1. Verantwortlicher und Kontakt

Verantwortlicher für die Plattform: ULTIDO GmbH, Rommerskirchener Str. 21, 50259 Pulheim, vertreten durch Maximilian Arbeiter. E-Mail: max@ultido.com, Telefon: +49 221 16535560. Datenschutzbeauftragter: [PLATZHALTER / „nicht bestellt"]. [ANWALTSPRÜFUNG: Bestellpflicht für einen Datenschutzbeauftragten.]

2. Zwei Verantwortliche

Ultido ist Verantwortlicher für Spielprofil/Konto, Spielstand, parkübergreifende Persona, KI-Bildfunktion und den Betrieb der Plattform.

Der jeweilige Park ist Verantwortlicher für das E-Mail-Marketing. Bei der Erhebung handelt Ultido als Auftragsverarbeiter des Parks (Art. 28 DSGVO); nach der Double-Opt-in-Bestätigung wird der Datensatz an den Park übergeben (von Verantwortlichem zu Verantwortlichem). Kontakt des Parks: [PLATZHALTER].

3. Daten, Zwecke, Rechtsgrundlagen

E-Mail-Adresse – Zweck: Anlage von Konto und Spielprofil, Bereitstellung der Belohnung. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).

Spielprofil, Spielstand, parkübergreifende Persona – Zweck: Bereitstellung des Services, Fortschritt und Wiedererkennung. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).

E-Mail-Adresse für Werbung – Zweck: E-Mail-Marketing des Parks. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung) i.V.m. § 7 UWG; der Park ist insoweit Verantwortlicher.

Foto – Zweck: Erzeugung des stilisierten KI-Bildes. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung) i.V.m. § 22 KUG; nur vorübergehende Verarbeitung.

Logdaten und IP-Adresse – Zweck: Sicherheit, Störungsbeseitigung, Betrieb. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse) bzw. lit. c (rechtliche Verpflichtung).

Einwilligungsprotokoll – Zweck: Nachweis der erteilten Einwilligung. Rechtsgrundlage: Art. 6 Abs. 1 lit. c DSGVO i.V.m. Art. 7 DSGVO.

4. Empfänger und Unterauftragsverarbeiter

Vercel (Hosting, EU-Region / US-Mutterkonzern), Clerk (Authentifizierung, USA), Supabase (Datenbank, EU-Region / US-Mutterkonzern), Cloudinary (Medien, US-Mutterkonzern), Google Cloud/Vertex (KI-Stilisierung, vorübergehende Fotoverarbeitung), GPU-Hoster [PLATZHALTER], n8n (selbst gehostet).

Auftragsverarbeitungsverträge nach Art. 28 DSGVO liegen vor bzw. werden abgeschlossen. Details im Unterauftragsverarbeiter-Verzeichnis (Dok. 8).

5. Drittlandübermittlungen (Kapitel V DSGVO)

Mehrere Anbieter verarbeiten in den USA oder befinden sich in US-Eigentum. Die Übermittlungen beruhen auf den EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO) und/oder, soweit zertifiziert, auf dem EU-US Data Privacy Framework. Die Garantien werden auf Anfrage bereitgestellt.

Hybrides KI-Bildverfahren: Je nach gewähltem Stil wird das Foto entweder auf der eigenen Infrastruktur von Ultido in der EU-Region oder über Google Vertex verarbeitet (mögliche Verarbeitung in den USA auf Grundlage der EU-Standardvertragsklauseln). In beiden Fällen wird das Original nur vorübergehend verarbeitet und nicht gespeichert. [ANWALTSPRÜFUNG je Anbieter.]

6. Speicherdauer

Konto und Spielprofil: für die Dauer der Nutzung; Löschung nach [PLATZHALTER] Inaktivität oder auf Anfrage.

Bestätigter Marketing-Lead: bis zum Widerruf.

Unbestätigter Lead: Löschung nach Ablauf der Double-Opt-in-Frist.

Originalfoto: nur vorübergehende Verarbeitung, keine Speicherung.

Stilisiertes Bild: [PLATZHALTER].

Logdaten: [PLATZHALTER].

Einwilligungsprotokoll: Dauer der Geschäftsbeziehung zzgl. Verjährungsfrist (ca. 3 Jahre).

[ANWALTSPRÜFUNG.]

7. Deine Rechte

Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20), Widerspruch (Art. 21); Einwilligungen können jederzeit widerrufen werden (Art. 7 Abs. 3 DSGVO).

Anfragen an max@ultido.com; marketingbezogene Anfragen werden an den verantwortlichen Park weitergeleitet.

Du kannst außerdem Beschwerde bei einer Aufsichtsbehörde einlegen ([PLATZHALTER: LDI NRW] oder bei der für dich zuständigen Behörde).

8. Pflicht zur Bereitstellung

Die E-Mail-Adresse ist für Konto und Belohnung erforderlich; ohne sie kann der Service nicht genutzt werden. Die Einwilligungen für Marketing und KI-Bildfunktion sind freiwillig; bei Ablehnung entstehen keine Nachteile.

9. Automatisierte Entscheidungsfindung / Profiling

Es finden keine automatisierten Entscheidungen mit rechtlicher Wirkung im Sinne des Art. 22 DSGVO statt. Die parkübergreifende Persona dient ausschließlich der Wiedererkennung und Personalisierung. [ANWALTSPRÜFUNG, falls sie für Werbe-Targeting genutzt wird.]

10. Minderjährige

Siehe Jugendschutz-Modul (Dok. 6). Einwilligungsfähiges Alter in Deutschland: 16 Jahre (Art. 8 DSGVO); darunter ist die Einwilligung der Eltern erforderlich.

11. Änderungen

Wir aktualisieren diese Datenschutzerklärung, wenn sich die Verarbeitung ändert; maßgeblich ist die im Service veröffentlichte Version.