Datenschutzerklärung

1. Verantwortlicher

Pautsch Digital UG (haftungsbeschränkt), Im Biengarten 14, 63456 Hanau — E-Mail: datenschutz [at] sportbuddies.de

2. Welche Daten wir verarbeiten

Sitzungsdaten: Wir vergeben schon vor einer Anmeldung ein anonymes Konto, damit Sie sich Events ansehen können, ohne sich zu registrieren. Getragen wird es von einem signierten JWT in einem HttpOnly-Cookie.

Kontodaten bei der Anmeldung — je nach gewähltem Weg: über Google (Name, E-Mail-Adresse, Profilbild), über Apple (E-Mail-Adresse; einen Namen übermittelt Apple uns nicht) oder über einen Einmal-Code, den wir Ihnen per E-Mail schicken (E-Mail-Adresse).

Inhalte, die Sie selbst anlegen: Profilangaben (Name, Stadt, Sportarten, Beschreibung, Profilbild) sowie Events, Gruppen und Chat-Nachrichten.

Technische Zugriffsdaten in Server-Logs: IP-Adresse, Zeitpunkt, angefragte Adresse, Statuscode und Browserkennung.

Pseudonyme Nutzungsereignisse — siehe Abschnitt 7.

3. Rechtsgrundlagen

Anonyme Sitzungs-Cookies: berechtigtes Interesse gemäß Art. 6 Abs. 1 lit. f DSGVO (technisch notwendig).

Kontodaten aus der Anmeldung über Google, Apple oder E-Mail-Code: Einwilligung gemäß Art. 6 Abs. 1 lit. a DSGVO.

Profil- und Inhaltsdaten, die Sie in der App anlegen: Erfüllung des Nutzungsvertrags gemäß Art. 6 Abs. 1 lit. b DSGVO.

Pseudonyme Nutzungsanalyse und technische Zugriffsdaten: berechtigtes Interesse gemäß Art. 6 Abs. 1 lit. f DSGVO — wir müssen erkennen können, ob die Plattform technisch funktioniert, wie sie genutzt wird und ob sie wirtschaftlich tragfähig ist. Sie können dieser Verarbeitung nach Art. 21 DSGVO widersprechen; wie, steht in Abschnitt 7.

4. Speicherdauer

Access-Token: 15 Minuten. Refresh-Token: 7 Tage. Konto-, Profil- und Inhaltsdaten: bis zur Löschung des Kontos. Anonyme Konten, die 30 Tage lang nichts getan haben, werden automatisch gelöscht.

Server-Logs: Sie werden rollierend überschrieben und auf 30 MB je Dienst begrenzt — in der Regel wenige Tage. Sie werden nicht archiviert und nicht in ein Langzeitsystem übertragen.

Nutzungsereignisse: Die direkte Nutzer-ID wird nach spätestens 90 Tagen automatisch entfernt. Das Ereignis selbst bleibt in pseudonymer Form unbefristet erhalten (Abschnitt 7).

5. Ihre Rechte

Sie haben die Rechte aus Art. 15–22 DSGVO: Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch. Wenden Sie sich dafür an datenschutz [at] sportbuddies.de. Wir antworten innerhalb eines Monats.

Zur Löschung im Klartext: Eine Schaltfläche, mit der Sie Ihr Konto selbst löschen können, gibt es derzeit nicht — die Löschung nehmen wir auf Ihre Anfrage hin vor. Gelöscht werden dabei Ihre Konto-, Profil- und Inhaltsdaten. Die pseudonymen Nutzungsereignisse bleiben bestehen, verlieren aber jeden Bezug zu Ihnen, weil wir die einzige Tabelle mitlöschen, über die sich das Pseudonym auflösen ließe (Abschnitt 7).

Auf Auskunftsanfragen können wir Ihre Konto-, Profil- und Inhaltsdaten herausgeben sowie die Nutzungsereignisse, die Ihrem Pseudonym zugeordnet sind. Server-Logs sind wegen der kurzen Überschreibzeit in aller Regel nicht mehr vorhanden.

Unabhängig davon steht Ihnen ein Beschwerderecht bei einer Datenschutz-Aufsichtsbehörde zu.

6. Cookies

access_token: HttpOnly, Secure, SameSite=Lax — signiertes JWT der aktuellen Sitzung, läuft nach 15 Minuten ab.

refresh_token: HttpOnly, Secure, SameSite=Lax, Path=/api/auth/refresh — automatische Token-Erneuerung, läuft nach 7 Tagen ab.

oauth2_auth_request und redirect_after: kurzlebige Hilfs-Cookies (je 3 Minuten), die nur während eines laufenden Anmeldevorgangs gesetzt werden, damit Sie danach wieder auf der Seite landen, von der Sie kamen.

Diese Cookies sind technisch notwendig und können nicht deaktiviert werden. Für Analyse oder Werbung setzen wir keine Cookies.

7. Nutzungsanalyse

Wir messen die Nutzung der Plattform selbst und auf unseren eigenen Servern. Es kommt kein Analyse-Dienst eines Dritten zum Einsatz, kein Tracking-Skript, keine Sitzungsaufzeichnung und kein Werbenetzwerk.

Die Messung entsteht im Server, nicht in Ihrem Browser: Dafür wird nichts auf Ihrem Gerät gespeichert und nichts von Ihrem Gerät ausgelesen. Deshalb greift § 25 TDDDG nicht — und deshalb gibt es hier kein Cookie-Banner.

Aufgezeichnet wird, dass ein Vorgang stattgefunden hat: etwa dass ein Event erstellt wurde, jemand beigetreten oder ausgetreten ist, eine Gruppe gegründet, eine Nachricht gesendet oder ein Konto an einem Tag aktiv war — jeweils mit Zeitpunkt sowie Stadt- und Sportart-Kennung. Nachrichteninhalte, Profiltexte, E-Mail-Adressen und IP-Adressen speichern wir dabei nicht.

Statt Ihrer Nutzer-ID trägt jedes Ereignis ein Pseudonym, das mit einem geheimen Serverschlüssel berechnet wird (HMAC-SHA256) und ohne diesen Schlüssel nicht zurückgerechnet werden kann. Zusätzlich führen wir die direkte Nutzer-ID längstens 90 Tage mit, um Störungen untersuchen zu können; danach wird sie automatisch entfernt. Die pseudonymen Ereignisse bewahren wir unbefristet auf, weil sich Jahresvergleiche und Nutzungsverläufe sonst nachträglich nicht mehr belegen lassen.

Widerspruch nach Art. 21 DSGVO: Schreiben Sie an datenschutz [at] sportbuddies.de mit dem Betreff „Widerspruch Nutzungsanalyse“. Eine Begründung ist nicht erforderlich. Wir beenden dann die Auswertung Ihrer Nutzung und löschen den Eintrag, über den sich Ihre Ereignisse Ihnen zuordnen ließen.

8. Empfänger und Auftragsverarbeiter

Hosting: Hetzner Online GmbH, Deutschland. Anwendung und Datenbank laufen auf Servern in deutschen Rechenzentren.

E-Mail-Versand: Scaleway, Frankreich (Transactional Email). Übermittelt werden Empfängeradresse und Inhalt der jeweiligen Nachricht — Willkommens-E-Mail, Anmeldecode und Benachrichtigungen.

Datensicherung: verschlüsselte Datenbank-Sicherungen auf einer Hetzner Storage Box. Die Sicherung wird bereits auf unserem Server verschlüsselt, bevor sie übertragen wird; den Schlüssel halten allein wir, der Speicheranbieter kann den Inhalt nicht lesen.

Anmeldung über Dritte: Google bzw. Apple erfahren, dass Sie sich bei uns anmelden, und übermitteln uns die in Abschnitt 2 genannten Kontodaten. Für ihre eigene Verarbeitung sind diese Anbieter selbst verantwortlich.

Betriebsüberwachung: Um zu bemerken, wenn eine nächtliche Wartungsaufgabe ausbleibt, meldet unser Server an Healthchecks.io, dass ein Auftrag begonnen bzw. beendet wurde. Nutzerdaten werden dabei nicht übertragen.

Darüber hinaus geben wir keine personenbezogenen Daten weiter. Wir verkaufen keine Daten, betreiben keine Werbevermarktung und treffen keine automatisierten Entscheidungen im Sinne des Art. 22 DSGVO.