Datenschutzerklärung

Diese Datenschutzerklärung informiert Sie nach Art. 13 und Art. 14 der Datenschutz-Grundverordnung (DSGVO) über Art, Umfang und Zweck der Verarbeitung personenbezogener Daten auf unserer Webseite vereinsneo.de, in unserem Online-Dienst “VereinsNeo” (im Browser und als App) und im Zugang “Mein Team” für Spieler und Eltern (Abschnitt 3.6).

1. Verantwortlicher (Art. 4 Nr. 7 DSGVO)

Michael Blautzik
Einzelunternehmer
An der Tiefenriede 45
30173 Hannover
Deutschland
Telefon: +49 176 4575 6276
E-Mail: datenschutz@vereinsneo.de

Es ist kein Datenschutzbeauftragter bestellt, da die Voraussetzungen gemäß Art. 37 DSGVO i.V.m. § 38 BDSG (weniger als 20 Personen mit automatisierter Datenverarbeitung) nicht erfüllt sind. Bei Datenschutzanfragen wenden Sie sich bitte direkt an die oben genannte E-Mail-Adresse.

2. Übersicht der Verarbeitungstätigkeiten

Wir verarbeiten personenbezogene Daten in folgenden Zusammenhängen:

• Bereitstellung der Webseite und des Online-Dienstes
• Registrierung und Verwaltung der Zugänge von Vereinen
• Vereinsdaten im Auftrag der Vereine, darunter Mein Team (Abschnitt 3.2, 3.6)
• Personen-Konten von Mein Team für Spieler und Eltern (Abschnitt 3.6)
• Zahlungsabwicklung über Stripe
• PostfachNeo: Verarbeitung von Verbandspostfach-Nachrichten
• Kontaktanfragen, Rückmeldungen und Kundenkommunikation
• E-Mails des Dienstes und Mitteilungen auf das Gerät (Abschnitt 9, 3.8)
• Reichweitenmessung ohne Cookies, nur mit Einwilligung (Abschnitt 8.3)
• Betriebs-, Sicherheits- und Fehlerprotokolle (Abschnitt 3.4, 8.4)

3. Erhobene personenbezogene Daten

3.1 Registrierungsdaten

• Pflichtangaben: Name, E-Mail-Adresse, Passwort (gespeichert als bcrypt-Hash, nicht im Klartext), Name des Vereins
• Freiwillig: Telefonnummer; beim Beitritt über einen Link des Vereins die gewünschte Rolle und Mannschaften
• Beim Abschluss des Tarifs: Rechnungsanschrift — sie erfasst Stripe im Bezahlvorgang (Abschnitt 3.7)
• Zweck: Bereitstellung des Dienstes, Vertragsdurchführung
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertrag)

3.2 Vereinsdaten im Dienst (Auftragsverarbeitung)

• Daten: Mannschaften, Kader (Name, Geburtsjahr, Position, Rückennummer), Trainer- und Betreuer-Namen mit Kontaktdaten, Platzbelegungen, Kabinenzuordnungen, Trainingszeiten, Spiele, Aufgaben, Anträge mit Belegen, Bewertungen in TalentNeo, Anmeldeformulare und Mitgliederdaten einschließlich Bankverbindung, soweit der Verein diese Module nutzt
• Zweck: die vom Verein gewünschte Organisation des Sport- und Vereinsbetriebs
• Rolle: Wir verarbeiten diese Daten ausschließlich im Auftrag und nach Weisung des Vereins (Auftragsverarbeitungsvertrag). Der Verein ist Verantwortlicher; er bestimmt die Rechtsgrundlage — meist die Mitgliedschaft (Art. 6 Abs. 1 lit. b DSGVO) — und informiert seine Mitglieder.

3.3 PostfachNeo-Modul

Bei Nutzung des PostfachNeo-Moduls werden zusätzlich folgende Daten verarbeitet:

• Verbands-Zugangsdaten: Die vom Nutzer eingegebenen Zugangsdaten für das Verbandspostfach werden verschlüsselt (AES-256-GCM) in der Datenbank gespeichert und nur auf dem Server zum Abruf der Nachrichten entschlüsselt. Sie werden nicht an Dritte weitergegeben.
• Verbandspostfach-Nachrichten: Absender, Betreff, Nachrichtentext, Anhänge (PDF), Empfangszeitpunkt
• Automatische Einordnung: Kategorie, Dringlichkeit, Zusammenfassung, erkannte Fristen und Geldbeträge — erstellt durch Anthropic (Claude), siehe Abschnitt 6.1
• Zuordnung: zu Mannschaften und Rollen innerhalb des Vereins
• Anträge: vom Nutzer erstellte Anträge (z.B. Trikotbestellungen, Freundschaftsspiele)

Zweck: Verarbeitung und Zuordnung von Verbandspost an die zuständigen Personen im Verein
Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung) — die Nutzung erfordert eine ausdrückliche Einwilligung bei der Eingabe der Zugangsdaten
Speicherdauer: Nachrichten bleiben gespeichert, bis der Verein sie löscht oder das Postfach trennt. Eine automatische Löschfrist ist technisch vorgesehen, derzeit aber nicht eingestellt.

3.4 Betriebs- und Sicherheitsprotokolle

Unser Webserver schreibt keine Zugriffsprotokolle. Die Anwendung selbst protokolliert:

• Betriebsprotokoll: Fehler und Abläufe der Anwendung; bei Anmeldungen, Datenexporten und Löschungen auch E-Mail-Adresse und IP-Adresse. Es liegt auf unserem Server in Deutschland und wird verworfen, wenn die Anwendung bei einer neuen Version neu gestartet wird; eine feste Höchstfrist ist dafür nicht eingerichtet.
• Änderungsprotokoll: sicherheitsrelevante Änderungen (etwa an Zugängen, an der Vereinsstruktur, an den Postfach-Einstellungen, Vereinswechsel und Vorgänge im Ansehen-Modus) mit Zeitpunkt, Nutzerkennung, E-Mail-Adresse und teils IP-Adresse. Es bleibt gespeichert, solange es zur Aufklärung von Fehlern und Vorfällen gebraucht wird; eine automatische Löschfrist ist derzeit nicht eingerichtet.
• Begrenzung von Anmeldeversuchen: IP-Adresse bzw. E-Mail-Adresse nur im Arbeitsspeicher, rund eine Stunde.

Zweck: Sicherheit des Dienstes, Erkennung und Aufklärung von Angriffen und Fehlern
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem sicheren, funktionierenden Dienst)

3.5 Kontaktanfragen und Rückmeldungen

Wenn Sie uns per E-Mail, über das Kontaktformular oder über “Feedback” in der App schreiben, erhalten wir Ihre Angaben (Name, E-Mail-Adresse, Nachricht; beim Feedback aus der App auch den Namen Ihres Vereins) als E-Mail in unserem Postfach info@vereinsneo.de.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertrag bzw. vorvertragliche Maßnahmen) bzw. Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Beantwortung)
Speicherdauer: Bis zur Erledigung der Anfrage, max. 6 Monate nach letztem Kontakt

3.6 Mein Team (Zugang für Spieler und Eltern)

Vereine können ihren Mannschaften über VereinsNeo den Zugang “Mein Team” geben. Spieler ab 16 Jahren und die Erziehungsberechtigten jüngerer Spieler sehen dort die Termine ihrer Mannschaft, sagen zu oder ab, lesen und schreiben im Kanal der Mannschaft, finden Fahrgemeinschaften und Dienste und sehen ihren eigenen Stand in der Mannschaftskasse.

Wer verantwortlich ist

• Der Verein ist Verantwortlicher für alles, was in der Mannschaft entsteht: Kader, Termine, Zu- und Absagen mit Grund, Abwesenheiten, Spieltag, Statistik, Mannschaftskasse, Kanal, Fahrgemeinschaften, Dienste und Aufgaben. Wir verarbeiten diese Daten in seinem Auftrag (Auftragsverarbeitungsvertrag). Rechtsgrundlage ist für den Verein in der Regel die Mitgliedschaft und die Organisation des Sportbetriebs (Art. 6 Abs. 1 lit. b DSGVO), für Kanal, Fahrgemeinschaften und Dienste das berechtigte Interesse an der Organisation der Mannschaft (Art. 6 Abs. 1 lit. f DSGVO), für Aufzeichnungen der Kasse auch gesetzliche Aufzeichnungspflichten des Vereins (Art. 6 Abs. 1 lit. c DSGVO), für die Zahlungsangaben der Mannschaftskasse das berechtigte Interesse, die Kasse einzusammeln (Art. 6 Abs. 1 lit. f DSGVO) — eingetragen werden sie freiwillig, vom Kontoinhaber selbst oder mit seinem Einverständnis.
• Wir sind selbst Verantwortlicher für das Personen-Konto als Zugang (E-Mail-Adresse, Name, Telefonnummer, Anmeldung, Bestätigung der Adresse, Sitzungen, Auskunft und Löschung), für die Sicherheit des Zugangs, für die Bearbeitung von Meldungen aus dem Kanal, die uns erreichen, und für die Zustimmung zu den Regeln im Kanal und die Blockierlisten (beides dient dem Schutz der Nutzer). Rechtsgrundlagen: Art. 6 Abs. 1 lit. b DSGVO (Nutzung nach den Nutzungsbedingungen für Mein Team) und Art. 6 Abs. 1 lit. f DSGVO (Schutz der Nutzer, besonders Minderjähriger, und Abwehr von Missbrauch).

Konto und Anmeldung

• Wer ein Konto bekommt: Spieler ab 16 Jahren ein eigenes; für Kinder unter 16 Jahren nur die Erziehungsberechtigten (Abschnitt 13). Maßgeblich ist der Jahrgang, den der Verein eingetragen hat; fehlt er, gelten Spieler unterhalb der A-Jugend als unter 16.
• Wege: Einladung des Trainers per E-Mail (Link 14 Tage gültig), Zugangs-Code vom Trainer (14 Tage), Link für die Mannschaft (“Link in die Gruppe”, 14 Tage; der Trainer bestätigt jeden Eintrag) und Anmelde-Link an die eigene Adresse (30 Minuten). Jede Mail mit Anmelde- oder Bestätigungs-Link trägt zusätzlich einen achtstelligen Code für den Fall, dass sich der Link nicht dort öffnet, wo man die Mail angefordert hat: Er gilt zehn Minuten, nur der Code der neuesten Mail zählt, gespeichert wird er nur als Prüfwert (HMAC), nicht im Klartext. Ein Passwort gibt es nicht.
• Daten des Kontos: E-Mail-Adresse, Name, Telefonnummer (freiwillig; derzeit nur im eigenen Profil sichtbar), Zeitpunkt der Anlage, der letzten Anmeldung und der Bestätigung der E-Mail-Adresse, Zuordnung zum Spieler bzw. Kind mit Art (Spieler oder Elternteil), wer sie bestätigt hat und wann.
• Eintrag über den Link in die Gruppe: Steht jemand nicht im Kader, kann er sich mit Vorname, Nachname und freiwillig dem Geburtsjahr vorschlagen; der Vorschlag bleibt beim Trainer, bis er ihn bestätigt oder ablehnt.
• Bevor der Trainer bestätigt, sieht ein Konto weder Kader noch Termine der Mannschaft.

Was in der Mannschaft entsteht und wer es sieht

“Leitung” heißt: Personen, denen der Verein in der Mannschaft eine Rolle mit dem jeweiligen Recht gegeben hat (Trainer, Co-Trainer, Betreuer, Kassenwart, Kapitän — die Rechte lassen sich je Person ändern), und die Vereinsverwaltung.

Bilder und Dateien liegen in unserer Datenbank (Abschnitt 6.1). Bilder — an Beiträgen und in der Dateiablage — verkleinert der Browser vor dem Hochladen und speichert sie neu; dabei fallen eingebettete Zusatzangaben wie der Aufnahmeort weg. Fotos von Kindern dürfen nur mit Einverständnis der Erziehungsberechtigten geteilt werden; das einzuholen ist Sache des Vereins (Nutzungsbedingungen, Abschnitt 5).

Entfernen im Kanal: Entfernt die Leitung oder die schreibende Person einen Beitrag oder Kommentar, zeigt der Kanal nur noch eine Spur (“entfernt vom Trainer” bzw. “vom Verfasser entfernt”, wer und wann). Der Text und die Bilder des entfernten Beitrags bzw. der Text des Kommentars werden dabei sofort gelöscht — von den Bildern bleiben nur Dateiname und Größe als Spur; ein entferntes Bild ist auch über seine Adresse nicht mehr abrufbar. Ein Bild der Dateiablage, das die Leitung an einen Beitrag gehängt hat, bleibt in der Ablage, bis es dort entfernt wird. Entfernt jemand eine Datei aus der Ablage, wird ihr Inhalt sofort gelöscht, Name und Größe bleiben. Lädt jemand ein Bild für einen Beitrag hoch und verschickt den Beitrag nie, wird der Inhalt des Bildes nach sieben Tagen gelöscht. “Ausblenden” verbirgt einen Beitrag nur auf dem eigenen Gerät (Abschnitt 8.2); “Person blockieren” gilt dagegen für alle Geräte und steht deshalb bei uns (Tabelle oben).

Absagegrund “Krank”: Diese Angabe kann sich auf die Gesundheit beziehen (Art. 9 DSGVO). Sie ist freiwillig — “Anderes” genügt immer, auch wenn die Mannschaft einen Grund verlangt. Der Dienst zeigt den Grund nur den oben genannten Personen, versendet ihn nicht und löscht ihn — wie jeden Absagegrund und jede Notiz — 30 Tage nach dem Termin.

Geländeskizze am Termin

Am Termin zeigt Mein Team, auf welchem Platz und in welcher Kabine die Mannschaft ist — als Skizze der Anlage des Vereins, ohne Personenangaben. Hat der Verein in Niedersachsen eine Luftbild-Unterlage gewählt, lädt Ihr Browser diese vom Landesamt für Geoinformation und Landesvermessung Niedersachsen (Abschnitt 6.2).

E-Mails aus Mein Team

Die E-Mails verschicken wir über Resend (Abschnitt 9) vom Absender noreply@vereinsneo.de, nur an bestätigte Adressen:

• Anmeldung: Anmelde-Link, Einladung, Bestätigung der E-Mail-Adresse.
• Erinnerung an Termine mit Links “Dabei” und “Nicht dabei” — automatisch nur an Personen, die noch nicht geantwortet haben, höchstens zweimal je Termin, nicht nach der Antwortfrist und nicht in der Ruhezeit der Mannschaft (Standard 21 bis 7 Uhr). Die Leitung kann zusätzlich selbst erinnern.
• Nominierung für ein Spiel (auch, wenn jemand nicht nominiert ist), Mitteilungen der Leitung, Dienst-Erinnerungen, “Fahrer gesucht”.
• Kasse: neue Umlage mit Betrag, Zweck und Fälligkeit; Verbandsstrafe mit Betrag und Anlass — an den Spieler und an die Leitung der Kasse. Hat die Mannschaft Zahlungsangaben hinterlegt, nennen die Mail an den Spieler und die Erinnerung an offene Posten Kontoinhaber, IBAN und Verwendungszweck, dazu den PayPal-Link mit Betrag, wenn es einen gibt — nicht bei Posten, die nur bar zu zahlen sind.
• Kanal: ein Beitrag mit vollem Text, wenn die Leitung ihn “auch per Mail” schickt; Meldungen an die Leitung und an uns — nur mit Mannschaft, Verein, Grund und Zeitpunkt, ohne den gemeldeten Inhalt und ohne Namen.
• Absage an die Leitung: nur, dass jemand abgesagt hat — ohne Grund.

Kalender-Abo

Im Profil steht ein persönlicher Kalender-Link. Ihre Kalender-App (zum Beispiel von Google, Apple oder Microsoft) ruft darüber die Termine Ihrer Mannschaften der letzten zwei Wochen und der nächsten sechs Monate ab — mit Ort, Treffpunkt und Kabine, ohne Antworten, ohne Absagegründe, ohne Mitspieler. Der Kalender heißt “Mein Team” und trägt, wenn hinterlegt, Ihren Vornamen — nie Ihre E-Mail-Adresse. Den Anbieter der Kalender-App wählen Sie selbst; für dessen Verarbeitung ist er verantwortlich. Wer den Link kennt, kann die Termine lesen — im Profil ersetzen Sie ihn durch einen neuen; der alte gilt dann nicht mehr.

Speicherdauer in Mein Team

Ihre Rechte in Mein Team

Unter Profil: Name und Telefonnummer ändern, “Meine Daten herunterladen” (eine Datei mit den Daten Ihres Kontos und den Antworten, Beiträgen, Fahrten und Kassenposten, die dazu gehören, sowie den Zahlungsangaben einer Mannschaftskasse, die Sie selbst eingetragen haben), “Überall sonst abmelden”, Kalender-Link erneuern, Mitteilungen ein- und ausschalten und “Konto löschen”. Für die Daten der Mannschaft wenden Sie sich an Ihren Verein; Anfragen, die uns erreichen, leiten wir an ihn weiter und unterstützen ihn bei der Antwort. Alle übrigen Rechte stehen in Abschnitt 10; den Weg ohne Anmeldung beschreibt die Seite Konto löschen.

3.7 Zahlungs- und Bankdaten

Den Vereinstarif bezahlen Vereine im Bezahlvorgang von Stripe. Kartendaten und andere Zahlungsmittel gibt der Verein dort ein; sie erreichen unseren Server nicht (Abschnitt 6.1). Bankverbindungen, die ein Verein in seinen Anmeldeformularen, in der Mitgliederverwaltung oder für Auszahlungen aus Anträgen erfasst, speichern wir im Auftrag des Vereins in unserer Datenbank; Bankverbindungen für Auszahlungen aus Anträgen verschlüsselt. In Mein Team gibt es keine Zahlungsfunktion: Die Mannschaftskasse zeichnet nur auf, was offen und bezahlt ist. Hinterlegt eine Mannschaft ihr Konto (Kontoinhaber, IBAN, BIC) oder einen PayPal.Me-Namen, speichern wir diese Angaben im Auftrag des Vereins in unserer Datenbank — nicht zusätzlich verschlüsselt, weil sie dafür da sind, jedem mit einem offenen Betrag gezeigt und gemailt zu werden (Abschnitt 3.6). Bezahlt wird in der eigenen Banking-App oder bei PayPal; das Geld fließt nicht über uns, und wir erfahren nicht, ob gezahlt wurde — das trägt die Leitung der Mannschaft in der Kasse ein.

3.8 Mitteilungen auf das Gerät (Push)

Wer möchte, schaltet auf einem Gerät Mitteilungen ein — im Vereinszugang in den Einstellungen bzw. in der VereinsNeo-App, in Mein Team unter Profil. Es gibt zwei Wege: im Browser über dessen Push-Dienst und in der VereinsNeo-App (App Store und Google Play) über den Mitteilungsdienst von Apple bzw. Google. In Mein Team lassen sich Mitteilungen im Browser nicht mehr neu einschalten; ein früher im Browser eingeschaltetes Abo bleibt bestehen, bis Sie es ausschalten.

• Im Browser: Der Browser legt bei seinem Push-Dienst ein Abo an (bei Safari und auf dem iPhone bei Apple, bei Chrome und Android bei Google, bei Firefox bei Mozilla, bei Edge bei Microsoft) und gibt uns dessen Adresse und zwei Schlüssel. Wir speichern Adresse, Schlüssel, die Art des Geräts (z. B. iPhone, Android, Rechner) und Zeitpunkte, verbunden mit Ihrem Konto bzw. Vereinszugang. Die Mitteilung ist ein kurzer Hinweis mit Titel und Text, etwa “Erinnerung: Training Di 17:30”, der Betreff einer Mitteilung der Leitung, ein Dienst oder “Kasse: offener Posten” — nie ein Absagegrund, nie ein Geldbetrag. Wir verschlüsseln sie für Ihr Gerät; der Push-Dienst kann sie nicht lesen, er erfährt nur die Adresse des Abos und den Zeitpunkt. Er stellt sie als eigener Anbieter Ihres Browsers zu, nicht in unserem Auftrag.
• In der VereinsNeo-App: Erlauben Sie in der App Mitteilungen, vergibt Apple (iPhone) bzw. Google (Android) dem Gerät ein Geräte-Kennzeichen. Wir speichern es mit der Art des Geräts und Zeitpunkten, verbunden mit Ihrem Vereinszugang bzw. Ihrem Konto für Mein Team; die App merkt es sich auch auf dem Gerät (Abschnitt 8.2), damit Abmelden die Mitteilungen dieses Geräts beendet. Zugestellt wird über den Apple Push Notification service (Apple Inc., USA) auf das iPhone bzw. über Firebase Cloud Messaging (Google Ireland Limited, Irland, und Google LLC, USA) auf Android — einen anderen Weg in die App gibt es nicht. Dafür erhalten Apple bzw. Google das Geräte-Kennzeichen, Titel und Text der Mitteilung, das Ziel in der App, eine Kennung, mit der gleiche Mitteilungen zusammengefasst werden, und die Verfallszeit.
• Was Apple und Google lesen können: Auf diesem Weg ist der Inhalt nicht für Ihr Gerät verschlüsselt — Apple bzw. Google können Titel und Text lesen, und sie erscheinen auf dem Sperrbildschirm. Deshalb nennt eine Mitteilung an die App nur den Anlass, etwa “Mein Team: Erinnerung”, “Neuer Antrag” oder “Platz freigegeben”: keine Namen, keine Kommentare, keine Beträge, keine Gründe, keinen Betreff, keinen Termin- oder Mannschaftsnamen. Die Einzelheiten stehen in der App.
• Empfänger: der Push-Dienst Ihres Browsers bzw. Apple und Google für die App. Google verarbeitet die Angaben für Android in unserem Auftrag (Abschnitt 6.1); Apple stellt sie für das iPhone als Anbieter der Plattform nach den Bedingungen des Apple Developer Program zu. Apple, Google, Mozilla und Microsoft haben ihren Sitz in den USA (Abschnitt 7). Eine Mitteilung verfällt nach 24 Stunden, wenn das Gerät nicht erreichbar ist.
• Ausschalten: im Profil bzw. in den Einstellungen, in den Einstellungen des Browsers oder in den Mitteilungs-Einstellungen des Handys. In Mein Team beendet auch “Abmelden” die Mitteilungen auf diesem Gerät, “Überall sonst abmelden” die auf allen anderen Geräten und “Konto löschen” die auf allen. Im Vereinszugang beendet “Abmelden” in der App die Mitteilungen dieses Geräts, im Browser nicht — schalten Sie sie dort vorher in den Einstellungen aus. Wird Ihr Zugang aus dem Verein entfernt oder gelöscht oder wechseln Sie den Verein, enden die Mitteilungen dieses Vereins auf allen Geräten.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (die von Ihnen eingeschaltete Funktion; ohne Apple bzw. Google erreicht keine Mitteilung die App); das Speichern des Abos im Browser bzw. des Geräte-Kennzeichens in der App ist dafür unbedingt erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG).

4. Rechtsgrundlagen der Verarbeitung (Art. 6 DSGVO)

Für die Vereinsdaten, die wir im Auftrag verarbeiten (Abschnitt 3.2, 3.6), bestimmt der Verein die Rechtsgrundlage.

5. Datenspeicherung und Serverstandort

Unsere Anwendung läuft auf Servern in Deutschland, die Datenbank mit allen Vereins-, Konto- und Mein-Team-Daten liegt in der EU:

• Hetzner Online GmbH – Betrieb der Anwendung (Rechenzentrum Nürnberg, Deutschland)
• Neon, Inc. – PostgreSQL-Datenbank (EU-Region, verschlüsselt gespeichert und übertragen)

Mit den in Abschnitt 6.1 aufgeführten Auftragsverarbeitern bestehen Verträge zur Auftragsverarbeitung gemäß Art. 28 DSGVO; einzelne haben ihren Sitz in den USA (Abschnitt 7). Andere Dienstleister erhalten von uns keine Bestands-, Vereins- oder Mitgliedsdaten — ausgenommen Empfänger, die ein Verein selbst mit eigenem Vertrag anbindet, die Empfänger, die Sie selbst wählen (Push-Dienst Ihres Browsers, Ihre Kalender-App), und Apple, das Mitteilungen an die VereinsNeo-App auf dem iPhone zustellt (Abschnitt 3.8).

Davon zu unterscheiden sind einzelne externe Dienste, die unsere Anwendung für Karten, Luftbilder, Adress- und Wetterabfragen sowie für den Abruf öffentlicher Spielpläne einbindet. Sie sind keine Auftragsverarbeiter, weil ihnen keine bei uns gespeicherten Daten anvertraut werden — technisch bedingt erfahren sie beim Aufruf aus Ihrem Browser jedoch die IP-Adresse Ihres Geräts. Diese Dienste benennen wir in Abschnitt 6.2 einzeln.

6. Weitergabe an Dritte und Auftragsverarbeiter

6.1 Auftragsverarbeiter (Art. 28 DSGVO)

Wir geben personenbezogene Daten nur weiter, wenn dies zur Vertragserfüllung erforderlich ist, Sie eingewilligt haben oder eine gesetzliche Verpflichtung besteht. Aktuell setzen wir folgende Auftragsverarbeiter ein (dieselbe Liste ist Anlage 2 des AVV):

6.2 Eingebundene Drittdienste ohne Auftragsverarbeitung

Für Karten- und Adressdarstellung, Luftbilder, Wetterdaten und den Abruf öffentlicher Spielpläne bindet unsere Anwendung die folgenden Dienste ein. Ihnen werden keine bei uns gespeicherten Bestands-, Vereins- oder Mitgliedsdaten übermittelt. Wo der Aufruf aus Ihrem Browser erfolgt, erfährt der jeweilige Anbieter jedoch technisch bedingt die IP-Adresse Ihres Geräts; Rechtsgrundlage ist insoweit Art. 6 Abs. 1 lit. f DSGVO (Bereitstellung der angeforderten Funktion). Wo der Aufruf über unseren Server läuft, bleibt Ihre IP-Adresse dem Anbieter verborgen.

Nicht in dieser Aufstellung erscheinen Dienste, die auf unserer eigenen Infrastruktur laufen und den Server nicht verlassen — dazu gehören die Renderkomponente für den Spielplan-Abruf und die Verarbeitung von Anhängen aus dem Verbandspostfach. Schriftarten liefern wir vom eigenen Server aus; eine Verbindung zu Google Fonts findet nicht statt. Links zu anderen Seiten, etwa zur Terminbuchung bei Cal.com, übertragen erst etwas, wenn Sie sie öffnen; dort gelten die Bestimmungen des jeweiligen Anbieters.

7. Drittlandtransfer (Art. 44–49 DSGVO)

Folgende Auftragsverarbeiter aus Abschnitt 6.1 haben ihren Sitz in den USA oder verarbeiten Daten auch dort: Neon, LLC (Databricks, Inc.), Resend (Plus Five Five, Inc.), Stripe Payments Europe, Ltd. / Stripe, Inc., Anthropic, PBC, Google Ireland Limited / Google LLC (Firebase Cloud Messaging). Die Übermittlung erfolgt auf Grundlage von:

• EU-U.S. Data Privacy Framework (DPF) – Angemessenheitsbeschluss der EU-Kommission (Durchführungsbeschluss (EU) 2023/1795 vom 10. Juli 2023), soweit der Empfänger zertifiziert ist
• Standardvertragsklauseln gemäß Art. 46 Abs. 2 lit. c DSGVO – wo keine Zertifizierung besteht, und als zusätzliche Garantie
• Ergänzende technische Maßnahmen – Verschlüsselung der Daten bei der Übertragung und bei der Speicherung

Bei den in Abschnitt 6.2 genannten Diensten mit Sitz in den USA (Esri, CARTO, Cloudflare) und bei den Push-Diensten der Browser (Abschnitt 3.8) beschränkt sich die Übermittlung auf die IP-Adresse bzw. die Adresse des Abos und den technisch angeforderten bzw. verschlüsselten Inhalt; bei uns gespeicherte Bestands- oder Mitgliedsdaten werden dorthin nicht übermittelt. Für Mitteilungen an die VereinsNeo-App erhalten Apple bzw. Google das Geräte-Kennzeichen und den Anlass der Mitteilung lesbar — ohne Namen und ohne weitere Inhalte (Abschnitt 3.8). Google und Microsoft sind unter dem EU-U.S. Data Privacy Framework zertifiziert; Apple und Mozilla stützen Übermittlungen nach eigenen Angaben auf Standardvertragsklauseln.

8. Cookies, Browser-Speicher und Reichweitenmessung (§ 25 TDDDG i.V.m. DSGVO)

Ihre Auswahl zur Reichweitenmessung können Sie jederzeit ändern oder widerrufen: Cookie-Einstellungen.

8.1 Technisch notwendige Cookies

Diese Cookies sind für den Betrieb zwingend erforderlich und können nicht deaktiviert werden:

Cookies mit “httpOnly” kann kein Skript im Browser auslesen; das schützt die Anmeldung vor Cross-Site-Scripting.

Rechtsgrundlage: § 25 Abs. 2 Nr. 2 TDDDG (unbedingt erforderlich für den von Ihnen gewünschten Dienst, keine Einwilligung nötig)

8.2 Speicher im Browser (localStorage, sessionStorage)

Einige Einstellungen und Zwischenstände legt die Anwendung im Speicher Ihres Browsers ab. Sie verlassen Ihr Gerät nicht von selbst; Sie können sie jederzeit über die Einstellungen des Browsers löschen.

Beim Abmelden bleiben diese Einträge zunächst auf dem Gerät — ausgenommen teamneo_auswahl, die “Abmelden” in Mein Team leert; die Einträge des Vereinszugangs werden bei der nächsten Anmeldung, Registrierung oder beim Wechsel des Vereins geleert. Auf geteilten Geräten empfehlen wir, den Browser-Speicher nach der Nutzung zu löschen.

Rechtsgrundlage: § 25 Abs. 2 Nr. 2 TDDDG (unbedingt erforderlich für die von Ihnen gewünschte Funktion)

8.3 Reichweitenmessung (nur mit Ihrer Einwilligung)

Plausible Analytics: Wir nutzen Plausible Analytics (Plausible Insights OÜ, Estland; Server in Deutschland), um zu sehen, welche Seiten genutzt werden. Plausible setzt keine Cookies, erstellt keine Profile und verfolgt Sie nicht über andere Webseiten. Nach Angaben des Anbieters werden keine IP-Adressen gespeichert; aus IP-Adresse und Browserkennung wird nur ein täglich wechselnder Wert gebildet, mit dem sich Besuche zählen lassen.

Das Messskript wird erst geladen, wenn Sie im Hinweis am Seitenfuß zustimmen — auf der Webseite, im Vereinszugang und in Mein Team. Seiten, deren Adresse einen Schlüssel trägt (z. B. Einladungs- und Anmelde-Links), werden nie gemessen. Ohne Zustimmung oder nach Ablehnen findet keine Messung statt. Ihre Entscheidung speichern wir im Cookie vn_cookie_consent (siehe 8.1) und Sie können sie jederzeit über den Link “Cookie-Einstellungen” im Seitenfuß und in den Kontoeinstellungen ändern; beim Widerruf wird das Skript entfernt.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung) und § 25 Abs. 1 TDDDG. Der Widerruf ist jederzeit mit Wirkung für die Zukunft möglich (Art. 7 Abs. 3 DSGVO).

8.4 Fehlererfassung im Browser

Tritt im Browser ein Programmfehler auf, schickt die Anwendung eine Fehlermeldung an unseren Server: Meldungstext, betroffene Datei und Zeile, die aufgerufene Seite ohne den Teil nach dem “?” und die Browserkennung (User-Agent). Die IP-Adresse speichern wir dabei nicht; IP-Adressen aus älteren Einträgen löscht der tägliche Aufräumlauf. Namen, E-Mail-Adressen und Passwörter werden nicht erfasst.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Fehlererkennung und Systemstabilität)
Speicherdauer: bis der Fehler untersucht ist; eine automatische Löschfrist ist derzeit nicht eingerichtet.

8.5 Marketing-Cookies

Wir setzen keine Marketing- oder Werbe-Cookies ein. Es findet kein Retargeting und kein seitenübergreifendes Tracking statt; Werbung gibt es weder im Dienst noch in Mein Team.

8.6 Service Worker

Die Anwendung registriert im Browser einen Service Worker. Er speichert ausschließlich Programmdateien, Stilvorlagen, Schriften und Bilder der Anwendung, damit sie schneller lädt — keine Seiten und keine Daten aus dem Dienst. Außerdem nimmt er Mitteilungen entgegen, wenn Sie sie eingeschaltet haben (Abschnitt 3.8).

Rechtsgrundlage: § 25 Abs. 2 Nr. 2 TDDDG

9. E-Mail-Kommunikation

Alle E-Mails des Dienstes versenden wir über den Auftragsverarbeiter Resend, Inc. (Abschnitt 6.1), meist vom Absender noreply@vereinsneo.de. Resend erhält dafür Empfängeradresse, Betreff und Inhalt der E-Mail. Wir versenden E-Mails in folgenden Fällen:

• Zugang und Vertrag (Art. 6 Abs. 1 lit. b DSGVO): Registrierung, Bestätigung der E-Mail-Adresse, Passwort zurücksetzen, Einladungen, Änderung der Anmelde-Adresse, Zahlungsbestätigungen, Vertragsänderungen
• Benachrichtigungen aus dem Vereinsbetrieb (im Auftrag des Vereins): etwa zu Anträgen und Freigaben, Belegungen, Aufgaben, Abfragen und Rückmeldungen — als Teil der Funktionen, die der Verein nutzt
• Mein Team: Anmeldung, Erinnerungen, Nominierungen, Mitteilungen, Kasse und Kanal (Abschnitt 3.6)
• Hinweise an registrierte Vereine (Art. 6 Abs. 1 lit. f DSGVO): Begrüßung, Hilfe beim Einrichten, Ende der Testphase und Neuerungen des Dienstes an die Ansprechpersonen registrierter Vereine. Sie können dem jederzeit widersprechen (Art. 21 DSGVO) — eine kurze Nachricht an info@vereinsneo.de genügt. Für diese Hinweis-Mails speichern wir die Rückmeldungen von Resend, ob eine Mail zugestellt wurde oder unzustellbar war und, soweit Resend es meldet, ob sie geöffnet und ein Link darin angeklickt wurde.

Absagegründe aus Mein Team stehen in keiner E-Mail.

10. Ihre Rechte als Betroffener

Sie haben gemäß DSGVO folgende Rechte. Zur Ausübung genügt eine formlose E-Mail an datenschutz@vereinsneo.de. Betrifft Ihr Anliegen Daten, die ein Verein bei uns verwaltet (Abschnitt 3.2, 3.6), wenden Sie sich am besten direkt an den Verein; erreicht es uns, leiten wir es an ihn weiter und unterstützen ihn bei der Antwort.

• Auskunftsrecht (Art. 15 DSGVO): Sie können jederzeit Auskunft über die bei uns gespeicherten personenbezogenen Daten verlangen, einschließlich Herkunft, Empfänger und Zweck der Verarbeitung.
• Berichtigungsrecht (Art. 16 DSGVO): Sie können die Korrektur unrichtiger Daten verlangen.
• Löschungsrecht (Art. 17 DSGVO): Sie können die Löschung Ihrer Daten verlangen, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Den Weg beschreibt die Seite Konto löschen.
• Einschränkung der Verarbeitung (Art. 18 DSGVO): Sie können die Einschränkung der Verarbeitung Ihrer Daten verlangen.
• Datenübertragbarkeit (Art. 20 DSGVO): Sie können Ihre Daten in einem strukturierten, maschinenlesbaren Format (JSON, CSV) erhalten. In Mein Team geht das selbst unter Profil → “Meine Daten herunterladen”.
• Widerspruchsrecht (Art. 21 DSGVO): Sie können der Verarbeitung Ihrer Daten auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO jederzeit widersprechen, Hinweis-Mails an Vereine ohne Angabe von Gründen.
• Widerruf der Einwilligung (Art. 7 Abs. 3 DSGVO): Erteilte Einwilligungen können Sie jederzeit mit Wirkung für die Zukunft widerrufen.
• Beschwerderecht (Art. 77 DSGVO): Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren. Zuständige Behörde:
  Die Landesbeauftragte für den Datenschutz Niedersachsen
  Prinzenstraße 5, 30159 Hannover
  www.lfd.niedersachsen.de

11. Speicherdauer und Löschkonzept

Wo der Dienst Daten nicht nach einer festen Frist von selbst löscht, nennen wir das Kriterium, nach dem sie gelöscht werden (Art. 13 Abs. 2 lit. a DSGVO).

Löschen eines Vereinszugangs: Jeder Zugang — Vorstand, Verwaltung, Trainer — löscht sich selbst unter Einstellungen → Datenschutz → “Konto löschen”; vorher steht dort, was passiert. Gelöscht werden sofort der Zugang (Name, E-Mail-Adresse, Passwort), die Anmeldung auf allen Geräten, Mitteilungs-Abos, offene Einladungen an die Adresse, Mitarbeit, Mannschafts- und Freigabe-Zuordnungen in allen Vereinen und die eigene Karteikarte in diesen Vereinen; wo der Name in Vereinsdaten steht (etwa an Anträgen, Beiträgen oder ausgegebenem Material), steht danach “gelöschtes Konto”. Eine Anmeldung für die Verbandspost, die die Person mit ihren eigenen Zugangsdaten hinterlegt hat, wird mit ihr gelöscht; Benachrichtigungen über neue Mitgliedsanmeldungen, die an ihre Adresse gingen, gehen danach an den Inhaber des Vereins; ist keiner mit Adresse bekannt, geht dafür keine Mail mehr hinaus — die Anmeldungen selbst stehen weiter in der App. Der Verein bleibt bestehen. Ist der Zugang der Inhaber des Vereins, übernimmt der Administrator aus demselben Verein mit dem ältesten Zugang und ist danach Inhaber; wer nur von einem anderen Verein aus mitarbeitet, übernimmt nicht. Gibt es keinen solchen Administrator, aber weitere Zugänge, wird zuerst ein Administrator benannt oder der Verein ganz gelöscht. Führt der Zugang einen Verbund mit anderen Vereinen, geht die Führung nicht von selbst über; dann übergeben wir sie auf Nachricht an info@vereinsneo.de. Verein ganz löschen (nur der Inhaber, und nur wenn er es ausdrücklich wählt — auch als letzter Zugang) entfernt alle Daten des Vereins in allen Modulen, seine Zugänge und die Verbund-Beziehungen dieses Vereins. Ist der Verein Mitglied eines Verbunds mit anderen Vereinen oder liegen Buchungen anderer Vereine in seinem Plan, geht das erst nach dem Austritt bzw. der Stornierung — so bleiben Daten anderer Vereine unberührt. Läuft noch ein Abo des Vereins oder über die eigene Adresse, lässt sich das Konto erst nach der Kündigung löschen: Wir kündigen nicht von uns aus — kündigen Sie zuerst unter Einrichtung › Tarif. Ohne Zugang löschen wir auf Anfrage an datenschutz@vereinsneo.de innerhalb eines Monats (Art. 12 Abs. 3 DSGVO), soweit keine Aufbewahrungspflicht entgegensteht. Es bleiben: ein Protokolleintrag über die Löschung ohne Namen und Adresse, die Rechnungen nach den steuerlichen Fristen, Konten in Mein Team (eigenes Löschen, Abschnitt 3.6) und Namen, die ein Verein selbst als Text erfasst hat (etwa im Kader). Die täglichen Sicherungen der Vereinsdaten laufen nach sieben Tagen aus, die Sicherungen der Datenbank beim Anbieter mit deren Ablauf. Bitte exportieren Sie vorher, was Sie behalten müssen. Die Kündigung eines kostenpflichtigen Tarifs ist keine Löschung: Der Zugang bleibt bestehen und die Daten bleiben gespeichert, bis Sie die Löschung veranlassen (§ 6 Abs. 5, § 13 Abs. 2 AGB).

12. Technische und organisatorische Maßnahmen (TOM, Art. 32 DSGVO)

Wir setzen unter anderem folgende Maßnahmen um (ausführlich: Anlage 1 des AVV):

• Verschlüsselung: HTTPS (TLS 1.2 oder 1.3) für alle Übertragungen; Verschlüsselung der Datenbank im Ruhezustand durch den Anbieter; Zugangsdaten zum Verbandspostfach und Bankverbindungen für Auszahlungen zusätzlich mit AES-256-GCM
• Zugriffskontrolle: Rollen und Rechte je Verein und je Mannschaft, auf dem Server bei jedem Aufruf geprüft; Trennung der Vereine über ihre Kennung; Passwörter als bcrypt-Hash (12 Runden); Sitzungen in httpOnly-Cookies; Begrenzung wiederholter Anmeldeversuche
• Mein Team: Anmeldung ohne Passwort über zeitlich begrenzte Einmal-Links und Codes; Konten für Kinder unter 16 nur über Erziehungsberechtigte; Absagegründe nur für die Leitung, nie in E-Mails oder Mitteilungen, nach 30 Tagen gelöscht; jeder sieht nur den eigenen Kassenstand; tägliche, automatische Löschung nach den Fristen in Abschnitt 3.6; Entferntes im Kanal sofort gelöscht; Meldungen per E-Mail ohne Inhalt
• Verfügbarkeit: tägliche Sicherung der Vereinsdaten, Sicherungen der Datenbank beim Anbieter, Überwachung der Erreichbarkeit mit Alarm an den Betreiber
• Unterstützung: Der Betreiber sieht einen Verein zur Unterstützung nur im Ansehen-Modus an; die Schreibwege der Module sind darin gesperrt

13. Minderjährige

Der Vereinszugang richtet sich an Vereinsverantwortliche (Vorstände, Platzwarte, Trainer). In Mein Team gilt:

• Kinder unter 16 Jahren haben kein eigenes Konto. Für sie nutzen die Erziehungsberechtigten Mein Team mit ihrem eigenen Konto; der Dienst lehnt ein Spieler-Konto für ein Kind unter 16 ab. Maßgeblich ist der vom Verein eingetragene Jahrgang, ohne Jahrgang die Altersklasse der Mannschaft.
• Spieler ab 16 Jahren können ein eigenes Konto haben.
• Daten von Kindern — Name, Zu- und Absagen, Kassenposten, Fotos im Kanal — verarbeitet der Verein als Verantwortlicher. Er informiert die Erziehungsberechtigten und holt erforderliche Einwilligungen ein, insbesondere für Fotos von Kindern.
• Geldforderungen in Jugendmannschaften richten sich an die Erziehungsberechtigten. Strafen aus einem Strafenkatalog gibt es unterhalb der A-Jugend nicht; Verbandsstrafen gibt der Dienst bei Jugendmannschaften nie an Spieler oder Eltern weiter.
• Für Kinder gibt es keinen Einzelchat, keine Rangliste der Beteiligung, keine “Spieler des Spiels”-Wahl und — zu Beginn — kein Schreiben im Kanal; das Letzte kann die Leitung freigeben.
• Wir zeigen keine Werbung und erstellen keine Profile, auch nicht von Minderjährigen.

14. Automatisierte Entscheidungsfindung und Profiling

Es findet keine automatisierte Entscheidung im Sinne des Art. 22 DSGVO statt — keine Entscheidung mit rechtlicher Wirkung oder ähnlich erheblicher Beeinträchtigung, die allein ein Programm trifft:

• Die regelbasierte Verteilung der Trainingszeiten erzeugt Vorschläge, die der Verein bestätigt oder ändert.
• Die Beteiligung in TeamNeo und Mein Team zählt Zu- und Absagen und Einsätze; sie bewertet niemanden und entscheidet nichts. Wer nominiert wird und wer spielt, entscheidet die Leitung der Mannschaft.
• Die Zuteilung von Mannschaftsdiensten folgt einer festen, von der Leitung gewählten Reihenfolge und lässt sich jederzeit ändern.
• Bewertungen in TalentNeo geben Trainer selbst ab; Spieler und Eltern sehen sie nie.

15. Datenpanne (Art. 33, 34 DSGVO)

Im Falle einer Verletzung des Schutzes personenbezogener Daten (Datenpanne) werden wir:

• Die zuständige Aufsichtsbehörde (LfD Niedersachsen) unverzüglich und möglichst binnen 72 Stunden nach Bekanntwerden benachrichtigen (Art. 33 DSGVO), soweit wir Verantwortlicher sind; betrifft sie Daten eines Vereins, informieren wir den Verein unverzüglich (AVV § 8)
• Betroffene Nutzer unverzüglich informieren, sofern die Datenpanne voraussichtlich ein hohes Risiko für deren persönliche Rechte und Freiheiten darstellt (Art. 34 DSGVO)
• Den Vorfall dokumentieren und Gegenmaßnahmen ergreifen

16. SSL/TLS-Verschlüsselung

Diese Webseite nutzt aus Sicherheitsgründen und zum Schutz der Übertragung vertraulicher Inhalte eine SSL/TLS-Verschlüsselung (HTTPS). Eine verschlüsselte Verbindung erkennen Sie daran, dass die Adresszeile des Browsers von “http://” auf “https://” wechselt und am Schloss-Symbol in Ihrer Browserzeile.

17. Änderungen dieser Datenschutzerklärung

Wir behalten uns vor, diese Datenschutzerklärung zu aktualisieren, um sie an geänderte Rechtslagen oder bei Änderungen des Dienstes anzupassen. Die aktuelle Version finden Sie stets unter vereinsneo.de/datenschutz. Bei wesentlichen Änderungen werden registrierte Nutzer per E-Mail informiert.

18. Kontakt für Datenschutzanfragen

Für alle Fragen zum Datenschutz, Auskunftsersuchen oder die Ausübung Ihrer Rechte wenden Sie sich bitte an:

Michael Blautzik
E-Mail: datenschutz@vereinsneo.de
Telefon: +49 176 4575 6276
An der Tiefenriede 45, 30173 Hannover

Wir beantworten Ihre Anfrage innerhalb eines Monats (Art. 12 Abs. 3 DSGVO).

Stand: 11. Oktober 2026, geändert am 13. Oktober 2026 · Diese Datenschutzerklärung wird regelmäßig überprüft und bei Bedarf angepasst.