Privacy Policy

Information under Art 13 and 14 GDPR. Last updated: DD.MM.YYYY

The German version is the authoritative one. This English text is a convenience translation. The controller is an Austrian business; in case of any discrepancy the German version prevails.

Review before going live. The information below describes the processing that actually takes place in this software. Add the controller details and have the text reviewed by someone versed in data protection law. If you add hosting, analytics or further services, this policy has to grow with them.

1. Controller

Controller: Name / company as in the legal notice
Address: Street, postal code, city, Austria
Email for data protection: [email protected]

No data protection officer has been appointed, as the conditions of Art 37 GDPR are not met according to our current assessment.

2. Overview of processing activities

Purpose	Data	Legal basis	Retention
Account creation and login via Discord	Discord ID, Discord username, avatar identifier, time of last login	Art 6(1)(b) (performance of a contract)	Until the account is deleted
Session management	Session ID in a cookie, timestamp, expiry	Art 6(1)(b)	24 hours after the last activity by default
Operation of the bots you booked	Bot name, Minecraft username, target server and port, proxy details, scripts	Art 6(1)(b)	Until you delete the bot
Bot chat logs	Messages received from the Minecraft server, timestamps	Art 6(1)(b)	Ring buffer: 1,000 entries per bot, 5,000 with the "Saved Logs" add-on
Abuse and evidence log ("audit log")	See section 4	Art 6(1)(f) (legitimate interests), partly (c)	90 days, then deleted automatically
Payment processing	Order ID, purchased item, amount, Stripe transaction ID	Art 6(1)(b)	7 years (section 132 BAO, section 212 UGB)
Support tickets	Subject, message text, screenshots you upload voluntarily	Art 6(1)(b) or (f)	Up to 12 months after the ticket is closed
Server and error logs	IP address, time, requested path, status code, user agent	Art 6(1)(f) (operational security)	Short term, usually 14 days

3. Cookies

We use strictly necessary cookies only. There is no tracking, no profiling and no sharing with advertising networks.

Name	Purpose	Duration
`sid`	Keeps you logged in (HttpOnly, SameSite=Lax)	Session, max. 24 hours
`oauth_state`	One-time token against cross-site request forgery during the Discord login	10 minutes

These cookies are strictly necessary for operation and therefore exempt from consent under section 165(3) TKG 2021. The banner only informs you; it does not collect consent, because none is required. You can block cookies in your browser, but then logging in is not possible.

We also use localStorage to remember that you have seen the cookie notice, your language choice for the legal pages, and interface settings (theme). This data never leaves your browser.

4. Abuse and evidence log (audit log)

We keep a traceable record of which user account triggered which action. This serves to investigate abuse, to defend against attacks, and to be able to demonstrate to third parties (such as operators of Minecraft servers) who caused a particular action.

What is logged

Time of the action
User ID, Discord ID, Discord username and role of the person who triggered it
Type of action (e.g. login, bot created, bot started, command sent, purchase)
Object affected (e.g. bot ID and bot name)
Target server and Minecraft player name of the respective bot
The chat or command text sent, insofar as you triggered it
IP address and user agent of the device the action came from

Legal basis and balancing of interests

The legal basis is Art 6(1)(f) GDPR. Our legitimate interest lies in the security of the service, in preventing and investigating abuse, and in establishing, exercising and defending legal claims (recital 47 and Art 9(2)(f) GDPR). Without this attribution we could neither examine nor reject accusations by third parties and would have to accept responsibility for other people's behaviour. We therefore limit the log to actions you trigger yourself and store no content beyond the operational purpose.

Integrity protection

Each entry contains a cryptographic checksum (SHA-256) that includes the previous entry. Subsequent modification or removal of individual entries therefore becomes detectable. This increases evidentiary value and at the same time protects you from having actions attributed to you falsely.

Retention

90 days from the respective entry. After that the log files are deleted automatically. Longer retention only takes place if specific proceedings or specific legal action require it in an individual case.

Access

You can retrieve your own log entries at any time in the dashboard (endpoint /api/me/audit) or request them informally by email.

5. Recipients and processors

Recipient	Purpose	Location / basis
Stripe Payments Europe, Ltd.	Payment processing, fraud prevention, invoicing	Ireland; transfer to the USA to Stripe, Inc. based on EU standard contractual clauses and the EU-US Data Privacy Framework
Discord Inc.	Login (OAuth) and optional notifications by direct message	USA; standard contractual clauses. Use occurs at your initiative, since you deliberately sign in with Discord.
enter hosting provider	Server operation, storage of the database and logs	location and data processing agreement under Art 28 GDPR
Operators of the proxy providers you choose	Routing of the bot connections	Depends on the provider you select

No transfer to other third parties takes place unless we are legally obliged to do so or it is necessary to establish legal claims.

You need a contract under Art 28 GDPR for every processor. With Stripe and Discord this is concluded through their respective terms of use; for hosting you have to conclude and keep it yourself.

6. Payment data

Payment runs through Stripe. Card numbers, IBANs or comparable payment details are entered exclusively at Stripe and are never stored or processed by us. From Stripe we only receive the transaction ID, the status, the amount and the details required for the invoice.

Stripe's privacy policy applies in addition: stripe.com/at/privacy.

7. Minecraft credentials

For operation you store a Minecraft player name and - depending on the auth type - an access token. When signing in via Microsoft we store a session token issued by Microsoft so the bot can reconnect; we never learn your Microsoft password.

These credentials are held server-side and are deliberately no longer retrievable in plain text in the dashboard. Even so: avoid storing main accounts and use dedicated game accounts for bot operation.

8. Your rights

You have the following rights towards us:

Access to the data processed about you (Art 15)
Rectification of inaccurate data (Art 16)
Erasure, unless a retention obligation prevents it (Art 17)
Restriction of processing (Art 18)
Data portability in a common format (Art 20)
Objection to processing based on legitimate interests, including the audit log (Art 21)

Send requests informally to the email address stated above. We respond within one month.

Independently of that, you can lodge a complaint with the supervisory authority:
Austrian Data Protection Authority, Barichgasse 40-42, 1030 Vienna, dsb.gv.at

Please note: for the audit log, a request for erasure may fail under Art 17(3)(e) GDPR as long as the data is needed to establish or defend legal claims. In that case we restrict processing instead of deleting.

9. Security

Transmission exclusively over TLS (HTTPS)
Session cookies with HttpOnly, SameSite and - in production - the Secure flag
API keys are stored only as an HMAC hash, never in plain text
Role-based permission checks per bot and action
Rate limiting per account and per IP address against abuse
Automatic, regular database backups

10. No automated decision-making

No automated decision-making or profiling within the meaning of Art 22 GDPR takes place. Automatic blocks - for example when the bot quota is exceeded - are purely arithmetic and can be reviewed by us at any time.

11. Changes

We adapt this policy when the processing changes. The version published on this page at the relevant time applies. In case of material changes we will additionally inform you in the dashboard.

Datenschutzerklärung

Information gemäß Art 13 und 14 DSGVO. Stand: TT.MM.JJJJ

Maßgebliche Fassung. Diese deutsche Fassung ist die rechtlich maßgebliche. Die englische Fassung ist eine Übersetzung zur Information.

Vor dem Livegang prüfen. Die Angaben unten beschreiben die Verarbeitungen, die in dieser Software tatsächlich stattfinden. Ergänze die Verantwortlichen-Daten und lass den Text von einer datenschutzrechtlich versierten Person gegenlesen. Wenn du Hosting, Analytics oder weitere Dienste ergänzt, muss diese Erklärung mitwachsen.

1. Verantwortlicher

Verantwortlicher: Name / Firma laut Impressum
Anschrift: Straße, PLZ Ort, Österreich
E-Mail für Datenschutz: [email protected]

Ein Datenschutzbeauftragter ist nicht bestellt, da die Voraussetzungen des Art 37 DSGVO nach derzeitiger Einschätzung nicht vorliegen.

2. Überblick der Verarbeitungen

Zweck	Daten	Rechtsgrundlage	Speicherdauer
Kontoanlage und Login über Discord	Discord-ID, Discord-Benutzername, Avatar-Kennung, Zeitpunkt des letzten Logins	Art 6 Abs 1 lit b (Vertragserfüllung)	Bis zur Kontolöschung
Sitzungsverwaltung	Sitzungs-ID im Cookie, Zeitstempel, Ablaufzeit	Art 6 Abs 1 lit b	Standardmäßig 24 Stunden ab letzter Aktivität
Betrieb der gebuchten Bots	Bot-Name, Minecraft-Benutzername, Zielserver und Port, Proxy-Daten, Skripte	Art 6 Abs 1 lit b	Bis zur Löschung des Bots durch dich
Chatprotokolle des Bots	Vom Minecraft-Server empfangene Nachrichten, Zeitstempel	Art 6 Abs 1 lit b	Ringpuffer: 1.000 Einträge je Bot, mit Add-on „Saved Logs“ 5.000
Missbrauchs- und Nachweisprotokoll („Audit-Log“)	Siehe Abschnitt 4	Art 6 Abs 1 lit f (berechtigtes Interesse), teils lit c	90 Tage, danach automatische Löschung
Zahlungsabwicklung	Bestell-ID, gekaufte Position, Betrag, Stripe-Transaktions-ID	Art 6 Abs 1 lit b	7 Jahre (§ 132 BAO, § 212 UGB)
Support-Tickets	Betreff, Nachrichtentext, freiwillig hochgeladene Screenshots	Art 6 Abs 1 lit b bzw. lit f	Bis 12 Monate nach Ticketschluss
Server- und Fehlerprotokolle	IP-Adresse, Zeitpunkt, aufgerufener Pfad, Statuscode, User-Agent	Art 6 Abs 1 lit f (Betriebssicherheit)	Kurzfristig, üblicherweise 14 Tage

3. Cookies

Wir setzen ausschließlich technisch notwendige Cookies. Es findet kein Tracking, kein Profiling und keine Weitergabe an Werbenetzwerke statt.

Name	Zweck	Dauer
`sid`	Hält dich eingeloggt (HttpOnly, SameSite=Lax)	Sitzungsdauer, max. 24 Stunden
`oauth_state`	Einmaltoken gegen Cross-Site-Request-Forgery beim Discord-Login	10 Minuten

Diese Cookies sind für den Betrieb unbedingt erforderlich und daher nach § 165 Abs 3 TKG 2021 einwilligungsfrei. Der Hinweisbanner informiert dich lediglich; er holt keine Einwilligung ein, weil dafür keine Notwendigkeit besteht. Du kannst Cookies in deinem Browser blockieren, dann ist allerdings kein Login möglich.

Zusätzlich verwenden wir localStorage, um zu merken, dass du den Cookie-Hinweis bereits gesehen hast, welche Sprache du für die Rechtstexte gewählt hast, sowie für Oberflächeneinstellungen (Theme). Diese Daten verlassen deinen Browser nicht.

4. Missbrauchs- und Nachweisprotokoll (Audit-Log)

Wir protokollieren nachvollziehbar, welches Benutzerkonto welche Aktion ausgelöst hat. Das dient der Aufklärung von Missbrauch, der Abwehr von Angriffen und dazu, gegenüber Dritten (etwa Betreibern von Minecraft-Servern) belegen zu können, wer eine bestimmte Aktion veranlasst hat.

Protokollierte Inhalte

Zeitpunkt der Aktion
Benutzer-ID, Discord-ID, Discord-Benutzername und Rolle des Auslösers
Art der Aktion (z.B. Login, Bot erstellt, Bot gestartet, Befehl gesendet, Kauf)
Betroffenes Objekt (z.B. Bot-ID und Bot-Name)
Zielserver und Minecraft-Spielername des jeweiligen Bots
Der gesendete Chat- oder Befehlstext, soweit du ihn ausgelöst hast
IP-Adresse und User-Agent des Geräts, von dem die Aktion ausging

Rechtsgrundlage und Interessenabwägung

Rechtsgrundlage ist Art 6 Abs 1 lit f DSGVO. Unser berechtigtes Interesse liegt in der Sicherheit des Dienstes, der Verhinderung und Aufklärung von Missbrauch sowie der Geltendmachung, Ausübung und Verteidigung von Rechtsansprüchen (Erwägungsgrund 47 und Art 9 Abs 2 lit f DSGVO). Ohne diese Zuordnung könnten wir Vorwürfe Dritter weder prüfen noch zurückweisen und müssten uns fremdes Verhalten zurechnen lassen. Wir beschränken das Protokoll deshalb auf Aktionen, die du selbst auslöst, und speichern keine Inhalte, die über den Betriebszweck hinausgehen.

Integritätsschutz

Jeder Eintrag enthält eine kryptografische Prüfsumme (SHA-256), die den vorherigen Eintrag einbezieht. Nachträgliches Ändern oder Entfernen einzelner Einträge wird dadurch erkennbar. Das erhöht den Beweiswert und schützt zugleich dich davor, dass dir Aktionen untergeschoben werden.

Speicherdauer

90 Tage ab dem jeweiligen Eintrag. Danach werden die Protokolldateien automatisch gelöscht. Eine längere Aufbewahrung erfolgt nur, wenn ein konkretes Verfahren oder eine konkrete Rechtsverfolgung dies im Einzelfall erfordert.

Auskunft

Du kannst deine eigenen Protokolleinträge jederzeit im Dashboard abrufen (Endpunkt /api/me/audit) oder formlos per E-Mail anfordern.

5. Empfänger und Auftragsverarbeiter

Empfänger	Zweck	Ort / Grundlage
Stripe Payments Europe, Ltd.	Zahlungsabwicklung, Betrugsprävention, Rechnungsstellung	Irland; Übermittlung in die USA an Stripe, Inc. auf Basis von EU-Standardvertragsklauseln und dem EU-US Data Privacy Framework
Discord Inc.	Login (OAuth) und optionale Benachrichtigungen per Direktnachricht	USA; Standardvertragsklauseln. Die Nutzung erfolgt auf deine Veranlassung, da du dich bewusst mit Discord anmeldest.
Hosting-Anbieter eintragen	Serverbetrieb, Speicherung der Datenbank und Protokolle	Standort und Auftragsverarbeitungsvertrag nach Art 28 DSGVO
Betreiber der von dir gewählten Proxy-Anbieter	Weiterleitung der Bot-Verbindungen	Abhängig vom gewählten Anbieter

Eine Weitergabe an sonstige Dritte findet nicht statt, außer wir sind gesetzlich dazu verpflichtet oder es ist zur Geltendmachung von Rechtsansprüchen erforderlich.

Für jeden Auftragsverarbeiter brauchst du einen Vertrag nach Art 28 DSGVO. Bei Stripe und Discord wird dieser über die jeweiligen Nutzungsbedingungen geschlossen, beim Hosting musst du ihn aktiv abschließen und aufbewahren.

6. Zahlungsdaten

Die Zahlung läuft über Stripe. Kartennummern, IBAN oder vergleichbare Zahlungsmittel werden ausschließlich bei Stripe eingegeben und niemals von uns gespeichert oder verarbeitet. Wir erhalten von Stripe lediglich die Transaktions-ID, den Status, den Betrag und die für die Rechnung nötigen Angaben.

Es gilt zusätzlich die Datenschutzerklärung von Stripe: stripe.com/at/privacy.

7. Minecraft-Zugangsdaten

Für den Betrieb hinterlegst du einen Minecraft-Spielernamen und – je nach Auth-Typ – ein Zugangs-Token. Bei der Anmeldung über Microsoft speichern wir ein von Microsoft ausgestelltes Sitzungstoken, damit sich der Bot erneut verbinden kann; dein Microsoft-Passwort erfahren wir dabei nicht.

Diese Zugangsdaten liegen serverseitig und sind für dich im Dashboard bewusst nicht mehr im Klartext abrufbar. Trotzdem gilt: Hinterlege möglichst keine Hauptaccounts, und verwende für den Botbetrieb eigene Spielkonten.

8. Deine Rechte

Dir stehen gegenüber uns folgende Rechte zu:

Auskunft über die zu deiner Person verarbeiteten Daten (Art 15)
Berichtigung unrichtiger Daten (Art 16)
Löschung, soweit keine Aufbewahrungspflicht entgegensteht (Art 17)
Einschränkung der Verarbeitung (Art 18)
Datenübertragbarkeit in einem gängigen Format (Art 20)
Widerspruch gegen Verarbeitungen auf Basis berechtigter Interessen, einschließlich des Audit-Logs (Art 21)

Anfragen richtest du formlos an die oben genannte E-Mail-Adresse. Wir antworten innerhalb eines Monats.

Unabhängig davon kannst du dich bei der Aufsichtsbehörde beschweren:
Österreichische Datenschutzbehörde, Barichgasse 40-42, 1030 Wien, dsb.gv.at

Beachte: Beim Audit-Log kann ein Löschbegehren an Art 17 Abs 3 lit e DSGVO scheitern, solange die Daten zur Geltendmachung oder Verteidigung von Rechtsansprüchen benötigt werden. In diesem Fall schränken wir die Verarbeitung ein, statt zu löschen.

9. Sicherheit

Übertragung ausschließlich über TLS (HTTPS)
Sitzungscookies mit HttpOnly, SameSite und – in Produktion – Secure-Flag
API-Schlüssel werden nur als HMAC-Hash gespeichert, nie im Klartext
Rollenbasierte Rechteprüfung je Bot und Aktion
Begrenzung der Anfragen pro Konto und pro IP-Adresse gegen Missbrauch
Automatische, regelmäßige Sicherungen der Datenbank

10. Keine automatisierte Entscheidungsfindung

Eine automatisierte Entscheidungsfindung oder ein Profiling im Sinne des Art 22 DSGVO findet nicht statt. Automatische Sperren – etwa bei Überschreiten des Bot-Kontingents – sind rein rechnerisch und jederzeit durch uns überprüfbar.

11. Änderungen

Wir passen diese Erklärung an, wenn sich die Verarbeitung ändert. Maßgeblich ist die jeweils auf dieser Seite veröffentlichte Fassung. Bei wesentlichen Änderungen informieren wir dich zusätzlich im Dashboard.