Datenschutzerklärung

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:

a) Daten deines eigenen Accounts (du bist hierfür Betroffener und wir Verantwortlicher):

• Registrierungsdaten: Benutzername, E-Mail-Adresse, Passwort (nur als bcrypt- bzw. Argon2-Hash gespeichert)
• Sitzungsdaten: Login-Zeitstempel, IP-Adresse (für Sicherheitszwecke / Rate Limiting), Session-Token
• Organisationsdaten: Vereinszugehörigkeit, Rolle innerhalb der Organisation
• Zustimmungsnachweis: Zeitpunkt, IP-Adresse und Version der akzeptierten AGB/Datenschutzerklärung bei Registrierung (Art. 7 Abs. 1 DSGVO)
• Social-Login-Daten (optional): Wenn du dein Konto freiwillig mit Discord oder Google verknüpfst (Anmeldung oder in den Kontoeinstellungen), erhalten wir von diesem Anbieter deine dortige Konto-ID und die von dir dort hinterlegte, verifizierte E-Mail-Adresse. Diese Verknüpfung ist jederzeit in den Kontoeinstellungen wieder trennbar.

b) Daten, die dein Verein über Dritte einträgt (Mitglieder, Spieler:innen, Staff, Sponsoring-Kontakte, Event-Teilnehmer:innen) — hier ist der jeweilige Verein datenschutzrechtlich Verantwortlicher, wir verarbeiten diese Daten ausschließlich in seinem Auftrag (Art. 28 DSGVO, siehe unseren Auftragsverarbeitungsvertrag). Dazu zählen je nach Nutzung durch den Verein: Vor-/Nachname, Geburtsdatum, Adresse, Telefonnummer, E-Mail, Foto, Mitgliedskategorie und -status, Team-/Spielhistorie, LAN-Event-Anmeldungen sowie Beitrags-/Sponsoring-Beträge. Fragen zu diesen Daten richtest du bitte zuerst an deinen Verein.

Wir erheben ausschließlich Daten, die für den Betrieb der Plattform notwendig sind.

Wir verarbeiten deine Daten zu folgenden Zwecken:

• Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO): Bereitstellung der Plattformfunktionen (Login, Vereinsverwaltung, Spieler- und Eventmanagement) sowie notwendige Transaktions-E-Mails (Registrierungsbestätigung, Passwort-Reset, Einladungen) — diese sind zur Nutzung des Accounts erforderlich und keine Werbung
• Berechtigte Interessen (Art. 6 Abs. 1 lit. f DSGVO): Schutz der Plattform vor Missbrauch (Rate Limiting, Login-Protokollierung), Nachweis erteilter Zustimmungen, Performance- und Nutzungs-Monitoring zur Fehlerbehebung und Weiterentwicklung (siehe Ziffer 7)
• Vertragserfüllung ggü. dem Verein (Art. 6 Abs. 1 lit. b, im Auftrag nach Art. 28 DSGVO): Versand vereinsbezogener E-Mails, die der Verein selbst auslöst (z. B. LAN-Event-Ankündigungen an angemeldete Teilnehmer:innen)
• Zahlungsabwicklung (Art. 6 Abs. 1 lit. b DSGVO): Übermittlung von Name und E-Mail des Vereins an unseren Zahlungsdienstleister bei Abschluss eines kostenpflichtigen Tarifs
• Einwilligung (Art. 6 Abs. 1 lit. a DSGVO): Verknüpfung deines Kontos mit Discord oder Google — diese Funktion ist optional und wird ausschließlich durch deine aktive Handlung (Klick auf „Verbinden“) ausgelöst; du kannst die Verknüpfung jederzeit widerrufen, indem du sie in den Kontoeinstellungen wieder trennst
• Einwilligung (Art. 6 Abs. 1 lit. a DSGVO): Push-Benachrichtigungen — nur wenn du sie aktiv einschaltest
• Rechtliche Verpflichtung (Art. 6 Abs. 1 lit. c DSGVO): Aufbewahrung von Rechnungs- und Zahlungsbelegen nach steuerrechtlichen Vorschriften (§ 132 BAO)

Die Angabe von E-Mail-Adresse, Benutzername und Passwort ist für den Abschluss und die Nutzung des Accounts erforderlich; ohne sie ist keine Registrierung möglich. Alle weiteren Angaben sind freiwillig. Eine automatisierte Entscheidungsfindung einschließlich Profiling (Art. 22 DSGVO) findet nicht statt.

Deine Daten werden nicht an Dritte verkauft. Für den Betrieb setzen wir folgende Dienste ein:

• Vercel Inc.: Hosting der gesamten Plattform sowie Performance- und Nutzungs-Monitoring (siehe Ziffer 7). Sitz in den USA.
• Resend (resend.com): Versand von Transaktions-E-Mails (Bestätigung, Einladungen, Passwort-Reset). Sitz in den USA.
• Cloudflare, Inc. (R2): Speicherung von Mediendateien (Avatare, Uploads). Sitz in den USA.
• Cloudmersive: Virenscan hochgeladener Dateien vor der Speicherung; die Datei wird dafür zur Prüfung übermittelt. Sitz in den USA.
• Stripe, Inc.: Zahlungsabwicklung bei Buchung eines kostenpflichtigen Tarifs (Name, E-Mail des Vereins; Zahlungsdaten selbst werden ausschließlich von Stripe verarbeitet, nicht von uns gespeichert). Vertragspartner für Kund:innen im EWR ist Stripe Payments Europe, Ltd. (Irland); Übermittlungen an Stripe, Inc. (USA) sind möglich.
• Discord Inc. / Google Ireland Ltd.: Nur wenn du diese Funktion aktiv nutzt — Authentifizierung beim Anmelden bzw. beim Verknüpfen deines Kontos in den Einstellungen. Dabei erhalten Discord bzw. Google technisch bedingt Kenntnis davon, dass sich dieser Account bei Esportshub anmeldet bzw. verknüpft (u. a. IP-Adresse, Zeitpunkt). Sitz außerhalb der EU (Discord: USA) bzw. EU-Sitz mit Konzernbezug in die USA (Google).
• Push-Dienste der Browser-Hersteller (z. B. Google, Mozilla, Apple): Nur wenn du Push-Benachrichtigungen aktivierst — wir speichern die von deinem Browser erzeugte Push-Adresse (Endpoint, Schlüssel); die Zustellung erfolgt über den Push-Dienst deines Browsers. Widerruf jederzeit durch Deaktivieren in der App bzw. in den Browser-Einstellungen.
• Esports Central: Wenn du oder dein Verein die Verknüpfung zu Esports Central nutzt (z. B. Vereinsbeitritt über einen Connect-Code oder Turnieranmeldung bei einer LAN), werden über eine serverseitig durch ein gemeinsames Secret gesicherte Schnittstelle bestimmte Daten zwischen beiden Plattformen ausgetauscht (u. a. Name, Central-Benutzername/-Handle, Central-Nutzer-ID sowie Turnier-/Team-Anmeldedaten). Esports Central wird von demselben Verantwortlichen wie Esportshub betrieben (siehe Ziffer 1) — es handelt sich also nicht um eine Weitergabe an einen Dritten, sondern um einen Datenaustausch zwischen zwei eigenen Systemen desselben Betreibers. Wir nennen die Verbindung hier trotzdem, damit du nachvollziehen kannst, wohin deine Daten bei Nutzung dieser Funktion fließen. Für die Scouting-Funktion (Spielersuche für Vereine) werden Esports-Central-Profile nur angezeigt, wenn die jeweilige Person dort ausdrücklich eingewilligt hat.

Mit den als Auftragsverarbeiter eingesetzten Dienstleistern bestehen Auftragsverarbeitungsverträge gemäß Art. 28 DSGVO. Soweit Daten in die USA übermittelt werden, stützen wir uns auf die Zertifizierung des jeweiligen Anbieters unter dem EU-U.S. Data Privacy Framework (Angemessenheitsbeschluss der EU-Kommission vom 10.07.2023), hilfsweise auf EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO).

Alle übrigen Daten verbleiben in unserer eigenen Datenbank.

Wir speichern deine Daten so lange, wie dein Account aktiv ist oder du uns zur Löschung aufforderst. Im Einzelnen:

• Accountdaten: bis zur Löschung des Accounts
• Rate-Limit-Einträge (IP-basiert, zum Schutz vor Missbrauch): automatische Löschung nach 90 Tagen durch einen täglichen Bereinigungsjob
• Gelöschte Accounts: anonymisiert nach 30 Tagen (Soft-Delete)
• Rechnungs- und Zahlungsbelege (Pro-Tarif): 7 Jahre ab Ende des Kalenderjahres (§ 132 BAO), auch nach Löschung des Accounts
• Zustimmungsnachweise (AGB, Rücktritts-Verzicht): solange der Account besteht bzw. bis zum Ablauf möglicher Ansprüche

Du hast folgende Rechte gegenüber uns:

• Auskunft (Art. 15): Welche Daten wir über dich gespeichert haben
• Berichtigung (Art. 16): Korrektur unrichtiger Daten
• Löschung (Art. 17): Löschung deines Accounts und aller personenbezogenen Daten
• Einschränkung (Art. 18): Einschränkung der Verarbeitung
• Datenübertragbarkeit (Art. 20): Herausgabe deiner Daten in einem gängigen, maschinenlesbaren Format (auf Anfrage per E-Mail)
• Widerspruch (Art. 21): Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen
• Widerruf (Art. 7 Abs. 3): Erteilte Einwilligungen kannst du jederzeit mit Wirkung für die Zukunft widerrufen

Zur Ausübung dieser Rechte wende dich an: maxi@silvarrion.at. Wir antworten innerhalb eines Monats (Art. 12 Abs. 3 DSGVO).

Du hast außerdem das Recht, dich bei der österreichischen Datenschutzbehörde zu beschweren: Datenschutzbehörde, Barichgasse 40–42, 1030 Wien

Diese Website verwendet technisch notwendige Cookies für den Betrieb (Session-Verwaltung über NextAuth). Diese sind für den Login zwingend erforderlich und können nicht deaktiviert werden.

Zusätzlich setzen wir zwei cookielose Tools unseres Hosting-Anbieters Vercel Inc. (USA) ein. Sie setzen keine Cookies und speichern nichts auf deinem Gerät. Rechtsgrundlage ist unser berechtigtes Interesse an einer funktionierenden, performanten und bedarfsgerecht weiterentwickelten Plattform (Art. 6 Abs. 1 lit. f DSGVO):

• Vercel Speed Insights: Messung von Ladezeiten und Fehlern (u. a. IP-Adresse, aufgerufene Seite, Ladezeit, Gerätetyp).
• Vercel Web Analytics: aggregierte, nicht auf einzelne Personen rückführbare Nutzungsstatistiken (z. B. aufgerufene Seiten, ungefähre geografische Herkunft, Referrer).

Du kannst dem jederzeit widersprechen (Art. 21 DSGVO): Wählst du im Banner „Monitoring ablehnen“, werden diese Tools in diesem Browser nicht mehr geladen. Deine Auswahl speichern wir für ein Jahr in einem technisch notwendigen Cookie („cookie-consent“). Wir setzen kein Google Analytics und keine Tools ein, die dich über Cookies, Local Storage oder Fingerprinting individuell und geräteübergreifend wiedererkennen.

Cookie-/Monitoring-Einstellungen ändern

Wenn dein Verein die digitale Mitgliedskarte aktiviert, ist diese über einen individuellen Link (mit einem langen, zufälligen Zugangscode) bzw. den darauf basierenden QR-Code abrufbar — ohne dass sich die Person, die den Link öffnet, dabei einloggen muss. Über diesen Link sind Vor-/ Nachname, Mitgliedsnummer, Mitgliedsstatus, Beitragskategorie und ggf. das hinterlegte Foto einsehbar. Der Zugangscode ist praktisch nicht erratbar und die Abfrage ist zusätzlich rate-limitiert; dennoch gilt: Jede Person, die diesen Link oder QR-Code erhält, kann diese Daten ohne weitere Legitimation abrufen. Gib die Karte deshalb nur an Personen weiter, denen du sie zeigen möchtest (z. B. zur Zutrittskontrolle bei einem Event).

Passwörter werden ausschließlich als bcrypt- bzw. Argon2-Hash gespeichert. Optional steht eine Zwei-Faktor-Authentifizierung (TOTP) zur Verfügung. Die Verbindung zur Plattform erfolgt verschlüsselt über HTTPS (TLS). Sicherheits-relevante HTTP-Header (HSTS, CSP, X-Frame-Options) sind aktiviert.

Wir behalten uns vor, diese Datenschutzerklärung bei Bedarf zu aktualisieren. Die aktuelle Version ist stets auf dieser Seite abrufbar.