STAND: AUGUST 2026
Datenschutzerklärung
1. Verantwortlicher
Marc Ortstadt
Zum Linngarten 20a
34587 Felsberg
Deutschland
Datenschutzkontakt: datenschutz@puckkind.de
2. Allgemeines zur Datenverarbeitung
Puckkind verarbeitet personenbezogene Daten nur, soweit dies für die Bereitstellung der Anwendung, die Freigabe von Kontaktpersonen, die Organisation von Puckkind-Terminen, die Kommunikation und die technische Sicherheit erforderlich ist. Welche Daten betroffen sind, hängt davon ab, welche Funktionen genutzt werden.
3. Bereitstellung der Website und Hosting
Die Website wird über Cloudflare Pages bereitgestellt. Beim Aufruf werden technisch notwendige Verbindungsdaten wie IP-Adresse, Zeitpunkt, angeforderte Ressource, Browser- und Geräteinformationen an den Hostinganbieter übertragen und können dort in technischen Protokollen verarbeitet werden. Dies dient der sicheren und zuverlässigen Bereitstellung der Website. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; das berechtigte Interesse liegt im sicheren und störungsfreien Betrieb.
Die Anwendung lädt außerdem die Supabase-JavaScript-Bibliothek über jsDelivr sowie Bild- und Logodateien von Servern der Eishockey Jugend Kassel, von holema.de und penny-del.org. Beim Abruf erhalten die jeweiligen Server technisch erforderliche Verbindungsdaten. Die Seite setzt eine restriktive Referrer-Vorgabe ein.
4. Elternfreigabe und Kontaktstammdaten
Für eine Freigabe werden Name der Kontaktperson, E-Mail-Adresse, Telefonnummer, Freigabestatus und technische Zeitstempel verarbeitet. Die Angaben dienen der Prüfung und Verwaltung des Elternzugangs sowie der organisatorischen Kontaktaufnahme. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit die Verarbeitung zur Durchführung der angefragten Teilnahme erforderlich ist, sowie Art. 6 Abs. 1 lit. f DSGVO für eine sichere und nachvollziehbare Zugangsverwaltung.
Eine freigegebene Kontaktperson bleibt gespeichert und freigegeben, bis die Freigabe administrativ widerrufen wird. Ein Widerruf beendet die Freigabe, bedeutet aber nicht automatisch die vollständige Löschung. Ein Löschbegehren kann unabhängig davon an den Datenschutzkontakt gerichtet werden.
5. Puckkind-Buchungen
Bei einer Buchung werden die Eltern-/Kontaktzuordnung, Termin und Buchungsstatus, technische Buchungskennungen und notwendige Zeitstempel verarbeitet. Hinzu kommen die nachfolgend beschriebenen Angaben zum Kind. Die Verarbeitung dient der Planung, Durchführung und Kommunikation des gewünschten Puckkind-Termins. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO; ergänzend kann Art. 6 Abs. 1 lit. f DSGVO für Missbrauchsschutz, Kapazitätssteuerung und organisatorische Nachvollziehbarkeit einschlägig sein.
6. Daten der Kinder
Je nach Buchung werden Name des Kindes, Geburtsjahr, Alters-/Teamzuordnung, Termin, Buchungsstatus und Lieblingsspieler verarbeitet. Diese Daten werden durch die anmeldende Kontaktperson angegeben und für die Zuordnung, Einsatzplanung und altersgerechte Organisation benötigt.
7. Freiwillige Kinderfotos
Ein Kinderfoto ist freiwillig. Es wird in einem privaten Supabase-Storage-Bereich gespeichert und nur über zeitlich begrenzte, signierte Zugriffslinks für berechtigte Verwaltungsfunktionen bereitgestellt. Es ist nicht als öffentliches Bild abrufbar. Die Verarbeitung beruht auf der Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO. Die Einwilligung kann mit Wirkung für die Zukunft widerrufen werden; die Rechtmäßigkeit der vorherigen Verarbeitung bleibt unberührt.
Bei einer Stornierung erfolgt sofort ein Löschversuch. Scheitert er technisch, greift der vorhandene Wiederholungsmechanismus. Ansonsten wird das Foto automatisch 30 Tage nach dem gebuchten Termin gelöscht.
8. Persönlicher Elternzugang und Zugangslinks
Persönliche Links ermöglichen den Zugriff auf aktuelle eigene Buchungen. Der Link enthält einen kryptografisch zufällig erzeugten Zugriffstoken. Serverseitig wird dauerhaft nur dessen Hash gespeichert. Der Klartexttoken wird im persönlichen Link per E-Mail übermittelt und im Browser für die aktuelle Sitzung in sessionStorage übernommen; er wird nicht dauerhaft in localStorage gespeichert.
Der Widerruf einer Elternfreigabe sperrt den Zugang. Nach einer Reaktivierung bleiben zuvor ausgestellte Links ungültig. Ein Admin kann einen neuen Link erzeugen und ausschließlich an die im Kontaktstamm gespeicherte E-Mail-Adresse senden. Persönliche Links sollen nicht weitergegeben werden.
9. E-Mail-Benachrichtigungen
Transaktionale E-Mails, insbesondere Freigabe-, Buchungsbestätigungs- und Zugangslink-Nachrichten, werden über Resend versendet. Dabei werden insbesondere Empfängeradresse, Kontaktname, erforderliche Buchungs- oder Termininformationen und der jeweilige persönliche Link an Resend übermittelt. Technische Versandkennungen und Fehlerangaben können zur Zustellung und Fehlerbehebung gespeichert werden. Rechtsgrundlage ist je nach Nachricht Art. 6 Abs. 1 lit. b oder lit. f DSGVO.
10. Administrative Kommunikation und WhatsApp
WhatsApp wird nicht automatisch beim Besuch der Website kontaktiert. Erst wenn die Administration bewusst eine WhatsApp-Aktion auslöst, öffnet die Anwendung WhatsApp mit der Telefonnummer und dem vorbereiteten Nachrichtentext. Dabei können die für die Kontaktaufnahme erforderlichen Daten an WhatsApp beziehungsweise Meta übermittelt werden. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO für die organisatorische Kommunikation; soweit eine Einwilligung eingeholt wurde, Art. 6 Abs. 1 lit. a DSGVO.
11. Empfänger und technische Dienstleister
- Cloudflare: Bereitstellung und Absicherung der Website.
- Supabase: Datenbank, Admin-Authentifizierung, privater Dateispeicher und serverseitige Edge Functions.
- Resend: Versand transaktionaler E-Mails.
- jsDelivr sowie externe Bildserver: Auslieferung der Supabase-Bibliothek und sichtbarer Logos/Bilder.
- WhatsApp/Meta: nur bei einer bewusst ausgelösten administrativen WhatsApp-Kommunikation.
Soweit Dienstleister personenbezogene Daten im Auftrag verarbeiten, sind die erforderlichen vertraglichen Vereinbarungen zu treffen. Je nach Anbieter, Konfiguration und Unterauftragnehmern kann eine Verarbeitung außerhalb der EU/des EWR stattfinden. In diesem Fall sind die jeweils erforderlichen Datenschutzgarantien zu prüfen und einzusetzen.
12. Speicherdauer und Löschung
Kontaktstammdaten bleiben für die laufende Freigabe gespeichert. Ein Widerruf beendet den Zugang, löscht aber nicht automatisch alle Kontakt- oder Buchungsdaten. Fotos werden bei Stornierung sofort zu löschen versucht und ansonsten 30 Tage nach dem Termin automatisch gelöscht.
Für Buchungs-, Kinder-, Freigabe-, Versand- und Benachrichtigungsdaten ist derzeit noch keine vollständige automatische Lösch- oder Anonymisierungsfrist für alle Datensätze produktiv umgesetzt. Diese Daten werden gelöscht oder anonymisiert, sobald sie für die Organisation, die Bearbeitung offener Anliegen und erforderliche Nachweise nicht mehr benötigt werden; entsprechende Anfragen werden individuell bearbeitet.
13. Datensicherheit und Browser-Speicherung
Die Anwendung verwendet verschlüsselte HTTPS-Verbindungen, rollenbasierte Datenbankregeln, serverseitige Adminprüfungen, private Fotospeicherung und gehashte Zugriffstokens. Onlinebuchungen werden nicht dauerhaft im anwendungseigenen localStorage gespeichert. Frühere lokale Buchungsdaten aus älteren Onlineversionen werden beim Wiederherstellungsablauf bereinigt. Der lokale Demo-Modus besitzt getrennte lokale Daten, ist auf der Produktivdomain jedoch nicht automatisch aktiv.
Der Service Worker speichert nur eine festgelegte Liste statischer Shell-Dateien. Recovery-URLs, URLs mit Queryparametern sowie Supabase-, API-, Auth- und Function-Anfragen werden nicht gecacht; sensible Tokens werden nicht als Cache-Schlüssel verwendet. Die Admin-Authentifizierung kann technisch erforderliche Sitzungsinformationen im Browserspeicher ablegen.
Puckkind setzt im eigenen Anwendungscode derzeit keine Cookies und verwendet keine Analyse-, Marketing- oder Werbe-Trackingdienste. Deshalb wird derzeit kein Einwilligungsbanner für solche Zwecke eingesetzt.
14. Betroffenenrechte
Betroffene Personen können – soweit die gesetzlichen Voraussetzungen vorliegen – Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung und Datenübertragbarkeit verlangen sowie Widerspruch einlegen. Eine Einwilligung kann jederzeit mit Wirkung für die Zukunft widerrufen werden. Anfragen können an datenschutz@puckkind.de gerichtet werden.
15. Beschwerderecht
Betroffene Personen können sich bei einer Datenschutzaufsichtsbehörde beschweren. Für den Verantwortlichen in Hessen ist insbesondere der Hessische Beauftragte für Datenschutz und Informationsfreiheit zuständig:
Der Hessische Beauftragte für Datenschutz und Informationsfreiheit
Gustav-Stresemann-Ring 1
65189 Wiesbaden
datenschutz.hessen.de
16. Änderungen dieser Datenschutzerklärung
Diese Datenschutzerklärung wird angepasst, wenn sich Funktionen, Dienstleister oder rechtliche Anforderungen ändern. Maßgeblich ist die jeweils in der Anwendung veröffentlichte Fassung.
