Turnmates

Datenschutzerklärung

Stand: 7. September 2026

Kurz gesagt: Turnmates braucht keinen echten Namen, keine E-Mail-Adresse und kein Passwort von dir. Für den Spielbetrieb speichern wir ein pseudonymes Konto, deinen selbst gewählten Anzeigenamen, dein optionales Profilbild und deine Spiele. Keine Werbung und kein Verkauf von Daten. Nutzungsstatistik ist standardmäßig aktiviert und in den Einstellungen abschaltbar. Absturzberichte werden nur mit deiner gesonderten Einwilligung an Google gesendet.

1. Verantwortlicher

Verantwortlich für die Datenverarbeitung im Sinne von Art. 4 Nr. 7 DSGVO ist:

Hanno Weiß
Zedernweg 91
53757 Sankt Augustin, Deutschland
E-Mail: support@turnmates.app

Bei allen Fragen zum Datenschutz und zur Ausübung deiner Rechte kannst du dich formlos an diese E-Mail-Adresse wenden.

Ein Datenschutzbeauftragter ist nicht bestellt, da die gesetzlichen Voraussetzungen dafür (Art. 37 DSGVO, § 38 BDSG) nicht vorliegen.

2. Welche Daten wir verarbeiten

a) Anonymes Konto

Beim ersten Start der App wird über Firebase Authentication automatisch ein anonymes Konto angelegt. Dabei entsteht eine zufällige Nutzerkennung (User-ID), die dein Gerät mit deinen Spielen verknüpft. Es werden dabei keine E-Mail-Adresse, Telefonnummer, Apple-ID oder sonstige Identitätsdaten erhoben.

b) Profildaten

Anzeigename: den du selbst wählst. Er ist für deine Mitspielerinnen und Mitspieler sichtbar. Du kannst hier auch einen Spitznamen verwenden.
Profilbild: optional. Wenn du keines auswählst, wird auch keines gespeichert.

c) Spieldaten

laufende und beendete Partien mit Spielfeld, Punkteständen und Zughistorie,
bei Schach die Stellung, die Farben der Mitspieler, den letzten Zug, einen begrenzten Stellungsverlauf zur Erkennung von Remis sowie die Ausgangsstellungen abgesendeter Züge für die kostenlose Zugbewertung. Die Schachengine läuft auf unserem Server. Analyse und optionale Plus-Erklärung werden serverseitig für den zuletzt analysierten Zug je Spieler zwischengespeichert und mit der Partie gelöscht. Erklärungstexte sind nur nach Prüfung des Abos abrufbar (siehe Abschnitt 2 g),
beim Teilen einer Schacheinladung ein Vorschaubild mit deinem Anzeigenamen, der Eröffnungsstellung und dem Eröffnungszug. Es ist über den Einladungslink öffentlich abrufbar und kann von Messengern zwischengespeichert werden,
deine aktuellen Buchstabensteine (nur für dich einsehbar),
Einladungen und Einladungscodes sowie deine Mitspielerinnen und Mitspieler,
Zeitpunkte der Züge (damit klar ist, wer dran ist).

d) Push-Benachrichtigungen

Wenn du Benachrichtigungen erlaubst, speichern wir eine Gerätekennung für Push-Nachrichten (Push-Token). Nur damit können wir dir mitteilen, dass jemand gezogen hat oder dich eingeladen hat. Erlaubst du keine Benachrichtigungen, wird auch kein Token gespeichert. Legst du dir das Widget auf den Home- oder Sperrbildschirm, speichern wir zusätzlich eine eigene Gerätekennung für die Aktualisierung des Widgets, und zwar auch dann, wenn du keine Benachrichtigungen erlaubt hast. Sie zeigt dir nichts an, sondern stößt nur an, dass das Widget seinen Stand neu lädt. Entfernst du das Widget, wird diese Kennung wieder gelöscht.

e) Technische Daten bei der Nutzung

Wie bei jeder Onlineverbindung fallen bei den Aufrufen unserer Server technische Daten an (z. B. IP-Adresse, Zeitpunkt der Anfrage, App-Version, Gerätetyp/Betriebssystem). Diese Daten werden von unserem Dienstleister Firebase (siehe Abschnitt 4) zum Betrieb und zur Absicherung der Dienste kurzzeitig protokolliert. Wir werten sie nicht aus, um einzelne Personen zu analysieren, und führen sie nicht mit Profildaten zu Nutzungsprofilen zusammen.

Zusätzlich speichern wir zu deinem Konto, mit welcher App du gerade spielst: Plattform (iOS oder Android), App-Version und Build-Nummer, die Version deines Betriebssystems sowie das Gerätemodell (die Modellreihe, etwa „iPhone15,2" oder „Google Pixel 8", keine Gerätekennung). Diese Angaben brauchen wir für den Support und die Fehlersuche, etwa um zu sehen, ob eine gemeldete Störung in deiner Version schon behoben ist oder nur bestimmte Geräte betrifft. Sie werden bei einer Änderung überschrieben, nicht als Verlauf gesammelt, und sind nur für dich und uns sichtbar. Mit deinem Konto werden sie gelöscht.

f) Diese Website

Die Einladungs- und Info-Seiten unter dieser Adresse setzen keine Cookies, binden keine externen Schriftarten, Karten oder Social-Media-Plugins ein und verwenden keine Analyse- oder Trackingdienste. Beim Aufruf werden lediglich die technisch notwendigen Server-Logs bei Firebase Hosting erzeugt (siehe Abschnitt 2 e). Deine Sprachwahl wird ausschließlich lokal in deinem Browser gespeichert (localStorage-Eintrag lang) und nicht an uns übertragen.

g) KI-Funktionen (OpenAI)

An drei Stellen fragt die App ein Sprachmodell des Anbieters OpenAI:

Zugerklärung beim Schach (Plus): Auf Wunsch gehen geprüfte Aussagen zur Stellung und Zugbewertung sowie die gewählte Sprache an OpenAI. Das Modell formuliert daraus eine kurze Erklärung zum Nutzen und zu den Nachteilen des Zuges. Namen, Nutzerkennungen, Spielkennungen und Chats werden dabei nicht übermittelt. Die Erklärung wird in bis zu zwei Sprachversionen beim zuletzt analysierten Zug je Spieler gespeichert.
Wort-Erklärung im Wortspiel: Übertragen wird nur das gelegte Wort selbst. Es stammt immer aus der offiziellen Wortliste des Spiels, freier Text erreicht das Modell hier nicht.
Eigene Frage in „Kennst du mich": Wenn du dir vom Maskottchen eine eigene Quizfrage bauen lässt, gehen deine Antworten aus diesem Gespräch als Text an OpenAI, dazu der Vorname deiner Mitspielerin oder deines Mitspielers, damit die Frage zu ihr oder ihm passt.

Dabei gilt: Die Anfrage geht pseudonym, ohne deine Nutzerkennung, ohne dein Profil und ohne sonstige Kontodaten. Sprichst du deine Antwort, wird deine Sprache auf deinem Gerät in Text umgewandelt. Steht die Spracherkennung auf dem Gerät nicht zur Verfügung, übernimmt der Spracherkennungsdienst von Apple (auf Android künftig der von Google) nach dessen Datenschutzbestimmungen. Turnmates selbst speichert und überträgt keine Tonaufnahme; an OpenAI geht ausschließlich der erkannte Text. Auch das Gespräch selbst speichern wir nicht, es steht nur in der Anfrage. Bei uns bleibt am Ende allein die fertige Quizfrage mit ihren vier Antwortmöglichkeiten, und die gehört danach zur Partie wie jede andere Frage.

Anbieter ist die OpenAI Ireland Ltd. (Irland). Inhalte aus diesen Anfragen werden nach Angaben des Anbieters nicht zum Training seiner Modelle verwendet. Eine Verarbeitung in Drittländern (insbesondere den USA) lässt sich nicht ausschließen; OpenAI stützt sich dafür auf die Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO). Beide Funktionen löst du jeweils selbst aus; Rechtsgrundlage ist die Erfüllung des Nutzungsvertrags, Art. 6 Abs. 1 lit. b DSGVO.

3. Zwecke und Rechtsgrundlagen

Spielbetrieb (Konto, Profil, Partien, Züge, Einladungen): Erfüllung des Nutzungsvertrags, den du mit der Nutzung der App eingehst, Art. 6 Abs. 1 lit. b DSGVO. Ohne diese Daten kann die App ihren Zweck nicht erfüllen.
Push-Benachrichtigungen: deine Einwilligung, Art. 6 Abs. 1 lit. a DSGVO, die du beim Systemdialog von iOS erteilst. Du kannst sie jederzeit für die Zukunft widerrufen, indem du die Benachrichtigungen in den iOS-Einstellungen für Turnmates ausschaltest. Die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung bleibt davon unberührt.
Betriebssicherheit und Missbrauchsabwehr (technische Logs, Rate-Limits): unser berechtigtes Interesse an einem stabilen, missbrauchsfreien Betrieb, Art. 6 Abs. 1 lit. f DSGVO.

4. Auftragsverarbeiter: Firebase / Google

Für Authentifizierung, Datenbank, serverseitige Spiellogik, Push-Versand und das Hosting dieser Website nutzen wir Firebase, einen Dienst der

Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland

Google Ireland Limited ist für uns Auftragsverarbeiter nach Art. 28 DSGVO; es besteht ein entsprechender Auftragsverarbeitungsvertrag (Google Cloud Data Processing Addendum). Google verarbeitet diese Daten nicht zu eigenen Zwecken.

Die Spieldaten liegen in der Europäischen Union: Cloud Firestore in der Multi-Region eur3 (Europa), die Cloud Functions in der Region europe-west1 (Belgien).

Ein Zugriff aus Drittländern (insbesondere den USA) durch Support- und Wartungsprozesse von Google lässt sich nicht vollständig ausschließen. Für solche Fälle stützt sich Google auf die Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO) sowie auf das EU-US Data Privacy Framework, unter dem Google LLC zertifiziert ist.

Der Versand von Push-Benachrichtigungen läuft technisch über Firebase Cloud Messaging und den Apple Push Notification service der Apple Inc. bzw. Apple Distribution International Ltd. (Irland). Dabei werden das Push-Token und der Nachrichteninhalt (z. B. „Du bist dran") übertragen.

5. Freiwillige Nutzungsstatistik und Absturzberichte

Unter Einstellungen → Turnmates verbessern (optional) kannst du Nutzungsstatistik und Absturzberichte unabhängig voneinander steuern. Nutzungsstatistik ist standardmäßig aktiviert; eine bereits gespeicherte Abschaltung bleibt erhalten. Absturzberichte sind anfangs ausgeschaltet. Die App bleibt mit ausgeschalteten Diensten vollständig nutzbar. Du kannst deine Auswahl dort jederzeit ändern.

a) Google Analytics for Firebase

Bei aktivierter Nutzungsstatistik messen wir Bildschirmaufrufe und die Nutzung von Funktionen: Abschluss des Onboardings, Spielanlage und -beitritt, Einladungen, Spielaktionen der verschiedenen Spielarten, Chat-Versand sowie Aufrufe und erfolgreiche Aktionen im Plus-Bereich. Zusätzlich erhebt das SDK automatisch unter anderem Sitzungen, erstmaliges Öffnen, App-Aktualisierungen, Nutzungsdauer und gegebenenfalls Kaufereignisse. Dabei fallen eine pseudonyme App-Installationskennung, Zeitstempel, App-Version, Betriebssystem, Gerätemodell, Sprache und aus der IP-Adresse abgeleitete ungefähre Standortangaben an. Wir fordern dafür keine Standortberechtigung an. Die Daten dienen dazu, Nutzung und Abbrüche zu verstehen und Turnmates zu verbessern.

Wir übermitteln keine Anzeigenamen, E-Mail-Adressen, Konto- oder Partie-IDs, Chattexte, gelegten Wörter, Zeichnungen oder sonstigen Spielinhalte als Analytics-Parameter. Wir setzen keine kontoübergreifende Analytics-User-ID. Installationskennungen machen die Statistik pseudonym, nicht anonym. Werbe-IDs und Werbepersonalisierung sind deaktiviert.

b) Firebase Crashlytics

Mit deiner gesonderten Einwilligung übermitteln wir technische Absturzberichte zur Fehlerbehebung: Stacktraces, Zeitpunkt, App- und Betriebssystemversion, Gerätemodell, technische Zustands- und Leistungsdaten sowie Crashlytics- und Firebase-Installationskennungen. Auf Android können dazu auch Berichte über eine nicht reagierende App (ANR) gehören. Wenn du auch Analytics aktiviert hast, können die oben beschriebenen Ereignisse als Ablauf vor einem Absturz enthalten sein. Wir ergänzen keine Konto-ID und keine Spielinhalte in eigenen Crashlytics-Logs. Berichte werden beim nächsten App-Start nur gesendet, wenn die Freigabe auch in der vorherigen Sitzung vorlag. Ohne Freigabe werden Berichte nicht gesendet; lokal vom SDK zwischengespeicherte Berichte werden bei der Anwendung einer ausgeschalteten Einstellung zur Löschung vorgemerkt.

c) Rechtsgrundlage, Empfänger und Speicherung

Rechtsgrundlage für die freiwilligen Absturzberichte ist deine Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO und für das Speichern/Auslesen nicht erforderlicher Informationen auf deinem Gerät § 25 Abs. 1 TDDDG. Deine Auswahl und der Zeitpunkt der letzten Änderung werden lokal auf deinem Gerät gespeichert. Beim Ausschalten von Analytics wird die lokale Analytics-Kennung zurückgesetzt. Bereits übermittelte Daten werden dadurch nicht automatisch auf Googles Servern gelöscht.

Empfänger ist Google Ireland Limited (Adresse in Abschnitt 4), unter Einsatz von Google LLC in den USA. Analytics unterliegt den gesonderten Google-Analytics-Bedingungen einschließlich der Datenverarbeitungsbedingungen; für Crashlytics gelten die entsprechenden Firebase-Datenverarbeitungsbedingungen. Die EU-Speicherorte unserer Spieldaten gelten nicht für diese Dienste. Eine Verarbeitung in den USA und weiteren Ländern ist möglich; dafür gelten die in Abschnitt 4 beschriebenen Übermittlungsgarantien.

Analytics-Ereignisdaten werden höchstens 14 Monate aufbewahrt. Aufbewahrungsfristen für Nutzerkennungen können bei erneuter Aktivität neu beginnen; aggregierte Berichte können länger bestehen. Crashlytics beginnt nach 90 Tagen mit der Löschung von Absturzdaten und zugehörigen Kennungen aus aktiven Systemen und Sicherungen. Details: Firebase-Datenschutz und Analytics-Aufbewahrung.

Turnmates enthält weiterhin keine Werbung. Wir verkaufen keine Daten und nutzen diese Dienste nicht für appübergreifende Werbeprofile. Auf dieser Website sind weder Analytics noch Crashlytics eingebunden.

6. Empfänger deiner Daten

Deine Mitspielerinnen und Mitspieler sehen deinen Anzeigenamen, dein Profilbild (falls gesetzt) und die Züge und Punkte in euren gemeinsamen Partien.
Firebase / Google Ireland Limited als Auftragsverarbeiter (siehe Abschnitt 4).
Apple beim Zustellen von Push-Benachrichtigungen.
OpenAI Ireland Ltd. bei den KI-Funktionen (siehe Abschnitt 2 g), pseudonym und ohne deine Nutzerkennung.
Eine Weitergabe an sonstige Dritte erfolgt nicht, außer wir sind gesetzlich dazu verpflichtet.

7. Speicherdauer

Spielreaktionen: Wenn du auf ein gegnerisches Bild oder einen Zug reagierst, speichern wir das Emoji mit einem Bezug auf diesen Spielmoment als Nachricht im gemeinsamen Chat. Es wird keine separate Bildkopie in einem Album gespeichert. Die Reaktion unterliegt denselben Zugriffs- und Löschregeln wie der Chat.

Konto- und Profildaten speichern wir, solange dein Konto besteht.
Partien bleiben gespeichert, solange sie für die Mitspielenden abrufbar sein sollen; beendete Partien werden nach spätestens 12 Monaten gelöscht.
Push-Token löschen wir, sobald es ungültig wird oder du Benachrichtigungen deaktivierst.
Technische Server-Logs bei Firebase werden nach kurzer Zeit automatisch gelöscht.
Nach einer Kontolöschung entfernen wir deine personenbezogenen Daten. In noch laufenden gemeinsamen Partien kann ein Zug in der Historie erhalten bleiben, dann ohne deinen Namen.

8. Konto löschen

Du kannst dein Konto und die damit verbundenen Daten löschen lassen: über die App oder per E-Mail an support@turnmates.app. Eine Anfrage per E-Mail genügt; wir bearbeiten sie unverzüglich, spätestens innerhalb eines Monats.

9. Deine Rechte

Du hast nach der DSGVO das Recht auf:

Auskunft über die zu dir gespeicherten Daten (Art. 15),
Berichtigung unrichtiger Daten (Art. 16),
Löschung (Art. 17),
Einschränkung der Verarbeitung (Art. 18),
Datenübertragbarkeit (Art. 20),
Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21),
Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft (Art. 7 Abs. 3).

Wende dich dafür einfach an support@turnmates.app.

Da dein Konto anonym ist, brauchen wir für eine Auskunft oder Löschung einen Bezug zu deinem Konto, etwa deine in der App angezeigte Nutzerkennung. Können wir dich nicht zuordnen, dürfen wir die Anfrage nach Art. 11 Abs. 2 DSGVO ablehnen.

10. Beschwerderecht

Du hast das Recht, dich bei einer Datenschutz-Aufsichtsbehörde über die Verarbeitung deiner Daten zu beschweren (Art. 77 DSGVO), insbesondere bei der Behörde deines Wohnorts, deines Arbeitsplatzes oder des mutmaßlichen Verstoßes. Für uns zuständig ist aufgrund unseres Sitzes in Nordrhein-Westfalen:

Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen
Kavalleriestraße 2–4, 40213 Düsseldorf
www.ldi.nrw.de

11. Keine automatisierte Entscheidungsfindung

Eine automatisierte Entscheidungsfindung oder ein Profiling im Sinne des Art. 22 DSGVO findet nicht statt.

12. Änderungen dieser Erklärung

Wenn sich die App ändert, passen wir diese Erklärung an. Es gilt jeweils die hier veröffentlichte Fassung; das Datum oben zeigt den aktuellen Stand.

Privacy Policy

Last updated: 7 September 2026

Note: This is a convenience translation. The German version is legally binding.

In short: Turnmates does not require your real name, an email address or a password. To operate the games we store a pseudonymous account, the display name you choose yourself, your optional profile picture and your games. No advertising or sale of data. Usage statistics are enabled by default and can be disabled in Settings. Crash reports are sent to Google only with your separate consent.

1. Controller

The controller for the processing of personal data within the meaning of Art. 4 no. 7 GDPR is:

Hanno Weiß
Zedernweg 91
53757 Sankt Augustin, Germany
Email: support@turnmates.app

For any questions regarding data protection and for exercising your rights, you may contact this email address without any formal requirements.

No data protection officer has been appointed, as the statutory requirements for such an appointment (Art. 37 GDPR, Section 38 BDSG) are not met.

2. Which data we process

a) Anonymous account

When the app is started for the first time, an anonymous account is created automatically via Firebase Authentication. This generates a random user identifier (user ID) that links your device to your games. No email address, telephone number, Apple ID or other identity data is collected in the process.

b) Profile data

Display name: chosen by you. It is visible to the people you play with. You may also use a nickname.
Profile picture: optional. If you do not select one, none is stored.

c) Game data

ongoing and completed games including the board, scores and move history,
for chess, the position, player colors, last move, a limited position history used to detect draws, and the starting positions of submitted moves for free move evaluation. The chess engine runs on our server. Analysis and optional Plus explanations are cached server-side for each player’s latest analyzed move and deleted with the game. Explanations are available only after checking the subscription (see section 2 g),
when sharing a chess invitation, a preview image with your display name, the opening position and the opening move. It is publicly accessible through the invitation link and may be cached by messaging services,
your current letter tiles (visible only to you),
invitations and invitation codes as well as the people you play with,
the times of the moves (so that it is clear whose turn it is).

d) Push notifications

If you allow notifications, we store a device identifier for push messages (push token). This is the only way we can inform you that someone has made a move or has invited you. If you do not allow notifications, no token is stored. If you add the widget to your home screen or lock screen, we additionally store a separate device identifier used to refresh the widget, and we do so even if you have not allowed notifications. It does not show you anything, it only prompts the widget to reload its content. If you remove the widget, that identifier is deleted again.

e) Technical data arising from use

As with any online connection, technical data is generated when our servers are accessed (e.g. IP address, time of the request, app version, device type/operating system). This data is logged briefly by our service provider Firebase (see section 4) in order to operate and secure the services. We do not evaluate it in order to analyse individual persons, and we do not combine it with profile data to create usage profiles.

In addition, we store with your account which app you are currently playing on: platform (iOS or Android), app version and build number, the version of your operating system and the device model (the model line, for example “iPhone15,2” or “Google Pixel 8”, not a device identifier). We need this for support and troubleshooting, for example to see whether a reported problem has already been fixed in your version or affects only certain devices. These details are overwritten when they change, they are not collected as a history, and only you and we can see them. They are deleted together with your account.

f) This website

The invitation and information pages at this address set no cookies, embed no external fonts, maps or social media plug-ins, and use no analytics or tracking services. When they are accessed, only the technically necessary server logs are created at Firebase Hosting (see section 2 e). Your language selection is stored solely locally in your browser (localStorage entry lang) and is not transmitted to us.

g) AI features (OpenAI)

In three places the app asks a language model provided by OpenAI:

Chess move explanation (Plus): On request, verified statements about the position and move rating, together with the selected language, are sent to OpenAI. The model uses these statements to write a short explanation of the move’s benefits and drawbacks. Names, user IDs, game IDs and chats are not transmitted. Up to two language versions are cached for each player’s latest analyzed move.
Word explanation in the word game: only the played word itself is transmitted. It always comes from the official word list of the game, free text never reaches the model here.
Your own question in “Know Me?”: when you let the mascot build a question of your own, your answers from that conversation are sent to OpenAI as text, together with the first name of the person you are playing with, so that the question fits them.

The request is pseudonymous: it carries no user identifier, no profile and no other account data. If you speak your answer, your speech is turned into text on your device. If on-device speech recognition is not available, the speech recognition service of Apple (on Android, in future, the one from Google) takes over, subject to its privacy policy. Turnmates itself neither stores nor transmits any audio recording; only the recognized text is sent to OpenAI. We do not store the conversation either, it only exists inside the request. What remains with us is the finished quiz question with its four options, and from then on it belongs to the game like any other question.

The provider is OpenAI Ireland Ltd. (Ireland). According to the provider, content from these requests is not used to train its models. Processing in third countries (in particular the USA) cannot be ruled out; for this OpenAI relies on the standard contractual clauses of the EU Commission (Art. 46(2)(c) GDPR). You trigger both features yourself; the legal basis is the performance of the user agreement, Art. 6(1)(b) GDPR.

3. Purposes and legal bases

Operation of the game (account, profile, games, moves, invitations): performance of the user agreement that you enter into by using the app, Art. 6(1)(b) GDPR. Without this data the app cannot fulfil its purpose.
Push notifications: your consent, Art. 6(1)(a) GDPR, which you give in the iOS system dialogue. You may withdraw it at any time with effect for the future by switching off notifications for Turnmates in the iOS settings. The lawfulness of the processing carried out until then remains unaffected.
Operational security and prevention of misuse (technical logs, rate limits): our legitimate interest in stable operation free of abuse, Art. 6(1)(f) GDPR.

4. Processor: Firebase / Google

For authentication, the database, server-side game logic, sending push notifications and hosting this website we use Firebase, a service provided by

Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Ireland

Google Ireland Limited acts as our processor pursuant to Art. 28 GDPR; a corresponding data processing agreement is in place (Google Cloud Data Processing Addendum). Google does not process this data for its own purposes.

The game data is stored in the European Union: Cloud Firestore in the multi-region eur3 (Europe), the Cloud Functions in the region europe-west1 (Belgium).

Access from third countries (in particular the USA) through Google's support and maintenance processes cannot be entirely ruled out. For such cases Google relies on the standard contractual clauses of the EU Commission (Art. 46(2)(c) GDPR) as well as on the EU-US Data Privacy Framework, under which Google LLC is certified.

Push notifications are technically delivered via Firebase Cloud Messaging and the Apple Push Notification service operated by Apple Inc. and Apple Distribution International Ltd. (Ireland), respectively. In doing so, the push token and the message content (e.g. "It's your turn") are transmitted.

5. Optional usage statistics and crash reports

Under Settings → Help improve Turnmates (optional), you can control usage statistics and crash reports independently. Usage statistics are enabled by default; an existing choice to disable them is preserved. Crash reports are initially off. The app remains fully usable with either service disabled. You can change your choices there at any time.

a) Google Analytics for Firebase

With usage statistics enabled, we measure screen views and feature use: onboarding completion, game creation and joining, invitations, actions in the different games, sending chat messages, and views and successful actions in the Plus area. The SDK also automatically records sessions, first opens, app updates, engagement time and, where applicable, purchase events. This includes a pseudonymous app installation identifier, timestamps, app version, operating system, device model, language and approximate location derived from the IP address. We do not request location permission for this. We use the data to understand usage and drop-offs and improve Turnmates.

We do not send display names, email addresses, account or game IDs, chat text, played words, drawings or other game content as Analytics parameters. We do not set an account-based Analytics user ID. Installation identifiers make these statistics pseudonymous, not anonymous. Advertising IDs and advertising personalisation are disabled.

b) Firebase Crashlytics

With your separate consent, we send technical crash reports to fix problems: stack traces, timestamps, app and operating system versions, device models, technical state and performance data, and Crashlytics and Firebase installation identifiers. On Android, this can include reports of the app not responding (ANRs). If you also enable Analytics, the events described above may appear as the sequence preceding a crash. We do not add account IDs or game content to custom Crashlytics logs. Reports are sent on the next app launch only if permission also existed in the previous session. Reports are not sent without permission; reports cached locally by the SDK are marked for deletion when a disabled setting is applied.

c) Legal basis, recipients and retention

Optional crash reports rely on your consent under Art. 6(1)(a) GDPR and, for storing or accessing non-essential information on your device, Section 25(1) TDDDG. Your choices and the time of their last change are stored locally on your device. Disabling Analytics resets the local Analytics identifier. This does not automatically delete data already sent to Google's servers.

The recipient is Google Ireland Limited (address in section 4), using Google LLC in the USA. Analytics is subject to separate Google Analytics terms, including its data processing terms; Crashlytics is subject to the applicable Firebase data processing terms. The EU storage locations of our game data do not apply to these services. Processing in the USA and other countries is possible, subject to the transfer safeguards described in section 4.

Analytics event data is retained for no more than 14 months. Retention periods for user identifiers may restart with renewed activity; aggregate reports may remain longer. After 90 days, Crashlytics starts deleting crash data and associated identifiers from active systems and backups. Details: Firebase privacy and Analytics retention.

Turnmates still contains no advertising. We do not sell data or use these services for advertising profiles across apps. Neither Analytics nor Crashlytics is embedded in this website.

6. Recipients of your data

The people you play with see your display name, your profile picture (if set) and the moves and scores in your shared games.
Firebase / Google Ireland Limited as processor (see section 4).
Apple when push notifications are delivered.
OpenAI Ireland Ltd. for the AI features (see section 2 g), pseudonymously and without your user identifier.
No transfer to other third parties takes place, unless we are legally obliged to do so.

7. Storage periods

Game reactions: When you react to another player’s drawing or move, we store the emoji with a reference to that moment as a message in your shared chat. No separate picture copy is stored in an album. Reactions follow the same access and deletion rules as chat messages.

Account and profile data is stored for as long as your account exists.
Games remain stored for as long as they should be retrievable for the participants; completed games are deleted after 12 months at the latest.
Push tokens are deleted as soon as they become invalid or you deactivate notifications.
Technical server logs at Firebase are deleted automatically after a short period.
After an account is deleted, we remove your personal data. In shared games that are still ongoing, a move may remain in the history, then without your name.

8. Deleting your account

You can have your account and the associated data deleted: via the app or by email to support@turnmates.app. A request by email is sufficient; we process it without undue delay, at the latest within one month.

9. Your rights

Under the GDPR you have the right to:

access to the data stored about you (Art. 15),
rectification of inaccurate data (Art. 16),
erasure (Art. 17),
restriction of processing (Art. 18),
data portability (Art. 20),
object to processing based on legitimate interests (Art. 21),
withdraw consent you have given, with effect for the future (Art. 7(3)).

To do so, simply contact support@turnmates.app.

As your account is anonymous, we need a reference to your account in order to provide information or carry out a deletion, for example the user identifier shown in the app. If we cannot identify you, we may refuse the request pursuant to Art. 11(2) GDPR.

10. Right to lodge a complaint

You have the right to lodge a complaint with a data protection supervisory authority about the processing of your data (Art. 77 GDPR), in particular with the authority of your place of residence, your place of work or the place of the alleged infringement. Because our place of establishment is in North Rhine-Westphalia, the competent authority for us is:

Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen
(North Rhine-Westphalia Commissioner for Data Protection and Freedom of Information)
Kavalleriestraße 2–4, 40213 Düsseldorf, Germany
www.ldi.nrw.de

11. No automated decision-making

No automated decision-making or profiling within the meaning of Art. 22 GDPR takes place.

12. Changes to this policy

If the app changes, we will adapt this policy accordingly. The version published here applies in each case; the date above indicates the current status.