Rechtliches

Datenschutzerklärung

Welche Daten ClubFlex verarbeitet, wie wir sie schützen und welche Rechte Sie haben.

1. Verantwortlicher

Verantwortlich für die Datenverarbeitung auf dieser Plattform im Sinne der DSGVO ist:

ClubFlex – Jannes Böck
Ostpreußenstraße 16, 26931 Elsfleth
E-Mail: kontakt@clubflex.de
Telefon: 01525 5287163

Für die Verarbeitung von Mitgliederdaten der angeschlossenen Vereine handelt ClubFlex als Auftragsverarbeiter gemäß Art. 28 DSGVO. Der jeweilige Verein ist datenschutzrechtlich Verantwortlicher für seine Mitgliederdaten. Grundlage ist der Auftragsverarbeitungsvertrag, der mit der Registrierung geschlossen wird.

2. Allgemeines zur Datenverarbeitung

Wir verarbeiten personenbezogene Daten unserer Nutzer:innen grundsätzlich nur, soweit dies zur Bereitstellung einer funktionsfähigen Plattform sowie unserer Inhalte und Leistungen erforderlich ist. Die Verarbeitung personenbezogener Daten erfolgt regelmäßig nur nach Einwilligung des Nutzers (Art. 6 Abs. 1 lit. a DSGVO) oder zur Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO), zur Erfüllung rechtlicher Verpflichtungen (Art. 6 Abs. 1 lit. c DSGVO) oder zur Wahrung berechtigter Interessen (Art. 6 Abs. 1 lit. f DSGVO).

3. Hosting

Die Plattform wird auf Servern innerhalb der Europäischen Union betrieben. Beim Aufruf werden technisch notwendige Daten (IP-Adresse, Browsertyp, Betriebssystem, Datum/Uhrzeit, aufgerufene URL, Referrer) in Server-Log-Dateien gespeichert. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; das berechtigte Interesse liegt im sicheren Betrieb der Plattform. Die Log-Daten werden nach maximal 30 Tagen gelöscht.

3.1 Website-Statistik und Kampagnenmessung (clubflex.de)

Ohne Ihre Einwilligung zählen wir ausschließlich Seitenaufrufe in einer Tages- und Seitenstatistik. Dabei speichern wir keine Besucher- oder Sitzungskennung, keinen Referrer, keine Kampagnenparameter und keine Geräteklasse. Die IP-Adresse wird nur flüchtig zur Abwehr missbräuchlicher Anfragen verarbeitet und nicht in der Statistik gespeichert. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer grundlegenden Reichweitenmessung und am sicheren Betrieb). Für diese Aggregatzählung greifen wir nicht auf Informationen in Ihrem Endgerät zu.

Wenn Sie „Statistik erlauben" wählen, erzeugt Ihr Browser zufällige First-Party-Kennungen für den Besucher und die laufende Sitzung. Dann verarbeiten wir aufgerufene Seite, Datum/Uhrzeit, Referrer nur als Domain, Geräteklasse, UTM-Parameter sowie Klicks und Schritte im Registrierungsprozess. Mit gesonderter Marketing-Einwilligung können zusätzlich Anzeigenkennungen (z. B. gclid) und konfigurierte Google-Tags geladen werden. Rechtsgrundlage ist Ihre Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO in Verbindung mit § 25 Abs. 1 TDDDG. Die Detaildaten werden nach 90 Tagen gelöscht; ausschließlich zusammengefasste Tageswerte bleiben bis zu 25 Monate erhalten. Do-Not-Track wird respektiert. Ihre Auswahl können Sie jederzeit über „Cookie-Einstellungen" widerrufen.

3.2 Nutzungsstatistik der Anwendung

Innerhalb der eingeloggten Anwendung erfassen wir je Seitenaufruf den aufgerufenen Bereich (Pfad ohne Abfrage-Parameter), Datum/Uhrzeit sowie die interne Nutzer- und Vereinskennung. Diese Daten dienen ausschließlich dem sicheren Betrieb, der Fehleranalyse und der Weiterentwicklung der Anwendung (etwa: welche Funktionen genutzt werden). Es werden dafür keine Cookies gesetzt, keine Daten an Dritte übermittelt und keine Werbeprofile gebildet. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am Betrieb und der Verbesserung der Plattform); soweit Vereinsdaten betroffen sind, erfolgt die Verarbeitung im Rahmen des Auftragsverarbeitungsvertrags. Die Rohdaten werden spätestens nach 400 Tagen gelöscht.

4. Cookies und lokaler Speicher

Wir verwenden technisch notwendige Cookies und – nur mit Ihrer Einwilligung – funktionale, statistische sowie Marketing-Technologien. Eine vollständige Auflistung aller einzelnen Cookies mit Zweck und Speicherdauer finden Sie in unserer Cookie-Richtlinie.

4.1 Technisch erforderliche Cookies

  • Sitzungs-Cookie (cf_session_portal) – hält Ihre Anmeldung über mehrere Seitenaufrufe hinweg. Der Schutz vor Cross-Site-Request-Forgery (CSRF) erfolgt über ein in dieser Sitzung gespeichertes Token; hierfür wird kein gesondertes Cookie gesetzt.
  • Einwilligungs-Cookie (cf_consent) – speichert Ihre Cookie-Auswahl.
  • „Angemeldet bleiben" (cf_remember) – wird nur gesetzt, wenn Sie diese Option ausdrücklich wählen, und hält Ihre Anmeldung über die Sitzung hinaus.

Rechtsgrundlage: § 25 Abs. 2 Nr. 2 TDDDG i.V.m. Art. 6 Abs. 1 lit. b und lit. f DSGVO.

4.2 Funktionale Cookies (mit Einwilligung)

  • Wahl des Farbschemas (Hell-/Dunkelmodus): cf_theme, cf_theme_resolved
  • Zustand der Seitennavigation: cf_sidebar
  • Zuletzt genutzter Bereich (Trainer/Admin): cf_preferred_area

Ergänzend speichern wir im lokalen Speicher (Local Storage) Ihres Browsers Ihre gespeicherten Filter und Ansichtseinstellungen sowie kleine Oberflächen-Hinweise. Diese Daten verbleiben in Ihrem Browser und werden nicht an uns übertragen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO. Ihre Einwilligung können Sie jederzeit über den Link „Cookie-Einstellungen" im Seitenfuß mit Wirkung für die Zukunft widerrufen.

4.3 Statistik und Marketing (mit Einwilligung)

  • cf_analytics_visitor_id im Local Storage – zufällige Besucherkennung
  • cf_analytics_session_id im Session Storage – zufällige Sitzungskennung
  • bei Marketing-Einwilligung: Kampagnenkennung und konfigurierte Google-Tags

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO i. V. m. § 25 Abs. 1 TDDDG. Beim Widerruf werden die First-Party-Kennungen aus dem Browser entfernt.

5. Benutzerkonto und Registrierung

Zur Nutzung der Plattform ist eine Registrierung erforderlich. Verarbeitet werden Name, E-Mail-Adresse, Passwort (gehasht mit bcrypt), gewählter Verein und ggf. Telefonnummer. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung). Die Daten werden gelöscht, sobald das Benutzerkonto gelöscht wird oder keine gesetzlichen Aufbewahrungspflichten mehr bestehen.

Bei der Vereinsregistrierung protokollieren wir Zeitpunkt, Version und Dokument-Hash der bestätigten AGB und des AV-Vertrags sowie die Kenntnisnahme der Datenschutzerklärung. Dies dient dem Nachweis des Vertragsschlusses (Art. 6 Abs. 1 lit. b und lit. f DSGVO).

6. Vereinsmitglieder-Daten (Auftragsverarbeitung)

Die im Mitglieder-Modul verarbeiteten Daten (Name, Geburtsdatum, Adresse, Kontaktdaten, IBAN, Beitragsdaten, ggf. Fotos, Tags, Notizen, Trainerlizenzen) werden ausschließlich im Auftrag des jeweiligen Vereins verarbeitet. Die Vereine sind für die Rechtmäßigkeit der Datenverarbeitung verantwortlich und müssen insbesondere die Einwilligung ihrer Mitglieder einholen, wo dies erforderlich ist.

7. Zahlungsabwicklung (Stripe)

Für die Abwicklung kostenpflichtiger Buchungen (z.B. Eventanmeldungen, ClubFlex-Abonnements) setzen wir den Zahlungsdienstleister Stripe Payments Europe Ltd. (Irland) ein. Bei einer Zahlung werden Name, E-Mail-Adresse, Rechnungsadresse und Zahlungsdaten an Stripe übermittelt. Stripe ist Empfänger Ihrer Daten und verarbeitet diese in eigener Verantwortung (Art. 6 Abs. 1 lit. b DSGVO). Weitere Informationen: https://stripe.com/de/privacy.

8. E-Mail-Versand

Wir versenden E-Mails für betriebsnotwendige Zwecke (Anmeldebestätigungen, Passwortzurücksetzungen, Benachrichtigungen, Mitteilungen des Vereins, Zahlungserinnerungen). Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. E-Mails werden über SMTP via unseren Mail-Provider versendet; eine Ablage erfolgt nicht außerhalb der erforderlichen Sende-Logs.

9. Mitgliedsausweis & QR-Codes

Der QR-Code auf dem digitalen Mitgliedsausweis enthält ausschließlich eine zufällige Prüf-URL — keine personenbezogenen Daten. Bei der Verifikation werden lediglich Name, Mitgliedsnummer, Verein und Status angezeigt (siehe § 4 Datenminimierung, Art. 5 Abs. 1 lit. c DSGVO).

10. Apple Wallet (.pkpass)

Wenn Sie Ihren Mitgliedsausweis in Apple Wallet ablegen, werden bei jeder Wallet-Aktualisierung Anfragen an unsere Server gestellt. Hierbei werden eine pseudonyme Geräte-ID und ein Authentifizierungs-Token verarbeitet, um zu erkennen, ob sich Ihr Karten-Status geändert hat.

11. Empfänger und Auftragsverarbeiter

Wir setzen folgende Auftragsverarbeiter bzw. externe Dienste ein:

  • Hosting – Server-Betrieb innerhalb der EU
  • Stripe – Zahlungsabwicklung sowie optional Auszahlungen (Stripe Identity/Connect)
  • Mail-/SMTP-Provider – Versand von Transaktions- und Massen-E-Mails
  • OpenStreetMap / Nominatim – Kartendarstellung und Adress-Geocoding; beim Anzeigen einer Karte wird die IP-Adresse an die OSM Foundation übermittelt (nur bei aktiver Nutzung der Kartenfunktion)
  • OpenRouteService (HeiGIT gGmbH, Heidelberg/EU) – Berechnung von Fahrtstrecken für Trainer-Reisekosten; der Abruf erfolgt serverseitig über unseren Proxy, übermittelt werden die eingegebenen Start-/Zieladressen
  • openiban.com – optionale Prüfung von IBAN/BIC bei Eingabe einer Bankverbindung
  • Anthropic (USA) – KI-Funktionen der Plattform: Lädt ein Übungsleiter einen Beleg hoch, wird das Belegbild zur automatischen Texterkennung übermittelt (verkleinert, nur im Moment des Uploads); außerdem für den Hilfe-Assistenten und aggregierte Vereins-Insights. Anthropic verwendet API-Daten nicht zum Training und speichert sie nicht dauerhaft.
  • Google – optionaler „Login mit Google“ (OAuth) sowie, nur nach Statistik- bzw. Marketing-Einwilligung, konfigurierte Google-Analyse- oder Anzeigen-Tags

Selbst gehostete Inhalte: Grundlegende JavaScript-/CSS-Bibliotheken und Schriftarten werden von unseren eigenen Servern ausgeliefert. Externe Google-Tags bilden nur nach entsprechender Einwilligung die oben beschriebene Ausnahme; Google Fonts, Cloudflare oder jsDelivr werden nicht eingebunden.

Drittlandübermittlung: Eine Übermittlung in die USA findet nur statt, soweit die jeweilige optionale Funktion genutzt wird (insbesondere KI-Beleg-Erkennung mit OpenAI/Anthropic sowie ggf. Stripe, Apple und Google). Soweit erforderlich erfolgt dies auf Grundlage der EU-Standardvertragsklauseln (Art. 46 DSGVO) bzw. eines Angemessenheitsbeschlusses; im Übrigen werden Daten innerhalb der EU/des EWR verarbeitet.

Soweit ein Empfänger als Auftragsverarbeiter für ClubFlex tätig wird, besteht ein Vertrag nach Art. 28 DSGVO.

12. Speicherdauer

Wir speichern personenbezogene Daten nur so lange, wie es für den jeweiligen Verarbeitungszweck erforderlich ist oder gesetzliche Aufbewahrungsfristen bestehen (i.d.R. 6–10 Jahre für buchhalterisch relevante Daten). Vereinsmitglieder-Daten werden gelöscht, sobald der jeweilige Verein die Löschung anordnet — vorbehaltlich gesetzlicher Aufbewahrungspflichten.

13. Ihre Rechte als betroffene Person

Sie haben uns gegenüber jederzeit das Recht auf:

  • Auskunft über Ihre gespeicherten Daten (Art. 15 DSGVO)
  • Berichtigung unrichtiger Daten (Art. 16 DSGVO)
  • Löschung („Recht auf Vergessenwerden", Art. 17 DSGVO)
  • Einschränkung der Verarbeitung (Art. 18 DSGVO)
  • Datenübertragbarkeit (Art. 20 DSGVO)
  • Widerspruch (Art. 21 DSGVO) — insbesondere gegen Direktwerbung
  • Widerruf erteilter Einwilligungen (Art. 7 Abs. 3 DSGVO)
  • Beschwerde bei einer Aufsichtsbehörde (Art. 77 DSGVO)

Zuständige Aufsichtsbehörde für ClubFlex ist die Landesbeauftragte für den Datenschutz Niedersachsen (lfd.niedersachsen.de).

14. Datensicherheit

Wir setzen TLS-Verschlüsselung (HTTPS) für die Datenübertragung ein. Passwörter werden mit bcrypt gehasht gespeichert (nie im Klartext). Wir treffen technische und organisatorische Maßnahmen (TOM) zum Schutz vor unbefugtem Zugriff, Datenverlust und Manipulation. Datenbank-Zugriffe sind streng nach Mandant (Verein) getrennt.

15. Änderungen

Wir behalten uns vor, diese Datenschutzerklärung anzupassen, damit sie stets den aktuellen rechtlichen Anforderungen entspricht oder um Änderungen unserer Leistungen umzusetzen. Wesentliche Änderungen werden rechtzeitig per E-Mail oder direkt in der Anwendung angekündigt.

Stand: Juli 2026

Stand: Juli 2026