Datenschutzerklärung

Verantwortlich für die Datenverarbeitung in RinkMaster unter app.dihl.de ist:

Für alle Fragen zum Datenschutz und für deine Rechte (Abschnitt 13) schreibst du an diese Adresse. Weitere Angaben stehen im Impressum.

Für Betrieb und Weiterentwicklung der App setzen wir einen IT-Dienstleister ein, der in unserem Auftrag und nach unseren Weisungen arbeitet (Auftragsverarbeitung nach Art. 28 DSGVO). Er und die unten genannten Anbieter verarbeiten die Daten nur für uns.

Die App wird bei Vercel betrieben (Vercel Inc., 340 S Lemon Ave #4133, Walnut, CA 91789, USA). Die Server, auf denen die App läuft, stehen in Frankfurt am Main. Bei jedem Aufruf verarbeitet Vercel technisch notwendige Angaben, damit die Seite ausgeliefert werden kann, und legt sie in Server-Protokollen ab:

• IP-Adresse deines Geräts,
• Datum und Uhrzeit, aufgerufene Adresse, Statuscode und übertragene Datenmenge,
• Browser und Betriebssystem (User-Agent) und die zuvor besuchte Seite (Referrer), sofern dein Browser sie mitschickt.

Wir brauchen diese Daten, um die App sicher und stabil zu betreiben und Fehler oder Angriffe zu erkennen. Rechtsgrundlage ist unser berechtigtes Interesse nach Art. 6 Abs. 1 lit. f DSGVO. Wir führen diese Daten nicht mit anderen Daten zusammen und werten sie nur anlassbezogen aus. Wie lange Vercel die Protokolle aufbewahrt, richtet sich nach dessen Vorgaben.

Alle Daten der App (Konten, Personen, Spiele, Pässe, Einteilungen, Rechnungen) und die hochgeladenen Bilder (Passfotos, Wappen, Logo) liegen bei Supabase (Supabase Inc., 970 Toa Payoh North #07-04, Singapur 318992). Wir nutzen ein Rechenzentrum in Zürich (Schweiz). Für die Schweiz hat die EU-Kommission festgestellt, dass dort ein angemessenes Datenschutzniveau besteht. Supabase stellt auch die Anmeldung bereit und speichert Passwörter nur verschlüsselt (als Hash).

Wenn du in der App arbeitest, verbindet sich dein Browser zum Teil direkt mit Supabase. Auf den öffentlichen Seiten lädt dein Browser die Wappen der Teams direkt aus der Dateiablage von Supabase. Supabase erhält dabei deine IP-Adresse und protokolliert die Anfragen technisch.

Ein Konto kann man sich nicht selbst anlegen. Die Ligenleitung, deine Vereinsleitung oder dein Teammanager lädt dich per E-Mail ein; mit dem Link setzt du dein Passwort. Der Link gilt nur einmal. Für dein Konto speichern wir:

• deine E-Mail-Adresse und dein Passwort (nur als Hash),
• die Verknüpfung mit deinem Personeneintrag und deine Rollen (zum Beispiel Spieler, Teammanager, Schiedsrichter, Ligenleitung),
• Zeitpunkte der Anmeldung,
• Meldungen, die dich betreffen, und ob du sie gelesen hast.

Wer was sehen und ändern darf, hängt von der Rolle ab und wird in der Datenbank erzwungen. Spieler sehen ihr eigenes Profil, Teams ihre Kader, Schiedsrichter ihre Einsätze. Änderungen an Daten protokolliert die App (wer hat wann was geändert), damit der Spielbetrieb nachvollziehbar bleibt.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO: Das Konto ist nötig, damit du deine Aufgabe im Spielbetrieb nach Satzung und Ordnungen der DIHL wahrnehmen kannst. Das Protokoll stützt sich auf unser berechtigtes Interesse an einem nachvollziehbaren Spielbetrieb (Art. 6 Abs. 1 lit. f DSGVO).

Damit die Liga laufen kann, verarbeiten wir je nach Aufgabe folgende Daten:

Passfotos laden Passstelle, Ligenleitung oder das Team hoch. Die App verkleinert sie und legt sie in einer nicht öffentlichen Dateiablage bei Supabase ab. Angezeigt wird ein Foto nur über einen Link, den die App nach der Rechteprüfung erzeugt und der nach wenigen Minuten ungültig wird; für die Passkontrolle am Spieltag steckt das verkleinerte Foto direkt in der Erfassungsseite, damit sie auch ohne Netz funktioniert. Angemeldete Nutzer mit Zugang zum Spielbetrieb sehen das Foto, damit vor dem Spiel geprüft werden kann, wer auf dem Feld steht. Ist beim Spieler „Foto verbergen“ gesetzt, zeigt die App es nur noch dir selbst, deinem Teammanager und der Ligenleitung bzw. Verwaltung, und es erscheint nirgends öffentlich.

Auf den öffentlichen Live-Seiten zeigen wir keine Fotos von Personen. Eine dauerhaft gültige Adresse eines Fotos gibt es nicht.

Die Ligenleitung kann für ein Spiel, einen Turniertag oder eine Liga einen öffentlichen Link anlegen (Adressen unter app.dihl.de/live/…). Diese Seiten (Live-Ticker, Hallenanzeige, Stream-Einblendung) kann jeder ohne Anmeldung öffnen, der den Link hat. Suchmaschinen sollen sie nicht aufnehmen. Sichtbar sind dort:

• Teams mit Name, Kurzname, Wappen und Farben, Termine, Hallen, Spielstand und Spieluhr, Tabellen und Playoffs,
• bei Spielern Nachname und Rückennummer, die Aufstellung frühestens eine Stunde vor Spielbeginn,
• Tore, Vorlagen und Strafen mit Spielzeit,
• Vor- und Nachname der Schiedsrichter und der Zeitnahme, sobald die Einteilung veröffentlicht ist.

Nie öffentlich sind Geburtsdaten, Fotos von Personen, Kontaktdaten, Pass- und Lizenznummern, Konten und Spielberichte.

Für Websites der Liga und der Vereine stellt die App zusätzlich eine öffentliche Datenschnittstelle bereit. Dort sind abrufbar: Tabellen, Statistiken je Spieler und Spiel (Vor- und Nachname, Team, Einsätze, Tore, Vorlagen, Strafminuten, Torhüter-Werte) und eine Spielerliste mit Vor- und Nachname, Geburtsjahr (nicht das Datum) und der Adresse des Passfotos, sofern es nicht verborgen ist. Minderjährige mit verborgenem Foto fehlen in dieser Spielerliste; ihre Statistik ist wie die aller anderen abrufbar.

Rechtsgrundlage ist unser berechtigtes Interesse an einem transparenten Wettbewerb (Art. 6 Abs. 1 lit. f DSGVO). Wenn du aus Gründen, die sich aus deiner besonderen Situation ergeben, nicht öffentlich erscheinen möchtest, kannst du widersprechen (Abschnitt 13).

Die App verschickt E-Mails, wenn es um deine Aufgabe geht: die Einladung in dein Konto und Nachrichten zur Schiedsrichtereinteilung (Einteilung, Erinnerung an offene Zusagen). Absender ist noreply@app.dihl.de. Die E-Mail zum Zurücksetzen deines Passworts löst der Anmeldedienst von Supabase aus (Abschnitt 3). Werbung oder Newsletter verschicken wir über die App nicht.

Für den Versand nutzen wir Resend (Plus Five Five, Inc., 2261 Market Street #5039, San Francisco, CA 94114, USA). Die E-Mails werden über Server in Irland verschickt. Resend erhält deine E-Mail-Adresse und den Inhalt der Nachricht. Wir haben die Messung von Öffnungen und Klicks abgeschaltet. Die App merkt sich in einem Postausgang, an wen welche Nachricht wann ging, damit nichts doppelt verschickt wird und Fehler nachvollziehbar sind.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Nachrichten, die für deine Aufgabe im Spielbetrieb nötig sind).

Beim Aufruf ohne Anmeldung setzt die App keine Cookies (gemessen am 30.09.2026). Cookies entstehen erst, wenn du dich anmeldest oder einen Link aus einer E-Mail öffnest. Alle sind technisch notwendig, deshalb fragen wir nicht nach einer Einwilligung (§ 25 Abs. 2 Nr. 2 TDDDG). Tracking- oder Werbe-Cookies gibt es nicht.

• sb-…-auth-token (Supabase): hält dich angemeldet. Wird beim Abmelden gelöscht, sonst spätestens nach 400 Tagen.
• rm_pw_reset: merkt sich für 15 Minuten, dass du über einen gültigen Link ein neues Passwort setzt.
• rm_konto_einrichten und rm_konto_ziel: merken sich für 30 Minuten, dass du dein Konto über die Einladung einrichtest und wohin es danach geht.

Außerdem legt die App Daten in deinem Browser ab, ohne dass sie an uns gesendet werden:

• Offline-Speicher der Spielerfassung (IndexedDB): Auf dem Gerät, mit dem ein Spiel erfasst wird, speichert die App den Spielstand mit Aufstellung (Namen, Rückennummern) und Ereignissen sowie noch nicht übertragene Eingaben. So geht bei einem Netzausfall nichts verloren. Sobald die Datenbank eine Eingabe bestätigt hat, entfernt die App sie aus der Warteschlange. Der Spielstand bleibt auf dem Gerät, bis du die Website-Daten im Browser löschst.
• Probespiel: Das Übungsspiel speichert nur erfundene Beispieldaten im Browser.
• Service Worker: Damit die App schnell lädt und die Erfassung auch ohne Netz öffnet, legt dein Browser Programmdateien, Symbole und zuletzt geöffnete Seiten der App in einem Zwischenspeicher ab.

Die Rechtsgrundlage für diesen Speicher ist § 25 Abs. 2 Nr. 2 TDDDG, weil er für die Funktion nötig ist, die du nutzt, und für die anschließende Verarbeitung unser berechtigtes Interesse an einer ausfallsicheren Spielerfassung (Art. 6 Abs. 1 lit. f DSGVO). Local Storage und Session Storage nutzen wir nicht.

Im angemeldeten Bereich kannst du bei einer Spielstätte eine Google-Karte einblenden. Die Karte lädt erst, wenn du auf „Google-Karte laden“ klickst; vorher besteht keine Verbindung zu Google. Nach dem Klick erhält Google (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland) deine IP-Adresse und die Adresse der Spielstätte; Daten können dabei auch an Google LLC in den USA gehen. Rechtsgrundlage ist deine Einwilligung durch den Klick (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG); sie gilt nur für diesen Aufruf. Links „in Google Maps öffnen“ sind reine Verweise und übertragen erst etwas, wenn du ihnen folgst.

• keine Reichweitenmessung oder Analyse-Dienste, keine Werbung, keine Social-Media-Einbindungen,
• keine Schriften von fremden Servern: Die Schrift liefert die App selbst aus oder nutzt die deines Geräts,
• keine Push-Benachrichtigungen: Meldungen siehst du nur in der App unter der Glocke.

Innerhalb der Liga sehen Daten nur die, die sie für ihre Aufgabe brauchen: Ligenleitung, Passstelle, Schiedsrichterwesen, die Leitung deines Vereins und dein Teammanager. Außerhalb der Liga erhalten Daten nur die oben genannten Dienstleister, die in unserem Auftrag arbeiten. Wir verkaufen keine Daten.

Vercel, Resend und Google haben ihren Sitz in den USA, Supabase in Singapur. Auch wenn die Daten in Frankfurt, Zürich und Irland verarbeitet werden, ist ein Zugriff aus diesen Ländern nicht ausgeschlossen. Grundlage dafür sind der Angemessenheitsbeschluss zum EU-US Data Privacy Framework, soweit der Anbieter danach zertifiziert ist, und im Übrigen die Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO).

Wir speichern deine Daten, solange du am Spielbetrieb teilnimmst oder eine Aufgabe in der Liga hast. Ergebnisse, Spielberichte und Statistiken bleiben als Teil der Liga-Geschichte auch danach erhalten. Rechnungen und Buchungsbelege bewahren wir so lange auf, wie Handels- und Steuerrecht es verlangen (bis zu zehn Jahre). Ein Konto, das nicht mehr gebraucht wird, löscht die Ligenleitung auf Anfrage.

Du hast das Recht,

• Auskunft über deine gespeicherten Daten zu bekommen (Art. 15 DSGVO),
• falsche Daten berichtigen zu lassen (Art. 16 DSGVO),
• die Löschung zu verlangen, soweit wir die Daten nicht mehr brauchen oder aufbewahren müssen (Art. 17 DSGVO),
• die Einschränkung der Verarbeitung zu verlangen (Art. 18 DSGVO),
• deine Daten in einem gängigen Format zu erhalten (Art. 20 DSGVO),
• eine Einwilligung jederzeit für die Zukunft zu widerrufen (Art. 7 Abs. 3 DSGVO).

Widerspruchsrecht: Stützen wir eine Verarbeitung auf unser berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO), etwa die öffentliche Anzeige in Ergebnissen und Statistiken, kannst du aus Gründen, die sich aus deiner besonderen Situation ergeben, jederzeit widersprechen (Art. 21 DSGVO). Wir verarbeiten die Daten dann nicht mehr für diesen Zweck, es sei denn, wir können zwingende schutzwürdige Gründe nachweisen, die deine Interessen überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.

Schreib uns dazu an hallo@dihl.de.

Du kannst dich bei einer Datenschutz-Aufsichtsbehörde beschweren (Art. 77 DSGVO). Für uns zuständig ist wegen unseres Sitzes in Rheinland-Pfalz:

Die Verbindung zur App ist durchgehend verschlüsselt (HTTPS). Du erkennst das am Schloss in der Adresszeile deines Browsers.

Wenn sich die App oder die Rechtslage ändert, passen wir diese Erklärung an. Es gilt die Fassung, die hier steht; der Stand steht oben.