein anderes Bild wählen. Biografien und neue Benutzernamen werden ebenso auf unserem Server mit Wortlisten auf anstößige Begriffe geprüft. Administratoren können gespeicherte Profilbilder und Biografien erneut prüfen lassen, beanstandete Inhalte entfernen und unzulässige Benutzernamen ändern. Für diese Prüfungen werden keine Daten an Dritte übermittelt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO bzw. unser berechtigtes Interesse an einer Community frei von anstößigen Inhalten (Art. 6 Abs. 1 lit. f DSGVO).

In der Spielerliste und auf Ihrer Profilseite sind für andere angemeldete Mitglieder sichtbar: Benutzername, Profilbild, Biografie, Rang, Registrierungsdatum, Abzeichen und die von Ihnen ausgerüsteten Shop-Items sowie – falls verknüpft – Minecraft-Name, Datum der Verknüpfung, Spielstatistiken und Platzierungen, ob Sie gerade auf dem Minecraft-Server spielen und ob Sie in den letzten Minuten auf dieser Website aktiv waren (letzteres nur im Arbeitsspeicher des Servers, nicht dauerhaft gespeichert). Sie können Ihr Profil jederzeit in den Einstellungen verbergen; es ist dann nur noch für Sie und Administratoren sichtbar. Die öffentlichen Leaderboards (Abschnitt 5) sind davon unabhängig.

Minecraft-Verknüpfung und WOM Coins

Wenn Sie Ihren Minecraft-Account verknüpfen, speichern wir Ihre Minecraft-UUID, Ihren Minecraft-Namen und den Zeitpunkt der Verknüpfung. Damit können Sie für Ihre Spielleistung und einen täglichen Bonus WOM Coins erhalten (eine virtuelle Punktewährung ohne Geldwert, die nicht gekauft oder ausgezahlt werden kann). Dazu speichern wir Ihren Coin-Stand, die bereits umgewandelten Punktestände je Server sowie einen Verlauf Ihrer Coin-Buchungen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Shop

Im Shop können Sie mit WOM Coins kosmetische Profil-Items erwerben. Wir speichern, welche Items Sie erworben haben (mit Preis und Zeitpunkt), welche Items Sie ausgerüstet haben, und erfassen jeden Kauf in Ihrem Coin-Verlauf. Ausgerüstete Items sind wie oben beschrieben für andere Mitglieder sichtbar; ein gewähltes Website-Farbschema sehen nur Sie. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Bug-Reports

Angemeldete Mitglieder können Fehler über das Formular „Bug melden“ melden. Dabei speichern wir den von Ihnen eingegebenen Titel und die Beschreibung, den Pfad der Seite, auf der Sie sich befanden (ohne Parameter), die Kennung Ihres Browsers (User-Agent), optional einen Screenshot sowie Ihre Account-ID, Ihren Benutzernamen und den Zeitpunkt. Screenshots werden neu kodiert (Metadaten werden entfernt) und sind ausschließlich für Administratoren und Sie selbst abrufbar; bitte achten Sie darauf, dass sie keine Daten Dritter enthalten. Alle Administratoren erhalten eine Benachrichtigung mit Ihrem Benutzernamen und der Nummer des Reports. Zu einem Report speichern wir außerdem dessen Bearbeitungsstatus, die Nachrichten zwischen Ihnen und den Administratoren (Text, Verfasser und Zeitpunkt) und einen ggf. gewährten Coin-Bonus. Ihre Reports, deren Status und die Nachrichten sehen Sie in Ihrem Account unter „Bug Reports“; über eine neue Nachricht wird die Gegenseite (Sie bzw. alle Administratoren) mit einer kurzen Benachrichtigung ohne den Nachrichtentext informiert. Zweck ist die Behebung von Fehlern (Art. 6 Abs. 1 lit. f DSGVO; für den Bonus Art. 6 Abs. 1 lit. b DSGVO). Erledigte Reports werden 90 Tage nach ihrer Erledigung automatisch gelöscht, noch offene Reports nach 12 Monaten ohne Bearbeitung – jeweils zusammen mit Nachrichten, Screenshot und den Benachrichtigungen zu diesem Report; eine neue Nachricht gilt dabei als Bearbeitung. Administratoren können Reports auch früher löschen; auf Anfrage an die oben genannte E-Mail-Adresse löschen wir Ihre Reports jederzeit.

Profil-Meldungen

Angemeldete Mitglieder können das Profil eines anderen Mitglieds über „Melden“ auf dessen Profilseite melden (Grund: Profilbild, Biografie, Benutzername oder Sonstiges, optional mit einem Kommentar). Wir speichern dazu den Grund, den Kommentar, Ihre Account-ID, das gemeldete Konto, den Dateinamen des zu diesem Zeitpunkt gezeigten Profilbilds (um zu erkennen, ob es seitdem geändert wurde) und den Zeitpunkt; nach der Bearbeitung außerdem den Status (erledigt oder unbegründet), den bearbeitenden Administrator und den Zeitpunkt. Meldungen und Ihr Benutzername als Meldender sind nur für Administratoren sichtbar, nicht für das gemeldete Mitglied. Bei der ersten Meldung zu einem Profil erhalten alle Administratoren eine Benachrichtigung, die nur die Nummer der Meldung und den Grund enthält. Zweck ist die Durchsetzung der Community-Regeln (Art. 6 Abs. 1 lit. f DSGVO). Bearbeitete Meldungen werden 90 Tage nach ihrer Bearbeitung automatisch gelöscht, noch offene 12 Monate nach der Meldung – jeweils zusammen mit der Benachrichtigung dazu; Meldungen zu einem Konto werden mit diesem gelöscht.

Benachrichtigungen

Wir speichern Benachrichtigungen an Ihr Konto (z. B. Ankündigungen, Antworten auf Bug-Reports oder Änderungen an Ihrem Coin-Stand) und, welche davon Sie gelesen haben. Benachrichtigungen werden automatisch in alle Sprachen der Website übersetzt. Die Übersetzung erfolgt vollständig auf unserem eigenen Server; die Texte werden dafür nicht an Dritte übermittelt (zu den dafür einmalig heruntergeladenen Übersetzungsmodellen siehe Abschnitt 6). Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Moderation und Administration

Bei Verstößen gegen die Regeln können Administratoren ein Konto sperren; dabei werden der Sperrgrund, der Zeitpunkt und der sperrende Administrator gespeichert. Ebenso können sie ein Konto vom Melden von Bugs ausschließen; dann werden der Grund und der Zeitpunkt gespeichert, bis der Ausschluss aufgehoben wird. Jede Aktion eines Administrators (z. B. Sperrung, Ausschluss vom Melden von Bugs, Coin-Anpassung, Entfernen einer E-Mail-Adresse, eines Profilbilds oder einer Biografie, Änderung eines Benutzernamens, Bearbeitung von Profil-Meldungen, Löschung) wird zur Nachvollziehbarkeit und Missbrauchskontrolle mit Zeitpunkt, handelndem Administrator, dessen IP-Adresse, dem betroffenen Konto (ID und Benutzername) und – soweit für die Nachvollziehbarkeit nötig – dem alten und neuen Wert (z. B. der entfernten E-Mail-Adresse oder dem Sperrgrund) protokolliert (Art. 6 Abs. 1 lit. f DSGVO). Dieses Protokoll ist nur für Administratoren einsehbar, bleibt auch nach Löschung eines Kontos erhalten und wird nach einem Jahr automatisch gelöscht.

Speicherdauer und Löschung

Ihre Kontodaten werden für die Dauer des Bestehens Ihres Kontos gespeichert. Sie können Ihr Konto jederzeit selbst in den Kontoeinstellungen löschen. Dabei werden Benutzername, Passwort-Hash, E-Mail-Adresse, Google-Verknüpfung, Profilbild, Biografie, Rang, Coin-Stand und -Verlauf, umgewandelte Punktestände, Shop-Käufe und ausgerüstete Items, Ihre Benachrichtigungen, offene E-Mail-Bestätigungen und Links zum Zurücksetzen des Passworts sowie alle aktiven Sitzungen unverzüglich gelöscht. Ausgenommen sind:

5. Minecraft-Server und Leaderboards

Beim Spielen auf unseren Minecraft-Servern speichern die Server Ihren Minecraft-Namen, Ihre UUID sowie Spielstände, Statistiken und Fortschritte (Advancements). Die Server-Software protokolliert außerdem technisch bedingt Verbindungen (inkl. IP-Adresse), Chatnachrichten und Befehle; diese Protokolle nutzen wir ausschließlich zur Fehlersuche und zur Aufklärung von Regelverstößen (Art. 6 Abs. 1 lit. f DSGVO) und löschen sie mit dem Ende der jeweiligen Season. Sie sind nicht Teil der zum Download angebotenen Weltdaten.

Auf dieser Website sind öffentlich – also auch ohne Anmeldung – einsehbar:

Die zum Download angebotenen Weltdaten abgeschlossener Seasons enthalten, wie jede Minecraft-Welt, die Spielstände aller Spieler dieser Season: Minecraft-UUID, Inventar, letzte Position, Statistiken und Fortschritte. Die Downloads stellen wir über Google Drive (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland) bereit; erst wenn Sie einen Download-Link anklicken, stellt Ihr Browser eine Verbindung zu Google her.

Dies erfolgt auf Grundlage unseres berechtigten Interesses, der Community einen Wettbewerb und eine Übersicht über die Spielstände zu bieten und abgeschlossene Welten zu erhalten (Art. 6 Abs. 1 lit. f DSGVO). Die Daten werden für die Dauer des Bestehens des jeweiligen Servers bzw. seiner Weltdaten gespeichert; auch abgeschlossene Seasons bleiben als Archiv einsehbar und ihre Weltdaten können heruntergeladen werden. Sie können der Anzeige und der Veröffentlichung Ihres Spielstands im Download jederzeit widersprechen (Art. 21 DSGVO); wenden Sie sich dazu an die oben genannte E-Mail-Adresse.

Live-Karte (map.wom-hosting.com)

Auf der öffentlichen Karte unter map.wom-hosting.com werden Name und Position von Spielern angezeigt, die gerade online sind (Art. 6 Abs. 1 lit. f DSGVO).

Die Server-Auslastung (TPS) und die Liste der gerade spielenden Spieler fragen wir über die Fernwartungsschnittstelle (RCON) unseres eigenen Servers ab; dabei werden keine Daten von Website-Besuchern verarbeitet.

6. Drittanbieter & Schnittstellen

Cloudflare

Wir nutzen Cloudflare für unsere Domain (DNS), als Content Delivery Network (CDN) und Sicherheitsfilter sowie zur Weiterleitung von E-Mails an unsere Adresse (Email Routing). Dabei werden alle Anfragen an diese Website und ihre Subdomains (inkl. IP-Adresse) technisch über Cloudflare-Server geleitet, um DDoS-Angriffe und Bots abzuwehren. E-Mails an uns (Absender, Empfänger, Inhalt) verarbeitet Cloudflare, um sie an unser Postfach bei Gmail weiterzuleiten (siehe Abschnitt 1). Dies erfolgt auf Grundlage unseres berechtigten Interesses an einer sicheren und stabilen Bereitstellung unseres Angebots (Art. 6 Abs. 1 lit. f DSGVO). Anbieter ist Cloudflare, Inc., 101 Townsend St, San Francisco, CA 94107, USA; Cloudflare verarbeitet die Daten als Auftragsverarbeiter. Cloudflare kann Daten auch außerhalb der EU/des EWR verarbeiten; die Übermittlung in die USA erfolgt auf Grundlage des EU-US Data Privacy Framework bzw. der EU-Standardvertragsklauseln (Art. 45, 46 DSGVO; Details: cloudflare.com/cloudflare-customer-dpa).

visage.surgeplay.com (Spieler-Avatare)

Die Minecraft-Köpfe der Spieler (Profilbilder, Spielerliste, Leaderboards) erzeugt der Dienst visage.surgeplay.com. Ihr Browser lädt diese Bilder ausschließlich von unserem eigenen Server: Unser Server ruft ein Bild bei Bedarf bei visage.surgeplay.com ab, speichert es bis zu einem Tag zwischen und liefert es selbst aus. Ihre IP-Adresse und andere Daten von Ihnen werden dabei nicht an diesen Dienst übermittelt; er erhält nur die Minecraft-UUID des jeweiligen Spielers. Dies erfolgt auf Grundlage unseres berechtigten Interesses an einer funktionsfähigen Darstellung der Spieler-Avatare (Art. 6 Abs. 1 lit. f DSGVO).

mcstatus.io

Wir rufen den Status unserer Minecraft-Server über die API von mcstatus.io ab. Die Abfrage erfolgt ausschließlich durch unseren eigenen Server; Ihr Browser stellt keine Verbindung zu diesem Dienst her, und es werden weder Ihre IP-Adresse noch sonstige Daten von Website-Besuchern übermittelt. mcstatus.io fragt dafür den öffentlichen Status unserer Minecraft-Server ab, der – wie bei jedem Minecraft-Server – Anzahl und ggf. die Namen einiger gerade spielender Spieler enthalten kann (Art. 6 Abs. 1 lit. f DSGVO).

Hugging Face (Übersetzungs- und Prüfmodelle)

Die Modelle für die automatische Übersetzung von Benachrichtigungen und für die Prüfung von Profilbildern lädt unser Server einmalig von Hugging Face (Hugging Face, Inc., USA) herunter und führt sie danach ausschließlich lokal aus. Dabei werden keine Daten von Website-Besuchern, keine Bilder und keine Texte von Benachrichtigungen übermittelt.

Schriftarten

Alle Schriftarten sind lokal auf unserem Server eingebunden. Es findet keine Verbindung zu Google oder anderen Schriftarten-Anbietern statt.

7. WOM Untis (untis.wom-hosting.com)

Unter untis.wom-hosting.com betreiben wir die App WOM Untis, die Schülerinnen und Schülern ihren eigenen Stundenplan, ihre Hausaufgaben und Nachrichten aus WebUntis übersichtlich anzeigt. Sie ist unabhängig von einem Konto auf dieser Website und steht in keiner Verbindung zur Untis GmbH. Die Anmeldung erfolgt in zwei Schritten: mit einem gemeinsamen Zugang und danach mit Ihrem eigenen WebUntis-Konto. Ohne Ihre WebUntis-Zugangsdaten kann die App nicht genutzt werden. Ihr Browser verbindet sich dabei nur mit unserem Server; die App lädt keine Inhalte von Dritten.

Anmeldung und Abruf aus WebUntis

Bei der Anmeldung prüft unser Server Ihren WebUntis-Benutzernamen und Ihr Passwort beim WebUntis-Server Ihrer Schule (<schule>.webuntis.com, betrieben von der Untis GmbH, Österreich, für Ihre Schule). Wir speichern Ihren WebUntis-Benutzernamen, Ihr Passwort (mit AES-256-GCM verschlüsselt, nie im Klartext und nie an Ihren Browser übertragen), Ihre Untis-Personen-ID, Ihre Klasse, Ihren Namen aus WebUntis (bzw. einen von Ihnen gewählten Namen), Ihre Schule und den Zeitpunkt der Anmeldung. Mit diesen Zugangsdaten ruft unser Server danach regelmäßig (an Schultagen bis zu minütlich) Ihre Daten bei WebUntis ab; in WebUntis wird dabei nichts verändert. Für die Auswahl einer anderen Schule fragt unser Server die öffentliche Schulsuche von WebUntis ab. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Gespeicherte Daten

Fehlzeiten aus dem Klassenbuch ruft die App nicht ab. Stunden und Hausaufgaben, die mehrere Konten gemeinsam haben, werden einmal gespeichert. Die Daten enthalten Kürzel bzw. Namen von Lehrkräften und von Absendern von Nachrichten, so wie WebUntis sie Ihnen anzeigt; diese verarbeiten wir nur zur Anzeige für Sie (Art. 6 Abs. 1 lit. f DSGVO, berechtigtes Interesse an einer vollständigen Stundenplan-Anzeige).

Wer was sieht

Ihre Daten sieht grundsätzlich nur Ihr eigenes Konto. Andere Nutzer sehen Ihren Namen bei gemeinsamen Kursen und Hausaufgaben („Gemeinsam mit …“), als Mitglied, Leitung oder Anfragende(r) einer Gruppe und als Teilnehmer an Gruppenterminen; Namen und Mitgliederzahl aller Gruppen sind für alle Nutzer sichtbar. Der Administrator sieht in der App für jedes Konto Name, Klasse, WebUntis-Benutzernamen, Abrufstatus und Abruf-Protokoll, nicht aber dessen Stundenplan, Hausaufgaben oder Nachrichten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Kalender-Export (freiwillig)

Sie können Ihren Stundenplan als Datei herunterladen, über einen geheimen Abo-Link in andere Kalender-Apps einbinden (wir speichern nur einen Hashwert des Links) oder mit Google Kalender verbinden. Für Google Kalender legt unser Server über ein Dienstkonto unseres Google-Cloud-Projekts einen eigenen Kalender an, gibt ihn für die von Ihnen eingegebene Gmail-Adresse frei und überträgt nach jedem Abruf geänderte Termine über die Google Calendar API. Dabei erhält Google (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland; ggf. Google LLC, USA) Ihre Gmail-Adresse und die Termine: Fach, Raum, Lehrkraft-Kürzel, Ausfälle, Hausaufgaben, eigene Einträge und Termine, bei Gruppenterminen auch die Namen der Teilnehmer. Google LLC ist unter dem EU-US Data Privacy Framework zertifiziert (Art. 45 DSGVO). Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, für die Namen anderer Teilnehmer Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem vollständigen Kalender). Wenn Sie die Verbindung trennen, löschen wir den Kalender bei Google.

Cookies und Speicher im Browser

Die App setzt ein technisch notwendiges Cookie, __Host-untis_session: Es hält Ihre Anmeldung aufrecht und enthält, mit einer Signatur gegen Veränderung geschützt, Ihre Zugangsrolle, eine zufällige Geräte-ID und Ihre Konto-ID (Laufzeit ein Jahr ab der letzten Nutzung). Im lokalen Speicher Ihres Browsers (localStorage) liegen Ihre Darstellungs-Einstellungen, die gewählte Schule, die Filter der Hausaufgabenliste und der Zeitpunkt Ihrer letzten Änderung. Der Service Worker speichert die Dateien der App und eine Offline-Kopie Ihrer Daten (Cache Storage), damit die App auch ohne Verbindung funktioniert; diese Kopie wird beim Abmelden und beim Wechsel des Kontos gelöscht. Diese Daten verlassen Ihr Gerät nicht. Rechtsgrundlage ist § 25 Abs. 2 Nr. 2 TDDDG und Art. 6 Abs. 1 lit. b DSGVO.

Protokolle

Bei jeder Anmeldung protokolliert die App IP-Adresse, Zeitpunkt und ggf. das betroffene Konto; fehlgeschlagene Anmeldeversuche werden pro IP-Adresse kurzzeitig im Arbeitsspeicher gezählt (Art. 6 Abs. 1 lit. f DSGVO, Schutz vor Missbrauch). Für die Server-Log-Dateien gilt Abschnitt 3.

Speicherdauer und Löschung

Ihre Daten bleiben gespeichert und werden weiter abgerufen, solange Ihr Konto in der App besteht. Unter Einstellungen → Konto können Sie den Abruf pausieren oder Ihr Konto jederzeit entfernen. Beim Entfernen löschen wir Ihre Zugangsdaten und alle Ihrem Konto zugeordneten Daten (Bearbeitungsstand, eigene Einträge, private Termine, Nachrichten, Gruppenmitgliedschaften, Kalender-Verknüpfungen einschließlich des Google-Kalenders sowie Stunden und Hausaufgaben, die nur Ihr Konto hatte). Von Ihnen angelegte Gruppentermine bleiben für die Gruppe bestehen, ohne Verbindung zu Ihrem Konto.

Unsere Website enthält Links zu externen Anbietern (z. B. Discord für die Community, Google Drive für Map-Downloads, GoFundMe für freiwillige Spenden). Erst wenn Sie einen solchen Link anklicken, wird eine Verbindung zu diesem Anbieter hergestellt; Sie verlassen damit unseren Verantwortungsbereich. Es gelten die Datenschutzbestimmungen des jeweiligen Anbieters.

9. Empfänger

Ihre Daten werden nicht verkauft und nicht zu Werbezwecken genutzt. Empfänger sind ausschließlich die in dieser Erklärung genannten Stellen und Dienstleister sowie die Administratoren von WOM Hosting, soweit sie die Daten zur Verwaltung der Community benötigen.

10. Ihre Rechte

Ihnen stehen bezüglich Ihrer bei uns gespeicherten personenbezogenen Daten folgende Rechte zu: Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16 DSGVO), Löschung (Art. 17 DSGVO), Einschränkung der Verarbeitung (Art. 18 DSGVO) und Datenübertragbarkeit (Art. 20 DSGVO). Soweit eine Verarbeitung auf Ihrer Einwilligung beruht, können Sie diese jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3 DSGVO). Wenden Sie sich zur Ausübung dieser Rechte bitte an die oben genannte E-Mail-Adresse.

Widerspruchsrecht (Art. 21 DSGVO): Sie haben das Recht, aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit gegen die Verarbeitung Sie betreffender Daten Widerspruch einzulegen, die auf Art. 6 Abs. 1 lit. f DSGVO beruht. Wir verarbeiten diese Daten dann nicht mehr, es sei denn, wir können zwingende schutzwürdige Gründe für die Verarbeitung nachweisen, die Ihre Interessen, Rechte und Freiheiten überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.

Unbeschadet dessen haben Sie das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren (Art. 77 DSGVO). Die für uns zuständige Aufsichtsbehörde ist:

Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW)
Kavalleriestr. 2-4
40213 Düsseldorf
Telefon: 0211 38424-0
E-Mail: [email protected]

Stand: Oktober 2026