Sicherheit & Datenschutz
Wo eure Daten liegen. Und wer sie sieht.
- Datenbank in Frankfurt
- Rechenzentrum in der EU
- Kein Tracking
- Keine Werbung, kein Verkauf von Daten
- AVV mit einem Klick
- Im Vereins-Bereich, vor jeder Liste
- Verschlüsselt
- HTTPS für alle Verbindungen
Wo die Daten liegen.
Die Datenbank mit Konten, Vereinen, Mitgliedern und Buchungen liegt bei Supabase in einem Rechenzentrum in Frankfurt am Main. Dort liegen auch Profil- und Vereinsbilder.
Die Webseite läuft auf unserem eigenen Server in Deutschland. Damit sie sicher erreichbar ist, wird sie über das Netz von Cloudflare ausgeliefert — dabei laufen Verbindungsdaten wie die IP-Adresse durch Cloudflare, auch außerhalb der EU.
Zahlungen wickelt Stripe ab, E-Mails verschickt Resend. Beide Anbieter sitzen in den USA oder gehören zu US-Konzernen; die Übermittlung ist über die Standardvertragsklauseln der EU bzw. das EU-U.S. Data Privacy Framework abgesichert.
Wir sagen deshalb bewusst nicht „alles in Deutschland“, sondern genau, was wo passiert.
Wer was sieht.
- Euer Verein
- Mitglieder, Buchungen mit Namen, Zahlungsstand und Umsätze — alles, was ihr für den Betrieb braucht.
- Andere Spieler
- Dass ein Platz belegt ist, nie von wem. In Anzeigen und im Chat Name, Spielstärke und Profilbild — nur das, was jemand selbst teilt.
- Die Öffentlichkeit
- Eure Vereinsseite: Name, Adresse, Plätze, Preise, Öffnungszeiten und freie Zeiten. Keine Namen von Mitgliedern.
- Die Anzeigetafel
- Belegung und freie Zeiten. Namen nur, wenn ihr das im Vereins-Bereich ausdrücklich einschaltet.
- Wir
- Nur was für Betrieb und Hilfe nötig ist — und nur in eurem Auftrag. Wir verkaufen keine Daten und schalten keine Werbung.
Welche Dienste beteiligt sind.
Dieselbe Liste steht als Anlage im AVV. Kommt ein Dienst hinzu, sagen wir es euch vorher.
| Dienst | Wofür | Wo | Absicherung |
|---|---|---|---|
| Supabase Inc.Datenbank und Anmeldung | Datenbank, Anmeldung, Dateispeicher (Profil- und Vereinsbilder) und serverseitige Funktionen | Rechenzentrum in Frankfurt am Main (EU) | Auftragsverarbeitungsvertrag; Anbieter mit Sitz in den USA, Standardvertragsklauseln der EU |
| Cloudflare, Inc.Auslieferung der Webseite | Verbindet unseren Server sicher mit dem Internet (Tunnel), schützt vor Angriffen und liefert die Seite aus | Weltweites Netz, Verarbeitung auch außerhalb der EU | Auftragsverarbeitungsvertrag; EU-U.S. Data Privacy Framework und Standardvertragsklauseln |
| Stripe Payments Europe, Ltd.Online-Zahlungen | Zahlung von Platzbuchungen und Vereins-Abos; Auszahlung an Vereine über Stripe Connectnur bei Online-Zahlung | Irland (EU), Konzern in den USA | Für Zahlungsdaten eigenständig verantwortlich; EU-U.S. Data Privacy Framework |
| Resend (Plus Five Five, Inc.)E-Mail-Versand | Versand von Bestätigungs-, Einladungs- und Buchungs-E-Mails | USA | Auftragsverarbeitungsvertrag mit Standardvertragsklauseln |
| Anthropic, PBCAuslesen von Mitgliederlisten | Liest beim Hochladen einer Mitgliederliste Name, E-Mail und Telefon aus der Datei heraus, damit der Verein die Vorschau nur noch bestätigen mussnur wenn ein Verein eine Liste hochlädt | USA | Auftragsverarbeitung nach den kommerziellen API-Bedingungen; keine Verwendung zum Training |
| Mapbox, Inc. bzw. komoot GmbH (Photon)Adresssuche | Vorschläge und Prüfung der Vereinsadresse beim Anlegen eines Vereinsnur im Vereins-Bereich | USA (Mapbox) bzw. Deutschland (Photon) | Es werden nur die eingegebenen Adressbestandteile übertragen, keine Nutzerkennung |
| Apple Inc. / Google Ireland Ltd.Anmeldung und Mitteilungen | „Mit Apple anmelden“ bzw. „Mit Google anmelden“ (falls gewählt) und Zustellung von Push-Mitteilungen in den Apps (Apple Push Notification Service, Firebase Cloud Messaging)nur bei Nutzung dieser Funktionen | USA bzw. Irland (EU) | EU-U.S. Data Privacy Framework |
So schützen wir die Daten.
- Rechte prüft die Datenbank
- Bei jeder Anfrage entscheidet die Datenbank selbst, was jemand sehen und ändern darf (Row Level Security). Ein Spieler kommt nie an die Buchungen anderer, auch nicht über Umwege.
- Buchen nur nach euren Regeln
- Preis, Öffnungszeiten, Überschneidungen und Sperren prüft der Server. Was in der App oder im Browser angezeigt wird, lässt sich nicht an den Regeln vorbei buchen.
- Verschlüsselt unterwegs
- Alle Verbindungen laufen über HTTPS. Passwörter speichern wir nicht im Klartext, Kartendaten sehen wir nie — die liegen nur bei Stripe.
- Kein Tracking
- Keine Analyse-Dienste, keine Werbenetzwerke, keine Schriften von Google. Cookies nur für die Anmeldung — und beim Online-Bezahlen die von Stripe zur Betrugsabwehr.
- Geprüft
- Im September 2026 haben wir Apps, Webseite und Datenbank gezielt auf Lücken untersucht und alles Gefundene behoben.
- Löschen auf Wunsch
- Jedes Konto lässt sich jederzeit selbst löschen. Endet euer Vertrag, löschen wir die Vereinsdaten nach den Fristen im AVV.
Auftragsverarbeitung
Der AVV ist kein Extra.
Für die Daten eurer Mitglieder seid ihr verantwortlich, wir verarbeiten sie in eurem Auftrag. Den Vertrag nach Art. 28 DSGVO könnt ihr vorab lesen und ausdrucken. Abgeschlossen wird er im Vereins-Bereich mit einem Klick — mit Datum, Version und Namen der Person, die für den Verein zustimmt.
Eine Lücke gefunden?
Schreibt uns an [email protected] mit dem Betreff „Sicherheit“. Wir antworten schnell, beheben das Problem und nennen euch auf Wunsch als Finder. Bitte greift dabei nicht auf fremde Daten zu und gebt uns Zeit, bevor ihr etwas veröffentlicht.
Rechtswidrige Inhalte in Anzeigen, Chats oder auf Vereinsseiten meldet ihr über Inhalte melden.