Datenschutzerklärung

1 Verantwortlicher

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) für die Verarbeitung personenbezogener Daten über diese Website, das Kundendashboard, das Community-Forum (forum.lythea.de) und den Discord-Bot „Lythea" ist:

Ein Datenschutzbeauftragter ist gesetzlich nicht bestellt. Für alle Anliegen rund um den Datenschutz nutze bitte die oben genannte E-Mail-Adresse.

2 Allgemeines zur Datenverarbeitung

Wir verarbeiten personenbezogene Daten nur, soweit dies zur Bereitstellung eines funktionsfähigen Dienstes sowie unserer Inhalte und Leistungen erforderlich ist. Die Verarbeitung erfolgt regelmäßig nur nach Einwilligung oder wenn die Verarbeitung durch gesetzliche Vorschriften gestattet ist.

Rechtsgrundlagen (Art. 6 DSGVO)

• Art. 6 Abs. 1 lit. a – Einwilligung (z. B. Newsletter)
• Art. 6 Abs. 1 lit. b – Erfüllung eines Vertrags oder vorvertragliche Maßnahmen (Konto, Abo, Support)
• Art. 6 Abs. 1 lit. c – Erfüllung rechtlicher Verpflichtungen (z. B. Aufbewahrung von Rechnungen)
• Art. 6 Abs. 1 lit. f – berechtigte Interessen (Sicherheit, Missbrauchs- und Betrugsprävention, Weiterentwicklung des Dienstes)

Die Bereitstellung von Konto-, Abrechnungs- und Anmeldedaten ist für den Vertragsschluss erforderlich; ohne diese Daten können wir den Dienst nicht bereitstellen. Wir löschen bzw. sperren personenbezogene Daten, sobald der Zweck der Speicherung entfällt und keine gesetzlichen Aufbewahrungsfristen entgegenstehen (siehe § 13).

3 Aufruf der Website & Server-Logfiles

Bei jedem Aufruf verarbeitet unser Server automatisch Informationen, die dein Browser übermittelt:

• gekürzte bzw. vollständige IP-Adresse
• Datum und Uhrzeit des Zugriffs
• aufgerufene Seite/Datei und übertragene Datenmenge
• HTTP-Statuscode, Referrer-URL
• Browsertyp, Betriebssystem und Sprache

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt in der technischen Bereitstellung, Stabilität und Sicherheit des Angebots (Erkennung und Abwehr von Angriffen). Logfiles werden spätestens nach 14 Tagen gelöscht, sofern sie nicht für die Aufklärung eines konkreten Sicherheitsvorfalls benötigt werden.

4 Cookies & lokale Speicherung

Wir setzen ausschließlich technisch notwendige Cookies und Speicher-Einträge ein. Ein Einwilligungsbanner ist hierfür nicht erforderlich (§ 25 Abs. 2 TDDDG).

• Sitzungs- und Anmelde-Cookies (Login-Status, CSRF-Schutz) – werden mit dem Logout oder nach Ablauf gelöscht
• lokale Speicherung im Browser (localStorage): gewählte Sprache, Hell-/Dunkel-Modus, zuletzt geöffneter Tab
• ein „aff"-Cookie (30 Tage) bzw. „ref"-Parameter zur Zuordnung einer Empfehlung, wenn du über einen Partner- oder Freundes-Link kommst

Wir verwenden keine Analyse-, Tracking- oder Werbe-Cookies und binden keine sozialen Netzwerke ein.

5 Registrierung & Kundenkonto

Für die Nutzung des Dashboards legst du ein Konto an. Dabei und im weiteren Betrieb verarbeiten wir:

• Modul-Einstellungen & Logs
• Name & E-Mail-Adresse
• Rechnungsanschrift (Straße, PLZ, Ort, Land)
• Abonnement-Status & Laufzeit
• Rechnungsdaten (Betrag, Datum)
• PayPal-E-Mail (nur für Affiliates)

Das Passwort wird ausschließlich als kryptografischer Hash (bcrypt) gespeichert; wir können es nicht einsehen. Zusätzlich speichern wir Zeitpunkt und IP-Adresse der Registrierung sowie des letzten Logins. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung), für die Login-/Registrierungs-Metadaten Art. 6 Abs. 1 lit. f DSGVO (Kontosicherheit).

6 Vertragsunterlagen und Ausweiskopien

Für Vertragsabschlüsse mit Minderjährigen verarbeiten wir:

• Vertragsdaten: Name, Anschrift, Geburtsdatum, Name der gesetzlichen Vertretung sowie die gezeichneten Unterschriften mit Zeitpunkt und IP-Adresse.
• Hochgeladene Dokumente, etwa Vorder- und Rückseite des Personalausweises. Das Hochladen ist freiwillig.
• Eine Prüfsumme (SHA-256) je Fassung des PDFs, damit sich nachträgliche Änderungen erkennen lassen.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertragsdurchführung). Hochgeladene Dokumente verarbeiten wir auf Grundlage deiner Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO, die du mit dem Hochladen erteilst.

Speicherdauer und Löschung

• Hochgeladene Dokumente löschen wir automatisch 30 Tage nach der Einwilligung der gesetzlichen Vertretung. Bei Verträgen, die nicht abgeschlossen werden, löschen wir sie 90 Tage nach dem Upload.
• Den unterschriebenen Vertrag bewahren wir bis zu 5 Jahre nach Vertragsende auf, solange er für Ansprüche aus der Vereinbarung benötigt wird.

Dokumente speichern wir verschlüsselt (AES-256-GCM). Nur die Projektleitung hat Zugriff, und jeder Zugriff wird protokolliert.

7 Schutz vor Mehrfachkonten & Missbrauch

Um die mehrfache Inanspruchnahme kostenloser Leistungen, Testphasen oder Empfehlungsprämien durch dieselbe Person zu verhindern, verarbeiten wir bei der Registrierung eine kanonisierte Form deiner E-Mail-Adresse (z. B. Entfernen von Punkten und „+"-Zusätzen), die Registrierungs-IP und den bei der Registrierung übermittelten User-Agent sowie die letzte Login-IP. Diese Daten werden ausschließlich zum Abgleich auf mögliche verbundene Konten genutzt.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Verhinderung von Missbrauch und wirtschaftlichem Schaden). Es findet keine automatisierte Einzelentscheidung mit rechtlicher Wirkung statt; über eine Kontosperrung oder -zusammenführung entscheidet eine natürliche Person nach vorheriger Ansprache.

8 Anmeldung über Discord (OAuth 2.0)

Du kannst dein Konto mit Discord verknüpfen. Discord übermittelt uns dabei folgende Daten aus deinem Discord-Profil:

• Discord-Username & User-ID
• Avatar und Profildaten
• E-Mail-Adresse
• Verzeichnis deiner Discord-Server

Diese Daten dienen der Anmeldung, der Zuordnung von Premium-Funktionen zu deinen Servern und der Prüfung deiner Administrationsrechte. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Die Verbindung kannst du in deinen Discord-Einstellungen jederzeit widerrufen. Es gilt zusätzlich die Datenschutzerklärung von Discord (Discord Inc., USA).

9 Betrieb des Bots auf deinen Servern

Wird der Bot auf einem Discord-Server eingesetzt, verarbeiten wir serverbezogene Daten: Server-ID und -Name, Kanal- und Rollen-IDs, die von den Server-Administratoren vorgenommenen Modul-Konfigurationen sowie – je nach aktivierten Modulen – Nutzungsdaten wie Level-/XP-Stände, Wirtschafts-Guthaben, Ticket-Verläufe, Geburtstage oder Moderationsprotokolle.

Nachrichteninhalte werden nur vorübergehend zur Ausführung der jeweiligen Funktion (z. B. Befehle, AutoModeration, Zähl-Spiel) im Arbeitsspeicher verarbeitet und nicht dauerhaft gespeichert, sofern das nicht ausdrücklich Zweck eines Moduls ist (z. B. Ticket-Transkripte).

Für die auf ihren Servern verarbeiteten Mitgliederdaten ist der jeweilige Server-Betreiber datenschutzrechtlich (mit-)verantwortlich. Wir handeln insoweit auf dessen Weisung; auf Anfrage stellen wir einen Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO bereit (support@lythea.de).

10 Community-Forum (forum.lythea.de)

Unter forum.lythea.de betreiben wir ein eigenes Forum für Fragen, Ideen und Austausch rund um Lythea. Das Forum ist ein eigenständiges Angebot mit eigenem Benutzerkonto; es läuft auf unserer eigenen Server-Infrastruktur beim unter § 11 genannten Hoster in Deutschland. Das Lesen ist ohne Konto möglich.

Konto & Anmeldung

• Benutzername, E-Mail-Adresse und Passwort (nur als Argon2id-Hash gespeichert) sowie die Bestätigung deiner E-Mail-Adresse
• bei Anmeldung über Discord (OAuth 2.0): Discord-User-ID, Anzeige- bzw. Benutzername (als Vorschlag für den Forennamen), Avatar-Kennung sowie – falls bei Discord bestätigt – die E-Mail-Adresse
• optional: Profilbild, „Über mich"-Text, Zwei-Faktor-Authentifizierung (das Geheimnis wird verschlüsselt, Wiederherstellungscodes nur als Hash gespeichert)
• Rolle (Mitglied, Moderator, Admin), Registrierungszeitpunkt, Zeitpunkt der letzten Aktivität und Einstellungen wie E-Mail-Benachrichtigungen

Inhalte & öffentliche Angaben

Wir speichern die Themen und Beiträge, die du veröffentlichst, deine Reaktionen, private Nachrichten, abgegebene Meldungen, Themen-Abonnements, Lesemarkierungen („ungelesen") und deine Benachrichtigungen. Öffentlich – auch für nicht angemeldete Besucher – sichtbar sind deine Beiträge sowie Benutzername, Profilbild, Rolle, „Über mich"-Text, Beitragszahl, Registrierungsdatum, der Zeitpunkt deiner letzten Aktivität und ob du gerade online bist. Private Nachrichten sehen nur die Teilnehmer der Unterhaltung. Deine E-Mail-Adresse ist nie öffentlich.

Bilder

Hochgeladene Bilder (Beiträge, Nachrichten, Profilbild) werden auf unserem Server neu kodiert und verkleinert. Dabei werden eingebettete Metadaten wie Kameradaten oder GPS-Standort entfernt. Bilder, die nach dem Hochladen in keinem Beitrag und keiner Nachricht verwendet werden, löschen wir nach einem Tag automatisch. Bilder von fremden Webseiten werden im Forum nicht eingebettet, sondern nur als Link angezeigt. Ist dein Konto mit Discord verknüpft und hast du kein eigenes Profilbild hochgeladen, wird dein Discord-Avatar direkt vom Discord-Server (cdn.discordapp.com) geladen; dabei wird die IP-Adresse der Besucher an Discord übermittelt.

Sicherheit, Moderation & E-Mails

Zum Schutz vor Missbrauch (z. B. Passwort-Rateversuche, Spam-Registrierungen, Beitragsfluten) zählen wir Anfragen kurzzeitig pro IP-Adresse bzw. Konto. IP-bezogene Zähler laufen höchstens eine Stunde, kontobezogene (z. B. für Änderungen der E-Mail-Adresse) höchstens 24 Stunden; abgelaufene Zähler löschen wir stündlich. Bei der Registrierung nutzen wir ein unsichtbares Formularfeld und eine Mindest-Ausfüllzeit statt eines externen CAPTCHA-Dienstes. Das Moderationsteam kann Beiträge bearbeiten, verschieben oder entfernen und Konten sperren; diese Maßnahmen werden mit Zeitpunkt, handelnder Person und ggf. Begründung protokolliert. Wer einen Beitrag meldet, wird dem gemeldeten Nutzer nicht angezeigt. Bestätigungs-, Passwort- und Benachrichtigungsmails versenden wir über unseren eigenen Mailserver (mail.lythea.de); Benachrichtigungsmails kannst du in den Forum-Einstellungen abschalten.

Cookies im Forum

• Sitzungs-Cookie „__Host-forum" (Anmeldung, CSRF-Schutz): endet mit dem Schließen des Browsers bzw. bei „Angemeldet bleiben" nach 30 Tagen oder beim Abmelden
• Cookie „theme" (1 Jahr): speichert, ob du den hellen oder dunklen Modus gewählt hast – nur, wenn du ihn umschaltest

Beim Aufruf des Forums protokolliert der Webserver die unter § 3 genannten Zugriffsdaten; diese Protokolle werden wöchentlich rotiert und spätestens nach fünf Wochen gelöscht. Tracking-, Analyse- oder Werbedienste setzen wir im Forum nicht ein.

Rechtsgrundlagen & Löschung

Die Verarbeitung für Konto, Beiträge, Nachrichten und Benachrichtigungen erfolgt zur Bereitstellung des Forums nach Art. 6 Abs. 1 lit. b DSGVO. Missbrauchsschutz, Moderation und Protokollierung beruhen auf unserem berechtigten Interesse an einem sicheren, regelkonformen Forum (Art. 6 Abs. 1 lit. f DSGVO). Du kannst dein Forenkonto jederzeit selbst in den Einstellungen löschen. Dabei entfernen wir E-Mail-Adresse, Passwort, Discord-Verknüpfung, Profilbild, „Über mich"-Text, Zwei-Faktor-Daten, Reaktionen, Abonnements, Lesemarkierungen und Benachrichtigungen sofort. Deine Beiträge und privaten Nachrichten bleiben – ohne Zuordnung zu deiner Person, als „Gelöschter Nutzer" – bestehen, damit Diskussionen für andere verständlich bleiben (Art. 6 Abs. 1 lit. f DSGVO). Möchtest du, dass einzelne Beiträge vollständig entfernt werden, schreib uns an datenschutz@lythea.de.

11 Rechnungen & Buchhaltung

Für kostenpflichtige Leistungen erstellen wir Rechnungen mit Name, Anschrift, Leistungsbeschreibung und Betrag. Rechtsgrundlage ist Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit handels- und steuerrechtlichen Aufbewahrungspflichten. Diese Unterlagen bewahren wir bis zu 10 Jahre auf; eine Löschung des übrigen Kontos bleibt hiervon unberührt.

12 Hosting & Drittanbieter

Hosting & Infrastruktur

Unsere Webserver und Datenbanken werden beim deutschen Hosting-Anbieter PawHost (AS214915) im Rechenzentrum Düsseldorf (myLoc) gehostet. Der Serverstandort ist Deutschland. Mit dem Anbieter besteht ein Vertrag zur Auftragsverarbeitung (AVV) gemäß Art. 28 DSGVO.

Zahlungsdienstleister (Stripe & PayPal)

Für die Abwicklung kostenpflichtiger Tarife (z. B. Supporter-Abonnement) binden wir externe Zahlungsdienste ein:

• Stripe: Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, Irland. Wir speichern keine Kreditkartendaten; diese werden verschlüsselt an Stripe übermittelt.
• PayPal: PayPal (Europe) S.à r.l. et Cie, S.C.A., 22-24 Boulevard Royal, L-2449 Luxembourg.

E-Mail-Versand

Transaktions-E-Mails (Bestätigungen, Rechnungen, sicherheitsrelevante Hinweise, Support-Antworten) versenden wir über unseren eigenen Mailserver (mail.lythea.de). Einen Newsletter erhältst du nur nach ausdrücklicher Anmeldung im Double-Opt-in-Verfahren; die Einwilligung kannst du jederzeit über den Abmeldelink oder per E-Mail widerrufen.

Kontaktformular

Wenn du uns über das Kontaktformular schreibst, speichern wir deinen Namen, deine E-Mail-Adresse, deine Nachricht, unsere Antworten und deine Rückantworten per E-Mail, um deine Anfrage zu bearbeiten. Hast du ein Kundenkonto mit derselben E-Mail-Adresse, können wir die Anfrage samt Verlauf als Support-Ticket in dein Konto übernehmen; darüber informieren wir dich per E-Mail. Zur Missbrauchsabwehr sehen wir beim Eingang außerdem deine IP-Adresse und die Browserkennung; beides steht nur in der internen Benachrichtigung an unser Support-Postfach und wird nicht zusammen mit der Anfrage gespeichert. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit die Anfrage einen Vertrag betrifft, sonst unser berechtigtes Interesse an der Beantwortung (Art. 6 Abs. 1 lit. f DSGVO). Erledigte Anfragen löschen wir zwölf Monate nach der letzten Bearbeitung, als Spam erkannte nach 30 Tagen – außer gesetzliche Aufbewahrungspflichten stehen dem entgegen.

Kundenumfragen

Gelegentlich bitten wir Kundinnen und Kunden mit bestätigtem Konto per E-Mail um ihre Meinung zu Lythea. Dafür verwenden wir deine E-Mail-Adresse, deinen Namen (für die Anrede) und – falls wir die Umfrage nur an einen Teil der Kunden richten – deinen Tarif. Jede Mail enthält einen persönlichen Link, über den du ohne Anmeldung genau einmal antworten kannst. Zu jeder Einladung speichern wir, wann sie verschickt wurde und ob sie beantwortet wurde; vom Link selbst speichern wir nur einen nicht umkehrbaren Hashwert.

Deine Antworten speichern wir anonym, ohne Verbindung zu deinem Konto: Wir sehen nur die Gesamtauswertung, nicht, wer was geantwortet hat. Bitte schreib in Freitextfelder keine personenbezogenen Angaben, wenn du anonym bleiben möchtest. Die Teilnahme ist freiwillig. Die Umfrageseite liegt auf unserem eigenen Server; es werden keine externen Umfragedienste, Tracking- oder Analysewerkzeuge eingesetzt.

Rechtsgrundlage ist unser berechtigtes Interesse, unser Angebot anhand von Kundenrückmeldungen zu verbessern (Art. 6 Abs. 1 lit. f DSGVO); der Versand an Bestandskunden erfolgt nach § 7 Abs. 3 UWG. Du kannst der Verwendung deiner E-Mail-Adresse für Umfragen jederzeit widersprechen – über den Link in jeder Umfrage-Mail oder per E-Mail an datenschutz@lythea.de –, ohne dass dafür andere als die Übermittlungskosten nach den Basistarifen entstehen. Deinen Widerspruch speichern wir, damit wir dir keine Umfragen mehr schicken. Die Einladungen löschen wir 90 Tage nach Ende der Umfrage; übrig bleiben nur die anonymen Antworten.

Google reCAPTCHA

Zum Schutz vor SPAM und Missbrauch bei Login und Registrierung nutzen wir Google reCAPTCHA v3. Anbieter ist Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland. Dabei werden IP-Adresse und Browser-Daten an Google übermittelt.

13 Übermittlung in Drittländer

Bei der Nutzung von Discord, Google reCAPTCHA sowie ggf. der Zahlungsdienstleister können personenbezogene Daten an Konzerngesellschaften in den USA übermittelt werden. Die Anbieter sind entweder unter dem EU-US Data Privacy Framework zertifiziert oder es liegen Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO) nebst zusätzlichen Schutzmaßnahmen vor.

14 Speicherdauer & Löschung

Personenbezogene Daten werden innerhalb von 30 Tagen nach Kontolöschung entfernt, sofern keine gesetzlichen Aufbewahrungsfristen (z. B. Steuerrecht) bestehen.

• Server-Logfiles: max. 14 Tage
• Kontodaten: bis 30 Tage nach Kontolöschung
• Rechnungen/Buchungsbelege: bis 10 Jahre (gesetzliche Aufbewahrung)
• Server-/Modul-Daten des Bots: bis der Bot vom Server entfernt oder das Modul deaktiviert wird
• Backups: rollierend, spätestens nach 30 Tagen überschrieben
• Kundenumfragen: Einladungen 90 Tage nach Umfrageende; Antworten anonym ohne Personenbezug; Widerspruch gegen Umfrage-Mails bis zur Kontolöschung
• Forum: Konto bis zur Löschung durch dich; gelesene Benachrichtigungen 90 Tage; nicht verwendete Bild-Uploads 1 Tag; Missbrauchsschutz-Zähler max. 2 Stunden (IP-bezogen) bzw. 25 Stunden (kontobezogen); Zugriffsprotokolle des Forum-Servers max. 5 Wochen

15 Deine Rechte

Dir stehen gegenüber uns folgende Rechte hinsichtlich deiner personenbezogenen Daten zu:

• Auskunft über die verarbeiteten Daten (Art. 15)
• Berichtigung unrichtiger Daten (Art. 16)
• Löschung („Recht auf Vergessenwerden", Art. 17)
• Einschränkung der Verarbeitung (Art. 18)
• Datenübertragbarkeit in einem strukturierten, gängigen Format (Art. 20)
• Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21)
• Widerruf einer erteilten Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3)

Viele Daten kannst du direkt im Kundendashboard einsehen, ändern oder dein Konto dort löschen. Für weitergehende Anfragen genügt eine E-Mail an datenschutz@lythea.de.

16 Beschwerderecht bei der Aufsichtsbehörde

Unbeschadet anderer Rechtsbehelfe steht dir ein Beschwerderecht bei einer Datenschutz-Aufsichtsbehörde zu, insbesondere in dem Mitgliedstaat deines Aufenthaltsorts oder des mutmaßlichen Verstoßes. Für den Verantwortlichen zuständig ist:

17 Datensicherheit

Wir treffen angemessene technische und organisatorische Maßnahmen: durchgehende TLS-Verschlüsselung der Übertragung, Passwörter ausschließlich als bcrypt-Hash, verschlüsselte Ablage sensibler Zugangsdaten (z. B. Bot-Tokens für White-Label), Zugriffsbeschränkungen und regelmäßige Sicherheitsupdates.

18 Keine automatisierte Entscheidungsfindung

Eine automatisierte Entscheidungsfindung oder ein Profiling mit rechtlicher Wirkung oder ähnlich erheblicher Beeinträchtigung nach Art. 22 DSGVO findet nicht statt.

19 Änderungen dieser Datenschutzerklärung

Wir passen diese Datenschutzerklärung an, wenn sich die Rechtslage oder unsere Verarbeitung ändert. Es gilt jeweils die auf dieser Seite veröffentlichte Fassung. Bei wesentlichen Änderungen informieren wir registrierte Nutzer zusätzlich per E-Mail.