Datenschutzerklärung

1. Verantwortlicher

Datenschutzkontakt

Datenschutzanfragen können an info@bluca.de gerichtet werden. Sollte künftig eine Datenschutzbeauftragte oder ein Datenschutzbeauftragter bestellt werden, werden die Kontaktdaten an dieser Stelle veröffentlicht und der zuständigen Aufsichtsbehörde mitgeteilt.

Setzt ein Verein BLuCa in eigener Verantwortung ein und bestimmt dabei Zwecke und Mittel der Verarbeitung seiner Mitglieder, ist dieser Verein für diese Verarbeitung Verantwortlicher. Die Kontaktdaten des jeweiligen Vereins werden innerhalb des Vereinsbereichs beziehungsweise bei der Datenerhebung angezeigt. BLuCa verarbeitet solche Daten – soweit vertraglich so vereinbart – als Auftragsverarbeiter nach Art. 28 DSGVO.

2. Hosting und Serverprotokolle

Die Dienste werden auf einem virtuellen Server der IONOS SE, Elgendorfer Straße 57, 56410 Montabaur, in einem deutschen Rechenzentrum betrieben. Mit IONOS besteht eine Vereinbarung zur Auftragsverarbeitung nach Art. 28 DSGVO.

Bei jedem Abruf verarbeitet der Webserver technisch erforderliche Verbindungsdaten: IP-Adresse, Datum und Uhrzeit, aufgerufene Adresse, übertragene Datenmenge, Referrer (sofern übermittelt), Browser, Betriebssystem sowie HTTP-Status. Dies dient der sicheren Auslieferung, Fehleranalyse sowie Erkennung und Abwehr von Angriffen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; das berechtigte Interesse liegt im sicheren und störungsfreien Betrieb.

Serverprotokolle werden grundsätzlich nach 14 Tagen gelöscht. Eine längere Speicherung erfolgt nur, wenn ein konkreter Sicherheitsvorfall aufgeklärt, ein Missbrauch untersucht oder ein Rechtsanspruch verfolgt werden muss. In diesem Fall werden die betroffenen Protokolldaten nach Abschluss des jeweiligen Vorgangs gelöscht, sofern keine gesetzlichen Pflichten entgegenstehen.

3. Öffentliche Website bluca.de

Die Startseite informiert über BLuCa und verlinkt die Anwendungen. Sie verwendet nach aktuellem Stand keine Reichweitenanalyse, keine Werbenetzwerke und keine extern geladenen Schriftarten. Beim reinen Besuch werden außer den beschriebenen Serverprotokollen keine Nutzungsprofile erstellt.

Bei einer Beratungsanfrage verarbeiten wir Vereinsname, Name und Kontaktdaten der Ansprechperson sowie freiwillige Angaben zu Vereinsgröße, Sparten, gewünschten Funktionen, Rückrufzeit und Nachricht. Die Verarbeitung dient der Bearbeitung vorvertraglicher Anfragen (Art. 6 Abs. 1 lit. b DSGVO). Eine Bestätigung wird an die angegebene E-Mail-Adresse gesendet; die Anfrage wird in der geschützten BLuCa-Superadmin-Zentrale verwaltet.

4. Benutzerkonten und Anmeldung

Für registrierte Bereiche verarbeiten wir insbesondere E-Mail-Adresse, Anzeigename, Rollen und Berechtigungen, Passwort-Hash, Anmeldezeitpunkte und sicherheitsrelevante Ereignisse. Passwörter werden nicht im Klartext gespeichert. Die Verarbeitung ist zur Bereitstellung des Kontos und Erfüllung des Nutzungsvertrags erforderlich (Art. 6 Abs. 1 lit. b DSGVO). Sicherheitsprotokolle beruhen zusätzlich auf Art. 6 Abs. 1 lit. f DSGVO.

Bei Demo-Zugängen dürfen keine echten personenbezogenen Daten oder echten Nachweisdokumente eingegeben werden.

Für die Einrichtung einer kostenlosen 10-Tage-Demo verarbeiten wir Vereinsname, Vereinskürzel, Name, E-Mail-Adresse, optional Telefonnummer und Funktionsinteressen. Die E-Mail-Adresse wird vor Aktivierung bestätigt. Der Testzeitraum beginnt mit der Bestätigung, endet automatisch und wird nicht ohne gesonderte Bestellung kostenpflichtig verlängert.

5. BLuCaTeamHub – Vereinsverwaltung

BLuCaTeamHub unterstützt Sportvereine bei der Verwaltung. Abhängig von den aktivierten Funktionen können folgende Daten verarbeitet werden:

• Stamm- und Kontaktdaten von Mitgliedern, Erziehungsberechtigten, Beschäftigten und ehrenamtlich Tätigen;
• Vereins-, Mannschafts-, Gruppen-, Rollen- und Berechtigungszuordnungen;
• Termine, Training, Anwesenheiten, Wettbewerbe, Leistungen und vereinsbezogene Kommunikation;
• Profilbilder, Dokumente, Importe, Exporte und nachvollziehbare Änderungsvorgänge.

Zweck ist die Organisation des Vereinsbetriebs und die Erfüllung der Mitgliedschafts- beziehungsweise Nutzungsvereinbarung (Art. 6 Abs. 1 lit. b DSGVO). Gesetzlich erforderliche Verarbeitungen beruhen auf Art. 6 Abs. 1 lit. c DSGVO. Freiwillige Veröffentlichungen, Profilbilder oder optionale Funktionen beruhen – soweit keine andere Rechtsgrundlage greift – auf einer Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO.

Soweit Angaben Rückschlüsse auf die körperliche oder geistige Gesundheit ermöglichen, werden sie nur mit einer tragfähigen Ausnahme nach Art. 9 Abs. 2 DSGVO verarbeitet, regelmäßig aufgrund ausdrücklicher Einwilligung. Solche Angaben sind auf das notwendige Maß zu begrenzen.

6. BLuCa DigiPass – digitaler Schwimmpass

Der DigiPass verwaltet digitale Schwimmnachweise. Hierfür können Name beziehungsweise maskierter Name, Geburtsjahr, optionale Mitgliedsnummer, Profilbild, Zuordnung zu einer sorgeberechtigten Person, Abzeichenart, Prüfungsdatum und -ort, ausstellende Organisation, Prüfername und Prüferkennung verarbeitet werden.

Bei manuellen Nachweisen werden außerdem Einreichungen, geschützte Bild- oder PDF-Dateien, Prüfchecklisten, Entscheidungen, Verifizierungsstufe, Status, interne Prüfnotizen sowie unveränderbare Audit-Ereignisse verarbeitet. Zweck ist die Einreichung, unabhängige Prüfung, Ausstellung, Verwaltung, der Widerruf und die überprüfbare Darstellung von Schwimmnachweisen.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit die Verarbeitung zur Nutzung des DigiPass erforderlich ist. Freiwillige Angaben und Veröffentlichungen beruhen auf Art. 6 Abs. 1 lit. a DSGVO. Die Gewährleistung von Integrität, Missbrauchsschutz und Nachvollziehbarkeit beruht auf Art. 6 Abs. 1 lit. f DSGVO.

Ein hochgeladener Nachweis wird nicht automatisch gültig. Einreicher dürfen eigene Nachweise nicht selbst freigeben. Der aktuelle Workflow sieht eine menschliche Prüfung vor. Es findet keine ausschließlich automatisierte Entscheidung mit rechtlicher oder ähnlich erheblicher Wirkung im Sinne von Art. 22 DSGVO statt. Eine etwaige künftige KI-Unterstützung darf erst nach gesonderter Datenschutzprüfung und aktualisierter Information aktiviert werden.

7. Daten von Kindern und Jugendlichen

Ein Kinderprofil wird durch eine sorgeberechtigte oder anderweitig berechtigte Person verwaltet. Diese muss sicherstellen, dass sie die erforderliche Befugnis zur Eingabe und Verwaltung der Daten besitzt. Kinder werden altersgerecht über die Verarbeitung informiert und entsprechend ihrem Alter und Entwicklungsstand einbezogen.

Wir verwenden keine Kinderdaten für Werbung oder Profiling. Öffentlich sichtbare Angaben werden standardmäßig datensparsam dargestellt. Eine Einwilligung kann jederzeit mit Wirkung für die Zukunft widerrufen werden; die Rechtmäßigkeit der vorherigen Verarbeitung bleibt unberührt.

8. QR-Code, PDF und öffentliche Online-Verifizierung

Freigegebene Nachweise können über einen zufälligen Verifizierungstoken in einem normalen Browser geprüft und als PDF-Bescheinigung dargestellt werden. Dabei können der maskierte Name, das Geburtsjahr, Abzeichen, Prüfungsdatum, ausstellende Organisation, Prüfername und -kennung, Verifizierungsstufe, Status sowie Zeitpunkt der Onlineprüfung sichtbar sein.

Originalnachweise, Speicherpfade, interne Kennungen und interne Prüfnotizen werden nicht öffentlich ausgegeben. Jede Person, die den QR-Code oder Verifizierungslink besitzt, kann die freigegebenen Angaben abrufen. Deshalb soll der Code nur gezielt vorgezeigt und nicht öffentlich veröffentlicht werden. Bei Verlust oder ungewollter Weitergabe kann der Token erneuert werden.

9. Nachweisdateien und Profilbilder

Uploads werden ausschließlich für den jeweiligen Zweck verwendet. Nachweisdateien sind nicht über öffentliche Speicherpfade erreichbar; der Zugriff erfolgt nach Anmeldung und serverseitiger Berechtigungsprüfung. Freigegebene Nachweise werden zum Schutz der Nachvollziehbarkeit nicht überschrieben. Korrekturen erfolgen durch Widerruf und einen ersetzenden Nachweis.

Bitte laden Sie nur erforderliche Inhalte hoch und schwärzen Sie nicht benötigte Angaben. Für Profilbilder ist eine freiwillige Einwilligung erforderlich, sofern ihre Verarbeitung nicht anderweitig zur Vertragserfüllung notwendig ist. Profilbilder werden nicht zur biometrischen Identifikation ausgewertet.

10. Cookies und lokale Speicherung

Die Anwendungen setzen technisch notwendige, verschlüsselte Anmelde-, Sicherheits- und Einwilligungs-Cookies ein. Sie halten eine Sitzung aufrecht, schützen geschützte Bereiche und speichern die getroffene Datenschutz-Auswahl. Das Anmelde-Cookie kann bis zu 30 Tage, das Einwilligungs-Cookie bis zu 180 Tage gültig sein. Ohne diese Cookies sind Anmeldung und geschützte Funktionen nicht zuverlässig möglich. Rechtsgrundlage für die Speicherung oder den Zugriff ist § 25 Abs. 2 Nr. 2 TDDDG; die anschließende Datenverarbeitung beruht auf Art. 6 Abs. 1 lit. b und f DSGVO.

Im DigiPass werden Partnerzuordnung, Referral- und QR-Aufrufstatistik sowie der Offline-/PWA-Speicher erst nach einer freiwilligen Einwilligung aktiviert. Dabei können Partnercode, Kampagne, Aufrufzeitpunkt, Gerätetyp sowie gekürzte oder gehashte technische Angaben verarbeitet werden. Die verschlüsselte Partnerzuordnung und der im Browser lesbare Partnercode sind höchstens 90 Tage gültig. Die Zuordnung wird bei einer Registrierung dauerhaft am Benutzerkonto gespeichert, damit Provisionen und vereinbarte Rabatte nachvollziehbar zugeordnet werden können. Eine spätere Änderung ist nur administrativ möglich.

Im TeamHub betrifft die optionale Einwilligung derzeit nur die dauerhafte Speicherung der gewählten hellen oder dunklen Darstellung im lokalen Speicher des Geräts. Ohne Einwilligung kann die Darstellung für die laufende Nutzung geändert, aber nicht dauerhaft gespeichert werden. Externe Analyse- oder Werbedienste sind derzeit nicht aktiviert.

Optionale Speicherungen und die damit verbundene Verarbeitung beruhen auf der Einwilligung nach § 25 Abs. 1 TDDDG und Art. 6 Abs. 1 lit. a DSGVO. Die Auswahl kann jederzeit über „Cookie-Einstellungen“ im Seitenfuß geändert und mit Wirkung für die Zukunft widerrufen werden. Beim Widerruf werden optionale Partner-Cookies, lokaler Partnercode und DigiPass-Offlinespeicher entfernt; die Rechtmäßigkeit bereits erfolgter Verarbeitung bleibt unberührt.

11. Empfänger und Übermittlung

Zugriff erhalten nur Personen, die ihn für ihre Aufgabe benötigen, etwa Erziehungsberechtigte, berechtigte Vereinsrollen, Prüferinnen und Prüfer sowie Administratoren. IONOS verarbeitet Hosting- und – soweit entsprechend konfiguriert – E-Mail-Daten als Auftragsverarbeiter. Eine Übermittlung an weitere Empfänger erfolgt nur, wenn dies erforderlich und rechtlich zulässig ist, eine Einwilligung vorliegt oder eine gesetzliche Pflicht besteht.

Zahlungsabwicklung mit Mollie

Für kostenpflichtige TeamHub-Pakete und DigiPass-Leistungen kann Mollie B.V., Keizersgracht 126, 1015 CW Amsterdam, Niederlande, als Zahlungsdienstleister eingesetzt werden. Dabei werden insbesondere Name beziehungsweise Organisationsbezeichnung, E-Mail-Adresse, Betrag, Währung, Bestell- und Zahlungsreferenz sowie die für die gewählte Zahlungsart erforderlichen Daten verarbeitet. Die eigentlichen Zahlungsdaten werden grundsätzlich bei Mollie beziehungsweise dem gewählten Zahlungsdienst verarbeitet. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO; gesetzlich erforderliche Zahlungs- und Buchungsnachweise werden zusätzlich nach Art. 6 Abs. 1 lit. c DSGVO gespeichert. Mollie handelt für die Zahlungsabwicklung in eigener datenschutzrechtlicher Verantwortung.

Optionale KI-Funktionen

Ist eine KI-Funktion für einen Verein freigeschaltet, können ausdrücklich an Swimzy übermittelte Eingaben an den zentral durch BLuCa konfigurierten KI-Anbieter übertragen werden. Vereinsadministratoren können keine eigenen Anbieter-Schlüssel hinterlegen. BLuCa begrenzt die Übermittlung auf den jeweiligen Funktionszweck; sensible Angaben sollen nur eingegeben werden, wenn dies erforderlich und rechtlich zulässig ist. Vor einer Drittlandübermittlung werden die anwendbaren Transfermechanismen und Einstellungen geprüft. Einzelheiten zum aktuell eingesetzten Anbieter und zu den vereinbarten Garantien werden in den Vertragsunterlagen beziehungsweise der Auftragsverarbeitungsvereinbarung ausgewiesen.

12. Speicherdauer und Löschung

Personenbezogene Daten werden nur so lange gespeichert, wie sie für den jeweiligen Zweck benötigt werden. Danach werden sie gelöscht oder anonymisiert, sofern gesetzliche Aufbewahrungspflichten oder die Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen keine weitere Speicherung erfordern.

• Kontodaten: bis zur Löschung des Kontos beziehungsweise Beendigung des Vertrags, anschließend höchstens für offene Ansprüche;
• nicht bestätigte Demo-Registrierungen: grundsätzlich nach 7 Tagen; bestätigte Demo-Konten nach Ende des Testzeitraums und einer angemessenen Nachfrist, sofern kein Vertrag geschlossen wird;
• Beratungsanfragen: bis zum Abschluss der Anfrage und anschließend grundsätzlich höchstens 12 Monate, sofern keine gesetzlichen Pflichten oder ein anschließender Vertrag eine längere Speicherung erfordern;
• Vereinsdaten: nach den Löschfristen und Weisungen des verantwortlichen Vereins;
• nicht eingereichte Nachweisentwürfe und zugehörige Uploads: nach 90 Tagen ohne Aktivität;
• Nachweise im Status „weitere Belege erforderlich“ und zugehörige Uploads: nach sechs Monaten ohne Reaktion;
• abgelehnte oder zurückgezogene Nachweise und zugehörige Dateien: sechs Monate nach Abschluss des Prüfverfahrens;
• freigegebene Nachweise und ihre Prüfunterlagen: solange das Abzeichen beziehungsweise der Schwimmpass geführt und überprüfbar gehalten wird;
• Originaldateien freigegebener Nachweise: drei Jahre nach Widerruf, Ersetzung oder Löschung des zugehörigen Kontos beziehungsweise Passes;
• Audit- und Prüfereignisse: drei Jahre nach Abschluss, Widerruf oder Ersetzung des Nachweises, soweit keine längere Speicherung zur Rechtsverteidigung erforderlich ist;
• öffentliche QR-Verifizierung: bei Löschung oder Widerruf unverzüglich deaktiviert; notwendige Statusangaben können während der genannten Auditfrist nichtöffentlich beziehungsweise datensparsam erhalten bleiben;
• Profilbilder: bei Entfernung, Widerruf oder Löschung des Profils aus dem aktiven System gelöscht;
• Serverprotokolle: grundsätzlich nach 14 Tagen;
• Sicherungskopien: nach dem festgelegten Sicherungszyklus überschrieben oder gelöscht, spätestens nach zwölf Monaten, sofern keine gesetzliche Pflicht oder dokumentierte Sicherheitsmaßnahme eine kürzere beziehungsweise ausnahmsweise längere Frist erfordert;
• gesetzlich aufbewahrungspflichtige Geschäftsunterlagen: regelmäßig sechs oder zehn Jahre, abhängig von der Dokumentart.

Ist eine sofortige Löschung aus technischen Sicherungskopien nicht möglich, werden die betroffenen Daten für die weitere Verarbeitung gesperrt und mit dem nächsten turnusmäßigen Überschreiben der Sicherung gelöscht.

13. Rechte betroffener Personen

Betroffene Personen haben – soweit die gesetzlichen Voraussetzungen vorliegen – das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21). Erteilte Einwilligungen können nach Art. 7 Abs. 3 jederzeit für die Zukunft widerrufen werden.

Widerspruch: Beruht eine Verarbeitung auf Art. 6 Abs. 1 lit. e oder f DSGVO, können Sie aus Gründen, die sich aus Ihrer besonderen Situation ergeben, widersprechen. Gegen Direktwerbung kann jederzeit ohne Begründung widersprochen werden; Direktwerbung findet derzeit nicht statt.

Zur Ausübung der Rechte genügt eine Nachricht an die oben genannte Datenschutzadresse. Zum Schutz der Daten kann ein Identitätsnachweis erforderlich sein.

Beschwerderecht

Sie können sich bei einer Datenschutzaufsichtsbehörde beschweren, insbesondere bei der Behörde Ihres Aufenthaltsorts, Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes. Für den Verantwortlichen zuständig ist:

14. Sicherheit und Aktualisierung

Die Übertragung erfolgt verschlüsselt per HTTPS. Weitere Schutzmaßnahmen sind rollenbasierte Zugriffe, serverseitige Mandanten- und Teilnehmerprüfung, geschützte Uploads, sichere Passwort-Hashes, Protokollierung sicherheitsrelevanter Änderungen, Integritätssignaturen sowie datensparsame öffentliche Ansichten.

Diese Erklärung wird angepasst, wenn sich Funktionen, Empfänger, Rechtsgrundlagen oder gesetzliche Anforderungen ändern. Die jeweils aktuelle Fassung ist unter https://bluca.de/datenschutz.html abrufbar.