Rechtliches

Datenschutz

Wir sammeln nichts, was wir nicht brauchen. Diese Erklärung sagt trotzdem im Detail, welche Daten wo verarbeitet werden, warum, und wie lange sie bleiben.

1. Verantwortlicher

Verantwortlich für die Datenverarbeitung im Sinne der DSGVO ist:

Für Fragen zum Datenschutz und für die Ausübung deiner Rechte schreibst du am besten an tresen@letzterunde.app.

2. Wofür diese Erklärung gilt

Sie gilt für die Website letzterunde.app (inklusive der Beitrittsseite unter /j/… und der Zahl-Seite unter /pay/…) sowie für die mobile App Letzte Runde und das Backend dahinter.

3. Hosting der Website

Die Website wird von Vercel Inc. (USA) gehostet. Beim Abruf einer Seite verarbeitet Vercel als unser Auftragsverarbeiter technisch notwendige Zugriffsdaten in Server-Logs, insbesondere:

• IP-Adresse des anfragenden Geräts
• Datum und Uhrzeit des Abrufs
• angeforderte Adresse und übertragene Datenmenge
• Statusmeldung des Servers
• Browser- und Betriebssystemkennung (User-Agent)

Diese Daten sind für die Auslieferung der Seite und für die Abwehr von Angriffen erforderlich. Rechtsgrundlage ist unser berechtigtes Interesse an einem sicheren und stabilen Betrieb (Art. 6 Abs. 1 lit. f DSGVO). Wir werten die Logs nicht personenbezogen aus und führen sie nicht mit anderen Daten zusammen.

Vercel verarbeitet die Daten auch in den USA. Grundlage der Übermittlung sind die von der Europäischen Kommission erlassenen Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO) samt zusätzlicher Schutzmaßnahmen aus dem mit Vercel geschlossenen Auftragsverarbeitungsvertrag (Art. 28 DSGVO).

Weil wir auf allen Seiten referrer: no-referrer setzen, gibt dein Browser beim Weiterklicken nicht preis, von welcher unserer Adressen du kommst — das schützt insbesondere die geheimen Links.

4. Keine Cookies, kein Tracking

Wir setzen auf dieser Website keine Cookies, verwenden keine Analyse-, Statistik- oder Werbewerkzeuge und binden keine Social-Media-Plugins ein. Es gibt keine Profilbildung und kein Tracking über Seiten hinweg.

Auch die Schriften (Unbounded, Space Grotesk, Space Mono) liefern wir von unserem eigenen Server aus. Es wird keine Verbindung zu Google Fonts oder einem anderen Auslieferungsnetzwerk aufgebaut.

Ausnahmen aus technischer Notwendigkeit: Die Zahl-Seite fragt den Kassenstand direkt bei unserem Backend ab, und das Formular der Beta-Warteliste schickt deine Adresse dorthin — dazu unten mehr.

5. Der JGA-Raum: Daten in der App

Die Inhalte eines JGA-Raums speichern wir bei Supabase. Unser Projekt läuft in der Region Frankfurt am Main (eu-central-1); die Daten werden dort gespeichert. Supabase ist für uns Auftragsverarbeiter (Art. 28 DSGVO).

Gespeichert werden die Angaben, die ihr selbst in den Raum eintragt:

• Raum-Inhalte: Name des JGA und Tarnname, Namen der Crew und des Ehrengasts, Termine, Stationen des Fahrplans samt Orten, Aufgaben, Abstimmungen, Challenges und Packlisten
• Der Deckel: Auslagen mit Bezeichnung und Betrag, wer was ausgelegt hat und wer schon bezahlt hat
• Freigaben: welche Elemente für den Ehrengast sichtbar sind
• Zahlprofile: freiwillige Angaben zum Rückzahlungsweg, nämlich PayPal.me-Name und/oder IBAN. Diese Angaben sind optional; ohne sie funktioniert der Deckel genauso, nur ohne Zahl-Button.

Rechtsgrundlage ist die Erfüllung des Nutzungsverhältnisses, also die Bereitstellung der von euch angeforderten Funktionen (Art. 6 Abs. 1 lit. b DSGVO).

Wichtig, weil es um andere Menschen geht: Wer Namen oder Zahlprofile von Mitgliedern der Crew einträgt, sollte das mit ihnen abstimmen. Wir sehen die Inhalte nicht durch und prüfen sie nicht.

6. Anmeldung des Boss

Nur wer einen JGA anlegt („der Boss"), braucht ein Konto. Dafür verarbeiten wir je nach gewähltem Weg:

• die E-Mail-Adresse, an die wir einen einmaligen Anmeldecode schicken, oder
• das Token der Anmeldung mit Apple. Wenn du dort „E-Mail verbergen" wählst, erhalten wir nur die von Apple erzeugte Weiterleitungsadresse.

Die Crew braucht dafür gar nichts: Sie kommt über den Magic Link in den Raum — ohne Konto, ohne E-Mail-Adresse, ohne Installation. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

7. Versand der Anmeldecodes

Für den Versand der Anmeldecodes per E-Mail nutzen wir Resend als Auftragsverarbeiter, betrieben in der EU-Region. Der technische Versand erfolgt dabei über Amazon SES. Übermittelt werden die Empfängeradresse, der Code und die technischen Versanddaten der Nachricht.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO; ohne diesen Versand ist eine Anmeldung nicht möglich.

8. Ortssuche im Fahrplan

Wenn du im Fahrplan nach einem Ort suchst, geht deine Sucheingabe zuerst an unseren Server und von dort an die Google Places API. Dein Gerät spricht also nicht direkt mit Google: Google erhält weder deine IP-Adresse noch Kennungen deines Geräts, sondern nur den Suchtext, den wir weiterreichen. Werbe-Cookies werden dabei nicht gesetzt.

Eine Übermittlung an Server von Google außerhalb der EU ist dabei nicht ausgeschlossen. Rechtsgrundlage ist die Bereitstellung der Ortssuche als angeforderte Funktion (Art. 6 Abs. 1 lit. b DSGVO) sowie unser berechtigtes Interesse an brauchbaren Adressdaten (Art. 6 Abs. 1 lit. f DSGVO).

9. Die Zahl-Seite

Unter /pay/… lässt sich der Kassenstand auch ohne App ansehen. Die Seite zeigt Namen, Beträge und die hinterlegten Zahlprofile der Empfänger:innen — und zwar ausschließlich für den, der den geheimen Link hat. Der Link enthält ein eigenes Geheimnis; ohne dieses Geheimnis liefert der Server nichts aus. Der Zugang zum Crew-Raum wird dadurch nicht geöffnet.

Technisch bedingt ruft dein Browser dabei unser Backend (Supabase, Frankfurt) auf; dabei wird deine IP-Adresse an diesen Server übertragen. Die Seite ist für Suchmaschinen gesperrt.

Der Button „Mit PayPal zahlen" ist ein gewöhnlicher Link. Erst wenn du ihn antippst, verlässt du unsere Seite; ab dann verarbeitet PayPal deine Daten in eigener Verantwortung. Wir wickeln keine Zahlung ab und erfahren nicht, ob und wann du überwiesen hast.

Wer den Link weitergibt, gibt den Einblick weiter. Behandelt ihn wie den Kassenzettel: in der Crew, nicht in der Öffentlichkeit.

10. Empfänger deiner Daten

Wir verkaufen keine Daten und geben sie nicht zu Werbezwecken weiter. Eingebunden sind ausschließlich die folgenden Dienstleister, jeweils auf Grundlage eines Auftragsverarbeitungsvertrags:

• Vercel Inc. (USA) — Hosting der Website
• Supabase (Projektregion Frankfurt, eu-central-1) — Datenbank und Backend der App
• Resend (EU-Region, technischer Versand über Amazon SES) — E-Mail-Versand der Anmeldecodes und der Beta-Warteliste
• Google (Google Places API) — Ortssuche, ausschließlich über unseren Server
• Apple — Verteilung der Beta über TestFlight und, falls gewählt, die Anmeldung mit Apple

Darüber hinaus geben wir Daten nur weiter, wenn wir dazu gesetzlich verpflichtet sind.

11. Speicherdauer

• Raum-Inhalte bleiben gespeichert, bis der Raum von der Crew gelöscht wird. Löschen heißt löschen — samt Fahrplan, Deckel und Zahlprofilen.
• Kontodaten des Boss bleiben, bis das Konto gelöscht wird.
• Anmeldecodes verfallen kurzfristig und werden danach entwertet.
• Adressen auf der Beta-Warteliste bleiben bis zur Abmeldung.
• Server-Logs der Website werden nur kurzzeitig für Auslieferung und Sicherheit vorgehalten.
• Gesetzliche Aufbewahrungspflichten bleiben unberührt.

12. Beta-Warteliste (Newsletter)

Auf der Startseite kannst du dich mit deiner E-Mail-Adresse auf die Beta-Warteliste setzen. Wir nutzen sie ausschließlich, um dir mitzuteilen, wann die Beta für dich startet, und um dich gelegentlich über den Stand des Produkts zu informieren. Werbung für Dritte gibt es nicht, und wir geben die Adresse nicht weiter.

Die Anmeldung läuft im Double-Opt-In-Verfahren: Nach dem Eintragen speichern wir deine Adresse zunächst nur unbestätigt und schicken dir eine Mail mit einem Bestätigungslink. Der Link öffnet eine Seite mit einer Rückfrage — erst wenn du dort den Bestätigungs-Button drückst, landest du wirklich auf der Liste. Dieser zweite Schritt ist Absicht: Mailprogramme und Sicherheitsscanner rufen Links in Nachrichten oft automatisch ab, und eine solche Maschine soll für dich nichts bestätigen können. Drückst du den Button nicht, bekommst du von uns keine weitere Nachricht. Gespeichert werden dabei deine E-Mail-Adresse, ein zufälliges Bestätigungs-Token sowie der Zeitpunkt der Eintragung, der letzten Versandmail und der Bestätigung — Letzteres, um die Einwilligung nachweisen zu können.

Rechtsgrundlage ist deine Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO.

Beim Absenden des Formulars verarbeiten wir zusätzlich kurzzeitig die IP-Adresse deines Geräts: Sie landet zusammen mit einem Zähler in einer eigenen Zähltabelle, damit niemand das Formular als Mail-Kanone auf fremde Postfächer benutzen kann. Diese Einträge löschen wir automatisch, spätestens nach zwei Stunden; sie werden weder mit deiner Adresse noch mit anderen Daten zusammengeführt. Rechtsgrundlage ist unser berechtigtes Interesse am Schutz vor automatisiertem Missbrauch (Art. 6 Abs. 1 lit. f DSGVO).

Die Adressen liegen in unserer Datenbank bei Supabase (Region Frankfurt am Main) und — nach der Bestätigung — im Verteiler unseres Versanddienstleisters Resend (EU-Region, technischer Versand über Amazon SES). Beide sind für uns Auftragsverarbeiter nach Art. 28 DSGVO. Wir speichern deine Adresse, bis du dich abmeldest; danach löschen wir sie.

Du kannst deine Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen — über den Abmeldelink in jeder Mail oder formlos an tresen@letzterunde.app. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt davon unberührt.

13. Deine Rechte

Nach der DSGVO stehen dir zu:

• Auskunft über die zu dir gespeicherten Daten (Art. 15)
• Berichtigung unrichtiger Daten (Art. 16)
• Löschung (Art. 17)
• Einschränkung der Verarbeitung (Art. 18)
• Datenübertragbarkeit (Art. 20)
• Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21)
• Widerruf einer erteilten Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3)

Eine formlose Nachricht an tresen@letzterunde.app genügt. Damit wir nicht die falschen Daten herausgeben, fragen wir gegebenenfalls nach, um die Anfrage zuordnen zu können.

14. Beschwerderecht

Du kannst dich jederzeit bei einer Datenschutz-Aufsichtsbehörde beschweren (Art. 77 DSGVO), etwa der Behörde deines gewöhnlichen Aufenthaltsorts. Für uns zuständig ist der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg.

15. Änderungen dieser Erklärung

Wenn sich die App ändert, ändert sich diese Erklärung mit. Die jeweils aktuelle Fassung steht immer hier; der Stand steht darunter.

Stand: Juli 2026