Datenschutzerklärung

Stand: 10.09.2026

Kurz gesagt

Typical ist ein Spiel, in dem Menschen Sätze über andere Menschen schreiben. Das ist der Reiz des Spiels – und der Grund, warum diese Erklärung ausführlicher ist als bei einer App, die nur Punktestände zählt.

Wer verantwortlich ist

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:

Schwartz & Zuhmann GbR
Vertreten durch die Gesellschafter Gabriel Schwartz und Marcel Daniel Zuhmann
Badener Str. 122/1, 74074 Heilbronn
E-Mail: support@typical.cloud

Einen Datenschutzbeauftragten haben wir nicht benannt. Die Voraussetzungen des Art. 37 DSGVO liegen nicht vor: Wir sind keine Behörde, unsere Kerntätigkeit ist keine umfangreiche regelmäßige Überwachung, und wir verarbeiten keine besonderen Datenkategorien in großem Umfang. Fragen zum Datenschutz beantwortet die oben genannte Adresse.

Welche Daten wir verarbeiten, wozu und auf welcher Grundlage

Rechtsgrundlage ist durchgehend Art. 6 Abs. 1 lit. b DSGVO – die Verarbeitung ist zur Erfüllung des Nutzungsvertrags erforderlich. Wo eine andere Grundlage gilt, steht sie ausdrücklich dabei.

Die Angabe dieser Daten ist weder gesetzlich noch vertraglich vorgeschrieben. Sie ist aber für die Nutzung erforderlich: Ohne sie kann das Spiel nicht stattfinden. Was freiwillig ist, ist unten so bezeichnet.

Eine automatisierte Entscheidungsfindung oder ein Profiling nach Art. 22 DSGVO findet nicht statt. Wir treffen keine Entscheidungen über dich. Zwei Vorgänge laufen maschinell und stehen deshalb ausdrücklich hier: der Wortfilter, der eine einzelne Nachricht oder Vorhersage abweisen kann, und der Abgleich deiner Absenderadresse, wenn du dem Support schreibst. Beide entscheiden über einen einzelnen Vorgang, nicht über dich als Person. Was der Rückblick zeigt – wie oft du mit jemandem gespielt hast, welche deiner Sätze eintrafen –, rechnet die App auf deinem Gerät aus Runden, die ohnehin dort liegen; diese Auswertungen siehst nur du, sie gehen an keinen Server und an niemanden sonst.

Vorhersagen: Daten über andere Menschen

Das ist der ungewöhnlichste Teil dieser App, und wir sagen ihn deshalb offen.

Eine Vorhersage ist ein Satz, den du über eine andere Person schreibst – „verschläft das Frühstück“, „erzählt dieselbe Geschichte zweimal“. Rechtlich ist das ein personenbezogenes Datum über einen Dritten, erhoben nicht bei ihm selbst. Wir speichern diesen Satz zusammen mit der Angabe, wer ihn geschrieben hat und über wen er geht.

Was das für dich als Schreibenden bedeutet. Du entscheidest, was dort steht. Schreibe nur, was du der Person auch ins Gesicht sagen würdest. Und schreibe nichts, was besonders geschützte Daten preisgibt: Gesundheit, Sexualleben oder sexuelle Orientierung, Religion oder Weltanschauung, politische Meinung, Gewerkschaftszugehörigkeit, ethnische Herkunft oder biometrische Daten. Für solche Angaben gibt es in diesem Spiel keine Rechtsgrundlage, und sie gehören dort nicht hin. Die App warnt dich bei groben Wörtern, aber sie kann einen Satz nicht verstehen – die Verantwortung dafür, was du schreibst, bleibt bei dir.

Was das für dich als beschriebene Person bedeutet. Sätze über dich entstehen in einer Runde, der du beigetreten bist, und sie werden nur den Mitspielern dieser Runde gezeigt. Du kannst jederzeit verlangen, zu erfahren, was über dich gespeichert ist, und die Löschung verlangen – auch dann, wenn ein anderer den Satz geschrieben hat. Wie das geht, steht unter „Deine Rechte“.

Was das für uns bedeutet. Kein Mensch bei uns liest diese Sätze mit, und wir werten sie nicht aus. Der Server speichert den Spielstand als Ganzes und deutet ihn nicht. Eine Ausnahme läuft maschinell: Bevor ein Satz gespeichert wird, hält der Server ihn gegen eine feste Liste grober Ausdrücke und weist ihn ab, wenn er darauf passt – wortweise, ohne den Zusammenhang zu verstehen. Ansehen tut einen Inhalt erst ein Mensch, wenn er uns gemeldet wird – siehe die Nutzungsbedingungen.

Die Spielregel „niemand sieht, was über ihn steht“ – und dein Auskunftsrecht

Der Kern des Spiels ist, dass die Sätze über dich vor dir verborgen bleiben, bis sie eingetreten sind. Das ist eine Spielregel, kein Geheimhaltungsversprechen, und wir müssen an dieser Stelle deutlich sein:

Dein Auskunftsrecht aus Art. 15 DSGVO geht der Spielregel vor. Wenn du uns fragst, was über dich gespeichert ist, bekommst du es – auch die noch verborgenen Sätze, auch die Angabe, wer sie geschrieben hat. Wir dürfen dir das nicht verweigern, und wir werden es nicht versuchen.

Rechne damit, dass die Antwort dir das Spiel verdirbt. Dieser Absatz steht deshalb hier und nicht im Kleingedruckten: Du sollst von diesem Weg wissen, bevor du ihn versehentlich gehst.

Der Chat in der Runde

Zu jeder Runde gehört ein Chat: ein Kanal für alle, im Gruppenmodus zusätzlich einer nur fürs eigene Team.

Gespeichert werden dein Text, der Kanal, deine Spielerkarte, dein Konto und der Zeitpunkt. Zweck ist die Verständigung während der Runde, Rechtsgrundlage Art. 6 Abs. 1 lit. b DSGVO. Lesen kann eine Nachricht nur, wer im selben Kanal ist – der Teamkanal ist für das andere Team unerreichbar, und das ist keine Regel der Anzeige, sondern am Server durchgesetzt. Einen Kanal zwischen zwei einzelnen Personen gibt es nicht.

Vor dem Speichern hält der Server jede Nachricht gegen eine feste Liste grober Ausdrücke – Beleidigungen, Herabsetzungen wegen Herkunft, Glauben, Geschlecht oder Behinderung, Aufrufe zu Gewalt. Passt sie darauf, wird sie abgewiesen und gar nicht erst gespeichert. Das läuft maschinell, ohne dass jemand mitliest, und entscheidet über die einzelne Nachricht, nicht über dich. Für Vorhersagen gilt dasselbe.

Der Chat verschwindet mit der Runde. Endet sie ohne Bingo, wird er sofort gelöscht; endet sie mit einem Bingo, 24 Stunden danach – so lange lässt sich das Bingo noch zurücknehmen, und eine zurückgenommene Runde liefe sonst mit leerem Chat weiter. Wird die Runde gelöscht, geht er mit ihr.

Im Alltag liest niemand mit. Wir sehen eine Nachricht erst an, wenn sie uns gemeldet wird.

Meldungen, Ausblendungen und Sperren

Eine Meldung hält fest, wer gemeldet hat, gegen wen sie sich richtet, den Grund, deinen Hinweis und den Wortlaut des gemeldeten Inhalts zum Zeitpunkt der Meldung. Den Wortlaut kopieren wir mit, weil er sonst verschwinden könnte, bevor wir ihn ansehen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. c DSGVO: Art. 16 der Verordnung (EU) 2022/2065 (Gesetz über digitale Dienste) verpflichtet uns, Meldungen entgegenzunehmen und zu bearbeiten. Wir bewahren eine Meldung auf, solange wir sie brauchen, um den Fall zu bearbeiten und einen wiederholten Verstoß zu erkennen.

Eine Ausblendung hält nur fest, wer wen ausblendet. Die ausgeblendete Person erfährt davon nichts – weder die App noch der Server bieten einen Weg, das herauszufinden. Du kannst sie jederzeit zurücknehmen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO: Es ist deine eigene Einstellung.

Eine Sperre vom Schreiben hält das betroffene Konto, den Grund und die Dauer fest. Sie ist die letzte Stufe nach einer Meldung. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO – unser berechtigtes Interesse daran, die übrigen Mitspieler zu schützen.

Und wir schreiben mit, was wir selbst tun. Greift unser Support in Daten ein – etwa, weil jemand die Löschung seiner Texte verlangt –, halten wir fest, welches Konto betroffen war, was geschah, warum, und worauf sich die Identität stützte. Ohne diesen Nachweis ließe sich hinterher nicht klären, ob der Eingriff berechtigt war. Diese Zeilen bleiben auch nach einer Kontolöschung stehen; Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO.

Profilbild

Statt eines Sinnbilds kannst du ein Foto setzen. Es wird auf deinem Gerät auf rund 4 Kilobyte verkleinert und reist dann als Teil des Spielstands zu allen Mitspielern deiner Runden und auf unseren Server. Dort liegt es so, dass wir es technisch lesen könnten – wie jeden anderen Teil des Spielstands auch.

Ein Foto von dir ist ein personenbezogenes Datum, und es ist freiwillig. Das Sinnbild ist der Normalfall und tut es genauso. Wenn du ein Foto setzt, auf dem noch jemand anderes zu sehen ist, brauchst du dafür dessen Einverständnis.

Löschst du dein Konto, verliert die Spielerkarte ihren Namen und ihr Bild.

Anmeldung mit Apple oder Google

Ohne Anmeldung funktioniert alles – nur bleiben deine Runden an dieses eine Gerät gebunden. Wer sie auf einem zweiten Gerät nutzen will, meldet sich an.

Bei „Anmelden mit Apple“ fragen wir bewusst nur den Namen ab, nicht die E-Mail-Adresse. Unser Server ist so eingestellt, dass er Konten ohne E-Mail-Adresse annimmt. Deinen Namen tragen wir beim ersten Mal als Anzeigenamen ein; du kannst ihn danach ändern.

Bei „Anmelden mit Google“ übermittelt Google im Rahmen des Anmeldeverfahrens deine E-Mail-Adresse und deinen Namen an unseren Anmeldedienst. Die E-Mail-Adresse dient allein dazu, dein Konto wiederzuerkennen. Wir verschicken darüber keine Nachrichten.

In beiden Fällen erfährt Apple beziehungsweise Google, dass du dich bei Typical angemeldet hast. Auf deren eigene Verarbeitung haben wir keinen Einfluss; es gelten deren Datenschutzhinweise.

Mitteilungen auf dein Gerät

Wenn du Mitteilungen erlaubst, meldet die App ein Gerätezeichen an unseren Server – eine von Apple beziehungsweise Google vergebene Kennung, an die eine Mitteilung zugestellt werden kann. Sie steht in einer Tabelle, die von außen weder gelesen noch beschrieben werden kann. Zusammen mit ihr übermitteln wir die Sprache, die du in der App eingestellt hast – allein dafür, dass die Mitteilung in deiner Sprache ankommt; ableiten kann der Server sie nicht.

Der Weg der Mitteilung führt zwangsläufig über Apple (APNs) beziehungsweise Google (Firebase Cloud Messaging). Diese Dienste sehen dabei den Inhalt der Mitteilung.

Die Mitteilung enthält den Namen der Runde und den eingetretenen Satz im Klartext – zum Beispiel „Kim – verschläft das Frühstück“. Das steht damit auf deinem Sperrbildschirm und ist für jeden lesbar, der danebensteht. Verschickt wird nur, was ohnehin schon eingetreten und für alle sichtbar ist; trotzdem kannst du in den Einstellungen deines Geräts festlegen, dass Vorschauen erst nach dem Entsperren erscheinen.

Erlaubst du keine Mitteilungen, wird auch kein Gerätezeichen übertragen. Du kannst das jederzeit in den Systemeinstellungen zurücknehmen.

Werbung

Werbung in dieser App ist ausschließlich kontextbezogen. Dieser Abschnitt gilt überall dort, wo eine Anzeige eingeblendet wird.

Nur kontextbezogen. Wir bilden kein Nutzerprofil, lesen keine Werbekennung deines Geräts aus, erkennen dich nicht über Apps oder Dienste hinweg wieder und werten dein Verhalten nicht aus. Welche Anzeige erscheint, hängt allenfalls davon ab, an welcher Stelle der App sie steht.

Wer die Anzeigen ausliefert: Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland, über die Dienste AdMob (in den Apps) und AdSense (im Browser). Beim Abruf einer Anzeige erfährt Google deine IP-Adresse und grobe technische Angaben deines Geräts; das entsteht bei jedem Abruf aus dem Netz. Zusätzlich legt der Werbe-Baustein Angaben auf deinem Gerät ab – unter anderem, um zu begrenzen, wie oft dieselbe Anzeige erscheint, und um Missbrauch zu erkennen.

Was Google nie erfährt: Vorhersagen, Spielernamen, Rundennamen, Profilbilder und deine Konto-ID. Diese Daten verlassen den Spielbetrieb nicht, und das ist zugleich Bestandteil des Vertrags mit dem Werbepartner.

Deshalb fragen wir dich vorher. Weil auf deinem Gerät gespeichert und gelesen wird, greift § 25 Abs. 1 TDDDG: Bevor die erste Anzeige geladen wird, erscheint ein Einwilligungsbildschirm. Erteilst du die Einwilligung nicht, wird keine Anzeige geladen. Rechtsgrundlage für die Verarbeitung ist dann deine Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO.

Du kannst jederzeit widerrufen – in den Einstellungen bei „Einwilligung zur Werbung" – in den Apps unter „Rechtliches", im Browser direkt in den Einstellungen. Der Widerruf wirkt ab sofort; die Rechtmäßigkeit der Verarbeitung bis dahin bleibt davon unberührt.

Käufe in der App

Kaufst du eine kostenpflichtige Zusatzfunktion, läuft der Kauf über den App Store oder Google Play, und Vertragspartner ist der jeweilige Ladenbetreiber. Dort fallen die Zahlungsdaten an, und dort gelten dessen Datenschutzhinweise.

Wir erfahren davon nur, dass für dein Konto ein Kauf gilt – eine Bestätigung des Ladens samt Vorgangskennung. Keine Kartennummer, keine Rechnungsanschrift, keinen Namen.

Wer die Daten sonst zu sehen bekommt

Wir verkaufen keine Daten und geben keine zu Werbezwecken weiter. Beteiligt sind ausschließlich die Dienstleister, ohne die der Betrieb nicht möglich ist:

Supabase betreibt Datenbank und Anmeldedienst. Die Daten liegen in Frankfurt am Main. Supabase ist unser Auftragsverarbeiter nach Art. 28 DSGVO. Das Unternehmen hat seinen Sitz in den Vereinigten Staaten; ein Zugriff aus einem Drittland im Rahmen von Wartung und Störungsbehebung lässt sich deshalb nicht ausschließen. Für diesen Fall sind die Standardvertragsklauseln der EU-Kommission vereinbart (Art. 46 Abs. 2 lit. c DSGVO).

Hostinger (Hostinger International Ltd., Zypern) betreibt die Netzseiten unter typical.cloud und das Postfach support@typical.cloud – die Adresse also, an die du dich mit jedem Anliegen wendest. Auftragsverarbeiter nach Art. 28 DSGVO, Rechenzentrum in Deutschland.

Ein Support-Assistent liest die Post an diese Adresse vor. Er läuft bei Anthropic, die Zustellung dorthin vermittelt ein Dienst bei Google Cloud; beide sind unsere Auftragsverarbeiter nach Art. 28 DSGVO. Der Assistent darf zweierlei selbst erledigen, und nur für dein eigenes Konto und nur, wenn deine Absenderadresse zu dem Konto passt: es löschen und deine eigenen Vorhersagetexte zurücknehmen. Alles andere – jedes Auskunftsersuchen, jede Entfernung fremder Inhalte, jede Löschung einer Runde – entscheidet ein Mensch.

Apple und Google stellen die Mitteilungen zu, siehe oben, und wickeln die Anmeldung ab, wenn du sie nutzt.

Apple und Google vertreiben außerdem die App. Was in ihren Läden über einen Kauf oder eine Installation anfällt, verarbeiten sie eigenverantwortlich; wir erhalten davon nur zusammengefasste Zahlen ohne Personenbezug.

Ein Werbepartner, wo eine Anzeige eingeblendet wird – siehe den eigenen Abschnitt oben. Er erhält keine Spielinhalte.

Darüber hinaus geben wir Daten nur weiter, wenn wir gesetzlich dazu verpflichtet sind.

Was dein Gerät nie verlässt

Manches bleibt bewusst lokal und wird nie übertragen:

Die Web-App im Browser

Wer ohne App mitspielt, nutzt die Web-Fassung. Dort gilt zusätzlich:

Im lokalen Speicher deines Browsers (`localStorage`) liegt, was der Betrieb zwingend braucht: die Kennung deiner Anmeldesitzung, die zuletzt geöffnete Runde, dein Wiederkehr-Link, deine Sprachwahl, deine Zustimmung zu den Inhaltsregeln und die Marke, welche Chatnachrichten du schon gesehen hast. Das ist nach § 25 Abs. 2 Nr. 2 TDDDG unbedingt erforderlich, damit der von dir ausdrücklich gewünschte Dienst funktioniert – wir fragen dich deshalb nicht um Erlaubnis und setzen dir kein Banner vor. Ein Analysewerkzeug binden wir nicht ein.

Wo eine Anzeige eingeblendet wird, kommen Einträge des Werbe-Bausteins dazu – etwa, wie oft eine Anzeige schon erschienen ist. Sie entstehen erst, wenn er läuft, und für ihn gilt der Abschnitt „Werbung“ oben: Ohne deine Einwilligung wird keine Anzeige geladen.

Ein Browser verliert seine Anmeldung, sobald die Seitendaten gelöscht werden. Damit du danach wieder in deine Runde kommst, hinterlegen wir auf unserem Server die Prüfsumme eines Geheimnisses, das in deinem persönlichen Wiederkehr-Link steckt. Aus der Prüfsumme lässt sich das Geheimnis nicht zurückrechnen. Der Link selbst liegt im Speicher deines Browsers, das Geheimnis darin also auch; mit den Seitendaten ist er weg. Wer den Link hat, kommt in deine Rolle – behandle ihn wie ein Passwort.

Wie lange wir speichern

Die Fristen der einzelnen Daten stehen oben. Für die Runde selbst gibt es keine feste Frist: Sie bleibt gespeichert, solange sie in der App wenigstens eines Mitspielers liegt. Der Grund ist der Zweck – ein gemeinsamer Rückblick auf eine Urlaubswoche ergibt noch Jahre später Sinn, und ein Verfallsdatum nähme ihn allen Beteiligten zugleich.

Gelöscht wird sie, wenn der letzte Mitspieler mit Konto sein Konto löscht. Löschst du eine Runde in deiner Liste, verschwindet sie nur bei dir – für die übrigen Mitspieler läuft sie weiter, und die Daten bleiben, solange die Runde bei wenigstens einem Mitspieler mit Konto liegt.

Für den Chat und für Meldungen gelten eigene Fristen. Sie stehen in den beiden Abschnitten weiter oben.

Wenn du dein Konto löschst

In den Einstellungen unter „Konto löschen“. Das läuft sofort und ohne Rückfrage bei uns ab. Dabei geschieht der Reihe nach:

  1. Bist du Gastgeber einer Runde, geht das Amt an einen anderen Mitspieler über. Sonst verlöre die ganze Gruppe ihre Runde, weil eine Person geht.
  2. Ist niemand sonst mit Konto in der Runde, wird die Runde gelöscht.
  3. In jeder Runde, in der du als Spieler stehst, verlieren Name, Sinnbild und Bild ihren Inhalt, und die Verbindung zu deinem Konto fällt weg. Die Spielerkarte heißt danach „—“.
  4. Deine Chatnachrichten, deine Meldungen, deine Ausblendungen und dein Gerätezeichen für Mitteilungen fallen weg.
  5. Deine Mitgliedschaften und dein Konto werden gelöscht.

Was bleibt, sind die Vorhersagetexte. Sie gehören zur Runde, nicht zu deiner Person: Ein Satz, den du über jemanden geschrieben hast, ist Teil des gemeinsamen Spielstands der anderen. Nach der Löschung zeigt seine Urheberschaft auf eine namenlose Karte. Willst du auch die Texte gelöscht haben, wende dich an die oben genannte Adresse – dann prüfen wir das im Einzelfall gegen die Interessen der übrigen Mitspieler.

Und eines bleibt, wenn unser Support eingegriffen hat: die Zeile, die festhält, dass er es getan hat – siehe „Meldungen, Ausblendungen und Sperren“.

Deine Rechte

Dir stehen zu:

Wende dich dafür an support@typical.cloud. Wir antworten innerhalb eines Monats.

Wie wir sicherstellen, dass du es bist. Wir dürfen deine Daten nicht an eine fremde Person geben, die sich für dich ausgibt. Deshalb brauchen wir einen Anhaltspunkt – und den bringt die App von selbst mit: Schreib uns über Einstellungen → Support & Feedback. Die Mail, die sich dann öffnet, trägt deine Konto-ID schon im Text. Mehr brauchen wir nicht.

Geht das nicht – weil du die App nicht mehr hast oder lieber auf anderem Weg schreibst –, hängt es davon ab, wie du spielst:

Wenn wir dich nicht identifizieren können. Für Runden, die ganz ohne Konto gespielt wurden, ist die Spielerkarte mit keiner Person verknüpft – wir wissen dann nicht, wer dahintersteht, und können es auch nicht herausfinden. In solchen Fällen sind wir nach Art. 11 DSGVO nicht verpflichtet, allein zur Identifizierung zusätzliche Daten zu erheben, und die Rechte aus Art. 15 bis 20 laufen ins Leere. Du kannst uns aber jederzeit zusätzliche Angaben schicken, die eine Zuordnung möglich machen; dann bearbeiten wir dein Anliegen.

Du kannst dich außerdem bei einer Datenschutz-Aufsichtsbehörde beschweren (Art. 77 DSGVO), insbesondere in dem Land deines gewöhnlichen Aufenthalts oder am Sitz des Verantwortlichen. Zuständig für uns ist der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg (LfDI Baden-Württemberg).

Kinder und Jugendliche

Typical richtet sich an Personen ab 13 Jahren. Den Nutzungsvertrag erfüllen wir auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO; auf die Altersgrenze des Art. 8 DSGVO kommt es dafür nicht an. Für Minderjährige gilt aber, dass ihre Erziehungsberechtigten dem Nutzungsvertrag zustimmen müssen. Bei der Werbung ist das anders: Sie beruht auf deiner Einwilligung, und dafür gilt Art. 8 DSGVO – in Deutschland ab 16 Jahren. Wer jünger ist, braucht dafür die Zustimmung der Erziehungsberechtigten. Ohne Einwilligung erscheint schlicht keine Anzeige.

An Erziehungsberechtigte: Das Spiel besteht darin, dass Kinder Sätze über andere Kinder schreiben, die diese nicht zu sehen bekommen. Sehen Sie sich die App an, bevor Sie zustimmen.

Sicherheit

Alle Verbindungen laufen verschlüsselt (TLS). Auf dem Server sorgen zeilenweise Zugriffsregeln dafür, dass ein Konto nur die Runden sehen kann, in denen es Mitspieler ist – die Regel „niemand sieht, was über ihn selbst steht“ ist nicht nur in der App eingebaut, sondern auch am Server durchgesetzt. Gerätezeichen und Wiederkehr-Prüfsummen sind von außen weder les- noch schreibbar. Diese Regeln werden bei jeder Änderung automatisch dagegen geprüft, dass sie sich brechen lassen.

Einen absoluten Schutz kann niemand versprechen. Wird uns eine Verletzung des Schutzes personenbezogener Daten bekannt, melden wir sie nach Art. 33 DSGVO innerhalb von 72 Stunden der Aufsichtsbehörde und benachrichtigen bei hohem Risiko auch dich.

Änderungen dieser Erklärung

Ändert sich, was die App tut, ändert sich diese Erklärung mit. Die jeweils gültige Fassung steht in der App unter Einstellungen und im Netz unter der oben genannten Adresse. Das Datum oben sagt, welchen Stand du liest.