Datenschutzerklärung

1. Verantwortlicher

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) ist: Markus Burkhardt Gartenstraße 9, 72280 Dornstetten E-Mail: support@talentcatcher.net (Kontaktdaten siehe auch Impressum.)

2. Datenschutzbeauftragte Person

Nach derzeitigem Stand ist keine Datenschutzbeauftragte und kein Datenschutzbeauftragter bestellt: Talent Catcher wird von einer einzelnen Person betrieben, sodass die Schwelle des § 38 Abs. 1 BDSG (in der Regel mindestens 20 Personen, die ständig mit der automatisierten Verarbeitung personenbezogener Daten befasst sind) nicht erreicht wird. Sollte sich dies ändern, wird eine Person bestellt und diese Erklärung entsprechend aktualisiert.

3. Allgemeines zur Datenverarbeitung

Talent Catcher ist eine Software zur Beobachtung, Dokumentation und automatisierten Frühwarnung im Rahmen der Talentförderung im Nachwuchs- und Profifußball. Wir verarbeiten personenbezogene Daten nur, soweit dies für die Bereitstellung der Anwendung, zur Erfüllung vertraglicher Pflichten, aufgrund einer wirksamen Einwilligung oder aufgrund einer gesetzlichen Erlaubnis erforderlich ist. Die jeweilige Rechtsgrundlage ist bei den einzelnen Verarbeitungen unten angegeben.

4. Bereitstellung der Anwendung, Server-Logdaten

Beim Aufruf der Anwendung erhebt unser Hosting-Anbieter automatisch technische Zugriffsdaten (u. a. IP-Adresse, Datum und Uhrzeit des Zugriffs, aufgerufene Adresse, verwendeter Browser). Diese Verarbeitung ist zum sicheren und stabilen Betrieb der Anwendung erforderlich (Art. 6 Abs. 1 lit. f DSGVO, berechtigtes Interesse an Betriebssicherheit). Die Zugriffsdaten werden ausschließlich für den technischen Betrieb und die Betriebssicherheit ausgewertet und nur so lange gespeichert, wie dies dafür erforderlich ist; danach werden sie durch den Hosting-Anbieter routinemäßig gelöscht. Eine Zusammenführung dieser Daten mit anderen Datenquellen oder eine Auswertung zu Werbe- oder Profilbildungszwecken findet nicht statt.

5. Nutzerkonten und Rollen

Zur Nutzung der Anwendung ist ein Nutzerkonto erforderlich. Je nach Rolle verarbeiten wir dabei: E-Mail-Adresse, Name, Vereins-/Verbandszugehörigkeit sowie — abhängig von der Rolle (Scout, Vereins-Admin, Landesverband-Betrachter, erziehungsberechtigte Person, volljährige Spielerin oder volljähriger Spieler) — unterschiedliche Zugriffsrechte auf Talent-Daten. Diese Verarbeitung erfolgt zur Erfüllung des jeweiligen Nutzungs- bzw. Abonnementvertrags (Art. 6 Abs. 1 lit. b DSGVO).

Nach dem Prinzip der Datensparsamkeit (siehe auch Ziffer 8) erhält jede Rolle ausschließlich die für ihre Funktion notwendigen Daten — z. B. sehen Landesverband-Nutzer nur freigegebene Basisprofile der ihnen zugeordneten Vereine, Erziehungsberechtigte und Spieler ausschließlich Daten des eigenen Kindes bzw. der eigenen Person.

Zugriffsprotokoll: Der Export der Talentliste und der Abruf eines Videos werden mit Zeitpunkt, Konto (E-Mail-Adresse) und betroffenem Talent für die Vereins-Administration protokolliert und nach zwölf Monaten gelöscht. Die Aufzeichnung dient dem berechtigten Interesse des Vereins, Zugriffe auf Daten Minderjähriger nachvollziehen zu können, etwa beim Ausscheiden eines Mitglieds (Art. 6 Abs. 1 lit. f DSGVO). Sie ist nur für die Administration des jeweiligen Vereins einsehbar.

6. Talent-/Spielerdaten, einschließlich Minderjähriger

Über die Anwendung erfassen Vereine und Landesverbände Daten zu beobachteten Talenten, darunter Stammdaten (Name, Geburtsdatum, Position, Spielbereich — also Frauen-/Mädchen-, Herren-/Jungen- oder gemischter Fußball —, Verein/Team), sportliche Bewertungen und Beobachtungsberichte, sowie optional Größe/Gewicht, Verletzungsangaben und Videomaterial. Ein erheblicher Teil dieser Personen ist minderjährig.

Rechtsgrundlage: Soweit die Verarbeitung im Rahmen des Vertragsverhältnisses zwischen Verein und Talent-Catcher-Betreiber erfolgt, stützen wir uns auf das berechtigte Interesse des Vereins an der Talentbeobachtung im Rahmen seiner satzungsgemäßen Aufgaben (Art. 6 Abs. 1 lit. f DSGVO) sowie ergänzend auf Einwilligungen. Bei Minderjährigen unter 16 Jahren werden Einwilligungen ausschließlich von den Erziehungsberechtigten eingeholt (Art. 8 DSGVO); Minderjährige selbst können sich nicht eigenständig registrieren.

Verletzungs-/Gesundheitsdaten: Angaben zu Verletzungen sind Gesundheitsdaten und damit eine besondere Kategorie personenbezogener Daten nach Art. 9 DSGVO. Sie dürfen nur erfasst werden, wenn eine ausdrückliche Einwilligung der betroffenen Person bzw. der Erziehungsberechtigten vorliegt (Art. 9 Abs. 2 lit. a DSGVO). Diese Einwilligung wird vom jeweiligen Verein eingeholt und dokumentiert, bevor er entsprechende Angaben in der Anwendung erfasst; die Anwendung selbst holt für diese Datenkategorie keine gesonderte Einwilligung ein. Die Verantwortung für das Vorliegen einer wirksamen Einwilligung liegt damit beim erfassenden Verein. Die Eingabe von Verletzungsdaten ist optional — die Anwendung ist ohne diese Angaben nutzbar.

7. Videomaterial

Videos werden ausschließlich hochgeladen, nachdem ein Verein gezielt ein Video angefordert hat, und bei minderjährigen Talenten nur, wenn zusätzlich eine dokumentierte Einwilligung der Erziehungsberechtigten für Videomaterial vorliegt (Art. 6 Abs. 1 lit. a, bei Minderjährigen i. V. m. Art. 8 DSGVO). Videos werden in einem privaten, nicht öffentlich zugänglichen Speicherbereich abgelegt und sind ausschließlich für den betreuenden Verein sowie die hochladende Familie einsehbar.

8. Weitergabe innerhalb der Anwendung

Eine Weitergabe von Talent-Daten erfolgt ausschließlich innerhalb des in der Anwendung angelegten Rollenmodells: der betreuende Verein, ggf. der zugeordnete Landesverband (nur freigegebene Basisdaten) sowie verknüpfte Erziehungsberechtigte und volljährige Spieler für die eigenen Daten. Es findet keine automatisierte Vermittlung oder Kontaktaufnahme zwischen Vereinen, Trainern und Spielern oder Eltern statt.

9. Zahlungsabwicklung

Zahlungen (Vereins-/Verband-Abonnements sowie der Spielerpass als Jahresvertrag, siehe AGB & Widerrufsbelehrung) wickeln wir über den Zahlungsdienstleister Stripe ab. Zahlungsdaten (z. B. Kreditkartendaten) werden ausschließlich von Stripe verarbeitet und nicht von uns gespeichert. Es kann dabei zu einer Übermittlung personenbezogener Daten (Name, E-Mail, Zahlungsbetrag) in die USA kommen; Stripe ist nach eigenen Angaben unter dem EU-US Data Privacy Framework (sowie dessen UK- und Schweizer Erweiterungen) zertifiziert und verwendet ergänzend die EU-Standardvertragsklauseln als zusätzliche Übermittlungsgrundlage. Näheres in der Datenschutzerklärung von Stripe.

10. Hosting und technische Infrastruktur

Die Anwendung wird bei Vercel gehostet; Datenbank, Authentifizierung und Dateispeicher werden über Supabase betrieben (Serverstandort innerhalb der EU). Beide Anbieter werden als Auftragsverarbeiter im Sinne von Art. 28 DSGVO eingesetzt; die jeweiligen Auftragsverarbeitungsverträge (Data Processing Addendum) sind Bestandteil der Nutzungsbedingungen von Vercel bzw. Supabase und gelten mit Nutzung des jeweiligen Dienstes automatisch. Vercel ist ein US-Unternehmen; die Übermittlung personenbezogener Daten in Drittländer stützt sich dabei auf die in das Vercel-DPA einbezogenen EU-Standardvertragsklauseln.

E-Mail-Versand: Für den Versand von Systemnachrichten — Einladungen in einen Verein oder Verband, Bestätigung der E-Mail-Adresse, Zugänge für Erziehungsberechtigte und Spieler sowie das Zurücksetzen von Passwörtern — setzen wir den Versanddienst Resend (Plus Five Five, Inc., USA) als Auftragsverarbeiter nach Art. 28 DSGVO ein. Übermittelt werden die Empfängeradresse, der Inhalt der jeweiligen Nachricht sowie technische Zustelldaten. Rechtsgrundlage ist die Erfüllung des Nutzungsverhältnisses (Art. 6 Abs. 1 lit. b DSGVO) sowie unser berechtigtes Interesse an einem zuverlässigen Nachrichtenversand (Art. 6 Abs. 1 lit. f DSGVO).

Die Verarbeitung durch diesen Dienstleister findet in den Vereinigten Staaten statt; die Auswahl einer europäischen Versandregion ändert daran nichts, da sie ausschließlich den Versandweg betrifft, nicht die Speicherung. Die Übermittlung stützt sich auf die in den Auftragsverarbeitungsvertrag des Anbieters einbezogenen EU-Standardvertragsklauseln (Durchführungsbeschluss (EU) 2021/914, Modul 2) sowie ergänzend auf dessen Zertifizierung unter dem EU-US Data Privacy Framework.

Die versandten Nachrichten enthalten keine Talent- oder Bewertungsdaten. Sie bestehen ausschließlich aus einem kurzen Hinweistext und einem Bestätigungslink. Über diesen Weg gelangen daher insbesondere keine Daten Minderjähriger und keine Gesundheitsdaten in ein Drittland.

11. Cookies

Wir setzen ausschließlich technisch notwendige Cookies ein: einen Session-Cookie zur Anmeldung (erforderlich, damit Sie eingeloggt bleiben) sowie einen Cookie zur Speicherung Ihrer gewählten Sprache. Beide dienen ausschließlich dem Betrieb der Anwendung (Art. 6 Abs. 1 lit. f DSGVO bzw. § 25 Abs. 2 TTDSG). Wir setzen keine Analyse-, Tracking- oder Marketing-Cookies ein; eine Cookie-Einwilligung ist daher nach aktuellem Stand nicht erforderlich.

12. Speicherdauer und Löschung

Wir speichern personenbezogene Daten nur so lange, wie dies für die jeweiligen Zwecke erforderlich ist oder wir gesetzlich zur Aufbewahrung verpflichtet sind. Vereine können für einzelne Talent-Profile ein Lösch-/Archivierungsdatum hinterlegen; eine automatisierte, fristauslösende Löschung findet aktuell nicht statt.

Rechnungs- und Zahlungsdaten unterliegen den gesetzlichen Aufbewahrungspflichten nach § 147 AO und § 257 HGB und werden dementsprechend bis zu zehn Jahre aufbewahrt.

Für Daten ohne gesetzliche Aufbewahrungspflicht gelten folgende Regel-Löschfristen: Daten zu abgelehnten Kandidaturen werden sechs Monate nach der Ablehnung gelöscht; inaktive Talent-Profile (keine Aktualisierung oder Anmeldeaktivität) werden nach 24 Monaten gelöscht, sofern der betreuende Verein kein früheres Lösch-/Archivierungsdatum hinterlegt hat. Diese Fristen werden durch einen täglich laufenden automatisierten Prozess umgesetzt; die Löschung umfasst auch alle zugehörigen Daten wie Scout-Berichte, Videos, Dokumente und Einwilligungsnachweise. Unabhängig davon können Betroffene jederzeit die Löschung ihrer Daten verlangen (siehe Ziffer 15); solche Anfragen werden unverzüglich bearbeitet.

13. Automatisierte Risikobewertung

Die Anwendung berechnet zu jedem beobachteten Talent automatisiert einen Hinweiswert zwischen 0 und 100. Er soll Vereine darauf aufmerksam machen, dass ein Talent aus dem Blick zu geraten droht. Über diese Verarbeitung informieren wir nach Art. 13 Abs. 2 lit. f DSGVO wie folgt.

Verwendete Angaben: In die Berechnung fließen ausschließlich Angaben ein, die der Verein selbst erfasst hat — insbesondere der zeitliche Abstand seit der letzten Sichtung, überfällige Wiedervorlagen, ein näher rückendes Vertragsende, hinterlegte Auswahl- und Fördermerkmale (etwa DFB-Stützpunkt, Verbandsauswahl, Nationalmannschaft, Nachwuchsleistungszentrum), die Einordnung gegenüber Talenten derselben Position und desselben Geburtsjahrgangs sowie deutlich voneinander abweichende Bewertungen mehrerer Scouts zur selben Person. Für Torhüterinnen und Torhüter gelten längere Sichtungsabstände als Maßstab.

Bedeutung und Folgen: Der Wert ist eine Erinnerungshilfe, keine Leistungsbeurteilung. Er trifft keine Aussage über die sportliche Eignung einer Person und führt für sich genommen zu keiner Maßnahme. Jede Entscheidung über die weitere Förderung, über Sichtungen oder über eine Vertragsfrage trifft ausschließlich der jeweilige Verein durch die dafür zuständigen Personen.

Keine automatisierte Entscheidung im Einzelfall: Eine Entscheidung, die ausschließlich auf einer automatisierten Verarbeitung beruht und rechtliche Wirkung entfaltet oder in ähnlicher Weise erheblich beeinträchtigt, findet nicht statt (Art. 22 Abs. 1 DSGVO). Die Anwendung erzeugt Hinweise; sie ordnet niemanden aus, stuft niemanden herab und beendet keine Förderung.

Unabhängig davon können betroffene Personen beziehungsweise ihre Erziehungsberechtigten verlangen, dass ein berechneter Hinweiswert von einer Person überprüft wird, den eigenen Standpunkt darlegen und der Bewertung widersprechen. Wenden Sie sich dafür an die unter Ziffer 1 genannten Kontaktdaten.

14. Prüfung einer Bewerbung vor dem Absenden

Bewirbt sich eine Spielerin oder ein Spieler über das öffentliche Formular bei einem Verein, gleicht die Anwendung zwei Angaben automatisiert ab, bevor die Bewerbung abgesendet werden kann: den Geburtsjahrgang und die angegebene Position. Maßstab sind dabei ausschließlich die Angaben, die der jeweilige Verein selbst hinterlegt hat („welche Jahrgänge und Positionen suchen wir?“), sowie eine Altersuntergrenze (Altersklasse U11).

Zweck und Rechtsgrundlage: Die Prüfung dient dazu, Bewerbungen zu vermeiden, die von vornherein nicht zum Gesuch des Vereins passen — im Interesse beider Seiten und um eine Zahlung für eine aussichtslose Bewerbung zu verhindern. Rechtsgrundlage ist die Durchführung vorvertraglicher Maßnahmen auf Anfrage der betroffenen Person (Art. 6 Abs. 1 lit. b DSGVO).

Keine automatisierte Entscheidung im Einzelfall: Die Prüfung ist ein formaler Abgleich zweier Angaben, keine Bewertung der Person und keine Entscheidung über sie im Sinne von Art. 22 Abs. 1 DSGVO. Sie führt nicht zu einer Ablehnung durch den Verein, sondern nur dazu, dass eine Bewerbung bei diesem einen Verein nicht abgesendet werden kann; die Bewerbung bei anderen Vereinen bleibt uneingeschränkt möglich. Über die Annahme oder Ablehnung einer eingegangenen Bewerbung entscheidet ausschließlich der Verein durch die dafür zuständigen Personen.

Die Prüfung ist bewusst großzügig ausgelegt: Ist eine Angabe nicht eindeutig einer bekannten Position zuzuordnen oder ein Geburtsdatum nicht lesbar, wird die Bewerbung zugelassen und nicht abgewiesen.

15. Prüfung des Passworts auf bekannte Datenlecks

Wird ein Passwort gesetzt — bei der Registrierung, beim Zurücksetzen über einen Link und beim Wechsel im eigenen Profil —, prüft die Anwendung automatisiert, ob dieses Passwort in bekannten Datenlecks auftaucht. Trifft das zu, wird es abgelehnt und um ein anderes gebeten.

Was dabei übertragen wird: Das Passwort selbst verlässt unseren Server nicht. Übertragen werden die ersten fünf Zeichen eines nicht umkehrbaren Prüfwerts (SHA-1-Hash). Zurück kommen alle bekannten Einträge, die mit diesen fünf Zeichen beginnen — mehrere hundert; der Abgleich findet danach ausschließlich auf unserem Server statt. Der angefragte Dienst erfährt dadurch weder das Passwort noch, um welches Konto oder welche Person es geht, noch ob einer der zurückgegebenen Einträge zutraf. Dieses Verfahren ist als k-Anonymität bekannt.

Empfänger: Der Abgleich erfolgt über den Dienst Pwned Passwords von Have I Been Pwned (Superlative Enterprises Pty Ltd, Australien), ausgeliefert über das Netz von Cloudflare. Da ausschließlich ein Bruchstück eines Prüfwerts ohne jede Kennung übertragen wird, ist dem Empfänger nach unserer Einschätzung kein Bezug zu einer bestimmbaren Person möglich.

Zweck und Rechtsgrundlage: Zweck ist der Schutz der Konten vor Übernahme mit Zugangsdaten, die andernorts bereits offengelegt wurden. Da über diese Konten Daten Minderjähriger verarbeitet werden, wiegt dieser Schutz besonders schwer. Rechtsgrundlage ist unser berechtigtes Interesse an der Sicherheit der Verarbeitung (Art. 6 Abs. 1 lit. f DSGVO in Verbindung mit Art. 32 DSGVO).

Es werden weder Passwörter noch die gebildeten Prüfwerte gespeichert; sie bestehen nur für die Dauer der Prüfung. Ist der Dienst nicht erreichbar, wird das Passwort angenommen — es greift dann allein eine in der Anwendung hinterlegte Liste besonders häufiger Passwörter, damit die Registrierung nicht am Ausfall eines Dritten scheitert.

16. Ihre Rechte

Sie haben das Recht auf Auskunft über die zu Ihrer Person gespeicherten Daten (Art. 15 DSGVO), auf Berichtigung unrichtiger Daten (Art. 16 DSGVO), auf Löschung (Art. 17 DSGVO), auf Einschränkung der Verarbeitung (Art. 18 DSGVO), auf Datenübertragbarkeit (Art. 20 DSGVO) sowie auf Widerspruch gegen die Verarbeitung (Art. 21 DSGVO). Hinzu kommt das Recht, nicht einer ausschließlich auf automatisierter Verarbeitung beruhenden Entscheidung unterworfen zu werden (Art. 22 DSGVO) — siehe dazu Ziffer 13. Erteilte Einwilligungen können Sie jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3 DSGVO).

Bei Minderjährigen üben die Erziehungsberechtigten diese Rechte stellvertretend aus.

Zur Ausübung dieser Rechte wenden Sie sich bitte an die unter Ziffer 1 genannten Kontaktdaten (siehe auch Hilfe & Kontakt).

17. Beschwerderecht bei einer Aufsichtsbehörde

Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren. Zuständig ist in der Regel die Aufsichtsbehörde Ihres gewöhnlichen Aufenthalts oder die für den Verantwortlichen zuständige Behörde. Für den Verantwortlichen (Sitz in Dornstetten, Baden-Württemberg) ist das: Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg (LfDI Baden-Württemberg) Heilbronner Straße 35, 70191 Stuttgart Postfach 10 29 32, 70025 Stuttgart Telefon: 0711 615541-0, E-Mail: poststelle@lfdi.bwl.de

18. Änderungen dieser Datenschutzerklärung

Wir passen diese Datenschutzerklärung an, sobald sich die Datenverarbeitung oder die Rechtslage ändert. Es gilt jeweils die zum Zeitpunkt Ihres Besuchs aktuelle, auf dieser Seite veröffentlichte Fassung.