Datenschutzerklärung

Stand: 21.07.2026

1. Verantwortlicher

Verantwortlich für die Datenverarbeitung im Zusammenhang mit dem Angebot „elftipp" ist:

Nils-Ole Kief
Neugärtenring 17
68766 Hockenheim
E-Mail: kontakt@elftipp.com

2. Überblick

elftipp ist ein Tipp- und Managerspiel zu Fußballwettbewerben. Ein Gastgeber (z. B. Freundeskreis, Bar, Verein, Firma, Event) richtet eine Tipprunde ein; Mitspieler treten über einen Link oder QR-Code bei und spielen kostenlos – lediglich mit einem frei wählbaren Spitznamen, ohne Klarnamenpflicht. Kostenpflichtig sind ausschließlich optionale Zusatzleistungen und Angebote für Gastgeber. Im Folgenden informieren wir Sie darüber, welche personenbezogenen Daten wir verarbeiten, zu welchem Zweck und auf welcher Rechtsgrundlage.

Zusätzlich können Sie sich auf unserer Startseite freiwillig in eine Warteliste eintragen, um über den Start kommender Spielrunden informiert zu werden (Ziffer 5). Diese Anmeldung ist vom Spiel selbst unabhängig – für das Mitspielen in einer Tipprunde ist sie nicht erforderlich.

3. Daten der Mitspieler

Bei der Teilnahme am Spiel verarbeiten wir:

• Spitzname (Nickname): frei wählbar; dient ausschließlich der Anzeige in der Rangliste.
• Geräte-/Wiedererkennungs-Token: ein technischer Kennwert (anonyme Sitzung), der lokal auf Ihrem Endgerät gespeichert wird, damit Ihr Spielstand Ihnen ohne Passwort wieder zugeordnet werden kann.
• Spielbezogene Daten: abgegebene Tipps, Aufstellungen, Punktestände, Position in der Rangliste.
• Optional Ihre E-Mail-Adresse: wenn Sie Ihren Spielstand geräteübergreifend sichern möchten, können Sie Ihre Teilnahme freiwillig mit einer E-Mail-Adresse verknüpfen (Anmeldelink, kein Passwort). Ohne diese Verknüpfung bleibt die Teilnahme ohne E-Mail-Angabe möglich.
• Identifikationscode: ein Code zur Identifizierung gegenüber dem Gastgeber, falls dieser optional Preise auslobt.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Durchführung der von Ihnen initiierten Spielteilnahme) sowie Art. 6 Abs. 1 lit. f DSGVO (technisch fehlerfreier Spielbetrieb). Es besteht keine Klarnamenpflicht. Bitte verwenden Sie keinen Spitznamen, der Sie oder Dritte identifiziert.

4. Daten der Gastgeber

Wenn Sie eine Tipprunde einrichten, verarbeiten wir Ihre E-Mail-Adresse (Anmeldung per Anmeldelink) sowie die von Ihnen vergebenen Runden-Einstellungen. Bei Buchung kostenpflichtiger Leistungen verarbeiten wir zusätzlich: Name bzw. Firmen-/Inhabername, Ansprechpartner, Rechnungsanschrift sowie Zahlungs- und Buchungsdaten.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) und Art. 6 Abs. 1 lit. c DSGVO (Einhaltung steuerlicher Aufbewahrungspflichten).

4a. Daten von Profispielern (Sportdaten)

Zur Darstellung von Spielplänen, Ergebnissen und Statistiken verarbeiten wir öffentlich verfügbare Daten von Profifußballspielern (Name, Position, Spielereignisse wie Tore, Vorlagen, Karten, Leistungsnoten). Diese Daten beziehen wir nicht von den Betroffenen selbst, sondern von unserem Sportdaten-Anbieter Sportmonks B.V., Niederlande (Art. 14 DSGVO).

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Information über öffentliches Sportgeschehen des Profifußballs, an dem ein breites öffentliches Informationsinteresse besteht). Es werden ausschließlich spielbezogene Leistungsdaten verarbeitet — keine besonderen Kategorien personenbezogener Daten (z. B. keine Gesundheits- oder Verletzungsdaten).

5. Early-Access-Warteliste (Anmeldung per E-Mail)

Auf unserer Startseite können Sie sich freiwillig in eine Warteliste eintragen, um über den Start von elftipp informiert zu werden und regelmäßig Neuigkeiten zu erhalten. Dabei verarbeiten wir:

• E-Mail-Adresse (Pflichtangabe) – zur Zusendung der Bestätigungs- und Info-Mails.
• Freiwillige Angaben: Name des Lokals, Postleitzahl sowie die Art der Nutzung (z. B. privat, Bar, Verein) – zur groben Einordnung, ob und wo elftipp für Sie passt.
• Nachweis Ihrer Einwilligung (Art. 7 Abs. 1 DSGVO): Zeitstempel, der Ihnen angezeigte Einwilligungstext sowie ein nicht umkehrbarer Prüfwert Ihrer IP-Adresse. Die IP-Adresse selbst speichern wir nicht, und aus dem Prüfwert lässt sie sich nicht zurückrechnen. Er dient ausschließlich dem Missbrauchsschutz (Begrenzung von Massen- und Spam-Anmeldungen).
• Herkunfts- und Empfehlungsangaben: Kampagnen-Parameter aus dem von Ihnen aufgerufenen Link (sogenannte UTM-Parameter) sowie ein Empfehlungscode, falls Sie über den Einladungslink einer anderen Person kommen. Sie erhalten selbst einen solchen Code, um Freunde einladen zu können.

Doppelte Bestätigung (Double-Opt-in): Nach der Anmeldung erhalten Sie eine E-Mail mit einem Bestätigungslink. Erst wenn Sie diesen anklicken, wird Ihr Eintrag aktiv. Der Link ist 48 Stunden gültig. Nicht bestätigte Anmeldungen löschen wir automatisch nach Ablauf dieser Frist.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Ihre Einwilligung). Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen – über den Abmeldelink in jeder E-Mail oder formlos an die unter Ziffer 1 genannte Adresse. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt davon unberührt.

Bot-Schutz (Cloudflare Turnstile): Zum Schutz des Anmeldeformulars vor automatisierten Massen-Anmeldungen setzen wir Cloudflare Turnstile ein. Dabei verarbeitet Cloudflare (Cloudflare, Inc., USA / Cloudflare Germany GmbH) technische Verbindungs- und Interaktionsdaten (u. a. IP-Adresse, Browser-Merkmale), um zu prüfen, ob eine Anfrage von einem Menschen stammt. Es werden dabei keine Cookies zu Werbezwecken gesetzt und kein seitenübergreifendes Tracking durchgeführt.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Abwehr von Spam und Missbrauch). Übermittlungen in die USA sind über das EU-US Data Privacy Framework bzw. EU-Standardvertragsklauseln abgesichert (siehe Ziffer 10).

6. Bildergalerie / Diashow

Auf unserer Startseite zeigen wir Bilder von Spielabenden in teilnehmenden Betrieben. Dazu gilt:

• Kein Upload durch Besucher. Die Bilder werden ausschließlich von uns selbst eingestellt; eine Möglichkeit, über diese Seite Fotos hochzuladen, besteht nicht.
• Wir verwenden bewusst Motive, auf denen keine Personen erkennbar sind (z. B. Stimmungsaufnahmen, Detailaufnahmen, Personen von hinten oder als Silhouette). In diesen Fällen werden keine personenbezogenen Daten verarbeitet.
• Ist auf einem Bild ausnahmsweise doch eine Person erkennbar, veröffentlichen wir es nur mit deren ausdrücklicher Einwilligung (bei Minderjährigen mit Einwilligung der Erziehungsberechtigten).

Foto-Upload in der App: Soweit die Anwendung eine Funktion zum Hochladen von Event-Fotos anbietet, wird jedes Foto zunächst nicht öffentlich gespeichert und erst nach Prüfung und Freigabe angezeigt. Der Upload setzt die Bestätigung voraus, dass alle abgebildeten Personen mit Upload und Veröffentlichung einverstanden sind (bei Minderjährigen die Erziehungsberechtigten). Zur Missbrauchsabwehr speichern wir einen nicht umkehrbaren Prüfwert der IP-Adresse (keine rohe IP) sowie den bestätigten Einwilligungstext.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung der abgebildeten Person). Sind Sie auf einem Bild zu sehen und möchten die Veröffentlichung nicht oder nicht mehr, genügt eine formlose Nachricht an die unter Ziffer 1 genannte E-Mail-Adresse – wir entfernen das Bild dann umgehend, ohne dass Ihnen daraus Nachteile entstehen.

7. Server-Logfiles

Beim Aufruf des Angebots werden automatisch technische Daten erhoben (u. a. gekürzte IP-Adresse, Datum und Uhrzeit, aufgerufene Ressource, HTTP-Status, Browsertyp, Betriebssystem). Die Bereitstellung und Absicherung erfolgt über unseren Dienstleister Cloudflare (siehe Ziffer 9).

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Sicherheit, Stabilität und störungsfreiem Betrieb). Speicherdauer: maximal 30 Tage.

8. Cookies und lokale Speicherung

Wir speichern den unter Ziffer 3 genannten Wiedererkennungs-Token lokal auf Ihrem Endgerät. Dieser ist für den Spielablauf technisch erforderlich; die Speicherung erfolgt daher nach § 25 Abs. 2 Nr. 2 TDDDG ohne Einwilligung. Wir setzen keine Marketing- oder Tracking-Cookies und keine Cookies von Drittanbietern zu Werbezwecken ein.

9. Eingebundene Dienste und Empfänger

Wir setzen sorgfältig ausgewählte Dienstleister ein, mit denen – soweit erforderlich – Verträge zur Auftragsverarbeitung nach Art. 28 DSGVO bestehen:

• Cloudflare (Hosting, Content-Delivery, Sicherheit, Bot-Schutz „Turnstile" [Ziffer 5], E-Mail-Weiterleitung) – Cloudflare, Inc., USA / Cloudflare Germany GmbH. Verarbeitung technischer Verbindungsdaten. Übermittlung in die USA, abgesichert über das EU-US Data Privacy Framework bzw. EU-Standardvertragsklauseln. Soweit wir Cloudflare-Analytics zur Reichweitenmessung einsetzen, erfolgt dies cookielos, ohne Zugriff auf Endgeräte-Speicher und ohne geräteübergreifendes Tracking; eine Einwilligung ist hierfür nicht erforderlich.
• Stripe (Zahlungsabwicklung) – Stripe Payments Europe Ltd., Irland (ggf. Stripe, Inc., USA). Verarbeitung der Zahlungs- und Rechnungsdaten der Gastgeber bei kostenpflichtigen Buchungen. Für die eigentliche Zahlungsabwicklung (einschließlich Betrugsprävention und gesetzlicher Pflichten) ist Stripe eigenständiger Verantwortlicher; Einzelheiten in der Datenschutzerklärung von Stripe. Soweit Stripe darüber hinaus in unserem Auftrag verarbeitet, besteht ein Auftragsverarbeitungsvertrag.
• Resend (Versand von System- und Transaktions-E-Mails) – Resend (Plus Five Five, Inc.), USA. Übermittlung in die USA, abgesichert über EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO).
• Sportmonks (Sport-/Spieldaten) – Sportmonks B.V., Niederlande (EU). Sportmonks liefert uns ausschließlich Sport-/Spieldaten (siehe Ziffer 4a). Es werden keine personenbezogenen Daten von Nutzern an Sportmonks übermittelt.
• Supabase (Datenbank, Authentifizierung und Speicher) – Supabase, Inc., USA; die Verarbeitung und Speicherung der Daten erfolgt auf Servern innerhalb der EU. Es besteht ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO; etwaige Zugriffe aus den USA (z. B. Support) sind über EU-Standardvertragsklauseln abgesichert.
• Backblaze (verschlüsselte Datensicherung) – Backblaze, Inc., USA; Speicherung der Backups in der EU-Region. Absicherung über EU-Standardvertragsklauseln.
• Sentry (technische Fehlerdiagnose) – Functional Software, Inc. (dba Sentry), USA. Zur Diagnose technischer Fehler kann auf unseren Seiten der Dienst Sentry zum Einsatz kommen; die Datenhaltung unserer Instanz erfolgt in der EU (Frankfurt). Verarbeitet werden dabei technische Fehler- und Gerätedaten (u. a. gekürzte IP-Adresse, Browsertyp, Betriebssystem, Fehlermeldung), keine Inhalte aus Formularen. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem stabilen, fehlerfreien Betrieb).

10. Übermittlung in Drittländer

Soweit Daten in Länder außerhalb der EU/des EWR übermittelt werden (insbesondere USA), erfolgt dies auf Grundlage eines Angemessenheitsbeschlusses (EU-US Data Privacy Framework) oder auf Basis von EU-Standardvertragsklauseln gemäß Art. 46 DSGVO.

11. Speicherdauer

Spielbezogene Daten der Mitspieler werden nach Abschluss der jeweiligen Saison bzw. Tipprunde und Wegfall des Zwecks gelöscht. Server-Logfiles werden nach maximal 30 Tagen gelöscht. Rechnungs- und Vertragsdaten der Gastgeber bewahren wir entsprechend der gesetzlichen Aufbewahrungsfristen (insbesondere § 147 AO, 10 Jahre) auf.

Warteliste (Ziffer 5): Nicht bestätigte Anmeldungen löschen wir automatisiert nach Ablauf der 48-stündigen Bestätigungsfrist. Bestätigte Einträge speichern wir, bis Sie sich abmelden (Widerruf Ihrer Einwilligung) – die Einwilligung gilt bis dahin fort. Nach einer Abmeldung löschen wir Ihre Daten. Wir bewahren lediglich auf: (a) den Nachweis der ursprünglich erteilten Einwilligung und Ihrer Abmeldung, um unserer Rechenschaftspflicht (Art. 5 Abs. 2 DSGVO) nachkommen zu können, und (b) Ihre E-Mail-Adresse in einer Sperrliste, damit Sie nicht versehentlich erneut angeschrieben werden. Rechtsgrundlage hierfür ist Art. 6 Abs. 1 lit. c und lit. f DSGVO (Nachweispflicht bzw. berechtigtes Interesse, Ihren Widerspruch dauerhaft zu beachten).

12. Ihre Rechte

Sie haben das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) sowie Widerspruch (Art. 21 DSGVO). Zur Ausübung genügt eine formlose Nachricht an die unter Ziffer 1 genannte E-Mail-Adresse.

13. Beschwerderecht bei der Aufsichtsbehörde

Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren. Die für uns zuständige Behörde ist:

Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg (LfDI BW), Lautenschlagerstraße 20, 70173 Stuttgart.

14. Keine automatisierte Entscheidungsfindung

Eine automatisierte Entscheidungsfindung einschließlich Profiling im Sinne des Art. 22 DSGVO findet nicht statt.

15. Kontaktaufnahme per E-Mail

Wenn Sie uns per E-Mail (z. B. an kontakt@elftipp.com) kontaktieren, verarbeiten wir Ihre E-Mail-Adresse sowie die Inhalte Ihrer Nachricht zur Bearbeitung Ihres Anliegens. Eingehende E-Mails werden über unseren Dienstleister Cloudflare (E-Mail-Weiterleitung, siehe Ziffer 9) an unser E-Mail-Postfach weitergeleitet; das Postfach wird bei Google Ireland Limited (Gmail) geführt. Korrespondenz löschen wir, sobald sie für die Bearbeitung nicht mehr erforderlich ist und keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Anbahnung/Durchführung eines Vertrags) bzw. Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Beantwortung von Anfragen).

16. Änderungen dieser Datenschutzerklärung

Wir passen diese Datenschutzerklärung an, wenn sich die Datenverarbeitung oder die Rechtslage ändert. Es gilt die jeweils auf dieser Seite veröffentlichte Fassung.