Datenschutzerklärung

1. Verantwortlicher

nord-code UG (haftungsbeschränkt)
Rotdornweg 28, 25451 Quickborn, Deutschland
Vertreten durch die Geschäftsführer Michael Ebert und Rico Flaegel
E-Mail: info@nord-code.de

2. Welche Daten wir erheben

Bei der Nutzung unserer App und Website erheben wir folgende personenbezogene Daten:

2.1 Registrierung und Nutzerkonto

• Name: Zur Identifikation innerhalb Ihres Teams
• E-Mail-Adresse: Für die Kontoverwaltung, Benachrichtigungen und Kommunikation
• Profilbild: Optional, zur Personalisierung Ihres Profils
• Telefonnummer: Optional, für Kontaktzwecke innerhalb des Teams
• Geburtsdatum: Zur Prüfung der altersabhängigen Voraussetzungen für die Kontonutzung und der elterlichen Einwilligung (Abschnitt 3) sowie für die Altersklasse im Team

2.2 Team- und Eventdaten

• Teamzugehörigkeiten und Rollen
• Trainings- und Spieltermine
• Zu- und Absagen zu Events
• Abwesenheiten (Urlaub, Verletzungen)
• Kassenbuchungen und Beiträge
• Chatnachrichten einschließlich Anhängen, Absender und Versandzeitpunkt — sichtbar für die Teilnehmer des jeweiligen Chats

2.3 Fotos und Medien

• Hochgeladene Bilder (Profilbilder, Teamlogos, Eventfotos)
• Speicherung auf Servern der Hetzner Online GmbH (Deutschland/EU)
• Die Auslieferung erfolgt über das Content Delivery Network (CDN) von Cloudflare (siehe Abschnitt 5.3); dabei werden Bilder zur schnellen Auslieferung auf Edge-Servern zwischengespeichert
• Profilbilder und Logos sind über lange, nicht erratbare Adressen abrufbar, die nur innerhalb der App an berechtigte Nutzer ausgegeben werden; ein öffentliches Verzeichnis oder eine Auflistung der Bilder existiert nicht
• Beim Ersetzen oder Löschen eines Bildes (z. B. bei Kontolöschung) wird es aus dem Speicher entfernt und aus dem CDN-Zwischenspeicher gelöscht

2.4 Standortdaten

• Nur bei ausdrücklicher Erlaubnis für die Geosuche-Funktion
• Zur Suche nach Teams und Vereinen in Ihrer Nähe
• Die Standortfreigabe kann jederzeit in den Geräteeinstellungen widerrufen werden

2.5 Gesundheitsdaten (Apple Health / Google Health Connect)

Sie können abgeschlossene Trainingseinheiten aus Apple Health (iOS) oder Google Health Connect (Android) in Ihr Spielerprofil importieren. Das geschieht ausschließlich auf Ihre ausdrückliche Anforderung: Sie erteilen die Freigabe im Betriebssystem und wählen anschließend jede Einheit einzeln aus, die übernommen werden soll. Ohne diesen Schritt greift bolzn nicht auf Ihre Gesundheitsdaten zu.

• Gelesen werden ausschließlich Trainingseinheiten (Workouts) und die dazugehörige Distanz
• Der Zugriff erfolgt ausschließlich lesend — bolzn schreibt keine Daten nach Apple Health oder Google Health Connect zurück
• Von einer importierten Einheit speichern wir: Art der Aktivität, Beginn und Ende, Dauer, zurückgelegte Distanz, den Namen der aufzeichnenden App sowie eine Kennung der Einheit, die einen doppelten Import verhindert
• Importierte Einheiten werden in Ihrem Spielerprofil gespeichert und Ihren Teammitgliedern angezeigt — das ist der Zweck der Funktion, dem Sie vor dem Import zustimmen. Empfänger sind ausschließlich die Mitglieder Ihrer Teams sowie die für Datenbank und Server eingesetzten Auftragsverarbeiter (Abschnitt 6)
• Gesundheitsdaten werden weder verkauft noch für Werbung, Marketing oder Datenanalysen außerhalb dieser Funktion verwendet und nicht an sonstige Dritte weitergegeben
• Die Freigabe können Sie jederzeit widerrufen (iOS: Einstellungen › Datenschutz & Sicherheit › Health; Android: in der App „Health Connect"). Bereits importierte Einheiten löschen Sie in der App in Ihrem Profil

2.6 Push-Benachrichtigungen

Damit Sie über Termine, Zu- und Absagen, Chatnachrichten und Teamneuigkeiten informiert werden, versenden wir Push-Benachrichtigungen über Firebase Cloud Messaging (Google) und auf iOS zusätzlich über den Apple Push Notification Service. Dafür wird auf Ihrem Gerät ein Geräte-Token erzeugt, das wir Ihrem Nutzerkonto zuordnen und speichern. Da wir es Ihrem Konto zuordnen, behandeln wir es als personenbezogenes Datum.

• Verarbeitet werden: Geräte-Token, Gerätetyp und Betriebssystem sowie der Inhalt der jeweiligen Benachrichtigung
• Der Versand erfolgt nur, wenn Sie Benachrichtigungen im Betriebssystem erlaubt haben; die Erlaubnis können Sie jederzeit in den Geräteeinstellungen entziehen, einzelne Benachrichtigungsarten in der App abschalten
• Beim Abmelden oder bei Kontolöschung wird das Token gelöscht

2.7 Zahlungsdaten

Kostenpflichtige Team- und Club-Pakete rechnen wir über den Zahlungsdienstleister Stripe ab (Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Dublin, Irland). Die Eingabe Ihrer Zahlungsdaten (z. B. Kartennummer, IBAN) erfolgt direkt bei Stripe; wir selbst erhalten und speichern keine vollständigen Zahlungsdaten.

• Wir speichern: Name und Rechnungsadresse des Vertragspartners, E-Mail-Adresse, gebuchtes Paket, Laufzeit, Zahlungsstatus und Rechnungen sowie eine Stripe-Kundenkennung
• Stripe verarbeitet Ihre Zahlungsdaten als eigenständig Verantwortlicher, u. a. zur Betrugsprävention. Weitere Informationen: Stripe Datenschutzerklärung
• Rechnungsdaten unterliegen gesetzlichen Aufbewahrungsfristen (siehe Abschnitt 9)

2.8 Einladungen und E-Mail-Versand

Wenn Sie ein Teammitglied einladen, senden wir an die von Ihnen eingegebene E-Mail-Adresse eine Einladung mit Ihrem Namen und dem Teamnamen — auch dann, wenn die eingeladene Person noch kein bolzn-Konto hat. Sie sind dafür verantwortlich, nur Personen einzuladen, die damit einverstanden sind. Weitere E-Mails versenden wir zur Kontobestätigung, zum Zurücksetzen des Passworts und für Rechnungen. Für den Versand nutzen wir den Dienstleister Mailtrap (Railsware Products Studio LLC, USA, siehe Abschnitt 7). Dabei werden Empfängeradresse, Betreff und Inhalt der E-Mail sowie Zustellprotokolle verarbeitet und beim Dienstleister für kurze Zeit gespeichert. Die Adressen eingeladener Personen ohne Konto löschen wir, sobald die Einladung angenommen oder abgelaufen ist.

2.9 Adressen von Sportplätzen

Damit Spielorte auf einer Karte angezeigt und in der Umgebungssuche gefunden werden können, wandeln wir die von Ihnen eingegebene Adresse eines Sportplatzes oder Vereinsgeländes in Koordinaten um. Dazu übermitteln wir ausschließlich die eingegebene Adresse — keine Nutzerdaten und nicht Ihre IP-Adresse — von unseren Servern an HERE Europe B.V., Kennedyplein 222-226, 5611 ZT Eindhoven, Niederlande. Weitere Informationen: HERE Datenschutzerklärung.

2.10 Karten und Wetter

Zur Darstellung von Karten laden wir Kartenkacheln von OpenStreetMap (tile.openstreetmap.org, OpenStreetMap Foundation). Für die Wettervorhersage zu einem Termin rufen wir Open-Meteo (api.open-meteo.com, Open-Meteo, Schweiz) ab. Dabei werden die IP-Adresse Ihres Geräts und der angefragte Kartenausschnitt beziehungsweise der Ort und Zeitpunkt des Termins an den jeweiligen Anbieter übermittelt. Ein Nutzerkonto oder eine Kennung von Ihnen wird nicht mitgesendet. Rechtsgrundlage ist unser berechtigtes Interesse an der Darstellung von Spielorten und Wetterlage (Art. 6 Abs. 1 lit. f DSGVO).

2.11 Export von Mitgliederdaten

Trainer und Betreuer können die Mitgliederliste ihres Teams in eine Google-Tabelle exportieren. Der Export findet ausschließlich statt, wenn sie ihn selbst auslösen, und die Daten werden dabei in das Google-Konto der exportierenden Person übertragen. Ab diesem Zeitpunkt liegt die Verantwortung für die exportierten Daten bei ihr; für die Verarbeitung in Google-Diensten gilt die Datenschutzerklärung von Google.

3. Minderjährige

bolzn wird auch von Jugendmannschaften genutzt, richtet sich aber nicht an Kinder. Für Spielerinnen und Spieler unter 16 Jahren legt ein Erziehungsberechtigter das Profil an und verwaltet es; er ist unser Vertragspartner und erteilt die für die Datenverarbeitung erforderlichen Einwilligungen (Art. 8 DSGVO) — insbesondere für den Import von Gesundheitsdaten (Abschnitt 2.5) und die Standortfreigabe (Abschnitt 2.4). Wir erheben von Minderjährigen keine Daten über das hinaus, was für die Teamorganisation erforderlich ist, und nutzen ihre Daten nicht für Werbung oder Profilbildung.

Erfahren wir, dass ein Profil eines unter 16-Jährigen ohne Beteiligung eines Erziehungsberechtigten angelegt wurde, sperren wir es und löschen die Daten, sofern die Einwilligung nicht nachgeholt wird. Erziehungsberechtigte können die Rechte aus Abschnitt 10 für ihr Kind ausüben und sich dazu jederzeit an info@nord-code.de wenden. Für den Umgang mit Minderjährigen in Teams gelten außerdem unsere Community-Richtlinien und Ziffer 4 der Nutzungsbedingungen.

4. Anmeldung über Drittanbieter

Sie können sich bei bolzn über folgende Dienste anmelden:

4.1 Google Sign-In

Bei der Anmeldung über Google erhalten wir Zugriff auf Ihren Namen, Ihre E-Mail-Adresse und Ihr Profilbild. Weitere Informationen: Google Datenschutzerklärung

4.2 Apple Sign-In

Bei der Anmeldung über Apple erhalten wir Ihren Namen und Ihre E-Mail-Adresse (optional können Sie eine private Relay-E-Mail verwenden). Weitere Informationen: Apple Datenschutzerklärung

5. Analyse und Fehlerbehebung

Zur Verbesserung unserer App nutzen wir folgende Dienste:

5.1 Google Analytics

Wir verwenden Google Analytics (Google Ireland Ltd., Gordon House, Barrow Street, Dublin 4, Irland) zur Analyse der Nutzung unserer Website. In der bolzn-App ist kein Analyse-Werkzeug eingebunden; dort werden keine Nutzungsdaten zu Analysezwecken erhoben. Auf der Website werden Nutzungsdaten mit gekürzter IP-Adresse erhoben; eine Übermittlung an Google LLC in die USA ist möglich (siehe Abschnitt 7). Sie können die Erfassung durch Google Analytics verhindern, indem Sie ein Browser-Add-on installieren: Google Analytics Opt-out

5.2 Fehler-Monitoring (Bugsink)

Für das Fehler-Monitoring setzen wir Bugsink ein, eine selbst gehostete, Sentry-kompatible Software, die ausschließlich auf unseren eigenen Servern läuft. Es werden keine Daten an Dritte übermittelt. Bei einem technischen Fehler werden Fehlerberichte mit technischen Angaben (z. B. Fehlermeldung, App-Version, Gerätetyp und Betriebssystem) erfasst, um Probleme schnell zu identifizieren und zu beheben.

Die Übertragung von Fehlerberichten erfolgt nur, wenn Sie diese Funktion in Ihrem Profil aktiviert haben. Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO); Sie können sie jederzeit in Ihrem Profil widerrufen.

5.3 Cloudflare (CDN und Angriffsschutz)

Wir nutzen den Dienst Cloudflare der Cloudflare Inc., 101 Townsend St, San Francisco, CA 94107, USA. Cloudflare ist als Reverse-Proxy und Content Delivery Network vor unsere Server geschaltet: Alle Verbindungen zur App und API laufen über das Netzwerk von Cloudflare. Dabei verarbeitet Cloudflare Ihre IP-Adresse und technische Verbindungsdaten (z. B. abgerufene URL, Browser- und Gerätekennung, Zeitpunkt). Hochgeladene Bilder werden zur schnellen Auslieferung auf Edge-Servern von Cloudflare zwischengespeichert.

Zweck ist der Schutz vor Angriffen (u. a. DDoS), die Absicherung und Beschleunigung unseres Dienstes. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Sicherheit und Verfügbarkeit). Mit Cloudflare besteht ein Auftragsverarbeitungsvertrag; für Übermittlungen in die USA ist Cloudflare unter dem EU-US Data Privacy Framework zertifiziert. Verbindungsdaten werden von Cloudflare nur kurzfristig gespeichert. Weitere Informationen: Cloudflare Datenschutzerklärung.

6. Hosting und Auftragsverarbeiter

Ihre Daten werden bei folgenden Dienstleistern verarbeitet. Soweit nicht anders angegeben, handeln sie als Auftragsverarbeiter nach Art. 28 DSGVO auf Grundlage eines Auftragsverarbeitungsvertrags und ausschließlich nach unserer Weisung.

• MongoDB Atlas (MongoDB Ltd., Building Two, Number One Ballsbridge, Dublin 4, Irland): Datenbank für Konten, Team-, Event- und Chatdaten; die Daten liegen in einem Rechenzentrum in der EU (Frankfurt am Main)
• Hetzner Online GmbH (Industriestr. 25, 91710 Gunzenhausen, Deutschland): eigene Server für die App-Schnittstelle (API), Dateispeicher für Bilder, Zwischenspeicher (Cache), Fehler-Monitoring und Sicherungskopien; Standort Deutschland
• Cloudflare Inc. (USA): CDN und Angriffsschutz, siehe Abschnitt 5.3
• Google Ireland Ltd. (Irland) — Firebase: Authentifizierung (Firebase Authentication), Push-Benachrichtigungen (Abschnitt 2.6), Analytics (Abschnitt 5.1)
• Apple Inc. (USA): Apple Push Notification Service (Abschnitt 2.6) und Apple Sign-In (Abschnitt 4.2)
• Stripe Payments Europe, Ltd. (Irland): Zahlungsabwicklung, eigenständig Verantwortlicher (Abschnitt 2.7)
• Mailtrap (Railsware Products Studio LLC, USA): E-Mail-Versand (Abschnitt 2.8)
• HERE Europe B.V. (Niederlande): Umwandlung von Sportplatz-Adressen in Koordinaten (Abschnitt 2.9)

Darüber hinaus geben wir Ihre Daten nicht an Dritte weiter, es sei denn, wir sind gesetzlich dazu verpflichtet oder Sie haben eingewilligt.

7. Übermittlung in Drittländer

Einige der genannten Dienstleister haben ihren Sitz in den USA oder verarbeiten Daten dort (Google LLC als Muttergesellschaft von Google Ireland, Cloudflare Inc., Apple Inc., Stripe Inc. als Muttergesellschaft von Stripe Payments Europe, Railsware Products Studio LLC). Die USA verfügen über kein allgemeines Angemessenheitsniveau; Übermittlungen dorthin stützen wir auf Art. 45 bzw. Art. 46 DSGVO:

• Google LLC, Cloudflare Inc., Apple Inc. und Stripe Inc. sind unter dem EU-US Data Privacy Framework zertifiziert; für sie gilt der Angemessenheitsbeschluss der EU-Kommission vom 10. Juli 2023 (Art. 45 DSGVO)
• Mit allen genannten Anbietern sind zusätzlich die Standardvertragsklauseln der EU-Kommission (Durchführungsbeschluss (EU) 2021/914, Art. 46 Abs. 2 lit. c DSGVO) vereinbart, ergänzt um technische Maßnahmen wie Transportverschlüsselung

Unsere primäre Datenbank, unsere eigenen Server und der Bildspeicher befinden sich in Deutschland bzw. der EU. Davon zu unterscheiden sind die Verarbeitung und gegebenenfalls Zwischenspeicherung durch die in dieser Erklärung genannten Dienstleister (insbesondere Cloudflare, Google, Mailtrap), für die dieser Abschnitt gilt. Eine Kopie der Standardvertragsklauseln erhalten Sie auf Anfrage unter info@nord-code.de.

8. Rechtsgrundlagen

Die Verarbeitung Ihrer Daten erfolgt auf folgenden Rechtsgrundlagen:

• Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO): Zur Bereitstellung unserer Dienste, einschließlich Push-Benachrichtigungen, Einladungs- und Konto-E-Mails, Zahlungsabwicklung und Kartendarstellung von Spielorten
• Rechtliche Verpflichtung (Art. 6 Abs. 1 lit. c DSGVO): Für die Aufbewahrung von Rechnungs- und Buchhaltungsdaten
• Einwilligung (Art. 6 Abs. 1 lit. a DSGVO): Für optionale Funktionen wie Standortfreigabe und Fehlerberichte; bei unter 16-Jährigen erteilt durch den Erziehungsberechtigten (Art. 8 DSGVO, Abschnitt 3)
• Ausdrückliche Einwilligung (Art. 9 Abs. 2 lit. a DSGVO): Für den Import von Trainingseinheiten aus Apple Health oder Google Health Connect (Abschnitt 2.5). Gesundheitsdaten gehören zu den besonderen Kategorien personenbezogener Daten; ohne Ihre ausdrückliche Einwilligung verarbeiten wir sie nicht. Sie können die Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen
• Berechtigte Interessen (Art. 6 Abs. 1 lit. f DSGVO): Zur Verbesserung und Absicherung unserer Dienste

9. Datenspeicherung und -löschung

Ihre Daten werden gespeichert, solange Sie ein aktives Nutzerkonto bei bolzn haben. Löschen Sie Ihr Konto in der App, werden Ihre personenbezogenen Daten unmittelbar gelöscht. Fordern Sie die Löschung stattdessen per E-Mail an, erfolgt sie innerhalb von 30 Tagen nach Ihrer Bestätigung — jeweils vorbehaltlich gesetzlicher Aufbewahrungspflichten.

Teamdaten (z.B. Termine, Kassenbuchungen) bleiben für andere Teammitglieder erhalten, werden aber von Ihrem Profil getrennt. Damit diese Team-Historien nicht auseinanderfallen, bleibt für Profile, die ausschließlich Sie verwaltet haben, ein anonymisierter Datensatz ohne jeden Personenbezug dauerhaft bestehen; sämtliche persönlichen Angaben und das Profilbild werden daraus entfernt. Ebenso bleiben von Ihnen verfasste Chatnachrichten für die übrigen Teilnehmer lesbar, werden aber von Ihrem Namen getrennt.

Rechnungs- und Buchhaltungsdaten bewahren wir aufgrund gesetzlicher Pflichten (§ 147 AO, § 257 HGB) 6 bis 10 Jahre auf; sie sind für jede weitere Nutzung gesperrt. In verschlüsselten Sicherungskopien können Ihre Daten noch für begrenzte Zeit enthalten sein, bis diese turnusmäßig überschrieben werden.

Eine ausführliche Schritt-für-Schritt-Anleitung sowie die vollständige Übersicht, welche Daten gelöscht werden und welche erhalten bleiben, finden Sie unter Konto löschen.

10. Ihre Rechte

Sie haben folgende Rechte bezüglich Ihrer personenbezogenen Daten:

• Auskunft: Sie können jederzeit Auskunft über Ihre gespeicherten Daten verlangen
• Berichtigung: Sie können die Korrektur unrichtiger Daten verlangen
• Löschung: Sie können die Löschung Ihrer Daten verlangen
• Einschränkung: Sie können die Einschränkung der Verarbeitung verlangen
• Datenübertragbarkeit: Sie können Ihre Daten in einem gängigen Format erhalten
• Widerspruch: Sie können der Verarbeitung Ihrer Daten widersprechen
• Widerruf der Einwilligung: Erteilte Einwilligungen können Sie jederzeit widerrufen

Zur Ausübung Ihrer Rechte kontaktieren Sie uns bitte unter: info@nord-code.de

11. Datensicherheit

Wir setzen technische und organisatorische Sicherheitsmaßnahmen ein, um Ihre Daten gegen Manipulation, Verlust, Zerstörung oder unbefugten Zugriff zu schützen. Unsere Sicherheitsmaßnahmen werden entsprechend der technologischen Entwicklung fortlaufend verbessert.

• Verschlüsselte Datenübertragung (HTTPS/TLS)
• Datenbank, Server und Bildspeicher in Rechenzentren in Deutschland und der EU (Abschnitt 6), verschlüsselte tägliche Sicherungskopien
• Dienstleister, an die wir Daten übermitteln, sind vertraglich zu einem Schutzniveau verpflichtet, das dieser Datenschutzerklärung entspricht (Abschnitte 6 und 7)
• Regelmäßige Sicherheitsupdates
• Zugangsbeschränkungen für Mitarbeiter

12. Beschwerderecht

Wenn Sie der Ansicht sind, dass die Verarbeitung Ihrer Daten gegen Datenschutzrecht verstößt, haben Sie das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren.

13. Änderungen dieser Datenschutzerklärung

Wir behalten uns vor, diese Datenschutzerklärung anzupassen, um sie an geänderte Rechtslagen oder bei Änderungen des Dienstes anzupassen. Die aktuelle Version finden Sie stets auf dieser Seite.

Sprachauswahl auf der Website

Deine manuell gewählte Sprache speichern wir lokal in deinem Browser (Local Storage), damit sie beim nächsten Besuch erhalten bleibt. Ohne gespeicherte Auswahl verwenden wir die Browsersprache. Eine Standortabfrage findet nicht statt.

14. Kontakt

Bei Fragen zum Datenschutz erreichen Sie uns unter:
E-Mail: info@nord-code.de