Datenschutz (App)

Das Wichtigste in Kürze

Deine Daten liegen in Deutschland, in einem Rechenzentrum in Frankfurt am Main.
Keine Werbung, kein Tracking, kein Verkauf von Daten. Die App enthält keine Analyse- oder Werbe-Bausteine.
Anmeldung ohne Passwort: Du bekommst einen sechsstelligen Code per E-Mail.
Du bestimmst mit: Freiwillige Angaben (Geburtstag, Größen) kannst du jederzeit löschen, dein Konto löschst du direkt in der App unter „Profil“.
Im Team sieht nicht jeder alles. Wer was sieht, hängt von den Rollen und Einstellungen des Teams ab (Abschnitt 4).

1. Verantwortlicher

P&A Development GmbH
Schloßstraße 8, 74388 Talheim
Vertreten durch die Geschäftsführer Philipp Stapf, Aaron Hermann
E-Mail: info@pandadev.de
Telefon: +49 15679 297000

Für alle Fragen zum Datenschutz in der App erreichst du uns unter dieser E-Mail-Adresse.

2. Welche Daten die App verarbeitet und warum

Kabine speichert nur, was für die Organisation eines Teams gebraucht wird. Die folgende Übersicht nennt alle Datenarten, die die App auf dem Server speichert:

Was	Welche Daten	Wofür	Rechtsgrundlage
Konto	E-Mail-Adresse, Anzeigename, Zeitpunkt der Registrierung und letzten Anmeldung	Anmeldung, Zuordnung zu deinen Teams	Art. 6 Abs. 1 lit. b DSGVO (Nutzungsvertrag)
Verein und Team	Name von Verein und Team, Sportart, Team-Einstellungen (z. B. wer Zusagen und Gründe sieht)	Organisation des Teams	Art. 6 Abs. 1 lit. b DSGVO
Personen im Team	Vor- und Nachname, Rolle(n) im Team, Trikotnummer, aktiv/inaktiv, ob die Person ein eigenes Konto hat, Verknüpfung mit Eltern-Konten	Mitgliederliste, Nominierung, Rechte	Art. 6 Abs. 1 lit. b DSGVO; für Personen ohne eigenes Konto Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse des Teams an seiner Organisation)
Persönliche Angaben (freiwillig)	Geburtsdatum, Kleider-, Trikot-, Hosen- und Schuhgröße, Wunsch-Trikotnummer	Geburtstage im Team, Bestellung von Trikots und Kleidung	Art. 6 Abs. 1 lit. a DSGVO (Einwilligung durch Eintragen); jederzeit löschbar
Termine	Art, Titel, Beginn, Ende, Treffpunkt, Ort, Gegner, Heim/Auswärts, Notizen, Frist, Absage mit Grund, wer ihn angelegt hat	Planung von Training und Spielen	Art. 6 Abs. 1 lit. b DSGVO
Zu- und Absagen	Status (dabei, unsicher, abgesagt), Grund, eigene Nachricht, wer geantwortet hat und wann	Wissen, wer kommt; Anwesenheits-Statistik	Art. 6 Abs. 1 lit. b DSGVO
Mannschaftskasse	Strafenkatalog, vergebene Strafen (Person, Grund, Betrag, Datum, bezahlt am), Buchungen (Betrag, Beschreibung, ggf. Person)	Führung der Mannschaftskasse	Art. 6 Abs. 1 lit. b DSGVO
Umfragen	Frage, Antwortmöglichkeiten, abgegebene Stimmen mit Person (bei anonymen Umfragen für andere nicht sichtbar)	Abstimmungen im Team	Art. 6 Abs. 1 lit. b DSGVO
Einladungen	Einladungscode, Team, Rolle, Gültigkeit (standardmäßig 30 Tage), Anzahl Verwendungen	Beitritt zum Team per Link oder Code	Art. 6 Abs. 1 lit. b DSGVO
Push-Mitteilungen	Push-Token deines Geräts, Plattform (iOS/Android), Zeitpunkt der letzten Aktualisierung	Erinnerungen an offene Zusagen	Art. 6 Abs. 1 lit. b DSGVO; Mitteilungen nur mit deiner Erlaubnis im Betriebssystem
Technische Protokolle	IP-Adresse, Zeitpunkt, aufgerufene Schnittstelle, Fehlermeldungen	Betrieb, Fehlersuche, Schutz vor Missbrauch	Art. 6 Abs. 1 lit. f DSGVO

Die Anwesenheits-Statistik wird aus den gespeicherten Zu- und Absagen berechnet; es werden dafür keine zusätzlichen Daten erhoben.

3. Anmeldung mit E-Mail-Code

Zur Anmeldung gibst du deine E-Mail-Adresse ein. Wir schicken dir einen sechsstelligen Code, mit dem du dich einloggst; ein Passwort gibt es nicht. Für den Versand nutzen wir den E-Mail-Dienst SendGrid (Twilio). Dabei werden deine E-Mail-Adresse, der Inhalt der Mail (dein Code) und Versanddaten (Zeitpunkt, Zustellstatus) an SendGrid übermittelt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Deine Anmeldesitzung wird auf deinem Gerät gespeichert, damit du nicht bei jedem Öffnen einen neuen Code brauchst.

4. Wer im Team was sieht

Kabine regelt Sichtbarkeit über Rollen und Rechte, die das Team selbst festlegt. Der Schutz ist direkt in der Datenbank verankert (zeilenbasierte Zugriffsregeln), nicht nur in der Oberfläche.

Namen und Rollen sehen die Mitglieder des Teams. Personen, die Mitglieder verwalten dürfen, sehen auch die Personen anderer Teams im selben Verein.
Zu- und Absagen sieht standardmäßig das Team. Das Team kann einstellen, dass nur das Trainerteam sie sieht.
Absagegründe und Nachrichten sieht standardmäßig nur, wer das Recht „Absagegründe sehen“ hat (in der Regel das Trainerteam).
Geburtstag: Das Team sieht nur Tag und Monat, nie das Jahr. Das volle Geburtsdatum und die Größen sehen nur du, deine Eltern (bei Kindern) und wer im Verein Mitglieder verwalten darf, etwa für eine Trikot-Bestellung.
Strafen sieht jeder für sich selbst. Alle Strafen des Teams sieht nur, wer Strafen sehen oder verwalten darf. Kontostand und Buchungen sieht nur, wer die Kasse sehen oder verwalten darf.
Umfragen: Bei anonymen Umfragen sehen andere Mitglieder nicht, wer wie abgestimmt hat.

5. Kinder und Eltern-Konten

In Jugendteams brauchen Kinder kein eigenes Konto. Eltern verbinden ihr Konto mit dem Kind und sagen für es zu oder ab. Dafür verarbeiten wir die Daten des Kindes, die Trainer oder Eltern eintragen (Name, Rolle, Zu- und Absagen, ggf. freiwillige Angaben), und die Verknüpfung zum Eltern-Konto.

Kinder und Jugendliche unter 16 Jahren sollen die App nur über ein Eltern-Konto oder mit Zustimmung ihrer Erziehungsberechtigten nutzen. Wir empfehlen Trainern, für Kinder nur die Angaben einzutragen, die für die Organisation wirklich nötig sind.

6. Push-Mitteilungen

Wenn du Mitteilungen erlaubst, erinnert dich die App an Termine, auf die du noch nicht geantwortet hast. Dafür speichern wir ein Push-Token deines Geräts. Die Mitteilung wird über den Push-Dienst von Expo an Apple (Apple Push Notification Service) bzw. Google (Firebase Cloud Messaging) übergeben, die sie auf dein Gerät zustellen.

Eine Mitteilung enthält den Termin („Noch keine Antwort: Training“), Datum und Uhrzeit, die Frist und bei Eltern den Vornamen des Kindes. Expo speichert das Push-Token, um Mitteilungen zustellen zu können; den Inhalt der Mitteilung speichert Expo nach eigener Aussage nicht dauerhaft.

Du kannst Mitteilungen jederzeit in den Einstellungen deines Geräts ausschalten. Beim Abmelden entfernt die App das Token deines Geräts. In der Browser-Version gibt es keine Push-Mitteilungen.

7. Spielplan-Import von fussball.de

Nutzt ein Team den Import, ruft unser Server die öffentlich einsehbaren Spieldaten der gewählten Mannschaft von fussball.de ab (Gegner, Datum, Uhrzeit, Spielstätte, Wettbewerb). Dabei werden keine personenbezogenen Daten deines Teams an fussball.de übermittelt. Kabine ist kein Angebot von fussball.de oder dem DFB.

8. Speicherung auf deinem Gerät

Damit Termine auch ohne Netz sofort da sind, speichert die App eine Kopie der für dich sichtbaren Daten auf deinem Gerät. Antworten, die du ohne Netz gibst, werden dort zwischengespeichert und gesendet, sobald wieder eine Verbindung besteht. Beim Abmelden löscht die App diese Kopie. Außerdem speichert die App deine Anmeldesitzung. Diese Speicherung ist für die von dir gewünschte Funktion unbedingt erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG).

9. Dienstleister und Übermittlung in Drittländer

Wir setzen folgende Dienstleister ein. Sie verarbeiten die Daten in unserem Auftrag und nach unserer Weisung; mit allen bestehen Verträge zur Auftragsverarbeitung nach Art. 28 DSGVO.

Supabase Pte. Ltd.

65 Chulia Street #38-02/03, OCBC Centre, Singapur 049513

Zweck: Datenbank, Anmeldung und Server-Funktionen der App
Ort der Daten: Rechenzentrum in Frankfurt am Main (Amazon Web Services, Region eu-central-1)
Absicherung: Die Daten liegen in Deutschland. Soweit Supabase von außerhalb der EU darauf zugreift (z. B. für Support oder Betrieb), gelten die EU-Standardvertragsklauseln (Modul 2) aus dem Auftragsverarbeitungsvertrag.
Datenschutz: https://supabase.com/privacy

Twilio Inc. (SendGrid)

101 Spear Street, 5th Floor, San Francisco, CA 94105, USA

Zweck: Versand der E-Mails mit dem Anmeldecode
Ort der Daten: USA
Absicherung: EU-US Data Privacy Framework (Twilio ist zertifiziert) und Auftragsverarbeitungsvertrag
Datenschutz: https://www.twilio.com/en-us/legal/privacy

650 Industries, Inc. (Expo)

Palo Alto, Kalifornien, USA

Zweck: Zustellung der Push-Mitteilungen (Expo Push Service)
Ort der Daten: USA
Absicherung: EU-US Data Privacy Framework (Expo ist zertifiziert)
Datenschutz: https://expo.dev/privacy

Für die Zustellung der Push-Mitteilungen auf dein Gerät sind außerdem Apple bzw. Google zuständig; dafür gelten deren Datenschutzbestimmungen. Wenn du die App aus dem App Store oder Google Play lädst, verarbeiten Apple bzw. Google Daten zum Download in eigener Verantwortung.

Darüber hinaus geben wir keine Daten weiter, es sei denn, wir sind gesetzlich dazu verpflichtet. Wir verkaufen keine Daten und nutzen sie nicht für Werbung.

10. Speicherdauer und Löschung

Konto löschen: In der App unter „Profil“ → „Konto löschen“. Dabei werden dein Konto, deine E-Mail-Adresse und deine freiwilligen Angaben sofort gelöscht. In deinen Teams bleibst du als Person ohne Konto sichtbar, damit Termine, Antworten, Strafen und Statistik des Teams stimmig bleiben, bis das Trainerteam dich aus dem Team entfernt. Möchtest du, dass auch dein Name vollständig entfernt wird, schreib uns oder dem Trainerteam. Ohne App geht die Löschung per E-Mail, siehe Konto löschen.
Personen und Teamdaten speichern wir, solange das Team die App nutzt oder bis sie im Team gelöscht werden.
Einladungen laufen standardmäßig nach 30 Tagen ab.
Push-Tokens werden beim Abmelden und beim Löschen des Kontos entfernt.
Technische Protokolle werden nach wenigen Tagen automatisch gelöscht.
E-Mail-Versanddaten bei SendGrid werden nach dessen Aufbewahrungsfristen gelöscht.

Gesetzliche Aufbewahrungspflichten (etwa für Rechnungen bei kostenpflichtigen Paketen) bleiben unberührt.

11. Berechtigungen der App

Die App fragt nur nach der Erlaubnis für Mitteilungen. Sie greift nicht auf Standort, Kontakte, Kamera, Mikrofon oder Fotos zu.

12. Sicherheit

Alle Verbindungen zwischen App und Server sind verschlüsselt (TLS). Der Zugriff auf Daten ist in der Datenbank selbst über Zugriffsregeln je Team und Rolle begrenzt.

13. Deine Rechte

Du hast gegenüber uns folgende Rechte hinsichtlich der dich betreffenden personenbezogenen Daten:

Auskunft (Art. 15 DSGVO)
Berichtigung (Art. 16 DSGVO): viele Angaben kannst du direkt in der App ändern
Löschung (Art. 17 DSGVO): Konto löschen direkt in der App
Einschränkung der Verarbeitung (Art. 18 DSGVO)
Datenübertragbarkeit (Art. 20 DSGVO)
Widerruf einer Einwilligung (Art. 7 Abs. 3 DSGVO): Freiwillige Angaben kannst du jederzeit löschen; die Rechtmäßigkeit der Verarbeitung bis dahin bleibt unberührt.
Widerspruch (Art. 21 DSGVO): Verarbeiten wir Daten auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO, etwa als Person ohne eigenes Konto, kannst du aus Gründen, die sich aus deiner besonderen Situation ergeben, jederzeit widersprechen.

Eine formlose Nachricht an info@pandadev.de genügt.

Außerdem kannst du dich bei einer Datenschutz-Aufsichtsbehörde beschweren (Art. 77 DSGVO). Für uns zuständig ist:

Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg
Lautenschlagerstraße 20, 70173 Stuttgart
www.baden-wuerttemberg.datenschutz.de

14. Pflicht zur Bereitstellung, automatisierte Entscheidungen

Für ein Konto brauchen wir deine E-Mail-Adresse, ohne sie ist keine Anmeldung möglich. Alle weiteren Angaben sind freiwillig oder werden vom Team eingetragen. Eine automatisierte Entscheidungsfindung einschließlich Profiling (Art. 22 DSGVO) findet nicht statt.

15. Änderungen

Wir passen diese Erklärung an, wenn sich die App oder die Rechtslage ändert. Es gilt die jeweils hier veröffentlichte Fassung.