Datenschutzerklärung

1 Verantwortlicher

Verantwortlicher für die Datenverarbeitung im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:

2 Grundsätze der Verarbeitung

Wir verarbeiten personenbezogene Daten nur, soweit dies für die Bereitstellung der Plattform erforderlich ist. Es erfolgt keine Weitergabe an Werbetreibende, kein Einsatz von Web-Tracking-Diensten (z. B. Google Analytics) und kein Erstellen von Nutzerprofilen zu Marketingzwecken.

Rechtsgrundlagen der Verarbeitung:

• Art. 6 Abs. 1 lit. b DSGVO – Vertragserfüllung: Verarbeitung zur Erbringung der Plattformleistung.
• Art. 6 Abs. 1 lit. a DSGVO – Einwilligung: z. B. für Push-Benachrichtigungen.
• Art. 6 Abs. 1 lit. f DSGVO – Berechtigte Interessen: Sicherheit und Betrieb der Infrastruktur (Server-Logs).

3 Hosting & Server-Logs

Die Plattform wird auf einem virtuellen Server (Strato VPS) in einem deutschen Rechenzentrum der STRATO AG, Pascalstraße 10, 10587 Berlin, Deutschland betrieben. Mit STRATO besteht ein Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO. Weitere Informationen finden Sie in der Datenschutzerklärung von STRATO.

Beim Aufruf der Website und der App verarbeitet der Server automatisch folgende Daten in Log-Dateien:

• IP-Adresse (anonymisiert nach spätestens 7 Tagen)
• Datum und Uhrzeit des Zugriffs
• Aufgerufene URL
• HTTP-Statuscode
• Übertragene Datenmenge
• Referrer-URL (sofern übermittelt)
• Browser-Typ und Betriebssystem (User-Agent)

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Berechtigtes Interesse ist die Sicherstellung des ordnungsgemäßen Betriebs und die Erkennung von Angriffen. Die Logs werden nach spätestens 30 Tagen gelöscht.

4 Nutzerkonten & Vereinsdaten

Registrierung

Zur Nutzung der App ist die Anlage eines Nutzerkontos erforderlich. Dabei werden folgende Daten erhoben und gespeichert:

• Vor- und Nachname
• E-Mail-Adresse (dient als Benutzername)
• Passwort (ausschließlich als gesicherter Hash gespeichert, nicht im Klartext)
• Optionales Profilbild
• Optionale Adressdaten (für Rechnungsempfänger)
• Sprachpräferenz und gewähltes Design-Theme

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).

Vereinszugehörigkeit und Buchungsdaten

Im Rahmen der Vereinsnutzung werden folgende Daten verarbeitet:

• Anzeigename innerhalb des Vereins
• Gebuchte Artikel und Mengen (Bestellhistorie)
• Erstellte und erhaltene Rechnungen inkl. Beträge und Zahlungsstatus
• Sonderkosten (Custom Charges), die von Managern gebucht wurden
• Änderungsanfragen und deren Bearbeitungsstatus

Diese Daten werden ausschließlich für die vereinsinterne Buchführung und Abrechnung verarbeitet. Innerhalb eines Vereins können Manager und berechtigte Operatoren die Daten der Vereinsmitglieder einsehen, soweit dies für die Verwaltung erforderlich ist.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

Gäste

Gäste können einem Verein ohne eigenes Konto per QR-Code beitreten. Dabei wird lediglich ein selbst gewählter Anzeigename gespeichert. Es werden keine E-Mail-Adressen oder Passwörter von Gästen erhoben. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

5 Nutzungsdaten innerhalb der App

Es werden keine Nutzungsstatistiken, kein Tracking und keine Verhaltensanalysen durch Drittdienste erhoben. Die appinternen Statistiken (z. B. Bestellvolumen, Umsatz) werden ausschließlich aus den eigenen Buchungsdaten des jeweiligen Vereins berechnet und dienen der vereinsinternen Verwaltung.

6 Push-Benachrichtigungen (Firebase Cloud Messaging)

Mit ausdrücklicher Einwilligung des Nutzers (Art. 6 Abs. 1 lit. a DSGVO) können Push-Benachrichtigungen über den Dienst Firebase Cloud Messaging (FCM) der Google LLC, 1600 Amphitheatre Parkway, Mountain View, CA 94043, USA gesendet werden.

Dabei wird ein gerätespezifisches FCM-Token an den Server übermittelt und dort gespeichert. Dieses Token enthält keine direkt personenbezogenen Informationen, ermöglicht jedoch die Zustellung von Benachrichtigungen an das jeweilige Gerät.

Google verarbeitet die übermittelten Daten als Auftragsverarbeiter auf Grundlage der EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO). Weitere Informationen finden Sie in der Firebase-Datenschutzerklärung und den Google-Datenverarbeitungsbedingungen.

Die Einwilligung kann jederzeit durch Deaktivierung der Push-Benachrichtigungen in den App-Einstellungen (Profil → Benachrichtigungseinstellungen) widerrufen werden. Beim Widerruf wird das FCM-Token vom Server gelöscht.

7 Lokaler Speicher (LocalStorage)

Die App speichert folgende Daten im lokalen Speicher des Browsers (localStorage), ohne dabei Cookies zu setzen:

• Authentifizierungstoken (Access Token & Refresh Token) zur Aufrechterhaltung der Anmeldung, sofern „Angemeldet bleiben" aktiviert ist.
• Build-Versionsnummer zur Erkennung von App-Updates für automatische Cache-Aktualisierungen.

Diese Daten verbleiben ausschließlich auf Ihrem Gerät und werden nicht an Dritte übertragen. Sie können den lokalen Speicher jederzeit über die Einstellungen Ihres Browsers löschen. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) bzw. Art. 6 Abs. 1 lit. f DSGVO (Betrieb der App).

Es werden keine Tracking-Cookies eingesetzt.

8 E-Mail-Kontakt

Wenn Sie uns per E-Mail kontaktieren, werden Ihre Angaben (E-Mail-Adresse, Inhalt der Nachricht, ggf. Name) zur Bearbeitung Ihrer Anfrage gespeichert. Die Daten werden nicht an Dritte weitergegeben und nach Abschluss der Bearbeitung gelöscht, sofern keine gesetzlichen Aufbewahrungspflichten bestehen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Beantwortung von Anfragen).

9 Datenweitergabe an Dritte

Personenbezogene Daten werden grundsätzlich nicht an Dritte weitergegeben, es sei denn:

• Sie haben ausdrücklich eingewilligt (z. B. Push-Benachrichtigungen über Firebase).
• Die Weitergabe ist zur Vertragserfüllung erforderlich (z. B. Hosting-Anbieter als Auftragsverarbeiter).
• Wir sind gesetzlich dazu verpflichtet.

Der Hosting-Anbieter (STRATO AG) verarbeitet Daten ausschließlich nach unserer Weisung im Rahmen eines Auftragsverarbeitungsvertrags gemäß Art. 28 DSGVO. Die Server stehen in Deutschland.

10 Übermittlung in Drittländer

Im Zusammenhang mit Firebase Cloud Messaging (siehe Abschnitt 6) können Daten in die USA übermittelt werden. Google LLC ist gemäß dem EU-US Data Privacy Framework (Angemessenheitsbeschluss der EU-Kommission vom 10. Juli 2023) zertifiziert. Zusätzlich bestehen EU-Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO als geeignete Garantie.

Weitere Übermittlungen in Drittländer finden nicht statt.

11 Speicherdauer

• Nutzerkontodaten: Bis zur Löschung des Kontos durch den Nutzer oder nach schriftlicher Anfrage.
• Buchungs- und Rechnungsdaten: Für die Dauer der Vereinszugehörigkeit und nach deren Ende für die gesetzliche Aufbewahrungsfrist (§ 257 HGB: 6–10 Jahre), soweit steuerrechtlich relevant.
• Server-Logs: Maximal 30 Tage.
• E-Mail-Kommunikation: Bis zur Erledigung, danach innerhalb von 3 Monaten gelöscht.
• FCM-Tokens: Bis zum Widerruf der Einwilligung oder Löschen des Kontos.

12 Ihre Rechte

Sie haben gegenüber uns folgende Rechte hinsichtlich Ihrer personenbezogenen Daten:

• Auskunftsrecht (Art. 15 DSGVO): Sie können Auskunft über die bei uns gespeicherten Daten verlangen.
• Recht auf Berichtigung (Art. 16 DSGVO): Sie können die Berichtigung unrichtiger oder unvollständiger Daten verlangen. Viele Angaben können direkt in der App unter Profil geändert werden.
• Recht auf Löschung (Art. 17 DSGVO): Sie können die Löschung Ihrer Daten verlangen, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen.
• Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO).
• Recht auf Datenübertragbarkeit (Art. 20 DSGVO).
• Widerspruchsrecht (Art. 21 DSGVO): Bei Verarbeitungen auf Grundlage berechtigter Interessen (Art. 6 Abs. 1 lit. f DSGVO) können Sie Widerspruch einlegen.
• Recht auf Widerruf einer Einwilligung: Die Einwilligung zur Nutzung von Push-Benachrichtigungen kann jederzeit in den App-Einstellungen widerrufen werden.

Zur Wahrnehmung Ihrer Rechte wenden Sie sich bitte per E-Mail an info@trackmydrinks.de.

Beschwerderecht bei der Aufsichtsbehörde

Sie haben das Recht, sich bei einer Datenschutzaufsichtsbehörde zu beschweren. Die zuständige Aufsichtsbehörde für Baden-Württemberg ist:

13 Datensicherheit

Alle Verbindungen zur Website und zur App sind durch TLS-Verschlüsselung (HTTPS) gesichert. Passwörter werden ausschließlich als kryptografische Hashes (bcrypt) gespeichert – eine Wiederherstellung im Klartext ist nicht möglich. Der Zugriff auf personenbezogene Daten ist durch ein rollenbasiertes Berechtigungssystem geschützt: Nutzer können nur auf eigene Daten sowie auf Vereinsdaten zugreifen, für die sie berechtigt sind.

Authentifizierungstoken haben eine begrenzte Gültigkeitsdauer und werden nach dem Abmelden ungültig gemacht.

14 Änderungen dieser Datenschutzerklärung

Wir behalten uns vor, diese Datenschutzerklärung bei Bedarf anzupassen, um sie an geänderte Rechtslagen oder bei Änderungen des Dienstes zu aktualisieren. Das Datum der letzten Überarbeitung ist oben angegeben. Wir empfehlen, diese Seite regelmäßig zu prüfen.