Datenschutzerklärung

cs2pickside.com ist ein unabhängig geführter Dienst: Hinter ihm steht die Inhaberin oder der Inhaber dieser Website, die oder der entscheidet, welche personenbezogenen Daten hier erhoben werden und wozu — also die verantwortliche Person im Sinne der DSGVO (GDPR).

Für alles aus dieser Erklärung — eine Frage, eine Berichtigung, eine Kopie Ihrer Daten, eine Löschung — schreiben Sie an [email protected]. Ihre Nachricht erreicht einen Menschen, und die Antwort kommt von derselben Adresse.

Diese Erklärung gilt für die Website und für jede ihrer Subdomains. Sie ist Teil unserer Nutzungsbedingungen.

Zum Lesen der Website brauchen wir nichts von Ihnen: kein Konto, keinen Namen, kein ausgefülltes Formular. Was die Server von sich aus aufzeichnen, steht in der letzten Gruppe weiter unten und gilt für alle; alles davor greift, sobald Sie ein Konto anlegen, ein Abonnement abschließen, uns schreiben oder den Newsletter abonnieren.

Ihr Konto:

• Ihre E-Mail-Adresse, und solange ein Adresswechsel auf die Bestätigung wartet, auch die zweite;
• Ihr Passwort als argon2id-Hash — nie das Passwort selbst, das wir weder lesen noch wiederherstellen können;
• die Sprache, in der Sie die Website nutzen, damit eine E-Mail in ihr ankommt;
• wann Sie die Bedingungen angenommen haben, welche Fassung Sie angenommen haben und in welcher Sprachfassung sie Ihnen gezeigt wurde — der Vermerk, mit dem ein Zahlungsstreit beantwortet wird;
• wann das Konto angelegt wurde, wann zuletzt eine Anmeldung erfolgte, ob die E-Mail-Adresse bestätigt ist und aus welchem Land die Registrierung kam: Das Land wird aus der Verbindung ermittelt und nur als Ländercode gespeichert;
• Zähler, die ein Konto nach mehreren fehlgeschlagenen Anmeldungen hintereinander sperren, damit ein Passwort nicht in Ruhe erraten werden kann.

Ihre Sitzungen und die Spur der Nutzung:

• eine Zeile je angemeldeter Sitzung: der Hash des Sitzungstokens (nie das Token selbst), Adresse und Browser, aus denen die Sitzung entstand, und wann sie zuletzt genutzt wurde;
• eine Zeile je Tag, an dem das Konto genutzt wurde, mit der Adresse, von der aus das geschah. Das wird als Nachweis aufbewahrt: Rückbuchungen bestreiten wir selbst, und „der Dienst wurde an diesen Tagen genutzt“ ist genau das, wonach eine Bank fragt. Wird nach 400 Tagen gelöscht;
• Sicherheitsereignisse — fehlgeschlagene Anmeldungen, Sperren, abgelehnte Registrierungen — 365 Tage lang, damit ein Muster von Missbrauch sichtbar und erklärbar bleibt.

Ihr Abonnement:

• was unser Zahlungsdienst uns mitteilt: die Kennungen von Abonnement und Zahlungen, deren Status, die Daten, die Beträge und das Land des Zahlungsmittels;
• Ihre Kartendaten werden vom Zahlungsdienst und seinen Dienstleistern verarbeitet und erreichen uns nie — wir könnten sie Ihnen auf Wunsch nicht zeigen.

Was Sie uns schicken:

• E-Mails an den Support, deren Anhänge und unsere Antworten — beim Vorgang aufbewahrt, damit eine spätere Frage ihre Vorgeschichte hat;
• ein Newsletter-Abonnement: die Adresse, ihre Sprache und der Bestätigungsstand, bis Sie sich abmelden;
• Notizen, die eine Person aus dem Betrieb bei der Bearbeitung einer Anfrage zum Konto schreibt.

Was die Server von sich aus aufzeichnen:

• Anwendungsprotokolle und Traces zu Anfragen, samt Adresse und dem, was angefragt wurde — sie bleiben ein kurzes Betriebsfenster lang und dienen dazu, den Dienst zu betreiben und Fehler zu finden;
• eine Zeile für jede Ankunft hier von außerhalb: die Website oder die Suche, über die Sie herkommen — nur deren Domain, nie die vollständige Adresse, von der Sie kamen; die Seite, auf der Sie gelandet sind; Kampagnenkennzeichen, falls sie im Link standen; das Land, das aus der Verbindung ermittelt wird; und Ihre Adresse als Hashwert statt als Adresse. Sie bleibt 90 Tage;
• ein Protokoll der an Sie gesendeten E-Mails und dessen, was mit ihnen geschah — damit ein „Sie haben mir nie etwas geschickt“ beantwortet werden kann;
• Seitenstatistik — siehe den Abschnitt zu Cookies und Statistik weiter unten.

Dieser Hashwert macht eine Ankunft zählbar, ohne sie erkennbar zu machen. Er entsteht aus Ihrer Adresse zusammen mit einem Zufallswert, der einen Tag lang gilt und danach weggeworfen wird; morgen ergibt dieselbe Adresse daher einen anderen Hashwert, und aus einem Hashwert lässt sich keine Adresse zurückgewinnen, sobald der Wert jenes Tages fort ist. Legen Sie ein Konto an, wird der Hashwert desselben Tages auch neben der Anmeldung festgehalten — der einzige Faden, der eine Ankunft je mit einer Person verbindet, und er verschwindet mit dem Konto.

Soweit die DSGVO (GDPR) oder ein vergleichbares Recht für Sie gilt, stützen wir uns auf:

• die Erfüllung unseres Vertrags mit Ihnen — das Konto, das Abonnement und die E-Mails, die ein Abonnement senden muss;
• unsere berechtigten Interessen — den Dienst sicher zu halten, Missbrauch der Testphase und der Länderbeschränkungen zu unterbinden, uns in einem Zahlungsstreit zu verteidigen und zu wissen, wie Menschen die Website finden und welche Seiten sie nutzen — gezählt, ohne erkannt zu werden;
• eine rechtliche Verpflichtung — die Aufzeichnungen über Zahlungen und über die Annahme der Bedingungen, deren Aufbewahrung Steuerrecht und die Fristen für einen Streit von uns verlangen;
• Ihre Einwilligung — den Newsletter, den Sie per Link bestätigen und von dem Sie sich aus jeder Ausgabe mit einem Klick wieder abmelden können.

Wo wir uns auf ein berechtigtes Interesse stützen, können Sie widersprechen: Schreiben Sie es uns, und wir hören entweder auf oder erklären, warum das Interesse in Ihrem Fall überwiegt.

Die Website setzt keine Werbe-Cookies, bindet keine Werbezähler ein und verfolgt Sie nicht über andere Websites hinweg. Ein Cookie misst, wie die Website genutzt wird, und es ist nicht unseres: Im EWR und im Vereinigten Königreich — und überall dort, wo wir nicht feststellen können, wo Sie sind — wird es erst gesetzt, nachdem Sie zugestimmt haben; anderswo standardmäßig. Ihre Antwort können Sie jederzeit ändern: „Cookies“ in der Fußzeile stellt die Frage erneut, und eine Ablehnung entfernt auch das, was bereits gespeichert war.

Was auf Ihrem Gerät gespeichert wird:

• `cs2p_session` — die angemeldete Sitzung, lesbar nur für den Server;
• `cs2p_link_token` — die einmalige Zugangskennung aus einer E-Mail zum Zurücksetzen des Passworts oder zur Bestätigung, aus der Adresszeile herausgenommen, damit sie nicht von allem mitgeschrieben wird, was Adressen mitschreibt. Nur für den Server lesbar, und fünfzehn Minuten nach dem Öffnen des Links läuft sie ab;
• `cs2p_auth`, `cs2p_access`, `cs2p_trial_used` — Merker, an denen die Oberfläche entscheidet, was sie zeigt, bevor der Server antwortet (angemeldet, Zugang offen, Testphase bereits genutzt). Eine Kennung steht nicht darin;
• `cs2p_locale` — die von Ihnen gewählte Sprache, ein Jahr lang. Wird nur geschrieben, wenn Sie eine wählen; eine Seite bloß aufzurufen ist keine Wahl;
• `cs2p_lang`, `cs2p_lang_off` — die Sprache, die Ihr Browser und Ihr ungefähres Land nahelegen, und ob das Angebot zu wechseln weggeklickt wurde. Das erste wird bei jeder Anfrage neu ermittelt und enthält einen Sprachcode, keinen Ort;
• `cs2p_install_off` — ob Sie das Angebot abgelehnt haben, die Website als App zu installieren. Mehr als diese Antwort steht nicht darin;
• `cs2p_gdpr`, `cs2p_consent` — ob Sie sich dort befinden, wo wir zu Cookies fragen müssen, und welche Antwort gegeben wurde;
• `cs2p_consent_id` — die Nummer, unter der die Antwort abgelegt ist, damit ein späterer Sinneswandel zu derselben Antwort gehört und nicht als fremde daneben steht. Wird nur gesetzt, wenn die Frage gestellt wurde;
• `_ga` und je ein `_ga_`-Cookie pro Property — Google Analytics, das Besuche zählt und woher sie kamen. Nur dort vorhanden, wo die Antwort oben es zulässt;
• `cs2p_nav_depth` — kein Cookie, sondern eine Zahl im Tab-Speicher Ihres Browsers: An ihr erkennt die Zurück-Schaltfläche, ob es überhaupt etwas gibt, wohin sie zurückführt. Sie enthält keine Kennung, wird nie an uns gesendet und ist mit dem Tab verschwunden;
• `pwa-install-dismissed` — dieselbe Antwort wie im Cookie darüber, nur im eigenen Speicher Ihres Browsers, damit das Angebot dauerhaft fortbleibt. Sie wird nie an uns gesendet;
• `cs2:chunk-reload-at` — der Zeitpunkt, zu dem eine Seite sich zuletzt selbst neu geladen hat, um eine soeben von uns veröffentlichte Version zu holen; je Tab gehalten, damit aus einem Neuladen keine Schleife wird. Er wird nie an uns gesendet und ist mit dem Tab verschwunden.

Unsere eigene Statistik bleibt auf unseren Servern und kommt ohne Cookies aus: Auf Ihr Gerät wird keine Kennung geschrieben, und Skript und Empfänger kommen von unserer eigenen Domain, damit die Messung sie nicht verlässt. Gezählt werden Seiten, Ereignisse und Ankünfte, und eine Ankunft wird über den Tageshashwert von oben gezählt, der zwei Besuche am selben Tag auseinanderhält, ohne uns zu sagen, wessen sie sind.

Die zweite Messung ist Google Analytics, und die ist nicht unsere. Das Tag und alles, was es sendet, laufen über diese Website statt unmittelbar zu Google — das ist es, was es bei einer Leserin oder einem Leser funktionsfähig hält, deren Browser Googles eigene Adressen blockiert. Das ändert, mit wem Ihr Browser spricht, und nicht, was Google erfährt: die geöffneten Seiten, die Suche oder die Website, von der Sie kamen, das Land und die Art des Geräts gehen weiterhin an Google, und Ihre Adresse ebenfalls — wir geben sie weiter, damit das Land richtig bleibt. Daran sehen wir, wie ein Besuch verläuft und wie unser Verkehr neben allem aussieht, was Google sonst sieht — das gibt unsere eigene Zählung nicht her. Es dient nicht dazu, Ihnen Werbung zu zeigen, und wir verknüpfen es nicht mit Ihrem Konto.

Wenn Sie diese Frage beantworten, halten wir die Antwort fest, denn eine Einwilligung, die wir später nicht vorlegen können, ist eine, auf die wir uns nicht berufen können. Festgehalten werden der Zeitpunkt, Ihre Wahl, der Wortlaut, der Ihnen gezeigt wurde, die Sprache, in der Sie ihn gelesen haben, die Adresse, von der die Antwort kam, und das Land, zu dem sie aufgelöst wurde, der verwendete Browser und Ihr Konto, falls Sie gerade angemeldet waren. Eine Ablehnung wird genauso festgehalten wie eine Zustimmung: Die Frage, die wir am ehesten beantworten müssen, ist, ob wir aufgehört haben, als Sie darum gebeten haben.

Dieser Vermerk bleibt drei Jahre und wird für nichts anderes verwendet. Er ist keine Statistik, er ist mit nichts verknüpft, was Sie gelesen haben, und er wird automatisch gelöscht, sobald er älter ist, als ein Streit darüber sein könnte.

Sollten wir jemals ein Werbe-Tag hinzufügen, fragen wir, bevor es läuft, und diese Erklärung sagt es, bevor es geschieht.

Wir verkaufen keine personenbezogenen Daten und geben sie nicht für fremdes Marketing weiter. Die folgenden Dienste verarbeiten sie in unserem Auftrag, damit die Website funktioniert:

• Whop — Zahlungen und Abonnements, als Verkäufer im Rechtssinne. Dort liegen die Zahlungsdaten, die wir nie sehen, und von dort erfahren wir den Stand Ihres Abonnements.
• Resend — der Versand unserer E-Mails und der Empfang dessen, was Sie an den Support schreiben.
• Cloudflare — das Netz vor der Website: der Tunnel, der die Anfragen trägt, die Bot-Prüfung auf den Formularen für Anmeldung und Registrierung und eine Messung der Seitenleistung. Dabei verarbeitet es Verbindungsdaten wie Ihre IP-Adresse.
• Hetzner — die Server selbst, in Deutschland, wo die Datenbank und die Sicherungen liegen.
• Google — die Statistik, die uns zeigt, woher Besucherinnen und Besucher kommen, beschrieben im Abschnitt zu Cookies. Wo keine Einwilligung vorliegt, erhält es nichts.

Unsere Tipps entstehen mit Hilfe eines Sprachmodells, und personenbezogene Daten gehen nicht an es: Gefragt wird es nach Spielen, Teams und Turnieren.

Über diese Liste hinaus geben wir personenbezogene Daten nur weiter, wo das Recht es verlangt oder wo es zur Geltendmachung oder Verteidigung eines Anspruchs erforderlich ist — der Alltagsfall ist eine Rückbuchung, und die Nutzungsbedingungen sagen genau, was einer Bank gezeigt wird.

Die Datenbank und ihre Sicherungen liegen in Deutschland. Die Sicherungen sind verschlüsselt, und eine Kopie liegt außer Haus bei einem Speicheranbieter, ebenfalls verschlüsselt.

Einige der genannten Dienste sitzen außerhalb der EU. Soweit personenbezogene Daten sie erreichen, reisen sie zu den Übermittlungsbedingungen, die deren eigene Verträge vorsehen — im Regelfall die Standardvertragsklauseln der Europäischen Kommission, und für Google dessen Zertifizierung unter dem EU-US Data Privacy Framework, dem die Kommission ein angemessenes Schutzniveau bescheinigt hat.

Wir behalten jedes Stück so lange, wie der Grund dafür besteht:

• das Konto und seine E-Mail-Adresse: bis Sie um Löschung bitten;
• Sitzungen: bis sie ablaufen, dann werden sie weggeräumt;
• der Vermerk über die Tage, an denen ein Konto genutzt wurde: 400 Tage;
• Sicherheitsereignisse: 365 Tage;
• die Aufzeichnung der Ankünfte auf der Website: 90 Tage;
• Zahlungen und der Vermerk über die Annahme der Bedingungen: so lange, wie Steuerrecht und die Frist für einen Zahlungsstreit es verlangen, was das Konto selbst überdauert;
• Support-Vorgänge: solange sie nützen, um eine spätere Frage zu beantworten;
• der Newsletter: bis Sie sich abmelden;
• Serverprotokolle und Traces: ein kurzes Betriebsfenster, das in Tagen zählt.

Sie können verlangen, dass wir Ihnen zeigen, was wir haben, es berichtigen, Ihnen eine Kopie zum Mitnehmen geben, es löschen, seine Verarbeitung einschränken, oder einer Nutzung widersprechen, die wir auf ein berechtigtes Interesse stützen. Wo wir uns auf eine Einwilligung stützen, können Sie sie jederzeit widerrufen, ohne dass das berührt, was vorher geschehen ist.

Schreiben Sie an [email protected] von der E-Mail-Adresse des Kontos aus. Wir antworten innerhalb eines Monats — das ist die Frist, die die DSGVO (GDPR) einräumt — und meist deutlich früher. Wir berechnen dafür nichts.

Löschung heißt, dass die identifizierenden Angaben überschrieben werden und das Konto sich nicht mehr anmelden lässt. Eine Ankunft mit demselben Hashwert wie Ihre Anmeldung wird mit ihr gelöscht, und eine Kopie Ihrer Daten schließt diese Ankunft ein — sie ist die einzige, von der wir zeigen können, dass sie Ihre ist. Nicht entfernt werden die Aufzeichnungen, die wir aufbewahren müssen: Die Zahlungen und die Annahme der Bedingungen bleiben aufgrund der oben genannten rechtlichen Verpflichtung, dann ohne einen Namen daneben.

Wenn Sie meinen, wir seien mit Ihren Daten schlecht umgegangen, sagen Sie es zuerst uns — wir bringen es lieber in Ordnung. Sie haben außerdem das Recht, sich bei der Datenschutzaufsichtsbehörde des Landes zu beschweren, in dem Sie leben.

Passwörter liegen als argon2id-Hashes. Sitzungstoken sind zufällig und liegen ebenfalls nur als Hash, sodass eine Kopie der Datenbank niemandem erlaubt, sich als Sie anzumelden. Jede Verbindung läuft über HTTPS, und die Website erklärt strikten Transport und eine Content Security Policy.

Anmeldung und Registrierung sind in der Häufigkeit begrenzt und durch eine Bot-Prüfung geschützt, ein Konto sperrt sich nach mehreren fehlgeschlagenen Versuchen selbst, und die Verwaltungskonsole erreichen nur Konten mit dieser Rolle.

Sicherungen laufen täglich, sind verschlüsselt und werden nach Plan durch Wiederherstellung geprüft — eine Sicherung, die nie jemand zurückgespielt hat, ist eine Hoffnung und keine Sicherung.

Kein System ist perfekt. Sollte eine Verletzung je Ihre Daten betreffen und das Recht es verlangen, sagen wir es Ihnen und der Aufsichtsbehörde innerhalb der Frist, die das Recht dafür lässt.

Die Website richtet sich an Erwachsene: Für ein Konto müssen Sie mindestens 18 Jahre alt sein, und wir erheben wissentlich keine Daten von jüngeren Personen. Stellt sich heraus, dass ein Konto einer Person unter 18 gehört, schließen wir es, löschen, was wir haben, und erstatten die letzte Zahlung.

Wir können diese Erklärung ändern — weil sich der Dienst ändert oder weil sich das Recht ändert. Die geltende Fassung und der Tag, an dem sie in Kraft trat, stehen oben auf dieser Seite.

Eine Änderung, die wesentlich betrifft, wie wir bereits vorhandene Daten verwenden, kündigen wir vor ihrem Inkrafttreten per E-Mail an die Adresse des Kontos an, damit ein neuer Verwendungszweck nie unangekündigt eintrifft.

Fragen zu alldem: [email protected].