MindyCards:
Datenschutzerklärung

1. Verantwortlicher

Die MindyWorld OÜ ist Verantwortliche für die im Zusammenhang mit MindyCards verarbeiteten Daten.

Sitz: Jõe tn 3-315, 10151 Tallinn, Estland

Registernummer: 17339961

Kontakt: [email protected]

Aufsichtsbehörde: Estnische Datenschutzaufsicht (Andmekaitse Inspektsioon), www.aki.ee/en

2. Zusammenfassung

MindyCards bietet zwei Nutzungsformen: anonym (ohne Konto) oder mit einem Konto, das die Synchronisierung des Spielfortschritts sowie ein werbefreies Premium-Abonnement ermöglicht. Welche Daten wir verarbeiten, hängt von Ihrer Wahl ab.

In der kostenlosen Variante wird die App durch nicht personalisierte Werbung finanziert. Personalisierte Werbung wird in MindyCards nicht eingesetzt.

Wir erheben nur die personenbezogenen Daten, die für die Bereitstellung der App, die Abwicklung von Premium-Abonnements und den Betrieb der Kontofunktionen mindestens erforderlich sind.

3.1 Wenn Sie MindyCards ohne Konto nutzen

Gerätemodell und Version des Betriebssystems.

App-Version und Absturzberichte.

Anonymisierte Sitzungsmetriken (Spielstarts, abgeschlossene Spiele, Verweildauer in der App, aufgerufene Bildschirme).

Sprach- und Ländereinstellungen.

Ungefähre Region, abgeleitet aus der IP-Adresse (nur auf Länderebene).

Daten zu nicht personalisierter Werbung (siehe Abschnitt 7).

3.2 Wenn Sie ein Konto in MindyCards anlegen

Zusätzlich verarbeitete Daten:

Kontokennung (Keycloak-Subject-Kennung, Kennung von „Mit Apple anmelden”, Google-Kontokennung oder die zur Registrierung verwendete E-Mail-Adresse).

Von Ihnen gewählter Benutzer- oder Anzeigename.

Profilbild, sofern Sie eines hochladen.

Spielfortschritt, Erfolge, virtuelle Währung und Anpassungsoptionen, die über Ihre Geräte hinweg synchronisiert werden.

App-Einstellungen und Barrierefreiheitseinstellungen, die mit Ihrem Konto verknüpft sind (wenn Sie deren geräteübergreifende Synchronisierung aktivieren).

3.3 Wenn Sie MindyCards Premium abonnieren

Abonnementstatus (aktiv, pausiert, gekündigt) und Verlängerungsdatum.

Land des App-Store-Kontos, über das das Abonnement erworben wurde.

Der mit Ihrem Kauf verbundene Transaktionsidentifikator.

Vollständige Zahlungsdaten (Kartennummer, Sicherheitscode, Rechnungsadresse) sind für MindyCore zu keiner Zeit zugänglich. Sie werden je nach gewählter Kaufmethode direkt von Apple, Google oder unserem Zahlungsdienstleister verarbeitet. Siehe Abschnitt 8.

3.4 Daten, die wir NICHT erheben

Wir erheben keine biometrischen Daten.

Wir erheben keine präzisen Standortdaten in Echtzeit.

Wir erheben keine Kontakte, Fotos oder Dateien außerhalb der App.

Wir erheben keine Informationen über Ihr neurodivergentes Profil, eine Diagnose oder Ihren Gesundheitszustand. Barrierefreiheitseinstellungen werden, auch wenn sie über das Konto synchronisiert werden, als Nutzerpräferenzen gespeichert und nicht als Gesundheitsdaten ausgelegt, abgeleitet oder ausgewertet.

Wir verkaufen keine personenbezogenen Daten.

4. Zwecke der Verarbeitung

Betrieb der App, Verwaltung Ihres Kontos und geräteübergreifende Synchronisierung Ihres Fortschritts.

Abwicklung und Prüfung von Premium-Abonnements.

Anzeige nicht personalisierter Werbung in der kostenlosen Variante (Premium-Nutzende sehen keine Werbung).

Erkennung, Diagnose und Behebung von Abstürzen und Fehlern.

Auswertung aggregierter, anonymisierter Nutzungsmuster zur Verbesserung von Spielerlebnis und Barrierefreiheit.

Kommunikation mit Ihnen über Ihr Konto, Ihr Abonnement oder wesentliche Änderungen an der App.

Schutz vor Betrug, Missbrauch und Verstößen gegen unsere Richtlinien.

Erfüllung der für uns geltenden gesetzlichen Pflichten, einschließlich Steuerrecht und Verbraucherschutz.

5. Rechtsgrundlagen (DSGVO)

Vertragserfüllung (Art. 6 Abs. 1 lit. b): zur Bereitstellung der App, Verwaltung Ihres Kontos und zum Betrieb des Premium-Abonnements.

Berechtigtes Interesse (Art. 6 Abs. 1 lit. f): zur Erkennung von Abstürzen, zur Auswertung aggregierter Metriken und zur Betrugsprävention, abgewogen gegen Ihre Rechte und Freiheiten.

Einwilligung (Art. 6 Abs. 1 lit. a): für Tracking-Technologien, die nach den ePrivacy-Regeln der EU einer Einwilligung bedürfen, sowie für optionale Funktionen (z. B. Marketingkommunikation, sofern eingeführt).

Rechtliche Verpflichtung (Art. 6 Abs. 1 lit. c): zur Einhaltung der für uns geltenden Gesetze und Vorschriften, einschließlich des Steuerrechts.

6. Kontoerstellung und Authentifizierung

Die Authentifizierung in MindyCards erfolgt über Keycloak, ein von der MindyWorld OÜ auf in der Europäischen Union gehosteter Infrastruktur betriebenes System für Identitäts- und Zugriffsverwaltung, in Verbindung mit Firebase Authentication. Ihre Zugangsdaten und Identitäts-Token werden von diesen Systemen verarbeitet.

Für die Erstellung eines Kontos in MindyCards stehen Ihnen folgende Methoden zur Verfügung:

Mit Apple anmelden: Apple übermittelt uns eine dauerhafte Kennung und, nach Ihrer Wahl, Ihre E-Mail-Adresse (oder eine anonymisierte Weiterleitungsadresse). Ihr Apple-ID-Passwort wird uns niemals mitgeteilt.

Mit Google anmelden: Google übermittelt uns eine dauerhafte Kennung und Ihre E-Mail-Adresse. Ihr Google-Passwort wird uns niemals mitgeteilt.

Registrierung mit E-Mail und Passwort: Wir fragen eine E-Mail-Adresse und ein Passwort ab. Passwörter werden mit branchenüblichen kryptografischen Hash-Verfahren gespeichert und niemals im Klartext abgelegt.

Sie können Ihr MindyCards-Konto jederzeit über das Einstellungsmenü in der App löschen oder uns unter [email protected] schreiben. Nach der Löschung werden Ihre personenbezogenen Daten innerhalb von 30 Tagen entfernt, mit Ausnahme der Unterlagen, zu deren Aufbewahrung wir gesetzlich verpflichtet sind (etwa Transaktionsunterlagen nach estnischem und EU-Steuerrecht, die bis zu 7 Jahre aufbewahrt werden).

7. Werbung und Einwilligung

Die kostenlose Variante von MindyCards zeigt ausschließlich nicht personalisierte Werbung. Das Premium-Abonnement entfernt sämtliche Werbung.

Soweit nach EU- und UK-Recht erforderlich, nutzen wir die User Messaging Platform (UMP) von Google, um vor der Anzeige von Werbung Ihre Einwilligung in die Verwendung von Werbe-IDs einzuholen. Sie können Ihre Einwilligungsentscheidung jederzeit über die Datenschutzoptionen in den App-Einstellungen ändern.

Unter iOS gilt Apples App Tracking Transparency (ATT). Da MindyCards kein app-übergreifendes Tracking einsetzt, wird der ATT-Hinweis nicht angezeigt.

Unter Android kann die Android-Werbe-ID in begrenztem Umfang zur Betrugsprävention und zur Frequenzbegrenzung verwendet werden, wie in den Richtlinien von Google AdMob für nicht personalisierte Werbung beschrieben.

8. Premium-Abonnements und Zahlungen

In der App erworbene Premium-Abonnements werden über Apple In-App Purchase oder Google Play Billing nach deren jeweiligen Regeln abgerechnet. Die Zahlungsdaten dieser Käufe werden unmittelbar von Apple oder Google verarbeitet.

Wir setzen RevenueCat als Dienst zur Abonnementverwaltung ein. RevenueCat erhält den Transaktionsidentifikator, Ihre App-Nutzerkennung, den Abonnementstatus, die Produktkennung, die Plattform sowie Verlängerungs- oder Ablaufdaten. Ihre Zahlungskartendaten erhält RevenueCat nicht. RevenueCat handelt auf Grundlage eines Auftragsverarbeitungsvertrags als Auftragsverarbeiter für uns.

Für Käufe außerhalb der App-Stores, sofern angeboten, wird die Zahlung von Stripe abgewickelt. Stripe erhält die zur Durchführung der Transaktion erforderlichen Zahlungsdaten und handelt hinsichtlich der von ihr verarbeiteten Zahlungsdaten als eigenständige Verantwortliche, daneben als unsere Auftragsverarbeiterin für Transaktionsunterlagen. MindyCore speichert zu keiner Zeit Ihre vollständigen Kartendaten.

Abonnements verlängern sich automatisch bis zur Kündigung. Sie können Ihr Abonnement jederzeit in den Einstellungen Ihres Apple-ID- oder Google-Play-Kontos oder über den beim Kauf angegebenen Weg verwalten oder kündigen. Erstattungsanfragen für Käufe im App-Store werden vom jeweiligen Store bearbeitet.

9. Kinder und Jugendliche

MindyCards richtet sich, wie in unseren Nutzungsbedingungen festgelegt, an Nutzerinnen und Nutzer ab 13 Jahren.

Wenn Sie zwischen 13 Jahren und dem Alter der digitalen Einwilligungsfähigkeit in Ihrem Land liegen (standardmäßig 16 Jahre nach der EU-DSGVO, mit nationalen Abweichungen), bestätigen Sie, dass Ihnen die ausdrückliche Zustimmung eines Elternteils oder Erziehungsberechtigten zur Erstellung eines Kontos und zur Nutzung der App vorliegt.

Wir erheben wissentlich keine personenbezogenen Daten von Kindern unter 13 Jahren. Erlangen wir Kenntnis davon, dass eine nutzende Person unter 13 Jahre alt ist, schließen wir das Konto und löschen die zugehörigen personenbezogenen Daten ohne unangemessene Verzögerung. Wenn Sie Elternteil oder Erziehungsberechtigte(r) sind und annehmen, dass Ihr Kind unter 13 Jahren ein Konto angelegt hat, kontaktieren Sie uns bitte unter [email protected].

Die Kindersicherung des Betriebssystems (Apple Bildschirmzeit, Google Family Link oder gleichwertige Lösungen) bleibt das wichtigste Mittel für Eltern, die Nutzung digitaler Dienste durch ihr Kind zu beaufsichtigen. MindyCore stellt den technischen und vertraglichen Rahmen bereit; die elterliche Aufsicht liegt jedoch in der Verantwortung der Eltern oder Erziehungsberechtigten.

Für alle Nutzenden, unabhängig vom Alter, gelten in MindyCards strenge Datenschutzvoreinstellungen: ausschließlich nicht personalisierte Werbung, keine Marketingkommunikation ohne ausdrückliche Einwilligung und datensparsame Erhebung durch Technikgestaltung.

10. Weitergabe von Daten an Dritte

Wir verkaufen Ihre personenbezogenen Daten nicht. Wir geben begrenzte Daten an die nachfolgend aufgeführten Dienstleister weiter, jeweils auf Grundlage von Verträgen, die ein der DSGVO gleichwertiges Schutzniveau verlangen. Einige dieser Dienste sind bereits im Einsatz; andere sind integriert und werden in kommenden Versionen der App aktiv und werden hier aus Transparenzgründen aufgeführt.

Identität und Authentifizierung

Keycloak: Identitäts- und Zugriffsverwaltung, betrieben von der MindyWorld OÜ auf in der Europäischen Union gehosteter Infrastruktur.

Hostinger International Ltd: Hosting-Anbieter für die Infrastruktur, auf der unsere Authentifizierungsdienste laufen.

Firebase Authentication: Google Ireland Limited und Google LLC.

Mit Apple anmelden: Apple Inc.

Mit Google anmelden: Google Ireland Limited und Google LLC.

Datenspeicherung und Backend

Firebase Cloud Firestore: Speicherung von Spielfortschritt und Kontoeinstellungen. Google Ireland Limited und Google LLC.

Firebase Storage: Speicherung von durch Nutzende hochgeladenen Inhalten wie Profilbildern. Google Ireland Limited und Google LLC.

Firebase Cloud Functions: serverseitige Verarbeitung der Anwendungslogik, einschließlich Abonnementereignissen. Google Ireland Limited und Google LLC.

Analytik und Diagnose

Firebase Analytics: aggregierte Nutzungsanalyse, sofern eine Einwilligung vorliegt, wo diese erforderlich ist. Google Ireland Limited und Google LLC.

Werbung

Google AdMob: nicht personalisierte Werbung in der kostenlosen Variante. Google Ireland Limited und Google LLC.

Zahlungen und Abonnements

Apple App Store: Vertrieb, Abrechnung und Abonnements. Apple Inc.

Google Play: Vertrieb, Abrechnung und Abonnements. Google LLC.

RevenueCat, Inc.: Abonnementverwaltung und Berechtigungsprüfung.

Stripe Payments Europe, Ltd.: Zahlungsabwicklung für Käufe außerhalb der App-Stores, sofern angeboten.

Kommunikation

Brevo (Sendinblue SAS): Versand von Transaktions- und Newsletter-E-Mails, soweit einschlägig.

Zoho Corporation B.V.: E-Mail-Dienste.

Jeder dieser Dienste verfügt über eine eigene Datenschutzerklärung. Links können unter [email protected] angefordert werden.

Wir können Daten außerdem offenlegen, wenn dies gesetzlich, durch gerichtliche Anordnung oder aufgrund eines verbindlichen Ersuchens einer zuständigen Behörde erforderlich ist oder um unsere Rechte oder die Rechte Dritter zu schützen.

11. Internationale Datenübermittlungen

Einige unserer Dienstleister verarbeiten Daten außerhalb des Europäischen Wirtschaftsraums (EWR), unter anderem in den Vereinigten Staaten. Bei internationalen Übermittlungen stellen wir ein angemessenes Schutzniveau sicher durch:

von der Europäischen Kommission genehmigte Standardvertragsklauseln, soweit einschlägig;

das EU-US Data Privacy Framework (DPF), sofern der Empfänger zertifiziert ist;

andere gleichwertige, nach der DSGVO anerkannte Rechtsinstrumente.

Unsere Authentifizierungsinfrastruktur wird innerhalb der Europäischen Union gehostet. Spielfortschritt und Kontodaten, die in Firebase Cloud Firestore gespeichert werden, können in Regionen außerhalb des EWR gehostet werden; in diesen Fällen gelten die oben beschriebenen Garantien.

12. Speicherdauer

Aktive Konten: Die Daten werden gespeichert, solange Ihr Konto genutzt wird.

Inaktive Konten: Konten ohne Aktivität über 24 aufeinanderfolgende Monate können gelöscht werden; wir kündigen dies per E-Mail vorher an, sofern uns eine gültige Adresse vorliegt.

Nach Kontolöschung: Personenbezogene Daten werden innerhalb von 30 Tagen gelöscht, mit Ausnahme der Unterlagen, zu deren Aufbewahrung wir gesetzlich verpflichtet sind.

Transaktionsunterlagen (Premium-Abonnements): Aufbewahrung bis zu 7 Jahre, wie nach estnischem und EU-Steuerrecht vorgeschrieben.

Absturzprotokolle und Diagnosedaten: Aufbewahrung bis zu 90 Tage.

Aggregierte und anonymisierte Analysedaten: können zu statistischen Zwecken unbefristet aufbewahrt werden.

13. Ihre Rechte

Nach der EU-DSGVO und vergleichbaren Gesetzen stehen Ihnen die folgenden Rechte zu:

Auskunftsrecht: zu erfahren, welche personenbezogenen Daten wir verarbeiten.

Recht auf Berichtigung: unrichtige oder unvollständige personenbezogene Daten berichtigen zu lassen.

Recht auf Löschung (Recht auf Vergessenwerden): Sie können Ihr Konto über das Einstellungsmenü in der App löschen oder uns kontaktieren.

Recht auf Einschränkung: die Verarbeitung Ihrer personenbezogenen Daten einschränken zu lassen.

Widerspruchsrecht: der auf einem berechtigten Interesse beruhenden Verarbeitung zu widersprechen.

Recht auf Datenübertragbarkeit: Ihre Daten in einem strukturierten, gängigen und maschinenlesbaren Format zu erhalten.

Recht auf Widerruf der Einwilligung: jederzeit, ohne dass die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung berührt wird.

Recht auf Beschwerde bei einer Datenschutzaufsichtsbehörde: insbesondere im EU-Mitgliedstaat Ihres gewöhnlichen Aufenthalts.

Zur Ausübung dieser Rechte kontaktieren Sie uns bitte unter [email protected]. Wir antworten innerhalb von 30 Tagen, bei komplexen Anfragen mit einer möglichen Verlängerung um weitere 60 Tage.

14. Personen mit Wohnsitz in den USA (CCPA / CPRA)

Wenn Sie in Kalifornien (USA) ansässig sind, gewähren Ihnen der California Consumer Privacy Act (CCPA) und der California Privacy Rights Act (CPRA) besondere Rechte, darunter:

das Recht zu erfahren, welche Kategorien personenbezogener Informationen erhoben wurden;

das Recht, die von uns erhobenen personenbezogenen Informationen löschen zu lassen;

das Recht, einem „Verkauf” oder „Teilen” personenbezogener Informationen zu widersprechen. Wir verkaufen und teilen keine personenbezogenen Informationen im Sinne des kalifornischen Rechts;

das Recht auf Berichtigung unrichtiger personenbezogener Informationen;

das Recht auf Nichtdiskriminierung wegen der Ausübung Ihrer Rechte.

Zur Ausübung der kalifornischen Rechte kontaktieren Sie uns bitte unter [email protected]. Vergleichbare Rechte können gelten, wenn Sie in anderen US-Bundesstaaten mit ähnlichen Gesetzen ansässig sind; wir gewähren sie auf Anfrage.

15. Sicherheit

Wir schützen Daten mit branchenüblichen Sicherheitsmaßnahmen: Verschlüsselung bei der Übertragung (TLS), Verschlüsselung im Ruhezustand, soweit anwendbar, Passwort-Hashing mit branchenüblichen Algorithmen, Zugriffskontrollen nach dem Prinzip der geringsten Rechte, sichere Cloud-Infrastruktur und regelmäßige Sicherheitsüberprüfungen.

Im Falle einer Verletzung des Schutzes personenbezogener Daten, die Ihre Rechte beeinträchtigen kann, benachrichtigen wir die zuständige Datenschutzaufsichtsbehörde innerhalb von 72 Stunden und informieren, soweit gesetzlich vorgeschrieben, auch die betroffenen Nutzenden ohne unangemessene Verzögerung.

16. Gerätekennungen und ähnliche Technologien

Obwohl MindyCards eine mobile App ist und keine Cookies im technischen Sinne verwendet, stützt sie sich auf ähnliche Technologien auf Ihrem Gerät, insbesondere:

lokalen Gerätespeicher, um Barrierefreiheitseinstellungen, Spielfortschritt, Anmeldestatus und Einwilligungspräferenzen zu speichern;

Authentifizierungs-Token, um Sie über Sitzungen hinweg angemeldet zu halten;

Werbe-IDs (IDFA unter iOS, Android-Werbe-ID unter Android), die von Google AdMob in der kostenlosen Variante in begrenztem Umfang zur Betrugsprävention und Frequenzbegrenzung bei nicht personalisierter Werbung genutzt werden;

anonymisierte Sitzungskennungen, die von Firebase Analytics verwendet werden, sofern eine Einwilligung vorliegt, wo diese erforderlich ist.

Sie können Werbe-IDs zurücksetzen, das Werbetracking deaktivieren oder Tracking-Berechtigungen in den Systemeinstellungen Ihres Geräts konfigurieren (iOS: Datenschutz → Tracking; Android: Einstellungen → Datenschutz → Werbung).

17. Automatisierte Entscheidungsfindung

MindyCards trifft keine ausschließlich auf automatisierter Verarbeitung beruhenden Entscheidungen über Sie, die rechtliche Wirkung entfalten oder Sie in ähnlicher Weise erheblich beeinträchtigen.

18. Änderungen dieser Datenschutzerklärung

Wir können diese Datenschutzerklärung von Zeit zu Zeit aktualisieren. Wesentliche Änderungen kündigen wir, soweit zumutbar, mindestens 30 Tage im Voraus über die App, per E-Mail (an Kontoinhaberinnen und Kontoinhaber) und auf mindycore.com an. Das Versionsdatum am Anfang dieser Erklärung wird bei jeder Änderung aktualisiert.

19. Kontakt und Beschwerden

Bei Fragen, Anfragen zu Ihren Daten oder Beschwerden im Zusammenhang mit dieser Datenschutzerklärung erreichen Sie uns unter: [email protected].

Wenn Sie mit unserer Antwort nicht zufrieden sind, haben Sie das Recht, Beschwerde bei der Estnischen Datenschutzaufsicht (www.aki.ee/en) oder bei Ihrer lokalen Datenschutzaufsichtsbehörde einzulegen.