Habit Pattern

Data Protection Policy / Datenschutzerklärung

Parallel English and German Legal Version

Privacy Policy

Welcome to our web application. This Privacy Policy explains how we collect, use, and protect your personal data when you use our gamified task-tracking platform.

This service is not specifically intended for children under the age of 16. We do not knowingly collect personal data from children below this age.

AI Transparency Notice: This website is a private, non-commercial hobby project. Some background graphics, promotional materials, and video content on this website and its associated channels make use of AI-assisted tools for creative, artistic, and fictional purposes only. These elements do not depict real persons, places, or events.

1. General Information & Infrastructure

The operator of this application processes your data responsibly and in accordance with the General Data Protection Regulation (GDPR).

Local Hosting: This application is fully self-hosted on privately operated local infrastructure. The server stack consists of Docker containers, an Nginx web server with PHP, and a MariaDB database system. No user data is stored in third-party cloud environments.

Encryption: For security reasons and to protect the transmission of confidential content, this website uses a TLS-encrypted connection (HTTPS). In addition, stored data is protected by technical and organizational security measures, including data encryption mechanisms and access control restrictions.

Backups: Backup copies are created solely to ensure system availability and recoverability. Such backups are automatically overwritten or deleted according to the applicable retention periods of the backup cycle.

2. Data Controller

The data controller responsible for data processing on this website is:

Holger Sontag
c/o POSTFLEX PFX-442-727
Emsdettener Straße 10
48268 Greven

3. Collection and Processing of Personal Data

We limit the processing of user data to the minimum amount necessary to provide and secure our services. The following categories of data may be processed:

A. Account and Authentication Data

  • Email Address: Required to uniquely identify your account, request password resets, and authenticate logins. Legal basis: Art. 6(1)(b) GDPR (performance of a contract). Providing an email address is necessary for creating and using a user account. Without this information, an account cannot be created. The application currently does not send automated emails.
  • Username & Nickname: Used for personalized display within the application. The use of pseudonyms is explicitly permitted. Legal basis: Art. 6(1)(b) GDPR.
  • Password Hash: Cryptographic hashes of user-selected passwords are stored to enable secure authentication. Passwords are never stored in plain text. Legal basis: Art. 6(1)(b) GDPR.
  • Avatars: Users may voluntarily upload a profile picture. Please note that an uploaded photograph of a real person constitutes personal data under the GDPR. Legal basis: Art. 6(1)(a) GDPR (consent). Consent may be withdrawn at any time with effect for the future. The lawfulness of processing carried out prior to withdrawal remains unaffected.

B. Application and Gamification Data

To provide the interactive features of the system, data entered by users is stored directly in our local MariaDB database:

  • Quests & Extra Quests: Task descriptions, progress variables, status attributes, and historical records.
  • Journal Data: Personal entries, progress logs, and related structural metadata.

No automated decision-making, including profiling within the meaning of Art. 22 GDPR, takes place.

Legal basis for this processing is Art. 6(1)(b) GDPR (performance of a contract).

C. Technical Server Logs

Our Nginx infrastructure automatically records technical events in system logs to ensure operational security. This may include IP addresses, timestamps, requested URLs, HTTP status codes, user-agent strings, and referrer information. These data are used exclusively for troubleshooting and IT security purposes. Legal basis: Art. 6(1)(f) GDPR (legitimate interest).

4. Cookies

This web application uses only technically necessary session cookies. These temporary cookies are required to maintain your login session while navigating the application. We do not use marketing, analytics, or tracking cookies.

5. External Services (Cloudflare)

To protect our local server infrastructure against cyberattacks, bot activity, and excessive traffic, incoming network traffic is routed through the infrastructure of Cloudflare, Inc. (101 Townsend St, San Francisco, CA 94107, USA). A data processing agreement pursuant to Art. 28 GDPR has been concluded with Cloudflare.

  • Cloudflare WAF: Inspects incoming traffic to block malicious requests, DDoS attacks, and exploit attempts.
  • Cloudflare Turnstile: Integrated into authentication forms as a privacy-friendly and unobtrusive CAPTCHA alternative to detect automated bots. When forms are accessed, Cloudflare Turnstile is loaded and may process technical information such as IP address, browser information, device information, and interactions with the website. The legal basis for processing by Cloudflare Turnstile and Cloudflare WAF is Art. 6(1)(f) GDPR (legitimate interest in maintaining the security and stability of the service).

As part of this process, technical metadata (such as IP addresses, request information, and browser data) may be transferred to Cloudflare. Transfers of personal data to the United States are safeguarded through Standard Contractual Clauses (SCCs) and participation in the EU-U.S. Data Privacy Framework. Legal basis: Art. 6(1)(f) GDPR (legitimate interest in IT security).

6. Data Retention and Deletion

Account and gamification data remain stored in our database for as long as the corresponding user account exists. Users may request deletion of their account and associated personal data at any time by email. Unless legal retention obligations require otherwise, the relevant data will then be permanently deleted.

Server logs are automatically deleted after a maximum of 14 days unless security-related incidents require longer retention.

7. Your Rights

Under the GDPR, you have the following rights regarding your personal data:

  • Right of access to your stored data (Art. 15 GDPR)
  • Right to rectification of inaccurate data (Art. 16 GDPR)
  • Right to erasure / right to be forgotten (Art. 17 GDPR)
  • Right to restriction of processing (Art. 18 GDPR)
  • Right to data portability (Art. 20 GDPR): Upon request, we will provide the data you have supplied in a structured, commonly used, and machine-readable format.
  • Right to object to processing (Art. 21 GDPR)

To exercise these rights, simply contact the data controller listed in Section 2 by email. You also have the right to lodge a complaint with a data protection supervisory authority.

The competent data protection authority in Bavaria is:
Bavarian State Office for Data Protection Supervision (BayLDA)
Promenade 18
91522 Ansbach
Website: https://www.lda.bayern.de

Version: October 2026
We reserve the right to amend this Privacy Policy to reflect changes in legal requirements or technical developments.

Datenschutzerklärung

Willkommen bei unserer Webanwendung. Nachfolgend informieren wir Sie über den Umgang mit Ihren personenbezogenen Daten bei der Nutzung unseres gamifizierten Aufgaben-Trackers.

Das Angebot richtet sich nicht gezielt an Kinder unter 16 Jahren. Es erfolgt keine wissentlich personenbezogene Datenerhebung von Kindern unterhalb dieses Alters.

Hinweis zur KI-Transparenz: Diese Webseite ist ein privates, nicht-kommerzielles Hobbyprojekt. Einige Hintergrundgrafiken, Werbeelemente und Videomaterialien auf dieser Seite sowie auf den damit verbundenen Kanälen nutzen KI-gestützte Werkzeuge zu rein kreativen, künstlerischen und fiktionalen Zwecken. Diese Elemente stellen keine realen Personen, Orte oder Ereignisse dar.

1. Allgemeine Informationen & Infrastruktur

Der Betreiber dieser Anwendung verarbeitet Ihre Daten verantwortungsbewusst und in Übereinstimmung mit der Datenschutz-Grundverordnung (DSGVO).

Lokales Hosting: Diese Anwendung wird vollständig auf unserer privaten, lokalen Infrastruktur selbst gehostet. Der Server-Stack besteht aus Docker-Containern, einem Nginx-Webserver mit PHP und einem MariaDB-Datenbanksystem. Es werden keine Daten in Cloud-Umgebungen von Drittanbietern gespeichert.

Verschlüsselung: Diese Webseite nutzt aus Sicherheitsgründen und zum Schutz der Übertragung vertraulicher Inhalte eine TLS-verschlüsselte Verbindung (HTTPS).
Zusätzlich werden gespeicherte Daten durch technische und organisatorische Sicherheitsmaßnahmen geschützt. Hierzu gehören unter anderem Verschlüsselungsmechanismen für gespeicherte Daten sowie Maßnahmen zur Zugriffsbeschränkung.

Backups: Sicherheitskopien (Backups) werden ausschließlich zur Gewährleistung der Verfügbarkeit und Wiederherstellbarkeit des Systems erstellt und nach den für den jeweiligen Sicherungszyklus geltenden Fristen automatisch überschrieben bzw. gelöscht.

2. Verantwortlicher

Der datenschutzrechtlich Verantwortliche für die Datenverarbeitung auf dieser Webseite ist:

Holger Sontag
c/o POSTFLEX PFX-442-727
Emsdettener Straße 10
48268 Greven

3. Erhebung und Verarbeitung personenbezogener Daten

Wir beschränken die Verarbeitung von Nutzerdaten auf das absolut notwendige funktionale Minimum, um unsere Dienste bereitzustellen und zu sichern. Folgende Datentypen werden verarbeitet:

A. Konto- und Authentifizierungsdaten

  • E-Mail-Adresse: Erforderlich, um Ihr Konto eindeutig zu identifizieren, Passwort-Resets zu beantragen und Logins zu authentifizieren. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung). Die Bereitstellung der E-Mail-Adresse ist für die Erstellung und Nutzung eines Benutzerkontos erforderlich. Ohne diese Angaben kann kein Benutzerkonto eingerichtet werden. Die Applikation sendet aktuell keine E-Mails automatisch.
  • Benutzername & Nickname: Dient der personalisierten Anzeige innerhalb der App. Die Verwendung von Pseudonymen ist ausdrücklich gestattet. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
  • Passwort-Hash: Kryptografische Hashes des vom Nutzer gewählten Passworts werden gespeichert, um sichere Logins abzugleichen. Passwörter werden niemals im Klartext gespeichert. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
  • Avatare: Nutzer können freiwillig ein Profilbild hochladen. Bitte beachten Sie, dass ein hochgeladenes reales Foto einen personenbezogenes Datensatz im Sinne der DSGVO darstellt. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung). Eine erteilte Einwilligung kann jederzeit mit Wirkung für die Zukunft widerrufen werden. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt.

B. Anwendungs- und Gamification-Daten

Um die interaktiven Funktionen des Systems bereitzustellen, speichern wir die von Ihnen eingegebenen Daten direkt in unserer lokalen MariaDB:

  • Quests & Extra Quests: Aufgabenbeschreibungen, Fortschrittsvariablen, Status-Attribute und Verlaufshistorien.
  • Journal-Daten: Persönliche Einträge, Fortschrittsprotokolle und zugehörige strukturelle Metadaten des Nutzers.

Es findet keine automatisierte Entscheidungsfindung einschließlich Profiling im Sinne von Art. 22 DSGVO statt.

Rechtsgrundlage für diese Verarbeitung ist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).

C. Technische Server-Logs

Unser Nginx-System protokolliert automatisch technische Ereignisse in System-Logs, um die Betriebssicherheit zu gewährleisten. Hierbei können insbesondere IP-Adresse, Zeitstempel, angeforderte URL, HTTP-Statuscode, User-Agent und Referrer verarbeitet werden. Diese Daten dienen ausschließlich der Fehlerbehebung und IT-Sicherheit. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Berechtigtes Interesse).

4. Cookies

Diese Webanwendung verwendet ausschließlich technisch notwendige Session-Cookies. Diese temporären Cookies sind zwingend erforderlich, um Ihren Login-Status während der Navigation aufrechtzuerhalten. Wir setzen keine Marketing-, Analyse- oder Tracking-Cookies ein.

5. Externe Dienste (Cloudflare)

Um unsere lokale Server-Infrastruktur gegen Cyberangriffe, Bot-Aktivitäten und Überlastung zu schützen, leiten wir den eingehenden Netzwerkverkehr über die Infrastruktur von Cloudflare, Inc. (101 Townsend St, San Francisco, CA 94107, USA) um. Mit Cloudflare wurde ein Vertrag zur Auftragsverarbeitung gemäß Art. 28 DSGVO abgeschlossen.

  • Cloudflare WAF: Prüft Datenpakete, um schädliche Anfragen, DDoS-Angriffe und Exploits zu blockieren.
  • Cloudflare Turnstile: Ist direkt in die Authentifizierungsformulare eingebunden. Es dient als datenschutzfreundliche, unaufdringliche CAPTCHA-Alternative, um automatisierte Bots zu erkennen. Beim Aufruf von Formularen wird Cloudflare Turnstile geladen. Hierdurch können technische Informationen wie IP-Adresse, Browserinformationen, Geräteinformationen sowie Interaktionen mit der Webseite verarbeitet werden. Rechtsgrundlage für die Verarbeitung durch Cloudflare Turnstile und Cloudflare WAF ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Sicherheit und Stabilität des Angebots).

Bei diesem Prozess werden technische Metadaten (z. B. Ihre IP-Adresse, Anforderungsdaten und Browser-Informationen) an Cloudflare übertragen. Datenübertragungen in die USA sind über Standardvertragsklauseln (SCC) sowie das EU-U.S. Data Privacy Framework abgesichert. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Berechtigtes Interesse an der IT-Sicherheit).

6. Speicherung und Löschung

Konto- und Gamification-Daten bleiben so lange in unserer Datenbank aktiv, wie Ihr Benutzerkonto existiert. Nutzer können jederzeit die Löschung ihres Kontos und der zugehörigen personenbezogenen Daten per E-Mail beantragen. Soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen, werden die zugehörigen Daten anschließend dauerhaft entfernt. Server-Logs werden nach spätestens 14 Tagen automatisch gelöscht, sofern keine sicherheitsrelevanten Ereignisse eine längere Aufbewahrung erforderlich machen.

7. Ihre Rechte

Nach der DSGVO haben Sie folgende Rechte bezüglich Ihrer personenbezogenen Daten:

  • Recht auf Auskunft über Ihre gespeicherten Daten (Art. 15 DSGVO)
  • Recht auf Berichtigung unrichtiger Daten (Art. 16 DSGVO)
  • Recht auf Löschung / Recht auf Vergessenwerden (Art. 17 DSGVO)
  • Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO)
  • Recht auf Datenübertragbarkeit (Art. 20 DSGVO): Auf Anfrage stellen wir die von Ihnen bereitgestellten Daten in einem strukturierten, gängigen und maschinenlesbaren Format zur Verfügung.
  • Recht auf Widerspruch gegen die Verarbeitung (Art. 21 DSGVO)

Um diese Rechte auszuüben, wenden Sie sich einfach per E-Mail an den in Abschnitt 2 genannten Verantwortlichen. Sie haben außerdem das Recht, eine Beschwerde bei einer Datenschutzaufsichtsbehörde einzureichen.

Zuständige Datenschutzaufsichtsbehörde für Bayern ist:
Bayerisches Landesamt für Datenschutzaufsicht (BayLDA) Promenade 18 91522 Ansbach
Website: https://www.lda.bayern.de

Stand: Oktober 2026
Wir behalten uns vor, diese Datenschutzerklärung anzupassen, um sie an geänderte rechtliche Anforderungen oder technische Änderungen anzupassen.