Datenschutzerklärung

1. Verantwortlicher

Postier Express UG (haftungsbeschränkt)
Birrekoven 5, 53447 Alfter, Deutschland
Vertreten durch: Merlin Fotsing
E-Mail: contact@screwps.com
Datenschutzanfragen: dpo@screwps.com

Weitere Angaben finden Sie im Impressum.

Vereinsdaten: Für Angaben, die ein Verein über seine Mitglieder pflegt – Geburtsdatum, Anschrift, Spielklassen, Spielstärke, Mitgliedschaft und Rollen im Verein – ist der jeweilige Verein Verantwortlicher. Wir verarbeiten diese Daten in seinem Auftrag (Art. 28 DSGVO); Vereine erhalten dazu einen Auftragsverarbeitungsvertrag (Anfrage an legal@screwps.com). Fragen zu diesen Daten richtest du am besten an deinen Verein; erreichen sie uns, leiten wir sie weiter.

2. Übersicht der Verarbeitungen

3. Hosting

Screwps wird auf einem virtuellen Server (VPS) von Hostinger International Ltd. betrieben, Serverstandort Deutschland. Mit dem Hosting-Anbieter besteht ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO. Deine Daten bleiben in der EU/im EWR – mit zwei Ausnahmen: Schaltest du Browser-Benachrichtigungen ein, werden diese über den Push-Dienst deines Browsers zugestellt, der teils in den USA sitzt; und Kompass lässt den Text von Dokumenten in den USA auslesen (beides unter 8.).

Server-Protokolle und Fehlerüberwachung: Damit Screwps zuverlässig läuft und wir Fehler schnell beheben können, protokollieren wir technische Daten zu Anfragen und Fehlern: Zeitpunkt, aufgerufener Pfad (ohne Suchparameter), Antwortcode und -dauer, interne Kennungen von Gruppen oder Terminen sowie Fehlermeldungen mit technischem Ablauf (Stacktrace). Tritt in deinem Browser ein Programmfehler auf, sendet Screwps dessen Art, Meldung, technischen Ablauf und den Seitenpfad an unseren Server. E-Mail-Adressen und IP-Adressen werden vor dem Speichern gekürzt (z. B. „h***@gmx.de“, „84.152.x.x“). Diese Daten bleiben auf unserem Server in Deutschland (selbst betriebene Software OpenObserve, keine Weitergabe an Dritte; Hinweise auf Störungen bekommen wir per E-Mail über Mailjet, sie nennen nur Art und Anzahl der Fehler), werden nur von uns zur Fehlersuche ausgewertet und nach 14 Tagen automatisch gelöscht. Es findet kein Tracking und keine Auswertung deines Nutzungsverhaltens statt. Rechtsgrundlage ist unser berechtigtes Interesse an einem sicheren und funktionierenden Betrieb (Art. 6 Abs. 1 lit. f DSGVO).

4. Registrierung & Nutzung deines Kontos

Es gibt keine Selbstregistrierung. Ein Admin deiner Gruppe trägt dich mit Namen und E-Mail-Adresse ein, damit du am gemeinsamen Terminplan teilnehmen kannst; du bekommst darüber eine E-Mail. Rechtsgrundlage ist die Erfüllung dieses Nutzungsverhältnisses bzw. unser berechtigtes Interesse (und das deiner Gruppe) an einer fairen, funktionierenden Terminplanung (Art. 6 Abs. 1 lit. b, lit. f DSGVO).

Gruppen anlegen und verwalten: Jede angemeldete Person kann eine Gruppe oder eine neue Saison anlegen und wird deren Admin. Wer Mitglieder einträgt, darf das nur für Personen tun, die mitspielen wollen und mit der Eintragung rechnen. Gibt es schon eine Gruppe mit genau denselben Mitgliedern, zeigen wir nur deren Namen – und ob du selbst dabei bist –, damit keine doppelte Gruppe entsteht.

Import aus einer Datei: Mitglieder können aus einer CSV-, Excel- oder PDF-Datei oder aus einem Foto/Scan einer Liste übernommen werden. Die Datei wird auf unserem Server gelesen – Scans mit einer Texterkennung (Tesseract OCR) ohne KI-Dienste und ohne Weitergabe an Dritte – und danach sofort verworfen; wir speichern weder die Datei noch ihren Inhalt. Gespeichert werden nur die Personen, die die oder der Admin nach Prüfung tatsächlich einträgt.

Beitrittsanfragen: Möchtest du fest in einer Gruppe mitspielen, sehen deren Admins deinen Namen, deine E-Mail-Adresse und deine optionale Nachricht und bekommen eine E-Mail. Über die Entscheidung informieren wir dich per E-Mail.

Probleme melden: Meldest du ein Problem an einem Platz oder einer Halle, speichern wir Platz, Kategorie, deine Beschreibung, ob der Platz noch nutzbar ist, den Zeitpunkt und dich als meldende Person. Ein optionales Foto (JPG/PNG, höchstens 5 MB) wird vor dem Speichern neu berechnet und verkleinert; dabei werden alle eingebetteten Metadaten entfernt, insbesondere Standort (GPS), Kameramodell und Aufnahmezeit. Bitte fotografiere keine Personen. Die Meldung sehen nur die Super-Admins der Anlage und du selbst; die Super-Admins werden per E-Mail benachrichtigt, du bekommst eine E-Mail, sobald das Problem behoben ist. Rechtsgrundlage ist unser berechtigtes Interesse an einer sicheren, funktionierenden Anlage (Art. 6 Abs. 1 lit. f DSGVO).

Profilbild: Unter Mehr › Profil kannst du freiwillig ein Profilbild hochladen oder mit dem Handy aufnehmen (JPG/PNG, höchstens 5 MB). Wir schneiden es quadratisch zu, verkleinern es auf 512 × 512 Pixel und speichern es neu berechnet; dabei werden alle eingebetteten Metadaten entfernt, insbesondere Standort (GPS), Kameramodell und Aufnahmezeit. Ein neues Bild sieht zuerst nur der Vorstand deines Vereins: Er gibt es frei, damit nur echte Profilbilder zu sehen sind, oder lehnt es mit einem Grund ab – dann löschen wir es sofort und schicken dir eine E-Mail mit dem Grund. Freigegebene Bilder sehen alle angemeldeten Personen neben deinem Namen (bei den Spielenden im „Überblick“ und im Spielplan deiner Gruppe sowie in deren Mitgliederliste), nie Besucher ohne Anmeldung, nicht in E-Mails, im Kalender-Abo oder in Kompass. Die Entscheidungen des Vorstands (wann, Ergebnis, Grund, wer) speichern wir 90 Tage. Mit „Entfernen“ bzw. „Zurückziehen“ löschst du dein Bild sofort; das widerruft zugleich deine Einwilligung (Art. 6 Abs. 1 lit. a, Art. 7 Abs. 3 DSGVO).

Buchungen: Buchst du eine freie Zeit, speichern wir Platz, Datum, Uhrzeit, den Zeitpunkt und dich als buchende Person. Andere sehen im Belegungsplan nur „Gebucht“, nie wer gebucht hat. Stornierst du, löschen wir die Buchung. Ob eine Buchung nachrangig ist (du hattest an dem Tag schon eine), steht an der Buchung; im Belegungsplan sehen andere nur „Nachrangig“, nie wer gebucht hat. Übernimmt sie jemand, der noch nicht gespielt hat, löschen wir sie samt ihren Gästen und sagen dir Bescheid.

Mitspielende und Gäste: Beim Buchen kannst du bis zu drei weitere Personen mit Namen und E-Mail-Adresse eintragen. Hat die Adresse ein vom Vorstand bestätigtes Konto, steht die Person als Mitglied in der Buchung, sonst als Gast. Gäste bekommen eine E-Mail mit Platz, Tag, Zeit, deinem Namen und einem Link zum Zusagen; der Link gilt einmal und bis Spielbeginn, wir speichern nur seinen Hash. Damit die Gastspiel-Grenze des Vereins gilt, zählen wir zugesagte Gastspiele je Adresse – in der Sommersaison und solange der Verein keine Saisonzeiten freigegeben hat, nicht in der Wintersaison. Dafür behalten wir einen geschützten Schlüssel der Adresse (HMAC mit einem Schlüssel, der nur auf dem Server liegt) mit der Zahl, nicht die Adresse selbst. Eingetragene Mitglieder sehen die Buchung in ihrer Datenauskunft; in deiner Auskunft stehen Gast-Adressen nur gekürzt. Rechtsgrundlage ist für dich die Nutzung von Screwps (Art. 6 Abs. 1 lit. b DSGVO), für Gäste das berechtigte Interesse des Vereins, seine Spielordnung einzuhalten (Art. 6 Abs. 1 lit. f DSGVO).

Vereinstermine und Kollisionen: Mannschaftsspiele, Medenspiele und Clubmeisterschaften tragen Sportwart oder Platzwart ein; wir speichern, wer sie eingetragen hat. Überschneidet sich ein solcher Termin mit deiner Buchung, bleibt sie bestehen; Platzwart und Sportwart sehen dann, wer gebucht hat und wer eingetragen ist, und klären es mit dir. Wie es gelöst wurde (verlegt, storniert oder als gelöst markiert, mit Notiz), speichern wir 30 Tage. Rechtsgrundlage ist die Nutzung von Screwps (Art. 6 Abs. 1 lit. b DSGVO) und das berechtigte Interesse des Vereins an einem geordneten Spielbetrieb (Art. 6 Abs. 1 lit. f DSGVO).

Gastspiele überwachen: Vorstand und Platzwart sehen je Mitglied, wie oft es in der Saison Gäste mitgebracht hat, wie viele verschiedene, wie viele ohne Zusage und ob Gäste inzwischen im Verein sind. Willst du einen Gast eintragen, der schon so oft gespielt hat, wie der Verein erlaubt, merken wir uns das einmal am Tag (du, ein geschützter Schlüssel der Adresse, der Tag). Bringst du in einer Sommersaison mehr als 6 Mal Gäste mit, bekommen Vorstand und Platzwart eine E-Mail mit deinem Namen und der Zahl; sie prüfen die Meldung und können eine Notiz dazu schreiben. Rechtsgrundlage ist das berechtigte Interesse des Vereins, seine Spielordnung einzuhalten (Art. 6 Abs. 1 lit. f DSGVO). Die Versuche löschen wir nach einem Jahr, die Meldungen nach drei Jahren.

Mitspielen in anderen Gruppen: Fragst du, ob du in einer Session einer anderen Gruppe mitspielen darfst, sehen die Mitglieder dieser Gruppe (und die Super-Admins) deinen Namen, das Datum und deine Zuverlässigkeit (siehe unten) und bekommen eine Benachrichtigung. Deine E-Mail-Adresse sehen sie nicht. Über die Entscheidung informieren wir dich.

Bewertungen und Zuverlässigkeit: Nach einer Session, in der du als Gast mitgespielt hast, kannst du die Gruppe bewerten und ihre Mitglieder dich: 1 bis 5 Sterne, ob du erschienen bist, und optional ein kurzer Kommentar. Daraus berechnen wir für Gäste, wie oft sie in den letzten 90 Tagen gespielt, abgesagt oder nicht erschienen sind, und für Gruppen, wie zuverlässig und schnell sie auf Anfragen antworten. Sterne und Zuverlässigkeit einer Gruppe sehen alle Angemeldeten. Die Zuverlässigkeit eines Gastes sehen nur die Mitglieder der Gruppe, bei der er anfragt, und die Super-Admins; Kommentare samt Namen der Verfasserin oder des Verfassers sehen nur Mitglieder der betroffenen Gruppe und die Super-Admins. Es gibt keine automatische Entscheidung allein auf dieser Grundlage – über Anfragen entscheiden immer Menschen. Rechtsgrundlage ist das berechtigte Interesse an verlässlicher Planung (Art. 6 Abs. 1 lit. f DSGVO); du kannst dem widersprechen (siehe 10.).

Statistik, Rangliste und Kudos: Im Spielplan einer Gruppe zeigt der Reiter „Statistik“, wer wie oft gespielt hat, wer für wen eingesprungen ist und wer welche Kudos (ein kurzes Dankeschön mit Grund) von wem bekommen hat. Daraus berechnen wir Punkte für eine Rangliste und küren am Saisonende einen Gruppenkönig. Punkte gibt es nur für Positives – es gibt keine Minuspunkte. Das alles sehen nur die Mitglieder der jeweiligen Gruppe und die Super-Admins. Unter Einstellungen › „Rangliste und Krone“ kannst du dich jederzeit ausblenden; du wirst dann weder gerankt noch gekrönt, deine Übernahmen zählen aber weiter für die Zahlen der Gruppe. Rechtsgrundlage ist das berechtigte Interesse an einer fairen, gegenseitig wertschätzenden Planung (Art. 6 Abs. 1 lit. f DSGVO); du kannst dem widersprechen (siehe 10.). Am Saisonende zeigen wir dir deinen eigenen Saison-Rückblick; das Bild dazu entsteht nur in deinem Browser und wird nicht an uns übertragen – ob und mit wem du es teilst, entscheidest du. Unter Mehr › Statistik siehst du außerdem deine eigenen Zahlen über alle deine Gruppen – dazu, was du im Verein gemacht hast (Kudos-Duell, als Gast mitgespielt, Plätze gebucht, Anfragen beantwortet, Probleme gemeldet). Diese Seite sieht nur du.

Spielbewertung: Nach einem gespielten Termin kannst du ihn bis zu 14 Tage lang mit 1 bis 5 Sternen bewerten. Wir speichern deine Sterne je Termin mit dem Zeitpunkt; die erste Bewertung bringt dir einen Punkt in der Statistik. Deine Gruppe sieht nur den Durchschnitt je Termin und die Zahl der Bewertungen, und den Durchschnitt erst ab 2 Bewertungen – nie, wer wie viele Sterne gegeben hat. Die Bewertungen bleiben gespeichert wie die Saison (siehe 9.), werden mit deinem Konto gelöscht und stehen in deiner Datenauskunft unter „Spielbewertungen“. Sagst du zu einem Kudos „Danke“, bekommt ihr beide ein Kudos mit dem Grund „Danke“; es wird wie jedes Kudos gespeichert und angezeigt. Rechtsgrundlage ist die Nutzung von Screwps (Art. 6 Abs. 1 lit. b DSGVO).

Funktionsstatistik: Damit wir wissen, welche Funktionen im Überblick gebraucht werden, zählt Screwps auf dem eigenen Server nur, wie oft eine Funktion an einem Tag benutzt wurde: je Funktion und Tag eine Zahl. Dabei speichern wir weder deine Person noch deine Sitzung, dein Gerät oder deine IP-Adresse, setzen kein Cookie und geben nichts an Dritte. Die Zahlen sehen nur die Super-Admins, Zahlen unter 5 nur als „unter 5“. Nach 13 Monaten werden die Tageszahlen gelöscht. Das ist kein Tracking: Es entsteht kein Bezug zu dir. Rechtsgrundlage ist das berechtigte Interesse, Screwps zu verbessern (Art. 6 Abs. 1 lit. f DSGVO).

Kudos-Duell im Verein: Ab und zu laden die Super-Admins die Gruppenkönige der letzten Saisons zu einem einwöchigen Duell ein. Nur wer als König ausdrücklich zusagt, erscheint vereinsweit – mit Name, Gruppe und den Saison-Zahlen (Punkte, eingesprungen, Kudos); die Einladung sieht nur der König selbst, eine Absage nur die Super-Admins. Während des Duells kann jedes Mitglied jedem König einmal Kudos geben. Wir speichern, wer wem welche Kudos gegeben hat, damit niemand doppelt gibt; angezeigt wird das niemandem außer dir selbst – alle anderen sehen nur die Zahl und die Gründe. Zum Start und zum Ergebnis bekommen die Mitglieder einen Hinweis in der App und eine E-Mail (abschaltbar unter Einstellungen › E-Mails › „Kudos-Duell“). Rechtsgrundlage für die Anzeige der Könige ist ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), die sie bis zum Start zurückziehen können; im Übrigen das berechtigte Interesse an einem wertschätzenden Vereinsleben (Art. 6 Abs. 1 lit. f DSGVO).

Kurzfristig absagen: Kannst du in den letzten 12 Stunden vor einem Termin nicht, kannst du mit „Kann nicht“ absagen, sofern Verein und Gruppe das eingeschaltet haben. Wir speichern die Absage mit Zeitpunkt und deiner freiwilligen Nachricht und benachrichtigen die Mitspielerinnen und Mitspieler dieses Termins und die Admins der Gruppe (App, E-Mail und, wenn erlaubt, Browser-Benachrichtigung); im Spielplan der Gruppe sehen die Mitglieder, dass du ausfällst. Nimmst du die Absage vor Beginn zurück, löschen wir sie. Die Absage kostet keine Punkte; in der Statistik zählt der Termin für dich nur nicht als gespielt. Rechtsgrundlage ist das berechtigte Interesse an einer verlässlichen Planung der Gruppe (Art. 6 Abs. 1 lit. f DSGVO).

Retter-Ruf: Ist ein weitergereichter Platz 24 Stunden vor Beginn noch frei, benachrichtigen wir alle Mitglieder der Gruppe, die an dem Termin nicht spielen – im Postfach der App, per E-Mail und, wenn du Browser-Benachrichtigungen erlaubt hast, auch dort. Die Nachricht nennt Gruppe, Platz, Zeit und die Namen der Mitspielerinnen und Mitspieler. Wir speichern nur, für welchen Platz und wann der Ruf verschickt wurde, damit er nicht doppelt kommt. Unter Einstellungen › E-Mails › „Retter-Ruf“ schaltest du ihn ab; der Verein kann ihn unter Verwaltung › Benachrichtigungen ganz abschalten. Rechtsgrundlage ist das berechtigte Interesse daran, dass Termine stattfinden (Art. 6 Abs. 1 lit. f DSGVO).

Kalender: Du kannst deine Termine als Datei herunterladen oder über einen persönlichen Abo-Link in deinen Kalender holen. Die Termine enthalten Gruppe, Platz, Zeit und die Namen deiner Mitspielerinnen und Mitspieler. Wir speichern deine Auswahl, den Abo-Link mit dem Zeitpunkt des letzten Abrufs und – damit wir dir Änderungen anzeigen können – Titel und Zeiten der zuletzt heruntergeladenen Termine (ohne Namen). Der Abo-Link funktioniert ohne Anmeldung; gib ihn deshalb nicht weiter. Du kannst ihn jederzeit neu erzeugen oder beenden, dann ist der alte ungültig. Trägst du den Abo-Link bei einem Kalenderanbieter ein (z. B. Google, Apple, Microsoft), ruft dieser Anbieter die Termine regelmäßig bei uns ab und verarbeitet sie in eigener Verantwortung.

Erinnerungen per E-Mail: Schaltest du sie unter Einstellungen › Erinnerungen ein (standardmäßig aus), erinnern wir dich zu den gewählten Zeitpunkten an deine Termine – mit Ort, Uhrzeit, Gruppe und Mitspielern. Damit keine Erinnerung doppelt kommt, protokollieren wir, welche verschickt wurde, und löschen diese Einträge nach 30 Tagen.

Browser-Benachrichtigungen: Schaltest du „Im Browser“ ein und erlaubst die Abfrage deines Browsers, speichern wir dessen Push-Abonnement: eine Adresse beim Push-Dienst deines Browsers, die Schlüssel zum Verschlüsseln und eine grobe Gerätebezeichnung (z. B. „Chrome · Mac“). Die Benachrichtigungen sind Ende-zu-Ende verschlüsselt; der Push-Dienst sieht den Inhalt nicht, wohl aber Zeitpunkt und Größe sowie die Adresse deines Geräts. Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG). Du kannst sie jederzeit widerrufen, indem du die Benachrichtigungen unter Einstellungen › Erinnerungen oder in deinem Browser abschaltest. Das Abonnement löschen wir, sobald du es unter Einstellungen › Erinnerungen abschaltest oder der Push-Dienst es als ungültig meldet.

Kinder und Jugendliche: Vereine können auch Jugendliche eintragen. Der Verein sorgt dafür, dass die Erziehungsberechtigten darüber informiert sind und – wo nötig – zugestimmt haben. Freiwillige Funktionen wie Browser-Benachrichtigungen sollten Kinder unter 16 Jahren nur mit Zustimmung ihrer Eltern einschalten.

Verlassen, Archivieren, Löschen: Verlässt du eine Gruppe, werden deine kommenden Termine als freie Plätze angeboten. Endet eine Saison, wird sie archiviert: Sie bleibt für ihre Mitglieder lesbar und zählt weiter für Statistik und Rückblick; ihr Terminplan ab dem Archivierungstag wird gelöscht, und die Mitglieder bekommen dazu eine E-Mail. Löscht ein Admin der Gruppe eine archivierte Saison, werden Namen, E-Mail-Adressen, Kommentare und Nachrichten aus ihr entfernt; Termine, Zu- und Absagen bleiben anonymisiert („Mitglied 1“ …) erhalten. Spätestens geschieht das automatisch, sobald Ansprüche aus der Saison verjährt sind.

5. Anmeldung ohne Passwort (Einmal-Link, Code, Passkey)

Nach Eingabe deiner E-Mail-Adresse erhältst du einen Einmal-Link und einen sechsstelligen Code. Beide werden mit einem kryptographisch sicheren Zufallsgenerator erzeugt, sind zehn Minuten gültig und nach einmaliger Verwendung ungültig; der Code nach fünf Fehlversuchen ebenfalls. Wir speichern Link und Code nur als verschlüsselten Prüfwert (Hash). Es wird zu keinem Zeitpunkt ein Passwort von dir gespeichert.

Passkeys (freiwillig): Richtest du einen Passkey ein, meldest du dich mit Fingerabdruck, Gesicht oder der PIN deines Geräts an. Wir speichern dafür nur einen öffentlichen Schlüssel, einen Zähler, den von dir vergebenen Namen und das Datum der Einrichtung und letzten Nutzung. Biometrische Daten verlassen dein Gerät nie und werden von uns weder erhoben noch verarbeitet. Passkeys kannst du jederzeit unter „Konto“ entfernen.

Angemeldete Geräte: Für jede Anmeldung speichern wir eine Sitzung mit einer groben Gerätebezeichnung (z. B. „Safari auf iPhone“), Zeitpunkt der Anmeldung und letzten Aktivität sowie dem Ablaufdatum – nicht deine IP-Adresse und nicht die vollständige Browserkennung. So kannst du unter „Konto“ sehen, wo du angemeldet bist, und einzelne oder alle Geräte abmelden. Beendete Sitzungen löschen wir nach 30 Tagen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b und lit. f DSGVO (sichere Anmeldung, Missbrauchsschutz).

E-Mail-Adresse ändern: Trägst du im Profil eine neue Adresse ein, speichern wir sie zusammen mit einem Einmal-Link (nur als Prüfwert) und dessen Ablauf und schicken den Link an die neue Adresse. Erst wenn du ihn innerhalb von 24 Stunden öffnest, gilt sie; dann wirst du auf allen Geräten abgemeldet und deine alte Adresse bekommt eine Nachricht. Eine nicht bestätigte Änderung löschen wir sieben Tage nach Ablauf des Links. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

6. Cookies

Diese Cookies sind technisch notwendig im Sinne von § 25 Abs. 2 Nr. 2 TDDDG; für ihren Einsatz ist keine Einwilligung erforderlich. Wählst du die Sprache selbst (im Footer, unter Einstellungen oder über einen Sprach-Link wie /language/en), merkt sich Screwps das im Cookie NEXT_LOCALE (365 Tage); sonst richtet sich die Sprache nach der Spracheinstellung, die dein Browser bei jedem Aufruf mitschickt – sie wird dafür nur gelesen, nicht gespeichert. Außerdem legt die Seite einige Einträge im Speicher deines Browsers ab, etwa deine Ansicht in Meine Termine. Screwps setzt keine Analyse-, Marketing- oder Tracking-Cookies ein. Die vollständige Liste steht in den Cookie-Einstellungen.

7. Sichtbarkeit deiner Daten für andere

Dein Name ist für die Mitglieder deiner eigenen Gruppe im Terminplan sichtbar. Der Admin deiner Gruppe sieht zusätzlich deine E-Mail-Adresse zur Verwaltung der Mitgliedschaft. Die Super-Admins der Anlage (vom Betreiber festgelegt) sehen alle Nutzer mit Name, E-Mail-Adresse und Gruppen; sie können Angaben berichtigen, ein Konto sperren (keine Anmeldung mehr möglich) oder entfernen. Mitglieder anderer Gruppen sehen im Belegungsplan weder Namen noch E-Mail-Adressen — nur, ob ein Platz belegt, frei oder freigestellt ist. Die Startseite zeigt ohne Anmeldung nur einen Beispielverein mit erfundenen Namen. Geburtsdatum und Anschrift sehen nur die Mitglieder des Vorstands; Spielklassen, Spielstärke und Rollen im Verein sehen die Super-Admins. Diese Angaben werden gespeichert, solange dein Konto besteht, und mit ihm gelöscht. Wer eine freie Zeit gebucht hat, sieht niemand außer dir. Wer Bewertungen und Zuverlässigkeit sieht, steht unter 4.

8. Empfänger / Auftragsverarbeiter

Hostinger International Ltd. (Hosting, Serverstandort Deutschland).

E-Mail-Versand: Anmelde-Links und Benachrichtigungen (z. B. weitergereichte Termine, Mitspiel- und Beitrittsanfragen und Entscheidungen darüber, die Info über eine neue Gruppenmitgliedschaft) versenden wir über Mailjet SAS, Frankreich (Teil der Sinch-Gruppe); zuvor liegt jede Mail kurz in einer Warteschlange auf unserem Server, aus der unser eigener Mail-Dienst sie an Mailjet übergibt und ihren Inhalt danach löscht. Dabei werden deine E-Mail-Adresse, dein Name und der Inhalt der jeweiligen E-Mail verarbeitet, ausschließlich zum Zweck der Zustellung. Mailjet speichert und verarbeitet die Daten nach eigenen Angaben ausschließlich in Rechenzentren in der EU (Frankfurt am Main und Saint-Ghislain, Belgien). Mit Mailjet besteht ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO. Das Messen von Öffnungen und Link-Klicks ist für alle unsere E-Mails abgeschaltet; Links werden nicht über Mailjet umgeleitet. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Anmeldung und Terminplanung).

Push-Dienste der Browser: Browser-Benachrichtigungen (nur wenn du sie einschaltest) stellt der Push-Dienst deines Browsers zu – bei Chrome und Android der Dienst von Google, bei Edge der von Microsoft, bei Safari und auf dem iPhone der von Apple, bei Firefox der von Mozilla. Diese Anbieter sitzen teils in den USA. Der Inhalt ist Ende-zu-Ende verschlüsselt; übermittelt werden die Adresse deines Abonnements, Zeitpunkt und Größe der Nachricht. Für die USA besteht ein Angemessenheitsbeschluss der EU-Kommission (EU-US Data Privacy Framework), soweit der jeweilige Anbieter danach zertifiziert ist.

Erreichbarkeitsprüfung: Ein externer Dienst (UptimeRobot) ruft regelmäßig unsere Startseite auf, um Ausfälle zu melden. Dabei werden keine Daten von dir übermittelt.

Screwps Kompass: Kompass (kompass.screwps.com) ist ein eigener Dienst des gleichen Anbieters mit eigener Datenbank auf demselben Server. Er liest öffentliche Seiten und Dokumente von Verband, nuLiga, DTB, Stadt und Verein und findet darin Fristen, Termine und Vorgaben. Aus nuLiga übernimmt er nur Mannschaften, Liga, Ort und Zeit – keine Spielerdaten. Was eine zuständige Vereinsfunktion dort freigibt, zeigt Screwps unter Mehr › Verein. Meldest du dich bei Kompass mit „Mit Screwps anmelden“ an, gibt Screwps nach deiner Bestätigung nur deinen Namen, deine Funktionen im Verein und die Angabe weiter, ob du Super-Admin bist – keine E-Mail-Adresse und nichts anderes. Deine Anmeldung bei Kompass gilt 12 Stunden und wird danach gelöscht. Solange du angemeldet bist, fragt Kompass alle paar Minuten bei Screwps nach, ob du deine Funktion noch hast; wirst du gesperrt oder verlierst du sie, endet die Anmeldung. Freigaben, Änderungen und Widerrufe stehen mit deinem Namen im Protokoll der jeweiligen Saison (Nachweis, wer was freigegeben hat; Art. 6 Abs. 1 lit. f DSGVO). Hast du einen Eintrag vor der Freigabe geändert, steht dein Name mit dem Datum auch in Screwps beim Eintrag, damit alle sehen, dass er nicht unverändert aus der Quelle stammt. Bei Aufgaben speichert Kompass, welche Funktion zuständig ist, die Schritte (Text, wer sie wann erledigt hat) und wer die Aufgabe wann abgeschlossen hat; an Screwps geht davon nur, dass und wann sie erledigt ist – ohne Namen. Damit Aufgaben einer Person zugeordnet werden können, nennt Screwps Kompass Namen und Funktionen aller Vereinsfunktionäre (keine E-Mail-Adresse). Kompass hält diese Liste nur im Arbeitsspeicher und fragt alle fünf Minuten neu; ist Screwps nicht erreichbar, gilt bis zum Neustart die letzte Liste. Vor jeder Anfrage an Claude ersetzt Kompass die Namen der Funktionäre durch Platzhalter. Wer einer Aufgabe zugeordnet ist, speichert Kompass an der Aufgabe (Kennung) und mit Namen im Protokoll der Saison, bis die Saison gelöscht wird. Für die Mannschaften nennt Screwps Kompass außerdem die Zahl der Mitglieder, die Mannschaftsführer (Name) und die für Heimspiele gewählten Plätze. Fügen Vorstand oder Sportwart in Kompass einen Mannschaftsführer hinzu, erfährt Screwps, wer das war, und im Protokoll der Saison stehen beide Namen, bis die Saison gelöscht wird. Lädt jemand einen Spielplan als Datei hoch, liest Kompass daraus nur Datum, Uhrzeit, Heim- und Gastmannschaft und speichert die Datei nicht; bei einem PDF geht der Text vorher anonymisiert an Claude. Fotos liest Kompass nicht. Für den Plätze-Planer liest Kompass die Belegung der Plätze aus Screwps ohne Angaben dazu, wer bucht oder spielt; wählt jemand dort Plätze für ein Heimspiel, erfährt Screwps, wer das war, und im Protokoll der Saison steht sein Name. Richtest du in Kompass ein Kalender-Abo ein, speichert Kompass deine Auswahl und Erinnerungen, eine Zufallszahl und einen geschützten Schlüssel deines Abo-Links sowie Zeitpunkt und Art der Kalender-App beim letzten Abruf; im Kalender steht kein Name außer „du“. Schaltest du die Wochenübersicht per Mail ein, holt Kompass montags deine E-Mail-Adresse bei Screwps ab, legt die Mail mit den Einträgen deiner Woche in eine Warteschlange und übergibt sie unserem Mail-Dienst, der sie über Mailjet zustellt (siehe E-Mail-Versand); darüber hinaus speichert Kompass die Adresse nicht. Für welche Woche die Übersicht verschickt wurde, merkt sich Kompass 60 Tage. Abo und Wochenübersicht schaltest du in den Kompass-Einstellungen ab; mit deiner Vereinsfunktion enden sie von selbst. Wie eine archivierte Saison in Screwps bleibt eine Kompass-Saison bis zum Ende der regelmäßigen Verjährung gespeichert – drei Jahre ab Ende des Jahres, in dem sie endet (§§ 195, 199 BGB) – und wird am 1. Januar danach mit allen Einträgen und dem Protokoll gelöscht; ihre Einträge verschwinden dann auch aus Screwps. Für Fehlersuche und Sicherheit protokolliert Kompass wie Screwps Anfragen, Fehler, Anmeldungen und Freigaben – dort nur mit interner Kennung statt Namen – und löscht diese Protokolle nach 14 Tagen (siehe Server-Protokolle und Fehlerüberwachung).

Vereinsgruppen: Gibt eine Vereinsfunktion in Kompass eine Gruppe frei (zum Beispiel eine Mannschaft oder ein Turnier), entsteht sie in Screwps als Vereinsgruppe. Vorstand und Sportwart können dich ihr zuweisen; gespeichert werden dann dein Name, wer dich zugewiesen hat und seit wann. Die Liste der Personen sehen nur Vorstand und Sportwart. Die Zuweisung endet, wenn sie entfernt, die Gruppe in Kompass widerrufen oder ihre Saison gelöscht wird – oder wenn dein Konto gelöscht wird.

Auswertung der Dokumente mit Claude: Zum Lesen der Dokumente nutzt Kompass die Claude-API von Anthropic, PBC (USA). Übermittelt wird nur der Text von Dokumenten zu Terminen, Fristen, Vorgaben und Gebührenordnungen – der öffentlichen Seiten und PDFs, die Kompass abruft, und der PDFs, die eine Vereinsfunktion hochlädt (etwa ein Schreiben des Verbands oder der Stadt oder eine Ordnung des Vereins). Daten der Mitglieder und Gäste, auch aus deinem Screwps-Konto, gehen nicht an Anthropic. Vorher ersetzt Kompass personenbezogene Angaben durch Platzhalter: Namen (etwa von Ansprechpersonen im Verband), E-Mail-Adressen, Telefonnummern, Anschriften, Geburtsdaten, Bankverbindungen (IBAN) und Web-Adressen. Welcher Name hinter einem Platzhalter steht, bleibt nur in Kompass. Was Claude ausliest, prüfen Vereinsfunktionen, bevor es in Screwps erscheint. Rechtsgrundlage ist das berechtigte Interesse des Vereins und unseres, Fristen und Termine zuverlässig zu erfassen (Art. 6 Abs. 1 lit. f DSGVO). Die Verarbeitung findet in den USA statt.

Eine Weitergabe deiner Daten an sonstige Dritte findet nicht statt.

9. Speicherdauer & Löschung

Deine Daten werden gespeichert, solange du Mitglied mindestens einer Gruppe bist (auch einer archivierten). Eine archivierte Saison bewahren wir als Nachweis auf, solange Ansprüche aus ihr geltend gemacht werden können – bis zum Ende der regelmäßigen Verjährung von drei Jahren, gerechnet ab Ende des Jahres ihres letzten Termins (§§ 195, 199 BGB; berechtigtes Interesse, Art. 6 Abs. 1 lit. f DSGVO). Am 1. Januar danach wird sie anonymisiert. Gesetzliche Aufbewahrungspflichten nach Handels- oder Steuerrecht (§ 257 HGB, § 147 AO) betreffen die Spieldaten nicht, da Screwps nichts abrechnet. Beitrittsanfragen werden mit der Gruppe bzw. beim Anonymisieren gelöscht. Fotos zu Problem-Meldungen löschen wir 30 Tage, nachdem die Meldung erledigt ist; die Meldung selbst bleibt als Nachweis zur Anlage erhalten. Server-Protokolle und Fehlerberichte werden nach 14 Tagen gelöscht, das Erinnerungs-Protokoll nach 30 Tagen; die Protokolle aller Server-Dienste sind zusätzlich auf 3 × 20 MB je Dienst begrenzt. Anmelde-Links und -Codes löschen wir 7 Tage nach ihrem Ablauf, Benachrichtigungen in der App nach 90 Tagen, beendete oder abgemeldete Anmeldungen 30 Tage nach ihrem Ende. Name und E-Mail-Adresse eines Gastes löschen wir mit der Buchung; den geschützten Schlüssel mit der Zahl der Gastspiele drei Jahre nach seiner letzten Änderung. Die Tageszahlen der Funktionsstatistik löschen wir nach 13 Monaten. Diese Fristen setzt ein automatischer Lauf mehrmals täglich um. Dein Profilbild speichern wir, bis du es entfernst; ein abgelehntes löschen wir sofort, die Entscheidungen des Vorstands nach 90 Tagen. Den Kalender-Abo-Link speichern wir, bis du ihn beendest, ein Push-Abonnement, bis du die Benachrichtigungen abschaltest oder der Push-Dienst es als ungültig meldet. Vergangene Buchungen, Mitspiel-Anfragen und Bewertungen bleiben als Teil der Belegung und der Zuverlässigkeit gespeichert, solange dein Konto besteht. Entfernt ein Super-Admin dein Konto, werden Mitgliedschaften, Passkeys, Anmelde-Links, Benachrichtigungen, künftige Buchungen (mit den eingetragenen Gästen), in vergangenen Buchungen Name und Adresse der Gäste, Meldungen und Versuche zu Gastspielen, Kalender-Abo und -Einstellungen, Erinnerungs-Einstellungen, Push-Abonnements, Spielbewertungen und das Profilbild gelöscht, offene Anfragen zurückgezogen und deren Nachrichten gelöscht, Anmeldungen sofort beendet (und nach 30 Tagen gelöscht); Name und E-Mail-Adresse werden unkenntlich gemacht. Gelöscht wird auch, was du selbst geschrieben hast: Kommentare in Bewertungen, Nachrichten bei „Kurzfristig absagen“ und bei Anfragen, Text und Foto deiner Meldungen sowie die Kopien dieser Texte in den App-Nachrichten anderer. Bereits verschickte E-Mails liegen bei den Empfängern und lassen sich nicht zurückholen. In vergangenen Terminplänen, Buchungen und Bewertungen erscheint dann „Gelöschte Person“.

Sicherungen: Die Datenbank wird jede Nacht verschlüsselt gesichert (AES-256; der Schlüssel zum Lesen liegt nicht auf dem Server). Jede Sicherung wird nach 30 Tagen gelöscht. Ein gelöschtes Konto ist damit spätestens 30 Tage nach der Löschung aus allen Sicherungen verschwunden. Muss eine Sicherung zurückgespielt werden, führen wir die Löschungen seit ihrer Erstellung erneut aus.

Auskunft und Löschung über deinen Verein: Eine Datenauskunft (Art. 15, 20 DSGVO) oder die Löschung deines Kontos (Art. 17 DSGVO) beantragst du beim Vorstand deines Vereins (die Namen stehen unter Mehr › Sicherheit) oder per E-Mail an dpo@screwps.com. Du bekommst ein vom Vorstand unterzeichnetes PDF – die Datenauskunft mit allem, was über dich gespeichert ist, bzw. eine Löschbestätigung – persönlich, per E-Mail oder per Post. Als Nachweis speichern wir drei Jahre lang: die Art des Dokuments, deinen Namen, die gekürzte E-Mail-Adresse, die unterzeichnenden Vorstandsmitglieder sowie Datum und Weg der Übergabe (Art. 5 Abs. 2, Art. 6 Abs. 1 lit. c DSGVO); danach wird auch dieser Eintrag gelöscht.

10. Deine Rechte

Du hast im Rahmen der DSGVO das Recht auf:

• Auskunft über deine gespeicherten Daten (Art. 15 DSGVO)
• Berichtigung unrichtiger Daten (Art. 16 DSGVO)
• Löschung deiner Daten (Art. 17 DSGVO)
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruch gegen die Verarbeitung (Art. 21 DSGVO) – insbesondere gegen Bewertungen und die Berechnung deiner Zuverlässigkeit
• Widerruf einer Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO), z. B. für Browser-Benachrichtigungen

Außerdem hast du das Recht, dich bei einer Datenschutz-Aufsichtsbehörde zu beschweren, insbesondere bei der für unseren Sitz zuständigen:
Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW)
Kavalleriestraße 2–4, 40213 Düsseldorf

11. Änderungen dieser Erklärung

Wir passen diese Erklärung an, sobald sich die Datenverarbeitung oder die Rechtslage ändert.