Sicherheit & Datenschutz
Wie wir mit den Daten umgehen, die Ihr Verein uns anvertraut — einschließlich der Daten von Kindern.
Wo Ihre Daten liegen
Anwendungsdaten werden in einer verwalteten PostgreSQL-Datenbank bei Supabase gespeichert, die auf AWS-Infrastruktur läuft, mit verschlüsselten Verbindungen (TLS) für den gesamten Datenverkehr. Die Website wird über das CDN von Cloudflare mit HSTS, gängigen Sicherheits-Headern und Bot-Schutz durch Cloudflare Turnstile auf öffentlichen Formularen ausgeliefert.
Wenn Ihr Verein oder Verband Daten in einer bestimmten Region benötigt, kontaktieren Sie uns vor der Anmeldung — wir bestätigen Ihnen die aktuelle Hosting-Region schriftlich.
Auftragsverarbeiter
Wir nutzen die folgenden Drittanbieter, um den Dienst zu betreiben:
| Anbieter | Was er verarbeitet |
|---|---|
| Supabase | Datenbank, Authentifizierung und Dateispeicherung für alle Konto- und Vereinsdaten. |
| Cloudflare | CDN, DNS, DDoS-Schutz und Turnstile-Bot-Schutz auf öffentlichen Formularen. |
| Paddle | Händlerdatensatz (Merchant of Record) für Club-Term-Abonnements — Paddle verarbeitet Ihre Kartenzahlung an uns. |
| Stripe (geplant — nicht aktiviert) | Für Kartenzahlungen des Vereins geplant, derzeit nicht aktiviert. Sobald die Stripe-Anbindung Ihres Vereins verfügbar ist, würden dort Kartenzahlungen der Eltern an Ihren Verein verarbeitet. Heute werden keine Kartendaten über Stripe erfasst. |
| EmailIt | Transaktions-E-Mails — Rechnungen, Anmeldelinks und Teameinladungen. |
| Sentry | Fehlerüberwachung der Anwendung; Ereignisinhalte sind auf technische Diagnosen beschränkt. |
Kinderdaten und Schutz
Vereine speichern Teilnehmerprofile — die medizinische Hinweise, Notfallkontakte und Allergieinformationen enthalten können — unter dem Konto der Eltern oder Erziehungsberechtigten. Kinder haben keine eigenen Konten. Der Zugriff innerhalb der Anwendung wird durch zeilenbasierte Sicherheit auf jeder Tabelle gesteuert, sodass die Daten eines Vereins niemals von einem anderen lesbar sind, und rollenbasierte Berechtigungen begrenzen, was Mitarbeiter sehen können.
Ihr Verein ist der Verantwortliche für die Teilnehmerdaten; Real Code Ltd fungiert als Auftragsverarbeiter. Unsere Datenschutzerklärung beschreibt Rechtsgrundlage, Aufbewahrung und Ihre Rechte im Detail.
Zugriffskontrolle und Konten
- Zeilenbasierte Sicherheit auf Datenbankebene für jede Tabelle
- Rollenbasierter Zugriff für Mitarbeiter, Trainer und Administratoren
- Mehrfaktor-Authentifizierung für Administratorkonten verfügbar
- Passwörter werden von Supabase Auth verwaltet — wir sehen oder speichern sie nie
Backups und Export
Die Datenbank wird nach dem verwalteten Backup-Zeitplan von Supabase gesichert. Ihre Daten gehören Ihnen: Sie können Teilnehmer und Einheitendatensätze jederzeit exportieren, und bei Kündigung stellen wir auf Anfrage einen vollständigen Datenexport bereit. Wir halten Ihre Daten nicht als Geisel — wenn Sie gehen, gehen Sie mit allem.
Auftragsverarbeitungsvereinbarung
Wenn Ihr Verein, Ihre Schule oder Ihr Verband eine unterzeichnete Auftragsverarbeitungsvereinbarung benötigt, schreiben Sie an [email protected] — wir stellen eine zur Unterzeichnung bereit.
Eine Sicherheitslücke melden
Wenn Sie glauben, ein Sicherheitsproblem gefunden zu haben, melden Sie es bitte an [email protected]. Wir bitten Sie, das Problem nicht öffentlich zu machen, bevor wir angemessene Gelegenheit hatten, es zu untersuchen und zu beheben. Unsere security.txt nennt den offiziellen Kontakt.