§ 1 Verantwortlicher und Geltungsbereich

Diese Erklärung gilt für die Website kaderheld.net und die Anwendung unter app.kaderheld.net. Verantwortlicher im Sinne der DSGVO und des österreichischen Datenschutzgesetzes (DSG) ist für den Betrieb des Dienstes:

Für die Inhalte, die ein Verein oder ein Trainer in Kaderheld einträgt — Kader, Termine, Beiträge, Fotos, Statistiken — ist der jeweilige Verein bzw. Trainer Verantwortlicher; wir verarbeiten diese Daten weisungsgebunden in seinem Auftrag. Wer in welcher Rolle wofür geradesteht, erklärt der Datenschutz-Überblick.

Anfragen beantworten wir innerhalb der gesetzlichen Frist von einem Monat (Art. 12 Abs. 3 DSGVO). Einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO stellen wir Vereinen und Trainern auf Anfrage per E-Mail zur Verfügung.

§ 2 Begriffsbestimmungen

Wir verwenden die Begriffe des Art. 4 DSGVO — insbesondere personenbezogene Daten, Verarbeitung, Verantwortlicher, Auftragsverarbeiter, Empfänger, Einwilligung und betroffene Person. Die vollständigen Definitionen findest du im Originaltext der Verordnung.

§ 3 Datenkategorien

Was tatsächlich anfällt, hängt davon ab, welche Bereiche dein Verein nutzt. Möglich sind:

• Stammdaten einer Person: Vor- und Nachname, Geburtsdatum, E-Mail-Adresse, Telefonnummer, Straße, PLZ und Ort, Profilfoto
• Zugangsdaten: Benutzername, Passwort-Hash (ASP.NET Core Identity), Anmelde-Cookie, Einladungs- und Einwilligungs-Token
• Vereins- und Mannschaftszuordnung: Mitgliedschaft, Mitgliedsnummer, Sektion, Mannschaft, Rollen (Trainer, Obmann, Kassier, Nachwuchsleiter, Teamkapitän …), Spielerposition, Trikotnummer
• Termine und Teilnahme: Trainings, Spiele, Turniere und Veranstaltungen, Treffpunkte, Zu- und Absagen, Team-Aufgaben wie Getränke- oder Trikotdienst
• Abwesenheiten: Zeitraum und Grund (krank, verletzt, Urlaub, Schule/Beruf, Sonstiges) samt optionalem Freitext — siehe § 5
• Sportliche Daten: Aufstellungen, Ein- und Auswechslungen, Tore, Assists, Karten, Ergebnisse und die daraus errechneten Statistiken
• Beitrags- und Zahlungsdaten: Tarifzuweisungen, Forderungen, Fälligkeiten, Verwendungszwecke, erfasste Zahlungseingänge samt Bankreferenz, Mahnstand
• Kommunikationsdaten: Nachrichten in Vereins- und Team-Kanälen, Einladungen, transaktionale E-Mails wie Erinnerungen oder Passwort-Zurücksetzung
• Medien: Fotos und Videos zu Events, Bildunterschriften sowie Markierungen „auf diesem Bild ist X" inklusive der Angabe, wer hochgeladen und wer markiert hat
• Social-Media-Inhalte: die aus Personen-, Spiel- und Bilddaten gerenderten Reels und Grafiken
• Abo- und Vertragsdaten: gebuchte Module, Laufzeiten, Rechnungsdaten — Karten- und Bankdaten der Zahlung ausschließlich bei Stripe
• Technische Daten: IP-Adresse, Zeitstempel, aufgerufene Seite und Fehlermeldungen in den Server-Protokollen sowie Ausführungsdaten der Hintergrundjobs

§ 4 Zwecke und Rechtsgrundlagen

Beruht eine Verarbeitung auf deiner Einwilligung, kannst du sie jederzeit mit Wirkung für die Zukunft widerrufen.

§ 5 Besondere Kategorien personenbezogener Daten

Kaderheld ist nicht darauf ausgelegt, Gesundheitsdaten zu sammeln. An genau einer Stelle können trotzdem welche entstehen: bei den längeren Abwesenheiten. Wer einen Zeitraum mit dem Grund „krank" oder „verletzt" einträgt, gibt damit ein Gesundheitsdatum im Sinne von Art. 9 DSGVO preis.

Wir haben das bewusst so gebaut, dass niemand dazu gezwungen ist:

• Es gibt die neutralen Gründe „Urlaub", „Schule/Beruf" und „Sonstiges" — damit lässt sich jede Abwesenheit eintragen, ohne einen Anlass zu nennen.
• Spielerinnen und Spieler tragen ihre Abwesenheit selbst ein bzw. bei Minderjährigen deren Eltern. Die Angabe des Grundes ist ihre Entscheidung.
• Sichtbar ist die Abwesenheit für die Verantwortlichen des Teams, weil ohne sie keine Aufstellung planbar wäre — nicht für die übrigen Spieler.

Weitere besondere Kategorien nach Art. 9 DSGVO — etwa Angaben zu Herkunft, Religion, politischer Meinung oder Gewerkschaftszugehörigkeit — sieht die Anwendung nicht vor. Auch biometrische Verfahren kommen nicht zum Einsatz: Personen auf Fotos werden von Hand markiert, es gibt keine Gesichtserkennung.

§ 6 Minderjährige

Im Amateursport sind ein Großteil der erfassten Personen Kinder und Jugendliche. Kaderheld setzt die österreichische Altersgrenze technisch um:

• Ab 14 Jahren kann eine Person ein eigenes Benutzerkonto erhalten und selbst zusagen, absagen und ihre Daten pflegen (§ 4 Abs. 4 DSG).
• Unter 14 Jahren wird kein eigener Zugang angelegt. Stattdessen erhält ein Elternteil eine Einladung mit einem einmaligen Einwilligungs-Link. Erst wenn dieser bestätigt ist, wird die Eltern-Kind-Verknüpfung aktiv und das Profil voll nutzbar.
• Das Elternteil handelt danach im Namen des Kindes und kann die Verknüpfung jederzeit wieder lösen.
• Ist das Geburtsdatum unbekannt, behandelt die Anwendung die Person vorsichtshalber als minderjährig — der bequemere Weg gilt nie zulasten des Datenschutzes.

Für Fotos von Kindern gilt zusätzlich das Bildnisrecht: Der Verein muss vor der Veröffentlichung sicherstellen, dass die Erziehungsberechtigten einverstanden sind.

§ 7 Empfänger und Dienstleister

Wir geben Daten nur weiter, soweit es zur Erbringung des Dienstes technisch nötig oder gesetzlich vorgeschrieben ist. Im Einsatz sind:

• IONOS SE, Montabaur (Deutschland) — Server, Datenbank, Backups und Versand der transaktionalen E-Mails. Serverstandort EU, Auftragsverarbeitung nach Art. 28 DSGVO.
• Stripe Payments Europe, Limited (Irland) — Abwicklung kostenpflichtiger Buchungen. Stripe verarbeitet Karten- und Bankdaten in eigener Verantwortung; vollständige Zahlungsdaten gelangen zu keinem Zeitpunkt in unsere Datenbank.
• Pexels GmbH / Pexels-Bilddienst — lizenzfreies Foto- und Videomaterial für Reel-Hintergründe. Übermittelt werden deine Suchbegriffe; beim Anzeigen der Trefferliste lädt dein Browser die Vorschaubilder direkt beim Anbieter, der dabei deine IP-Adresse erfährt. Personenbezogene Vereinsdaten werden nicht übertragen.
• OpenStreetMap Foundation (Nominatim) — Umwandlung von Sportstätten-Adressen in Koordinaten für die Karten- und Wetteranzeige. Übermittelt wird ausschließlich die Adresse des Platzes oder der Halle, niemals eine Wohnadresse.
• Open-Meteo — Wettervorhersage zum Spieltag. Übermittelt werden nur die Koordinaten des Austragungsortes.

Die Bild- und Videoverarbeitung für Reels — Rendering, Skalierung und das Freistellen von Spielerfotos — läuft vollständig auf unseren eigenen Servern. Es kommt dafür kein externer KI- oder Bilddienst zum Einsatz, und Fotos verlassen dafür die EU nicht.

Innerhalb der Anwendung sehen Daten nur berechtigte Personen desselben Vereins: Trainer ihren Kader, Kassiere die Beitragslage, Obleute ihren Verein, Eltern die Daten ihrer verknüpften Kinder. Vereinsübergreifenden Zugriff schließt die Mandantentrennung aus.

§ 8 Übermittlung in Drittländer

Der Kernbetrieb — Server, Datenbank, Dateispeicher, Backups und E-Mail-Versand — findet ausschließlich innerhalb der Europäischen Union statt. Für den Regelbetrieb gibt es damit keinen Drittlandtransfer.

Ein Transfer kann in diesen Randfällen auftreten: bei der Zahlungsabwicklung über Stripe (EU-Standardvertragsklauseln), beim Laden von Stock-Vorschaubildern aus der Bildbibliothek und bei der optionalen Logo-Suche, die öffentliche Verzeichnisdienste abfragt. In den beiden letzten Fällen werden nur Suchbegriffe bzw. der Vereinsname übermittelt — keine Mitglieder-, Spieler- oder Elterndaten.

§ 9 Abgleich mit Verbandsquellen

Kaderheld kann Kader, Spielpläne und Ergebnisse von den öffentlich zugänglichen Seiten des ÖFB und von Ligaportal abrufen, damit ein Verein seine Mannschaft nicht abtippen muss. Dabei gilt:

• Gelesen werden nur Angaben, die dort ohnehin veröffentlicht sind: Vor- und Nachname, Geburtsdatum bzw. Jahrgang, Position und die Profilkennung.
• Der Abruf erfolgt ausschließlich lesend. Wir übermitteln keine Daten aus Kaderheld an den Verband.
• Nichts wird ohne Zutun übernommen: Der Verein sieht eine Vorschau und entscheidet für jede Zeile, ob sie angelegt, mit einer bestehenden Person zusammengeführt oder verworfen wird.
• Die Verbandskennung wird beim Datensatz gespeichert, damit ein späterer Abgleich dieselbe Person wiedererkennt und keine Dubletten entstehen.

Verantwortlich für den übernommenen Kader bleibt der Verein bzw. der Trainer. Wer der Übernahme seiner öffentlich einsehbaren Verbandsdaten widersprechen möchte, wendet sich an diesen — dort wird der Datensatz entfernt.

§ 10 Speicherdauer

• Personen-, Kader- und Termindaten: solange der Verein bzw. die Gruppe besteht. Beim Abgang eines Spielers werden seine Zuordnungen gelöst, der Datensatz bleibt für Historie und Statistik erhalten.
• Benutzerkonten: solange das Konto besteht. Nach einer Löschanforderung entfernen wir es innerhalb von 30 Tagen, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht.
• Vereine ohne aktives Abonnement: Läuft eine Testphase ohne Buchung aus, wird der Verein nach weiteren 90 Tagen zur Löschung vorgemerkt. Das vorgesehene Datum zeigt die App an, bevor etwas passiert.
• Fotos, Videos und fertige Reels: bleiben gespeichert, bis der Verein sie löscht.
• Zwischendateien der Reel-Erzeugung: werden nach dem Rendern entfernt, ein nächtlicher Aufräumlauf beseitigt Reste.
• Rechnungs- und Abrechnungsdaten: 7 Jahre (§ 132 BAO, § 212 UGB).
• Server-Protokolle: nur so lange, wie es für Betrieb, Fehlersuche und Sicherheit erforderlich ist.
• Backups: rollierend; gelöschte Daten verschwinden endgültig, sobald der jeweilige Sicherungsstand überschrieben ist.

Beendet ein Verein die Nutzung, stellen wir vor der Löschung auf Wunsch einen strukturierten Export bereit.

§ 11 Datensicherheit

• Verschlüsselte Übertragung aller Daten per TLS (HTTPS)
• Passwörter ausschließlich als kryptographischer Hash, niemals im Klartext
• Rollen- und rechtebasierte Zugriffssteuerung, serverseitig erzwungen
• Mandantentrennung je Verein — der Zugriff über Vereinsgrenzen hinweg ist technisch ausgeschlossen
• Datenbank nur im privaten Netz erreichbar, kein öffentlicher Zugang von außen
• Hochgeladene Dateien liegen unter nicht erratbaren Namen in einem eigenen Objektspeicher
• Regelmäßige Sicherheitsupdates und Prüfung der eingesetzten Bibliotheken
• Automatisierte Backups, Datenhaltung ausschließlich in der EU

Sollte es trotz dieser Maßnahmen zu einer Verletzung des Schutzes personenbezogener Daten kommen, informieren wir die betroffenen Vereine unverzüglich, damit sie ihrer Meldepflicht nach Art. 33 DSGVO nachkommen können.

§ 12 Deine Rechte als betroffene Person

Nach der DSGVO stehen dir gegenüber dem Verantwortlichen folgende Rechte zu:

§ 13 Cookies und lokale Speicherung

Kaderheld verwendet ausschließlich technisch erforderliche Cookies und lokale Speichermechanismen:

• Anmelde-Cookie: hält deine Sitzung aufrecht — verschlüsselt, HttpOnly, Secure.
• Sitzungs-Cookie: merkt sich unter anderem, in wessen Namen du gerade handelst, wenn du als Elternteil in das Profil deines Kindes wechselst.
• Anti-Forgery-Token: Schutz vor Cross-Site-Request-Forgery beim Absenden von Formularen.
• Lokale Einstellungen: Anzeigeoptionen und Filter, die auf deinem Gerät bleiben.

Wir setzen kein Drittanbieter-Tracking ein — kein Google Analytics, kein Facebook-Pixel, keine Werbe-Cookies. Eine gesonderte Cookie-Einwilligung ist daher nicht erforderlich.

§ 14 Keine automatisierte Entscheidungsfindung

Eine ausschließlich auf automatisierter Verarbeitung beruhende Entscheidung mit rechtlicher Wirkung — einschließlich Profiling nach Art. 22 DSGVO — findet nicht statt. Statistiken, Einsatzzeiten und Verfügbarkeitslisten sind Auswertungen erfasster Daten; wer aufgestellt, eingewechselt oder ausgemustert wird, entscheidet immer der Trainer.

§ 15 Änderungen dieser Erklärung

Wir passen diese Datenschutzerklärung an, wenn sich die Rechtslage, unsere Dienstleister oder der Funktionsumfang ändern. Die jeweils gültige Fassung steht immer hier. Über wesentliche Änderungen informieren wir per E-Mail oder mit einem Hinweis in der Anwendung.