Datenschutzhinweise

Stand: 2. Oktober 2026

Holy Trinity ist eine private, kostenlose Beta für Leute, die eingeladen wurden. Hier steht, welche Daten wir speichern, wofür und wer sie sieht.

Verantwortlich

Maximilian Geigis (Privatperson)
E-Mail: mgeigis@gmail.com

Was wir speichern und warum

Konto: deine E-Mail-Adresse und dein Passwort (nur als Hash). Für Anmeldung und Passwort-Zurücksetzen. Rechtsgrundlage: Vertrag (Art. 6 Abs. 1 lit. b DSGVO).
Profil: dein Benutzername und dein Profilbild. Damit dich andere im Spiel erkennen (lit. b).
Spiel: die Trinities, die du erstellst (Text oder Bild), deine Antworten, XP, Level und Trinity Scores (lit. b).
Freunde: Freundschaften, Freundschaftsanfragen und Blockierungen (lit. b).
Einladung: mit welchem Einladungscode du dich registriert hast, also über welchen Freund du gekommen bist. Das sehe nur ich. Berechtigtes Interesse an einer Beta nur für eingeladene Leute (lit. f).
Feedback: Nachrichten, die du über die Feedback-Seite schickst, mit Browser, Gerät und App-Version. Das sehe nur ich. Berechtigtes Interesse, die App zu verbessern und Fehler zu beheben (lit. f).
Fehlerberichte: wenn etwas schiefgeht, was passiert ist, auf welcher Seite und in welchem Browser. Ohne Nutzer-ID, E-Mail, Benutzername, IP-Adresse oder Passwort. Berechtigtes Interesse, Fehler zu finden (lit. f).
Technische Daten: IP-Adresse und Zugriffsprotokolle bei unseren Dienstleistern, für Sicherheit und Betrieb (lit. f).

Wir erheben keine echten Namen, Telefonnummern, Standortdaten (Fotos verlieren GPS- und andere Metadaten schon vor dem Hochladen), Kontakte, Analyse- oder Werbe-IDs.

Ein neues Passwort wird gegen die Datenbank von Have I Been Pwned geprüft. Dabei verlassen nur die ersten fünf Zeichen seines SHA-1-Hashes unseren Server, nie das Passwort oder deine E-Mail-Adresse.

Bitte schreib keine sensiblen Daten (z. B. über Gesundheit oder Religion) über dich oder andere in Things.

Wer was sieht

Benutzername und Profilbild sehen alle angemeldeten Nutzer.
Invite-Trinities sehen ihre Mitspieler, nach der Auflösung auch deren Freunde.
Freundes-Trinities sehen alle Freunde der Person, die sie erstellt hat.
Jedes neue Konto ist von Anfang an mit dem Konto des Betreibers (ElCid) befreundet. Der Betreiber sieht deshalb wie jeder Freund deine Freundes-Trinities und dein Profil. Du kannst die Freundschaft jederzeit beenden.
Community-Trinities (Thing, Bild und Benutzername der Person, die sie erstellt hat) sehen alle Nutzer und, über Link-Vorschauen, alle, die den Link haben. Von den Antworten wird dort nur der Durchschnitt gezeigt, nie einzelne Antworten, außer Freunden im Profil der Person, die geantwortet hat.
Wer den Link zu einer Trinity bekommt, auch weitergeleitet, sieht ihr Thing oder Bild in der Link-Vorschau des Chats und auf der Seite, auch ohne Anmeldung, dazu bei Freundes- und Invite-Trinities den Benutzernamen der Person, die sie erstellt hat. Antworten sieht dort niemand.

Dienstleister

Diese Unternehmen verarbeiten Daten in unserem Auftrag, jeweils mit einem Auftragsverarbeitungsvertrag:

Supabase: Datenbank, Anmeldung, Dateispeicher. Server in Frankfurt.
Vercel: Hosting der App. Server in Frankfurt, Auslieferung weltweit.
Resend: Versand der E-Mails zur Anmeldung. Server in Irland.
Sentry: Fehlerberichte. Server in der EU.

Deine Daten werden in der EU gespeichert und verarbeitet. Die vier Anbieter sind US-Unternehmen; soweit dabei im Einzelfall Daten in die USA gelangen (z. B. bei Support-Zugriffen), geschieht das auf Grundlage des EU-US Data Privacy Framework oder der EU-Standardvertragsklauseln.

Cookies und Speicher im Browser

Wir speichern nur, was für die App nötig ist: Cookies, die dich angemeldet halten, eine noch nicht abgeschickte Antwort (localStorage) und wohin du zurückkehrst (sessionStorage). Dafür ist keine Einwilligung nötig (§ 25 Abs. 2 TDDDG), deshalb gibt es kein Cookie-Banner. Kein Tracking, keine Werbung, keine Analyse.

Wie lange wir Daten speichern

Bis du dein Konto löschst. Das geht jederzeit in den Kontoeinstellungen. Danach werden E-Mail, Passwort, Profilbild, Freunde und XP gelöscht, und dein Benutzername wird durch einen zufälligen ersetzt. Trinities, die du erstellt hast, und deine Antworten bleiben als Teil der Spiele anderer erhalten und erscheinen als „Gelöschter Nutzer“. Feedback bleibt, zeigt aber nicht mehr, von wem es kam. Zugriffsprotokolle und Fehlerberichte löschen die Dienstleister nach kurzer Zeit.

Deine Rechte

Du hast das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung und Datenübertragbarkeit (Art. 15–18, 20 DSGVO) sowie auf Widerspruch gegen Verarbeitungen, die auf berechtigtem Interesse beruhen (Art. 21). Benutzername, Profilbild und Löschung kannst du selbst in der App ändern. Für alles andere schreib mir an mgeigis@gmail.com. Ich antworte innerhalb eines Monats.

Außerdem kannst du dich bei einer Datenschutz-Aufsichtsbehörde beschweren (Art. 77 DSGVO).

Sonstiges

Du musst keine Daten angeben, aber ohne E-Mail-Adresse und Benutzernamen ist kein Konto möglich. Es gibt keine automatisierten Entscheidungen im Sinne von Art. 22 DSGVO.

Diese Hinweise können sich ändern. Über wesentliche Änderungen informiere ich dich direkt. Siehe auch die Hausregeln.

Privacy notice

Last updated: 2 October 2026

This is a translation. If the two versions differ, the German one applies.

Holy Trinity is a private, free beta for people who were invited. This page explains which data we store, why, and who sees it.

Who is responsible

Maximilian Geigis (private individual)
Email: mgeigis@gmail.com

What we store and why

Account: your email address and your password (only as a hash). For signing in and resetting your password. Legal basis: contract (Art. 6(1)(b) GDPR).
Profile: your username and profile picture, so others recognize you in the game ((b)).
Game: the Trinities you create (text or picture), your answers, XP, levels and Trinity Scores ((b)).
Friends: friendships, friend requests and blocks ((b)).
Invitation: which invite code you signed up with, and so which friend you came through. Only I see this. Legitimate interest in a beta that's only for invited people ((f)).
Feedback: messages you send through the feedback page, with browser, device and app version. Only I see them. Legitimate interest in improving the app and fixing bugs ((f)).
Error reports: when something goes wrong, what happened, on which page and in which browser. Without user ID, email, username, IP address or password. Legitimate interest in finding errors ((f)).
Technical data: IP address and access logs at our service providers, for security and operation ((f)).

We don't collect real names, phone numbers, location (photos lose their GPS and other metadata before they're uploaded), contacts, or analytics or advertising IDs.

A new password is checked against the Have I Been Pwned database. Only the first five characters of its SHA-1 hash leave our server, never the password or your email address.

Please don't put sensitive data (e.g. about health or religion) about yourself or others in Things.

Who sees what

Every signed-in user sees usernames and profile pictures.
Invite Trinities are seen by their players, and after the reveal also by the players' friends.
Friends Trinities are seen by all friends of the person who created them.
Every new account starts out as a friend of the owner's account (ElCid), so the owner sees your Friends Trinities and profile like any friend. You can end the friendship at any time.
Community Trinities (the Thing, picture and creator's username) are seen by every user and, through link previews, by anyone with the link. Only the average of the answers is shown there, never individual answers, except to friends on the profile of the person who answered.
Anyone who gets the link to a Trinity, also when it's forwarded, sees its Thing or picture in the chat's link preview and on the page, even without logging in, and for Friends and Invite Trinities the username of the person who created it. Nobody sees any answers there.

Service providers

These companies process data on our behalf, each under a data processing agreement:

Supabase: database, sign-in, file storage. Servers in Frankfurt.
Vercel: hosting the app. Servers in Frankfurt, delivery worldwide.
Resend: sending sign-in emails. Servers in Ireland.
Sentry: error reports. Servers in the EU.

Your data is stored and processed in the EU. The four providers are US companies; where data reaches the US in individual cases (e.g. for support access), this is based on the EU-US Data Privacy Framework or the EU Standard Contractual Clauses.

Cookies and browser storage

We only store what the app needs: cookies that keep you signed in, an answer you haven't sent yet (localStorage) and where to take you back to (sessionStorage). This needs no consent (Section 25(2) TDDDG), so there's no cookie banner. No tracking, no advertising, no analytics.

How long we keep data

Until you delete your account, which you can do at any time on the account page. Then your email, password, profile picture, friends and XP are deleted, and your username is replaced with a random one. Trinities you created and your answers stay as part of other people's games and show as “Deleted user”. Feedback stays, but no longer shows who sent it. Service providers delete access logs and error reports after a short time.

Your rights

You have the right to access, rectification, erasure, restriction of processing and data portability (Art. 15–18, 20 GDPR), and to object to processing based on legitimate interest (Art. 21). You can change your username and picture and delete your account yourself in the app. For anything else, write to me at mgeigis@gmail.com. I reply within a month.

You can also complain to a data protection authority (Art. 77 GDPR).

Other

You don't have to provide any data, but without an email address and a username there's no account. There are no automated decisions within the meaning of Art. 22 GDPR.

This notice may change. I'll tell you directly about material changes. See also the house rules.