Datenschutzerklärung

Stand: 20. Oktober 2026 · gilt für das Spiel „Stone Pop Tour“ (Android, iOS) und diese Website.

1. Verantwortlicher und Kontakt

Verantwortlich für die Datenverarbeitung im Sinne der DSGVO ist die Pixeltrend GmbH & Co KG, Industriezeile 35, 4020 Linz, Österreich (Firmenbuchnummer FN 478882 p, Landesgericht Linz, UID ATU72612416), unter der Marke good space.. Die Marke good space. wird gemeinsam von Pixeltrend GmbH & Co KG und candybytes GmbH, Sophiengutstraße 20, 4020 Linz, geführt (siehe Impressum).

Kontakt für Datenschutzanfragen: support@goodspace.at.

2. Kurzfassung

• Du kannst Stone Pop Tour ohne Registrierung spielen. Die App legt automatisch ein anonymes Spielkonto an, damit dein Fortschritt gesichert und geprüft werden kann.
• Personalisierte Werbung (Google AdMob), Analysedaten mit Kennungen (Firebase) und die volle Messung unserer Werbekampagnen (Singular, Meta) gibt es nur mit deiner Einwilligung im Einwilligungsdialog; du änderst sie jederzeit in der App unter Einstellungen → Datenschutz → Datenschutzoptionen.
• Ohne Einwilligung sendet die App an Google Analytics nur Messsignale ohne Werbe-ID und ohne App-Instanz-ID (Abschnitt 4.7). Absturzberichte (Abschnitt 4.8) und eine eingeschränkte Kampagnenmessung ohne Werbe-ID durch Singular (Abschnitt 4.13) beruhen auf unserem berechtigten Interesse; du kannst ihnen jederzeit unter Einstellungen → Datenschutz widersprechen (Schalter „Absturzberichte senden“ und „Kampagnen-Messung“).
• Die optionale Website-Analyse mit Google Analytics 4 startet erst nach deiner ausdrücklichen Zustimmung. Ohne Zustimmung werden keine Analytics-Skripte geladen, Analytics-Anfragen gesendet oder Analytics-Cookies gesetzt. Deine Auswahl kannst du jederzeit in den Datenschutzeinstellungen im Seitenfuß ändern (Abschnitt 3.2). Download-Links verwenden unabhängig davon Singular (Abschnitt 3.5).
• Du kannst dein Konto und deine Daten jederzeit löschen: Konto löschen.

3. Diese Website

3.1 Zugriffsdaten & Serverlogs

Diese Website wird über Firebase Hosting (Google Cloud EMEA Limited bzw. Google LLC) ausgeliefert. Beim Aufruf werden technisch notwendige Zugriffsdaten verarbeitet (Name der abgerufenen Seite/Datei, Datum und Uhrzeit, übertragene Datenmenge, Meldung über erfolgreichen Abruf, Browsertyp und -version, Betriebssystem, Referrer-URL, IP-Adresse und anfragender Provider). Diese Protokolldaten dienen dem Betrieb, der Sicherheit und der Fehlerbehebung. Rechtsgrundlage ist unser berechtigtes Interesse an einem sicheren und stabilen Betrieb (Art. 6 Abs. 1 lit. f DSGVO). Die Daten werden von uns nicht mit anderen Daten zusammengeführt; wir speichern oder werten diese Protokolle nicht selbst aus. Der Hosting-Anbieter löscht sie nach seinen Standardfristen, in der Regel nach spätestens 30 Tagen.

3.2 Optionale Website-Analyse und deine Auswahl

Mit deiner ausdrücklichen Einwilligung verwenden wir Google Analytics 4 im Web-Datenstream unserer Firebase-Web-App, um die Website zu verbessern. Anbieter ist Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland, mit Verarbeitung auch durch Google LLC, USA. Wir verwenden den Basic Consent Mode v2: Vor deiner Zustimmung und bei Ablehnung wird das Google-Tag nicht geladen; es werden auch keine einwilligungslosen Analytics-Pings gesendet. Werbung, Remarketing, Google Signals und die Verwendung der Analysedaten für personalisierte Werbung sind für diese Website deaktiviert. Die Website lädt ihre Schriften, Bilder und Videos vom eigenen Hosting.

Daten und Zweck bei aktivierter Analyse: Nach Zustimmung messen wir Seitenaufrufe, angesehene Seitenabschnitte und Scrolltiefe sowie Aktionen im kleinen Paar-Spiel, bei Videos und Download-Links. Zusätzlich verwenden wir die erweiterten Messfunktionen von Google Analytics: automatische Seitenaufrufe und Scrollereignisse, ausgehende Linkklicks, Dateidownloads sowie – soweit auf einer Seite vorhanden und technisch unterstützt – Such-, Video- und Formularinteraktionen. Dabei können technische Metadaten wie Seiten-/Link-URLs, Linktext, Datei- oder Videotitel, Formular-ID und Suchbegriffe aus URL-Parametern verarbeitet werden. Die Website bietet derzeit keine eigene Suchfunktion an. Auf der Seite zur Kontolöschung wird das Google-Tag nicht geladen; dieses Formular ist vollständig von der Website-Analyse ausgeschlossen. Dazu kommen pseudonyme Cookie-Kennungen, Zeitpunkt, Browser-, Geräte- und Betriebssysteminformationen sowie allgemeine Angaben zur Herkunft des Besuchs. Google verarbeitet beim Verbindungsaufbau deine IP-Adresse und leitet daraus einen ungefähren Standort ab; nach Googles Angaben wird die IP-Adresse in Google Analytics 4 nicht protokolliert oder gespeichert. Inhalte von Formularfeldern, Wiederherstellungscodes und Supporttexte werden nicht als Analytics-Ereignisdaten erhoben; wir übermitteln auch keine persönlichen E-Mail-Adressen oder sonstigen direkt identifizierenden Angaben an unsere eigenen Messfunktionen. Bitte gib keine persönlichen Daten in Seitenadressen oder Suchparameter ein. Die Daten dienen der statistischen Auswertung der Website, nicht der Erstellung von Werbeprofilen. Eine Übermittlung in die USA ist möglich (Abschnitt 6).

Speicherung bei aktivierter Analyse: Nach Zustimmung setzt Google Analytics eigene Cookies (_ga und _ga_*), die Besuche und Sitzungen zuordnen. Ihre Laufzeit ist auf bis zu 180 Tage ab Setzen oder Aktualisieren eingestellt; dein Browser kann sie früher löschen. Die Aufbewahrung der bereits übermittelten Ereignisdaten richtet sich nach der in Google Analytics konfigurierten Aufbewahrungseinstellung und ist von der Cookie-Laufzeit zu unterscheiden.

Freiwilligkeit und Widerruf: Rechtsgrundlage für Analyse und Analytics-Cookies ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 165 Abs. 3 TKG 2021). Du kannst ablehnen und die Website weiterhin verwenden. Über Datenschutzeinstellungen im Seitenfuß kannst du deine Auswahl jederzeit ändern. Bei Widerruf endet die weitere Analyse; die von dieser Website gesetzten Analytics-Cookies werden gelöscht. Bereits rechtmäßig verarbeitete Daten werden dadurch nicht automatisch rückwirkend gelöscht. Weitere Informationen: Google-Datenschutzerklärung und Googles Datennutzung auf Partner-Websites.

Technisch notwendige Browser-Speicherung: Damit wir deine Auswahl berücksichtigen und nicht bei jedem Aufruf erneut fragen, speichern wir sie mit Zeitpunkt im localStorage deines Browsers für höchstens 180 Tage. Das Schließen des mobilen Download-Hinweises merken wir uns im sessionStorage für die Sitzung des Browser-Tabs. Diese funktionalen Einträge werden nicht zur Analyse verwendet und nicht an Google Analytics übermittelt. Grundlage ist die Speicherung der von dir gewählten Website-Funktionen (§ 165 Abs. 3 TKG 2021; Art. 6 Abs. 1 lit. f DSGVO). Für goodspace.at gelten dessen eigene Cookie- und Datenschutzhinweise.

3.3 Kontaktaufnahme

Wenn du uns per E-Mail kontaktierst, speichern wir deine Angaben zur Bearbeitung der Anfrage und für den Fall von Anschlussfragen (Art. 6 Abs. 1 lit. b bzw. f DSGVO). Wir geben sie nicht ohne deine Einwilligung weiter.

3.4 Formular zur Kontolöschung

Auf der Seite Konto löschen gibst du deinen Wiederherstellungscode ein. Dieser wird über eine verschlüsselte Verbindung an unser Backend (Firebase Authentication und Cloud Functions, Region europe-west1) gesendet, um die Löschung durchzuführen (Art. 6 Abs. 1 lit. b und c DSGVO). Dabei wird kurzzeitig ein anonymes Anmelde-Token erzeugt; Wiederherstellungscode und Anmelde-Token werden nicht dauerhaft im Browser gespeichert. Die Website-Einstellungen und optionale Analyse sind in Abschnitt 3.2 beschrieben.

3.5 Links und Haftung

Unsere Download-Links führen über Singular (Singular Labs, Inc.). Der Dienst leitet dich abhängig vom Gerät zum passenden App-Store weiter und misst den Klick zur Zuordnung von App-Downloads zu unserer Website. Erst wenn du einen Download-Link bewusst öffnest, übermittelt dein Browser technische Anfragedaten an Singular, insbesondere IP-Adresse, Browser-/Geräteinformationen (User-Agent) und den Zeitpunkt des Aufrufs. Diese Weiterleitung ist unabhängig von deiner Einwilligung in die optionale Website-Analyse. Der bloße Besuch dieser Website löst keine Anfrage an Singular aus; auf dieser Website setzen wir weder ein Singular-SDK noch Singular-Cookies ein. Für die Verarbeitung bei Singular und im anschließend geöffneten App-Store gelten die jeweiligen Datenschutzhinweise: Datenschutzerklärung von Singular.

Alle Angaben wurden sorgfältig geprüft, können aber Fehler enthalten; für Inhalte verlinkter Websites sind ausschließlich deren Betreiber verantwortlich. Beim Aufruf externer Links (z. B. App-Stores) erhalten deren Betreiber deine IP-Adresse; darauf haben wir keinen Einfluss.

4. Die App „Stone Pop Tour“

Die folgende Übersicht beschreibt, welche Daten die App verarbeitet. Sie richtet sich nach den tatsächlich eingebundenen Diensten (Stand der App-Version zum Veröffentlichungsdatum).

4.1 Spielkonto und Spielstand (Firebase Authentication, Cloud Firestore, Cloud Functions)

Daten: zufällig erzeugte Nutzerkennung (UID) des anonymen Kontos, Spielfortschritt (Level, Sterne, Münzen, Booster, Einstellungen, Ziele, tägliche Herausforderungen und Geschenke), Statistik pro Level, optional ein von dir gewählter Anzeigename, Zeitstempel sowie technische Meta-Daten (App-Version, Sprache). Die App speichert außerdem eine lokale Sicherung auf deinem Gerät.

Zweck: Bereitstellung des Spiels, Sicherung und Synchronisierung des Fortschritts, serverseitige Prüfung (Schutz vor Manipulation und Betrug), Bestenlisten. Rechtsgrundlage: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO) und berechtigtes Interesse an Manipulationsschutz (lit. f).

Speicherort: Google Cloud Firestore in der EU (Region europe-west1, Belgien); Cloud Functions ebenfalls europe-west1. Speicherdauer: bis zur Löschung des Kontos durch dich (siehe Abschnitt 8). Eine automatische Löschung inaktiver Konten findet derzeit nicht statt. Sollten wir sie einführen, kündigen wir das vorab in der App und in dieser Erklärung an. Rein technische Hilfsdaten (z. B. Wiederholungsschutz für Anfragen, Zähler zur Missbrauchsabwehr, abgelaufene Wiederherstellungscodes) werden automatisch nach kurzer Zeit gelöscht.

4.2 Optionale Anmeldung mit Google oder Apple und Wiederherstellungscode

Du kannst dein Konto optional mit einem Google- oder Apple-Konto verknüpfen oder einen Wiederherstellungscode erzeugen, um deinen Fortschritt auf ein neues Gerät zu übertragen. Beim Verknüpfen erhalten wir von Google bzw. Apple eine Kennung deines Kontos und gegebenenfalls deine E-Mail-Adresse (bei Apple möglicherweise eine Relay-Adresse); wir nutzen sie ausschließlich zur Anmeldung und Wiederherstellung. Der Wiederherstellungscode wird nur als nicht umkehrbarer Hash gespeichert. Die Verknüpfung ist freiwillig; Rechtsgrundlage ist deine Einwilligung bzw. die Vertragserfüllung (Art. 6 Abs. 1 lit. a/b DSGVO). Die Verknüpfung wird beim Löschen des Kontos entfernt.

4.3 Bestenlisten und Anzeigename

Wenn du einen Anzeigenamen festlegst, ist dieser zusammen mit deinem Punktestand für andere Spielerinnen und Spieler in den Bestenlisten öffentlich sichtbar. Wähle keinen Namen, der dich identifiziert. Beim Löschen des Kontos werden deine Einträge entfernt (die veröffentlichten Ranglisten aktualisieren sich innerhalb weniger Minuten). Rechtsgrundlage: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO).

4.4 Käufe im Spiel (Google Play Billing / Apple StoreKit)

In-App-Käufe werden vollständig über Google Play bzw. den Apple App Store abgewickelt. Wir erhalten keine Zahlungsdaten (Kartendaten, Rechnungsadresse). Für die Freischaltung prüft unser Backend den Kaufbeleg bei Google bzw. Apple und speichert Produkt, Zeitpunkt, Bestellnummer und einen Hash des Belegs, um Mehrfach-Einlösungen zu verhindern. Rechtsgrundlage: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO), gesetzliche Aufbewahrungspflichten (lit. c) und Betrugsvermeidung (lit. f). Beim Löschen des Kontos wird der Bezug zu dir aus dem Beleg entfernt; der Beleg selbst (ohne Namen oder E-Mail) bleibt so lange erhalten, wie es steuer- und unternehmensrechtliche Fristen verlangen (in Österreich 7 Jahre, § 132 BAO).

4.5 Einwilligungsverwaltung (Google UMP / IAB TCF)

Beim ersten Start (und wenn sich Anforderungen ändern) zeigt die App in der EU/im EWR, im Vereinigten Königreich und in der Schweiz einen Einwilligungsdialog der Google User Messaging Platform (UMP), der den Standard IAB Transparency & Consent Framework (TCF) unterstützt. Vor dem ersten Dialog erklärt eine Seite der App einmalig, warum das Spiel kostenlos ist und wo du deine Wahl später änderst; dort triffst du keine Entscheidung, sie führt nur mit „Weiter“ zum Dialog. Deine Auswahl wird auf deinem Gerät gespeichert (u. a. TC-String) und steuert, ob Werbung personalisiert wird, ob Analysedaten mit Kennungen erhoben werden (Abschnitt 4.7) und ob unsere Partner zur Messung von Werbekampagnen (Singular, Meta; Abschnitt 4.13) Daten in vollem Umfang erhalten. Rechtsgrundlage: Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 165 Abs. 3 TKG 2021). Widerruf: jederzeit in der App unter Einstellungen → Datenschutz → Datenschutzoptionen („Privacy options“) mit Wirkung für die Zukunft. Die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung bleibt unberührt.

iOS – App-Tracking-Transparenz (ATT): Auf iPhone und iPad fragt die App nach dem Einwilligungsdialog – und nur, wenn du dort der Nutzung für Werbung zugestimmt hast – mit der Systemabfrage von Apple, ob sie dich app-übergreifend verfolgen darf. Wählst du „App bitten, kein Tracking durchzuführen“, wird die Werbe-ID (IDFA) nicht verwendet (auch nicht von Singular und Meta, Abschnitt 4.13) und Analysedaten werden nicht für Werbezwecke genutzt. Du kannst die Entscheidung jederzeit in den iOS-Einstellungen unter Datenschutz & Sicherheit → Tracking ändern.

4.6 Werbung (Google AdMob)

Stone Pop Tour ist kostenlos und zeigt Werbung (Banner, Interstitial, Rewarded Video) von Google AdMob (Google Ireland Limited / Google LLC). Zur Auslieferung, Begrenzung der Anzeigenhäufigkeit, Betrugserkennung und Abrechnung verarbeitet AdMob u. a. IP-Adresse, Geräte- und App-Informationen, ungefähren Standort (aus der IP-Adresse, kein GPS) und die Werbe-ID (Android: Advertising ID; iOS: IDFA, nur nach Zustimmung zur App-Tracking-Transparenz-Abfrage). Mit deiner Einwilligung wird Werbung personalisiert; ohne Einwilligung erhältst du nicht personalisierte Werbung bzw. nur Werbung, die ohne Einwilligung zulässig ist. Google verarbeitet diese Daten als eigenständiger Verantwortlicher nach seinen Bedingungen (policies.google.com/technologies/partner-sites). Rechtsgrundlage für Zugriff auf Gerätekennungen und personalisierte Werbung: Einwilligung (Art. 6 Abs. 1 lit. a DSGVO); für nicht personalisierte Werbung: berechtigtes Interesse an der Finanzierung des kostenlosen Spiels (lit. f), soweit zulässig. Du kannst die Werbe-ID in den Geräteeinstellungen zurücksetzen oder löschen. Damit wir für jede Werbefläche den besten Preis erzielen, vermittelt AdMob Anzeigen auch von weiteren Werbenetzwerken („Mediation“). Diese erhalten bei einer Anzeigenanfrage dieselben Arten von Daten wie AdMob (IP-Adresse, Geräte- und App-Informationen, ungefährer Standort, Werbe-ID nur nach deiner Einwilligung bzw. auf iOS nach der Tracking-Freigabe) und verarbeiten sie als eigenständige Verantwortliche: AppLovin Corp. (USA), Meta Platforms Ireland Ltd. (Meta Audience Network), Liftoff Mobile, Inc. (Liftoff Monetize, USA), Unity Technologies (Unity Ads, USA), Digital Turbine (IL) Ltd. (DT Exchange, Israel), InMobi Technology Services Pte. Ltd. (Singapur) und Mintegral International Limited (Hongkong/China). Deine Auswahl im Einwilligungsdialog gilt für alle diese Partner (sie sind dort einzeln aufgeführt); ohne Einwilligung erhalten sie keine Einwilligung für personalisierte Werbung. Spieler:innen in US-Bundesstaaten können dem „Verkauf/Teilen“ ihrer Daten widersprechen; wir geben diese Wahl an alle Partner weiter. Datenschutzhinweise der Partner: applovin.com/privacy, facebook.com/about/privacy/update, liftoff.ai/privacy-policy, unity.com/legal/game-player-and-app-user-privacy-policy, digitalturbine.com/privacy-policy, advertising.inmobi.com/privacy-policy, mintegral.com/en/privacy.

4.7 Analyse und Messung unserer Werbekampagnen (Firebase Analytics / Google Analytics für Firebase)

Wenn du im Einwilligungsdialog zustimmst (Zwecke „Informationen auf einem Gerät speichern und/oder abrufen“ und „Performance von Inhalten messen“), misst die App mit Firebase Analytics, wie das Spiel genutzt wird: z. B. gestartete, abgeschlossene und abgebrochene Level (mit Punkten, Sternen, Dauer, Zügen und eingesetzten Boostern), erreichte Spielabschnitte und Meilensteine, Tutorial-Schritte, Bildschirmaufrufe, Sitzungen und die Rückkehr an bestimmten Tagen nach der Installation, geänderte Einstellungen (z. B. Sprache, Ton, Darstellung), Verdienst und Ausgabe der Spielwährungen, Kaufvorgänge (Produkt und Ergebnis; den Kaufpreis meldet Google Play bzw. der App Store selbst an Firebase) sowie angezeigte Werbung. Dazu verwendet Firebase die App-Instanz-ID, Geräte- und App-Informationen (Modell, Betriebssystem, App-Version, Sprache) und den ungefähren Standort (Land/Region aus der IP-Adresse; die IP-Adresse wird nicht gespeichert). Wir übermitteln an Firebase Analytics keine Namen, E-Mail-Adressen, Freitexte, Club-Namen und keine Nutzer-ID.

Nur wenn du zusätzlich der Nutzung für Werbung zustimmst (TCF-Zwecke „Personalisiertes Anzeigenprofil erstellen“, „Personalisierte Anzeigen auswählen“ und „Anzeigen-Performance messen“ sowie Google als Partner) – auf iOS außerdem der ATT-Abfrage (Abschnitt 4.5) –, dürfen diese Daten über die Verknüpfung von Firebase mit Google Ads verwendet werden, um unsere eigenen Werbekampagnen zu messen (z. B. ob eine Installation auf eine Anzeige folgte und ob das Spiel danach gespielt wurde) und Zielgruppen für unsere Werbung zu bilden („Google Consent Mode“). Ohne diese Zustimmung werden die Daten nicht für Werbezwecke verwendet. Auf iOS erhält Google Ads außerdem von Apple über SKAdNetwork zusammengefasste, nicht auf dich beziehbare Kampagnenergebnisse.

Ohne Einwilligung (du hast „Nicht einwilligen“ gewählt oder die genannten Zwecke abgewählt) nutzt die App den „erweiterten“ Google Consent Mode: Firebase Analytics erhält dann für alle Zwecke den Status „abgelehnt“ und sendet nur Messsignale – welches Ereignis wann stattfand (z. B. App-Start, Level abgeschlossen, Antwort im Einwilligungsdialog), den Einwilligungsstatus, App-Version, Gerätemodell, Betriebssystem, Sprache, Zeitzone, technische Sitzungszähler des SDK und das Land aus der IP-Adresse (die IP-Adresse wird nicht gespeichert). Diese Signale enthalten keine App-Instanz-ID und keine Werbe-ID; technisch wird die Firebase-Installations-ID mitgesendet (dieselbe, die Remote Config nutzt, Abschnitt 4.9), und eigene Nutzereigenschaften setzt die App dann nicht. Google wertet die Signale nur zusammengefasst aus, um Lücken in unseren Statistiken und die Wirkung unserer Werbung zu schätzen („Modellierung“), nicht für Werbeprofile. Bevor du im Dialog entschieden hast, sendet die App keine Analysedaten. Rechtsgrundlage für diese Signale: unser berechtigtes Interesse an einer datensparsamen Gesamtstatistik und an der Messung unserer Werbung (Art. 6 Abs. 1 lit. f DSGVO). Gibst du die Einwilligung später, gelten ab dann die Absätze oben.

Zweck: Verbesserung von Spielbalance, Stabilität und Angebot sowie Messung und Steuerung unserer Werbung. Rechtsgrundlage mit Einwilligung: Art. 6 Abs. 1 lit. a DSGVO, § 165 Abs. 3 TKG 2021. Änderst du deine Auswahl unter Einstellungen → Datenschutz → Datenschutzoptionen, gilt sie sofort. Beim Löschen deines Kontos werden die Analysedaten auf deinem Gerät zurückgesetzt (neue App-Instanz-ID). Speicherdauer der Ereignisdaten (Google Analytics / Firebase Analytics): 14 Monate, danach werden sie automatisch gelöscht.

4.8 Absturzberichte (Firebase Crashlytics)

Firebase Crashlytics sendet bei Abstürzen und Programmfehlern technische Berichte (Stacktrace bzw. Fehlermeldung, Gerätemodell, Betriebssystemversion, App-Version, Speicher-/Batteriestatus, Zeitpunkt, eine Installations-UUID, ggf. die UID des Spielkontos und das technische Protokoll der letzten Spielschritte, Abschnitt 4.11). Die Berichte enthalten keine Werbe-ID und werden nicht für Werbung oder Profile genutzt. Ebenso meldet die App, wenn das Spiel hängen geblieben ist (keine Reaktion für mehrere Sekunden): Dauer, ob es sich wieder erholt hat, der Bildschirm und das Level, auf dem es geschah.

Zweck: Fehlerbehebung und ein stabiles Spiel. Rechtsgrundlage: unser berechtigtes Interesse an einem stabilen, fehlerfreien Spiel für alle Spielerinnen und Spieler (Art. 6 Abs. 1 lit. f DSGVO); eine Einwilligung ist dafür nicht nötig. Widerspruch: Du kannst jederzeit widersprechen, indem du in der App unter Einstellungen → Datenschutz den Schalter Absturzberichte senden ausschaltest. Ab dann sendet die App keine Absturz- und Hängerberichte mehr, noch nicht gesendete Berichte auf dem Gerät werden gelöscht, und die Einstellung bleibt gespeichert. Speicherdauer: in der Regel 90 Tage.

4.9 Remote Config

Die App ruft über Firebase Remote Config Spielparameter (z. B. Balancing, Funktionsschalter) ab. Dabei werden technisch bedingt IP-Adresse, Firebase-Installations-ID, App-Version, Sprache und Plattform übertragen. Zweck: Steuerung und Fehlerbehebung des Spiels ohne App-Update. Es handelt sich um technisch notwendige Konfiguration ohne Profilbildung oder Personalisierung; eine Einwilligung ist dafür nicht erforderlich. Rechtsgrundlage: berechtigtes Interesse am stabilen, fehlerfreien Betrieb des Spiels (Art. 6 Abs. 1 lit. f DSGVO) bzw. Vertragserfüllung.

4.10 Benachrichtigungen (lokal; Firebase Cloud Messaging)

Die App kann dich mit lokalen Benachrichtigungen erinnern (z. B. tägliches Geschenk, tägliche Herausforderung, nur zu den eingestellten Tageszeiten). Diese werden auf dem Gerät geplant; dazu werden keine Daten an uns gesendet. Die Berechtigung (Android 13+ POST_NOTIFICATIONS, iOS) wird erst abgefragt, wenn du im Spiel einen bestimmten Fortschritt erreicht hast, und kann in den Systemeinstellungen oder in den Spieleinstellungen jederzeit widerrufen werden. Außerdem versenden wir über Firebase Cloud Messaging (Push-Dienst von Google) Hinweise an alle Spielerinnen und Spieler einer Sprache, z. B. zur täglichen Herausforderung, zu Turnieren oder Events. Erst wenn du die Berechtigung erteilt hast und Benachrichtigungen in den Spieleinstellungen eingeschaltet sind, übermittelt die App dazu das Push-Token deines Geräts, Plattform, Sprache, Zeitzone (UTC-Abstand) und die gewählten Themen an unser Backend (Firestore, EU) und meldet das Gerät für diese Themen an; schaltest du sie aus oder löschst du dein Konto, wird die Anmeldung entfernt. Rechtsgrundlage: Einwilligung durch die Berechtigung bzw. die Einstellung (Art. 6 Abs. 1 lit. a DSGVO).

4.11 Lokal gespeicherte Daten, Berührungen, Vibration

Spielstand und Einstellungen liegen in einer Datei im privaten App-Speicher. Auf Kontakte, Fotos, Mikrofon, Kamera, Standort (GPS) oder Telefonkennungen greift die App nicht zu. Haptisches Feedback (Vibration) wird lokal ausgelöst.

Zur Fehlersuche führt die App ein kurzes technisches Protokoll der letzten Spielschritte (z. B. aufgerufene Bildschirme, Start und Ende eines Levels, Werbe- und Kaufschritte, Verbindungsfehler; höchstens 50 Einträge, ohne Namen oder Freitexte) im Speicher deines Geräts sowie für Installationstag, Sitzungsanzahl und erreichte Meilensteine eine kleine Datei. Diese Daten verlassen dein Gerät nicht von selbst. Solange Absturzberichte eingeschaltet sind (Abschnitt 4.8), wird das Protokoll einem Absturzbericht beigefügt; schickst du selbst eine Fehlermeldung (Abschnitt 4.12), ist es Teil dieser Meldung.

4.12 Fehlermeldung aus der App („Problem melden“)

Unter Einstellungen → Hilfe & Info → Problem melden kannst du uns einen Fehler melden. Gesendet wird nur, wenn du auf Senden tippst: deine Auswahl (z. B. „Spiel hängt“) und dein Text (beides freiwillig, höchstens 300 Zeichen; E-Mail-Adressen und lange Ziffernfolgen wie Telefonnummern werden automatisch entfernt), Gerätemodell, Betriebssystem- und App-Version, Sprache, der aktuelle Spielstand im Spiel (Bildschirm, Level), die letzten Einträge des technischen Protokolls (Abschnitt 4.11), eine Zusammenfassung des letzten Hängers (Abschnitt 4.8) und die anonyme Kennung deines Spielkontos. Bitte gib im Text keine persönlichen Daten an. Speicherort: Google Cloud Firestore in der EU (europe-west1). Zweck: Bearbeitung deiner Meldung und Fehlerbehebung. Rechtsgrundlage: deine Anfrage im Rahmen der Nutzung des Spiels bzw. unser berechtigtes Interesse an der Fehlerbehebung (Art. 6 Abs. 1 lit. b bzw. f DSGVO). Speicherdauer: 180 Tage, danach automatische Löschung; beim Löschen deines Kontos werden deine Meldungen sofort mitgelöscht. Eine Antwort ist über diese Funktion nicht vorgesehen – für Rückfragen schreib uns bitte per E-Mail.

4.13 Messung unserer Werbekampagnen durch Partner (Singular, Meta)

Wir bewerben Stone Pop Tour auch mit Anzeigen in anderen Apps und Diensten (z. B. Google, Meta mit Facebook und Instagram, TikTok). Um zu erkennen, welche Kampagne zu einer Installation geführt hat und ob sie sich lohnt, setzen wir zwei Dienste ein: Singular mit deiner Einwilligung vollständig und ohne Einwilligung in einer stark eingeschränkten Form ohne Werbe-ID (unten), Meta App Events ausschließlich mit deiner Einwilligung im Einwilligungsdialog (Abschnitt 4.5). Schaltest du in der App unter Einstellungen → Datenschutz die Kampagnen-Messung aus, werden beide Dienste sofort gestoppt, egal wie du im Dialog entschieden hast.

Singular (Singular Labs, Inc., USA; singular.net/privacy-policy) verarbeitet in unserem Auftrag: Zeitpunkt von Installation und App-Starts, Geräte- und App-Informationen (Modell, Betriebssystem, Sprache, App-Version), IP-Adresse, die Werbe-ID (Android: Advertising ID; iOS: IDFA nur nach Zustimmung zur ATT-Abfrage) und app-bezogene Gerätekennungen (Android: App-Set-ID; iOS: Kennung für Anbieter, IDFV), die Installationsquelle aus Google Play („Install Referrer“), ausgewählte Spielereignisse (erreichte Level-Meilensteine, Rückkehr an bestimmten Tagen nach der Installation, regelmäßiges Spielen, Abschluss des Einführungs-Tutorials, Verknüpfung des Kontos, die erste Lawine, der erste Kauf, das erste Belohnungsvideo, die erste tägliche Herausforderung, die 10. und 50. Vollbild-Anzeige), In-App-Käufe (Produkt, Preis, Währung und der Kaufbeleg des Stores zur Prüfung der Echtheit) sowie die Werbeeinnahmen je angezeigter Anzeige. Singular ordnet Installationen den Kampagnen zu und meldet die Ergebnisse (Installation, diese Ereignisse, Umsätze) an die Werbeplattform, über deren Anzeige du gekommen bist, damit sie die Kampagne messen und steuern kann. Auf iOS steuert Singular außerdem Apples Kampagnenmessung SKAdNetwork, deren Ergebnisse nicht auf dich beziehbar sind. Namen, E-Mail-Adressen und Freitexte werden nicht übermittelt; eine Nutzer-ID setzen wir nicht. Gilt für dich das Datenschutzgesetz eines US-Bundesstaats und hast du dem Verkauf bzw. Teilen deiner Daten widersprochen, wird die Weitergabe eingeschränkt („Limit Data Sharing“); dasselbe gilt in der EU, wenn du der personalisierten Werbung nicht zugestimmt hast.

Singular ohne Einwilligung (EU/EWR, Vereinigtes Königreich, Schweiz; du hast im Dialog nicht eingewilligt oder Singular nicht ausgewählt): Singular erhält dann nur Zeitpunkt der Installation und der App-Starts, Geräte- und App-Informationen (Modell, Hersteller, Betriebssystem, Sprache, App-Version), die IP-Adresse, die Installationsquelle aus Google Play („Install Referrer“), eine app-bezogene Gerätekennung (Android: App-Set-ID; iOS: IDFV) und das Ergebnis der Lizenzprüfung von Google Play (Schutz vor Betrug bei Installationen). Nicht übermittelt werden die Werbe-ID (die App schaltet ihre Erhebung in Singular ab, auf iOS auch bei erlaubtem Tracking), Spielereignisse, Käufe, Werbeeinnahmen und eine Nutzer-ID; die Weitergabe an Werbeplattformen ist eingeschränkt („Limit Data Sharing“). Zweck: zusammengefasste Auswertung, wie viele Installationen eine Kampagne gebracht hat, auf iOS über SKAdNetwork. Rechtsgrundlage: unser berechtigtes Interesse an der Messung unserer eigenen Werbung (Art. 6 Abs. 1 lit. f DSGVO). Widerspruch: jederzeit über den Schalter Kampagnen-Messung unter Einstellungen → Datenschutz; Singular wird dann sofort gestoppt und auch bei späteren Starts nicht mehr gestartet.

Meta App Events (Meta Platforms Ireland Limited, Merrion Road, Dublin 4, D04 X2K5, Irland; facebook.com/privacy/policy): Nur wenn du zusätzlich der personalisierten Werbung zugestimmt hast (TCF-Zwecke „Informationen auf einem Gerät speichern und/oder abrufen“, „Personalisiertes Anzeigenprofil erstellen“, „Personalisierte Anzeigen auswählen“, „Anzeigen-Performance messen“ sowie Meta als Partner), sendet die App an Meta: App-Installation und -Start, erreichte Level-Meilensteine, Abschluss des Einführungs-Tutorials, Kontoverknüpfung und In-App-Käufe (Produkt, Preis, Währung), dazu Geräte- und App-Informationen, die IP-Adresse und – auf iOS nur nach Zustimmung zur ATT-Abfrage – die Werbe-ID. Meta nutzt diese Daten, um unsere Werbung auf Facebook und Instagram zu messen und auszuspielen, und kann sie mit Daten aus einem Meta-Konto verknüpfen. Einen „erweiterten Abgleich“ (E-Mail-Adresse, Telefonnummer, Name) nutzen wir nicht. Für die Erhebung und Übermittlung der Daten an Meta zur Ausspielung und Optimierung von Werbung sind wir mit Meta gemeinsam verantwortlich (Art. 26 DSGVO; die wesentlichen Inhalte der Vereinbarung stellt Meta unter facebook.com/legal/controller_addendum bereit); für die Messung verarbeitet Meta die Daten in unserem Auftrag; für die weitere Verarbeitung ist Meta allein verantwortlich. Hast du auf iOS „App bitten, kein Tracking durchzuführen“ gewählt, erhält Meta keine IDFA und die Ereignisse werden mit dem Vermerk übermittelt, dass kein Tracking erlaubt ist. Für Personen in US-Bundesstaaten, die dem Verkauf bzw. Teilen widersprochen haben, gilt Metas „Limited Data Use“.

Rechtsgrundlage: für Meta und für Singular im vollen Umfang deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 165 Abs. 3 TKG 2021); für Singular ohne Einwilligung unser berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO, siehe oben). Singular ist unser Auftragsverarbeiter (Art. 28 DSGVO). Speicherdauer: bei Singular höchstens 24 Monate, bei Meta nach den Fristen von Meta. Löschanfragen leiten wir an Singular und Meta weiter; da beide Dienste Daten nur gerätebezogen speichern, nenne uns dafür bitte die Werbe-ID deines Geräts. Du kannst die Werbe-ID außerdem jederzeit in den Geräteeinstellungen zurücksetzen oder löschen.

4.14 Nachladen von Steinsets (Cloud Storage for Firebase)

Einige Steinsets sind nicht in der App enthalten. Wenn du ein solches Steinset kaufst oder auswählst, dein Spielstand es auf einem neuen Gerät wiederherstellt oder es auf deinem Gerät fehlt, lädt die App seine Bilddateien von Cloud Storage for Firebase (Google Cloud EMEA Limited bzw. Google LLC) und speichert sie auf deinem Gerät. Dabei werden nur technisch notwendige Verbindungsdaten verarbeitet (IP-Adresse, Zeitpunkt, abgerufene Datei, übertragene Datenmenge, technische Angaben der Verbindung). Die Anfrage enthält keine Nutzerkennung, keine Werbe-ID und keine Angaben zu deinem Spielkonto. Zweck: Bereitstellung der gekauften bzw. gewählten Spielinhalte bei kleinerer App-Größe. Rechtsgrundlage: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO). Wir werten diese Daten nicht aus; Google verarbeitet sie als Auftragsverarbeiter und löscht etwaige Protokolle nach seinen Standardfristen. Die Dateien bleiben auf deinem Gerät, bis du die App-Daten löschst oder die App deinstallierst.

5. Empfänger und Auftragsverarbeiter

Eine Weitergabe zu anderen Zwecken oder ein Verkauf deiner Daten findet nicht statt.

6. Übermittlung in Drittländer

Die Spielkonto-Daten werden in der EU gespeichert. Google, Apple, Meta und Singular sind Unternehmen bzw. gehören zu Konzernen mit Sitz in den USA; bei Analyse, Absturzberichten, Werbung, Kampagnenmessung und Zahlungsabwicklung können Daten (z. B. IP-Adresse, Kennungen) in die USA und andere Drittländer übermittelt werden. Grundlage sind der Angemessenheitsbeschluss der EU-Kommission zum EU-US Data Privacy Framework (soweit der Empfänger zertifiziert ist; Google LLC, Apple Inc. und Meta Platforms, Inc. sind unter dem Data Privacy Framework zertifiziert, siehe dataprivacyframework.gov) bzw. Standardvertragsklauseln (Art. 46 DSGVO) sowie, wo erforderlich, deine Einwilligung (Art. 49 Abs. 1 lit. a DSGVO). Bei der Werbe-Mediation (Abschnitt 4.6) können Daten außerdem nach Israel (Angemessenheitsbeschluss der EU-Kommission), Singapur sowie Hongkong/China (Standardvertragsklauseln) übermittelt werden.

7. Speicherdauer im Überblick

8. Deine Rechte

Du hast nach der DSGVO das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21) gegen Verarbeitungen auf Grundlage berechtigter Interessen – für Absturzberichte und die eingeschränkte Kampagnenmessung direkt in der App unter Einstellungen → Datenschutz (Schalter Absturzberichte senden und Kampagnen-Messung, wirkt sofort), sonst per E-Mail an support@goodspace.at. Eine erteilte Einwilligung kannst du jederzeit mit Wirkung für die Zukunft widerrufen (in der App unter Einstellungen → Datenschutz → Datenschutzoptionen; Benachrichtigungen in den Systemeinstellungen). Es findet keine automatisierte Entscheidungsfindung mit rechtlicher Wirkung statt.

Konto und Daten löschen: in der App unter Einstellungen → Konto → Konto löschen oder über die Seite Konto löschen. Anfragen zu Auskunft, Berichtigung und Übertragung richtest du an support@goodspace.at (mit deinem Wiederherstellungscode, damit wir dein Konto zuordnen können; Analyse- und Werbedaten sind ohne Gerätekennung nicht zuordenbar).

Du hast zudem das Recht, dich bei der Aufsichtsbehörde zu beschweren: Österreichische Datenschutzbehörde, Barichgasse 40-42, 1030 Wien, www.dsb.gv.at, oder bei der Behörde deines Aufenthaltsorts.

9. Pflicht zur Bereitstellung, Kinder

Das anonyme Spielkonto ist für die Nutzung der Online-Funktionen (Speichern, Bestenlisten, Käufe) erforderlich; ohne die Einwilligung für Werbung und Analyse kannst du das Spiel eingeschränkt bzw. mit nicht personalisierter Werbung nutzen. Stone Pop Tour richtet sich nicht an Kinder unter 14 Jahren; wir erheben wissentlich keine Daten von Kindern. Solltest du glauben, dass ein Kind Daten übermittelt hat, schreibe uns bitte.

10. Sicherheit und Änderungen

Die Übertragung erfolgt ausschließlich verschlüsselt (HTTPS/TLS). Der Zugriff auf Spielkonten ist durch Firebase Authentication und serverseitige Regeln geschützt; der Client schreibt nicht direkt in die Datenbank. Wir passen diese Erklärung an, wenn sich die App oder die Rechtslage ändert; das Datum oben zeigt den aktuellen Stand.