Rechtliches

Datenschutzerklärung

Stand: 25. Oktober 2026 · Loot Goblin 2.0.0 · DSGVO / TDDDG

1. Verantwortlicher

Joscha Alhelm
c/o Autorenglück ID 60084
Albert-Einstein-Str. 47
02977 Hoyerswerda
Deutschland
E-Mail: gamesgamble@loot.rocks

Verantwortlich für den Betrieb von Loot Goblin unter loot.rocks ist der oben genannte Betreiber. Discord und die Anbieter optionaler Integrationen verarbeiten Daten in eigener Verantwortung nach ihren Bedingungen. Serverbetreiber bleiben für ihre Server, Inhalte, Berechtigungen und die von ihnen veranlasste Nutzung des Bots datenschutzrechtlich verantwortlich.

2. Hosting, Website und Protokolle

Website, Dashboard, Gildenoberfläche und API laufen unter https:/loot.rocks auf der vom Betreiber eingesetzten Infrastruktur. Bei HTTP-Anfragen werden insbesondere IP-Adresse, Zeitpunkt, Methode, URL, Statuscode, übertragene Datenmenge, Referrer und User-Agent verarbeitet. Zweck sind Auslieferung, Fehleranalyse, Missbrauchsabwehr und Betriebssicherheit. Protokolle werden nach der technischen Rotation gelöscht; bei einem Sicherheitsvorfall können betroffene Einträge bis zur Aufklärung und Durchsetzung oder Abwehr von Ansprüchen aufbewahrt werden.

/status und /health zeigen technische Zustände ohne absichtlich veröffentlichte Nutzerprofile. Prometheus verarbeitet technische Metriken; Alertmanager kann Störungsmeldungen ohne Chat- oder Profilinhalte an einen Betreiber-Webhook senden. Es werden keine Werbepixel oder Analyse-Cookies Dritter eingesetzt.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (sicherer, verfügbarer Betrieb und Missbrauchsabwehr), bei gesetzlichen Pflichten Art. 6 Abs. 1 lit. c DSGVO.

3. Konten, Discord-Login und Cookies

Für klassische Dashboard-Konten werden Benutzername, Passwort-Hash (PBKDF2-HMAC-SHA256), Rolle, Server-Zuordnung, Modul- und Beta-Freigaben sowie Antragsstatus verarbeitet. Klartext-Passwörter werden nicht gespeichert. Beim Discord-Login (OAuth2) verarbeitet der Dienst Discord-Nutzer-ID, Anzeigename, Avatar und die Server, auf denen die Berechtigung „Server verwalten“ besteht. In der Gildenoberfläche werden zusätzlich aktuelle Mitgliedschaft und Rollen zur Autorisierung abgeglichen.

Sitzungen enthalten ein zufälliges, serverseitig nur als Hash gespeichertes Session-Secret, CSRF-Daten, Ablaufzeit, IP-Adresse und User-Agent. Das Cookie aether_sid ist HttpOnly, SameSite=Lax und bei HTTPS Secure; die typische Laufzeit beträgt 12 Stunden. Weitere kurzlebige Cookies schützen Login- und OAuth-Abläufe. Sie sind für den ausdrücklich gewünschten Dienst unbedingt erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG); Tracking-Cookies werden nicht gesetzt.

Fehlversuche, IP-Rate-Limits und Honeypot-Felder dienen der Angriffserkennung. Rechtsgrundlagen sind Art. 6 Abs. 1 lit. b DSGVO für angeforderte Konto- und Loginfunktionen sowie lit. f für Autorisierung und Sicherheit.

4. Discord-Daten

Ist der Bot auf einem Server aktiv, erhält er abhängig von Discord-Intents, Berechtigungen, Modulstatus und Interaktionen insbesondere:

• Server-, Kanal-, Rollen-, Nachrichten-, Interaktions- und Nutzer-IDs
• Benutzernamen, Anzeigenamen, Avatare, Nicknames, Rollen, Mitgliedschaft und Sprache
• Nachrichteninhalte, Reaktionen, Anhänge und Command-Eingaben, soweit eine aktivierte Funktion sie benötigt
• Voice-Kanal- und Statusmetadaten für Sprach-, Musik-, Join-to-Create- oder TeamSpeak-Funktionen
• Moderations-, Sicherheits- und Auditdaten sowie vom Server konfigurierte Application-Emojis oder Server-Emojis

Discord zeigt den konkreten Datenzugriff einer App in deren Profil an. Der Bot nutzt API-Daten nur für die beschriebenen Funktionen und nicht für Werbung, Datenhandel oder das Training eigener KI-Modelle.

5. Gilden- und Funktionsdaten

Je nach aktivierten Modulen speichert die Datenbank insbesondere Konfigurationen und Berechtigungen, Bewerbungen, Mitgliederprofile, Ränge, Skills, Interessen, Teams, Divisionen, Aktivität und Abwesenheiten, Events und Anmeldungen, Serien, Aufträge, Loot-Sessions und Verteilungen, Kassenwährungen und Buchungen, Inventar und Schiffe, Tickets und Verlauf, Embed-Entwürfe, Revisionen, Serien und Zeitpläne, Kalenderlinks, Allianzmitgliedschaften und Zustimmungen sowie Auditprotokolle. Profilfelder können RSI-, FleetYards-, TeamSpeak-, Joomla- oder Twitch-Kennungen enthalten.

Gemeinsame Events, Aufträge und Loot-Sessions werden nur entsprechend den in der Allianz gespeicherten Zustimmungen für berechtigte Mitglieder anderer beteiligter Gilden sichtbar. Server-Admins müssen Mitglieder über diese Freigaben informieren.

6. Nachrichten, Dateien und Benachrichtigungen

Ticket- und Loot-Anhänge werden beim Web-Upload begrenzt und geprüft, nur vorübergehend im Arbeitsspeicher gehalten und anschließend an Discord übertragen; der Webdienst legt keine dauerhafte lokale Dateikopie an. Discord speichert die Nachricht und den Anhang nach seinen eigenen Regeln. Ticketinhalte, Discord-Nachrichten-IDs, Anhangsmetadaten und -links können für die Browseransicht gespeichert werden. Bei Ticketänderungen kann der Ersteller — sofern aktiviert und zustellbar — eine funktionsbezogene Discord-Direktnachricht erhalten.

Geplante Embed-Posts speichern Inhalte, Medien-URLs, Zielkanal, Komponenten, Zeitplan, Revisionen und Zustellstatus. Reaktionen und Buttons können konfigurierte Bot- oder Integrationsaktionen auslösen.

7. Optionale Integrationen

• Google Calendar: Ein Nutzer verbindet freiwillig seinen Kalender mit dem Scope calendar.app.created. Gespeichert werden Discord-Nutzer- und Server-ID, verschlüsseltes Refresh-Token, Client-ID, die ID des von Loot Goblin angelegten Kalenders, Termin-Zuordnungen und Synchronisationsstatus. Der Bot liest keine bestehenden privaten Kalender; er verwaltet nur den selbst angelegten Kalender. Beim Trennen werden Token und Zuordnungen gelöscht und das Token wird nach Möglichkeit widerrufen; auf Wunsch wird auch der angelegte Kalender gelöscht.
• OpenAI oder xAI: Bei /ai ask werden Frage, konfigurierter Systemhinweis und Discord-Anzeigename an den ausgewählten Anbieter gesendet. API-Schlüssel werden vom Betreiber oder Server-Admin hinterlegt. Keine Nutzung dieser Funktion für sensible oder vertrauliche Daten.
• Joomla, Kunena, JEvents, DPCalendar, Raid-Helper und TeamSpeak: Je nach Konfiguration werden Konto-Verknüpfungen, Anzeigenamen, Rollen, Event-, Kalender-, Forum- und Online-Statusdaten zwischen den Systemen abgeglichen.
• Twitch, YouTube und X: Öffentliche oder mit einem Token freigegebene Kanal-, Stream-, Video- und Beitragsdaten werden für Ankündigungen und Rollenfunktionen abgerufen.
• RSI, UEX und FleetYards: Handles, Organisations- und öffentliche Flottendaten sowie Suchbegriffe und Preisabfragen werden für Star-Citizen-Funktionen verarbeitet.
• Lavalink und Medienquellen: Suchbegriffe, URLs und Wiedergabesteuerung werden an den konfigurierten Audioknoten und gegebenenfalls die jeweilige Medienquelle übermittelt. Die IP-Adresse des Discord-Nutzers wird dabei nicht vom Bot übermittelt.

Eine Integration verarbeitet Daten erst nach ihrer Konfiguration oder bewussten Nutzung. Die jeweiligen Anbieter haben eigene Datenschutzbestimmungen.

8. Gilden-API, Webhooks und Empfänger

Berechtigte Offiziere können lesende Gilden-API-Schlüssel und Webhooks anlegen. Wer einen solchen Schlüssel erhält, kann die dafür freigegebenen Kategorien abrufen; der Server-Admin bestimmt und verantwortet diesen Empfänger. Webhooks können Daten an Discord, Joomla, TeamSpeak oder andere konfigurierte Ziele übertragen. Schlüssel und geheime Feed-Links müssen vertraulich behandelt und bei Verlust widerrufen werden.

9. Rechtsgrundlagen

• Art. 6 Abs. 1 lit. b DSGVO für vom Nutzer oder Serverbetreiber angeforderte Bot-, Konto-, Kalender- und Integrationsfunktionen
• Art. 6 Abs. 1 lit. f DSGVO für sicheren Betrieb, Rollen- und Rechteprüfung, Missbrauchsabwehr, Moderation, Fehleranalyse und die berechtigten Organisationsinteressen einer Gilde; entgegenstehende Interessen betroffener Personen werden berücksichtigt
• Art. 6 Abs. 1 lit. a DSGVO, soweit eine Funktion ausdrücklich auf Einwilligung gestützt wird; die Einwilligung kann mit Wirkung für die Zukunft widerrufen werden
• Art. 6 Abs. 1 lit. c DSGVO, soweit gesetzliche Pflichten eine Verarbeitung verlangen

Serverbetreiber müssen selbst prüfen, auf welcher Rechtsgrundlage sie Bot-Funktionen für ihre Mitglieder einsetzen. Ohne notwendige Discord-IDs und Eingaben können die jeweiligen Funktionen nicht bereitgestellt werden.

10. Drittanbieter und Drittländer

Empfänger sind der Betreiber und seine technisch eingesetzten Dienstleister sowie — nur bei Nutzung — Discord, Google, OpenAI, xAI, Twitch, YouTube, X, Raid-Helper, Joomla-/Kalender-, TeamSpeak-, RSI-, UEX-, FleetYards-, Lavalink- oder andere vom Admin konfigurierte Anbieter. Einige Anbieter verarbeiten Daten außerhalb des Europäischen Wirtschaftsraums, insbesondere in den USA. Die Übermittlung richtet sich nach den beim jeweiligen Anbieter verfügbaren Garantien, etwa einem Angemessenheitsbeschluss einschließlich EU-US Data Privacy Framework oder EU-Standardvertragsklauseln. Der konkrete Anbieter und dessen Hinweise sind vor Aktivierung der Integration zu prüfen. Keine Weitergabe für Werbung oder Datenhandel.

11. Speicherdauer und Löschung

• Sitzungen: bis Logout, Widerruf oder Ablauf, typischerweise nach 12 Stunden
• OAuth-State für Google: höchstens 10 Minuten und nur einmal verwendbar
• Google-Refresh-Token und Zuordnungen: bis zum Trennen oder Verlust der Berechtigung
• Server-Konfiguration und Gildeninhalte: bis zur Löschung durch Berechtigte, Entfernung des Bots, berechtigter Löschanfrage oder Aufgabe des Dienstes; derzeit besteht nicht für alle Inhaltsarten eine automatische feste Löschfrist
• Audit- und Sicherheitsdaten: solange sie für Nachvollziehbarkeit, Missbrauchsabwehr oder Rechtsansprüche erforderlich sind; technische Logs nach der eingerichteten Rotation
• Daten bei Drittanbietern: nach deren Fristen und den dort ausgelösten Lösch- oder Widerrufsaktionen

Gesetzliche Aufbewahrungspflichten und die Sicherung oder Verteidigung von Rechtsansprüchen können einer sofortigen Löschung entgegenstehen.

12. Rechte betroffener Personen

Betroffene Personen haben nach Maßgabe der Art. 15–21 DSGVO Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch. Eine Einwilligung kann jederzeit für die Zukunft widerrufen werden. Außerdem besteht nach Art. 77 DSGVO ein Beschwerderecht bei einer Datenschutzaufsichtsbehörde. Anfragen gehen an gamesgamble@loot.rocks. Zur sicheren Zuordnung kann ein geeigneter Identitätsnachweis erforderlich sein.

13. Automatisierte Entscheidungen

Es findet keine automatisierte Entscheidung mit rechtlicher oder ähnlich erheblicher Wirkung im Sinne von Art. 22 DSGVO statt. Automod-Filter, Rollenregeln, Beta-Workflows und KI-Antworten sind technische Hilfen; verantwortliche Menschen können ihre Ergebnisse prüfen und übersteuern.

14. Minderjährige

Der Dienst richtet sich nicht an Personen unterhalb des für Discord geltenden Mindestalters. Der Betreiber führt keine eigene Altersprüfung durch. Serverbetreiber sind verpflichtet, Discord-Vorgaben und anwendbaren Jugend- und Datenschutz zu beachten.

15. Sicherheit und Änderungen

Der Dienst setzt unter anderem Zugriffskontrollen, Hashing, CSRF-Schutz, Rate-Limits, verschlüsselte Google-Secrets und Auditprotokolle ein. Ein absoluter Schutz kann nicht zugesichert werden. Diese Erklärung wird angepasst, wenn Funktionen, Empfänger oder Rechtslage sich ändern; die aktuelle Fassung steht unter /datenschutz.