Datenschutzerklärung
Stand: 14. Oktober 2026
1. Verantwortlicher
Label Games (Inhaber: Vor- und Nachname), Anschrift, E-Mail: support@oceanspirate.com (siehe Impressum).
2. Kurz gesagt
- Wir speichern nur, was das Spiel zum Funktionieren braucht: Kapitänsname, Passwort (verschlüsselt), Spielstand und eine E-Mail-Adresse für die Kontobestätigung und das Zurücksetzen des Passworts.
- Keine Werbung, keine Tracking-Cookies, keine Statistik-Dienste, keine Weitergabe an Werbepartner. Schriften und Programmbibliotheken laden wir vom eigenen Server.
- Du kannst dein Konto jederzeit selbst in den Einstellungen löschen.
3. Hosting und Server-Protokolle
Das Spiel läuft auf einem eigenen Server bei der STRATO AG (Berlin) mit Rechenzentrum in Deutschland. Beim Aufruf verarbeitet der Server technisch notwendig deine IP-Adresse, Datum/Uhrzeit, aufgerufene Adresse und Browser-Kennung. Die IP-Adresse nutzen wir im Arbeitsspeicher für den Schutz vor Missbrauch (Begrenzung von Verbindungen und Anfragen); sie wird dafür nicht dauerhaft gespeichert. Protokolle des vorgeschalteten Webservers werden nach 7 Tagen gelöscht. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (sicherer und stabiler Betrieb).
4. Konto und Spielstand (Supabase)
Für Anmeldung und Datenbank nutzen wir Supabase (Supabase Inc.) mit Serverstandort Irland (EU). Dein Browser spricht beim Einloggen direkt mit Supabase; dabei wird deine IP-Adresse übermittelt. Mit Supabase besteht ein Auftragsverarbeitungsvertrag; für eine etwaige Übermittlung in Drittländer gelten die EU-Standardvertragsklauseln.
Gespeichert werden:
- Konto: Kapitänsname, Passwort (nur als Hash), eine daraus gebildete interne Kennung, Registrierungszeitpunkt.
- Spielstand: Level, Erfahrung, Gold, Perlen, Schiffe, Ausrüstung, Kanonen, Talente, Crew, Haustiere, Erfolge, Quests, Kills/Tode, letzte Position, Gilde, Tavernen-Rekorde. Kapitänsname und Ranglistenwerte sind für andere Spieler sichtbar.
- Logbuch: eine Übersicht deiner Spielaktivität (z. B. Käufe, Belohnungen, Sitzungsdauer) für die letzten 30 Tage; ältere Einträge werden automatisch gelöscht.
- E-Mail-Adresse (Pflicht): zur Bestätigung deines Kontos per Code und für Links zum Zurücksetzen des Passworts. Dazu speichern wir, ob und wann sie bestätigt wurde, sowie kurzzeitig einen Bestätigungscode, nur als Prüfsumme (15 Minuten gültig). Du kannst die Adresse in den Einstellungen jederzeit ändern; die neue gilt nach Eingabe des Codes.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Bereitstellung des Spiels, einschließlich der E-Mail-Adresse zur Kontosicherung). Speicherdauer: bis zur Löschung deines Kontos.
5. Chat und Meldungen
Chatnachrichten (öffentlich, Flüstern, Gilde, Taverne) werden in Echtzeit an die Empfänger verteilt und zur Moderation 30 Tage gespeichert, danach automatisch gelöscht. Einsehen können sie nur Admins und Moderatoren, wenn sie einen Verstoß prüfen. Ein Wortfilter ersetzt verbotene Wörter und blockiert Links zu fremden Seiten. Meldest du einen Spieler (/report), speichern wir die Meldung zusammen mit den letzten Chatnachrichten als Beweis, bis sie bearbeitet ist, höchstens 90 Tage. Moderatoren erhalten Meldungen zusätzlich über Discord (Discord Inc., USA; EU-Standardvertragsklauseln / EU-US Data Privacy Framework). Verstöße und Maßnahmen (Bot-Verdacht, nicht bestandene Bot-Prüfung, Verwarnungen, Chatbanns, Sperren mit Grund und Zeitpunkt) halten wir in einer Moderationsakte zu deinem Konto fest, solange das Konto besteht. Fällst du durch die Bot-Prüfung, wird ein Bild deines Spielbildschirms in diesem Moment an den Moderations-Kanal in Discord geschickt. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Schutz der Spieler und Durchsetzung der Regeln).
Discord-Verknüpfung
Zum Spielen ist eine Rolle auf unserem Discord-Server nötig. Verbindest du dein Discord-Konto, speichern wir deine Discord-ID und deinen Discord-Namen und fragen über einen Bot bei Discord (Discord Inc., USA; EU-US Data Privacy Framework) ab, ob du auf unserem Server die erforderliche Rolle hast. Weitere Discord-Daten (E-Mail, Nachrichten, Freunde) erhalten wir nicht. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Die Verknüpfung kannst du im Hafen jederzeit trennen; sie wird mit deinem Konto gelöscht.
Spielermarkt
Damit niemand über Zweitkonten Spielgut auf sein Hauptkonto verschiebt, speichern wir zu jedem Konto eine Prüfsumme (HMAC) der IP-Adressen, von denen gespielt wurde – nicht die Adresse selbst – und den Zeitpunkt der letzten Nutzung. Beim Kauf auf dem Spielermarkt wird geprüft, ob Käufer und Verkäufer in den letzten 30 Tagen dieselbe Prüfsumme hatten; ebenso zählt in der Gezeiten-Woche „Blutflut“ ein versenkter Gegner nicht, wenn beide dieselbe Prüfsumme hatten, und Kopfgelder lassen sich nicht zwischen Konten mit derselben Prüfsumme aussetzen oder einlösen. Ausgesetzte Kopfgelder (Auftraggeber, Ziel, Betrag, Einlöser) werden gespeichert. Beim Freunde-Werben speichern wir, wer wen geworben hat; die Werber-Belohnung gibt es nicht, wenn beide Konten dieselbe Prüfsumme hatten. Gezeitenpunkte (Woche, Spielername, Punkte) werden für die Wochen-Rangliste gespeichert. Für die Ranglisten-Arena speichern wir je Saison deine Wertung, Siege und Niederlagen sowie den Match-Verlauf (Teilnehmer, Ergebnis, Schaden, Wertungsänderung); Gegner aus demselben Netzwerk (gleiche Prüfsumme) werden nicht zusammen eingeteilt. Einträge werden nach spätestens 31 Tagen gelöscht. Verkäufe (Ware, Menge, Preis, Käufer- und Verkäufername) bleiben als Handelsverlauf gespeichert. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (faires Spiel, Schutz vor Missbrauch).
Schutz vor Bots und Cheats
Bei der Registrierung löst dein Browser eine kleine Rechenaufgabe unseres Servers (Bot-Prüfung „Ich bin Kapitän, kein Bot“). Dafür werden keine Cookies gesetzt und keine Daten an Dritte übermittelt; der Server merkt sich nur kurz im Arbeitsspeicher, dass die Aufgabe gelöst wurde, und begrenzt die Zahl neuer Konten je IP-Adresse. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Schutz vor massenhaft angelegten Konten).
Damit das Spiel fair bleibt, wertet der Server deine Spielaktionen während der Sitzung automatisch aus (z. B. Abstände zwischen Klicks, Dauer der Sitzung, Häufigkeit von Befehlen). Fallen dabei Muster auf, die typisch für Bots sind, erhalten Moderatoren einen Hinweis über Discord (s. o.); eine automatische Sperre erfolgt nicht – darüber entscheidet immer ein Mensch. Die Auswertung liegt nur im Arbeitsspeicher und wird spätestens 24 Stunden nach deiner letzten Sitzung bzw. beim Neustart des Servers verworfen. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (faires Spiel, Durchsetzung der Regeln).
6. E-Mail-Versand
Bestätigungscodes und Links zum Zurücksetzen des Passworts verschicken wir über den E-Mail-Server der STRATO AG (Berlin, Deutschland), mit der ein Auftragsverarbeitungsvertrag besteht. Dafür werden deine E-Mail-Adresse und dein Kapitänsname übermittelt. Andere E-Mails (Werbung, Newsletter) verschicken wir nicht.
7. Speicher im Browser
Wir setzen keine Tracking-Cookies. Im lokalen Speicher deines Browsers (localStorage) liegen deine Anmeldesitzung, Sprache, Tastenbelegung, Lautstärke, Fensterpositionen und deine Ignorierliste. Das ist für die gewünschten Funktionen unbedingt erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG) und verlässt deinen Browser nicht – außer der Anmeldesitzung, die an Supabase und unseren Server geschickt wird.
8. Deine Rechte
Du hast das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21 DSGVO). Eine Einwilligung kannst du jederzeit widerrufen. Dein Konto löschst du selbst unter Einstellungen → „Delete account“. Für alles andere schreib uns an die oben genannte Adresse. Außerdem kannst du dich bei einer Datenschutz-Aufsichtsbehörde beschweren, z. B. bei der Landesdatenschutzbehörde deines Bundeslandes.
9. Mindestalter
Das Spiel richtet sich an Personen ab 16 Jahren. Jüngere benötigen die Zustimmung ihrer Erziehungsberechtigten.
Privacy Policy
Last updated: 14 October 2026 · The German version is legally binding.
1. Controller
Label Games (owner: first and last name), address, email: support@oceanspirate.com (see imprint).
2. In short
- We only store what the game needs to work: captain name, password (hashed), game progress and an email address for confirming your account and resetting your password.
- No ads, no tracking cookies, no analytics services, no sharing with advertisers. Fonts and libraries are served from our own server.
- You can delete your account yourself at any time in the settings.
3. Hosting and server logs
The game runs on our own server at STRATO AG (Berlin) in a data centre in Germany. When you connect, the server necessarily processes your IP address, date/time, requested address and browser identifier. We use the IP address in memory to protect against abuse (limiting connections and requests); it is not stored permanently for this. Logs of the upstream web server are deleted after 7 days. Legal basis: Art. 6(1)(f) GDPR (secure and stable operation).
4. Account and game progress (Supabase)
For login and database we use Supabase (Supabase Inc.) with servers in Ireland (EU). Your browser talks to Supabase directly when logging in, which transmits your IP address. A data processing agreement is in place; any transfer to third countries is covered by the EU Standard Contractual Clauses.
We store:
- Account: captain name, password (hash only), an internal identifier derived from it, registration time.
- Game progress: level, experience, gold, pearls, ships, equipment, cannons, talents, crew, pets, achievements, quests, kills/deaths, last position, guild, tavern records. Your captain name and leaderboard values are visible to other players.
- Logbook: an overview of your game activity (e.g. purchases, rewards, session length) for the last 30 days; older entries are deleted automatically.
- Email address (required): used to confirm your account with a code and to send password reset links. We also store whether and when it was confirmed, and briefly a confirmation code, stored only as a hash (valid for 15 minutes). You can change the address in the settings at any time; the new one counts once you enter the code.
Legal basis: Art. 6(1)(b) GDPR (providing the game, including the email address to secure your account). Retention: until your account is deleted.
5. Chat and reports
Chat messages (public, whispers, guild, tavern) are delivered to their recipients in real time and stored for moderation for 30 days, then deleted automatically. Only admins and moderators can view them when they check a violation. A word filter replaces banned words and blocks links to other websites. If you report a player (/report), we store the report together with the recent chat messages as evidence until it has been handled, at most 90 days. Moderators also receive reports via Discord (Discord Inc., USA; EU Standard Contractual Clauses / EU-US Data Privacy Framework). Violations and measures (bot suspicion, failed bot checks, warnings, chat bans, suspensions with reason and time) are kept in a moderation record for your account for as long as the account exists. If you fail the bot check, an image of your game screen at that moment is sent to the moderation channel on Discord. Legal basis: Art. 6(1)(f) GDPR (protecting players and enforcing the rules).
Discord link
Playing requires a role on our Discord server. When you link your Discord account, we store your Discord ID and Discord name and ask Discord (Discord Inc., USA; EU-US Data Privacy Framework) via a bot whether you have the required role on our server. We receive no other Discord data (email, messages, friends). Legal basis: Art. 6(1)(b) GDPR. You can unlink at any time in the harbor; the link is deleted together with your account.
Player market
To stop anyone from moving goods to their main account through secondary accounts, we store for each account a checksum (HMAC) of the IP addresses used to play – not the address itself – and when it was last used. When buying on the player market we check whether buyer and seller had the same checksum in the last 30 days; likewise, during the “Blood Tide” week a sunk rival does not count if both had the same checksum, and bounties cannot be placed or collected between accounts with the same checksum. Posted bounties (who posted, target, amount, who collected) are stored. For recruit-a-friend we store who recruited whom; the recruiter reward is not paid if both accounts had the same checksum. Tide points (week, player name, points) are stored for the weekly ranking. For the ranked arena we store your rating, wins and losses per season and the match history (participants, result, damage, rating change); opponents from the same network (same checksum) are not matched against each other. Entries are deleted after 31 days at the latest. Sales (goods, amount, price, buyer and seller name) are kept as trade history. Legal basis: Art. 6(1)(f) GDPR (fair play, preventing abuse).
Protection against bots and cheats
When you register, your browser solves a small computing task issued by our server (bot check "I'm a captain, not a bot"). No cookies are set and no data is sent to third parties; the server only keeps a short in-memory note that the task was solved and limits the number of new accounts per IP address. Legal basis: Art. 6(1)(f) GDPR (protection against mass-created accounts).
To keep the game fair, the server automatically analyses your in-game actions during a session (e.g. time between clicks, session length, frequency of commands). If patterns typical of bots show up, moderators receive a notice via Discord (see above); there is no automatic ban – a human always decides. The analysis is kept in memory only and discarded at the latest 24 hours after your last session or when the server restarts. Legal basis: Art. 6(1)(f) GDPR (fair play, enforcing the rules).
6. Sending email
Confirmation codes and password reset links are sent via the mail server of STRATO AG (Berlin, Germany), bound by a data processing agreement. Your email address and captain name are transmitted for this. We send no other emails (no advertising, no newsletters).
7. Browser storage
We don't use tracking cookies. Your browser's local storage holds your login session, language, key bindings, volume, window positions and ignore list. This is strictly necessary for the functions you use (§ 25(2) no. 2 TDDDG) and never leaves your browser – except the login session, which is sent to Supabase and our server.
8. Your rights
You have the right of access (Art. 15), rectification (Art. 16), erasure (Art. 17), restriction of processing (Art. 18), data portability (Art. 20) and to object to processing based on legitimate interests (Art. 21 GDPR). You can withdraw consent at any time. Delete your account yourself under Settings → "Delete account". For anything else, write to the address above. You can also lodge a complaint with a data protection supervisory authority.
9. Minimum age
The game is intended for people aged 16 and over. Younger players need the consent of their parents or guardians.