Datenschutzerklärung

1. Verantwortliche Stelle

Verantwortlich für die Datenverarbeitung in der Swing & Savor App und auf swingandsavor.at:

Comms Connect GmbH
Tal 30, 80331 München, Deutschland
Vertreten durch: Rainer Roloff, Geschäftsführer
Telefon: +49 89 4522 1556
E-Mail: hi@swingandsavor.at

Datenschutz-Anfragen richten Sie bitte an hi@swingandsavor.at mit Betreff „Datenschutz".

2. Hosting & Infrastruktur

Bei Anbietern mit Sitz in den USA nennen wir jeweils die Grundlage der Übermittlung. Eine Kopie der vereinbarten Standardvertragsklauseln können Sie unter hi@swingandsavor.at anfordern.

Frontend / Web-App: Vercel

Vercel Inc., 340 S Lemon Ave #4133, Walnut, CA 91789, USA. Das Vercel Edge Network verarbeitet HTTP-Anfragen weltweit über die nächstgelegene Edge-Region; Anwendungsdaten werden bei Vercel nicht persistent gespeichert. Auftragsverarbeitung über vercel.com/legal/dpa. Drittlandübermittlung: Vercel ist zertifiziert unter dem EU-US Data Privacy Framework (Angemessenheitsbeschluss, Art. 45 DSGVO; Status laut dataprivacyframework.gov, geprüft im Oktober 2026); ergänzend gelten die EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO) aus dem Auftragsverarbeitungsvertrag.

Backend, Datenbank, Authentifizierung: Supabase

Supabase Inc., Singapur. Unsere Supabase-Instanz läuft ausschließlich in AWS-Region eu-central-1 (Frankfurt am Main). Alle App-Daten (Profile, Freundschaften, Turniere, Matches, Plätze, Auth) werden in der EU gespeichert und verarbeitet. Auftragsverarbeitung über supabase.com/legal/dpa. Für einen etwaigen Zugriff aus Drittländern (z. B. Support) gelten die EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO); Supabase ist nicht unter dem Data Privacy Framework zertifiziert.

Transaktionale E-Mails: Resend

Resend (Plus Five Five, Inc.), San Francisco, USA. Versand des 8-stelligen Anmeldecodes und System-Benachrichtigungen. EU-Sending-Region aktiv. Auftragsverarbeitung über resend.com/legal/dpa. Drittlandübermittlung: Resend ist zertifiziert unter dem EU-US Data Privacy Framework (Angemessenheitsbeschluss, Art. 45 DSGVO; Status laut dataprivacyframework.gov, geprüft im Oktober 2026); ergänzend gelten die EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO).

Zahlungsabwicklung: Stripe

Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, Irland (für Zahler außerhalb des EWR ggf. Stripe, Inc., USA). Verarbeitung der Zahlungsdaten bei Buchung kostenpflichtiger Funktionen (Boosts, Premium-Pakete, Launch Monitor Pro); wir selbst speichern keine vollständigen Kartendaten. Zu jedem Kauf speichern wir den Zeitpunkt Ihrer Bestätigungen (sofortige Ausführung, Volljährigkeit) als Nachweis, auch in den Kaufdaten bei Stripe (Art. 6 Abs. 1 lit. b und c DSGVO). Auftragsverarbeitung über stripe.com/legal/dpa. Drittlandübermittlung an Stripe in den USA: Stripe ist zertifiziert unter dem EU-US Data Privacy Framework (Angemessenheitsbeschluss, Art. 45 DSGVO; Status laut dataprivacyframework.gov, geprüft im Oktober 2026); ergänzend gelten die EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO). Datenschutzhinweise: stripe.com/privacy.

2a. Weitere Dienste in der App

Die folgenden Dienste setzen wir nur für die jeweils genannte Funktion ein.

Scorecard-Fotoerkennung: OpenAI

OpenAI, L.L.C., 3180 18th Street, San Francisco, CA 94110, USA (für Kunden im EWR ggf. OpenAI Ireland Ltd., Dublin, Irland). Nur wenn Sie in einem Match ein Foto einer Scorecard hochladen und auslesen lassen, übermitteln wir dieses Foto über einen zeitlich begrenzten Link (5 Minuten gültig) an die OpenAI-Schnittstelle, um die Schläge pro Loch automatisch zu erkennen. Übermittelt wird nur das Bild; es kann alles enthalten, was auf der Scorecard steht (z. B. Namen, Handicaps, Ergebnisse, Unterschriften), auch von Mitspielern.

Rechtsgrundlage: für Ihre eigenen Daten Art. 6 Abs. 1 lit. b DSGVO (von Ihnen angeforderte Funktion); für Namen und Ergebnisse von Mitspielern auf der Scorecard Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse und das Ihres Flights liegt darin, die gemeinsam gespielte Runde ohne Abtippen korrekt zu erfassen; die Daten stammen aus derselben Runde, auf der Scorecard stehen ohnehin nur Spielangaben, und das Foto wird sofort nach der Auswertung gelöscht.

Hinweis für Mitspieler (Art. 14 DSGVO): Wenn ein Mitglied Ihres Flights eine Scorecard mit Ihrem Namen und Ihren Ergebnissen fotografiert, verarbeiten wir diese Angaben wie hier beschrieben. Kategorien: Name bzw. Kürzel, Handicap, Schläge pro Loch, ggf. Unterschrift. Quelle: das Foto der Scorecard, hochgeladen von einem Mitspieler. Ihnen stehen die Rechte nach Ziffer 7 und das Widerspruchsrecht nach Ziffer 7a zu.

Speicherdauer: Das Foto löschen wir unmittelbar nach der automatischen Auswertung aus unserem Speicher (Supabase, Frankfurt), auch wenn die Auswertung scheitert. Bricht der Vorgang vor der Auswertung ab (z. B. Verbindungsabbruch), wird das Foto beim nächsten Auswertungsvorgang in der App automatisch entfernt, sobald es älter als 24 Stunden ist. Das ausgelesene Ergebnis (Namen und Schläge) bleibt beim Match gespeichert, solange das Match besteht. Nach Angaben von OpenAI werden über die Schnittstelle übermittelte Daten nicht zum Training verwendet und höchstens 30 Tage zur Missbrauchserkennung aufbewahrt.

Drittlandübermittlung: Die Verarbeitung findet in den USA statt. OpenAI ist nicht unter dem Data Privacy Framework zertifiziert; die Übermittlung stützt sich auf die EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO) im Auftragsverarbeitungsvertrag (openai.com/policies/data-processing-addendum). Ohne Foto-Upload findet keine Übermittlung an OpenAI statt; Ergebnisse lassen sich jederzeit auch von Hand eintragen.

Fehlerberichte: Sentry (nur mit Einwilligung)

Functional Software, Inc. (Sentry), 45 Fremont Street, San Francisco, CA 94105, USA. Beim ersten Öffnen der App fragen wir, ob wir bei technischen Fehlern einen Fehlerbericht senden dürfen; „Ablehnen“ und „Erlauben“ sind gleichwertig. Nur wenn Sie zustimmen, wird Sentry überhaupt gestartet. Ohne Zustimmung geht keinerlei Anfrage an Sentry. Mit Zustimmung senden wir bei einem Fehler einen Bericht (Fehlermeldung, betroffene Seite, Browser- und Gerätetyp) an Sentry. Die Daten liegen in der EU-Datenregion (Frankfurt am Main). Wir übermitteln keine Namen oder E-Mail-Adressen; IP-Adressen werden bei Sentry nicht gespeichert. Ladezeiten oder Nutzungssitzungen erfassen wir nicht. Speicherdauer: Fehlerberichte werden nach 30 Tagen automatisch gelöscht. Ihre Wahl speichern wir im localStorage Ihres Geräts (Schlüssel: sns_error_reports). Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG (Ihre Einwilligung). Sie können die Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen: in der App unter „Fehlerberichte“ (Startseite unten oder im Profil) erneut wählen. Auftragsverarbeitung über sentry.io/legal/dpa. Für einen Zugriff aus den USA: Sentry ist zertifiziert unter dem EU-US Data Privacy Framework (Angemessenheitsbeschluss, Art. 45 DSGVO; Status laut dataprivacyframework.gov, geprüft im Oktober 2026); ergänzend gelten die EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO).

Support-Anfragen: Slack

Slack Technologies, LLC, San Francisco, USA (Teil von Salesforce, Inc.; für Kunden im EWR Slack Technologies Limited, Dublin, Irland). Wenn Sie über das Hilfe-Center in der App eine Anfrage stellen, leiten wir Ihre Nachricht zusammen mit Ihrer E-Mail-Adresse in einen internen Slack-Kanal weiter, damit unser Team schnell antworten kann. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Bearbeitung Ihrer Anfrage). Auftragsverarbeitung über die Datenverarbeitungsvereinbarung von Slack. Drittlandübermittlung: Salesforce einschließlich Slack ist zertifiziert unter dem EU-US Data Privacy Framework (Angemessenheitsbeschluss, Art. 45 DSGVO; Status laut dataprivacyframework.gov, geprüft im Oktober 2026); ergänzend gelten die EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO). Speicherdauer: Die Anfrage selbst speichern wir in unserer Datenbank in Frankfurt, solange Ihr Konto besteht; mit der Löschung Ihres Kontos wird sie automatisch gelöscht. Die Benachrichtigung im Slack-Kanal bleibt nach den Aufbewahrungsregeln unseres Slack-Arbeitsbereichs gespeichert; auf Anfrage löschen wir sie jederzeit.

Push-Benachrichtigungen

Wenn Sie Benachrichtigungen erlauben, speichern wir die von Ihrem Browser bzw. Gerät erzeugte Push-Adresse. Die Zustellung läuft über den Push-Dienst des jeweiligen Anbieters (z. B. Apple, Google oder Mozilla); der Inhalt wird dabei verschlüsselt übertragen. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Ihre Einwilligung über die Systemabfrage). Sie können Benachrichtigungen jederzeit in den Einstellungen Ihres Browsers oder Geräts abschalten; ungültig gewordene Push-Adressen löschen wir automatisch.

Community-Server: Discord

Discord Inc., 444 De Haro Street, Suite 200, San Francisco, CA 94107, USA. Cups mit der Sichtbarkeit „Öffentlich“ kündigen wir in unserem Discord-Server an (Cup-Name, Datum, Teamnamen, Beschreibung, Endstand und Link zur öffentlichen Cup-Seite). Beim Anlegen oder Bearbeiten eines öffentlichen Cups können Sie die Ankündigung abschalten. Private Cups, Cups nur für Freunde und Duelle werden nie angekündigt. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer lebendigen Community); Sie können jederzeit widersprechen. Drittlandübermittlung: Discord ist zertifiziert unter dem EU-US Data Privacy Framework (Angemessenheitsbeschluss, Art. 45 DSGVO; Status laut dataprivacyframework.gov, geprüft im Oktober 2026). Für die Nutzung von Discord selbst gilt die Datenschutzerklärung von Discord.

Tour-Videos: YouTube

Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland. Im Bereich „Tour“ binden wir Videos der offiziellen Tour-Kanäle von YouTube ein. Der Player wird erst geladen, wenn Sie auf „Videos laden“ tippen; erst dann werden Daten wie Ihre IP-Adresse an YouTube bzw. Google übertragen. Wir nutzen dafür den erweiterten Datenschutzmodus (youtube-nocookie.com). Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG (Ihre Einwilligung durch den Klick). Drittlandübermittlung an Google LLC, USA: Google ist zertifiziert unter dem EU-US Data Privacy Framework (Angemessenheitsbeschluss, Art. 45 DSGVO; Status laut dataprivacyframework.gov, geprüft im Oktober 2026). Weitere Informationen: policies.google.com/privacy.

Newsletter

Auf swingandsavor.at können Sie unseren Newsletter abonnieren (neue Cups, Native-App-Releases, gelegentliche Tipps). Wir speichern dafür Ihre E-Mail-Adresse, die gewählte Sprache, die Anmeldeseite sowie den Zeitpunkt von Anmeldung und Bestätigung in unserer Datenbank bei Supabase (Frankfurt am Main). Die Anmeldung erfolgt im Double-Opt-In-Verfahren: Sie erhalten eine Bestätigungs-Mail (Versand über Resend, siehe Ziffer 2); erst nach Klick auf den Bestätigungslink ist die Anmeldung aktiv. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Ihre Einwilligung). Sie können die Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen: über den Abmeldelink am Ende jedes Newsletters (ein Klick, ohne Login), über die Abmeldefunktion Ihres E-Mail-Programms oder formlos per E-Mail an hi@swingandsavor.at. Speicherdauer: bis zu Ihrer Abmeldung. Danach vermerken wir nur noch E-Mail-Adresse und Abmeldezeitpunkt, um nachweisen zu können, dass wir Ihnen nichts mehr senden.

3. Welche Daten wir verarbeiten

Bei Registrierung & Nutzung

• E-Mail-Adresse — für Login (8-stelliger Code) und Benachrichtigungen.
• Benutzername (Handle), Anzeigename — sichtbar für andere Nutzer.
• Optional: Handicap, Heimatclub, Profilbild — frei wählbar.
• Match- und Turnierdaten — Scores, Paarungen, Teilnahmen.
• Optional: Scorecard-Fotos, wenn Sie Ergebnisse per Foto erfassen (siehe Ziffer 2a).
• Support-Anfragen: Ihre Nachricht und E-Mail-Adresse (siehe Ziffer 2a).
• Freundschaftsbeziehungen — Sichtbarkeit gemäß Freundschaftsstatus.

Technische Daten

• IP-Adresse (von Vercel/Supabase nur für Sicherheit + Rate-Limiting verarbeitet).
• Session-Token im localStorage Ihres Browsers (Schlüssel: sas-auth).
• Ihre Sprach- und Darstellungswahl im localStorage (Schlüssel: sns_lang, sw_theme, auf der Website sns_marketing_lang).
• Ihre Wahl zu Fehlerberichten im localStorage (Schlüssel: sns_error_reports); nur mit Ihrer Einwilligung User-Agent (Browser/Gerät) und Fehlerberichte für die Fehlerdiagnose (Sentry, siehe Ziffer 2a).

Wir setzen keine Tracking-Cookies, kein Analytics, kein Drittanbieter-Werbe-Pixel. Schriften liefern wir von unseren eigenen Servern aus, ohne Verbindung zu Google.

4. Rechtsgrundlagen

• Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) — Bereitstellung der App-Funktionen, Login, Match-Tracking.
• Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse) — Sicherheit, Missbrauchsprävention, Stabilität.
• Art. 6 Abs. 1 lit. a DSGVO (Einwilligung) — z. B. Setzen optionaler Profildaten, Push-Benachrichtigungen, Laden der YouTube-Videos, Newsletter, Fehlerberichte (Sentry).

5. Empfänger & Weitergabe

Daten werden ausschließlich an die unter Ziffer 2 und 2a genannten Dienste weitergegeben. Eine Weitergabe an Dritte zu Werbezwecken erfolgt nicht. Bei Klick auf den DealBuddy-Crosslink verlassen Sie unsere App; ab dort gilt die Datenschutzerklärung von DealBuddy.

6. Speicherdauer & Löschung

Profildaten und Matches werden gespeichert, solange das Nutzerkonto aktiv ist. Sie können Ihr Konto jederzeit in der App löschen (Profil → Konto löschen); damit werden Profil, Freundschaften und persönliche Match-Beziehungen entfernt. Aus Compliance-Gründen können anonymisierte Score-Aggregate in fremden Matches verbleiben.

Steuer- und handelsrechtliche Aufbewahrungspflichten (6/10 Jahre) bleiben unberührt, sofern einschlägig.

Abweichende Fristen für Scorecard-Fotos, Fehlerberichte und Support-Anfragen nennen wir beim jeweiligen Dienst unter Ziffer 2a.

7. Ihre Rechte (Art. 15–22 DSGVO)

• Recht auf Auskunft (Art. 15)
• Recht auf Berichtigung (Art. 16)
• Recht auf Löschung (Art. 17)
• Recht auf Einschränkung der Verarbeitung (Art. 18)
• Recht auf Datenübertragbarkeit (Art. 20)
• Widerspruchsrecht (Art. 21)
• Recht auf Widerruf erteilter Einwilligungen (Art. 7 Abs. 3)

Zur Ausübung Ihrer Rechte: hi@swingandsavor.at.

Beschwerden können Sie beim BayLDA oder bei der Aufsichtsbehörde Ihres Aufenthaltsorts einreichen (z. B. der österreichischen Datenschutzbehörde).

8. SSL-/TLS-Verschlüsselung

Sämtliche Verbindungen zur Website und App erfolgen verschlüsselt (HTTPS/TLS).

9. Cookies

Wir verwenden ausschließlich technisch notwendige Daten im localStorage des Browsers: zur Aufrechterhaltung Ihrer Anmeldung, für Ihre Sprach- und Darstellungswahl und für Zwischenstände bei der Ergebniseingabe. Es werden keine einwilligungsbedürftigen Cookies, Tracker, Analyse- oder Werbe-Pixel eingesetzt. Ein Cookie-Banner ist deshalb nicht erforderlich (§ 25 TDDDG). Einzige Ausnahme sind die YouTube-Videos im Bereich „Tour“: Sie werden erst nach Ihrem Klick auf „Videos laden“ geladen (siehe Ziffer 2a).

10. Plätze-Daten (OpenStreetMap)

Die Golfplatz-Datenbank wird aus offen verfügbaren OpenStreetMap-Daten (ODbL) gespeist und durch Community-Beiträge ergänzt. Eingaben einzelner Nutzer zu Plätzen sind nicht öffentlich Ihrer Person zugeordnet, sondern fließen anonymisiert in den geteilten Platz-Datensatz ein.

11. Änderungen

Wir behalten uns vor, diese Datenschutzerklärung anzupassen, wenn sich Funktionen, Auftragsverarbeiter oder die Rechtslage ändern. Die jeweils aktuelle Fassung ist unter dieser URL abrufbar.