Overlooked Studio

Datenschutz­erklärung

1. Verantwortlicher

Ronny Fischer
An der Mehle 12b
97295 Waldbrunn
E-Mail: support@overlkd.com

2. Hosting & Server-Logfiles

Diese Website wird auf einem eigenen Server in Deutschland gehostet. Beim Abruf der Seite speichert der Server automatisch folgende Daten in Log-Dateien:

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an IT-Sicherheit und Fehleranalyse). Log-Dateien werden nach spätestens 30 Tagen automatisch gelöscht.

3. Google Fonts

Diese Website lädt Schriftarten über Google Fonts (Google LLC, 1600 Amphitheatre Parkway, Mountain View, CA 94043, USA). Dabei wird die IP-Adresse des Besuchers an Google-Server übertragen, die sich in den USA befinden können. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer einheitlichen Darstellung). Google ist unter dem EU-US Data Privacy Framework zertifiziert. Weitere Informationen: policies.google.com/privacy

4. Geltungsbereich: Website und Spiel

Diese Erklärung gilt für die Website sowie für „By My Side" auf Steam und Android. Soweit nachfolgend ein Dienst nur auf einer Plattform eingesetzt wird, ist dies ausdrücklich angegeben.

5. Steam

Die Website enthält Links zur Steam-Plattform (Valve Corporation, 10400 NE 4th St, Bellevue, WA 98004, USA). Durch das Anklicken eines Steam-Links verlassen Sie unsere Seite; es gelten die Datenschutzbestimmungen von Valve: store.steampowered.com/privacy_agreement/

Beim Kauf und Betrieb der Steam-Version verarbeitet Valve insbesondere Konto-, Kauf- und technische Verbindungsdaten nach eigener Verantwortlichkeit. Als Entwickler erhalten wir unter anderem aggregierte Verkaufs- und Nutzungsinformationen, die Steam uns im Partnerbereich bereitstellt. Steam-Einladungen und Steam-P2P können technisch bedingt Verbindungsdaten wie IP-Adressen verarbeiten.

6. Android: Google Play, Käufe und Werbung

Google Play Billing und Kaufprüfung

Optionale In-App-Käufe werden durch Google Play (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland) abgewickelt. Google verarbeitet dabei Konto-, Zahlungs-, Geräte- und Transaktionsdaten. Wir erhalten keine vollständigen Zahlungsdaten wie Karten- oder Bankverbindungsdaten. Weitere Informationen enthält die Google-Datenschutzerklärung.

Für die sichere Auslieferung betreiben wir in Deutschland einen eigenen, von Koop und Cross-Save getrennten HTTPS-Kaufprüfdienst. Vor der ersten Prüfung fordert die App eine nur einmal verwendbare, fünf Minuten gültige Herausforderung an und lässt dafür von Google ein Standard-Play-Integrity-Ergebnis erstellen. Verarbeitet werden dabei insbesondere Paketname, App-Version, Signaturzertifikat, Zeitstempel und die an die Herausforderung gebundene Anfrage-Prüfsumme sowie die Aussagen PLAY_RECOGNIZED, LICENSED und MEETS_DEVICE_INTEGRITY. Nur bei einem passenden Ergebnis wird ein zufälliges pseudonymes Installationstoken ausgegeben. Sein Klarwert wird einmalig an die App übermittelt und dort im Android Keystore geschützt; der Kaufprüfdienst speichert davon nur einen SHA-256-Hash, die zugehörigen App-/Zertifikatsdaten, Erstellungs- und Ablaufzeit sowie einen Sperrstatus. Das Play-Integrity-Token wird für die Prüfung an Google übermittelt, aber nicht als dauerhafter Geschäftsdatensatz gespeichert.

Bei einem Kauf oder einer erforderlichen Wiederholungsprüfung übermittelt die App an den Kaufprüfdienst Paketname, Produkt-ID, Menge, Kaufzeitpunkt, den Google-Purchase-Token und einen an den Vorgang gebundenen Idempotenzschlüssel. Der Dienst prüft den Purchase-Token mit der Google Android Publisher API und gleicht Paket, Produkt, Menge, Kaufzeitpunkt und Kaufstatus mit der serverseitigen Produktliste ab. Der Purchase-Token wird mit AES-256-GCM verschlüsselt und zusätzlich als SHA-256-Hash gespeichert; eine gegebenenfalls von Google gelieferte Bestellkennung wird ausschließlich als Hash gespeichert. Hinzu kommen Produktart, Prüf- und Auslieferungskennung, Status, technische Fehlergründe, Zeitstempel sowie Idempotenz- und Anfrage-Hashes. Antworten und strukturierte Protokolle enthalten weder Purchase- oder Integrity-Token noch Installationstoken, Bestellkennung oder vollständige Zahlungsdaten.

Eine Gutschrift wird erst nach erfolgreicher Prüfung reserviert. Nachdem die App die Gutschrift beziehungsweise Berechtigung zusammen mit der Auslieferungskennung dauerhaft gespeichert hat, bestätigt sie diese Auslieferung. Erst dann stößt der Kaufprüfdienst über die Android Publisher API die Bestätigung eines nicht verbrauchbaren Kaufs beziehungsweise den Verbrauch eines Münzkaufs an. Eindeutige Token-Hashes, Prüf- und Auslieferungskennungen, gebundene Idempotenzschlüssel und ein dauerhaftes Wiederholungsjournal verhindern doppelte Gutschriften und unkontrollierte Wiederholungen bei Verbindungs- oder Serverfehlern.

Installations-, Prüf-, Auslieferungs- und Wiederholungsdaten werden so lange gespeichert, wie dies für sichere Kaufabwicklung, Wiederholbarkeit ausstehender Auslieferungen, Betrugs- und Replay-Abwehr, Support sowie die Geltendmachung oder Abwehr von Ansprüchen erforderlich ist. Steuer- und handelsrechtlich erforderliche Geschäftsunterlagen bleiben für die gesetzlichen Fristen erhalten. Der Ablauf eines Installationstokens, eine App-Deinstallation oder das lokale Löschen von App-Daten löscht diese serverseitigen Kauf- und Sicherheitsnachweise daher nicht automatisch. Rechtsgrundlagen sind Art. 6 Abs. 1 lit. b DSGVO für Kaufprüfung und Auslieferung, Art. 6 Abs. 1 lit. f DSGVO für Integrität, Betrugs- und Missbrauchsabwehr sowie Art. 6 Abs. 1 lit. c DSGVO, soweit gesetzliche Aufbewahrungspflichten bestehen.

Google AdMob und Einwilligung

Die Android-Version zeigt optionale Belohnungsanzeigen sowie gelegentliche Anzeigen an dafür vorgesehenen Spielpausen. Dafür verwenden wir Google Mobile Ads (AdMob) und die Google User Messaging Platform (UMP). Das Google Mobile Ads SDK kann automatisch die IP-Adresse (zur ungefähren Standortbestimmung), Interaktionen mit der App und Anzeigen, Diagnoseinformationen sowie Geräte- und Kontokennungen einschließlich der Android-Werbe-ID erfassen und an Google übermitteln. Die Daten dienen der Auslieferung und Messung von Werbung, Analyse sowie Betrugs- und Missbrauchsprävention.

In Regionen, in denen dies erforderlich ist, fragt UMP vor Werbeanfragen nach Ihrer Auswahl. Je nach Auswahl werden personalisierte, nicht personalisierte oder eingeschränkte Anzeigen ausgeliefert. Auch nicht personalisierte Anzeigen können lokale Kennungen für Häufigkeitsbegrenzung und zusammengefasste Berichte verwenden. Sie können Ihre Auswahl jederzeit über „Datenschutzoptionen" im Spiel erneut aufrufen. Rechtsgrundlage ist, soweit erforderlich, Art. 6 Abs. 1 lit. a DSGVO; technisch notwendige und eingeschränkte Verarbeitung kann auf Art. 6 Abs. 1 lit. f DSGVO beruhen. Informationen und Einstellmöglichkeiten: Google Werbung & Datenschutz.

7. Online-Koop, Gastkonto und Chatmeldungen

Für plattformübergreifende Beitrittscodes betreiben wir in Deutschland einen Vermittlungs- und UDP-Relay-Dienst. Bei Online-Koop oder Chatmeldungen entsteht automatisch ein pseudonymes Gastkonto aus einer zufälligen, lokal gespeicherten Installationskennung. Der Dienst verarbeitet Gastkennung, Rolle, Sitzungs- und Beitrittskennungen, Spielversion und Zeitstempel. Zugangstokens gelten höchstens 30 Tage. IP-Adresse und Port sind technisch für die Verbindung erforderlich; IP-Adressen werden nur vorübergehend im Arbeitsspeicher für Verbindung und Missbrauchsschutz verarbeitet, nicht in Anwendungslogs ausgegeben.

Chat wird zwischen Spielern übertragen. Bei einer freiwilligen Meldung speichern wir die pseudonyme Melderkennung, die gemeldete Gast-/Steam-/Sitzungskennung, Grund, bis zu sechs ausgewählte Nachrichten mit jeweils höchstens 240 Zeichen, App-Version, Eingangsnummer, Zeitstempel und Bearbeitungsstatus. Dies dient Spielfunktion, Moderation und Missbrauchsschutz, nicht Werbung oder Tracking. Meldungen werden manuell geprüft und spätestens nach 180 Tagen aus der aktiven Datenbank entfernt. Einschränkungen gelten bis zur Aufhebung; Gastlöschung entfernt die zu diesem Gast gehörenden Einschränkungen und Meldungen. Rückfragen oder Einsprüche mit Eingangsnummer: support@overlkd.com.

Im Hauptmenü: Einstellungen → Info → Konto & Daten → Gastkonto löschen → Endgültig löschen (Steam: Einstellungen → Konto & Daten). Nach authentifizierter Bestätigung löschen wir die Gastidentität, zugehörige Koop-Serverdatensätze und Meldungen von oder über diesen Gast; vorhandene Gast- und Relay-Zugänge werden widerrufen. Lokale Kennung und Chatsperren werden erst nach bestätigtem Servererfolg entfernt. Bei Verbindungsfehlern bleibt die Löschung sicher wiederholbar. Ein nicht umkehrbarer, schlüsselgebundener Widerrufshash und betroffene Betriebssicherungen verfallen innerhalb von 31 Tagen. Es bleibt kein dauerhaftes gelöschtes Gastprofil. Lokale Spielwelten, Käufe und die gesonderte Steam-Verknüpfung bleiben erhalten. Weitere Online-Nutzung kann ein neues Gastkonto erstellen. Private Weltkopien anderer Spieler können wir nicht löschen.

Ohne installierte App können Sie Konto- und Datenlöschung direkt über support@overlkd.com anfragen. Nennen Sie By My Side und Ihre Plattform, optional eine vorhandene Melde-Eingangsnummer. Wir prüfen die Zuordnung vor der Löschung; senden Sie niemals Passwörter, Sitzungs- oder Kauf-Tokens. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO für gewünschte Funktionen und Art. 6 Abs. 1 lit. f DSGVO für Sicherheit und Missbrauchsschutz.

Aktuelle zusätzliche Plattforminformationen / English: Android privacy · iOS privacy · Account and data deletion support.

8. Optionale plattformübergreifende Steam-Cloud-Spielstände

Mit der freiwilligen Funktion „Mit Steam verbinden“ können kompatible Welt-Spielstände zwischen der Steam- und der Android-Version von „By My Side“ synchronisiert werden. Die Anmeldung erfolgt auf einer offiziellen Webseite von Valve. Das Spiel und unser Vermittlungsdienst erhalten und verarbeiten Ihr Steam-Passwort nicht. Die Funktion setzt ein Steam-Konto voraus, das „By My Side“ besitzt.

Unser in Deutschland betriebener HTTPS-Cloud-Vermittlungsdienst verarbeitet hierfür Ihre Steam-ID, den von Valve ausgegebenen OAuth-Zugriffsnachweis, das Ergebnis der Besitzprüfung für „By My Side“, zufällige OAuth-Status- und Abrufwerte, eine zufällige Vermittler-Sitzungskennung sowie technische Zeitstempel. Status-, Abruf- und Sitzungswerte werden serverseitig nur als Hash gespeichert, soweit ihr Klarwert nicht einmalig an den Client ausgeliefert werden muss. Der OAuth-Zugriffsnachweis wird mit einem serverseitigen Schlüssel verschlüsselt gespeichert und niemals an die Android-App zurückgegeben. Der Steam-Publisher-Schlüssel verbleibt ausschließlich auf dem Server.

Übertragen werden nur die dafür vorgesehenen Sidecar-Dateien winterheim_crosssave_slot1.json bis winterheim_crosssave_slot3.json sowie winterheim_crosssave_manifest.json. Sie enthalten Welt- und Fortschrittsdaten, beispielsweise Inventar, Spieltag, Weltkennung, Versions-, Revisions- und Prüfsummenangaben oder eine ausdrückliche Löschmarkierung. Der Vermittlungsdienst schreibt ausschließlich diese Sidecars und verändert keine anderen oder historischen Steam-Cloud-Dateien. Der Client kann nach Integritäts- und Konfliktprüfung sowie nach Erstellung einer lokalen Sicherung einen ausgewählten Stand als direkten Nachfolger übernehmen. Mobile Münzen, Werbe-Belohnungen, Zahlungsdaten, Kaufnachweise, Kauf-Tokens und Auslieferungsjournale werden nicht über Steam Cloud synchronisiert.

Der Vermittlungsdienst überträgt die Sidecar-Dateiinhalte zwischen dem Gerät und Steam Cloud und hält sie nur für die jeweilige Anfrage im Arbeitsspeicher; ihr Inhalt wird nicht dauerhaft in seiner Datenbank gespeichert. Zur Integritäts- und Konfliktprüfung speichert der Dienst jedoch technische Dateimetadaten, insbesondere Steam-ID, Dateiname, Hashwerte, Dateigröße, Steam-Zeitstempel, Revision und signierte Versionskennung. Diese Metadaten werden durch das Trennen des Steam-Kontos nicht automatisch gelöscht.

Vor der Übernahme eines anderen Spielstands legt der Client eine lokale, mit Zeitstempel versehene Sicherung an. Bei voneinander abweichenden Ständen oder bei einer Löschung gegenüber einem abweichenden Spielstand wird eine Konfliktauswahl angezeigt; eine unterlegene Fassung bleibt als lokale Sicherung wiederherstellbar. Bestehende Steam-Spielstände sind bei der ersten Verknüpfung maßgeblich, wenn zwei voneinander unabhängige Weltstände aufeinandertreffen. Löschungen werden als dauerhafte Sidecar-Revision übertragen und nicht als stilles Fehlen einer Datei behandelt.

Ein OAuth-Anmeldevorgang läuft nach spätestens zehn Minuten ab. Eine erfolgreiche Vermittler-Sitzung ist höchstens 30 Tage gültig. Wenn der Server die im Spiel ausgelöste Trennung erfolgreich empfängt, werden die aktive Sitzung und der darin verschlüsselt gespeicherte OAuth-Zugriffsnachweis sofort aus der Sitzungsdatenbank entfernt. Kann die Trennungsanfrage beispielsweise wegen fehlender Verbindung nicht zugestellt werden, bleibt die Sitzung höchstens bis zu ihrem Ablauf bestehen und wird anschließend automatisch bereinigt. Sidecar-Dateien können nach den Funktionen und Aufbewahrungsregeln von Steam Cloud fortbestehen; technische Integritätsmetadaten des Vermittlungsdienstes und lokale Sicherungen werden durch die Trennung nicht automatisch entfernt. Löschanfragen zu beim Vermittlungsdienst gespeicherten Metadaten können an support@overlkd.com gerichtet werden.

Verknüpfte Cloud-Daten löschen: Die gesonderte bestätigte Aktion unter Konto & Daten löscht nach Steam-Authentifizierung alle zu diesem Steam-Konto gehörenden App-Verknüpfungen, verschlüsselten OAuth-Zugänge und technischen Server-Dateimetadaten sowie ausschließlich die vier oben genannten portablen Cross-Save-Dateien in Steam Cloud. Deren Entfernung wird vor dem abschließenden Servererfolg überprüft. Bei Teilfehlern bleiben die Zugangsdaten für eine sichere Wiederholung erhalten; automatische Synchronisierung bleibt während der ausstehenden Löschung gesperrt. Bei abgelaufener Anmeldung verbinden Sie dasselbe Steam-Konto erneut. Originale Steam-Weltdateien, Steam-Konto, Käufe und lokale Welten/Sicherungen bleiben erhalten; andere Geräte können ihre Welt erneut synchronisieren. Für sichere Wiederholungen bleibt höchstens 31 Tage ein Hash des gelöschten App-Sitzungstokens erhalten; Betriebssicherungen verfallen ebenfalls innerhalb von 31 Tagen. Gastlöschung und Cloud-Löschung sind getrennte Vorgänge.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO für die auf Wunsch aktivierte Synchronisierung sowie Art. 6 Abs. 1 lit. f DSGVO für Integritätsprüfung, Konfliktschutz und Missbrauchsabwehr. Für das Steam-Konto und die Speicherung in Steam Cloud ist zusätzlich Valve verantwortlich. Weitere Informationen enthält die Datenschutzerklärung von Valve.

9. Lokale Spielstände, Einstellungen und Benachrichtigungen

Spielstände, Einstellungen, lokale Kauf- und Auslieferungsstände, Werbe-Belohnungen und Einwilligungsstatus werden grundsätzlich lokal auf dem Gerät gespeichert. Für Android-Käufe werden zusätzlich die in Abschnitt 6 beschriebenen Kauf- und Sicherheitsdaten verarbeitet. Nur wenn Sie die optionale Steam-Cloud-Funktion nach Abschnitt 8 aktivieren, werden die dort beschriebenen Sidecar-Spielstände übertragen. Android kann auf Wunsch lokale Erinnerungsbenachrichtigungen planen. Ab Android 13 fragt das Spiel hierfür nach der Benachrichtigungsberechtigung. Ohne Ihre Erlaubnis werden keine Benachrichtigungen angezeigt. Die App fordert keinen Zugriff auf Kontakte, Kamera, Mikrofon oder präzisen Standort an. Lokale Daten einschließlich lokaler Cross-Save-Sicherungen können über die Android-App-Einstellungen oder durch Deinstallation gelöscht werden; dies entfernt nicht automatisch die für Kaufabwicklung und gesetzliche Pflichten erforderlichen serverseitigen Nachweise.

10. Diagnose und Analyse

Die veröffentlichte Fassung übermittelt derzeit keine eigenen Spielanalyse- oder Absturzberichte an uns. Technische Ereignisse werden nur flüchtig im Arbeitsspeicher für die lokale Fehlerdiagnose gehalten. Davon unabhängig verarbeitet das Google Mobile Ads SDK die oben genannten Diagnose- und Interaktionsdaten. Sollte künftig eine eigene externe Analyse oder Absturzübermittlung aktiviert werden, wird diese Erklärung vorab aktualisiert und eine gegebenenfalls erforderliche Einwilligung eingeholt.

11. Speicherdauer, Empfänger und Drittstaaten

Wir verkaufen keine personenbezogenen Daten. Empfänger sind nur die zur Bereitstellung eingesetzten Plattform- und Dienstanbieter, insbesondere Google für Play Billing, Play Integrity, Android Publisher API und Werbung, Valve für Steam-Konto und Steam Cloud, sowie unsere in Deutschland betriebenen Hosting-, Kaufprüf-, Koop- und Cloud-Vermittlungsdienste, soweit dies für Betrieb, Käufe, Werbung, Sicherheit oder gesetzliche Pflichten erforderlich ist. Google und Valve können Daten in den USA verarbeiten. Dabei kommen nach Angaben der Anbieter geeignete Garantien wie das EU-US Data Privacy Framework oder EU-Standardvertragsklauseln zum Einsatz.

Lokale Spiel- und Kaufdaten sowie lokale Sicherungen bleiben bis zur Löschung der betreffenden Daten oder der App-Daten gespeichert. Für serverseitige Kauf- und Sicherheitsnachweise gelten die in Abschnitt 6 beschriebenen zweck- und rechtsabhängigen Fristen; eine feste kurze automatische Löschfrist besteht hierfür nicht. Koop-Sitzungsdaten werden wie in Abschnitt 7 beschrieben gelöscht. Für Steam-Cross-Save gelten die zehnminütige OAuth-Ablauffrist, die höchstens 30-tägige Vermittler-Sitzung, die in Abschnitt 8 beschriebene Trennung oder bestätigte Cloud-Datenlöschung und die gesonderten Aufbewahrungsregeln für technische Dateimetadaten, lokale Sicherungen und Steam-Cloud-Dateien. Gesetzlich aufbewahrungspflichtige Geschäftsunterlagen werden entsprechend der gesetzlichen Fristen gespeichert.

12. Website: Cookies & lokale Speicherung

Diese Website setzt keine Tracking-Cookies und verwendet selbst keine Analyse- oder Werbedienste. Die gewählte Spracheinstellung (DE/EN) wird ausschließlich im Arbeitsspeicher des Browsers gehalten und beim Schließen der Seite verworfen. Die auf der Website eingebundenen Google Fonts sind in Abschnitt 3 beschrieben.

13. Devlog — GitHub API

Der Entwickler-Log auf dieser Seite zeigt die letzten Commits aus dem privaten Entwicklungs-Repository. Die Daten werden serverseitig abgerufen und als statische JSON-Datei bereitgestellt. Es findet dabei keine Verarbeitung von Besucherdaten statt.

14. Ihre Rechte (DSGVO)

Sie haben jederzeit das Recht auf:

Zur Geltendmachung Ihrer Rechte wenden Sie sich an: support@overlkd.com

Außerdem haben Sie das Recht, sich bei der zuständigen Datenschutz-Aufsichtsbehörde zu beschweren. Für Bayern ist dies das Bayerische Landesamt für Datenschutzaufsicht (BayLDA), www.lda.bayern.de.

Eine erteilte Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen. In der Android-App öffnen Sie dafür die Datenschutzoptionen; außerdem können Sie die Werbe-ID und personalisierte Werbung in den Android-/Google-Einstellungen verwalten.

15. Aktualität

Diese Datenschutzerklärung hat den Stand September 2026. Wir behalten uns vor, sie bei Bedarf anzupassen.