Datenschutzerklärung

1. Verantwortlicher

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) und sonstiger nationaler Datenschutzgesetze der Mitgliedstaaten sowie sonstiger datenschutzrechtlicher Bestimmungen ist:

Laurence Hugo Pacher (knieveldev)
Erzgießereistraße 43A
80335 München
Deutschland

E-Mail: l.pacher@knieveldev.com
Telefon: +49 171 1558086

Einen Datenschutzbeauftragten haben wir nicht bestellt, da die gesetzlichen Voraussetzungen hierfür nicht vorliegen (Art. 37 DSGVO, § 38 BDSG).

2. Allgemeines zur Datenverarbeitung

2.1 Umfang der Verarbeitung personenbezogener Daten

Wir verarbeiten personenbezogene Daten unserer Nutzerinnen und Nutzer grundsätzlich nur, soweit dies zur Bereitstellung eines funktionsfähigen Spiels sowie unserer Inhalte und Leistungen erforderlich ist. Eine Verarbeitung personenbezogener Daten erfolgt regelmäßig nur nach Einwilligung der Nutzer (Art. 6 Abs. 1 lit. a DSGVO) oder zur Erfüllung eines Vertrages (Art. 6 Abs. 1 lit. b DSGVO), zur Erfüllung einer rechtlichen Verpflichtung (Art. 6 Abs. 1 lit. c DSGVO) oder auf Grundlage unserer berechtigten Interessen (Art. 6 Abs. 1 lit. f DSGVO).

2.2 Rechtsgrundlagen im Überblick (Art. 6 DSGVO)

Soweit Cookies oder vergleichbare Speichertechnologien auf Endgeräten eingesetzt werden, die nicht unbedingt erforderlich sind, erfolgt dies auf Grundlage Ihrer Einwilligung nach § 25 Abs. 1 TDDDG in Verbindung mit Art. 6 Abs. 1 lit. a DSGVO. Unbedingt erforderliche Speichervorgänge stützen sich auf § 25 Abs. 2 Nr. 2 TDDDG.

2.3 Datenlöschung und Speicherdauer

Die personenbezogenen Daten der betroffenen Person werden gelöscht oder gesperrt, sobald der Zweck der Speicherung entfällt. Eine Speicherung kann darüber hinaus erfolgen, wenn dies durch europäische oder nationale Vorgesetze (insbesondere steuer- und handelsrechtliche Aufbewahrungsfristen gemäß § 147 AO, § 257 HGB – in der Regel 6 bis 10 Jahre) vorgesehen wurde. Eine Sperrung oder Löschung erfolgt auch dann, wenn eine durch die genannten Normen vorgeschriebene Speicherfrist abläuft, es sei denn, dass eine Erforderlichkeit zur weiteren Speicherung der Daten für einen Vertragsabschluss oder eine Vertragserfüllung besteht.

3. Datenübermittlung in Drittländer (Art. 44 ff. DSGVO)

⚠️ Wichtiger Hinweis: Wir verarbeiten personenbezogene Daten auf Server-Infrastruktur in den Vereinigten Staaten (USA) (insbesondere für Hosting, Datenbank und einige Drittdienste). Die USA sind ein Drittland im Sinne der DSGVO ohne einheitliches Datenschutzniveau.

Für die Übermittlung in die USA und andere Drittländer stützen wir uns auf folgende Mechanismen (Art. 44–49 DSGVO):

• EU-US Data Privacy Framework (DPF): Soweit der jeweilige Empfänger unter dem DPF zertifiziert ist, erfolgt die Übermittlung auf Grundlage des Angemessenheitsbeschlusses der EU-Kommission vom 10. Juli 2023 (Art. 45 DSGVO).
• Standardvertragsklauseln (SCC): Für Empfänger ohne DPF-Zertifizierung oder in anderen Drittländern setzen wir die Standardvertragsklauseln der EU-Kommission (Durchführungsbeschluss 2021/914) gemäß Art. 46 Abs. 2 lit. c DSGVO ein.
• Ausdrückliche Einwilligung nach Art. 49 Abs. 1 lit. a DSGVO, soweit eine solche über unser Consent-Banner oder sonstige Einwilligungsmechanismen eingeholt wird.

Trotz dieser Maßnahmen können bei Übermittlungen in die USA US-Behörden (insbesondere auf Grundlage von FISA 702, Executive Order 12333, Cloud Act) auf die Daten zugreifen, ohne dass EU-Betroffenen effektive Rechtsbehelfe in jedem Fall zur Verfügung stehen. Eine Kopie der entsprechenden Garantien können Sie unter der oben genannten E-Mail-Adresse anfordern.

4. Bereitstellung der Website / des Spiels und Erstellung von Logfiles

Bei jedem Aufruf unserer Website sowie bei jedem Start des Spiels werden durch unsere IT-Systeme bzw. die unserer Auftragsverarbeiter automatisiert Daten des zugreifenden Systems erfasst:

• IP-Adresse des Nutzers (gekürzt/anonymisiert, soweit möglich)
• Datum und Uhrzeit des Zugriffs
• Betriebssystem und Browsertyp (User-Agent)
• Gerätetyp, Geräte-ID (bei mobiler App)
• Referrer-URL (bei Web)
• übertragene Datenmenge und Statuscode

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem stabilen, sicheren Betrieb).
Speicherdauer: Logfiles werden in der Regel nach 14 Tagen gelöscht, soweit sie nicht zur Abwehr konkreter Angriffe benötigt werden.

5. Nutzerkonto, Anmeldung und Spielstand

5.1 Erstellung eines Nutzerkontos

Für die Nutzung bestimmter Funktionen (insbesondere Fortschrittssicherung, Käufe, Cloud-Synchronisation) ist ein Nutzerkonto erforderlich. Die Anmeldung erfolgt über:

• Sign in with Apple
• Sign in with Google

Dabei werden folgende Daten verarbeitet:

• Name (soweit vom Anmeldedienst übermittelt)
• E-Mail-Adresse (ggf. pseudonymisierte Relay-Adresse bei Sign in with Apple)
• Eindeutige Nutzer-ID des jeweiligen Anmeldedienstes
• interne Nutzer-ID in unserem System
• Spielstand, gekaufte Produkte, Entitlements, Fortschritt

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Durchführung des Nutzungsvertrags).
Speicherdauer: Für die Dauer des Nutzungsvertrags. Nach Löschung des Kontos werden personenbezogene Daten innerhalb von 30 Tagen gelöscht; gesetzliche Aufbewahrungspflichten (insb. für abgeschlossene Käufe) bleiben unberührt.

5.2 Mindestalter

Die Nutzung des Spiels ist erst ab einem Alter von 13 Jahren zulässig. Minderjährige zwischen 13 und 18 Jahren dürfen das Spiel nur mit Zustimmung ihrer Erziehungsberechtigten nutzen. Wir führen keine aktive Altersverifikation durch; Nutzer versichern mit der Registrierung, das Mindestalter erreicht zu haben.

6. In-App-Käufe und Zahlungen

6.1 Mobile Apps (iOS / Android)

Käufe innerhalb der mobilen App werden über die offiziellen In-App-Purchase-Systeme von Apple (App Store / StoreKit) bzw. Google (Google Play Billing) abgewickelt. Zahlungs- und Abrechnungsdaten verarbeiten Apple bzw. Google als eigenständig Verantwortliche. Wir erhalten lediglich eine Bestätigung des Kaufs sowie anonymisierte Transaktions-IDs.

Zur Verwaltung der Berechtigungen (Entitlements) und zur Abwicklung nutzen wir RevenueCat, Inc. (USA). Näheres siehe Ziffer 7.

6.2 Web-Version

Zahlungen auf unserer Web-Version (z. B. „Remove Ads"-Pack) werden über Stripe Payments Europe, Ltd. abgewickelt, technisch integriert über die von Replit verwaltete Stripe-Integration. Näheres siehe Ziffer 7.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Kaufvertrag), Art. 6 Abs. 1 lit. c DSGVO (Steuerpflichten).

7. Drittanbieter und Auftragsverarbeiter

Wir setzen zur Bereitstellung des Spiels die folgenden Dienstleister ein. Soweit es sich um Auftragsverarbeiter im Sinne des Art. 28 DSGVO handelt, haben wir entsprechende Auftragsverarbeitungsverträge (AVV/DPA) abgeschlossen.

7.1 Authentifizierung — Clerk

Clerk, Inc., 660 King Street, Unit 345, San Francisco, CA 94107, USA.
Zweck: Verwaltung der Nutzerkonten, Sign-In-Flow, Session-Management (Web, Mobile, API).
Daten: Name, E-Mail, User-ID, Session-Token, IP-Adresse, Geräteinformationen. Bei Nutzung von Sign in with Google / Sign in with Apple werden zusätzlich die dort übermittelten Profildaten verarbeitet.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
Drittlandtransfer: USA — auf Grundlage SCC bzw. DPF, sofern Clerk zertifiziert ist.
Datenschutzerklärung: clerk.com/legal/privacy

7.2 Sign in with Apple — Apple Inc.

Apple Distribution International Ltd., Hollyhill Industrial Estate, Hollyhill, Cork, Irland.
Zweck: Authentifizierung über die Apple-ID.
Daten: Apple-User-ID, E-Mail (optional als Relay-Adresse), Name (sofern geteilt).
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
Datenschutzerklärung: apple.com/legal/privacy/de-ww

7.3 Sign in with Google — Google Ireland Ltd.

Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland (Mutter: Google LLC, USA).
Zweck: Authentifizierung über das Google-Konto.
Daten: Google-User-ID, E-Mail, Name, Profilbild (sofern geteilt).
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
Drittlandtransfer: USA — SCC / DPF.
Datenschutzerklärung: policies.google.com/privacy

7.4 Stripe (Web-Zahlungen)

Stripe Payments Europe, Ltd., The One Building, 1 Grand Canal Street Lower, Dublin 2, Irland.
Zweck: Abwicklung von Zahlungen auf der Web-Version.
Daten: Name, E-Mail, Zahlungsmittel-Daten (Karte, SEPA etc.), Rechnungsadresse, IP-Adresse, Browser-/Geräteinformationen, Transaktionsdaten.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragsdurchführung), Art. 6 Abs. 1 lit. c DSGVO (steuerliche Pflichten).
Drittlandtransfer: Stripe kann Daten an Stripe, Inc. (USA) übermitteln — SCC / DPF.
Datenschutzerklärung: stripe.com/de/privacy

7.5 RevenueCat (Mobile IAP)

RevenueCat, Inc., 1100 Cranberry Woods Drive, Pittsburgh, PA 16066, USA.
Zweck: Verwaltung mobiler In-App-Käufe, Entitlements, Abonnements, Analyse von Kauf-Metriken.
Daten: App-User-ID, pseudonyme Geräte-ID, Kauf-Historie, Abonnement-Status, Attributions-Daten (soweit übermittelt), IP-Adresse.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
Drittlandtransfer: USA — SCC / DPF.
Datenschutzerklärung: revenuecat.com/privacy

7.6 Google AdMob (mobile Werbung)

Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland.
Zweck: Einblendung von Banner- und Rewarded-Video-Anzeigen in der mobilen App.
Daten: Werbe-ID (IDFA bei iOS, AAID bei Android, sofern nicht deaktiviert), IP-Adresse, Geräte-/App-Informationen, ungefähre Standortinformationen, Interaktionen mit Werbeanzeigen.
Rechtsgrundlage:

• Bei personalisierter Werbung: Einwilligung gemäß § 25 Abs. 1 TDDDG i.V.m. Art. 6 Abs. 1 lit. a DSGVO (über die Consent-Abfrage beim Erststart der App / Google UMP SDK bzw. eingesetztes CMP).
• Bei nicht-personalisierter Werbung: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Monetarisierung eines Free-to-play-Spiels); § 25 Abs. 2 Nr. 2 TDDDG, soweit anwendbar.

Auf iOS greift zusätzlich das App Tracking Transparency (ATT)-Framework von Apple.
Drittlandtransfer: USA — SCC / DPF.
Datenschutzerklärung: policies.google.com/technologies/ads

Web-Version: Die Web-Version verwendet kein Drittanbieter-Werbenetzwerk, sondern ein simuliertes, spielinternes Werbesystem. Hierbei findet keine Datenübermittlung an Werbenetzwerke statt.

7.7 Datenbank — PostgreSQL via Replit

Replit, Inc., 767 Bryant St #203, San Francisco, CA 94107, USA.
Zweck: Hosting der Anwendung, verwaltete PostgreSQL-Datenbank (zugegriffen über Drizzle ORM), Domain- und Deployment-Infrastruktur, Secret-Management (Replit Connectors für Stripe/RevenueCat-Credentials).
Daten: Sämtliche Anwendungsdaten (Nutzerkonten, Spielstände, Käufe, Logfiles).
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragsdurchführung), Art. 6 Abs. 1 lit. f DSGVO (sicherer Betrieb).
Drittlandtransfer: USA. Verarbeitung erfolgt auf Grundlage eines Auftragsverarbeitungsvertrags (DPA) mit Standardvertragsklauseln (Art. 46 DSGVO) bzw. EU-US DPF, sofern zertifiziert.
Datenschutzerklärung: replit.com/site/privacy

7.8 Expo-Plattform (nur Mobile App)

Expo (650 Industries, Inc.), 1209 Orange Street, Wilmington, DE 19801, USA.
Wir nutzen folgende Expo-Module:

Rechtsgrundlage Push: Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO (abgegeben über die System-Abfrage iOS/Android). Sie können Push-Benachrichtigungen jederzeit in den Systemeinstellungen Ihres Geräts deaktivieren.
Rechtsgrundlage Secure Store / Audio: Art. 6 Abs. 1 lit. b DSGVO.
Drittlandtransfer: Push-Token werden durch Apple (APNS) bzw. Google (FCM) in deren Infrastruktur (teils USA) verarbeitet.
Datenschutzerklärung: expo.dev/privacy

7.9 Google Analytics

Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland.
Zweck: Analyse der Nutzung von Website und App (Nutzerzahlen, Verweildauer, Funktionsnutzung).
Daten: pseudonyme Client-/User-ID, IP-Adresse (wird von Google automatisch gekürzt/verkürzt), Geräteinformationen, Interaktionen.
Rechtsgrundlage: Einwilligung gemäß § 25 Abs. 1 TDDDG i.V.m. Art. 6 Abs. 1 lit. a DSGVO. Die Einwilligung kann jederzeit über die Einstellungen des Consent-Banners widerrufen werden.
Drittlandtransfer: USA — SCC / DPF.
Datenschutzerklärung: policies.google.com/privacy

7.10 Sentry (Fehler-Monitoring)

Functional Software, Inc. dba Sentry, 45 Fremont Street, 8th Floor, San Francisco, CA 94105, USA.
Zweck: Erfassung und Analyse von Programmfehlern und Abstürzen.
Daten: Fehler-Stacktraces, Gerät-/Browser-Informationen, pseudonyme Nutzer-/Session-ID, ggf. IP-Adresse.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Stabilität und Sicherheit des Dienstes).
Drittlandtransfer: USA — SCC / DPF.
Datenschutzerklärung: sentry.io/privacy

8. Cookies, ähnliche Technologien und Consent-Banner

Wir nutzen auf unserer Website und in der App Cookies, lokalen Speicher, SDK-Speicher und vergleichbare Technologien. Die Speicherung von Informationen auf Ihrem Endgerät bzw. der Zugriff auf dort bereits gespeicherte Informationen richtet sich nach § 25 TDDDG (Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz; bis 13. Mai 2024 unter der Bezeichnung „TTDSG" geführt). Die anschließende Verarbeitung personenbezogener Daten richtet sich zusätzlich nach der DSGVO.

• Unbedingt erforderliche Technologien (z. B. Session-Token, Warenkorb/Kauf-Flow, Spracheinstellung, sowie die Speicherung Ihrer Consent-Entscheidung selbst): Rechtsgrundlage § 25 Abs. 2 Nr. 2 TDDDG — keine Einwilligung erforderlich.
• Alle weiteren Technologien (Analyse, Werbung, Drittanbieter-SDKs mit Tracking-Funktion): werden erst nach Ihrer aktiven Einwilligung über unser Consent Management Tool (CMP) geladen. Rechtsgrundlage ist § 25 Abs. 1 TDDDG i. V. m. Art. 6 Abs. 1 lit. a DSGVO.

Dokumentation der Einwilligung. Wir speichern Ihre Consent-Entscheidung (welchen Kategorien Sie zugestimmt bzw. widersprochen haben, Zeitstempel, CMP-Version) lokal auf Ihrem Endgerät. Diese Speicherung dient dem Nachweis der Einwilligung gemäß Art. 7 Abs. 1 DSGVO und ist unbedingt erforderlich im Sinne des § 25 Abs. 2 Nr. 2 TDDDG.

Gültigkeitsdauer. Ihre Einwilligung gilt für bis zu zwölf Monate; danach werden Sie erneut um eine Entscheidung gebeten. Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen, indem Sie das CMP erneut öffnen — über den Link „Cookie-Einstellungen" bzw. „Datenschutz-Einstellungen" im Footer der Website bzw. im App-Menü. Der Widerruf ist so einfach wie die Erteilung der Einwilligung (Art. 7 Abs. 3 DSGVO).

9. Push-Benachrichtigungen (nur Mobile App)

Sofern Sie dem Erhalt von Push-Benachrichtigungen in der System-Abfrage von iOS bzw. Android zustimmen, senden wir Ihnen gelegentlich Benachrichtigungen (z. B. zu Ingame-Ereignissen). Rechtsgrundlage ist Ihre Einwilligung, Art. 6 Abs. 1 lit. a DSGVO. Die Einwilligung kann jederzeit über die Systemeinstellungen Ihres Endgeräts widerrufen werden.

10. Rechte der betroffenen Personen

Sofern wir personenbezogene Daten von Ihnen verarbeiten, stehen Ihnen die folgenden Rechte zu:

• Auskunft (Art. 15 DSGVO) über die zu Ihrer Person gespeicherten Daten.
• Berichtigung (Art. 16 DSGVO) unrichtiger Daten.
• Löschung (Art. 17 DSGVO – „Recht auf Vergessenwerden").
• Einschränkung der Verarbeitung (Art. 18 DSGVO).
• Datenübertragbarkeit (Art. 20 DSGVO).
• Widerspruch gegen Verarbeitungen auf Grundlage des Art. 6 Abs. 1 lit. f DSGVO (Art. 21 DSGVO) – insbesondere gegen Direktwerbung jederzeit wirksam.
• Widerruf einer Einwilligung gemäß Art. 7 Abs. 3 DSGVO mit Wirkung für die Zukunft.

Zur Ausübung Ihrer Rechte genügt eine formlose Nachricht an l.pacher@knieveldev.com.

10.1 Beschwerderecht bei einer Aufsichtsbehörde (Art. 77 DSGVO)

Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren. Die für uns zuständige Behörde ist:

Bayerisches Landesamt für Datenschutzaufsicht (BayLDA)
Promenade 18
91522 Ansbach
lda.bayern.de

11. Datensicherheit

Wir treffen angemessene technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO, um die von uns verarbeiteten Daten gegen Manipulation, Verlust, Zerstörung und den Zugriff unberechtigter Personen zu schützen (u. a. Transport­verschlüsselung TLS, Verschlüsselung der Datenbank, Zugriffsbeschränkungen, regelmäßige Backups).

12. Änderungen dieser Datenschutzerklärung

Wir behalten uns vor, diese Datenschutzerklärung anzupassen, um sie stets an aktuelle rechtliche Anforderungen anzupassen oder Änderungen unserer Leistungen in der Datenschutzerklärung umzusetzen. Es gilt jeweils die aktuelle, auf der Website abrufbare Fassung. Bei wesentlichen Änderungen werden angemeldete Nutzer per E-Mail oder per In-App-Hinweis informiert.

Privacy Policy

Effective date: 23 April 2026
Applies to: website, web game and mobile app "Crime Empire Tycoon" (iOS / Android)

1. Controller

Controller within the meaning of the GDPR and other national data protection laws:

Laurence Hugo Pacher (knieveldev), Erzgießereistraße 43A, 80335 Munich, Germany. Email: l.pacher@knieveldev.com. Phone: +49 171 1558086. No Data Protection Officer is appointed (statutory thresholds not met).

2. General

We only process personal data where necessary to provide the game and our services, based on Art. 6 GDPR (consent, contract, legal obligation, legitimate interests) and, where device-storage is concerned, § 25 TDDDG.

3. International data transfers — USA

Important: we host the app, database and several third-party services in the United States, a third country under the GDPR. Transfers rely on:

• the EU-US Data Privacy Framework (Art. 45 GDPR) where the recipient is certified,
• Standard Contractual Clauses (Art. 46(2)(c) GDPR) otherwise,
• or your explicit consent (Art. 49(1)(a) GDPR) where applicable.

US authorities may access data under FISA 702, E.O. 12333 and the Cloud Act without equivalent redress; request our transfer documentation from the contact email above.

4. Server logs

On each access we (or our processors) record IP, timestamp, user-agent, device type, referrer, status code. Basis: Art. 6(1)(f) GDPR. Retention: ~14 days.

5. Accounts & sign-in

We use Sign in with Apple and Sign in with Google. Stored data: name, email, user ID, in-game progress and purchases. Basis: Art. 6(1)(b) GDPR. Minimum age: 13; minors require parental consent. Data is deleted within 30 days of account deletion, save for statutory retention (tax/commercial records, typically 6–10 years).

6. In-app purchases

Mobile: Apple IAP / Google Play Billing (they are independent controllers), with RevenueCat for entitlements. Web: Stripe via Replit's managed integration. Basis: Art. 6(1)(b) and (c) GDPR.

7. Third-party processors

Clerk (auth), Sign in with Apple/Google, Stripe, RevenueCat, Google AdMob (mobile ads only; web uses an in-game simulated ad system), Replit (hosting, PostgreSQL, Connectors, Deployments), Expo (Notifications, Secure Store, Audio), Google Analytics, Sentry. See the German section above for each processor's address, purpose, data categories, legal basis and privacy-policy link.

8. Cookies & consent

Storage of information on your device (and access to it) is governed by § 25 TDDDG (the renamed-but-substantively-identical successor to the former TTDSG, as of 14 May 2024). Subsequent processing of personal data is additionally governed by the GDPR.

• Strictly necessary storage (session tokens, purchase flow, language settings, storage of your own consent choice): § 25(2)(2) TDDDG — no consent required.
• All other storage and third-party SDKs with tracking function (analytics, advertising, tracking SDKs): loaded only after your active opt-in via our Consent Management Platform (CMP). Legal basis: § 25(1) TDDDG in conjunction with Art. 6(1)(a) GDPR.

Consent documentation. Your consent choice (categories accepted/rejected, timestamp, CMP version) is stored locally on your device for accountability under Art. 7(1) GDPR and qualifies as strictly necessary under § 25(2)(2) TDDDG.

Validity. Your consent is valid for up to twelve months; you are then re-prompted. You may withdraw at any time by reopening the CMP via the "Privacy settings" / "Cookie settings" link in the website footer or the app menu. Withdrawal is as easy as giving consent (Art. 7(3) GDPR).

9. Push notifications (mobile)

Based on your OS-level opt-in — Art. 6(1)(a) GDPR. Revoke any time in device settings.

10. Your rights

Access (Art. 15), rectification (Art. 16), erasure (Art. 17), restriction (Art. 18), portability (Art. 20), objection (Art. 21 — including against direct marketing at any time), withdrawal of consent (Art. 7(3)). Contact l.pacher@knieveldev.com. Supervisory authority: Bayerisches Landesamt für Datenschutzaufsicht (BayLDA), Promenade 18, 91522 Ansbach, Germany — lda.bayern.de.

11. Security & changes

We apply TLS, database encryption, access controls and backups (Art. 32 GDPR). The policy may be updated; the current version is always published on the website, and material changes are announced to registered users.

The German version of this Privacy Policy is the legally binding version.