Datenschutzerklärung.

1. Wer verantwortlich ist

2. Website, Verbindung und Sicherheit

Beim Aufruf der App, der Partnerseite oder des Studios verarbeiten die eingesetzten Hosting- und Sicherheitsdienste insbesondere IP-Adresse, Zeitpunkt des Zugriffs, angeforderte Adresse, Antwortstatus sowie technische Angaben zu Browser, Gerät und gegebenenfalls der zuvor besuchten Seite. Das ist erforderlich, um die Seiten auszuliefern, Fehler zu erkennen und Angriffe abzuwehren. Es erfolgt keine GPS-Ortung durch RYLYTY.

Die App wird über ChatGPT Sites von OpenAI bereitgestellt; die technische Infrastruktur umfasst Cloudflare, insbesondere für Auslieferung, Datenbank und Dateispeicher. Sicherheitsfunktionen des Hostings können technisch erforderliche Cookies setzen, etwa zur Erkennung automatisierter Zugriffe. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist ein sicherer und funktionsfähiger Betrieb. Informationen zu den Dienstleistern stehen in Abschnitt 8.

3. Nutzung ohne Konto und Browserspeicher

Du kannst Challenges ohne App-Konto entdecken und deinen Fortschritt auf deinem Gerät festhalten. Gespeichert werden die von dir eingegebenen Angaben wie Anzeigename und Ort, gemerkte und gestartete Challenges, Abschlüsse, Bildunterschriften, Ergebnisfotos, eigene Challenges und Teampläne. Ein eingegebener Ort ist eine freiwillige Angabe; wir lesen dafür keinen Gerätestandort aus.

Diese Inhalte werden ohne Anmeldung im lokalen Browserspeicher abgelegt und nicht als Konto-Inhalte an die RYLYTY-Datenbank übertragen. Die gewählte rylyty wird ebenfalls auf dem Gerät gespeichert. Lokale Teampläne sind keine Einladung anderer Personen und werden nicht automatisch mit ihnen geteilt. Bitte verwende für andere Personen möglichst Spitznamen.

Du kannst lokale Ergebnisse in der App exportieren oder unter „Pilot & Datenschutz“ löschen. Das Löschen der Browserdaten entfernt lokale Inhalte ebenfalls. Ohne eigenen Export können sie danach verloren sein. Der Weltwechsel löscht deinen Fortschritt nicht.

Der Zugriff auf den Browserspeicher dient den von dir gewünschten Speicher- und Auswahlfunktionen (§ 25 Abs. 2 Nr. 2 TDDDG). Soweit personenbezogene Daten durch uns verarbeitet werden, erfolgt dies zur Bereitstellung der gewünschten Funktionen nach Art. 6 Abs. 1 lit. b DSGVO. Es gibt keine geräteübergreifende Werbe-ID.

4. App-Konto, Synchronisation und Ergebnisfotos

Soweit die App-Anmeldung freigeschaltet ist und du sie nutzt, werden deine E-Mail-Adresse, eine Kontokennung und Angaben zur Bestätigung der Anmeldung verarbeitet. Die Anmeldung ist als E-Mail-Code-Verfahren über Supabase Auth vorgesehen. Der Mailversand für App-Nutzer ist derzeit noch nicht vollständig eingerichtet. Eine ChatGPT-Anmeldung ist für die reguläre App-Nutzung nicht erforderlich.

Mit einem App-Konto werden die in Abschnitt 3 beschriebenen Konto-Inhalte zur Synchronisation in der App-Datenbank gespeichert. Ergebnisfotos werden im Dateispeicher des Hostings abgelegt und sind über die App nur innerhalb deines angemeldeten Kontos abrufbar. Es gibt derzeit keine öffentlich sichtbaren Nutzerprofile oder öffentliche Ergebnisgalerie. Ein Studio-Zugang berechtigt Redakteure nicht automatisch zum Abruf deiner privaten Konto-Ergebnisse.

Ein gerätebezogener Zwischenspeicher hält Konto-Inhalte und noch nicht übertragene Änderungen vor. Abmelden und das Leeren dieses Zwischenspeichers löschen nicht das serverseitige Konto. Auch ein lokaler Export entfernt keine gespeicherten Daten. Für die Löschung deines Kontos und der zugehörigen Fotos kontaktiere uns bitte unter rylyty@bockses.io.

Die Auswahl oder Aufnahme eines Fotos geschieht erst auf deine Aktion über die Funktionen deines Geräts. RYLYTY liest nicht selbstständig deine Fotobibliothek aus. Fotografiere möglichst Gegenstände oder deine Arbeitsergebnisse. Lade keine sensiblen Informationen, Ausweise oder Bilder anderer Menschen ohne deren erforderliche Zustimmung hoch. Es findet keine Gesichtserkennung statt.

Rechtsgrundlage für Konto und Synchronisation ist Art. 6 Abs. 1 lit. b DSGVO. Die Bereitstellung deiner E-Mail ist für ein Konto erforderlich, ein Klarname oder ein Foto von dir selbst dagegen nicht. Die lokale Nutzung bleibt ohne Konto möglich.

5. Studio-Konten, rylyty-Rechte und redaktionelle Inhalte

Das Content Studio verwendet einen eigenen E-Mail-/Passwort-Login über Supabase. Dabei werden E-Mail-Adresse, Passwort zur Authentifizierung, Kontokennung, bestätigte E-Mail-Adresse und Anmeldestatus verarbeitet. Die RYLYTY-App speichert das Studio-Passwort nicht im Klartext.

In der App-Datenbank werden zusätzlich Studio-Freigaben gespeichert: E-Mail-Adresse, gegebenenfalls Name, aktive oder gesperrte Freigabe, Kontokennung und die rylytys, deren Inhalte ein Studio-Nutzer verwalten darf. Bearbeitungen von Challenges werden mit Änderungszeit und Bearbeiterkennung dokumentiert. Die Administration kann diese Zugänge und Freigaben verwalten. Öffentlich sichtbar sind ausschließlich veröffentlichte Challenge-Inhalte in veröffentlichten rylytys.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO für die vereinbarte Zusammenarbeit und die dafür erforderliche Konto-Nutzung. Die Absicherung, Rechteprüfung und Nachvollziehbarkeit von Änderungen erfolgt nach Art. 6 Abs. 1 lit. f DSGVO zur Vermeidung unberechtigter Zugriffe und zur Sicherung der redaktionellen Arbeit.

KI-Bildgenerierung im Studio

Wenn eine Redaktion die KI-Bildgenerierung auslöst, übermittelt der Server aus dem Challenge-Inhalt abgeleitete Textbeschreibungen an die OpenAI-API. Die generierten Bilder werden anschließend im Dateispeicher der App abgelegt. Manuell hochgeladene Grafiken werden im Browser für das benötigte Format aufbereitet. Private Ergebnisfotos der App-Nutzer werden von dieser Funktion nicht als Referenzbilder übermittelt.

Die Bildgenerierung dient der Erstellung redaktioneller Illustrationen. Bitte füge keine personenbezogenen oder vertraulichen Angaben in dafür verwendete Challenge-Texte ein. Soweit dabei ausnahmsweise personenbezogene redaktionelle Daten verarbeitet werden, ist Grundlage Art. 6 Abs. 1 lit. f DSGVO, unser Interesse an der Gestaltung der ausdrücklich angeforderten Inhalte.

6. Kontakt und telefonische Erstberatung

Wenn du uns eine E-Mail sendest, verarbeiten wir deine Kontaktdaten und den Inhalt zur Bearbeitung des Anliegens. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO bei einer gewünschten Zusammenarbeit oder vorvertraglichen Anfrage, ansonsten Art. 6 Abs. 1 lit. f DSGVO; unser Interesse ist die Beantwortung der Anfrage.

Über das Partnerformular werden Name, Organisation, Organisationstyp, Telefonnummer und deine Bestätigung des Rückrufwunschs erfasst. Eine E-Mail-Adresse, Erreichbarkeitszeiten und eine Nachricht sind freiwillig. Ohne die Pflichtangaben kann ein Rückruf nicht über das Formular angefragt werden. Die Angaben sind in einem geschützten Bereich nur für die Administration abrufbar; sie werden nicht veröffentlicht.

Die Bearbeitung des gewünschten unverbindlichen Beratungsgesprächs erfolgt nach Art. 6 Abs. 1 lit. b DSGVO als vorvertragliche Anfrage. Soweit du für eine Organisation handelst, stützen wir die Verarbeitung deiner geschäftlichen Kontaktdaten auf Art. 6 Abs. 1 lit. f DSGVO; unser Interesse ist die Bearbeitung der von dir initiierten Kooperationsanfrage. Das Formular erteilt keine Einwilligung in Newsletter oder andere Werbung. Du kannst den Rückruf jederzeit über unsere Kontaktadresse absagen.

Bitte trage keine personenbezogenen Informationen über Jugendliche in das Partnerformular ein. Zum Schutz vor Formularmissbrauch wird ein unsichtbares Zusatzfeld verwendet; ferner wird die Zahl von Anfragen anhand eines Hashwerts der IP-Adresse begrenzt. Wird keine IP-Adresse vom Hosting bereitgestellt, wird hierfür die angegebene Telefonnummer gehasht. Dies dient der Missbrauchsabwehr nach Art. 6 Abs. 1 lit. f DSGVO.

7. Cookies und ähnliche Speichertechniken

Die App setzt folgende eigene Speichertechniken für die jeweils angeforderten Funktionen ein. Diese dienen nicht der Werbung oder der Erstellung eines Nutzungsprofils über andere Websites hinweg.

Die Anmelde-Cookies sind gegen das Auslesen durch App-Skripte geschützt und werden nur über HTTPS gesendet. Serverseitig werden Hashwerte der eigenen Sitzungskennungen gespeichert. Für diese erforderlichen Speicherzugriffe gilt § 25 Abs. 2 Nr. 2 TDDDG; die weitere Verarbeitung folgt den in den jeweiligen Abschnitten genannten Rechtsgrundlagen. Technische Sicherheitscookies der Hosting-Dienste werden in Abschnitt 2 erläutert. Zusätzliche optionale Tracking-Dienste sind derzeit nicht eingebunden.

8. Empfänger, Dienstleister und internationale Verarbeitung

Innerhalb der Bockses GmbH erhalten nur Personen Zugriff, die diesen für Betrieb, Support, Redaktion oder die Bearbeitung von Anfragen benötigen. Für den Betrieb setzen wir folgende technische Dienste ein:

• OpenAI: Hosting über ChatGPT Sites; Anbieter für Kunden im Europäischen Wirtschaftsraum ist nach den veröffentlichten Vertragsbedingungen OpenAI Ireland Ltd. Bei ausgelöster redaktioneller Bildgenerierung wird zusätzlich die OpenAI-API genutzt. Informationen zur Verarbeitung bei Sites und OpenAI-Datenverarbeitungsbedingungen.
• Cloudflare, Inc.: technische Hosting-Infrastruktur, Auslieferung, Sicherheitsfunktionen sowie Datenbank- und Dateispeicher. Die Nutzung erfolgt im Rahmen der Sites-Infrastruktur. Cloudflare-Datenschutzhinweise.
• Supabase Pte. Ltd.: Authentifizierung für Studio-Konten und die vorgesehene App-Anmeldung. Das für RYLYTY eingerichtete Projekt liegt in der Region Frankfurt (eu-central-1). Ergebnisfotos und Challenge-Fortschritte werden nicht in der Supabase-Datenbank, sondern im App-Hosting gespeichert. Supabase-Datenverarbeitungsbedingungen und Informationen zu Speicherorten und Übermittlungen.

Ein europäischer Projektstandort bedeutet nicht, dass sämtliche Betriebs-, Support- oder Sicherheitsdaten ausschließlich in Deutschland verarbeitet werden. Bei diesen international tätigen Diensten können insbesondere Verarbeitungen in den USA oder anderen Drittländern stattfinden. Die veröffentlichten Datenverarbeitungsbedingungen sehen für solche Übermittlungen insbesondere EU-Standardvertragsklauseln oder einschlägige Angemessenheitsbeschlüsse vor. Für die konkrete Nutzung gelten die jeweils anwendbaren Anbietervereinbarungen. Auskünfte zu Empfängern und den für deine Daten eingesetzten Garantien kannst du unter unserer Kontaktadresse anfordern.

Es erfolgt kein Verkauf deiner Konto-Inhalte. Externe Links laden Inhalte fremder Websites erst, wenn du sie selbst öffnest; dann gelten die Datenschutzhinweise des jeweiligen Anbieters. Diese Datenschutzerklärung beschreibt RYLYTY, nicht eine eigene Anmeldung oder Unterhaltung bei ChatGPT.

9. Wie lange Daten gespeichert werden

• Lokale Daten: bis du sie in der App oder im Browser löschst. Ein von dir heruntergeladener Export bleibt unter deiner Kontrolle.
• Konto-Inhalte und Ergebnisfotos: für die Dauer der Konto-Nutzung bis zur angeforderten Löschung, soweit keine vorrangigen gesetzlichen Pflichten oder erforderlichen Nachweise entgegenstehen. Es gibt derzeit keine automatische Löschung allein wegen Inaktivität.
• Studio-Freigaben und Bearbeitungsnachweise: solange sie für die Zusammenarbeit, Sicherheit oder Nachvollziehbarkeit erforderlich sind. Eine Sperre beendet die Zugriffsberechtigung, löscht aber nicht automatisch veröffentlichte Organisationsinhalte oder die Bearbeitungshistorie.
• Rückrufanfragen: nach 90 Tagen werden sie bei der nächsten Nutzung des Formulars oder der Anfrageverwaltung aus dieser Anfrage-Datenbank gelöscht. Eine frühere Löschung ist auf Anfrage möglich. Eine anschließende geschäftliche Korrespondenz wird getrennt nach ihrem Zweck aufbewahrt.
• Missbrauchsschutz: Anmeldeversuche werden in Zehn-Minuten-Fenstern, bestimmte Code-Anfragen zusätzlich pro Minute und Formularanfragen pro Stunde begrenzt. Abgelaufene Zähleinträge werden bei späteren Anmeldeanfragen bereinigt. Diese Hashwerte sind keine anonymen Daten, solange eine Zuordnung möglich ist.
• Technische Protokolle und Sicherungen: die Aufbewahrung richtet sich nach Fehlerbehebung, Sicherheitszwecken und den technischen Aufbewahrungszyklen der eingesetzten Anbieter. Bei einem konkreten Sicherheitsvorfall können erforderliche Nachweise bis zur Klärung aufbewahrt werden. Gesetzlich erforderliche Unterlagen bleiben für die jeweils anwendbare gesetzliche Dauer gespeichert; alle übrigen Daten sollen entfallen, sobald ihr Zweck weggefallen ist.

Du kannst dich jederzeit nach der Speicherdauer deiner konkreten Daten erkundigen. Löschungen werden unter Berücksichtigung notwendiger Identitätsprüfung und gesetzlicher Ausnahmen bearbeitet.

10. Hinweise für Jugendliche und Erziehungsberechtigte

RYLYTY ist für Teens ab 14 Jahren konzipiert. Du musst keinen echten Namen, deinen genauen Wohnort oder ein Foto von dir angeben. Verwende bei Bildern und Texten möglichst keine persönlichen Informationen. Bei Fragen kannst du eine vertraute erwachsene Person hinzuziehen oder uns direkt schreiben.

Soweit bei einer künftigen optionalen Funktion eine datenschutzrechtliche Einwilligung erforderlich ist und das Angebot einem unter 16-jährigen Kind in Deutschland direkt gemacht wird, muss diese nach Art. 8 DSGVO durch die Erziehungsberechtigten erteilt oder genehmigt werden. Eine bloße Erwähnung in dieser Erklärung ersetzt eine solche Einwilligung nicht. Aktuell werden keine einwilligungsbasierten Werbe- oder Tracking-Funktionen angeboten.

Wenn eine Schule, Jugendeinrichtung oder ein Verein eigene Aktivitäten begleitet und dabei außerhalb der beschriebenen App-Funktionen Teilnehmerdaten erhebt, muss die jeweilige Organisation hierfür eigene Informationen bereitstellen. Ein Studio-Recht für eine rylyty verschafft dieser Organisation keinen allgemeinen Zugriff auf private Ergebnisfotos.

11. Deine Rechte

Unter den gesetzlichen Voraussetzungen hast du folgende Rechte: Auskunft über deine personenbezogenen Daten (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18) und Datenübertragbarkeit (Art. 20). Du kannst dich dazu an rylyty@bockses.io wenden. Soweit erforderlich, prüfen wir deine Identität auf angemessene Weise. Wir benötigen dafür niemals dein Passwort oder einen Anmeldecode.

Widerspruch: Wenn wir Daten auf Grundlage eines berechtigten Interesses verarbeiten, kannst du nach Art. 21 DSGVO aus Gründen deiner besonderen Situation widersprechen. Wir prüfen dann, ob zwingende schutzwürdige Gründe für die weitere Verarbeitung bestehen.

Eine erteilte Einwilligung kannst du mit Wirkung für die Zukunft widerrufen; die Rechtmäßigkeit der bisherigen Verarbeitung bleibt unberührt. Eine ausschließlich automatisierte Entscheidung mit rechtlicher oder ähnlich erheblicher Wirkung findet bei RYLYTY nicht statt. Die Freischaltung einer nächsten Challenge anhand erledigter Voraussetzungen ist eine Spielfunktion und entscheidet nicht über Bildungsabschlüsse oder vergleichbare Berechtigungen.

Beschwerde bei einer Aufsichtsbehörde

Du kannst dich bei einer Datenschutzaufsichtsbehörde beschweren, insbesondere an deinem gewöhnlichen Aufenthaltsort, deinem Arbeitsplatz oder am Ort eines vermuteten Verstoßes. Für unseren Unternehmenssitz kommt insbesondere folgende Behörde in Betracht:

12. Änderungen

Diese Erklärung beschreibt den aktuellen Funktionsstand. Wenn sich Datenverarbeitung oder eingesetzte Funktionen ändern, passen wir die Hinweise an. Erforderliche neue Einwilligungen werden nicht durch eine bloße Textänderung ersetzt.