Datenschutzerklärung

1. Verantwortlicher

Verantwortlich für die Verarbeitung personenbezogener Daten im Sinne der DSGVO ist:

SHACKLETON CONSULTING SAS
Andreas Meisslein, Président
8 Rue Tricherie
78810 Feucherolles
Frankreich
E-Mail (allgemein): hello@playpolarity.com
E-Mail für Datenschutzanfragen: privacy@playpolarity.com
SIREN 940 253 545 · USt-IdNr. FR65 940 253 545

2. Welche personenbezogenen Daten wir verarbeiten

Im Rahmen der Nutzung von Polarity verarbeiten wir folgende Kategorien personenbezogener Daten:

• Kontodaten: E-Mail-Adresse, Anzeigename, Sprachpräferenz, ggf. Profilbild und freiwillige Profilangaben.
• Authentifizierungsdaten: Passwort-Hash (nie im Klartext), Login-Zeitstempel.
• Spielaktivität: abgegebene Bets, Tokenstände, Antworten auf Fragen, Settlement-Resultate, Streak-Zähler.
• Personalisierungsdaten: Kategorie-Präferenzen, abgewählte Kategorien, Skip-Verhalten (Eingang in den Smart-Deck-Score, siehe Abschnitt 4).
• Push-Subscription-Daten: Endpoint-URL und Browser-/Geräteschlüssel (nur wenn Push-Benachrichtigungen aktiviert).
• Technische Daten: Browser, Betriebssystem, Geräteinformationen, Spracheinstellung. Diese werden nur bei erteilter Einwilligung in unsere Analyse-Tabelle übernommen (siehe Abschnitt 10).
• IP-Adresse: Bei Aufruf der App wird Ihre IP-Adresse durch unseren Hosting-Provider Vercel im Rahmen der HTTP-Request-Logs kurzzeitig verarbeitet (Standard-Retention des Anbieters). Eine Speicherung in unserer Datenbank im Klartext erfolgt nicht. Für Sicherheits- und Rate-Limiting-Zwecke verwenden wir bei anonymen Wetten ausschließlich gekürzte SHA256-Hashes der IP-Adresse (16 Zeichen), die keine Re-Identifikation einzelner Personen erlauben.
• Kommunikationsdaten: Inhalte und Metadaten von E-Mails, die Sie an hello@playpolarity.com senden.

3. Zwecke der Verarbeitung und Rechtsgrundlagen

Wir verarbeiten Ihre personenbezogenen Daten auf folgenden Rechtsgrundlagen:

Vertragsdurchführung (Art. 6 Abs. 1 lit. b DSGVO)
Bereitstellung der App-Funktionen: Registrierung und Login, Wettmechanik, Auswertung von Vorhersagen, Token-Buchungen, Anzeige des personalisierten Card-Feeds. Ohne diese Verarbeitung kann der Dienst nicht erbracht werden.

Berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO)
Sicherheit, Missbrauchserkennung (z. B. Mehrfachkonten, automatisierte Zugriffe), Stabilität des Dienstes, technische Fehlerbehebung, Schutz vor Manipulation der Rangliste und der Token-Ökonomie sowie aggregierte, anonymisierte Auswertung zur Verbesserung der App.

Einwilligung (Art. 6 Abs. 1 lit. a DSGVO)
Push-Benachrichtigungen, Analyse-Daten und Geräte-Fingerprinting im Rahmen der Reichweitenmessung, etwaige werbliche E-Mails über unseren Versanddienst Brevo, freiwillige Profilangaben. Eine erteilte Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen.

4. Personalisierung des Card-Feeds (Smart Deck)

Polarity zeigt jeder/m Nutzer:in einen individuell sortierten Feed an Vorhersage-Fragen. Die Reihenfolge wird auf Basis Ihrer Kategorie-Präferenzen, Ihres Skip-Verhaltens, der Aktualität der Fragen, der allgemeinen Aktivität (Anzahl Bets pro Frage) sowie weicher demografischer Anpassungen (z. B. Sprache, Land, ggf. Altersgruppe) berechnet. Es handelt sich um eine Personalisierungs-Sortierung; eine vollautomatisierte Entscheidung mit rechtlicher Wirkung gegenüber Ihrer Person im Sinne von Art. 22 DSGVO findet nicht statt. Sie können den Einfluss dieser Personalisierung mindern, indem Sie Kategorien explizit abwählen oder Ihr Konto löschen.

5. Empfänger und Auftragsverarbeiter

Zur Erbringung des Dienstes greifen wir auf folgende Empfänger und Auftragsverarbeiter zurück:

• Supabase Inc. (EU-Hosting, Frankfurt/Ireland) — Datenbank, Authentifizierung, Realtime-Funktionen, Datei-Speicher für Profilbilder. Auftragsverarbeitung nach Art. 28 DSGVO.
• Vercel Inc. (USA, mit EU-Region) — Hosting der App und Serverless-Funktionen. Auftragsverarbeitung nach Art. 28 DSGVO; Datenübermittlung in die USA gestützt auf EU-Standardvertragsklauseln (SCC) gemäß Art. 46 Abs. 2 lit. c DSGVO.
• Anthropic PBC (USA) — Generierung und Validierung der KI-gestützten Vorhersage-Fragen, Quality-Gate für nutzergenerierte Inhalte sowie Recherche zur Auflösung. Die an Anthropic übermittelten Prompts enthalten in der Regel keinen direkten Personenbezug der Nutzer:innen. SCC.
• Perplexity AI Inc. (USA) — Recherche-API für die Themen-Vorab-Cachung sowie Settlement-Recherche. Keine Übermittlung personenbezogener Nutzer:innen-Daten. SCC.
• Voyage AI Inc. (USA) — Embedding-Service zur Erkennung doppelter Vorhersage-Fragen. Übermittelt werden ausschließlich Frage-Statements ohne Personenbezug. SCC.
• Unsplash Inc. (USA) — Bezug lizenzfreier Stock-Bilder zur visuellen Begleitung von Vorhersage-Fragen über die Unsplash-API. Übermittelt werden nur Such-Stichworte zur Bildauswahl, keine Nutzer:innen-Daten. SCC.
• API-Sports / RapidAPI (Frankreich/USA) — Live-Sport-Daten für Live-Events. Übermittelt werden ausschließlich Liga- und Match-IDs ohne Nutzer:innen-Bezug.
• Brevo SAS (Frankreich, EU) — Versand transaktionaler E-Mails (insbesondere Login-Mails wie Magic-Link und OTP) sowie ggf. werblicher E-Mails. Die Anbindung erfolgt als SMTP-Provider unserer Authentifizierungs-Infrastruktur bei Supabase. Auftragsverarbeitung nach Art. 28 DSGVO; keine Drittlandsübermittlung.
• Push-Auslieferungs-Infrastruktur (Empfängerkategorie): Google LLC (Firebase Cloud Messaging für Chrome/Android), Apple Inc. (Apple Push Notification Service für Safari/iOS), Mozilla (autopush für Firefox). Polarity speichert lediglich die Subscription-Endpunkte in Supabase; die Auslieferung erfolgt über die Browser- bzw. betriebssystem-eigene Push-Infrastruktur, ohne dass wir mit den genannten Empfängern in einem direkten Auftragsverarbeitungsverhältnis stehen.

Eine KI-gestützte Generierung von Bildern findet aktuell nicht statt. Vorhersage-Fragen werden mit lizenzfreien Stock-Fotos der Unsplash-Bibliothek oder mit Vorschaubildern aus den eingebundenen RSS-Feeds der jeweiligen Publisher illustriert (siehe § 11). Bei RSS-Vorschaubildern verbleiben die Bildrechte beim jeweiligen Publisher; die Quelle wird am Bild genannt und mit dem Originalartikel verlinkt.

6. Übermittlung in Drittländer

Übermittlungen personenbezogener Daten in Länder außerhalb des EWR (insbesondere USA) erfolgen ausschließlich an die in Abschnitt 5 genannten Empfänger und sind durch EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO) abgesichert. Wir bewerten regelmäßig die rechtliche Situation in den Empfängerländern und ergänzen die SCC, soweit erforderlich, durch zusätzliche technische oder organisatorische Maßnahmen.

7. Speicherdauer

• Kontodaten: bis zur Löschung Ihres Kontos durch Sie oder uns. Nach Anstoß der Löschung wird das Konto sofort deaktiviert und nach 30 Tagen endgültig gelöscht; innerhalb dieser Frist können Sie sich erneut einloggen und die Löschung damit rückgängig machen. Gesetzliche Aufbewahrungspflichten bleiben unberührt.
• Spielaktivität: solange Ihr Konto besteht. Nach Kontolöschung werden personenbezogene Bezüge entfernt; rein statistische, nicht re-identifizierbare Auswertungen (z. B. „Anzahl Bets pro Kategorie pro Tag") können fortbestehen.
• Push-Subscriptions: bis zur Deaktivierung der Push-Benachrichtigungen durch Sie oder bis zur Ungültigkeit des Endpoints (z. B. nach Browser-Reset). Sende-Protokolle (Zeitpunkt, Empfänger, Betreff) werden 90 Tage aufbewahrt und danach automatisch gelöscht.
• Analyse-Daten (Reichweitenmessung, Klick- und Skip-Verhalten, Geräte-Fingerprint): nur bei erteilter Einwilligung. Aufbewahrung 90 Tage, danach automatisches Löschen.
• Technische Fehler-Logs (System-Errors): 30 Tage, danach automatisches Löschen.
• Server- und IP-bezogene HTTP-Logs: kurzzeitig auf Ebene des Hosting-Providers Vercel gemäß dessen Standard-Retention. Eine eigene Klartext-Speicherung von IP-Adressen durch uns findet nicht statt.
• E-Mail-Versand-Daten (Brevo): gemäß der Aufbewahrungs-Standards des Auftragsverarbeiters; transaktionale E-Mail-Logs werden in der Regel innerhalb weniger Monate gelöscht.

8. Ihre Rechte

Sie haben gegenüber uns die folgenden Rechte hinsichtlich Ihrer personenbezogenen Daten:

• Recht auf Auskunft (Art. 15 DSGVO)
• Recht auf Berichtigung (Art. 16 DSGVO)
• Recht auf Löschung (Art. 17 DSGVO)
• Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Recht auf Datenübertragbarkeit (Art. 20 DSGVO)
• Recht auf Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21 DSGVO)
• Recht auf jederzeitigen Widerruf einer Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO)

Anfragen richten Sie bitte an privacy@playpolarity.com.

9. Beschwerderecht bei einer Aufsichtsbehörde

Unbeschadet anderer Rechtsbehelfe steht Ihnen das Recht zu, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren (Art. 77 DSGVO).

Aufgrund des Sitzes des Verantwortlichen in Frankreich ist die federführende Aufsichtsbehörde die französische CNIL: Commission Nationale de l'Informatique et des Libertés, 3 Place de Fontenoy, 75007 Paris, Frankreich (https://www.cnil.fr).

Sie können sich darüber hinaus an die für Ihren Wohnsitz zuständige Datenschutz-Aufsichtsbehörde wenden (in Deutschland: Liste der Landesdatenschutzbeauftragten auf https://www.bfdi.bund.de).

10. Cookies, lokale Speicherung und Reichweitenmessung

Wir setzen keine klassischen Tracking-Cookies und kein werbliches Drittanbieter-Profiling.

Unbedingt erforderliche Speicherung (gemäß § 25 Abs. 2 TTDSG ohne Einwilligung zulässig):

• Authentifizierungs-Cookie/-Token der Supabase-Authentifizierung zur Aufrechterhaltung Ihrer Login-Sitzung.
• Lokale Speicherung von Sprach- und Region-Präferenz, Onboarding-Status sowie ausstehender Skip-Liste für die Offline-Funktionalität der Progressive Web App.

Einwilligungspflichtige Funktionen (werden erst nach Ihrer aktiven Zustimmung im Consent-Banner aktiviert):

• Reichweitenmessung über unsere interne Ereignis-Datenbank (Tabellen events und sessions bei Supabase) — erfasst werden u. a. aufgerufene Bildschirme, Klicks auf Vorhersage-Karten, Geräteklasse, Spracheinstellung sowie ein Geräte-Fingerprint zur Wiedererkennung Ihres Geräts ohne Cookie-Setzung.
• Geräte-Fingerprinting über die clientseitige Bibliothek FingerprintJS zur Missbrauchs- und Mehrfachkonto-Erkennung.

Ihre Einwilligung können Sie jederzeit über die Datenschutz-Einstellungen in der App widerrufen. Ein Widerruf wirkt für die Zukunft.

11. Quellen für Inhalte

Die in Polarity angezeigten Vorhersage-Fragen werden überwiegend durch KI-Systeme aus öffentlich zugänglichen Informationsquellen generiert. Hierzu werden ausgewertet:

• RSS-Feeds öffentlich verfügbarer deutschsprachiger und internationaler Publisher (u. a. Tagesschau, Spiegel, FAZ, Zeit, Handelsblatt, Manager Magazin, Reuters, Bloomberg, DW, ORF, BBC, Heise, Golem, TechCrunch, The Verge, Sport1, Eurosport, Kicker, Bundesliga, Bundestag, Bundesregierung). Die vollständige aktuelle Liste der eingebundenen Feeds führen wir intern in der Konfiguration und stellen sie auf Anfrage zur Verfügung.
• Web-Recherche-APIs des Anbieters Perplexity AI (siehe Abschnitt 5).
• Trend-Daten der frei zugänglichen Google-Trends-RSS-Schnittstelle.
• Öffentlich verfügbare Sport-Marktdaten über API-Sports (siehe Abschnitt 5).

Auf der Landing-Page und in der App verwendete Bilder stammen entweder aus der lizenzfreien Bibliothek von Unsplash (Namensnennung der Fotograf:innen gemäß den Unsplash-API-Guidelines) oder als Vorschaubilder aus den oben genannten RSS-Feeds. Bei RSS-Vorschaubildern wird der Publisher am Bild genannt und auf den Originalartikel verlinkt; die Bildrechte verbleiben beim jeweiligen Publisher.

12. Änderungen dieser Hinweise

Wir können diese Datenschutzerklärung anpassen, um sie an geänderte rechtliche Rahmenbedingungen oder Änderungen unserer Dienste anzupassen. Wesentliche Änderungen kommunizieren wir in der App. Der jeweils aktuelle Stand ist oben angegeben.