Legion Tactics

Datenschutzerklärung

Legion Tactics, früher Tactics Arena (com.nrgstash.tacticsarena) · Stand: 4. November 2026

Deutsch English

Verantwortlicher

Sören Dierkes
Gersteweg 18
26125 Oldenburg, Deutschland
E-Mail: contact@legiontactics.com

Kurzfassung

Legion Tactics zeigt keine Werbung, verlangt keine Registrierung und sendet Nutzungsstatistik und Absturzberichte nur, wenn du beim ersten Start zustimmst (siehe „Nutzungsstatistik und Absturzberichte“). Beim ersten Start legt die App auf unserem Spielserver ein anonymes technisches Konto an, mit einer zufälligen Konto-ID ohne Namen, E-Mail-Adresse oder Passwort. Dein Spielstand liegt auf diesem Server; die App hält davon eine Anzeigekopie. Kämpfe werden vom Server eröffnet und nachgespielt. Wenn du dich bei Google Play Spiele anmeldest, speichert der Server deine Play-Spiele-Spieler-ID, damit du dein Konto auf einem neuen Gerät wiederfindest. Käufe wickelt Google Play ab; unser Server prüft jeden Kauf gegen Google und schreibt die Edelsteine gut. Aus der Installationsquelle von Google Play merkt sich der Server, über welchen Weg die App installiert wurde (siehe „Installationsquelle“). Die Website selbst setzt keine Cookies und zählt keine Besuche; was beim Aufruf trotzdem an Dritte geht, steht unter „Diese Website“.

Spielstand

Beim ersten Start legt die App auf unserem Spielserver, gehostet bei Supabase in der EU (Region Irland), ein anonymes technisches Konto an: eine zufällig erzeugte Konto-ID ohne Namen, E-Mail-Adresse, Passwort oder sonstigen Bezug zu deiner Person. Dein Spielstand liegt auf diesem Server und nur dort: Kampagne, Sterne, Heldenprüfungen, Helden und Karten, Einheitenstufen und Perks, Edelsteine, EP, Jokerkarten, Himmelsturm-Etage, Kartenteile, Ehrenmarken, Höhlen-Serie und Erfolge. Die App hält davon nur eine Anzeigekopie, die sie vom Server ersetzt. Deine Einstellungen bleiben nur auf dem Gerät.

Jede Änderung an Edelsteinen, EP, Karten und Ehrenmarken wird mit Zeitpunkt und Grund in einem Buch festgehalten, und einmal am Tag hält der Server eine Kopie des Spielstands fest. So erkennen wir Manipulation und sichern Käufe ab (Rechtsgrundlage Art. 6 Abs. 1 lit. b und f DSGVO). Löschst du die App-Daten oder deinstallierst du die App, ohne bei Google Play Spiele angemeldet zu sein, ist der Zugang zu diesem Konto weg. Auf Anfrage löschen wir es (siehe „Konto löschen").

Kämpfe

Jeder Kampf in Kampagne, Himmelsturm, Arena und Höhle wird vom Server eröffnet und am Ende von deinem Gerät an den Server gemeldet. Gemeldet werden deine Züge, nicht ein Ergebnis: welche Einheiten du gewählt hast, wann du neu gewürfelt hast, wann du die Fähigkeiten deines Helden eingesetzt hast und welches Relikt du in der Höhle genommen hast. Der Server spielt den Kampf mit denselben Regeln nach und schreibt die Belohnung gut. Diese vier Spielarten brauchen deshalb eine Internetverbindung; das schnelle Match läuft ohne Server.

Für Kampagne, Himmelsturm und Arena werden die Züge nicht gespeichert. Gespeichert wird der Kampf selbst: welcher Kampf, Held, Einheitenstufen und Perks, Ausgang, Belohnung, App-Version und Zeitpunkte. Für Kampagne und Himmelsturm löschen wir diesen Eintrag nach 90 Tagen. Ein Arena-Angriff bleibt wie bisher als Eintrag stehen (siehe „Arena (online)"), jetzt mit der Aufstellung des Angreifers und der Abrechnung. Ein Höhlenlauf wird mit Tag, Held, Aufstellung mit Einheitenstufen und Perks, erreichter Grotte, Relikten, Ausgang, Belohnung, App-Version und Zeitpunkten gespeichert; seine Züge stehen beim Lauf und werden nach 90 Tagen gelöscht. Die Buchungen im Buch (siehe „Spielstand") bleiben.

Arena (online)

Wenn du die Arena betrittst, werden folgende Daten an unseren Spielserver (gehostet bei Supabase) übertragen und dort gespeichert:

  • eine zufällig erzeugte Spieler-ID (UUID, ohne Bezug zu deiner Person),
  • der Name, den du selbst wählst, und die Nummer, die der Server anhängt,
  • dein Banner, sobald du eines gestaltest: Tuchfarbe, Borte, Wappentier und Wappenfarbe, gespeichert als vier Zahlen,
  • dein Platz in der Rangliste, eine Zahl von 1 bis 100. Es gibt keine Wertung und keine Punkte,
  • deine Verteidigung: fünf Runden mit je drei Einheiten, dazu Held, Einheitenstufen und Perks aus deinem Spielstand,
  • dein Stand an Ehrenmarken,
  • wie viele Angriffe und Neuauslosungen du heute verbraucht hast und welche zwei Gegner dir gerade angeboten werden,
  • ein Eintrag je Angriff: wer wen auf welchem Platz angegriffen hat, der Zufallswert des Kampfes, die Woche, die Aufstellung des Angreifers (Held, Einheitenstufen und Perks), die Abrechnung, der Ausgang, die App-Version und der Zeitpunkt,
  • am Ende jeder Woche (sonntags 18:00 UTC) dein Name, dein Platz und die Ehrenmarken, die er dir eingebracht hat,
  • wann dein Eintrag angelegt und wann deine Verteidigung zuletzt geändert wurde.

Wie ein Angriff gemeldet und nachgespielt wird, steht unter „Kämpfe".

Andere Spieler sehen deinen Namen, dein Banner und deinen Platz in der Rangliste. Deine gespeicherte Verteidigung können angemeldete Spieler ebenfalls abrufen; im Spiel bekommt sie zu sehen, wer dich angreift. Am Ende jeder Woche wird die ganze Rangliste mit Namen, Plätzen und Ehrenmarken festgehalten und bleibt für alle Spieler lesbar.

Namen melden: Wenn du den Namen eines anderen Spielers in der Rangliste meldest, speichern wir deine Konto-ID, die gemeldete Spieler-ID, den Namen, wie er dir angezeigt wurde, und den Zeitpunkt, bis die Meldung bearbeitet ist (Art. 6 Abs. 1 lit. f DSGVO, berechtigtes Interesse an einem Spiel ohne Beleidigungen). Ein Name, der gegen die Regeln verstößt, wird auf „Player" zurückgesetzt. Blendest du einen Spieler aus, bleibt das auf deinem Gerät und wird nicht übertragen.

Zweck ist ausschließlich der Spielbetrieb (Rechtsgrundlage Art. 6 Abs. 1 lit. b DSGVO). Die serverseitigen Zähler für Angriffe, Neuauslosungen und Gegner-Angebote dienen zusätzlich dem Schutz vor Manipulation (Art. 6 Abs. 1 lit. f DSGVO). Die Arena-Daten sind mit dem oben beschriebenen anonymen technischen Konto verknüpft. Den Namen wählst du selbst. Wenn du dort deinen echten Namen einträgst, sehen ihn andere Spieler. Kontaktdaten werden nicht erhoben, eine Verknüpfung mit deiner Identität findet nicht statt, und die Daten werden weder zu Werbezwecken verwendet noch an Dritte verkauft. Auf Anfrage löschen wir sie (siehe „Konto löschen").

Google Play Spiele

Wenn du dich auf deinem Gerät bei Google Play Spiele anmeldest (das ist Googles Anmeldung, nicht unsere), schickt die App einen einmaligen Code an unseren Server. Der Server holt damit bei Google deine Play-Spiele-Spieler-ID und speichert sie bei deinem Konto. Zweck: dein Konto auf einem neuen Gerät wiederzufinden. Meldest du dich dort mit demselben Google-Konto an, findet der Server über die ID dein Konto und holt es auf das neue Gerät. Das bisherige Gerät verliert damit den Zugang; ein Spielstand ist immer nur von einem Gerät aus erreichbar. Hat das neue Gerät schon eigenen Fortschritt, fragt die App vorher, welcher Stand bleiben soll. Auf unserem Server wird nur die ID gespeichert, nicht dein Play-Name und nicht dein Bild (Art. 6 Abs. 1 lit. b DSGVO). Bist du angemeldet, meldet die App außerdem deine Erfolge an Google Play Spiele: welche du erreicht hast und den Stand der Zähler. Dafür gilt die Datenschutzerklärung von Google. Ohne diese Anmeldung gibt es keine Wiederherstellung.

Freunde einladen

Jedes Konto hat einen Einladungscode. Unser Server legt ihn an, wenn du „Freunde einladen“ zum ersten Mal öffnest, und er ändert sich nicht. Installiert jemand das Spiel über deinen Link aus Google Play, gibt Google Play der App beim ersten Start die Installationsquelle (den „Install Referrer“) mit, in der dieser Code steht. Die App liest sie auf dem Gerät und schickt den Code an unseren Server; ebenso, wenn jemand den Code von Hand eintippt. Was die App sonst aus der Installationsquelle schickt, steht unter „Installationsquelle“. Der Server speichert dann, welches Konto welches eingeladen hat, wann, und wann die Belohnung dafür gezahlt wurde, und hält die Edelsteine wie jede Gutschrift im Buch fest (siehe „Spielstand“). Zweck ist allein, die Belohnung zu zahlen (Rechtsgrundlage Art. 6 Abs. 1 lit. b DSGVO). Wer eingeladen hat, sieht den Arena-Namen des Freundes, sobald dieser mitspielt, und der Freund sieht den Arena-Namen dessen, der ihn eingeladen hat. Die Einladung wird mit dem Konto gelöscht, mit deinem wie mit dem des Freundes (siehe „Konto löschen“). Die Seite hinter dem Link, legiontactics.com/i/, liest den Code nur in deinem Browser aus der Adresse und hängt ihn an den Link zu Google Play.

Installationsquelle

Beim ersten Start liest die App auf dem Gerät die Installationsquelle, die Google Play ihr mitgibt (siehe „Freunde einladen“). Daraus schickt sie unserem Server die drei Kampagnenangaben des Links, über den die App installiert wurde (Quelle, Medium und Kampagne, zum Beispiel „website“, „web“ und „site_de“ für einen Knopf auf dieser Website oder „google-play“ und „organic“ für einen Fund im Store), und ob die Installation über einen Klick auf eine Anzeige kam. Die Klick-Kennung der Anzeige schickt die App nicht an unseren Server. Der Server speichert das einmal zum Konto, und nur, solange das Konto jünger als eine Woche ist. Zweck ist allein zu sehen, welche Wege Spieler bringen und ob sie bleiben, damit unser Werbegeld dorthin geht, wo es wirkt (Rechtsgrundlage Art. 6 Abs. 1 lit. f DSGVO). Die Angabe wird mit dem Konto gelöscht (siehe „Konto löschen“).

Käufe

Käufe von Edelstein-Paketen wickelt Google Play ab. Wir erhalten keine Zahlungsdaten (keine Kontonummern, keine Rechnungsadresse). Unser Server prüft jede von Google Play gelieferte Kaufbestätigung (Kauf-Token) über die Google Play Developer API; erst danach werden die Edelsteine gutgeschrieben. Gespeichert werden zum anonymen Konto: Kauf-Token, Produkt, Bestellnummer, Zeitpunkt, ob es ein Testkauf war, und der Stand (gutgeschrieben oder erstattet) (Rechtsgrundlage Art. 6 Abs. 1 lit. b und f DSGVO). Mit dem Kauf geht ein Hashwert deiner Konto-ID an Google, damit der Kauf deinem Konto zugeordnet werden kann. Einmal am Tag fragt der Server bei Google nach erstatteten Käufen und bucht die Edelsteine zurück. Kaufbelege bleiben auch nach dem Löschen des Kontos gespeichert, dann ohne Konto-ID, so lange das Steuerrecht die Aufbewahrung verlangt (§ 147 AO). Es gilt zusätzlich die Datenschutzerklärung von Google Play.

Nutzungsstatistik und Absturzberichte

Beim ersten Start fragt die App, ob sie anonyme Nutzungsstatistik und Absturzberichte an Google senden darf. Sagst du Nein, bleibt alles aus; die Antwort änderst du jederzeit in den Einstellungen unter „Statistik und Absturzberichte“. Sagst du Ja, nutzt die App Google Analytics for Firebase und Firebase Crashlytics (Anbieter: Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland, als Auftragsverarbeiter). Übermittelt werden Ereignisse im Spiel (zum Beispiel erster Kampf, Shop geöffnet, Kauf abgeschlossen), Sitzungen, Absturzberichte mit Gerätemodell, Android-Version, App-Version und dem Zustand der App beim Absturz, sowie eine zufällige Installations-ID, die Firebase auf dem Gerät speichert. Keine Werbe-ID, kein Name, keine Konto-ID. Die Daten können in den USA verarbeitet werden; Google ist nach dem EU-US Data Privacy Framework zertifiziert. Rechtsgrundlage ist deine Einwilligung (§ 25 Abs. 1 TDDDG, Art. 6 Abs. 1 lit. a DSGVO). Ein Widerruf wirkt ab sofort; bereits gesendete Daten bleiben bis zum Ablauf der Speicherfrist: Analytics 14 Monate, Crashlytics 90 Tage.

Kam die Installation über eine Anzeige von Google Ads, meldet Google Analytics unserem Google-Ads-Konto außerdem, ob der erste Kampf zu Ende gespielt wurde. Den Klick auf die Anzeige erkennt Google Analytics an der Installationsquelle, die Google Play dem Gerät mitgibt. So sehen wir, ob eine Anzeige Spieler bringt, die auch spielen. Das geschieht nur, wenn du der Statistik zugestimmt hast. Google Ads erhält dabei keine Werbe-ID, keinen Namen und keine Konto-ID. Personalisierte Werbung ist für diese Verknüpfung ausgeschaltet, und es entstehen daraus keine Zielgruppen für Werbung. Für die Daten in Google Ads gelten zusätzlich die Bedingungen von Google Ads.

Push-Nachrichten

Die App kann dir eine Push-Nachricht schicken, wenn ein anderer Spieler deine Verteidigung schlägt und dir damit deinen Platz in der Arena abnimmt. Sie nennt den Namen des Angreifers, den Platz, den er dir abgenommen hat, und den Platz, auf dem du jetzt stehst. Andere Push-Nachrichten schickt die App nicht.

Die App fragt dich einmal in der Arena, ob du das willst. Erst wenn du Ja sagst, fragt Android nach der Berechtigung für Benachrichtigungen. Dann holt die App von Firebase Cloud Messaging (Anbieter: Google Ireland Limited, als Auftragsverarbeiter) ein Geräte-Token, eine zufällige Kennung, über die Google dein Gerät erreicht, und schickt es mit der Sprache der App an unseren Server. Gespeichert werden zu deinem Konto das Token, die Sprache und wann es zuletzt übertragen wurde, für höchstens fünf Geräte. Zu jeder Nachricht hält der Server fest, zu welchem Angriff sie gehört, wann und wie oft sie versucht wurde und ob sie ankam; diese Einträge löschen wir nach 30 Tagen. Der Text der Nachricht geht über Google an dein Gerät und kann dabei in den USA verarbeitet werden; Google ist nach dem EU-US Data Privacy Framework zertifiziert.

Rechtsgrundlage ist deine Einwilligung (§ 25 Abs. 1 TDDDG, Art. 6 Abs. 1 lit. a DSGVO). Du widerrufst sie in den Einstellungen der App unter „Arena-Benachrichtigungen“: Dann löscht der Server das Token sofort, und die App verwirft es auch auf dem Gerät. Das Token wird außerdem gelöscht, wenn du dein Konto löschst oder Google es als ungültig meldet, etwa nach einer Deinstallation. Schaltest du die Benachrichtigungen nur in den Android-Einstellungen ab, nimmt die App das Token beim nächsten Öffnen vom Server.

Berechtigungen

Die App fragt dich nach einer einzigen Berechtigung: Benachrichtigungen (ab Android 13), und nur, nachdem du in der Arena Ja gesagt hast (siehe „Push-Nachrichten“). Im Paket stehen außerdem Internet und Netzwerkstatus (Spielstand, Kämpfe, Arena, Kaufprüfung, Google Play Spiele, Statistik und Absturzberichte), Wachhalten (Firebase plant damit das Senden von Statistik und Absturzberichten und nimmt damit Push-Nachrichten an), der Empfang von Nachrichten über Firebase Cloud Messaging, Google Play Billing und die Anbindung an den Installationsdienst von Google Play. Über sie liest die App beim ersten Start die Installationsquelle (siehe „Freunde einladen“ und „Installationsquelle“), und das Analytics-SDK nutzt sie ebenfalls. Eine Werbe-ID-Berechtigung enthält das Paket nicht.

Frühere Beta-Anmeldung auf dieser Website

Bis zum 15. September 2026 konntest du auf der Startseite freiwillig deine E-Mail-Adresse eintragen, um einmalig benachrichtigt zu werden, sobald der Test von Legion Tactics für dich zugänglich ist. Dieses Formular gibt es nicht mehr, neue Adressen werden nicht erhoben. Die bereits eingetragenen Adressen liegen weiterhin auf unserem Server bei Supabase in der EU (Region Irland), zusammen mit dem Zeitpunkt der Anmeldung, der auf der Seite gewählten Sprache und, falls der Eintrag über eine Anzeige kam, der Kampagnen-Kennung aus der Adresszeile (UTM-Parameter). Sie werden ausschließlich für diese eine Benachrichtigung verwendet (Rechtsgrundlage Art. 6 Abs. 1 lit. a DSGVO), nicht an Dritte weitergegeben und nicht für sonstige Werbung genutzt. Du kannst die Einwilligung jederzeit widerrufen: eine formlose E-Mail an die oben genannte Adresse genügt, dann löschen wir den Eintrag. Spätestens zwölf Monate nach dem Eintrag oder direkt nach der Benachrichtigung werden die Adressen gelöscht.

Diese Website

legiontactics.com liegt auf GitHub Pages, betrieben von GitHub, Inc., 88 Colin P. Kelly Jr. Street, San Francisco, CA 94107, USA. Beim Aufruf einer Seite protokolliert GitHub die IP-Adresse des Besuchers zu Sicherheitszwecken. Ohne diese Übertragung lässt sich die Seite nicht ausliefern; Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (Bereitstellung und Sicherheit der Website). GitHub ist nach dem EU-US Data Privacy Framework zertifiziert und setzt für Übermittlungen in die USA zusätzlich die Standardvertragsklauseln der EU-Kommission ein. Einzelheiten stehen in GitHubs Datenschutzerklärung.

Sonst verarbeitet die Website nichts: keine Analyse-Dienste, keine Werbung, keine Cookies, kein Kontaktformular. Schriften, Bilder, Stylesheets und der Trailer liegen auf demselben Server wie die Seite; von Dritten wird nichts nachgeladen. Deutsch und Englisch sind eigene Seiten (legiontactics.com und legiontactics.com/en/), zwischen denen du über den Link EN beziehungsweise DE wechselst; die Website merkt sich dabei nichts.

Im Browser spielen

Unter legiontactics.com/play/ läuft das Spiel im Browser. Es braucht keine Anmeldung: Beim ersten Aufruf legt es auf unserem Spielserver ein anonymes Konto an, so wie die App beim ersten Start, und verarbeitet dieselben Daten wie die App, also die Konto-ID, deinen Spielstand, die Eingaben deiner Kämpfe zur Prüfung und deinen Namen in der Arena (siehe Spielstand, Kämpfe und Arena oben). Im lokalen Speicher deines Browsers (localStorage) liegen die Anmeldung dieses Kontos und eine Anzeigekopie des Spielstands. Diese Speicherung ist für das Spiel nötig, eine Einwilligung braucht es dafür nicht (§ 25 Abs. 2 Nr. 2 TDDDG). Löschst du die Website-Daten in deinem Browser, kommst du an dieses Konto nicht mehr heran; eine Verknüpfung mit der App gibt es noch nicht. Löschen lässt sich das Konto in den Einstellungen des Spiels, wie in der App. Käufe, Google Play Spiele, Push-Nachrichten, Nutzungsstatistik und Absturzberichte gibt es im Browser nicht. Die Seite kommt über GitHub Pages wie oben beschrieben und lädt außer den Anfragen an unseren Spielserver nichts von Dritten.

Deine Rechte

Du hast nach der DSGVO das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch sowie das Recht auf Beschwerde bei einer Aufsichtsbehörde. Wie du dein Konto samt Server-Daten löschst, steht unter „Konto löschen".

Konto löschen

Ab der Version mit Play-Spiele-Anmeldung kannst du dein Konto in den Einstellungen der App löschen. Das entfernt Spielstand, Buch, Arena-Eintrag (dein Platz geht an einen Bot, dein gewählter Name wird ersetzt), Höhlenläufe, die Verknüpfung mit Google Play Spiele, die Geräte-Tokens für Push-Nachrichten, die Installationsquelle und das technische Konto vom Server. Angriffe, die auf deinen Eintrag zeigen, und die Wochenergebnisse bleiben stehen, tragen aber den ersetzten Namen. Kaufbelege bleiben ohne Konto-ID stehen (siehe „Käufe"). Du kannst die Löschung auch per E-Mail an die oben genannte Adresse verlangen; nenne dazu deinen Arena-Namen samt Nummer (er steht in den Einstellungen). Das steht auch auf der Support-Seite.

Änderungen

Bei Änderungen der App-Funktionen wird diese Erklärung angepasst; die jeweils aktuelle Fassung ist unter der im Store hinterlegten URL abrufbar.

Controller

Sören Dierkes
Gersteweg 18
26125 Oldenburg, Germany
Contact: contact@legiontactics.com

Summary

Legion Tactics shows no ads, requires no registration and sends usage statistics and crash reports only if you agree on first launch (see “Usage statistics and crash reports”). On first launch the app creates an anonymous technical account on our game server, with a random account id and no name, email address or password. Your save lives on that server; the app keeps a display copy. Fights are opened and replayed by the server. If you sign in to Google Play Games, the server stores your Play Games player id so you can find your account again on a new device. Purchases are handled by Google Play; our server verifies each purchase with Google and credits the gems. From Google Play's install source the server keeps which way the app was installed (see “Install source”). The website itself sets no cookies and counts no visits; what still goes to third parties when a page loads is listed under “This website”.

Save game

On first launch the app creates an anonymous technical account on our game server, hosted on Supabase in the EU (Ireland region): a randomly generated account id with no name, email address, password or any other link to your identity. Your save lives on that server and only there: campaign, stars, Hero Trials, heroes and cards, unit levels and perks, gems, XP, Wild Cards, Sky Spire floor, Map Fragments, Valor Marks, Hollow streak and achievements. The app keeps a display copy, which it replaces from the server. Your settings stay on the device only.

Every change to gems, XP, cards and Valor Marks is written to a ledger with its time and reason, and once a day the server keeps a copy of the save. That is how we spot manipulation and protect purchases (Art. 6 (1)(b) and (f) GDPR). If you clear the app's data or uninstall without being signed in to Google Play Games, access to this account is gone. We delete it on request (see "Deleting your account").

Fights

Every fight in the campaign, the Sky Spire, the Arena and the Hollow is opened by the server and, at its end, reported by your device to the server. What is reported are your moves, not a result: which units you picked, when you rerolled, when you used your hero's abilities, and which relic you took in the Hollow. The server replays the fight with the same rules and credits the reward. These four modes therefore need an internet connection; the quick match runs without the server.

For the campaign, the Sky Spire and the Arena the moves are not stored. The fight itself is: which fight, hero, unit levels and perks, outcome, reward, app version and times. For the campaign and the Sky Spire we delete that record after 90 days. An Arena attack keeps its record as before (see "Arena (online)"), now with the attacker's roster and the settlement. A Hollow run is stored with its day, hero, band with unit levels and perks, the cave reached, relics, outcome, reward, app version and times; its moves are stored with the run and deleted after 90 days. The ledger entries (see "Save game") stay.

Arena (online)

When you enter the Arena, the following data is transferred to and stored on our game server (hosted on Supabase):

  • a randomly generated player id (UUID, unrelated to your identity),
  • the name you pick, plus the number the server appends to it,
  • your Banner, once you design one: field color, trim, emblem and emblem color, stored as four numbers,
  • your Rank, meaning your place on the ladder, a number from 1 to 100. There is no rating and there are no points,
  • your Defense: five rounds of three units each, together with the hero, unit levels and perks from your save game,
  • your Valor Mark balance,
  • how many attacks and re-draws you have used today, and which two opponents you are currently being offered,
  • one record per attack: who attacked whom at which place, the random seed of the fight, the week, the attacker's roster (hero, unit levels and perks), the settlement, the outcome, the app version and the time,
  • at the end of each week (Sundays 18:00 UTC) your name, your place and the Valor Marks it paid you,
  • when your entry was created and when you last changed your Defense.

How an attack is reported and replayed is described under "Fights".

Other players see your name, your Banner and your place on the ladder. Signed-in players can read your stored Defense as well; in the game it is shown to whoever attacks you. At the end of each week the whole ladder is recorded with names, places and Valor Marks, and stays readable for every player.

Reporting a name: if you report another player's name on the ladder, we store your account id, the reported player's id, the name as it was shown to you and the time, until the report is handled (Art. 6 (1)(f) GDPR, our legitimate interest in a game without abuse). A name that breaks the rules is reset to "Player". Hiding a player stays on your device and is not transmitted.

This data is used solely to run the game (Art. 6 (1)(b) GDPR). The server-side counters for attacks, re-draws and opponent offers also protect against manipulation (Art. 6 (1)(f) GDPR). The Arena data is tied to the anonymous technical account described above. You pick the name yourself: if you enter your real name there, other players will see it. No contact data is collected, the data is never linked to your identity, never used for advertising and never sold. We delete it on request (see "Deleting your account").

Google Play Games

If you sign in to Google Play Games on your device (that is Google's sign-in, not ours), the app sends a one-time code to our server. The server uses it to obtain your Play Games player id from Google and stores that id with your account. Purpose: finding your account again on a new device. When you sign in there with the same Google account, the server finds your account through the id and brings it to the new device. The previous device then loses access; a save is reachable from one device at a time. If the new device already has progress of its own, the app asks first which one to keep. Only the id is stored on our server, never your Play name or picture (Art. 6 (1)(b) GDPR). While you are signed in, the app also reports your achievements to Google Play Games: which ones you have earned and the counters of the rest. Google's privacy policy applies to that. Without this sign-in there is no recovery.

Inviting friends

Every account has an invite code. Our server creates it the first time you open "Invite friends", and it never changes. When someone installs the game from Google Play through your link, Google Play hands the app the install source (the "install referrer") on its first start, and the code is in it. The app reads it on the device and sends the code to our server; the same goes for a code someone types in. What else the app sends from the install source is under "Install source". The server then stores which account invited which, when, and when the reward for it was paid, and books the gems in the ledger like any other credit (see "Save game"). The only purpose is paying the reward (Art. 6 (1)(b) GDPR). The player who invited sees the friend's Arena name once the friend plays, and the friend sees the Arena name of the player who invited them. The invite is deleted with the account, yours or your friend's (see "Deleting your account"). The page behind the link, legiontactics.com/i/, reads the code from the address in your browser only and adds it to the link to Google Play.

Install source

On its first start the app reads, on the device, the install source Google Play hands it (see "Inviting friends"). From it the app sends our server the three campaign values of the link it was installed through (source, medium and campaign, for example "website", "web" and "site_en" for a button on this website, or "google-play" and "organic" for a find in the store), and whether the install came from a click on an ad. The app does not send the ad's click id to our server. The server stores this once with the account, and only while the account is less than a week old. The only purpose is to see which ways bring players and whether they stay, so our advertising money goes where it works (Art. 6 (1)(f) GDPR). It is deleted with the account (see "Deleting your account").

Purchases

Gem pack purchases are processed by Google Play. We receive no payment data (no account numbers, no billing address). Our server verifies each purchase confirmation (purchase token) provided by Google Play against the Google Play Developer API; only then are the gems credited. Stored with the anonymous account are the purchase token, product, order number, time, whether it was a test purchase, and its state (credited or refunded) (Art. 6 (1)(b) and (f) GDPR). A hash of your account id travels with the purchase to Google, so the purchase can be matched to your account. Once a day the server asks Google for refunded purchases and takes the gems back. Purchase records stay after account deletion, then without the account id, for as long as tax law requires them to be kept (section 147 of the German Fiscal Code). Google Play's own privacy policy additionally applies.

Usage statistics and crash reports

On first launch the app asks whether it may send anonymous usage statistics and crash reports to Google. If you say no, nothing is sent; you can change the answer at any time in the settings under “Statistics and crash reports”. If you say yes, the app uses Google Analytics for Firebase and Firebase Crashlytics (provider: Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Ireland, as a processor). Sent are in-game events (for example first fight, shop opened, purchase completed), sessions, crash reports with device model, Android version, app version and the state of the app at the crash, and a random installation id that Firebase stores on the device. No advertising id, no name, no account id. The data may be processed in the USA; Google is certified under the EU-US Data Privacy Framework. The legal basis is your consent (section 25 (1) TDDDG, Art. 6 (1)(a) GDPR). Withdrawing it takes effect at once; data already sent stays until its retention period ends: Analytics 14 months, Crashlytics 90 days.

If the install came from a Google Ads ad, Google Analytics also reports to our Google Ads account whether the first fight was played to the end. Google Analytics recognizes the ad click from the install source that Google Play hands to the device. This shows us whether an ad brings players who actually play. It happens only if you agreed to the statistics. Google Ads gets no advertising id, no name and no account id. Personalized advertising is switched off for this link, and no ad audiences are built from it. Google Ads' own terms also apply to the data in Google Ads.

Push notifications

The app can send you a push notification when another player beats your Defense and takes your place in the Arena. It names the attacker, the place they took from you and the place you hold now. The app sends no other push notifications.

The app asks you once, in the Arena, whether you want this. Only if you say yes does Android ask for the notification permission. The app then gets a device token from Firebase Cloud Messaging (provider: Google Ireland Limited, as a processor), a random identifier through which Google reaches your device, and sends it with the app's language to our server. Stored with your account are the token, the language and when it was last sent, for at most five devices. For each notification the server records which attack it belongs to, when and how often it was tried and whether it got through; we delete these records after 30 days. The text of the notification travels through Google to your device and may be processed in the USA; Google is certified under the EU-US Data Privacy Framework.

The legal basis is your consent (section 25 (1) TDDDG, Art. 6 (1)(a) GDPR). You withdraw it in the app's settings under "Arena notifications": the server then deletes the token at once, and the app drops it on the device too. The token is also deleted when you delete your account or Google reports it as invalid, for example after an uninstall. If you only turn notifications off in Android's settings, the app takes the token off the server the next time you open it.

Permissions

The app asks you for one permission: notifications (Android 13 and newer), and only after you said yes in the Arena (see "Push notifications"). The package also declares Internet and network state (save game, fights, Arena, purchase verification, Google Play Games, statistics and crash reports), wake lock (Firebase uses it to schedule the sending of statistics and crash reports and to take in push notifications), receiving messages through Firebase Cloud Messaging, Google Play Billing and the binding to Google Play's install service. The app reads the install source through it on first start (see "Inviting friends" and "Install source"), and the Analytics SDK uses it too. No advertising-id permission is in the package.

Former beta signup on this website

Until 15 September 2026 you could voluntarily leave your email address on the start page to be notified once when the Legion Tactics test opens up for you. That form is gone and no new addresses are collected. The addresses left there are still on our server hosted on Supabase in the EU (Ireland region), together with the time of signup, the language chosen on the page and, if the entry came through an ad, the campaign tag from the address bar (UTM parameters). They are used solely for that one notification (Art. 6 (1)(a) GDPR), never shared with third parties and never used for any other advertising. You can withdraw your consent at any time: an informal email to the address above is enough, and we will delete the entry. Addresses are deleted at the latest twelve months after signup, or right after the notification.

This website

legiontactics.com is hosted on GitHub Pages, operated by GitHub, Inc., 88 Colin P. Kelly Jr. Street, San Francisco, CA 94107, USA. When a page is requested, GitHub logs the visitor's IP address for security purposes. Without that transfer the page cannot be delivered; the legal basis is Art. 6 (1)(f) GDPR (providing and securing the website). GitHub is certified under the EU-U.S. Data Privacy Framework and also uses the European Commission's standard contractual clauses for transfers to the USA. Details are in GitHub's privacy statement.

Nothing else is processed on the website: no analytics, no ads, no cookies, no contact form. Fonts, images, stylesheets and the trailer come from the same server as the page; nothing is loaded from third parties. German and English are separate pages (legiontactics.com and legiontactics.com/en/), and you switch between them with the EN or DE link; the website remembers nothing about that.

Playing in the browser

The game runs in the browser at legiontactics.com/play/. It needs no sign-in: on the first visit it creates an anonymous account on our game server, the way the app does on its first start, and processes the same data as the app, that is the account id, your save, the inputs of your fights for checking, and your name in the Arena (see Save game, Fights and Arena above). Your browser's local storage (localStorage) holds the sign-in of this account and a display copy of the save. This storage is needed for the game to work and needs no consent (section 25 (2) no. 2 TDDDG). If you clear the site data in your browser, you can no longer reach this account; there is no link to the app yet. You can delete the account in the game's settings, as in the app. There are no purchases, Google Play Games, push notifications, usage statistics or crash reports in the browser. The page comes through GitHub Pages as described above and loads nothing from third parties apart from the requests to our game server.

Your rights

Under the GDPR you have the right to access, rectification, erasure, restriction of processing, data portability and objection, and the right to lodge a complaint with a supervisory authority. How to delete your account and its server data is described under "Deleting your account".

Deleting your account

From the version with Play Games sign-in you can delete your account in the app's settings. This removes the save, the ledger, the Arena entry (your seat goes to a bot and your chosen name is replaced), Hollow runs, the Google Play Games link, the device tokens for push notifications, the install source and the technical account from the server. Attacks that point at your entry and the weekly results stay, under the replaced name. Purchase records stay without the account id (see "Purchases"). You can also request deletion by email to the address above; name your Arena name with its number (shown in the settings). This is also on the support page.

Changes

When the app's features change, this policy is updated; the current version is always at the URL stored in the Play Store listing.