Datenschutzerklärung
Für die App Framed! Murder Mystery Party
(io.velstra.framed). Stand: 28. Juli 2026.
1. Verantwortlicher
Jakob Müller IT-Services
c/o POSTFLEX PFX-425-425
Emsdettener Straße 10
48268 Greven
Deutschland
USt-IdNr.: DE460310100
privacy@velstra.io
2. Was du spielen kannst, ohne uns etwas zu geben
Mitspielen braucht kein Konto. Wer einem Abend mit einem Raumcode beitritt, gibt nur einen Anzeigenamen ein — der darf ein Spitzname sein. Es entsteht dabei ein technisches Gastkonto ohne E-Mail-Adresse.
Ein Konto braucht nur, wer selbst einen Abend eröffnet oder etwas kauft.
3. Welche Daten wir verarbeiten
| Daten | Wozu | Rechtsgrundlage |
|---|---|---|
| E-Mail-Adresse, Konto-Kennung, Zeitpunkt der Anmeldung | Konto führen, Abende zuordnen, Guthaben verwalten | Art. 6 Abs. 1 lit. b DSGVO (Vertrag) |
| Anzeigename im Raum, Spieler-Kennung, Spracheinstellung | Den Abend spielbar machen: Rollen zuordnen, Rollenbogen in der richtigen Sprache ausliefern | Art. 6 Abs. 1 lit. b DSGVO |
| Raumdaten: Einstellungen, dein Wunschtext für den Fall, der erzeugte Fall, Spielstand, Stimmen, Anzahl gestellter Fragen | Den Abend durchführen und auf allen Geräten synchron halten | Art. 6 Abs. 1 lit. b DSGVO |
| Guthaben, Abo-Laufzeit, verbrauchte Gratisfälle, Fall-Scheine, Ideen-Zähler | Abrechnung und Missbrauchsgrenzen | Art. 6 Abs. 1 lit. b und lit. f DSGVO |
| Kaufbelege: Betrag, Währung, Zeitpunkt, Vorgangsnummer von Stripe | Käufe gutschreiben, Doppelbuchungen verhindern | Art. 6 Abs. 1 lit. b und lit. c DSGVO |
| Vorbereitete Abende (Ort, Aufhänger, Tabus, Termin) | Damit du einen Abend Tage vorher planen kannst | Art. 6 Abs. 1 lit. b DSGVO |
| Werbe-ID des Geräts, Geräte- und App-Angaben, gekürzte IP-Adresse — nur beim Ansehen eines Werbevideos | Ein Werbevideo ausspielen und die Freischaltung gutschreiben | Art. 6 Abs. 1 lit. a DSGVO (Einwilligung) |
| Server-Protokolle: IP-Adresse, Zeitpunkt, aufgerufener Endpunkt | Betrieb, Fehlersuche, Abwehr von Missbrauch | Art. 6 Abs. 1 lit. f DSGVO |
Wir setzen keine Analyse-Tracker ein und erstellen selbst keine Profile über dein Verhalten. Werbung siehst du ausschließlich, wenn du ein Video zum Freischalten selbst startest — siehe unten.
4. Wer die Daten außer uns bekommt
Supabase — Datenbank, Konten, Live-Synchronisierung
Alle oben genannten Daten liegen bei Supabase, Inc. Unser Projekt läuft in der Region Irland (EU). Supabase verarbeitet die Daten als Auftragsverarbeiter nach Art. 28 DSGVO.
Anthropic — das Schreiben der Fälle
Das ist der Punkt, den man am ehesten übersieht. Wenn ein Fall für eure Runde geschrieben wird, gehen an Anthropic PBC (USA): dein Wunschtext, deine Angaben zu Anlass und Gruppe, die von dir genannten Tabus und die Vornamen aller Anwesenden — damit der Fall zur Runde passt. Ebenso beim Gegenlesen und beim Übersetzen der fertige Fall.
Anthropic speichert Anfragen befristet zur Missbrauchserkennung und nutzt sie nicht zum Training von Modellen. Die Übermittlung in die USA stützt sich auf Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO.
Wer das vermeiden will, spielt einen fertigen Fall: Der liegt in der App und verlässt dein Gerät nicht.
Google AdMob — das Werbevideo
Der einzige Punkt, an dem Daten wirklich an einen Dritten gehen. Alle anderen hier genannten Dienste verarbeiten nur in unserem Auftrag — AdMob nicht: Google nutzt die Daten für eigene Werbezwecke.
Werbung siehst du nur, wenn du sie selbst auslöst: Der erste fertige Fall ist kostenlos, für den nächsten kannst du ein kurzes Video ansehen. Wer das nicht möchte, spielt keines — und wer Guthaben für eigens geschriebene Fälle hat, bekommt gar keine Werbung zu sehen.
Beim Abspielen übermittelt das Werbe-SDK an Google Ireland Limited unter anderem die Werbe-ID deines Geräts, technische Angaben zu Gerät und App sowie deine gekürzte IP-Adresse. Damit die Freischaltung bei dir ankommt, geht außerdem deine Konto-Kennung mit — Google meldet sie in einem signierten Rückruf an uns zurück.
Rechtsgrundlage ist deine Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO. Wir holen sie über Googles Einwilligungsdialog ein, und zwar vor dem ersten Video — nicht beim Start der App. Du kannst sie jederzeit widerrufen; danach siehst du keine personalisierte Werbung mehr. Die Werbe-ID lässt sich zusätzlich in den Android-Einstellungen unter Datenschutz → Werbung zurücksetzen oder löschen.
Was Google mit diesen Daten macht, steht in dessen eigener Erklärung: policies.google.com/technologies/ads.
Stripe — Bezahlung
Beim Kauf werden deine E-Mail-Adresse und die Bestellangaben an Stripe übermittelt (Stripe Payments Europe, Ltd., Irland; Konzernmutter in den USA). Kartendaten sehen wir nie — sie werden ausschließlich bei Stripe eingegeben. Grundlage ist Art. 6 Abs. 1 lit. b DSGVO.
Google — Anmeldung mit Google-Konto
Nur, wenn du diesen Weg wählst. Dann erfahren wir von Google deine E-Mail-Adresse und eine Kennung. Wählst du die Anmeldung per E-Mail, ist Google nicht beteiligt.
5. Wie lange wir speichern
| Daten | Dauer |
|---|---|
| Konto und alles daran Hängende | Bis du das Konto löschst — dann sofort |
| Spielräume | Werden nach dem Abend nicht mehr gebraucht und mit dem Konto der Gastgeberin bzw. des Gastgebers gelöscht |
| Zahlungsbelege bei Stripe | 10 Jahre — § 147 AO, § 257 HGB. Diese Frist können wir nicht verkürzen. |
| Server-Protokolle | 30 Tage |
6. Deine Rechte
Du hast das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21 DSGVO). Schreib dafür an privacy@velstra.io.
Löschen geht schneller selbst: In der App, ohne Rückfrage bei uns — so geht es.
Du kannst dich außerdem bei einer Datenschutz-Aufsichtsbehörde beschweren. Zuständig ist die Behörde deines Wohnorts oder unseres Sitzes.
7. Kinder
Die App richtet sich nicht an Kinder unter 13 Jahren. Wir erheben nicht wissentlich Daten von ihnen.
8. Änderungen
Ändert sich, was verarbeitet wird, ändern wir diese Seite und passen das Datum oben an.
Privacy Policy
For the app Framed! Murder Mystery Party
(io.velstra.framed). Last updated: 28 July 2026.
1. Controller
Jakob Müller IT-Services, c/o POSTFLEX PFX-425-425, Emsdettener Straße 10, 48268 Greven, Germany · privacy@velstra.io
2. What you can play without giving us anything
Joining an evening needs no account. You enter a room code and a display name — a nickname is fine. An account is only needed to host an evening or to buy anything.
3. What we process
Email address and account id; your display name, player id and language setting in a room; room data including your brief for the case, the generated case, game state, votes and question counts; credit, subscription and usage counters; purchase records; prepared evenings; and server logs (IP address, time, endpoint). Legal bases: performance of a contract (Art. 6(1)(b) GDPR), legitimate interests for abuse prevention (Art. 6(1)(f)) and legal obligations for accounting records (Art. 6(1)(c)).
We use no analytics trackers and build no profiles of our own. You only see advertising if you start an unlock video yourself.
4. Who else receives data
Supabase, Inc. hosts the database, accounts and live sync; our project runs in the Ireland (EU) region, as a processor under Art. 28 GDPR.
Anthropic PBC (USA) receives, when a case is written for your group: your brief, your notes on the occasion and the group, the taboos you listed and the first names of everyone at the table — so the case fits your group. The same applies when a finished case is reviewed or translated. Anthropic retains requests for a limited period for abuse detection and does not use them for model training. The transfer relies on Standard Contractual Clauses (Art. 46(2)(c) GDPR). If you would rather avoid this, play a ready-made case — it ships inside the app and never leaves your device.
Stripe (Stripe Payments Europe, Ltd., Ireland) receives your email address and order details when you buy. We never see card details.
Google is involved if you choose to sign in with a Google account.
Google AdMob is the one recipient that is not merely processing on our behalf — Google uses the data for its own advertising purposes. You only see an ad if you choose to: the first ready-made case is free, and a short video unlocks the next one. Anyone with credit for custom-written cases sees no ads at all. The ad SDK sends Google Ireland Limited your device's advertising ID, technical details about device and app, your truncated IP address, and your account id so the unlock reaches you. The legal basis is your consent (Art. 6(1)(a) GDPR), collected through Google's consent dialog before the first video — not at app start. You can withdraw it at any time, and reset or delete the advertising ID under Android's Privacy → Ads settings. See Google's own policy.
5. Retention
Your account and everything attached to it: until you delete it, then immediately. Payment records at Stripe: 10 years, required by German tax and commercial law (§ 147 AO, § 257 HGB) — we cannot shorten this. Server logs: 30 days.
6. Your rights
Access, rectification, erasure, restriction, portability and objection (Art. 15–21 GDPR) — write to privacy@velstra.io. You can delete your account yourself, faster: here is how. You may also lodge a complaint with a supervisory authority.
7. Children
The app is not directed at children under 13, and we do not knowingly collect their data.