Datenschutz · SPURIA

01Verantwortlicher

Verantwortlich für die Datenverarbeitung im Sinne der DSGVO ist:

NameKevin SanderAnschriftc/o SourceArt · VM-00002543, Fritz-Thiele-Straße 3, 28279 Bremen-Obervieland, DeutschlandE-Mail[email protected]

02Begriffsbestimmungen

Wir verwenden die Begriffe der DSGVO. „Personenbezogene Daten" sind alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen (Art. 4 Nr. 1 DSGVO) — z. B. dein Name, deine E-Mail-Adresse oder deine IP-Adresse.

03Aufruf der Website (Server-Logs)

Beim Aufruf der Website werden durch unseren Hosting-Anbieter automatisch technische Daten erhoben, die dein Browser übermittelt:

IP-Adresse (gekürzt / anonymisiert, soweit möglich)
Datum und Uhrzeit des Zugriffs
aufgerufene Seite / Datei
Browser-Typ, Betriebssystem, Referrer-URL

Zweck & Rechtsgrundlage: Sicherstellung eines reibungslosen Verbindungsaufbaus und einer sicheren Nutzung sowie Auswertung der Systemsicherheit (Art. 6 Abs. 1 lit. f DSGVO — berechtigtes Interesse).

Speicherdauer: in der Regel maximal 7 Tage, danach automatische Löschung bzw. weitere Anonymisierung.

Hosting-Anbieter ist die Hetzner Online GmbH, siehe Abschnitt 07. Übermittlungen in die USA stützen sich auf das EU-US Data Privacy Framework (Angemessenheitsbeschluss, Art. 45 DSGVO) bzw. die EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO).

04Anmeldung, Konto & Newsletter

Die Anmeldung läuft über einen Link, den wir dir per E-Mail schicken („Magic Link“) — ein Passwort gibt es nicht. Dabei verarbeiten wir die folgenden Daten:

deine E-Mail-Adresse
optional dein Land
Zeitpunkt der Anmeldung sowie die IP-Adresse zum Nachweis der Einwilligung
die IP-Adresse bei jeder Anforderung eines Anmeldelinks — sie dient dazu, den Versand zu begrenzen und Missbrauch fremder Adressen zu erkennen. Der Link verfällt nach 15 Minuten oder einmaliger Nutzung; der Eintrag mit der IP-Adresse wird sieben Tage später automatisch gelöscht. Diese Frist dient allein der nachträglichen Missbrauchserkennung — wer das Formular nutzt, um Fremde von unserer Domain aus anzuschreiben, fällt erst beim Nachsehen auf, und das geschieht selten am selben Tag
je aktiver Sitzung die Browser-Kennung (User-Agent), damit du deine offenen Sitzungen in den Einstellungen auseinanderhalten und einzeln beenden kannst

Anmeldelinks sind 15 Minuten gültig und verfallen nach einmaliger Nutzung. Sitzungen laufen nach 90 Tagen ab; meldest du dich ab, löschen wir die Sitzung sofort und vollständig — nicht nur das Cookie in deinem Browser. Abgelaufene Sitzungen und Anmeldelinks entfernt ein täglicher Aufräumlauf.

Zweck: Versand des Waitlist-Briefings und gelegentlicher Newsletter-Nachrichten zu SPURIA (Early Access, Mechanik-Drops, Behind-the-Scenes).

Rechtsgrundlagen — hier laufen drei verschiedene Zwecke zusammen, die auseinanderzuhalten sind:

Konto und Anmeldung: Art. 6 Abs. 1 lit. b DSGVO. Ohne Adresse und Sitzung gibt es keinen Zugang — das ist die Durchführung des Nutzungsverhältnisses, das du mit der Anmeldung anfragst, keine Einwilligung.
Newsletter: deine Einwilligung gemäß Art. 6 Abs. 1 lit. a DSGVO sowie § 7 Abs. 2 Nr. 3 UWG. Sie ist getrennt und freiwillig: Du kannst ein Konto haben, ohne Post zu bekommen.
IP-Adresse bei Anmeldelinks: Art. 6 Abs. 1 lit. f DSGVO — berechtigtes Interesse daran, den Versand zu begrenzen und zu erkennen, wenn jemand das Formular nutzt, um Fremde von unserer Domain aus anzuschreiben.

Die Einwilligung in den Newsletter lässt sich erst erteilen, nachdem du deine Adresse bestätigt hast: Der Haken dafür steht auf einer Seite, die du nur erreichst, wenn du den zugeschickten Anmeldelink geöffnet hast. Ein zusätzliches Double-Opt-in gibt es deshalb nicht — es wäre eine zweite Bestätigungsmail für eine Adresse, die bereits bewiesen ist. Beim üblichen Verfahren wird der Haken zuerst gesetzt und die Adresse danach geprüft; hier ist es umgekehrt.

Widerruf: du kannst deine Einwilligung jederzeit widerrufen — z. B. über den Abmelde-Link in jeder E-Mail oder per Nachricht an [email protected]. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt.

Speicherdauer: bis zum Widerruf der Einwilligung bzw. bis zum Wegfall des Zwecks (Launch + 12 Monate, sofern du dich nicht abmeldest).

Datenbank

Für die Speicherung der Waitlist-Einträge nutzen wir Neon (USA) als Auftragsverarbeiter gemäß Art. 28 DSGVO. Die Daten liegen physisch in der EU (Region eu-central-1, Frankfurt). Da Neon ein US-amerikanisches Unternehmen ist, können theoretisch Übermittlungen in die USA erfolgen (z. B. für Support-Zugriffe); diese stützen sich auf das EU-US Data Privacy Framework (Angemessenheitsbeschluss, Art. 45 DSGVO) bzw. die EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO). Datenschutzerklärung von Neon: neon.tech/privacy-policy.

Newsletter-Versanddienstleister

Für den Versand und die Verwaltung der Waitlist nutzen wir Loops (USA) als Auftragsverarbeiter gemäß Art. 28 DSGVO. Es besteht ein Auftragsverarbeitungsvertrag (AVV). Datenschutzerklärung von Loops: loops.so/legal/privacy.

Da Loops Daten in den USA verarbeitet, erfolgt die Übermittlung auf Grundlage des EU-US Data Privacy Framework — soweit der Anbieter dort zertifiziert ist, auf den Angemessenheitsbeschluss nach Art. 45 DSGVO, andernfalls auf die EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO) und ergänzender Schutzmaßnahmen.

Kein Öffnungs- und Klick-Tracking. Loops kann messen, wer eine Mail öffnet und welche Links angeklickt werden. Diese Funktion ist in unserem Konto abgeschaltet: Unsere Mails enthalten keine Zählpixel, und Links werden nicht über eine Messweiterleitung geführt. Wir wissen daher nicht, ob du eine Nachricht von uns geöffnet hast.

05Anmeldung mit Discord

Alternativ kannst du dich mit deinem Discord-Konto anmelden. Nur wenn du diesen Weg wählst, wirst du zu Discord (Discord Netherlands B.V. für Nutzer im EWR, Discord Inc., USA) weitergeleitet und Discord erfährt, dass du dich bei SPURIA anmeldest. Wir erhalten von dort:

deine Discord-ID und deinen Benutzernamen
deine E-Mail-Adresse, sofern sie bei Discord bestätigt ist

Ist die Adresse bei uns bereits bekannt, verbinden wir beide Wege zu einem Konto, statt ein zweites anzulegen. Eine unbestätigte Discord-Adresse nutzen wir dafür nicht.

Zweck: Anmeldung ohne zusätzliches Passwort. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Durchführung des Nutzungsverhältnisses auf deine Anfrage hin). Datenschutzerklärung von Discord: discord.com/privacy.

06Schutz vor automatisiertem Missbrauch

Das Anmeldeformular schickt Mails an eine Adresse, die die aufrufende Person selbst eingibt. Ohne Schutz könnte darüber jemand Dritte von unserer Domain aus anschreiben. Wir setzen deshalb zwei Maßnahmen ein:

Cloudflare Turnstile. Sobald du das Anmeldefeld anfasst, lädt ein Skript von Cloudflare Inc. (USA), das prüft, ob die Anfrage von einem Menschen stammt. Cloudflare verarbeitet dabei deine IP-Adresse und wertet Merkmale deiner Browser- und Geräteumgebung aus; bei der anschließenden Prüfung auf unserem Server übermitteln wir die IP-Adresse erneut. Vorher wird nichts geladen — wer die Seite nur liest, hat mit Cloudflare nichts zu tun. Turnstile arbeitet nach Angaben des Anbieters ohne Werbe-Tracking und ohne Erstellung von Nutzerprofilen. Datenschutzerklärung: cloudflare.com/privacypolicy.

Upstash. Um die Zahl der Anfragen pro IP-Adresse zu begrenzen, nutzen wir einen Redis-Dienst von Upstash, Inc. (USA). Dort wird deine IP-Adresse kurzzeitig als Zähler gespeichert und läuft automatisch ab. Datenschutzerklärung: upstash.com/trust/privacy.pdf.

Rechtsgrundlage für beide: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse daran, unser Angebot und die Postfächer Dritter vor automatisiertem Missbrauch zu schützen). Soweit Turnstile dabei auf Informationen in deiner Endeinrichtung zugreift oder solche dort speichert, stützen wir das auf § 25 Abs. 2 Nr. 2 TDDDG: Der Schutz gilt ausschließlich dem Anmeldevorgang, den du selbst angefordert hast, und ohne ihn wäre dieser Vorgang nicht zumutbar bereitzustellen. Beide Anbieter sitzen in den USA; Übermittlungen erfolgen auf Grundlage des EU-US Data Privacy Framework — soweit der Anbieter dort zertifiziert ist, auf den Angemessenheitsbeschluss nach Art. 45 DSGVO, andernfalls auf die EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO).

07Hosting & Auslieferung

Diese Website läuft auf einem Server der Hetzner Online GmbH (Industriestr. 25, 91710 Gunzenhausen) am Standort Helsinki, Finnland. Hetzner verarbeitet in unserem Auftrag personenbezogene Daten — im Wesentlichen Server-Logs mit IP-Adresse (siehe Abschnitt 03) — auf Grundlage eines Auftragsverarbeitungsvertrags gemäß Art. 28 DSGVO. Server und Unternehmen liegen in der EU; eine Übermittlung in ein Drittland findet für das Hosting nicht statt. Datenschutzerklärung von Hetzner: hetzner.com/de/rechtliches/datenschutz.

Vor dem Server steht Cloudflare (Cloudflare, Inc., USA) als Content-Delivery-Netzwerk. Jede Anfrage an diese Website läuft zuerst über Cloudflare: Der Dienst liefert Inhalte aus einem Rechenzentrum in deiner Nähe aus, wehrt Überlastungsangriffe ab und verschlüsselt die Verbindung. Cloudflare verarbeitet dabei deine IP-Adresse, die aufgerufene Adresse und technische Angaben deines Browsers. Das ist unabhängig von der Anmeldeprüfung aus Abschnitt 06, auch wenn beides vom selben Anbieter stammt.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem zuverlässig erreichbaren, gegen Angriffe geschützten Webangebot). Für Cloudflare als US-Unternehmen stützen sich Übermittlungen auf das EU-US Data Privacy Framework (Angemessenheitsbeschluss, Art. 45 DSGVO) bzw. die EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO). Datenschutzerklärung: cloudflare.com/privacypolicy.

Auf beiden Seiten — spuria.app und blog.spuria.app — lädt außerdem Cloudflare Web Analytics, ein Reichweitenmessdienst desselben Anbieters. Er zählt Seitenaufrufe und hält fest, von welcher Adresse du gekommen bist, welchen Browser du benutzt und in welchem Land du bist. Dafür werden keine Cookies gesetzt, nichts in deinem Browser gespeichert und kein Geräte-Fingerabdruck gebildet; deine IP-Adresse wird zur Verarbeitung genutzt, aber nicht gespeichert. Es entsteht kein Profil, das dich über mehrere Seiten oder Besuche hinweg wiedererkennt. Weil nichts auf deinem Endgerät gespeichert oder ausgelesen wird, brauchen wir dafür keine Einwilligung nach § 25 TDDDG — und deshalb siehst du hier auch kein Cookie-Banner.

Auf spuria.app und blog.spuria.app kommt zusätzlich Umami hinzu, ein Reichweitenmessdienst der Umami Software, Inc. (USA), den wir als gehostete Version (Umami Cloud) nutzen. Beim Aufruf einer Seite lädt ein Skript von cloud.umami.is und übermittelt die aufgerufene Adresse (ohne Query-Parameter), einzelne Ereignisse wie „Fall angenommen“ oder „Fall abgeschlossen“ samt der Fallnummer (nie deine Eingaben, deine Adresse oder deine Referenz), die verweisende Seite, Browser, Betriebssystem, Gerätetyp, Bildschirmgröße, Sprache und das aus der IP-Adresse abgeleitete Land. Umami setzt keine Cookies und speichert nichts in deinem Browser; die IP-Adresse wird nicht gespeichert, sondern nur zusammen mit Browserkennung und einem regelmäßig wechselnden Zufallswert zu einer anonymen Kennung verrechnet, mit der sich Besuche zählen lassen, ohne dich über diesen Zeitraum hinaus wiederzuerkennen. Für die Übermittlung in die USA stützt sich Umami auf das EU-U.S. Data Privacy Framework bzw. die EU-Standardvertragsklauseln. Datenschutzerklärung: umami.is/privacy.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse daran, zu erfahren, ob und auf welchem Weg diese Seite überhaupt gefunden wird).

08Fallbearbeitung & Spielfortschritt

Sobald du einen Fall bearbeitest, speichern wir den Verlauf dieser Bearbeitung:

deine eingegebenen Antworten, auch die verworfenen
welche Hinweise du aufgedeckt hast
den Bearbeitungsstand und die zugehörigen Zeitpunkte

Bist du angemeldet, hängt das an deinem Konto. Bist du es nicht, hängt es an der zufälligen pseudonymen Besucherkennung aus Abschnitt 09 — niemals an beidem und niemals an nichts. Meldest du dich später an, wandert eine als Besucher begonnene Bearbeitung in dein Konto.

Zweck: die Durchführung des Spiels — Antworten bewerten, einen begonnenen Fall fortsetzen, Punkte und Ränge führen. Verworfene Antworten bleiben, weil die Häufigkeit bestimmter Fehlschlüsse aussagt, ob ein Fall fair gestellt ist.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Ohne diese Daten gibt es kein Spiel, sondern nur ein Formular, das nichts behält.

Speicherdauer: Mit Konto solange dein Konto besteht. Löschst du es (Abschnitt 10), geht die gesamte Fallbearbeitung mit — Antworten, Hinweise und Zeitpunkte eingeschlossen. Ohne Konto 30 Tage: Genauso lange lebt die Besucherkennung in deinem Browser, danach könntest du deine Bearbeitung ohnehin nicht mehr erreichen. Ein täglicher Aufräumlauf löscht sie dann samt allem, was daran hängt.

09Cookies & Local Storage

Wir verwenden ausschließlich technisch notwendige Speichermechanismen. Konkret sind das:

Local Storage — deine Sprachwahl (DE/EN), damit du sie nicht bei jedem Besuch neu treffen musst
spuria_s — das Sitzungs-Cookie nach der Anmeldung. Nur für den Server lesbar (httpOnly), Laufzeit 90 Tage, beim Abmelden sofort gelöscht
spuria_v — eine zufällige Kennung, damit dein Fortschritt in einem frei zugänglichen Demo-Fall einen Seitenwechsel übersteht. Sie enthält keine Klardaten wie Namen oder E-Mail-Adresse, sondern ausschließlich eine zufällige pseudonyme Kennung; da wir sie serverseitig mit deinem Fallfortschritt verknüpfen, behandeln wir sie als personenbezogenes Datum. Sie ist nur für den Server lesbar. Ohne sie wäre dein Fortschritt nach jedem Seitenwechsel weg — sie ist also genau das, was den von dir angeforderten Ablauf möglich macht. Sie läuft nach 30 Tagen ab; ein Fall ist in etwa zwanzig Minuten zu bearbeiten, eine längere Kennung auf deinem Gerät hätte keinen Zweck mehr. Meldest du dich an, wandert die Arbeit ins Konto. Die Kennung entsteht erst, wenn du einen Fall tatsächlich bearbeitest — das bloße Ansehen einer Seite setzt bei uns kein einziges Cookie

Wir setzen keine Marketing-Cookies und binden keine Werbe-Netzwerke ein (kein Google Analytics, kein Meta-Pixel o. Ä.). Eine cookiefreie Reichweitenmessung findet dagegen statt: Cloudflare Web Analytics (und Umami) zählt Seitenaufrufe, ohne etwas auf deinem Gerät zu speichern oder auszulesen und ohne dich über Besuche hinweg wiederzuerkennen — was dabei verarbeitet wird, steht vollständig in Abschnitt 07. Für den Schutz der Anmeldung (Abschnitt 06) kann Cloudflare eigene Cookies setzen.

10Deine Rechte

Dir stehen folgende Rechte gegenüber uns zu:

Auskunft über die zu deiner Person gespeicherten Daten (Art. 15 DSGVO)
Berichtigung unrichtiger Daten (Art. 16 DSGVO)
Löschung („Recht auf Vergessenwerden", Art. 17 DSGVO) — für dein Konto brauchst du uns dafür nicht zu schreiben: unter Einstellungen → Leaving löschst du es selbst, sofort und vollständig. Damit gehen der Datensatz, jede Fallbearbeitung, alle Sitzungen und der Kontakt bei Loops — ohne Wartefrist und ohne Wiederherstellung
Einschränkung der Verarbeitung (Art. 18 DSGVO)
Datenübertragbarkeit (Art. 20 DSGVO) — auch dafür brauchst du uns nicht zu schreiben: Unter Einstellungen → Your data lädst du alles, was wir zu deinem Konto gespeichert haben, als JSON-Datei herunter. Enthalten sind der Datensatz selbst, deine Sitzungen, jede Anforderung eines Anmeldelinks und jede Fallbearbeitung mit den Antworten, die du eingegeben hast. Nicht enthalten sind Sitzungs- und Anmeldetoken — die sind Zugangsmittel und keine Auskunft über dich.
Widerspruch gegen die Verarbeitung (Art. 21 DSGVO)
Widerruf erteilter Einwilligungen (Art. 7 Abs. 3 DSGVO)
Beschwerde bei einer Aufsichtsbehörde (Art. 77 DSGVO)

Widerspruchsrecht nach Art. 21 DSGVO. Soweit wir deine Daten auf Grundlage berechtigter Interessen nach Art. 6 Abs. 1 lit. f DSGVO verarbeiten — das betrifft das Hosting und den Schutz der Anmeldung — kannst du aus Gründen, die sich aus deiner besonderen Situation ergeben, jederzeit Widerspruch gegen diese Verarbeitung einlegen. Wir verarbeiten die Daten dann nicht mehr, es sei denn, wir können zwingende schutzwürdige Gründe nachweisen, die deine Interessen überwiegen.

Anfragen genügen formlos an [email protected].

Zuständige Aufsichtsbehörde für unseren Sitz ist der Landesbeauftragte für Datenschutz und Informationsfreiheit der Freien Hansestadt Bremen (datenschutz.bremen.de).

11Datensicherheit

Wir nutzen eine Transportverschlüsselung mittels TLS/HTTPS für die Übertragung deiner Daten und treffen angemessene technische und organisatorische Maßnahmen, um deine Daten vor zufälliger oder vorsätzlicher Manipulation, Verlust oder Zugriff durch Unbefugte zu schützen.

12Aktualität & Änderungen

Diese Datenschutzerklärung ist aktuell gültig (Stand: 10/2026). Durch Weiterentwicklung von SPURIA oder geänderte rechtliche Vorgaben kann es nötig werden, sie anzupassen. Die jeweils aktuelle Version ist hier abrufbar.

Hinweis: Diese Erklärung wurde sorgfältig vorbereitet, ersetzt aber keine individuelle Rechtsberatung.

01Controller

The controller responsible for data processing under the GDPR is:

NameKevin SanderAddressc/o SourceArt · VM-00002543, Fritz-Thiele-Straße 3, 28279 Bremen-Obervieland, GermanyEmail[email protected]

02Definitions

We use the terms of the GDPR. “Personal data” means any information relating to an identified or identifiable natural person (Art. 4 (1) GDPR) — e.g. your name, email address or IP address.

03Visiting the website (server logs)

When you access the website our hosting provider automatically collects technical data transmitted by your browser:

IP address (shortened / anonymised where possible)
date and time of access
page / file requested
browser type, operating system, referrer URL

Purpose & legal basis: ensuring a stable connection, secure use, and analysis of system security (Art. 6 (1)(f) GDPR — legitimate interest).

Retention: as a rule no longer than 7 days, then automatic deletion or further anonymisation.

The hosting provider is Hetzner Online GmbH; see section 07. Transfers to the United States are based on the EU-US Data Privacy Framework (adequacy decision, Art. 45 GDPR) and/or the EU Standard Contractual Clauses (Art. 46 (2)(c) GDPR).

04Sign-in, account & newsletter

Signing in works through a link we email you (a “magic link”) — there is no password. We process the following data:

your email address
optionally your country
timestamp of the sign-up and the IP address used for proof of consent
the IP address on each request for a sign-in link, used to rate-limit sending and to detect misuse of other people’s addresses. The link expires after 15 minutes or one use; the entry holding the IP address is deleted automatically seven days later. That window serves after-the-fact abuse detection only — somebody using the form to mail strangers from our domain shows up when we look, and that is rarely the same day
the browser identifier (user agent) per active session, so you can tell your open sessions apart in settings and end them individually

Sign-in links are valid for 15 minutes and expire once used. Sessions expire after 90 days; when you sign out we delete the session itself, not just the cookie in your browser. A daily clean-up removes expired sessions and links.

Purpose: sending the waitlist briefing and occasional newsletter messages about SPURIA (early access, mechanics drops, behind-the-scenes).

Legal bases — three separate purposes meet here, and they are worth keeping apart:

Account and sign-in: Art. 6 (1)(b) GDPR. Without an address and a session there is no access — that is performing the service you request by signing in, not consent.
Newsletter: your consent under Art. 6 (1)(a) GDPR and § 7 (2) no. 3 UWG. It is separate and optional: you can hold an account without receiving any mail.
IP address on sign-in links: Art. 6 (1)(f) GDPR — legitimate interest in rate-limiting delivery and in noticing when somebody uses the form to mail strangers from our domain.

Newsletter consent can only be given after you have confirmed your address: the checkbox for it sits on a page you reach only by opening the sign-in link we sent. There is no additional double-opt-in step — it would be a second confirmation email for an address already proven. The usual procedure ticks the box first and verifies the address afterwards; here it is the other way round.

Withdrawal: you may withdraw your consent at any time — e.g. via the unsubscribe link in every email or by writing to [email protected]. The lawfulness of processing carried out prior to withdrawal remains unaffected.

Retention: until you withdraw your consent or the purpose ceases to apply (launch + 12 months, unless you unsubscribe earlier).

Database

To store waitlist entries we use Neon (USA) as a processor pursuant to Art. 28 GDPR. Data is stored physically in the EU (region eu-central-1, Frankfurt). Because Neon is a US-based company, transfers to the United States may theoretically occur (e.g. for support access); these are based on the EU-US Data Privacy Framework (adequacy decision, Art. 45 GDPR) and/or the EU Standard Contractual Clauses (Art. 46 (2)(c) GDPR). Neon privacy policy: neon.tech/privacy-policy.

Email service provider

To send the waitlist briefing and manage subscribers we use Loops (USA) as a processor pursuant to Art. 28 GDPR. A data processing agreement (DPA) is in place. Loops privacy policy: loops.so/legal/privacy.

Because Loops processes data in the United States, transfers are based on the EU-US Data Privacy Framework — on the adequacy decision under Art. 45 GDPR where the provider is certified under it, otherwise on the EU Standard Contractual Clauses (Art. 46 (2)(c) GDPR) plus additional safeguards.

No open or click tracking. Loops is able to measure who opens a mail and which links are clicked. That feature is switched off in our account: our mails carry no tracking pixels, and links are not routed through a measuring redirect. We therefore do not know whether you opened a message from us.

05Signing in with Discord

You can sign in with your Discord account instead. Only if you choose that route are you redirected to Discord (Discord Netherlands B.V. for users in the EEA, Discord Inc., USA), and Discord learns that you are signing in to SPURIA. We receive:

your Discord ID and username
your email address, provided it is verified at Discord

If we already know that address, we link both routes to one account rather than creating a second. We do not use an unverified Discord address for that.

Purpose: signing in without an additional password. Legal basis: Art. 6 (1)(b) GDPR (performing the service at your request). Discord privacy policy: discord.com/privacy.

06Protection against automated abuse

The sign-in form sends mail to an address typed by whoever is using it. Without protection, someone could use it to mail third parties from our domain. We therefore use two measures:

Cloudflare Turnstile. The moment you reach for the sign-in field, a script from Cloudflare Inc. (USA) loads and checks whether the request comes from a human. Cloudflare processes your IP address and examines characteristics of your browser and device environment; when we verify the result on our server, we transmit the IP address again. Nothing loads before that — if you only read the page, Cloudflare never sees you. According to the provider, Turnstile works without advertising tracking and without building user profiles. Privacy policy: cloudflare.com/privacypolicy.

Upstash. To limit the number of requests per IP address we use a Redis service by Upstash, Inc. (USA). Your IP address is briefly stored there as a counter and expires automatically. Privacy policy: upstash.com/trust/privacy.pdf.

Legal basis for both: Art. 6 (1)(f) GDPR (legitimate interest in protecting our service and third parties’ inboxes from automated abuse). Where Turnstile accesses or stores information on your device in the process, we rely on § 25 (2) no. 2 TDDDG: the protection serves only the sign-in you requested yourself, and without it that process could not reasonably be offered. Both providers are based in the United States; transfers are made under the EU-US Data Privacy Framework (adequacy decision, Art. 45 GDPR) or the EU Standard Contractual Clauses (Art. 46 (2)(c) GDPR).

07Hosting & delivery

This website runs on a server operated by Hetzner Online GmbH (Industriestr. 25, 91710 Gunzenhausen, Germany) located in Helsinki, Finland. Hetzner processes personal data on our behalf — essentially server logs containing IP addresses (see section 03) — under a data processing agreement pursuant to Art. 28 GDPR. Both the servers and the company are in the EU; for hosting there is no transfer to a third country. Hetzner privacy policy: hetzner.com/legal/privacy-policy.

In front of that server sits Cloudflare (Cloudflare, Inc., USA) as a content delivery network. Every request to this site passes through Cloudflare first: it serves content from a data centre near you, absorbs denial-of-service attacks and encrypts the connection. In doing so it processes your IP address, the address requested and technical details of your browser. This is separate from the sign-in check in section 06, even though both come from the same provider.

Legal basis: Art. 6 (1)(f) GDPR (legitimate interest in a reliably reachable service protected against attacks). For Cloudflare as a US company, transfers rely on the EU-US Data Privacy Framework (adequacy decision, Art. 45 GDPR) or the EU Standard Contractual Clauses (Art. 46 (2)(c) GDPR). Privacy policy: cloudflare.com/privacypolicy.

On both sites — spuria.app and blog.spuria.app — Cloudflare Web Analytics also loads, an audience measurement service from the same provider. It counts page views and records where you came from, which browser you use and which country you are in. It sets no cookies, stores nothing in your browser and builds no device fingerprint; your IP address is used for processing but not stored. No profile is created that would recognise you across pages or visits.

On spuria.app and blog.spuria.app, Umami is used as well, an audience measurement service by Umami Software, Inc. (USA) that we use in its hosted version (Umami Cloud). When you open a page, a script loads from cloud.umami.is and transmits the page address (without query parameters), individual events such as "case accepted" or "case closed" together with the case number (never your input, your address or your reference), the referring page, browser, operating system, device type, screen size, language and the country derived from your IP address. Umami sets no cookies and stores nothing in your browser; your IP address is not stored but only combined with your browser identifier and a regularly rotating random value into an anonymous identifier that lets visits be counted without recognising you beyond that period. For transfers to the USA, Umami relies on the EU-U.S. Data Privacy Framework or the EU Standard Contractual Clauses. Privacy policy: umami.is/privacy.

Legal basis: Art. 6 (1)(f) GDPR (legitimate interest in knowing whether, and by what route, this site is found at all).

08Case work & progress

As soon as you work on a case, we store the course of that work:

the answers you enter, including the rejected ones
which hints you revealed
the state of play and the corresponding timestamps

Signed in, this attaches to your account. Signed out, it attaches to the random pseudonymous visitor identifier from section 09 — never to both and never to neither. Sign in later and work begun as a visitor moves onto your account.

Purpose: running the game — grading answers, letting you resume a case you started, keeping points and standings. Rejected answers are kept because how often a particular wrong turn is taken says whether a case is fairly set.

Legal basis: Art. 6 (1)(b) GDPR. Without this data there is no game, only a form that remembers nothing.

Retention: With an account, as long as the account exists. Delete it (section 10) and all of the case work goes with it — answers, hints and timestamps included. Without an account, 30 days: that is exactly how long the visitor identifier lives in your browser, and after it you could not reach your own work again anyway. A daily clean-up then deletes it and everything attached to it.

09Cookies & local storage

We use only strictly necessary storage mechanisms, namely:

Local storage — your language choice (DE/EN), so you don’t have to set it again on every visit
spuria_s — the session cookie set after you sign in. Readable by the server only (httpOnly), valid for 90 days, deleted immediately when you sign out
spuria_v — a random identifier so your progress in a freely accessible demo case survives a page change. It holds no plain data such as a name or email address, only a random pseudonymous identifier; because we link it server-side to your progress in a case, we treat it as personal data. It is readable by the server only. Without it your progress would be gone after every page change — it is precisely what makes the flow you asked for work. It expires after 30 days; a case takes about twenty minutes, so a longer identifier on your device would serve no purpose. Sign in and the work moves onto your account. It is created only once you actually work on a case — merely viewing a page sets no cookie at all

We set no marketing cookies and embed no advertising networks (no Google Analytics, no Meta pixel, etc.). There is cookieless audience measurement: Cloudflare Web Analytics (and Umami) counts page views without storing or reading anything on your device and without recognising you across visits — section 07 sets out in full what is processed. Cloudflare may set its own cookies for the sign-in protection described in section 06.

10Your rights

You have the following rights vis-à-vis us:

Access to your stored personal data (Art. 15 GDPR)
Rectification of inaccurate data (Art. 16 GDPR)
Erasure (“right to be forgotten”, Art. 17 GDPR) — for your account you do not need to write to us: under Settings → Leaving you erase it yourself, immediately and completely. That takes the record, every case run, all sessions and the Loops contact with it — no grace period, no restoring it
Restriction of processing (Art. 18 GDPR)
Data portability (Art. 20 GDPR) — for this too you need not write to us: under Settings → Your data you download everything we hold about your account as a JSON file. It contains the record itself, your sessions, every request for a sign-in link and each case you worked with the answers you entered. Session and sign-in tokens are not included — those are keys, not information about you.
Objection to processing (Art. 21 GDPR)
Withdrawal of consent given (Art. 7 (3) GDPR)
Complaint to a supervisory authority (Art. 77 GDPR)

Right to object under Art. 21 GDPR. Where we process your data on the basis of legitimate interests under Art. 6 (1)(f) GDPR — hosting and sign-in protection — you may object to that processing at any time on grounds relating to your particular situation. We will then stop processing the data unless we can demonstrate compelling legitimate grounds that override your interests.

Just send an informal request to [email protected].

The supervisory authority competent for our location is the State Commissioner for Data Protection and Freedom of Information of the Free Hanseatic City of Bremen (datenschutz.bremen.de).

11Data security

We use TLS encryption in transit (HTTPS) for the transmission of your data and take appropriate technical and organisational measures to protect your data against accidental or intentional manipulation, loss or access by unauthorised third parties.

12Updates & changes

This privacy notice is current (as of: 10/2026). Continued development of SPURIA or changes in legal requirements may make adjustments necessary. The latest version is always available here.

Note: This notice has been prepared carefully but does not constitute individual legal advice.