Datenschutz

Datenschutzerklärung gemäss revDSG (Schweiz), gültig ab 1. September 2023

1. Verantwortliche Stelle

2. Bearbeitete Personendaten

Wir bearbeiten ausschliesslich Daten, die für den Vereinsbetrieb und den Betrieb der Plattform erforderlich sind:

• Einsatzplanung (Imbisswagen): Vorname, Nachname, E-Mail-Adresse, Handynummer (Pflichtfeld) – zur Koordination von Helfereinsätzen an Spieltagen
• Vereinseinsätze / Projekte: Vorname, Nachname, E-Mail-Adresse, optional Handynummer – zur Anmeldung und Koordination von Vereinsprojekten
• Schnuppertraining-Anmeldung: Vorname, Nachname und Geburtsdatum des Kindes; Name, E-Mail-Adresse, Handynummer und Adresse (Strasse, PLZ, Ort) der Eltern; optional ein Gesundheitshinweis (besonders schützenswerte Personendaten gemäss Art. 5 lit. c revDSG – nur, wenn Sie ihn freiwillig angeben) sowie ein Wunschtermin. Diese Daten dienen der Organisation der Schnuppertrainings und, falls Ihr Kind dem Verein beitritt, der Aufnahme als Mitglied.
• Aktivmitglied-Anmeldung: Vorname, Nachname, Geburtsdatum und Handynummer des Kindes; gewähltes Team; Adresse (Strasse, PLZ, Ort); Name und Handynummer von Mutter und Vater; E-Mail-Adresse der Eltern; Angaben zu Geschwistern, einer allfälligen Beistandschaft und einem Vorverein; optional ein Gesundheitshinweis (besonders schützenswerte Personendaten gemäss Art. 5 lit. c revDSG – nur, wenn Sie ihn freiwillig angeben) sowie eine Bemerkung. Diese Daten dienen ausschliesslich der Aufnahme und Betreuung als aktives Mitglied.
• Passivmitglied-Anmeldung (Fördermitgliedschaft): Vorname, Nachname, Adresse (Strasse, PLZ, Ort), E-Mail-Adresse, optional eine Bemerkung – zur Führung der Fördermitgliedschaft.
• Push-Benachrichtigungen (optional): Wer sich für Benachrichtigungen zu einem Team oder allgemeinen News anmeldet, erzeugt auf seinem Gerät ein Push-Abo. Gespeichert werden der dafür nötige technische Endpoint des Browser-Push-Dienstes, die zugehörigen Verschlüsselungscodes sowie das abonnierte Team – keine Namen oder Kontaktdaten. Dieses Abo ist rein freiwillig und wird ausschliesslich für angemeldete Personen erzeugt.
• FCM-Bot (Suchassistent auf der Startseite): Der Bot beantwortet Fragen zu Training, Spielen, Teams und Anmeldung anhand der ohnehin öffentlichen Seiteninhalte. Die eingegebenen Fragetexte werden für die Dauer der Anfrage verarbeitet und nicht protokolliert; sie werden per POST übertragen und erscheinen daher nicht in Adresszeilen oder Zugriffsprotokollen. Zur Verbesserung des Bots speichern wir ausserdem den Wortlaut der gestellten Fragen – gekürzt, ohne erkennbare E-Mail-Adressen, Links und Telefonnummern, ohne IP-Adresse, Gerät oder Kennung und ohne die Antwort des Bots, höchstens 30 Tage und nur für Administratoren einsehbar. Für den Missbrauchsschutz wird pro Anschluss nur ein anonymer Zähler (Hashwert, höchstens eine Minute) geführt. Zur Verbesserung des Angebots zählen wir ausserdem anonym, wie oft der Bot geöffnet wird und zu welchem Themenbereich (z.B. «Training», «Spiele») Fragen gestellt werden – als reine Tageszähler ohne Fragetext, IP-Adresse oder Kennung. Um auszuwerten, auf wie vielen Geräten der Bot genutzt wird, merkt sich Ihr Browser lokal nur das Datum, an dem der Bot zuletzt gezählt wurde (Speicher «localStorage»); an den Server wird dafür lediglich gemeldet, ob das Gerät heute erstmals oder erstmals überhaupt zählt, und ein Tageszähler erhöht – es wird keine Kennung übertragen oder gespeichert. Diese Markierung können Sie jederzeit durch Löschen der Website-Daten entfernen. Dazu wird die Frage im Moment der Beantwortung nur mit einer festen Themenliste abgeglichen (z.B. «Kosten», «Camp», «Versicherung») und das Treffer-Thema gezählt; dabei werden keine freien Wörter oder Namen mitgezählt. Fragen Sie im Bot nach Resultaten, bindet er das offizielle Matchcenter-Widget des Verbands (widget.football.ch) ein; dabei verbindet sich Ihr Browser direkt mit dessen Server (siehe Ziffer 4). Für Wetterauskünfte ruft unser Server die Vorhersage für Märstetten beim Dienst Open-Meteo.com ab (feste Ortskoordinaten, kurz zwischengespeichert); Fragetexte, IP-Adressen oder andere Daten von Besuchern werden dabei nicht übermittelt. Bitte geben Sie im Bot keine persönlichen Daten (z.B. Namen von Kindern) ein.
• Trainer-Bereich: E-Mail-Adresse und Passwort-Hash (bcrypt, Einweg-Verfahren) – zur Authentifizierung; das Klartext-Passwort wird nie gespeichert
• Technische Protokolldaten: IP-Adresse, Zeitstempel, aufgerufene Seiten – automatisch durch den Webserver erfasst, max. 30 Tage aufbewahrt

3. Zweck und Rechtsgrundlage der Bearbeitung

Die Bearbeitung erfolgt zur Erfüllung vereinsbezogener Aufgaben (Art. 31 revDSG) sowie auf Grundlage der freiwilligen Einwilligung der betroffenen Person (Art. 6 Abs. 6 revDSG i.V.m. Anmeldevorgang). Es besteht keine gesetzliche Pflicht zur Angabe der Daten – ohne Angabe ist eine Anmeldung für Einsätze bzw. zum Schnuppertraining jedoch nicht möglich.

• Koordination und Planung von Vereinseinsätzen und Spieltaghelfer-Einsätzen
• Organisation von Schnuppertrainings sowie der Aufnahme neuer Mitglieder
• Versand von Bestätigungs- und Benachrichtigungs-E-Mails (kein Newsletter, kein Marketing)
• Sicherstellung des sicheren und störungsfreien Betriebs der Plattform
• Veröffentlichung von Fotos in der Fotogalerie – für Fotos von Personen nur mit Einverständnis (siehe unten)

4. Bekanntgabe von Personendaten

Personendaten werden nicht verkauft, vermietet oder zu Werbezwecken weitergegeben. Eine Weitergabe erfolgt ausschliesslich:

• OVH SAS, Frankreich (EU): Webhosting-Anbieter; technisch notwendig für den Betrieb der Plattform. Frankreich verfügt über ein angemessenes Datenschutzniveau gemäss schweizerischem Recht (Angemessenheitsentscheid des EDÖB für EU-Staaten).
• Brevo (Sendinblue SA), Frankreich (EU): E-Mail-Versanddienstleister für Systembenachrichtigungen (Passwort-Reset, initiale Zugangsdaten, Schnuppertraining-Mails). Die Übermittlung beschränkt sich auf die Empfänger-E-Mail-Adresse und den Nachrichteninhalt.
• openplzapi.org (Open PLZ API): Bei der Anmeldung zum Schnuppertraining sowie zur Aktiv- oder Passivmitgliedschaft wird die eingegebene Postleitzahl von unserem Server an diesen öffentlichen Dienst übermittelt, um den Ortsnamen und die Strassen dieser PLZ zu ermitteln (Vorschläge, Prüfung von Strasse und Hausnummer). Die Abfrage erfolgt über unseren Server und wird zwischengespeichert; Ihr Browser und Ihre IP-Adresse kommen mit dem Dienst nicht in Kontakt. Es werden nur Postleitzahlen übermittelt, keine Personendaten (Name, Strasse, Kontaktdaten).
• Hunter (hunter.io, Frankreich) – Prüfung von E-Mail-Adressen: Bei Anmeldungen und Nachrichten über unsere Formulare sowie bei der Einrichtung von Trainer-Konten prüft unser Server die angegebene E-Mail-Adresse zuerst selbst (Schreibweise, Domain, Wegwerf-Adressen). Besteht sie diese Prüfung, wird nur die E-Mail-Adresse (ohne Namen oder weitere Angaben) an den Prüfdienst Hunter übermittelt, der feststellt, ob die Adresse existiert und zustellbar ist. Zweck ist, dass Bestätigungen und Antworten die Personen tatsächlich erreichen und keine Fehleingaben oder Wegwerf-Adressen erfasst werden (berechtigtes Interesse). Bei Hunter selbst gespeichert werden die Daten laut Anbieter auf Servern in der EU; auf unserem Server merken wir uns das Ergebnis nur als nicht lesbaren Hash der Adresse für 30 Tage, damit dieselbe Adresse nicht mehrfach geprüft wird. Fällt der Dienst aus, wird die Anmeldung trotzdem angenommen.
• ClubDesk AG, Schweiz: Tritt ein Kind nach dem Schnuppertraining dem Verein bei, werden Name, Adresse, Telefonnummer und E-Mail-Adresse durch den Juniorenobmann manuell in die vereinsinterne Mitgliederverwaltung ClubDesk übertragen.
• Fotogalerie: Fotos von Trainings, Spielen, Turnieren und Anlässen werden in der Fotogalerie gezeigt. Neue Alben lädt die Redaktion des Vereins auf unseren Server hoch (vor dem Upload verkleinert; versteckte Zusatzdaten wie der Aufnahmeort werden entfernt). Auch ältere Alben liegen auf unserem Server; beim Anzeigen der Fotos verbindet sich Ihr Browser nicht mit Dritten. Das Einverständnis zur Veröffentlichung von Fotos ist in Ziffer 3 («Einverständnis zur Veröffentlichung von Fotos») geregelt; es wird mit dem Akzeptieren dieser Datenschutzerklärung bei der Anmeldung erteilt. Abgebildete Personen bzw. ihre Erziehungsberechtigten können der Veröffentlichung eines Fotos jederzeit widersprechen: Eine Nachricht an die Kontaktstelle (Ziffer 1) genügt, das Foto wird zeitnah entfernt.
• Open-Meteo.com (Wetter): Die Startseite ruft die Wetterwerte für die Trainings direkt im Browser bei api.open-meteo.com ab; der Dienst erhält dabei technisch bedingt Ihre IP-Adresse, sonst keine Angaben. Für Wetterauskünfte im FCM-Bot und für die passende Wetter-Bemerkung in seiner Sprechblase ruft unser Server die Vorhersage für Märstetten ab; dabei werden keine Angaben von Ihnen übermittelt (siehe Abschnitt FCM-Bot).
• Karte der Trainingsstandorte (OpenStreetMap, cdnjs): Auf der Seite «Trainingsstandorte» und in den Ortsantworten des FCM-Bots werden die Karten beim Aufruf geladen: Ihr Browser holt das Kartenprogramm Leaflet von cdnjs.cloudflare.com (Cloudflare, Inc., USA) und die Kartenkacheln von tile.openstreetmap.org (OpenStreetMap Foundation, Grossbritannien); diese Dienste erhalten dabei technisch bedingt Ihre IP-Adresse. Die Routen-Buttons öffnen erst nach Ihrem Klick Google Maps bzw. Apple Karten in einem neuen Fenster.
• Google Fonts (Google LLC, USA): Beim Aufruf der Seiten lädt Ihr Browser die Schriftarten von fonts.googleapis.com und fonts.gstatic.com; Google erhält dabei technisch bedingt Ihre IP-Adresse.
• Matchcenter-Widget des Verbands (football.ch): Auf den Teamseiten der C- und D-Junioren sowie auf Wunsch im FCM-Bot werden Resultate und Ranglisten über das offizielle Widget des Fussballverbands (widget.football.ch) eingebettet. Beim Anzeigen verbindet sich Ihr Browser direkt mit dem Server des Verbands, der dabei technisch bedingt z.B. Ihre IP-Adresse erhält. Wir selbst laden das Widget nie serverseitig und geben dabei keine Daten weiter.
• Push-Dienste der Browser-Hersteller (Google, Mozilla, Apple): Wer Push-Benachrichtigungen abonniert, erhält diese technisch über den Push-Dienst seines Browsers (z.B. Google FCM bei Chrome/Android, Mozilla-Push bei Firefox, Apple bei Safari/iOS) – teilweise mit Serverstandort ausserhalb der EU/Schweiz, u.a. USA. Übermittelt wird dabei ausschliesslich der technische Endpoint des Geräts; der Nachrichteninhalt ist Ende-zu-Ende verschlüsselt und für diese Dienste nicht lesbar. Diese Übermittlung erfolgt nur für Personen, die aktiv ein Push-Abo eingerichtet haben.
• Vereinsfunktionäre (Trainer, Vorstand, Juniorenobmann): Zur internen Koordination von Einsätzen, Projekten, Schnuppertrainings und Mitgliedschaften – jeweils nur die Personen mit Zugriff auf die entsprechende Mannschaft bzw. Aufgabe.

Eine Bekanntgabe in Drittstaaten erfolgt nur an die oben genannten Dienste (z.B. Google Fonts, Cloudflare/cdnjs in den USA); eine weitergehende Bekanntgabe findet nicht statt.

5. Speicherdauer

Anmeldedaten zu Einsätzen und Projekten werden nach Abschluss des jeweiligen Einsatzes bzw. Projekts gelöscht, spätestens jedoch nach 12 Monaten. Schnuppertraining- und Aktivmitglied-Anmeldungen werden gelöscht, sobald sie abgelehnt wurden oder die Anmeldung ruht, spätestens jedoch 90 Tage nach der letzten Änderung; nach erfolgter Aufnahme als Mitglied 30 Tage nach der Aufnahme (die Daten liegen dann bereits in ClubDesk vor). Passivmitglied-Daten (Fördermitgliedschaft) werden aufbewahrt, solange die Mitgliedschaft aktiv ist, und nach Austritt bzw. Nichterneuerung gelöscht. Push-Abos bleiben gespeichert, bis die Person sie selbst abbestellt, oder werden automatisch entfernt, sobald der Push-Dienst des Browsers das Abo als ungültig meldet (z.B. nach Deinstallation der Seite). Technische Protokolldaten werden nach 30 Tagen automatisch gelöscht. Trainer-Zugangsdaten (E-Mail-Adresse und Passwort-Hash) werden so lange aufbewahrt, wie der Zugang aktiv benötigt wird, und auf Antrag sofort entfernt.

6. Cookies & Tracking

Diese Plattform verwendet keine Tracking-Cookies, keine Analyse-Tools (z.B. Google Analytics), kein Remarketing und kein Social-Media-Tracking. Es findet kein Profiling und keine automatisierte Einzelentscheidung statt (Art. 21 revDSG nicht anwendbar).

Technisch notwendige Auth-Cookies (für den Trainer-Login) werden HMAC-signiert gesetzt und sind nach 30 Tagen automatisch ungültig. Sie enthalten ausschliesslich die E-Mail-Adresse und Ablaufzeit, kryptografisch gesichert – kein Passwort, keine Sitzungsdaten.

7. Datensicherheit

Wir treffen angemessene technische und organisatorische Massnahmen zum Schutz Ihrer Personendaten vor unbefugtem Zugriff, Verlust oder Missbrauch:

• HTTPS-Verschlüsselung (TLS) für alle Datenübertragungen
• Zugriffsschutz durch Passwort-Authentifizierung (bcrypt, Cost 12) mit Rate Limiting und Audit-Logging
• HMAC-signierte Auth-Cookies (SHA-256), kein serverseitiger Session-Speicher
• Geografische Zugriffsbeschränkung auf die Schweiz für den Admin-Bereich
• Minimale Datenspeicherung (Passwörter nur als Einweg-Hash, keine unnötigen Personendaten)

8. Ihre Rechte (Art. 25–28 revDSG)

Sie haben gegenüber dem FC Märstetten folgende Rechte:

• Auskunft (Art. 25): Welche Personendaten über Sie gespeichert sind, woher sie stammen und zu welchem Zweck sie bearbeitet werden
• Berichtigung (Art. 32): Korrektur unrichtiger oder unvollständiger Daten
• Löschung: Löschung Ihrer Daten, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht
• Datenherausgabe (Art. 28): Herausgabe Ihrer Daten in einem gängigen, maschinenlesbaren Format (Datenportabilität)
• Widerspruch: Widerspruch gegen die Bearbeitung Ihrer Daten für bestimmte Zwecke
• Einschränkung: Einschränkung der Bearbeitung in bestimmten Situationen

Zur Ausübung Ihrer Rechte wenden Sie sich per E-Mail an: marco.olimpio@fcmaerstetten.ch
Wir beantworten Ihr Auskunftsbegehren in der Regel innert 30 Tagen.

9. Beschwerderecht

Wenn Sie der Ansicht sind, dass die Bearbeitung Ihrer Personendaten gegen das revDSG verstösst, haben Sie das Recht, Beschwerde beim Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) einzureichen: www.edoeb.admin.ch

10. Änderungen dieser Erklärung

Diese Datenschutzerklärung kann bei Bedarf angepasst werden. Die jeweils aktuelle Version ist auf dieser Seite abrufbar. Stand: September 2026.