Datenschutzerklärung — Fassungen

Jede Änderung am Text erzeugt eine neue Fassung mit eigener Prüfsumme. Über diese Liste kannst du nachvollziehen, welcher Text wann galt. Hast du in der App eingewilligt, ist dort die Prüfsumme der damals gezeigten Fassung protokolliert – hier kannst du sie nachschlagen.

Volltexte früher Arbeitsfassungen mit internen Prüfvermerken geben wir auf Anfrage an max@ultido.com heraus; ihre Prüfsumme steht in der Liste.

Fassung 4.4.1 · Stand 26.09.2026

Prüfsumme: sha256-86314e8a0d0c2db9cebfd8a710dde551b8d9254cb7ab9e815460e487ba3ae4fe

1. Verantwortlicher und Kontakt

Verantwortlich für die Plattform: ULTIDO GmbH, Rommerskirchener Straße 21, 50259 Pulheim, Deutschland, vertreten durch den Geschäftsführer Maximilian Lucas Arbeiter. Registergericht: Amtsgericht Köln, HRB 128940.
E-Mail: max@ultido.com · Tel.: +49 221 16535560.
Datenschutzbeauftragter: Maximilian Lucas Arbeiter, erreichbar unter max@ultido.com bzw. postalisch unter der oben genannten Anschrift mit dem Zusatz „Datenschutzbeauftragter".

2. Zwei Verantwortliche

• ULTIDO GmbH ist Verantwortlicher für: Spielprofil/Account, Spielstände, parkübergreifende Persona, AI-Bild-Funktion, Belohnungsausspielung inkl. Reward-Mail, Plattformbetrieb.

• Der jeweilige Park ist Verantwortlicher für die E-Mail-Werbung (Marketing-Lead). Bei der Erhebung handelt Ultido als Auftragsverarbeiter des Parks (Art. 28); nach Bestätigung des Double-Opt-In wird der Datensatz an den Park übergeben, der ihn als eigener Verantwortlicher weiterverarbeitet. Name und Kontaktdaten des Parks nennt dir die App im Einwilligungsschritt, bevor du einwilligst; die Bestätigungs-E-Mail des Double-Opt-In wiederholt sie.

3. Verarbeitete Daten, Zwecke, Rechtsgrundlagen

Berechtigtes Interesse (Art. 6(1)(f)): sicherer, missbrauchsfreier Plattformbetrieb und Nachweisbarkeit von Einwilligungen und Verarbeitungswegen.

4. Empfänger und Auftragsverarbeiter (Art. 28)

Wir setzen die folgenden Kategorien von Auftragsverarbeitern ein (vollständiges, versioniertes Register: Subprozessor-Register):

Mit allen Auftragsverarbeitern bestehen Verträge nach Art. 28 DSGVO. Änderungen am Register werden versioniert und den Park-Verantwortlichen mit Frist mitgeteilt.

5. Drittlandtransfer (Kapitel V DSGVO) – inkl. AI-Pfad

Unser Anwendungs-Hosting und die Datenbank laufen in EU-Regionen (Vercel fra1, Supabase eu-central-1). Daneben finden folgende Drittlandübermittlungen statt:

• Authentifizierung (Clerk): Verarbeitung in den USA. Grundlage: EU-US Data Privacy Framework (Angemessenheitsbeschluss, Durchführungsbeschluss (EU) 2023/1795); zusätzlich EU-Standardvertragsklauseln (Art. 46(2)(c), SCC 2021/914) als Fallback im DPA; EU-Vertreter des Anbieters: VeraSafe Ireland Ltd.

• E-Mail-Versand (Clerk/SendGrid): Bestätigungs-, Account- und Reward-Mails werden über Clerk versandt, das dafür SendGrid (Twilio Inc., USA) einsetzt. Übermittelt werden E-Mail-Adresse und Name. Grundlage: EU-US Data Privacy Framework, ergänzend Standardvertragsklauseln über das Clerk-DPA.

• AI-Bild-Stilisierung: Wo die AI-Funktion aktiviert ist, wird das Foto über Google Vertex AI verarbeitet; die Verarbeitung findet in der Region us-central1 (USA) statt, abgesichert über die EU-Standardvertragsklauseln des Google-Cloud-Auftragsverarbeitungszusatzes. Das Originalfoto wird nur transient verarbeitet und nicht dauerhaft gespeichert; der Verarbeitungsweg wird pro Bild protokolliert (Routing-Log, ohne Bildinhalt).

• Geplanter zweiter Inferenzpfad: Für einen Teil der Stilklassen ist mittelfristig eine eigene, in der EU betriebene Inferenz-Infrastruktur vorgesehen. Dieser Pfad ist derzeit nicht in Betrieb; über ihn findet keine Verarbeitung statt. Vor Inbetriebnahme werden Anbieter und Region in dieser Erklärung und im Subprozessor-Register benannt und die Parks nach der 30-Tage-Regel informiert.

• Weitere US-verbundene Anbieter (Vercel, Supabase – US-Mütter): Verarbeitung in EU-Regionen; soweit Übermittlungen in die USA stattfinden, erfolgen sie auf Grundlage von DPF-Zertifizierung (Vercel) bzw. Standardvertragsklauseln (Supabase – kein eigener DPF-Eintrag).

Für US-Transfers wird ein Transfer Impact Assessment vorgehalten; DPF-Zertifizierungen werden vor Verlass darauf live geprüft. Kopien der Garantien sind auf Anfrage erhältlich.

6. Speicherdauer

7. Betroffenenrechte

Du hast das Recht auf Auskunft (Art. 15), Berichtigung (16), Löschung (17), Einschränkung (18), Datenübertragbarkeit (20) und Widerspruch (21). Erteilte Einwilligungen kannst du jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7(3)) – den Widerruf machen wir so einfach wie die Erteilung. Anfragen an max@ultido.com. Betrifft die Anfrage Marketing-Daten des Parks, leiten wir sie an den verantwortlichen Park weiter bzw. informieren dich über die Zuständigkeit.
Beschwerderecht: Du kannst dich bei einer Datenschutz-Aufsichtsbehörde beschweren – für die ULTIDO GmbH zuständig: Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW), oder die Behörde deines Aufenthaltsorts (z.B. AEPD in Spanien, APD/GBA in Belgien).

8. Pflicht zur Bereitstellung

Die Angabe der E-Mail-Adresse ist für die Account-Anlage und die Belohnungsausspielung erforderlich; ohne sie kann der Dienst nicht genutzt werden. Marketing- (b) und AI-Einwilligung (c) sind freiwillig; ihre Verweigerung hat keine Nachteile für Account oder Belohnung.

9. Automatisierte Entscheidung / Profiling

Eine automatisierte Entscheidungsfindung mit rechtlicher Wirkung i.S.d. Art. 22 findet nicht statt. Die parkübergreifende Persona dient der Wiedererkennung/Personalisierung des Spielerlebnisses, nicht der Bewertung mit rechtlicher Wirkung.

10. Minderjährige

Vor den optionalen Einwilligungen (b)/(c) steht eine Altersabfrage (Schwellen-Check, kein Geburtsdatum). Das Einwilligungsalter richtet sich nach dem Land des Parks (Art. 8 DSGVO): Deutschland 16, Spanien 14, Belgien 13. Unterhalb der Schwelle stehen Newsletter und AI-Bild-Funktion nicht zur Verfügung; Spiel und Belohnung sind davon unabhängig nutzbar.

11. Änderungen & Versionierung

Wir passen diese Erklärung bei Änderungen der Verarbeitung an. Maßgeblich ist die veröffentlichte Fassung mit Versionsnummer und Stand am Seitenende. Jede Fassung erhält eine Prüfsumme; frühere Fassungen bleiben mit ihrer Prüfsumme in der Änderungshistorie nachvollziehbar, damit jede erteilte Einwilligung der Textfassung zugeordnet werden kann, die dir angezeigt wurde.

Fassung 4.4.0 · Stand 25.09.2026

Prüfsumme: sha256-f040ae33275600c56a426223d84c28563de9e4a7c466022b64a3c41fb2a3da3d

1. Verantwortlicher und Kontakt

Verantwortlich für die Plattform: ULTIDO GmbH, Rommerskirchener Straße 21, 50259 Pulheim, Deutschland, vertreten durch den Geschäftsführer Maximilian Lucas Arbeiter. Registergericht: Amtsgericht Köln, HRB 128940.
E-Mail: max@ultido.com · Tel.: +49 221 16535560.
Datenschutzbeauftragter: Maximilian Lucas Arbeiter, erreichbar unter max@ultido.com bzw. postalisch unter der oben genannten Anschrift mit dem Zusatz „Datenschutzbeauftragter".

2. Zwei Verantwortliche

• ULTIDO GmbH ist Verantwortlicher für: Spielprofil/Account, Spielstände, parkübergreifende Persona, AI-Bild-Funktion, Belohnungsausspielung inkl. Reward-Mail, Plattformbetrieb.

• Der jeweilige Park ist Verantwortlicher für die E-Mail-Werbung (Marketing-Lead). Bei der Erhebung handelt Ultido als Auftragsverarbeiter des Parks (Art. 28); nach Bestätigung des Double-Opt-In wird der Datensatz an den Park übergeben, der ihn als eigener Verantwortlicher weiterverarbeitet. Name und Kontaktdaten des Parks nennt dir die App im Einwilligungsschritt, bevor du einwilligst; die Bestätigungs-E-Mail des Double-Opt-In wiederholt sie.

3. Verarbeitete Daten, Zwecke, Rechtsgrundlagen

Berechtigtes Interesse (Art. 6(1)(f)): sicherer, missbrauchsfreier Plattformbetrieb und Nachweisbarkeit von Einwilligungen und Verarbeitungswegen.

4. Empfänger und Auftragsverarbeiter (Art. 28)

Wir setzen die folgenden Kategorien von Auftragsverarbeitern ein (vollständiges, versioniertes Register: Subprozessor-Register):

Mit allen Auftragsverarbeitern bestehen Verträge nach Art. 28 DSGVO. Änderungen am Register werden versioniert und den Park-Verantwortlichen mit Frist mitgeteilt.

5. Drittlandtransfer (Kapitel V DSGVO) – inkl. AI-Pfad

Unser Anwendungs-Hosting und die Datenbank laufen in EU-Regionen (Vercel fra1, Supabase eu-central-1). Daneben finden folgende Drittlandübermittlungen statt:

• Authentifizierung (Clerk): Verarbeitung in den USA. Grundlage: EU-US Data Privacy Framework (Angemessenheitsbeschluss, Durchführungsbeschluss (EU) 2023/1795); zusätzlich EU-Standardvertragsklauseln (Art. 46(2)(c), SCC 2021/914) als Fallback im DPA; EU-Vertreter des Anbieters: VeraSafe Ireland Ltd.

• E-Mail-Versand (Clerk/SendGrid): Bestätigungs-, Account- und Reward-Mails werden über Clerk versandt, das dafür SendGrid (Twilio Inc., USA) einsetzt. Übermittelt werden E-Mail-Adresse und Name. Grundlage: EU-US Data Privacy Framework, ergänzend Standardvertragsklauseln über das Clerk-DPA.

• AI-Bild-Stilisierung: Wo die AI-Funktion aktiviert ist, wird das Foto über Google Vertex AI verarbeitet; die Verarbeitung findet in der Region us-central1 (USA) statt, abgesichert über die EU-Standardvertragsklauseln des Google-Cloud-Auftragsverarbeitungszusatzes. Das Originalfoto wird nur transient verarbeitet und nicht dauerhaft gespeichert; der Verarbeitungsweg wird pro Bild protokolliert (Routing-Log, ohne Bildinhalt).

• Geplanter zweiter Inferenzpfad: Für einen Teil der Stilklassen ist mittelfristig eine eigene, in der EU betriebene Inferenz-Infrastruktur vorgesehen. Dieser Pfad ist derzeit nicht in Betrieb; über ihn findet keine Verarbeitung statt. Vor Inbetriebnahme werden Anbieter und Region in dieser Erklärung und im Subprozessor-Register benannt und die Parks nach der 30-Tage-Regel informiert.

• Weitere US-verbundene Anbieter (Vercel, Supabase – US-Mütter): Verarbeitung in EU-Regionen; soweit Übermittlungen in die USA stattfinden, erfolgen sie auf Grundlage von DPF-Zertifizierung (Vercel) bzw. Standardvertragsklauseln (Supabase – kein eigener DPF-Eintrag).

Für US-Transfers wird ein Transfer Impact Assessment vorgehalten; DPF-Zertifizierungen werden vor Verlass darauf live geprüft. Kopien der Garantien sind auf Anfrage erhältlich.

6. Speicherdauer

7. Betroffenenrechte

Du hast das Recht auf Auskunft (Art. 15), Berichtigung (16), Löschung (17), Einschränkung (18), Datenübertragbarkeit (20) und Widerspruch (21). Erteilte Einwilligungen kannst du jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7(3)) – den Widerruf machen wir so einfach wie die Erteilung. Anfragen an max@ultido.com. Betrifft die Anfrage Marketing-Daten des Parks, leiten wir sie an den verantwortlichen Park weiter bzw. informieren dich über die Zuständigkeit.
Beschwerderecht: Du kannst dich bei einer Datenschutz-Aufsichtsbehörde beschweren – für die ULTIDO GmbH zuständig: Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW), oder die Behörde deines Aufenthaltsorts (z.B. AEPD in Spanien, APD/GBA in Belgien).

8. Pflicht zur Bereitstellung

Die Angabe der E-Mail-Adresse ist für die Account-Anlage und die Belohnungsausspielung erforderlich; ohne sie kann der Dienst nicht genutzt werden. Marketing- (b) und AI-Einwilligung (c) sind freiwillig; ihre Verweigerung hat keine Nachteile für Account oder Belohnung.

9. Automatisierte Entscheidung / Profiling

Eine automatisierte Entscheidungsfindung mit rechtlicher Wirkung i.S.d. Art. 22 findet nicht statt. Die parkübergreifende Persona dient der Wiedererkennung/Personalisierung des Spielerlebnisses, nicht der Bewertung mit rechtlicher Wirkung.

10. Minderjährige

Vor den optionalen Einwilligungen (b)/(c) steht eine Altersabfrage (Schwellen-Check, kein Geburtsdatum). Das Einwilligungsalter richtet sich nach dem Land des Parks (Art. 8 DSGVO): Deutschland 16, Spanien 14, Belgien 13. Unterhalb der Schwelle stehen Newsletter und AI-Bild-Funktion nicht zur Verfügung; Spiel und Belohnung sind davon unabhängig nutzbar.

11. Änderungen & Versionierung

Wir passen diese Erklärung bei Änderungen der Verarbeitung an. Maßgeblich ist die veröffentlichte Fassung mit Versionsnummer und Stand am Seitenende. Jede Fassung erhält eine Prüfsumme; frühere Fassungen bleiben mit ihrer Prüfsumme in der Änderungshistorie nachvollziehbar, damit jede erteilte Einwilligung der Textfassung zugeordnet werden kann, die dir angezeigt wurde.

Fassung 4.3.0 · Stand 23.09.2026

Prüfsumme: sha256-d64eea08d51e3fad5758d68597827b423a16d769706d46dacf6db1778dac9538

1. Verantwortlicher und Kontakt

Verantwortlich für die Plattform: ULTIDO GmbH, Rommerskirchener Straße 21, 50259 Pulheim, Deutschland, vertreten durch den Geschäftsführer Maximilian Lucas Arbeiter. Registergericht: Amtsgericht Köln, HRB 128940.
E-Mail: max@ultido.com · Tel.: +49 221 16535560.
Datenschutzbeauftragter: Maximilian Lucas Arbeiter, erreichbar unter max@ultido.com bzw. postalisch unter der oben genannten Anschrift mit dem Zusatz „Datenschutzbeauftragter".

2. Zwei Verantwortliche

• ULTIDO GmbH ist Verantwortlicher für: Spielprofil/Account, Spielstände, parkübergreifende Persona, AI-Bild-Funktion, Belohnungsausspielung inkl. Reward-Mail, Plattformbetrieb.

• Der jeweilige Park ist Verantwortlicher für die E-Mail-Werbung (Marketing-Lead). Bei der Erhebung handelt Ultido als Auftragsverarbeiter des Parks (Art. 28); nach Bestätigung des Double-Opt-In (doi_confirmed_at) wird der Datensatz an den Park übergeben (Verantwortlicher-zu-Verantwortlicher, Dok. 9). Name und Kontaktdaten des Parks nennt dir die App im Einwilligungsschritt, bevor du einwilligst; die Bestätigungs-E-Mail des Double-Opt-In wiederholt sie.

3. Verarbeitete Daten, Zwecke, Rechtsgrundlagen

Berechtigtes Interesse (Art. 6(1)(f)): sicherer, missbrauchsfreier Plattformbetrieb und Nachweisbarkeit von Einwilligungen und Verarbeitungswegen.

4. Empfänger und Auftragsverarbeiter (Art. 28)

Wir setzen die folgenden Kategorien von Auftragsverarbeitern ein (vollständiges, versioniertes Register: Subprozessoren-Seite auf ultido.com/legal bzw. Dok. 8):

Mit allen Auftragsverarbeitern bestehen Verträge nach Art. 28 DSGVO. Änderungen am Register werden versioniert und den Park-Verantwortlichen mit Frist mitgeteilt (Dok. 8).

5. Drittlandtransfer (Kapitel V DSGVO) – inkl. AI-Pfad

Unser Anwendungs-Hosting und die Datenbank laufen in EU-Regionen (Vercel fra1, Supabase eu-central-1). Daneben finden folgende Drittlandübermittlungen statt:

• Authentifizierung (Clerk): Verarbeitung in den USA. Grundlage: EU-US Data Privacy Framework (Angemessenheitsbeschluss, Durchführungsbeschluss (EU) 2023/1795); zusätzlich EU-Standardvertragsklauseln (Art. 46(2)(c), SCC 2021/914) als Fallback im DPA; EU-Vertreter des Anbieters: VeraSafe Ireland Ltd.

• E-Mail-Versand (Clerk/SendGrid): Bestätigungs-, Account- und Reward-Mails werden über Clerk versandt, das dafür SendGrid (Twilio Inc., USA) einsetzt. Übermittelt werden E-Mail-Adresse und Name. Grundlage: EU-US Data Privacy Framework, ergänzend Standardvertragsklauseln über das Clerk-DPA.

• AI-Bild-Stilisierung: Wo die AI-Funktion aktiviert ist, wird das Foto über Google Vertex AI verarbeitet; die Verarbeitung findet in der Region us-central1 (USA) statt, abgesichert über die EU-Standardvertragsklauseln des Google-Cloud-Auftragsverarbeitungszusatzes. Das Originalfoto wird nur transient verarbeitet und nicht dauerhaft gespeichert; der Verarbeitungsweg wird pro Bild protokolliert (Routing-Log, ohne Bildinhalt).

• Geplanter zweiter Inferenzpfad: Für einen Teil der Stilklassen ist mittelfristig eine eigene, in der EU betriebene Inferenz-Infrastruktur vorgesehen. Dieser Pfad ist derzeit nicht in Betrieb; über ihn findet keine Verarbeitung statt. Vor Inbetriebnahme werden Anbieter und Region in dieser Erklärung und im Subprozessor-Register benannt und die Parks nach der 30-Tage-Regel informiert.

• Weitere US-verbundene Anbieter (Vercel, Supabase – US-Mütter): Verarbeitung in EU-Regionen; soweit Übermittlungen in die USA stattfinden, erfolgen sie auf Grundlage von DPF-Zertifizierung (Vercel) bzw. Standardvertragsklauseln (Supabase – kein eigener DPF-Eintrag).

Für US-Transfers wird ein Transfer Impact Assessment vorgehalten; DPF-Zertifizierungen werden vor Verlass darauf live geprüft. Kopien der Garantien sind auf Anfrage erhältlich.

6. Speicherdauer

Details: Löschkonzept (Dok. 14).

7. Betroffenenrechte

Du hast das Recht auf Auskunft (Art. 15), Berichtigung (16), Löschung (17), Einschränkung (18), Datenübertragbarkeit (20) und Widerspruch (21). Erteilte Einwilligungen kannst du jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7(3)) – den Widerruf machen wir so einfach wie die Erteilung. Anfragen an max@ultido.com. Betrifft die Anfrage Marketing-Daten des Parks, leiten wir sie an den verantwortlichen Park weiter bzw. informieren dich über die Zuständigkeit (Prozess Dok. 16).
Beschwerderecht: Du kannst dich bei einer Datenschutz-Aufsichtsbehörde beschweren – für die ULTIDO GmbH zuständig: Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW), oder die Behörde deines Aufenthaltsorts (z.B. AEPD in Spanien, APD/GBA in Belgien).

8. Pflicht zur Bereitstellung

Die Angabe der E-Mail-Adresse ist für die Account-Anlage und die Belohnungsausspielung erforderlich; ohne sie kann der Dienst nicht genutzt werden. Marketing- (b) und AI-Einwilligung (c) sind freiwillig; ihre Verweigerung hat keine Nachteile für Account oder Belohnung.

9. Automatisierte Entscheidung / Profiling

Eine automatisierte Entscheidungsfindung mit rechtlicher Wirkung i.S.d. Art. 22 findet nicht statt. Die parkübergreifende Persona dient der Wiedererkennung/Personalisierung des Spielerlebnisses, nicht der Bewertung mit rechtlicher Wirkung.

10. Minderjährige

Vor den optionalen Einwilligungen (b)/(c) steht eine Altersabfrage (Schwellen-Check, kein Geburtsdatum). Das Einwilligungsalter richtet sich nach dem Land des Parks (Art. 8 DSGVO): Deutschland 16, Spanien 14, Belgien 13. Unterhalb der Schwelle stehen Newsletter und AI-Bild-Funktion nicht zur Verfügung; Spiel und Belohnung sind davon unabhängig nutzbar. Details: Dok. 6.

11. Änderungen & Versionierung

Wir passen diese Erklärung bei Änderungen der Verarbeitung an. Maßgeblich ist die im Dienst veröffentlichte, versionierte Fassung („Version X.Y · Stand TT.MM.JJJJ" + contentHash gem. handoff_web/index.json). Ältere Fassungen werden archiviert (append-only), damit erteilte Einwilligungen ihrer Textfassung zuordenbar bleiben.