This policy also lives at findthemimic.com/privacy.
Privacy Policy
contents
MIMIC needs an account to pair you with an opponent, and a server to keep the game honest. That is the entire reason any data is stored. No email address is ever collected, and there is no analytics SDK and no tracking — the app does not use the advertising identifier and never asks to track you across other apps.
The free version does show ads, supplied by Google (§ 8). Either ad-free purchase removes them entirely.
§ 1 /Controller
Oliver Oklitz
Maxstraße 13
45479 Mülheim an der Ruhr
Germany
Email: oliver@oklitz.net
§ 2 /Scope
This policy applies to the MIMIC iOS app and its game server at api.mimikry.oklitz.net. The website you are reading right now is covered separately by the oklitz.net privacy policy.
You can play the tutorial and the offline modes without an account. In that case nothing leaves your device and nothing below applies.
§ 3 /Sign in with Apple
Accounts use Sign in with Apple. The app requests no personal scopes at all — not your name, not your email address, not even Apple's anonymised relay address. Apple confirms your identity, and we store only the pseudonymous user identifier Apple issues for this app.
That identifier cannot be used to contact you, and cannot be used to recognise you in any other app.
Legal basis: Art. 6(1)(b) GDPR (performance of a contract — providing the game).
§ 4 /What Is Stored
Account. The Apple user identifier, the gamer tag you choose, your figure colour and avatar selection, your level and XP, your league standing, and whether you have bought an ad-free option.
Gameplay. Matches, rounds, where a Mimic was hidden, where you tapped, how long you took, how many misses, and the resulting points. The server calculates these itself rather than trusting the app — that is what stops a modified client from inventing results.
Device and notifications. If you allow notifications: your Apple push token, the platform, and your time zone. The time zone exists so that a "your turn" notification does not arrive at three in the morning.
Purchase. If you make a purchase, the product identifier and Apple's transaction identifier. The signed receipt is verified and then discarded — it is not stored.
Legal basis: Art. 6(1)(b) GDPR, and Art. 6(1)(f) for the limited abuse-prevention records described in § 10.
§ 5 /What Is Never Collected
Stated plainly, because the list matters more than the assurances.
- No email address and no real name.
- No advertising identifier (IDFA), and no tracking. The app never shows the App Tracking Transparency prompt, because it does not track you across apps or websites — not even for the ads described in § 8.
- No location, contacts, photos, camera or microphone access — the app requests none of these permissions.
- No analytics and no crash-reporting SDK. The only third-party code in MIMIC is Google's advertising SDK (§ 8); nothing else.
Your data is never sold. Nothing you do in the game — your matches, results, tag, level or purchases — is ever shared with the ad network or used to profile you.
§ 6 /Notifications
Push notifications are opt-in and only ever tell you that it is your turn, or that a season is ending. You can withdraw permission at any time in iOS Settings, and the token is deleted when you delete your account.
§ 7 /In-App Purchase
There are two purchases, both of which only remove advertising and the limit on simultaneous matches: a 30-day pass and a permanent one. Neither affects gameplay — camouflage, points and find times stay the same for everyone. Payment is handled entirely by Apple — no payment details ever reach our server. The app sends Apple's signed transaction so the server can verify it, and the result is stored as a yes/no flag on your account.
§ 8 /Advertising
The free version of MIMIC shows ads supplied by Google Ireland Limited (Gordon House, Barrow Street, Dublin 4, Ireland) through the Google AdMob service. There are two placements: a full-screen ad after every tenth completed match, and an optional video you can choose to watch in exchange for one extra match slot for 24 hours. No ads are ever shown while you are hiding or searching, and none before a result is revealed.
Non-personalised only. MIMIC does not use the advertising identifier and does not track you. Ads are selected without a profile of your interests; they may still take into account coarse context such as the approximate region derived from your IP address, and Google uses a device signal to limit how often the same ad is repeated and to detect click fraud.
Your consent. When you first open the app in the EEA, the UK or Switzerland, Google's consent dialog asks whether ads may be shown and personal data processed for that purpose. You can decline, and the game remains fully playable either way. You can change or withdraw your choice at any time in the app under Settings → Change ad preferences.
Transfer to the USA. Google may process this data outside the European Union, including in the United States. The transfer is based on the European Commission's Standard Contractual Clauses and, where applicable, Google's certification under the EU–US Data Privacy Framework. The USA does not offer a level of data protection equivalent to the GDPR; in particular, access by public authorities cannot be ruled out.
Retention. Ad data is retained by Google under its own policies, not ours — see Google's privacy policy and its advertising terms. We receive no personal data back from Google; we only see aggregate figures such as how many ads were shown.
The rewarded video. If you watch one, Google confirms this directly to our server so the extra slot can be credited to your account. That confirmation contains only your account number and a one-time transaction identifier — no advertising identifier and nothing about the ad you saw.
Either ad-free purchase removes all advertising, permanently and on every device signed in to your account.
Legal basis: Art. 6(1)(a) GDPR (consent), and § 25(1) TDDDG for storing and reading information on your device.
§ 9 /Where Your Data Lives
The game server runs on a virtual server operated by Hetzner Online GmbH in Nuremberg, Germany. All gameplay data stays within the European Union. Connections are encrypted with TLS.
Apple (Sign in with Apple, push notifications, purchases) processes data under its own terms and may do so outside the EU. Advertising is the one part that leaves this setup — see § 8.
§ 10 /Abuse Prevention
Unusual play patterns can be flagged, and those flags are kept for up to one year. Request rate limits use your IP address in transient memory only; IP addresses are not written to the database.
Legal basis: Art. 6(1)(f) GDPR (legitimate interest in a fair game).
§ 11 /Retention & Deletion
You can delete your account yourself, in the app, under Settings → Delete account. No email required.
Deletion happens in two stages. Immediately: your Apple identifier and gamer tag are erased, your push tokens are deleted and all sessions are revoked. From that moment the remaining record can no longer be traced back to you, and your tag becomes available to someone else. After 30 days: the record is deleted outright, taking every match, hide, result and purchase record with it.
The 30-day gap exists so that an opponent's ongoing match and score do not collapse mid-game. Push logs are kept for 30 days and abuse flags for one year, both independently of your account.
Backups. The database is backed up daily, and backups are kept for 14 days. A deleted account therefore still exists inside those backups until they rotate out — editing a backup to remove one record would defeat the purpose of having one. After 14 days at the latest, nothing remains there either.
§ 12 /Children
MIMIC is not directed at children and does not knowingly collect data from them. There is no chat and no free-text messaging between players; the only text another player ever sees is the gamer tag you choose. Please do not use a real name as your tag.
§ 13 /Your Rights
Under the GDPR you have the right to access (Art. 15), rectification (Art. 16), erasure (Art. 17), restriction (Art. 18), data portability (Art. 20) and to object (Art. 21). Deletion is built into the app; for anything else, write to oliver@oklitz.net.
You also have the right to lodge a complaint with a supervisory authority. The competent authority here is the Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW).
§ 14 /Changes
If the app changes in a way that affects this policy, it is updated here and the date at the top changes with it. Substantial changes will be pointed out in the app.
Datenschutzerklärung
MIMIC braucht ein Konto, um dich mit einem Gegner zusammenzubringen, und einen Server, damit das Spiel ehrlich bleibt. Das ist der ganze Grund, warum überhaupt Daten gespeichert werden. Eine E-Mail-Adresse wird nie erhoben, es gibt kein Analyse-SDK und kein Tracking — die App nutzt den Werbe-Identifier nicht und fragt nie danach, dich über andere Apps hinweg zu verfolgen.
In der Gratis-Version wird Werbung angezeigt, ausgeliefert von Google (§ 8). Beide Werbefrei-Käufe entfernen sie vollständig.
§ 1 /Verantwortlicher
Oliver Oklitz
Maxstraße 13
45479 Mülheim an der Ruhr
Deutschland
E-Mail: oliver@oklitz.net
§ 2 /Geltungsbereich
Diese Erklärung gilt für die iOS-App MIMIC und ihren Spielserver unter api.mimikry.oklitz.net. Für die Website, die du gerade liest, gilt gesondert die Datenschutzerklärung von oklitz.net.
Tutorial und Offline-Modi lassen sich ohne Konto spielen. Dabei verlässt nichts dein Gerät, und nichts von dem, was unten steht, trifft zu.
§ 3 /Anmeldung mit Apple
Konten laufen über „Anmelden mit Apple“. Die App fordert keinerlei persönliche Angaben an — weder deinen Namen noch deine E-Mail-Adresse, nicht einmal Apples anonymisierte Weiterleitungsadresse. Apple bestätigt deine Identität, und gespeichert wird ausschließlich die pseudonyme Nutzerkennung, die Apple für diese App vergibt.
Über diese Kennung kann man dich nicht kontaktieren, und in keiner anderen App wiedererkennen.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung — Bereitstellung des Spiels).
§ 4 /Was gespeichert wird
Konto. Die Apple-Nutzerkennung, dein gewählter Gamer-Tag, Figurfarbe und Avatar-Auswahl, Level und XP, dein Liga-Stand und ob du einen Werbefrei-Kauf getätigt hast.
Spielverlauf. Partien, Runden, wo ein Mimic versteckt wurde, wohin du getippt hast, wie lange du gebraucht hast, wie viele Fehlversuche, und die daraus errechneten Punkte. Der Server rechnet das selbst, statt der App zu vertrauen — genau das verhindert, dass eine manipulierte App sich Ergebnisse ausdenkt.
Gerät und Benachrichtigungen. Wenn du Mitteilungen erlaubst: dein Apple-Push-Token, die Plattform und deine Zeitzone. Die Zeitzone sorgt dafür, dass ein „Du bist dran“ nicht um drei Uhr nachts ankommt.
Kauf. Bei einem Kauf: die Produkt-Kennung und Apples Vorgangsnummer. Der signierte Beleg wird geprüft und danach verworfen — gespeichert wird er nicht.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, für die begrenzten Missbrauchs-Vermerke aus § 10 zusätzlich Art. 6 Abs. 1 lit. f.
§ 5 /Was nie erhoben wird
Klar benannt, weil die Liste mehr wert ist als jede Beteuerung.
- Keine E-Mail-Adresse und kein Klarname.
- Kein Werbe-Identifier (IDFA), kein Tracking. Die App zeigt nie den Dialog „App-Tracking-Transparenz“, weil sie dich nicht über Apps oder Websites hinweg verfolgt — auch nicht für die Werbung aus § 8.
- Kein Zugriff auf Standort, Kontakte, Fotos, Kamera oder Mikrofon — die App fordert keine dieser Berechtigungen an.
- Kein Analyse- und kein Absturzbericht-SDK. Der einzige fremde Programmcode in MIMIC ist Googles Werbe-SDK (§ 8), sonst nichts.
Deine Daten werden nie verkauft. Nichts von dem, was du im Spiel tust — Partien, Ergebnisse, Tag, Level oder Käufe — wird an das Werbenetzwerk weitergegeben oder zur Profilbildung genutzt.
§ 6 /Mitteilungen
Push-Mitteilungen sind freiwillig und sagen dir ausschließlich, dass du am Zug bist oder dass eine Saison endet. Du kannst die Erlaubnis jederzeit in den iOS-Einstellungen widerrufen; das Token wird gelöscht, sobald du dein Konto löschst.
§ 7 /In-App-Kauf
Es gibt zwei Käufe, die ausschließlich Werbung und die Begrenzung gleichzeitiger Partien aufheben: einen 30-Tage-Pass und einen dauerhaften Kauf. Auf das Spiel wirken sie sich nicht aus — Tarnung, Punkte und Suchzeiten bleiben für alle gleich. Die Zahlung wickelt vollständig Apple ab — Zahlungsdaten erreichen unseren Server nie. Die App übermittelt Apples signierten Vorgang, damit der Server ihn prüfen kann; gespeichert wird das Ergebnis als Ja/Nein-Vermerk am Konto.
§ 8 /Werbung
In der Gratis-Version zeigt MIMIC Werbung, ausgeliefert von Google Ireland Limited (Gordon House, Barrow Street, Dublin 4, Irland) über den Dienst Google AdMob. Es gibt zwei Platzierungen: eine bildschirmfüllende Anzeige nach jeder zehnten abgeschlossenen Partie, und ein freiwilliges Video, das du dir für einen zusätzlichen Partie-Platz für 24 Stunden ansehen kannst. Während des Versteckens und Suchens wird nie Werbung gezeigt, und auch nicht, bevor ein Ergebnis aufgedeckt wird.
Ausschließlich nicht personalisiert. MIMIC nutzt den Werbe-Identifier nicht und verfolgt dich nicht. Anzeigen werden ohne ein Profil deiner Interessen ausgewählt; berücksichtigt werden kann weiterhin grober Kontext wie die aus deiner IP-Adresse abgeleitete ungefähre Region. Google verwendet ein Gerätesignal, um zu begrenzen, wie oft dieselbe Anzeige wiederholt wird, und um Klickbetrug zu erkennen.
Deine Einwilligung. Beim ersten Öffnen der App im EWR, im Vereinigten Königreich und in der Schweiz fragt Googles Einwilligungsdialog, ob Werbung angezeigt und dafür personenbezogene Daten verarbeitet werden dürfen. Du kannst ablehnen; das Spiel bleibt in beiden Fällen vollständig nutzbar. Du kannst deine Entscheidung jederzeit in der App unter „Einstellungen → Werbe-Einstellungen ändern“ anpassen oder widerrufen.
Übermittlung in die USA. Google kann diese Daten außerhalb der Europäischen Union verarbeiten, auch in den Vereinigten Staaten. Grundlage sind die Standardvertragsklauseln der EU-Kommission sowie, soweit einschlägig, Googles Zertifizierung unter dem EU-US Data Privacy Framework. Die USA bieten kein der DSGVO gleichwertiges Schutzniveau; insbesondere ist ein Zugriff durch dortige Behörden nicht auszuschließen.
Speicherdauer. Werbedaten speichert Google nach seinen eigenen Bestimmungen, nicht nach unseren — siehe Googles Datenschutzerklärung und die Werbebedingungen. Von Google erhalten wir keine personenbezogenen Daten zurück, sondern nur zusammengefasste Zahlen, etwa wie viele Anzeigen ausgeliefert wurden.
Das belohnte Video. Siehst du dir eines an, bestätigt Google das direkt unserem Server, damit der zusätzliche Platz deinem Konto gutgeschrieben werden kann. Diese Bestätigung enthält nur deine Kontonummer und eine einmalige Vorgangsnummer — keinen Werbe-Identifier und nichts über die gesehene Anzeige.
Beide Werbefrei-Käufe entfernen sämtliche Werbung, dauerhaft und auf jedem Gerät, an dem dein Konto angemeldet ist.
Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung), für das Speichern und Auslesen von Informationen auf deinem Gerät § 25 Abs. 1 TDDDG.
§ 9 /Wo deine Daten liegen
Der Spielserver läuft auf einem virtuellen Server der Hetzner Online GmbH in Nürnberg, Deutschland. Alle Spieldaten bleiben innerhalb der Europäischen Union. Verbindungen sind mit TLS verschlüsselt.
Apple (Anmelden mit Apple, Push-Mitteilungen, Käufe) verarbeitet Daten nach eigenen Bedingungen und dabei möglicherweise außerhalb der EU. Werbung ist der eine Teil, der diesen Rahmen verlässt — siehe § 8.
§ 10 /Missbrauchsabwehr
Auffällige Spielmuster können vermerkt werden; solche Vermerke werden bis zu einem Jahr aufbewahrt. Die Ratenbegrenzung von Anfragen nutzt deine IP-Adresse nur im flüchtigen Arbeitsspeicher; IP-Adressen werden nicht in die Datenbank geschrieben.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem fairen Spiel).
§ 11 /Aufbewahrung und Löschung
Du kannst dein Konto selbst löschen, in der App unter Einstellungen → Konto löschen. Ohne E-Mail, ohne Nachfrage.
Die Löschung läuft in zwei Stufen. Sofort: Apple-Kennung und Gamer-Tag werden gelöscht, Push-Token entfernt und alle Sitzungen widerrufen. Ab diesem Moment lässt sich der verbleibende Datensatz nicht mehr auf dich zurückführen, und dein Tag wird wieder für andere frei. Nach 30 Tagen: Der Datensatz wird endgültig gelöscht, samt aller Partien, Verstecke, Ergebnisse und Kaufvermerke.
Die 30 Tage gibt es, damit die laufende Partie eines Gegners nicht mitten im Spiel zusammenbricht. Push-Protokolle werden 30 Tage aufbewahrt, Missbrauchs-Vermerke ein Jahr — beides unabhängig von deinem Konto.
Sicherungskopien. Die Datenbank wird täglich gesichert, die Sicherungen 14 Tage aufbewahrt. Ein gelöschtes Konto existiert daher innerhalb dieser Sicherungen weiter, bis sie auslaufen — eine Sicherung nachträglich zu bearbeiten würde ihren Zweck zerstören. Spätestens nach 14 Tagen ist auch dort nichts mehr vorhanden.
§ 12 /Kinder
MIMIC richtet sich nicht an Kinder und erhebt wissentlich keine Daten von ihnen. Es gibt keinen Chat und keine freien Textnachrichten zwischen Spielern; der einzige Text, den ein anderer Spieler je sieht, ist dein gewählter Gamer-Tag. Bitte verwende dafür keinen echten Namen.
§ 13 /Deine Rechte
Nach der DSGVO hast du das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21). Die Löschung ist in der App eingebaut; für alles andere schreib an oliver@oklitz.net.
Außerdem hast du das Recht, dich bei einer Aufsichtsbehörde zu beschweren. Zuständig ist hier die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW).
§ 14 /Änderungen
Ändert sich die App so, dass diese Erklärung davon berührt ist, wird sie hier aktualisiert und das Datum oben ändert sich mit. Auf wesentliche Änderungen wird in der App hingewiesen.