Datenschutzerklärung

1. Verantwortlicher

2. Arten der verarbeiteten Daten

• Bestandsdaten (Name, Vereinsname)
• Kontaktdaten (E-Mail-Adresse, Telefonnummer, bei Einzelbestellungen auch Lieferadresse)
• Bestelldaten (Produkte, Mengen, Größen, Veredelungen, Beschriftungen, Mitgliedernamen)
• Nutzungsdaten (aufgerufene Seiten, Zugriffszeiten)
• Meta-/Kommunikationsdaten (IP-Adresse, Browser-Informationen)

3. Zweck der Verarbeitung

• Betrieb der Bestellplattform und Abwicklung von Vereins- und Mitgliederbestellungen
• Verwaltung von Vereins-Zugängen und Benutzerkonten
• Beantwortung von Kontaktanfragen
• Versand transaktionaler E-Mails (Einladungen, Bestellbenachrichtigungen)
• Sicherstellung des technischen Betriebs und Abwehr von Missbrauch

4. Rechtsgrundlagen der Verarbeitung

Die Verarbeitung personenbezogener Daten erfolgt auf Basis folgender Rechtsgrundlagen der DSGVO:

• Art. 6 Abs. 1 lit. a DSGVO — Einwilligung (z. B. bei Anfragen über das Spikes-Formular)
• Art. 6 Abs. 1 lit. b DSGVO — Vertragserfüllung (Abwicklung von Bestellungen)
• Art. 6 Abs. 1 lit. c DSGVO — Rechtliche Verpflichtungen (gesetzliche Aufbewahrungsfristen)
• Art. 6 Abs. 1 lit. f DSGVO — Berechtigte Interessen (Betriebssicherheit, Abwehr von Missbrauch)

Für das Speichern von Informationen auf Ihrem Endgerät und den Zugriff darauf gilt zusätzlich § 25 TDDDG. Wir setzen ausschließlich Cookies ein, die für den von Ihnen ausdrücklich gewünschten Dienst unbedingt erforderlich sind (§ 25 Abs. 2 Nr. 2 TDDDG) — Einzelheiten in Abschnitt 9.

5. Hosting (Vercel)

Diese Website wird bei Vercel Inc., 440 N Barranca Avenue #4133, Covina, CA 91723, USA gehostet. Die serverseitige Verarbeitung erfolgt in der Region Dublin, Irland; Ihre Aufrufe nimmt der Anbieter an seinem nächstgelegenen Standort innerhalb der EU entgegen, aus Deutschland in Frankfurt am Main. Beim Aufrufen der Website werden automatisch Server-Logfiles erstellt, die u. a. IP-Adresse, Browsertyp, aufgerufene Seite und Zugriffszeit enthalten. Diese Protokolle dienen ausschließlich dem technischen Betrieb und der Fehlersuche, werden plattformseitig nach wenigen Tagen automatisch gelöscht und nicht mit anderen Daten zusammengeführt.

Vercel verarbeitet diese Daten als Auftragsverarbeiter gemäß Art. 28 DSGVO. Für Datenübertragungen in die USA bestehen geeignete Garantien in Form von EU-Standardvertragsklauseln. Weitere Informationen finden Sie unter vercel.com/legal/privacy-policy.

Zum Schutz unserer Formulare vor automatisiertem Missbrauch setzen wir zudem die Bot-Erkennung „Vercel BotID“ ein. Sie ist ausschließlich für das Kontaktformular und das Spikes-Anfrageformular aktiv. Dabei werden beim Absenden technische Merkmale des Browsers (z. B. IP-Adresse, Geräte- und Interaktionssignale) verarbeitet, um automatisierte Zugriffe von menschlichen Nutzern zu unterscheiden. Rechtsgrundlage ist unser berechtigtes Interesse an der Abwehr von Spam und Missbrauch (Art. 6 Abs. 1 lit. f DSGVO). Die Verarbeitung erfolgt ebenfalls durch Vercel als Auftragsverarbeiter; es werden keine Werbe- oder Tracking-Cookies gesetzt.

6. Datenbank, Dateiablage und Authentifizierung (Supabase)

Für den Betrieb der Bestellplattform setzen wir Supabase (Supabase Pte. Ltd., Singapur) ein. Supabase stellt die Datenbank (PostgreSQL), die Dateiablage für Produkt- und Vereinsbilder sowie die Anmeldung bereit. Bestelldaten, Mitgliedernamen und die Zugangsdaten der Vereins-Konten werden dort gespeichert. Die Datenbank- und Speicherserver stehen in der Region West-EU (Irland); eine Speicherung außerhalb der EU findet nicht statt.

Supabase verarbeitet die Daten als Auftragsverarbeiter gemäß Art. 28 DSGVO. Da der Anbieter seinen Sitz in Singapur hat und im Rahmen von Wartung und Support nicht ausgeschlossen werden kann, dass von dort auf die Systeme zugegriffen wird, bestehen für diesen Fall EU-Standardvertragsklauseln als geeignete Garantie. Weitere Informationen unter supabase.com/privacy.

Vereins-Zugänge werden ausschließlich manuell von M&M Sports angelegt — es gibt kein öffentliches Selbst-Registrierungsformular. Für angemeldete Vereins-Zugänge ist der Zugriff auf Bestelldaten bereits in der Datenbank auf den eigenen Verein beschränkt (Zugriffsregeln auf Datensatzebene). Unsere eigenen Verwaltungszugänge sowie die über einen Bestell-Link erreichbaren Formulare arbeiten mit erweiterten Rechten; dort prüft die jeweilige Serverfunktion, welche Daten sie herausgibt.

7. Technischer Betrieb und Wartung

Entwicklung, technischer Betrieb und Wartung der Bestellplattform erfolgen durch unseren Dienstleister FoxifAI (Deutschland) als Auftragsverarbeiter gemäß Art. 28 DSGVO. Im Rahmen von Wartung, Fehlersuche und Weiterentwicklung kann dabei ein Zugriff auf gespeicherte Daten erforderlich werden. Der Dienstleister ist an unsere Weisungen gebunden, zur Vertraulichkeit verpflichtet und setzt die in Abschnitt 14 beschriebenen Dienste als Unterauftragsverarbeiter ein.

8. Schutz vor Missbrauch und Überlastung (Upstash)

Damit Formulare und Bestell-Links nicht automatisiert überflutet werden können, begrenzen wir die Zahl der Zugriffe je Absender. Dafür nutzen wir den Zwischenspeicher-Dienst Upstash (Upstash, Inc., USA) mit Serverstandort Frankfurt am Main. Gespeichert wird dort ausschließlich ein Zähler je Zugriffskennung. Die Zugriffskennung ist die IP-Adresse, bei Anmeldungen zusätzlich eine Prüfsumme der E-Mail-Adresse und bei Bestell-Links eine Prüfsumme des Links (weder die E-Mail-Adresse noch der Link selbst werden übertragen). Jeder Zähler hat eine feste Lebensdauer und wird automatisch gelöscht, sobald das jeweilige Zeitfenster abgelaufen ist — je nach Formular nach einer Minute bis zu einer Stunde. Eine darüber hinausgehende Aufzeichnung der Zugriffe findet nicht statt. Rechtsgrundlage ist unser berechtigtes Interesse an der Abwehr von Missbrauch und an der Verfügbarkeit der Plattform (Art. 6 Abs. 1 lit. f DSGVO).

9. Cookies und Sitzungsverwaltung

Wir setzen ausschließlich die folgenden, technisch notwendigen Cookies ein. Analyse-, Marketing- oder Wiedererkennungs-Cookies kommen nicht zum Einsatz:

• Anmelde-Cookies des Vereins-Portals (Bezeichnung sb-…-auth-token, Anbieter Supabase): halten eine angemeldete Sitzung aufrecht. Sie entstehen erst mit der Anmeldung, nicht beim Seitenaufruf, und werden mit der Abmeldung gelöscht. Erforderlich für den ausdrücklich gewünschten Dienst „Anmeldung“ (§ 25 Abs. 2 Nr. 2 TDDDG, Art. 6 Abs. 1 lit. b DSGVO).
• Einwilligungs-Cookie (Bezeichnung site_consent, Laufzeit 12 Monate): speichert ausschließlich, dass Sie den Cookie-Hinweis zur Kenntnis genommen haben, damit dieser nicht bei jedem Aufruf erneut erscheint. Enthält keine personenbezogenen Daten und wird nicht an Dritte übermittelt. Da wir derzeit keine einwilligungsbedürftigen Cookies einsetzen, gibt es nichts auszuwählen; über „Cookie-Einstellungen“ können Sie den Hinweis jederzeit erneut aufrufen, und Sie können das Cookie jederzeit in Ihrem Browser löschen.
• Cookie des Bilderdienstes (Bezeichnung __cf_bm, Laufzeit 30 Minuten, Anbieter Cloudflare, Inc. für Supabase): Unsere Produktbilder liegen in der Dateiablage von Supabase, der ein Inhaltsnetz von Cloudflare vorgeschaltet ist. Ruft Ihr Browser ein solches Bild ab, setzt Cloudflare dieses Cookie für die Domain supabase.co, um automatisierte Zugriffe von menschlichen zu unterscheiden. Es dient allein der Abwehr von Missbrauch, nicht der Wiedererkennung über Websites hinweg, und ist für die sichere Bereitstellung des Dienstes erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG). Es entsteht nur auf Seiten, die Bilder aus dieser Ablage laden.

Die verwendeten Schriftarten werden von unserem eigenen Server ausgeliefert; eine Verbindung zu Google Fonts oder einem anderen Schriftart-Anbieter findet nicht statt. Unsere Seiten laden keine Skripte, Karten, Videos oder Schaltflächen externer Anbieter.

10. Kontaktformular und E-Mail-Versand

Wenn Sie unser Kontaktformular nutzen, werden die eingegebenen Daten (Name, Vereinsname, E-Mail-Adresse, Telefon, Betreff, Nachricht) zur Bearbeitung Ihrer Anfrage verarbeitet (Art. 6 Abs. 1 lit. f DSGVO). Die Angaben werden nicht in der Datenbank dieser Website gespeichert, sondern als E-Mail an uns übermittelt. Beim Versanddienst (siehe unten) entsteht dabei ein Versandprotokoll, das der Anbieter nach kurzer Zeit automatisch löscht. Wie lange wir Ihre Nachricht anschließend in unserem Postfach aufbewahren, richtet sich nach dem Anliegen und nach den gesetzlichen Aufbewahrungspflichten; nicht mehr benötigte Anfragen löschen wir.

Gleiches gilt für das Spikes-Anfrageformular: Die dort eingegebenen Daten (angefragte Modelle, Fußlänge und Passform-Angaben, Disziplinen, Name, E-Mail-Adresse, Telefonnummer, Versandadresse, Anmerkungen) werden auf Grundlage Ihrer Einwilligung ausschließlich zur Bearbeitung Ihrer Anfrage und für die persönliche Größenberatung verarbeitet (Art. 6 Abs. 1 lit. a und b DSGVO). Auch diese Angaben werden nicht in der Datenbank dieser Website gespeichert, sondern über denselben Versanddienst als E-Mail an uns übermittelt.

Alle E-Mails dieser Website — Einladungen für Vereins-Zugänge, Bestellbestätigungen und Bestellbenachrichtigungen ebenso wie die Nachrichten aus dem Kontakt- und dem Spikes-Formular — werden über den Dienst Resend (Plus Five Five, Inc., USA) versendet. Dabei werden die Empfängeradresse und der Inhalt der Nachricht verarbeitet. Resend ist Auftragsverarbeiter gemäß Art. 28 DSGVO; für die Übermittlung in die USA bestehen EU-Standardvertragsklauseln als geeignete Garantie. Weitere Informationen unter resend.com/legal/dpa.

11. Bestellungen über Vereins-Bestelllinks

Vereine können ihren Mitgliedern einen Bestell-Link weitergeben. Welche Daten dabei anfallen und wer sie sieht, hängt von der Art des Links ab:

Sammelbestellung des Vereins

Das Mitglied gibt seinen Namen und seine Bestellwünsche (Artikel, Größe, Veredelung, gegebenenfalls eine gewünschte Beschriftung) ein; die Angabe einer E-Mail-Adresse ist freiwilligund dient allein der Bestellbestätigung an das Mitglied. Weitere Angaben werden nicht erhoben. Diese Daten werden Teil der Sammelbestellung des Vereins. Einsehen können sie: die für die Sammelbestellung zuständige Person des Vereins (über den Vereins-Zugang) und M&M Sports. Mitglieder sehen die Eingaben anderer Mitglieder nicht; über den Bestell-Link sind keine bereits abgegebenen Bestellungen abrufbar. Vertragspartner der Sammelbestellung ist der Verein; die Weitergabe der Namen an M&M Sports erfolgt zur Erfüllung dieses Vertrags (Art. 6 Abs. 1 lit. b DSGVO), da ohne Namen keine Zuordnung der gelieferten Ware möglich ist. Die Entscheidung, Bestellungen auf diesem Weg zu erheben, trifft der Verein; für die Information seiner Mitglieder und die Weitergabe des Links ist er selbst verantwortlich.

Einzelbestellung des Mitglieds

Hier kommt der Vertrag zwischen dem Mitglied und M&M Sports zustande. Dafür werden zusätzlich Kontakt- und Lieferdaten (E-Mail-Adresse, Telefonnummer, Anschrift) erhoben; Rechtsgrundlage ist die Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO). Die Lieferadresse und die Telefonnummer sieht nur M&M Sports. Da der Verein den Bestell-Link bereitstellt, erscheint die Bestellung in seiner Bestellübersicht; er sieht dort den Namen und die E-Mail-Adresse des Mitglieds sowie die bestellten Artikel.

Empfänger und Links

Zur Ausführung der Bestellung geben wir die erforderlichen Angaben an Hersteller bzw. Veredelungsbetriebe und — bei Einzelbestellungen — an das Versandunternehmen weiter. Die Hersteller-Unterlagen enthalten Artikel, Größen, Mengen und Beschriftungen, aber keine Kontaktdaten. Eine Weitergabe zu Werbezwecken oder an sonstige Dritte findet nicht statt.

Die Bestell-Links enthalten eine zufällig erzeugte, nicht erratbare Kennung, sind für Suchmaschinen gesperrt und können jederzeit deaktiviert werden. Links zu einer Sammelbestellung lassen sich zusätzlich mit einem Ablaufdatum und mit einer Höchstzahl an Bestellungen versehen; sie werden mit dem Abschluss der Sammelbestellung ohnehin wirkungslos. Wer einen solchen Link besitzt, kann eine Bestellung abgeben, aber keine Daten anderer Personen einsehen. Der Link ist deshalb wie eine persönliche Einladung zu behandeln und sollte nicht öffentlich veröffentlicht werden.

12. Webanalyse und Reichweitenmessung

Wir setzen keinen Analyse- oder Tracking-Dienst ein. Es findet keine Reichweitenmessung statt, es werden keine Profile gebildet und keine Nutzungsdaten an Dritte übermittelt. Sollte sich das künftig ändern, wird der konkrete Dienst hier benannt und — soweit erforderlich — vorab Ihre Einwilligung eingeholt.

13. Ihre Rechte als betroffene Person

Sie haben gegenüber uns folgende Rechte bezüglich Ihrer personenbezogenen Daten:

• Recht auf Auskunft (Art. 15 DSGVO)
• Recht auf Berichtigung unrichtiger Daten (Art. 16 DSGVO)
• Recht auf Löschung — „Recht auf Vergessenwerden“ (Art. 17 DSGVO)
• Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Recht auf Datenübertragbarkeit (Art. 20 DSGVO)
• Recht auf Widerspruch gegen die Verarbeitung (Art. 21 DSGVO)
• Recht auf Widerruf einer erteilten Einwilligung (Art. 7 Abs. 3 DSGVO)
• Beschwerderecht bei einer Datenschutz-Aufsichtsbehörde (Art. 77 DSGVO) — zuständig ist das Bayerische Landesamt für Datenschutzaufsicht (BayLDA)

Zur Ausübung Ihrer Rechte wenden Sie sich an: m-und-m-sports@t-online.de

14. Eingesetzte Dienstleister im Überblick

• FoxifAI, Deutschland — Entwicklung, technischer Betrieb, Wartung
• Vercel Inc., USA — Hosting und Bot-Erkennung, Verarbeitung in Dublin (Irland)
• Supabase Pte. Ltd., Singapur — Datenbank, Dateiablage, Anmeldung, Speicherung in Irland
• Plus Five Five, Inc., USA — Versand aller E-Mails der Plattform (Dienst „Resend")
• Upstash, Inc., USA — Zugriffsbegrenzung, Serverstandort Frankfurt am Main

Mit allen genannten Dienstleistern bestehen Verträge zur Auftragsverarbeitung nach Art. 28 DSGVO; für Anbieter mit Sitz außerhalb der EU bestehen EU-Standardvertragsklauseln. Vereine erhalten auf Anfrage eine Übersicht der technischen und organisatorischen Maßnahmen.

Supabase setzt für die Auslieferung der Bilder aus seiner Dateiablage seinerseits das Inhaltsnetz von Cloudflare, Inc. (USA) ein. Dabei werden IP-Adresse und Browserangaben des abrufenden Geräts verarbeitet und das oben beschriebene Cookie __cf_bm gesetzt. Die Auslieferung erfolgt über den nächstgelegenen Standort, aus Deutschland Frankfurt am Main.

15. Datenlöschung und Speicherdauer

• Kontakt- und Anfragedaten: liegen nicht in der Datenbank dieser Website, sondern als E-Mail in unserem Postfach (siehe Abschnitt 10). Wir löschen sie, sobald das Anliegen erledigt ist und keine Anschlusskommunikation oder Aufbewahrungspflicht entgegensteht.
• Bestell-, Vertrags- und Rechnungsdaten (einschließlich der Mitgliedernamen einer Sammelbestellung): für die Dauer der gesetzlichen Aufbewahrungsfristen von 6 bzw. 10 Jahren (§ 257 HGB, § 147 AO), gerechnet ab Ende des Jahres der Bestellung.
• Nicht abgeschickte Sammelbestellungen: Entwürfe, aus denen keine Bestellung geworden ist, werden auf Wunsch des Vereins gelöscht.
• Vereins-Zugänge: bis zur Deaktivierung des Zugangs bzw. zum Ende der Geschäftsbeziehung.
• Server-Protokolle: plattformseitige automatische Löschung nach wenigen Tagen (siehe Abschnitt 5). Zugriffszähler: automatische Löschung mit Ablauf des jeweiligen Zeitfensters, längstens nach einer Stunde (siehe Abschnitt 8).

Eine automatische, fristgesteuerte Löschung ist nicht eingerichtet: Daten werden gelöscht, sobald der Zweck entfällt und keine Aufbewahrungspflicht entgegensteht, sowie auf Verlangen der betroffenen Person.

16. Sicherheitsmaßnahmen

Wir setzen technische und organisatorische Maßnahmen ein, um Ihre Daten gegen unberechtigten Zugriff, Verlust oder Manipulation zu schützen. Dazu gehören insbesondere: durchgehend verschlüsselte Übertragung (HTTPS/TLS, HSTS), Zugriffsregeln auf Datensatzebene in der Datenbank (Row Level Security), rollenbasierte Berechtigungen für Vereins- und Verwaltungszugänge, Sperrung einzelner Zugänge, zufällig erzeugte Bestell-Links ohne Rückschluss auf Personen, Begrenzung der Zugriffszahl je Absender, Bot-Erkennung an den öffentlichen Formularen sowie eine Richtlinie, die das Laden fremder Skripte im Browser unterbindet (Content-Security-Policy). Zugriffsberechtigungen werden auf das notwendige Minimum beschränkt und bei jeder Änderung des Zugangs oder der Funktionen überprüft.

17. Änderungen dieser Datenschutzerklärung

Wir behalten uns vor, diese Datenschutzerklärung bei Änderungen der rechtlichen Anforderungen oder unserer Datenverarbeitungsprozesse anzupassen. Die jeweils aktuelle Fassung ist stets unter /datenschutz abrufbar. Das Datum der letzten Aktualisierung ist oben angegeben.