Privacy Policy
Last updated: 18 October 2026
1. Who is responsible
Steven Mathiesen, Johannisstr. 5, 89231 Neu-Ulm, Germany
E-mail: info@sideways-straw-games.com
Project Ironhaul is a browser game in a private, invite-only beta. This policy explains what personal data the game processes, why, and what rights you have under the EU General Data Protection Regulation (GDPR).
2. What we process and why
2.1 Delivering the website
When you open the game, your browser sends your IP address and technical request data to our server. We use them only to deliver the page and keep the connection running. We do not write IP addresses to our logs. For abuse prevention (for example, someone trying to take over another player's railway), our security log stores a salted, one-way hash of the IP address together with the event.
Legal basis: Art. 6(1)(f) GDPR. Our legitimate interest is running the service securely.
2.2 Playing the game
We process your display name, home city, everything your railway does in the game (routes, trains, money, standing, research and so on), and the messages you post on your city's board. Other players see your display name, your railway on the map, your forum posts and your place on the leaderboards. The final leaderboards of a round (display name, rank, score) stay visible during the following round.
Legal basis: Art. 6(1)(b) GDPR (providing the game you asked to play).
2.3 Signing in (private beta)
To play the beta you sign in with an e-mail link or code, or with Google. We process your e-mail address, an account ID, your sign-in times, the invite code you redeemed, and whether your account has access. If you choose Google, Google tells us your e-mail address and an account identifier. We do not receive your Google password. The sign-in e-mail with your link and code is sent through our e-mail provider.
Legal basis: Art. 6(1)(b) GDPR.
2.4 Cookies and browser storage
We use only storage that is strictly necessary for the game. We do not use tracking, analytics or advertising cookies.
| Name | Type | Purpose | Kept for |
|---|
| ih_s | cookie | keeps you signed in to your game session | up to 400 days, or until you sign out |
| ih_a | cookie | staff sign-in for the admin console (staff only) | 30 days |
| m1-* | local storage | your player ID, name and home-city choice, settings (music, map display), muted players, cookie-notice dismissal | until you clear your browser data |
| ih-invite, ih-relog | session storage | your invite code during the sign-in round trip, and protection against reload loops | until the tab is closed |
Legal basis: § 25(2) no. 2 TDDDG (strictly necessary storage; no consent needed). Any processing of personal data that follows is based on Art. 6(1)(b) GDPR.
2.5 Gameplay statistics (telemetry)
Once per game day, the server records a summary row per player: player ID, display name, home city, money and standing earned and spent, number of trains and routes, and similar game statistics. We use these only to balance the game and compare rounds. We analyse them in a dashboard tool that we host ourselves. They contain no e-mail address and no IP address.
Legal basis: Art. 6(1)(f) GDPR. Our legitimate interest is a fair, well-balanced game. You can object (see section 6).
2.6 Help & Feedback
If you use "Help & Feedback" in the settings, we process your message, the recent messages of that conversation, your player ID, your display name, your home city and the current game era. An automated assistant answers rules questions: your message and that context are sent to Google's Gemini API to generate the reply. Bug reports and ideas are filed as tickets in Jira (Atlassian), and we are notified by e-mail through Gmail (Google). Please do not put personal information in these messages that the question doesn't need.
Legal basis: Art. 6(1)(b) GDPR for support requests about your game, and Art. 6(1)(f) GDPR for improving the game from feedback.
2.7 Moderation and security
When we moderate (for example, hiding a forum post, renaming a player, or granting or removing beta access), we log who did what, when, and why. Reports of forum posts are counted and can hide a post automatically. Signs of one person running several accounts are flagged for a human to look at. We make no automated decisions with legal or similarly significant effect on you.
Legal basis: Art. 6(1)(f) GDPR (a safe, fair game) and Art. 6(1)(b) GDPR (enforcing the Terms).
3. Who receives data (processors)
We use these service providers, who process data on our behalf under data processing agreements:
- Fly.io, Inc. (USA). Hosts the game server and our self-hosted support and dashboard tools on servers in Frankfurt, Germany.
- Supabase, Inc. (USA). Sign-in, the account and invite database, gameplay statistics. The database is located in the EU (Ireland).
- Resend (Plus Five Five, Inc., USA). Sends the sign-in e-mails.
- Google (Google Ireland Ltd. / Google LLC). "Continue with Google" sign-in, the Gemini API for help answers, and Gmail for support notifications.
- Atlassian (Atlassian Pty Ltd / Atlassian US, Inc.). Jira tickets for bug reports and feedback.
Some of these companies are based in the USA, or may access data from there. Where a provider is certified under the EU–US Data Privacy Framework, transfers rely on the European Commission's adequacy decision (Art. 45 GDPR). Otherwise they rely on the EU Standard Contractual Clauses (Art. 46(2)(c) GDPR).
The link to our Discord server is a plain link. Nothing is sent to Discord unless you click it, and then Discord's own privacy policy applies.
4. How long we keep data
- Account and sign-in data: until you delete your account, or until we end the service.
- Game data for a round: for that round. The final leaderboards stay until the end of the following round.
- Gameplay statistics: up to 24 months, then deleted.
- Security and moderation logs: up to 12 months.
- Help & Feedback messages and tickets: up to 12 months after the matter is closed.
Longer retention applies only where the law requires it.
5. Deleting your account
In the game, open Settings → Delete my account. This deletes your sign-in and e-mail address and your account record. Your railway in the running round is renamed "Retired railway" and can no longer be played. Gameplay statistics already recorded keep the player ID and the display name you had at that time, and are deleted with the 24-month cycle above. You can also ask us by e-mail.
6. Your rights
You have the right to access your data (Art. 15 GDPR), to have it corrected (Art. 16), deleted (Art. 17) or restricted (Art. 18), and to receive it in a portable format (Art. 20). Where we rely on legitimate interests (Art. 6(1)(f)), you can object at any time on grounds relating to your particular situation (Art. 21 GDPR). To use any of these rights, write to info@sideways-straw-games.com.
You also have the right to complain to a data protection supervisory authority (Art. 77 GDPR). The authority responsible for us is the Bayerisches Landesamt für Datenschutzaufsicht (BayLDA), Promenade 18, 91522 Ansbach, Germany, www.lda.bayern.de.
7. Age
The beta is for people aged 16 and over. If you are younger, please do not sign up.
8. Changes
We will update this policy when the game or its providers change, and show the new date at the top. We will announce significant changes in the game.
Datenschutzerklärung
Stand: 18. Oktober 2026
1. Verantwortlicher
Steven Mathiesen, Johannisstr. 5, 89231 Neu-Ulm, Deutschland
E-Mail: info@sideways-straw-games.com
Project Ironhaul ist ein Browserspiel in einer privaten Beta, die nur auf Einladung zugänglich ist. Diese Erklärung beschreibt, welche personenbezogenen Daten das Spiel verarbeitet, zu welchem Zweck, und welche Rechte Sie nach der Datenschutz-Grundverordnung (DSGVO) haben.
2. Was wir verarbeiten und warum
2.1 Bereitstellung der Website
Beim Aufruf des Spiels übermittelt Ihr Browser Ihre IP-Adresse und technische Anfragedaten an unseren Server. Wir nutzen sie nur, um die Seite auszuliefern und die Verbindung aufrechtzuerhalten. IP-Adressen schreiben wir nicht in unsere Protokolle. Zur Missbrauchsabwehr (etwa wenn jemand versucht, die Eisenbahn eines anderen Spielers zu übernehmen) speichert unser Sicherheitsprotokoll einen gesalzenen Einweg-Hash der IP-Adresse zusammen mit dem Ereignis.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist der sichere Betrieb des Dienstes.
2.2 Spielen
Wir verarbeiten Ihren Anzeigenamen, Ihre Heimatstadt, alles, was Ihre Eisenbahn im Spiel tut (Strecken, Züge, Geld, Ansehen, Forschung usw.), und die Nachrichten, die Sie im Forum Ihrer Stadt veröffentlichen. Für andere Spieler sichtbar sind Ihr Anzeigename, Ihre Eisenbahn auf der Karte, Ihre Forenbeiträge und Ihre Platzierung in den Ranglisten. Die Abschluss-Ranglisten einer Runde (Anzeigename, Platz, Punkte) bleiben während der folgenden Runde sichtbar.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Bereitstellung des Spiels, das Sie spielen möchten).
2.3 Anmeldung (private Beta)
Für die Beta melden Sie sich per E-Mail-Link oder -Code oder mit Google an. Wir verarbeiten Ihre E-Mail-Adresse, eine Konto-ID, Ihre Anmeldezeitpunkte, den eingelösten Einladungscode und ob Ihr Konto Zugang hat. Wenn Sie Google wählen, übermittelt Google uns Ihre E-Mail-Adresse und eine Kontokennung. Ihr Google-Passwort erhalten wir nicht. Die Anmelde-E-Mail mit Link und Code wird über unseren E-Mail-Dienstleister versendet.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
2.4 Cookies und Browserspeicher
Wir verwenden nur Speicher, der für das Spiel unbedingt erforderlich ist. Tracking-, Analyse- oder Werbe-Cookies setzen wir nicht ein.
| Name | Art | Zweck | Speicherdauer |
|---|
| ih_s | Cookie | hält Sie in Ihrer Spielsitzung angemeldet | bis zu 400 Tage oder bis zur Abmeldung |
| ih_a | Cookie | Anmeldung des Teams in der Admin-Konsole (nur Team) | 30 Tage |
| m1-* | Local Storage | Ihre Spieler-ID, Name und Wahl der Heimatstadt, Einstellungen (Musik, Kartenanzeige), stummgeschaltete Spieler, geschlossener Cookie-Hinweis | bis Sie Ihre Browserdaten löschen |
| ih-invite, ih-relog | Session Storage | Ihr Einladungscode während der Anmeldung und Schutz vor Neulade-Schleifen | bis der Tab geschlossen wird |
Rechtsgrundlage: § 25 Abs. 2 Nr. 2 TDDDG (unbedingt erforderlicher Speicher, keine Einwilligung nötig). Eine anschließende Verarbeitung personenbezogener Daten stützt sich auf Art. 6 Abs. 1 lit. b DSGVO.
2.5 Spielstatistiken (Telemetrie)
Einmal pro Spieltag speichert der Server je Spieler eine Zusammenfassung: Spieler-ID, Anzeigename, Heimatstadt, verdientes und ausgegebenes Geld und Ansehen, Anzahl der Züge und Strecken sowie ähnliche Spielwerte. Wir nutzen diese Daten ausschließlich, um das Spiel auszubalancieren und Runden zu vergleichen. Ausgewertet werden sie in einem selbst betriebenen Dashboard. Sie enthalten keine E-Mail- und keine IP-Adresse.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist ein faires, ausgewogenes Spiel. Sie können widersprechen (siehe Abschnitt 6).
2.6 Hilfe & Feedback
Wenn Sie in den Einstellungen „Help & Feedback“ nutzen, verarbeiten wir Ihre Nachricht, die letzten Nachrichten dieses Gesprächs, Ihre Spieler-ID, Ihren Anzeigenamen, Ihre Heimatstadt und die aktuelle Spielepoche. Regelfragen beantwortet ein automatischer Assistent: Ihre Nachricht und dieser Kontext werden dazu an die Gemini-API von Google übermittelt. Fehlerberichte und Ideen werden als Tickets in Jira (Atlassian) angelegt, und wir werden per E-Mail über Gmail (Google) benachrichtigt. Bitte schreiben Sie keine persönlichen Informationen in diese Nachrichten, die für Ihr Anliegen nicht nötig sind.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO für Supportanfragen zu Ihrem Spiel und Art. 6 Abs. 1 lit. f DSGVO für die Verbesserung des Spiels anhand von Feedback.
2.7 Moderation und Sicherheit
Wenn wir moderieren (z. B. einen Forenbeitrag ausblenden, einen Spieler umbenennen oder Beta-Zugang gewähren oder entziehen), protokollieren wir, wer was wann und warum getan hat. Meldungen zu Forenbeiträgen werden gezählt und können einen Beitrag automatisch ausblenden. Hinweise darauf, dass eine Person mehrere Konten betreibt, werden zur Prüfung durch einen Menschen markiert. Automatisierte Entscheidungen mit rechtlicher oder ähnlich erheblicher Wirkung treffen wir nicht.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (ein sicheres, faires Spiel) und Art. 6 Abs. 1 lit. b DSGVO (Durchsetzung der Nutzungsbedingungen).
3. Empfänger (Auftragsverarbeiter)
Wir setzen folgende Dienstleister ein, die Daten in unserem Auftrag auf Grundlage von Auftragsverarbeitungsverträgen verarbeiten:
- Fly.io, Inc. (USA). Betrieb des Spielservers sowie unserer selbst betriebenen Support- und Dashboard-Werkzeuge auf Servern in Frankfurt am Main.
- Supabase, Inc. (USA). Anmeldung, Konten- und Einladungsdatenbank, Spielstatistiken. Die Datenbank befindet sich in der EU (Irland).
- Resend (Plus Five Five, Inc., USA). Versand der Anmelde-E-Mails.
- Google (Google Ireland Ltd. / Google LLC). Anmeldung „Mit Google fortfahren“, die Gemini-API für Hilfe-Antworten und Gmail für Support-Benachrichtigungen.
- Atlassian (Atlassian Pty Ltd / Atlassian US, Inc.). Jira-Tickets für Fehlerberichte und Feedback.
Einige dieser Unternehmen haben ihren Sitz in den USA oder können von dort auf Daten zugreifen. Ist ein Anbieter nach dem EU-US Data Privacy Framework zertifiziert, stützt sich die Übermittlung auf den Angemessenheitsbeschluss der Europäischen Kommission (Art. 45 DSGVO). Andernfalls stützt sie sich auf die EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO).
Der Link zu unserem Discord-Server ist ein einfacher Link. An Discord wird nichts übermittelt, solange Sie ihn nicht anklicken. Danach gilt die Datenschutzerklärung von Discord.
4. Speicherdauer
- Konto- und Anmeldedaten: bis Sie Ihr Konto löschen oder wir den Dienst einstellen.
- Spieldaten einer Runde: für die Dauer dieser Runde. Die Abschluss-Ranglisten bleiben bis zum Ende der folgenden Runde erhalten.
- Spielstatistiken: bis zu 24 Monate, danach werden sie gelöscht.
- Sicherheits- und Moderationsprotokolle: bis zu 12 Monate.
- Nachrichten und Tickets aus Hilfe & Feedback: bis zu 12 Monate nach Abschluss des Anliegens.
Länger speichern wir nur, wenn das Gesetz es verlangt.
5. Konto löschen
Öffnen Sie im Spiel Einstellungen → Delete my account. Damit werden Ihre Anmeldung, Ihre E-Mail-Adresse und Ihr Kontodatensatz gelöscht. Ihre Eisenbahn in der laufenden Runde wird in „Retired railway“ umbenannt und kann nicht mehr gespielt werden. Bereits erfasste Spielstatistiken behalten die Spieler-ID und den damaligen Anzeigenamen und werden im oben genannten 24-Monats-Zyklus gelöscht. Sie können die Löschung auch per E-Mail beantragen.
6. Ihre Rechte
Sie haben das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18) und Datenübertragbarkeit (Art. 20). Soweit wir uns auf berechtigte Interessen stützen (Art. 6 Abs. 1 lit. f), können Sie aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit widersprechen (Art. 21 DSGVO). Schreiben Sie dazu an info@sideways-straw-games.com.
Außerdem haben Sie das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren (Art. 77 DSGVO). Für uns zuständig ist das Bayerische Landesamt für Datenschutzaufsicht (BayLDA), Promenade 18, 91522 Ansbach, www.lda.bayern.de.
7. Alter
Die Beta richtet sich an Personen ab 16 Jahren. Wenn Sie jünger sind, melden Sie sich bitte nicht an.
8. Änderungen
Wir passen diese Erklärung an, wenn sich das Spiel oder unsere Dienstleister ändern, und zeigen oben das neue Datum an. Wesentliche Änderungen kündigen wir im Spiel an.