Datenschutzerklärung

Auf einen Blick

futcup ist ein Fußball-Tippspiel. Wir verarbeiten nur die Daten, die wir für den Betrieb brauchen:

• Keine Werbung, keine Tracking- oder Analyse-Tools, kein Verkauf von Daten
• Keine Standortdaten, kein Zugriff auf deine Kontakte oder Fotos
• Deine App-Daten werden in der EU gespeichert (Frankfurt am Main)
• Du kannst deine Daten jederzeit in der App unter Profil → Data & Privacy herunterladen oder löschen

Die Einzelheiten findest du unten.

1. Verantwortlicher

Verantwortlicher im Sinne der DSGVO für die futcup-App und die Website www.futcup.app ist:

Emre Dirlik
Eichhorster Weg 29
13435 Berlin, Deutschland
E-Mail: support@futcup.app

Wir haben keinen Datenschutzbeauftragten benannt, da wir hierzu gesetzlich nicht verpflichtet sind. Bitte richte Fragen zum Datenschutz direkt an die oben genannte Adresse.

2. Rechtsgrundlagen

In den Abschnitten 3 bis 9 erklären wir jede Verarbeitung: welche Daten, zu welchem Zweck, auf welcher Rechtsgrundlage und wie lange. Wir stützen uns auf folgende Rechtsgrundlagen:

• Art. 6 Abs. 1 lit. b DSGVO: Erfüllung unseres Vertrags mit dir (der Nutzungsbedingungen)
• Art. 6 Abs. 1 lit. a DSGVO: deine Einwilligung, die du jederzeit mit Wirkung für die Zukunft widerrufen kannst
• Art. 6 Abs. 1 lit. c DSGVO: Erfüllung einer rechtlichen Verpflichtung
• Art. 6 Abs. 1 lit. f DSGVO: unsere berechtigten Interessen, die wir jeweils benennen

3. Konto und Gast-Onboarding

Altersabfrage: Bevor die Gast-Sitzung beginnt, fragen wir nach deinem Geburtsdatum. Deine Angabe bleibt auf deinem Gerät und wird nicht an uns übermittelt. Bist du 16 oder älter, nutzen wir sie nur für dein Konto bei der Registrierung (sie wird dort nicht erneut abgefragt) und entfernen sie vom Gerät, sobald du mit einem Konto angemeldet bist (nach Registrierung oder Login). Bist du jünger als 16, wird kein Gastkonto angelegt; wir speichern auf dem Gerät nur einen Hinweis, dass die Altersabfrage nicht bestanden wurde, damit sie nicht einfach mit einem anderen Datum wiederholt werden kann.

Gast-Sitzung: Wenn du auf „Get started“ tippst, legen wir ein vorläufiges Gastkonto ohne Namen und E-Mail-Adresse an, damit deine Wettbewerbsauswahl und etwaige Freundschaftsanfragen gespeichert werden. Solange du Gast bist, ist dein Profil für andere Nutzer unsichtbar. Schließt du die Registrierung nicht ab, werden das Gastkonto und alle damit verbundenen Daten nach 30 Tagen automatisch gelöscht.

Registrierung: Für dein Konto verarbeiten wir deine E-Mail-Adresse, deinen Nutzernamen, dein Passwort und dein Geburtsdatum. Dein Passwort wird von unserem Authentifizierungsanbieter ausschließlich als gesalzener Hash gespeichert; wir sehen es nie im Klartext. Dein Geburtsdatum nutzen wir nur, um zu prüfen, dass du mindestens 16 Jahre alt bist (Abschnitt 17). Außerdem speichern wir, wann du diese Erklärung und die Nutzungsbedingungen akzeptiert hast und in welcher Version.

Anmeldesicherheit: Bei der Anmeldung verarbeitet unser Authentifizierungsanbieter Zeitpunkt und IP-Adresse der Anfrage, um dein Konto vor Missbrauch zu schützen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO für das Konto; Art. 6 Abs. 1 lit. f DSGVO für den Akzeptanznachweis und die Anmeldesicherheit (unser berechtigtes Interesse, die geltenden Bedingungen nachweisen zu können und Konten zu schützen).
Speicherdauer: solange dein Konto besteht; Anmelde-Protokolldaten (einschließlich IP-Adressen) höchstens 90 Tage.

4. Das Spiel und was andere sehen

Wenn du spielst, verarbeiten wir deine Tipps und die daraus berechneten Punkte, die Wettbewerbe, denen du folgst, deine Spiel-Erinnerungen, deine Freunde und Freundschaftsanfragen, die Gruppen, die du erstellst oder denen du beitrittst, sowie Gruppeneinladungen, deine Trophäen und Turnierplatzierungen, deine In-App-Benachrichtigungen und deine Privatsphäre-Einstellungen (z. B. ob andere dir Freundschaftsanfragen oder Gruppeneinladungen senden dürfen).

Was andere Nutzer sehen:

• Deinen Nutzernamen und Anzeigenamen: etwa in der Suche, in Ranglisten, in Gruppen und in Freundeslisten
• Deine Tipps, Punkte, Platzierungen und Trophäen: sie sind Teil des Wettbewerbs und für andere angemeldete Nutzer einsehbar, insbesondere für deine Freunde und die Mitglieder deiner Gruppen. Gruppenleiter können festlegen, ob Mitglieder die Tipps der anderen schon vor Anpfiff sehen.

Deine E-Mail-Adresse, dein Geburtsdatum und deine Einstellungen werden anderen Nutzern nie angezeigt.

Spieldaten wie Spielpläne und Ergebnisse stammen von football-data.org. Wir rufen dort nur Daten ab; von dir wird nichts an diesen Anbieter übermittelt.

Zum Schutz vor Missbrauch (z. B. automatisierte Massenanfragen) zählen wir, wie oft bestimmte Aktionen innerhalb kurzer Zeit von deinem Konto ausgelöst werden. Bei Funktionen, die ohne Konto nutzbar sind (Anmeldung mit Benutzernamen, Kontaktformular und Warteliste), zählen wir stattdessen Anfragen pro IP-Adresse; dabei speichern wir nur einen Einweg-Hash der IP-Adresse, nie die Adresse selbst. Diese Zähler werden spätestens nach 48 Stunden gelöscht.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO; Missbrauchsschutz Art. 6 Abs. 1 lit. f DSGVO (unser berechtigtes Interesse an einem sicheren und fairen Spiel).
Speicherdauer: solange dein Konto besteht (zu Gruppen, die du leitest, siehe Abschnitt 13).

5. Benachrichtigungen

Spiel-Erinnerungen: Wenn du eine Erinnerung für ein Spiel setzt, plant dein Gerät eine lokale Benachrichtigung (z. B. „Kickoff in 30 min“). Die Erinnerung selbst wird in deinem Konto gespeichert.

Push-Benachrichtigungen: Wenn du Benachrichtigungen erlaubst, sobald dein Gerät danach fragt, speichern wir den Push-Token deines Geräts, um dir Push-Nachrichten zu deinem Konto und deinen Gruppen zu senden (z. B. wenn du Leiter einer Gruppe wirst). Die Zustellung erfolgt über den Expo-Push-Dienst (650 Industries, Inc., USA) sowie den Apple Push Notification Service. Diese Dienste erhalten nur den Push-Token und den Inhalt der Nachricht.

Rechtsgrundlage: deine Einwilligung, Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG. Du kannst sie jederzeit widerrufen, indem du Benachrichtigungen für futcup in den Geräteeinstellungen ausschaltest. Der Push-Token wird mit deinem Konto gelöscht.

In-App-Benachrichtigungen (z. B. zu Änderungen in Gruppen) speichern wir in deinem Konto, um sie dir in der App anzuzeigen (Art. 6 Abs. 1 lit. b DSGVO).

6. Speicherung auf deinem Gerät

Die App speichert auf deinem Gerät ein Anmelde-Token in verschlüsseltem Speicher sowie einige App-Einstellungen und vor der Registrierung das Ergebnis der Altersabfrage (Abschnitt 3). So bleibst du angemeldet und die App funktioniert. Das ist für den von dir gewünschten Dienst unbedingt erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG); eine Einwilligung ist daher nicht nötig. Cookies oder ähnliche Technologien für Tracking oder Werbung setzen wir nicht ein.

7. E-Mails

Wir senden nur E-Mails, die für dein Konto oder deine Anfrage nötig sind, z. B. zur Bestätigung deiner E-Mail-Adresse, zum Zurücksetzen deines Passworts oder als Antwort an dich. Newsletter oder Werbe-E-Mails versenden wir nicht.

Unser E-Mail-Anbieter ist Resend (resend.com, USA).
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

8. Käufe

Die Nutzung von futcup ist kostenlos. Bieten wir optionale kostenpflichtige Funktionen an, wickelt Apple (App Store) den Kauf vollständig als eigener Verantwortlicher nach ihren Datenschutzerklärungen ab. Wir erhalten und speichern nur, ob und welche Berechtigung aktiv ist (z. B. Abo-Status und Ablaufdatum), niemals deine Zahlungsdaten.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Speicherdauer: solange dein Konto besteht, vorbehaltlich gesetzlicher Aufbewahrungspflichten (z. B. Steuerrecht).

9. Unsere Website

Hosting: www.futcup.app wird von Vercel Inc. (USA) gehostet. Beim Besuch der Website verarbeitet Vercel automatisch technische Zugriffsdaten: IP-Adresse, Datum und Uhrzeit, aufgerufene Seite, Referrer, Browser und Betriebssystem. Das ist nötig, um die Website auszuliefern und vor Angriffen zu schützen (Art. 6 Abs. 1 lit. f DSGVO: unser berechtigtes Interesse an einem sicheren und stabilen Betrieb). Die Daten werden gelöscht, sobald sie dafür nicht mehr benötigt werden. Die Website verwendet keine Cookies, keine Analyse-Tools und kein Tracking.

Kontaktformular: Nutzt du das Kontaktformular, verarbeiten wir Name, E-Mail-Adresse und Nachricht, um deine Anfrage zu beantworten. Die Nachricht wird uns per E-Mail über Resend zugestellt. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, wenn deine Anfrage dein Konto betrifft, sonst Art. 6 Abs. 1 lit. f DSGVO (unser berechtigtes Interesse an der Beantwortung von Anfragen). Wir löschen Anfragen nach ihrer Erledigung, sofern keine gesetzlichen Aufbewahrungspflichten bestehen.

Launch-Warteliste: Trägst du dich in die Warteliste ein, speichern wir deine E-Mail-Adresse und Sprache, um deine Anmeldung zu bestätigen und dich einmalig zum Start von futcup zu benachrichtigen. Rechtsgrundlage: deine Einwilligung, Art. 6 Abs. 1 lit. a DSGVO, die du jederzeit per E-Mail widerrufen kannst. Nach Versand der Launch-Benachrichtigung löschen wir die Warteliste.

10. Empfänger und Auftragsverarbeiter

Wir setzen folgende Dienstleister ein, die Daten in unserem Auftrag und nach unseren Weisungen verarbeiten (Art. 28 DSGVO):

• Supabase Inc. (USA): Datenbank, Authentifizierung und Serverfunktionen; deine App-Daten werden in der EU (Frankfurt) gehostet
• Resend (USA): Versand von E-Mails
• 650 Industries, Inc. (Expo, USA): Zustellung von Push-Benachrichtigungen
• Vercel Inc. (USA): Hosting der Website
• Functional Software, Inc. (Sentry, USA): Absturz- und Fehlerberichte (Abschnitt 12); Speicherung in der EU (Frankfurt)

Apple vertreibt die App, stellt Push-Benachrichtigungen zu (APNs) und wickelt In-App-Zahlungen ab, teilweise als eigener Verantwortlicher.

Andere Nutzer sehen die in Abschnitt 4 beschriebenen Daten. Wir verkaufen deine Daten nicht und geben sie nicht für Werbezwecke weiter. An Behörden geben wir Daten nur heraus, wenn wir gesetzlich dazu verpflichtet sind (Art. 6 Abs. 1 lit. c DSGVO).

11. Übermittlung in Drittländer

Einige der genannten Anbieter haben ihren Sitz in den USA. Für die USA hat die Europäische Kommission einen Angemessenheitsbeschluss erlassen (EU-U.S. Data Privacy Framework, 10. Juli 2023). Vercel, Resend, Expo, Sentry und Apple sind danach zertifiziert. Ist ein Anbieter nicht zertifiziert, stützen wir uns zusätzlich auf die EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO); das betrifft Supabase.

Deine App-Daten selbst werden in der EU gespeichert. Übermittlungen in die USA beschränken sich auf das, was der jeweilige Anbieter für seinen Dienst benötigt (z. B. E-Mail- oder Push-Zustellung, Support). Auf Anfrage stellen wir dir eine Kopie der Garantien zur Verfügung.

12. Sicherheit

Alle Verbindungen sind verschlüsselt (TLS). Zugriffsregeln in unserer Datenbank (Row-Level Security) stellen sicher, dass jeder Nutzer nur auf die Daten zugreifen kann, zu denen er berechtigt ist. Passwörter werden nur als Hash gespeichert, Anmelde-Token auf Mobilgeräten in verschlüsseltem Speicher, und der Zugang zu unseren Produktivsystemen ist beschränkt.

Absturzberichte: Stürzt die App ab oder tritt ein Fehler auf, sendet sie einen technischen Fehlerbericht an Sentry: Fehlermeldung und Stacktrace, App-Version, Gerätemodell und Betriebssystemversion sowie die kurz zuvor genutzten Bildschirme. Der Bericht enthält keinen Namen, keine E-Mail-Adresse, keine Nutzer-ID und keine IP-Adresse. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (unser berechtigtes Interesse an einer stabilen, fehlerfreien App); das dafür nötige Auslesen von Informationen auf deinem Gerät ist hierfür unbedingt erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG). Berichte werden spätestens nach 90 Tagen gelöscht.

13. Speicherdauer und Löschung

• Kontodaten: bis du dein Konto löschst
• Gastkonten ohne Registrierung: automatisch nach 30 Tagen
• Kontolöschung (Profil → Data & Privacy → Delete account): Profil, Tipps, Freundschaften, Gruppenmitgliedschaften, Trophäen, Benachrichtigungen, Einstellungen und alle übrigen personenbezogenen Daten werden sofort und unwiderruflich gelöscht. Gruppen, die du leitest, gehen an das am längsten registrierte Mitglied über; leere Gruppen werden gelöscht.
• Backups: gelöschte Daten verschwinden innerhalb von 30 Tagen aus unseren rollierenden Backups
• Kontaktanfragen: nach Erledigung; Warteliste: nach der Launch-Benachrichtigung

Soweit gesetzliche Aufbewahrungspflichten bestehen, schränken wir die Verarbeitung auf diesen Zweck ein und löschen die Daten nach Ablauf der Frist.

14. Deine Rechte

Du hast das Recht auf:

• Auskunft (Art. 15 DSGVO): „Download my data“ in der App liefert dir eine Kopie deiner Kontodaten als Datei; eine vollständige Kopie erhältst du jederzeit per E-Mail
• Berichtigung (Art. 16 DSGVO): deinen Nutzernamen kannst du in der App ändern, sonst kontaktiere uns
• Löschung (Art. 17 DSGVO): „Delete account“ in der App
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO): der Export ist eine maschinenlesbare JSON-Datei
• Widerruf erteilter Einwilligungen jederzeit mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO)

Widerspruchsrecht (Art. 21 DSGVO): Verarbeiten wir deine Daten auf Grundlage berechtigter Interessen (Art. 6 Abs. 1 lit. f DSGVO), kannst du aus Gründen, die sich aus deiner besonderen Situation ergeben, jederzeit widersprechen. Wir verarbeiten die Daten dann nicht mehr, es sei denn, wir können zwingende schutzwürdige Gründe nachweisen oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.

Zur Ausübung deiner Rechte schreib an support@futcup.app. Wir antworten innerhalb eines Monats.

15. Beschwerderecht

Du kannst dich bei einer Datenschutz-Aufsichtsbehörde beschweren, insbesondere in dem EU-Mitgliedstaat deines Aufenthaltsorts, deines Arbeitsplatzes oder des mutmaßlichen Verstoßes (Art. 77 DSGVO). Für uns zuständig ist:

Berliner Beauftragte für Datenschutz und Informationsfreiheit
Alt-Moabit 59-61, 10555 Berlin
www.datenschutz-berlin.de

16. Pflichtangaben und automatisierte Entscheidungen

Für ein Konto musst du E-Mail-Adresse, Nutzernamen, Passwort und Geburtsdatum angeben; ohne diese Angaben können wir den Vertrag mit dir nicht schließen. Alles andere (etwa Push-Benachrichtigungen oder die Warteliste) ist freiwillig.

Wir setzen keine automatisierte Entscheidungsfindung einschließlich Profiling ein, die dir gegenüber rechtliche Wirkung entfaltet oder dich in ähnlicher Weise erheblich beeinträchtigt (Art. 22 DSGVO). Punkte werden automatisch nach den in der App angezeigten Wertungsregeln berechnet; das ist Teil des Spiels und hat keine rechtliche Wirkung.

17. Mindestalter

futcup richtet sich an Personen ab 16 Jahren. Wir fragen das Geburtsdatum vor Beginn der Gast-Sitzung ab und speichern es bei der Registrierung in deinem Konto (Abschnitt 3), unsere Server lehnen Konten mit einem Geburtsdatum unter 16 Jahren ab, und wir verarbeiten wissentlich keine Daten jüngerer Kinder. Erfahren wir, dass ein Nutzer jünger als 16 ist, löschen wir das Konto. Eltern, die vermuten, dass sich ihr Kind registriert hat, können uns jederzeit kontaktieren.

18. Änderungen dieser Erklärung

Wir passen diese Erklärung an, wenn sich unser Dienst oder die Rechtslage ändert. Die aktuelle Fassung ist jederzeit in der App und auf unserer Website abrufbar. Über wesentliche Änderungen informieren wir dich vorab in der App und bitten dich, die neue Fassung zu bestätigen.