1. Controller and contact
Controller within the meaning of Art. 4(7) GDPR:
Elias Schiegl, MLS
Independent IT consultant (sole trader)
Sonnenstraße 15/3/14, 3550 Langenlois, Austria
A data protection officer has not been appointed, as the statutory conditions of Art. 37 GDPR are not met. Please direct all privacy matters to the contact details above.
2. Visiting the website
Every request to our server is logged automatically. This is technically unavoidable and serves the security and stability of the service.
| Data | Purpose | Legal basis | Stored for |
|---|---|---|---|
| IP address | Delivery of the page, defence against attacks and abuse | Art. 6(1)(f) — legitimate interest in a secure service | 7 days |
| Date and time, requested URL, status code, referrer | Error analysis, security | Art. 6(1)(f) | 7 days |
| Browser and operating system | Compatibility, error analysis | Art. 6(1)(f) | 7 days |
Cookies and storage in your browser
We only use cookies and browser storage that are strictly necessary to provide the function you are using. No consent banner is required for these under § 165 para. 3 TKG 2021. None of it is used for tracking or advertising, and nothing is shared with third parties.
| Name / type | Purpose | Lifetime |
|---|---|---|
| Session cookie (PHP session) | Keeps you logged in while you use the site | Until logout or browser close |
| Remember token | Optional "stay signed in" — only set if you choose it | Up to 30 days, or until logout |
| Session storage | Holds your display name and plan while the tab is open | Until the tab is closed |
| Device identifier (local storage) | A random code that tells a running tournament which of your devices controls the clock, so two screens do not overwrite each other | Until you clear your browser data |
| Clock copy (local storage) | A copy of the running tournament on the host's device, so nothing is lost if the connection drops | Deleted once the result is saved |
| Display settings (local storage) | Your choices such as colour, sound, language, filters or hidden suggestions | Until you clear your browser data |
We do not use tracking cookies, advertising pixels, social plugins or third-party analytics. Should analytics be introduced in the future, it will not run before you have given consent.
Web fonts
Some pages load the typefaces "Plus Jakarta Sans", "Playfair Display", "DM Sans" and "DM Mono" from Google Fonts (Google Ireland Limited). Your IP address is transmitted to Google in the process. Legal basis: Art. 6(1)(f) — legitimate interest in a consistent presentation. The tournament clock and the live view use fonts stored on our own server and make no request to Google.
3. Account and login
An account is required for everything beyond the public pages. The following data is processed for that purpose.
| Data | Purpose | Legal basis |
|---|---|---|
| First and last name | Identification, personal address, invoicing | Art. 6(1)(b) — performance of the contract |
| Username | Display inside the software and, if you allow it, in the world ranking | Art. 6(1)(b) |
| E-mail address | Login, verification, transactional messages | Art. 6(1)(b) |
| Password (stored only as a salted hash) | Account security | Art. 6(1)(b) |
| Date of birth | Verification of the minimum age of 18 | Art. 6(1)(c) — legal obligation; Art. 6(1)(f) |
| Profile picture (optional) | Display inside the software and in your public profile | Art. 6(1)(a) — consent, by uploading it |
| Last login, last activity, device description | Session management, detection of unauthorised access | Art. 6(1)(f) |
| Plan, plan status and period end | Provision of the booked functions | Art. 6(1)(b) |
Providing this data is not required by statute, but it is necessary to conclude and perform the contract. Without it, an account cannot be created.
Name, username, profile picture and your privacy settings can be changed at any time in My Account. You can delete your account there as well.
4. Tournament and player data
When you run a rated tournament, we store what is needed to run and reconstruct it: tournament settings and blind structure, participants, buy-ins, rebuys, add-ons, deals, eliminations, final positions and prize amounts, plus the resulting rating changes. Every participant receives an e-mail with their own result and rating change.
Legal basis: Art. 6(1)(b) GDPR, since this is the very service you booked or take part in.
Seat check-in
Before a rated tournament starts, each player confirms their seat with a short-lived code on their own device, or the host seats them directly where the plan permits. We store who was seated, when and how (code, host, self), and the number of tournaments the host and the player have already played together, because that number decides whether direct seating is allowed. Failed code entries are logged with account and time only (no IP address) to block guessing. If a host on the Honor plan seats a player with whom they have played fewer than three tournaments, the player is informed by e-mail. Legal basis: Art. 6(1)(b) and (f) GDPR — the integrity of the ranking.
Running tournament and recovery
While a tournament is running, its current state (level, time, players, rebuys, placings) is saved on our server every few seconds, together with the device identifier and a short device description of the screen that controls it. This lets the clock continue after a lost connection and on another device. Legal basis: Art. 6(1)(b) GDPR.
Live view and remote control
On Core and Honor the host can create a live-view link. Anyone who has this link can see, without an account: the tournament name, the club name and logo, level, blinds, time, prize pool and payouts, and for every player the display name, profile picture, rebuys and add-ons, placing and prize. The page is not listed anywhere and is excluded from search engines; the host can replace the link at any time, which makes the old one unusable. The remote control is only available to the host's own account; its commands are stored for at most one hour. Legal basis: Art. 6(1)(b) and (f) GDPR — the organiser's and the players' interest in following the tournament at the table.
Planned tournaments and sign-ups
For planned tournaments we store the date, the details set by the host, and for each player the sign-up status (registered, waiting list, requested, declined) with the time. The host sees the list of sign-ups and requests. On a public tournament, the list of registered players (full name, username, profile picture and level) is visible to every visitor of the schedule, also without an account and to search engines — you see this before you sign up, and you can withdraw your sign-up. A private tournament is visible only to the host, to players who signed up, and to people who have the invite link. Legal basis: Art. 6(1)(b) GDPR.
Club profile
Hosts on the Honor plan can store a club name, a logo and up to five background images. These are shown on the host's tournament clock, in the live view and on public tournaments. Uploaded images are re-encoded on our server before they are stored. Legal basis: Art. 6(1)(b) GDPR.
Rated tournaments only accept players with their own EPTS account who confirmed their seat. Where you enter data about other people in other places — for example names in notes, or photos of people in a club image — you are responsible for that data and must have a legal basis for it. Never enter health data, criminal convictions or other special categories of data.
A data processing agreement pursuant to Art. 28 GDPR is available on request at no cost.
5. World ranking and public profile
The world ranking at worldranking.php is a publicly accessible page. It can be viewed without an account and is visible to search engines.
What is published
For players with at least ten rated tournaments while the setting Share stats is switched on: username, profile picture, Elo rating, number of rated tournaments, in-the-money rate and rating movement over the last 30 days. Your real name, e-mail address, date of birth and all contract data are never published in the ranking.
Legal basis
Art. 6(1)(f) GDPR — the legitimate interest of the players and of the provider in a comparable, public ranking of sporting results, which is the purpose of rated tournaments. We publish only the pseudonymous username and figures, not your real name. The setting is switched on for new accounts; this is pointed out at registration, next to the setting itself and here.
You can switch Share stats off at any time in My Account (Friends → Privacy), without giving reasons and with effect for the future; your entry then disappears from the ranking and your statistics are no longer shown to friends. This is also your right to object under Art. 21 GDPR. Content already indexed or cached by third parties (search engines, archives) is outside our control; we will support you with removal requests where we can.
No decision producing legal effects is taken automatically on the basis of the ranking. The Elo value is a purely descriptive figure and does not constitute a decision within the meaning of Art. 22 GDPR.
6. Friends and social features
You can send friend requests to other users and accept or decline requests. We store the two accounts involved, the status of the connection and the time it was created. The recipient sees your username, your name and your profile picture. Friends see your activity (for example results and achievements) if you have switched on the activity feed, and your statistics if Share stats is on.
People you played with
The Friends page suggests players who sat at the same table with you in a rated tournament and are not yet connected to you. A suggestion shows the other player's name, profile picture, the number of tournaments you played together and when you last played together. In the same way you may be suggested to players you have played with. Nobody else sees these suggestions. Legal basis: Art. 6(1)(f) GDPR — the interest of players who have met at the table in finding each other. You can object at any time (section 13); you will then no longer be suggested to others.
Legal basis for the friend function itself: Art. 6(1)(b) GDPR; Art. 6(1)(f) GDPR for the legitimate interest of both sides in a working request mechanism. Connections can be removed at any time; the record is then deleted.
7. Contact form and e-mail
If you write to us through the contact form or by e-mail, we process your name, your e-mail address and the content of your message in order to answer it.
Legal basis: Art. 6(1)(b) GDPR where the enquiry concerns a contract or its initiation, otherwise Art. 6(1)(f) GDPR — our legitimate interest in answering enquiries addressed to us.
The form is protected by a simple arithmetic captcha. No third-party captcha service is used, so no data leaves our server for that purpose.
8. Subscriptions and payments
Paid plans are processed through Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Dublin, Ireland.
Card details are entered on Stripe's infrastructure and are never stored on our servers. We receive and store only the Stripe customer and subscription identifier, the current period end, and the last four digits and expiry date of the card so that you can recognise your own payment method.
Legal basis: Art. 6(1)(b) GDPR (performance of the contract) and Art. 6(1)(c) GDPR for the retention of invoices under tax law.
Stripe's own privacy information: stripe.com/privacy.
9. Processors and recipients
Your data is not sold, and it is not passed to advertising networks, social networks or data brokers. It is disclosed only to the following recipients, each bound by a data processing agreement under Art. 28 GDPR:
| Recipient | Role | Location |
|---|---|---|
| STRATO GmbH | Hosting and server operation | Germany / EU |
| Brevo SAS | Transactional e-mail (verification, password reset, notifications) | France / EU |
| Stripe Payments Europe, Ltd. | Payment processing for paid plans | Ireland / EU |
| Google Ireland Limited | Delivery of web fonts | Ireland / EU |
Beyond that, data is disclosed only where we are legally obliged to do so — for example to courts, tax authorities or law enforcement — or where it is necessary to establish, exercise or defend legal claims.
10. Transfers outside the EEA
Our servers and databases are located within the European Union. Some of the processors named above are part of groups with entities in third countries, in particular the United States, and may transfer data there for support and infrastructure purposes.
Such transfers are safeguarded by the European Commission's Standard Contractual Clauses pursuant to Art. 46(2)(c) GDPR and, where the recipient is certified, by the EU–US Data Privacy Framework pursuant to Art. 45 GDPR. A copy of the safeguards can be requested from us.
11. Retention periods
| Data | Kept until |
|---|---|
| Account data | Deletion of the account, then removed within 30 days |
| Tournament and rating data | Deletion of the account; on request earlier, unless the tournament also documents other participants |
| Entry in the world ranking | Immediately upon switching Share stats off |
| Check-in records of a played tournament | Together with the tournament |
| Check-ins that never became a tournament | 30 days |
| Failed check-in code entries | 24 hours |
| State of a running tournament (server) | Until the result is saved or the tournament is abandoned; then as part of the tournament |
| Remote-control commands | At most 1 hour |
| Live-view link | Until the tournament ends or the host replaces the link |
| Sign-ups to planned tournaments | Until the tournament is deleted or the account is deleted |
| Club name, logo and background images | Until you delete them or the account |
| Server logs including IP address | 7 days |
| Contact enquiries | Until the matter is settled, then up to 6 months for follow-up questions |
| Invoices and accounting records | 7 years (§ 132 Federal Fiscal Code) |
| Data needed to defend legal claims | Until the limitation period expires, generally 3 years |
Where a statutory retention obligation prevents deletion, processing is restricted instead: the data is blocked and used only for the purpose that requires its retention.
12. Security measures
- All traffic is encrypted in transit via TLS (HTTPS).
- Passwords are stored only as salted hashes and are never readable, not even by the operator.
- Database access is restricted to the application and to the operator personally.
- Encrypted backups are taken daily and stored separately.
- Server-side firewall and protection against automated attacks.
- Personal data is separated from public ranking data at query level, so that only the fields marked as public can leave the database.
No system is completely secure. Should a breach occur that is likely to result in a high risk to your rights, we will notify you without undue delay in accordance with Art. 34 GDPR, and the supervisory authority within 72 hours under Art. 33 GDPR.
13. Your rights
You have the right to:
- Access (Art. 15) — a copy of the data we hold about you and information on how it is processed.
- Rectification (Art. 16) — correction of inaccurate or incomplete data.
- Erasure (Art. 17) — deletion, unless a retention obligation applies.
- Restriction (Art. 18) — blocking of processing while a matter is being clarified.
- Data portability (Art. 20) — your data in a structured, machine-readable format.
- Objection (Art. 21) — against processing based on legitimate interest, for reasons arising from your particular situation.
- Withdrawal of consent (Art. 7(3)) — at any time, with effect for the future. The lawfulness of processing carried out before withdrawal is unaffected.
Requests are answered without undue delay and at the latest within one month (Art. 12(3) GDPR). Write to elias.schiegl@gmail.com. We may ask you to confirm your identity before disclosing data.
Austrian Data Protection Authority
Barichgasse 40–42, 1030 Vienna, Austria
Phone: +43 1 52 152-0 · dsb@dsb.gv.at · www.dsb.gv.at
14. Deleting your account
You can delete your account yourself at any time, without asking us and without giving a reason. The option is in My Account under “Delete account”.
How it works
- You confirm that you understand the consequences.
- We send a six-digit code to your e-mail address. It is valid for 15 minutes. This step exists so that nobody can delete your account from a device you left unlocked.
- Once the code is entered, the account is scheduled for deletion — not removed. It stays fully usable for 30 days.
- You can stop the process with one click at any point during those 30 days.
- After 30 days the deletion runs automatically and cannot be reversed.
What is deleted
- Your account: name, username, e-mail address, date of birth, profile picture, password
- Your Elo rating and its full history
- Your achievements and your entry in the world ranking
- Your friendships, tags and favourites
- Your activity feed entries and your own blind structures
What is kept, and why
Tournaments you took part in remain on record, but your entry is detached from your account — it becomes an anonymous entry with no name attached. The reason is that a tournament is not only your data: it also documents the results of everyone else at that table. Deleting it would erase their history along with yours.
Invoices and accounting records for paid plans are kept for seven years (§ 132 Federal Fiscal Code). We cannot delete them earlier, but they are only used for that purpose — processing is restricted in accordance with Art. 18 GDPR.
Beyond that we keep one record per deletion: your former user number, a one-way hash of your e-mail address and the date. That is what lets us confirm later that a deletion actually took place, without keeping the address itself. It is not usable to identify you.
Running subscription
If a paid plan is active when you schedule the deletion, it is cancelled at the end of the period you have already paid for. No further payment is taken. Stopping the deletion does not restart the subscription — you can do that yourself in the billing portal.
After the 30 days there is no way to restore the account, not even for us. Backups are overwritten on a rolling basis and are not searched for individual accounts.
If you prefer not to use the self-service option, write to elias.schiegl@gmail.com. We will handle it manually and confirm once it is done.
15. Minors
The service is directed exclusively at persons aged 18 and over. We do not knowingly process data of minors. Registration requires a date of birth, and accounts that do not meet the age requirement are rejected.
If you become aware that a minor has created an account, please tell us. The account and all associated data will be deleted without delay.
16. Providing your data and automated decisions
Is providing the data required? (Art. 13(2)(e) GDPR)
Providing your first and last name, e-mail address, password and date of birth is not required by statute, but it is necessary to conclude and perform the contract. Without that data we cannot create an account or perform the contract, and no contract can come about. The date of birth is additionally needed to verify the minimum age of 18.
Everything else is voluntary — in particular the profile picture, the username shown in the public ranking, friend connections and the content of contact enquiries. Not providing them has no consequence beyond the corresponding function being unavailable.
| Data | Required? | If you do not provide it |
|---|---|---|
| First and last name, e-mail address, password | Necessary for the contract | No account, no contract |
| Date of birth | Necessary for the contract and the age check | No account |
| Payment data (via Stripe) | Necessary for paid plans only | Use limited to the free Starter plan |
| Profile picture, public statistics, friends | Voluntary | That function is not available |
Automated decision-making and profiling (Art. 13(2)(f), Art. 22 GDPR)
No automated decision-making, including profiling, takes place that produces legal effects concerning you or similarly significantly affects you.
The Elo rating, achievements, ranking position and statistics are calculated automatically, but they serve solely to present sporting results inside the software. They have no legal effect, they do not assess you as a person, your creditworthiness or your conduct outside the game, and they are not passed to third parties for assessment purposes.
17. Changes to this policy
We update this policy when the service or the legal framework changes. The version published here at the time of your visit applies. If a change materially affects processing that is based on your consent, we will obtain your consent again.
Version: October 2026
See also: Terms and Conditions · Legal Notice
1. Verantwortlicher und Kontakt
Verantwortlicher im Sinne des Art. 4 Z 7 DSGVO:
Elias Schiegl, MLS
Selbstständiger IT-Dienstleister (Einzelunternehmer)
Sonnenstraße 15/3/14, 3550 Langenlois, Österreich
Ein Datenschutzbeauftragter wurde nicht bestellt, da die Voraussetzungen des Art. 37 DSGVO nicht vorliegen. Bitte richten Sie alle datenschutzrechtlichen Anliegen an die oben genannten Kontaktdaten.
2. Besuch der Website
Jeder Aufruf unseres Servers wird automatisch protokolliert. Das ist technisch unvermeidbar und dient der Sicherheit und Stabilität des Dienstes.
| Daten | Zweck | Rechtsgrundlage | Speicherdauer |
|---|---|---|---|
| IP-Adresse | Auslieferung der Seite, Abwehr von Angriffen und Missbrauch | Art. 6 Abs. 1 lit. f — berechtigtes Interesse an einem sicheren Dienst | 7 Tage |
| Datum und Uhrzeit, aufgerufene URL, Statuscode, Referrer | Fehleranalyse, Sicherheit | Art. 6 Abs. 1 lit. f | 7 Tage |
| Browser und Betriebssystem | Kompatibilität, Fehleranalyse | Art. 6 Abs. 1 lit. f | 7 Tage |
Cookies und Speicher im Browser
Wir verwenden nur Cookies und Browserspeicher, die für die von Ihnen genutzte Funktion unbedingt erforderlich sind. Dafür ist nach § 165 Abs. 3 TKG 2021 kein Einwilligungsbanner nötig. Nichts davon dient dem Tracking oder der Werbung, und nichts wird an Dritte weitergegeben.
| Name / Art | Zweck | Lebensdauer |
|---|---|---|
| Sitzungs-Cookie (PHP-Session) | Hält Sie während der Nutzung angemeldet | Bis zur Abmeldung oder zum Schließen des Browsers |
| Remember-Token | Optionales „angemeldet bleiben“ — wird nur gesetzt, wenn Sie es wählen | Bis zu 30 Tage oder bis zur Abmeldung |
| Session Storage | Hält Ihren Anzeigenamen und Tarif, solange der Tab geöffnet ist | Bis zum Schließen des Tabs |
| Gerätekennung (Local Storage) | Ein Zufallscode, mit dem ein laufendes Turnier erkennt, welches Ihrer Geräte die Uhr steuert, damit sich zwei Bildschirme nicht gegenseitig überschreiben | Bis Sie Ihre Browserdaten löschen |
| Kopie der Uhr (Local Storage) | Eine Kopie des laufenden Turniers auf dem Gerät des Veranstalters, damit bei einem Verbindungsabbruch nichts verloren geht | Wird gelöscht, sobald das Ergebnis gespeichert ist |
| Anzeige-Einstellungen (Local Storage) | Ihre Auswahl wie Farbe, Ton, Sprache, Filter oder ausgeblendete Vorschläge | Bis Sie Ihre Browserdaten löschen |
Wir verwenden keine Tracking-Cookies, Werbepixel, Social Plugins oder Analysedienste Dritter. Sollte künftig eine Analyse eingeführt werden, läuft sie nicht, bevor Sie eingewilligt haben.
Webschriften
Einige Seiten laden die Schriften „Plus Jakarta Sans“, „Playfair Display“, „DM Sans“ und „DM Mono“ von Google Fonts (Google Ireland Limited). Dabei wird Ihre IP-Adresse an Google übermittelt. Rechtsgrundlage: Art. 6 Abs. 1 lit. f — berechtigtes Interesse an einer einheitlichen Darstellung. Die Turnieruhr und die Live-Ansicht verwenden Schriften von unserem eigenen Server und stellen keine Anfrage an Google.
3. Konto und Anmeldung
Für alles über die öffentlichen Seiten hinaus ist ein Konto erforderlich. Dafür werden die folgenden Daten verarbeitet.
| Daten | Zweck | Rechtsgrundlage |
|---|---|---|
| Vor- und Nachname | Identifikation, persönliche Ansprache, Rechnungslegung | Art. 6 Abs. 1 lit. b — Vertragserfüllung |
| Benutzername | Anzeige in der Software und, wenn Sie es erlauben, in der Weltrangliste | Art. 6 Abs. 1 lit. b |
| E-Mail-Adresse | Anmeldung, Verifizierung, transaktionale Nachrichten | Art. 6 Abs. 1 lit. b |
| Passwort (nur als gesalzener Hash gespeichert) | Kontosicherheit | Art. 6 Abs. 1 lit. b |
| Geburtsdatum | Überprüfung des Mindestalters von 18 Jahren | Art. 6 Abs. 1 lit. c — rechtliche Verpflichtung; Art. 6 Abs. 1 lit. f |
| Profilbild (optional) | Anzeige in der Software und im öffentlichen Profil | Art. 6 Abs. 1 lit. a — Einwilligung durch den Upload |
| Letzte Anmeldung, letzte Aktivität, Gerätebeschreibung | Sitzungsverwaltung, Erkennung unbefugter Zugriffe | Art. 6 Abs. 1 lit. f |
| Tarif, Tarifstatus und Periodenende | Bereitstellung der gebuchten Funktionen | Art. 6 Abs. 1 lit. b |
Die Bereitstellung dieser Daten ist gesetzlich nicht vorgeschrieben, für den Abschluss und die Erfüllung des Vertrages jedoch erforderlich. Ohne diese Daten kann kein Konto angelegt werden.
Name, Benutzername, Profilbild und Ihre Privatsphäre-Einstellungen können Sie jederzeit unter My Account ändern. Dort können Sie Ihr Konto auch löschen.
4. Turnier- und Spielerdaten
Wenn Sie ein gewertetes Turnier durchführen, speichern wir, was nötig ist, um es durchzuführen und nachzuvollziehen: Turniereinstellungen und Blindstruktur, Teilnehmer, Buy-ins, Rebuys, Add-ons, Deals, Ausscheiden, Endplatzierungen und Preisgelder sowie die daraus folgenden Wertungsänderungen. Jeder Teilnehmer erhält eine E-Mail mit seinem eigenen Ergebnis und seiner Wertungsänderung.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, da dies genau die Leistung ist, die Sie gebucht haben oder an der Sie teilnehmen.
Check-in
Vor dem Start eines gewerteten Turniers bestätigt jeder Spieler seinen Platz mit einem kurzlebigen Code auf seinem eigenen Gerät, oder der Veranstalter checkt ihn direkt ein, soweit der Tarif das erlaubt. Wir speichern, wer wann und wie (Code, Veranstalter, selbst) eingecheckt wurde, sowie die Zahl der bereits gemeinsam gespielten Turniere von Veranstalter und Spieler, weil diese Zahl entscheidet, ob ein direktes Einchecken erlaubt ist. Fehlgeschlagene Code-Eingaben werden nur mit Konto und Zeitpunkt protokolliert (ohne IP-Adresse), um das Erraten zu verhindern. Checkt ein Veranstalter im Tarif Honor einen Spieler ein, mit dem er weniger als drei Turniere gespielt hat, wird der Spieler per E-Mail informiert. Rechtsgrundlage: Art. 6 Abs. 1 lit. b und f DSGVO — die Integrität der Rangliste.
Laufendes Turnier und Wiederherstellung
Während ein Turnier läuft, wird sein aktueller Stand (Level, Zeit, Spieler, Rebuys, Platzierungen) alle paar Sekunden auf unserem Server gespeichert, zusammen mit der Gerätekennung und einer kurzen Gerätebezeichnung des Bildschirms, der es steuert. So läuft die Uhr nach einem Verbindungsabbruch und auf einem anderen Gerät weiter. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
Live-Ansicht und Fernsteuerung
In Core und Honor kann der Veranstalter einen Link zur Live-Ansicht erstellen. Jede Person, die diesen Link hat, sieht ohne Konto: Turniername, Clubname und Logo, Level, Blinds, Zeit, Preispool und Auszahlungen sowie für jeden Spieler Anzeigename, Profilbild, Rebuys und Add-ons, Platzierung und Preisgeld. Die Seite ist nirgends verlinkt und für Suchmaschinen gesperrt; der Veranstalter kann den Link jederzeit ersetzen, wodurch der alte unbrauchbar wird. Die Fernsteuerung steht nur dem Konto des Veranstalters zur Verfügung; ihre Befehle werden höchstens eine Stunde gespeichert. Rechtsgrundlage: Art. 6 Abs. 1 lit. b und f DSGVO — das Interesse von Veranstalter und Spielern, das Turnier am Tisch zu verfolgen.
Geplante Turniere und Anmeldungen
Für geplante Turniere speichern wir den Termin, die vom Veranstalter festgelegten Angaben und für jeden Spieler den Anmeldestatus (angemeldet, Warteliste, angefragt, abgelehnt) mit Zeitpunkt. Der Veranstalter sieht die Liste der Anmeldungen und Anfragen. Bei einem öffentlichen Turnier ist die Liste der angemeldeten Spieler (voller Name, Benutzername, Profilbild und Level) für alle Besucher des Turnierkalenders sichtbar, auch ohne Konto und für Suchmaschinen — Sie sehen das vor der Anmeldung und können Ihre Anmeldung zurückziehen. Ein privates Turnier ist nur für den Veranstalter, angemeldete Spieler und Personen mit dem Einladungslink sichtbar. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
Club-Profil
Veranstalter im Tarif Honor können einen Clubnamen, ein Logo und bis zu fünf Hintergrundbilder speichern. Sie werden auf der Turnieruhr des Veranstalters, in der Live-Ansicht und bei öffentlichen Turnieren angezeigt. Hochgeladene Bilder werden vor dem Speichern auf unserem Server neu kodiert. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
Gewertete Turniere nehmen nur Spieler mit eigenem EPTS-Konto auf, die ihren Platz bestätigt haben. Wo Sie an anderer Stelle Daten anderer Personen eingeben — etwa Namen in Notizen oder Fotos von Personen in einem Clubbild —, sind Sie für diese Daten verantwortlich und brauchen dafür eine Rechtsgrundlage. Geben Sie nie Gesundheitsdaten, strafrechtliche Verurteilungen oder andere besondere Kategorien von Daten ein.
Ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO ist auf Anfrage kostenlos erhältlich.
5. Weltrangliste und öffentliches Profil
Die Weltrangliste unter worldranking.php ist eine öffentlich zugängliche Seite. Sie kann ohne Konto aufgerufen werden und ist für Suchmaschinen sichtbar.
Was veröffentlicht wird
Für Spieler mit mindestens zehn gewerteten Turnieren, solange die Einstellung Share stats eingeschaltet ist: Benutzername, Profilbild, Elo-Wertung, Anzahl gewerteter Turniere, In-the-Money-Quote und die Veränderung der Wertung in den letzten 30 Tagen. Ihr Klarname, Ihre E-Mail-Adresse, Ihr Geburtsdatum und alle Vertragsdaten werden in der Rangliste nie veröffentlicht.
Rechtsgrundlage
Art. 6 Abs. 1 lit. f DSGVO — das berechtigte Interesse der Spieler und des Anbieters an einer vergleichbaren, öffentlichen Rangliste sportlicher Ergebnisse, die der Zweck gewerteter Turniere ist. Wir veröffentlichen nur den pseudonymen Benutzernamen und Kennzahlen, nicht Ihren Klarnamen. Die Einstellung ist bei neuen Konten eingeschaltet; darauf weisen wir bei der Registrierung, direkt bei der Einstellung und hier hin.
Sie können Share stats jederzeit in My Account (Friends → Privacy) ohne Angabe von Gründen und mit Wirkung für die Zukunft ausschalten; Ihr Eintrag verschwindet dann aus der Rangliste, und Ihre Statistiken werden auch Freunden nicht mehr angezeigt. Das ist zugleich Ihr Widerspruchsrecht nach Art. 21 DSGVO. Auf Inhalte, die Dritte bereits indexiert oder zwischengespeichert haben (Suchmaschinen, Archive), haben wir keinen Einfluss; wir unterstützen Sie bei Löschanfragen, wo wir können.
Auf Grundlage der Rangliste werden keine Entscheidungen mit Rechtswirkung automatisiert getroffen. Der Elo-Wert ist eine rein beschreibende Kennzahl und keine Entscheidung im Sinne von Art. 22 DSGVO.
6. Freunde und soziale Funktionen
Sie können anderen Nutzern Freundschaftsanfragen senden sowie Anfragen annehmen oder ablehnen. Wir speichern die beiden beteiligten Konten, den Status der Verbindung und den Zeitpunkt ihrer Entstehung. Der Empfänger sieht Ihren Benutzernamen, Ihren Namen und Ihr Profilbild. Freunde sehen Ihre Aktivität (zum Beispiel Ergebnisse und Achievements), wenn Sie den Aktivitäts-Feed eingeschaltet haben, und Ihre Statistiken, wenn Share stats eingeschaltet ist.
Spieler, mit denen Sie gespielt haben
Die Freunde-Seite schlägt Spieler vor, die in einem gewerteten Turnier mit Ihnen am Tisch saßen und noch nicht mit Ihnen verbunden sind. Ein Vorschlag zeigt Namen und Profilbild des anderen Spielers, die Zahl der gemeinsam gespielten Turniere und wann Sie zuletzt zusammen gespielt haben. Ebenso können Sie Spielern vorgeschlagen werden, mit denen Sie gespielt haben. Niemand sonst sieht diese Vorschläge. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO — das Interesse von Spielern, die sich am Tisch getroffen haben, einander zu finden. Sie können jederzeit widersprechen (Abschnitt 13); Sie werden dann anderen nicht mehr vorgeschlagen.
Rechtsgrundlage der Freundesfunktion selbst: Art. 6 Abs. 1 lit. b DSGVO; Art. 6 Abs. 1 lit. f DSGVO für das berechtigte Interesse beider Seiten an einem funktionierenden Anfragemechanismus. Verbindungen können jederzeit entfernt werden; der Datensatz wird dann gelöscht.
7. Kontaktformular und E-Mail
Wenn Sie uns über das Kontaktformular oder per E-Mail schreiben, verarbeiten wir Ihren Namen, Ihre E-Mail-Adresse und den Inhalt Ihrer Nachricht, um sie zu beantworten.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, wenn die Anfrage einen Vertrag oder dessen Anbahnung betrifft, sonst Art. 6 Abs. 1 lit. f DSGVO — unser berechtigtes Interesse an der Beantwortung an uns gerichteter Anfragen.
Das Formular ist durch ein einfaches Rechen-Captcha geschützt. Ein Captcha-Dienst Dritter wird nicht eingesetzt, es verlassen dafür also keine Daten unseren Server.
8. Abonnements und Zahlungen
Kostenpflichtige Tarife werden über Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Dublin, Irland, abgewickelt.
Kartendaten werden auf der Infrastruktur von Stripe eingegeben und niemals auf unseren Servern gespeichert. Wir erhalten und speichern nur die Stripe-Kunden- und Abonnement-Kennung, das aktuelle Periodenende sowie die letzten vier Stellen und das Ablaufdatum der Karte, damit Sie Ihr Zahlungsmittel wiedererkennen.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) und Art. 6 Abs. 1 lit. c DSGVO für die steuerrechtliche Aufbewahrung von Rechnungen.
Datenschutzinformationen von Stripe: stripe.com/privacy.
9. Auftragsverarbeiter und Empfänger
Ihre Daten werden nicht verkauft und nicht an Werbenetzwerke, soziale Netzwerke oder Datenhändler weitergegeben. Eine Offenlegung erfolgt ausschließlich an die folgenden Empfänger, die jeweils durch einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO gebunden sind:
| Empfänger | Rolle | Ort |
|---|---|---|
| STRATO GmbH | Hosting und Serverbetrieb | Deutschland / EU |
| Brevo SAS | Transaktions-E-Mails (Verifizierung, Passwort-Zurücksetzung, Benachrichtigungen) | Frankreich / EU |
| Stripe Payments Europe, Ltd. | Zahlungsabwicklung für kostenpflichtige Tarife | Irland / EU |
| Google Ireland Limited | Auslieferung der Webschriften | Irland / EU |
Darüber hinaus werden Daten nur offengelegt, soweit wir gesetzlich dazu verpflichtet sind — etwa gegenüber Gerichten, Abgabenbehörden oder Strafverfolgungsbehörden — oder soweit dies zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich ist.
10. Übermittlung in Drittländer
Unsere Server und Datenbanken befinden sich innerhalb der Europäischen Union. Einzelne der oben genannten Auftragsverarbeiter gehören Konzernen mit Gesellschaften in Drittländern an, insbesondere in den Vereinigten Staaten, und können Daten zu Support- und Infrastrukturzwecken dorthin übermitteln.
Solche Übermittlungen sind durch die Standardvertragsklauseln der Europäischen Kommission gemäß Art. 46 Abs. 2 lit. c DSGVO abgesichert und, soweit der Empfänger zertifiziert ist, zusätzlich durch das EU-US Data Privacy Framework gemäß Art. 45 DSGVO. Eine Kopie der Garantien kann bei uns angefordert werden.
11. Speicherdauer
| Daten | Gespeichert bis |
|---|---|
| Kontodaten | Löschung des Kontos, danach Entfernung binnen 30 Tagen |
| Turnier- und Wertungsdaten | Löschung des Kontos; auf Wunsch früher, sofern das Turnier nicht auch andere Teilnehmer dokumentiert |
| Eintrag in der Weltrangliste | Sofort beim Ausschalten von Share stats |
| Check-in-Daten eines gespielten Turniers | Gemeinsam mit dem Turnier |
| Check-ins, aus denen kein Turnier wurde | 30 Tage |
| Fehlgeschlagene Code-Eingaben beim Check-in | 24 Stunden |
| Stand eines laufenden Turniers (Server) | Bis das Ergebnis gespeichert oder das Turnier abgebrochen ist; danach als Teil des Turniers |
| Befehle der Fernsteuerung | Höchstens 1 Stunde |
| Link zur Live-Ansicht | Bis das Turnier endet oder der Veranstalter den Link ersetzt |
| Anmeldungen zu geplanten Turnieren | Bis das Turnier oder das Konto gelöscht wird |
| Clubname, Logo und Hintergrundbilder | Bis Sie sie oder das Konto löschen |
| Server-Protokolle inklusive IP-Adresse | 7 Tage |
| Kontaktanfragen | Bis zur Erledigung, danach bis zu 6 Monate für Rückfragen |
| Rechnungen und Buchhaltungsunterlagen | 7 Jahre (§ 132 BAO) |
| Daten zur Abwehr von Rechtsansprüchen | Bis zum Ablauf der Verjährung, in der Regel 3 Jahre |
Steht einer Löschung eine gesetzliche Aufbewahrungspflicht entgegen, wird stattdessen die Verarbeitung eingeschränkt: Die Daten werden gesperrt und ausschließlich für jenen Zweck verwendet, der ihre Aufbewahrung erfordert.
12. Sicherheitsmaßnahmen
- Der gesamte Datenverkehr wird per TLS (HTTPS) verschlüsselt übertragen.
- Passwörter werden ausschließlich als gesalzene Hashes gespeichert und sind zu keinem Zeitpunkt lesbar, auch nicht für den Betreiber.
- Der Datenbankzugriff ist auf die Anwendung und den Betreiber persönlich beschränkt.
- Verschlüsselte Sicherungen werden täglich erstellt und getrennt aufbewahrt.
- Serverseitige Firewall und Schutz gegen automatisierte Angriffe.
- Personenbezogene Daten sind bereits auf Abfrageebene von den öffentlichen Ranglistendaten getrennt, sodass nur die als öffentlich gekennzeichneten Felder die Datenbank verlassen können.
Kein System ist vollkommen sicher. Kommt es zu einer Verletzung, die voraussichtlich ein hohes Risiko für Ihre Rechte zur Folge hat, verständigen wir Sie unverzüglich gemäß Art. 34 DSGVO und die Aufsichtsbehörde binnen 72 Stunden gemäß Art. 33 DSGVO.
13. Ihre Rechte
Ihnen stehen folgende Rechte zu:
- Auskunft (Art. 15) — eine Kopie der zu Ihnen gespeicherten Daten und Informationen über deren Verarbeitung.
- Berichtigung (Art. 16) — Korrektur unrichtiger oder unvollständiger Daten.
- Löschung (Art. 17) — Löschung, sofern keine Aufbewahrungspflicht entgegensteht.
- Einschränkung der Verarbeitung (Art. 18) — Sperre der Verarbeitung, solange ein Sachverhalt geklärt wird.
- Datenübertragbarkeit (Art. 20) — Ihre Daten in einem strukturierten, maschinenlesbaren Format.
- Widerspruch (Art. 21) — gegen Verarbeitungen auf Grundlage berechtigter Interessen, aus Gründen, die sich aus Ihrer besonderen Situation ergeben; ein Widerspruch gegen Verarbeitung zu Werbezwecken ist jederzeit ohne Begründung möglich.
- Widerruf der Einwilligung (Art. 7 Abs. 3) — jederzeit mit Wirkung für die Zukunft. Die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung bleibt unberührt.
Anträge werden unverzüglich, spätestens innerhalb eines Monats beantwortet (Art. 12 Abs. 3 DSGVO). Schreiben Sie an elias.schiegl@gmail.com. Wir können Sie vor einer Auskunft um eine Bestätigung Ihrer Identität ersuchen.
Sie haben das Recht, Beschwerde bei einer Aufsichtsbehörde zu erheben, insbesondere bei der
Österreichischen Datenschutzbehörde
Barichgasse 40–42, 1030 Wien
Telefon: +43 1 52 152-0 · dsb@dsb.gv.at · www.dsb.gv.at
14. Löschung Ihres Kontos
Sie können Ihr Konto jederzeit selbst löschen, ohne uns zu fragen und ohne Angabe von Gründen. Die Funktion finden Sie unter My Account bei „Delete account“.
Ablauf
- Sie bestätigen, dass Sie die Folgen verstanden haben.
- Wir senden einen sechsstelligen Code an Ihre E-Mail-Adresse. Er ist 15 Minuten gültig. Dieser Schritt verhindert, dass jemand Ihr Konto von einem unbeaufsichtigten Gerät aus löscht.
- Nach Eingabe des Codes wird das Konto zur Löschung vorgemerkt — nicht entfernt. Es bleibt 30 Tage lang voll nutzbar.
- Sie können den Vorgang während dieser 30 Tage jederzeit mit einem Klick stoppen.
- Nach 30 Tagen läuft die Löschung automatisch und ist nicht umkehrbar.
Was gelöscht wird
- Ihr Konto: Name, Benutzername, E-Mail-Adresse, Geburtsdatum, Profilbild, Passwort
- Ihre Elo-Wertung und deren gesamte Historie
- Ihre Achievements und Ihr Eintrag in der Weltrangliste
- Ihre Freundschaften, Tags und Favoriten
- Ihre Einträge im Aktivitätsverlauf und Ihre eigenen Blindstrukturen
Was bleibt, und warum
Turniere, an denen Sie teilgenommen haben, bleiben erhalten, Ihr Eintrag wird jedoch vom Konto gelöst — er wird zu einem anonymen Eintrag ohne Namen. Der Grund: Ein Turnier ist nicht nur Ihre Angelegenheit, es dokumentiert auch die Ergebnisse aller anderen am Tisch. Eine Löschung würde deren Historie mit auslöschen.
Rechnungen und Buchhaltungsunterlagen zu kostenpflichtigen Tarifen werden sieben Jahre aufbewahrt (§ 132 BAO). Wir können sie nicht früher löschen, verwenden sie aber ausschließlich zu diesem Zweck — die Verarbeitung ist nach Art. 18 DSGVO eingeschränkt.
Darüber hinaus behalten wir pro Löschung einen Datensatz: Ihre frühere Benutzernummer, einen Einweg-Hash Ihrer E-Mail-Adresse und das Datum. Damit können wir später bestätigen, dass eine Löschung tatsächlich stattgefunden hat, ohne die Adresse selbst aufzubewahren. Eine Identifizierung ist damit nicht möglich.
Laufendes Abonnement
Ist bei der Vormerkung ein kostenpflichtiger Tarif aktiv, wird er zum Ende der bereits bezahlten Periode gekündigt. Es wird nichts mehr abgebucht. Ein Abbruch der Löschung setzt das Abonnement nicht automatisch fort — das können Sie im Zahlungsportal selbst erledigen.
Nach Ablauf der 30 Tage kann das Konto nicht wiederhergestellt werden, auch nicht durch uns. Sicherungen werden rollierend überschrieben und nicht nach einzelnen Konten durchsucht.
Wenn Sie die Selbstbedienung nicht nutzen möchten, schreiben Sie an elias.schiegl@gmail.com. Wir erledigen das manuell und bestätigen die Durchführung.
15. Minderjährige
Der Dienst richtet sich ausschließlich an Personen ab 18 Jahren. Wir verarbeiten wissentlich keine Daten Minderjähriger. Für die Registrierung ist ein Geburtsdatum erforderlich; Konten, die das Mindestalter nicht erfüllen, werden abgelehnt.
Wenn Sie Kenntnis davon erlangen, dass eine minderjährige Person ein Konto angelegt hat, teilen Sie uns das bitte mit. Das Konto und alle zugehörigen Daten werden unverzüglich gelöscht.
16. Bereitstellung der Daten und automatisierte Entscheidungen
Erforderlichkeit der Bereitstellung (Art. 13 Abs. 2 lit. e DSGVO)
Die Bereitstellung von Vor- und Nachname, E-Mail-Adresse, Passwort und Geburtsdatum ist gesetzlich nicht vorgeschrieben, für den Abschluss und die Erfüllung des Vertrages jedoch erforderlich. Ohne diese Daten können wir kein Konto anlegen und den Vertrag nicht erfüllen; ein Vertragsabschluss ist dann nicht möglich. Das Geburtsdatum benötigen wir zusätzlich zur Überprüfung des Mindestalters von 18 Jahren.
Alle übrigen Angaben sind freiwillig. Dazu zählen insbesondere Profilbild, Benutzername in der öffentlichen Rangliste, Freundschaftsverbindungen und der Inhalt von Kontaktanfragen. Werden sie nicht bereitgestellt, entsteht kein Nachteil, außer dass die betreffende Funktion nicht zur Verfügung steht.
| Angabe | Erforderlich? | Folge bei Nichtbereitstellung |
|---|---|---|
| Vor- und Nachname, E-Mail-Adresse, Passwort | Für den Vertrag erforderlich | Kein Konto, kein Vertragsabschluss |
| Geburtsdatum | Für den Vertrag und die Altersprüfung erforderlich | Kein Konto |
| Zahlungsdaten (über Stripe) | Nur für kostenpflichtige Tarife erforderlich | Nutzung nur im kostenlosen Tarif Starter |
| Profilbild, öffentliche Statistik, Freunde | Freiwillig | Die jeweilige Funktion steht nicht zur Verfügung |
Automatisierte Entscheidungsfindung und Profiling (Art. 13 Abs. 2 lit. f, Art. 22 DSGVO)
Eine automatisierte Entscheidungsfindung einschließlich Profiling, die Ihnen gegenüber rechtliche Wirkung entfaltet oder Sie in ähnlicher Weise erheblich beeinträchtigt, findet nicht statt.
Elo-Wertung, Achievements, Ranglistenplatz und Statistiken werden zwar automatisch berechnet, sie dienen jedoch ausschließlich der Darstellung sportlicher Ergebnisse innerhalb der Software. Sie haben keine rechtliche Wirkung, führen zu keiner Bewertung Ihrer Person, Ihrer Bonität oder Ihres Verhaltens außerhalb des Spiels und werden nicht an Dritte zu Bewertungszwecken übermittelt.
17. Änderungen dieser Erklärung
Wir aktualisieren diese Erklärung, wenn sich der Dienst oder die Rechtslage ändert. Maßgeblich ist die zum Zeitpunkt Ihres Besuchs hier veröffentlichte Fassung. Betrifft eine Änderung wesentlich eine Verarbeitung, die auf Ihrer Einwilligung beruht, holen wir Ihre Einwilligung erneut ein.
Stand: Oktober 2026
Die deutsche Fassung dieser Datenschutzerklärung ist die maßgebliche Fassung. Die englische Fassung dient der Information.