1. Verantwortlicher

M. Kaiser, Deutschland
E-Mail: [email protected]

Canaan Asylum ist ein Hobbyprojekt ohne Gewinnabsicht; Spenden decken die Serverkosten. Einen Datenschutzbeauftragten müssen wir nicht benennen.

2. Überblick

Die Webseite liegt bei Cloudflare. Registrierung, Anmeldung und „Mein Konto“ laufen über unseren eigenen Kontodienst auf unserem Server bei STRATO in Deutschland; Cloudflare verbindet die Webseite mit diesem Server. Für die Prüfung neuer Spieler nutzen wir Discord, für Mails den Versanddienst Brevo. Auf der Webseite setzen wir keine Werbung, kein Tracking und keine Analysewerkzeuge ein und verkaufen keine Daten; zu den Mails siehe Abschnitt 7. Über die Webseite verarbeiten wir keine Zahlungsdaten. Wer die Serverkosten freiwillig mitträgt, zahlt per PayPal an unser Händlerkonto „Canaan Asylum“. Dabei verarbeitet PayPal (Europe) S.à r.l. et Cie, S.C.A., Luxemburg, Name, E-Mail-Adresse und Betrag. Wir nutzen diese Angaben nur, um das Dankeschön im Spiel zuzuordnen.

3. Aufruf der Webseite (Cloudflare)

Beim Aufruf verarbeitet Cloudflare, Inc., 101 Townsend St., San Francisco, CA 94107, USA, die für Auslieferung und Schutz nötigen Verbindungsdaten: IP-Adresse, Datum und Uhrzeit, aufgerufene Adresse, übertragene Datenmenge und Browserkennung. Cloudflare schützt die Seite außerdem vor Angriffen und kann dafür technisch notwendige Cookies setzen.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer sicheren, erreichbaren Webseite). Cloudflare ist unter dem EU-US Data Privacy Framework zertifiziert (Art. 45 DSGVO). Cloudflare speichert diese Protokolle nach eigenen Fristen; wir werten sie nicht aus.

4. Cookies und Speicher im Browser

Wir verwenden nur, was für die Funktion nötig ist:

• canaan_sitzung: hält dich unter „Mein Konto“ angemeldet. Endet beim Abmelden, beim Schließen des Browsers oder nach 2 Stunden ohne Aktivität.
• canaan_discord: merkt sich während der Registrierung deine Discord-Anmeldung, höchstens 30 Minuten.
• canaan_sprache (Sitzungsspeicher des Browsers): deine Sprachwahl, bis du den Tab schließt.

Diese Speicherungen sind für den von dir gewünschten Dienst unbedingt erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG) und brauchen keine Einwilligung.

5. Registrierung und Prüfung durch das Team

Für einen Antrag verarbeiten wir: Kontoname, E-Mail-Adresse, Passwort (nur als Hash, nie im Klartext), deine Discord-Kennung und deinen Discord-Namen, das Erstellungsdatum deines Discord-Kontos (aus der Kennung abgeleitet), ob du in unserem Discord bist, deine IP-Adresse, die Browserkennung, Zeitpunkte, den Stand des Antrags und Nachrichten des Teams an dich.

Jeder Antrag wird von einem Menschen im Team geprüft, bevor das Konto entsteht. Zur Unterstützung zeigt die Prüfseite automatische Hinweise, etwa wenn dieselbe IP-Adresse, E-Mail oder Discord-Kennung schon bei einem anderen Antrag oder Konto vorkommt, wenn die IP-Adresse schon bei Anmeldungen im Spiel oder auf der Webseite benutzt wurde, wenn ein ähnlicher Kontoname existiert oder das Discord-Konto sehr neu ist. Die Hinweise entscheiden nichts; die Entscheidung trifft immer das Team (keine automatisierte Entscheidung nach Art. 22 DSGVO).

Zwecke: Anlegen deines Kontos und Schutz des Spiels vor Mehrfachkonten, Sperrumgehung und Missbrauch. Rechtsgrundlagen: Art. 6 Abs. 1 lit. b DSGVO (dein Antrag auf ein Konto) und Art. 6 Abs. 1 lit. f DSGVO (faires, sicheres Spiel).

Speicherdauer: Anträge mit unbestätigter Mail und abgelehnte Anträge löschen wir 30 Tage nach der letzten Änderung. Bei freigegebenen Anträgen bleiben Kontoname, E-Mail und Discord bei deinem Konto gespeichert; IP-Adresse und Browserkennung löschen wir nach 90 Tagen.

Ohne E-Mail-Adresse und Discord-Anmeldung können wir keinen Antrag annehmen.

6. Mein Konto

Bei der Anmeldung prüfen wir Kontoname und Passwort gegen dein Spielkonto. Wir protokollieren Anmeldungen und Fehlversuche, Passwort- und Adressänderungen, Verknüpfungen mit Discord und Downloads mit Zeitpunkt und IP-Adresse. Nach mehreren Fehlversuchen sperren wir die Anmeldung kurzzeitig; diese Zähler löschen wir nach spätestens 2 Tagen.

Zweck ist die Sicherheit deines Kontos und der Nachweis von Änderungen. Rechtsgrundlagen sind Art. 6 Abs. 1 lit. b und f DSGVO. IP-Adressen im Protokoll löschen wir nach 90 Tagen, die übrigen Einträge mit der Löschung deines Kontos.

7. E-Mails (Brevo)

Bestätigungslinks, Freischaltung, Passwortlinks und Sicherheitshinweise verschicken wir über Brevo (Sendinblue SAS), 106 boulevard Haussmann, 75008 Paris, Frankreich, als Auftragsverarbeiter. Dabei werden deine E-Mail-Adresse, der Inhalt der Mail und Zustelldaten verarbeitet. Brevo erfasst außerdem über ein kleines, unsichtbares Bild in der Mail, ob und wann sie geöffnet wurde; das lässt sich bei Brevo nicht abschalten. Wir werten das nicht aus. Wenn du das nicht möchtest, schalte in deinem Mailprogramm das automatische Laden von Bildern aus. Wir verschicken keine Werbung und keinen Newsletter. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, für die Öffnungsangabe Art. 6 Abs. 1 lit. f DSGVO (unser Interesse an einem zuverlässigen Versanddienst).

8. Discord

Bei der Anmeldung mit Discord leitet dich die Seite zu Discord Inc., 444 De Haro Street, Suite 200, San Francisco, CA 94107, USA. Mit deiner Zustimmung dort übermittelt Discord uns deine Kennung, deinen Namen und die Liste deiner Server. Aus der Serverliste speichern wir nur, ob du in unserem Discord bist. Deine Nachrichten sehen wir nicht.

Unser Discord-Bot schickt dir Nachrichten zu Antrag, Freischaltung, Passwort und Sicherheit. Bei einem neuen Antrag meldet er dem Team in einem internen Kanal Kontoname, Discord-Name und die Zahl der Hinweise. Discord ist unter dem EU-US Data Privacy Framework zertifiziert (Art. 45 DSGVO); für Discord selbst gilt dessen eigene Datenschutzerklärung. Rechtsgrundlagen sind Art. 6 Abs. 1 lit. b und f DSGVO.

9. Schutz vor automatisierten Anfragen (Cloudflare Turnstile)

Registrierung und „Passwort vergessen“ schützen wir mit Cloudflare Turnstile. Turnstile prüft anhand von Merkmalen deines Browsers und deiner IP-Adresse, ob ein Mensch die Seite bedient, ohne Werbe- oder Tracking-Zwecke. Rechtsgrundlagen sind Art. 6 Abs. 1 lit. f DSGVO und § 25 Abs. 2 Nr. 2 TDDDG.

10. Client-Download

Den Client lädst du nach der Anmeldung über einen eine Stunde gültigen Link aus dem Speicher von Cloudflare (R2) herunter. Den Zeitpunkt des Downloads protokollieren wir wie in Abschnitt 6 beschrieben.

11. Das Spiel

Der Spielserver steht bei STRATO AG, Otto-Ostrowski-Straße 7, 10249 Berlin, Deutschland. Beim Spielen verarbeiten wir die für den Spielbetrieb nötigen Daten: Kontoname, Passwort (als Hash), Figuren, Spielstände, Gegenstände, Gilden- und Freundeslisten, Nachrichten im Spiel sowie IP-Adresse und Zeitpunkt deiner Anmeldungen. Dazu führt der Spielserver Protokolle über An- und Abmeldungen deines Kontos, Änderungen an Kristallsplittern und Nachrichten im Chat. Diese Protokolle löschen wir nach 90 Tagen. Gacha-Ziehungen (Zeit, Figur, Automat, Gewinn) gehören zu deinem Spielstand und bleiben gespeichert, solange es dein Konto gibt.

Nachrichten aus dem Weltchat zeigt unser Discord-Bot mit dem Namen der Figur auch im Kanal „#weltchat“ unseres Discord-Servers. Dort kann sie jedes Mitglied des Servers lesen, und sie bleiben dort, bis sie in Discord gelöscht werden.

Zwecke sind der Spielbetrieb, die Hilfe bei Problemen und die Durchsetzung der Regeln. Rechtsgrundlagen sind Art. 6 Abs. 1 lit. b und f DSGVO. Der Spielclient verweist auf diese Erklärung.

12. Empfänger und Sicherheit

Zugriff auf die Daten hat nur das Team von Canaan Asylum sowie die genannten Dienstleister im Rahmen ihrer Aufgabe. Die Prüfseite für Anträge ist nur nach einer Anmeldung mit Einmalcode für das Team erreichbar. Verbindungen sind verschlüsselt, Passwörter werden nur als Hash gespeichert. Sicherungskopien der Datenbanken liegen auf dem Server, auf einem Rechner des Teams und verschlüsselt bei Google Drive (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland). Sie dienen nur dazu, das Spiel nach einem Ausfall wiederherzustellen. Auf dem Server und bei Google Drive ersetzen neue Stände die alten automatisch, Monatsstände nach einem Jahr; auf dem Rechner des Teams bewahren wir Sicherungen länger auf. Daten, die wir gelöscht haben, können deshalb noch in älteren Sicherungen stehen. Wir spielen sie nur zurück, wenn ein Ausfall das nötig macht.

13. Deine Rechte

Du hast das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch gegen Verarbeitungen auf Grundlage von Art. 6 Abs. 1 lit. f (Art. 21). Wenn du dein Konto löschen lassen möchtest, schreib uns. Du kannst dich außerdem bei einer Datenschutzaufsichtsbehörde beschweren, etwa der in deinem Bundesland.

Anfragen: [email protected]

14. Stand

Diese Erklärung ist dauerhaft unter https://canaan-asylum.com/datenschutz erreichbar. Stand: 08.11.2026.

1. Controller

M. Kaiser, Germany
E-mail: [email protected]

Canaan Asylum is a hobby project with no intention of making a profit; donations cover the server costs. We are not required to appoint a data protection officer.

2. Overview

The website is hosted by Cloudflare. Registration, sign-in and “My account” run on our own account service on our server at STRATO in Germany; Cloudflare connects the website to this server. We use Discord to review new players and the delivery service Brevo for e-mails. On the website we use no advertising, no tracking and no analytics tools, and we do not sell data; for e-mails see section 7. We do not process any payment data through the website. Anyone who voluntarily helps cover the server costs pays via PayPal to our merchant account “Canaan Asylum”. PayPal (Europe) S.à r.l. et Cie, S.C.A., Luxembourg, processes name, e-mail address and amount. We use this information only to assign the thank-you reward in the game.

3. Visiting the website (Cloudflare)

When you visit the site, Cloudflare, Inc., 101 Townsend St., San Francisco, CA 94107, USA, processes the connection data needed to deliver and protect it: IP address, date and time, requested address, amount of data transferred and browser identification. Cloudflare also protects the site against attacks and may set technically necessary cookies for this.

The legal basis is Art. 6(1)(f) GDPR (legitimate interest in a secure, available website). Cloudflare is certified under the EU-US Data Privacy Framework (Art. 45 GDPR). Cloudflare keeps these logs according to its own retention periods; we do not analyse them.

4. Cookies and browser storage

We only use what is needed for the site to work:

• canaan_sitzung: keeps you signed in under “My account”. Ends when you sign out, close the browser or after 2 hours without activity.
• canaan_discord: remembers your Discord sign-in during registration, at most 30 minutes.
• canaan_sprache (browser session storage): your language choice, until you close the tab.

These are strictly necessary for the service you request (Section 25(2) No. 2 TDDDG) and do not require consent.

5. Registration and review by the team

For a registration we process: account name, e-mail address, password (only as a hash, never in plain text), your Discord ID and name, the creation date of your Discord account (derived from the ID), whether you are on our Discord server, your IP address, browser identification, timestamps, the status of the registration and messages from the team to you.

A person on the team reviews every registration before the account is created. To help, the review page shows automatic hints, for example when the same IP address, e-mail or Discord ID already appears in another registration or account, when the IP address was already used for logins in the game or on the website, when a similar account name exists or the Discord account is very new. The hints decide nothing; the team always makes the decision (no automated decision under Art. 22 GDPR).

Purposes: creating your account and protecting the game against multiple accounts, ban evasion and abuse. Legal bases: Art. 6(1)(b) GDPR (your request for an account) and Art. 6(1)(f) GDPR (fair and secure play).

Retention: registrations with an unconfirmed e-mail and declined registrations are deleted 30 days after their last change. For approved registrations, account name, e-mail and Discord stay stored with your account; IP address and browser identification are deleted after 90 days.

We cannot accept a registration without an e-mail address and Discord sign-in.

6. My account

When you sign in, we check your account name and password against your game account. We log sign-ins and failed attempts, password and address changes, Discord links and downloads with time and IP address. After several failed attempts, sign-in is blocked for a short time; these counters are deleted after 2 days at the latest.

The purpose is the security of your account and a record of changes. Legal bases are Art. 6(1)(b) and (f) GDPR. IP addresses in the log are deleted after 90 days, the other entries when your account is deleted.

7. E-mails (Brevo)

We send confirmation links, activation notices, password links and security notices through Brevo (Sendinblue SAS), 106 boulevard Haussmann, 75008 Paris, France, as our processor. This involves your e-mail address, the content of the e-mail and delivery data. Brevo also records, through a small invisible image in the e-mail, whether and when it was opened; this cannot be switched off at Brevo. We do not analyse this. If you do not want it, turn off automatic image loading in your e-mail program. We send no advertising and no newsletter. The legal basis is Art. 6(1)(b) GDPR, and Art. 6(1)(f) GDPR for the open information (our interest in a reliable delivery service).

8. Discord

When you sign in with Discord, the site takes you to Discord Inc., 444 De Haro Street, Suite 200, San Francisco, CA 94107, USA. With your consent there, Discord sends us your ID, your name and the list of your servers. From the server list we only store whether you are on our server. We do not see your messages.

Our Discord bot sends you messages about your registration, activation, password and security. For a new registration it reports account name, Discord name and the number of hints to the team in an internal channel. Discord is certified under the EU-US Data Privacy Framework (Art. 45 GDPR); Discord’s own privacy policy applies to Discord itself. Legal bases are Art. 6(1)(b) and (f) GDPR.

9. Protection against automated requests (Cloudflare Turnstile)

We protect registration and “Forgot password” with Cloudflare Turnstile. Turnstile uses characteristics of your browser and your IP address to check whether a person is using the page, without advertising or tracking purposes. Legal bases are Art. 6(1)(f) GDPR and Section 25(2) No. 2 TDDDG.

10. Client download

After signing in, you download the client through a link valid for one hour from Cloudflare storage (R2). We log the time of the download as described in section 6.

11. The game

The game server is hosted by STRATO AG, Otto-Ostrowski-Straße 7, 10249 Berlin, Germany. When you play, we process the data needed to run the game: account name, password (as a hash), characters, game progress, items, guild and friend lists, in-game messages and the IP address and time of your logins. The game server also keeps logs of your account’s logins and logouts, changes to Spell Stones and chat messages. We delete these logs after 90 days. Gacha draws (time, character, machine, prize) are part of your game progress and are kept for as long as your account exists.

Our Discord bot also shows world chat messages, with the character’s name, in the “#weltchat” channel of our Discord server. Every member of the server can read them there, and they stay there until they are deleted in Discord.

Purposes are running the game, helping with problems and enforcing the rules. Legal bases are Art. 6(1)(b) and (f) GDPR. The game client refers to this policy.

12. Recipients and security

Only the Canaan Asylum team and the service providers named above, within their tasks, have access to the data. The review page for registrations can only be reached by the team after signing in with a one-time code. Connections are encrypted, and passwords are stored only as a hash. Backups of the databases are kept on the server, on a team computer and, encrypted, on Google Drive (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Ireland). They are used only to restore the game after a failure. On the server and on Google Drive, new backups replace old ones automatically, monthly backups after one year; on the team computer we keep backups for longer. Data we have deleted may therefore still be contained in older backups. We only restore them when a failure makes this necessary.

13. Your rights

You have the right of access (Art. 15 GDPR), rectification (Art. 16), erasure (Art. 17), restriction of processing (Art. 18), data portability (Art. 20) and to object to processing based on Art. 6(1)(f) (Art. 21). If you want your account deleted, write to us. You may also lodge a complaint with a data protection supervisory authority.

Requests: [email protected]

14. Version

This policy is permanently available at https://canaan-asylum.com/datenschutz. Last updated: 8 November 2026.