Datenschutz

Entwurf. Diese Seite beschreibt, was die App technisch verarbeitet — nachgelesen im Quellcode, nicht aus einer Vorlage übernommen. Sie ist noch nicht die Datenschutzerklärung des Vereins: Verantwortliche Stelle, Rechtsgrundlagen, Löschfristen und die Verträge mit den eingesetzten Diensten muss der Verein festlegen. Die offenen Punkte stehen unten.

Die Datenschutzhinweise der Vereinswebsite gelten für lg-albatros-kiel.de und beschreiben eine Website ohne Konten und ohne Cookies. Für diese App treffen sie nicht zu.

Ohne Anmeldung

Öffentlich sind das Programm, der Hochbrückenlauf, die Terminliste und der Kalender-Feed. Dabei werden keine Konten benötigt und keine Namen von Mitgliedern angezeigt — bei Terminen und Wettkämpfen sehen nicht angemeldete Besucher nur Zahlen.

Der Server protokolliert wie üblich technische Zugriffsdaten (IP-Adresse, Zeitpunkt, aufgerufene Seite, Browserkennung). Wie lange diese Protokolle aufbewahrt werden, legt der Verein fest.

Konto und Anmeldung

Es gibt keine offene Registrierung: neue Konten legt die Vereinsverwaltung auf Anfrage per E-Mail an great_freddie@yahoo.de an.

• Anmeldung über Google, Apple oder Strava: von dort werden Name, E-Mail-Adresse und ggf. das Profilbild übernommen.
• Anmeldung mit E-Mail und Passwort: das Passwort wird nur als scrypt-Hash gespeichert, nie im Klartext.
• Die Sitzung läuft über ein Cookie mit einem signierten Token. Es dient der Anmeldung, nicht der Reichweitenmessung.
• Es gibt keine Werbe- oder Trackingdienste und keine Reichweitenanalyse.

Was Mitglieder eintragen

• Zu- und Absagen zu Terminen sowie Kursanmeldungen. Angemeldete Mitglieder sehen, wer zugesagt hat.
• Interesse an Wettkämpfen, die gewählte Strecke und — wenn selbst angegeben — dass eine Anmeldung erfolgt ist.
• Teilnahme an der Bunkerrunde mit den gutgeschriebenen Seemeilen. Korrekturen der Verwaltung werden mit Grund und Person festgehalten.
• Eigene Wettkampfergebnisse, sofern selbst eingetragen.

Daten von außen

• Wettkampfkalender: Veranstaltungsdaten von davengo, SHLV und SPOFERAN. Das sind Veranstaltungen, keine Personendaten.
• Ergebnisse: aus öffentlichen Ergebnislisten von davengo, STGK, Wetzstopp, race result und parkrun werden Vereinsergebnisse übernommen — Name, Strecke, Zeit und Platzierung. Das betrifft auch Läuferinnen und Läufer ohne App-Konto.
• Teilnehmerlisten: aus der öffentlichen Teilnehmerliste von davengo wird geprüft, wer aus dem Verein gemeldet ist. Abgefragt wird ausschließlich nach dem Vereinsnamen.
• Karten: Streckenkarten von Komoot werden erst geladen, wenn sie ausdrücklich angetippt werden. Vorher geht keine Anfrage an Komoot.
• km-Spiel: die Rangliste der kmspiel.de-Team-Seite wird von der Verwaltung von Hand übertragen; Nicknamen und Kilometerstände einzelner Läufer:innen sehen nur angemeldete Mitglieder, nicht angemeldete Besucher nur die Anzahl.

Anmeldung und Bezahlung für Wettkämpfe laufen beim jeweiligen Veranstalter. Diese App fragt keine Bankverbindung ab und — außer bei der freiwilligen Garmin-Connect-Verbindung (siehe unten) — keine Passwörter anderer Dienste.

Benachrichtigungen

Wer Push-Erinnerungen einschaltet, speichert damit die Adresse des Push-Dienstes seines Browsers, zwei zugehörige Schlüssel und die Browserkennung. Der Versand läuft selbst gehostet über VAPID, ohne Drittanbieter. Ausschalten in den Einstellungen löscht den Eintrag.

Garmin Connect (Testbetrieb)

Derzeit nur für einzelne Mitglieder freigeschaltet. Wer sein Garmin-Connect-Konto in den Einstellungen verbindet, gibt dort E-Mail und Passwort seines Garmin-Kontos ein. Beides wird nur für die Anmeldung an Garmin weitergereicht und nicht gespeichert, ebenso wenig ein Bestätigungscode. Gespeichert werden ein verschlüsselter Zugangsschlüssel von Garmin, die Garmin-Profilnummer und der Verbindungsstatus.

Übernommen werden nur Läufe: Datum und Uhrzeit, Dauer, Distanz, Laufart, Titel und Gerätehersteller. Keine GPS-Strecken, Herzfrequenz, Kalorien oder anderen Gesundheitsdaten. Die Läufe sieht nur das Mitglied selbst. „Verbindung trennen“ löscht den Zugangsschlüssel und alle übernommenen Läufe; das Löschen des App-Kontos ebenso.

Die Verbindung nutzt keine offizielle Garmin-Schnittstelle, sondern dieselbe Anmeldung wie die Garmin-Connect-App. Sie ist freiwillig und hat keinen Einfluss auf die Mitgliedschaft.

Speicherort

Die Daten liegen in einer SQLite-Datenbank auf dem Server, den der Verein betreibt. Sie werden nicht verkauft und nicht zu Werbezwecken weitergegeben.

Offene Punkte für den Verein

Diese Angaben kann nur der Verein machen; sie fehlen hier bewusst, statt erfunden zu werden:

• Verantwortliche Stelle und Kontakt für Datenschutzanfragen.
• Rechtsgrundlagen der einzelnen Verarbeitungen und die Frage, ob eine Einwilligung eingeholt wird.
• Löschfristen für Konten, Teilnahmedaten, Ergebnisse und Server-Protokolle.
• Verträge zur Auftragsverarbeitung mit Hoster und den genutzten Anmeldediensten.
• Ob Ergebnisse und Seemeilen-Stände von Personen ohne App-Konto in der App geführt werden dürfen und wie diese informiert werden.
• Ob die Garmin-Connect-Verbindung über eine inoffizielle Schnittstelle angeboten werden darf, auf welcher Rechtsgrundlage und wie lange übernommene Läufe gespeichert bleiben.
• Ob und wie Fotos sowie Kontaktdaten des Vorstands in der App erscheinen sollen — derzeit wird dafür nur auf die Vereinsseite verlinkt.