Minecraft-Server und DSGVO: Was Betreiber in Deutschland beachten müssen

Gilt die DSGVO auch für Minecraft-Server?

Ja, sobald der Server nicht nur für die eigene Familie läuft. Die DSGVO nimmt nur rein persönliche oder familiäre Tätigkeiten aus (Art. 2 Abs. 2 lit. c). Ein öffentlicher Server, auf dem Fremde spielen, gehört nicht dazu, auch wenn er kostenlos ist.

Ein Minecraft-Server verarbeitet ständig personenbezogene Daten. Die IP-Adresse jedes Spielers zählt dazu, das hat der Europäische Gerichtshof 2016 im Fall Breyer (C-582/14) für dynamische IP-Adressen entschieden. Dazu kommen Minecraft-Name und UUID, Chat-Nachrichten, Befehle und bei einem Voice-Chat die Stimme.

Dieser Artikel ist keine Rechtsberatung. Er zeigt, welche Pflichten typischerweise anfallen und wie wir sie umgesetzt haben.

Welche Daten fallen auf einem Minecraft-Server an?

Schon ein Vanilla-Server schreibt beim Login die IP-Adresse ins Server-Log und merkt sich Namen und UUIDs in der Datei usercache.json. Jedes Plugin kann weitere Daten anlegen: Anticheat-Meldungen, Block-Protokolle, Statistiken, Kontostände.

Geh deine Plugin-Liste einmal durch und frag bei jedem: Speichert es IP-Adressen, Chat oder Namen? Wo, und wie lange? Die Antworten brauchst du für die Datenschutzerklärung.

Welche Pflichten haben Server-Betreiber?

Die wichtigsten, kurz gefasst:

1. Datenschutzerklärung (Art. 13 DSGVO): wer verantwortlich ist, welche Daten wofür verarbeitet werden, auf welcher Rechtsgrundlage und wie lange. Sie muss erreichbar sein, bevor jemand Daten abgibt, also auf der Webseite und am besten im Discord.
2. Rechtsgrundlage je Zweck (Art. 6): Für das Spiel selbst meist die Erfüllung der Nutzungsbedingungen (lit. b), für Logs, Sperren und Anticheat das berechtigte Interesse an einem sicheren Betrieb (lit. f).
3. Vertrag zur Auftragsverarbeitung (Art. 28) mit dem Hoster und jedem anderen Dienstleister, der Daten für dich verarbeitet. Große Hoster bieten den Vertrag im Kundenkonto an.
4. Speicherfristen festlegen und einhalten. Ohne Frist wachsen Logs unbemerkt über Jahre.
5. Anfragen beantworten: Auskunft, Löschung, Widerspruch, jeweils innerhalb eines Monats (Art. 12 Abs. 3).
6. Datenpannen melden: Wird die Datenbank geleakt, muss die Aufsichtsbehörde in der Regel innerhalb von 72 Stunden davon erfahren (Art. 33).

Brauche ich ein Cookie-Banner?

Nur wenn deine Webseite Cookies oder Ähnliches setzt, die nicht unbedingt nötig sind. Das regelt § 25 des Telekommunikation-Digitale-Dienste-Datenschutz-Gesetzes (TDDDG, früher TTDSG). Google Analytics, eingebettete YouTube-Videos oder Werbung brauchen eine Einwilligung. Ein Login-Cookie, das der Besucher selbst auslöst, nicht.

TalerSMP hat sich das Banner gespart, indem es auf alles Einwilligungspflichtige verzichtet. Die Webseite setzt beim normalen Besuch kein Cookie. Schriftarten kommen vom eigenen Server statt von Google. Besucher zählen wir mit dem Open-Source-Werkzeug Umami auf unserem eigenen Server, ohne Skript im Browser: Unser Server meldet den Seitenaufruf selbst und gibt nur eine gekürzte IP-Adresse weiter. Wer „Do Not Track“ oder „Global Privacy Control“ sendet, wird gar nicht gezählt.

Was ist mit Discord, Voice-Chat und Kindern?

Discord ist ein eigener Verantwortlicher. Ein Link auf deinen Discord-Server ist unproblematisch. Wenn du Discord-Konten mit Minecraft-Konten verknüpfst, gehört das in die Datenschutzerklärung, mit genau den Daten, die du dabei bekommst. Bei TalerSMP sind das Discord-ID, Anzeigename und ob das Konto Zwei-Faktor-Schutz hat, keine E-Mail-Adresse und keine Nachrichten.

Voice-Chat verarbeitet die Stimme und die IP-Adresse. Simple Voice Chat leitet Sprache in Echtzeit an Spieler in der Nähe weiter. Wir zeichnen nichts auf und schreiben das so in die Datenschutzerklärung.

Kinder und Jugendliche spielen auf fast jedem Minecraft-Server. Wo eine Verarbeitung auf Einwilligung beruht, brauchen Kinder in Deutschland bis 16 Jahre die Zustimmung der Eltern (Art. 8 DSGVO). Deshalb lohnt es sich, so wenig wie möglich auf Einwilligung zu stützen und Käufe klar zu regeln.

Wie setzt TalerSMP den Datenschutz um?

Wir haben versucht, Daten gar nicht erst entstehen zu lassen. Die wichtigsten Entscheidungen:

Die Prüfsumme reicht für den eigentlichen Zweck. Mit ihr erkennen wir, ob zwei Konten vom selben Anschluss spielen, etwa um Kill-Belohnungen zwischen eigenen Zweitkonten zu verhindern. Die Adresse selbst brauchen wir dafür nicht. Alle Details stehen in unserer Datenschutzerklärung, die Regeln zu Sperren in den Regeln.