Confidentialité

Diese Erklärung beschreibt, was Routetree mit Daten tut. Sie ist kurz, weil wenig passiert. Das ist Absicht und keine Auslassung.

Verantwortlich

Niklas Mario Bergmann Zierker Straße 66, 17235 Neustrelitz E-Mail: kontakt@routetree.de

Was wir verarbeiten, und warum

Zugangsdaten. Benutzername, Name und Passwort (nur als Prüfsumme, nie im Klartext). Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Ohne Zugang keine Nutzung.

Zugehörigkeit. Zu welchem Verein und welcher Mannschaft jemand gehört, und in welcher Rolle. Ohne das lässt sich nicht entscheiden, wer ein Playbook sehen darf.

Lernstände. Wenn jemand die Übungsfunktion nutzt, merken wir uns, welche Plays er schon konnte. Das sieht nur er selbst; es wird nicht an Trainer gemeldet.

Bedienspur der App, nur nach ausdrücklicher Einwilligung. Wer in der App unter Konto im Abschnitt Nutzungsqualität verbessern den Schalter Nutzungsdaten teilen einschaltet, lässt uns aufzeichnen, welche Schaltfläche wann getippt wurde: Ansicht, Handlung und Zeitpunkt. Kein Inhalt -- keine Playnamen, keine Spielernamen, keine Zeichnungen. Wir nutzen das ausschließlich, um zu erkennen, welche Wege in der App zu umständlich sind. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO. Der Schalter wirkt in beide Richtungen: Wer ihn ausschaltet, widerruft, und die bereits gesammelte Spur wird dabei sofort gelöscht. Ohne Einwilligung wird nichts aufgezeichnet.

Anmeldeversuche. Benutzername und gekürzte Herkunftsadresse, höchstens 24 Stunden. Ausschließlich, um Passwort-Raten zu bremsen (Art. 6 Abs. 1 lit. f DSGVO).

Anfragen von Vereinen. Name, Verein und Kontaktadresse, wenn jemand über die Startseite anfragt. Zur Beantwortung, nicht für Werbung.

Zahlungen. Wer ein Abo kauft, gibt seine Zahlungsdaten bei Stripe ein, nicht bei uns. Zu uns zurück kommen: eine Kundennummer, eine Abonummer, der Zustand des Vertrags und der Zeitpunkt, bis zu dem bezahlt ist. Kartendaten sehen wir nie. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertrag).

Kündigungen und Widerrufe ohne Anmeldung. Wer über die Kündigungsschaltfläche erklärt, gibt Name, E-Mail-Adresse und die Bezeichnung seines Vertrags an. Das verlangt das Gesetz so (§ 312k Abs. 2 BGB) -- ohne diese Angaben ließe sich die Erklärung nicht zuordnen. Rechtsgrundlage: Art. 6 Abs. 1 lit. c DSGVO.

Meldungen über Inhalte. Wer einen Inhalt meldet, gibt den Grund an und kann beschreiben, was nicht stimmt. Ohne Konto sind zusätzlich Name, E-Mail-Adresse und der Fundort erforderlich -- das schreibt Art. 16 Abs. 2 der Verordnung (EU) 2022/2065 so vor, und ohne diese Angaben ließe sich weder sorgfältig entscheiden noch antworten. Wir speichern außerdem, was gemeldet wurde: den Namen des Spielzugs sowie Verein und Mannschaft, als Text. Das ist notwendig, weil ein berechtigt gemeldeter Inhalt in aller Regel gelöscht wird -- ohne diese Zeilen ließe sich hinterher weder die Entscheidung begründen (Art. 17 der Verordnung) noch ein Widerspruch prüfen. Rechtsgrundlage: Art. 6 Abs. 1 lit. c DSGVO (rechtliche Verpflichtung).

Der Person, deren Inhalt betroffen ist, teilen wir mit, dass und warum etwas entfernt wurde. Wer gemeldet hat, erfahren wir ihr nicht.

Was wir nicht tun

Kein Tracking, keine Werbenetzwerke, keine fremden Analysedienste, keine Profilbildung, kein Verkauf von Daten. Die Bedienspur oben ist die einzige Aufzeichnung von Bedienverhalten, sie bleibt aus, bis jemand sie selbst einschaltet, und sie verlässt unseren Server nicht.

Cookies setzen wir drei, und alle drei sind technisch notwendig. Für sie ist keine Einwilligung nötig (§ 25 Abs. 2 Nr. 2 TDDDG), abschalten lassen sie sich trotzdem im Browser -- dann funktioniert die Anmeldung nicht mehr:

• Anmeldung (sessionid). Hält dich angemeldet. Endet mit der Abmeldung.
• Formularschutz (csrftoken). Verhindert, dass eine fremde Seite in deinem Namen ein Formular abschickt.
• Sprache (routetree_sprache). Merkt sich, welche Sprache du oben rechts gewählt hast. Ohne ihn wäre die Seite bei jedem Aufruf wieder in der Sprache des Browsers.

Mehr sind es nicht. Kein Cookie von Dritten, keines zur Wiedererkennung über Sitzungen hinweg.

Wer sonst noch mit Daten zu tun hat, steht unten vollständig -- fünf Stellen, jede mit einem Zweck, den wir selbst nicht erfüllen können.

Protokolle

Der Server hält technische Vorgänge fest: Zeitpunkt, aufgerufene Adresse, Antwortcode, Dauer. Ohne Namen. Statt einer Kennung steht dort ein berechnetes Kürzel, aus dem sich ohne unseren Schlüssel nicht zurückrechnen lässt, wer gemeint war. Die Herkunftsadresse wird auf das Netz gekürzt (203.0.113.0/24), nicht auf den Anschluss. Suchbegriffe werden ausdrücklich nicht mitgeschrieben.

Wie lange

Was	Wie lange
Zugang und Zugehörigkeit	solange das Konto besteht
Anmeldeversuche	24 Stunden
Einladungen	bis zum Ablauf, dann 30 Tage
Bedienspur (freiwillig)	30 Tage, beim Widerruf sofort
Nachweisprotokoll der Verwaltung	3 Jahre (Nachweispflicht)
Anfragen von Vereinen	12 Monate nach der letzten Antwort
Kündigungen und Widerrufe	3 Jahre (Verjährung, § 195 BGB)
Fehlgeschlagene Zahlungsmeldungen	180 Tage
Meldungen über Inhalte	1 Jahr nach Erledigung; offene bleiben
Rechnungen	8 Jahre (§ 147 Abs. 3 AO, § 14b Abs. 1 UStG)

Ihre Rechte

Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21).

Auskunft und Löschung gehen ohne Umweg: In der Anwendung unter Passwort ändern steht der Weg zur Kontolöschung; die Auskunft gibt es als maschinenlesbare Datei über die Schnittstelle. Wir bitten nicht darum, dafür eine Mail zu schreiben.

Bei einer Löschung verschwindet der Personenbezug, die Playbooks bleiben: Sie sind die Arbeit einer Saison und gehören dem Verein, nicht der Person, die zuletzt daran gezeichnet hat. Wo ein Name an einem Play stand, steht danach niemand mehr.

Sie können sich außerdem bei einer Aufsichtsbehörde beschweren. Zuständig ist der Landesbeauftragte für Datenschutz und Informationsfreiheit Mecklenburg-Vorpommern.

Wer sonst mit Daten zu tun hat

Der Dienst selbst läuft auf einem Server in Deutschland. Fünf Aufgaben erfüllen wir nicht selbst; dafür gibt es je einen Dienstleister, der in unserem Auftrag verarbeitet. Die sechste Stelle, Apple, ist kein Auftragsverarbeiter, sondern selbst verantwortlich -- deshalb steht sie zuletzt und mit diesem Hinweis.

Hosting: Hetzner Online GmbH, Industriestraße 25, 91710 Gunzenhausen. Auftragsverarbeitung nach Art. 28 DSGVO. Der Server steht im Rechenzentrum Nürnberg, es findet keine Übermittlung in Drittländer statt. https://www.hetzner.com/de/rechtliches/datenschutz

Benachrichtigungen an uns: Telegram Messenger Inc. Kündigungen und Widerrufe, die ohne Anmeldung erklärt werden, melden wir uns selbst -- damit sie nicht in einem Postfach liegen bleiben. In dieser Meldung stehen Name, E-Mail-Adresse und die Bezeichnung des Vertrags. Telegram verarbeitet außerhalb der EU; die Übermittlung stützt sich auf die Standardvertragsklauseln der EU. Wir können diesen Weg abschalten, ohne dass sich für dich etwas ändert -- die Erklärung selbst ist gespeichert, bevor irgendetwas hinausgeht. https://telegram.org/privacy

Dieselbe Meldung geht zusätzlich als Mitteilung auf ein Gerät des Betreibers (über Apple, siehe unten) und per E-Mail (über Resend, siehe oben). Es sind drei Wege für dieselbe Nachricht, weil eine Kündigung nicht daran scheitern darf, dass ein Dienst gerade nicht erreichbar ist.

Zahlungen: Stripe. Vertragspartner im EWR ist die Stripe Payments Europe, Limited in Irland; die Verarbeitung im Konzern schließt die Stripe, LLC in den USA ein. Stripe, LLC ist unter dem EU-U.S. Data Privacy Framework zertifiziert; zusätzlich gelten die Standardvertragsklauseln der EU. https://stripe.com/de/privacy

E-Mail-Versand: Plus Five Five, Inc. („Resend"), 2261 Market Street #5039, San Francisco, CA 94114, USA. Der Versand läuft technisch über Amazon Web Services. Das Unternehmen ist unter dem EU-U.S. Data Privacy Framework gelistet, allerdings nur für Daten außerhalb eines Beschäftigtenverhältnisses und mit dem Vermerk, dass die Re-Zertifizierung derzeit geprüft wird. Zusätzlich gelten die Standardvertragsklauseln der EU. https://resend.com/legal/privacy-policy

Eingehende E-Mail: Forward Email LLC, USA; Vertreter nach Art. 27 DSGVO ist die Osano International Compliance Services Limited, 3 Dublin Landings, North Wall Quay, Dublin 1, Irland. Nicht unter dem Data Privacy Framework zertifiziert; die Übermittlung stützt sich auf die Standardvertragsklauseln der EU. https://forwardemail.net/en/privacy

App Store, „Mit Apple anmelden", Mitteilungen: Apple Distribution International Ltd., Hollyhill Industrial Estate, Hollyhill, Cork, Irland. Apple ist für diese Daten eigener Verantwortlicher, nicht unser Auftragsverarbeiter -- wir bekommen von dort nur, was zum Anlegen des Zugangs nötig ist. Apple ist nicht unter dem Data Privacy Framework zertifiziert; Apple stützt Übermittlungen in die USA auf die Standardvertragsklauseln der EU. https://www.apple.com/legal/privacy/de-ww/

Warum das so genau dasteht. „Wir geben keine Daten weiter" wäre einfacher zu schreiben und nicht wahr. Wer wissen will, wo seine Daten sind, soll es hier lesen können und nicht raten müssen.

Stand

09.09.2026. Wir ändern diesen Text, wenn sich etwas ändert, und nicht nach Plan.