Datenschutzerklärung — Bloomia

1. Wer wir sind (der Verantwortliche)

Verantwortlicher für deine Daten ist Bloomia. Kontakt für alle Fragen zu personenbezogenen Daten: neaua_neaua@yahoo.com.

Wir haben keinen Datenschutzbeauftragten (DPO) benannt, da unsere Tätigkeit nicht unter die Fälle fällt, die dies vorschreiben (Art. 37 DSGVO). Anfragen zu personenbezogenen Daten werden direkt von unserem Team unter der obigen Adresse bearbeitet.

2. Welche Daten wir erheben und warum

Kategorie	Zweck	Rechtsgrundlage
E-Mail, Name, Avatar	Erstellung und Verwaltung des Kontos	Vertragserfüllung
Erstellte Aktivitäten, Ordner, Einstellungen	Bereitstellung des Dienstes	Vertragserfüllung
Spielergebnisse, XP, Abzeichen, Serien	Fortschritt, Bestenlisten, Statistiken für Lehrkräfte	Vertragserfüllung
Abrechnungsdaten und Zahlungsverlauf	Rechnungsstellung, Buchhaltung	Rechtliche Verpflichtung
Technische Protokolle, IP-Adresse bei der Anmeldung	Sicherheit, Missbrauchs- und Betrugsprävention	Berechtigtes Interesse
Reichweitenmessung (ohne IP, ohne dauerhafte Kennung)	Wissen, wie viele Besucher wir haben und woher sie kommen	Berechtigtes Interesse
E-Mail-Adresse für Informationen	Neuigkeiten zur Plattform	Einwilligung (jederzeit widerrufbar)

Deine Kartendaten erreichen uns nie — sie werden direkt bei Stripe eingegeben, einem PCI-DSS-zertifizierten Zahlungsdienstleister. Wir erhalten nur die Zahlungsbestätigung und die letzten Ziffern der Karte.

3. Schülerdaten

Dies ist der sensibelste Teil der Plattform, deshalb erklären wir ihn gesondert.

Schüler, die ohne Konto spielen

Wir speichern nur den von ihnen eingegebenen Vornamen und das Spielergebnis. Keine E-Mail, kein Konto, kein Profil. Der Vorname wird in der Bestenliste der Aktivität angezeigt und ist für die Lehrkraft sichtbar, die sie erstellt hat. Wir empfehlen Lehrkräften, Schüler nur nach dem Vornamen zu fragen — nie nach vollständigem Namen oder anderen personenbezogenen Daten.

Schüler mit Konto

Ein Konto kann ab 16 Jahren erstellt werden. Unter diesem Alter ist die Zustimmung eines Elternteils oder Erziehungsberechtigten erforderlich (Art. 8 DSGVO). Ein Elternteil kann jederzeit Zugang zu den Daten des Kindes, deren Berichtigung oder Löschung verlangen, indem er uns an unsere Kontaktadresse schreibt.

Wer für Schülerdaten verantwortlich ist

Wenn eine Lehrkraft oder eine Institution die Plattform mit ihren Schülern nutzt, ist die Lehrkraft oder Institution der Verantwortliche dieser Daten — sie entscheidet, welche Aktivität sie gibt, welche Fragen sie stellt und welche Informationen sie abfragt. Wir handeln als Auftragsverarbeiter (Art. 28 DSGVO): Wir verarbeiten die Daten nur nach ihren Anweisungen und zur Bereitstellung des Dienstes.

Institutionen, die eine unterzeichnete Auftragsverarbeitungsvereinbarung (DPA) benötigen, können diese bei uns anfordern unter neaua_neaua@yahoo.com.

4. Wie lange wir Daten speichern

Kontodaten — solange das Konto besteht. Du kannst es jederzeit selbst löschen.
Aktivitäten und Ergebnisse — solange das Konto des Autors besteht (siehe unten, was bei der Löschung passiert).
Rechnungen und Zahlungsaufzeichnungen — 10 Jahre, die von der rumänischen Buchhaltungs- und Steuergesetzgebung vorgeschriebene Frist.
Reichweitenmessungsdaten — 14 Monate, danach automatische Löschung.
Technische Sicherheitsprotokolle — maximal 12 Monate.
Das Löschregister — nur ein Hash der E-Mail, aufbewahrt als Nachweis, dass wir deiner Anfrage nachgekommen sind.

Du kannst dein Konto löschen unter Profil → Sicherheit → Meine Daten . Die Löschung über die Oberfläche ist sofort; per E-Mail gesendete Anfragen werden innerhalb von maximal 30 Tagen bearbeitet. Bei der Löschung:

Endgültig gelöscht: das Anmeldekonto, Name, E-Mail, Avatar, Einstellungen, Fortschritt (XP, Münzen, Abzeichen, Avatare, Serien), Favoriten, Benachrichtigungen, Ordner und E-Mail-Einstellungen.
Anonymisiert: Ergebnisse gespielter Spiele — sie bleiben in den Aktivitätsstatistiken anderer Autoren, aber ohne Bezug zu dir (der Name wird zu „Gelöschtes Konto“).
Bleiben erhalten, aber ohne Bezug zu dir: veröffentlichte Aktivitäten — sie gehen gemäß der Lizenz in den Nutzungsbedingungen an die Plattform über, ohne deinen Namen als Autor.
Bleiben erhalten, als rechtliche Verpflichtung: Rechnungen und Zahlungsaufzeichnungen, falls du ein kostenpflichtiges Abo hattest. Das Steuerrecht verpflichtet uns zur Archivierung, und Art. 17 Abs. 3 lit. b DSGVO sieht diese Ausnahme vom Recht auf Löschung ausdrücklich vor.

5. Deine Rechte

Gemäß DSGVO hast du das Recht auf:

Auskunft: eine Kopie deiner Daten anzufordern
Berichtigung: unrichtige Daten zu korrigieren
Löschung: die Löschung deiner Daten zu verlangen („Recht auf Vergessenwerden“)
Übertragbarkeit: deine Daten in einem strukturierten Format zu erhalten
Einschränkung: die Einschränkung der Verarbeitung zu verlangen, solange du sie anfechtest
Widerspruch: der auf berechtigtem Interesse beruhenden Verarbeitung zu widersprechen, einschließlich Marketing
Widerruf der Einwilligung, jederzeit, ohne die Rechtmäßigkeit der vorherigen Verarbeitung zu berühren

Du kannst diese sofort selbst ausüben

Auskunft und Übertragbarkeit: Profil → Sicherheit → „Meine Daten herunterladen“ (JSON-Datei mit allem, was wir gespeichert haben).
Berichtigung: Profil → bearbeite Name und Avatar direkt.
Löschung: Profil → Sicherheit → „Konto und personenbezogene Daten löschen“.
Widerspruch gegen Marketing: der Schalter „Info-E-Mails“ im Profil oder der Link „Abmelden“ in jeder E-Mail von uns.
Widerspruch gegen Reichweitenmessung: der Link „Datenpräferenzen“ in der Fußzeile der Website.

Für alle anderen Anfragen schreib uns an neaua_neaua@yahoo.com. Wir antworten innerhalb von maximal 30 Tagen und erheben keine Gebühr. Du hast außerdem das Recht, eine Beschwerde bei der ANSPDCP einzureichen (dataprotection.ro).

6. Automatisierte Entscheidungen und Profiling

Wir treffen keine automatisierten Entscheidungen mit rechtlicher oder ähnlich bedeutsamer Wirkung für dich und betreiben kein Profiling zu Werbezwecken (Art. 22 DSGVO). Bestenlisten, Level und Ligen sind einfache Berechnungen auf Basis der im Spiel erzielten Punktzahl und haben keine Wirkung außerhalb der Plattform.

7. Datensicherheit

Wir wenden angemessene technische und organisatorische Maßnahmen an (Art. 32 DSGVO): verschlüsselter Datenverkehr (HTTPS), Verschlüsselung gespeicherter Daten, Passwörter nur als kryptografischer Hash gespeichert (nie im Klartext), Datenisolierung zwischen Konten auf Datenbankebene, eingeschränkter Teamzugriff und Backups.

Was von dir abhängt: wähle ein starkes, einzigartiges Passwort, verwende es nicht auf anderen Websites wieder und teile es nicht. Keine Sicherheitsmaßnahme unsererseits kann ein offengelegtes oder wiederverwendetes Passwort ausgleichen. Details in den Nutzungsbedingungen, Abschnitt „Deine Verantwortlichkeiten“.

Kommt es zu einer Datenschutzverletzung, die deine Rechte beeinträchtigen könnte, benachrichtigen wir die ANSPDCP innerhalb von 72 Stunden und informieren dich direkt, wenn das Risiko hoch ist (Art. 33–34 DSGVO).

8. Cookies und Reichweitenmessung

Wir verwenden für die Authentifizierung unbedingt erforderliche Cookies (Supabase-Sitzung) und lokalen Speicher für Oberflächeneinstellungen (Sprache, Ton, geschlossene Banner). Wir verwenden weder Google Analytics, Facebook Pixel noch ein anderes Tracking-Tool von Drittanbietern, und wir verfolgen deine Aktivität nicht auf anderen Websites.

Wir messen die Reichweite mit einem eigenen System auf unserer Infrastruktur. Pro Besuch speichern wir: die Einstiegsseite, die Quelle (Linkparameter oder verweisende Domain, z. B. „tiktok.com“), Gerätetyp, Browser, Betriebssystem und Land. Aus diesen Daten berechnen wir, wie viele Besucher wir haben und woher sie kommen.

Warum wir dich dafür nicht um Einwilligung bitten

Unser System erfüllt die Bedingungen, unter denen die Reichweitenmessung von der Einwilligungspflicht ausgenommen ist (Art. 5 Abs. 3 ePrivacy-Richtlinie, gemäß Auslegung der europäischen Datenschutzbehörden):

die Daten werden ausschließlich intern verwendet und nicht an Dritte weitergegeben;
es gibt keine dauerhafte Kennung — die Besuchs-ID existiert nur, solange der Tab geöffnet ist, und verschwindet bei dessen Schließung, wir können dich also nicht morgen oder auf einem anderen Gerät wiedererkennen;
die IP-Adresse wird nicht gespeichert — wir nutzen sie nur, um das Land abzuleiten, und verwerfen sie danach;
der Referrer wird auf die Domain reduziert, nicht auf die vollständige Adresse;
Rohdaten werden automatisch gelöscht nach 14 Monaten;
du kannst die Messung jederzeit über den Link „Datenpräferenzen“ in der Fußzeile der Website ablehnen.

Wir verfolgen nicht die Navigation auf Spielseiten, die Schüler über einen geteilten Link öffnen(/play, /embed) — dort erfassen wir nur, ob ein Spiel gestartet und beendet wurde, ohne Daten zur Person.

Vollständige Details in der Cookie-Richtlinie. Sollten wir jemals Analyse- oder Marketing-Tools von Drittanbietern hinzufügen, zeigen wir vor deren Aktivierung ein Einwilligungsbanner.

9. An wen wir Daten weitergeben

Wir verkaufen deine Daten nicht und geben sie nicht zu Werbezwecken weiter. Wir vertrauen sie nur den für den Betrieb der Plattform notwendigen Anbietern an, die sie ausschließlich nach unseren Anweisungen im Rahmen von Auftragsverarbeitungsvereinbarungen verarbeiten:

Anbieter	Rolle	Standort
Supabase	Datenbank und Authentifizierung	EU
Vercel	Anwendungshosting	EU / USA
Stripe	Zahlungsabwicklung (PCI-DSS)	EU / USA
Brevo	E-Mail-Versand	EU

Wir können Daten auch an Behörden weitergeben, wenn das Gesetz uns dazu verpflichtet.

10. Übermittlungen außerhalb der EU

Die Daten werden in der Europäischen Union gespeichert. Einige Anbieter aus obiger Tabelle (Vercel, Stripe) sind US-Unternehmen und können im Rahmen ihrer Dienste Daten in den USA verarbeiten. In diesen Fällen erfolgt die Übermittlung auf Grundlage der von der DSGVO vorgesehenen Garantien — die von der Europäischen Kommission genehmigten Standardvertragsklauseln und, sofern anwendbar, das EU-US Data Privacy Framework (Art. 45–46 DSGVO). Du kannst eine Kopie dieser Garantien unter unserer Kontaktadresse anfordern.

11. Änderungen dieser Richtlinie

Wenn wir diese Richtlinie ändern, aktualisieren wir das Datum oben auf der Seite. Bei einer wesentlichen Änderung informieren wir dich per E-Mail oder über eine Nachricht in der Plattform, bevor sie in Kraft tritt.

12. Kontakt

Bei Fragen zum Datenschutz: neaua_neaua@yahoo.com