Datenschutzerklärung

Stand: 3. September 2026

Der Schutz Ihrer personenbezogenen Daten ist uns wichtig. Mit dieser Datenschutzerklärung informieren wir Sie gemäß Art. 13 und Art. 14 der Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung, „DSGVO“) sowie ergänzend nach dem Bundesdatenschutzgesetz (BDSG) und dem Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz (TDDDG) darüber, welche personenbezogenen Daten wir im Zusammenhang mit der öffentlichen Website https://vereinskladde.de und der Plattform Vereinskladde (https://portal.vereinskladde.de) verarbeiten, zu welchen Zwecken dies geschieht, auf welcher Rechtsgrundlage, wie lange die Daten gespeichert werden und welche Rechte Ihnen zustehen.

Vereinskladde ist eine webbasierte Software (Progressive Web App) für Schützenvereine zur digitalen Dokumentation des Schießbetriebs, insbesondere zur Verwaltung von Mitgliedern, Hallen und Ständen, Standaufsichten, Buchungen, Schießnachweisen, Störungsmeldungen sowie zum Abschluss eines kostenpflichtigen Abonnements.

1. Einleitung und Geltungsbereich

Diese Datenschutzerklärung gilt für die Nutzung der Plattform Vereinskladde über den Webbrowser, als installierte Progressive Web App (PWA) auf Mobilgeräten und Desktop-Rechnern sowie für alle damit verbundenen Funktionen, einschließlich Registrierung, Anmeldung, Mitgliederverwaltung, Buchung von Schießständen (auch durch Gäste ohne Benutzerkonto), Standaufsicht, Meldungen, Auswertungen, PDF-Exporte, Zahlungsabwicklung und E-Mail-Benachrichtigungen.

Sie gilt nicht für Websites, Dienste oder soziale Netzwerke Dritter, auf die von der Plattform lediglich verlinkt wird. Für deren Datenverarbeitung sind ausschließlich die jeweiligen Anbieter verantwortlich.

Auf der Plattform setzen wir keine Reichweitenanalyse, kein Tracking zu Werbezwecken, keine Social-Media-Plugins und keine Marketing-Cookies ein. Es findet keine Profilbildung zu Werbezwecken statt. Auf der öffentlichen Website setzen wir Google Analytics nur nach Einwilligung ein (siehe unten).

Sie gilt außerdem für die öffentliche Website https://vereinskladde.de.

Öffentliche Website

Die Website https://vereinskladde.de ist ein statisches Informationsangebot. Schriftarten werden lokal ausgeliefert. Es werden keine Schriftarten oder Stylesheets von Drittanbietern nachgeladen. Beim Aufruf entstehen beim Hoster technisch notwendige Serverprotokolle (insbesondere IP-Adresse, Zeitpunkt, aufgerufene URL, Referrer, Browser- und Geräteinformationen). Zweck ist die Auslieferung der Seiten sowie Stabilität und Sicherheit. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Diese Protokolle werden nur so lange aufbewahrt, wie es dafür erforderlich ist.

Kontaktaufnahme per E-Mail- oder Telefon-Link erfolgt über die vom jeweiligen Gerät bereitgestellten Programme; dabei können zusätzlich die Bedingungen des E-Mail- oder Telefondienstes gelten.

Reichweitenanalyse (Google Analytics) auf der öffentlichen Website

Auf der öffentlichen Website setzen wir Google Analytics 4 (Google-Tag / gtag.js, Mess-ID G-DT2466JYG4) ein, um zu verstehen, wie das Informationsangebot genutzt wird, und es zu verbessern. Der Dienst wird erst nach Ihrer Einwilligung nachgeladen. Ohne Einwilligung wird das Google-Tag nicht geladen, und es werden keine Analyse-Cookies von Google gesetzt.

Anbieter: Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland; ggf. Google LLC, USA.

Erhoben werden können insbesondere aufgerufene Seiten, Referrer, ungefähre Standort- und Geräteinformationen, Browser- und Betriebssystemdaten sowie eine gekürzte bzw. anonymisierte IP-Adresse. Google kann daraus Nutzungsstatistiken bilden. Eine Zusammenführung mit einem Benutzerkonto der Plattform findet nicht statt.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG (Einwilligung). Sie können die Einwilligung jederzeit mit Wirkung für die Zukunft über den Link „Cookie-Einstellungen“ im Footer widerrufen. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt.

Ihre Auswahl speichern wir lokal im Browser (Local Storage), damit wir sie bei späteren Besuchen berücksichtigen können. Diese Speicherung ist für die Verwaltung Ihrer Einwilligung erforderlich.

Es kann zu einer Übermittlung in die USA kommen. Google LLC ist unter dem EU-US Data Privacy Framework zertifiziert; ergänzend gelten Standardvertragsklauseln. Weitere Informationen: policies.google.com/privacy.

2. Verantwortlicher

Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO ist:

Jens Voss IT-Service Unterbach
Inhaber: Jens Voss
Vennstraße 98
40627 Düsseldorf
Deutschland
Telefon: 0211 17803272
E-Mail: info@it-service-unterbach.de
Internet: https://portal.vereinskladde.de

Produktbezogene Anfragen erreichen uns zusätzlich unter info@vereinskladde.de.

Ein betrieblicher Datenschutzbeauftragter ist derzeit nicht bestellt, da die gesetzlichen Voraussetzungen des § 38 BDSG nicht vorliegen. Gleichwohl können Sie alle Anliegen zum Datenschutz an info@it-service-unterbach.de richten.

3. Rollen: Plattform und Verein

Vereinskladde ist eine mandantenfähige Software: Jeder Verein erhält einen eigenen, logisch getrennten Datenraum. Für die datenschutzrechtliche Einordnung ist zwischen zwei Rollen zu unterscheiden:

3.1 Wir als Verantwortliche der Plattform

Wir sind Verantwortliche für die Verarbeitung, die der Bereitstellung, Absicherung und Abrechnung der Plattform selbst dient. Dazu gehören insbesondere:

• Erstellung und Verwaltung von Plattform-Konten (Firebase Authentication)
• Registrierung eines Vereins als Vertragspartner der Plattform
• E-Mail-Bestätigung, Passwort-Zurücksetzung und technische Sicherheit
• Abonnement, Rechnungsstellung und Zahlungsabwicklung (Mollie)
• Betrieb, Wartung, Fehlerbehebung, Missbrauchsabwehr und Support
• Speicherung technischer Protokolle und Sicherheitsereignisse

3.2 Der Verein als Verantwortlicher seiner Vereinsdaten

Der jeweilige Verein (vertreten durch seine Administratorinnen und Administratoren) ist in der Regel eigenständig Verantwortlicher für die personenbezogenen Daten, die er in der Plattform zu Vereinszwecken speichert und nutzt. Dazu gehören insbesondere:

• Mitgliederstammdaten (Name, E-Mail, Mitgliedsnummer, Rolle, Status)
• Buchungs- und Schießbetriebsdaten (Zeiten, Halle, Stand, Waffenart, ggf. Kaliber, Disziplin, Schusszahl)
• Daten von Gästen, die ohne eigenes Konto einen Stand buchen
• Standaufsichtsprotokolle und Störungsmeldungen
• Schießnachweise und vereinsinterne Auswertungen

Rechtsgrundlage, Zweckbindung, Aufbewahrung und Betroffenenrechte im Verhältnis zu Vereinsmitgliedern und Gästen bestimmt insoweit der Verein (z. B. Mitgliedschaft, satzungsmäßige Zwecke, waffenrechtliche Dokumentationspflichten). Bitte wenden Sie sich bei Fragen zu Ihren Vereinsdaten zuerst an die Administration Ihres Vereins.

3.3 Wir als Auftragsverarbeiter

Soweit wir die unter Ziffer 3.2 genannten Vereinsdaten technisch speichern, hosten und im Auftrag des Vereins verarbeiten, handeln wir als Auftragsverarbeiter gemäß Art. 28 DSGVO. Die Verarbeitung erfolgt weisungsgebunden und auf Grundlage eines Auftragsverarbeitungsvertrags mit dem jeweiligen Verein. Den aktuellen AVV finden Sie unter https://portal.vereinskladde.de/avv. Er wird bei der Registrierung bzw. durch die Vereinsadministration elektronisch abgeschlossen. Wir nutzen die Vereinsdaten nicht für eigene Zwecke außerhalb der Vertragserfüllung, der Sicherheit der Plattform und gesetzlicher Pflichten.

4. Begriffe und Rechtsgrundlagen

Personenbezogene Daten sind alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen (Art. 4 Nr. 1 DSGVO). Verarbeitung meint jeden Vorgang im Zusammenhang mit diesen Daten, etwa das Erheben, Speichern, Auslesen, Übermitteln oder Löschen (Art. 4 Nr. 2 DSGVO).

Soweit wir selbst Verantwortliche sind, stützen wir die Verarbeitung auf:

• Art. 6 Abs. 1 lit. b DSGVO – Erfüllung eines Vertrags bzw. vorvertragliche Maßnahmen (Nutzungsvertrag über die Plattform, Abonnement)
• Art. 6 Abs. 1 lit. c DSGVO – Erfüllung rechtlicher Pflichten (insbesondere handels- und steuerrechtliche Aufbewahrung von Rechnungsdaten)
• Art. 6 Abs. 1 lit. f DSGVO – berechtigte Interessen (Betriebssicherheit, Missbrauchsabwehr, Durchsetzung von Ansprüchen, Weiterentwicklung der Plattform in datensparsamem Umfang)
• Art. 6 Abs. 1 lit. a DSGVO – Einwilligung, soweit wir eine Verarbeitung ausdrücklich davon abhängig machen (z. B. Zugriff auf die Gerätekamera zum QR-Scan)
• § 25 Abs. 2 TDDDG – Speicherung von Informationen auf Ihrem Endgerät, soweit dies unbedingt erforderlich ist, um den von Ihnen gewünschten Dienst bereitzustellen

Soweit der Verein Verantwortlicher ist, kommen zusätzlich typischerweise in Betracht: Vertrag/Mitgliedschaft (Art. 6 Abs. 1 lit. b), rechtliche Pflichten etwa aus dem Waffenrecht und vereinsinternen Dokumentationsvorgaben (Art. 6 Abs. 1 lit. c) sowie berechtigte Interessen an einem sicheren, nachvollziehbaren Schießbetrieb (Art. 6 Abs. 1 lit. f).

5. Hosting und technische Infrastruktur

Die Plattform wird als statische Webanwendung ausgeliefert und an Google Firebase / Google Cloud Platform angebunden. Wir nutzen insbesondere folgende Dienste der Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland, bzw. – soweit erforderlich – verbundener Unternehmen der Google LLC, USA:

• Firebase Hosting – Auslieferung der Anwendung über ein Content Delivery Network (CDN)
• Firebase Authentication – Benutzerkonten, Passwort-Hashing, Sitzungsverwaltung, Erzeugung von Zurücksetzungslinks
• Cloud Firestore – Datenbank „main“, Region europe-west3 (Frankfurt am Main)
• Cloud Functions for Firebase – serverseitige Logik (Region europe-west1, Belgien), z. B. Abonnements, PIN-Hashing, Vereinslöschung, Passwort-Reset-Mails, Synchronisation von Berechtigungen
• Firebase Storage / Cloud Storage – Speicherung hochgeladener Vereinslogos
• Firebase Extension „Trigger Email from Firestore“ – Versand transaktionaler E-Mails über einen von uns konfigurierten E-Mail-Transport

Google verarbeitet Daten insoweit als Auftragsverarbeiter. Ergänzend gelten die Datenschutzbestimmungen von Google/Firebase (firebase.google.com/support/privacy) sowie der Google Cloud Data Processing Addendum.

Zahlungsdaten werden nicht von uns selbst gespeichert, sondern über Mollie B.V., Keizersgracht 126, 1015 CW Amsterdam, Niederlande, verarbeitet (siehe Ziffer 18).

6. Aufruf der Website und Protokolldaten

Beim Aufruf der Plattform werden durch den Browser und die Infrastruktur technisch notwendige Informationen übermittelt, insbesondere IP-Adresse, Datum und Uhrzeit, aufgerufene URL, Referrer, Browser- und Geräteinformationen sowie Erfolgs- oder Fehlerstatus. Diese Daten fallen bei Hosting, CDN, Cloud Functions und der Datenbankanbindung an.

Zweck ist die Auslieferung der Anwendung, die Gewährleistung von Stabilität und Sicherheit (z. B. Abwehr von Angriffen) sowie die Fehleranalyse. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am sicheren Betrieb) sowie § 25 Abs. 2 TDDDG für technisch notwendige Speichervorgänge.

Eine Zusammenführung dieser technischen Daten mit Ihrem Benutzerkonto zu Tracking-Zwecken findet nicht statt. Server- und Sicherheitsprotokolle werden nur so lange aufbewahrt, wie es für die genannten Zwecke erforderlich ist, und anschließend gelöscht oder anonymisiert.

7. Registrierung und Benutzerkonto

Um einen Verein auf der Plattform anzulegen, ist eine Registrierung erforderlich. Dabei erheben wir:

• Vereinsname
• Vorname und Nachname der registrierenden Person
• E-Mail-Adresse
• Passwort (wird nicht im Klartext gespeichert, siehe Ziffer 8)

Anschließend legen wir einen Verein mit Status „pending“ (E-Mail noch nicht bestätigt) sowie ein Mitgliedsprofil der registrierenden Person als Administrator an (Mitgliedsnummer „0001“, Rolle „admin“). Zusätzlich speichern wir die Firebase-UID der registrierenden Person als Eigentümerkennung des Vereins.

Zur Bestätigung der E-Mail-Adresse erzeugen wir ein zeitlich begrenztes Token (24 Stunden), speichern es zusammen mit Vereins-ID, Benutzer-ID und E-Mail-Adresse und senden einen Bestätigungslink. Erst nach erfolgreicher Bestätigung wird der Verein auf Status „active“ gesetzt.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Begründung und Durchführung des Nutzungsvertrags) sowie Art. 6 Abs. 1 lit. f DSGVO (Verifikation der Erreichbarkeit, Missbrauchsabwehr).

8. Anmeldung, Sitzung und Passwort

8.1 Anmeldung

Die Anmeldung erfolgt mit E-Mail-Adresse und Passwort über Firebase Authentication. Passwörter werden von Firebase gehasht gespeichert; wir haben keinen Zugriff auf Klartextpasswörter. Nach erfolgreicher Authentifizierung prüfen wir, ob das zugehörige Mitgliedsprofil deaktiviert ist. Deaktivierte Konten werden sofort wieder abgemeldet.

Am Authentifizierungstoken werden vereinsbezogene Berechtigungen als Custom Claims hinterlegt (Vereins-ID und Rolle: Administrator, Standaufsicht oder Mitglied). Diese Angaben steuern den Zugriff auf Daten in der Datenbank.

8.2 Passwort vergessen

Über die Funktion „Passwort vergessen“ können Sie einen Zurücksetzungslink anfordern. Der sichere Link (einschließlich Einmalcode) wird von Firebase Authentication erzeugt; der Versand erfolgt über unsere eigene E-Mail-Vorlage. Um Missbrauch (z. B. Überflutung fremder Postfächer) zu verhindern, begrenzen wir die Anzahl der Anfragen je E-Mail-Adresse. Hierzu speichern wir einen SHA-256-Hash der E-Mail-Adresse sowie Zähler und Zeitfenster – nicht die E-Mail-Adresse im Klartext in dieser Hilfsdatei.

Aus Sicherheitsgründen erhält jede Anfrage dieselbe Rückmeldung, unabhängig davon, ob ein Konto existiert (Schutz vor Benutzer-Enumeration).

8.3 Sitzung auf dem Endgerät

Die Anmeldesitzung wird lokal im Browser bzw. in der PWA gespeichert (in der Regel IndexedDB / Local Storage von Firebase Auth). Dadurch bleiben Sie angemeldet, bis Sie sich abmelden oder die gespeicherten Daten löschen. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO und § 25 Abs. 2 TDDDG.

9. Mitgliederverwaltung

Administratoren eines Vereins können Mitglieder anlegen, einladen, importieren, bearbeiten, deaktivieren und löschen.

9.1 Stammdaten eines Mitglieds

Gespeichert werden insbesondere:

• Vorname, Nachname
• E-Mail-Adresse
• Mitgliedsnummer
• Rolle (Administrator, Standaufsicht, Mitglied)
• Status (eingeladen, aktiv, inaktiv)
• Firebase-UID nach Annahme der Einladung
• Zeitpunkte von Einladung, Aktivierung, Anlage und letzter Änderung
• optional gehashter Buchungs-PIN sowie Sperrinformationen bei Fehlversuchen

Mitglieder können Vor- und Nachname in ihrem Profil selbst ändern. Die E-Mail-Adresse ist nach der Anlage unveränderlich, weil sie die Login-Identität darstellt.

9.2 Einladung

Bei der Einladung wird ein Token mit einer Gültigkeit von 24 Stunden erzeugt und per E-Mail ein Link versendet. Die eingeladene Person legt mit diesem Link ein Passwort fest und verknüpft das bestehende Mitgliedsprofil mit ihrem Benutzerkonto. Wer den Link kennt, kann das zugehörige Einladungsdokument abrufen (Token = Dokument-ID). Eine Durchsuchung der gesamten Einladungssammlung ist nicht möglich.

9.3 CSV-Import

Administratoren können Mitgliederlisten als CSV-Datei importieren. Die Datei wird im Browser gelesen und die enthaltenen Datensätze (Mitgliedsnummer, Name, E-Mail, Rolle) in die Datenbank übernommen. Die Importdatei selbst speichern wir nicht dauerhaft auf unseren Servern. Bitte stellen Sie sicher, dass Sie nur Daten importieren, für die eine Rechtsgrundlage besteht.

9.4 Deaktivierung und Löschung durch den Verein

Ein deaktiviertes Mitglied kann sich nicht mehr anmelden. Das Profil und historische Buchungsdaten bleiben zunächst beim Verein gespeichert, soweit der Verein sie nicht löscht. Die Löschung eines Mitglieds durch einen Administrator entfernt das Mitgliedsprofil in der Plattform; bereits entstandene Buchungs- und Meldungsdatensätze können als historische Dokumentation beim Verein verbleiben.

10. Vereinsstammdaten und Logo

Administratoren können Vereinsdaten pflegen, insbesondere Name, Kurzname, Vereinsregisternummer, Anschrift, Telefon, E-Mail, Website, Land sowie ein Vereinslogo (Bilddatei, maximal 2 MB). Das Logo wird in Firebase Storage unter einem vereinsbezogenen Pfad gespeichert; die Download-URL wird am Vereinsdatensatz hinterlegt.

Vereinsdatensätze sind technisch öffentlich lesbar, weil Gäste ohne Anmeldung (z. B. nach Scan eines Hallen-QR-Codes) Vereinsname, Logo und ggf. Adresse auf der Buchungsseite benötigen. Laden Sie daher nur solche Kontaktdaten hoch, die in diesem Kontext sichtbar sein dürfen.

Zusätzlich speichert der Verein betriebliche Einstellungen (z. B. Disziplin- und Kaliberkataloge, Pflichtfelder, Aufsichtsregeln). Auch diese Einstellungen sind für die Buchungsseite öffentlich lesbar, enthalten aber in der Regel keine direkten Personenbezüge.

11. Schießbetrieb und Buchungen

Kernstück der Plattform ist die Dokumentation von Trainingseinheiten an Schießständen.

11.1 Daten einer Buchung

Je Buchung können insbesondere folgende Daten gespeichert werden:

• Verein, Halle, Stand, zugehörige Standaufsicht
• Vorname und Nachname der schießenden Person
• bei Mitgliedern: Benutzer-ID; bei Gästen: Kennzeichnung als Gast
• Waffenart (Langwaffe / Kurzwaffe)
• optional: Waffenbezeichnung, Kaliber, Disziplin, Schusszahl
• Beginn, Ende, Dauer
• Status (aktiv, wartet auf Freigabe, freigegeben, storniert)
• ggf. wer die Freigabe erteilt oder das Training beendet hat

Kaliber, Disziplin und Schusszahl sind je nach Vereinseinstellung Pflicht oder freiwillig. Diese Angaben dienen der betrieblichen Dokumentation und – soweit der Verein dies so nutzt – der Erstellung von Schießnachweisen (z. B. im Zusammenhang mit Bedürfnisnachweisen). Sie werden nicht zu Werbezwecken ausgewertet.

11.2 Mitgliederbuchung

Angemeldete Mitglieder können Stände buchen, soweit eine Standaufsicht aktiv ist bzw. die Vereinsregeln dies erlauben. Die Buchung wird dem Benutzerkonto zugeordnet.

11.3 Gastbuchung ohne Benutzerkonto

Personen ohne Konto können über den Hallen-QR-Code einen Stand buchen, indem sie Vor- und Nachname sowie die übrigen vom Verein geforderten Angaben eintragen. Es wird kein Benutzerkonto angelegt. Die Buchung ist über ihre zufällige Dokument-ID für die Dauer des Vorgangs (Warten auf Freigabe, Meldungsstatus) abrufbar. Auf dem Endgerät kann die Buchungs-ID kurzzeitig im Session Storage liegen, damit die aktive Session nach einem Seitenwechsel wiedergefunden wird.

Gäste haben regelmäßig kein eigenes Login, um ihre historischen Daten selbst einzusehen oder zu löschen. Auskunft und Löschung laufen über den Verein bzw. über uns, soweit wir technisch Zugriff haben (siehe Ziffer 28).

11.4 Freigabe durch die Standaufsicht

Nach dem Trainingsende kann eine Buchung auf Freigabe durch die Standaufsicht bzw. Administration warten. Dabei werden Endzeit, Dauer und optionale Abschlussangaben ergänzt. Die Freigabe wird mit handelnder Person und Zeitpunkt protokolliert.

12. Öffentlich sichtbare Daten

Damit der Schießbetrieb per QR-Code ohne Login funktionieren kann, sind einzelne Daten bewusst ohne Anmeldung lesbar. Das ist für den Zweck der Plattform erforderlich, hat aber zur Folge, dass Personen in der Halle bzw. mit Kenntnis des Buchungslinks bestimmte Informationen sehen können:

• Vereinsname, Logo und hinterlegte Vereinskontaktdaten
• Hallen und Stände einschließlich Sperrstatus
• Name der aktuell tätigen Standaufsicht (denormalisiert an der Halle sowie in der aktiven Aufsichtsschicht)
• Vor- und Nachname der Personen mit aktuell aktiver Buchung am jeweiligen Stand (Standbelegung)
• Einzelabruf einer Buchung oder Meldung über deren unerratbare ID (Gast-Flow)

Historische Buchungen, vollständige Mitgliederlisten, Abrechnungsdaten und abgeschlossene Aufsichtsschichten sind nicht öffentlich, sondern nur für berechtigtes Vereinspersonal bzw. die betroffene Person selbst zugänglich.

Bitte beachten Sie: Wer sich in einer Halle aufhält oder den QR-Code kennt, kann sehen, wer derzeit auf welchem Stand steht. Vereine sollten ihre Mitglieder und Gäste darauf hinweisen.

13. Standaufsicht

Administratoren und Standaufsichten können eine Aufsichtsschicht für eine Halle beginnen und beenden. Gespeichert werden Halle, Verein, Benutzer-ID und Name der aufsichtführenden Person, Beginn, Ende, Dauer und ob die Schicht aktiv ist.

Aktive Schichten sind öffentlich lesbar, weil die Buchungsseite ohne Login erkennen muss, ob Stände buchbar sind. Der Verlauf abgeschlossener Schichten ist auf das Vereinspersonal beschränkt.

14. Meldungen und Störungen

Während einer Buchung können Schäden, Störungen oder Zwischenfälle gemeldet werden (z. B. Decken-/Wandtreffer, Anlagendefekt, Seilzug, Beleuchtung, sonstiger Vorfall). Gespeichert werden unter anderem Kategorie, optionale Beschreibung, Name der meldenden Person, zugehörige Buchung/Halle/Stand, Status sowie die Reaktion der Aufsicht (Kommentar, Maßnahme wie Stand- oder Hallensperre).

Der Einzelabruf einer Meldung per ID ist möglich, damit Gäste ohne Login den Status ihrer Meldung verfolgen können. Listen aller Meldungen eines Vereins sind nur für Standaufsicht und Administration sichtbar.

Beschreibungen können sensible Angaben enthalten. Bitte tragen Sie nur ein, was für die Bearbeitung erforderlich ist.

15. Buchungs-PIN

Mitglieder können einen vierstelligen Buchungs-PIN festlegen. Der PIN wird nicht im Klartext gespeichert, sondern serverseitig mit PBKDF2 (100.000 Iterationen, SHA-256, zufälliges Salt) gehasht. Die Prüfung erfolgt ausschließlich über eine Cloud Function. Nach mehreren Fehlversuchen wird die PIN-Prüfung vorübergehend gesperrt (Rate-Limiting / Lockout). Anzahl der Fehlversuche und Sperrzeitpunkt können am Mitgliedsprofil gespeichert werden.

Ein etwaiges älteres Klartext-PIN-Feld wird bei der nächsten PIN-Setzung entfernt. Der PIN dient nur der vereinfachten Identifikation beim Einbuchen, nicht als alleiniger Account-Schutz anstelle des Passworts.

16. Nachweise, Reports und Statistiken

16.1 Schießnachweise (PDF)

Mitglieder können aus ihren Buchungen PDF-Schießnachweise erzeugen (inkl. Vereinskopf, Zeiten, Stände, optional Kaliber/Disziplin/Schusszahl). Die PDF-Datei wird auf Ihrem Endgerät erzeugt und heruntergeladen; wir betreiben keinen gesonderten Dokumenten-Server für diese Nachweise.

16.2 Reports und CSV-Export

Berechtigtes Vereinspersonal kann Trainingsberichte einsehen und exportieren. Exporte können Namen, Mitgliedsnummern, Gaststatus, Zeiten, Waffen- und Disziplinangaben enthalten. Der Verein ist für einen datenschutzgerechten Umgang mit heruntergeladenen Dateien verantwortlich (Speicherung, Weitergabe, Löschung).

16.3 Statistiken

Auswertungen (z. B. Auslastung, Wochentagsverteilung, Häufigkeit von Training) werden aus Buchungsdaten aggregiert. Die Statistikansicht ist so gestaltet, dass keine Namen angezeigt werden. Gleichwohl handelt es sich um eine Verarbeitung von Ausgangsdaten, die Personenbezug haben können; Zugriff haben nur berechtigte Vereinsnutzer.

17. Kamera und QR-Scanner

Die Funktion „Scanner“ greift auf die Kamera Ihres Geräts zu, um Hallen-QR-Codes zu lesen. Der Kamerastrom wird ausschließlich lokal im Browser verarbeitet (Dekodierung mit einer JavaScript-Bibliothek). Es werden keine Videobilder, Fotos oder Kamerastreams an uns oder Dritte übermittelt oder gespeichert. Nach dem Scan bzw. beim Verlassen der Seite wird der Kamerazugriff beendet.

Die Freigabe der Kamera erfolgt über die Berechtigungsabfrage Ihres Browsers bzw. Betriebssystems (Einwilligung, Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG). Sie können die Berechtigung jederzeit in den Geräteeinstellungen widerrufen. Ohne Kamerazugriff können QR-Links auch manuell geöffnet werden.

18. Abonnement und Zahlungsdaten

Für die kostenpflichtige Nutzung schließen Administratoren ein Abonnement ab (monatlich oder jährlich, abhängig von der lizenzierten Anzahl an Schießständen). Hierzu übermitteln wir an Mollie insbesondere:

• Vereinsname und Abrechnungs-E-Mail
• Land (für die umsatzsteuerliche Behandlung, inkl. Reverse Charge)
• gewählten Tarif, Standlizenz, Betrag und MwSt-Satz
• interne Vereins- und Vorgangs-IDs als Metadaten der Zahlung

Mollie verarbeitet die eigentlichen Zahlungsdaten (z. B. Konto- oder Kartendaten) als eigenständiger Zahlungsdienstleister. Wir speichern in unserer Datenbank die Mollie-Kunden- und Abo-Kennungen, den Abo-Status, Abrechnungszeitraum, Land, MwSt-Satz sowie Name und E-Mail für die Rechnung – nicht die vollständigen Zahlungsinstrumente.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertrag) und Art. 6 Abs. 1 lit. c DSGVO (steuer- und handelsrechtliche Pflichten). Informationen zum Datenschutz bei Mollie: mollie.com/de/privacy.

Kündigung, Zahlungsausfall und Vereinslöschung können zur Beendigung des Abonnements bei Mollie führen. Rechnungsrelevante Daten behalten wir für die gesetzliche Aufbewahrungsfrist.

19. E-Mail-Kommunikation

Wir versenden ausschließlich transaktionale E-Mails, insbesondere:

• Bestätigung der Registrierung / Vereinsaktivierung
• Einladung von Mitgliedern
• Passwort-Zurücksetzung

Technisch wird ein Maildokument in der Datenbank angelegt (Empfänger, Betreff, HTML-Inhalt) und von der Firebase-Extension „Trigger Email“ über den konfigurierten Versandweg zugestellt. Clients können Maildokumente nicht lesen. Inhaltlich enthalten die Mails den Anzeigenamen, Vereinsnamen und den jeweiligen Aktionslink.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Einen Newsletter oder Werbung versenden wir nicht.

20. PWA, Cookies und lokale Speicherung

Vereinskladde kann als Progressive Web App auf dem Startbildschirm installiert werden. Dafür registrieren wir einen Service Worker. Dieser speichert Anwendungsdateien (HTML/JS/CSS/Icons) und kann Vereinslogos aus Firebase Storage für bis zu sieben Tage zwischenspeichern, um die App zuverlässig und schnell bereitzustellen. Es werden keine Navigationsseiten im Hintergrund vorab geladen, um veraltete Stände zu vermeiden.

Auf Ihrem Endgerät können insbesondere folgende Speicherungen stattfinden:

Speicher	Inhalt / Zweck	Erforderlichkeit
Firebase Auth (IndexedDB / Local Storage)	Anmeldesitzung, Tokens	unbedingt erforderlich
Firestore Persistent Cache (IndexedDB)	Lokale Kopie bereits geladener Vereinsdaten für Offline-Nutzung und Performance	unbedingt erforderlich für den Dienst
Session Storage	kurzfristige IDs für Gastbuchung / aktive Session	unbedingt erforderlich für den Gast-Flow
Service-Worker-Cache	App-Assets, gecachte Logos	unbedingt erforderlich für die PWA

Diese Speichervorgänge sind keine Tracking-Cookies. Sie fallen unter § 25 Abs. 2 Nr. 2 TDDDG (unbedingt erforderlich). Ein Einwilligungsbanner für Marketing-Cookies ist daher nicht vorgesehen. Sie können gespeicherte Daten über die Browser- bzw. App-Einstellungen löschen; dadurch werden Sie abgemeldet, und offline vorgehaltene Daten entfallen.

Schriftarten werden beim Build der Anwendung eingebettet und von uns selbst ausgeliefert. Beim Aufruf der Plattform findet kein Live-Aufruf von Google Fonts durch Ihren Browser statt.

21. Empfänger und Auftragsverarbeiter

Personenbezogene Daten können folgenden Kategorien von Empfängern zugänglich sein:

• Berechtigte Nutzer des eigenen Vereins – Administratoren sehen Mitglieder- und Betriebsdaten; Standaufsichten sehen den für den Betrieb nötigen Ausschnitt (aktive Buchungen, Freigaben, Meldungen, Aufsicht)
• Andere Anwesende / Gäste mit QR-Zugang – siehe Ziffer 12 (Standbelegung, Aufsichtsname)
• Google Ireland Ltd. / Google LLC (Firebase, Google Cloud) – Hosting, Datenbank, Authentifizierung, Speicher, Functions, E-Mail-Trigger
• Mollie B.V. – Zahlungs- und Abonnementabwicklung
• E-Mail-Transportanbieter, der für den Versand transaktionaler Mails angebunden ist
• Behörden, Gerichte, Steuerberater, soweit eine gesetzliche Pflicht oder die Durchsetzung von Rechten dies erfordert

Eine Übermittlung an sonstige Dritte zu Werbezwecken findet nicht statt. Innerhalb unseres Verantwortungsbereichs erhalten nur Personen Zugriff, die ihn für Betrieb, Support oder gesetzliche Pflichten benötigen.

22. Drittlandübermittlung

Die fachlichen Vereinsdaten in Cloud Firestore liegen in der Region europe-west3 (Frankfurt). Cloud Functions laufen in europe-west1 (Belgien). Mollie verarbeitet Zahlungsdaten in der EU.

Gleichwohl kann es im Rahmen von Firebase/Google Cloud zu Übermittlungen in die USA oder andere Drittländer kommen, insbesondere bei Firebase Authentication, globalem Hosting/CDN, Support-, Sicherheits- und Telemetriekomponenten sowie bei der Speicherung von Objekten in Cloud Storage, soweit der Bucket nicht ausschließlich in der EU liegt. Google LLC ist unter dem EU-US Data Privacy Framework zertifiziert; ergänzend gelten Standardvertragsklauseln der EU-Kommission und der Google Cloud Data Processing Addendum.

Drittlandübermittlungen erfolgen nur, soweit ein Angemessenheitsbeschluss (Art. 45 DSGVO) vorliegt oder geeignete Garantien nach Art. 46 DSGVO (insbesondere Standardvertragsklauseln) bestehen, ggf. ergänzt um zusätzliche Maßnahmen.

23. Speicherdauer

Wir bzw. der jeweils verantwortliche Verein speichern personenbezogene Daten nur so lange, wie es für die Zwecke erforderlich ist oder gesetzliche Fristen entgegenstehen.

Daten	Dauer
Benutzerkonto / Mitgliedsprofil	bis zur Löschung durch den Verein, der betroffenen Person oder bei Vereinslöschung
E-Mail-Bestätigungstoken	24 Stunden, danach unbrauchbar; Löschung im Zuge der Bereinigung / Vereinslöschung
Mitgliedseinladungen	24 Stunden Gültigkeit; Löschung nach Verwendung, Ablauf oder Vereinslöschung
Passwort-Reset-Anfragen (Hash)	für das Rate-Limit-Fenster (15 Minuten), danach überschreibbar
Buchungen, Aufsichten, Meldungen	solange der Verein sie für Betrieb und Dokumentation benötigt (häufig mehrere Jahre, etwa im Zusammenhang mit Schießnachweisen); unwiderrufliche Löschung bei Vereinslöschung
Vereinslogo	bis zum Austausch/Löschen durch den Admin oder bei Vereinslöschung
Abo- und Rechnungsdaten	für die Dauer des Vertrags plus gesetzliche Aufbewahrungsfristen (i. d. R. 6 bzw. 10 Jahre, §§ 147 AO, 257 HGB)
Technische Logs	kurzfristig, soweit für Sicherheit und Fehlersuche nötig
Lokale Caches / Sitzung	bis zur Abmeldung, Cache-Löschung oder Ablauf der PWA-Caches (Logos max. 7 Tage)

Der Verein legt in seiner Rolle als Verantwortlicher fest, wie lange Schießbetriebsdaten aufbewahrt werden. Eine automatische Anonymisierung nach fester Frist ist derzeit nicht systemseitig erzwungen, mit Ausnahme der vollständigen Löschung bei Vereinslöschung.

24. Pflicht zur Bereitstellung

Ohne E-Mail-Adresse, Passwort und die zur Vertragserfüllung nötigen Stammdaten können wir kein Konto und keinen Verein bereitstellen. Ohne die vom Verein geforderten Buchungsangaben (mindestens Vor- und Nachname sowie Waffenart) ist eine Standbuchung nicht möglich. Die Nichtbereitstellung optionaler Felder (z. B. Website des Vereins, Kaliber, wenn nicht als Pflicht konfiguriert) hat nur zur Folge, dass die jeweilige Funktion unvollständig bleibt.

25. Automatisierte Entscheidungen

Es findet keine automatisierte Entscheidungsfindung einschließlich Profiling im Sinne von Art. 22 DSGVO statt, die Ihnen gegenüber rechtliche Wirkung entfaltet oder Sie in ähnlicher Weise erheblich beeinträchtigt. Technische Automatismen (z. B. Ablehnung eines Logins bei deaktiviertem Konto, PIN-Lockout nach Fehlversuchen, Abo-Status nach Zahlungseingang oder -ausfall) dienen allein der Vertragserfüllung und Sicherheit.

26. Minderjährige

Die Plattform richtet sich an Vereine und deren berechtigte Nutzerinnen und Nutzer. Ein eigenes Mindestalter-Feld führen wir nicht. Soweit Vereine Daten von Minderjährigen (z. B. Jugendmitgliedern) oder von Gästen unter 18 Jahren erfassen, ist der Verein dafür verantwortlich, die erforderlichen Rechtsgrundlagen und – soweit nötig – Einwilligungen der Sorgeberechtigten einzuholen und die Daten sparsam zu verarbeiten.

Die Registrierung eines Vereins als Vertragspartner der Plattform setzt Geschäftsfähigkeit voraus.

27. Datensicherheit

Wir treffen technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO, unter anderem:

• Transportverschlüsselung (HTTPS/TLS)
• Passwort-Hashing durch Firebase Authentication
• PIN-Speicherung ausschließlich als PBKDF2-Hash
• Zugriffskontrolle über Authentifizierung, Custom Claims und granulare Firestore-/Storage-Sicherheitsregeln
• Trennung der Vereinsdaten über Vereins-IDs
• Rate-Limiting bei Passwort-Reset und PIN-Prüfung
• keine User-Enumeration bei unbekannten E-Mail-Adressen
• serverseitige Ausführung privilegierter Aktionen (Abo, Vereinslöschung, PIN)
• Datenbankstandort in der EU für Firestore

Eine absolute Sicherheit kann nicht garantiert werden. Bitte schützen Sie Ihr Gerät, Ihr Passwort und Ihren PIN und geben Sie Einladungs- oder Reset-Links nicht weiter.

28. Ihre Rechte

Ihnen stehen die Rechte der DSGVO zu, soweit deren Voraussetzungen vorliegen:

• Auskunft (Art. 15 DSGVO) über die zu Ihrer Person gespeicherten Daten
• Berichtigung (Art. 16 DSGVO) unrichtiger oder unvollständiger Daten
• Löschung (Art. 17 DSGVO), soweit keine gesetzlichen Aufbewahrungsgründe entgegenstehen
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO) für Daten, die Sie uns bereitgestellt haben und die automatisiert verarbeitet werden
• Widerspruch (Art. 21 DSGVO) gegen Verarbeitungen auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO aus Gründen, die sich aus Ihrer besonderen Situation ergeben
• Widerruf einer Einwilligung (Art. 7 Abs. 3 DSGVO) mit Wirkung für die Zukunft, z. B. Kamerazugriff

Zur Ausübung dieser Rechte schreiben Sie uns an info@vereinskladde.de. Soweit der Verein Verantwortlicher Ihrer Daten ist (Mitglieder- und Schießbetriebsdaten), richten Sie Ihr Begehren bitte zuerst an die Administration Ihres Vereins; wir unterstützen den Verein technisch im Rahmen der Auftragsverarbeitung.

In der Anwendung selbst können Sie bereits Vor- und Nachname ändern, Schießnachweise exportieren, den PIN setzen, sich abmelden und – als Administrator – den gesamten Verein unwiderruflich löschen.

Zur Identifikation können wir zusätzliche Angaben verlangen. Wir beantworten Anträge unverzüglich, spätestens innerhalb eines Monats, bei Komplexität ggf. um weitere zwei Monate verlängert (Art. 12 Abs. 3 DSGVO).

Widerspruchsrecht gemäß Art. 21 DSGVO

Sie haben das Recht, aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit gegen die Verarbeitung Sie betreffender personenbezogener Daten Widerspruch einzulegen, die aufgrund von Art. 6 Abs. 1 lit. f DSGVO erfolgt. Wir verarbeiten die Daten dann nicht mehr, es sei denn, wir können zwingende schutzwürdige Gründe nachweisen, die Ihre Interessen, Rechte und Freiheiten überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.

29. Beschwerderecht

Unbeschadet anderweitiger Rechtsbehelfe haben Sie das Recht, sich bei einer Aufsichtsbehörde zu beschweren, insbesondere in dem Mitgliedstaat Ihres Aufenthaltsorts, Ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes (Art. 77 DSGVO).

Für uns ist in der Regel die Aufsichtsbehörde des Bundeslandes zuständig, in dem der Verantwortliche seinen Sitz hat. Eine Übersicht der deutschen Aufsichtsbehörden führt der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit: www.bfdi.bund.de.

30. Löschung von Konto und Verein

Die Löschung des gesamten Vereins kann nur ein Administrator auslösen und erfordert die Eingabe des exakten Vereinsnamens als Bestätigung. Dabei werden unwiderruflich entfernt:

• alle Mitgliedsprofile des Vereins
• die zugehörigen Firebase-Auth-Konten
• Buchungen, Aufsichten, Meldungen, Hallen, Stände
• Einladungen und E-Mail-Bestätigungen des Vereins
• Vereinseinstellungen und Vereinsdatensatz
• das Vereinslogo im Speicher
• das Abonnement in unserer Datenbank sowie – soweit möglich – die Kündigung bei Mollie

Rechnungsdaten, die wir aus gesetzlichen Gründen aufbewahren müssen, sowie bei Mollie vorhandene Zahlungsbelege unterliegen den jeweiligen Aufbewahrungsfristen und werden nicht vorzeitig gelöscht.

Eine isolierte „Konto löschen“-Funktion für einzelne Mitglieder ohne Vereinsadmin ist derzeit nicht vorgesehen; wenden Sie sich an Ihren Vereinsadministrator oder an uns.

31. Änderungen dieser Erklärung

Wir passen diese Datenschutzerklärung an, wenn sich die Plattform, die Rechtslage oder unsere Verfahren ändern. Es gilt die jeweils auf dieser Seite veröffentlichte Fassung mit dem angegebenen Stand. Bei wesentlichen Änderungen, die Ihre Rechte betreffen, werden wir – soweit möglich und angemessen – zusätzlich in der Anwendung oder per E-Mail hinweisen.

Fragen zum Datenschutz richten Sie bitte an info@vereinskladde.de.

Weitere Angaben zum Anbieter enthält das Impressum. Es gelten die Allgemeinen Geschäftsbedingungen. Soweit dort abweichende Angaben zum Verantwortlichen stehen, gehen die aktuelleren Angaben im Impressum vor.