Datenschutz & Cookies

1. Verantwortlicher

Sofern ein Datenschutzbeauftragter bestellt ist, werden dessen Kontaktdaten an dieser Stelle ergänzt.

2. Verantwortlichkeiten bei Vereinsdaten

Für Benutzerkonten, Authentifizierung, Vertragsverwaltung, Abrechnung, IT-Sicherheit, den öffentlichen Marketplace und die eigene Kommunikation ist [vollständiger Name/Firma und Rechtsform] Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO.

Nutzt eine Organisation PlayPlanner für eigene Mitglieder-, Spieler-, Team-, Formations- oder Spielzugdaten, bestimmt regelmäßig diese Organisation die fachlichen Zwecke. Soweit PlayPlanner solche Daten nur nach Weisung speichert, synchronisiert oder löscht, handelt PlayPlanner als Auftragsverarbeiter nach Art. 28 DSGVO. Die Organisation bleibt insbesondere für Rechtsgrundlage, Datenrichtigkeit, Informationspflichten und Betroffenenrechte verantwortlich. Vor der Cloud-Synchronisierung ist ein Auftragsverarbeitungsvertrag abzuschließen.

Ausschließlich lokal angelegte Inhalte verbleiben zunächst im Browser oder auf dem Endgerät. PlayPlanner erhält sie erst bei Synchronisierung, Freigabe oder Veröffentlichung.

3. Rechtsgrundlagen und Datenquellen

Je nach Vorgang verarbeiten wir Daten auf Grundlage von:

• Art. 6 Abs. 1 lit. b DSGVO für Vertragsanbahnung und Vertragserfüllung,
• Art. 6 Abs. 1 lit. c DSGVO für gesetzliche Pflichten,
• Art. 6 Abs. 1 lit. f DSGVO für Sicherheit, Stabilität, Missbrauchsabwehr und Rechtsverteidigung,
• Art. 6 Abs. 1 lit. a DSGVO, wenn wir eine freiwillige Einwilligung einholen.

Eine Einwilligung kann jederzeit mit Wirkung für die Zukunft widerrufen werden. Daten stammen je nach Nutzung von Ihnen, Ihrer Organisation, dem Identitätsdienst Keycloak, Stripe oder werden technisch durch Browser, App und Server erzeugt. Pflichtangaben sind in den Masken erkennbar; ohne sie kann die jeweilige Funktion gegebenenfalls nicht bereitgestellt werden.

4. Aufruf von Website, App und API

Bei einem Aufruf können IP-Adresse, Zeitpunkt, angeforderte URL oder API-Route, HTTP-Methode und Statuscode, übertragene Datenmenge, Referrer, Browser- und Geräteinformationen, Benutzerkennung bei angemeldeten Anfragen und eine Anfragekennung verarbeitet werden. Bei Fehlern und sicherheitsrelevanten Vorgängen entstehen zusätzliche Protokolle.

Dies dient Auslieferung, Fehleranalyse, Laststeuerung, Angriffs- und Missbrauchserkennung sowie dem sicheren Betrieb. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Hosting-Empfänger: [Hosting-/Rechenzentrumsanbieter, Anschrift und Serverstandort]. Reguläre Zugriffsprotokolle werden nach [7 bis 14 Tage verbindlich festlegen], Sicherheits- und Fehlerprotokolle nach [30 bis 90 Tage verbindlich festlegen] gelöscht, sofern kein konkreter Vorfall oder eine gesetzliche Pflicht eine längere Aufbewahrung erfordert.

6. Benutzerkonto und Keycloak-Anmeldung

Registrierung und Anmeldung erfolgen über den für PlayPlanner betriebenen Identitätsdienst Keycloak. Verarbeitet werden insbesondere E-Mail-Adresse, technische Benutzer-ID, Passwort-Hash, Verifikations-, Sitzungs-, Sperr- und Resetdaten, Rollen sowie Erstellungs- und Änderungszeitpunkte. Bei Anmeldeversuchen fallen außerdem IP-Adresse, Zeitpunkt, Client, Ergebnis und Sicherheitsereignisse an. Klartextpasswörter erhält PlayPlanner nicht.

Zwecke sind Kontoerstellung, Authentifizierung, Berechtigungsprüfung, Missbrauchsprävention und Vertragsdurchführung. Rechtsgrundlagen sind Art. 6 Abs. 1 lit. b und lit. f DSGVO. Kontodaten werden während des Nutzungsverhältnisses gespeichert und nach Vertragsende oder berechtigtem Löschverlangen innerhalb von [Frist, z. B. 30 Tage, verbindlich festlegen] gelöscht oder anonymisiert, soweit keine gesetzlichen Pflichten oder Rechte Dritter entgegenstehen. Backups werden nach [Backup-Löschzyklus verbindlich festlegen] überschrieben.

7. Organisationen, Teams und Einladungen

Wir verarbeiten Organisations- und Teamnamen, IDs, Mitgliedschaften, Rollen, Beitritts- und Änderungszeiten, Einladungs- und Zugriffstoken sowie Ablauf- und Nutzungsstatus. Berechtigte Administratoren können für die Verwaltung erforderliche Kontaktdaten sehen. Die Verarbeitung dient Zusammenarbeit, Berechtigungsverwaltung und Absicherung von Organisationsbereichen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO; bei interner Vereinsverwaltung legt die jeweilige Organisation die Rechtsgrundlage fest.

8. Spieler-, Team- und Spielzugdaten

Je nach Nutzung werden Namen, Trikotnummern, Positionen, Teamzuordnung, Bewegungs- und Positionsdaten, Rollen, Feld- und Formationsdaten, Kategorien, Tags, Beschreibungen, Zeitachsen, Vorschaubilder und Änderungszeiten verarbeitet. In Freitextfelder dürfen ohne gesonderte Schutzkonzeption keine Gesundheits-, Verletzungs- oder sonstigen besonderen Daten nach Art. 9 DSGVO eingetragen werden.

Die jeweilige Organisation ist für diese fachliche Verarbeitung regelmäßig verantwortlich. Sie muss insbesondere für Minderjährige eine tragfähige Rechtsgrundlage bestimmen, Daten minimieren und altersgerecht informieren. Erhebt ein Trainer Daten nicht direkt bei der betroffenen Person, muss die Organisation grundsätzlich auch nach Art. 14 DSGVO informieren. Diese Erklärung ersetzt die eigene Information der Organisation nicht.

Videoexport und Teilen

Exporte werden lokal erzeugt. In der mobilen App wird die Datei vorübergehend im App-Cache gespeichert und über den systemeigenen Teilen-Dialog angeboten. Erst nach Auswahl eines Ziels erhält die gewählte App oder Person die Datei. Heruntergeladene oder geteilte Kopien müssen am jeweiligen Ziel gelöscht werden.

10. Kommunikation und E-Mail

Für E-Mail-Bestätigung, Passwort-Reset, Sicherheitsmeldungen, Einladungen und notwendige Vertragskommunikation verarbeiten wir E-Mail-Adresse, Anzeigename, Anlass, Inhalt, Versandzeitpunkt und technischen Zustellstatus. Empfänger als Auftragsverarbeiter: [E-Mail-/SMTP-Dienstleister, Anschrift und Verarbeitungsort]. Rechtsgrundlagen sind Art. 6 Abs. 1 lit. b und lit. f DSGVO. Werbung per E-Mail ist von dieser Erklärung nicht erfasst und erfordert eine gesonderte Rechtsgrundlage.

12. Administration und Auditdaten

Besonders berechtigte Administratoren können Konten, Rollen, Sperrstatus, Organisationen, Abonnements und sicherheitsrelevante Vorgänge verwalten. Dabei können Zeitpunkt, handelnde Kennung, Aktion, Ziel, Ergebnis, Grund, IP-Adresse, User-Agent, Anfragekennung und Vorher-/Nachher-Zustände protokolliert werden. Grundlage ist Art. 6 Abs. 1 lit. f DSGVO; Auditdaten werden nach [6 bis 12 Monate verbindlich festlegen] gelöscht, sofern kein Vorfall oder eine Rechtsverteidigung längere Speicherung erfordert.

13. Empfänger und Drittländer

Zugriff erhalten nur Personen und Dienstleister, die ihn für Betrieb, Support, Abrechnung oder Sicherheit benötigen. Kategorien sind Hosting-, Datenbank-, Backup-, E-Mail-, Stripe-, IT-, Wartungs- und Supportdienstleister sowie Behörden oder Berater bei gesetzlicher Pflicht oder Rechtsverfolgung. Mit Auftragsverarbeitern schließen wir Verträge nach Art. 28 DSGVO. Unterauftragsverarbeiter: [URL der Unterauftragsverarbeiterliste]. Daten werden nicht verkauft.

Übermittlungen außerhalb von EU und EWR erfolgen nur unter den Voraussetzungen der Art. 44 ff. DSGVO, insbesondere auf Grundlage eines Angemessenheitsbeschlusses oder von EU-Standardvertragsklauseln mit erforderlichen zusätzlichen Prüfungen und Maßnahmen.

14. Speicherdauer

Soweit keine besondere Frist genannt ist, speichern wir Daten nur so lange, wie Zweck, Vertrag oder gesetzliche Pflicht bestehen. Danach werden sie gelöscht oder anonymisiert. Gesetzlich aufzubewahrende Daten werden gesperrt und nur noch für diesen Zweck verarbeitet. Lokale Daten können unabhängig von Serverdaten fortbestehen und müssen auf dem Endgerät separat gelöscht werden.

15. Deine Rechte

Unter den gesetzlichen Voraussetzungen hast du Rechte auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21). Einwilligungen kannst du jederzeit für die Zukunft widerrufen. Anfragen richtest du an [Datenschutz-E-Mail-Adresse]. Betrifft die Anfrage fachliche Vereinsdaten, kann die jeweilige Organisation der richtige Ansprechpartner sein.

Du kannst dich außerdem bei einer Datenschutzaufsichtsbehörde beschweren, insbesondere an deinem Wohnort, Arbeitsplatz oder am Ort des vermuteten Verstoßes. Zuständig für den Betreiber: [zuständige Datenschutzaufsichtsbehörde mit Anschrift und URL].

16. Sicherheit und automatisierte Entscheidungen

Wir setzen angemessene technische und organisatorische Maßnahmen ein, unter anderem verschlüsselte Übertragung, Rollen- und Mandantentrennung, abgesicherte Authentifizierung, Protokollierung privilegierter Vorgänge, Backups und Wiederherstellungstests. Ein absoluter Schutz kann nicht zugesichert werden.

Eine ausschließlich automatisierte Entscheidung mit rechtlicher oder ähnlich erheblicher Wirkung einschließlich Profiling findet nach dem aktuellen Funktionsstand nicht statt.

17. Änderungen dieser Erklärung

Wir aktualisieren diese Erklärung, wenn Funktionen, Anbieter oder Rechtslage sich ändern. Die aktuelle Fassung ist dauerhaft unter dieser URL erreichbar. Bei wesentlichen Änderungen informieren wir zusätzlich in geeigneter Weise.