Version 6-entwurf
Mit dem Melde-Tool melden die Meldebeauftragten der Vereine und des Landeseissportverbands Sportlerinnen und Sportler zu Eiskunstlauf-Wettbewerben. Bisher geschah das mit Excel-Dateien per E-Mail. Das Tool läuft zunächst im Pilotbetrieb für Berlin.
Diese Hinweise erklären, welche personenbezogenen Daten dabei verarbeitet werden. Sie richten sich an
Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:
Berliner Eissport-Verband e.V. (BEV)
Fritz-Wildung-Straße 9, 14199 Berlin
Telefon: (030) 823 40 20
E-Mail: info@eissport-berlin.de
Vertreten durch: [PLATZHALTER: vertretungsberechtigter Vorstand des BEV]
Datenschutzbeauftragte oder Datenschutzbeauftragter: [PLATZHALTER: Name und Kontakt, oder der Satz „Der BEV hat keine Datenschutzbeauftragte oder keinen Datenschutzbeauftragten benannt, weil er dazu nicht verpflichtet ist.“]
Das Tool wird im Auftrag des BEV betrieben von:
[PLATZHALTER: Betreiber – Name oder Firma, Anschrift, E-Mail]
Der Betreiber ist Auftragsverarbeiter (Art. 28 DSGVO) (F1). Er verarbeitet die Daten nur nach Weisung des BEV und auf Grundlage eines Vertrags zur Auftragsverarbeitung. Er übernimmt auch die Administration des Tools: Er lädt Meldebeauftragte ein, nachdem der BEV sie bestätigt hat, und legt die Wettbewerbe an.
Der Betreiber setzt folgende Dienstleister ein (Unterauftragsverarbeiter):
| Dienstleister | Aufgabe | Ort der Verarbeitung |
|---|---|---|
| [PLATZHALTER: Hoster – Name, Anschrift] | Server, auf denen das Tool und seine Datenbank laufen | [PLATZHALTER: Standort des Rechenzentrums, EU] |
| [PLATZHALTER: Anbieter des Backup-Speichers – Name, Anschrift] | Speicher für die verschlüsselten Sicherungen | [PLATZHALTER: Standort, EU] |
| ImprovMX Incorporated, 8 The Green STE D, Dover, DE 19901, USA | Versand der E-Mails des Tools (Einladung, Anmeldecode, Passwort zurücksetzen, Sicherheitshinweise) | Frankreich und USA, siehe Abschnitt 6 |
| Friendly Captcha GmbH, Am Anger 3–5, 82237 Wörthsee, Deutschland [PLATZHALTER: Anschrift und Einsatz bestätigen, sobald der Bot-Schutz eingebaut ist] | Schutz der Anmeldeformulare vor automatisierten Zugriffen | [PLATZHALTER: EU] |
Ein Konto bekommt nur, wer von der Administration des Tools per E-Mail eingeladen wurde. Wir verarbeiten:
Zwecke: das Konto bereitstellen, Sie sicher anmelden, Ihnen nur die Daten Ihrer eigenen Organisation zeigen, Missbrauch erkennen und Änderungen nachvollziehen.
Rechtsgrundlagen: Art. 6 Abs. 1 Buchstabe b DSGVO (Nutzungsverhältnis nach den Nutzungsbedingungen) für das Konto und die Anmeldung. Art. 6 Abs. 1 Buchstabe f DSGVO für Sicherheit und Nachvollziehbarkeit; unser berechtigtes Interesse ist der Schutz der Daten der Sportlerinnen und Sportler vor unbefugtem Zugriff (F5).
Ohne diese Angaben können wir kein Konto einrichten.
Die Meldebeauftragten des Vereins oder des Landeseissportverbands erfassen im Tool (F19):
Aus den öffentlichen Daten der Deutschen Eislauf-Union (DEU) ergänzt das Tool:
Dafür vergleicht das Tool Name und Geburtsdatum mit den Personendaten, die die DEU im Internet veröffentlicht. In diesen Daten stehen Name und Geburtsdatum nur als Prüfwerte (Hashwerte), nicht im Klartext. Der Vergleich findet auf dem Server des Tools statt. An die DEU wird dabei nichts übermittelt. Wer in den DEU-Daten nicht gefunden wird, kann nicht erfasst werden.
Der Vergleich wiederholt sich jede Woche. Der Lizenzstatus folgt dabei den DEU-Daten. Führt die DEU eine Person unter einem anderen Namen (zum Beispiel nach einer Heirat) oder mit einem anderen Geburtsdatum (zum Beispiel nach einer Berichtigung), übernimmt das Tool das nicht von selbst: Die Administration des Tools oder die Meldebeauftragten des Landeseissportverbands prüfen die Änderung und tragen den neuen Namen oder das neue Geburtsdatum ein. Gespeichert wird dazu, wer wann entschieden hat. Bei einem Fehler in den DEU-Daten kann die Administration des Tools Name, Geburtsdatum und Lizenzstatus einer Person von Hand berichtigen und den Vergleich für sie aussetzen.
Außerdem entstehen:
Wir verarbeiten keine Gesundheitsdaten, keine Fotos, keine Anschriften und keine Kontaktdaten der Sportlerinnen und Sportler oder ihrer Eltern.
Zwecke: Sportlerinnen und Sportler zu Wettbewerben melden; die Meldungen prüfen (passt das Geschlecht zur Disziplin, passt das Alter zur Altersklasse, liegt eine gültige Lizenz vor, ist die Zahl der Meldungen je Kategorie überschritten); die Meldungen der Vereine beim Landeseissportverband zusammenführen; dem Veranstalter ein vollständiges und richtiges Meldeformular liefern; spätere Änderungen und Rückzüge nachvollziehbar machen.
Rechtsgrundlage: Art. 6 Abs. 1 Buchstabe f DSGVO (F4). Der BEV und seine Vereine haben ein berechtigtes Interesse daran, die Teilnahme ihrer Sportlerinnen und Sportler an Wettbewerben richtig, sicher und nachvollziehbar zu organisieren. Die Meldung geschieht nur, weil die Sportlerin oder der Sportler am Wettbewerb teilnehmen will, bei Minderjährigen mit Wissen der Eltern. Verarbeitet werden nur die Angaben, die das Meldeformular des Veranstalters ohnehin verlangt. Viele der Betroffenen sind minderjährig. Deshalb ist das Tool nur mit Anmeldung erreichbar, jede Organisation sieht nur ihre eigenen Sportlerinnen und Sportler, und die Daten liegen auf Servern in der EU (siehe Abschnitt 6).
Die Prüfungen im Tool sind Hinweise für die Meldebeauftragten. Über eine Meldung entscheidet immer ein Mensch. Eine automatisierte Entscheidung im Sinne von Art. 22 DSGVO und ein Profiling finden nicht statt (F14).
Zu jedem Wettbewerb speichern wir den Veranstalter, seine Ansprechperson und deren E-Mail-Adresse, so wie sie in der Ausschreibung oder im Meldeformular stehen. So wissen die Meldebeauftragten, wohin das Meldeformular geht. Rechtsgrundlage ist Art. 6 Abs. 1 Buchstabe f DSGVO; unser berechtigtes Interesse ist die richtige Zustellung der Meldungen.
Das Tool protokolliert jede Änderung, aber keine Lesezugriffe. Jeder Eintrag hat zwei Teile:
Passwörter erscheinen im Protokoll nie, auch nicht verschlüsselt; vermerkt wird nur, dass eines geändert wurde.
Der sensible Teil wird nach 365 Tagen gelöscht, bei Löschung einer Sportlerin oder eines Sportlers sofort. Rechtsgrundlage ist Art. 6 Abs. 1 Buchstabe f DSGVO; unser berechtigtes Interesse ist, Fehler und Missbrauch aufklären zu können und nachzuweisen, was wann an einen Veranstalter gemeldet wurde.
Bei jedem Aufruf speichern der Webserver und die Anwendung: IP-Adresse, Datum und Uhrzeit, die aufgerufene Adresse, den Statuscode, die übertragene Datenmenge, die zuvor besuchte Seite (Referrer) und die Kennung des Browsers. Wir nutzen diese Protokolle nur, um Störungen und Angriffe zu erkennen. Sie werden nach [PLATZHALTER: Speicherdauer der Webserver-Protokolle, Vorschlag: 14 Tage] gelöscht. Rechtsgrundlage ist Art. 6 Abs. 1 Buchstabe f DSGVO.
Das Tool setzt nur, was für den Betrieb technisch nötig ist (§ 25 Abs. 2 Nr. 2 TDDDG):
| Name | Zweck | Dauer |
|---|---|---|
sessionid (Cookie) |
hält Sie angemeldet | 14 Tage oder bis zur Abmeldung |
csrftoken (Cookie) |
schützt Formulare vor fremden Zugriffen | 1 Jahr |
melde-tool-theme (lokaler Speicher des Browsers) |
merkt sich helles oder dunkles Design; wird nicht an den Server übertragen | bis Sie es löschen |
Es gibt kein Tracking, keine Analyse-Dienste und keine Werbung. Schriften, Stile und Skripte kommen vom Server des Tools selbst, nicht von Dritten.
Die Formulare, die ohne Anmeldung erreichbar sind (Anmeldung, Einladung annehmen, Passwort zurücksetzen), sind durch Friendly Captcha vor automatisierten Zugriffen geschützt. Dabei löst Ihr Browser im Hintergrund eine Rechenaufgabe und überträgt das Ergebnis samt IP-Adresse und technischen Angaben zum Browser an Friendly Captcha. Friendly Captcha setzt keine Cookies. Rechtsgrundlage ist Art. 6 Abs. 1 Buchstabe f DSGVO. [PLATZHALTER: Angaben zu Friendly Captcha bestätigen, sobald der Bot-Schutz eingebaut ist]
Das Tool verschickt nur diese E-Mails: Einladung, Anmeldecode, Link zum Zurücksetzen des Passworts und Sicherheitshinweise nach Änderungen am Konto. Sie enthalten Ihre E-Mail-Adresse, gegebenenfalls Rolle und Organisation sowie einen Code oder Link. Daten von Sportlerinnen und Sportlern stehen nie in einer E-Mail des Tools.
Innerhalb des Tools: Meldebeauftragte eines Vereins sehen nur die Sportlerinnen, Sportler und Meldungen ihres Vereins. Meldebeauftragte des Landeseissportverbands sehen die aller Vereine ihres Verbands. Die Administration des Tools sieht alle Daten. Bei Paaren aus zwei Vereinen sehen beide Vereine das Paar und seine Meldungen; ändern kann eine Meldung nur der Verein, der sie angelegt hat.
Veranstalter des Wettbewerbs: Der Veranstalter erhält das ausgefüllte Meldeformular. Im Pilotbetrieb laden die Meldebeauftragten die Datei aus dem Tool herunter und schicken sie wie bisher selbst per E-Mail an den Veranstalter. Der Veranstalter verarbeitet die Daten in eigener Verantwortung, um den Wettbewerb durchzuführen (F3).
Deutsche Eislauf-Union (DEU): Das Tool übermittelt keine Daten an die DEU. Die DEU erhält Meldungen nur, wenn sie selbst Veranstalter eines Wettbewerbs ist (F2).
Dienstleister: der Betreiber und die in Abschnitt 2 genannten Dienstleister, jeweils nur im Rahmen ihrer Aufgabe und auf Grundlage eines Vertrags zur Auftragsverarbeitung.
Darüber hinaus geben wir Daten nur weiter, wenn wir gesetzlich dazu verpflichtet sind.
Die Datenbank, die Dateien und die Sicherungen liegen auf Servern in der EU [PLATZHALTER: nach Auswahl von Hoster und Backup-Speicher bestätigen].
Einzige Ausnahme sind die E-Mails des Tools (siehe 3.7). Der E-Mail-Dienstleister ImprovMX Incorporated sitzt in den USA. Er nimmt E-Mails in Frankreich an und stellt sie über Server in Frankreich und in den USA zu. Für die USA besteht bei diesem Anbieter kein Angemessenheitsbeschluss, weil er nicht nach dem EU-US Data Privacy Framework zertifiziert ist. Die Übermittlung stützt sich deshalb auf die Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 Buchstabe c DSGVO, Durchführungsbeschluss (EU) 2021/914). Betroffen sind nur E-Mail-Adresse, gegebenenfalls Rolle und Organisation sowie kurzlebige Codes und Links. ImprovMX löscht den Inhalt einer E-Mail nach der Zustellung, die Zustelldaten nach 7 Tagen und Aufzeichnungen zur Kontoaktivität nach 365 Tagen. Eine Kopie der Standardvertragsklauseln erhalten Sie auf Anfrage beim BEV.
| Daten | Speicherdauer |
|---|---|
| Konto | solange die Rolle besteht. Gelöscht auf Ihren Wunsch, wenn Ihre Aufgabe endet, oder spätestens [PLATZHALTER: Frist, Vorschlag: 12 Monate] nach der letzten Anmeldung (F7). |
| Einladung | Der Link gilt 7 Tage. Der Eintrag wird [PLATZHALTER: Frist, Vorschlag: 90 Tage] nach Ablauf oder Annahme gelöscht. |
| Anmeldecode, Link zum Zurücksetzen des Passworts | 10 Minuten; 1 Stunde |
| Fehlgeschlagene Anmeldeversuche | [PLATZHALTER: Frist, Vorschlag: 30 Tage] |
| Sportlerinnen und Sportler | solange sie über das Tool gemeldet werden. Gelöscht auf Verlangen. [PLATZHALTER: Regelfrist bestätigen, Vorschlag: Wer zwei volle Saisons lang weder eine Lizenz noch eine Meldung hatte, wird nach einem Hinweis an den Verein gelöscht] (F8). Mit der Person werden ihre Paare und ihre Meldungen gelöscht. |
| Liste gelöschter Sportlerinnen und Sportler | Von einer gelöschten Person bleibt nur die DEU-ID, ohne weitere Angaben. So wird die Löschung nach dem Einspielen einer Sicherung wiederholt, und die Person wird nicht versehentlich neu erfasst. [PLATZHALTER: Frist, Vorschlag: solange das Tool betrieben wird] (F23) |
| Meldungen und exportierte Meldeformulare | [PLATZHALTER: Frist, Vorschlag: bis zum Ende der übernächsten Saison (30. Juni)] (F8). Schon exportierte Meldeformulare bleiben bis dahin unverändert, auch wenn eine darin genannte Person gelöscht wurde (F23). |
| Änderungsprotokoll, sensibler Teil (Namen, E-Mail-Adressen, Geburtsdaten, Geschlecht) | 365 Tage; bei Löschung einer Sportlerin oder eines Sportlers sofort |
| Änderungsprotokoll, dauerhafter Teil (ohne Namen) | [PLATZHALTER: Frist, Vorschlag: 3 Jahre] (F9) |
| Server-Protokolle | [PLATZHALTER: Frist, Vorschlag: 14 Tage] |
| Sicherungen (Backups) | Es werden 12 Tages-, 12 Wochen- und 6 Monatssicherungen aufbewahrt. Gelöschte Daten können deshalb bis zu sechs Monate länger in einer verschlüsselten Sicherung liegen. Wird eine Sicherung eingespielt, werden alle zwischenzeitlichen Löschungen sofort wiederholt. |
| E-Mails beim E-Mail-Dienstleister | Inhalt bis zur Zustellung, Zustelldaten 7 Tage, Aufzeichnungen zur Kontoaktivität 365 Tage |
Sie haben gegenüber dem BEV das Recht auf
Widerspruchsrecht (Art. 21 DSGVO): Soweit wir Daten auf Grundlage von Art. 6 Abs. 1 Buchstabe f DSGVO verarbeiten, können Sie jederzeit aus Gründen widersprechen, die sich aus Ihrer besonderen Situation ergeben. Wir verarbeiten die Daten dann nicht mehr, es sei denn, wir können zwingende schutzwürdige Gründe nachweisen, die Ihre Interessen überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen. Bitte beachten Sie: Ohne die Daten ist eine Meldung über das Tool nicht möglich.
Für Minderjährige üben die Eltern oder Sorgeberechtigten diese Rechte aus.
Wenden Sie sich dafür an den BEV (Kontakt in Abschnitt 1) oder an die Meldebeauftragten Ihres Vereins. Eine Nachricht per E-Mail oder Brief genügt.
Wenn Sie meinen, dass die Verarbeitung Ihrer Daten gegen die DSGVO verstößt, können Sie sich bei einer Datenschutz-Aufsichtsbehörde beschweren (Art. 77 DSGVO). Für den BEV zuständig ist:
Berliner Beauftragte für Datenschutz und Informationsfreiheit
Alt-Moabit 59–61, 10555 Berlin
Telefon: (030) 13889-0
E-Mail: mailbox@datenschutz-berlin.de
Die Daten der Sportlerinnen und Sportler erheben wir nicht bei ihnen selbst, sondern bei ihrem Verein und aus den Daten der DEU (Art. 14 DSGVO). Deshalb gilt:
Meldungen zu Wettbewerben über das Melde-Tool
Unser Verein meldet Sportlerinnen und Sportler zu Wettbewerben über das Melde-Tool des Berliner Eissport-Verbands e.V. (BEV). Dafür erfassen wir dort Vorname, Nachname, Geburtsdatum, Geschlecht und Verein. Das Tool ergänzt die DEU-ID und den Lizenzstatus aus den öffentlichen Daten der Deutschen Eislauf-Union. Gespeichert wird außerdem, zu welchen Wettbewerben und Kategorien jemand gemeldet ist.
Die Daten sehen nur die Meldebeauftragten unseres Vereins und des BEV sowie der technische Betreiber. Der Veranstalter des Wettbewerbs erhält wie bisher das ausgefüllte Meldeformular. Die Daten liegen auf Servern in der EU. Es gibt keine öffentliche Anzeige, keine Werbung und kein Tracking.
Verantwortlich ist der Berliner Eissport-Verband e.V., Fritz-Wildung-Straße 9, 14199 Berlin, info@eissport-berlin.de. Sie können dort oder bei uns Auskunft, Berichtigung und Löschung verlangen und der Verarbeitung widersprechen. Alle Einzelheiten stehen in den Datenschutzhinweisen: [PLATZHALTER: Adresse, voraussichtlich https://mel.deu-s.de/datenschutz/]
Wir passen diese Hinweise an, wenn sich das Tool oder die Rechtslage ändert. Jede Fassung hat eine Versionsnummer. Das Tool speichert, welche Version eine Nutzerin oder ein Nutzer bestätigt hat. Bei einer neuen Version bitten wir bei der nächsten Anmeldung um eine neue Bestätigung.