Datenschutzerklärung

Die folgenden Hinweise geben einen einfachen Überblick darüber, was mit Ihren personenbezogenen Daten passiert, wenn Sie diese Website besuchen oder Ihr Kundenkonto nutzen. Personenbezogene Daten sind alle Daten, mit denen Sie persönlich identifiziert werden können. Ausführliche Informationen entnehmen Sie den folgenden Abschnitten.

Die Datenverarbeitung auf dieser Website erfolgt durch die Betreiber. Deren Kontaktdaten finden Sie unter „Hinweis zur verantwortlichen Stelle“ und im Impressum dieser Website.

Einen Teil der Daten teilen Sie uns selbst mit, etwa bei der Registrierung, bei der Nutzung Ihres Kontos oder per E-Mail.

Andere Daten erfassen unsere IT-Systeme automatisch beim Besuch der Website. Das sind vor allem technische Daten (z.B. Internetbrowser, Betriebssystem oder Uhrzeit des Seitenaufrufs).

Wir nutzen die Daten, um die Website fehlerfrei bereitzustellen, Ihr Kundenkonto zu führen und die gebuchten Leistungen zu erbringen. Um das Angebot zu verbessern, werten wir außerdem aus, wie die öffentlichen Seiten besucht und die Bereiche der App genutzt werden (siehe „Webanalyse mit Umami“ und „Nutzungsprotokoll“).

Sie haben jederzeit das Recht, unentgeltlich Auskunft über Herkunft, Empfänger und Zweck Ihrer gespeicherten personenbezogenen Daten zu erhalten. Sie haben außerdem ein Recht, die Berichtigung oder Löschung dieser Daten zu verlangen. Außerdem haben Sie das Recht, unter bestimmten Umständen die Einschränkung der Verarbeitung Ihrer personenbezogenen Daten zu verlangen. Des Weiteren steht Ihnen ein Beschwerderecht bei der zuständigen Aufsichtsbehörde zu.

Hierzu sowie zu weiteren Fragen zum Thema Datenschutz können Sie sich jederzeit an uns wenden.

Die Betreiber dieser Seiten nehmen den Schutz Ihrer persönlichen Daten sehr ernst. Wir behandeln Ihre personenbezogenen Daten vertraulich und entsprechend der gesetzlichen Datenschutzvorschriften sowie dieser Datenschutzerklärung.

Wenn Sie diese Website benutzen, werden verschiedene personenbezogene Daten erhoben. Die vorliegende Datenschutzerklärung erläutert, welche Daten wir erheben und wofür wir sie nutzen. Sie erläutert auch, wie und zu welchem Zweck das geschieht.

Wir weisen darauf hin, dass die Datenübertragung im Internet (z.B. bei der Kommunikation per E-Mail) Sicherheitslücken aufweisen kann. Ein lückenloser Schutz der Daten vor dem Zugriff durch Dritte ist nicht möglich.

Verantwortlich für die Datenverarbeitung auf dieser Website sind:

• Karsten Will, Im Wiesengrund 2, 25474 Ellerbek, Deutschland
• Aljosha Köcher, Metzer Straße 10, 22049 Hamburg, Deutschland

E-Mail: info@padelscout.io

Verantwortliche Stelle ist die natürliche oder juristische Person, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten (z.B. Namen, E-Mail-Adressen o.Ä.) entscheidet.

Soweit innerhalb dieser Datenschutzerklärung keine speziellere Speicherdauer genannt wurde, verbleiben Ihre personenbezogenen Daten bei uns, bis der Zweck für die Datenverarbeitung entfällt. Wenn Sie ein berechtigtes Löschersuchen geltend machen, werden Ihre Daten gelöscht, sofern wir keine anderen rechtlich zulässigen Gründe für die Speicherung Ihrer personenbezogenen Daten haben; in letzterem Fall erfolgt die Löschung nach Fortfall dieser Gründe.

Soweit wir Daten auf Grundlage unseres berechtigten Interesses verarbeiten (Art. 6 Abs. 1 lit. f DSGVO), haben Sie das Recht, aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit Widerspruch gegen diese Verarbeitung einzulegen (Art. 21 DSGVO). Wir verarbeiten die Daten dann nicht mehr, es sei denn, wir können zwingende schutzwürdige Gründe für die Verarbeitung nachweisen, die Ihre Interessen, Rechte und Freiheiten überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.

Im Falle von Verstößen gegen die DSGVO steht den Betroffenen ein Beschwerderecht bei einer Aufsichtsbehörde zu, insbesondere in dem Mitgliedstaat ihres gewöhnlichen Aufenthalts, ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes. Das Beschwerderecht besteht unbeschadet anderweitiger verwaltungsrechtlicher oder gerichtlicher Rechtsbehelfe.

Sie haben das Recht, Daten, die wir in Erfüllung eines Vertrags automatisiert verarbeiten, an sich oder an einen Dritten in einem gängigen, maschinenlesbaren Format aushändigen zu lassen. Sofern Sie die direkte Übertragung der Daten an einen anderen Verantwortlichen verlangen, erfolgt dies nur, soweit es technisch machbar ist.

Sie haben im Rahmen der geltenden gesetzlichen Bestimmungen jederzeit das Recht auf unentgeltliche Auskunft über Ihre gespeicherten personenbezogenen Daten, deren Herkunft und Empfänger und den Zweck der Datenverarbeitung und ggf. ein Recht auf Berichtigung, Löschung oder Einschränkung der Verarbeitung dieser Daten. Hierzu sowie zu weiteren Fragen zum Thema personenbezogene Daten können Sie sich jederzeit an uns wenden.

Der Provider der Seiten erhebt und speichert automatisch Informationen in so genannten Server-Log-Dateien, die Ihr Browser automatisch an uns übermittelt. Dies sind:

• Browsertyp und Browserversion
• verwendetes Betriebssystem
• Referrer URL
• aufgerufene Seite (URL)
• Uhrzeit der Serveranfrage
• IP-Adresse

Eine Zusammenführung dieser Daten mit anderen Datenquellen wird nicht vorgenommen. Wir löschen die Server-Log-Dateien nach 14 Tagen.

Die Erfassung dieser Daten erfolgt auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO. Der Websitebetreiber hat ein berechtigtes Interesse an der technisch fehlerfreien Darstellung und der Optimierung seiner Website; hierzu müssen die Server-Log-Dateien erfasst werden.

Unser Server protokolliert sicherheitsrelevante Vorgänge eines Kundenkontos, etwa Anmeldungen, fehlgeschlagene Anmeldeversuche und Änderungen an der Zwei-Faktor-Anmeldung, jeweils mit der internen Kontonummer. Rechtsgrundlage ist unser berechtigtes Interesse an einem sicheren Betrieb (Art. 6 Abs. 1 lit. f DSGVO).

Die Anmeldung nutzt zwei technisch notwendige Cookies, die Skripte im Browser nicht lesen können (httpOnly): __pa_session hält Ihre Sitzung 15 Minuten lang, __pa_refresh (Laufzeit 7 Tage) erneuert sie ohne neue Anmeldung. Vom Erneuerungsschlüssel speichern wir auf unserem Server nur einen Hashwert. Das Cookie __pa_rr besteht 10 Sekunden und verhindert eine Weiterleitungsschleife beim Erneuern der Sitzung.

NEXT_LOCALE merkt sich die gewählte Sprache (bis zu einem Jahr), ps-theme ein dunkles oder dem System folgendes Farbschema (ein Jahr).

Einige Anzeige-Einstellungen, etwa das Farbschema, der gewählte Markt oder zuletzt gesuchte Orte, legt die Website im lokalen Speicher Ihres Browsers ab. Damit Karten schneller erscheinen, speichert die App außerdem die Kartenbilder des Rentabilitätsrechners mit ihrem Kartenpunkt in der Datenbank Ihres Browsers (IndexedDB). Diese Einträge werden nicht an uns übertragen; Sie können sie über die Einstellungen Ihres Browsers löschen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b und f DSGVO.

Auf den öffentlichen Seiten, etwa der Startseite, den Funktionen, der Methodik, der Anmeldung und der Registrierung, zählen wir Besuche mit Umami, einer Open-Source-Webanalyse, die wir selbst betreiben (sitestats.padelscout.io). Umami setzt keine Cookies und bildet kein persönliches Profil. Erfasst werden die aufgerufene Seite ohne Parameter, die verweisende Seite, Browser, Betriebssystem, Gerätetyp, Bildschirmgröße, Sprache, der aus der IP-Adresse abgeleitete ungefähre Ort (Land, Region, Stadt) und einzelne Ereignisse, etwa dass die Paketübersicht angezeigt oder eine Registrierung abgeschlossen wurde. Die IP-Adresse selbst speichert Umami nicht. Wir geben diese Daten nicht weiter. Innerhalb der App, nachdem Sie sich angemeldet haben, läuft Umami nicht.

Rechtsgrundlage ist unser berechtigtes Interesse daran, unser Angebot zu verbessern (Art. 6 Abs. 1 lit. f DSGVO). Die Schriftarten dieser Website liefern wir von unserem eigenen Server aus.

Wenn Sie uns per E-Mail schreiben, speichern wir Ihre Angaben zur Bearbeitung der Anfrage und für den Fall von Anschlussfragen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, sofern Ihre Anfrage mit der Erfüllung eines Vertrags zusammenhängt oder zur Durchführung vorvertraglicher Maßnahmen erforderlich ist, sonst unser berechtigtes Interesse an der effektiven Bearbeitung der an uns gerichteten Anfragen (Art. 6 Abs. 1 lit. f DSGVO).

Über das Formular „Demo anfragen“ können Sie eine Demo von Padelscout Analytics anfragen. Wir speichern dabei Ihren Namen, Ihre E-Mail-Adresse, die gewählte Rolle und, wenn Sie sie angeben, Ihr Unternehmen oder Ihren Club und Ihre Nachricht, zusammen mit der Sprache der Seite und dem Zeitpunkt des Eingangs. Die Anfrage liegt in unserer Datenbank auf dem Server unseres Hosters (siehe Hosting). Ihre IP-Adresse speichern wir mit der Anfrage nicht, und wir verknüpfen die Anfrage nicht mit einem Kundenkonto.

Über eine neue Anfrage informieren wir uns selbst per E-Mail und über den Messenger Telegram. Beide Hinweise nennen nur, dass eine Demo-Anfrage eingegangen ist, und die gewählte Rolle; sie enthalten weder Ihren Namen noch Ihre E-Mail-Adresse, Ihr Unternehmen oder Ihre Nachricht. Die Anfrage selbst sehen wir nur in unserem Verwaltungsbereich. Wir antworten Ihnen per E-Mail, um einen Termin für die Demo abzustimmen. Eine Eingangsbestätigung per E-Mail versenden wir nicht.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, weil die Anfrage vorvertraglichen Maßnahmen auf Ihre Anfrage dient, sonst unser berechtigtes Interesse an der Beantwortung der an uns gerichteten Anfragen (Art. 6 Abs. 1 lit. f DSGVO). Wir löschen die Anfrage 12 Monate nach ihrem Eingang, auf Ihren Wunsch auch früher; die Aufbewahrung bis dahin beruht auf unserem berechtigten Interesse, Anschlussfragen zu beantworten (Art. 6 Abs. 1 lit. f DSGVO).

Bei der Registrierung speichern wir Ihren Namen, Ihre E-Mail-Adresse und Ihr Passwort. Das Passwort speichern wir nur als bcrypt-Hashwert, nie im Klartext, und es erscheint in keinem Protokoll. Außerdem speichern wir, wann das Konto angelegt und zuletzt geändert wurde, wann Sie Ihre E-Mail-Adresse bestätigt und sich zuletzt angemeldet haben und wann Sie welcher Fassung der Nutzungsbedingungen zugestimmt haben. Nach der Registrierung senden wir Ihnen einen Link, mit dem Sie Ihre E-Mail-Adresse bestätigen (24 Stunden gültig); erst danach können Sie sich anmelden. So stellen wir sicher, dass niemand ein Konto mit einer fremden Adresse anlegt. Ein Konto, dessen Adresse nicht innerhalb von 7 Tagen bestätigt wird, löschen wir vollständig. Eine Begrüßungs-E-Mail versenden wir nicht.

Zum Schutz vor Missbrauch begrenzen wir die Zahl der Registrierungs- und Anmeldeversuche je IP-Adresse und die Registrierungen je E-Mail-Adresse. Die IP-Adresse und einen Hashwert der E-Mail-Adresse halten wir dafür nur kurzzeitig im Arbeitsspeicher.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Nutzungsvertrag und vorvertragliche Maßnahmen). Die Bestätigung der E-Mail-Adresse und die Begrenzung der Anfragen beruhen auf unserem berechtigten Interesse an einem sicheren Betrieb (Art. 6 Abs. 1 lit. f DSGVO).

Wenn Sie ein Passwort festlegen (bei der Registrierung, beim Zurücksetzen oder bei der Annahme einer Team-Einladung), prüfen wir, ob es aus bekannten Datenlecks stammt. Dazu sendet unser Server nur die ersten fünf Zeichen des SHA-1-Hashwerts des Passworts an den Dienst „Have I Been Pwned“ (api.pwnedpasswords.com) und fordert eine mit Fülldaten aufgefüllte Antwort an. Weder das Passwort noch sein vollständiger Hashwert verlassen unseren Server, und der Dienst erfährt nicht, welches Passwort geprüft wurde. Rechtsgrundlage ist unser berechtigtes Interesse an der Sicherheit der Konten (Art. 6 Abs. 1 lit. f DSGVO).

Wenn Sie die Zwei-Faktor-Anmeldung einschalten, speichern wir das dafür erzeugte Geheimnis verschlüsselt (AES-256-GCM). Schalten Sie sie aus, löschen wir es.

Wir senden Ihnen E-Mails, die Sie selbst auslösen oder eingerichtet haben: einen Link zur Bestätigung Ihrer E-Mail-Adresse (24 Stunden gültig), einen Link zum Zurücksetzen des Passworts (1 Stunde gültig), einen Anmeldelink (15 Minuten gültig), die Benachrichtigungen, die Sie in der App anlegen, und eine Antwort auf eine Fehlermeldung, die Sie uns geschickt haben. Von den Links speichern wir nur Hashwerte. Bestätigungslinks, Anmeldelinks und Links zum Zurücksetzen löschen wir 7 Tage nach ihrer Erstellung, abgelaufene Sitzungen 7 Tage nach ihrem Ablauf.

Laden Sie jemanden in Ihr Team ein, speichern wir dessen E-Mail-Adresse mit der Einladung (7 Tage gültig) und senden ihm die Einladung per E-Mail. Die Einladung löschen wir 30 Tage, nachdem sie angenommen, widerrufen oder abgelaufen ist. Den Versand übernimmt Brevo (siehe E-Mail-Versand).

Was Sie in der App anlegen, speichern wir zu Ihrem Konto: die Merkliste, gespeicherte Szenarien des Rentabilitätsrechners (mit dem gewählten Kartenpunkt und Ihren Annahmen), Benachrichtigungen (Gebiet, Radius und Rhythmus) und Ihre Team-Zugehörigkeit. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Solange Sie angemeldet sind, protokollieren wir, welche Bereiche der App Sie aufrufen (etwa die Marktübersicht, eine Club-Seite oder den Rentabilitätsrechner), und einige Aktionen (etwa eine angelegte Benachrichtigung, einen gemerkten Club oder einen begonnenen Kauf), jeweils mit Zeitpunkt, Ihrer internen Kontonummer und, wenn die Seite einen Markt zeigt, dessen Land. Suchbegriffe, Kartenpunkte oder andere Eingaben enthält das Protokoll nicht.

Wir nutzen es, um das Produkt zu verbessern und Sie bei Fragen zu Ihrem Konto zu unterstützen. Es wird nur von uns ausgewertet und nicht weitergegeben. Rechtsgrundlage ist unser berechtigtes Interesse daran, das Angebot zu verbessern und unsere Kunden zu betreuen (Art. 6 Abs. 1 lit. f DSGVO). Wir löschen jeden Eintrag nach 13 Monaten, mit Ihrem Konto sofort.

Über „Fehler melden“ können Sie uns eine falsche Angabe in der App melden. Wir speichern Ihre Meldung (die gewählte Art und Ihren Text) zu Ihrem Konto, zusammen mit der Adresse der Seite, auf der Sie sie abgeschickt haben, dem gemeldeten Abschnitt mit dem Text, den er Ihnen gezeigt hat, der Größe Ihres Browserfensters, dem Namen und der Hauptversion Ihres Browsers, dem Namen Ihres Betriebssystems, der Sprache der Seite und Ihrem Paket zu diesem Zeitpunkt. Ihre IP-Adresse und die vollständige Kennung Ihres Browsers speichern wir nicht.

Über eine neue Meldung informieren wir uns selbst per E-Mail und, bei Meldungen aus einem gebuchten Paket, zusätzlich über den Messenger Telegram. Beide Hinweise nennen nur das Paket, die Art der Meldung und den Bereich der App; sie enthalten weder Ihren Namen noch Ihre E-Mail-Adresse, Ihren Text oder eine Nummer, die auf Ihr Konto schließen lässt. Die Meldung selbst sehen wir nur in unserem Verwaltungsbereich. Haben wir Ihre Meldung bearbeitet, können wir Ihnen eine kurze Antwort per E-Mail senden.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Nutzungsvertrag). Eine abgeschlossene Meldung löschen wir 12 Monate nach ihrem Abschluss, mit Ihrem Konto sofort; die Aufbewahrung bis dahin beruht auf unserem berechtigten Interesse, wiederkehrende Fehler zu erkennen (Art. 6 Abs. 1 lit. f DSGVO).

Die Ortssuche im Rentabilitätsrechner und in den Benachrichtigungen schickt Ihren Suchbegriff oder den gewählten Kartenpunkt von unserem Server an die Dienste Photon (photon.komoot.io) und Nominatim (nominatim.openstreetmap.org), ohne Ihre IP-Adresse oder Kontodaten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Die Karten in der App lädt Ihr Browser direkt beim Dienst OpenFreeMap (tiles.openfreemap.org). Dabei erhält der Dienst Ihre IP-Adresse und den angezeigten Kartenausschnitt. Rechtsgrundlage ist unser berechtigtes Interesse an einer funktionierenden Kartendarstellung (Art. 6 Abs. 1 lit. f DSGVO).

Buchen Sie ein Paket online, wickelt der Zahlungsdienstleister Stripe (Stripe Payments Europe, Ltd., Dublin, Irland) die Zahlung ab. Dafür übermitteln wir Stripe Ihren Namen, Ihre E-Mail-Adresse und die interne Nummer Ihres Kontos. Zahlungsdaten und Rechnungsanschrift geben Sie direkt bei Stripe ein, auf Wunsch auch Firmennamen und Umsatzsteuer-Identifikationsnummer; diese Angaben erreichen uns nicht. Ihr Abonnement verwalten Sie im Kundenportal von Stripe.

Wir speichern die Kennungen Ihres Stripe-Kundenkontos und Ihres Abonnements; Rechnungen und Zahlungsbelege führt Stripe für uns. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Rechnungen und andere Buchungsbelege bewahren wir 8 Jahre auf, wie es das Steuer- und Handelsrecht vorschreibt (§ 147 AO, § 257 HGB); Rechtsgrundlage dafür ist Art. 6 Abs. 1 lit. c DSGVO.

Stripe kann Daten auch in den USA verarbeiten (Stripe, LLC). Grundlage dafür sind das EU-US Data Privacy Framework und die Standardvertragsklauseln der EU-Kommission. Für die Verarbeitung bei Stripe gilt ergänzend die Datenschutzerklärung von Stripe.

Ihre Kontodaten speichern wir, solange das Konto besteht. Die Löschung Ihres Kontos können Sie jederzeit per E-Mail an info@padelscout.io verlangen. Beim Löschen entfernen wir Ihren Namen, Ihre E-Mail-Adresse, Ihr Passwort, das Zwei-Faktor-Geheimnis, die Kennung Ihres Stripe-Kundenkontos, Ihre Sitzungen, die Merkliste, Szenarien, Benachrichtigungen, Fehlermeldungen, Team-Einladungen und Team-Verknüpfungen. Übrig bleibt ein Datensatz mit der internen Kontonummer, der Sie nicht mehr nennt. Die Angaben zu gebuchten Paketen (Paket, Zeitraum, Länder und die Stripe-Kennung des Abonnements) behalten wir als Buchungsnachweis; Rechnungen bewahren wir für die gesetzliche Frist auf (siehe Bezahlung).

Unsere Datenbank sichern wir verschlüsselt auf einer Hetzner Storage Box in Falkenstein (Deutschland); mit Hetzner haben wir einen Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO geschlossen. Vollständige Sicherungen bewahren wir höchstens 5 Wochen auf; so lange können gelöschte Daten noch in einer Sicherung enthalten sein. Ältere vollständige Sicherungen aus der Zeit vor dem Verkaufsstart enthalten keine Kundendaten. Ein zusätzliches Langzeitarchiv der Marktdaten enthält keine Kontodaten: keine Konten, Teams, Einladungen, Nutzungsprotokolle, Benachrichtigungen, Fehlermeldungen, Merklisten, Szenarien, Paketdaten und Administratorzugänge.