Datenschutzerklärung

1. Verantwortlicher

Verantwortlich für die Datenverarbeitung auf dieser Plattform ist:

Lars Gundlach
Heisterhoop 12, 25497 Prisdorf
E-Mail: lars.gundlach.manager@gmail.com

Siehe auch Impressum. Ein betrieblicher Datenschutzbeauftragter ist derzeit nicht bestellt (soweit gesetzlich nicht verpflichtend). Anfragen richten Sie bitte an die oben genannte Adresse.

2. Welche Daten wir verarbeiten

• Kontodaten: E-Mail, Name/Anzeigename, Passwort-Hash (über Auth-Dienst), optionale Profilangaben (z. B. Telefon, LK, Wohnort, Foto).
• Turnierdaten: Anmeldungen, Teams/Klassen, Spielpläne, Ergebnisse, Live-Scores, Chats und organisatorische Nachrichten.
• Jugendschutz: bei Teilnehmenden unter 16 ggf. Bestätigung einer Eltern-/Erziehungsberechtigten-Einwilligung (Guardian-Angaben zur Nachvollziehbarkeit).
• Zahlungsmetadaten: Status, Beträge, Stripe-IDs (Customer, Payment-Intent, Connect-Konto) — keine vollständige Kartennummer bei Matchwin.
• Technik: Server-Logs, IP-Adresse (kurzzeitig beim Hosting), Gerät-/Browser-Infos, Session-Cookies, Push-Subscription (wenn aktiviert).
• Hilfe-Chat „Klausi“: Chat-Inhalte und technische Kontextinfos zur Beantwortung von Support-Fragen.

3. Zwecke und Rechtsgrundlagen

• Bereitstellung der Plattform, Konten, Turniere, Anmeldung, Scoring (Art. 6 Abs. 1 lit. b DSGVO — Vertrag/vorvertraglich).
• Online-Startgeld und Auszahlungen über Stripe (lit. b; berechtigte Interessen an missbrauchssicherer Abrechnung, lit. f).
• Push-/E-Mail-Benachrichtigungen, soweit aktiviert (Einwilligung lit. a bzw. Vertrag lit. b).
• Sicherheit, Missbrauchsvermeidung, Fehleranalyse (lit. f).
• Jugendschutz und schulnahe Defaults (lit. b/f sowie — soweit Einwilligung erforderlich — lit. a; bei Kindern ggf. Art. 8 DSGVO).
• Gesetzliche Pflichten, z. B. Aufbewahrung von Rechnungs-/Zahlungsbelegen (Art. 6 Abs. 1 lit. c).

4. Rollen: Matchwin, Veranstalter, Schulen und Vereine

Matchwin ist Verantwortlicher für die Plattformfunktionen (Konto, Hosting der Software, allgemeine Kommunikation über die App).

Veranstalter (Verein, Schule, Organisation oder Privatperson) entscheiden, welche Turniere sie anlegen, welche Felder sie abfragen und wer Zugang zum Event hat. Für die inhaltliche Turnierorganisation und schul-/vereinsinterne Vorgaben sind sie zusätzlich verantwortlich. Schulen und Vereine müssen intern prüfen, ob sie eine eigene Rechtsgrundlage (Einwilligung der Eltern, schulische Erlaubnis, Vereinsmitgliedschaft) brauchen, bevor sie Minderjährige oder Schülerdaten eintragen.

Matchwin verkauft keine Profile und nutzt Turnierdaten nicht zur Werbung an Dritte.

5. Schulen, Schulsportfeste, Minderjährige

Für Schulsportfeste und schulnahe Events gibt es den Event-Typ „Schulsport / Ballsportfest“ mit strengeren Defaults:

• nicht in der öffentlichen Entdecken-Liste (nur per Link/QR)
• Partnerbörse standardmäßig aus
• Kontaktdaten eher intern
• bei Teilnehmenden unter 16: Pflicht zur Bestätigung einer Eltern-/Erziehungsberechtigten-Einwilligung

Guardian-Angaben speichern wir nur zur Nachvollziehbarkeit der Einwilligung und Organisation — nicht für Marketing. Eltern und Schulen sollten sensible Daten (z. B. Gesundheitsdaten) nicht in freie Textfelder schreiben, sofern nicht unbedingt nötig und rechtlich abgesichert.

Hinweis: Technische Defaults ersetzen keine schulische Genehmigung und keine Elterninformation durch die Schule. Für die Auftragsverarbeitung gibt es einen ausdruckbaren Vertrag: AVV für Schulen & Vereine (Browser → „Als PDF speichern“).

6. Empfänger und Auftragsverarbeiter

Wir setzen sorgfältig ausgewählte Dienstleister ein. Soweit erforderlich, bestehen Auftragsverarbeitungsverträge (AVV/DPA) bzw. Standardvertragsklauseln bei Drittlandtransfers:

• Cloudflare, Inc. / Cloudflare Germany GmbH — Hosting der Website (Workers), CDN, Sicherheit. EU-Verarbeitung mit globalem Edge-Netz; DPA/AVV des Anbieters.
• Supabase (Supabase Inc.) — Datenbank, Authentifizierung, Dateispeicher. EU-Region (Projektkonfiguration).
• Stripe Payments Europe Ltd. und verbundene Unternehmen — Online-Zahlungen, SEPA/Karte, Stripe Connect (Auszahlung an Veranstalter). EU / ggf. internationale Stripe-Gesellschaften.
• Resend (Resend, Inc.) — Transaktions-E-Mails (z. B. Bestätigungen, Hinweise). USA — Übermittlung über Standardvertragsklauseln (SCC) des Anbieters.
• OpenAI, L.L.C. (soweit API-Schlüssel aktiv) — Unterstützung des Hilfe-Chats „Klausi“ (Textverarbeitung). USA — Übermittlung über Standardvertragsklauseln (SCC) des Anbieters.
• Cloudflare Workers AI — Fallback / Ergänzung für Hilfe-Chat und Assistenzfunktionen. Cloudflare-Infrastruktur.

Veranstalter mit Stripe Connect können Zahlungsdaten bei Stripe einsehen; Stripe handelt insoweit nach den Stripe-Bedingungen als eigener Verantwortlicher bzw. Auftragsverarbeiter.

7. Cookies, lokale Speicherung, Push

Wir verwenden technisch notwendige Cookies und vergleichbare Techniken (z. B. Session/Auth über Supabase), damit Login und Sicherheit funktionieren (TTDSG § 25 Abs. 2). Ohne diese Speicherung ist die Plattform nicht nutzbar.

Optionale Browser-Push-Benachrichtigungen speichern eine Push-Subscription auf deinem Gerät und bei uns; sie lassen sich in den Profil-/Browser-Einstellungen deaktivieren.

Tracking-Cookies zu Werbezwecken setzen wir derzeit nicht. Sollten Analyse-Tools hinzukommen, informieren wir hier und holen Einwilligung ein, soweit nötig.

8. Hilfe-Chat „Klausi“ und KI

Der eingebaute Hilfe-Chat kann zur Beantwortung deiner Frage Textausschnitte an KI-Dienste (OpenAI und/oder Cloudflare Workers AI) übermitteln. Bitte keine Passwörter, vollständige Zahlungsdaten oder besonders sensible personenbezogene Daten in den Chat schreiben. Support-Tickets können intern zur Fehlerbehebung weiterverarbeitet werden.

9. Speicherdauer

Kontodaten bleiben, solange das Konto besteht. Turnier- und Ergebnisdaten können für die Nachvollziehbarkeit von Sportfesten länger vorgehalten werden. Zahlungsrelevante Belege können handels- und steuerrechtlichen Aufbewahrungsfristen unterliegen (typischerweise bis zu 10 Jahre). Server-Logs werden nach kurzer Zeit rotiert bzw. gelöscht, soweit keine Sicherheitsgründe entgegenstehen.

10. Deine Rechte

Du hast Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch gegen Verarbeitungen auf Basis berechtigter Interessen sowie Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft. Kontaktiere uns unter lars.gundlach.manager@gmail.com. Außerdem besteht ein Beschwerderecht bei einer Datenschutzaufsichtsbehörde (am Wohnsitz oder am Sitz des Verantwortlichen).

11. Konto löschen

Eingeloggte Nutzer können unter Konto / Profil ihr Konto löschen. Stammdaten werden entfernt, soweit keine gesetzlichen Aufbewahrungspflichten oder noch offene Turnier-/Zahlungsbezüge entgegenstehen (Ergebnisse können anonymisiert oder ohne Klarnamen bestehen bleiben).

12. Zahlungsdaten (Stripe)

Online-Startgeld und Auszahlungen laufen über Stripe (Stripe Payments Europe Ltd. und verbundene Unternehmen). Stripe verarbeitet Zahlungsdaten (z. B. IBAN für SEPA, Kartendaten) als eigener Verantwortlicher bzw. Auftragsverarbeiter nach den Stripe-Bedingungen. Matchwin speichert den Zahlungsstatus, technische IDs und den Veranstalter-Connect-Bezug, nicht die vollständige Kartennummer.

13. Änderungen

Wir passen diese Erklärung an, wenn sich Dienste, Rechtslage oder Verarbeitungen ändern. Der aktuelle Stand steht oben. Wesentliche Änderungen weisen wir in zumutbarer Weise aus.