Betroffeneninformation für Nutzerinnen und Nutzer von Ordoplay

Diese Information richtet sich an alle Personen, die ein Konto auf der Ordoplay-Plattform (app.ordoplay.com sowie die native App für Android und iOS) haben. Sie informiert Sie nach Art. 13 und Art. 14 DSGVO darüber, welche personenbezogenen Daten bei der Nutzung Ihres Kontos verarbeitet werden.

Weil je nach Nutzergruppe unterschiedliche Daten anfallen, ist diese Information nach Nutzergruppen gegliedert: Lesen Sie zuerst Ziffer 1 bis 3, dann den Abschnitt Ihrer Rolle (Ziffer 4 bis 7), anschließend Ziffer 8 bis 14.

Diesen Hinweis nehmen Sie zur Kenntnis — eine Einwilligung ist damit nicht verbunden. Für die Nutzung der Plattform als Ganzes gelten zusätzlich die Nutzungsbedingungen, der Auftragsverarbeitungsvertrag (AVV) und der Datenschutzhinweis.

1. Wer ist für Ihre Daten verantwortlich?

Für die Daten, die innerhalb der Plattform verarbeitet werden — also Ihre Vereins-, Team-, Spieler-, Trainings- und Spieldaten —, ist der Verein bzw. die Organisation verantwortlich, die Ordoplay lizenziert hat (Art. 4 Nr. 7 DSGVO). Ihr Verein entscheidet, welche Daten erfasst werden, wer Zugriff erhält, welche Funktionen (einschließlich KI-Funktionen) aktiviert werden und wie lange Daten gespeichert bleiben.

Wir — die Chaima GmbH, Bacchusstr. 14, 79235 Vogtsburg im Kaiserstuhl, Deutschland, E-Mail: info@ordoplay.com — verarbeiten diese Daten als Auftragsverarbeiter nach Art. 28 DSGVO, streng weisungsgebunden und mandantengetrennt. Bitte richten Sie Anfragen zu Ihren Vereinsdaten (Auskunft, Berichtigung, Löschung) vorrangig an Ihren Verein; wir unterstützen den Verein bei der Beantwortung.

Daneben verarbeiten wir einige Daten in eigener Verantwortung — siehe Ziffer 8.

Datenschutzbeauftragte/r: Wir haben einen externen Datenschutzbeauftragten nach Art. 37 DSGVO bestellt: WIEMER ARNDT UG (haftungsbeschränkt), Ansprechpartner Christian Arndt, Marienstraße 25, 10117 Berlin, Telefon +49 (0) 30 403649830, Web https://wiemer-arndt.de. Sie können sich mit allen datenschutzrechtlichen Anliegen unmittelbar und vertraulich an unseren Datenschutzbeauftragten wenden; alternativ erreichen Sie uns unter info@ordoplay.com. Die Bestellung wird der zuständigen Aufsichtsbehörde nach Art. 37 Abs. 7 DSGVO mitgeteilt.

Aufsichtsbehörde: Zuständig ist die Datenschutz-Aufsichtsbehörde des Bundeslandes, in dem der jeweils Verantwortliche seinen Sitz hat — für die Chaima GmbH der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg; für Ihre Vereinsdaten die für Ihren Verein zuständige Behörde. Sie haben jederzeit das Recht auf Beschwerde (Art. 77 DSGVO).

2. Welche Nutzergruppen gibt es?

Nutzergruppe	Rolle in der Plattform	Abschnitt
Vereins-/Organisationsadministration	ADMIN	Ziffer 4
Trainerinnen, Trainer, Co-Trainer, Betreuer	TRAINER	Ziffer 5
Spielerinnen, Spieler und sonstige Mitglieder	USER (Spielerkonto)	Ziffer 6
Gäste mit Lesezugriff	GUEST	Ziffer 7

Ein Konto kann mehrere Rollen halten (z. B. Trainer und Administration). Dann gelten die Abschnitte kumulativ.

3. Daten, die für alle Nutzergruppen anfallen

Kontodaten: Name, E-Mail-Adresse, Passwort (nur als kryptografischer Hash, niemals im Klartext), Rolle(n), Organisations- und Teamzugehörigkeit, Sprachwahl der Oberfläche, Zeitpunkt der Kontoerstellung und -aktivierung.
Anmelde- und Sitzungsdaten: Anmeldezeitpunkte, Sitzungs-Token, in der nativen App zusätzlich Refresh-Token; technisch notwendige Cookies (§ 25 Abs. 2 Nr. 2 TDDDG) für Anmeldung und Schutz vor seitenübergreifender Anfragenfälschung.
Server-Protokolle: IP-Adresse, Datum/Uhrzeit, aufgerufene Ressource, Browser-/Gerätetyp, Referrer — zur Bereitstellung, Stabilität, Fehleranalyse und Angriffserkennung (Art. 6 Abs. 1 lit. f DSGVO).
Nachweis der Rechtsdokumente: Welche Fassung welcher Vereinbarung Sie wann akzeptiert bzw. zur Kenntnis genommen haben, samt IP-Adresse, Browserkennung und Sprachfassung (Nachweispflicht, Art. 5 Abs. 2, Art. 7 Abs. 1 DSGVO).
Benachrichtigungen und Aktivitätsprotokoll: In-App-Benachrichtigungen sowie ein Audit-Trail wesentlicher Änderungen (wer hat wann was geändert), zur Nachvollziehbarkeit und Missbrauchsvermeidung.
Offline-Nutzung der App: lokal auf Ihrem Gerät zwischengespeicherte Daten und eine Synchronisationswarteschlange; die Übertragung erfolgt bei bestehender Verbindung.

Rechtsgrundlagen: Art. 6 Abs. 1 lit. b DSGVO (Nutzungsverhältnis / Konto), Art. 6 Abs. 1 lit. f DSGVO (sicherer Betrieb, Missbrauchsvermeidung), Art. 6 Abs. 1 lit. c DSGVO (Nachweis- und Aufbewahrungspflichten).

4. Nutzergruppe: Vereins-/Organisationsadministration (ADMIN)

Zusätzlich zu Ziffer 3 verarbeiten wir:

Vertrags-, Lizenz- und Abrechnungsdaten: Ansprechpartner, gebuchter Tarif, Laufzeit, Teamkontingent, KI-Kontingent, Speicherkontingent, E-Mail-Kontingent, Nutzungs- und Verbrauchsstände.
Administrative Handlungen: Anlegen, Einladen, Sperren und Löschen von Nutzerkonten, Rollen- und Rechtevergabe, Team- und Saisonverwaltung, Freischalten oder Deaktivieren von Funktionen (u. a. KI-Funktionen).
Konfigurationsdaten: Organisationsprofil, Hallen- und Ressourcenverwaltung, Vorlagen, Freigaben und Berechtigungen.

Rechtsgrundlagen: Art. 6 Abs. 1 lit. b DSGVO (Vertrag mit der Chaima GmbH), Art. 6 Abs. 1 lit. c DSGVO (handels- und steuerrechtliche Aufbewahrungspflichten), Art. 6 Abs. 1 lit. f DSGVO (Protokollierung administrativer Eingriffe).

Als Administration handeln Sie zugleich für den Verein als Verantwortlichen: Sie entscheiden über Zwecke und Mittel der Verarbeitung in Ihrer Organisation und sind verpflichtet, die betroffenen Personen Ihres Vereins zu informieren und erforderliche Einwilligungen einzuholen (siehe Ziffer 11).

5. Nutzergruppe: Trainerinnen und Trainer (TRAINER)

Zusätzlich zu Ziffer 3 verarbeiten wir:

Trainings- und Spielorganisation: von Ihnen erstellte Trainings, Trainingsinhalte, Übungen, Taktik- und Zeichentafelinhalte, Kommentare, Termine und Kalendereinträge, E-Mail-Erinnerungen an Teilnehmende.
Anwesenheiten und Bewertungen: von Ihnen erfasste Anwesenheiten, Trainingsnotizen und Leistungsbewertungen der von Ihnen betreuten Personen.
Spielbetrieb: Spielberichte, Spiel- und Teamstatistiken, erfasste Spielereignisse und Beobachtungen, Aufstellungen.
Medien: hochgeladene Videos, Clips und Dokumente einschließlich der zugehörigen Berechtigungen; eingebundene YouTube-Referenzen (siehe Ziffer 9).
KI-Nutzung (nur sofern vom Verein aktiviert): Ihre Eingaben (Prompts), die herangezogenen Kontextdaten, die erzeugten Ausgaben sowie Ihr Nutzungskontingent (siehe Ziffer 10).
Zeiterfassung und Auslagen (sofern vom Verein genutzt): Ihre eigenen Anwesenheitszeiten als Trainer sowie eingereichte Aufwands- und Auslagenerstattungen.

Verantwortlich für diese Verarbeitungen ist Ihr Verein; wir verarbeiten sie in dessen Auftrag. Typische Rechtsgrundlagen des Vereins: Art. 6 Abs. 1 lit. b DSGVO (Nutzungs-/Trainerverhältnis) und Art. 6 Abs. 1 lit. f DSGVO (geordnete Vereinsorganisation).

6. Nutzergruppe: Spielerinnen, Spieler und Mitglieder (Spielerkonto)

Zusätzlich zu Ziffer 3 verarbeitet Ihr Verein über die Plattform:

Stamm- und Kaderdaten: Name, Team- und Saisonzuordnung, Position, Trikotnummer, starke Hand, ggf. Kontaktdaten und Geburtsdatum.
Trainings- und Anwesenheitsdaten: Teilnahme an Trainings und Spielen, Zu-/Absagen, Kommentare.
Leistungsdaten: Trainingsnotizen, Bewertungen, Spiel- und Personenstatistiken.
Gesundheitsbezogene Angaben: Für die Einsatzplanung genügt regelmäßig der Status "einsatzfähig / nicht einsatzfähig / geschont". Erfasst Ihr Verein darüber hinaus Verletzungs- oder Gesundheitsangaben, sind das besondere Kategorien personenbezogener Daten (Art. 9 DSGVO): Sie werden nur auf Grundlage einer ausdrücklichen Einwilligung gegenüber dem Verein (Art. 9 Abs. 2 lit. a DSGVO) in gesondert geschützten Feldern mit eng begrenzten Zugriffsrechten verarbeitet und kurzfristig gelöscht.
Medien: Videos und Bilder aus Training und Spiel, auf denen Sie erkennbar sind — nur nach Maßgabe Ihres Vereins und der dort eingeholten Einwilligungen.

Was Ihr Spielerkonto sieht und was nicht: Reine Spielerkonten sind auf die eigenen Bereiche beschränkt. Sichtbarkeiten sind team- und rollenbezogen begrenzt; Daten anderer Organisationen sind strikt getrennt. Es werden keine automatischen Rankings und keine dauerhaften Leistungsprofile über Minderjährige erstellt.

Keine automatisierte Entscheidung im Einzelfall: Entscheidungen über Training, Aufstellung, Einsatz oder Belastung treffen ausschließlich Menschen (Art. 22 DSGVO findet keine Anwendung).

7. Nutzergruppe: Gäste mit Lesezugriff (GUEST)

Zusätzlich zu Ziffer 3 verarbeiten wir lediglich, welche Inhalte für Sie freigegeben wurden und welche Sie aufgerufen haben. Ein Gastkonto kann keine Daten anderer Personen anlegen oder ändern; der Zugriff ist auf die vom Verein ausdrücklich freigegebenen Bereiche beschränkt.

8. Verarbeitungen in unserer eigenen Verantwortung

Für die folgenden Verarbeitungen ist die Chaima GmbH selbst Verantwortliche — sie betreffen alle Nutzergruppen:

Technischer Betrieb und Sicherheit (Server-Protokolle, Angriffserkennung, Rate-Limits): Art. 6 Abs. 1 lit. f DSGVO.
Registrierung, Anmeldung, Kontoverwaltung und Kontoaktivierung (E-Mail-Adresse, Passwort-Hash, Aktivierungs- und Einladungs-Token): Art. 6 Abs. 1 lit. b DSGVO, ergänzend lit. f für Sicherheitsfunktionen.
Vertrags-, Lizenz- und Kontingentverwaltung gegenüber der lizenznehmenden Organisation: Art. 6 Abs. 1 lit. b und lit. c DSGVO.
Support, Feedback und Ticketing: Inhalt Ihrer Meldung, Status, Kommentare, Kontaktdaten — Art. 6 Abs. 1 lit. b bzw. f DSGVO. Bitte übermitteln Sie im Support keine Gesundheitsdaten und keine sonstigen sensiblen Inhalte.
Marktplatz für Trainingsvorlagen: veröffentlichte Vorlagen, Anbieterangaben, Bewertungen und Erwerbsvorgänge — Art. 6 Abs. 1 lit. b DSGVO. Veröffentlichte Vorlagen dürfen keine personenbezogenen Daten Dritter (insbesondere keine Spielerdaten) enthalten.
Nachweis der akzeptierten Rechtsdokumente: Art. 6 Abs. 1 lit. c i. V. m. Art. 5 Abs. 2 und Art. 7 Abs. 1 DSGVO.

Es findet kein Tracking, keine Reichweitenmessung, kein Profiling und keine Weitergabe zu Werbezwecken statt.

9. Videos, Bilder und YouTube

Vom Verein hochgeladene Videos und Bilder werden in einem gesicherten, mandantengetrennten Objektspeicher verarbeitet; der Zugriff folgt dem Rollen- und Rechtekonzept. Temporäre Upload-Fragmente werden nach Abschluss oder Abbruch des Uploads automatisch gelöscht.

Werden YouTube-Videos in Trainingsinhalte eingebunden, wird der externe Player erst nach Ihrer aktiven Freigabe geladen (Zwei-Klick-Lösung); zuvor besteht keine Verbindung zu YouTube oder Google. Mit dem Laden können personenbezogene Daten — insbesondere Ihre IP-Adresse und Nutzungsinformationen — an den Anbieter übermittelt werden; hierauf haben wir keinen Einfluss. Anbieter: Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland (https://policies.google.com/privacy). Rechtsgrundlage des Nachladens ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), jederzeit mit Wirkung für die Zukunft widerruflich.

10. KI-Funktionen

Sofern Ihr Verein KI-Funktionen lizenziert und aktiviert hat, interagieren Sie mit einem KI-System; dies ist in der Oberfläche gekennzeichnet (Art. 50 KI-Verordnung). Betroffen sind KI-Trainingserstellung, der KI-Agent (Chat), KI-Dokumentensuche und -Zusammenfassungen, Diktat/Transkription sowie — sofern aktiviert — die KI-Videoanalyse.

KI-Ergebnisse sind Vorschläge, sind als KI-generiert gekennzeichnet und werden vor Verwendung durch berechtigte Personen geprüft.
Der KI-Agent handelt nur im Rahmen der Rechte der angemeldeten Person; wesentliche — insbesondere schreibende — Aktionen erfordern eine ausdrückliche Bestätigung durch einen Menschen (Human-in-the-loop).
Ihre Daten werden nicht zum Training oder Fine-Tuning von KI-Modellen verwendet.
Bitte geben Sie in KI-Eingaben keine Gesundheitsdaten und keine nicht erforderlichen personenbezogenen Daten ein.
Welche KI-Anbieter eingesetzt werden, in welchen Regionen sie verarbeiten und welche Garantien gelten, ist im Datenschutzhinweis und in Anlage 2 des AVV im Einzelnen benannt.

11. Minderjährige

Im Vereinssport sind minderjährige Spielerinnen und Spieler der Normalfall. Verantwortlich für den datenschutzkonformen Umgang mit ihnen ist der Verein, nicht die Plattform: Der Verein informiert die Sorgeberechtigten, holt die erforderlichen Einwilligungen ein (insbesondere für Gesundheitsangaben, Fotos und Videos sowie für besondere KI-Auswertungen) und informiert Kinder und Jugendliche altersgerecht. Für Einwilligungen von Kindern gilt in Deutschland die Altersgrenze des Art. 8 DSGVO i. V. m. § 25 Abs. 1 TDDDG (16 Jahre); im Zweifel und bei sensiblen Verarbeitungen ist die Einwilligung der Sorgeberechtigten einzuholen. Einzelheiten regelt der gesonderte Hinweis zum Umgang mit Minderjährigen, den Sie bei der Registrierung zur Kenntnis nehmen.

12. Empfänger und Drittlandübermittlung

Innerhalb Ihrer Organisation erhalten nur die Personen Zugriff, die ihn für ihre Aufgabe benötigen (Rollen- und Rechtekonzept). Außerhalb Ihrer Organisation sind Empfänger:

die Chaima GmbH als Auftragsverarbeiterin sowie deren Unterauftragsverarbeiter (Hosting, Datenbank- und Objektspeicher, E-Mail-Versand, KI-Dienste). Die vollständige, jeweils aktuelle Liste mit Sitz, Verarbeitungsort und Garantien führt Anlage 2 des AVV;
YouTube/Google ausschließlich bei aktiver Freigabe eingebundener Videos (Ziffer 9).

Die Verarbeitung erfolgt grundsätzlich in der EU/im EWR. Soweit im Einzelfall eine Übermittlung in ein Drittland erfolgt, geschieht dies nur auf Grundlage eines Angemessenheitsbeschlusses oder geeigneter Garantien, insbesondere der EU-Standardvertragsklauseln nach Durchführungsbeschluss (EU) 2021/914 (Art. 46 Abs. 2 lit. c DSGVO), ergänzt um erforderliche Zusatzmaßnahmen. Eine Kopie der angewendeten Garantien erhalten Sie auf Anfrage.

13. Speicherdauer

Daten	Dauer
Konto- und Stammdaten	für die Dauer der Mitgliedschaft/Funktion, danach Löschung oder Anonymisierung nach Vorgabe des Vereins
Server-Protokolle	spätestens nach 30 Tagen, danach Löschung oder Anonymisierung
KI-Eingaben und KI-Nutzungsprotokolle	ausschließlich kurzfristig zur Fehleranalyse, Löschung spätestens nach 30 Tagen
Anwesenheiten, Bewertungen, Spielberichte	nach dem Löschkonzept des Vereins; die Plattform stellt konfigurierbare Löschregeln bereit
Gesundheitsbezogene Angaben	gesondert und deutlich kürzer als übrige Sportdaten; bei Widerruf unverzüglich
Videos und Medien	nach Vorgabe des Vereins; bei Widerruf einer Einwilligung unverzüglich
Aktivitätsprotokoll	zweckgebunden, längstens 12 Monate
Nachweise akzeptierter Rechtsdokumente	für die Dauer des Nutzungsverhältnisses und die anschließenden gesetzlichen Verjährungs-/Aufbewahrungsfristen
Vertrags- und Abrechnungsdaten	gesetzliche Fristen (i. d. R. 6 bzw. 10 Jahre)

14. Ihre Rechte

Sie haben gegenüber dem jeweils Verantwortlichen das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch gegen Verarbeitungen auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO (Art. 21). Erteilte Einwilligungen können Sie jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3 DSGVO); die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung bleibt unberührt.

Für Daten innerhalb der Plattform wenden Sie sich bitte an Ihren Verein; für unsere eigenen Verarbeitungen (Ziffer 8) an info@ordoplay.com. Zusätzlich steht Ihnen das Beschwerderecht bei einer Datenschutz-Aufsichtsbehörde zu (Art. 77 DSGVO, siehe Ziffer 1).

15. Änderungen

Bei wesentlichen Änderungen — etwa der Aktivierung neuer Funktionen oder dem Wechsel eines Dienstleisters — wird eine neue Version dieser Information veröffentlicht; Sie werden dann erneut um Kenntnisnahme gebeten.