Version 1.5Gültig ab 4.9.2026

Datenschutzhinweis

Information gemäß Art. 13 DSGVO: welche Daten wir verarbeiten und wie der Datenfluss der KI-Funktionen tatsächlich aussieht.

Datenschutzhinweis zur Nutzung von Ordoplay

Dieser Hinweis informiert Sie gemäß Art. 13 DSGVO darüber, welche personenbezogenen Daten wir bei der Nutzung der Ordoplay-Plattform verarbeiten. Er ergänzt die Nutzungsbedingungen und den Auftragsverarbeitungsvertrag (AVV), denen Sie in diesem Bereich ebenfalls zustimmen. Diesen Hinweis nehmen Sie zur Kenntnis — eine Einwilligung ist damit nicht verbunden.

1. Verantwortlicher, Datenschutzbeauftragte/r, Aufsichtsbehörde

Verantwortliche für unsere eigenen Verarbeitungen (Ziffer 3) ist die Chaima GmbH, Bacchusstr. 14, 79235 Vogtsburg im Kaiserstuhl, Deutschland, E-Mail: info@ordoplay.com. Vollständige Angaben im Impressum.

Rollenverteilung: Für die Daten, die Sie als Verein/Organisation über Ihre Spielerinnen, Spieler und Mitglieder in die Plattform einstellen, ist Ihr Verein der Verantwortliche (Art. 4 Nr. 7 DSGVO) — er entscheidet über Zwecke, Zugriffe, aktivierte Funktionen und Speicherdauern. Wir handeln insoweit als Auftragsverarbeiter; dafür gilt der separate AVV (Art. 28 DSGVO). Anfragen zu Ihren Vereinsdaten richten Sie deshalb bitte vorrangig an Ihren Verein.

Datenschutzbeauftragte/r: Wir haben einen externen Datenschutzbeauftragten nach Art. 37 DSGVO bestellt: WIEMER ARNDT UG (haftungsbeschränkt), Ansprechpartner Christian Arndt, Marienstraße 25, 10117 Berlin, Telefon +49 (0) 30 403649830, Web https://wiemer-arndt.de. Sie können sich mit allen datenschutzrechtlichen Anliegen und zur Ausübung Ihrer Rechte unmittelbar und vertraulich an unseren Datenschutzbeauftragten wenden; alternativ erreichen Sie uns unter info@ordoplay.com. Die Bestellung wird der zuständigen Aufsichtsbehörde nach Art. 37 Abs. 7 DSGVO mitgeteilt.

Zuständige Aufsichtsbehörde: Für die Chaima GmbH der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg; für die Daten Ihres Vereins die für Ihren Verein zuständige Landesbehörde. Sie haben jederzeit das Recht auf Beschwerde (Art. 77 DSGVO).

2. Welche Daten wir verarbeiten

  • Kontodaten: Name, E-Mail, Rolle, Organisations-/Team-Zugehörigkeit, Login-Zeitpunkte.
  • Trainings- & Vereinsdaten: Trainings, Spielpläne, Kader, Spieler-Stammdaten, Saison-/Spiel- und Statistikdaten, Aufgaben/Helferpläne.
  • Medien: hochgeladene Videos und Bilder (Trainings-/Spielmaterial).
  • KI-Eingaben: Texte und Inhalte, die Sie an die KI-Funktionen übergeben (Chat, Trainingsgenerierung, Videoanalyse).
  • Protokolldaten: Aktivitäts-/Audit-Logs (wer hat wann was geändert) sowie technische Logfiles (IP-Adresse, Zeitpunkt, User-Agent) zur Sicherheit und Missbrauchsabwehr.

3. Zwecke und Rechtsgrundlagen

  • Bereitstellung und Betrieb der Plattform (Vertrag, Art. 6 Abs. 1 lit. b DSGVO).
  • Sicherheit, Stabilität, Missbrauchs- und Betrugsabwehr, Audit (berechtigtes Interesse, Art. 6 Abs. 1 lit. f DSGVO).
  • KI-gestützte Funktionen, soweit von Ihnen genutzt (Vertrag / berechtigtes Interesse; ggf. Einwilligung, wenn gesondert erhoben).

4. KI-Funktionen — tatsächlicher Datenfluss (transparent)

Wenn Sie KI-Funktionen nutzen, werden die dafür nötigen Inhalte TLS-verschlüsselt an einen unserer KI-Dienstleister übertragen und dort zur Erzeugung der Antwort im Klartext verarbeitet. Derzeit setzen wir hierfür ausschließlich ein:

  • Microsoft Azure OpenAI Service in einer EU-Region — der aktuell aktive KI-Dienstleister.

Als weiterer, konfigurierbarer KI-Dienstleister ist Google Vertex AI (Gemini-Modelle) über ausschließlich regionale EU-Endpunkte vorgesehen — bevorzugt Frankfurt am Main (europe-west3), ersatzweise Niederlande (europe-west4) für Modelle, die in Frankfurt nicht verfügbar sind. Der globale Google-Endpunkt ohne Residenz-Garantie ist plattformseitig technisch gesperrt. Google Vertex AI wird erst dann eingesetzt, wenn wir es betreiberseitig aktivieren; solange dies nicht geschehen ist, findet keine Verarbeitung über Google statt.

  • Es findet derzeit keine automatische Anonymisierung vor der Übertragung statt und keine Verarbeitung in einer abgeschotteten Enklave (Trusted Execution Environment / TEE). Beides ist geplant (siehe Roadmap), aber heute nicht aktiv.
  • Mit Microsoft besteht eine Auftragsverarbeitungsvereinbarung; nach deren Konfiguration werden Ihre Eingaben nicht zum Training der Modelle verwendet. Für Google gilt das Google Cloud Data Processing Addendum (inkl. EU-Standardvertragsklauseln); auch dort werden Eingaben nicht zum Training der Modelle verwendet.
  • Verarbeitung findet innerhalb der EU statt; eine Drittlandübermittlung ist dabei nicht vorgesehen.

Geben Sie in KI-Funktionen daher nur die Inhalte ein, die für den jeweiligen Zweck nötig sind.

5. Empfänger / Auftragsverarbeiter

  • Microsoft (Azure OpenAI, EU-Region) — KI-Verarbeitung (siehe Ziff. 4).
  • Google (Vertex AI, ausschließlich EU-Regionen: Frankfurt/Deutschland, ersatzweise Niederlande) — KI-Verarbeitung, nur soweit betreiberseitig aktiviert (siehe Ziff. 4).
  • Hosting/Speicher — Server und Objektspeicher (Videos/Bilder) in der EU.
  • Interne, selbst betriebene Unternehmens-Server (EU) — z. B. eine selbst gehostete Spracherkennung (Whisper), die von Ihnen aufgenommene Sprachnotizen in Text umwandelt. Die kurzen Audioaufnahmen werden hierfür auf einem eigenen Server innerhalb der EU verarbeitet und nach der Transkription nicht dauerhaft gespeichert.
  • Google Ireland Ltd. (YouTube) — nur wenn Sie ein eingebettetes YouTube-Video ausdrücklich per Klick laden. Der Player wird dabei zunächst über den datenschutzfreundlichen Host youtube-nocookie.com eingebunden. Erst ein zweiter, ausdrücklicher Klick ("Mit YouTube-Konto abspielen") lädt ihn von youtube.com; dabei können YouTube- und Google-Werbe-Cookies in Ihrem Browser gesetzt und die Wiedergabe mit Ihrem YouTube-Konto verknüpft werden. Ohne diese Klicks wird keine Verbindung zu Google aufgebaut.
  • Weitere Unterauftragsverarbeiter nur im Rahmen des AVV und mit denselben Datenschutzpflichten.

6. Videos, Bilder und YouTube-Einbindung

Hochgeladene Videos und Bilder werden in einem gesicherten, mandantengetrennten Objektspeicher in der EU verarbeitet; der Zugriff folgt dem Rollen- und Rechtekonzept. Temporäre Upload-Fragmente werden nach Abschluss oder Abbruch des Uploads automatisch gelöscht.

Werden YouTube-Videos in Trainingsinhalte eingebunden, wird der externe Player erst nach Ihrer aktiven Freigabe geladen (Zwei-Klick-Lösung); zuvor besteht keine Verbindung zu YouTube oder Google. Mit dem Laden können personenbezogene Daten — insbesondere IP-Adresse und Nutzungsinformationen — an Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland übermittelt werden (https://policies.google.com/privacy); hierauf haben wir keinen Einfluss. Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), jederzeit mit Wirkung für die Zukunft widerruflich.

7. Minderjährige

Im Vereinssport werden regelmäßig auch Daten minderjähriger Spielerinnen und Spieler verarbeitet; sie genießen nach Art. 8 DSGVO ein erhöhtes Schutzniveau. Verantwortlich hierfür ist der Verein: Er informiert die Sorgeberechtigten, holt die erforderlichen Einwilligungen ein — insbesondere für gesundheitsbezogene Angaben, Foto- und Videoaufnahmen sowie personenbezogene KI-Auswertungen — und informiert Kinder und Jugendliche altersgerecht. Reine Spielerkonten sind auf die eigenen Bereiche beschränkt; es werden keine automatischen Rankings und keine dauerhaften Leistungsprofile Minderjähriger erstellt. Einzelheiten regelt der gesonderte Hinweis zum Umgang mit Minderjährigen.

8. Datensicherheit (Art. 32 DSGVO)

Wir treffen technische und organisatorische Maßnahmen nach Art. 32 DSGVO, insbesondere: Transportverschlüsselung (HTTPS/TLS) und verschlüsselte Speicherung; strikte Mandantentrennung je Organisation; rollenbasiertes Berechtigungskonzept mit minimalen Standardrechten und gesondert geschützten Feldern für sensible Daten; Bestätigungspflicht und Protokollierung für KI-Agent-Aktionen; Audit-Trail wesentlicher Änderungen; token-basierte Authentifizierung in der nativen App mit Sitzungs- und Token-Widerruf bei Passwortänderung oder Sperrung; restriktive Content-Security-Policy; regelmäßige Sicherheitsüberprüfungen sowie ein definierter Prozess für Sicherheitsvorfälle und Datenschutzverletzungen (Art. 33, 34 DSGVO).

9. Speicherdauer

Daten werden gespeichert, solange Ihr Konto bzw. das zugehörige Organisations-/Vereinskonto besteht und für die genannten Zwecke erforderlich ist, danach gelöscht oder anonymisiert — vorbehaltlich gesetzlicher Aufbewahrungspflichten. Details zur Löschung Ihrer Vereinsdaten regelt der AVV.

10. Ihre Rechte

Sie haben das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch (Art. 15–21 DSGVO), das Recht auf Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO) sowie das Recht auf Beschwerde bei einer Datenschutz-Aufsichtsbehörde (Art. 77 DSGVO, siehe Ziffer 1). Für Daten innerhalb der Plattform wenden Sie sich bitte an Ihren Verein als Verantwortlichen, für unsere eigenen Verarbeitungen an info@ordoplay.com bzw. den im Impressum genannten Kontakt. Welche Daten je Nutzergruppe verarbeitet werden, beschreibt die Betroffeneninformation.

11. Änderungen

Bei wesentlichen Änderungen dieses Hinweises wird eine neue Version veröffentlicht; Sie werden dann erneut um Kenntnisnahme gebeten.