Datenschutzerklärung

1. Verantwortlicher

Fabian Wagenfeld, Friedrich-Wilhelm-Straße 98
32423 Minden, Deutschland
E-Mail: mccurlygames@gmail.com

EmbedAvatar ist ein kostenloses, nicht-kommerzielles Projekt. Wir verarbeiten nur die Daten, die für den Dienst nötig sind. Es gibt keine Werbung, kein Tracking, keine Analysewerkzeuge und keine Inhalte von Drittanbietern (Schriften und alle Dateien kommen von unserem eigenen Server).

2. Aufruf der Website und Server-Protokolle

Beim Aufruf jeder Seite verarbeitet unser Webserver technisch notwendige Daten: IP-Adresse, Zeitpunkt, angefragte Adresse, Statuscode, übertragene Datenmenge und Antwortzeit. In den Protokollen speichern wir die IP-Adresse nur gekürzt (das letzte Byte bzw. bei IPv6 alles nach den ersten drei Blöcken entfernt). Adressen von Overlays, Konfigurationen und Bildern protokollieren wir ohne den geheimen Teil der Adresse.

Zweck ist der sichere und stabile Betrieb (Fehlersuche, Abwehr von Angriffen). Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Die Protokolle werden nach 7 Tagen gelöscht, Systemprotokolle nach 14 Tagen.

Der Server wird betrieben von: netcup GmbH, Karlsruhe, Deutschland. Mit dem Anbieter besteht ein Vertrag zur Auftragsverarbeitung (Art. 28 DSGVO).

3. Konto

Für ein Konto verarbeiten wir: E-Mail-Adresse, Passwort (nur als sicherer Hash, scrypt), bevorzugte Sprache, optional einen Anzeigenamen, Zeitpunkte von Anlage, Bestätigung und letzter Anmeldung. Für jede Anmeldung legen wir eine Sitzung an (zufälliger Schlüssel, in der Datenbank nur als Hash; dazu gekürzte Browserkennung und Zeitpunkte, keine IP-Adresse).

Die Registrierung erfolgt im Double-Opt-in: Erst wenn du den Link in der Bestätigungsmail öffnest, entsteht das Konto. Unbestätigte Registrierungen verfallen nach 24 Stunden.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Nutzungsverhältnis). Sitzungen enden spätestens nach 90 Tagen; die Kontodaten speichern wir, bis du das Konto löschst.

4. Anmeldung mit Google oder Twitch

Wenn du dich mit Google oder Twitch anmeldest, erhalten wir von dort eine Kennung deines Kontos beim Anbieter, deine E-Mail-Adresse und die Angabe, ob diese dort bestätigt ist. Wir speichern keine Zugriffs-Tokens der Anbieter und greifen auf keine weiteren Daten zu.

Google (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland) und Twitch (Twitch Interactive, Inc., 350 Bush Street, San Francisco, CA 94104, USA) sind für die Verarbeitung bei der Anmeldung selbst verantwortlich. Dabei können Daten in die USA übermittelt werden; die Anbieter stützen die Übermittlung nach eigenen Angaben auf das EU-US Data Privacy Framework. Details: Datenschutz bei Google, Datenschutz bei Twitch.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO; die Anmeldung über einen Anbieter ist freiwillig.

5. Avatare, Bilder und Overlays

Hochgeladene Bilder prüfen wir und kodieren sie neu; dabei werden eingebettete Metadaten (z. B. Kamera- und Standortdaten) entfernt. Wir speichern Bilder, Avatar-Einstellungen und Overlays, bis du sie oder dein Konto löschst. Gelöschte Bilder entfernen wir spätestens nach 24 Stunden vom Server.

Bitte beachte: Bilder und Overlay-Einstellungen sind für alle abrufbar, die den Overlay-Link oder die Bildadresse kennen – so kann OBS sie ohne Anmeldung laden. Suchmaschinen weisen wir an, diese Adressen nicht aufzunehmen. Lade daher nichts hoch, was nicht öffentlich werden darf.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

6. Mikrofon und Sprachaktivierung

Ton verlässt nie dein Gerät. Je nach Einrichtung gilt:

• OBS (obs-websocket): Das Overlay liest in OBS nur den Lautstärkepegel über eine lokale Verbindung auf deinem PC (127.0.0.1). Nichts davon erreicht unseren Server.
• Steuerseite: Die Steuerseite misst die Lautstärke in deinem Browser und schickt über unseren Server nur den Zustand „spricht“ oder „still“ an deine Overlays.
• Mikrofon in der Browserquelle oder in der Vorschau: Die Messung findet ausschließlich im Browser statt.
• Assistent: Solange du die Einrichtungsseite geöffnet hast, schickt dein Overlay zehnmal pro Sekunde den Pegelwert und die Namen deiner Audio-Eingänge an deine geöffnete Seite, damit du die Einstellung prüfen kannst.

Sprechzustände, Pegel und Eingangsnamen werden weder gespeichert noch protokolliert. Für Overlays speichern wir höchstens alle fünf Minuten, wann sie zuletzt verbunden waren und welche Quelle aktiv war.

7. E-Mails

Wir senden nur E-Mails, die für den Dienst nötig sind: Bestätigung der Registrierung oder einer neuen Adresse, Passwort zurücksetzen, Sicherheitshinweise (z. B. Passwort geändert) und Bestätigung der Kontolöschung. Für den Versand nutzen wir derzeit keiner – EmbedAvatar versendet keine E-Mails als Auftragsverarbeiter (Art. 28 DSGVO).

Die Inhalte einer E-Mail (z. B. Links) löschen wir sofort nach dem Versand, die Versandeinträge nach 30 Tagen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

8. Meldungen rechtswidriger Inhalte

Wenn du über das Meldeformular oder per E-Mail einen Inhalt meldest, verarbeiten wir die Angaben der Meldung und – falls angegeben – deine E-Mail-Adresse, um die Meldung zu prüfen und dir zu antworten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit Art. 16 DSA sowie Art. 6 Abs. 1 lit. f DSGVO. Wir löschen die Angaben, wenn der Vorgang abgeschlossen ist und keine Aufbewahrungspflichten bestehen.

9. Cookies und lokale Speicherung

Wir verwenden nur technisch notwendige Speicherungen auf deinem Gerät:

Name	Zweck	Dauer
__Host-ea_s (Cookie)	hält dich angemeldet	bis zur Abmeldung, höchstens 30 Tage ohne Nutzung bzw. 90 Tage
__Host-ea_o (Cookie)	schützt die Anmeldung mit Google/Twitch	10 Minuten
ea.locale (lokaler Speicher)	merkt sich die gewählte Sprache	bis du sie löschst

Diese Speicherungen sind für den von dir gewünschten Dienst unbedingt erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG); eine Einwilligung ist deshalb nicht nötig, und es gibt kein Cookie-Banner.

10. Sicherheit und Sicherungen

Alle Verbindungen sind TLS-verschlüsselt. Passwörter speichern wir nur als Hash, Sitzungen und Einmal-Links nur als Hash. Die Datenbank wird alle sechs Stunden gesichert; die Sicherungen werden verschlüsselt an einem zweiten Standort des Betreibers aufbewahrt und nach etwa 60 Tagen gelöscht. Gelöschte Daten verschwinden deshalb spätestens nach dieser Frist auch aus den Sicherungen.

11. Speicherdauer im Überblick

Daten	Löschung
Konto, Avatare, Overlays	mit der Kontolöschung sofort; Bilder spätestens nach 24 Stunden
Sitzungen	bei Abmeldung, spätestens nach 90 Tagen
Einmal-Links (Bestätigung, Passwort)	nach Ablauf (höchstens 24 Stunden) plus 1 Tag
Server-Protokolle	7 Tage (Systemprotokolle 14 Tage)
Versandeinträge von E-Mails	30 Tage
Protokoll von Verwaltungsaktionen	2 Jahre
Sicherungen	etwa 60 Tage

12. Deine Rechte

Du hast das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch gegen Verarbeitungen auf Grundlage von Art. 6 Abs. 1 lit. f (Art. 21).

Im Konto kannst du jederzeit alle deine Daten als ZIP-Datei exportieren und dein Konto selbst löschen. Für alles andere schreib uns an mccurlygames@gmail.com.

Du kannst dich außerdem bei einer Datenschutz-Aufsichtsbehörde beschweren, zum Beispiel bei: Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW), Kavalleriestraße 2–4, 40213 Düsseldorf.

13. Mindestalter

EmbedAvatar richtet sich an Personen ab 16 Jahren.

14. Änderungen

Wir passen diese Erklärung an, wenn sich der Dienst oder die Rechtslage ändert. Es gilt die jeweils hier veröffentlichte Fassung.

Stand: 19.10.2026