Datenschutzerklärung

Stand: 08.11.2026

Diese Erklärung beschreibt, welche personenbezogenen Daten der Discord-Server „Cookieverse“, der „Kekse Bot“ und das zugehörige Dashboard verarbeiten, wofür das geschieht und wie lange die Daten gespeichert bleiben. Sie gilt für alle Mitglieder des Servers, für Bewerber und für Mitglieder des Teams, die das Dashboard nutzen.

1. Verantwortlicher und Kontakt

Fabian Lehradt
E-Mail: fabian.lehradt@gmail.com

Bevorzugter Weg für alle Datenschutzanliegen (Auskunft, Löschung, Widerspruch usw.): ein Ticket in der Kategorie „Support“ im Kanal Tickets auf dem Discord-Server. Über das Ticket können wir dich über dein Discord-Konto eindeutig zuordnen. Eine E-Mail ist ebenfalls möglich.

Ein Datenschutzbeauftragter ist nicht bestellt.

2. Discord als Plattform

Der Server läuft auf Discord. Discord verarbeitet deine Daten (Konto, Nachrichten, Sprachkanäle, IP-Adresse usw.) in eigener Verantwortung nach der Datenschutzerklärung von Discord. Diese Erklärung betrifft nur das, was wir als Serverbetreiber und über den Bot zusätzlich verarbeiten.

Der Bot erhält von Discord Nachrichteninhalte, Mitgliederinformationen, Sprachkanal-Status, Einladungs- und Rollendaten, weil er dafür freigeschaltet ist. Online- oder Spielstatus (Presence) liest der Bot nicht.

3. Welche Daten wir verarbeiten

Die meisten Daten werden über deine Discord-ID einem Konto zugeordnet. Rechtsgrundlagen: Art. 6 Abs. 1 lit. b DSGVO, soweit du eine Funktion nutzt (Bank, Casino, Shop, Tickets, Erinnerungen), und Art. 6 Abs. 1 lit. f DSGVO für Sicherheit, Missbrauchsabwehr, Moderation und den ordnungsgemäßen Betrieb des Servers. Unser berechtigtes Interesse ist ein geordneter, fairer und sicherer Server- und Spielbetrieb.

Bereich	Daten	Zweck, Rechtsgrundlage	Speicherdauer
Nachrichten und Befehle	Der Bot liest Nachrichten in allen Kanälen, die er sehen kann, um Befehle (`!` und `/`), Counting, Stichwörter in Support-Tickets und Reaktionen auf bestimmte Wörter zu erkennen. Inhalte werden nicht gespeichert, außer in den hier und unter Abschnitt 4 genannten Fällen.	Betrieb der Bot-Funktionen. Art. 6 Abs. 1 lit. b und f.	Nicht gespeichert (nur flüchtig im Arbeitsspeicher)
Bankkonto	Discord-ID, Benutzername, Minecraft-Name, Kontostand, Sperrstatus, Datum der letzten Abholung je Daily-Aktion, Datum des letzten Diebstahls, Zähler der heutigen Higher/Lower-Spiele, Transaktionsverlauf (die letzten 100 Einträge mit Zeitpunkt, Betrag, Art und Beschreibung). Die Beschreibung kann den Benutzernamen des Gegenübers enthalten, z. B. bei Überweisungen oder Diebstählen.	Führung des Kekse-Kontos, Nachvollziehbarkeit von Buchungen, Missbrauchsabwehr. Art. 6 Abs. 1 lit. b und f.	Solange das Konto besteht. Nach dem Verlassen des Servers 365 Tage, dann automatische Löschung.
Casino, Schere-Stein-Papier, Klauen	Einsätze und Gewinne erscheinen im Transaktionsverlauf. Laufende Spiele (Crash, Higher/Lower, Jackpot, Herausforderungen) liegen nur im Arbeitsspeicher. Für Schere-Stein-Papier wählen beide Spieler per DM; die Auswahl wird nicht gespeichert. Beim Klauen wird per Zufall ein Mitglied mit Konto ausgewählt, dem dadurch Kekse abgezogen werden.	Durchführung der Spiele. Art. 6 Abs. 1 lit. b.	Wie Bankkonto
Shop	Kauf eines Artikels, Abbuchung, zugewiesene Rolle (teils befristet). Eine Quittung geht per DM an dich.	Abwicklung des Kaufs. Art. 6 Abs. 1 lit. b.	Rolle bis zum Ablauf bzw. Verbrauch; Buchung wie Bankkonto
XP und Rang	Discord-ID, Rang, XP. XP entstehen durch Nachrichten (1 XP, höchstens alle 10 Sekunden), Giveaway-Teilnahmen, Käufe, Aufenthalt in Sprachkanälen (2 XP pro Minute, nur wenn du weder stummgeschaltet noch taub bist, nicht im AFK-Kanal und mit mindestens einer weiteren Person im Kanal) und Einladungen (50 XP). Der Rang wird als Rolle vergeben. Nachrichteninhalte werden dafür nicht gespeichert.	Rangsystem. Art. 6 Abs. 1 lit. b.	Solange du auf dem Server bist. Danach 365 Tage, dann automatische Löschung.
Einladungs-Tracking	Der Bot vergleicht bei jedem Beitritt die Nutzungszähler der Einladungen und erkennt so, über welche Einladung jemand beigetreten ist. Gespeichert werden Discord-ID des Eingeladenen, Discord-ID des Einladenden, Beitrittszeitpunkt und vergebene XP.	Belohnung echter Einladungen, Verhinderung von Missbrauch. Art. 6 Abs. 1 lit. f.	Wie XP und Rang
Counting	Discord-ID im Punktestand, erreichte Meilensteine, Discord-ID des letzten Zählers, Zeitpunkt und Nachrichten-ID der letzten Zahl, Highscore samt Halter. Die Zahlen selbst stehen im Kanal. Der Spitzenreiter erhält die Rolle „King of Counting“.	Betrieb des Counting-Spiels, Belohnungen. Art. 6 Abs. 1 lit. b.	Solange du auf dem Server bist. Danach 365 Tage, dann automatische Löschung.
Verwarnungen und Moderation	Verwarnung mit Grund, Discord-ID des Moderators, Datum und Quelle (manuell, Dashboard oder automatisch). Timeouts, Kicks und Bans führt Discord selbst; der Bot protokolliert sie im Log-Kanal (siehe Abschnitt 4).	Durchsetzung der Regeln. Art. 6 Abs. 1 lit. f.	365 Tage ab dem Datum der Verwarnung, dann automatische Löschung
Zweitaccount-Verknüpfung	Das Team kann Discord-IDs verknüpfen, die erkennbar derselben Person gehören. Gespeichert sind nur die IDs der verknüpften Konten.	Verhinderung von Mehrfachteilnahmen bei Giveaways. Art. 6 Abs. 1 lit. f.	Bis das Team die Verknüpfung aufhebt. Bei einer Löschung deiner Daten und 365 Tage nach dem Verlassen des Servers wird sie automatisch entfernt.
Giveaways	Discord-IDs der Teilnehmer (mehrfach, wenn Bonus-Rollen mehr Lose bringen), Gewinner, Ersteller, Preis, Endzeit. Nach dem Ende wird eine Berichtsdatei mit der Teilnehmerliste im Log-Kanal abgelegt. Gelesen werden dafür die Rollen „Booster“ und „Double Chance“.	Durchführung und Nachweis der Auslosung. Art. 6 Abs. 1 lit. b und f.	Laufende Giveaways bis zum Ende. Beendete Giveaways 365 Tage nach Ende. Berichtsdatei im Log-Kanal 365 Tage.
Tickets	Aktives Ticket: Ticketnummer, Kanal-ID, Discord-ID, Benutzername, Kategorie. Eingaben im Formular (z. B. Anliegen, Gewinn, Name, Minecraft-Name, Bewerbungsangaben) und alle Nachrichten im Ticketkanal. Beim Schließen wird der gesamte Verlauf archiviert: Autorname, Avatar-Link, Nachrichtentext, Zeitpunkt, Links zu Anhängen, Sticker und Embeds. Die Anhänge selbst bleiben bei Discord. Es werden höchstens die letzten 100 Tickets vorgehalten. Bei einer Ticketsperre speichern wir ID, Benutzername, Sperrende und Grund.	Bearbeitung deines Anliegens, Nachweis bei Streitfällen. Art. 6 Abs. 1 lit. b und f.	Archiv 365 Tage nach dem Schließen; Administratoren können einzelne archivierte Tickets auf Antrag auch früher löschen. Ticketsperre bis zum Ablauf.
Erinnerungen	Discord-ID, Kanal-ID, Zeitpunkt und Text der Erinnerung.	Ausführung von `/remind`. Art. 6 Abs. 1 lit. b.	Bis zum Auslösen der Erinnerung
Umfragen	Frage, Optionen, Stimmen und IDs der Teilnehmer.	Durchführung von Umfragen. Art. 6 Abs. 1 lit. b.	Bis zum Ende der Umfrage
Verifizierung	Beim Beitritt erhältst du die Rolle „Unverified“, beim Klick auf den Button wird sie entfernt. Der Vorgang wird im Log-Kanal vermerkt.	Schutz vor Bot-Accounts. Art. 6 Abs. 1 lit. f.	Rolle, solange sie besteht; Log siehe Abschnitt 4
Sprachkanäle	Für „Join to Create“ wird ein temporärer Kanal mit deinem Benutzernamen im Titel angelegt und nach Verlassen gelöscht. Beitritte, Wechsel, Verlassen und Selbst-Stummschaltung werden protokolliert (Abschnitt 4).	Betrieb der Sprachkanäle. Art. 6 Abs. 1 lit. b und f.	Kanal bis zum Verlassen der letzten Person
Rückkehr von Mitgliedern	Hast du früher ein Bankkonto angelegt und trittst erneut bei, erhältst du die Konto-Rolle automatisch zurück.	Komfort, Art. 6 Abs. 1 lit. b.	Wie Bankkonto
Ehemalige Mitglieder	Verlässt du den Server, speichern wir Discord-ID und Austrittsdatum. Kehrst du zurück, wird der Eintrag entfernt.	Umsetzung der Löschfristen. Art. 6 Abs. 1 lit. f.	365 Tage, danach werden alle oben genannten personenbezogenen Daten gelöscht
Statistiken	Zähler wie genutzte Befehle, erstellte Tickets, Giveaways oder Latenzwerte. Diese Werte sind aggregiert und nicht personenbezogen.	Betriebsüberwachung.	Unbegrenzt

4. Protokollierung

Log-Kanal auf Discord

Der Bot schreibt in einen nur für das Team sichtbaren Kanal Protokolleinträge. Dazu gehören: gelöschte und bearbeitete Nachrichten (mit Inhalt, soweit der Bot sie zwischengespeichert hatte; Hinweis bei Ghost-Pings), Beitritte und Austritte (Name, ID, Alter des Kontos), Nickname- und Rollenänderungen, Beitritt, Wechsel und Verlassen von Sprachkanälen, Selbst-Stummschaltung, Änderungen an Kanälen, Rollen, Threads und Servereinstellungen, Bans, Kicks, Timeouts, Einladungen, Verifizierungen, Tickets, Giveaways (einschließlich Berichtsdatei mit Teilnehmerliste), Moderationsaktionen, Team-Befehle samt Inhalt, Gehaltszahlungen und Aktionen im Dashboard.

Zweck ist die Sicherheit des Servers, die Nachvollziehbarkeit von Teamhandlungen und der Schutz vor Missbrauch (Art. 6 Abs. 1 lit. f DSGVO). Der Bot löscht Einträge, die älter als 365 Tage sind, täglich automatisch aus dem Kanal. Auf Antrag löschen wir dich betreffende Einträge auch früher, soweit keine berechtigten Interessen entgegenstehen.

Logdateien auf dem Server

Die Konsolenausgabe des Bots wird in Tagesdateien (TT-MM-JJJJ.log) auf dem Server gespeichert. Sie enthält Befehlsnutzung mit Benutzernamen, Hinweise zu Bot-Aktionen (z. B. Spielergebnisse, Überweisungen, Beitritte, Austritte) und technische Fehler. Das Team sieht sie im Dashboard. Zweck: Fehlersuche, Sicherheit, Nachvollziehbarkeit (Art. 6 Abs. 1 lit. f). Speicherdauer: 365 Tage, danach werden die Dateien automatisch gelöscht.

5. Öffentlich sichtbare Daten

Für alle Mitglieder des Servers sichtbar sind: Bestenlisten (!leaderboard mit Kontostand, !top und !highscore im Counting), Ergebnisse von Spielen und Herausforderungen, die Rolle „King of Counting“, deine Ränge als Rolle, Umfrage- und Giveaway-Ergebnisse, Hinweise des Bots mit Erwähnung deines Namens sowie temporäre Sprachkanäle mit deinem Benutzernamen. Wenn du das nicht möchtest, melde dich per Ticket.

6. Direktnachrichten durch den Bot

Der Bot sendet dir in folgenden Fällen eine private Nachricht: Kontostand auf Abruf, Eingang einer Überweisung, Shop-Quittung und Ablauf befristeter Artikel, Auswahl bei Schere-Stein-Papier, monatlicher Team-Lohn, Rückbuchung von XP und Verwarnung bei Einladungs-Missbrauch sowie, für Team-Mitglieder, Hinweise zum Dashboard. Das Team kann über den Bot außerdem Direktnachrichten verschicken. Wenn du keine DMs von Servermitgliedern zulässt, schlagen diese Nachrichten still fehl.

7. Dashboard und Website

Teamzugang

Das Dashboard ist nur für Teammitglieder gedacht. Für jedes Konto speichern wir: Benutzername, Discord-ID, Berechtigungsstufe, Passwort (nur als gesalzener Hash, scrypt), Einstellung zur Zwei-Faktor-Bestätigung sowie die Sitzung (nur als Hash des Tokens mit Ablaufzeit). Die Anmeldung wird, sofern nicht ausgeschaltet, mit einem Code bestätigt, den du in Discord mit /dashboard-verify eingibst; der Code wird nur als Hash gespeichert und ist 5 Minuten gültig. Rechtsgrundlage: Art. 6 Abs. 1 lit. f (Sicherheit und Verwaltung des Teams).

Nach der Anmeldung setzt das Dashboard das technisch notwendige Cookie __Host-kekse_dashboard (HttpOnly, Secure, SameSite Strict). Es gilt 12 Stunden bzw. 30 Tage bei „Angemeldet bleiben“ und wird beim Abmelden gelöscht. Es wird nur nach Login gesetzt und dient ausschließlich der Anmeldung; eine Einwilligung ist dafür nicht erforderlich.

Zum Schutz vor Passwort-Raten merkt sich der Server Fehlversuche je IP-Adresse und je Konto für 15 Minuten im Arbeitsspeicher. Diese Daten werden nicht dauerhaft gespeichert.

Was das Team im Dashboard sieht

Je nach Berechtigung: Nutzerdatenbank (ID, Name, Anzeigename, Minecraft-Name, Rang, XP, Kontostand, Status, Verwarnungen, Ban, Timeout, Transaktionsverlauf), das Ticket-Archiv und die Logdatei des Tages. Mögliche Maßnahmen sind Verwarnungen, Timeouts, Kicks, Bans, Konten sperren, Kekse und XP anpassen alle Daten einer Person löschen und (Administratoren) einzelne archivierte Tickets löschen. Jede Aktion wird mit dem handelnden Konto protokolliert. Das Dashboard zeigt höchstens die ersten 100 Treffer einer Suche an.

Externe Ressourcen

Die Dashboard-Seite lädt die Bibliothek Chart.js und einen Datumsadapter von cdn.jsdelivr.net (jsDelivr). Dabei erhält der Anbieter technisch bedingt deine IP-Adresse und Browserdaten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f (effiziente und sichere Darstellung der Diagramme). Weitere Tracker, Werbung oder Webanalyse setzen wir nicht ein.

Aufrufe der Website

Beim Aufruf der Seiten (HTTPS) verarbeitet der Server kurzzeitig IP-Adresse, Zeitpunkt und abgerufene Adresse, um die Seite auszuliefern. Der Bot selbst führt darüber kein Protokoll. Der Hosting-Anbieter kann eigene technische Zugriffsprotokolle führen.

8. Empfänger der Daten

Teammitglieder des Servers, soweit sie die Daten für ihre Aufgabe brauchen (je nach Berechtigungsstufe).
Discord als Plattform (siehe Abschnitt 2).
Hosting des Bots: IONOS SE, Rechenzentrum in Frankfurt am Main (Deutschland). Mit dem Anbieter besteht ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO.
Datenbankdienst (MongoDB): MongoDB Atlas (MongoDB, Inc.), betrieben auf der Infrastruktur von Amazon Web Services in Frankfurt am Main (Region eu-central-1). Mit dem Anbieter besteht ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO.
jsDelivr als Auslieferer von Skripten für das Dashboard (Abschnitt 7).
Behörden und Gerichte, wenn wir gesetzlich dazu verpflichtet sind.

Wir verkaufen keine Daten und nutzen sie nicht für Werbung oder Profiling.

9. Übermittlung in Drittländer

Discord verarbeitet Daten auch außerhalb der EU, insbesondere in den USA. Die dafür geltenden Garantien findest du in der Datenschutzerklärung von Discord. jsDelivr arbeitet mit einem weltweit verteilten Netzwerk; eine Verarbeitung außerhalb der EU ist dort möglich. Unser Bot-Server (IONOS) und unsere Datenbank (AWS) stehen in Frankfurt am Main. Da der Datenbankanbieter MongoDB, Inc. seinen Sitz in den USA hat, lässt sich ein Zugriff im Rahmen von Support oder Administration nicht völlig ausschließen. Die Übermittlung ist über die im Auftragsverarbeitungsvertrag vereinbarten Garantien (insbesondere Standardvertragsklauseln) abgesichert.

10. Speicherdauer und Löschung

Die Dauer steht jeweils in der Tabelle in Abschnitt 3. Zusammengefasst:

Täglich läuft eine automatische Bereinigung. Sie entfernt nach 365 Tagen: Logdateien, Einträge im Log-Kanal, archivierte Tickets, Verwarnungen, beendete Giveaways und alle Daten ehemaliger Mitglieder (Konto, Transaktionen, XP, Einladungsdaten, Counting-Stand, Zweitaccount-Verknüpfungen).
Löschung durch das Team: Auf Antrag oder bei Bedarf löscht das Team Konto samt Transaktionsverlauf, Kekse, XP und Rang, Einladungsdaten, Counting-Stand, Zweitaccount-Verknüpfungen, Erinnerungen und Giveaway-Teilnahmen. Die zugehörigen Rollen werden zurückgesetzt und die Rolle „Unverified“ vergeben.
Bei einer Löschung bleiben Verwarnungen, archivierte Tickets, Logdateien und Einträge im Log-Kanal zunächst bestehen, soweit sie zur Durchsetzung der Regeln oder zur Verteidigung von Rechtsansprüchen erforderlich sind. Sie laufen nach den oben genannten Fristen ab; auf Antrag löschen wir sie im Einzelfall früher.
Eine Löschung deines Kontos ist endgültig. Guthaben, Ränge und Rollen gehen verloren.
Datenbankanbieter können technische Sicherungskopien führen, die nach deren Zyklus überschrieben werden.

11. Automatisierte Vorgänge

Wir treffen keine Entscheidungen mit rechtlicher Wirkung, die ausschließlich automatisiert erfolgen, und erstellen keine Profile. Automatisch laufen: Glücksspiele und Auslosungen (Zufall), Counting-Prüfung, XP-Vergabe sowie die Rückbuchung von XP und eine automatische Verwarnung für den Einladenden, wenn eine eingeladene Person den Server innerhalb von 24 Stunden wieder verlässt. Du kannst dazu jederzeit per Ticket eine Überprüfung durch einen Menschen verlangen.

12. Deine Rechte

Auskunft über die zu dir gespeicherten Daten (Art. 15 DSGVO)
Berichtigung unrichtiger Daten (Art. 16)
Löschung (Art. 17)
Einschränkung der Verarbeitung (Art. 18)
Datenübertragbarkeit (Art. 20)
Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21). Bei einem Widerspruch prüfen wir, ob zwingende schutzwürdige Gründe überwiegen.
Widerruf einer erteilten Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3)
Beschwerde bei einer Datenschutz-Aufsichtsbehörde (Art. 77), z. B. in deinem Wohnsitzland oder bei der Behörde am Sitz des Verantwortlichen

Zur Ausübung öffne ein Ticket (Abschnitt 1). Wir antworten in der Regel innerhalb eines Monats. Zur Auskunft oder Löschung brauchen wir deine Discord-ID, damit wir deine Daten finden können; die Anfrage aus dem betreffenden Discord-Konto reicht uns dafür aus.

Die Bereitstellung der Daten ist nicht gesetzlich vorgeschrieben. Ohne bestimmte Daten (z. B. Minecraft-Name, Discord-ID) können einzelne Funktionen wie Bankkonto oder Tickets aber nicht genutzt werden.

13. Minderjährige

Discord erlaubt die Nutzung erst ab einem Mindestalter (in Deutschland 13 Jahre). Wir prüfen das Alter nicht gesondert. Bewerbungen sind nur für Personen gedacht, die das nach den Angaben im Bewerbungsformular erforderliche Alter erfüllen. Wenn du minderjährig bist, sprich bei Fragen zu deinen Daten bitte auch mit deinen Eltern oder Erziehungsberechtigten.

14. Datensicherheit

Das Dashboard wird ausschließlich per HTTPS ausgeliefert. Passwörter und Sitzungs-Token speichern wir nur als Hash, die Anmeldung ist durch Rollen, eine Zwei-Faktor-Bestätigung über Discord und Begrenzung von Fehlversuchen gesichert. Kritische Verwaltungsaktionen für Dashboard-Konten erfordern eine zusätzliche Bestätigung in Discord. Der Zugriff auf die Daten ist nach Berechtigungsstufen beschränkt.

15. Änderungen

Wir passen diese Erklärung an, wenn sich Funktionen des Bots oder die rechtlichen Vorgaben ändern. Wesentliche Änderungen kündigen wir im Changelog-Kanal des Servers an. Es gilt die jeweils hier veröffentlichte Fassung.