Datenschutzerklärung

Zuletzt aktualisiert: 20. Oktober 2026

1. Verantwortlicher

Mick Gottschalk
An der Hermannshöhe 7
58640 Iserlohn, Deutschland
E-Mail: mick.gottsch@gmail.com

2. Welche Daten wir erheben

2.1 Desktop-App (Fortiq)

Die Desktop-App verarbeitet alle Daten ausschließlich lokal auf deinem PC:

• Match-Analysen und Replay-Daten
• Performance-Scores und Statistiken
• Biometrische Daten (nur bei aktiviertem Opt-in, nicht persistent gespeichert)
• Chat-Verläufe mit dem Coaching-Assistenten

Diese Daten werden nicht an Server übertragen.

2.2 Web-App & Website

Beim Besuch unserer Website erheben wir:

• Landingpage: kein Analytics-Dienst eines Dritten. Die Landingpage und die Info-Seiten binden keinen Dienst eines Dritten ein — keine fremden Analytics, keine Schriftarten von fremden Servern, kein CDN. Beim bloßen Aufruf verlässt dein Browser unsere eigene Auslieferung nicht. Die Reichweitenmessung läuft auf unserem eigenen Server, siehe 2.7.
• Nutzungsmessung (Web-App, eigener Server): Nur bei ausdrücklicher Einwilligung über den Consent-Banner. Die Messung läuft ohne einen Analytics-Anbieter — die Ereignisse gehen an unseren eigenen Server und verlassen ihn nicht. Früher war hier PostHog eingebunden; das ist entfallen.
  Übertragen wird je Ereignis: ein Ereignisname (z. B. verdict_read), eine zufällige Kennung für den aktuellen Browser-Tab, die App-Version, ein Zeitstempel und einige wenige Kennzahlen aus einer festen Positivliste (etwa wie lange ein Report offen war). Bei Ereignissen aus einem Match-Report gehört dazu die Kennung des ausgewerteten Matches; solange dein Konto besteht, lässt sie sich über unsere Datenbank deinem Konto zuordnen (pseudonym), nach der Kontolöschung nicht mehr. Kein Nutzername, keine E-Mail-Adresse, keine Epic-ID, keine IP-Adresse, keine besuchte Adresse, kein Autocapture, kein Session-Recording. Alles, was nicht auf der Positivliste steht, wird serverseitig verworfen. Mit derselben Einwilligung laufen außerdem Heatmaps und Sitzungsaufzeichnungen über unser eigenes Umami, mit unkenntlich gemachten Texten und Eingaben (siehe 2.7).
  Die Tab-Kennung liegt im sessionStorage und verschwindet, sobald du den Tab schließt. Du kannst deine Einwilligung jederzeit widerrufen; die Messung schaltet sich dann sofort ab. Ohne Einwilligung wird nichts gesendet.
• Fehlerberichte (Sentry): Stürzt die Web-App oder das Backend ab, senden wir einen technischen Fehlerbericht an Sentry: Fehlermeldung, Stacktrace, die Art der aufgerufenen Seite (das Routenmuster, z. B. /matches/:id — nie die konkrete Adresse), Programmversion und eine Korrelations-ID.
  Was nicht mitgeht: keine IP-Adresse, keine Nutzerkennung, kein Session-Replay, keine Aufzeichnung deiner Klicks oder Eingaben, keine Browserkennung (User-Agent), keine Adresszeile und keine Parameter daraus. Solange nichts abstürzt, wird Sentry überhaupt nicht kontaktiert — ein bloßer Seitenaufruf löst keine Übermittlung aus. Sentry legt auf deinem Gerät nichts ab: kein Cookie, kein Eintrag im Speicher deines Browsers.
  Das Backend ist mit send_default_pii=false konfiguriert, sendet also keine Nutzerdaten mit. Rechtsgrundlage ist unser berechtigtes Interesse an einer lauffähigen Anwendung (Art. 6 Abs. 1 lit. f DSGVO); weil dabei nichts auf deinem Gerät gespeichert oder ausgelesen wird, ist dafür keine Einwilligung nach § 25 TDDDG erforderlich. Du kannst dieser Verarbeitung nach Art. 21 DSGVO widersprechen.
• Account-Erstellung: E-Mail, Benutzername, verschlüsseltes Passwort. Zusammen mit dem Konto speichern wir, über welche Kampagne (utm_source, utm_medium, utm_campaign, utm_content) oder von welcher fremden Website du bei deinem ersten Besuch in den letzten 30 Tagen vor der Registrierung gekommen bist — ohne IP-Adresse und ohne Browserkennung, damit wir sehen, welche Kanäle neue Spieler bringen.

2.3 Backend-Dienste

Wenn du dich für einen Account registrierst und die Web-App nutzt, speichern wir auf unserem Server:

• Account-Daten: E-Mail, Benutzername, Passwort-Hash (bcrypt), optional Anzeigename, Bio, Avatar-URL, Epic-ID, Fortnite-Name und Zeitzone; dazu dein Tier-Status
• Match-Ergebnisse: Match-ID, Spielmodus, Dauer, Platzierung, Kills, Assists, Damage und die daraus berechneten Scores
• Match-Details: Sofern deine Analyse sie liefert, speichern wir zusätzlich Positionsspuren, Kampforte, Waffen-Kennungen und Angaben zu deinen Mitspielern in einem Match. Das sind Rohdaten, keine reinen Aggregate.
• Nutzungstelemetrie: Ereignistyp, ein pseudonymer Sitzungs-Hash, App-Version und Betriebssystem-Kennung. Die mitgelieferten Eigenschaften werden serverseitig gegen eine feste Positivliste gefiltert — alles, was nicht auf dieser Liste steht, wird verworfen und nie gespeichert. Freitext ist auf der Liste nicht enthalten.
• Feedback und NPS-Bewertungen
• Chat-Bewertungen: Bewertest du eine Antwort des Coaches mit Daumen hoch oder runter, speichern wir deine Frage im Volltext, einen Ausschnitt der Antwort und deinen Kommentar. Diese Bewertung wird ohne Bezug zu deinem Konto gespeichert.
• Einwilligungen (Art, Zeitpunkt, Version) als Nachweis

2.4 Hochgeladene Replay-Dateien

Lädst du in der Web-App eine .replay-Datei hoch, wird sie für die Auswertung auf unseren Server übertragen (maximal 50 MB). Die Datei wird ausschließlich im Arbeitsspeicher verarbeitet und nicht dauerhaft gespeichert; nach der Auswertung wird sie verworfen. Gespeichert wird nur das Ergebnis (siehe 2.3).

Daten anderer Spieler: Ein Fortnite-Replay enthält naturgemäß auch Angaben zu deinen Mitspielern und Gegnern, etwa deren Spielernamen. Diese Personen haben in die Verarbeitung nicht eingewilligt. Wir werten diese Angaben ausschließlich aus, um dein Spiel zu analysieren, geben sie nicht weiter und nutzen sie nicht, um Profile über diese Personen zu bilden. Betroffene können der Verarbeitung unter der in Abschnitt 1 genannten Adresse widersprechen.

Analyse ohne Konto (Gastkonto): Legst du ein Replay ab, bevor du dich anmeldest, legen wir dafür ein Gastkonto an. Es speichert keine E-Mail-Adresse und kein Passwort, nur die ausgewerteten Matches (höchstens drei) und das Anmelde-Cookie in deinem Browser. Gegen Missbrauch wird deine IP-Adresse beim Anlegen eine Stunde lang gezählt und darüber hinaus nicht gespeichert. Trägst du deine E-Mail ein, um den Report zu behalten, wird aus dem Gastkonto ein normales Konto. Sonst wird es nach 7 Tagen mit allen Daten gelöscht.

2.5 KI-Coach

Stellst du dem Coach eine Frage, wird deine Eingabe zusammen mit dem Kontext deines Matches an ein Sprachmodell übergeben. Je nach Betriebsart geschieht das auf unserer eigenen Infrastruktur (lokales Modell) oder — wenn kein eigenes Modell erreichbar ist — bei einem externen KI-Anbieter (vorrangig OpenRouter, Inc., USA, das die Anfrage an ein Sprachmodell weiterleitet — wir lassen dabei nur Modellanbieter zu, die Eingaben nicht speichern; sonst OpenAI — Vertragspartner ist OpenAI Ireland Ltd., die Verarbeitung findet auch in den USA statt — oder Anthropic PBC, USA). In diesem Fall verlässt deine Frage die EU. Bitte gib im Coach-Chat keine Daten ein, die du nicht an einen US-Dienstleister übermitteln möchtest. Wir speichern den Verlauf dieser Unterhaltung nicht auf unserem Server (Ausnahme: die Chat-Bewertung nach 2.3).

2.6 Statistik-Vorbefüllung beim Onboarding

Gibst du beim Einstieg deinen Epic-Namen an, fragen wir damit öffentlich verfügbare Fortnite-Statistiken bei fortnite-api.com ab, um dein Dashboard vorzubefüllen. Übermittelt wird dabei ausschließlich der von dir eingegebene Spielername und die Plattform.

2.7 Reichweitenmessung der Website (Umami)

Um zu verstehen, welche Seiten gelesen werden und über welche Links Besucher zu uns kommen, setzen wir auf der Website und in der Web-App Umami ein, eine quelloffene Statistik-Software, die wir selbst betreiben (bei Render Services, Inc., Rechenzentrum Frankfurt am Main). Es gibt keinen Analytics-Anbieter, der die Daten erhält. Das Skript und die Messanfragen laufen über unsere eigene Domain.

• Keine Cookies, kein Speicher auf deinem Gerät: Umami setzt keine Cookies und legt nichts im Speicher deines Browsers ab.
• Erfasst je Seitenaufruf: die aufgerufene Adresse unserer Seite samt Kampagnen-Parametern (utm_source, utm_campaign usw.), der Seitentitel, die verweisende Seite (Referrer), Zeitpunkt, Browser, Betriebssystem, Gerätetyp, Bildschirmgröße, Sprache sowie das aus der IP-Adresse abgeleitete Land, die Region und die Stadt.
• IP-Adresse nur gehasht: Die IP-Adresse wird nicht gespeichert. Aus IP-Adresse und Browserkennung (User-Agent) wird zusammen mit einem Salz, das täglich wechselt, eine Einweg-Kennung gebildet. Sie zählt Besucher innerhalb eines Tages; am nächsten Tag ist derselbe Besucher nicht mehr wiederzuerkennen.
• Kein seitenübergreifendes Tracking: Die Messung bleibt auf unsere eigenen Seiten beschränkt und wird mit keinen anderen Daten zusammengeführt, auch nicht mit deinem Nutzerkonto.
• Do Not Track: Sendet dein Browser „Do Not Track“ oder „Global Privacy Control“, wird das Skript gar nicht erst geladen.
• Keine Weitergabe an Dritte: Die Daten liegen auf unserem eigenen Umami-Server in Frankfurt und werden an niemanden weitergegeben. Die Anfragen werden über unser Hosting (Vercel, siehe Abschnitt 4) an ihn weitergeleitet. Render und Vercel sind US-Unternehmen; zur Rechtsgrundlage der Übermittlung siehe Abschnitt 4.1.

Rechtsgrundlage ist unser berechtigtes Interesse an einer anonymen Reichweitenmessung, um die Website zu verbessern und zu erkennen, welche Kanäle funktionieren (Art. 6 Abs. 1 lit. f DSGVO). Du kannst dieser Verarbeitung nach Art. 21 DSGVO widersprechen, am einfachsten über die „Do Not Track“-Einstellung deines Browsers.

Ladezeiten, Heatmaps und Sitzungsaufzeichnungen

• Ladezeiten: Mit jedem Seitenaufruf misst Umami, wie schnell die Seite lädt und reagiert (Core Web Vitals: LCP, INP, CLS, FCP, TTFB). Das sind technische Messwerte ohne Bezug zu deiner Person.
• Nur mit deiner Einwilligung: Hast du im Einwilligungsbanner der Web-App Analytics zugestimmt, zeichnet Umami zusätzlich auf, wohin du auf einer Seite klickst und wie weit du scrollst (Heatmap), und eine Wiedergabe deiner Sitzung (Mausbewegungen, Klicks, Scrollen, Seitenwechsel). Dabei werden alle Texte und alle Eingaben unkenntlich gemacht: In der Aufzeichnung ist zu sehen, wo etwas steht, nicht was. Seiten, deren Adresse ein Zugangs-Token enthält (z. B. Passwort zurücksetzen), werden nie aufgezeichnet.
• Speicherort und Zweck: Auch diese Daten liegen nur auf unserem eigenen Umami-Server in Frankfurt. Wir nutzen sie, um zu sehen, wo die Website oder die App unverständlich ist oder hängt.
• Rechtsgrundlage und Widerruf: Deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG). Du kannst sie jederzeit über den Analytics-Schalter in der Fußzeile der Web-App widerrufen; ab dem nächsten Seitenaufruf wird nichts mehr aufgezeichnet.

2.8 Anmeldung mit Epic Games

Du kannst dich statt mit Passwort mit deinem Epic-Games-Konto anmelden oder es in deinem Profil mit deinem Fortiq-Konto verbinden. Dabei leitet dich Fortiq zu Epic Games weiter; dein Epic-Passwort sehen wir nie. Nach deiner Zustimmung bei Epic erhalten wir ausschließlich deine Epic-Konto-ID und deinen Anzeigenamen. Statistiken, Freundeslisten, Zahlungs- oder Kontaktdaten fragen wir nicht an. Weil Epic keine E-Mail-Adresse weitergibt, fragen wir sie beim ersten Anmelden einmal ab.

Wir nutzen Konto-ID und Anzeigenamen, um dich anzumelden und dir deine Matches zuzuordnen (Art. 6 Abs. 1 lit. b DSGVO). Die Verbindung kannst du jederzeit im Profil trennen; mit der Löschung deines Kontos werden beide Angaben gelöscht. Für die Anmeldung bei Epic gilt die Datenschutzerklärung von Epic Games.

2.9 YouTube API Services

Fortiq nutzt die YouTube API Services, und zwar nur für unseren eigenen YouTube-Kanal @fortiqapp: Wir laden darüber unsere eigenen Videos hoch und lesen für genau diese Videos die Anzahl der Aufrufe, Likes und Kommentare ab (nicht die Kommentartexte). In unserer internen Projektablage speichern wir dazu nur Angaben zu unseren eigenen Beiträgen: Video-ID, Link, Titel, Upload-Status und diese Zahlen, um zu sehen, welche Themen Spielern helfen. Den Zugangsschlüssel für den Kanal speichern wir in einem geschützten Geheimnisspeicher. Die zusätzlich erteilte Berechtigung für YouTube Analytics ist dafür vorgesehen, später auch die Wiedergabezeit unserer eigenen Videos als Summe abzurufen; Daten einzelner Zuschauer speichern wir nicht. Daten anderer YouTube-Nutzer oder unserer Besucher rufen wir über die API nicht ab; eine Anmeldung mit Google gibt es für Spieler nicht. Wir verkaufen oder teilen diese Daten nicht und nutzen sie nicht für Werbung. Die Nutzung und Weitergabe von Informationen, die wir über Google-APIs erhalten, richtet sich nach der Google API Services User Data Policy, einschließlich der Anforderungen zur eingeschränkten Nutzung (Limited Use).

Mit der Nutzung von YouTube-Inhalten gelten die Nutzungsbedingungen von YouTube und die Datenschutzerklärung von Google. Den Zugriff hat nur der Inhaber des Kanals erteilt; er kann ihn jederzeit in den Sicherheitseinstellungen des Google-Kontos widerrufen.

3. Rechtsgrundlage

• Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) für Account, Match-Auswertung, Coach und Abrechnung
• Art. 6 Abs. 1 lit. a DSGVO (Einwilligung) für die Nutzungsmessung der Web-App, Heatmaps und Sitzungsaufzeichnungen (Abschnitte 2.2 und 2.7) und die lokale Speicherung des Chat-Verlaufs
• Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse) für Fehlerberichte, Missbrauchsabwehr und IT-Sicherheit
• Art. 6 Abs. 1 lit. c DSGVO (rechtliche Verpflichtung) für steuerliche Aufbewahrungspflichten

4. Empfänger und Auftragsverarbeiter

Wir verkaufen deine Daten nicht und geben sie nicht zu fremden Zwecken weiter. Für den Betrieb setzen wir folgende Dienstleister ein:

• Vercel Inc. (Hosting der Web-App) — Serverstandort EU/US
• Render Services, Inc. (Hosting der API) — Instanz in der Region Frankfurt; nach dem Auftragsverarbeitungsvertrag findet die Verarbeitung auch in den USA statt
• Databricks, Inc. (Neon) (Hosting der Datenbank) — hier liegen Account-, Match- und Einwilligungsdaten. Serverstandort US
• Functional Software, Inc. (Sentry) (Fehlerberichte) — nur im Fehlerfall, Umfang siehe Abschnitt 2.2
• Brevo (Sendinblue GmbH / Sendinblue SAS) (E-Mail-Versand) — erhält deine E-Mail-Adresse und den Inhalt der Nachricht (Verifikation, Passwort-Reset, auf deinen Wunsch der Upload-Link an deinen PC). Datenschutz
• Lemon Squeezy (Sold through Link, LLC) (Zahlungsabwicklung, Merchant of Record) — derzeit nicht im Einsatz. Während der offenen Beta bieten wir keine kostenpflichtigen Tarife an, es findet kein Checkout statt, und an Lemon Squeezy werden keine Daten übermittelt. Lemon Squeezy wird erst eingesetzt, wenn kostenpflichtige Tarife eingeführt werden; darüber informieren wir vorab. Beim Checkout wird dann deine E-Mail-Adresse übergeben; Zahlungsdaten erheben und verarbeiten wir selbst nicht.
• OpenRouter, Inc., OpenAI Ireland Ltd. bzw. Anthropic PBC (Sprachmodell des Coaches) — siehe Abschnitt 2.5
• fortnite-api.com (öffentliche Spielstatistiken) — siehe Abschnitt 2.6

4.1 Übermittlung in Drittländer

Ein Teil dieser Dienstleister sitzt in den USA oder verarbeitet dort. Damit findet eine Übermittlung in ein Drittland im Sinne der Art. 44 ff. DSGVO statt.

Auf welcher Grundlage das geschieht, unterscheidet sich je Empfänger:

• Angemessenheitsbeschluss (Art. 45 DSGVO): Vercel Inc., Render Services, Inc., Functional Software, Inc. (Sentry) sowie Databricks, Inc. mit der einbezogenen Stelle Neon, LLC sind nach dem EU-US Data Privacy Framework zertifiziert. Für sie trägt der Beschluss der Europäischen Kommission vom 10. Juli 2023 die Übermittlung.
• Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO, Durchführungsbeschluss (EU) 2021/914): OpenRouter, OpenAI, Anthropic PBC und Lemon Squeezy sind nicht zertifiziert. Ihre Auftragsverarbeitungsbedingungen beziehen die Standardvertragsklauseln ein; diese sind die Grundlage der Übermittlung.

Den Zertifizierungsstand haben wir zuletzt am 28. August 2026 in der öffentlichen Liste unter dataprivacyframework.gov geprüft. Eine Zertifizierung kann auslaufen oder entzogen werden; fällt sie weg, gelten für den betroffenen Empfänger die Standardvertragsklauseln, und wir passen diese Angabe an.

4a. Speicherdauer

Für die Auswertung der Kontonutzung speichern wir bei erfolgreichen Produktaktionen höchstens einen Aktivitätseintrag je Konto und Berliner Kalendertag. Dieser Eintrag enthält die Konto-ID und den Tag, keine aufgerufenen URLs, IP-Adressen, Gerätekennungen oder Chat-Inhalte. Er wird nicht mit anonymen Besucherkennungen verknüpft. Die Einträge werden nach 13 Kalendermonaten durch die regelmäßige Wartung entfernt; bei einer Kontolöschung werden die verknüpften Einträge ebenfalls gelöscht.

• Account-, Match- und Einwilligungsdaten: bis du dein Konto löschst. Mit der Kontolöschung werden sie unmittelbar und vollständig entfernt.
• Hochgeladene Replay-Dateien: nur für die Dauer der Auswertung, danach verworfen.
• Nutzungstelemetrie: Ereignisse mit Kontobezug werden mit dem Konto gelöscht. Ereignisse ohne Kontobezug lassen sich keiner Person zuordnen und verbleiben in der Auswertung.
• Daten unseres YouTube-Kanals (Abschnitt 2.9): solange wir den Kanal betreiben. Auf Anfrage löschen wir sie früher.
• Chat-Bewertungen: werden ohne Kontobezug gespeichert und sind daher von der Kontolöschung nicht erfasst.
• Rechnungs- und Buchungsdaten: gesetzliche Aufbewahrungsfristen (Handels- und Steuerrecht) bleiben unberührt.

Für Ereignisse ohne Kontobezug, abgelaufene Anmelde-Token und Konten, die längere Zeit nicht genutzt wurden, läuft derzeit keine automatische Löschung. Diese Daten bleiben gespeichert, bis du dein Konto löschst oder die Löschung bei uns verlangst. Wir nennen hier eine Frist erst, wenn sie technisch läuft — nicht, wenn sie geplant ist.

Die Daten der Reichweitenmessung, Heatmaps und Sitzungsaufzeichnungen (Umami, Abschnitt 2.7) sind mit keinem Konto verknüpft. Eine Kontolöschung erreicht sie deshalb nicht, und auch wir können sie keiner Person zuordnen. Eine automatische Löschung läuft für sie derzeit nicht; die Frist nennen wir hier, sobald sie technisch läuft.

5. Deine Rechte

Du hast das Recht auf:

• Auskunft über deine gespeicherten Daten
• Berichtigung unrichtiger Daten
• Löschung deiner Daten („Recht auf Vergessenwerden“)
• Einschränkung der Verarbeitung
• Datenübertragbarkeit
• Widerspruch gegen die Verarbeitung
• Widerruf einer erteilten Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO)
• Beschwerde bei einer Datenschutz-Aufsichtsbehörde (Art. 77 DSGVO)

Kontaktiere uns per E-Mail für alle Anfragen: mick.gottsch@gmail.com

5.1 Zuständige Aufsichtsbehörde

Zuständig ist die Behörde am Sitz des Verantwortlichen:

Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen
Kavalleriestraße 2–4, 40213 Düsseldorf
Postfach 20 04 44, 40102 Düsseldorf
Telefon: 0211 38424-0
E-Mail: poststelle@ldi.nrw.de

Nach Art. 77 Abs. 1 DSGVO kannst du dich stattdessen auch an die Aufsichtsbehörde deines Wohnorts oder deines Arbeitsplatzes wenden.

5.2 Self-Service (Löschung & Datenexport)

• Kontolöschung: Du kannst dein Konto und alle damit verknüpften Daten (Profil, Sessions, Abonnement) jederzeit selbst über die Konto-Einstellungen löschen. Die Löschung erfolgt sofort und ist unwiderruflich. Gesetzliche Aufbewahrungsfristen (z. B. Rechnungsdaten, 10 Jahre) bleiben davon unberührt.
• Datenexport: Du kannst die über dich gespeicherten Daten als JSON-Datei über die Konto-Einstellungen exportieren (Art. 15, 20 DSGVO). Der Export enthält deine Profildaten, deine Match-Ergebnisse, Lizenz-, Einwilligungs- und Abonnement-Informationen — jedoch keine Passwörter und keine sicherheitsrelevanten Felder. Reicht dir der Umfang des Self-Service-Exports nicht, fordere die vollständige Auskunft formlos per E-Mail an; wir liefern sie innerhalb der gesetzlichen Frist.

Der Chat-Verlauf des Coaches wird ausschließlich lokal in deinem Browser gespeichert und ist deshalb nicht Teil des Server-Exports. Du kannst ihn unter Einstellungen → Datenschutz löschen.

6. Lokale Speicherung & Cookies

Unsere Website und Web-App verwenden localStorage und In-Memory-State für technisch notwendige Funktionen:

• Spracheinstellung (coach_language)
• Consent-Entscheidung je Kategorie (fortiq_analytics_consent, fortiq_consent_marketing, fortiq_consent_functional)
• Chat-Verlauf (lokal gespeichert, nur bei erteilter funktionaler Einwilligung)
• UI-Präferenzen und Session-State (nicht persistent, nur im Arbeitsspeicher)

Diese Einträge werden nicht an unsere Server übertragen und können jederzeit über die Browser-Einstellungen gelöscht werden. Stimmst du Analytics zu, legt die Web-App eine zufällige Kennung für den aktuellen Tab im sessionStorage an (fortiq_telemetry_session); sie verschwindet, wenn du den Tab schließt. Umami legt nichts ab, es liest nur, ob du der Messung widersprochen hast (umami.disabled). Sentry legt nichts ab — weder Cookie noch localStorage- oder sessionStorage-Eintrag.

Für die Anmeldung setzen wir zwei technisch notwendige Cookies:

• fortiq_refresh_token — HttpOnly und Secure, verwaltet deine Login-Sitzung, ist nicht per JavaScript auslesbar und wird beim Logout gelöscht.
• fortiq_has_session — enthält nur den Wert 1 und ist bewusst nicht HttpOnly, weil die App ihn lesen können muss, um zu erkennen, ob eine Sitzung wiederhergestellt werden kann. Er enthält keine Kennung und kein Token.

Es werden keine Authentifizierungs-Tokens in localStorage gespeichert.

7. Datensicherheit

Wir nutzen SSL/TLS-Verschlüsselung für alle Datenübertragungen. Passwörter werden mit bcrypt gehasht gespeichert. JWT-Tokens haben eine begrenzte Gültigkeit.

8. B2B-Datenexport-API

Für Nutzer im Pro- oder Team-Tier bieten wir eine optionale B2B-Export-API an. Die kostenlose Beta-Stufe umfasst sie nicht.

• Aktivierung: Nur über explizite Anforderung eines API-Keys (Opt-in)
• Exportierte Daten: Match-Übersichten, aggregierte Performance-Statistiken und auf Anfrage der vollständige Zeitverlauf eines einzelnen Matches
• Beschränkt auf das eigene Konto: Ein API-Key liefert ausschließlich Matches des Kontos, zu dem er gehört. Daten anderer Nutzer sind über diese Schnittstelle nicht abrufbar.
• Authentifizierung: Zugriff nur mit gültigem API-Key (revokierbar)
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) bzw. Art. 6 Abs. 1 lit. a DSGVO (Einwilligung)

9. Sprachhinweis

Diese Datenschutzerklärung ist in deutscher Sprache verfasst. Im Falle von Abweichungen zwischen einer übersetzten Fassung und der deutschen Fassung ist die deutsche Fassung maßgeblich.

This privacy policy is written in German. In case of discrepancies between a translated version and the German version, the German version shall prevail.

10. Änderungen dieser Erklärung

Wir behalten uns vor, diese Datenschutzerklärung bei Bedarf zu aktualisieren. Die aktuelle Version ist immer auf dieser Seite verfügbar.