Datenschutzerklärung

Verantwortlich für die Datenverarbeitung auf btc-clan.xyz und den zugehörigen Discord-Bot "Bitcoin [BTC] Clan Bot" ist:

Wir verarbeiten deine Daten ausschließlich für folgende Zwecke:

• Authentifizierung und Autorisierung (Login, Rollenzuweisung)
• Bereitstellung der Website-Funktionen (Dashboard, Profil, Statistiken)
• Betrieb des Discord-Bots (Tickets, Gewinnspiele, Vorschläge)
• Verifizierung der Minecraft-Account-Zugehörigkeit
• Auktions- und Markt-Tracking inkl. Benachrichtigungen per Discord-DM
• Anzeige von Mitgliederprofilen und Clan-Statistiken
• Sicherheitsüberwachung (Login-Anomalien, Profiländerungs-Erkennung, VPN/Proxy-Erkennung, Multi-Account-Prüfung)
• Synchronisierung von Clan-Mitgliederdaten zur Website (team.json)

• Einwilligung (Art. 6 Abs. 1 lit. a)— Durch die Anmeldung via Discord OAuth2 und die optionale Minecraft-Verifizierung willigst du in die beschriebene Datenverarbeitung ein. Die Einwilligung kann jederzeit widerrufen werden.
• Vertragserfüllung (Art. 6 Abs. 1 lit. b)— Verarbeitung deiner Daten zur Bereitstellung der Clan-Dienste (Dashboard, Tickets, Benachrichtigungen, Auktions-Tracking).
• Berechtigtes Interesse (Art. 6 Abs. 1 lit. f)— Sicherheitsmaßnahmen wie Multi-Account-Erkennung, VPN/Proxy-Prüfung, Login-Überwachung und Brute-Force-Schutz zum Schutz unserer Dienste und Nutzer.

Deine Daten werden in einer PostgreSQL-Datenbank auf einem gesicherten VPS (Virtual Private Server) gespeichert. Alle Datenbankabfragen sind parametrisiert (Schutz gegen SQL-Injection).

Ticket-Transkriptewerden als HTML-Dateien bei Cloudflare R2 (S3-kompatibel) abgelegt und über eine URL im Ticket-Datensatz referenziert.

Mitglieder-Avatare werden vom Discord-CDN heruntergeladen und lokal auf dem Webserver gespeichert, um sie auf der Mitgliederseite anzuzeigen.

Daten werden gespeichert, solange dein Konto aktiv ist oder du Mitglied des Clans bist. Temporäre Daten (z.B. ausstehende Verifizierungen) werden nach Ablauf automatisch ungültig.

Konkrete Fristen:

• VPN/Proxy-Prüfergebnisse: 24 Stunden gecacht, danach gelöscht
• Wartungsmodus-Fehlversuche (IP): 5 Minuten, danach automatisch gelöscht
• Verifizierungscodes: 15 Minuten gültig, danach verworfen
• Session-Cookies: 7 Tage, danach automatisch ungültig
• Ticket-Transkripte: gespeichert bis zur manuellen Löschung durch die Clan-Leitung
• Kontodaten: gespeichert bis zur Löschungsanfrage oder Clan-Austritt

Bei Löschungsanfragen werden alle personenbezogenen Daten innerhalb von 30 Tagen entfernt.

Backups:Wöchentliche DB-Backups werden für maximal 4 Wochenbei Cloudflare R2 aufbewahrt und dann rotiert (überschrieben). Bei einer Löschungsanfrage werden die Daten aus der Live-Datenbank sofort entfernt; aus Backups verschwinden sie spätestens mit der nächsten Rotation. Eine Wiederherstellung aus einem älteren Backup führt nur zur Wieder-Einspielung der bereits gelöschten Daten, wenn dies durch einen konkreten Vorfall erforderlich ist — danach würden wir deine Löschung erneut vollziehen.

Deine personenbezogenen Daten werden nicht verkauftund nicht für Werbezwecke an Dritte weitergegeben. Folgende externe Dienste werden im Rahmen des Betriebs genutzt:

• •
  Discord API & OAuth2— Anmeldung, Rollen-Abfrage, DM-Versand, automatischer Server-Beitritt. Es gelten die Datenschutzrichtlinien von Discord.
• •
  Mojang API — Auflösung von Minecraft-Spielernamen zu UUIDs (Java Edition). Nur Spielername wird gesendet.
• •
  mcprofile.io — Auflösung von Xbox-Gamertags zu UUIDs (Bedrock Edition). Nur Gamertag wird gesendet.
• •
  Geyser API — Rückauflösung von Bedrock-XUIDs zu Gamertags. Nur XUID wird gesendet.
• •
  OPSUCHT API— Abruf von Auktions-, Markt- und Händlerdaten des OPSUCHT-Servers. Keine Nutzerdaten werden gesendet. Hinweis:btc-clan.xyz ist ein unabhängiges Community-Projekt und steht in keiner offiziellen Verbindung zum OPSUCHT-Server oder dessen Betreibern. Die Bezeichnung „OPSUCHT“ sowie alle Server-bezogenen Markenrechte verbleiben bei den jeweiligen Rechteinhabern.
• •
  mc-heads.net — Anzeige von Minecraft-Spieler-Avataren anhand der UUID (clientseitig im Browser).
• •
  Cloudflare R2 — Speicherung von Ticket-Transkripten. Zugriff nur über den Bot (nicht öffentlich indiziert).
• •
  proxycheck.io— VPN/Proxy-Erkennung bei Login (Anbieter mit Sitz in Großbritannien). Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am Schutz vor VPN-Multi-Account-Missbrauch). Übermittelt wird ausschließlich die IP-Adresse. Ergebnisse werden 24 Stunden gecacht, danach automatisch gelöscht. UK gilt seit dem Angemessenheitsbeschluss der EU-Kommission (2021) als sicheres Drittland.

Es werden keine externenAnalysedienste (Google Analytics, Sentry, Matomo o.ä.), Werbenetzwerke oder Third-Party-Tracking-Pixel eingesetzt. Wir betreiben ein eigenes, minimales Pageview-Trackingauf unseren eigenen Servern — siehe Abschnitt 7 unten. Dieses Tracking läuft ausschließlich bei ausdrücklicher Einwilligung (Cookie-Banner).

Drittlandsübermittlung:Einige der genannten Dienste (Discord, Cloudflare, Mojang) haben ihren Sitz in den USA. Die Datenübermittlung erfolgt auf Grundlage des EU-US Data Privacy Framework (Angemessenheitsbeschluss der EU-Kommission) bzw. Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO). Die genannten Dienste sind eigenständige Verantwortliche mit eigenen Datenschutzrichtlinien.

Technisch notwendige Cookies(keine Einwilligung nötig, § 25 Abs. 2 Nr. 2 TDDDG— unbedingt erforderlich für den Dienst — i. V. m. Art. 6 Abs. 1 lit. f DSGVO):

• next-auth.session-token— JWT-Session-Cookie (httpOnly, Secure, SameSite=Lax). Gültigkeit: 7 Tage.
• maintenance_bypass_v2— Wartungsmodus-Zugang (httpOnly, Secure, SameSite=Lax). Gültigkeit: 24 Stunden. Nur für Teammitglieder.
• localStorage „btc-cookie-consent-v1“— speichert deine Cookie-Banner-Entscheidung (kein personenbezogenes Datum).
• Consent-Audit-Log (serverseitig)— zusätzlich zur LocalStorage-Speicherung loggen wir jede Einwilligungs-/Ablehnungs-Entscheidung serverseitig mit Zeitstempel, IP-Hash (siehe oben — pseudonymisiert) und User-Agent, damit wir im Streitfall nachweisen können, dass die Einwilligung erfolgt ist (Art. 7 Abs. 1 DSGVO). Aufbewahrung: 3 Jahre, danach automatische Löschung.

Einwilligungsbasiertes Pageview-Tracking(§ 25 Abs. 1 TDDDGi. V. m. Art. 6 Abs. 1 lit. a DSGVO — nur wenn du im Cookie-Banner zugestimmt hast):

• Was wird erfasst?Aufgerufener Pfad (z. B./auktionen), Zeitstempel, SHA-256-Hash der IP-Adresse mit einem nur uns bekannten Salt (für externe Dritte praktisch nicht zurückführbar, für uns als Verantwortliche theoretisch rekonstruierbar — daher technisch pseudonymisiert), eingeloggte Discord-ID falls vorhanden. Der Salt wird jährlich rotiert, sodass Hashes vor dem Rotationsdatum mit neuen Hashes nicht mehr vergleichbar sind.
• Zweck:Verstehen welche Seiten im Clan genutzt werden, aggregierte Besucherzahlen für das interne Admin-Dashboard. Keine individuellen Profile, keine Drittweitergabe.
• Wo liegen die Daten?Unser eigener Hetzner-Server (DE). Keine Übermittlung in Drittländer. Tabellepage_viewsin unserer PostgreSQL-Datenbank.
• Widerruf:Jederzeit über den Link „Cookie-Einstellungen“ im Footer. Nach Widerruf werden keine neuen Pageviews erfasst.
• Aufbewahrung:12 Monate rollierend, danach automatische Löschung.

Es werden keine Werbe-Cookies, Third-Party-Tracker, Social-Media-Pixel oder externen Analysedienste eingesetzt.

Der Discord-Bot nutzt folgende privilegierte Gateway Intents:

• GUILD_MEMBERS — Erkennung von Beitritten, Austritten, Rollen- und Profiländerungen
• GUILD_PRESENCES — Status-Erkennung für Mitglieder-Sync
• MESSAGE_CONTENT — Lesen von Nachrichteninhalten in Ticket-Kanälen für Transkripte

Der Bot sendet Direktnachrichten (DMs) für: Auktions-Benachrichtigungen (Überboten, Gewonnen, Endet bald, Watchlist), Konto-Sicherheitswarnungen (Login-Benachrichtigungen, Profiländerungen) und Gewinnspiel-Gewinnbenachrichtigungen. Alle DM-Benachrichtigungen sind über das Dashboard einzeln deaktivierbar.

• Öffentlich sichtbar: Auktions- und Marktdaten, Spielerstatistiken (Gebote, Verkäufe) — basierend auf der OPSUCHT-API
• Für Clan-Mitglieder: Mitgliederprofile, "Über mich"-Texte, Vorschläge, Gewinnspiele, Clan-Statistiken
• Nur für dich: Persönliches Dashboard, Watchlist, Benachrichtigungseinstellungen, Gebotsverlauf
• Für Teammitglieder: Ticket-Inhalte, Transkripte, Bewertungen, erweiterte Mitgliederstatistiken

Du hast jederzeit das Recht auf:

• Auskunft — welche Daten über dich gespeichert sind
• Berichtigung — falscher oder unvollständiger Daten
• Löschung — deiner personenbezogenen Daten
• Widerruf — der Verifizierung und Datenverarbeitung
• Datenportabilität — Export deiner gespeicherten Daten in einem gängigen Format (JSON)
• Widerspruch gegen automatisierte Entscheidungen — bei Multi-Account-Erkennung kannst du eine menschliche Überprüfung anfordern
• Ausblendung öffentlicher Daten — du kannst verlangen, dass dein Spielerprofil und alle öffentlich sichtbaren Daten (Auktionshistorie, Spielerstatistiken) von der Website ausgeblendet werden. Die Daten bleiben intern gespeichert, sind aber nicht mehr öffentlich auffindbar.
• Beschwerde bei einer Aufsichtsbehörde — du hast das Recht, dich bei einer Datenschutz-Aufsichtsbehörde zu beschweren (z.B. LDI NRW)

Anfragen werden innerhalb von 30 Tagen bearbeitet (Art. 12 Abs. 3 DSGVO). Kontakt: [email protected]oder über das Ticket-System auf Discord. Bei Löschungsanfragen werden alle personenbezogenen Daten aus der Datenbank entfernt, einschließlich Verifizierung, Profildaten, Benachrichtigungseinstellungen und Watchlist-Einträge.

Beschwerde bei der Aufsichtsbehörde:Du hast das Recht, dich bei einer Datenschutz-Aufsichtsbehörde zu beschweren. Für unseren Sitz ist dies:
Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW)
Kavalleriestraße 2–4, 40213 Düsseldorf
Telefon: 0211/38424-0 · www.ldi.nrw.de

• Alle Verbindungen über HTTPS verschlüsselt
• Session-Cookies mit httpOnly, Secure und SameSite-Flags
• Parametrisierte Datenbankabfragen (Schutz gegen SQL-Injection)
• Rollenbasierte Zugriffskontrolle auf Website und API
• Login-Überwachung mit automatischen Sicherheitswarnungen