Datenschutzerklärung
Stand: 13. September 2026
Verantwortlicher
Scrayos UG (haftungsbeschränkt), Alter Weg 14, 53819 Neunkirchen-Seelscheid, Deutschland, legal@mc-jobs.net — die vollständigen Angaben findest du im Impressum.
Welche Daten wir verarbeiten
Wir verarbeiten nur, was für den Betrieb der Vermittlungsplattform notwendig ist: Konto- und Profildaten, Bewerbungen und Nachrichten, Zahlungsdaten (über Stripe) sowie technische Daten für Hosting und Sicherheit. Eine ausschließlich automatisierte Entscheidungsfindung im Sinne von Art. 22 DSGVO findet nicht statt; die Reihenfolge von Suchergebnissen ist eine Sortierung, keine Entscheidung mit rechtlicher Wirkung dir gegenüber.
Konto- und Profildaten
Bei der Registrierung erheben wir E-Mail-Adresse, Anzeigename und Geburtsdatum; ohne diese Angaben lässt sich kein Konto anlegen. Das Geburtsdatum brauchen wir, um das Mindestalter von 16 Jahren zu prüfen (Art. 8 DSGVO) und um für Minderjährige zurückhaltendere Voreinstellungen zu setzen: Ihr Profil startet ohne Kontakt-Freigabe und ungelistet, beides selbst änderbar. Das Datum selbst erscheint auf keinem Profil und wird nicht weitergegeben. Eine abgeleitete Angabe gibt es: Bewirbst du dich als Minderjährige oder Minderjähriger auf eine bezahlte Stelle, sieht das empfangende Team den Hinweis, dass du noch nicht volljährig bist — nie dein Geburtsdatum oder dein Alter; denselben Hinweis siehst du selbst. Talente können zusätzlich ein Profil anlegen (Rolle, Verfügbarkeit, Sprache, Zeitzone, Portfolio-Links, optional ein verifizierter Minecraft-Account). Server-Teams hinterlegen ein Server-Profil (Name, Adresse, Beschreibung, Logo/Banner). Profile sind öffentlich: Eine Profilseite ist ohne Anmeldung abrufbar, steht — solange das Profil gelistet ist — in unserer Sitemap und kann von Suchmaschinen indexiert werden; aus ihren Angaben erzeugen wir auch die Vorschaubilder, die beim Teilen eines Links erscheinen. Was darauf steht, entscheidest du selbst: Ein ungelistetes Profil taucht weder im Verzeichnis noch in der Suche noch in der Sitemap auf, eine festgehaltene Zusammenarbeit wird nur gezeigt, wenn du sie sichtbar schaltest, und dein Geburtsdatum gehört nie dazu. Zu einer bestätigten Zusammenarbeit können beide Seiten eine kurze Einschätzung übereinander festhalten; die beiden Texte bleiben verdeckt und erscheinen — auch auf den öffentlichen Profilen — erst, wenn beide Seiten geschrieben haben. Lädt ein Team eine Person per E-Mail-Adresse in seine Organisation ein, speichern wir diese Adresse für den Versand und die Zuordnung der Einladung; spätestens eine Woche nach ihrem Ablauf wird sie automatisch gelöscht. Enthält der Registrierungslink einen oder zwei kurze, von uns selbst vergebene Codes (die Parameter „utm_source“ und „utm_campaign“) — etwa aus einer Nachricht, mit der wir gezielt ein Serverteam angeschrieben haben —, speichern wir diese Codes zusammen mit dem Konto, um die Wirksamkeit unserer eigenen Kontaktaufnahmen einschätzen zu können. Er wird nie veröffentlicht, nie an Dritte weitergegeben und nicht durch ein Cookie oder eine andere Speicherung im Browser begleitet. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Bereitstellung von Konto und Profilen); für die Altersprüfung Art. 6 Abs. 1 lit. c in Verbindung mit Art. 8 DSGVO; für die Herkunfts-Zuordnung eigener Ansprache Art. 6 Abs. 1 lit. f DSGVO (unser Interesse, die Wirksamkeit eigener Kontaktaufnahmen einschätzen zu können).
Bewerbungen und Nachrichten
Eine Bewerbung enthält dein Anschreiben, deine Antworten auf etwaige Fragen des Teams und optionale Anhänge und wird mit ihrem Inhalt ausschließlich dem Team angezeigt, an das sie gerichtet ist. Das Team kann intern eine Einschätzung zu deiner Bewerbung festhalten — eine Bewertung und Notizen, die nur für das Team sichtbar sind — und dein Profil mit einer ebenso internen Notiz auf seine Merkliste setzen; Auskunft dazu bekommst du auf Anfrage (siehe „Deine Rechte“). Die anschließende Kommunikation läuft über das Postfach der Plattform, nicht per E-Mail; ist dein Profil dafür offen, kann ein Team dich darüber auch von sich aus kontaktieren. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, für interne Einschätzungen und Merklisten Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse des Teams an der Organisation seiner Bewerbungen). Die Moderation von MCJobs kann intern sehen, wer sich wann auf welches Inserat beworben hat: Anzeigename der bewerbenden Person oder des bewerbenden Studios, das empfangende Team, das Inserat, der Zeitpunkt und der Bearbeitungsstand. Anschreiben, Antworten und Anhänge gehören nicht dazu und bleiben dem empfangenden Team vorbehalten. Das dient zwei Zwecken: der Erkennung von Missbrauch — etwa massenhaft versendeter Bewerbungen — und der Bearbeitung von Beschwerden beider Seiten, sowie der Beobachtung, ob die Vermittlung überhaupt funktioniert. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am Schutz der Plattform vor Missbrauch und an der Beobachtung ihres Betriebs). Das empfangende Team kann sich über Team-Ereignisse zusätzlich in eigene Kanäle benachrichtigen lassen, die es selbst eingerichtet hat — einen Discord-Server des Teams oder einen beliebigen eigenen HTTPS-Endpunkt, auch außerhalb der EU. Dorthin übermitteln wir im Auftrag des Teams die Eckdaten des jeweiligen Ereignisses: bei einer neuen Bewerbung oder Nachricht etwa den Anzeigenamen der absendenden Person und den Titel des Inserats, bei Moderations- und Verifikationsentscheidungen deren Begründung. Inhalte von Nachrichten oder Bewerbungen werden nicht übermittelt. Für die Wahl des Endpunkts und das, was dort ankommt, ist das Team verantwortlich; wir prüfen die Adresse nur technisch (HTTPS, keine privaten Netze).
Meldungen und Moderation
Inhalte kann jede Person melden, mit oder ohne Konto. Zu einer Meldung gehören der gemeldete Inhalt, der angegebene Grund, ein etwaiger Freitext und eine Kopie des gemeldeten Inhalts in dem Zustand, in dem er zum Zeitpunkt der Meldung war — sonst ließe sich eine Meldung durch Bearbeiten aushebeln. Kommt die Meldung aus einem Konto, ist sie mit diesem verknüpft, damit die Moderation sehen kann, ob frühere Meldungen derselben Person zu einer Maßnahme geführt haben. Eine Meldung ohne Konto kann einen Namen und eine E-Mail-Adresse enthalten; beides ist freiwillig. Die Adresse dient ausschließlich dazu, dass die Moderation zu dieser Meldung auf die absendende Person zurückkommen kann; wer eine angibt, erhält außerdem eine Eingangsbestätigung und die Mitteilung, dass über die Meldung entschieden wurde — ohne das Ergebnis. Beides ist für die Moderation sichtbar, wird an niemanden weitergegeben und mit der Meldung gelöscht. Ohne Adresse wird die Meldung genauso bearbeitet. Meldungen und Moderationsentscheidungen bewahren wir so lange auf, wie sie als Nachweis gebraucht werden können — eine Entscheidung, gegen die Widerspruch möglich ist, muss nachvollziehbar bleiben. Nach der Entscheidung bewahren wir sie bis zum Ablauf des dritten Kalenderjahres nach der Entscheidung auf — das ist die regelmäßige Verjährungsfrist der §§ 195, 199 BGB — und löschen sie dann automatisch. Derselben Frist unterliegt unser internes Protokoll geschützter Vorgänge (wer wann welche Moderations- oder Verwaltungsaktion ausgeführt hat). Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO und, bei rechtswidrigen Inhalten, unsere Pflichten aus dem Digital Services Act.
Zahlungsdaten
Zahlungen für Mitgliedschaften und Boosts wickelt unser Zahlungsdienstleister Stripe ab: die Stripe Payments Europe, Limited, 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, Irland. Der Kauf selbst läuft über den Checkout von Stripe, die Verwaltung von Zahlungsmitteln, Rechnungen und Kündigung über das Kundenportal von Stripe. Kartendaten gibst du ausschließlich dort ein; wir erhalten und speichern sie nicht. Bei uns liegen nur die Kennungen, mit denen sich eine Zahlung deiner Organisation zuordnen lässt (Kunden- und Abonnement-Kennung von Stripe) sowie der gebuchte Plan, sein Status und die Laufzeit. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Erfüllung des Vertrags über die Mitgliedschaft beziehungsweise den Boost). Zusätzlich halten wir fest, dass du beim Kauf dem sofortigen Leistungsbeginn zugestimmt hast (Zeitpunkt, gekauftes Produkt und die E-Mail-Adresse, an die die Kaufbestätigung ging) — als Nachweis der Zustimmung nach § 356 Abs. 4 BGB, solange die Organisation besteht, höchstens jedoch bis zum Ablauf des dritten Kalenderjahres nach dem Kauf (§§ 195, 199 BGB); Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Kündigst du eine Mitgliedschaft über unsere Kündigungsseite, verarbeiten wir die dort angegebenen Daten (Name, E-Mail-Adresse, Art der Kündigung, bei einer außerordentlichen Kündigung deren Grund), um die Erklärung zuzuordnen und dir den Eingang in Textform zu bestätigen; bei einer außerordentlichen Kündigung erhält zusätzlich unser Rechtspostfach eine Kopie. Die Erklärung selbst speichern wir nicht — die Bestätigung geht dir per E-Mail zu. Stripe verarbeitet die Zahlungsdaten dabei auch in eigener Verantwortung, etwa zur Betrugsprävention und zur Erfüllung eigener gesetzlicher Pflichten, und kann dafür Daten an die Stripe, Inc. in den Vereinigten Staaten übermitteln. Abgesichert ist das durch die Standardvertragsklauseln der EU-Kommission. Was Stripe im Einzelnen verarbeitet, steht in der Datenschutzerklärung von Stripe unter https://stripe.com/de/privacy.
Hosting und technische Infrastruktur
Die Plattform läuft auf der Infrastruktur von Cloudflare (Workers, D1, KV, R2, Queues, Durable Objects, Analytics Engine, E-Mail-Versand und Turnstile), einem Dienst der Cloudflare, Inc., 101 Townsend St, San Francisco, CA 94107, USA, die dabei als Auftragsverarbeiter für uns tätig ist. Soweit Daten dabei in die USA gelangen, ist die Übermittlung durch die Zertifizierung von Cloudflare unter dem EU-US Data Privacy Framework und ergänzend durch die Standardvertragsklauseln der EU-Kommission abgesichert; Einzelheiten stehen in der Datenschutzerklärung von Cloudflare unter https://www.cloudflare.com/privacypolicy/. Zugriffszahlen erfassen wir aggregiert über die Cloudflare Analytics Engine, ohne einzelne Besucher zu identifizieren. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem sicheren und effizienten Betrieb).
Sicherheit und Missbrauchsschutz
Zum Schutz vor Missbrauch verarbeiten wir die IP-Adresse, von der eine Anfrage kommt: Anmeldeversuche, Registrierungen, Bewerbungen und andere missbrauchsanfällige Aktionen sind je Adresse ratenbegrenzt, und besonders exponierte Formulare sind durch Cloudflare Turnstile geschützt, das anhand technischer Merkmale des Browsers prüft, ob eine Anfrage von einem Menschen stammt. Die Zähler der Ratenbegrenzung verfallen nach spätestens einer Minute und werden nicht mit deinem Konto zusammengeführt. Unabhängig davon speichert eine Anmelde-Sitzung die IP-Adresse und den Browser, mit denen sie begonnen wurde, für die Dauer der Sitzung — so lassen sich deine Sitzungen unterscheiden und eine fremde Übernahme erkennen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am Schutz der Plattform vor Missbrauch und Angriffen). Legst du einen Passkey an, speichern wir dazu den öffentlichen Schlüssel, die Kennung des Zugangsschlüssels, einen Zähler, den Gerätetyp, die Modellkennung des Authenticators (AAGUID) und den Namen, den du selbst vergibst. Der private Schlüssel verlässt dein Gerät nie und erreicht uns nicht. Ein Passkey bleibt gespeichert, bis du ihn entfernst oder dein Konto löschst; Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Bereitstellung der Anmeldung).
Anmeldung über Discord oder GitHub
Wer sich über Discord oder GitHub anmeldet, statt E-Mail und Passwort zu nutzen, erlaubt uns den Zugriff auf die vom jeweiligen Anbieter freigegebenen Basisdaten (in der Regel Name und E-Mail-Adresse). Die Anmeldedaten selbst verbleiben beim jeweiligen Anbieter. Verknüpfst du ein solches Konto sichtbar mit deinem Profil, speichern wir zusätzlich den öffentlichen Nutzernamen und die Profil-Adresse beim Anbieter und zeigen beides auf deinem Profil an, bis du die Verknüpfung entfernst. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.
Minecraft-Verifikation
Wer ein Minecraft-Konto mit seinem Profil verknüpft, weist den Besitz über die Anmeldung bei Microsoft (Xbox Live) nach; dabei fließen die dafür nötigen Daten — Kontokennung (UUID), Anzeigename und kurzlebige Zugriffs-Tokens — an Microsoft beziehungsweise Mojang. Zwei Schritte dieser Prüfung laufen über einen eigenen Weiterleitungsdienst, den wir auf bei der Hetzner Online GmbH (Deutschland) angemieteter Infrastruktur betreiben; er reicht die Anfragen nur durch und speichert und protokolliert ihre Inhalte nicht. Bei uns gespeichert wird nur das Ergebnis: UUID und Name des verifizierten Kontos. Weil sich ein Minecraft-Name ändern kann, gleichen wir ihn regelmäßig über die öffentliche Schnittstelle von Mojang ab. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Derselbe Weiterleitungsdienst führt auch die Erreichbarkeitsprüfung durch, mit der ein Server-Team die Kontrolle über seinen Server nachweist; dabei verarbeitet er nur die Adresse des zu prüfenden Servers.
E-Mail und Push-Benachrichtigungen
E-Mails — die Bestätigung deiner Adresse, das Zurücksetzen des Passworts, Benachrichtigungen etwa zu einer neuen Bewerbung oder Nachricht und Zusammenfassungen gespeicherter Suchen — versenden wir über die E-Mail-Infrastruktur von Cloudflare. Welche Benachrichtigungen du bekommst, steuerst du in den Einstellungen; jede abbestellbare E-Mail trägt zusätzlich einen Abmeldelink. Push-Benachrichtigungen musst du je Browser ausdrücklich erlauben. Zugestellt werden sie über den Push-Dienst des jeweiligen Browser-Anbieters (etwa Google, Mozilla oder Apple); die Inhalte sind dabei verschlüsselt, der Push-Dienst kann sie nicht lesen. Wir speichern die Push-Adresse deines Browsers und ihre Schlüssel, bis du die Erlaubnis widerrufst — im Browser oder in den Einstellungen; endgültig unerreichbare Push-Adressen entfernen wir automatisch. Zusätzlich kannst du in den Einstellungen einen eigenen Discord-Webhook hinterlegen; dann senden wir dieselben Benachrichtigungen — einschließlich der Namen beteiligter Personen und der Titel von Inseraten — in den von dir gewählten Discord-Kanal. Für diesen Kanal bist du selbst verantwortlich; die Adresse speichern wir, bis du sie entfernst. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.
Cookies und lokale Speicherung
Ein Sitzungs-Cookie hält dich angemeldet; die Sitzung endet spätestens sieben Tage nach der letzten Nutzung. Ein zweites Cookie speichert deine Sprache — beim ersten Besuch aus der Browser-Einstellung übernommen, danach deine Wahl (bis zu 400 Tage) —, ein drittes merkt sich, ob du zuletzt deinen persönlichen Bereich oder den einer Organisation geöffnet hattest (bis zu einem Jahr). Die Einstellung für hell/dunkel liegt nur lokal in deinem Browser (localStorage) und wird nicht an uns übertragen. Außerdem legt die Web-App zum schnelleren Laden und für die Offline-Seite Dateien im Cache deines Browsers ab (Service Worker); auch dabei wird nichts an uns übertragen. Es werden keine Tracking- oder Werbe-Cookies gesetzt. Alle drei Cookies sind für den Betrieb erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG); die zugehörige Datenverarbeitung stützt sich auf Art. 6 Abs. 1 lit. b DSGVO.
Speicherdauer
Konto- und Profildaten speichern wir, solange das Konto besteht. Nach einer Löschung entfernen wir die Daten, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht. Eine Ausnahme bildet eine Bewerbungs-Konversation: Löscht eine Seite ihr Konto — das Team eines Servers oder die Person, die sich beworben hat —, behalten wir die Konversation und ihre Nachrichten für die andere Seite, da diese ein eigenes berechtigtes Interesse am Nachweis eines Austauschs hat, an dem sie beteiligt war. Entfernt wird dabei nur die Identität der gelöschten Seite; sie wird ab diesem Zeitpunkt als „gelöscht“ angezeigt, nicht mehr mit echtem Namen. Wurde inzwischen auch das Konto der anderen Seite gelöscht, entfernen wir die gesamte Konversation spätestens nach 36 Monaten. Dasselbe gilt für eine Bewerbung und die mit ihr übermittelten Dateien: Solange eine der beiden Seiten noch ein Konto hat, behält das empfangende Team seinen Nachweis der Bewerbung einschließlich der Anhänge. Existieren weder die bewerbende Person noch die bewerbende Organisation mehr, entfernen wir die Bewerbung, ihr Anschreiben und die hochgeladenen Dateien spätestens nach 36 Monaten. Für eine festgehaltene Zusammenarbeit gilt dasselbe noch einmal. Beide Seiten bestätigen sie, und sie bleibt bestehen, solange eine der beteiligten Seiten noch existiert — der Nachweis eines Teams, wer für es gearbeitet hat, verschwindet nicht, weil die Person ihr Konto gelöscht hat, und der Nachweis der Person nicht, weil das Team sich aufgelöst hat. Entfernt wird die Identität der Seite, die gegangen ist; es bleibt, dass die Zusammenarbeit stattgefunden hat, mit dem damaligen Namen der Organisation. Existiert keine der Seiten mehr, entfernen wir den Eintrag spätestens nach 36 Monaten. Ein Eintrag, den die andere Seite nie bestätigt hat, wird nach 30 Tagen entfernt, ohne je für jemand anderen sichtbar gewesen zu sein. Wird ein Konto dauerhaft gesperrt, speichern wir einen gesalzenen Hash seiner E-Mail-Adresse, damit die Sperre nicht dadurch aufgehoben wird, dass das Konto gelöscht und dieselbe Adresse neu registriert wird. Der Hash kann beantworten, ob eine Adresse zuvor gesperrt war; er kann nicht sagen, wer gesperrt war. Er trägt das Datum der Sperre und einen kurzen Grundcode, keinen Freitext, und wird spätestens 36 Monate nach der Sperre entfernt. Rechtsgrundlage ist unser berechtigtes Interesse an der Durchsetzung der Maßnahme (Art. 6 Abs. 1 lit. f DSGVO).
Deine Rechte
Du hast das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch. Wende dich dazu an die im Impressum genannte Adresse. Außerdem kannst du dich bei einer Datenschutzaufsichtsbehörde beschweren — für uns zuständig ist die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen, du kannst dich aber auch an die Behörde an deinem Wohnort wenden. Das meiste davon braucht keine Anfrage: der Export in deinen Datenschutz-Einstellungen gibt dir eine einzige Datei mit allem, was dein Konto hält — dein Profil mit Skills, Links, Sprachen, Arbeitsproben und den Medien deiner Galerie, deine gespeicherten Suchen und Inserate, deine Benachrichtigungen und Einstellungen, die Browser, für die du Push erlaubt hast, deine verknüpften Konten und Anmeldeverfahren, deine Anmelde-Sitzungen samt IP-Adresse und Browser, deine Zustimmungen beim Kauf, deine eigenen Nachrichten aus allen Unterhaltungen samt deren Rahmendaten und die Bewerbungen, die du gesendet hast, samt Anhängen. Eine Art von Daten steht bewusst nicht in dieser Datei: was andere über dich geschrieben haben, ohne es an dich zu richten. Das sind die Nachrichten der anderen Seite einer Unterhaltung (sie hat nie zugestimmt, dass ihre Worte im Export einer anderen Person landen — ein Verlauf enthält deshalb nur deine eigenen Nachrichten), interne Notizen und Bewertungen eines Teams zu deiner Bewerbung oder auf seiner Merkliste, und interne Moderationsnotizen zu einem Konto — eine Notiz, die ihr Gegenstand beim Schreiben mitliest, hört auf, ein ehrliches Protokoll zu sein. Deine Daten sind es dennoch: frag uns unter der im Impressum genannten Adresse, und wir geben sie heraus, soweit nicht die Rechte anderer entgegenstehen (Art. 15 Abs. 4 DSGVO).
Änderungen dieser Erklärung
Wir passen diese Erklärung an, wenn sich die Plattform oder die Rechtslage ändert. Die aktuelle Fassung steht immer an dieser Stelle.