Datenschutz

1. Verantwortlicher

byrd GbR
Seegasse 3
79268 Bötzingen
Deutschland

E-Mail: [email protected]

2. Überblick

SportsFlow ist ein Match-Tracking- und Analyse-SaaS für Hallen-Randsportarten. Wir verarbeiten personenbezogene Daten nur, soweit das für Betrieb, Vertragserfüllung oder berechtigte Interessen erforderlich ist. Schriften und statische Assets werden selbst gehostet — es werden keine Google-Fonts-CDN-Requests ausgelöst.

3. Hosting & Infrastruktur

Marketing-Website (https://sportsflow.de): Auslieferung über Cloudflare (CDN, DDoS-Schutz, TLS). Die Anwendung läuft auf einem von uns betriebenen Server (derzeit über Coolify verwaltet; geplanter Umzug auf Hetzner-Infrastruktur in der EU).

Web-App (https://app.sportsflow.de): Gleiches Hosting-Modell — eigener Server in der EU, Zugriff über Cloudflare. Die Datenbank (PostgreSQL) liegt ebenfalls in unserer Infrastruktur in der EU.

Cloudflare verarbeitet dabei technisch notwendige Verbindungsdaten (z. B. IP-Adresse, User-Agent) als Auftragsverarbeiter. Details: Cloudflare-Datenschutzerklärung.

4. Nutzungsanalyse (Umami)

Auf der Marketing-Website und in der App (Web und Mobile) setzen wir Umami ein, eine selbst gehostete, cookieless Nutzungsanalyse. Es werden keine Tracking-Cookies gesetzt und keine Daten an Dritte übermittelt. Erfasst werden Seitenaufrufe, Interaktionen mit Funktionen (z. B. „Spiel angelegt"), Referrer, Kampagnen-Parameter (UTM), Gerätetyp, Browser und ungefähre Region. IP-Adressen werden nur zur Sitzungsbildung gehasht und nicht gespeichert.

In der App verknüpfen wir Sitzungen über eine pseudonyme Kennung (Hash der Nutzer-ID) sowie Merkmale wie Rolle und Tarif — ohne Name oder E-Mail-Adresse. Auf einzelnen Seiten können wir stichprobenartig Sitzungsaufzeichnungen und Heatmaps erstellen; Eingabefelder und Freitexte werden dabei maskiert, Aufzeichnungen werden nach 30 Tagen gelöscht.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Reichweitenmessung und Produktverbesserung). Du kannst der Erfassung jederzeit widersprechen: In der Browser-Konsole localStorage.setItem("umami.disabled", 1) ausführen oder uns eine E-Mail schreiben.

4a. Anzeigen unserer Sponsoren

In der App, in PDF- und Story-Exporten sowie auf geteilten Spiel-Links zeigen wir als „Anzeige“ gekennzeichnete Hinweise ausgewählter Sponsoren. Die Anzeigen werden von uns selbst ausgeliefert; es kommen keine Werbenetzwerke, keine Cookies von Dritten und kein geräteübergreifendes Werbe-Tracking zum Einsatz. Sponsoren erhalten keine personenbezogenen Daten.

Zur Auswahl passender Anzeigen nutzen wir Sportart, Tarif und Rolle deiner Mannschaft sowie die eingestellte Sprache. Um zu begrenzen, wie oft du eine Anzeige siehst, und um Sponsoren zusammengefasste Reichweitenzahlen (Einblendungen, Klicks) zu berichten, speichern wir Einblendungen, Klicks und Ausblenden zusammen mit einer pseudonymen Kennung (Hash der Nutzer-ID) und der Mannschaft. Klicks laufen über eine Weiterleitung auf unserer Domain. Die Rohdaten werden nach 13 Monaten gelöscht.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Finanzierung des Angebots durch Sponsoring und an einer Begrenzung der Anzeigenhäufigkeit). Widerspruch per E-Mail an uns.

5. Fehler- & Performance-Tracing (SigNoz)

Für den Betrieb der Web-App können wir serverseitig SigNoz (OpenTelemetry, selbst gehostet) nutzen. Dabei werden technische Telemetriedaten (z. B. Request-Dauer, Fehlertypen) verarbeitet — nicht zu Werbe- oder Profilingzwecken. Personenbezogene Daten werden soweit möglich minimiert.

6. E-Mail (Resend)

Für transaktionale E-Mails (z. B. Einladungen, Passwort-Reset) und — sofern du dich anmeldest — den Early-Access-Newsletter nutzen wir Resend als Auftragsverarbeiter. Verarbeitet werden E-Mail-Adresse und ggf. der gewählte Sport für die Warteliste. Rechtsgrundlage Newsletter: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung).

7. Produkt-Updates & Newsletter

Wenn du einen SportsFlow-Account hast, kannst du in deinem Profil „Produkt-Updates per E-Mail" aktivieren (marketing_emails, Opt-in; bei bestehenden Accounts war das beim Umstieg auf diese Funktion zunächst aktiv, lässt sich aber jederzeit abschalten). Mit aktiviertem Opt-in schicken wir dir in unregelmäßigen Abständen Produkt-Neuigkeiten, Blogartikel-Digests und — solange ein Startangebot läuft — Hinweise dazu per E-Mail, verarbeitet über Resend als Auftragsverarbeiter. Ein Nachtjob gleicht dein Konto (E-Mail, Opt-in-Status, Sprache) regelmäßig mit Resend ab; meldest du dich über den Abbestellen-Link in einer solchen E-Mail ab, übernehmen wir das beim nächsten Abgleich automatisch in dein Profil. Für die Warteliste weiterer Sportarten gilt Abschnitt 6 (eigene Einwilligung, eigener Resend-Kontakt). Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung) bzw. lit. f (Abgleich von Abmeldungen als berechtigtes Interesse an korrekten Kontaktdaten).

8. Zahlungsabwicklung

Für kostenpflichtige Abonnements nutzen wir Stripe, Inc. als Zahlungsdienstleister (Karte, SEPA, u. a.). Zahlungsdaten werden direkt bei Stripe verarbeitet; wir speichern keine vollständigen Kartennummern. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).

9. Anmeldung & Social Login

In der App kannst du dich per E-Mail/Passwort oder — optional — über Google bzw. Apple anmelden. Dabei erhalten wir die vom Provider freigegebenen Profildaten (z. B. Name, E-Mail). Session-Cookies sind für den Login technisch erforderlich. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

10. Push-Benachrichtigungen in der App

In der iOS- und Android-App kannst du Push-Benachrichtigungen erhalten, z. B. zu freigegebenen Vorbereitungen, anstehenden Spielen, Erinnerungen ans Tracking, Halbzeit- und Endständen oder fertig verarbeiteten Videos. Dazu speichern wir zu deinem Account den Push-Token deines Geräts, die Plattform (iOS/Android), die App-Version, den Zeitpunkt der letzten Nutzung und — unter iOS — ggf. einen Token zum Starten des Live-Spielstands (Abschnitt 11). Außerdem speichern wir, welche Kategorien du je Mannschaft abgeschaltet hast, und für den Versand eine Warteschlange mit Mannschaft, Art der Benachrichtigung und internen Kennungen (z. B. Spiel-ID).

Die Benachrichtigungen werden über den Push-Dienst Expo (650 Industries, Inc., USA) zugestellt, der sie an die Push-Dienste der Betriebssysteme weiterleitet: Apple Push Notification service (Apple Distribution International Ltd., Irland, bzw. Apple Inc., USA) und Firebase Cloud Messaging (Google Ireland Ltd. bzw. Google LLC, USA). Diese Dienste verarbeiten den Push-Token, den Inhalt der Benachrichtigung (z. B. Mannschafts- und Gegnername, Spielstand, bei Endständen ggf. deine persönliche Bilanz) sowie technische Verbindungsdaten. Soweit dabei Daten in die USA übermittelt werden, erfolgt das auf Grundlage des Angemessenheitsbeschlusses der EU-Kommission zum EU-US Data Privacy Framework (Art. 45 DSGVO), soweit der jeweilige Empfänger danach zertifiziert ist, und im Übrigen auf Grundlage von EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO).

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung über die Berechtigungsabfrage des Betriebssystems) sowie Art. 6 Abs. 1 lit. b DSGVO (Bereitstellung der von dir genutzten App-Funktionen). Du kannst Benachrichtigungen jederzeit in den Einstellungen deines Geräts abschalten oder einzelne Kategorien je Mannschaft im Profil deaktivieren. Meldet der Push-Dienst einen Token als ungültig oder meldest du dich in der App ab, wird der Token deaktiviert und nicht mehr verwendet. Mit der Löschung deines Accounts werden Token und Einstellungen gelöscht.

11. Live-Spielstand auf dem Sperrbildschirm

Während eines Spiels kann die App den Live-Spielstand auf dem Sperrbildschirm anzeigen — unter iOS als Live Activity, unter Android als fortlaufende Benachrichtigung. Dafür speichern wir je Gerät und Spiel, wer das Spiel verfolgt (Account, Spiel, Plattform, einen Push-Token für die Aktualisierung und die eingestellte Sprache) sowie den Zeitpunkt, ab dem keine Aktualisierungen mehr gesendet werden. Aktualisierungen (Spielstand, Spieluhr, letzte Aktion — z. B. Tor oder Zeitstrafe, ggf. mit Spielername) senden wir unter iOS direkt über den Apple Push Notification service, unter Android über Expo und Firebase Cloud Messaging (Empfänger und Drittlandübermittlung wie in Abschnitt 10).

Rechtsgrundlage: Art. 6 Abs. 1 lit. a und b DSGVO. Du kannst die Kategorie „Live“ im Profil abschalten, die Live Activity bzw. Benachrichtigung auf dem Gerät beenden oder Benachrichtigungen in den Systemeinstellungen deaktivieren. Vor jedem Versand prüfen wir, ob du noch Mitglied der Mannschaft bist.

12. Geteilte Spiel-Links & Live-Ticker

Mannschaften können ein Spiel über einen öffentlichen Link (https://app.sportsflow.de/geteilt/…) teilen. Wer den Link kennt, sieht ohne Account die Spiel-Analyse und — während das Spiel läuft — einen Live-Ticker mit Spielstand und Spielverlauf. Dabei können Namen und Trikotnummern der Spieler der teilenden Mannschaft sichtbar sein. Die Mannschaft kann Spielernamen vor dem Teilen anonymisieren, den Link jederzeit neu erzeugen (der alte wird sofort ungültig) oder das Teilen beenden. Für die Inhalte und die Entscheidung, ein Spiel zu teilen, ist die jeweilige Mannschaft verantwortlich; wir stellen die Funktion technisch bereit. Rechtsgrundlage für die Bereitstellung: Art. 6 Abs. 1 lit. b DSGVO gegenüber der Mannschaft.

Web-Push für den Live-Ticker: Besucher eines geteilten Links können sich — ohne Account — im Browser für Benachrichtigungen zu Anwurf, Halbzeit und Endstand anmelden. Dafür speichern wir die vom Browser erzeugte Push-Adresse (Endpoint), die zugehörigen Verschlüsselungsschlüssel, die Sprache und den Bezug zum geteilten Spiel; Namen, E-Mail-Adressen oder IP-Adressen speichern wir dabei nicht. Die Inhalte werden Ende-zu-Ende-verschlüsselt an den Push-Dienst deines Browsers übermittelt — je nach Browser Google (Firebase Cloud Messaging), Mozilla, Apple oder Microsoft; an andere Adressen senden wir nicht. Bei US-Anbietern gilt für die Drittlandübermittlung Abschnitt 10 entsprechend.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung über die Berechtigungsabfrage des Browsers). Du kannst die Benachrichtigungen jederzeit auf der Ticker-Seite abbestellen oder in den Browser-Einstellungen widerrufen. Das Abo wird gelöscht, wenn du es abbestellst, der Push-Dienst es als abgelaufen meldet oder die Mannschaft den Link neu erzeugt bzw. das Teilen beendet.

13. Spiel koppeln

Spielen zwei Mannschaften gegeneinander, die beide SportsFlow nutzen, können sie ihr Spiel koppeln (per QR-Code oder 6-stelligem Code, nur durch Mitglieder mit den Rechten Admin oder Tracking). Jede Seite trackt dann nur ihren eigenen Angriff: Die von deiner Mannschaft getrackten Würfe und Siebenmeter (Ergebnis, Wurfposition, Torecke, Spielzeit und die Trikotnummer des Schützen) werden als Gegner-Würfe in das Spiel der Partner-Mannschaft übernommen; dort wird der Schütze unter seiner Trikotnummer im Gegnerkader der Partner-Mannschaft geführt. Spielernamen werden nur übermittelt, wenn deine Mannschaft beim Koppeln „Spielernamen mitschicken“ aktiviert; sonst nur Trikotnummern. Andere Daten — z. B. Kader, Notizen, Gegnerkader, Spielzüge oder Videos — werden nicht übermittelt.

Die Partner-Mannschaft ist für die übernommenen Daten in ihrem Spiel eigenständig verantwortlich. Rechtsgrundlage für die Übermittlung der Spielereignisse: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse beider Mannschaften an einer vollständigen und übereinstimmenden Spielstatistik; übermittelt werden nur Ereignisse eines Wettkampfs, die für alle Anwesenden sichtbar sind, ohne Namen nur mit Trikotnummer). Spielernamen werden nur auf Entscheidung deiner Mannschaft übermittelt; Rechtsgrundlage ist dann die Einwilligung der betroffenen Spieler (Art. 6 Abs. 1 lit. a DSGVO) bzw. die vereinsinterne Vereinbarung mit ihnen (Art. 6 Abs. 1 lit. b DSGVO). Dass diese vorliegt, liegt in der Verantwortung der Mannschaft, die die Option aktiviert.

Die Kopplung lässt sich jederzeit lösen („Entkoppeln“); danach werden auf keiner Seite neue Würfe mehr übertragen. Bereits übernommene Würfe bleiben im Spiel der Partner-Mannschaft als deren Daten erhalten. Kopplungs-Codes sind einmalig und 30 Minuten gültig.

14. Kamera

Die App greift nur auf die Kamera zu, wenn du einen QR-Code zum Koppeln eines Spiels scannst, und nur nach deiner Freigabe über die Berechtigungsabfrage des Betriebssystems. Das Kamerabild wird ausschließlich auf deinem Gerät verarbeitet, um den Code zu erkennen; wir speichern oder übertragen keine Bilder. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO. Die Freigabe kannst du jederzeit in den Systemeinstellungen entziehen — den Code kannst du auch von Hand eingeben.

15. Speicherdauer & deine Rechte

Wir speichern Daten, solange dein Account bzw. deine Mannschaft aktiv ist und gesetzliche Aufbewahrungsfristen es erfordern. Du hast das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch. Beschwerden kannst du bei einer Aufsichtsbehörde einreichen. Kontakt: [email protected]