Datenschutzerklärung

Stand: 16.10.2026

1. Wer ist verantwortlich?

Christian Hetkamp
E-Mail: support@spikenet.de

SpikeNET ist ein privates, nicht kommerzielles Community-Projekt. Alle Dienste laufen auf eigenen Servern in Deutschland. Wo Daten an andere Anbieter gehen, steht das unten beim jeweiligen Dienst: IONOS (Domain, E-Mail-Versand), Defiant und CrowdSec (Schutz vor Angriffen), Google (App-Benachrichtigungen, Absturzberichte), Cloudflare (Erreichbarkeitsprüfung), Autodarts (Dart-Spiele) und der Anbieter des Medienservers.

2. Aufruf der Website

Beim Aufruf von spikenet.de und der Unterseiten (z. B. grid.spikenet.de) werden technisch notwendige Daten verarbeitet: IP-Adresse, Datum und Uhrzeit, aufgerufene Adresse, übertragene Datenmenge, die zuvor besuchte Seite sowie Browser und Betriebssystem. Unser Weiterleitungs-Server (Reverse-Proxy) speichert diese Daten in Protokolldateien, um den Betrieb und die Sicherheit zu gewährleisten. Zugriffsprotokolle werden nach spätestens fünf Wochen, Fehlerprotokolle nach spätestens elf Wochen automatisch gelöscht. Die Protokolldateien der weiteren Dienste auf diesem Server (z. B. zentrale Anmeldung, E-Mail-Server, Besucherstatistik) enthalten ebenfalls IP-Adressen und werden nach spätestens sieben Tagen automatisch gelöscht; die zentrale Anmeldung bewahrt Anmelde-Ereignisse mit IP-Adresse zusätzlich bis zu sieben Tage auf, und der E-Mail-Server zeigt in seiner Verwaltung die jeweils letzten 10.000 Protokolleinträge an.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am sicheren Betrieb).

3. Schutz vor Angriffen

Zum Schutz vor Angriffen und automatisierten Anmeldeversuchen werten wir IP-Adressen, aufgerufene Adressen und Anmeldeversuche aus und sperren auffällige Adressen vorübergehend. Dafür setzen wir ein:

Wordfence (Sicherheits-Erweiterung für WordPress) der Defiant, Inc., USA. Wordfence läuft auf unserem eigenen Server und speichert dort Anmeldeversuche (IP-Adresse, Benutzername, Zeitpunkt, Browserkennung); diese Einträge werden nach 30 Tagen automatisch gelöscht. IP-Adressen von Besuchern übermitteln wir nicht an Defiant. Bei Admin-Konten prüft Wordfence, ob das Passwort aus bekannten Datenlecks stammt; dafür wird nur ein kurzer, nicht umkehrbarer Teil eines Prüfwerts an Defiant übertragen, nie das Passwort. Defiant ist derzeit nicht unter dem EU-US Data Privacy Framework zertifiziert; diese Übermittlung in die USA stützt sich auf die Standardvertragsklauseln der EU-Kommission, die Wordfence mit seinen Nutzungsbedingungen vereinbart.
CrowdSec der CrowdSec SAS, 20 rue Maurice Arnoux, 92120 Montrouge, Frankreich. Erkennt CrowdSec einen Angriff, übermitteln wir die IP-Adresse, die Art des Angriffs und den Zeitpunkt an CrowdSec und erhalten im Gegenzug eine Sperrliste bekannter Angreifer. Warnungen werden bei uns nach sieben Tagen gelöscht; CrowdSec speichert die Adressen nach eigenen Angaben höchstens drei Monate unverändert und vergröbert sie danach.
fail2ban auf unserem eigenen Webserver (keine Weitergabe an Dritte). Anmeldungen und Anmeldeversuche werden mit IP-Adresse, Benutzername und Zeitpunkt im Systemprotokoll des Webservers vermerkt; nach wiederholten Fehlversuchen wird die IP-Adresse für bis zu vier Stunden gesperrt. Das Systemprotokoll wird nach spätestens fünf Wochen automatisch gelöscht.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am sicheren Betrieb).

4. Schriftarten und fremde Inhalte

Schriftarten, Symbole und Skripte laden wir ausschließlich von unseren eigenen Servern, nicht von Google oder anderen Anbietern. Auf den öffentlichen Seiten sind keine Videos oder sonstigen Inhalte fremder Anbieter eingebettet.
Auch im Mitgliederbereich und in der App laden wir keine Profilbilder oder Grafiken von fremden Diensten: Wer kein eigenes Profilbild hochgeladen hat, sieht ein Standardbild von unserem Server.

5. Besucherstatistik (Matomo)

Für eine Statistik der Seitenaufrufe setzen wir Matomo auf unserem eigenen Server (stats.spikenet.de) ein. Verarbeitet werden die aufgerufenen Seiten, Datum und Uhrzeit, die zuvor besuchte Seite, die Ladezeit der Seite, Browser und Betriebssystem (aus den Angaben, die dein Browser bei jedem Seitenaufruf ohnehin mitsendet) sowie der ungefähre Ort (Land, Region, Stadt), den Matomo aus deiner IP-Adresse ableitet. Bildschirmgröße und weitere Merkmale deines Browsers (z. B. Erweiterungen) liest Matomo nicht aus. Deine IP-Adresse wird sofort gekürzt (die letzten zwei Blöcke werden entfernt) und nur so gespeichert. Matomo setzt für die Statistik keine Cookies. Um mehrere Seitenaufrufe zu einem Besuch zusammenzufassen, bildet Matomo aus Browser, Betriebssystem, Spracheinstellung und IP-Adresse einen nicht umkehrbaren Prüfwert, der jeden Tag neu gebildet wird; über den Tag hinaus erkennt Matomo dich damit nicht wieder. Hast du in deinem Browser „Do Not Track“ (nicht verfolgen) eingeschaltet, wirst du nicht erfasst. Die Daten werden nicht an Dritte weitergegeben. Auch angemeldete Mitglieder werden gezählt, Admins nicht. Die gespeicherten Rohdaten werden nach 180 Tagen automatisch gelöscht; danach bleiben nur zusammengefasste Berichte (z. B. Aufrufe je Seite und Tag).
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer datensparsamen Statistik der Seitenaufrufe).
Du kannst der Erfassung hier widersprechen. Dein Widerspruch wird im Cookie mtm_consent_removed gespeichert, damit er beachtet wird:

6. Cookies

Für den Betrieb nötige Cookies (§ 25 Abs. 2 TDDDG):

__wpdm_client: Sitzungskennung des Download- und Anmeldebereichs; wird beim ersten Seitenaufruf gesetzt und beim Schließen des Browsers gelöscht.
wordpress_test_cookie: prüft auf der Anmeldeseite, ob Cookies erlaubt sind (bis zum Schließen des Browsers).
Nach der Anmeldung: wordpress_logged_in_… und wordpress_sec_… für den Anmeldestatus (bis zum Schließen des Browsers, mit „Angemeldet bleiben“ 14 Tage); wfwaf-authcookie-… für die Sicherheits-Firewall (12 Stunden); bei Admins zusätzlich wf_loginalerted_… für Anmelde-Warnungen und wp-settings-… für die Ansicht im Verwaltungsbereich (je 1 Jahr).
Beim Zurücksetzen des Passworts: wp-resetpass-… (bis zum Schließen des Browsers).
Im Browserspiel Grid: sn_grid_session (Anmeldung) und sn_grid_csrf (Schutz vor gefälschten Anfragen), je 30 Tage.

Matomo setzt keine Statistik-Cookies (Abschnitt 5). Nur wenn du der Statistik widersprichst, speichert Matomo das Cookie mtm_consent_removed, damit dein Widerspruch beachtet wird (Matomo fordert dafür 30 Jahre an; manche Browser kürzen das, z. B. Chrome auf 400 Tage). Die Dienste mit eigener Anmeldung (Cloud-Speicher, Webmail) setzen ihre eigenen, für die Anmeldung nötigen Cookies.

7. Registrierung und Mitgliederkonto

Wer Mitglied werden möchte, registriert sich mit Benutzername, E-Mail-Adresse und Passwort; Vor- und Nachname können freiwillig angegeben werden. Je nach Formular bestätigst du zuerst deine E-Mail-Adresse. Jedes neue Konto wird erst aktiv, wenn ein Admin es freigibt. Wurdest du über einen Einladungs-Link eingeladen, speichern wir, wer dich eingeladen hat, und die IP-Adresse beim Einlösen. Im Konto kannst du freiwillig weitere Angaben hinterlegen (z. B. Profilbild, Geburtstag ohne Jahr). Die Anmeldung kann mit einem zweiten Faktor (Code aus einer Authenticator-App) geschützt werden; für Admins und Moderatoren ist das Pflicht. Für jede angemeldete Sitzung speichert WordPress IP-Adresse und Browser, solange die Sitzung besteht.
Je nach Nutzung verarbeitet SpikeNET außerdem: Beiträge im Chat, eingereichte Bilder in der Galerie, Zu- und Absagen im Kalender, Support-Anfragen (Tickets), Umfragen und Mitspieler-Rufe, Turnier- und Spielergebnisse, Spielstände und Konto im Browserspiel Grid (dafür werden E-Mail-Adresse und Anzeigename aus dem Mitgliederkonto übernommen), verbundene Geräte des SpikeNET Deskboards, Einstellungen und Gerätekennungen für Benachrichtigungen sowie Abzeichen. Für Bestenlisten zählen wir Aktivitäten wie Anmeldungen, Beiträge und Uploads je Konto.
Dart-Spiele: Spiele am Dart-Board laufen über den Dienst Autodarts der Autodarts GmbH, Siegfriedstr. 23, 64625 Bensheim. Spielernamen und Würfe am Board – auch von Gästen – liegen deshalb auch bei Autodarts; wir übernehmen die Ergebnisse in unsere Statistik.
Spielzeit-Statistik: Unsere Server erfassen alle zwei Minuten automatisch, wer auf den Gameservern und im Sprach-Chat online ist (bei Palworld Steam-Kennung und Spielername, im Sprach-Chat der Mumble-Name). Das betrifft alle, die dort spielen, auch Nicht-Mitglieder. Ein Admin ordnet diese Kennungen dem jeweiligen Mitgliederkonto zu. Die Rohdaten werden nach 90 Tagen gelöscht; die daraus berechneten Spielzeiten je Tag bleiben gespeichert.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Nutzung der Mitgliedschaft). Für die Spielzeit-Erfassung von Nicht-Mitgliedern und für Gäste am Dart-Board: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am Betrieb der Server und Spiele).
Die Daten bleiben gespeichert, solange das Konto besteht; die Aktivitätszählung und die Spielzeiten je Tag werden derzeit nicht automatisch gelöscht. Du kannst dein Konto jederzeit selbst löschen: auf der Seite „Konto“ unter „Konto löschen“ (mit deinem Passwort und einer Bestätigung). Dabei werden dein Konto und deine Daten sofort gelöscht: Galerie-Bilder, Support-Anfragen, Statistik und Spielzeiten, Kalender-Zusagen, Mitspieler-Rufe, Abstimmungen, verbundene Deskboards und die Gerätekennungen für Benachrichtigungen. Deine Chat-Nachrichten werden entfernt; an ihrer Stelle steht „Nachricht entfernt“. Dart-, Turnier- und Ligaergebnisse bleiben ohne deinen Namen erhalten. Konten bei weiteren SpikeNET-Diensten (z. B. Cloud-Speicher, Grid) entfernen wir zeitnah von Hand. Dasselbe gilt, wenn du die Löschung per E-Mail an support@spikenet.de verlangst. In unseren Datensicherungen sind gelöschte Daten danach noch eine Zeit lang enthalten; sie werden nach spätestens vier Monaten gelöscht. Sicherungen nutzen wir nur, um nach einem Ausfall oder Fehler den Betrieb wiederherzustellen.

8. Zusätzliche Dienste für Mitglieder

Angemeldete Mitglieder können weitere Dienste nutzen. Dabei werden die jeweils nötigen Daten verarbeitet:

E-Mail-Postfach @spikenet.de (eigener Mailserver). Ausgehende E-Mails, auch die E-Mails dieser Website (z. B. Registrierung, Passwort, Benachrichtigungen), werden über einen Versanddienst der IONOS SE, Montabaur, zugestellt.
Cloud-Speicher (eigener Server, Anmeldung mit dem SpikeNET-Konto). Der Cloud-Speicher protokolliert Anmeldungen, Zugriffe und Fehler mit IP-Adresse; diese Protokolle werden nach 14 Tagen automatisch gelöscht. Das Zugriffsprotokoll des Webservers ist nur in der Größe begrenzt (30 MB, wird laufend überschrieben; bei üblicher Nutzung nach etwa ein bis zwei Wochen). Zur Erkennung verdächtiger Anmeldungen speichert der Cloud-Speicher außerdem die IP-Adressen erfolgreicher Anmeldungen; sie werden 60 Tage nach der letzten Anmeldung von dieser Adresse gelöscht.
Sprach-Chat (Mumble, eigener Server). Der Server protokolliert Verbindungen mit IP-Adresse 31 Tage lang. Tritt jemand dem Sprach-Chat bei, erhalten Mitglieder mit eingeschalteter Benachrichtigung eine Meldung mit dem Namen. Die Online-Zeit fließt in die Spielzeit-Statistik ein (Abschnitt 7).
Gameserver (eigener Server): Spielername, Spielzeit und Verbindungsdaten. Die Protokolldateien der Gameserver und ihrer Verwaltung enthalten Spielernamen und IP-Adressen; sie werden spätestens 30 Tage nach ihrer letzten Änderung automatisch gelöscht, Einträge im Verwaltungsprotokoll nach 30 Tagen.
Medienserver eines externen Anbieters: Mitglieder können auf Wunsch eingeladen werden. Dafür ist ein Konto beim externen Anbieter nötig; für dieses Konto gelten dessen Datenschutzbestimmungen. Bei der Einladung meldest du dich beim Anbieter an; wir erhalten dabei von ihm deine E-Mail-Adresse, deinen dortigen Benutzernamen, dein Profilbild und eine Zugangskennung und speichern sie in unserem Einladungswerkzeug. Mit deiner E-Mail-Adresse teilen wir dem Anbieter mit, dass dein Konto Zugriff auf unseren Server erhält, und nehmen die Einladung mit deiner Zugangskennung in deinem Konto an; dabei passen wir einzelne Einstellungen deines Kontos an. Außerdem führt das Einladungswerkzeug ein Nutzungsprotokoll unseres Servers (Benutzername, Gerät, Zeitpunkt und abgerufener Inhalt); es wird nach spätestens 30 Tagen automatisch gelöscht. Der Anbieter (eine Unternehmensgruppe mit Gesellschaften in der Schweiz und den USA) verarbeitet Daten überwiegend in den USA; nach eigener Angabe sichert er Übermittlungen aus der EU mit Standardvertragsklauseln der EU-Kommission ab. Er ist nicht unter dem EU-US Data Privacy Framework zertifiziert. Den Namen des Anbieters nennen wir dir auf Anfrage an support@spikenet.de.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

9. SpikeNET App und Benachrichtigungen

Die SpikeNET App (Android; auf dem iPhone als Web-App) nutzt dasselbe Mitgliederkonto.

Benachrichtigungen: Für Benachrichtigungen aufs Handy (z. B. News, Chat, Termine, Turniere) setzen wir Firebase Cloud Messaging der Google Ireland Ltd. bzw. Google LLC ein. Die Android-App fragt nach der Anmeldung, ob sie Benachrichtigungen senden darf (ab Android 13 über die Abfrage des Systems, bei älteren Android-Versionen mit einer eigenen Frage der App). In der App im Browser (z. B. am iPhone) schaltest du Benachrichtigungen unter Mehr → Benachrichtigungen für das Gerät ein; dann fragt der Browser nach der Erlaubnis. Nur wenn Benachrichtigungen erlaubt sind, meldet die App ihre Gerätekennung (Push-Token) bei unserem Server an. Für jede Benachrichtigung werden die Gerätekennung und der Text der Benachrichtigung (z. B. Name des Absenders und ein kurzer Ausschnitt einer Chat-Nachricht) an Google übertragen; eine Übermittlung in die USA ist möglich. Google ist unter dem EU-US Data Privacy Framework zertifiziert. In der App im Browser stellt außerdem der Push-Dienst deines Browsers bzw. Geräts (auf dem iPhone von Apple) die Benachrichtigung zu. Damit Benachrichtigungen technisch möglich sind, legt die Android-App beim Start über Firebase eine Installations- und Gerätekennung bei Google an; an unseren Server geht die Gerätekennung erst mit deiner Erlaubnis. Die Gerätekennungen von Android-Geräten speichern wir zusätzlich bei Cloudflare, Inc. (USA), damit wir dich auch bei einem Ausfall unseres Servers über die Störung informieren können (siehe Abschnitt 11).
In der App kannst du jede Art einzeln abschalten (Mehr → Benachrichtigungen); alle Benachrichtigungen lassen sich auch in den Einstellungen des Handys abschalten (bei Android 12 und älter auch unter Mehr → Benachrichtigungen mit dem Schalter „Benachrichtigungen auf diesem Gerät“). Nimmst du in der Android-App die Erlaubnis zurück, meldet die App die Gerätekennung bei uns ab, spätestens beim nächsten Start. Beim Abmelden aus der App – in der Android-App und in der App im Browser – wird die Gerätekennung bei uns gelöscht und auf dem Gerät ungültig gemacht bzw. das Abo im Browser beendet (im Browser schaltest du die Benachrichtigungen nach der nächsten Anmeldung bei Bedarf wieder ein). Kann die App die Kennung dabei nicht bei uns abmelden – etwa weil unser Server nicht erreichbar oder deine Sitzung abgelaufen ist –, geschieht das nur auf dem Gerät. Dann und wenn du die Erlaubnis im Browser bzw. am iPhone zurücknimmst, löscht unser Server die Kennung, sobald eine Benachrichtigung nicht mehr zugestellt werden kann. Auf Wunsch löschen wir sie sofort (E-Mail an support@spikenet.de).
Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (deine Einwilligung über die Erlaubnis-Abfrage des Systems, des Browsers bzw. der App).

Absturzberichte (nur Android-App): Absturzberichte sendet die App nur, wenn du zugestimmt hast. Sie fragt dich einmal danach; deine Entscheidung kannst du jederzeit unter Mehr → Einstellungen („Absturzberichte senden“) ändern. Ohne Zustimmung wird nichts gesendet, und auf dem Gerät zurückgehaltene Berichte werden gelöscht. Mit Zustimmung gehen bei einem Absturz an Firebase Crashlytics der Google LLC: Gerätemodell, Android-Version, technischer Fehlerverlauf, Zeitpunkt des Absturzes, technische Angaben zum Gerät (z. B. Prozessor-Art, freier Arbeits- und Speicherplatz, ob das Gerät „gerootet“ ist) und zufällig erzeugte Installationskennungen von Firebase, aber keine Namen. Außerdem meldet die App dann bei jedem Start einen Sitzungsbeginn an Firebase. Google bewahrt Absturzberichte nach eigenen Angaben 90 Tage auf; eine Verarbeitung in den USA ist möglich.
Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (deine Einwilligung).

10. Kontakt per E-Mail

Wer per E-Mail Kontakt aufnimmt, dessen Angaben werden zur Bearbeitung der Anfrage verarbeitet (Art. 6 Abs. 1 lit. b bzw. f DSGVO) und gelöscht, wenn sie nicht mehr benötigt werden.

11. Domain und Namensauflösung

Die Domain spikenet.de und ihre Namensauflösung (DNS) werden bei der IONOS SE, Elgendorfer Str. 57, 56410 Montabaur verwaltet. Deine Anfragen an unsere Website laufen direkt zu unseren eigenen Servern und nicht über weitere Anbieter.
Für eine Erreichbarkeitsprüfung von außen nutzen wir einen Dienst der Cloudflare, Inc. (USA): Er ruft unsere Seiten regelmäßig auf und benachrichtigt bei einem Ausfall die Nutzer der SpikeNET App (siehe Abschnitt 9). Dafür speichern wir dort die Gerätekennungen (Push-Tokens) der Android-App, aber keine Namen. Cloudflare ist unter dem EU-US Data Privacy Framework zertifiziert.

12. Deine Rechte

Du hast das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21). Eine erteilte Einwilligung kannst du jederzeit widerrufen (Art. 7 Abs. 3). Eine E-Mail an support@spikenet.de genügt.
Außerdem kannst du dich bei einer Datenschutz-Aufsichtsbehörde beschweren, z. B. bei der Landesbeauftragten für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW), Kavalleriestr. 2–4, 40213 Düsseldorf.

13. Änderungen

Diese Datenschutzerklärung wird angepasst, wenn sich die Dienste ändern. Es gilt die jeweils hier veröffentlichte Fassung.