Datenschutzerklärung
Vereinswebsite, Online-Padel-Buchung und PadelBot · Informationen nach Art. 13 und 14 DSGVO
1. Verantwortlicher
Verantwortlicher für die Verarbeitung personenbezogener Daten auf dieser Website ist:
Tennis-Club Frittlingen e.V.
c/o Nikolaos Skarlatoudis, u. Mühle 1, 78669 Wellendingen
E-Mail: info@tc-frittlingen.de
Telefon: +49 172 7199475
Vertreten durch den Vorstand: Nikolaos Skarlatoudis (1. Vorstand), Robert Bischoff (2. Vorstand)
Registergericht: Amtsgericht Stuttgart, Vereinsregister-Nr. VR 460130
Für Fragen zum Datenschutz und zur Ausübung der in Nr. 16 genannten Rechte steht die vorstehende E-Mail-Adresse zur Verfügung.
2. Datenschutzbeauftragter
Ein Datenschutzbeauftragter wurde nicht benannt, da hierzu keine Verpflichtung besteht: Es sind weniger als 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt (§ 38 Abs. 1 BDSG), und die Voraussetzungen des Art. 37 Abs. 1 DSGVO liegen nicht vor. Ansprechpartner in allen Datenschutzfragen ist der Vorstand unter der in Nr. 1 genannten Anschrift.
3. Keine Cookies, kein Tracking
- Es werden keine Cookies gesetzt.
- Es kommen keine Analyse- oder Statistikdienste zum Einsatz (kein Google Analytics, kein Matomo, keine Zählpixel).
- Es findet kein Tracking, kein Retargeting und keine Einbindung von Werbenetzwerken statt.
- Personenbezogene Daten werden nicht verkauft und nicht zu Werbezwecken weitergegeben.
Speicher im Browser: Nur in zwei Fällen werden Angaben im Browser abgelegt, jeweils weil eine ausdrücklich gewünschte Funktion sie benötigt (§ 25 Abs. 2 Nr. 2 TDDDG; eine Einwilligung ist dafür nicht erforderlich):
- Laufende Zahlung: Beim Wechsel zur Zahlungsseite merkt sich die Seite im Sitzungsspeicher (sessionStorage) Buchungsnummer und Zahlungsstand, damit nach der Rückkehr von Mollie die Buchung angezeigt oder eine abgebrochene Zahlung fortgesetzt werden kann. Der Eintrag wird nach Abschluss entfernt und verschwindet spätestens beim Schließen des Tabs.
- PadelBot: Erst wenn der PadelBot geöffnet wird, legt er im lokalen Speicher (localStorage) eine zufällige Gesprächskennung und den Zeitpunkt der letzten Nachricht ab, damit ein Gespräch beim nächsten Seitenaufruf fortgesetzt werden kann (Nr. 11). Die Einträge lassen sich über die Browsereinstellungen jederzeit löschen.
Beim Aufruf der Seite werden allerdings Schriftarten, Symbole und die Kartenansicht von Servern Dritter nachgeladen. Dabei erhält der jeweilige Anbieter die IP-Adresse des Nutzers. Nr. 5 und 6 erläutern dies im Einzelnen, einschließlich des Umstands, dass dies derzeit ohne vorherige Einwilligung geschieht.
4. Aufruf der Website (Hosting)
Der Verein betreibt für die Website keinen eigenen Server. Website, Formulare und PadelBot werden von der Himmelsbach, Koch & Schick GbR (ThinkUp-AI) als Auftragsverarbeiter betrieben (Nr. 12) und über die Vercel Inc., 440 N Barranca Ave #4133, Covina, CA 91723, USA, ausgeliefert. Die Auslieferung erfolgt aus dem Rechenzentrum Frankfurt am Main. Beim Aufruf werden technisch notwendige Verbindungsdaten verarbeitet: IP-Adresse, Datum und Uhrzeit des Abrufs, die abgerufene Adresse, Browsertyp, Betriebssystem und die zuvor besuchte Seite (Referrer).
Zweck: Auslieferung der Website, Sicherstellung des technischen Betriebs, Abwehr von Angriffen und Überlastung, unter anderem durch eine Begrenzung der Anfragen je Absender. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO; das berechtigte Interesse liegt in der zuverlässigen und sicheren Bereitstellung der Seite.
Speicherdauer: Zugriffsprotokolle werden nach 30 Tagen gelöscht. Die IP-Adresse wird für die Begrenzung der Anfragen nur kurzzeitig im Arbeitsspeicher gehalten.
Drittland: Vercel Inc. ist unter dem EU-U.S. Data Privacy Framework zertifiziert (Art. 45 DSGVO); ergänzend gelten die Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO).
5. Schriftarten und Gestaltungsbausteine von Drittanbietern
Beim Aufruf der Seite werden automatisch Dateien von Servern Dritter geladen, und zwar ohne vorherige Einwilligung der Nutzer. Dabei wird die IP-Adresse an den jeweiligen Anbieter übertragen, außerdem technische Angaben wie Browsertyp und aufrufende Seite. Im Einzelnen:
- Google Fonts über fonts.googleapis.com und fonts.gstatic.com – Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland; die Auslieferung kann auch über Server der Google LLC, USA erfolgen (unter dem EU-U.S. Data Privacy Framework zertifiziert).
- Font Awesome (Symbole) über cdnjs.cloudflare.com – Cloudflare, Inc., 101 Townsend Street, San Francisco, CA 94107, USA (unter dem EU-U.S. Data Privacy Framework zertifiziert).
- Tailwind CSS über cdn.tailwindcss.com – Tailwind Labs, Inc., USA.
Zweck: einheitliche und geräteunabhängige Darstellung von Schrift, Symbolen und Layout. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Es wird ausdrücklich darauf hingewiesen, dass diese Einbindung ohne vorherige Einwilligung erfolgt und von Gerichten und Aufsichtsbehörden als datenschutzrechtlich problematisch bewertet wird. Eine Umstellung auf die Auslieferung über das eigene Hosting ist vorgesehen; bis dahin beschreibt dieser Abschnitt den tatsächlichen Zustand.
Speicherdauer: Ob und wie lange die genannten Anbieter die übermittelten Daten speichern, entscheiden diese selbst. Ein Einfluss oder Zugriff des Vereins besteht nicht.
Vermeidung dieser Verbindungen: Ein Aufruf der Seite ohne diese Verbindungen ist derzeit technisch nicht möglich. Sie lassen sich mit einem Skript- oder Inhaltsblocker unterbinden; Teile der Seite werden dann abweichend dargestellt.
6. Google Maps auf der Kontakt-Seite
Im Kontaktbereich wird die Vereinsanlage auf einer Karte von Google Maps dargestellt. Die Karte ist als iframe eingebunden und lädt unmittelbar beim Aufruf der Seite mit; eine vorgeschaltete Klick- oder Einwilligungslösung besteht derzeit nicht. Dabei wird die IP-Adresse an Google übertragen; zudem können Informationen auf dem Endgerät gespeichert oder ausgelesen werden. Bei gleichzeitiger Anmeldung in einem Google-Konto kann Google den Aufruf diesem Konto zuordnen.
Anbieter: Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland; beteiligt ist auch die Google LLC, USA (unter dem EU-U.S. Data Privacy Framework zertifiziert). Zweck: Anzeige des Standorts und Anfahrtshilfe. Rechtsgrundlage: derzeit Art. 6 Abs. 1 lit. f DSGVO.
Hinweis: Für das Speichern von oder den Zugriff auf Informationen im Endgerät verlangt § 25 Abs. 1 TDDDG grundsätzlich eine Einwilligung. Diese wird derzeit nicht eingeholt. Eine Umstellung auf eine Lösung, bei der die Karte erst nach ausdrücklicher Zustimmung geladen wird, ist vorgesehen.
Speicherdauer: bestimmt Google; ein Zugriff des Vereins auf diese Daten besteht nicht.
Vermeidung: Aufruf der Seite mit einem Skript- oder Cookie-Blocker oder vorherige Abmeldung aus dem Google-Konto. Die Anschrift ist auf der Seite auch als reiner Text verfügbar.
7. Online-Buchung eines Padelplatzes
7.1 Verarbeitete Daten: Vor- und Nachname des Hauptbuchers, dessen E-Mail-Adresse, Namen und Anzahl der mitspielenden Vereinsmitglieder, Buchungsdaten (Platz, Datum, Uhrzeit, Spieldauer), Angabe zum Schlägerverleih, Rechnungsbetrag, gegebenenfalls Gutscheincode sowie Buchungszeitpunkt und Buchungsnummer.
7.2 Zweck und Rechtsgrundlage: Prüfung der Platzverfügbarkeit, Reservierung, Abwicklung der Zahlung, Erzeugung des Zugangscodes, Versand der Buchungsbestätigung, Klärung von Rückfragen sowie Nachvollziehbarkeit der Platznutzung. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Erfüllung des Nutzungsvertrags und Durchführung vorvertraglicher Maßnahmen). Ein Platz wird bis zur Zahlung kurzzeitig für die buchende Person reserviert; nicht bezahlte Reservierungen werden automatisch freigegeben.
7.3 Namen der Mitspieler und Mitgliederpreis: Mit der Angabe der Namen mitspielender Vereinsmitglieder werden Daten von Personen verarbeitet, die diese nicht selbst mitgeteilt haben. Die Namen werden mit der Mitgliederliste des Vereins (Nr. 10.7) abgeglichen, um den Mitgliederpreis zu prüfen. Zweck ist außerdem die Nachvollziehbarkeit der Platznutzung für Platzordnung, Hausrecht und Versicherungsschutz; Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Dieser Abschnitt dient zugleich der Information nach Art. 14 DSGVO gegenüber den genannten Mitspielern; diese können der Verarbeitung nach Art. 21 DSGVO widersprechen (Nr. 16). Buchende werden gebeten, ausschließlich Namen von Personen anzugeben, die hiermit einverstanden sind, und diese über die vorliegende Erklärung zu informieren.
7.4 Zahlung über Mollie: Für die Bezahlung erfolgt eine Weiterleitung zu Mollie B.V., Keizersgracht 126, 1015 CW Amsterdam, Niederlande. Übermittelt werden Buchungsnummer, Betrag und Verwendungszweck, keine Namen oder E-Mail-Adressen; die Zahlungsdaten werden unmittelbar bei Mollie eingegeben. Vollständige Zahlungsmitteldaten erhält der Verein nicht – zurückgemeldet werden lediglich der Zahlungsstatus, eine Zahlungskennung und der Betrag. Zahlungsbestätigungen werden nicht ungeprüft übernommen, sondern bei Mollie abgefragt. Mollie ist ein durch die niederländische Zentralbank beaufsichtigtes Zahlungsinstitut und verarbeitet die Zahlungsdaten insoweit als eigener Verantwortlicher, insbesondere zur Erfüllung eigener aufsichts-, geldwäsche- und steuerrechtlicher Pflichten; es gilt die Datenschutzerklärung von Mollie. Eine Übermittlung außerhalb der EU findet durch den Verein dabei nicht statt.
7.5 Zugangscode für die Anlage: Für den gebuchten Zeitraum wird ein persönlicher, zeitlich begrenzter sechsstelliger Zugangscode erzeugt. Technisch erfolgt dies über das Schließsystem der Mathfel GmbH & Co. KG auf Basis der Plattform Tuya; Vertragspartner für die Plattform ist die Tuya GmbH, Grafenberger Allee 293, 40237 Düsseldorf (Konzernsitz Volksrepublik China). Übermittelt werden ausschließlich der Zugangscode, der Gültigkeitszeitraum und eine feste Bezeichnung, keine Namen, E-Mail-Adressen oder Buchungsnummern. Die Daten liegen im EU-Rechenzentrum der Plattform in Frankfurt am Main; ein Zugriff aus der Volksrepublik China ist möglich. Rechtsgrundlage sind Art. 6 Abs. 1 lit. b DSGVO (ohne Zugangscode kein Zutritt) sowie Art. 6 Abs. 1 lit. f DSGVO (Sicherung der Anlage). Das System kann protokollieren, wann ein Code verwendet wurde; diese Protokolle werden ausschließlich zur Aufklärung von Schäden, Störungen oder unbefugter Nutzung ausgewertet, nicht zur Verhaltenskontrolle. Für die Volksrepublik China besteht kein Angemessenheitsbeschluss; die Übermittlung wird auf die Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO) und eine dokumentierte Bewertung des Übermittlungsrisikos gestützt.
7.6 Bestätigungs-E-Mail: Nach erfolgreicher Zahlung werden Buchungsdaten und Zugangscode an die angegebene E-Mail-Adresse versandt. Der Versand erfolgt über das Postfach padel@tc-frittlingen.de des Vereins bei dessen E-Mail-Anbieter, der als Auftragsverarbeiter gebunden ist (Nr. 12). Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO; es handelt sich um eine reine Transaktionsnachricht und nicht um Werbung.
7.7 Speicherdauer:
- Buchungsdatensatz (Name, E-Mail-Adresse, Platz, Zeit, Schlägerverleih, Zahlungskennung, Zugangscode): 12 Monate nach dem gebuchten Spieltermin, anschließend Löschung.
- Namen der Mitspieler: 3 Monate nach dem Spieltermin, anschließend Löschung dieser Angabe.
- Nicht bezahlte, abgelaufene Reservierungen: 30 Tage nach Ablauf, anschließend Löschung.
- Zugangscodes auf der Schließplattform: werden mit Ablauf des gebuchten Zeitfensters gelöscht.
- Zugriffsprotokolle des Schließsystems: 6 Monate ab dem Zutritt, anschließend Löschung.
- Zahlungsbelege: Die steuerlichen Aufbewahrungsfristen (§ 147 AO) erfüllt der Verein über seine Buchhaltung und die Unterlagen des Zahlungsdienstleisters, nicht über das Buchungssystem.
Die Löschung erfolgt durch einen täglichen automatischen Löschlauf. Für die Statistik des Vereins bleiben danach nur Summen je Monat ohne Personenbezug erhalten, etwa die Zahl der Buchungen, die Auslastung je Platz oder die Zahl der Mitgliedsanträge.
7.8 Bitte um Bewertung nach dem Spiel: Kurz nach Ende des gebuchten Zeitraums wird einmalig eine E-Mail an die bei der Buchung angegebene Adresse geschickt, mit der Bitte, das Spiel auf einer Skala von 0 bis 10 zu bewerten und optional einen Kommentar zu hinterlassen. Rechtsgrundlage ist das berechtigte Interesse des Vereins, sein Angebot zu verbessern (Art. 6 Abs. 1 lit. f DSGVO); die Verwendung der E-Mail-Adresse stützt sich auf § 7 Abs. 3 UWG. Die Teilnahme ist freiwillig. Die Bewertung wird ohne Bezug zur Buchung gespeichert; der Vorname erscheint nur, wenn dies bei der Bewertung ausdrücklich gewählt wird. Für die Einladung werden nur nicht umkehrbare Prüfwerte (Hashwerte) des Einladungs-Links und der E-Mail-Adresse gespeichert und 30 Tage nach dem Versand gelöscht; die anonyme Bewertung bleibt für die Auswertung erhalten. Den Bewertungsbitten kann jederzeit widersprochen werden – über den Abmelde-Link in jeder dieser E-Mails oder formlos an padel@tc-frittlingen.de –, ohne dass hierfür andere als die Übermittlungskosten nach den Basistarifen entstehen. Nach einem Widerspruch wird nur ein nicht umkehrbarer Hashwert der E-Mail-Adresse gespeichert, damit keine weitere Bitte verschickt wird.
8. Stornierung einer Buchung
Über das Stornoformular werden Buchungsnummer und E-Mail-Adresse verarbeitet, um die Buchung eindeutig zuzuordnen und die Berechtigung zu prüfen (Art. 6 Abs. 1 lit. b DSGVO). Die Stornofrist ergibt sich aus den Buchungsbedingungen (derzeit 24 Stunden vor Spielbeginn). Die Erstattung erfolgt über Mollie; hierzu werden Zahlungskennung und Erstattungsbetrag übermittelt. Ein angerechneter Gutschein wird wieder gutgeschrieben. Für die Speicherung gilt Nr. 7.7 entsprechend.
9. Kauf eines Gutscheins
Verarbeitet werden die E-Mail-Adresse (Pflichtangabe, da der Gutscheincode dorthin versandt wird) und optional der Name, ferner Betrag, Restguthaben, Gutscheincode, Kaufzeitpunkt und Einlösungen. Zweck sind Erstellung, Versand und spätere Einlösung des Gutscheins; Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Die Zahlung erfolgt wie unter Nr. 7.4 über Mollie. E-Mail-Adresse und Name werden 3 Jahre nach Ende des Jahres gelöscht, in dem der Gutschein vollständig eingelöst wurde oder abgelaufen ist (regelmäßige Verjährung); Betrag und Code bleiben ohne Personenbezug erhalten. Eine Nutzung der E-Mail-Adresse für Newsletter oder sonstige Werbung findet nicht statt.
10. Online-Antrag auf Mitgliedschaft
10.1 Erhobene Daten: Vorname, Nachname und Geburtsdatum von Erst- und Zweitmitglied sowie von bis zu zwei Kindern; Anschrift (Straße, Hausnummer, Postleitzahl, Ort); E-Mail-Adresse und Telefonnummern; Bankverbindung (IBAN, BIC, Bank, Kontoinhaber); Ort und Datum der Antragstellung; drei Bestätigungen (Aufnahmeantrag, SEPA-Lastschriftmandat, Kenntnisnahme dieser Erklärung).
10.2 Zweck und Rechtsgrundlage:
- Name, Geburtsdatum, Anschrift und Kontaktdaten – Begründung und Verwaltung der Mitgliedschaft, Zuordnung des zutreffenden Beitragssatzes, Einladungen zur Mitgliederversammlung, vereinsinterne Kommunikation: Art. 6 Abs. 1 lit. b DSGVO.
- IBAN, BIC, Bank, Kontoinhaber – Einzug des Mitgliedsbeitrags im SEPA-Lastschriftverfahren sowie Erteilung und Nachweis des Mandats: Art. 6 Abs. 1 lit. b DSGVO, für die Nachweisführung ergänzend Art. 6 Abs. 1 lit. f DSGVO.
- Buchhaltung, Beitragskonto und Belege – Erfüllung steuer- und vereinsrechtlicher Aufzeichnungspflichten sowie Nachweis der Gemeinnützigkeit: Art. 6 Abs. 1 lit. c DSGVO i. V. m. §§ 140 ff., 147 AO.
- Daten der Kinder – Mitgliedschaft, Zuordnung zu Jugend- und Trainingsgruppen, Beitragsberechnung: Art. 6 Abs. 1 lit. b DSGVO.
Eine Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO wird für diese Verarbeitungen nicht eingeholt und ist auch nicht erforderlich, da die Daten zur Durchführung der Mitgliedschaft benötigt werden. Die Bestätigung „Datenschutz“ im Formular stellt eine Kenntnisnahme dieser Erklärung dar, keine widerrufliche Einwilligung.
10.3 Minderjährige: Kinder und Jugendliche können ausschließlich durch ihre Sorgeberechtigten angemeldet werden; der Antrag darf daher nur von einer sorgeberechtigten Person ausgefüllt und abgesendet werden, die dabei rechtlich für das Kind handelt (§§ 106 ff., 1629 BGB). Auch das SEPA-Lastschriftmandat kann nur eine sorgeberechtigte oder sonst kontoverfügungsberechtigte Person erteilen. Mit dem Absenden bestätigt die sorgeberechtigte Person ihre Berechtigung zur Anmeldung des Kindes. Die Rechte des Kindes nach Nr. 16 werden bis zur Volljährigkeit durch die sorgeberechtigte Person ausgeübt; ältere Jugendliche können sie in dem Umfang selbst wahrnehmen, in dem sie deren Bedeutung erfassen können. Von Kindern werden ausschließlich die vorgenannten Stammdaten verarbeitet. Angaben zur Gesundheit oder zu anderen besonderen Kategorien nach Art. 9 DSGVO werden über dieses Formular nicht erhoben und sollten auch nicht in Freitextfelder eingetragen werden.
10.4 Empfänger des Antrags: Der Antrag wird im geschützten Login-Bereich des Vereins abgelegt; der Vorstand wird per E-Mail benachrichtigt. Die Benachrichtigung enthält keine Bankverbindung. Innerhalb des Vereins haben ausschließlich Vorstandsmitglieder sowie die mit Mitgliederverwaltung und Kassenführung betrauten Personen Zugriff, und dies nur, soweit sie die Daten für ihre Aufgabe benötigen; die Bankdaten sind ausschließlich für die Kassenführung bestimmt. Eine Weitergabe an Dritte erfolgt nur an die Bank des Vereins, soweit für den Beitragseinzug erforderlich, an den zuständigen Sportverband, soweit eine Meldung vorgeschrieben ist, sowie an Behörden im Rahmen gesetzlicher Verpflichtungen.
10.5 Speicherdauer im Online-System:
- Bankverbindung aus dem Antrag: 14 Tage nach Abschluss der Bearbeitung durch den Vorstand, anschließend Löschung. Der Verein übernimmt die Bankverbindung in seine Beitragsverwaltung.
- Übrige Angaben des Antrags: 3 Monate nach Abschluss der Bearbeitung (Aufnahme oder Ablehnung), anschließend Löschung.
Speicherdauer beim Verein: Stammdaten der Mitglieder für die Dauer der Mitgliedschaft; nach deren Beendigung Löschung, sobald keine Ansprüche mehr bestehen und keine Aufbewahrungspflicht entgegensteht – spätestens nach Ablauf der regelmäßigen Verjährungsfrist von drei Jahren zum Jahresende (§§ 195, 199 BGB). SEPA-Lastschriftmandat (IBAN, BIC, Kontoinhaber, Mandatsdatum) bis 14 Monate nach der letzten Nutzung des Mandats, da eine Lastschrift innerhalb von 13 Monaten beanstandet werden kann (§ 675x BGB). Buchhaltungs- und Beitragsbelege 8 beziehungsweise 10 Jahre nach § 147 AO.
10.6 Willkommens-E-Mail: Nach der Aufnahme erhält das neue Mitglied eine Willkommens-E-Mail an die im Antrag angegebene Adresse (Art. 6 Abs. 1 lit. b DSGVO). Der Versand erfolgt wie unter Nr. 7.6.
10.7 Mitgliederliste: Im Login-Bereich führt der Verein eine Liste seiner Mitglieder (Mitgliedsnummer, Name, Geburtsdatum, Anschrift, Kontaktdaten, Mitgliedsart, Status, Eintritt und Austritt). Sie dient der Mitgliederverwaltung, der Prüfung des Mitgliederpreises bei Buchungen (Nr. 7.3). Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Gespeichert wird für die Dauer der Mitgliedschaft und nach dem Austritt bis zum Ende des darauffolgenden Kalenderjahres.
11. PadelBot
11.1 Funktion: Der PadelBot ist ein KI-gestützter Assistent, der Fragen zu Platz, Buchung und Verein anhand der vom Verein hinterlegten Informationen beantwortet. Er wird erst geladen, wenn er geöffnet wird. Kann er eine Frage nicht beantworten, leitet er sie an den Vorstand weiter; der Vorstand kann Gespräche im Login-Bereich einsehen und persönlich übernehmen.
11.2 Verarbeitete Daten: die eingegebenen Nachrichten und die Antworten des PadelBot, eine zufällige Gesprächskennung (Nr. 3), Zeitpunkte sowie Kontaktdaten, die im Gespräch freiwillig angegeben werden. Der PadelBot hat keinen Zugriff auf Buchungs-, Zahlungs-, Mitglieder- oder Antragsdaten. Bitte keine Gesundheitsdaten, Bankverbindungen oder andere sensible Angaben in den Chat eingeben.
11.3 Zweck und Rechtsgrundlage: Beantwortung von Fragen der Besucher und persönliche Übernahme durch den Verein. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; das berechtigte Interesse liegt darin, Fragen schnell und auch außerhalb der Erreichbarkeit des Vorstands zu beantworten. Die Nutzung ist freiwillig; alle Informationen sind auch ohne den PadelBot auf der Website oder unter info@tc-frittlingen.de erhältlich.
11.4 KI-Dienst: Zur Erzeugung der Antworten werden die Nachrichten des Gesprächs an die OpenAI Ireland Ltd., 1st Floor, The Liffey Trust Centre, 117–126 Sheriff Street Upper, Dublin 1, Irland, übermittelt und von der OpenAI, L.L.C. in den USA verarbeitet. OpenAI ist Unterauftragnehmer des Betreibers (Nr. 12). Eine Nutzung der Daten zum Training von KI-Modellen ist ausgeschlossen. OpenAI ist unter dem EU-U.S. Data Privacy Framework zertifiziert (Art. 45 DSGVO); ergänzend gelten die Standardvertragsklauseln der EU-Kommission. OpenAI kann Anfragen zur Missbrauchserkennung für begrenzte Zeit speichern.
11.5 Speicherdauer: Gespräche werden 30 Tage nach der letzten Nachricht gelöscht. An den Vorstand weitergeleitete Fragen werden 30 Tage nach ihrer Bearbeitung gelöscht. Beantwortet der Vorstand eine Frage dauerhaft, übernimmt er sie ohne Angaben zur fragenden Person in die Wissensbasis des PadelBot. Für die Statistik bleibt danach nur ein Zählwert ohne Frage, Antwort oder Kennung.
11.6 Kein automatisiertes Entscheiden: Der PadelBot trifft keine Entscheidungen über Personen; Buchungen und Stornierungen erfolgen ausschließlich über die Formulare.
12. Auftragsverarbeiter
Website, Buchung, Formulare und PadelBot werden nicht vom Verein selbst betrieben, sondern mit Hilfe von Dienstleistern, die nach Art. 28 DSGVO als Auftragsverarbeiter gebunden sind und die Daten ausschließlich nach Weisung des Vereins verarbeiten:
- Himmelsbach, Koch & Schick GbR (ThinkUp-AI), Alemannenstraße 7, 78628 Rottweil, admin@thinkupai.de – Betrieb der Website, der Buchungs-, Storno-, Gutschein- und Antragsabläufe, des PadelBot, des E-Mail-Versands und des Login-Bereichs des Vereins. ThinkUp-AI setzt dafür folgende Unterauftragnehmer ein:
- Vercel Inc., USA – Auslieferung der Website und des Login-Bereichs, Rechenzentrum Frankfurt am Main (Nr. 4).
- Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen – Server der Automatisierungsumgebung in Deutschland.
- Supabase Inc. – Zugangsverwaltung des Login-Bereichs, Region Frankfurt am Main.
- OpenAI Ireland Ltd. / OpenAI, L.L.C., USA – Antworten des PadelBot (Nr. 11.4).
- Tuya GmbH, Düsseldorf (Tuya-Konzern, Volksrepublik China) – Zugangscodes (Nr. 7.5).
- Supabase Inc. – Datenbank des Vereins für Buchungen, Gutscheine, Anträge und Mitglieder. Die Verarbeitung erfolgt ausschließlich in der Region eu-central-1, Frankfurt am Main. Für einen möglichen Zugriff aus einem Drittland im Rahmen von Support oder Wartung gelten die Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO).
- E-Mail-Anbieter des Vereins – E-Mail-Postfach padel@tc-frittlingen.de, über das alle E-Mails an Buchende, Antragsteller und Mitglieder versandt werden.
ThinkUp-AI erhält für die Abrechnung seiner Vergütung, die sich nach dem Online-Umsatz bemisst, nur Beträge, Zeitpunkte und Buchungs- bzw. Gutscheinnummern, keine Namen und keine Kontaktdaten. Verwendet werden diese Angaben ausschließlich für diese Abrechnung.
Keine Auftragsverarbeiter in diesem Sinne sind Mollie (eigener Verantwortlicher, Nr. 7.4) sowie die unter Nr. 5 und 6 genannten Anbieter; diese entscheiden über die bei ihnen anfallenden Daten selbst. Die Links zur WhatsApp-Community des Vereins, zu Verbandsportalen und zu sozialen Netzwerken übermitteln erst beim Anklicken Daten an den jeweiligen Anbieter.
13. Übermittlung in Länder außerhalb der EU
- Vercel Inc. (Hosting), USA – Angemessenheitsbeschluss EU-U.S. Data Privacy Framework, ergänzend Standardvertragsklauseln.
- OpenAI, L.L.C. (PadelBot), USA – Angemessenheitsbeschluss EU-U.S. Data Privacy Framework, ergänzend Standardvertragsklauseln.
- Google LLC (Fonts, Maps), USA – Angemessenheitsbeschluss EU-U.S. Data Privacy Framework.
- Cloudflare, Inc. (Font Awesome), USA – Angemessenheitsbeschluss EU-U.S. Data Privacy Framework.
- Tailwind Labs, Inc., USA.
- Supabase Inc., USA (Verarbeitung in Frankfurt am Main) – Standardvertragsklauseln.
- Tuya (Schließsystem), Volksrepublik China – kein Angemessenheitsbeschluss, Standardvertragsklauseln und dokumentierte Bewertung des Übermittlungsrisikos.
Für die USA hat die EU-Kommission am 10. Juli 2023 einen Angemessenheitsbeschluss für zertifizierte Unternehmen erlassen. Für die Volksrepublik China besteht kein solcher Beschluss; die Übermittlung wird auf vertragliche Garantien gestützt. Trotz dieser Garantien lässt sich ein Zugriff durch Behörden dieser Länder nicht vollständig ausschließen. Eine Kopie der jeweiligen Garantien kann beim Verein angefordert werden.
14. Erforderlichkeit der Angaben
- Aufruf der Website: Es sind keine Angaben erforderlich; die unter Nr. 4, 5 und 6 beschriebenen technischen Daten fallen jedoch automatisch an.
- Platzbuchung: Name, E-Mail-Adresse und Buchungsdaten sind erforderlich. Ohne sie können keine Reservierung angelegt, keine Zahlung zugeordnet und kein Zugangscode versandt werden; eine Buchung ist dann nicht möglich. Die Angabe der Mitspielernamen ist für die Zuordnung der Konditionen und die Platzordnung erforderlich.
- Gutscheinkauf: Die E-Mail-Adresse ist erforderlich, die Namensangabe freiwillig.
- Stornierung: Buchungsnummer und E-Mail-Adresse sind erforderlich.
- Mitgliedsantrag: Sämtliche als Pflichtfeld gekennzeichneten Angaben einschließlich der Bankverbindung sind für Aufnahme und Beitragseinzug erforderlich. Eine gesetzliche Verpflichtung zur Bereitstellung besteht nicht; ohne diese Angaben ist eine Online-Anmeldung jedoch nicht möglich. Für eine Anmeldung in Papierform oder ohne Lastschriftverfahren steht der Verein zur Verfügung.
- PadelBot: Die Nutzung ist freiwillig.
15. Keine automatisierte Entscheidungsfindung
Es finden keine ausschließlich auf einer automatisierten Verarbeitung beruhenden Entscheidungen statt, die gegenüber betroffenen Personen rechtliche Wirkung entfalten oder sie in ähnlicher Weise erheblich beeinträchtigen (Art. 22 DSGVO). Ein Profiling findet nicht statt. Die automatische Prüfung, ob ein Platz zu einem bestimmten Zeitpunkt frei ist, stellt eine reine Verfügbarkeitsabfrage und keine Entscheidung über eine Person dar.
16. Rechte der betroffenen Personen
Betroffene Personen haben gegenüber dem Verein folgende Rechte:
- Auskunft (Art. 15 DSGVO) darüber, ob und welche Daten verarbeitet werden, einschließlich einer Kopie.
- Berichtigung unrichtiger und Vervollständigung unvollständiger Daten (Art. 16 DSGVO).
- Löschung (Art. 17 DSGVO), soweit die Daten nicht mehr benötigt werden und keine gesetzliche Aufbewahrungspflicht entgegensteht.
- Einschränkung der Verarbeitung (Art. 18 DSGVO), etwa während der Prüfung der Richtigkeit.
- Datenübertragbarkeit (Art. 20 DSGVO) in einem gängigen, maschinenlesbaren Format.
- Widerruf einer Einwilligung (Art. 7 Abs. 3 DSGVO) mit Wirkung für die Zukunft; die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung bleibt unberührt.
Widerspruchsrecht nach Art. 21 DSGVO: Betroffene Personen haben das Recht, aus Gründen, die sich aus ihrer besonderen Situation ergeben, jederzeit gegen die Verarbeitung Widerspruch einzulegen, soweit diese auf Art. 6 Abs. 1 lit. f DSGVO gestützt wird; dies betrifft insbesondere die Verarbeitungen nach Nr. 4, 5, 6, 7.3, 7.8 und 11. Im Fall des Widerspruchs werden die Daten nicht weiterverarbeitet, es sei denn, es bestehen zwingende schutzwürdige Gründe, die die Interessen der betroffenen Person überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen. Ein formloser Widerspruch an info@tc-frittlingen.de genügt.
17. Beschwerderecht bei der Aufsichtsbehörde
Betroffene Personen können sich jederzeit bei einer Datenschutz-Aufsichtsbehörde beschweren (Art. 77 DSGVO). Zuständig ist:
Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg
Lautenschlagerstraße 20, 70173 Stuttgart
Telefon: 0711 615541-0 · E-Mail: poststelle@lfdi.bwl.de · www.baden-wuerttemberg.datenschutz.de
Daneben besteht die Möglichkeit, sich an die Aufsichtsbehörde des gewöhnlichen Aufenthaltsorts oder des Arbeitsplatzes zu wenden.
18. Datensicherheit
Die Übertragung der Formulareingaben erfolgt verschlüsselt über HTTPS (TLS). Der Zugriff auf Buchungs- und Mitgliedsdaten ist auf die Personen beschränkt, die diese für ihre Aufgabe im Verein benötigen; der Login-Bereich ist passwortgeschützt, und Einsichten in Bankverbindungen werden protokolliert. Die eingesetzten Systeme sind durch technische und organisatorische Maßnahmen nach Art. 32 DSGVO gegen Verlust, Zerstörung und unbefugten Zugriff gesichert.
Es wird darauf hingewiesen, dass unverschlüsselte E-Mails auf dem Transportweg mitgelesen werden können. Bankdaten und andere sensible Angaben sollten daher nicht per einfacher E-Mail übermittelt, sondern über die bereitgestellten Formulare eingegeben werden.
19. Änderungen dieser Erklärung
Diese Datenschutzerklärung wird angepasst, wenn sich die Website, die eingesetzten Dienste oder die Rechtslage ändern. Es gilt jeweils die hier abrufbare Fassung.
Tennis-Club Frittlingen e.V. · 78665 Frittlingen · Stand: Oktober 2026
