Datenschutzerklärung
Stand: 2026-10-24
Entwurf — noch nicht rechtlich geprüft. Mit [BITTE ERGÄNZEN] markierte Angaben müssen vor Veröffentlichung ergänzt werden.
Diese Erklärung beschreibt, welche personenbezogenen Daten ProTouch verarbeitet, zu welchem Zweck und auf welcher Rechtsgrundlage. Sie richtet sich insbesondere an Erziehungsberechtigte, deren Kinder über ProTouch betreut werden.
1. Verantwortlicher
Dieser Abschnitt enthält noch zu ergänzende Angaben.
Verantwortlich für die Verarbeitung personenbezogener Daten in ProTouch ist der jeweilige Verein bzw. die Fußballschule, die ProTouch nutzt („Verein"). Der Verein entscheidet über Zwecke und Mittel der Verarbeitung.
Codeline Studio stellt ProTouch als technischen Dienstleister bereit und verarbeitet die Daten ausschließlich weisungsgebunden im Auftrag des Vereins (Auftragsverarbeitung nach Art. 28 DSGVO).
Anbieter: Codeline Studio, Einzelunternehmen. Inhaber und Vertretungsberechtigter: Kingsley James.
Anschrift: Jesse-Owens-Ring 17A, 14641 Elstal OT Wustermark, Deutschland.
Nicht im Handelsregister eingetragen; keine Umsatzsteuer-Identifikationsnummer.
Kontakt in Datenschutzfragen: hello@code-line.studio.
Ein Datenschutzbeauftragter ist nicht bestellt. Die Benennungspflicht nach Art. 37 DSGVO und § 38 BDSG greift hier nicht: sie setzt in der Regel voraus, dass mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind, was bei einem Einzelunternehmen ohne Beschäftigte nicht der Fall ist.
2. Welche Daten wir verarbeiten
ProTouch verarbeitet überwiegend Daten von Kindern und Jugendlichen sowie deren Erziehungsberechtigten. Die folgende Aufstellung entspricht den tatsächlich in der Anwendung gespeicherten Feldern.
| Kategorie | Daten | Rechtsgrundlage |
|---|---|---|
| Konto | Name, E-Mail-Adresse, Telefonnummer, Passwort (nur als bcrypt-Hash), Sprache, Rolle | Art. 6 Abs. 1 lit. b DSGVO (Vertrag) |
| Spielerprofil | Name, Geburtsdatum, Alter, Position, Rückennummer, Foto, Vereins- und Gruppenzugehörigkeit, Staatsangehörigkeit, Körpergröße, Gewicht, starker Fuß, Kleider- und Schuhgrößen, Lieblingsessen | Art. 6 Abs. 1 lit. b DSGVO |
| Gesundheitsdaten | Allergien, Medikamente, Vorerkrankungen, Verletzungen, ärztliche Untersuchungen, Sehhilfe und Zahnschiene, allgemeiner Gesundheitszustand | Art. 9 Abs. 2 lit. a DSGVO — ausdrückliche Einwilligung |
| Notfallkontakt | Name, Telefonnummer, E-Mail-Adresse, Anschrift und Verhältnis zum Kind der Notfallkontaktperson | Art. 6 Abs. 1 lit. d DSGVO (lebenswichtige Interessen) |
| Abholberechtigte Personen | Name, Verhältnis zum Kind und Telefonnummer der Personen, die das Kind abholen dürfen | Art. 6 Abs. 1 lit. b DSGVO |
| Kommunikationseinstellungen | Bevorzugte Sprache, gewählte Benachrichtigungskanäle und Themen | Art. 6 Abs. 1 lit. b DSGVO |
| Einwilligungen | Art der Einwilligung, Zeitpunkt, Fassung des Einwilligungstextes, Widerruf und Gültigkeitsdauer | Art. 7 Abs. 1 DSGVO (Nachweispflicht) |
| Sportliche Entwicklung | Anwesenheit, Bewertungen, Trainernotizen, Entwicklungsziele, Trainingsberichte, Spielstatistiken, PPA-Leistungswerte | Art. 6 Abs. 1 lit. b DSGVO |
| Finanzen | Rechnungen, Zahlungen, Verträge, Zahlungsmethode (Marke und letzte vier Ziffern) | Art. 6 Abs. 1 lit. b und lit. c DSGVO |
| Kommunikation | Nachrichten zwischen Verein und Eltern bzw. Spielern, Anhänge | Art. 6 Abs. 1 lit. b DSGVO |
| Dokumente | Hochgeladene Dateien, unterschriebene Verträge, Einverständniserklärungen | Art. 6 Abs. 1 lit. b und lit. c DSGVO |
3. Gesundheitsdaten und Daten von Minderjährigen
Angaben zu Allergien, Medikamenten, Vorerkrankungen, Verletzungen und ärztlichen Untersuchungen sind Gesundheitsdaten und damit besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO. Sie werden auf Grundlage einer ausdrücklichen Einwilligung der Erziehungsberechtigten verarbeitet und dienen allein dem Schutz des Kindes im Trainings- und Spielbetrieb.
Gesundheitsdaten sind innerhalb des Vereins zusätzlich eingeschränkt: Sie werden nur Trainerinnen und Trainern angezeigt, die für den Bereich „Spieler" über eine Bearbeitungsberechtigung verfügen. Wer lediglich Leserechte auf die Spielerliste hat, erhält diese Angaben nicht — sie werden in diesem Fall gar nicht erst an das Gerät übertragen.
Neben der Einwilligung in die Verarbeitung von Gesundheitsdaten erfasst ProTouch gesonderte Einwilligungen für Foto- und Videoaufnahmen, deren Veröffentlichung auf der Vereinswebsite, die Teilnahme an Auswärtsspielen, die medizinische Notfallversorgung sowie die allgemeine Datenverarbeitung. Jede dieser Einwilligungen ist einzeln erteilbar und einzeln widerrufbar (Art. 4 Nr. 11 DSGVO); eine Ablehnung einzelner Einwilligungen schließt die Teilnahme am Training nicht aus.
Die Einwilligung wird im Eltern-Portal unter „Mein Konto“ erteilt und dort auch dokumentiert: gespeichert werden der Zeitpunkt, die einwilligende Person und die Fassung des Einwilligungstextes, dem zugestimmt wurde (Art. 7 Abs. 1 DSGVO). An derselben Stelle lässt sie sich jederzeit mit einem Klick widerrufen — ebenso einfach, wie sie erteilt wurde (Art. 7 Abs. 3 DSGVO). Ein Widerruf wirkt für die Zukunft; der Nachweis, dass bis dahin eine Einwilligung vorlag, bleibt erhalten, weil Art. 7 Abs. 1 genau diesen Nachweis verlangt.
Liegen für ein Kind Gesundheitsdaten vor, ohne dass eine Einwilligung dokumentiert ist, wird dies im Eltern-Portal ausdrücklich angezeigt.
Da die Betroffenen in der Regel minderjährig sind, werden Einwilligungen durch die Erziehungsberechtigten erteilt. Zugriff auf die Daten eines Kindes haben ausschließlich die Trainerinnen und Trainer des jeweiligen Vereins sowie die zugeordneten Erziehungsberechtigten.
4. Empfänger und Auftragsverarbeiter
Daten werden nicht verkauft und nicht zu Werbezwecken weitergegeben. Eingesetzt werden ausschließlich die folgenden Dienstleister:
| Dienst | Zweck | Ort der Verarbeitung |
|---|---|---|
| Railway | Hosting der Anwendung und der Datenbank | EU (Frankfurt/Amsterdam) |
| Resend | Versand von Transaktions-E-Mails (Einladungen, Passwort-Links, Erinnerungen) | EU/USA |
| Anthropic, OpenAI | Optionale Übersetzung ausschließlich vereinsbezogener Texte (Namen von Mitgliedschaftspaketen, Beschreibungen von Testterminen) zwischen Deutsch und Englisch. Texte über einzelne Kinder — insbesondere Bewertungen und Trainernotizen — werden technisch nicht übermittelt. Derzeit nicht aktiviert. | USA |
| Optionale Anbindung eines Google-Kontos (derzeit nicht aktiviert) | USA | |
| Codeline System | Lizenz- und Abrechnungsverwaltung | EU |
5. Übermittlung in Drittländer
Dieser Abschnitt enthält noch zu ergänzende Angaben.
Die Übersetzungsfunktion kann Text an Anthropic bzw. OpenAI in den USA übermitteln. Sie ist auf vereinsbezogene Felder beschränkt — Namen von Mitgliedschaftspaketen und Beschreibungen von Testterminen. Daten über einzelne Kinder, insbesondere Bewertungen und Trainernotizen, sind von der Funktion ausgenommen; die Beschränkung ist serverseitig durchgesetzt und nicht bloß in der Oberfläche ausgeblendet.
Die Funktion ist derzeit nicht aktiviert: in der Produktionsumgebung ist kein API-Schlüssel hinterlegt, und ohne Schlüssel findet keinerlei Übermittlung statt.
Sollte sie aktiviert werden, ist die Grundlage der Übermittlung zu ergänzen: [BITTE ERGÄNZEN] (Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO bzw. Zertifizierung nach dem EU-US Data Privacy Framework).
6. Speicherdauer
Konto- und Profildaten werden gespeichert, solange das Kind beim Verein angemeldet ist.
Löschanfragen werden innerhalb von zwei Wochen umgesetzt. Die Löschung selbst erfolgt unmittelbar und vollständig: mit dem Spielerprofil verschwinden auch Anwesenheiten, Bewertungen, Entwicklungsziele, Trainingsberichte und Leistungswerte. Es gibt keine Wiederherstellung.
Rechnungen und Zahlungsbelege unterliegen den handels- und steuerrechtlichen Aufbewahrungsfristen (§ 147 AO, § 257 HGB) und werden für die Dauer dieser Fristen aufbewahrt, auch wenn das Spielerprofil zuvor gelöscht wurde.
Wird ein Spieler lediglich archiviert — etwa weil er pausiert oder den Verein verlassen hat — bleiben seine Daten erhalten, bis der Verein sie löscht. Eine automatische Löschung archivierter Profile findet derzeit nicht statt. Als Erziehungsberechtigte können Sie die Löschung jederzeit verlangen.
7. Ihre Rechte
Sie haben jederzeit das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21 DSGVO).
Auskunft und Datenübertragbarkeit können Sie unmittelbar in der Anwendung ausüben: Unter „Mein Konto" lässt sich ein vollständiger, maschinenlesbarer Export aller zu Ihrem Kind gespeicherten Daten herunterladen.
Für Berichtigung und Löschung wenden Sie sich an Ihren Verein; dieser kann ein Spielerprofil samt aller zugehörigen Daten entfernen. Erteilte Einwilligungen können Sie jederzeit widerrufen.
Unabhängig davon steht Ihnen ein Beschwerderecht bei einer Datenschutz-Aufsichtsbehörde zu (Art. 77 DSGVO).
8. Cookies
ProTouch setzt ausschließlich technisch notwendige Cookies. Eine Einwilligung ist dafür nach § 25 Abs. 2 TTDSG nicht erforderlich, und es werden keine Cookies zu Analyse- oder Werbezwecken gesetzt.
- protouch_session — hält Sie angemeldet. Laufzeit 30 Tage, httpOnly, SameSite=Lax.
- google_oauth_state — schützt die optionale Google-Anbindung vor Cross-Site-Request-Forgery. Laufzeit 10 Minuten.
- pt_child — merkt sich, welches Ihrer Kinder Sie zuletzt ausgewählt haben, damit die Auswahl beim Seitenwechsel erhalten bleibt. Laufzeit 1 Jahr, httpOnly.
- pt_view_… — merkt sich pro Seite, ob Sie die Listen- oder Kachelansicht bevorzugen. Laufzeit 1 Jahr. Enthält keine personenbezogenen Daten.
9. Sicherheit
Die Übertragung erfolgt ausschließlich verschlüsselt über HTTPS. Passwörter werden nur als bcrypt-Hash gespeichert. Der Zugriff ist nach Rollen und Berechtigungen beschränkt; Daten verschiedener Vereine sind voneinander getrennt und diese Trennung wird zusätzlich auf Datenbankebene durchgesetzt.
Die Anwendung wird fortlaufend automatisiert auf Sicherheitslücken, offengelegte Zugangsdaten und Berechtigungsfehler geprüft.