Privacy Policy

last updated: 2026-09-29·en·MIMIC for iOS and Android

§ 1Controller

Oliver Oklitz
Maxstraße 13
45479 Mülheim an der Ruhr
Germany
Email: hello@findthemimic.com

§ 2Scope

This policy applies to the MIMIC iOS app, to the MIMIC Android app once it is released, to their game server at api.mimikry.oklitz.net, and to this website, findthemimic.com. Statements about Android apply to the Android app once it is released; until then, only § 15 concerns Android. The website sets no cookies and does not track you. Some of its pages (the home page and the link pages /get, /tt, /ig, /android and /c) load Cloudflare Web Analytics, a cookieless measurement that counts page views without storing anything on your device and without recognising you across visits or on other sites. Apart from that beacon, the site sends only what you type into the Android waitlist form (§ 15) and the result of a challenge you play (§ 16).

You can play the tutorial and the offline modes without an account. In that case nothing leaves your device and nothing below applies.

§ 3Sign-In with Apple and Google

On iOS, accounts use Sign in with Apple. The app requests no personal scopes at all: not your name, not your email address, not even Apple's anonymised relay address. Apple confirms your identity, and we store only the pseudonymous user identifier Apple issues for this app. That identifier cannot be used to contact you, and cannot be used to recognise you in any other app.

In the Android app, accounts use Sign-In with Google, provided by Google Ireland Limited (Gordon House, Barrow Street, Dublin 4, Ireland). Google confirms your identity and hands the app a signed token, which the app sends to our server. The server checks the token against Google's public keys and stores only the pseudonymous Google account identifier (the “sub” value). Your email address is not stored. Technically the token can contain further details such as your email address or name; our server does not store or pass them on, and does not keep the token. Unlike Apple's identifier, Google's identifier is the same for your Google account in every app that uses Google Sign-In. We use it only to find your MIMIC account, cannot use it to contact you, and never share it.

Transfer to the USA. Google may process sign-in data outside the European Union, including in the United States. The transfer is based on the European Commission's Standard Contractual Clauses and, where applicable, Google's certification under the EU-US Data Privacy Framework. The USA does not offer a level of data protection equivalent to the GDPR; in particular, access by public authorities cannot be ruled out.

Moving your account to another device. In the app's settings you can move your account to a device that uses a different sign-in (for example from an iPhone to an Android phone). The old device shows a six-character code, valid for ten minutes. On our server the code exists only in temporary memory, together with your account number, and is deleted when it is used or expires. When you enter it on the new device, that device's sign-in identifier (Apple or Google) is attached to your existing account, and an empty account the new device may have just created is deleted. Failed attempts are counted for ten minutes per account and per IP address, in temporary memory only.

Legal basis: Art. 6(1)(b) GDPR (performance of a contract, providing the game).

§ 4What Is Stored

Account. The Apple or Google user identifier you sign in with (after an account transfer, more than one), the gamer tag you choose, your figure colour and avatar selection, your level and XP, your league standing, and whether you have bought an ad-free option.

Gameplay. Matches, rounds, where a Mimic was hidden, where you tapped, how long you took, how many misses, and the resulting points. The server calculates these itself rather than trusting the app. That is what stops a modified client from inventing results.

Device and notifications. If you allow notifications: your push token (on iOS Apple's push token, on Android the Firebase Cloud Messaging registration token), the platform, your language and your time zone. The time zone exists so that a "your turn" notification does not arrive at three in the morning.

Purchase. If you make a purchase, the product identifier, the store it came from (Apple or Google Play), the time we verified it, and the store's transaction identifier. On Android that is the purchase token, which identifies the purchase at Google Play and is what a refund refers to. On iOS the signed receipt is verified and then discarded. It is not stored.

Legal basis: Art. 6(1)(b) GDPR, and Art. 6(1)(f) for the limited abuse-prevention records described in § 10.

§ 5What Is Never Collected

Stated plainly, because the list matters more than the assurances.

• No email address and no real name.
• No advertising identifier (IDFA on iOS, advertising ID on Android), and no tracking. The iOS app never shows the App Tracking Transparency prompt, because it does not track you across apps or websites, not even for the ads described in § 8. The Android app does not declare the advertising-ID permission (AD_ID) and never reads the advertising ID.
• No location, contacts, photos, camera or microphone access. The apps request none of these permissions.
• No analytics and no crash-reporting SDK. The third-party code in MIMIC is Google's advertising SDK (§ 8). The Android app additionally contains Google's components for sign-in, push notifications and purchases (§§ 3, 6, 7), without Firebase Analytics or Crashlytics. Nothing else.

Your data is never sold. Nothing you do in the game (your matches, results, tag, level or purchases) is ever shared with the ad network or used to profile you.

§ 6Notifications

Push notifications only ever tell you that it is your turn, or that a season is ending. On iOS they are opt-in, and you can withdraw permission at any time in iOS Settings. The token is deleted when you delete your account.

Android. Notifications reach Android devices through Firebase Cloud Messaging, a service of Google Ireland Limited. The app registers with it, Firebase issues a registration token for your installation, and Google thereby receives that token and the technical device data needed for delivery. Our server sends each notification (its title and text, plus a short technical reference such as which match it concerns) to Google, which delivers it to your device. We store the token, platform, language and time zone (§ 4) until the token stops working (for example after you uninstall the app) or you delete your account. We use Firebase Cloud Messaging only, without Firebase Analytics or Crashlytics. You can switch notifications off at any time in the notification settings of your Android device. As in § 3, Google may process this data in the United States, on the basis of the Standard Contractual Clauses and, where applicable, the EU-US Data Privacy Framework.

Legal basis: Art. 6(1)(a) GDPR (consent, given by allowing notifications) in conjunction with Art. 6(1)(b).

§ 7In-App Purchase

There are two purchases, both of which only remove advertising and the limit on simultaneous matches: a 30-day pass and a permanent one. Neither affects gameplay: camouflage, points and find times stay the same for everyone. Payment is handled entirely by Apple on iOS and by Google Play on Android; no payment details ever reach our server. On iOS the app sends Apple's signed transaction so the server can verify it. On Android the app sends the product and the purchase token, and the server checks them with Google Play and confirms (acknowledges) the purchase there. The result is stored as a yes/no flag on your account, together with the purchase record described in § 4.

Refunds on Android. If Google Play refunds a purchase, Google notifies our server through Real-time Developer Notifications, delivered via Google Cloud Pub/Sub. Such a notification contains the purchase token, Google's order number and the product, and no name, email address or payment data. We process it only to take back what the purchase granted (the ad-free time or the permanent status). A short note with the order number and product is kept for up to one year as an abuse-prevention record (§ 10). As in § 3, Google may process this data in the United States, on the basis of the Standard Contractual Clauses and, where applicable, the EU-US Data Privacy Framework.

Legal basis: Art. 6(1)(b) GDPR, and Art. 6(1)(f) for the refund note (our interest in not granting a benefit that has been paid back).

§ 8Advertising

The free version of MIMIC shows ads supplied by Google Ireland Limited (Gordon House, Barrow Street, Dublin 4, Ireland) through the Google AdMob service. There are two placements: a full-screen ad after every tenth completed match, and an optional video you can choose to watch in exchange for one extra match slot for 24 hours. No ads are ever shown while you are hiding or searching, and none before a result is revealed. The Android app uses the same service with the same two placements and the same rules.

Non-personalised only. MIMIC does not use the advertising identifier (on Android the AD_ID permission is not declared) and does not track you. Ads are selected without a profile of your interests; they may still take into account coarse context such as the approximate region derived from your IP address, and Google uses a device signal to limit how often the same ad is repeated and to detect click fraud.

Your consent. When you first open the app in the EEA, the UK or Switzerland, Google's consent dialog asks whether ads may be shown and personal data processed for that purpose. You can decline, and the game remains fully playable either way. You can change or withdraw your choice at any time in the app under Settings → Change ad preferences. The Android app offers the same choice.

Transfer to the USA. Google may process this data outside the European Union, including in the United States. The transfer is based on the European Commission's Standard Contractual Clauses and, where applicable, Google's certification under the EU-US Data Privacy Framework. The USA does not offer a level of data protection equivalent to the GDPR; in particular, access by public authorities cannot be ruled out.

Retention. Ad data is retained by Google under its own policies, not ours. See Google's privacy policy and its advertising terms. We receive no personal data back from Google; we only see aggregate figures such as how many ads were shown.

The rewarded video. If you watch one, Google confirms this directly to our server so the extra slot can be credited to your account. That confirmation contains only your account number and a one-time transaction identifier, no advertising identifier and nothing about the ad you saw.

Either ad-free purchase removes all advertising, permanently and on every device signed in to your account.

Legal basis: Art. 6(1)(a) GDPR (consent), and § 25(1) TDDDG for storing and reading information on your device.

§ 9Where Your Data Lives

The game server runs on a virtual server operated by Hetzner Online GmbH in Nuremberg, Germany. All gameplay data stays within the European Union. Connections are encrypted with TLS.

Apple (Sign in with Apple, push notifications and purchases on iOS) processes data under its own terms and may do so outside the EU. On Android, Google Ireland Limited does the same for sign-in (§ 3), push notifications through Firebase Cloud Messaging (§ 6) and purchases and refund notifications through Google Play (§ 7); it may process this data outside the EU, including in the United States, on the basis of the Standard Contractual Clauses and, where applicable, the EU-US Data Privacy Framework. Advertising, on both platforms, is supplied by Google as well (§ 8). Besides Hetzner as our hosting provider, these are the recipients of your data: Apple on iOS, Google on Android and for advertising. Only what §§ 3, 6, 7 and 8 describe reaches them.

§ 10Abuse Prevention

Unusual play patterns can be flagged, and those flags are kept for up to one year. Request rate limits use your IP address in transient memory only; IP addresses are not written to the database.

Legal basis: Art. 6(1)(f) GDPR (legitimate interest in a fair game).

§ 11Retention & Deletion

You can delete your account yourself, in the app, under Settings → Delete account. No email required. If you no longer have the app, or want to ask us to do it, the step-by-step guide at findthemimic.com/delete-account explains how.

Deletion happens in two stages. Immediately: your Apple and Google identifiers and your gamer tag are erased, your push tokens and purchase records are deleted and all sessions are revoked. From that moment the remaining record can no longer be traced back to you, and your tag becomes available to someone else. After 30 days: the record is deleted outright, taking every match, hide and result with it.

The 30-day gap exists so that an opponent's ongoing match and score do not collapse mid-game. An unused account-transfer code expires after ten minutes on its own. Push logs are kept for 30 days and abuse flags for one year, both independently of your account.

Backups. The database is backed up daily, and backups are kept for 14 days. A deleted account therefore still exists inside those backups until they rotate out: editing a backup to remove one record would defeat the purpose of having one. After 14 days at the latest, nothing remains there either.

§ 12Children

MIMIC is not directed at children and does not knowingly collect data from them. There is no chat and no free-text messaging between players; the only text another player ever sees is the gamer tag you choose. Please do not use a real name as your tag.

§ 13Your Rights

Under the GDPR you have the right to access (Art. 15), rectification (Art. 16), erasure (Art. 17), restriction (Art. 18), data portability (Art. 20) and to object (Art. 21). Deletion is built into the app; for anything else, write to hello@findthemimic.com.

You also have the right to lodge a complaint with a supervisory authority. The competent authority here is the Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW).

§ 14Changes

If the app changes in a way that affects this policy, it is updated here and the date at the top changes with it. Substantial changes will be pointed out in the app.

§ 15Android Waitlist

On findthemimic.com you can leave an email address to be told when MIMIC is released for Android. We store the address, the date, and the page it was entered on, and use it for exactly one message: the Android release announcement. It is not linked to any game account and is not used for anything else. The address is deleted once that message has been sent, or earlier if you ask us at hello@findthemimic.com.

Legal basis: Art. 6(1)(a) GDPR (consent, given by entering the address); you can withdraw it at any time by email.

§ 16Challenges

In the app you can hide a Mimic only to share it as a link (findthemimic.com/c/…). For that the app sends the hide to our server: world, picture, position, size, rotation, and the rendered camouflage layer of your Mimic. It is stored with your account, so the page can show your gamer tag and the app can show you how others did. Anyone who has the link can open it, so share it only where your gamer tag may be seen.

When someone plays a challenge on this website, the page sends the result to our server: whether the Mimic was found, the time, the number of wrong taps and where the finding tap landed. The server checks the tap and stores the result without any link to a person: no account, no name, no IP address. The IP address is used only briefly, as a key to limit how often results can be sent, and that key expires within minutes. You get a notification when your Mimic is found for the first time, and after that at most one summary a day.

Challenges and all their results are deleted automatically seven days after they were created, or earlier together with your account. A challenge can be reported from its page; we then delete it.

Legal basis: Art. 6(1)(b) GDPR for the challenge you create and share, Art. 6(1)(f) GDPR for the anonymous results and the rate limit (our interest in a working feature that cannot be flooded).

Deutsche Fassung

Stand: 2026-09-29·de·MIMIC für iOS und Android

§ 1Verantwortlicher

Oliver Oklitz
Maxstraße 13
45479 Mülheim an der Ruhr
Deutschland
E-Mail: hello@findthemimic.com

§ 2Geltungsbereich

Diese Erklärung gilt für die iOS-App MIMIC, für die Android-App MIMIC, sobald sie erschienen ist, für ihren gemeinsamen Spielserver unter api.mimikry.oklitz.net und für diese Website, findthemimic.com. Aussagen zu Android gelten für die Android-App, sobald sie erschienen ist; bis dahin betrifft nur § 15 Android. Die Website setzt keine Cookies und verfolgt dich nicht. Einige ihrer Seiten (die Startseite und die Link-Seiten /get, /tt, /ig, /android und /c) laden Cloudflare Web Analytics, eine cookielose Messung, die Seitenaufrufe zählt, ohne etwas auf deinem Gerät zu speichern und ohne dich über Besuche hinweg oder auf anderen Seiten wiederzuerkennen. Abgesehen von diesem Beacon sendet die Website nur, was du in das Formular der Android-Warteliste einträgst (§ 15), und das Ergebnis einer Herausforderung, die du spielst (§ 16).

Tutorial und Offline-Modi lassen sich ohne Konto spielen. Dabei verlässt nichts dein Gerät, und nichts von dem, was unten steht, trifft zu.

§ 3Anmeldung mit Apple und Google

Auf iOS laufen Konten über „Anmelden mit Apple“. Die App fordert keinerlei persönliche Angaben an: weder deinen Namen noch deine E-Mail-Adresse, nicht einmal Apples anonymisierte Weiterleitungsadresse. Apple bestätigt deine Identität, und gespeichert wird ausschließlich die pseudonyme Nutzerkennung, die Apple für diese App vergibt. Über diese Kennung kann man dich nicht kontaktieren, und in keiner anderen App wiedererkennen.

In der Android-App laufen Konten über die Anmeldung mit Google, bereitgestellt von der Google Ireland Limited (Gordon House, Barrow Street, Dublin 4, Irland). Google bestätigt deine Identität und gibt der App ein signiertes Token, das die App an unseren Server schickt. Der Server prüft das Token gegen Googles öffentliche Schlüssel und speichert ausschließlich die pseudonyme Google-Konto-Kennung (den „sub“-Wert). Deine E-Mail-Adresse wird nicht gespeichert. Technisch kann das Token weitere Angaben wie deine E-Mail-Adresse oder deinen Namen enthalten; unser Server speichert und reicht sie nicht weiter und bewahrt das Token nicht auf. Anders als Apples Kennung ist Googles Kennung für dein Google-Konto in jeder App gleich, die die Google-Anmeldung nutzt. Wir verwenden sie nur, um dein MIMIC-Konto zu finden, können dich damit nicht kontaktieren und geben sie nie weiter.

Übermittlung in die USA. Google kann Anmeldedaten außerhalb der Europäischen Union verarbeiten, auch in den Vereinigten Staaten. Grundlage sind die Standardvertragsklauseln der EU-Kommission sowie, soweit einschlägig, Googles Zertifizierung unter dem EU-US Data Privacy Framework. Die USA bieten kein der DSGVO gleichwertiges Schutzniveau; insbesondere ist ein Zugriff durch dortige Behörden nicht auszuschließen.

Konto auf ein anderes Gerät übertragen. In den Einstellungen der App kannst du dein Konto auf ein Gerät mit anderer Anmeldung übertragen (etwa vom iPhone auf ein Android-Telefon). Das alte Gerät zeigt einen sechsstelligen Code, zehn Minuten gültig. Auf unserem Server liegt der Code nur im flüchtigen Arbeitsspeicher, zusammen mit deiner Kontonummer, und wird gelöscht, sobald er benutzt wird oder abläuft. Gibst du ihn auf dem neuen Gerät ein, wird dessen Anmelde-Kennung (Apple oder Google) an dein bestehendes Konto gehängt, und ein leeres Konto, das das neue Gerät eben angelegt haben könnte, wird gelöscht. Fehlversuche werden zehn Minuten lang je Konto und je IP-Adresse gezählt, ebenfalls nur im flüchtigen Arbeitsspeicher.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung, Bereitstellung des Spiels).

§ 4Was gespeichert wird

Konto. Die Apple- oder Google-Nutzerkennung, mit der du dich anmeldest (nach einer Kontoübertragung auch mehrere), dein gewählter Gamer-Tag, Figurfarbe und Avatar-Auswahl, Level und XP, dein Liga-Stand und ob du einen Werbefrei-Kauf getätigt hast.

Spielverlauf. Partien, Runden, wo ein Mimic versteckt wurde, wohin du getippt hast, wie lange du gebraucht hast, wie viele Fehlversuche, und die daraus errechneten Punkte. Der Server rechnet das selbst, statt der App zu vertrauen. Genau das verhindert, dass eine manipulierte App sich Ergebnisse ausdenkt.

Gerät und Benachrichtigungen. Wenn du Mitteilungen erlaubst: dein Push-Token (auf iOS Apples Push-Token, auf Android das Registrierungs-Token von Firebase Cloud Messaging), die Plattform, deine Sprache und deine Zeitzone. Die Zeitzone sorgt dafür, dass ein „Du bist dran“ nicht um drei Uhr nachts ankommt.

Kauf. Bei einem Kauf: die Produkt-Kennung, der Store, aus dem er stammt (Apple oder Google Play), der Zeitpunkt der Prüfung und die Vorgangsnummer des Stores. Auf Android ist das das Kauf-Token, das den Kauf bei Google Play kennzeichnet und auf das sich eine Erstattung bezieht. Auf iOS wird der signierte Beleg geprüft und danach verworfen. Gespeichert wird er nicht.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, für die begrenzten Missbrauchs-Vermerke aus § 10 zusätzlich Art. 6 Abs. 1 lit. f.

§ 5Was nie erhoben wird

Klar benannt, weil die Liste mehr wert ist als jede Beteuerung.

• Keine E-Mail-Adresse und kein Klarname.
• Kein Werbe-Identifier (IDFA auf iOS, Werbe-ID auf Android), kein Tracking. Die iOS-App zeigt nie den Dialog „App-Tracking-Transparenz“, weil sie dich nicht über Apps oder Websites hinweg verfolgt, auch nicht für die Werbung aus § 8. Die Android-App deklariert die Berechtigung für die Werbe-ID (AD_ID) nicht und liest die Werbe-ID nie.
• Kein Zugriff auf Standort, Kontakte, Fotos, Kamera oder Mikrofon. Die Apps fordern keine dieser Berechtigungen an.
• Kein Analyse- und kein Absturzbericht-SDK. Fremder Programmcode in MIMIC ist Googles Werbe-SDK (§ 8). Die Android-App enthält zusätzlich Googles Komponenten für Anmeldung, Push-Mitteilungen und Käufe (§§ 3, 6, 7), ohne Firebase Analytics und ohne Crashlytics. Sonst nichts.

Deine Daten werden nie verkauft. Nichts von dem, was du im Spiel tust (Partien, Ergebnisse, Tag, Level oder Käufe), wird an das Werbenetzwerk weitergegeben oder zur Profilbildung genutzt.

§ 6Mitteilungen

Push-Mitteilungen sagen dir ausschließlich, dass du am Zug bist oder dass eine Saison endet. Auf iOS sind sie freiwillig, und du kannst die Erlaubnis jederzeit in den iOS-Einstellungen widerrufen. Das Token wird gelöscht, sobald du dein Konto löschst.

Android. Mitteilungen erreichen Android-Geräte über Firebase Cloud Messaging, einen Dienst der Google Ireland Limited. Die App registriert sich dort, Firebase vergibt für deine Installation ein Registrierungs-Token, und Google erhält damit dieses Token und die technischen Gerätedaten, die für die Zustellung nötig sind. Unser Server schickt jede Mitteilung (Titel und Text, dazu einen kurzen technischen Verweis, etwa auf welche Partie sie sich bezieht) an Google, das sie an dein Gerät zustellt. Gespeichert werden Token, Plattform, Sprache und Zeitzone (§ 4), bis das Token nicht mehr funktioniert (etwa nach dem Deinstallieren der App) oder du dein Konto löschst. Wir nutzen ausschließlich Firebase Cloud Messaging, ohne Firebase Analytics und ohne Crashlytics. Du kannst Mitteilungen jederzeit in den Benachrichtigungs-Einstellungen deines Android-Geräts abschalten. Wie in § 3 kann Google diese Daten in den USA verarbeiten, auf Grundlage der Standardvertragsklauseln und, soweit einschlägig, des EU-US Data Privacy Framework.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung durch das Erlauben von Mitteilungen) in Verbindung mit Art. 6 Abs. 1 lit. b.

§ 7In-App-Kauf

Es gibt zwei Käufe, die ausschließlich Werbung und die Begrenzung gleichzeitiger Partien aufheben: einen 30-Tage-Pass und einen dauerhaften Kauf. Auf das Spiel wirken sie sich nicht aus: Tarnung, Punkte und Suchzeiten bleiben für alle gleich. Die Zahlung wickelt auf iOS vollständig Apple ab, auf Android Google Play; Zahlungsdaten erreichen unseren Server nie. Auf iOS übermittelt die App Apples signierten Vorgang, damit der Server ihn prüfen kann. Auf Android schickt die App das Produkt und das Kauf-Token, und der Server prüft sie bei Google Play und bestätigt den Kauf dort (Acknowledge). Gespeichert wird das Ergebnis als Ja/Nein-Vermerk am Konto, zusammen mit dem Kaufvermerk aus § 4.

Erstattungen auf Android. Erstattet Google Play einen Kauf, meldet Google das unserem Server über Real-time Developer Notifications, zugestellt über Google Cloud Pub/Sub. Eine solche Meldung enthält das Kauf-Token, Googles Bestellnummer und das Produkt, aber keinen Namen, keine E-Mail-Adresse und keine Zahlungsdaten. Wir verarbeiten sie ausschließlich, um zurückzunehmen, was der Kauf freigeschaltet hat (die Werbefrei-Zeit oder den dauerhaften Status). Ein kurzer Vermerk mit Bestellnummer und Produkt wird bis zu ein Jahr als Missbrauchs-Vermerk aufbewahrt (§ 10). Wie in § 3 kann Google diese Daten in den USA verarbeiten, auf Grundlage der Standardvertragsklauseln und, soweit einschlägig, des EU-US Data Privacy Framework.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, für den Erstattungsvermerk Art. 6 Abs. 1 lit. f DSGVO (unser Interesse, keine Gegenleistung zu gewähren, deren Preis zurückgezahlt wurde).

§ 8Werbung

In der Gratis-Version zeigt MIMIC Werbung, ausgeliefert von Google Ireland Limited (Gordon House, Barrow Street, Dublin 4, Irland) über den Dienst Google AdMob. Es gibt zwei Platzierungen: eine bildschirmfüllende Anzeige nach jeder zehnten abgeschlossenen Partie, und ein freiwilliges Video, das du dir für einen zusätzlichen Partie-Platz für 24 Stunden ansehen kannst. Während des Versteckens und Suchens wird nie Werbung gezeigt, und auch nicht, bevor ein Ergebnis aufgedeckt wird. Die Android-App nutzt denselben Dienst mit denselben zwei Platzierungen und denselben Regeln.

Ausschließlich nicht personalisiert. MIMIC nutzt den Werbe-Identifier nicht (auf Android ist die Berechtigung AD_ID nicht deklariert) und verfolgt dich nicht. Anzeigen werden ohne ein Profil deiner Interessen ausgewählt; berücksichtigt werden kann weiterhin grober Kontext wie die aus deiner IP-Adresse abgeleitete ungefähre Region. Google verwendet ein Gerätesignal, um zu begrenzen, wie oft dieselbe Anzeige wiederholt wird, und um Klickbetrug zu erkennen.

Deine Einwilligung. Beim ersten Öffnen der App im EWR, im Vereinigten Königreich und in der Schweiz fragt Googles Einwilligungsdialog, ob Werbung angezeigt und dafür personenbezogene Daten verarbeitet werden dürfen. Du kannst ablehnen; das Spiel bleibt in beiden Fällen vollständig nutzbar. Du kannst deine Entscheidung jederzeit in der App unter „Einstellungen → Werbe-Einstellungen ändern“ anpassen oder widerrufen. Die Android-App bietet dieselbe Wahl.

Übermittlung in die USA. Google kann diese Daten außerhalb der Europäischen Union verarbeiten, auch in den Vereinigten Staaten. Grundlage sind die Standardvertragsklauseln der EU-Kommission sowie, soweit einschlägig, Googles Zertifizierung unter dem EU-US Data Privacy Framework. Die USA bieten kein der DSGVO gleichwertiges Schutzniveau; insbesondere ist ein Zugriff durch dortige Behörden nicht auszuschließen.

Speicherdauer. Werbedaten speichert Google nach seinen eigenen Bestimmungen, nicht nach unseren. Siehe Googles Datenschutzerklärung und die Werbebedingungen. Von Google erhalten wir keine personenbezogenen Daten zurück, sondern nur zusammengefasste Zahlen, etwa wie viele Anzeigen ausgeliefert wurden.

Das belohnte Video. Siehst du dir eines an, bestätigt Google das direkt unserem Server, damit der zusätzliche Platz deinem Konto gutgeschrieben werden kann. Diese Bestätigung enthält nur deine Kontonummer und eine einmalige Vorgangsnummer, keinen Werbe-Identifier und nichts über die gesehene Anzeige.

Beide Werbefrei-Käufe entfernen sämtliche Werbung, dauerhaft und auf jedem Gerät, an dem dein Konto angemeldet ist.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung), für das Speichern und Auslesen von Informationen auf deinem Gerät § 25 Abs. 1 TDDDG.

§ 9Wo deine Daten liegen

Der Spielserver läuft auf einem virtuellen Server der Hetzner Online GmbH in Nürnberg, Deutschland. Alle Spieldaten bleiben innerhalb der Europäischen Union. Verbindungen sind mit TLS verschlüsselt.

Apple (Anmelden mit Apple, Push-Mitteilungen und Käufe auf iOS) verarbeitet Daten nach eigenen Bedingungen und dabei möglicherweise außerhalb der EU. Auf Android tut das die Google Ireland Limited für die Anmeldung (§ 3), für Push-Mitteilungen über Firebase Cloud Messaging (§ 6) und für Käufe und Erstattungsmeldungen über Google Play (§ 7); sie kann diese Daten außerhalb der EU verarbeiten, auch in den USA, auf Grundlage der Standardvertragsklauseln und, soweit einschlägig, des EU-US Data Privacy Framework. Die Werbung wird auf beiden Plattformen ebenfalls von Google ausgeliefert (§ 8). Neben Hetzner als Hosting-Anbieter sind das die Empfänger deiner Daten: Apple auf iOS, Google auf Android und für die Werbung. Bei ihnen kommt nur an, was §§ 3, 6, 7 und 8 beschreiben.

§ 10Missbrauchsabwehr

Auffällige Spielmuster können vermerkt werden; solche Vermerke werden bis zu einem Jahr aufbewahrt. Die Ratenbegrenzung von Anfragen nutzt deine IP-Adresse nur im flüchtigen Arbeitsspeicher; IP-Adressen werden nicht in die Datenbank geschrieben.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem fairen Spiel).

§ 11Aufbewahrung und Löschung

Du kannst dein Konto selbst löschen, in der App unter Einstellungen → Konto löschen. Ohne E-Mail, ohne Nachfrage. Hast du die App nicht mehr oder möchtest uns darum bitten, erklärt die Schritt-für-Schritt-Anleitung unter findthemimic.com/delete-account, wie es geht.

Die Löschung läuft in zwei Stufen. Sofort: Apple- und Google-Kennung sowie Gamer-Tag werden gelöscht, Push-Token und Kaufvermerke entfernt und alle Sitzungen widerrufen. Ab diesem Moment lässt sich der verbleibende Datensatz nicht mehr auf dich zurückführen, und dein Tag wird wieder für andere frei. Nach 30 Tagen: Der Datensatz wird endgültig gelöscht, samt aller Partien, Verstecke und Ergebnisse.

Die 30 Tage gibt es, damit die laufende Partie eines Gegners nicht mitten im Spiel zusammenbricht. Ein nicht benutzter Übertragungscode verfällt nach zehn Minuten von selbst. Push-Protokolle werden 30 Tage aufbewahrt, Missbrauchs-Vermerke ein Jahr, beides unabhängig von deinem Konto.

Sicherungskopien. Die Datenbank wird täglich gesichert, die Sicherungen 14 Tage aufbewahrt. Ein gelöschtes Konto existiert daher innerhalb dieser Sicherungen weiter, bis sie auslaufen: eine Sicherung nachträglich zu bearbeiten würde ihren Zweck zerstören. Spätestens nach 14 Tagen ist auch dort nichts mehr vorhanden.

§ 12Kinder

MIMIC richtet sich nicht an Kinder und erhebt wissentlich keine Daten von ihnen. Es gibt keinen Chat und keine freien Textnachrichten zwischen Spielern; der einzige Text, den ein anderer Spieler je sieht, ist dein gewählter Gamer-Tag. Bitte verwende dafür keinen echten Namen.

§ 13Deine Rechte

Nach der DSGVO hast du das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21). Die Löschung ist in der App eingebaut; für alles andere schreib an hello@findthemimic.com.

Außerdem hast du das Recht, dich bei einer Aufsichtsbehörde zu beschweren. Zuständig ist hier die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW).

§ 14Änderungen

Ändert sich die App so, dass diese Erklärung davon berührt ist, wird sie hier aktualisiert und das Datum oben ändert sich mit. Auf wesentliche Änderungen wird in der App hingewiesen.

§ 15Android-Warteliste

Auf findthemimic.com kannst du eine E-Mail-Adresse hinterlassen, um zu erfahren, wann MIMIC für Android erscheint. Gespeichert werden die Adresse, das Datum und die Seite, auf der sie eingetragen wurde; verwendet wird sie für genau eine Nachricht: die Ankündigung der Android-Version. Sie wird mit keinem Spielkonto verknüpft und für nichts anderes genutzt. Nach dem Versand dieser Nachricht wird die Adresse gelöscht, auf Wunsch auch früher per Mail an hello@findthemimic.com.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung durch das Eintragen der Adresse); du kannst sie jederzeit per E-Mail widerrufen.

§ 16Herausforderungen

In der App kannst du einen Mimic nur zum Teilen verstecken und als Link verschicken (findthemimic.com/c/…). Dafür schickt die App das Versteck an unseren Server: Welt, Bild, Position, Größe, Drehung und die gerenderte Tarnungs-Ebene deines Mimics. Gespeichert wird es mit deinem Konto, damit die Seite deinen Gamer-Tag zeigen und die App dir anzeigen kann, wie andere abgeschnitten haben. Wer den Link hat, kann ihn öffnen; teile ihn also nur dort, wo dein Gamer-Tag gesehen werden darf.

Spielt jemand eine Herausforderung auf dieser Website, schickt die Seite das Ergebnis an unseren Server: ob der Mimic gefunden wurde, die Zeit, die Zahl der Fehltipps und wo der Treffer lag. Der Server prüft den Treffer und speichert das Ergebnis ohne Bezug zu einer Person: kein Konto, kein Name, keine IP-Adresse. Die IP-Adresse dient nur kurz als Schlüssel, um zu begrenzen, wie oft Ergebnisse geschickt werden können; dieser Schlüssel verfällt nach wenigen Minuten. Du bekommst eine Mitteilung, wenn dein Mimic zum ersten Mal gefunden wird, danach höchstens eine Zusammenfassung am Tag.

Herausforderungen samt allen Ergebnissen werden sieben Tage nach dem Anlegen automatisch gelöscht, mit deinem Konto auch früher. Eine Herausforderung lässt sich auf ihrer Seite melden; wir löschen sie dann.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO für die Herausforderung, die du anlegst und teilst, Art. 6 Abs. 1 lit. f DSGVO für die anonymen Ergebnisse und die Begrenzung (unser Interesse an einer Funktion, die funktioniert und sich nicht fluten lässt).