Datenschutzerklärung

Stand: November 2026

Diese Erklärung informiert Sie nach Art. 13 und 14 der Datenschutz-Grundverordnung (DSGVO) darüber, welche personenbezogenen Daten wir verarbeiten, wenn Sie unsere Website www.obrax.xyz besuchen oder die Obrax-Plattform bzw. den Adressen der einzelnen Unterseiten (<kürzel>.obrax.xyz) nutzen.

1. Verantwortlicher

Verantwortlich im Sinne der DSGVO ist:

Denilson Akinyemi
Ringstraße 23
39167 Irxleben
E-Mail: info@obrax.xyz

Die Kontaktdaten finden Sie auch im Impressum. Einen Datenschutzbeauftragten haben wir nicht benannt, weil dazu keine gesetzliche Pflicht besteht. Für alle Fragen zum Datenschutz erreichen Sie uns unter der oben genannten E-Mail-Adresse.

2. Das Wichtigste in Kürze

Auf der Website www.obrax.xyz gibt es kein Tracking, keine Webanalyse, keine Werbung, keine Social-Media-Plugins und kein Kontaktformular.
Schriften und Bilder werden von unserem eigenen Server geladen, nicht von Google Fonts oder anderen Drittanbietern.
Die Website setzt keine Cookies. Es wird lediglich Ihre Wahl zwischen hellem und dunklem Design lokal in Ihrem Browser gemerkt (Abschnitt 5).
Für die Auslieferung und Absicherung der Website nutzen wir Cloudflare (Abschnitt 4). Dabei wird Ihre IP-Adresse verarbeitet.
Die Obrax-Plattform (Anmeldebereich) ist nur für Personen mit Zugang gedacht. Dort verarbeiten wir die in Abschnitt 6 genannten Daten.
Auf unserem Discord-Server protokolliert ein Bot Ereignisse für das Team (Abschnitt 7).

3. Besuch der Website

Beim Aufruf von www.obrax.xyz werden technisch notwendige Verbindungsdaten verarbeitet, damit die Seite an Ihr Gerät ausgeliefert werden kann: Ihre IP-Adresse, Datum und Uhrzeit der Anfrage, die aufgerufene Adresse (URL), die übertragene Datenmenge, der Statuscode der Antwort sowie Angaben zu Browser und Betriebssystem (User-Agent) und ggf. die zuvor besuchte Seite (Referrer).

Die Website-Software auf unserem Server legt keine eigenen Zugriffsprotokolle mit diesen Daten an. Die Verarbeitung findet technisch bedingt bei unserem Dienstleister Cloudflare statt (Abschnitt 4).

Zweck: Auslieferung der Website, Gewährleistung von Stabilität und Sicherheit. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am sicheren und zuverlässigen Betrieb der Website). Eine Pflicht zur Bereitstellung der Daten besteht nicht, ohne sie kann die Seite aber nicht angezeigt werden.

4. Cloudflare (Auslieferung und Absicherung)

Unsere Website und die Plattform sind über Cloudflare erreichbar. Anfragen laufen zuerst über das Netzwerk von Cloudflare (Reverse-Proxy, Cloudflare Tunnel) und werden von dort an unseren Server weitergegeben. Cloudflare stellt dabei die verschlüsselte Verbindung (HTTPS) her und schützt vor Angriffen und Missbrauch (z. B. Überlastungsangriffen).

Anbieter: Cloudflare, Inc., 101 Townsend St., San Francisco, CA 94107, USA. Dabei verarbeitet Cloudflare als Auftragsverarbeiter die in Abschnitt 3 genannten Verbindungsdaten und kann zur Abwehr von Angriffen technisch notwendige Sicherheits-Cookies oder vergleichbare Kennungen setzen. Weitere Informationen: cloudflare.com/privacypolicy.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (sichere und effiziente Bereitstellung unseres Angebots). Mit Cloudflare besteht ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO.

Übermittlung in die USA: Cloudflare kann Daten in den USA verarbeiten. Die Übermittlung stützt sich auf den Angemessenheitsbeschluss der EU-Kommission zum EU-US Data Privacy Framework, soweit der Empfänger zertifiziert ist, und im Übrigen auf EU-Standardvertragsklauseln (Art. 46 DSGVO).

5. Lokale Speicherung im Browser (Design-Auswahl)

Wenn Sie auf der Startseite zwischen hellem und dunklem Design wechseln, speichert Ihr Browser diese Auswahl im lokalen Speicher (localStorage, Schlüssel obrax-site-theme). Der Wert wird nicht an uns übermittelt und enthält keine personenbezogenen Daten. Sie können ihn jederzeit in den Einstellungen Ihres Browsers löschen.

Der Zugriff auf diese Information ist nach § 25 Abs. 2 Nr. 2 TDDDG ohne Einwilligung zulässig, weil er unbedingt erforderlich ist, um die von Ihnen ausdrücklich gewünschte Funktion (Designwechsel) bereitzustellen. Die weitere Verarbeitung beruht auf Art. 6 Abs. 1 lit. f DSGVO.

6. Obrax-Plattform (Anmeldebereich)

Die Obrax-Plattform dient der Organisation von Gruppen („Behörden“) im Rollenspiel-Umfeld: Leitstellenblatt, Personal- und Ausbildungsverwaltung, Tickets, Aktenführung und ein Discord-Bot. Sie richtet sich nur an Personen, denen ein Zugang eingerichtet wurde. Alle Angaben in diesem Abschnitt betreffen ausschließlich diese Nutzer.

6.1 Welche Daten werden verarbeitet?

Daten	Zweck	Rechtsgrundlage
Stammdaten der Person: Name, Dienstnummer, Rang, Rollen, Beschäftigungsstatus, Discord-ID, ggf. Telefonnummer, ggf. DTU-Squad	Verwaltung der Mitwirkenden, Rechtevergabe, Zuordnung von Discord-Konto und Zugang	Art. 6 Abs. 1 lit. b DSGVO (Teilnahme/Nutzungsverhältnis), hilfsweise lit. f
Zugangsdaten: Benutzername bzw. Dienstnummer, Passwort (nur als gesichertes Hash-Verfahren gespeichert, nie im Klartext), Passwort-Änderungen	Anmeldung und Zugangsschutz	Art. 6 Abs. 1 lit. b DSGVO
Sitzungsdaten: Anmeldezeitpunkt, letzte Aktivität, IP-Adresse und Browserangaben bei der Anmeldung	Sicherheit, Missbrauchs- und Fehlversuchserkennung	Art. 6 Abs. 1 lit. f DSGVO
Arbeits- und Verlaufsdaten: Diensteinträge, Status, Abmeldungen, Ausbildungs- und Prüfungsstände, Sanktionen, Rechnungen, Tickets, Akten, Einsatzleitungen, FTO-Berichte, Auszeichnungen, Prüfverlauf von Abschlussberichten (wer geprüft und freigegeben hat, Anmerkungen), Familien- und Unternehmensakten der Detective Unit (Rollenspiel-Inhalte mit Bildanhängen)	Betrieb der Funktionen der Plattform	Art. 6 Abs. 1 lit. b und f DSGVO
Aktivitäts-Log: wer wann welche Verwaltungs-, Personal- oder Sicherheitsaktion ausgeführt hat	Nachvollziehbarkeit, Sicherheit, Klärung von Streitfällen	Art. 6 Abs. 1 lit. f DSGVO
Postfach (Benachrichtigungen): Hinweise an dich, zum Beispiel zu Zuweisungen, Prüfergebnissen und neuen Vorgängen, mit Zeitpunkt und Lesestatus	Information über Vorgänge, die dich betreffen	Art. 6 Abs. 1 lit. b und f DSGVO
Inhalte, die Sie selbst eingeben (z. B. Ticket-Texte, Notizen, Berichte, hochgeladene Belege)	Bearbeitung des jeweiligen Vorgangs	Art. 6 Abs. 1 lit. b und f DSGVO

Die Daten stammen von Ihnen selbst, von der Leitung Ihrer Behörde (z. B. bei der Anlage Ihres Zugangs) oder entstehen bei der Nutzung. Wenn eine Behörde die Plattform für ihre Mitwirkenden nutzt, ist sie in der Regel selbst für die Daten ihrer Mitglieder verantwortlich; wir stellen die Plattform bereit und verarbeiten die Daten in ihrem Auftrag. Eine Pflicht, Daten bereitzustellen, besteht nicht; ohne die für den Zugang nötigen Angaben kann die Plattform aber nicht genutzt werden.

6.2 Cookies im Anmeldebereich

Im Anmeldebereich werden ausschließlich technisch notwendige Cookies gesetzt, die Sie nach der Anmeldung als angemeldet erkennen (Sitzungs-Cookies). Sie sind als „HttpOnly“ gekennzeichnet (für Skripte nicht lesbar) und gelten auf der Plattform-Adresse für etwa 8 Stunden, auf den Adressen der Behörden für bis zu 7 Tage oder bis zur Abmeldung. Beim Anmelden mit Discord wird zusätzlich kurzzeitig (bis zu 10 Minuten) ein Sicherheits-Cookie gesetzt, das die Anmeldung gegen Fälschung schützt. Rechtsgrundlage: § 25 Abs. 2 Nr. 2 TDDDG; Art. 6 Abs. 1 lit. b und f DSGVO. Es werden keine Cookies zu Analyse- oder Werbezwecken verwendet.

Bilder in Akten: Bilder in Familien- und Unternehmensakten werden nicht auf unserem Server gespeichert, sondern über Adresse (Link) eingebunden. Zugelassen sind nur Discord (cdn.discordapp.com, media.discordapp.net), Imgur (i.imgur.com) und ImgBB (i.ibb.co). Beim Anzeigen einer Akte lädt Ihr Browser das Bild direkt von dort; dabei erhält der jeweilige Anbieter Ihre IP-Adresse. Bitte binden Sie nur Bilder ein, deren Veröffentlichung in der Gruppe vorgesehen ist, und keine Bilder echter Personen.

6.3 Anmeldung mit Discord

Sie können sich statt mit Passwort auch mit Ihrem Discord-Konto anmelden. Dabei werden Sie zu Discord weitergeleitet und melden sich dort an. Wir fragen nur die Berechtigung „identify“ ab und erhalten von Discord Ihre Discord-ID (und Ihren Benutzernamen). Wir speichern nur die Discord-ID und ordnen sie Ihrem Zugang zu; ist sie keinem Zugang zugeordnet, wird die Anmeldung abgewiesen. Mit der Weiterleitung verarbeitet Discord Daten über Sie nach eigener Datenschutzerklärung (discord.com/privacy); dafür ist Discord eigenständig verantwortlich. Rechtsgrundlage für unsere Verarbeitung: Art. 6 Abs. 1 lit. b DSGVO; die Nutzung des Discord-Logins ist freiwillig.

6.4 Discord-Bot und Protokoll-Kanal

Die Plattform ist mit einem Discord-Bot verbunden, der Befehle ausführt (z. B. Personalverwaltung, Einsatzleitung, Rechnungen, FTO-Berichte) und Meldungen in festgelegte Discord-Kanäle schreibt. Dabei werden Ihre Discord-ID und die jeweils eingegebenen Inhalte verarbeitet. Ob eine Aktion ausgeführt werden darf, entscheidet die Plattform anhand der Rechte Ihres Zugangs.

Zur Nachvollziehbarkeit und Sicherheit werden Ereignisse in einen nicht öffentlichen Protokoll-Kanal auf Discord geschrieben, zum Beispiel Anmeldungen und Fehlversuche (mit IP-Adresse), Änderungen an Behörden und Zugängen sowie Einträge aus dem Aktivitäts-Log. Der Kanal ist nur für Administratoren sichtbar. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Sicherheit und Nachvollziehbarkeit).

Empfänger ist Discord Inc., 444 De Haro Street, Suite 200, San Francisco, CA 94107, USA, bzw. die für den Europäischen Wirtschaftsraum zuständige Gesellschaft. Für die Übermittlung in die USA gilt Abschnitt 4 entsprechend (EU-US Data Privacy Framework bzw. Standardvertragsklauseln).

6.5 Sicherheit

Die Verbindung zur Website und zur Plattform ist per TLS verschlüsselt. Passwörter werden nur als Hash gespeichert. Der Zugriff auf Verwaltungsfunktionen ist rollenbasiert, die Verwaltungsoberfläche kann zusätzlich durch weitere Zugangskontrollen geschützt sein, und fehlgeschlagene Anmeldungen werden begrenzt.

7. Discord-Server (Community)

Wir betreiben einen Community-Server auf Discord („OBRAX Systems“, Einladung unter discord.gg/zfbtE7ct4U). Dort läuft der Bot OBRAX | SYSTEM, der Tickets, ein Protokoll für das Team, Willkommens- und Booster-Nachrichten sowie Statistiken bereitstellt. Für die Nutzung von Discord selbst ist Discord verantwortlich, siehe discord.com/privacy.

Funktion	Verarbeitete Daten	Zweck und Rechtsgrundlage
Beitritt und Austritt, Willkommensnachricht	Discord-ID, Benutzername, Profilbild, Alter des Kontos, Zeitpunkt, Rollen, Mitgliedsnummer	Begrüßung, Sicherheit (Erkennung von Raids), Nachvollziehbarkeit; Art. 6 Abs. 1 lit. f DSGVO
Protokoll für das Team	Rollenänderungen, Nickname- und Profiländerungen, erstellte und gelöschte Kanäle und Rollen, Sprachkanal-Beitritte und -Wechsel (keine Gesprächsinhalte), Moderationsmaßnahmen (Kick, Ban, Timeout) mit Grund, jeweils mit ausführender Person	Moderation, Missbrauchsabwehr, Klärung von Streitfällen; Art. 6 Abs. 1 lit. f DSGVO
Nachrichten-Protokoll	Inhalt, Autor, Kanal und Zeitpunkt gelöschter oder bearbeiteter Nachrichten, soweit der Bot die Nachricht zuvor gesehen hat; Namen von Anhängen	Moderation und Nachvollziehbarkeit bei Regelverstößen; Art. 6 Abs. 1 lit. f DSGVO. Ticket-Kanäle und die Protokoll-Kanäle selbst sind ausgenommen.
Tickets	Discord-ID, Betreff, Beschreibung und alle Nachrichten und Anhänge im Ticket, Team-Zuordnung; beim Schließen ein Protokoll als Textdatei	Bearbeitung Ihrer Anfrage; Art. 6 Abs. 1 lit. b DSGVO, soweit es um eine Anfrage an uns geht, sonst lit. f. Das Protokoll geht an Sie per Direktnachricht und liegt als Kopie in einem Kanal, den nur das Team sieht.
Honeypot (Köder-Kanal)	Discord-ID, Benutzername, Profilbild, Alter des Kontos, Beitrittszeitpunkt und der Inhalt der Nachricht, die im Köder-Kanal geschrieben wurde, sowie die ergriffene Maßnahme	Abwehr von Spam, Betrug und gehackten Konten; Art. 6 Abs. 1 lit. f DSGVO. Der Kanal ist als Falle gekennzeichnet, siehe Abschnitt 12.
Booster	Discord-ID, Profilbild, Zeitpunkt des Boosts, Anzahl der Boosts des Servers	Dank an Unterstützer, Information des Teams; Art. 6 Abs. 1 lit. f DSGVO
Statistiken	Zähler ohne Personenbezug (Beitritte, Austritte, Anzahl Nachrichten je Kanal und Tag, Tickets, Boosts) und die Zahl der Mitglieder	Betrieb und Weiterentwicklung der Community; Art. 6 Abs. 1 lit. f DSGVO. Es werden dafür keine Nachrichteninhalte gespeichert.

Die Protokoll- und Ticket-Kanäle sind nur für das Team sichtbar. Ihre Nachrichten im Server sind für andere Mitglieder je nach Kanal sichtbar, wie bei Discord üblich. Sie können dem Protokoll aus Gründen Ihrer besonderen Situation widersprechen (Abschnitt 11); ein Verlassen des Servers beendet die weitere Verarbeitung. Bereits protokollierte Einträge löschen wir auf Anfrage, soweit keine berechtigten Interessen (z. B. laufende Moderationsfälle) entgegenstehen.

8. Kontaktaufnahme

Wenn Sie uns per E-Mail oder über Discord kontaktieren, verarbeiten wir Ihre Angaben (z. B. Name, E-Mail-Adresse, Nachricht) zur Bearbeitung Ihrer Anfrage. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, wenn die Anfrage mit einem Nutzungsverhältnis zusammenhängt, sonst Art. 6 Abs. 1 lit. f DSGVO. Wir löschen die Daten, sobald die Anfrage erledigt ist und keine Aufbewahrungspflichten entgegenstehen.

9. Empfänger und Auftragsverarbeiter

Cloudflare, Inc. (USA): Auslieferung und Absicherung (Abschnitt 4).
Discord Inc. (USA): Anmeldung mit Discord, Bot, Protokoll-Kanal (Abschnitte 6.3 und 6.4) sowie der gesamte Community-Server mit Tickets und Protokoll (Abschnitt 7).
Hosting: Die Plattform läuft auf einem Server, den wir selbst betreiben oder bei einem Hosting-Anbieter mieten. Mit einem Hosting-Anbieter besteht, soweit erforderlich, ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO.
Innerhalb der Plattform sehen andere Nutzer die Daten, die ihre Rolle und ihr Rang freigeben (z. B. Leitstellenblatt, Mitarbeiterliste).

Eine Weitergabe an sonstige Dritte erfolgt nicht, außer wir sind rechtlich dazu verpflichtet.

10. Speicherdauer

Verbindungsdaten bei Cloudflare: nach den Vorgaben von Cloudflare, in der Regel nur kurzzeitig.
Sitzungen: bis zur Abmeldung bzw. bis zum Ablauf der Sitzung (Abschnitt 6.2).
Kontodaten und Verlaufsdaten: solange Ihr Zugang besteht und die Daten für die genannten Zwecke erforderlich sind. Danach löschen oder anonymisieren wir sie, soweit keine gesetzlichen Aufbewahrungspflichten oder berechtigten Interessen (z. B. zur Klärung von Streitfällen) entgegenstehen.
Postfach: Gelesene Hinweise werden nach 60 Tagen gelöscht, ungelesene bleiben bis zum Lesen.
Aktivitäts-Log und Protokoll-Kanal: solange sie zur Nachvollziehbarkeit und Sicherheit erforderlich sind; ältere Einträge werden bei Bedarf gelöscht.
Discord-Server (Abschnitt 7): Protokoll-Einträge und Ticket-Protokolle bleiben, solange sie für Moderation, Nachvollziehbarkeit oder die Bearbeitung Ihrer Anfrage erforderlich sind, und werden danach vom Team gelöscht. Die Tageszähler der Statistik werden 60 Tage aufbewahrt.

11. Ihre Rechte

Sie haben gegenüber uns folgende Rechte in Bezug auf Ihre personenbezogenen Daten:

Auskunft (Art. 15 DSGVO) darüber, ob und welche Daten wir über Sie verarbeiten,
Berichtigung unrichtiger Daten (Art. 16 DSGVO),
Löschung (Art. 17 DSGVO) und Einschränkung der Verarbeitung (Art. 18 DSGVO),
Datenübertragbarkeit (Art. 20 DSGVO),
Widerspruch gegen Verarbeitungen, die auf Art. 6 Abs. 1 lit. f DSGVO beruhen, aus Gründen, die sich aus Ihrer besonderen Situation ergeben (Art. 21 DSGVO),
Widerruf einer erteilten Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO); dies betrifft hier nur freiwillige Funktionen wie den Discord-Login.

Zur Ausübung Ihrer Rechte genügt eine formlose Nachricht an die in Abschnitt 1 genannte E-Mail-Adresse. Nutzer der Plattform können sich zusätzlich an die Leitung ihrer Behörde wenden.

Beschwerderecht: Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren (Art. 77 DSGVO), insbesondere in dem Mitgliedstaat Ihres gewöhnlichen Aufenthaltsorts, Ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes. Eine Übersicht der deutschen Aufsichtsbehörden finden Sie unter bfdi.bund.de.

12. Keine automatisierte Entscheidung

Ein Profiling im Sinne des Art. 22 DSGVO findet nicht statt. Vorschläge der Plattform (z. B. Hinweise, ob Voraussetzungen für einen Rangwechsel erfüllt sind) werden von Menschen geprüft und entschieden.

Ausnahme Honeypot: Auf unserem Discord-Server gibt es einen Köder-Kanal (Abschnitt 7), der als Falle für Spam-Bots gekennzeichnet ist und mit einem deutlichen Warnhinweis versehen ist. Wer dort eine Nachricht schreibt, wird automatisch vom Server entfernt („Softban“: Entfernung mit sofortiger Freigabe zum erneuten Beitritt, dabei werden die Nachrichten der letzten 24 Stunden gelöscht). Die Maßnahme folgt allein aus der Tatsache, dass im Köder-Kanal geschrieben wurde. Wenn Sie irrtümlich betroffen sind, können Sie dem Server sofort wieder beitreten und sich an uns wenden (Abschnitt 1); wir prüfen den Fall dann von Hand, und Sie können Ihren Standpunkt darlegen und die Maßnahme anfechten.

13. Änderungen dieser Erklärung

Wir passen diese Datenschutzerklärung an, wenn sich unsere Dienste oder die Rechtslage ändern. Es gilt die jeweils hier veröffentlichte Fassung. Stand: November 2026.