Stand: Oktober 2026
Florian Dryba
Bülowstr. 30, 42659 Solingen
Telefon: 015678 372403
E-Mail: hallo@kronikus.de
Kronikus ist ein Stadtrundgang mit Rätseln im Browser. Du brauchst kein Konto. Wir verarbeiten nur die Daten, die für den Kauf, das Spielen und den Schutz der Seite nötig sind. Wir setzen kein Tracking und keine Werbung ein.
Die Website und die App werden über Firebase von Google bereitgestellt (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland, und Google LLC, 1600 Amphitheatre Parkway, Mountain View, CA 94043, USA). Beim Aufruf verarbeitet Google technisch notwendige Daten: deine IP-Adresse, Datum und Uhrzeit, die aufgerufene Seite, Browser und Betriebssystem. Ohne diese Daten kann die Seite nicht ausgeliefert werden.
Auch bei Anfragen an unsere Server-Funktionen (z. B. Bestellung, Spielstand, Widerruf) protokolliert Google technisch die IP-Adresse und den Browser. Diese Protokolle werden nach 30 Tagen automatisch gelöscht.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer sicheren und funktionsfähigen Website). Mit Google besteht ein Vertrag zur Auftragsverarbeitung (Datenverarbeitungsbedingungen von Firebase und Google Cloud). Google kann Daten auch in den USA verarbeiten; Google LLC ist nach dem EU-US Data Privacy Framework zertifiziert.
Schriftarten und die Kartenbibliothek (Leaflet) liegen auf unserem eigenen Server. Beim Laden der Seite wird dafür keine Verbindung zu Dritten aufgebaut.
Um unsere Server und Bestellfunktionen vor automatisierten Angriffen (Bots) und dadurch verursachten Kosten zu schützen, nutzen wir Firebase App Check mit reCAPTCHA Enterprise von Google. Dabei werden auf den Seiten für Spiel, Bestellung, Bestätigung, Rangliste und Widerruf Informationen über dein Gerät und deinen Browser sowie deine IP-Adresse an Google übermittelt und dort ausgewertet, um echte Besucher von Bots zu unterscheiden. Du musst dafür nichts anklicken.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Sicherheit der Website und am Schutz vor missbräuchlichen Zugriffen) sowie § 25 Abs. 2 Nr. 2 TDDDG (für den Betrieb unbedingt erforderlich). Google kann Daten auch in den USA verarbeiten (EU-US Data Privacy Framework).
Wenn du auf „Zahlungspflichtig bestellen" klickst, speichern wir in unserer Datenbank (Firebase Firestore, Google) eine Bestellung: Bestellnummer, Tour, Ticket-Art, Spielerzahl, Preis, Gültigkeit, Zeitpunkt der Bestellung sowie den Wortlaut und die Version deiner Erklärung zum vorzeitigen Beginn (Zustimmungsprotokoll). Eine IP-Adresse speichern wir dabei nicht. Nach der Zahlung kommen deine E-Mail-Adresse, der Zeitpunkt der Zahlung und die erzeugten Spiellinks hinzu.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertrag) und Art. 6 Abs. 1 lit. c DSGVO (gesetzliche Nachweis- und Aufbewahrungspflichten).
Die Bezahlung läuft über Stripe (Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Dublin, Irland). Auf der Bezahlseite gibst du deine Daten direkt bei Stripe ein, etwa E-Mail-Adresse, Name, gegebenenfalls Rechnungsadresse und Zahlungsdaten. Kartendaten erhalten wir nicht. Stripe übermittelt uns die E-Mail-Adresse, den Betrag und den Zahlungsstatus. Stripe ist für die Zahlungsabwicklung teilweise selbst verantwortlich und kann Daten auch in den USA verarbeiten (EU-US Data Privacy Framework).
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
Deine Spiellinks und die Vertragsbestätigung schicken wir dir per E-Mail. Für den Versand nutzen wir den Dienst Resend (Plus Five Five, Inc., 2261 Market Street #5039, San Francisco, CA 94114, USA). Dabei werden deine E-Mail-Adresse und der Inhalt der E-Mail verarbeitet. Der Versand läuft über Server in Irland. Mit Resend besteht ein Vertrag zur Auftragsverarbeitung einschließlich der EU-Standardvertragsklauseln; Resend ist zudem nach dem EU-US Data Privacy Framework zertifiziert.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
Dein Spiellink enthält einen zufälligen Code (Token). Zu jedem Token speichern wir in Firestore den Spielstand: Status, Punkte, Start- und Endzeit sowie den Spieler- oder Teamnamen, den du selbst eingibst. Bitte wähle einen Namen, der nicht deinen vollen echten Namen verrät. Namen werden automatisch auf beleidigende Wörter geprüft.
Bei einem Gruppen-Ticket sehen alle, die den Link zur Rangliste kennen, die Spielernamen, Punkte und Spielzeiten der Gruppe.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Bereitstellung des Spiels).
Die App speichert in deinem Browser (localStorage) deine gewählte Sprache, die Darstellung (hell/dunkel) und deinen Spielfortschritt, damit du nach einer Pause weiterspielen kannst. Außerdem legt sie Dateien der App im Browser-Cache ab, damit sie unterwegs auch bei schlechtem Empfang funktioniert. Diese Daten bleiben auf deinem Gerät und werden nicht an uns übertragen. Du kannst sie jederzeit über die Browser-Einstellungen löschen.
Rechtsgrundlage: § 25 Abs. 2 Nr. 2 TDDDG (für die von dir gewünschte Funktion unbedingt erforderlich).
Wenn du die Karte öffnest, lädt dein Browser die Kartenbilder von den Servern der OpenStreetMap Foundation (St John’s Innovation Centre, Cowley Road, Cambridge, CB4 0WS, Großbritannien). Dabei wird deine IP-Adresse übertragen. Für Großbritannien besteht ein Angemessenheitsbeschluss der EU-Kommission. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Darstellung der Route).
Die App fragt deinen Standort nicht ab. Für die Navigation zur nächsten Station öffnest du auf eigenen Wunsch Apple Karten oder Google Maps. Dafür gelten die Datenschutzbestimmungen von Apple bzw. Google.
Wenn du deinen Vertrag über unser Widerrufsformular widerrufst, speichern wir deinen Namen, deine E-Mail-Adresse, deine Angaben zur Bestellung, deine Anmerkung und den Zeitpunkt des Eingangs. Du und wir erhalten darüber eine E-Mail (Versand über Resend).
Rechtsgrundlage: Art. 6 Abs. 1 lit. c DSGVO (gesetzliche Pflicht zur Bereitstellung der Widerrufsfunktion und zur Eingangsbestätigung) und Art. 6 Abs. 1 lit. b DSGVO.
Nach dem Kauf fragen wir dich, ob wir dir gelegentlich Rabattcodes und neue Städte per E-Mail schicken dürfen. Nur wenn du zustimmst, speichern wir deine E-Mail-Adresse und ein Protokoll deiner Einwilligung: Wortlaut und Version der Frage, Zeitpunkt, die zugehörige Bestellnummer und dass die Zustimmung auf der Bestätigungsseite nach dem Kauf erteilt wurde. Die Einwilligung ist nur möglich, wenn die E-Mail-Adresse zu deiner Bestellung passt. Du kannst die Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen, zum Beispiel per E-Mail an hallo@kronikus.de.
Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung).
Wenn du uns schreibst, verwenden wir deine E-Mail-Adresse und deine Nachricht nur zur Beantwortung. E-Mails an hallo@kronikus.de nimmt der Dienst Cloudflare (Cloudflare, Inc., San Francisco, USA) entgegen und leitet sie an unser Postfach bei Google (Gmail) weiter. Mit Cloudflare besteht ein Vertrag zur Auftragsverarbeitung; Cloudflare und Google LLC sind nach dem EU-US Data Privacy Framework zertifiziert.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Beantwortung deiner Anfrage) bzw. lit. b DSGVO, wenn es um deine Bestellung geht.
Wir verwenden kein Google Analytics, kein Facebook-Pixel und keine anderen Analyse- oder Werbedienste. Es werden keine Tracking-Cookies gesetzt.
Wir geben deine Daten nur an die oben genannten Dienstleister weiter, soweit es für den jeweiligen Zweck nötig ist: Google (Hosting, Datenbank, App Check, E-Mail-Postfach), Stripe (Zahlung), Resend (E-Mail-Versand), Cloudflare (E-Mail-Weiterleitung) sowie die OpenStreetMap Foundation (Kartenbilder). Mit Google (Firebase und Google Cloud), Resend und Cloudflare bestehen Verträge zur Auftragsverarbeitung. Stripe ist für die Zahlungsabwicklung teilweise selbst verantwortlich.
Du hast das Recht auf:
Widerspruchsrecht: Soweit wir Daten auf Grundlage eines berechtigten Interesses verarbeiten (Art. 6 Abs. 1 lit. f DSGVO), kannst du aus Gründen, die sich aus deiner besonderen Situation ergeben, jederzeit widersprechen (Art. 21 DSGVO).
Für alle Anfragen: hallo@kronikus.de
Du hast das Recht, dich bei einer Datenschutz-Aufsichtsbehörde zu beschweren. Für uns zuständig ist:
Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW)
Kavalleriestr. 2–4, 40213 Düsseldorf
www.ldi.nrw.de