Datenschutzerklärung

Hinweis: Aus Gründen der besseren Lesbarkeit wird bei Personenbezeichnungen die männliche Form verwendet. Sie gilt gleichermaßen für alle Geschlechter.

1. Verantwortliche Stelle

Andrzejewski, Mahnke, Hengelhaupt & Bornholdt Fussball-Performance GbR
Schwarzer Weg 14
21244 Buchholz
E-Mail: [email protected]

1a. Externer Datenschutzbeauftragter

Wir haben einen externen Datenschutzbeauftragten benannt. Für alle Fragen zum Datenschutz und zur Ausübung deiner Rechte kannst du dich jederzeit direkt und vertraulich an ihn wenden:

Volker Kruse
radtkePERSONAL GmbH
Vor dem Bardowicker Tore 6a, 21339 Lüneburg
E-Mail: [email protected]
Telefon: +49 4131 9279991
radtkepersonal.com

2. Übersicht der Verarbeitungen

Die nachfolgende Übersicht fasst die Arten der verarbeiteten Daten und die Zwecke ihrer Verarbeitung zusammen und verweist auf die betroffenen Personen.

3. Arten der verarbeiteten Daten

Stammdaten: Vor- und Nachname, E-Mail-Adresse, Rolle (Trainer, Spieler, Elternteil), Geburtsdatum, Trikotnummer, Position, Spielerstatus (aktiv, gesperrt, Zweitspielrecht).

Leistungsdaten: Trainings- und Spielbewertungen, Formkurven, Spielstatistiken (Tore, Assists, Karten), Saisonstatistiken, Trainingsanwesenheit.

Selbst übermittelte Trainingswerte: Laufdistanz, Durchschnitts- und Höchstgeschwindigkeit sowie hochgeladene Heatmap-Bilder. Diese Werte werden von der Plattform nicht gemessen. Der Spieler entnimmt sie einer App oder einem Gerät seiner Wahl und trägt sie selbst ein oder lädt das Bild selbst hoch. Die Angabe ist freiwillig; wer nichts einträgt, hat keine Nachteile. Für die Messung und für den Datenschutz des dort genutzten Anbieters ist der Betreiber nicht verantwortlich. Einsehbar sind die Werte für den Spieler selbst und für die Trainer seiner Mannschaft. Gesundheits- und Stoffwechselwerte wie Puls, Blutdruck, Gewicht oder Kalorienverbrauch werden nicht erfasst und können auch nicht eingetragen werden.

Abwesenheitsdaten: Ausschließlich der Zeitraum, in dem ein Spieler nicht verfügbar ist — ohne jede Angabe zum Grund. Weder in der Oberfläche noch in der Datenbank, in Schnittstellen oder in Benachrichtigungen wird erfasst oder angezeigt, warum jemand abwesend ist (siehe Punkt 4a).

Kommunikationsdaten: Chat-Nachrichten (Trainer, Team, Eltern-Kanäle), Neuigkeiten, Umfrage-Antworten, Kontaktformular- und Löschanfragen.

Nutzungsdaten: Login-Zeitpunkte, Gerätetyp (für Push-Benachrichtigungen), Push-Subscription-Endpunkte.

Finanzdaten der Mannschaft: Teamkasse-Transaktionen, Strafen, Monatsbeiträge (keine Bankdaten oder Kreditkartennummern).

Bestell- und Vertragsdaten (nur bei Bestellung über die Webseite): Vor- und Nachname, E-Mail-Adresse, Name von Verein und Mannschaft, bei Bestellung für einen Verein dessen Anschrift, gewählter Tarif, Zeitpunkt der Bestellung und der Zustimmung zu AGB und Datenschutzerklärung samt Textfassung, Vertragsbeginn, Ende der Testphase, Zahlungsstatus, Rechnungen sowie Kündigungs- und Widerrufserklärungen mit Datum und Uhrzeit. Dazu die Kennungen, unter denen Stripe den Kunden und den Vertrag führt.

Zahlungsdaten: Kartennummer oder IBAN gibst du auf der Bestellseite direkt in ein Formular des Zahlungsdienstleisters Stripe ein. Diese Daten werden nicht auf unserem Server gespeichert (siehe Punkt 7).

Verfügbarkeitsdaten: Zu-/Absagen für Training und Spiele sowie ein Abwesenheitsgrund aus einer festen Auswahl (verhindert, Schule/Arbeit, Familie, Urlaub, sonstiges). Ein Freitextfeld gibt es dafür nicht; ein Gesundheitsgrund steht nicht zur Auswahl und kann auch nicht eingetragen werden.

Rückmeldung der Eltern nach einem Spiel: Erziehungsberechtigte können angeben, wie die Stimmung ihres Kindes nach einem Spiel war — auf einer Skala von 1 bis 5, ohne Freitext. Die Angabe wird dem Elternteil und dem Kind zugeordnet gespeichert, dem Trainerteam aber ausschließlich zusammengefasst und ohne Namen angezeigt, und erst ab einer Mindestanzahl von Rückmeldungen. Nicht zu verwechseln mit dem Stimmungsbarometer (Punkt 4a), das vollständig anonym erhoben wird.

Standortdaten: Keine automatische Erfassung. Weder die Web-Anwendung noch die App fordert eine Standortberechtigung an oder greift auf Standortdienste des Endgeräts zu. Spielort-Adressen werden manuell eingegeben.

4. Rechtsgrundlagen

Die Verarbeitung personenbezogener Daten erfolgt auf folgenden Rechtsgrundlagen:

Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung): Bereitstellung der Plattform-Funktionen gemäß den Nutzungsbedingungen sowie Bestellung, Abrechnung und Zahlungsabwicklung bei Verträgen, die über die Webseite geschlossen werden.

Art. 6 Abs. 1 lit. a DSGVO (Einwilligung): Push-Benachrichtigungen, Fotos. Die Einwilligung kann jederzeit widerrufen werden.

Art. 6 Abs. 1 lit. c DSGVO (rechtliche Verpflichtung): Aufbewahrung von Rechnungen und Buchungsbelegen nach Handels- und Steuerrecht; Bestätigung von Kündigungs- und Widerrufserklärungen.

Art. 6 Abs. 1 lit. f DSGVO (Berechtigtes Interesse): Sicherstellung des Betriebs, Schutz vor Missbrauch, technische Logs sowie Schutz vor Zahlungsbetrug bei Online-Bestellungen.

Minderjährige (Art. 8 DSGVO): Für die Verarbeitung personenbezogener Daten von Minderjährigen unter 16 Jahren ist die Einwilligung eines Erziehungsberechtigten erforderlich. Die Einwilligung wird über einen Bestätigungslink an die E-Mail-Adresse der Erziehungsberechtigten eingeholt (Double-Opt-in), bevor der Kinder-Account freigeschaltet wird.

4a. Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO)

Wir verarbeiten keine Gesundheitsdaten. Die Plattform erfasst zu keinem Zeitpunkt, ob jemand krank oder verletzt ist. Abwesenheiten werden ausschließlich als Zeitraum geführt („nicht verfügbar von–bis"), ohne Grund und ohne jeden Bezug zum Gesundheitszustand.

Das war nicht immer so: Bis August 2026 gab es die Anwesenheits-Status „krank" und „verletzt" sowie ein Modul für verletzungsbedingte Ausfälle. Auch ohne Diagnose-Detail ist die Angabe, dass jemand verletzt oder krank ist, nach Art. 4 Nr. 15 DSGVO und Erwägungsgrund 35 ein Gesundheitsdatum — die frühere Einschätzung war falsch. Auf Empfehlung unseres externen Datenschutzbeauftragten haben wir das Feld deshalb vollständig neutralisiert statt eine Einwilligung dafür einzuholen. Bestehende Einträge wurden bei der Umstellung mit umgewandelt; die alten Statusbezeichnungen existieren nirgendwo mehr.

Stimmungsbarometer: Wird bewusst vollständig anonym erhoben — ohne Verknüpfung zu Nutzer- oder Spielerkonto. Da hierdurch kein Rückschluss auf eine Person möglich ist, handelt es sich nicht um personenbezogene Daten (Erwägungsgrund 26 DSGVO); eine gesonderte Einwilligung ist daher nicht erforderlich. Das früher vorhandene Kommentarfeld wurde im August 2026 auf Empfehlung unseres externen Datenschutzbeauftragten entfernt: In einem Freitextfeld können sich Kinder selbst zu erkennen geben oder über andere schreiben, wodurch die Anonymität nicht mehr gesichert wäre. Erhoben werden ausschließlich Antworten auf vorgegebene Fragen mit einer Skala.

Absagegründe: Bis August 2026 war der Grund für eine Absage ein Pflicht-Freitextfeld. Damit konnten dort Angaben zum Gesundheitszustand eingetragen werden, ohne dass hierfür eine ausdrückliche Einwilligung vorlag. Das Feld wurde durch eine feste Auswahl ohne Gesundheitsbezug ersetzt; die vorhandenen Freitexte wurden bei der Umstellung nicht übernommen, sondern gelöscht und durch die entsprechende neutrale Kategorie ersetzt.

5. Push-Benachrichtigungen

Bei Aktivierung von Push-Benachrichtigungen wird ein gerätegebundener Endpunkt (Push-Subscription) auf unserem Server gespeichert. Dieser Endpunkt ist deinem Gerät und Konto zugeordnet und damit ein personenbezogenes Datum; er ermöglicht ausschließlich das Senden von Benachrichtigungen an das jeweilige Gerät. Die Einwilligung erfolgt aktiv über den Browser- bzw. App-Dialog und kann jederzeit in den Geräteeinstellungen widerrufen werden. In der Web-App (PWA) werden VAPID-Schlüssel verwendet — eine anonyme Server-zu-Browser-Authentifizierung ohne Drittanbieter. In der nativen App (iOS/Android) läuft der Versand über Firebase Cloud Messaging (Google LLC, USA), siehe Punkt 7.

6. Cookies und lokale Speicherung

Session-Cookie: Ein technisch notwendiges Cookie für die Authentifizierung (NextAuth.js). Ohne dieses Cookie ist keine Anmeldung möglich.

CSRF-Token: Schutz vor Cross-Site-Request-Forgery-Angriffen.

Service Worker: Als Progressive Web App (PWA) nutzt die Plattform einen Service Worker für Offline-Funktionalität und Caching. Dabei werden Seiten und Assets lokal auf dem Gerät zwischengespeichert.

Keine Tracking-Cookies: Es werden keinerlei Analyse- oder Werbe-Cookies eingesetzt. Kein Google Analytics, kein Facebook Pixel, kein vergleichbarer Dienst.

Bestellseite (Stripe): Das Zahlungsformular von Stripe wird nur auf der Bestellseite geladen, und dort erst, wenn du auf „Weiter zur Zahlung“ klickst. Stripe setzt dann zwei Cookies, um Zahlungsbetrug zu erkennen: __stripe_mid (Laufzeit ein Jahr) und __stripe_sid (30 Minuten), und erfasst dafür Geräte- und Verbindungsdaten. In seinem Formular bindet Stripe außerdem den Bot-Schutz hCaptcha ein. Stripe ordnet diese Cookies als unbedingt erforderlich ein. Auf allen anderen Seiten der Webseite und in der Plattform wird nichts von Stripe geladen.

IP-Adressen bei Anmeldeversuchen: Zum Schutz vor Brute-Force-Angriffen wird bei jedem Anmeldeversuch die IP-Adresse des anfragenden Geräts temporär gespeichert. Diese Daten dienen ausschließlich dem Rate-Limiting (Begrenzung der Anmeldeversuche) und werden nach 30 Tagen automatisch gelöscht. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Sicherheit des Systems).

6a. Interne Systemprotokolle und Betriebssicherheit

Für den sicheren und störungsfreien Betrieb der Plattform erfasst der Betreiber intern folgende Daten, die ausschließlich im passwortgeschützten Superadmin-Bereich einsehbar sind:

Audit-Log: Bei sicherheitsrelevanten Aktionen (u. a. Anmeldung, Abmeldung, fehlgeschlagene Anmeldeversuche, Änderungen an Teams, Nutzern und Einstellungen, Datenexporte, Massen-E-Mail-Versand) werden Zeitpunkt, ausführender Nutzer, Art der Aktion und IP-Adresse protokolliert. Diese Protokolle dienen der Nachvollziehbarkeit, Missbrauchserkennung und Fehleranalyse und werden automatisiert nach 30 Tagen gelöscht. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Sicherheit und Integrität des Systems).

Online-Status: Der Zeitpunkt der letzten Aktivität eines eingeloggten Nutzers wird laufend aktualisiert, um im Superadmin-Bereich anzuzeigen, welche Nutzer aktuell aktiv sind. Es wird kein Verlauf gespeichert, sondern ausschließlich der jeweils aktuelle Zeitpunkt überschrieben. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am Betrieb und an der Systemüberwachung).

Server- und Fehlerprotokolle: Zur Fehlerbehebung werden technische Vorgänge und Fehlermeldungen des Servers protokolliert. Diese Protokolle werden nicht dauerhaft, sondern nur in begrenztem Umfang vorgehalten und automatisch durch neue Einträge überschrieben. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Fehleranalyse und Systemstabilität).

E-Mail-Zustellprotokoll: Zu jeder von der Plattform versendeten E-Mail werden Zeitpunkt, Empfänger-Adresse, Betreff, Art der Nachricht und das Zustellergebnis protokolliert. Das dient ausschließlich der Fehleranalyse — damit eine nicht angekommene Willkommens- oder Einwilligungs-Mail auffällt, statt unbemerkt zu verschwinden — sowie der Überwachung der Versandgrenzen unseres E-Mail-Anbieters. Die Einträge werden nach 30 Tagen automatisch gelöscht. Auf ein Löschverlangen hin werden sie sofort entfernt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der zuverlässigen Zustellung und an der Fehleranalyse).

Störungsprotokoll zum Online-Kauf: Geht bei einer Bestellung, einer Abbuchung, einer Kündigung, einem Widerruf oder beim Versand einer E-Mail technisch etwas schief, werden Zeitpunkt, Art der Störung, Fehlermeldung, betroffene Mannschaft und die E-Mail-Adresse des Kunden protokolliert. Das dient ausschließlich dazu, die Störung zu beheben und den Kunden von uns aus zu informieren, statt dass er nachfragen muss. Erledigte Einträge werden 90 Tage nach der Erledigung automatisch gelöscht. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem zuverlässigen Bestell- und Zahlungsablauf).

Seitenaufrufe (vorbereitet, aktuell nicht aktiv): Für eine Auswertung genutzter Seiten innerhalb der Plattform ist eine technische Grundlage vorbereitet (Speicherung von aufgerufenem Seitenpfad, Nutzer und IP-Adresse), die derzeit nicht aktiv genutzt wird. Sollte diese Funktion aktiviert werden, wird diese Datenschutzerklärung vorab entsprechend aktualisiert.

Die in diesem Abschnitt genannten Daten werden ausschließlich zu internen Zwecken der Systemsicherheit, Fehleranalyse und technischen Unterstützung (Support) durch den Betreiber verwendet. Eine Nutzung zu Werbezwecken, eine Verhaltensanalyse einzelner Nutzer über diese Zwecke hinaus oder eine Weitergabe an Dritte findet nicht statt.

7. Empfänger und Auftragsverarbeiter

Es werden keine Daten zu Werbe- oder Analysezwecken weitergegeben. Für den technischen Betrieb setzen wir folgende Dienstleister im Rahmen einer Auftragsverarbeitung nach Art. 28 DSGVO ein. Wo eine Übermittlung in ein Drittland stattfindet, ist die Grundlage jeweils genannt:

Hostinger International Limited (Larnaca, Zypern) — Hosting der gesamten Plattform inkl. Datenbank. Der eingesetzte Server steht in Frankfurt am Main. Grundlage ist der Auftragsverarbeitungsvertrag des Anbieters; ein Zugriff durch Konzern- oder Unterauftragnehmer außerhalb der EU ist nicht ausgeschlossen und ist über Standardvertragsklauseln abgesichert.

Firebase Cloud Messaging — Google LLC (Mountain View, USA) — Push-Benachrichtigungen in der nativen App. Vertragspartner ist die US-Gesellschaft, nicht die irische Niederlassung; der Speicherort ist nicht wählbar. Grundlage sind die Firebase Data Processing and Security Terms als Auftragsverarbeitungsvertrag nach Art. 28 DSGVO nebst Standardvertragsklauseln; ergänzend besteht eine Zertifizierung nach dem EU-US Data Privacy Framework. Nicht zugestellte Benachrichtigungen werden bis zu 28 Tage zwischengespeichert; wir versenden deshalb keine sensiblen Inhalte per Push.

checkdomain GmbH (Große Burgstraße 27/29, 23552 Lübeck) — Versand unserer E-Mails (Willkommen, Einwilligungs-Bestätigung, Erinnerungen, Nachrichten an Vereine). Übermittelt werden die Empfänger-Adresse und der Inhalt der Nachricht. Die Rechenzentren stehen nach Angaben des Anbieters ausnahmslos in Deutschland; als Unterauftragnehmer sind die Hetzner Online GmbH (Gunzenhausen) und die OVH GmbH (Saarbrücken) benannt. Grundlage ist ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO. Ein Drittlandtransfer findet an dieser Stelle nicht statt.

Cloudflare, Inc. (San Francisco, USA) — Reverse-Proxy und Schutz vor Überlastungsangriffen vor dem Server sowie Speicherung der verschlüsselten Off-Site-Sicherungen (Cloudflare R2). Vertragspartner ist auch in den kostenfreien Tarifen die US-Gesellschaft. Cloudflare verarbeitet technisch bedingt IP-Adressen und Verbindungsdaten gemäß deren Datenschutzerklärung. Grundlage ist das Datenverarbeitungs-Addendum von Cloudflare nach Art. 28 DSGVO nebst Standardvertragsklauseln; der Speicherbereich für die Sicherungen ist auf die EU festgelegt. Die eigentlichen Anwendungsdaten (Datenbank, Dateien) verbleiben im laufenden Betrieb auf dem Server bei Hostinger.

Stripe Payments Europe, Limited (Dublin, Irland) — Zahlungsabwicklung für Verträge, die über die Webseite geschlossen werden: Kartenzahlung und SEPA-Lastschrift, wiederkehrende Abbuchung, Zahlungserinnerungen. Übermittelt werden Name, E-Mail-Adresse, gegebenenfalls Anschrift, Tarif und Betrag; Kartennummer oder IBAN gibst du unmittelbar bei Stripe ein. Stripe verarbeitet diese Daten teils in unserem Auftrag (Durchführung der Zahlung) auf Grundlage der Datenverarbeitungsvereinbarung von Stripe nach Art. 28 DSGVO, teils in eigener Verantwortung — insbesondere zur Betrugsvorbeugung, zur Zusammenarbeit mit Banken und Kartennetzwerken und zur Erfüllung eigener gesetzlicher Pflichten (etwa zur Geldwäscheprävention). Dabei werden Daten auch an die Stripe, LLC in den USA und an weitere verbundene Unternehmen und Dienstleister außerhalb der EU übermittelt. Grundlage dafür sind die Standardvertragsklauseln der EU-Kommission und, soweit anwendbar, das EU-US Data Privacy Framework. Näheres in der Datenschutzerklärung von Stripe.

Kein Auftragsverarbeiter, aber erwähnenswert: Bis August 2026 lag die zusätzliche Off-Site-Sicherung auf einem privaten Microsoft-OneDrive-Konto. Bei einem privaten Endkunden-Konto ist Microsoft eigener Verantwortlicher, ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO ist dort nicht möglich. Die Sicherungen waren zwar durchgehend vor dem Hochladen verschlüsselt, dennoch haben wir die Sicherung auf Empfehlung unseres externen Datenschutzbeauftragten auf einen Anbieter mit Auftragsverarbeitungsvertrag umgestellt. Bei Microsoft wird nichts mehr abgelegt.

8. Hosting und Datenstandort

Die Plattform wird auf einem bei Hostinger angemieteten Server betrieben und ist über Cloudflare als Reverse-Proxy per HTTPS erreichbar. Der Server ist gehärtet (SSH-Zugang eingeschränkt, Firewall, automatische Sicherheitsupdates, kein offener Datenbank-Port) und wird täglich automatisiert gesichert, inklusive regelmäßiger Wiederherstellungstests.

9. Aufbewahrungsfristen

Wir speichern Daten nur so lange, wie sie für ihren Zweck gebraucht werden. Die folgenden Fristen setzt die Plattform automatisch um — niemand muss dafür einen Antrag stellen. Vor jeder Löschung einer Mannschaft oder eines Zugangs gibt es eine Vorabinfo per E-Mail.

Mannschaft in der Testphase: Kommt nach der Testphase kein Vertrag zustande, werden alle Daten der Mannschaft 3 Monate nach dem Ende der Testphase gelöscht. Der Trainer erhält beim Ende der Testphase und 14 Tage vor der Löschung eine Nachricht.

Mannschaft nach Vertragsende: Alle Daten der Mannschaft werden 4 Monate nach Vertragsende gelöscht (§ 10 Abs. 6 der AGB). Der Trainer erhält 30 und 7 Tage vorher eine Nachricht. Nach dem Widerruf einer Online-Bestellung werden die Daten der Mannschaft bereits 28 Tage nach Eingang des Widerrufs gelöscht; die Nachricht kommt 7 Tage vorher. Rechnungen bleiben wegen der gesetzlichen Aufbewahrungspflicht (§ 147 AO, 8 Jahre) erhalten, ohne Bezug zur Mannschaft.

Nicht genutzter Zugang: Wer sich 12 Monate nicht angemeldet hat, bekommt einen Hinweis; 30 Tage später wird der Zugang entfernt. Bei Zugängen ohne eigene E-Mail-Adresse (z. B. von Kindern) geht der Hinweis an den Trainer. Das Spielerprofil in einer aktiven Mannschaft bleibt dabei bestehen — es geht nur um den Login.

Spieler, die die Mannschaft verlassen haben: Das Spielerprofil mit allen Einzeldaten (Bewertungen, Anwesenheiten, Statistiken, Fotos) wird 12 Monate nach dem Austritt gelöscht, nach einem Hinweis an den Trainer mit 30 Tagen Vorlauf.

Rückmeldung der Eltern zur Stimmung nach einem Spiel: 14 Tage nach dem Spiel werden die einzelnen Rückmeldungen zu Anzahl, Durchschnitt und Verteilung zusammengefasst. Danach ist keine Rückmeldung mehr einem Elternteil oder Kind zuzuordnen.

Eigene Daten in einer aktiven Mannschaft: Gespeichert, solange die Mannschaft die App nutzt und du dabei bist. Auf Antrag über die Löschseite werden personenbezogene Daten jederzeit innerhalb eines Monats gelöscht (siehe Punkt 9a).

Dateien: Fotos und andere Dateien einer gelöschten Mannschaft oder eines gelöschten Spielers liegen noch 14 Tage in einem geschützten Papierkorb im selben gesicherten Speicher und werden dann endgültig entfernt — dasselbe Zeitfenster wie bei den Backups.

Backups: Die Datenbank und die Team-Dateien werden täglich automatisch gesichert, die selten veränderlichen Dateibestände zusätzlich wöchentlich. Die Sicherungen liegen auf dem Server selbst und zusätzlich verschlüsselt bei einem zweiten Anbieter (Cloudflare R2, Speicherbereich EU) — verschlüsselt wird vor dem Hochladen, der Anbieter kann die Inhalte also nicht lesen. Vorgehalten werden sie 14 Tage. Ob eine Sicherung sich tatsächlich wiederherstellen lässt, wird wöchentlich automatisch gegen eine Wegwerf-Datenbank geprüft. Bereits gelöschte Daten können bis zum Ablauf der Aufbewahrungsfrist noch in Sicherungskopien enthalten sein — das ist technisch bedingt und üblich.

Kontakt- und Löschanfragen: Werden bis zur Beantwortung gespeichert; das Protokoll über durchgeführte Löschungen wird als Rechenschaftsnachweis (Art. 5 Abs. 2 DSGVO) für 3 Jahre ab Durchführung der Löschung zugriffsbeschränkt archiviert und danach automatisch entfernt. Das gilt auch für das Protokoll der automatischen Löschfristen; es enthält keine Namen, nur Mannschaft, Anlass und Anzahlen.

Bestell- und Vertragsdaten: Für die Dauer des Vertrags; mit der Mannschaft werden sie nach den Fristen oben gelöscht. Rechnungen und Buchungsbelege bleiben danach wegen der gesetzlichen Aufbewahrungspflicht (§ 147 AO, 8 Jahre) erhalten. Die Bestellung mit den Erklärungen zum Widerrufsrecht und der Eingang einer Kündigung werden als Nachweis 6 Monate nach Kündigung bzw. Vertragsende aufbewahrt; nach einem Widerruf 28 Tage ab Eingang.

Abgebrochene Bestellungen: Wer die Bestellseite ausfüllt, die Bestellung aber nicht abschließt, dessen Angaben werden 28 Tage nach der letzten Änderung gelöscht.

Störungsprotokoll zum Online-Kauf: Erledigte Einträge werden nach 90 Tagen gelöscht, die technischen Protokolle der Meldungen des Zahlungsdienstleisters ebenfalls nach 90 Tagen.

Server-/Login-Logs: IP-Adressen und Protokolldaten von Anmeldeversuchen werden 30 Tage gespeichert und danach automatisch gelöscht.

E-Mail-Zustellprotokoll: 30 Tage, danach automatische Löschung (siehe Punkt 6a).

9a. Kontolöschung und Anonymisierung

Du möchtest deine Daten oder die Daten deines Kindes löschen lassen? Nutze dazu unsere Löschseite. Gelöscht wird das vollständige Spielerprofil mit allen daran hängenden Einzeldaten: Login- und Kontaktdaten, Profilfoto, Nachrichten, Stimmungsbarometer-Teilnahmen, Rückmeldungen der Eltern nach Spielen, Abwesenheiten, Geräte-Zuordnungen sowie sämtliche Bewertungen, Anwesenheiten und persönlichen Statistiken. In der Mannschafts- und Saisonstatistik bleiben ausschließlich die Zahlen des Teams erhalten — etwa Ergebnisse und Gesamttore einer Saison. Sie sind nach der Löschung keiner Person mehr zugeordnet und lassen sich nicht auf dich zurückführen.

Bis August 2026 haben wir stattdessen den Namen durch Initialen ersetzt und die persönliche Statistik erhalten. Das war keine Löschung: Initialen sind zusammen mit Trikotnummer und Saison in einer Jugendmannschaft leicht rückführbar und bleiben damit personenbezogen. Auf Empfehlung unseres externen Datenschutzbeauftragten haben wir das geändert; die betroffenen Altbestände wurden bei der Umstellung mit bereinigt.

10. Deine Rechte

Du hast jederzeit folgende Rechte bezüglich deiner personenbezogenen Daten:

Auskunft (Art. 15 DSGVO): Du kannst Auskunft über die von uns verarbeiteten Daten verlangen.

Berichtigung (Art. 16 DSGVO): Du kannst die Berichtigung unrichtiger Daten verlangen.

Löschung (Art. 17 DSGVO): Du kannst die Löschung deiner Daten verlangen, sofern keine gesetzliche Aufbewahrungspflicht besteht — siehe unsere Löschseite.

Einschränkung (Art. 18 DSGVO): Du kannst die Einschränkung der Verarbeitung verlangen.

Datenübertragbarkeit (Art. 20 DSGVO): Du kannst deine Daten in einem strukturierten, gängigen und maschinenlesbaren Format (JSON) exportieren. Die Plattform bietet hierfür eine integrierte Export-Funktion.

Widerspruch (Art. 21 DSGVO): Du kannst der Verarbeitung deiner Daten jederzeit widersprechen.

Widerruf der Einwilligung (Art. 7 Abs. 3 DSGVO): Erteilte Einwilligungen können jederzeit mit Wirkung für die Zukunft widerrufen werden — genauso einfach, wie sie erteilt wurden.

Für Auskunfts-, Berichtigungs-, Einschränkungs- oder Widerspruchsersuchen wende dich an: [email protected]. Für Löschanfragen nutze bitte die Löschseite.

11. Beschwerderecht bei der Aufsichtsbehörde

Du hast das Recht, dich bei einer Datenschutz-Aufsichtsbehörde über die Verarbeitung deiner personenbezogenen Daten zu beschweren. Für uns zuständig ist: Die Landesbeauftragte für den Datenschutz Niedersachsen, Prinzenstraße 5, 30159 Hannover, www.lfd.niedersachsen.de. Du kannst dich auch an jede andere Aufsichtsbehörde wenden, insbesondere an deinem Wohnort.

12. Änderungen dieser Datenschutzerklärung

Wir behalten uns vor, diese Datenschutzerklärung anzupassen, damit sie stets den aktuellen rechtlichen Anforderungen entspricht oder um Änderungen unserer Leistungen in der Datenschutzerklärung umzusetzen.

Stand: 12. Oktober 2026