Datenschutzerklärung

1. Verantwortlicher

Verantwortlich für die Datenverarbeitung auf bspmarket.de ist:

Datenschutzanfragen können per E-Mail mit dem Betreff „Datenschutz / bspmarket.de“ gestellt werden.

2. Grundsätze der Verarbeitung

Wir verarbeiten personenbezogene Daten nur, soweit dies für den Betrieb der Plattform, die Bereitstellung von Benutzerkonten, die Abwicklung von Käufen und Downloads, die Durchführung von Creator-Funktionen, die Kommunikation, die Sicherheit, die Erfüllung rechtlicher Pflichten oder die Wahrung berechtigter Interessen erforderlich ist.

Rechtsgrundlagen sind insbesondere Art. 6 Abs. 1 lit. b DSGVO für Vertragserfüllung und vorvertragliche Maßnahmen, Art. 6 Abs. 1 lit. c DSGVO für rechtliche Pflichten, Art. 6 Abs. 1 lit. f DSGVO für berechtigte Interessen und Art. 6 Abs. 1 lit. a DSGVO für Einwilligungen.

3. Hosting, Aufruf der Website und Server-Logs

bspmarket.de wird auf einem eigenen virtuellen Server betrieben, den die Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland, in einem Rechenzentrum in Deutschland für uns bereitstellt. Hetzner verarbeitet die auf dem Server gespeicherten Daten ausschließlich in unserem Auftrag (Art. 28 DSGVO). Datenbank, E-Mail-Versand und alle Hintergrundprozesse laufen auf diesem Server; ein Content-Delivery-Netzwerk oder externes Webhosting setzen wir nicht ein.

Hochgeladene Dateien (Kaufdateien, individuell markierte Käufer-Kopien, Dateien im BSP Vault sowie Ergebnisse und Pakete der BSP Protection) speichern wir nach der Prüfung im Objektspeicher „Hetzner Object Storage“ derselben Hetzner Online GmbH im Rechenzentrum Falkenstein (Deutschland), ebenfalls ausschließlich in unserem Auftrag (Art. 28 DSGVO). Während Upload, Virenscan, Aufbereitung und Auslieferung liegen Dateien vorübergehend auch auf unserem Server. Der Speicher ist nicht öffentlich zugänglich; es gibt keine direkten Links auf ihn. Downloads laufen ausschließlich über unseren Server, nachdem Anmeldung und Berechtigung geprüft wurden. Dateien werden dort unter zufälligen Kennungen abgelegt, nicht unter Nutzernamen, Dateinamen oder IP-Adressen; Dateien im BSP Vault und andere geschützte Dateien bleiben zusätzlich von uns verschlüsselt.

Beim Aufruf der Website werden technisch erforderliche Zugriffsdaten verarbeitet. Dazu können IP-Adresse, Datum und Uhrzeit des Zugriffs, angeforderte URL, Referrer, User-Agent, Browser-/Geräteinformationen, HTTP-Status, übertragene Datenmenge und Sicherheitsereignisse gehören.

Zwecke sind die Auslieferung der Website, Stabilität, Fehleranalyse, Angriffserkennung, Missbrauchsvermeidung und Nachweis technischer Vorgänge. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt im sicheren und zuverlässigen Betrieb der Plattform.

Einzelne Seitenaufrufe werden vom Webserver nicht in Zugriffsprotokollen gespeichert. System- und Anwendungsprotokolle (z. B. Fehlermeldungen, Anmeldeversuche am Server, Versandprotokolle des Mailservers) werden nach spätestens 30 Tagen automatisch gelöscht. Sicherheitsrelevante Ereignisse im Konto (z. B. Anmeldungen, Rechteänderungen) speichern wir in einem Audit-Protokoll mit einer IP-Adresse, die mit einem täglich wechselnden Schlüssel gehasht und nicht im Klartext gespeichert wird, für 180 Tage. Eine längere Aufbewahrung erfolgt nur, wenn konkrete Vorfälle, Angriffe, Betrugsverdacht oder Rechtsansprüche dies erfordern.

3a. Reichweitenmessung ohne Cookies

Um zu verstehen, wie bspmarket.de genutzt wird (z. B. welche Seiten und Produkte aufgerufen werden, über welche Wege Besucher zu uns finden und wie viele Besuche zu einem Kauf führen), führen wir eine eigene statistische Auswertung durch. Sie läuft vollständig auf unserem Server; es ist kein externer Analysedienst eingebunden und es werden keine Daten an Dritte weitergegeben.

Dafür setzen wir keine Cookies ein und legen keine Kennungen auf deinem Gerät ab. Beim Aufruf einer Seite übermittelt dein Browser die aufgerufene Seite, gegebenenfalls den Hostnamen der Website, von der du gekommen bist, Kampagnen-Parameter aus dem Link (utm_source, utm_medium, utm_campaign) sowie die aktive Verweildauer. Aus IP-Adresse und Browserkennung (User-Agent) berechnen wir mit einem zufälligen Schlüssel, der täglich wechselt und anschließend gelöscht wird, eine Kennung, um mehrere Seitenaufrufe eines Besuchs innerhalb eines Tages zusammenzufassen. IP-Adresse und Browserkennung selbst werden dafür nicht gespeichert; die Kennung lässt sich nach dem Tageswechsel keiner IP-Adresse mehr zuordnen und erlaubt kein Wiedererkennen über mehrere Tage oder über andere Websites hinweg. Außerdem leiten wir beim Seitenaufruf aus der IP-Adresse das Land ab, aus dem der Zugriff erfolgt. Der Abgleich geschieht ausschließlich auf unserem Server mit einer dort gespeicherten Länderliste (Datenbank „IP to Country Lite“ von DB-IP); die IP-Adresse wird dafür weder gespeichert noch an den Anbieter der Liste oder an andere Dritte übermittelt.

Gespeichert werden je Besuch: Zeitpunkt, aufgerufene Seiten und Verweildauer, Herkunftskanal und Hostname der verweisenden Website (nie deren vollständige Adresse), Kampagnen-Parameter, grobe Geräteklasse, Browser- und Betriebssystemfamilie, Seitensprache und im Browser eingestellte Sprache, das Land des Zugriffs (nur als Länderkürzel, ohne Region oder Ort), ob der Besuch eingeloggt erfolgte (ohne Zuordnung zu einem Konto), Suchbegriffe der Katalogsuche, ob der Cookie-Hinweis angezeigt und bestätigt wurde (abgeleitet aus der in Abschnitt 4 beschriebenen, technisch notwendigen Speicherung deiner Cookie-Auswahl; gezählt wird nur dieses Ja oder Nein) sowie, ob ein Produkt in den Warenkorb gelegt, ein Checkout begonnen, ein Kauf abgeschlossen oder ein Konto angelegt wurde. Damit ein Kauf dem richtigen Besuch zugerechnet werden kann, wird die Bestellung vorübergehend mit dem Besuch verknüpft; diese Verknüpfung wird gelöscht, sobald die Zahlung abgeschlossen oder abgebrochen ist, spätestens nach drei Tagen. Danach enthalten die Statistikdaten keinen Bezug mehr zu einem Konto oder einer Bestellung.

Rechtsgrundlage für die kurzzeitige Verarbeitung von IP-Adresse und Browserkennung ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt darin, das Angebot bedarfsgerecht zu gestalten und seine Reichweite zu messen, ohne Besucher zu identifizieren oder Profile zu bilden. Da hierfür weder Cookies noch vergleichbare Kennungen auf deinem Endgerät gespeichert oder von dort ausgelesen werden, holen wir keine Einwilligung nach § 25 Abs. 1 TDDDG ein.

Widerspruch: Du kannst der Messung jederzeit widersprechen, indem du in deinem Browser „Do Not Track“ oder „Global Privacy Control“ aktivierst. Besuche mit diesem Signal werden nicht gezählt. Besuche unseres Teams und erkennbare automatisierte Zugriffe werden ebenfalls nicht erfasst. Die Statistikdaten werden nach 400 Tagen gelöscht.

4. Cookies und lokale Speicherung

bspmarket.de verwendet derzeit nur technisch notwendige Cookies und lokale Speicherungen, die für Login, Warenkorb, Sicherheit, Cookie-Auswahl und Bedienbarkeit der Plattform erforderlich sind. Marketing-, Tracking- oder Analyse-Cookies sind aktuell nicht aktiv eingebunden. Die Reichweitenmessung (Abschnitt 3a) kommt ohne Cookies und ohne lokale Speicherung aus.

Rechtsgrundlage für technisch notwendige Cookies und vergleichbare Speicherungen ist § 25 Abs. 2 TDDDG. Die anschließende Verarbeitung personenbezogener Daten erfolgt je nach Zweck auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO, Art. 6 Abs. 1 lit. c DSGVO oder Art. 6 Abs. 1 lit. f DSGVO.

Der Cookie-Banner informiert über diese notwendigen Speicherungen. Da derzeit keine optionalen Analyse- oder Marketing-Cookies aktiv sind, wird keine gesonderte Tracking-Einwilligung eingeholt. Sollten künftig optionale Dienste eingebunden werden, werden sie vor Aktivierung im Cookie-Banner und in dieser Datenschutzerklärung beschrieben.

Eingebettete YouTube-Videos: Creator können ihren Produktseiten YouTube-Videos hinzufügen. Diese werden erst geladen, wenn du auf das jeweilige Video klickst; vorher wird keine Verbindung zu YouTube aufgebaut und kein Vorschaubild von YouTube geladen. Nach dem Klick wird das Video über youtube-nocookie.com eingebunden. Dabei übermittelt dein Browser insbesondere deine IP-Adresse und technische Daten an die Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland; YouTube kann eigene Cookies oder vergleichbare Speicherungen setzen und Daten auch an die Google LLC in den USA übermitteln. Rechtsgrundlage ist deine Einwilligung durch den Klick (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG). Weitere Informationen: https://policies.google.com/privacy.

Bei Zahlungsprozessen über Stripe können auf den Seiten beziehungsweise Systemen von Stripe eigene Cookies oder vergleichbare Technologien eingesetzt werden. Diese liegen außerhalb unserer unmittelbaren Kontrolle und richten sich nach den Datenschutz- und Cookie-Hinweisen von Stripe.

5. Benutzerkonto und Discord-Login

Die Anmeldung erfolgt derzeit über Discord OAuth. Bei der Anmeldung verarbeiten wir die von Discord bereitgestellten Daten, insbesondere Discord-ID, Benutzername, Avatar-URL und technische OAuth-Daten. Soweit OAuth-Tokens gespeichert werden müssen, werden sie technisch geschützt gespeichert.

Zwecke sind Registrierung, Login, Kontozuordnung, Missbrauchsschutz, Anzeige des Profils, Kauf- und Downloadverwaltung, Creator-Funktionen und Support. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO sowie Art. 6 Abs. 1 lit. f DSGVO für Sicherheits- und Missbrauchsschutz.

Über den Discord-Login erhalten wir keine E-Mail-Adresse. Eine E-Mail-Adresse verarbeiten wir nur, wenn du sie selbst für Benachrichtigungen hinterlegst (Abschnitt 6).

Discord ist ein externer Dienst. Bei Nutzung des Discord-Logins gelten zusätzlich die Datenschutzinformationen von Discord. Dabei kann es zu Datenverarbeitungen außerhalb der Europäischen Union beziehungsweise des Europäischen Wirtschaftsraums kommen.

6. E-Mail-Adresse und E-Mail-Benachrichtigungen

Du kannst in deinen Kontoeinstellungen eine E-Mail-Adresse für Benachrichtigungen hinterlegen. Für Käufer ist das freiwillig. Für Creator ist eine bestätigte Adresse Voraussetzung für die Bewerbung, damit wir sie bei Freigaben, Auszahlungen und insbesondere bei Leak-Funden zuverlässig erreichen können.

Die Adresse wird erst aktiv, nachdem du den Bestätigungs-Button in der an sie gesendeten E-Mail angeklickt hast (Double-Opt-in). Nicht bestätigte Adressen und Bestätigungslinks werden nach 48 Stunden verworfen. Wir versenden an diese Adresse ausschließlich Benachrichtigungen zu deinem Konto, insbesondere zu Leak-Fällen und Überwachungsfunden, Produkt- und Versionsfreigaben, Creator-Entscheidungen, Auszahlungen, Speicherfristen und Löschungen von Dateien, Warnungen zu Server-Exclusive-Lizenzen sowie – nur wenn du sie selbst aktiviert hast – Preisalarme aus deiner Wunschliste und Hinweise auf neue Versionen abonnierter Produkte. Werbung oder Newsletter versenden wir nicht. Jede Benachrichtigungs-E-Mail enthält einen Link, mit dem du dich mit einem Klick abmelden kannst.

Verarbeitet werden die E-Mail-Adresse (verschlüsselt gespeichert), der Zeitpunkt der Bestätigung sowie ein Versandprotokoll mit gekürzter Empfängeradresse, Betreff, Zeitpunkt und Zustellstatus. Die E-Mails versenden wir von unserem eigenen Server mit dem Absender noreply@bspmarket.de; es wird kein externer E-Mail-Dienstleister eingesetzt. Antworten und Rückfragen richtest du an kontakt@bspmarket.de. Die Übertragung an den Mailserver deines Anbieters erfolgt verschlüsselt, sofern dieser das unterstützt.

Rechtsgrundlage ist für Creator Art. 6 Abs. 1 lit. b DSGVO (Durchführung des Creator-Vertrags) und für Käufer deine Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO. Du kannst die Adresse jederzeit in den Kontoeinstellungen entfernen; danach erhältst du keine E-Mails mehr. Das Versandprotokoll wird nach 30 Tagen gelöscht.

7. Optionale Steam-Verknüpfung

Nutzer können freiwillig ein Steam-Profil verknüpfen. Dabei können insbesondere SteamID64, Profilname, Avatar-URL, Profil-URL und technische Verknüpfungsdaten verarbeitet werden.

Zwecke sind Profilanzeige, Lizenz- und Accountzuordnung, Creator-/Käuferprüfung, Missbrauchsvermeidung, Account-Sicherung und Nutzung bestimmter Map-, Scanner- oder Schutzfunktionen. Rechtsgrundlagen sind Art. 6 Abs. 1 lit. b DSGVO, Art. 6 Abs. 1 lit. a DSGVO bei freiwilliger Verknüpfung und Art. 6 Abs. 1 lit. f DSGVO für Sicherheit und Nachweisinteressen.

Die Steam-Verknüpfung kann im Konto aufgehoben werden, soweit keine überwiegenden rechtlichen, vertraglichen oder sicherheitsbezogenen Gründe entgegenstehen.

8. Käufe, Bestellungen, Rechnungen und Downloads

Bei Käufen und Downloads verarbeiten wir Daten wie Benutzerkonto, Produkt, Bestellnummer, Kaufzeitpunkt, Zahlungsstatus, Preis, Währung, Steuerinformationen, Downloadzeitpunkte, Downloadstatus, Lizenzzuordnung, Produktversion, Hashwerte und technische Downloadprotokolle.

Zwecke sind Bestellabwicklung, Zahlungszuordnung, Bereitstellung digitaler Inhalte, Lizenznachweis, Support, Gewährleistung, Widerruf, Missbrauchsvermeidung, Betrugsprävention und gesetzliche Aufbewahrung. Rechtsgrundlagen sind Art. 6 Abs. 1 lit. b, lit. c und lit. f DSGVO.

Download- und Lizenzdaten können für die Dauer der Lizenz sowie darüber hinaus im Rahmen gesetzlicher Verjährungs-, Nachweis- und Aufbewahrungsfristen gespeichert werden.

Fortsetzbare Downloads: Wenn du eine gekaufte Datei herunterlädst, legen wir eine Download-Freigabe an, die 24 Stunden gültig und an dein Konto gebunden ist. So kannst du einen abgebrochenen Download fortsetzen, ohne dass eine neue Kopie erzeugt wird. Dafür speichern wir deine Konto-ID, Produkt, Version und Kauf, Zeitpunkte (Erstellung, Bereitstellung, erster und letzter Abruf, Ablauf), die Anzahl der Abrufe und die übertragene Datenmenge; IP-Adresse und Browserdaten werden dafür nicht gespeichert, der Link selbst nur als Hashwert. Nur für die Freigabe erzeugte Dateikopien werden mit Ablauf gelöscht, die Freigabedaten sieben Tage nach Ablauf. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Wenn du Produkte auf deine Wunschliste setzt, einen Preisalarm aktivierst oder Updates eines Produkts abonnierst, speichern wir diese Auswahl mit deinem Konto, beim Preisalarm zusätzlich den Preis zum Zeitpunkt der Aktivierung. Sinkt der Preis, erhältst du höchstens einmal je 24 Stunden eine Benachrichtigung; bei einem Abo erhältst du eine Benachrichtigung, wenn eine neue Version freigegeben wird. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (von dir angeforderte Funktion). Die Daten bleiben gespeichert, bis du die Funktion deaktivierst oder dein Konto gelöscht wird.

Vertragsbestätigung per E-Mail: Nach jeder bezahlten Bestellung, Miete oder jedem Abo senden wir dir eine Vertragsbestätigung mit Bestellnummer, Positionen und Preisen, der im Checkout erteilten Zustimmung, Angaben zu Laufzeit und Kündigung, der Widerrufsbelehrung und unseren AGB (§ 312f BGB). Empfänger ist die E-Mail-Adresse, die du im Stripe-Checkout angegeben hast; fehlt sie, deine bestätigte Benachrichtigungsadresse. Dafür speichern wir die Adresse verschlüsselt bis zum erfolgreichen Versand, danach nur noch gekürzt als Versandnachweis, sowie die zuletzt beim Bestellen genutzte Oberflächensprache, damit die Bestätigung in deiner Sprache ankommt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b und lit. c DSGVO (Vertragserfüllung und gesetzliche Informationspflicht). Der Versandnachweis wird nach drei Jahren gelöscht, das Versandprotokoll nach 30 Tagen.

Kündigungen über „Verträge hier kündigen“: Kündigst du einen Vertrag über den Kündigungsbutton, verarbeiten wir die Angaben deiner Kündigungserklärung (Art der Kündigung, gegebenenfalls Grund, Name, E-Mail-Adresse, die von dir angegebenen Zuordnungsmerkmale wie Discord-Name, Konto-ID, Bestell- oder Belegnummer, Vertrag und gewünschter Zeitpunkt), den Zeitpunkt des Eingangs, bei Anmeldung dein Konto, einen täglich wechselnden Hashwert deiner IP-Adresse zum Schutz vor Missbrauch (die IP-Adresse selbst wird nicht gespeichert), eine gekürzte Browserkennung sowie das Bearbeitungsprotokoll. Zwecke sind die Durchführung der Kündigung, die Eingangsbestätigung per E-Mail und der Nachweis. Rechtsgrundlagen sind Art. 6 Abs. 1 lit. b und lit. c DSGVO (§ 312k BGB) sowie Art. 6 Abs. 1 lit. f DSGVO für Missbrauchsschutz und Nachweis. Die Daten werden drei Jahre nach Eingang gelöscht.

9. Zahlungsabwicklung über Stripe

Für kostenpflichtige Käufe, Coin-Pakete, Protection Passes, Abonnements und sonstige zahlungspflichtige Leistungen nutzen wir Stripe als Zahlungsdienstleister. Der Anbieter ist insbesondere Stripe Payments Europe, Limited, Irland, sowie verbundene Stripe-Unternehmen, soweit diese für die jeweilige Zahlungsabwicklung, Betrugsprävention, Sicherheit, Abrechnung oder technische Bereitstellung erforderlich sind.

Beim Start eines Checkouts übermitteln wir die für die Zahlungsabwicklung notwendigen Informationen an Stripe oder Stripe erhebt diese direkt im Checkout. Dazu können insbesondere gehören: E-Mail-Adresse, Kunden-/Account-Bezug, Bestell- oder Checkout-ID, Produkt- oder Paketbezeichnung, Betrag, Währung, Zahlungsstatus, Rechnungs- und Steuerinformationen, Zahlungsart, gekürzte Zahlungsreferenzen, Transaktions- und Betrugspräventionsdaten, IP-Adresse, Geräte-/Browserdaten, Zeitpunkte und technische Sicherheitsinformationen.

Wir speichern keine vollständigen Kreditkarten- oder Zahlungsinstrumentdaten auf unseren Servern. Vollständige Zahlungsdaten werden durch Stripe verarbeitet. Wir speichern nur die für Bestellung, Lizenz, Gutschrift, Support, Nachweis, Buchhaltung und gesetzliche Aufbewahrung erforderlichen Zahlungs- und Statusinformationen, zum Beispiel Stripe-Checkout-Session-ID, Payment-Intent-ID, Zahlungsstatus, Betrag, Währung, Bestellnummer und Webhook-Ereignisse.

Zwecke der Verarbeitung sind Zahlungsabwicklung, Vertragserfüllung, Bereitstellung digitaler Inhalte, Gutschrift von BSP Credits oder Protection Passes, Abo-Verwaltung, Rechnung und Buchhaltung, Betrugsprävention, Missbrauchsabwehr, Support, Rückerstattungen, Chargebacks und rechtliche Nachweise.

Rechtsgrundlagen sind Art. 6 Abs. 1 lit. b DSGVO für Zahlungsabwicklung und Vertragserfüllung, Art. 6 Abs. 1 lit. c DSGVO für gesetzliche Aufbewahrungs-, Steuer- und Buchhaltungspflichten sowie Art. 6 Abs. 1 lit. f DSGVO für sichere Zahlungsabwicklung, Betrugsprävention, Missbrauchsabwehr und Rechtsverteidigung.

Stripe kann Daten auch in eigener Verantwortung verarbeiten und Dienstleister, Unterauftragsverarbeiter oder verbundene Unternehmen einsetzen. Dabei kann es zu Übermittlungen in Staaten außerhalb der EU beziehungsweise des EWR kommen. Stripe stützt solche Übermittlungen nach eigenen Angaben auf geeignete Garantien, etwa Standardvertragsklauseln, Angemessenheitsbeschlüsse oder andere gesetzlich vorgesehene Mechanismen.

Weitere Informationen stellt Stripe bereit unter https://stripe.com/de/privacy, zum Data Processing Agreement unter https://stripe.com/legal/dpa und zu Dienstleistern/Subprozessoren unter https://stripe.com/legal/service-providers.

10. Creator-Funktionen, Uploads und Produktverwaltung

Bei Creator-Funktionen verarbeiten wir insbesondere Bewerbungsdaten, Creator-Status, Profilangaben, Zahlungs-/Auszahlungsdaten, Steuerangaben, Produktdaten, Uploads, Dateinamen, Hashwerte, Scanergebnisse, Freigabeentscheidungen, Admin-Kommentare, Produktversionen, Verkaufsdaten, Auszahlungsdaten und Support-/Kommunikationsdaten.

Zwecke sind Prüfung und Freigabe von Creatorn, Produktveröffentlichung, Rechte- und Sicherheitsprüfung, Verkauf, Auszahlung, Abrechnung, Missbrauchsvermeidung, Einhaltung gesetzlicher Pflichten und Plattformbetrieb. Rechtsgrundlagen sind Art. 6 Abs. 1 lit. b, lit. c und lit. f DSGVO.

Soweit gesetzlich erforderlich, können steuerlich relevante Creator-Daten aufbewahrt oder an zuständige Behörden übermittelt werden.

Statistik für Creator: Für die Aufrufstatistik zählen wir je Produkt und Tag nur die Anzahl der Aufrufe sowie eine grobe Herkunftskategorie (z. B. direkt, Suchmaschine, Discord, Steam). Die Kategorie wird aus dem Hostnamen der verweisenden Seite abgeleitet; der Hostname selbst, IP-Adressen, Cookies oder Nutzerkennungen werden dafür nicht gespeichert. Aufrufe des eigenen Produkts durch den Creator und erkennbare Bots werden nicht gezählt. Die Zähler werden nach 400 Tagen gelöscht. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (Bereitstellung von Verkaufsauswertungen für Creator).

Öffentliches Creator-Profil: Creator können ein Profilbanner hochladen und Links zu ihrem Discord-Server, Steam-Profil und ihrer Website veröffentlichen. Aus hochgeladenen Bildern (Banner und Produktbilder) entfernen wir vor der Speicherung eingebettete Metadaten wie EXIF-Daten einschließlich Standortangaben. Die Links sind gewöhnliche ausgehende Links ohne Tracking.

Discord-Benachrichtigungen: Creator können optional eine Discord-Webhook-Adresse hinterlegen, um Hinweise zu Verkäufen, Bewertungen, Versionen, Auszahlungen und Leak-Funden in ihren eigenen Discord-Server zu erhalten. Die Webhook-Adresse speichern wir verschlüsselt. An Discord (Discord Inc., 444 De Haro Street, Suite 200, San Francisco, CA 94107, USA) übermitteln wir dabei nur Produkttitel, Preis beziehungsweise Creator-Anteil, Sternebewertungen, Statusmeldungen und Zeitpunkte – niemals Namen, Benutzernamen oder sonstige Daten von Käufern oder Bewertenden. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (vom Creator gewünschte Funktion). Der Creator kann die Funktion jederzeit abschalten.

Eigene Server und Workshop-Einträge: Creator können für die Leak-Überwachung eigene Server-Adressen und eigene Workshop-Einträge als bekannt hinterlegen, damit diese nicht als Verdachtsfälle gemeldet werden. Diese Einträge bleiben gespeichert, bis der Creator sie entfernt oder das Produkt gelöscht wird.

11. Schutzfunktionen, Fingerprints, Obfuscation und Scanner

Für Lizenzschutz, Nachweisführung und Missbrauchsvermeidung können technische Schutzdaten verarbeitet werden. Dazu gehören insbesondere Produkt-ID, Creator-ID, Käufer-ID, Bestell-ID, Lizenz-ID, Schutz-ID, Datei-Hashes, Produktversion, Downloadzeitpunkt, Fingerprint-/Carrier-Metadaten, Prüfergebnisse, Evidence-/Nachweisdateien, IP-Hashwerte und Audit-Logs.

Bei aktiviertem Käufer-Fingerprint kann eine ausgelieferte Datei mit einem geheimen, nicht öffentlich sichtbaren Nachweis versehen werden, der eine spätere Zuordnung zu einer Bestellung oder Lizenz ermöglichen kann. Der Nachweis dient nicht der Beobachtung deines Nutzungsverhaltens, sondern der Lizenzzuordnung, Betrugsprävention, Account-Sicherheit und Beweissicherung bei unberechtigter Weitergabe. Er wird nur ausgewertet, wenn eine Datei in einem Leak-Fall geprüft wird (Abschnitt 12).

Rechtsgrundlagen sind Art. 6 Abs. 1 lit. b DSGVO für lizenzbezogene Vertragsdurchführung sowie Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt im Schutz digitaler Inhalte, der Abwehr von Betrug, der Sicherheit der Plattform und der Durchsetzung berechtigter Ansprüche.

Hochgeladene Originaldateien der BSP Protection speichern wir nur so lange, wie sie zur Verarbeitung benötigt werden: Nach Abschluss des Auftrags (erfolgreich oder fehlgeschlagen) löschen wir die Originaldatei automatisch von unserem Server und aus dem Objektspeicher. Im Protokoll bleiben nur Prüfsumme (SHA-256), Dateigröße, Zeitpunkt und Grund der Löschung – nicht der Inhalt der Map. Nur wenn du beim Auftrag ausdrücklich „Original für Re-Protect behalten“ wählst, bleibt die Originaldatei bis zu 30 Tage gespeichert, um einen erneuten Schutz ohne neuen Upload zu ermöglichen; danach wird sie ebenfalls automatisch gelöscht. Das geschützte Ergebnis und der Prüfbericht unterliegen den in Abschnitt 18 genannten Fristen.

11a. Server-Exclusive-Lizenzen, Mietlizenzen und Lizenzprüfung

Kauf und Miete: Wenn du eine Server-Exclusive-Lizenz kaufst oder mietest, verarbeiten wir neben den Bestelldaten (Abschnitt 8) die von dir angegebene Serveradresse (öffentliche IPv4-Adresse mit Port) und den Servernamen. Die Adresse speichern wir verschlüsselt, zusätzlich als mit einem geheimen Schlüssel gebildeten Hashwert (HMAC) der IP-Adresse für die Serverbindung und in maskierter Form (z. B. 45.13.x.x:27015) für die Anzeige. Dieselben Angaben speichern wir, solange eine Lizenz in deinem Warenkorb liegt. Bei Mietlizenzen kommen Abo-Status, Abrechnungszeiträume, Kündigungsvormerkungen und je bezahlter Monatsrechnung Rechnungskennung, Betrag, Zeitraum und Zahlungszeitpunkt hinzu. Beantragst du einen Umzug, verarbeiten wir die neue Adresse in gleicher Form, den neuen Servernamen, deinen optionalen Grund sowie die Entscheidung mit Begründung. Zu jeder Lizenz führen wir ein Lizenz-Protokoll mit Ereignissen wie Kauf, Bereitstellung, Umzug, Kündigung, Ablauf oder Sperrung, jeweils mit Zeitpunkt, handelnder Rolle und technischen Angaben.

Lizenzprüfung: Bei jeder Lizenzprüfung übermittelt der Gameserver technische Daten an bspmarket.de. Wir speichern dazu Zeitpunkt, Ergebnis, Lizenzkennung, Map-Name und Prüfsumme sowie Hashwerte der anfragenden IP-Adresse, eines technischen Server-Fingerprints, des User-Agents und der Einmal-Kennung der Anfrage. Die anfragende IP-Adresse wird nur als Hashwert mit der Serverbindung abgeglichen und nicht im Klartext gespeichert. Prüfungen können auch von Servern stammen, die eine Map ohne gültige Lizenz betreiben, und sich damit auf deren Betreiber beziehen.

Zwecke und Rechtsgrundlagen: Wir verarbeiten diese Daten, um das Lizenzpaket zu erzeugen und bereitzustellen, die Lizenz an deinen Server zu binden und zu prüfen, Mieten abzurechnen, Umzüge zu bearbeiten, Support zu leisten, Lizenzvorgänge nachzuweisen sowie Missbrauch wie die Nutzung auf fremden Servern zu erkennen und abzuwehren. Rechtsgrundlagen sind Art. 6 Abs. 1 lit. b DSGVO (Durchführung des Lizenz- beziehungsweise Mietvertrags), Art. 6 Abs. 1 lit. f DSGVO (unser berechtigtes Interesse und das des Creators am Schutz der Map vor unberechtigter Nutzung und an der Nachvollziehbarkeit von Lizenzvorgängen) sowie für Rechnungen und Buchungsbelege Art. 6 Abs. 1 lit. c DSGVO.

Was der Creator sieht: Der Creator des Produkts sieht je Lizenz nur eine pseudonyme Referenz (SXL-…), den von dir angegebenen Servernamen, Status und Laufzeit sowie bei einem Umzugsantrag den neuen Servernamen und deinen Grund. In seiner Live-Übersicht sieht er nur zusammengefasste Werte, etwa die Zahl aktiver Server, geschätzte Map-Starts und abgelehnte Prüfungen, und je Server ein achtstelliges Kürzel des Fingerprint-Hashwerts. Name, Benutzername, Kontodaten, IP-Adressen oder IP-Hashwerte von Käufern erhält der Creator nicht. Wähle den Servernamen und einen Umzugsgrund daher so, dass sie keine Angaben enthalten, die der Creator nicht sehen soll. Das bspmarket-Team sieht Käuferkonto und Serveradresse, soweit dies für Support, Umzüge und Missbrauchsfälle erforderlich ist.

Empfänger: Einmal-Lizenzen werden wie andere Käufe über Stripe bezahlt (Abschnitt 9). Mietlizenzen rechnen wir über ein Stripe-Abonnement ab; Stripe erhält dabei insbesondere die Produktbezeichnung, den Monatspreis, den Servernamen als Teil der Positionsbeschreibung, interne Kennungen von Lizenz, Produkt und Konto, deine E-Mail-Adresse, sofern du eine hinterlegt hast, sowie die Zahlungsdaten. Weitere Empfänger gibt es für diese Daten nicht, abgesehen von unserem Hosting-Dienstleister (Abschnitt 3).

Speicherdauer: Das Prüfprotokoll der Lizenzprüfungen löschen wir automatisch nach 90 Tagen. Lizenzdaten, Umzugsanträge und das Lizenz-Protokoll speichern wir für die Dauer der Lizenz und danach bis zum Ablauf der regelmäßigen Verjährungsfrist von drei Jahren zum Jahresende (§§ 195, 199 BGB). Bestellungen und Mietrechnungen bewahren wir nach § 147 AO und § 257 HGB auf, je nach Unterlage acht oder zehn Jahre. Löschst du dein Konto, entfernen wir aus Lizenzdaten und Umzugsanträgen vorher die Serveradresse (verschlüsselt und maskiert), den Servernamen und den Umzugsgrund, entfernen Lizenzen aus dem Warenkorb und beenden laufende Mieten bei Stripe. Erhalten bleiben der Hashwert der Serverbindung, damit eine bereits bezahlte Lizenz weiterlaufen kann, die buchhaltungsrelevanten Angaben und das Lizenz-Protokoll, auch soweit darin Servernamen vermerkt sind, jeweils bis zum Ablauf der genannten Fristen.

11b. Lizenzprüfung verkaufter Garry’s-Mod-Addons

Wir verkaufen eigene Addons für Garry’s Mod über den Marktplatz GModStore (zum Beispiel „Dossier F4“). Um zu erkennen, ob eine Kopie rechtmäßig erworben wurde und auf wie vielen Servern sie läuft, verarbeiten wir auf bspmarket.de die folgenden Daten.

Download: Lädst du ein solches Addon über GModStore herunter, übermittelt GModStore uns deine SteamID64, deine GModStore-Nutzerkennung, die Produktnummer und den Namen der heruntergeladenen Version. Die SteamID64 wird außerdem in deine Kopie eingetragen.

Lizenzprüfung: Ein Server, auf dem das Addon läuft, meldet sich nach dem Start und danach alle sechs Stunden bei bspmarket.de. Übermittelt werden die in die Kopie eingetragene SteamID64 des Käufers, die Version des Addons, die Adresse des Servers (IP-Adresse und Port), der Servername und der Spielmodus. Wir speichern dazu die IP-Adresse, von der die Meldung kommt, den Zeitpunkt der ersten und der letzten Meldung, deren Anzahl und das Ergebnis der Prüfung. Daten von Spielern auf diesen Servern werden nicht übermittelt. Ist unser Dienst nicht erreichbar, läuft das Addon unverändert weiter.

Zwecke und Rechtsgrundlagen: Wir prüfen damit die Lizenz und schützen unsere Software vor unberechtigter Weitergabe und Nutzung. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt im Schutz unserer Urheberrechte und in der Geltendmachung, Ausübung und Verteidigung von Rechtsansprüchen. Gegenüber Käufern stützen wir die Verarbeitung zusätzlich auf Art. 6 Abs. 1 lit. b DSGVO, soweit sie der Durchführung des Lizenzvertrags dient.

Empfänger: Die Daten sieht ausschließlich das bspmarket-Team. Ist dieselbe SteamID64 mit einem bspmarket-Konto verknüpft, sieht das Team auch diese Zuordnung. Eine Weitergabe an Dritte findet nicht statt; zum Hosting siehe Abschnitt 3.

Speicherdauer: Die Meldungen der Server löschen wir automatisch 400 Tage nach der letzten Meldung. Den Lizenzeintrag (SteamID64, Produkt, Status, Zeitpunkte der Downloads) speichern wir, solange die Lizenz besteht.

12. Leak-Schutz: Meldungen, Auswertung und Fallbearbeitung

Creator können melden, dass ein Produkt unberechtigt verbreitet wird („Leak melden“). Dabei verarbeiten wir die Angaben der Meldung (Link zur Fundstelle, Beschreibung, meldender Creator, Zeitpunkt) und gegebenenfalls eine hochgeladene Map-Datei.

Eine hochgeladene Datei wird automatisch auf unserem Server auf den Käufer-Fingerprint und die Übereinstimmung mit ausgelieferten Kopien geprüft. Unmittelbar nach der Prüfung wird die Datei gelöscht; gespeichert bleiben ihr Hashwert, Dateiname, Dateigröße und das Prüfergebnis. Kann die Datei einer Auslieferung zugeordnet werden, verknüpfen wir den Fall mit der betreffenden Bestellung und dem Käuferkonto.

Der meldende Creator erhält nur eine pseudonyme Referenz und die Sicherheit der Zuordnung, nicht aber Name, Benutzername oder sonstige Daten des Käufers. Die Zuordnung zum Käuferkonto sieht ausschließlich das bspmarket-Team. Maßnahmen wie die Sperre weiterer Downloads der betroffenen Kopie trifft das Team nach eigener Prüfung; eine automatisierte Entscheidung im Sinne von Art. 22 DSGVO findet nicht statt. Die Sperre kann aufgehoben werden, wenn sich der Verdacht nicht bestätigt. Zu jedem Fall führen wir ein Protokoll mit Statusänderungen, Nachrichten und internen Vermerken.

Creator können außerdem eine frühere, bereits freigegebene Produktversion wiederherstellen oder neue Downloads vorübergehend pausieren; diese Vorgänge werden mit Zeitpunkt, Grund und handelndem Konto protokolliert.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unsere berechtigten Interessen und die der Creator liegen im Schutz digitaler Inhalte vor unberechtigter Weitergabe, in der Aufklärung von Lizenzverstößen und in der Geltendmachung, Ausübung und Verteidigung von Rechtsansprüchen. Soweit die Zuordnung Käufer betrifft, ist die Verarbeitung zugleich zur Durchführung des Lizenzvertrags erforderlich (Art. 6 Abs. 1 lit. b DSGVO).

Abgeschlossene Fälle werden mit Ablauf des dritten Kalenderjahres nach dem Jahr des Abschlusses automatisch gelöscht. Das entspricht der regelmäßigen Verjährungsfrist.

13. Automatische Überwachung öffentlicher Quellen

Um Leaks früh zu erkennen, gleichen wir regelmäßig (derzeit alle sechs Stunden) die Map-Namen veröffentlichter Produkte mit öffentlich zugänglichen Informationen ab. Dazu fragen wir über die Steam-Web-API der Valve Corporation, 10400 NE 4th St, Bellevue, WA 98004, USA, die öffentliche Liste der Garry's-Mod-Server und den Steam Workshop ab. In diesen Anfragen übermitteln wir nur Map-Namen und unseren API-Schlüssel, keine Daten unserer Nutzer.

Aus den Ergebnissen speichern wir zu jedem Fund: bei Servern die öffentliche Server-Adresse (IP-Adresse und Port), den Servernamen, die gespielte Map und die Spielerzahl; bei Workshop-Einträgen die Workshop-ID, den Titel, den Link und die öffentliche Steam-ID des einstellenden Kontos. Diese Angaben können sich auf Server-Betreiber oder Workshop-Autoren beziehen. Der betroffene Creator sieht die Funde in seinem Konto und kann daraus einen Leak-Fall eröffnen (Abschnitt 12).

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt im Schutz der auf bspmarket.de angebotenen Inhalte vor unberechtigter Verbreitung. Wir verarbeiten ausschließlich Informationen, die die Betroffenen selbst öffentlich gemacht haben. Funde werden zwölf Monate nach der letzten Sichtung automatisch gelöscht, sofern sie nicht Teil eines Leak-Falls sind; Protokolle der Überwachungsläufe nach 90 Tagen. Betroffene können der Verarbeitung nach Art. 21 DSGVO widersprechen.

Registrierte Server von Käufern: Käufer können in ihrer Bibliothek bis zu drei eigene Server-Adressen (IP-Adresse oder Hostname mit Port) für ein gekauftes Produkt hinterlegen. Wir nutzen sie ausschließlich, um Funde der Überwachung auf diesen Servern für den Creator mit dem Hinweis „Von einem Käufer als eigener Server angegeben“ zu kennzeichnen. Der Creator sieht nur diesen Hinweis und wie viele Käufer dieselbe Adresse angegeben haben, nicht aber, welche Käufer. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (freiwillige Funktion zum Lizenzvertrag). Die Einträge werden gelöscht, wenn du sie entfernst, der Kauf erstattet wird oder dein Konto gelöscht wird.

14. Bewertungen, Kommentare, Meldungen und DSA-/Abuse-Verfahren

Wenn Nutzer Bewertungen, Kommentare, Meldungen oder sonstige Inhalte einstellen, verarbeiten wir die eingegebenen Inhalte, Kontodaten, Zeitpunkte, betroffene Produkte, Bearbeitungsstatus, Moderationsentscheidungen und Kommunikationsdaten.

Zwecke sind Plattformkommunikation, Qualitätssicherung, Meldung und Prüfung rechtswidriger Inhalte, Missbrauchsvermeidung, Durchsetzung von Plattformregeln und Erfüllung gesetzlicher Pflichten. Rechtsgrundlagen sind Art. 6 Abs. 1 lit. b, lit. c und lit. f DSGVO.

15. Support und Kommunikation

Wenn Nutzer uns kontaktieren, verarbeiten wir die mitgeteilten Daten, Kontaktdaten, Nachrichteninhalte, Anhänge, Accountdaten, Bestell-/Produktbezüge und Bearbeitungsvermerke. Zwecke sind Bearbeitung der Anfrage, Vertragsdurchführung, Nachweis, Qualitätssicherung und Missbrauchsvermeidung.

Rechtsgrundlagen sind Art. 6 Abs. 1 lit. b DSGVO, Art. 6 Abs. 1 lit. c DSGVO und Art. 6 Abs. 1 lit. f DSGVO.

16. Empfänger und Auftragsverarbeiter

Personenbezogene Daten werden nur an Dritte übermittelt, wenn dies erforderlich oder gesetzlich erlaubt ist. Empfänger sind insbesondere die Hetzner Online GmbH als Hosting-Dienstleister (Auftragsverarbeiter, Abschnitt 3), Stripe als Zahlungsdienstleister (Abschnitte 9 und 11a) sowie Discord und Valve (Steam) als externe Login- beziehungsweise Plattformdienste (Abschnitte 5, 7 und 13). Discord erhält außerdem die vom Creator gewünschten Webhook-Benachrichtigungen ohne Käuferdaten (Abschnitt 10); Google/YouTube erhält Daten erst, wenn du ein eingebettetes Video startest (Abschnitt 4). Darüber hinaus können im Einzelfall Steuerberater, Rechtsberater, Behörden und Gerichte Empfänger sein, soweit dies gesetzlich vorgeschrieben oder zur Durchsetzung von Rechtsansprüchen erforderlich ist. E-Mails versenden wir selbst von unserem Server; einen externen E-Mail-Dienstleister setzen wir nicht ein. Zugestellt werden E-Mails an den Mailserver des jeweiligen Empfängers.

Soweit Dienstleister in unserem Auftrag personenbezogene Daten verarbeiten, schließen wir erforderliche Vereinbarungen zur Auftragsverarbeitung ab. Soweit Dritte eigenverantwortlich handeln, gelten deren Datenschutzinformationen zusätzlich.

17. Drittlandübermittlungen

Bei der Nutzung externer Dienste, insbesondere Discord (einschließlich Webhook-Benachrichtigungen für Creator), Steam, Stripe und YouTube, kann eine Verarbeitung in Staaten außerhalb der Europäischen Union beziehungsweise des Europäischen Wirtschaftsraums stattfinden. Bei den Abfragen der Steam-Web-API für die Leak-Überwachung (Abschnitt 13) übermitteln wir keine personenbezogenen Daten unserer Nutzer in die USA. Soweit erforderlich, stützen Anbieter solche Übermittlungen auf Angemessenheitsbeschlüsse, Standardvertragsklauseln oder andere gesetzlich vorgesehene Garantien.

18. Speicherdauer

Wir speichern personenbezogene Daten nur so lange, wie es für die jeweiligen Zwecke erforderlich ist oder gesetzliche Pflichten bestehen. Maßgeblich sind insbesondere Vertragserfüllung, Lizenzdauer, gesetzliche Aufbewahrungsfristen, steuer- und handelsrechtliche Pflichten, Verjährungsfristen, Sicherheitsinteressen und laufende Streitfälle.

Account-Löschanfragen werden grundsätzlich innerhalb von 48 Stunden geprüft und bearbeitet. Eine vollständige Löschung einzelner Daten kann ausgeschlossen sein, soweit gesetzliche Aufbewahrungspflichten, offene Verträge, Zahlungsnachweise, Lizenznachweise, Sicherheitsinteressen oder Rechtsansprüche entgegenstehen.

19. Betroffenenrechte

Betroffene Personen haben nach Maßgabe der gesetzlichen Voraussetzungen folgende Rechte:

• Auskunft über die verarbeiteten personenbezogenen Daten,
• Berichtigung unrichtiger Daten,
• Löschung personenbezogener Daten,
• Einschränkung der Verarbeitung,
• Datenübertragbarkeit,
• Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen,
• Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft,
• Beschwerde bei einer Datenschutzaufsichtsbehörde.

Zur Ausübung dieser Rechte genügt eine Nachricht an kontakt@bspmarket.de.

20. Beschwerderecht bei der Aufsichtsbehörde

Betroffene Personen können sich bei einer Datenschutzaufsichtsbehörde beschweren. Für uns zuständig ist voraussichtlich:

Betroffene können sich auch an jede andere zuständige Datenschutzaufsichtsbehörde wenden.

21. Sicherheit

Wir treffen technische und organisatorische Maßnahmen, um personenbezogene Daten gegen Verlust, Missbrauch, unbefugten Zugriff, Veränderung und unberechtigte Offenlegung zu schützen. Dazu gehören insbesondere die ausschließlich verschlüsselte Übertragung (HTTPS mit HSTS), verschlüsselte Speicherung sensibler Angaben wie E-Mail-Adressen, Zugangs- und Auszahlungsdaten, gehashte IP-Adressen in Protokollen, ein Rollen- und Rechtekonzept, Virenprüfung hochgeladener Dateien, kurzlebige Einmal-Links für Downloads, eine Firewall mit Schutz vor Anmeldeangriffen, automatische Sicherheitsupdates des Servers, tägliche Datenbanksicherungen, DKIM-signierte E-Mails sowie das Entfernen von Metadaten aus hochgeladenen Bildern.

22. Minderjährige

Die Plattform richtet sich nicht gezielt an Kinder. Minderjährige dürfen die Plattform nur nutzen, soweit dies rechtlich zulässig ist und erforderliche Zustimmung der Erziehungsberechtigten vorliegt. Wir behalten uns vor, Konten zu sperren oder Nachweise zu verlangen, wenn Zweifel an der Zulässigkeit der Nutzung bestehen.

23. Änderungen dieser Datenschutzerklärung

Wir können diese Datenschutzerklärung anpassen, wenn sich Plattformfunktionen, Datenverarbeitungen, Rechtslage oder technische Abläufe ändern. Es gilt die jeweils auf der Plattform abrufbare Fassung.