Datenschutzerklärung

Stand: 24. September 2026

1. Verantwortlicher

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) und anderer datenschutzrechtlicher Bestimmungen ist:

Lucas Christiani
Wipfelweg 9
44265 Dortmund
Deutschland
E-Mail: minddojogame@gmail.com

Ein Datenschutzbeauftragter ist nicht bestellt; die Voraussetzungen des Art. 37 DSGVO bzw. § 38 BDSG liegen nicht vor. Für alle Anliegen zum Datenschutz wenden Sie sich bitte an die oben genannte E-Mail-Adresse.

2. Allgemeines zur Datenverarbeitung

Wir verarbeiten personenbezogene Daten unserer Nutzer grundsätzlich nur, soweit dies zur Bereitstellung einer funktionsfähigen Website sowie unserer Inhalte und Leistungen erforderlich ist. Die Verarbeitung erfolgt regelmäßig nach Einwilligung des Nutzers oder auf einer der in Art. 6 DSGVO genannten Rechtsgrundlagen.

3. Bereitstellung der Website und Server-Logs

Beim Aufruf unserer Website werden durch unseren Hosting-Anbieter Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland automatisch Informationen in sogenannten Server-Logfiles erhoben:

• IP-Adresse des aufrufenden Geräts
• Datum und Uhrzeit des Zugriffs
• Aufgerufene URL / Referrer
• User-Agent (Browser, Betriebssystem)

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Betrieb und Sicherheit der Website). Speicherdauer: 14 Tage; die Logdateien werden täglich rotiert und nach 14 Tagen automatisch gelöscht. Eine längere Speicherung erfolgt nur, wenn ein konkreter Sicherheitsvorfall die weitere Auswertung erfordert.

4. Registrierung und Nutzerkonto (Supabase Auth)

Für die Nutzung des Mind-Dojo-Trainings ist die Anlage eines Nutzerkontos erforderlich. Wir verarbeiten dazu folgende Daten:

• Kontodaten: E-Mail-Adresse, Passwort-Hash (nie das Passwort selbst), Erstellungs- und Login-Zeitstempel
• Profildaten: Benutzername, optional Avatar-URL, Sichtbarkeitseinstellung des Profils (öffentlich / Freunde / privat)
• Spielfortschritt: Punktzahlen, Belt-Level je Disziplin, Dojo-Rang-XP, Match-Historie inkl. anonymisierter Replay-Logs zur Anti-Cheat-Prüfung
• Spielaufzeichnungen (Replays): zu jedem Match ein Protokoll des Spielverlaufs, siehe unten
• Errungenschaften & Aufgaben: Achievement-Fortschritt, Tages-/Wochen-Quests, Herausforderungen gegen andere Spieler, saisonale Bestenlisten-Einträge
• Kosmetische Inhalte: Freigeschaltete und ausgerüstete Belt-Skins
• Soziale Beziehungen: Freundschaften, Freundschaftsanfragen, blockierte Nutzer
• Aktivitätsprotokoll: spielinterne Ereignisse (z. B. Bestleistungen, Belt-Aufstiege, gewonnene Turniere) zur Anzeige in der Aktivitäts-Übersicht
• Einstellungen: Audio-Präferenzen, Onboarding-Status

Datenbank, Authentifizierung (Registrierung und Login, Sitzungen, anonyme Gast-Sitzungen) und die Echtzeit-Funktionen des Versus-Modus betreiben wir seit dem 23. September 2026 selbst mit der Open-Source-Software Supabase, und zwar auf demselben Server, auf dem auch die Website läuft: bei unserem Hosting-Anbieter Hetzner Online GmbH (siehe Abschnitt 3) im Rechenzentrum Nürnberg (nbg1-dc3), Deutschland. Mit Hetzner besteht ein Auftragsverarbeitungsvertrag (AVV) gem. Art. 28 DSGVO; ein weiterer Auftragsverarbeiter kommt dafür nicht hinzu, eine Übermittlung in Drittländer findet nicht statt. Die Server-Logs der Authentifizierungskomponente können IP-Adressen enthalten; sie werden nach spätestens 14 Tagen durch einen nächtlichen Job gelöscht. Datenbank-Backups werden auf demselben Server (Hetzner, Nürnberg) gespeichert und 14 Tage aufbewahrt. Eine Kopie dieser Backups wird jede Nacht über eine verschlüsselte Verbindung auf einen separaten Backup-Speicher (Hetzner Storage Box) im Rechenzentrum Falkenstein, Deutschland, übertragen und dort 30 Tage aufbewahrt; die täglichen Snapshots dieses Speichers halten einen Stand höchstens 10 weitere Tage vor. Auch dafür gilt der AVV mit Hetzner, ein weiterer Auftragsverarbeiter kommt nicht hinzu.

Spielaufzeichnungen (Replays): Zu jedem Match speichern wir ein Protokoll des Spielverlaufs, damit sich die Runde später ansehen lässt. Es enthält, was das Spiel angezeigt hat (zum Beispiel Spielfelder und Ziele), Ihre Spielzüge mit Zeitpunkt (zum Beispiel gedrehte Kacheln, angeklickte Ziele, in einzelnen Spielen die Position des Mauszeigers auf der Spielfläche) sowie Punktestand, Timer und Leben. Es enthält keine Kontodaten, keine Geräte- und keine Standortdaten. Matches, die in der öffentlichen Rangliste erscheinen, kann jeder Besucher der Website zusammen mit Ihrem Benutzernamen als Replay ansehen; das Replay ist Teil dieser Ranglisten-Anzeige. Aufzeichnungen anderer Matches sind nicht öffentlich abrufbar.

Challenge-Links: Wenn Sie nach einer Runde „Challenge a friend“ wählen, legen wir einen Link an, der die Punktzahl dieser Runde als Ziel enthält. Gespeichert werden das Spiel, die Punktzahl, der Zeitpunkt, ein Verweis auf das Match und Ihr Benutzername (bei Gast-Konten kein Name). Jeder, der den Link erhält, sieht Spiel, Punktzahl und Benutzernamen sowie, wie viele Personen es versucht und die Punktzahl übertroffen haben. Wer über den Link spielt, dessen erste Runde wird mit Punktzahl und Ergebnis (gewonnen, verloren, unentschieden) dem Link zugeordnet; die Punktzahlen und Namen einzelner Mitspieler zeigt der Link nicht an. Der Link bleibt bestehen, bis das Konto des Erstellers gelöscht wird.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung). Speicherdauer: bis zur Löschung des Kontos durch den Nutzer; siehe Abschnitt 12.

Erforderlichkeit der Bereitstellung (Art. 13 Abs. 2 lit. e DSGVO): Die Angabe von E-Mail-Adresse und Passwort — bzw. die Anmeldung über Google — ist weder gesetzlich noch vertraglich vorgeschrieben. Sie ist jedoch erforderlich, um ein Nutzerkonto anzulegen; ohne Konto können wir Spielfortschritt, Bestenlisten, Turniere und soziale Funktionen nicht bereitstellen. Es entsteht Ihnen kein Nachteil, wenn Sie diese Daten nicht angeben: die Spiele lassen sich ohne Registrierung im Gast- und Versus-Modus nutzen (siehe Abschnitt 4a), lediglich die kontogebundenen Funktionen entfallen dann.

4a. Versus-Modus und Gast-Konten (anonyme Sitzungen)

Im Versus-Modus können Sie eine Einladung zu einem 1‑gegen‑1‑Match öffnen, ohne sich vorab zu registrieren. Beim Öffnen des Einladungslinks (ebenso beim Öffnen oder Teilen eines Challenge-Links ohne Konto, siehe Abschnitt 4) legen wir technisch ein anonymes Konto (Supabase Anonymous Sign-in) an. Das ist erforderlich, damit unsere Zugriffsregeln (Row Level Security) Sie als Teilnehmer des Matches erkennen können.

Beim anonymen Konto verarbeiten wir ausschließlich:

• Anonyme Nutzer-ID (UUID, vom Authentifizierungssystem erzeugt) und das interne Flag is_anonymous = true
• Erstellungszeitpunkt der anonymen Sitzung
• Spielanzeigename (Label, frei wählbar, Standard guest-XXXXXX, max. 40 Zeichen) — wird auf der Ergebnisseite und auf einer geteilten Auswertung angezeigt
• Spielfortschritt für dieses Match: Match-Zuordnung, Punktzahlen pro Runde, das anonymisierte Replay-Log zur Anti-Cheat-Prüfung und die Spielaufzeichnung (gleicher Umfang wie in Abschnitt 4; Aufzeichnungen von Gast-Konten sind nicht öffentlich abrufbar, da Gast-Konten nicht in der Rangliste erscheinen)

Es werden keine E-Mail-Adresse, kein Passwort und keine Profildaten erhoben. Die anonyme Sitzung ist an den Browser gebunden und endet, wenn der lokale Sitzungs-Token verworfen wird.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung — Durchführung des angefragten Versus-Matches als vorvertragliche Maßnahme bzw. Vertrag mit dem anonymen Nutzer).

Speicherdauer: Anonyme Konten, die innerhalb von 30 Tagen kein abgeschlossenes Versus-Match haben (weder als Host noch als Gegner) und nicht zu einem regulären Konto aufgewertet wurden, werden serverseitig automatisch gelöscht. Die Löschung führt ein täglich laufender Datenbank-Job aus (Funktion purge_stale_guest_users()). Anonyme Konten, die an einem abgeschlossenen Match beteiligt waren, bleiben so lange erhalten, wie das Match selbst gespeichert ist (Account-Löschung des verbleibenden Teilnehmers kaskadiert beide Seiten).

Aufwertung zu einem regulären Konto: Sie können nach dem Match E-Mail und Passwort zum bestehenden anonymen Konto hinzufügen. Dabei bleibt die anonyme Nutzer-ID erhalten — der Spielverlauf des Gast-Matches ist anschließend mit dem aufgewerteten Konto verknüpft, ohne dass eine Datenübertragung zwischen verschiedenen Konten stattfindet.

5. Anmeldung mit Google (OAuth)

Optional kann die Anmeldung über Google erfolgen. Dabei werden folgende Daten von Google an uns übermittelt:

• Google-Konto-ID
• E-Mail-Adresse
• Profilname
• ggf. Profilbild-URL

Anbieter: Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung durch aktive Auswahl des Anbieters). Datenschutzerklärung von Google: https://policies.google.com/privacy

5a. Transaktionale E-Mails (Resend)

Für den Versand kontobezogener System-E-Mails — Bestätigung der E-Mail-Adresse bei der Registrierung, Bestätigung einer E-Mail-Änderung und Zurücksetzen des Passworts — setzen wir Resend (Plus Five Five, Inc. dba Resend, 2261 Market Street #5039, San Francisco, CA 94114, USA) ein. Dabei werden verarbeitet:

• E-Mail-Adresse des Empfängers
• Inhalt der jeweiligen System-E-Mail einschließlich des enthaltenen Bestätigungs- bzw. Zurücksetz-Links
• Versand- und Zustellmetadaten (Zeitstempel, Zustellstatus)

Der Versand erfolgt über die EU-Region (Irland, AWS eu-west-1). Da Plus Five Five, Inc. ein US-amerikanisches Unternehmen ist, kann ein Zugriff aus den USA nicht ausgeschlossen werden; diese Übermittlung stützt sich auf das EU-US Data Privacy Framework bzw. auf EU-Standardvertragsklauseln (siehe Abschnitt 14). Ein Auftragsverarbeitungsvertrag (AVV) gem. Art. 28 DSGVO ist abgeschlossen.

Es werden ausschließlich die genannten kontobezogenen E-Mails versendet — kein Newsletter, keine Werbung.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung — Einrichtung und Verwaltung Ihres Nutzerkontos). Speicherdauer: 30 Tage. Resend löscht E-Mail-Protokolle einschließlich der Inhalte nach Ablauf dieser Frist automatisch.

Datenschutzerklärung Resend: https://resend.com/legal/privacy-policy

6. Fehler- und Crashtracking (Sentry)

Zur Erkennung und Behebung von Anwendungsfehlern setzen wir Sentry (Functional Software, Inc. dba Sentry, 45 Fremont Street, 8th Floor, San Francisco, CA 94105, USA) ein. Die Erfassung und Speicherung der Fehlerberichte erfolgt in der EU-Region (Frankfurt am Main, Deutschland) über den Ingest-Endpunkt *.ingest.de.sentry.io. Da Functional Software, Inc. ein US-amerikanisches Unternehmen ist, kann ein Zugriff aus den USA nicht ausgeschlossen werden; diese Übermittlung stützt sich auf das EU-US Data Privacy Framework bzw. auf EU-Standardvertragsklauseln (siehe Abschnitt 14). Ein Auftragsverarbeitungsvertrag (AVV) gem. Art. 28 DSGVO ist abgeschlossen.

Beim Auftreten eines Fehlers werden ausschließlich technische Daten übertragen:

• Fehlermeldung und Stack-Trace
• URL des fehlerverursachenden Aufrufs (ohne Query-String)
• Browser- und Geräteinformationen (z. B. Browserversion, Bildschirmauflösung)
• Spielkontext zum Fehlerzeitpunkt (Spiel-ID, Spielphase, Punktzahl) — ausschließlich numerische bzw. Aufzählungswerte
• Pseudonyme Nutzer-ID (UUID), sofern angemeldet — keine E-Mail-Adresse, kein Klarname

Vor der Übertragung werden personenbezogene Daten clientseitig gefiltert (beforeSend-Filter): IP-Adressen, E-Mail-Adressen, Authentifizierungs-Tokens, Cookies, Request-Body und Query-Strings werden entfernt bzw. nicht erfasst (sendDefaultPii: false). Session-Replay (visuelle Aufzeichnungen der Nutzeroberfläche) ist deaktiviert.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am stabilen Betrieb der Anwendung). Speicherdauer: 30 Tage. Sentry löscht Fehlerereignisse nach Ablauf dieser Frist automatisch; die Dauer ergibt sich aus dem von uns genutzten Tarif und ist nicht individuell konfigurierbar.

Datenschutzerklärung Sentry: https://sentry.io/privacy/

7. Produktanalyse (PostHog)

Zur Verbesserung des Produkts setzen wir PostHog (PostHog Inc., 2261 Market Street #4008, San Francisco, CA 94114, USA) zur Auswertung von Nutzungsdaten ein. Die Erfassung und Speicherung erfolgt über die EU-Cloud (Frankfurt am Main, Deutschland; Endpunkt eu.i.posthog.com); clientseitige Anfragen werden über einen Same-Origin-Reverse-Proxy (/ingest) an den EU-Endpunkt weitergeleitet. Da PostHog Inc. ein US-amerikanisches Unternehmen ist, kann ein Zugriff aus den USA nicht ausgeschlossen werden; diese Übermittlung stützt sich auf das EU-US Data Privacy Framework bzw. auf EU-Standardvertragsklauseln (siehe Abschnitt 14).

Wir erfassen:

• Clientseitig (Browser, posthog-js): Seitenaufrufe, Klick- und Interaktions-Events innerhalb der Anwendung, Geräte- und Browsertyp, gekürzte IP-Adresse.
• Serverseitig (posthog-node): vertrauenswürdige Spielereignisse, die clientseitig manipulierbar wären — z. B. eingereichte Match-Ergebnisse, Belt-Aufstiege, Turnierergebnisse, Freundschafts- und Herausforderungs-Aktionen, Saison-Ereignisse. Übertragen werden ausschließlich die pseudonyme Nutzer-ID (UUID), der Event-Name und numerische bzw. Aufzählungs-Properties — keine E-Mail-Adresse, kein Klarname.

Es besteht ein Auftragsverarbeitungsvertrag (AVV) gem. Art. 28 DSGVO.

Einwilligung: Sowohl die client- als auch die serverseitige Erfassung ist standardmäßig deaktiviert (opt_out_capturing_by_default) und wird erst nach aktiver Zustimmung über das Cookie-Banner aktiviert. Die Einwilligung wird im Cookie md_analytics_consent gespeichert und kann jederzeit über das Einstellungsmenü widerrufen werden; bei Widerruf werden keine weiteren Events erfasst.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung). Speicherdauer: 30 Tage. Nach Ablauf dieser Frist werden die Ereignisdaten bei PostHog automatisch gelöscht.

Datenschutzerklärung PostHog: https://posthog.com/privacy

8. Cookies und Local Storage

Wir verwenden:

• Technisch notwendige Cookies / Local-Storage-Einträge (z. B. Supabase-Session-Token, Audio-Einstellungen, Spielfortschritt im Browser sowie der Einwilligungs-Cookie md_analytics_consent selbst). Rechtsgrundlage: § 25 Abs. 2 Nr. 2 TDDDG i. V. m. Art. 6 Abs. 1 lit. b DSGVO. Keine Einwilligung erforderlich.
• Optionale Cookies (PostHog-Analyse, siehe Abschnitt 7). Rechtsgrundlage: § 25 Abs. 1 TDDDG i. V. m. Art. 6 Abs. 1 lit. a DSGVO. Werden erst nach aktiver Einwilligung über das Cookie-Banner gesetzt.

Sie können Cookies jederzeit über Ihre Browsereinstellungen löschen. Die Einwilligung in optionale Cookies können Sie über das Einstellungsmenü widerrufen.

9. Empfänger / Auftragsverarbeiter im Überblick

10. Speicherdauer

• Kontodaten: bis zur Löschung des Kontos durch den Nutzer.
• Anonyme Versus-Konten ohne abgeschlossenes Match: max. 30 Tage (siehe Abschnitt 4a).
• Spielfortschritt (Punktzahlen, Match-Historie inkl. Replay-Logs und Spielaufzeichnungen, Belt-Level): bis zur Löschung des Kontos, da Belts, persönliche Bestwerte und Ranglisten darauf aufbauen.
• Aktivitätsprotokoll (Einträge im Freundes-Feed): 12 Monate, danach automatische Löschung durch einen täglichen Job.
• Server-Logs (nginx-Zugriffs- und Fehlerprotokolle beim Hosting-Anbieter, siehe Abschnitt 3): 14 Tage, danach automatische Löschung durch tägliche Rotation.
• Server-Logs der Authentifizierungskomponente (können IP-Adressen enthalten, siehe Abschnitt 4): höchstens 14 Tage, danach automatische Löschung durch einen nächtlichen Job.
• Datenbank-Backups (auf demselben Server bei Hetzner, Nürnberg): 14 Tage.
• Backup-Kopie (Hetzner Storage Box, Falkenstein, siehe Abschnitt 4): 30 Tage, danach automatische Löschung durch einen nächtlichen Job; über die täglichen Snapshots des Speichers höchstens 10 weitere Tage wiederherstellbar.
• Sentry-Fehlerberichte: 30 Tage (tarifbedingte Aufbewahrung, danach automatische Löschung durch Sentry).
• PostHog-Events: 30 Tage, danach automatische Löschung durch PostHog.
• Resend-E-Mail-Protokolle (inkl. Inhalt der System-E-Mails): 30 Tage, danach automatische Löschung durch Resend.
• Daten, die gesetzlichen Aufbewahrungspflichten unterliegen (z. B. steuerlich), werden bis zum Ablauf der Frist gespeichert und anschließend gelöscht.

11. Ihre Rechte als betroffene Person

Nach der DSGVO stehen Ihnen folgende Rechte zu:

• Auskunft (Art. 15 DSGVO) — welche Daten verarbeiten wir über Sie?
• Berichtigung (Art. 16 DSGVO) — Korrektur unrichtiger Daten.
• Löschung (Art. 17 DSGVO) — „Recht auf Vergessenwerden".
• Einschränkung der Verarbeitung (Art. 18 DSGVO).
• Datenübertragbarkeit (Art. 20 DSGVO) — Export Ihrer Daten in einem maschinenlesbaren Format.
• Widerspruch gegen die Verarbeitung (Art. 21 DSGVO).
• Widerruf einer erteilten Einwilligung (Art. 7 Abs. 3 DSGVO), wirkt für die Zukunft.
• Beschwerde bei einer Aufsichtsbehörde (Art. 77 DSGVO). Zuständig ist die Datenschutzbehörde Ihres Bundeslandes bzw. die Behörde am Sitz des Verantwortlichen: Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW), Kavalleriestraße 2–4, 40213 Düsseldorf, https://www.ldi.nrw.de.

Für die Ausübung dieser Rechte wenden Sie sich an: minddojogame@gmail.com

Im Produkt sind Funktionen zur direkten Selbstbedienung verfügbar (Konto-Löschung, Datenexport) — siehe Profil-/Einstellungsbereich.

12. Kontolöschung und Datenexport

• Löschung: Sie können Ihr Konto jederzeit im Einstellungsbereich selbst löschen. Damit werden alle personenbezogenen Daten unwiderruflich aus der Datenbank entfernt (Art. 17 DSGVO). Aggregierte, nicht mehr personenbeziehbare Statistiken können bestehen bleiben.
• Export: Sie können einen Export Ihrer Daten in einem maschinenlesbaren Format anfordern (Art. 20 DSGVO).

13. SSL/TLS-Verschlüsselung

Diese Website nutzt aus Sicherheitsgründen und zum Schutz der Übertragung vertraulicher Inhalte eine SSL- bzw. TLS-Verschlüsselung. Erkennbar an „https://" und dem Schloss-Symbol in der Browserzeile.

14. Übermittlung in Drittländer

Soweit Daten an Anbieter mit Sitz oder Hosting außerhalb der EU/EWR übermittelt werden (insbesondere USA), erfolgt dies auf Grundlage:

• des Angemessenheitsbeschlusses der EU-Kommission unter dem EU-US Data Privacy Framework (Beschluss vom 10. Juli 2023) — dort zertifiziert sind Sentry (Functional Software, Inc. dba Sentry.io), PostHog Inc. und Resend (Plus Five Five, Inc.); oder
• der EU-Standardvertragsklauseln (SCC) mit ergänzenden Garantien, soweit ein Anbieter nicht (mehr) unter dem Data Privacy Framework zertifiziert ist.

Der Zertifizierungsstatus der genannten Unternehmen ist über die offizielle Liste unter https://www.dataprivacyframework.gov/list überprüfbar (Stand der Prüfung: 11. August 2026; Resend geprüft am 25. August 2026).

15. Automatisierte Entscheidungsfindung

Wir setzen keine automatisierte Entscheidungsfindung oder Profiling im Sinne des Art. 22 DSGVO ein.

16. Änderungen dieser Datenschutzerklärung

Wir behalten uns vor, diese Datenschutzerklärung anzupassen, sofern sich Rechtslage oder Funktionsumfang der Anwendung ändern. Die jeweils aktuelle Fassung ist auf dieser Seite abrufbar.

Privacy Policy (English Translation)

Non-binding translation. The German version above is legally authoritative for operation from Germany.

Last updated: 24 September 2026

1. Data Controller

Controller within the meaning of the GDPR:

Lucas Christiani
Wipfelweg 9
44265 Dortmund
Germany
E-mail: minddojogame@gmail.com

No data protection officer has been appointed; the conditions of Art. 37 GDPR and § 38 BDSG are not met. Please direct all data-protection matters to the e-mail address above.

2. General

We process personal data only to the extent necessary to provide a functional website and our services. Processing is based on user consent or one of the legal bases listed in Art. 6 GDPR.

3. Server Logs

When you access our website, our hosting provider Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Germany automatically collects:

• IP address
• Date and time of access
• Requested URL / referrer
• User agent (browser, OS)

Legal basis: Art. 6(1)(f) GDPR (legitimate interest in operation and security). Retention: 14 days; log files are rotated daily and deleted automatically after 14 days. Longer storage occurs only where a specific security incident requires further analysis.

4. Account Registration (Supabase Auth)

To use Mind Dojo training, an account is required. We process:

• Account data: e-mail address, password hash (never the password itself), creation and login timestamps
• Profile data: username, optional avatar URL, profile visibility setting (public / friends / private)
• Game progress: scores, per-discipline belt level, Dojo rank XP, match history including anonymized replay logs used for anti-cheat checks
• Game recordings (replays): a record of how each match was played, see below
• Achievements & quests: achievement progress, daily/weekly quests, player-vs-player challenges, seasonal leaderboard entries
• Cosmetics: unlocked and equipped belt skins
• Social graph: friendships, friend requests, blocked users
• Activity log: in-app events (e.g. personal bests, belt promotions, tournament wins) shown in the activity feed
• Settings: audio preferences, onboarding state

Since 23 September 2026 we run the database, authentication (sign-up and login, sessions, anonymous guest sessions) and the realtime features of versus mode ourselves, using the open-source Supabase software on the same server that hosts the website: at our hosting provider Hetzner Online GmbH (see section 3), data centre Nuremberg (nbg1-dc3), Germany. A data processing agreement under Art. 28 GDPR is in place with Hetzner; no additional processor is involved, and no third-country transfer takes place. Server logs of the authentication component can contain IP addresses; they are deleted after 14 days at the latest by a nightly job. Database backups are stored on the same server (Hetzner, Nuremberg) and kept for 14 days. Every night a copy of these backups is transferred over an encrypted connection to separate backup storage (Hetzner Storage Box) in the Falkenstein data centre, Germany, where it is kept for 30 days; the storage's daily snapshots hold a state for at most 10 further days. The Hetzner data processing agreement covers this too; no additional processor is involved.

Game recordings (replays): For every match we store a record of how it was played, so the round can be watched later. It contains what the game showed (for example boards and targets), your moves with their timing (for example rotated tiles, clicked targets, and in some games the position of the mouse pointer on the play area), and the score, timer and lives. It contains no account, device or location data. Matches that appear on the public leaderboard can be watched as a replay by any visitor to the website, together with your username; the replay is part of that leaderboard display. Recordings of other matches are not publicly viewable.

Challenge links: When you choose “Challenge a friend” after a round, we create a link that carries that round's score as the target. We store the game, the score, the time, a reference to the match and your username (no name for guest accounts). Anyone who receives the link sees the game, the score and the username, and how many people have tried and beaten the score. For anyone who plays through the link, their first round is recorded against the link with its score and outcome (win, loss, draw); the link does not show individual players' scores or names. The link exists until the creator's account is deleted.

Legal basis: Art. 6(1)(b) GDPR (contract performance). Retention: until account deletion; see section 12.

Whether provision is required (Art. 13 (2) (e) GDPR): Providing an e-mail address and password — or signing in with Google — is neither a statutory nor a contractual requirement. It is, however, necessary to create a user account; without one we cannot provide progress tracking, leaderboards, tournaments or social features. You suffer no disadvantage if you do not provide this data: the games can be played without registering, in guest and versus mode (see section 4a); only the account-bound features are unavailable.

4a. Versus Mode and Guest Accounts (anonymous sessions)

Versus mode lets you open an invitation to a 1‑vs‑1 match without registering first. When you open the invite link (and likewise when you open or share a challenge link without an account, see section 4) we technically create an anonymous account (Supabase anonymous sign-in). This is required so our access rules (Row Level Security) can recognise you as a participant of the match.

For the anonymous account we process only:

• Anonymous user ID (UUID generated by the authentication system) and the internal is_anonymous = true flag
• Creation timestamp of the anonymous session
• Display label (free-form, default guest-XXXXXX, max. 40 characters) — shown on the result screen and on the shared public result page
• Match-specific game progress: match association, per-round scores, the anonymised replay log used for anti-cheat checks and the game recording (same scope as section 4; recordings of guest accounts are not publicly viewable, as guest accounts do not appear on the leaderboard)

No e-mail address, password, or profile data is collected. The anonymous session is bound to your browser and ends when the local session token is discarded.

Legal basis: Art. 6(1)(b) GDPR (contract performance — execution of the requested versus match as a pre-contractual measure or contract with the anonymous user).

Retention: Anonymous accounts that have not been part of a completed versus match (as host or opponent) within 30 days and that were not upgraded to a regular account are automatically deleted server-side. The deletion is carried out by a database job that runs daily (function purge_stale_guest_users()). Anonymous accounts that took part in a completed match are retained as long as the match itself is stored (the remaining participant's account deletion cascades both sides).

Upgrading to a regular account: After the match you can add e-mail and password to your existing anonymous account. The anonymous user ID is preserved — the guest match history is then linked to the upgraded account without any data transfer between separate accounts.

5. Sign-in with Google (OAuth)

Optionally you can sign in via Google. The following data is transferred to us:

• Google account ID
• E-mail address
• Profile name
• Optionally a profile picture URL

Provider: Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Ireland.

Legal basis: Art. 6(1)(a) GDPR (consent through active provider selection). Google privacy policy: https://policies.google.com/privacy

5a. Transactional E-mail (Resend)

To deliver account-related system e-mails — confirming your e-mail address at sign-up, confirming an e-mail change, and resetting your password — we use Resend (Plus Five Five, Inc. dba Resend, 2261 Market Street #5039, San Francisco, CA 94114, USA). The following data is processed:

• Recipient e-mail address
• Content of the respective system e-mail, including the confirmation or reset link it contains
• Dispatch and delivery metadata (timestamps, delivery status)

Sending takes place via the EU region (Ireland, AWS eu-west-1). As Plus Five Five, Inc. is a US company, access from the USA cannot be excluded; that transfer relies on the EU-US Data Privacy Framework or EU Standard Contractual Clauses (see section 14). A data processing agreement under Art. 28 GDPR is in place.

Only the account e-mails listed above are sent — no newsletter, no advertising.

Legal basis: Art. 6(1)(b) GDPR (contract performance — setting up and administering your user account). Retention: 30 days. Resend deletes e-mail logs, including content, automatically once that period expires.

Resend privacy policy: https://resend.com/legal/privacy-policy

6. Error and Crash Tracking (Sentry)

To detect and remediate application errors we use Sentry (Functional Software, Inc. dba Sentry, 45 Fremont Street, 8th Floor, San Francisco, CA 94105, USA). Error reports are ingested and stored in the EU region (Frankfurt am Main, Germany) via the *.ingest.de.sentry.io ingest endpoint. As Functional Software, Inc. is a US company, access from the USA cannot be excluded; that transfer relies on the EU-US Data Privacy Framework or EU Standard Contractual Clauses (see section 14). A data processing agreement under Art. 28 GDPR is in place.

When an error occurs, only technical data is transmitted:

• Error message and stack trace
• URL of the failing request (without query string)
• Browser and device information (e.g. browser version, screen resolution)
• Game context at the time of error (game id, game phase, score) — strictly numeric / enum values
• Pseudonymous user ID (UUID) if logged in — no e-mail address, no real name

Before transmission, personal data is filtered client-side (beforeSend filter): IP addresses, e-mail addresses, authentication tokens, cookies, request bodies, and query strings are stripped or not collected at all (sendDefaultPii: false). Session replay (visual recordings of the user interface) is disabled.

Legal basis: Art. 6(1)(f) GDPR (legitimate interest in stable operation of the application). Retention: 30 days. Sentry deletes error events automatically once that period expires; the duration follows the plan we use and is not individually configurable.

Sentry privacy policy: https://sentry.io/privacy/

7. Product Analytics (PostHog)

To improve the product we use PostHog (PostHog Inc., 2261 Market Street #4008, San Francisco, CA 94114, USA) to evaluate usage data. Data is ingested and stored in the EU Cloud (Frankfurt am Main, Germany; endpoint eu.i.posthog.com); browser requests are routed through a same-origin reverse proxy (/ingest) to the EU endpoint. As PostHog Inc. is a US company, access from the USA cannot be excluded; that transfer relies on the EU-US Data Privacy Framework or EU Standard Contractual Clauses (see section 14).

We collect:

• Client-side (browser, posthog-js): page views, click and interaction events within the application, device and browser type, truncated IP address.
• Server-side (posthog-node): trustworthy game events that would be manipulable client-side — e.g. submitted match results, belt promotions, tournament outcomes, friends and challenges actions, seasonal events. Only the pseudonymous user ID (UUID), event name, and numeric / enum properties are transmitted — no e-mail address, no real name.

A data processing agreement under Art. 28 GDPR is in place.

Consent: Both client- and server-side capture are opt-out by default (opt_out_capturing_by_default) and only activated after active consent via the cookie banner. Consent is stored in the md_analytics_consent cookie and can be withdrawn at any time from the settings menu; no further events are captured after withdrawal.

Legal basis: Art. 6(1)(a) GDPR (consent). Retention: 30 days, after which the event data is deleted automatically by PostHog.

PostHog privacy: https://posthog.com/privacy

8. Cookies and Local Storage

We use:

• Strictly necessary cookies / local-storage entries (e.g. Supabase session tokens, audio settings, in-browser game progress, and the consent cookie md_analytics_consent itself). Legal basis: § 25(2) No. 2 TDDDG together with Art. 6(1)(b) GDPR. No consent required.
• Optional cookies (PostHog analytics, see section 7). Legal basis: § 25(1) TDDDG with Art. 6(1)(a) GDPR. Only set after active consent via cookie banner.

You can delete cookies at any time via your browser settings. You can withdraw consent to optional cookies via the settings menu.

9. Recipients / Processors Overview

10. Retention

• Account data: until the user deletes the account.
• Anonymous versus accounts without a completed match: max. 30 days (see section 4a).
• Game progress (scores, match history incl. replay logs and game recordings, belt levels): until the account is deleted, as belts, personal bests and leaderboards are built on it.
• Activity log (friends feed entries): 12 months, then deleted automatically by a daily job.
• Server logs (nginx access and error logs at the hosting provider, see section 3): 14 days, then deleted automatically by daily rotation.
• Server logs of the authentication component (can contain IP addresses, see section 4): 14 days at most, then deleted automatically by a nightly job.
• Database backups (on the same server at Hetzner, Nuremberg): 14 days.
• Backup copy (Hetzner Storage Box, Falkenstein, see section 4): 30 days, then deleted automatically by a nightly job; recoverable from the storage's daily snapshots for at most 10 further days.
• Sentry error reports: 30 days (plan-based retention; deleted automatically by Sentry thereafter).
• PostHog events: 30 days, deleted automatically by PostHog thereafter.
• Resend e-mail logs (incl. content of the system e-mails): 30 days, deleted automatically by Resend thereafter.
• Data subject to statutory retention duties (e.g. tax law) is kept until expiry of the legal deadline.

11. Your Rights as a Data Subject

Under the GDPR you have the right to:

• Access (Art. 15)
• Rectification (Art. 16)
• Erasure / "right to be forgotten" (Art. 17)
• Restriction of processing (Art. 18)
• Data portability (Art. 20) — export your data in a machine-readable format
• Object to processing (Art. 21)
• Withdraw consent (Art. 7(3)) — applies prospectively
• Lodge a complaint with a supervisory authority (Art. 77): Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW), Kavalleriestraße 2–4, 40213 Düsseldorf, Germany, https://www.ldi.nrw.de

To exercise these rights, contact: minddojogame@gmail.com

Self-service flows are available inside the product (account deletion, data export) — see your profile / settings.

12. Account Deletion and Data Export

• Deletion: You can delete your account at any time from the settings page. All personal data will be irreversibly removed from the database (Art. 17 GDPR). Aggregated, non-identifying statistics may remain.
• Export: You can request an export of your data in a machine-readable format (Art. 20 GDPR).

13. SSL/TLS Encryption

This website uses SSL/TLS encryption for security and to protect the transmission of confidential content. Recognizable by "https://" and the padlock icon in your browser.

14. Transfers to Third Countries

To the extent data is transferred to providers located or hosted outside the EU/EEA (in particular the USA), this is based on:

• the EU Commission's adequacy decision under the EU-US Data Privacy Framework (decision of 10 July 2023) — certified there are Sentry (Functional Software, Inc. dba Sentry.io), PostHog Inc., and Resend (Plus Five Five, Inc.); or
• the EU Standard Contractual Clauses (SCCs) with supplementary safeguards, where a provider is not (or no longer) certified under the Data Privacy Framework.

The certification status of these companies can be verified in the official list at https://www.dataprivacyframework.gov/list (checked: 11 August 2026; Resend checked 25 August 2026).

15. Automated Decision-Making

We do not use automated decision-making or profiling within the meaning of Art. 22 GDPR.

16. Changes to this Privacy Policy

We may update this policy if the legal situation or scope of the application changes. The current version is always available on this page.