Datenschutzerklärung

Verantwortlicher

Verantwortlich für die Verarbeitung personenbezogener Daten in dieser Anwendung ist die quebi GmbH, Geitau 22, 83735 Bayrischzell, Deutschland. Du erreichst uns unter hi@quebi.de.

Geltungsbereich

Diese Datenschutzerklärung gilt für die Web-Anwendung Aquaball, erreichbar unter aquaball.quebi.de, sowie alle hierüber angebotenen Funktionen.

Welche Daten wir verarbeiten

• Konto-Daten: E-Mail-Adresse, Passwort-Hash, Anzeigename, gewählte Sprache, Zeitpunkt der Registrierung sowie der letzten Anmeldung.
• Sitzungsdaten: zufällig erzeugte Session-ID, IP-Adresse und User-Agent zum Zeitpunkt der Anmeldung sowie der letzten Aktivität.
• Audit-Protokolle: relevante sicherheitsrelevante Ereignisse (Anmeldung, Passwort-Änderung, Rollenänderung) inklusive Zeitstempel und IP-Adresse.
• Rate-Limit-Daten: Anzahl fehlgeschlagener Anmeldeversuche je E-Mail-Adresse und IP-Adresse innerhalb eines Zeitfensters von 15 Minuten.

Zwecke der Verarbeitung

Wir verarbeiten die genannten Daten ausschließlich, um den Betrieb der Anwendung sicherzustellen, Sicherheit gegen Angriffe (Bruteforce, Account-Übernahme) zu gewährleisten und gesetzliche Pflichten zur Nachvollziehbarkeit von Änderungen zu erfüllen.

Rechtsgrundlagen

Rechtsgrundlage der Verarbeitung ist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung — Bereitstellung der Anwendung), Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse — Sicherheit und Missbrauchsprävention) sowie Art. 6 Abs. 1 lit. c DSGVO, soweit eine gesetzliche Verpflichtung besteht.

Hosting und Auftragsverarbeitung

Cloudflare

Die Anwendung wird vollständig auf der Cloudflare-Plattform betrieben. Cloudflare verarbeitet zwingend Verbindungsdaten (z. B. IP-Adresse, User-Agent, angefragte URL) zur Bereitstellung des Dienstes, zur DDoS-Abwehr und zur Bot-Erkennung. Anbieter ist Cloudflare, Inc., 101 Townsend St., San Francisco, CA 94107, USA, mit europäischer Niederlassung Cloudflare Germany GmbH, München. Mit Cloudflare besteht ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO sowie EU-Standardvertragsklauseln nach Art. 46 DSGVO für etwaige Drittlandsübermittlungen.

Datenbank (Cloudflare D1, EU-Region)

Persönliche Konto-, Sitzungs- und Audit-Daten speichern wir in Cloudflare D1 (SQLite). Die D1-Datenbank ist explizit auf den EU-Standort konfiguriert (location_hint = 'weur'), Daten verbleiben somit innerhalb der Europäischen Union. Cloudflare betreibt für Workers-Anfragen ein global verteiltes Netzwerk; die Anfragen werden jedoch transient verarbeitet, eine dauerhafte Datenhaltung außerhalb der EU findet nicht statt.

Versand transaktionaler E-Mails (MailChannels)

Für den Versand von Bestätigungs- und Passwort-Reset-Mails nutzen wir MailChannels Corp. (Kanada). Beim Versand werden E-Mail-Adresse und Nachrichteninhalt an MailChannels übermittelt. Es bestehen Standardvertragsklauseln; ein Angemessenheitsbeschluss für Kanada (kommerzieller Sektor) liegt vor.

Cookies

Wir setzen ausschließlich technisch notwendige Cookies. Insbesondere setzen wir nach erfolgreicher Anmeldung ein Sitzungscookie 'aqb_session' (HttpOnly, Secure, SameSite=Lax, max. 90 Tage Lebensdauer). Tracking- oder Marketing-Cookies setzen wir nicht.

Speicherdauer

Konto-Daten speichern wir, solange das Konto besteht. Sitzungen löschen wir spätestens 90 Tage nach Anmeldung, inaktive Sitzungen bereits nach 30 Tagen. Audit-Protokolle bewahren wir 12 Monate auf, soweit gesetzliche Aufbewahrungspflichten nichts Längeres verlangen. Rate-Limit-Zähler verfallen automatisch nach 15 Minuten.

Empfänger

Empfänger der Daten sind ausschließlich die oben genannten Auftragsverarbeiter sowie auf Anforderung Behörden im Rahmen ihrer gesetzlichen Befugnisse.

Deine Rechte

Du hast jederzeit das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) sowie Widerspruch (Art. 21). Wende dich dazu formlos an hi@quebi.de. Beschwerden kannst du außerdem bei einer Datenschutzaufsichtsbehörde einreichen, in Deutschland z. B. beim Bayerischen Landesamt für Datenschutzaufsicht (BayLDA).

Sicherheit

Passwörter speichern wir ausschließlich als scrypt-Hash. Wir setzen HTTPS durchgängig ein, sichern Anmeldungen mit Rate-Limits je E-Mail-Adresse und IP-Adresse und protokollieren sicherheitsrelevante Ereignisse.

Änderungen dieser Erklärung

Wir behalten uns vor, diese Datenschutzerklärung anzupassen, um sie an geänderte Rechtslage oder Funktionen der Anwendung anzupassen. Wesentliche Änderungen geben wir den eingeloggten Nutzer:innen vor Wirksamwerden bekannt.

Stand: Juni 2026