Datenschutzerklärung

Stand: Oktober 2026

PP2 Hub ist eine Spieleseite, die ohne Anmeldung und ohne Benutzerkonto funktioniert. Wir verlangen keinen Namen, keine E-Mail-Adresse und kein Passwort. Trotzdem fallen beim Aufruf einer Website technisch Daten an. Was dabei geschieht, steht hier.

1. Verantwortlicher

Verantwortlich für die Datenverarbeitung auf dieser Website im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:

Nils Bernhard
Leipziger Platz 21
90491 Nürnberg
Deutschland
E-Mail: support@pp2hub.site

2. Ihre Rechte im Überblick

Sie haben jederzeit das Recht,

Für alle diese Anliegen genügt eine formlose Nachricht an die oben genannte E-Mail-Adresse.

3. Hosting

Diese Website wird bei der Vercel Inc., 440 N Barranca Ave #4133, Covina, CA 91723, USA, gehostet. Vercel verarbeitet die beim Aufruf anfallenden Daten in unserem Auftrag als Auftragsverarbeiter nach Art. 28 DSGVO. Dabei können Daten in die USA übermittelt werden; die Übermittlung ist durch die Standardvertragsklauseln der Europäischen Kommission und das EU-US Data Privacy Framework abgesichert.

Rechtsgrundlage ist unser berechtigtes Interesse an einem sicheren und zuverlässigen Betrieb der Website (Art. 6 Abs. 1 lit. f DSGVO).

Datenschutzerklärung von Vercel: vercel.com/legal/privacy-policy

Server-Logfiles

Bei jedem Aufruf erfasst der Server automatisch Daten, die Ihr Browser übermittelt:

Diese Daten sind technisch nötig, um die Seite auszuliefern, und werden nicht mit anderen Datenquellen zusammengeführt. Sie dienen ausschließlich dem Betrieb und der Abwehr von Angriffen und werden nach kurzer Zeit automatisch gelöscht.

Fehlerberichte

Tritt auf einer Seite oder in einem Spiel ein technischer Fehler auf, sehen Sie nur einen kurzen Hinweis, was Sie selbst tun können. Die technischen Einzelheiten – Fehlermeldung, betroffene Stelle im Programmcode, aufgerufene Seite und Browsertyp – schickt die Seite an unseren Server, der sie in die Server-Logfiles schreibt. Zusätzlich legt er sie in unserer Datenbank ab (Upstash, siehe Abschnitt 9), dort statt der vollständigen Browserkennung nur mit Gerätetyp, Betriebssystem und Browser, ohne IP-Adresse. So erfahren wir schnell, wenn etwas kaputt ist, und können es beheben. Dort bleiben höchstens die letzten 300 Fehler und keiner länger als 14 Tage. Es wird kein Cookie gesetzt und keine Kennung vergeben; die Einträge im Log werden mit den übrigen Logfiles automatisch gelöscht. Rechtsgrundlage ist unser berechtigtes Interesse an einer funktionierenden Website (Art. 6 Abs. 1 lit. f DSGVO).

Sprache beim ersten Besuch

Solange Sie noch keine Sprache gewählt haben, fragt die Seite beim ersten Besuch einmal unseren Server, aus welchem Land der Aufruf kommt. Das Land leitet unser Hoster Vercel aus Ihrer IP-Adresse ab; unser Server gibt nur den Ländercode zurück (etwa „DE“) und speichert dabei nichts. Kommt der Aufruf aus Deutschland, Österreich, der Schweiz oder Liechtenstein oder ist Ihr Browser auf Deutsch eingestellt, erscheint die Seite auf Deutsch, sonst auf Englisch. Das Ergebnis merkt sich Ihr Browser im lokalen Speicher (siehe Abschnitt 5); oben auf der Seite können Sie die Sprache jederzeit ändern. Rechtsgrundlage ist unser berechtigtes Interesse, Ihnen die Seite gleich in einer passenden Sprache zu zeigen (Art. 6 Abs. 1 lit. f DSGVO).

4. Werbung

Auf dieser Website wird derzeit keine Werbung angezeigt. Es wird kein Werbenetzwerk und keine Einwilligungsabfrage eingebunden, und beim Aufruf entsteht keine Verbindung zu einem Werbeanbieter.

5. Speicherung auf Ihrem Gerät

Die Website speichert einige Angaben im lokalen Speicher Ihres Browsers (localStorage), damit sie beim nächsten Besuch noch da sind:

Nur für die Dauer des Besuchs (sessionStorage, beim Schließen des Tabs gelöscht) merkt sich der Browser außerdem den Ladefortschritt beim Wechsel von der Startseite in ein Spiel und den letzten Stand der Party.

Diese Angaben bleiben auf Ihrem Gerät. Sie werden nicht an uns und nicht an Dritte übertragen (den Spielernamen in den Mehrspielerspielen sehen nur Ihre Mitspieler, siehe Abschnitt 7; Party-Code, Kennung und Anzeigename der Party gehen an unseren Server, siehe ebenfalls Abschnitt 7; ein in Boxing gewähltes Bild wird nicht auf unseren Server hochgeladen, im 1 gegen 1 geht eine verkleinerte Fassung direkt an Ihren Mitspieler, siehe ebenfalls Abschnitt 7) und lassen sich jederzeit löschen, indem Sie die Websitedaten in den Browsereinstellungen entfernen. Die Speicherung ist für den von Ihnen ausdrücklich gewünschten Dienst unbedingt erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG).

6. Vorschläge über „Schlag uns was vor“

Auf /vorschlagen können Sie uns Ideen, Wünsche, Fehler oder ein eigenes Spiel schicken. Gespeichert werden dabei nur die Angaben, die Sie selbst eintragen: die Zusammenfassung, auf Wunsch ein Link, eine Beschreibung, ein Name und eine Kontaktangabe (etwa E-Mail-Adresse oder Discord-Name), dazu die gewählte Art des Vorschlags und der Zeitpunkt. Die Angaben liegen im Speicher unseres Hosters (Vercel Blob, siehe Abschnitt 3) und gehen zusätzlich als Mail über die Resend, Inc. (siehe Abschnitt 11) an unser Postfach. Öffentlich angezeigt wird nichts davon.

Rechtsgrundlage ist die Bearbeitung Ihrer Anfrage (Art. 6 Abs. 1 lit. b und f DSGVO). Auf Wunsch löschen wir einen Vorschlag jederzeit – eine Nachricht an die oben genannte Adresse genügt.

7. Mehrspieler in Lowlight, Meridian, Icebreaker, Broadside, Scribble Circuit, Idle Boxing Gym und Boxing

In den Spielen Lowlight, Meridian, Icebreaker, Broadside und Scribble Circuit sowie im Duell von Idle Boxing Gym und im 1 gegen 1 von Boxing spielen mehrere Personen direkt miteinander. Die Spieldaten (Bewegungen, Schüsse, Schläge, Rundenzeiten, Punktestand, die gezeichnete Strecke, der selbst gewählte Spielername, in Boxing das in der Lobby gewählte Bild als Gesicht Ihrer Figur in verkleinerter Fassung; es wird nicht gespeichert) laufen dabei unmittelbar zwischen den beteiligten Browsern (WebRTC) und nicht über unseren Server. Technisch bedingt erfahren die Browser der Mitspieler dabei Ihre IP-Adresse — so wie bei jeder direkten Verbindung zwischen zwei Geräten.

Damit die Browser zueinanderfinden, vermittelt unser Server (/api/raum, gehostet bei Vercel) nur den Verbindungsaufbau: den fünfstelligen Einladungscode und die technischen Verbindungsangaben beider Seiten, zu denen auch IP-Adressen gehören. Diese Angaben liegen in der Datenbank von Upstash (siehe Abschnitt 9), werden nach dem Abholen gelöscht und verfallen spätestens nach zwei Minuten; der Raum selbst nach höchstens vier Stunden. Spielernamen speichert der Server nicht.

Um die eigene öffentliche Adresse herauszufinden, fragt Ihr Browser dabei sogenannte STUN-Server von Google (stun.l.google.com) und Cloudflare (stun.cloudflare.com) an, die dafür Ihre IP-Adresse sehen. Das geschieht nur, wenn Sie ein Spiel erstellen oder einem beitreten — nicht beim Training gegen Bots oder beim Fahren allein.

Lässt Ihr Netz (z. B. Schule oder Firma) keine direkte Verbindung zu, läuft der Spielverkehr stattdessen verschlüsselt über einen TURN-Relay-Server (Cloudflare Realtime). Dieser sieht dann Ihre IP-Adresse und die Datenmenge, nicht aber die Spielinhalte im Klartext. Die Zugangsdaten dafür holt Ihr Browser beim Erstellen oder Beitreten über /api/ice von unserem Server.

Rechtsgrundlage ist die Bereitstellung des von Ihnen aufgerufenen Mehrspielermodus (Art. 6 Abs. 1 lit. b DSGVO) sowie unser berechtigtes Interesse an einem funktionierenden Verbindungsaufbau (Art. 6 Abs. 1 lit. f DSGVO).

Party

Auf der Startseite können Sie eine Party aufmachen oder mit einem fünfstelligen Code beitreten. Eine Party hält Freunde zusammen, auch wenn sie das Spiel wechseln. Dafür speichert unser Server (/api/party, gehostet bei Vercel, Daten in der Datenbank von Upstash, siehe Abschnitt 9) den Party-Code, je Mitglied eine zufällige Kennung und den von Ihnen gewählten Anzeigenamen, einen Zeitstempel des letzten Lebenszeichens, das gewählte Spiel und den Einladungscode des gerade offenen Raums. Ihre IP-Adresse speichern wir dabei nicht. Wer ein Lebenszeichen schuldig bleibt, verschwindet nach rund anderthalb Minuten aus der Liste; verlässt das letzte Mitglied die Party, wird sie gelöscht, spätestens aber nach sechs Stunden. Mitglieder der Party sehen die Anzeigenamen der anderen. Rechtsgrundlage ist die Bereitstellung der von Ihnen gewünschten Funktion (Art. 6 Abs. 1 lit. b DSGVO).

Freunde einladen (Idle Boxing Gym)

In Idle Boxing Gym können Sie einen Einladungslink teilen und bekommen einen dauerhaften Bonus für Freunde, die darüber kommen und einen bestimmten Gegner besiegen. Dafür speichert unser Server (/api/einladung, gehostet bei Vercel, Daten in der Datenbank von Upstash, siehe Abschnitt 9) den Einladungscode, einen zufälligen geheimen Schlüssel des Einladenden und die zufälligen Kennungen der Spielstände, die es geschafft haben. Namen, Spielstände und IP-Adressen speichern wir dabei nicht; für die Begrenzung von Anfragen wird höchstens eine Stunde lang ein gekürzter Hash der Adresse gezählt. Die Daten verfallen 400 Tage nach der letzten Abfrage. Code, Schlüssel und Kennung liegen außerdem im Spielstand in Ihrem Browser. Rechtsgrundlage ist die Bereitstellung der von Ihnen gewünschten Funktion (Art. 6 Abs. 1 lit. b DSGVO).

Die Vorschläge „Als Nächstes“ am Ende einer Runde stammen aus der Startseite unserer eigenen Website; dabei werden keine Daten an Dritte übertragen.

8. Externe Ressourcen

Um die Seite auszuliefern, wird ein Dienst Dritter eingebunden. Ihr Browser baut dabei eine Verbindung zu dessen Servern auf und übermittelt technisch notwendig Ihre IP-Adresse. Die Schriftarten liefern wir selbst von unserem eigenen Server aus; dafür wird nichts bei Google geladen.

Rechtsgrundlage ist unser berechtigtes Interesse an einer einheitlichen Darstellung und einer schnellen Auslieferung des Spiels (Art. 6 Abs. 1 lit. f DSGVO).

9. Reichweitenmessung

Wir messen, wie oft Seiten und Spiele aufgerufen werden, von wie vielen Besuchern am Tag, wie sie zu uns finden und auf welchen Geräten gespielt wird – nur als Summen. Es gibt kein Google Analytics, keine Cookies, keine Zählpixel und keine Nutzerprofile.

Eigener Zähler

Beim Aufruf einer Seite meldet Ihr Browser über ein kleines Skript von unserer eigenen Adresse (/js/besuch.js) an unseren Server:

Damit wir Besucher je Tag zählen können, ohne ein Cookie zu setzen, bildet unser Server aus Ihrer IP-Adresse (bei IPv6 nur aus dem vorderen Teil, der den Anschluss bezeichnet) und der Kennung Ihres Browsers (User-Agent) zusammen mit einem Zufallswert, der jeden Tag neu erzeugt wird, einen Prüfwert. Die IP-Adresse und die Browserkennung selbst speichern wir nicht. Der Prüfwert dient nur dazu festzustellen, ob dieser Anschluss mit diesem Browser heute schon gezählt wurde, ob ein Besuch noch andauert (ein Besuch endet nach 30 Minuten ohne Seitenaufruf; so lange merken wir uns zum Prüfwert nur die Zahl der Seitenaufrufe dieses Besuchs) und für die Anzeige, wie viele Besucher gerade auf der Seite sind. Prüfwerte und Zufallswert werden nach spätestens 48 Stunden automatisch gelöscht, in der Liste „gerade online" schon nach 15 Minuten ohne Lebenszeichen; danach lässt sich ein Besuch niemandem mehr zuordnen. Eine Wiedererkennung über mehrere Tage oder über andere Websites hinweg findet nicht statt.

Aus der Browserkennung leitet der Server außerdem Gerätetyp (Handy, Tablet, Computer), Betriebssystem und Browser ab, aus den Spracheinstellungen Ihres Browsers die bevorzugte Sprache. Land und Region (etwa Bundesland) leitet unser Hoster Vercel aus der IP-Adresse ab und gibt nur diese an unseren Server weiter. Aufrufe von Suchmaschinen und anderen Programmen erkennen wir an der Browserkennung und halten sie nur als Summe fest.

Länger gespeichert werden allein Summen je Tag (Seitenaufrufe je Seite und Stunde, Besucher, Besuche, Klicks, Sichtzeit, geteilte Inhalte, erstellte Mehrspieler-Räume und Partys, eingeblendete Anzeigen, sobald Werbung läuft) und für jeden Besucher eines Tages eine Zeile mit den oben genannten Merkmalen (Land, Region, Gerätetyp, Betriebssystem, Browser, Sprache, Herkunft, erste aufgerufene Seite, Fensterbreite) – ohne Prüfwert, ohne IP-Adresse und ohne Uhrzeit, also ohne Bezug zu Ihrer Person. Sie werden nach gut einem Jahr automatisch gelöscht. Alle diese Daten liegen beim Datenbankanbieter Upstash (Upstash, Inc., USA; Speicherort Frankfurt am Main), angebunden über unseren Hoster Vercel. Rechtsgrundlage ist unser berechtigtes Interesse daran, zu wissen, wie viele Menschen welche Seiten und Spiele nutzen, wie sie zu uns finden und auf welchen Geräten gespielt wird (Art. 6 Abs. 1 lit. f DSGVO). Auf Ihr Gerät wird dabei nichts geschrieben und nichts von dort gelesen. Sie können der Verarbeitung jederzeit widersprechen; es genügt auch, das Skript mit einem Inhaltsblocker zu unterbinden.

Geteilte Strecken

In Scribble Circuit und Neuro Racer lassen sich selbst gebaute Strecken als Link teilen; die Strecke steckt dabei vollständig im Link. Wenn Sie eine Strecke teilen oder einen solchen Link öffnen, meldet Ihr Browser die Strecke (nur ihre Form, als Zahlenfolge) und ob sie geteilt oder geöffnet wurde. Gespeichert werden die Strecke und zwei Summen — keine IP-Adresse, kein Name, keine Kennung. So sehen wir, welche Strecken der Community beliebt sind, und stellen die besten in Videos vor. Die Daten liegen wie die Summen oben bei Upstash und verfallen ein halbes Jahr, nachdem die Strecke zuletzt geteilt oder geöffnet wurde. Rechtsgrundlage ist unser berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO).

Anmeldung zur Verwaltung

Die Verwaltungsseiten sind nur für uns. Wer dort einen falschen Wartungscode eingibt, wird gezählt, damit niemand den Code durch Raten herausfinden kann: Gespeichert wird dazu ein Prüfwert, der aus der IP-Adresse berechnet ist (nicht die Adresse selbst), zusammen mit der Zahl der Fehlversuche. Beides wird nach einer Stunde automatisch gelöscht. Rechtsgrundlage ist unser berechtigtes Interesse an der Sicherheit der Seite (Art. 6 Abs. 1 lit. f DSGVO). Nach einer erfolgreichen Anmeldung setzen wir ein technisch notwendiges Cookie, das die Sitzung hält.

Vercel Web Analytics

Zusätzlich nutzen wir Vercel Web Analytics, einen Dienst unseres Hosters Vercel (siehe Abschnitt 3). Beim Aufruf einer Seite lädt Ihr Browser dafür ein kleines Skript von unserer eigenen Adresse und meldet den Seitenaufruf an Vercel. Erfasst werden dabei die aufgerufene Seite, die zuvor besuchte Seite (Referrer), der Zeitpunkt, Browser, Betriebssystem und Gerätetyp sowie das aus der IP-Adresse abgeleitete Land.

Es werden keine Cookies gesetzt und nichts auf Ihrem Gerät gespeichert; die IP-Adresse wird nicht gespeichert. Um Seitenaufrufe desselben Besuchs zusammenzufassen, bildet Vercel aus Daten der Anfrage einen Prüfwert, der nach 24 Stunden verworfen wird. Eine Wiedererkennung über mehrere Tage oder über andere Websites hinweg findet nicht statt, und wir sehen nur zusammengefasste Zahlen, keine einzelnen Personen.

Vercel handelt dabei als unser Auftragsverarbeiter; für die Übermittlung in die USA gilt das in Abschnitt 3 Gesagte. Rechtsgrundlage ist unser berechtigtes Interesse daran, zu erkennen, welche Spiele genutzt werden, und das Angebot danach auszurichten (Art. 6 Abs. 1 lit. f DSGVO). Sie können der Verarbeitung jederzeit widersprechen; es genügt auch, das Skript mit einem Inhaltsblocker zu unterbinden.

10. Kinder und Jugendliche

Dieses Angebot richtet sich nicht gezielt an Kinder unter 16 Jahren. Wir erheben wissentlich keine personenbezogenen Daten von Kindern. Sollten Sie als Erziehungsberechtigte oder Erziehungsberechtigter Grund zu der Annahme haben, dass uns dennoch Daten eines Kindes vorliegen, wenden Sie sich bitte an die oben genannte Adresse.

11. Updates per Mail

Auf /newsletter können Sie sich freiwillig in eine Mail-Liste eintragen, um über neue Spiele und größere Änderungen informiert zu werden. Dafür speichern wir ausschließlich Ihre E-Mail-Adresse. Eingetragen werden Sie erst, nachdem Sie den Link in einer Bestätigungsmail angeklickt haben (Double-Opt-in). Bis dahin wird die Adresse nicht gespeichert.

Die Adressen liegen bei der Resend, Inc., 2261 Market Street #5039, San Francisco, CA 94114, USA, die in unserem Auftrag die Mails verschickt (Art. 28 DSGVO; Übermittlung in die USA auf Basis der Standardvertragsklauseln). Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Sie können sie jederzeit widerrufen: Jede Mail enthält einen Abmelde-Link, alternativ genügt eine Nachricht an support@pp2hub.site. Wir löschen die Adresse dann.

12. Änderungen dieser Erklärung

Wir passen diese Datenschutzerklärung an, sobald sich die Technik der Website oder die Rechtslage ändert. Es gilt jeweils die hier veröffentlichte Fassung.