Datenschutzerklärung

Stand: 2. Oktober 2026

1. Verantwortlicher

Ein Datenschutzbeauftragter ist nicht bestellt, da die Voraussetzungen des § 38 BDSG nicht vorliegen.

2. Was diese Erklärung abdeckt

Herukan besteht aus drei Teilen, die unterschiedliche Daten verarbeiten:

• Diese Website (herukan.com) — reine Informationsseite.
• Der Discord-Bot, den Server-Betreiber auf ihren Discord-Server einladen.
• Das Dashboard (app.herukan.com), über das Server-Betreiber den Bot konfigurieren.

3. Diese Website

3.1 Server-Logfiles

Beim Aufruf der Website werden automatisch Daten in Logfiles gespeichert: aufgerufene Adresse, Datum und Uhrzeit, übertragene Datenmenge, Referrer, Browsertyp und -version, Betriebssystem sowie die IP-Adresse. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt im sicheren und stabilen Betrieb der Website. Die Logs werden nach 7 Tagen gelöscht.

3.2 Hosting

Die Website, das Dashboard, die Datenbank und die Reichweitenmessung laufen auf Servern der Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland. Hetzner verarbeitet die Daten ausschließlich in unserem Auftrag; ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO ist geschlossen. Die Server stehen in Deutschland.

3.3 Schriftarten

Die verwendete Schriftart wird von unserem eigenen Server ausgeliefert. Es besteht dabei keine Verbindung zu Servern Dritter, insbesondere nicht zu Google Fonts.

3.4 Reichweitenmessung

Zur Reichweitenmessung setzen wir OpenPanel ein. Wir betreiben OpenPanel selbst gehostet auf unserem eigenen Server in Deutschland — die erhobenen Daten verlassen unsere Infrastruktur nicht und werden nicht an den Anbieter der Software oder sonstige Dritte übermittelt.

OpenPanel arbeitet ohne Cookies und speichert keine IP-Adressen. Zur Unterscheidung von Sitzungen wird ein Prüfwert aus IP-Adresse und Browserkennung gebildet, der täglich wechselt; die IP-Adresse selbst wird dabei nicht gespeichert. Es werden keine personenbezogenen Nutzerprofile erstellt und keine Daten auf deinem Endgerät gespeichert oder ausgelesen, sodass hierfür keine Einwilligung nach § 25 TDDDG erforderlich ist. Rechtsgrundlage für die Verarbeitung ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt in der statistischen Auswertung der Nutzung, um das Angebot zu verbessern.

3.5 Cookies

Diese Website setzt keine Cookies, die eine Einwilligung erfordern.

Wählst du über die Sprachauswahl eine andere Sprache als die deines Browsers, speichern wir diese Wahl in dem Cookie NEXT_LOCALE (Inhalt: nur das Sprachkürzel, etwa „de“; Speicherdauer: ein Jahr), damit die Website dich beim nächsten Besuch in derselben Sprache begrüßt. Das Cookie ist für diese von dir ausdrücklich gewünschte Funktion unbedingt erforderlich und daher nach § 25 Abs. 2 Nr. 2 TDDDG einwilligungsfrei. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.

4. Der Discord-Bot

4.1 Rollenverteilung

Ob und wie Herukan auf einem Discord-Server eingesetzt wird, entscheidet allein der jeweilige Server-Betreiber. Für die Inhalte und die Mitgliederdaten seines Servers ist er selbst datenschutzrechtlich verantwortlich.

4.2 Welche Daten der Bot speichert

In unserer Datenbank werden je nach aktivierten Funktionen gespeichert:

• Server- und Konfigurationsdaten: Discord-Server-ID, Servername und -icon, Beitrittszeitpunkt des Bots, sämtliche Einstellungen (aktivierte Funktionen, Kanal- und Rollen-IDs, Nachrichtenvorlagen, Sprache).
• Leveling: Discord-Nutzer-ID, XP-Punktestand, Level und Zeitpunkt der letzten gewerteten Nachricht.
• Moderation: Verwarnungen mit Nutzer-ID, ID des verwarnenden Moderators, Freitext-Begründung und Zeitpunkt.
• Tickets: Ticketnummer, ID des eröffnenden Mitglieds, IDs der bearbeitenden und schließenden Personen, Status und Zeitstempel sowie die Nachrichten im Ticket-Kanal (siehe Ziffer 4.4).
• Giveaways: Discord-Nutzer-IDs der Teilnehmenden sowie der ausgelosten Gewinner.
• Erstellte Inhalte: Custom Commands, Auto-Antworten, geplante Nachrichten, Reaction-Role-Panels und Countdowns samt der Discord-ID der Person, die sie angelegt hat.
• Spielstände: bei den Minispielen (Archery, Tic-Tac-Toe, Galgenmännchen, Capture, Flipout, Vier Gewinnt, Memory, Imposter und Bluff) die Nutzer-IDs der Mitspielenden, der Spielverlauf und das Ergebnis; bei Galgenmännchen, Imposter und Bluff zusätzlich die im Spiel eingegebenen Wörter, Hinweise und Aussagen sowie die abgegebenen Stimmen. Abgeschlossene Partien werden 48 Stunden nach Spielende automatisch gelöscht.
• Minispiel-Statistik: je Server, Person und Spiel die Zahl der gespielten, gewonnenen, verlorenen und unentschiedenen Partien (bei Bluff zusätzlich die Punkte), für Bilanzen und Bestenlisten auf diesem Server. Einzelne Partien sind darin nicht enthalten. Verlässt eine Person den Server, erscheint sie in keiner Bestenliste mehr; ihre Statistik wird 30 Tage später gelöscht, sofern sie nicht vorher zurückkehrt. Daneben zählen wir je Server und Tag die gespielten Partien ohne Bezug zu einer Person und löschen diese Zahlen je nach Tarif des Servers nach 30 (ohne Abo), 90 (Plus) oder 365 Tagen (Ultimate).
• Server-Statistik: je Server und Tag Zahlen ohne Bezug zu einer Person: Mitgliederzahl, Server-Boosts, Beitritte und Austritte (getrennt nach Menschen und Bots), Nachrichten insgesamt, je Kanal, je Stunde und je Art (Text, Bild/Datei, Link, Antwort, Sticker), Reaktionen je Emoji, aufgerufene Commands je Command-Name und Bereich sowie die Minuten in Sprachkanälen, insgesamt und je Kanal. Gespeichert werden nur diese Summen — keine Nachrichten, keine Nutzer-IDs, nicht wer wann was geschrieben oder aufgerufen hat. Die Zahlen werden je nach Tarif des Servers nach 30 Tagen (ohne Abo), 90 Tagen (Plus) oder 365 Tagen (Ultimate) gelöscht. Nach dem Ende eines Abos gilt dessen Frist noch 30 Tage weiter.
• Social-Benachrichtigungen: die überwachten YouTube-, Twitch- und Kick-Kanäle bzw. Bluesky-Accounts (öffentliche Kanal- bzw. Account-ID und Anzeigename) sowie der Discord-Kanal, in den benachrichtigt wird.

Discord-IDs sind Pseudonyme, über die sich in Verbindung mit Discord eine Person bestimmen lässt; sie sind daher personenbezogene Daten.

4.3 Nachrichteninhalte

Für die Funktionen AutoMod, Leveling und Auto-Antworten liest der Bot Nachrichten in den Kanälen, in denen diese Funktionen aktiv sind. Die Prüfung findet ausschließlich im Arbeitsspeicher statt — geprüft wird zum Beispiel, ob eine Nachricht einen Einladungslink, zu viele Erwähnungen oder ein gesperrtes Wort enthält. Nachrichteninhalte werden dabei nicht in unserer Datenbank gespeichert und nicht an Dritte übermittelt. Gespeichert wird lediglich das Ergebnis, etwa ein erhöhter XP-Stand oder eine Verwarnung. Einzige Ausnahme sind Ticket-Kanäle (Ziffer 4.4).

4.4 Ticket- und Transcription-Transkripte

Beim Schließen eines Tickets erzeugt der Bot ein Transkript des Ticket-Kanals und postet es gegebenenfalls in den vom Server-Betreiber festgelegten Log-Kanal. Nach einer Transcription-Aufnahme wird das Transkript in den Kanal gepostet, in dem die Aufnahme gestartet wurde. Zusätzlich speichern wir beide Arten von Transkripten in einem nicht öffentlichen Speicher bei Cloudflare R2, damit das Team des Servers sie im Dashboard nachlesen kann. Sie werden nach drei Jahren automatisch gelöscht, bei Entfernen des Bots oder beim Löschen der Mitgliederdaten im Dashboard früher.

Damit das Team eines Servers offene Tickets im Dashboard und in der Herukan-App lesen und beantworten kann, speichert der Bot die Nachrichten in Ticket-Kanälen, solange das Ticket offen ist: Text, Links zu Anhängen, den lesbaren Text von Embeds sowie Discord-ID, Anzeigename und Avatar der verfassenden Person. Bearbeitet jemand eine Nachricht in Discord, wird der Spiegel aktualisiert; löscht jemand sie, wird ihr Inhalt auch bei uns gelöscht. Nach dem Schließen eines Tickets bleiben diese Nachrichten 30 Tage stehen und werden dann automatisch gelöscht — danach gilt nur noch das Transkript. Beim Entfernen des Bots oder beim Löschen der Mitgliederdaten im Dashboard werden sie früher gelöscht.

4.5 Rechtsgrundlage und Speicherdauer

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO für die Erfüllung des Nutzungsvertrags mit dem Server-Betreiber sowie Art. 6 Abs. 1 lit. f DSGVO hinsichtlich des Interesses der Server-Betreiber am Betrieb der gewählten Funktionen.

Wird der Bot von einem Server entfernt, löschen wir die zu diesem Server gespeicherten Daten innerhalb von 30 Tagen. Die Frist dient dazu, ein versehentliches Entfernen des Bots ohne Datenverlust rückgängig machen zu können.

5. Das Dashboard

5.1 Anmeldung über Discord

Die Anmeldung erfolgt ausschließlich über Discord (OAuth2). Wir fragen dabei die Berechtigungen identify (Discord-ID, Benutzername, Avatar), guilds (Liste deiner Server) und email (deine bei Discord hinterlegte E-Mail-Adresse) ab.

Dauerhaft gespeichert werden von der Anmeldung deine Discord-ID, deine Spracheinstellung fürs Dashboard und die Zeitpunkte deiner ersten und letzten Anmeldung (im Dashboard oder in der App). Name, Avatar und Serverliste liegen ausschließlich in deiner Sitzung und verschwinden mit deiner Abmeldung. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

E-Mail-Adresse: Meldet Discord deine Adresse als bestätigt, speichern wir sie zusammen mit deiner Discord-ID; bei jeder Anmeldung wird sie auf den aktuellen Stand gebracht. Wir nutzen sie ausschließlich für den Support, also um auf deine Anfragen zu antworten oder dich bei Problemen mit deinem Konto oder deinen Servern zu erreichen. Werbung oder Newsletter senden wir darüber nicht. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt darin, dich bei Problemen mit dem Dienst erreichen zu können. Die Adresse wird gelöscht, wenn du dich 365 Tage lang nicht angemeldet hast, wenn du dein Konto in der App löschst oder wenn du uns darum bittest.

5.2 Sitzungs-Cookie

Nach der Anmeldung setzen wir ein technisch notwendiges Cookie, das deine Sitzung in signierter Form enthält. Ohne dieses Cookie ist das Dashboard nicht nutzbar; es dient keiner Analyse oder Werbung. Rechtsgrundlage: § 25 Abs. 2 Nr. 2 TDDDG in Verbindung mit Art. 6 Abs. 1 lit. b DSGVO.

5.3 Bild-Upload

Lädst du im Embed-Builder ein Bild hoch, wird dieses bei Cloudflare R2 (Cloudflare, Inc., 101 Townsend St., San Francisco, CA 94107, USA) gespeichert und über eine öffentlich abrufbare Adresse ausgeliefert — das ist notwendig, weil Discord die Bilder sonst nicht anzeigen kann. Lade dort keine Bilder hoch, die nicht öffentlich sichtbar sein sollen. Es handelt sich um eine Übermittlung in ein Drittland; die Grundlage bilden die Standardvertragsklauseln der EU-Kommission im Rahmen des Datenschutz-Nachtrags von Cloudflare.

Hochgeladene Bilder werden zusammen mit den übrigen Daten deines Servers gelöscht: beim Zurücksetzen der Konfiguration sowie nach Ablauf der 30-Tage-Frist, wenn der Bot aus dem Server entfernt wurde (siehe Ziffer 4.5).

5.4 Herukan-App

Die Anmeldung in der Herukan-App für iOS und Android erfolgt ebenfalls über Discord mit denselben Berechtigungen wie im Dashboard (Ziffer 5.1). Für jede angemeldete Installation speichern wir: deine Discord-ID, deinen Anzeigenamen und Avatar, die von Discord ausgestellten Zugangs- Tokens (verschlüsselt), den Gerätenamen, das Betriebssystem und die App-Version sowie die Zeitpunkte der Anmeldung und der letzten Nutzung. Die Zugangs-Tokens brauchen wir, um in deinem Namen die Liste deiner Server bei Discord abzurufen; sie verlassen unsere Server nie. In der App selbst liegt nur ein eigenes Anmelde-Token im geschützten Speicher des Geräts.

Diese Daten werden gelöscht, wenn du dich abmeldest (spätestens eine Woche danach), wenn die App 60 Tage lang nicht genutzt wurde, oder wenn du dein Konto in der App löschst. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Push-Benachrichtigungen: Erlaubst du der App Benachrichtigungen, speichern wir das Push-Token deines Geräts zusammen mit deiner Discord-ID, dem Betriebssystem und der Sprache. Wir benachrichtigen über neue Tickets und Bewerbungen auf Servern, die du verwaltest; die Nachricht nennt nur Art, Nummer bzw. Bewerbungsart und den Servernamen, nie Inhalte. Zugestellt wird über den Expo Push Service (650 Industries, Inc., USA), der die Nachricht an Apple (APNs) bzw. Google (Firebase Cloud Messaging) weitergibt. Benachrichtigungen lassen sich je Server in der App abschalten; das Token wird beim Abmelden und mit der Konto-Löschung entfernt.

5.5 Feedback-Widget

Im Dashboard ist ein Feedback-Widget eingebunden (Quackback), das wir selbst auf eigener Infrastruktur unter feedback.herukan.com betreiben. Wenn du es nutzt, werden deine Discord-ID und dein Discord-Benutzername übermittelt, damit dein Feedback zugeordnet werden kann, sowie der von dir eingegebene Feedback-Text gespeichert. Eine Übermittlung an den Anbieter der Software oder sonstige Dritte findet nicht statt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt in der Verbesserung des Dienstes.

5.6 Änderungsprotokoll (Audit-Log)

Ändert jemand über das Dashboard oder die App die Einstellungen eines Servers, speichern wir dazu einen Protokolleintrag: die Discord-ID der handelnden Person, den Zeitpunkt, ob die Änderung aus dem Dashboard oder der App kam, den betroffenen Bereich und die geänderten Werte vorher und nachher. Beim Beenden oder Neuauslosen eines Giveaways gehören dazu auch die Discord-IDs der Gewinner. Das Protokoll sehen alle, die den Server im Dashboard verwalten dürfen; es dient dazu, Änderungen im Team nachvollziehen zu können.

Einträge werden nach 365 Tagen gelöscht, zusammen mit den übrigen Daten des Servers auch früher (Ziffer 4.5). Ein Zurücksetzen der Konfiguration löscht sie bewusst nicht. Die Einträge gehören zum Server, nicht zur handelnden Person, und bleiben deshalb bei einer Konto-Löschung in der App bestehen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt in der Nachvollziehbarkeit von Änderungen für das Team des Servers.

6. Premium-Abonnements

Kostenpflichtige Funktionen werden ausschließlich über die Abo-Funktion von Discord verkauft; Vertragspartner des Kaufs und Zahlungsempfänger ist Discord. Wir erhalten keine Zahlungsdaten — weder Kreditkarten- noch Rechnungsdaten. Von Discord erfahren wir lediglich, für welchen Server welches Abo-Paket aktiv ist. Für die Zahlungsabwicklung gilt die Datenschutzerklärung von Discord.

7. Eigener Bot (Ultimate)

Im Ultimate-Paket kann ein eigener Discord-Bot-Token hinterlegt werden. Dieser Token wird ausschließlich verschlüsselt gespeichert (AES) und nur zum Verbinden deines Bots mit Discord entschlüsselt. In der Oberfläche werden nur die letzten vier Zeichen angezeigt. Der Token wird nicht an Dritte weitergegeben; du kannst ihn jederzeit im Dashboard entfernen oder in Discord zurücksetzen.

8. Empfänger

• Discord Inc. (USA) — ohne Discord funktioniert der Dienst nicht; alle Bot-Aktionen laufen über die Discord-Schnittstelle. Für deine Nutzung von Discord selbst gilt die Datenschutzerklärung von Discord.
• Hetzner Online GmbH (Deutschland) — Hosting, Auftragsverarbeiter mit AV-Vertrag.
• Cloudflare, Inc. (USA) — Speicherung hochgeladener Bilder und der Ticket- und Transcription-Transkripte.
• YouTube, Twitch, Kick und Bluesky — nur bei aktivierten Social-Benachrichtigungen und nur für die Abfrage öffentlicher Kanalinformationen bzw. öffentlicher Beiträge der beobachteten Kanäle.
• 650 Industries, Inc. (Expo) (USA), weiter an Apple bzw. Google — nur bei erlaubten Push-Benachrichtigungen der Herukan-App, für deren Zustellung.

Für die Reichweitenmessung und das Feedback-Widget gibt es keinen externen Empfänger, weil wir OpenPanel und Quackback selbst betreiben.

9. Deine Rechte

Du hast jederzeit das Recht auf:

• Auskunft über die zu dir gespeicherten Daten (Art. 15 DSGVO)
• Berichtigung unrichtiger Daten (Art. 16 DSGVO)
• Löschung (Art. 17 DSGVO)
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruch gegen Verarbeitungen, die auf einem berechtigten Interesse beruhen (Art. 21 DSGVO)

Wende dich dafür an [email protected]. Bitte gib deine Discord-ID an, damit wir deine Daten zuordnen können.

Beschwerderecht

Du hast außerdem das Recht, dich bei einer Datenschutz-Aufsichtsbehörde über die Verarbeitung deiner Daten zu beschweren (Art. 77 DSGVO). Für uns zuständig ist:

10. Änderungen dieser Erklärung

Wir passen diese Erklärung an, wenn sich der Dienst oder die Rechtslage ändert. Es gilt jeweils die hier veröffentlichte Fassung; das Datum oben zeigt den aktuellen Stand.