Datenschutzerklärung
Wie wir mit deinen Daten und denen deiner Kinder umgehen.
1. Welche Daten wir erheben
Wir erheben ausschließlich Daten, die für den Betrieb der App zwingend notwendig sind (Grundsatz der Datensparsamkeit, Art. 5 Abs. 1 lit. c DSGVO).
- Name und E-Mail-Adresse (für Login)
- Selbst angelegter Einladungs-Code
- Kurs- und Stationsdaten (kein Personenbezug)
- Name und E-Mail-Adresse (für Login)
- Name und Geburtsdatum des Kindes
- Zugesagte oder abgesagte Teilnahme
- Freiwillige Stations-Bewertungen (anonym aggregiert)
- Sichtbarkeits-Einstellung (nur lokal gespeichert)
- Bei aktivierten Push-Benachrichtigungen: technische Empfangsadresse Ihres Browsers (Push-Endpoint) und zugehörige Schlüssel
- Nur nach ausdrücklicher Aktivierung in den Einstellungen und Bestätigung im Browser-Dialog; jederzeit dort wieder deaktivierbar (Daten werden dann gelöscht)
Nicht erhoben werden: Fotos der Kinder, Standortdaten und Bankdaten.
Freitextfelder: Bei Buchung und Probetraining gibt es ein optionales Anmerkungsfeld. Wir fragen dort ausdrücklich keine Gesundheitsdaten ab und weisen am Feld darauf hin. Tragen Sie dort dennoch freiwillig Angaben zur Gesundheit Ihres Kindes ein (etwa Allergien), verarbeiten wir diese ausschließlich auf Grundlage Ihrer ausdrücklichen Einwilligung nach Art. 9 Abs. 2 lit. a DSGVO und allein zu dem Zweck, die Betreuung zu ermöglichen. Sie können diese Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen – formlos per E-Mail an datenschutz@vereino.club. Ist etwas für die Betreuung wichtig, sprechen Sie die Trainerin oder den Trainer bitte direkt an.
2. Rechtsgrundlagen
Verarbeitung von E-Mail und Name zur Bereitstellung des Logins und der App-Funktionen.
Freiwillige Angaben (Bewertungen, Sichtbarkeits-Einstellung) sowie Push-Benachrichtigungen. Einwilligung jederzeit widerrufbar – Push über den Schalter in den Einstellungen.
Technisch notwendige Protokollierung für Sicherheit und Fehlerdiagnose.
3. Datenspeicherung und Löschung
Alle Daten werden auf Servern von Supabase Inc. in der EU (Frankfurt, AWS eu-central-1) gespeichert. Es gilt EU-Datenschutzniveau.
Daten werden gelöscht:
- Auf Anfrage: sofortige Löschung aller personenbezogenen Daten (Konto-Löschung, siehe unten)
- Automatisch: nach Beendigung der Vereinsmitgliedschaft / Ende des Kursjahres, spätestens nach 2 Jahren Inaktivität
- Protokolldaten: nach 30 Tagen
4. Auftragsverarbeitung (Art. 28 DSGVO)
Für den Betrieb der App setzen wir folgende Dienstleister als Auftragsverarbeiter ein:
Serverstandort: Frankfurt (EU) · Datenschutz
Zweck: Speicherung von Nutzerkonten, Kurs- und Zusagendaten
AVV: abgeschlossen über Supabase-Kundenportal (Pflicht für DSGVO-Compliance)
Globales CDN mit EU-Knoten · Datenschutz
Zweck: Auslieferung der App-Dateien, keine Speicherung von Nutzerdaten
AVV: Data Processing Agreement von Vercel
Datenschutz
Zweck: Abwicklung von Kursbuchungen und Abo-Zahlungen. Zahlungsdaten (z.B. Kartennummer) werden ausschließlich von Stripe erhoben und verarbeitet – sie erreichen unsere Server nie.
AVV: Data Processing Agreement von Stripe
Datenschutz
Zweck: Versand von System-E-Mails (Erinnerungen, Einladungen, Benachrichtigungen) an die hinterlegte E-Mail-Adresse
AVV: Data Processing Agreement von Resend
Datenschutz
Zweck: Optionale KI-Stundenplanung und Stationsfoto-Analyse. Übermittelt werden nur Kursinhalte (Stationsnamen, Fotos von Geräte-Aufbauten, Teilnehmerzahlen) – keine Namen von Kindern oder Eltern.
AVV: Data Processing Agreement von Anthropic
Mit allen Anbietern besteht ein Auftragsverarbeitungsvertrag (AVV / DPA) gemäß Art. 28 DSGVO. Schulferien-Daten werden serverseitig von openholidaysapi.org abgerufen und in unserer eigenen Datenbank vorgehalten; Ihr Browser nimmt zu diesem Anbieter keine Verbindung auf. Bei der Vergabe eines Passworts wird geprüft, ob es in bekannten Datenlecks vorkommt: dafür überträgt Ihr Browser ausschließlich die ersten fünf Zeichen eines Hashwerts an api.pwnedpasswords.com (Have I Been Pwned). Das Passwort selbst verlässt Ihr Gerät dabei nicht.
5. Cookies und lokale Speicherung
Die App verwendet:
- Session-Cookie (Supabase Auth): technisch notwendig für den Login, kein Tracking. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO – keine Einwilligung erforderlich.
- localStorage / IndexedDB: Speicherung von Supabase-Zugangsdaten, der Sichtbarkeits-Einstellung und einer lokalen Datenkopie für schnelleren App-Start. Nur lokal auf Ihrem Gerät, kein Server-Zugriff.
Es werden keine Tracking-Cookies, keine Analyse-Tools (z.B. Google Analytics) und keine Social-Media-Einbindungen verwendet.
6. Ihre Rechte (Art. 15-22 DSGVO)
Welche Daten wir über Sie gespeichert haben
Korrektur unrichtiger Daten
Vollständige Löschung Ihres Kontos
Gegen bestimmte Verarbeitungen
Daten als Export erhalten
Beim Landesbeauftragten BW: LfDI
Anfragen bitte per E-Mail an: datenschutz@vereino.club
7. Datensicherheit
- Alle Daten werden verschlüsselt übertragen (TLS/HTTPS)
- Passwörter werden gehasht gespeichert (bcrypt via Supabase Auth)
- Row Level Security (RLS): Jeder Nutzer sieht nur seine eigenen Daten
- Trainer sehen nur Daten ihrer eigenen Kurse
8. Änderungen dieser Erklärung
Wir behalten uns vor, diese Datenschutzerklärung bei technischen oder rechtlichen Änderungen anzupassen. Die jeweils aktuelle Version ist in der App abrufbar. Bei wesentlichen Änderungen werden registrierte Nutzer per E-Mail informiert.
Bei Fragen wenden Sie sich bitte an den oben genannten Verantwortlichen.