Datenschutz­erklärung der Teamcardz-App

1Verantwortlicher

2Überblick

3Bereitstellung der App (Hosting)

Vercel. Die App und ihre Server-Funktionen werden über Vercel Inc., 440 N Barranca Ave #4133, Covina, CA 91723, USA, ausgeliefert. Beim Aufruf verarbeitet Vercel technisch notwendige Verbindungsdaten (IP-Adresse, Zeitpunkt, aufgerufene Adresse, Browser-Kennung) in Server-Logs. Server-Funktionen laufen in der Region Frankfurt (fra1). Vercel ist unter dem EU-U.S. Data Privacy Framework zertifiziert; zusätzlich bestehen Standardvertragsklauseln. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (sicherer, stabiler Betrieb). Log-Dauer: 3 Tage.

Supabase. Konto-, Profil- und Spieldaten sowie hochgeladene Bilder speichern wir bei Supabase Pte. Ltd., 65 Chulia Street #38-02/03, OCBC Centre, Singapore 049513, in einem Rechenzentrum in London (Vereinigtes Königreich). Für das Vereinigte Königreich gilt ein Angemessenheitsbeschluss der EU-Kommission. Supabase verarbeitet die Daten als Auftragsverarbeiter (Art. 28 DSGVO); für etwaige Zugriffe aus Drittländern bestehen Standardvertragsklauseln.

4Konto und Anmeldung

Für die Nutzung brauchst du ein Konto. Du kannst dich anmelden mit:

• E-Mail und Code oder Passwort. Wir speichern deine E-Mail-Adresse und – falls du eines setzt – dein Passwort ausschließlich als kryptografischen Hash. Anmelde- und Wiederherstellungscodes versenden wir per E-Mail (siehe Abschnitt 10).
• Google, Apple oder Facebook (Social Login). Du wirst zum jeweiligen Anbieter weitergeleitet und meldest dich dort an. Der Anbieter übermittelt uns danach deine E-Mail-Adresse, eine Anbieter-ID und – je nach Anbieter und deiner Freigabe – deinen Namen und dein Profilbild. Dein Passwort beim Anbieter erhalten wir nicht. Bei „Mit Apple anmelden“ kannst du deine E-Mail-Adresse verbergen; wir erhalten dann eine von Apple weitergeleitete Adresse. Das gilt gleichermaßen im Browser und in den Apps für iOS und Android.
  • Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland
  • Apple Distribution International Ltd., Hollyhill Industrial Estate, Hollyhill, Cork, Irland
  • Meta Platforms Ireland Limited, Merrion Road, Dublin 4, Irland

  Für die Verarbeitung beim Anbieter selbst gelten dessen Datenschutzhinweise. Die Anbieter können Daten in die USA übermitteln; sie sind unter dem EU-U.S. Data Privacy Framework zertifiziert.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Nutzungsvertrag). Die Login-Sitzung wird in einem Cookie auf deinem Gerät gespeichert (siehe Abschnitt 13).

5Profil und Sichtbarkeit für andere Fans

Wir speichern deinen Nutzernamen, optional einen Anzeigenamen und ein Profilbild (JPG, PNG oder WEBP, höchstens 5 MB), deine gewählten Vereine und die aktuelle Saison. Hast du dich per Social Login angemeldet, kann dein Name bzw. Profilbild vom Anbieter vorbelegt sein; du kannst beides ändern.

Für andere angemeldete Fans sichtbar sind: Nutzername, Anzeigename, Profilbild, Verein, Beitrittsdatum, Punkte und Platzierungen in Ranglisten, deine Karten-Angebote auf dem Transfermarkt und öffentliche Gesuche. Deine E-Mail-Adresse ist für andere Fans nicht sichtbar. Wenn du nicht mit deinem echten Namen erscheinen möchtest, wähle einen Fantasienamen und ein neutrales Bild.

6Spielfunktionen

Zur Bereitstellung der App verarbeiten wir die Daten, die bei der Nutzung entstehen: eingelöste Karten (inkl. QR-Code-Einlösungen physischer Karten), digitale Karten, Coin-Stand und Coin-Buchungen, Tipps, Aufstellungen, Spieltags- und Saisonpunkte, Angebote, Käufe und Verkäufe auf dem Transfermarkt sowie Einlösungen im Fan-Shop. Diese Daten bilden deinen Transaktionsverlauf in der App. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

Spiel- und Spielerdaten (Spielpläne, Ergebnisse, Aufstellungen, Spielerstatistiken) beziehen wir von der DataSportsGroup. An diesen Dienst übermitteln wir keine Daten über dich.

7Vereine

Teamcardz arbeitet mit Partnervereinen zusammen. Wenn du einen Verein auswählst, sieht der Verein in unserem Verwaltungsbereich Nutzername, Anzeigename, Coin-Stand, Anzahl Karten und E-Mail-Adresse sowie zusammengefasste Statistiken (z. B. Zahl aktiver Fans, Lesequote von Vereins-News). Vereins-Mitarbeiter erhalten Zugang nur zu Fans ihres eigenen Vereins.

Fan-Shop: Prämien im Fan-Shop erbringt der jeweilige Verein. Wenn du eine Prämie einlöst, erhält der Verein die dafür nötigen Angaben: Nutzername, Prämie, Zeitpunkt, Status und ggf. den Gutschein-Code. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Erbringung der Prämie); der Verein verarbeitet diese Angaben als eigener Verantwortlicher.

Vereins-News, die ein Verein veröffentlicht, landen in deinem Postfach in der App und – wenn du das Thema aktiviert hast – als Push-Mitteilung. Für den Inhalt der News ist der jeweilige Verein verantwortlich.

8Nutzungsstatistik

Damit wir und die Vereine sehen, wie die App genutzt wird, speichern wir einmal pro Kalendertag einen Eintrag „Nutzer war aktiv“ mit Nutzer-ID, Datum und Plattform (Web, iOS oder Android). Wir erfassen nicht, welche Seiten du aufrufst, wie lange du bleibst oder was du anklickst, und wir speichern dafür nichts auf deinem Gerät. Ausgewertet werden die Einträge nur zusammengefasst (z. B. „aktive Fans in den letzten 30 Tagen“). Einträge werden nach 400 Tagen gelöscht.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist es, Reichweite und Entwicklung der App zu messen und den Vereinen belastbare Zahlen zu liefern. Du kannst jederzeit widersprechen (Abschnitt 16).

9Push-Mitteilungen

Push-Mitteilungen erhältst du nur, wenn du sie in der App und anschließend im System-Dialog deines Geräts bzw. Browsers erlaubst. Welche Themen du bekommst (Spieltag und Ergebnisse, Live-Ereignisse, Transfermarkt, Vereins-News), stellst du in den Einstellungen ein. Wir speichern dazu ein Geräte-Token, eine zufällige Geräte-ID, die Plattform und deine Themen-Auswahl.

Zugestellt werden Mitteilungen über die Push-Dienste der Plattformen:

• iOS: Apple Push Notification service (Apple Inc. / Apple Distribution International Ltd.)
• Android: Firebase Cloud Messaging (Google Ireland Limited); wir nutzen von Firebase ausschließlich den Nachrichtenversand, keine Analyse-Funktionen
• Browser: der Push-Dienst deines Browser-Herstellers (z. B. Google für Chrome, Mozilla für Firefox, Apple für Safari)

Diese Dienste können Daten in die USA übermitteln (EU-U.S. Data Privacy Framework). Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG). Du kannst sie jederzeit in den App-Einstellungen oder in den Systemeinstellungen widerrufen; das Token wird dann gelöscht bzw. nicht mehr verwendet. Die Inhalte der Mitteilungen findest du zusätzlich in deinem Postfach in der App.

10E-Mails

Login- und Wiederherstellungscodes, Kaufbestätigungen und – wenn du sie in den Einstellungen aktivierst – Benachrichtigungen zu Spieltagen oder dem Transfermarkt versenden wir über Resend (Resend, Inc., 2261 Market Street #5039, San Francisco, CA 94114, USA) als Auftragsverarbeiter. Verarbeitet werden E-Mail-Adresse, Inhalt und Zustellstatus. Resend ist unter dem EU-U.S. Data Privacy Framework zertifiziert; zusätzlich bestehen Standardvertragsklauseln. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Werbe-E-Mails versenden wir nicht ohne deine gesonderte Einwilligung.

11Käufe von Coins

Im Browser wickeln wir Käufe über Stripe ab (Stripe Payments Europe, Limited, 1 Grand Canal Street Lower, Dublin 2, Irland). Stripe erhält deine E-Mail-Adresse, deine interne Nutzer-ID, das gekaufte Paket und den Zeitpunkt deiner Zustimmung zur sofortigen Gutschrift (Widerrufsrecht). Zahlungsdaten (z. B. Kartennummer) gibst du direkt bei Stripe ein; wir erhalten sie nicht. Stripe ist für Zahlungsabwicklung und Betrugsprävention teilweise eigener Verantwortlicher.

In den Apps für iOS und Android kaufst du über den App Store (Apple) bzw. Google Play (Google). Verkäufer ist dort die jeweilige Plattform. Zur Zuordnung des Kaufs zu deinem Konto nutzen wir RevenueCat (RevenueCat, Inc., 1032 E Brandon Blvd #3003, Brandon, FL 33511, USA) als Auftragsverarbeiter. RevenueCat erhält deine interne Nutzer-ID und die Kaufbelege der Plattform, nicht deine E-Mail-Adresse. Für die Übermittlung in die USA bestehen Standardvertragsklauseln.

Wir speichern zu jedem Kauf Paket, Betrag, Währung, Zeitpunkt, Transaktions-ID und die Widerrufs-Zustimmung. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO; für die Aufbewahrung Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit § 147 AO und § 257 HGB.

12Fehlerberichte

Damit wir Abstürze und Fehler beheben können, nutzen wir Sentry (Functional Software, Inc., 45 Fremont Street, 8th Floor, San Francisco, CA 94105, USA) mit Datenspeicherung in der EU (Frankfurt). Bei einem Fehler werden technische Daten übermittelt (Fehlermeldung, betroffene Funktion, App-Version, Browser bzw. Betriebssystem) sowie deine Nutzer-ID. Wir übermitteln keine Namen oder E-Mail-Adressen, zeichnen keine Bildschirminhalte auf und messen keine Performance. Codes aus Karten-Links werden vor dem Versand entfernt. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (stabiler und sicherer Betrieb). Speicherdauer bei Sentry: 30 Tage.

13Speicherung auf deinem Gerät

Wir speichern auf deinem Gerät nur, was für die von dir genutzten Funktionen unbedingt erforderlich ist (§ 25 Abs. 2 Nr. 2 TDDDG):

• Login-Sitzung (Cookie, auch für Subdomains von teamcardz.com)
• zufällige Geräte-ID für Push-Mitteilungen
• Einstellungen und Komfortfunktionen (z. B. Kipp-Effekt der Karten, ausgeblendete Hinweise)
• zwischengespeicherte Spieldaten für schnelleres Laden
• vorübergehend eine gescannte Karten-Einlösung, bis du angemeldet bist

Schriften. Für die Darstellung laden wir Schriftarten von Adobe Fonts (Adobe Systems Software Ireland Limited, 4–6 Riverwalk, Citywest Business Campus, Dublin 24, Irland). Dabei wird deine IP-Adresse an Adobe übermittelt; Adobe kann Daten in die USA übertragen. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (einheitliche Darstellung der App). Adobe setzt dabei nach eigenen Angaben keine Cookies.

14Gerätefunktionen

• Kamera: nur zum Scannen von QR-Codes auf Teamcardz-Karten und nur nach deiner Freigabe. Der Code wird auf deinem Gerät ausgelesen; Kamerabilder werden nicht gespeichert oder an uns übertragen. Alternativ kannst du ein Foto des Codes auswählen; auch dieses wird nur auf dem Gerät ausgewertet.
• Bewegungssensoren: für den Kipp-Effekt der Karten, nur nach Freigabe und nur auf dem Gerät. Du kannst den Effekt in den Einstellungen abschalten.
• Fotos: nur wenn du aktiv ein Profilbild hochlädst.

Standortdaten, Kontakte oder Mikrofon nutzen wir nicht.

15Support

Wenn du uns schreibst, verarbeiten wir deine E-Mail-Adresse und deine Nachricht. Über den Support-Button in der App fügen wir App-Version, Plattform und deine Nutzer-ID ein, damit wir dein Konto finden; du kannst das vor dem Absenden löschen. Anfragen bearbeiten wir in Odoo (Odoo S.A., Chaussée de Namur 40, 1367 Grand-Rosière, Belgien). Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, sonst lit. f. Anfragen löschen wir 3 Monate nach Abschluss, sofern keine Aufbewahrungspflicht besteht.

16Deine Rechte

Du hast das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft (Art. 7 Abs. 3).

Widerspruchsrecht (Art. 21 DSGVO): Soweit wir Daten auf Grundlage berechtigter Interessen verarbeiten (Nutzungsstatistik, Fehlerberichte, Hosting-Logs), kannst du aus Gründen, die sich aus deiner besonderen Situation ergeben, jederzeit widersprechen.

Schreib uns dazu an support@teamcardz.de.

Beschwerderecht: Du kannst dich bei einer Datenschutz-Aufsichtsbehörde beschweren, z. B. bei der für uns zuständigen Behörde: Thüringer Landesbeauftragter für den Datenschutz und die Informationsfreiheit (TLfDI), Häßlerstraße 8, 99096 Erfurt.

17Konto löschen

Du kannst dein Konto jederzeit in der App unter Profil › Konto löschen entfernen – im Browser auch unter https://app.teamcardz.com/profil. Alternativ genügt eine E-Mail an support@teamcardz.de von der hinterlegten Adresse.

Bei der Löschung werden sofort gelöscht: deine Anmeldedaten (E-Mail, Passwort, Verknüpfung mit Google, Apple oder Facebook), dein Profilbild, Push-Tokens, Postfach-Einträge, Nutzungseinträge, Tipps, Aufstellungen, Spieltagspunkte, Gesuche, offene Angebote und deine Karten. Dein Profil wird anonymisiert (Nutzername wird durch eine zufällige Kennung ersetzt, Anzeigename, Vereine und Coin-Stand werden entfernt).

Bestehen bleiben, ohne Bezug zu deinem Namen oder deiner E-Mail-Adresse: Kauf- und Buchungsbelege (gesetzliche Aufbewahrungspflicht, Verarbeitung eingeschränkt), abgeschlossene Markt-Geschäfte mit anderen Fans und deren gekaufte Karten sowie die Information, dass ein QR-Code bereits eingelöst wurde. Bei Zahlungsdienstleistern (Stripe, Apple, Google, RevenueCat) bleiben Kaufdaten nach deren Aufbewahrungsregeln gespeichert.

18Speicherdauer

19Kinder und Jugendliche

Die App richtet sich an Fans ab 16 Jahren. Jüngere dürfen die App nur mit Zustimmung ihrer Eltern nutzen; Käufe von Coins durch Minderjährige erfordern die Zustimmung der Erziehungsberechtigten. Wir erheben kein Geburtsdatum.

20Empfänger und Drittländer im Überblick

Mit allen Auftragsverarbeitern bestehen bzw. werden Verträge nach Art. 28 DSGVO geschlossen.

21Änderungen

Wir passen diese Erklärung an, wenn sich die App oder die Rechtslage ändert. Die aktuelle Fassung findest du immer unter teamcardz.com/datenschutz-app und in der App über das Menü.