Matchsnap

Datenschutzerklärung

Wie wir mit den Daten der Nutzenden umgehen

Fassung vom 2026-10-11

Diese Erklärung betrifft nur die Personen, die sich bei Matchsnap anmelden oder mit uns Verträge abwickeln, also die Vereinsvertreter, die das Werkzeug bedienen und bestellen. Für die Daten, die ein Verein einstellt (Kader, Fotos, Spielberichte), ist der Verein verantwortlich, nicht wir. Wer dazu Fragen hat oder Auskunft möchte, wendet sich an seinen Verein. Was wir dabei dürfen und müssen, steht im Vertrag zur Auftragsverarbeitung.

1. Verantwortlicher

Oskar Tyll, Operonic
Liebigstr. 11, 39104 Magdeburg
kontakt@operonic.de

Ein Datenschutzbeauftragter ist nicht bestellt. Die Voraussetzungen des Art. 37 DSGVO und des § 38 BDSG liegen nicht vor: es handelt sich um ein Einzelunternehmen, und die Kerntätigkeit besteht weder in umfangreicher Verarbeitung besonderer Datenkategorien noch in systematischer Überwachung.

2. Was wir verarbeiten, wozu und wie lange

Daten	Wozu	Rechtsgrundlage	Wie lange
Benutzername, Passwort (nur als Prüfwert, nicht im Klartext), zugeordneter Verein, Zeitpunkt der Anlage	Anmeldung und Zuordnung zum richtigen Vereinsbereich	Art. 6 Abs. 1 lit. b DSGVO (Vertrag)	Bis zur Löschung des Zugangs, danach 30 Tage
Sitzungskennung im Cookie, Ablaufzeitpunkt	Angemeldet bleiben, ohne das Passwort erneut zu senden	Art. 6 Abs. 1 lit. b DSGVO · § 25 Abs. 2 Nr. 2 TDDDG	14 Tage, beim Abmelden sofort
Fehlversuche bei der Anmeldung	Sperre nach fünf Fehlversuchen, damit Passwörter nicht durchprobiert werden können	Art. 6 Abs. 1 lit. f DSGVO (Sicherheit des Betriebs), Art. 32 DSGVO	Bis zum nächsten erfolgreichen Anmelden, längstens 5 Minuten
Zustimmungsprotokoll: Zeitpunkt, Konto, Name und Funktion der zustimmenden Person, Fassungsstand der Papiere, gekürzte IP-Adresse	Nachweis, dass und wann der Vertrag zur Auftragsverarbeitung geschlossen wurde	Art. 6 Abs. 1 lit. c DSGVO i. V. m. Art. 28 Abs. 9 DSGVO (Nachweispflicht in Textform)	3 Jahre nach Ende der Nutzung (Verjährung, § 195 BGB)
Einladungscode und wem er geschickt wurde	Zugangsvergabe nachvollziehbar halten	Art. 6 Abs. 1 lit. f DSGVO (geordnete Vergabe)	12 Monate nach Einlösung oder Verfall
Server-Protokolle des vorgeschalteten Webservers: gekürzte IP-Adresse, Zeitpunkt, aufgerufener Pfad, Statuscode, Browserkennung	Störungen finden, Angriffe erkennen	Art. 6 Abs. 1 lit. f DSGVO (Betriebssicherheit)	14 Tage
Bestellung und Rechnung: Name und E-Mail-Adresse der ansprechenden Person, Vereinsname und Anschrift, gewählte Leistung, Rechnungsbetrag, Zahlungseingang	Abo abwickeln, Rechnung stellen, Zahlung zuordnen, Freischaltung	Art. 6 Abs. 1 lit. b DSGVO (Vertrag), Art. 6 Abs. 1 lit. c DSGVO (steuerliche Aufbewahrung)	Nach den gesetzlichen Aufbewahrungsfristen für Rechnungen, derzeit acht Jahre
Online-Zahlung: Zahlungsdaten (etwa Kartendaten oder Kontoverbindung), E-Mail-Adresse, Betrag, Abo-Stand. Die Zahlungsdaten gibt die zahlende Person direkt beim Zahlungsdienst ein, wir erhalten sie nicht	Monatsabo und Online-Zahlung abwickeln, Kündigung im Kundenportal	Art. 6 Abs. 1 lit. b DSGVO (Vertrag)	Bei uns wie Rechnungsdaten; beim Zahlungsdienst nach dessen Vorgaben und den gesetzlichen Pflichten
Stand von Startguthaben und Abo: Vereinskennung (fussball.de) oder Bereichskennung, Art und Schlüssel jeder Abbuchung (Spiel und Anlass, Animation, Foto), Zeitpunkt, Abo-Stufe und Ablauf. Keine Namen von Personen	Startguthaben je Verein zählen, Sperre und Freischaltung durchsetzen, ein zweites Startguthaben für denselben Verein verhindern	Art. 6 Abs. 1 lit. b DSGVO (Vertrag), soweit überhaupt ein Personenbezug besteht	Dauerhaft, damit das einmalige Startguthaben nach einer Löschung des Bereichs nicht erneut vergeben wird
E-Mails an uns	Anfrage beantworten	Art. 6 Abs. 1 lit. b bzw. lit. f DSGVO	Bis die Sache erledigt ist, danach nach den gesetzlichen Fristen
Aufgezeichnete Fehler: Zeitpunkt, aufgerufener Schritt, Fehlermeldung, gewählte Vorlage und ein Kürzel des Vereins. Vereins- und Dateinamen werden aus den Meldungen entfernt, bevor sie gespeichert werden	Störungen finden, von denen uns niemand berichtet	Art. 6 Abs. 1 lit. f DSGVO (Betrieb und Verbesserung des Werkzeugs)	90 Tage
Rückmeldungen über den Knopf „Etwas stimmt nicht": der eingegebene Text sowie Reiter, Vorlage, Fenstergröße und Browserkennung	Fehler nachvollziehen und beheben. Was im Text steht, entscheidet die schreibende Person	Art. 6 Abs. 1 lit. f DSGVO (Betrieb und Verbesserung des Werkzeugs)	90 Tage

3. Was wir nicht tun

Keine Reichweitenmessung, kein Tracking, keine Werbe-Cookies. Das einzige Cookie ist die Sitzungskennung. Sie ist technisch erforderlich, deshalb fragen wir dafür nicht um Erlaubnis, und deshalb gibt es hier auch kein Zustimmungsfenster.
Die aufgezeichneten Fehler und Rückmeldungen aus der Tabelle oben sind kein Tracking: sie entstehen nur, wenn etwas schiefgeht oder jemand auf „Etwas stimmt nicht" drückt, und sie halten weder fest, wer wann welche Seite aufgerufen hat, noch verknüpfen sie das über Besuche hinweg.
Keine externen Dienste beim Aufruf. Schriften, Bilder und Skripte kommen vom selben Server (die Zahlungsseite des Zahlungsdienstes ausgenommen, sie öffnet erst, wenn jemand bezahlen will). Es werden keine Inhalte von fremden Anbietern nachgeladen, also entsteht auch keine Verbindung dorthin.
Keine Gesichtserkennung. Beim Freistellen von Fotos wird der Bildvordergrund vom Hintergrund getrennt. Personen werden dabei nicht erkannt, nicht vermessen und nicht wiedererkannt. Es entstehen keine biometrischen Daten im Sinne des Art. 9 DSGVO.
Ihre Daten bleiben in Deutschland. Alles, was in dieser Erklärung steht (Zugang, Sitzung, Protokolle, Rechnungen), wird ausschließlich auf einem Server in Nürnberg verarbeitet. Ausgenommen ist die Online-Zahlung, die über Stripe läuft (Abschnitt 4).
Eine Ausnahme gibt es an anderer Stelle, und sie betrifft nicht Sie, sondern die Fotos, die ein Verein hochlädt: Zum Freistellen des Motivs geht ein solches Foto kurzzeitig an einen Dienst in den Vereinigten Staaten und wird dort binnen einer Minute gelöscht. Verantwortlich dafür ist der Verein; die Einzelheiten, die Rechtsgrundlage und die Zweckbindung stehen im Vertrag zur Auftragsverarbeitung, § 6. Wir nennen es hier trotzdem, damit dieser Abschnitt nicht mehr verspricht, als er halten kann.
Die Spielplan-Datenbank enthält keine Personen. Matchsnap führt eine eigene Datenbank aus öffentlichen Struktur- und Spielplandaten von fussball.de: Verbände, Staffeln, Vereine, Mannschaften, Termine, Spielstätten, Wappen. Für bayerische Vereine holt unser Server die Wappen beim Einrichten einzeln von bfv.de (Bayerischer Fußball-Verband); der Browser der Nutzenden verbindet sich dafür nirgends hin. Aufstellungen, Torschützen und Ergebnisse sind nicht darin. Sie ist deshalb nicht Gegenstand dieser Erklärung. Kader- und Spielerdaten trägt allein der Verein ein; sie kommen nie aus der Datenbank.
Keine automatisierte Entscheidung im Sinne des Art. 22 DSGVO, kein Profiling.
Keine Weitergabe an Dritte, abgesehen von den Stellen im nächsten Abschnitt.

4. Wer die Daten sonst noch berührt

Für den Betrieb arbeiten wir mit den folgenden Anbietern zusammen. Mit Hetzner und fal besteht ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO, zu Stripe siehe unten:

Anbieter	Wofür	Ort
Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen	Server und Rechenzentrum	Nürnberg, Deutschland
fal (Features & Labels Inc.), 2261 Market St. Suite 10467, San Francisco, CA 94114, USA	Freistellen hochgeladener Fotos. Erhält nur Bilddateien: keine Zugangsdaten, keine Kaderdaten, keine Spieldaten	Vereinigte Staaten
Stripe Payments Europe, Limited, One Wilton Park, Wilton Place, Dublin 2, D02 FX04, Irland (US-Konzerngesellschaft: Stripe, LLC)	Zahlungsabwicklung für Online-Zahlungen und das Monatsabo. Erhält nur Zahlungs- und Abo-Daten (Name, E-Mail, Betrag, Zahlungsmittel), keine Inhalte aus Matchsnap	Irland; Übermittlung in die Vereinigten Staaten möglich

Weitere Auftragsverarbeiter für Vereinsinhalte gibt es nicht. Zahlungen gehen auf unser Geschäftskonto bei der N26 Bank. Die Bank verarbeitet Zahlungsdaten in eigener Verantwortung für ihre Zwecke; wir geben ihr keine Daten aus Matchsnap.

Zum Zahlungsdienst Stripe: Stripe verarbeitet Zahlungsdaten teils in unserem Auftrag (Art. 28 DSGVO, Auftragsverarbeitungsvertrag von Stripe), teils in eigener Verantwortung, etwa zur Betrugsprävention und für gesetzliche Pflichten. Die Zahlungsdaten der zahlenden Person gehen nur an Stripe, nicht an uns. Eine Übermittlung in die USA stützt sich auf den Angemessenheitsbeschluss zum EU-US Data Privacy Framework (Art. 45 DSGVO), soweit der Empfänger zertifiziert ist, und im Übrigen auf die Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO, Durchführungsbeschluss 2021/914). Stripe erhält keine Kader-, Spiel- oder Fotodaten der Vereine und ist deshalb im Vertrag zur Auftragsverarbeitung nicht als weiterer Auftragsverarbeiter aufgeführt. Die Online-Zahlung ist freiwillig: Das Saisonabo kann auch per Rechnung und Überweisung bezahlt werden.

Zur Übermittlung an fal: Sie erfolgt auf Grundlage der Standardvertragsklauseln der EU-Kommission (Durchführungsbeschluss 2021/914). fal darf die Fotos ausschließlich zu dem Zweck verarbeiten, das Motiv freizustellen; eine Nutzung zum Training von KI-Modellen ist vertraglich ausgeschlossen. Das übertragene Foto wird mit einer Verfallsanweisung gesendet und ist nach etwa einer Minute nicht mehr abrufbar. Das Freistellen läuft auch ohne diesen Dienst auf unserem eigenen Server; ein Verein kann der Hinzuziehung widersprechen.

5. Ob die Angabe verpflichtend ist

Benutzername und Passwort sind nötig, um einen Zugang zu haben; ohne sie ist die Nutzung nicht möglich. Alles Weitere ist freiwillig.

6. Rechte der Betroffenen

Gegenüber uns bestehen die folgenden Rechte, soweit die gesetzlichen Voraussetzungen vorliegen:

Auskunft über die verarbeiteten Daten (Art. 15 DSGVO)
Berichtigung unrichtiger Daten (Art. 16 DSGVO)
Löschung (Art. 17 DSGVO)
Einschränkung der Verarbeitung (Art. 18 DSGVO)
Datenübertragbarkeit (Art. 20 DSGVO)
Widerspruch gegen Verarbeitungen, die auf Art. 6 Abs. 1 lit. f DSGVO gestützt sind (Art. 21 DSGVO)

Eine formlose Nachricht an kontakt@operonic.de genügt.

7. Beschwerde bei der Aufsichtsbehörde

Unabhängig davon besteht ein Beschwerderecht bei einer Datenschutz-Aufsichtsbehörde (Art. 77 DSGVO). Für uns zuständig ist:

Die Landesbeauftragte für den Datenschutz Sachsen-Anhalt
Postfach 1947, 39009 Magdeburg
Besucheradresse: Otto-von-Guericke-Straße 34a, 39104 Magdeburg
Telefon 0391 81803-0
datenschutz.sachsen-anhalt.de

8. Änderungen dieser Erklärung

Ändert sich, wie wir arbeiten, ändern wir diese Erklärung. Maßgeblich ist die Fassung, die oben auf dieser Seite steht.