Datenschutz

Worum es hier geht

Hier steht, was die OSC App mit deinen Daten macht und warum. Wir haben es so geschrieben, dass man es am Handy lesen kann. Wenn dir etwas unklar ist, schreib uns einfach an info@onmasports.de.

• Für den Pass und den Check-in am Stand reicht dein Vorname. Für die Zusage „Ich komme“ brauchst du auf der Website ein Konto.
• Mitlaufen und an der Verlosung teilnehmen kannst du auch ohne Haken für Partner.
• Die App setzt keine Werbe- oder Analysewerkzeuge ein.
• Im Profil kannst du deine Daten mitnehmen und dein Konto löschen.

Verantwortlich

onmasports GmbH, Schildergasse 14-16, 50667 Köln. Vertreten durch Daniel von Maydell. E-Mail: info@onmasports.de

Einen Datenschutzbeauftragten haben wir nicht bestellt. Eine Pflicht dazu besteht nach § 38 BDSG erst, wenn in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind; das ist bei uns nicht der Fall.

Pass ohne Konto

Du gibst deinen Vornamen an, die Stadt wählst du oder sie kommt vom Run. Dein Gerät erzeugt eine zufällige Kennung und einen geheimen Schlüssel. Auf unserem Server liegt der Schlüssel nur als Hash.

Damit dein Gerät dich wiedererkennt, liegen Kennung, Schlüssel, Vorname und Stadt im Speicher deines Browsers (localStorage). Zusätzlich setzt unser Server das Cookie osc_pass: nur für den Server lesbar (httpOnly), 400 Tage gültig, die Frist beginnt bei jedem Aufruf neu. Ohne das Cookie würde Safari den Pass nach sieben Tagen ohne Besuch vergessen. Die iOS-App bekommt kein Cookie.

„Pass auf diesem Gerät löschen“ entfernt Speicher und Cookie nur auf deinem Gerät. Die Daten auf dem Server löscht „Konto löschen“.

Damit niemand massenhaft Pässe anlegt, zählen wir neue Pässe je IP-Adresse. Dafür speichern wir einen Hash der Adresse und den Zeitpunkt, nicht die Adresse selbst. Nach 30 Tagen löscht ein täglicher Auftrag diese Einträge.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, denn ohne diese Daten gibt es keinen Pass. Der Speicher im Gerät ist nach § 25 Abs. 2 Nr. 2 TDDDG erlaubt, weil der Pass ohne ihn nicht funktioniert. Für die Zählung gilt Art. 6 Abs. 1 lit. f DSGVO, unser berechtigtes Interesse an einem sicheren Betrieb.

Konto über Google, Apple oder E-Mail

Mit einem Konto bleibt dein Pass auf jedem Gerät erhalten. Meldest du dich mit Google an (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland), bekommen wir über unseren Anmeldedienst Supabase deinen Namen, deine E-Mail-Adresse und die Adresse deines Profilbilds. In der iOS-App geht das auch mit Apple, Apple liefert dabei kein Profilbild. Die Anmeldung bleibt auf deinem Gerät gespeichert.

Du kannst dich auch mit deiner E-Mail-Adresse anmelden. Dann schicken wir dir über Resend einen Code und einen Link, die nur kurz gelten. Gespeichert wird dafür deine E-Mail-Adresse und, wenn du über „Ich komme“ kommst, dein Vorname.

Hast du auf dem Gerät schon einen Pass, ziehen deine Runs auf das Konto um und der Pass wird gelöscht.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Check-ins und Runs

Bei einem Check-in speichern wir: welcher Run, Zeitpunkt, Stadt, auf welchem Weg (Code oder Strava), bei Strava die Kilometer. Dazu kommt, wenn zutreffend: dass du über Urban Sports Club kommst und dass dein Standort im Umkreis lag. Hast du gerade kein Netz, wartet der Check-in im Speicher deines Geräts.

Dazu kommen deine Zusagen („Ich komme“) und deine Belohnungen samt Übergabe und, wenn der Host sie einträgt, deine Shirtgröße. Zusagen geht auf der Website nur mit Konto, in der iOS-App vorerst auch mit Pass. Hast du noch keine Stadt, wird die Stadt des Runs deine Stadt.

Das brauchen wir für deinen Zähler, deine Auszeichnungen, die Belohnungen und die Zahlen je Run und Stadt.

Zum Scannen des QR-Codes nutzt die Seite deine Kamera, wenn du es erlaubst. Das Bild wird nur auf deinem Gerät ausgewertet und nicht gespeichert.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Standort

Im Browser fragt die App deinen Standort nicht ab. Die iOS-App fragt beim Check-in einmal danach und schickt ihn an unseren Server. Der Server vergleicht ihn mit dem Treffpunkt (Umkreis 500 Meter) und speichert nur, ob du im Umkreis warst, nicht die Koordinaten. Lehnst du ab, checkst du trotzdem ein. Bist du zu weit weg, lehnt der Server den Check-in ab.

Rechtsgrundlage ist deine Einwilligung über die Abfrage auf dem Gerät (Art. 6 Abs. 1 lit. a DSGVO). Du kannst sie in den Einstellungen deines Geräts jederzeit zurücknehmen.

Wer dich in der App sieht

Ein Run Club lebt davon, dass man sieht, wer mitläuft. Deshalb gibt es Stellen, an denen dein Vorname auftaucht:

• Wer war dabei: Dein Vorname steht bei jedem Run, bei dem du eingecheckt bist. Diese Liste ist öffentlich und lässt sich auch ohne Anmeldung abrufen, sie zeigt nur den Vornamen.
• Zusagen: Die Zahl ist öffentlich. Die Vornamen der ersten Zusagen sehen nur Leute mit Pass oder Konto.
• Rangliste der Stadt: Vorname und Zahl deiner Runs. Ohne Anmeldung und auf der Club-Seite stehen dort nur Leute mit freigegebenem Profil. In der iOS-App sehen Leute mit Pass oder Konto die ganze Liste.
• Wer läuft mit: Leute mit Pass oder Konto sehen Vorname, Stadt und Runs der Mitglieder einer Stadt. Wen du blockierst, der sieht dich nicht, und du siehst ihn nicht.

Deinen Namen kannst du im Profil jederzeit ändern. Rechtsgrundlage für diese Stellen ist Art. 6 Abs. 1 lit. f DSGVO, unser berechtigtes Interesse an einer Community, in der man sich kennt.

Beruf, Firma, Instagram, LinkedIn und Profilfoto sind freiwillig. Andere Mitglieder sehen sie erst, wenn du im Profil den Schalter „Bei Wer läuft mit zeigen“ einschaltest. Im Standard ist er aus. Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), Ausschalten genügt als Widerruf.

Ein hochgeladenes Foto liegt unter einem zufälligen Dateinamen in einem öffentlich lesbaren Speicher: Wer die Adresse hat, kann es ohne Anmeldung öffnen. Nutzt du dein Bild von Google, laden es die Geräte anderer Mitglieder direkt bei Google, und Google sieht dabei ihre IP-Adresse.

Teilst du einen Run, steht dein Vorname im Link, damit die Einladung ihn zeigen kann.

Du kannst Profile melden und Leute blockieren. Wir speichern, wer wen gemeldet oder blockiert hat, den Grund und deine Notiz dazu (Art. 6 Abs. 1 lit. f DSGVO, Sicherheit in der Community).

Was Hosts sehen

Hosts organisieren die Runs und melden sich im Host-Bereich mit eigenem Zugang an. Sie sehen nur Mitglieder ihrer Stadt, Admins alle Städte. Unabhängig vom Schalter sehen sie: Vorname, E-Mail-Adresse wenn vorhanden, Beruf, Firma, deine Runs, Zusagen und Belohnungen sowie Meldungen zu dir.

Hosts können interne Notizen zu dir anlegen, zum Beispiel um sich an Gespräche zu erinnern. Andere Mitglieder sehen sie nie. Hosts können ein Profil auch ausblenden. Änderungen im Host-Bereich halten wir in einem Protokoll fest (wer, wann, was).

Hosts können ihr eigenes Strava-Konto verbinden, um Termine aus einem Strava-Club zu holen. Daten von Läufern gehen dabei nicht an Strava.

Notizen zu dir und Meldungen gegen dich stehen nicht in der Datei „Daten mitnehmen“. Auskunft dazu bekommst du per Mail an info@onmasports.de.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO, unser berechtigtes Interesse an der Organisation der Runs und an der Sicherheit in der Community.

Partner und Gewinnspiele

Partner machen viele unserer Runs erst möglich. Dank ihnen gibt es Gutscheincodes, Gewinne und Abende, die wir allein nicht stemmen könnten.

Mitlaufen und an der Verlosung teilnehmen kannst du immer, auch ohne Haken für Partner. Der Haken ist freiwillig, nie vorausgewählt und ändert nichts daran, ob du dabei bist oder gewinnen kannst.

An einen Partner geht nur, was du beim jeweiligen Haken siehst, und nur, wenn du ihn gesetzt hast. Macht ein Partner eine eigene Aktion, nennt der Haken dort die Firma, die Daten (zum Beispiel Vorname oder E-Mail-Adresse) und den Zweck. Diese Erklärung ersetzt den Haken nicht, aus ihr allein gibt niemand etwas weiter.

Beim Anlegen des Passes steht heute dieser Haken: „Mein Vorname darf an den Partner eines Runs weitergegeben werden, für Gutscheincode oder Gewinnspiel. Freiwillig und jederzeit widerrufbar.“ Hat der Run einen Partner, steht dessen Name im Satz. Wir speichern, ob du zugestimmt hast und wann.

Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Du kannst sie jederzeit für die Zukunft widerrufen, mit dem Schalter im Profil der Web-App oder per Mail an info@onmasports.de. Danach läuft alles für dich genauso weiter.

Ohne Haken sehen Partner nur zusammengefasste Zahlen, zum Beispiel wie viele Leute bei einem Run waren. Ist dir ein Gutscheincode zugeteilt, hängt er an deinem Pass oder Konto.

Verlosung: Wer beim Run eincheckt, ist im Lostopf, mehr musst du nicht tun. Ausgeblendete Profile sind nicht im Topf. Der Server zieht per Zufall und hält Zeitpunkt, Zahl der Lose, Gewinner und die ziehende Person fest.

Gewinnst du, sieht der Host deinen Vornamen und, wenn hinterlegt, deine E-Mail-Adresse, damit der Gewinn bei dir ankommt. Deinen Namen nennen wir nur so weit nötig, zum Beispiel beim Aufrufen am Run. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. An einen Partner gehen deine Daten auch als Gewinner nur mit Haken.

Strava

Nur wenn du Strava im Profil verbindest. Wir bitten um das Recht activity:read_all, es umfasst auch private Aktivitäten, damit Runs auch bei privaten Profilen zählen. Wir speichern deine Strava-Kennung und die Zugangsschlüssel.

Beim Abgleich lesen wir deine Aktivitäten der letzten 30 Tage und vergleichen Art, Startzeit, Startpunkt und Distanz mit unseren Runs. Passt eine Aktivität, entsteht ein Check-in mit Zeitpunkt und Kilometern. Den Rest speichern wir nicht.

Trennst du die Verbindung im Profil, löschen wir die Schlüssel bei uns. Den Zugriff bei Strava selbst widerrufst du in deinen Strava-Einstellungen. Anbieter ist die Strava Inc. mit Sitz in den USA.

Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO).

Urban Sports Club

Der Link führt auf die Seite von Urban Sports Club, ab dort gilt deren Datenschutzerklärung. Tippst du beim Check-in an, dass du über Urban Sports Club kommst, vermerken wir das an deinem Check-in. Das ist deine eigene Angabe. Von Urban Sports Club bekommen wir in der App keine Daten über dich.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO, unser berechtigtes Interesse an der Planung mit diesem Partner.

Mitteilungen

Nur in der iOS-App und nur, wenn du sie einschaltest. Wir speichern die Gerätekennung für Mitteilungen an deinem Pass oder Konto und schicken Erinnerungen an Runs und Neuigkeiten deiner Stadt über den Mitteilungsdienst von Apple. Ausschalten kannst du sie im Profil. Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO).

Erinnerung per E-Mail

Nach deiner Zusage kannst du freiwillig deine E-Mail-Adresse eintragen. Am Tag jedes Runs, zu dem du zugesagt hast, bekommst du dann eine Mail mit Uhrzeit, Ort und Link zum Event, ohne Werbung und ohne Partner-Angebote. „Ich komme“ funktioniert auch ohne Eintrag. Mit Konto schlagen wir deine Konto-Adresse vor, bestätigen musst du selbst.

Wir speichern die Adresse, den Wortlaut deiner Einwilligung, den Zeitpunkt, eine Abmeldung und für welchen Run eine Mail rausging. Ob du die Mail öffnest oder den Link antippst, messen wir nicht. Das Bild in der Mail laden wir von unserem Server, das Hosting sieht dabei wie bei jedem Aufruf deine IP-Adresse.

Abmelden kannst du jederzeit über den Link in jeder Mail oder auf der Event-Seite. Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO).

Verschickt werden die Mails über Resend (Plus Five Five, Inc., USA) als Auftragsverarbeiter nach Art. 28 DSGVO. Dorthin gehen deine Adresse und der Inhalt der Mail.

Wetter und Adresssuche

Für das Wetter am Treffpunkt fragt dein Browser direkt bei Open-Meteo nach, mit den Koordinaten des Treffpunkts, nicht mit deinem Standort. Open-Meteo sieht dabei wie jede aufgerufene Seite deine IP-Adresse. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO, unser berechtigtes Interesse, dir das Wetter zum Lauf zu zeigen.

Die Adresssuche gibt es nur für Hosts. Unser Server fragt dabei den Dienst Nominatim von OpenStreetMap nach der eingetippten Adresse. Beim Festlegen eines Treffpunkts lädt der Browser des Hosts eine Karte von OpenStreetMap. Läuferdaten gehen dort nicht hin.

Termine aus Luma und Links

Unser Server holt einmal am Tag unsere Termine aus Luma: Titel, Zeit, Ort, Bild und Beschreibung. Gästelisten und Daten von dir holen wir dort nicht ab, und aus der App geht nichts an Luma. Meldest du dich bei Luma an, gilt deren Datenschutzerklärung.

Links zu Luma, Strava, WhatsApp, Instagram, Urban Sports Club und Apple Karten sind einfache Links. Erst wenn du tippst, verlässt du die App, und ab dann gilt die Erklärung des jeweiligen Anbieters.

Website und Partner-Anfragen

Die App misst nicht, wie du sie benutzt. Über denselben Server läuft aber die Messung unserer Website: ohne Cookie, mit einer Zufallskennung, die mit dem Reiter endet. Land und Stadt leitet das Hosting aus der IP-Adresse ab, die IP-Adresse selbst speichern wir nicht. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Einzelheiten stehen in der Datenschutzerklärung der Website.

Ebenso landen dort Anfragen von Marken aus unserem Sponsoring-Funnel und seine Messung. Dafür gilt die Erklärung des Funnels. Bei neuen Anfragen bekommt das Team eine Nachricht in Slack.

Unsere Linkseiten zählen Klicks nur je Link und Zeitpunkt, ohne Bezug zu einer Person.

Bewerbung als Host

Das Formular liegt bei Tally. Schickst du es ab, kommen alle Antworten zu uns, dazu die Angabe, über welche Anzeige du gekommen bist. Wir speichern sie mit Name, E-Mail-Adresse und Stadt und führen Status und interne Notizen dazu. Ein Pixel läuft auf dem Formular nicht.

Bei einer neuen Bewerbung geht eine Nachricht mit Name, Stadt und E-Mail-Adresse in unser Slack, und das Team kann die Bewerbung zusätzlich per Mail bekommen.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, deine Bewerbung soll zu einer Zusammenarbeit führen. Soll sie gelöscht werden, schreib uns.

Notion im Host-Bereich

Der Host-Bereich liest Partner, Projekte, Aufgaben und Events aus unserem Notion. Darin können Ansprechpartner von Partnern stehen. Die App schreibt nie nach Notion, und Daten von Läufern gehen nicht dorthin.

Fotos und Videos beim Event

Bei unseren Läufen entstehen Aufnahmen, auf denen Personen erkennbar sind. Wir zeigen sie auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO: unserem berechtigten Interesse, unsere Läufe zu dokumentieren und zu zeigen, was dort passiert. Auf die Aufnahmen weisen wir in der Beschreibung jedes Laufs hin.

Bist du auf einem Bild zu sehen und möchtest das nicht, genügt eine formlose Nachricht an info@onmasports.de. Wir nehmen das Bild dann herunter.

Wer uns dabei hilft

• Vercel Inc., 440 N Barranca Ave #4133, Covina, CA 91723, USA: Hosting, Region fra1 (Frankfurt). Auftragsverarbeiter nach Art. 28 DSGVO.
• Resend (USA): Versand von Anmelde-Mails und Mitteilungen an das Team, Versandregion Irland.
• Supabase Pte. Ltd, 65 Chulia Street #38-02/03, OCBC Centre, Singapur 049513: Datenbank, Anmeldung und Dateien, Region eu-west-1 (Irland). Auftragsverarbeiter nach Art. 28 DSGVO.
• Google: Anmeldung.
• Apple: Anmeldung und Mitteilungen in der iOS-App.
• Strava: Abgleich deiner Aktivitäten, wenn du verbindest.
• Urban Sports Club: Partner für den Besuch unserer Runs.
• Notion: Partner, Projekte und Aufgaben im Host-Bereich.
• Slack: Nachrichten an das Team bei neuen Anfragen und Bewerbungen.
• Open-Meteo: Wetter am Treffpunkt.
• Tally: Formular für Bewerbungen als Host.
• Resend: Versand der Anmelde-Codes, der Team-Mails und der Erinnerung per E-Mail.

Manche dieser Anbieter verarbeiten Daten auch in den USA. Eine Übermittlung dorthin stützt sich auf den Angemessenheitsbeschluss der EU-Kommission (EU-US Data Privacy Framework) oder auf Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO.

Beim Aufruf speichert das Hosting für kurze Zeit technische Daten in Logfiles, darunter IP-Adresse, aufgerufene Seite, Zeitpunkt und Browser. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO, unser berechtigtes Interesse am fehlerfreien und sicheren Betrieb.

Speicher in deinem Gerät

• Cookie osc_pass: dein Pass, siehe oben.
• Speicher im Browser (localStorage): Pass, Städte, wartende Check-ins, deine Anmeldung, ob Mitteilungen an sind.
• Kurzes Cookie beim Verbinden mit Strava: zehn Minuten, zum Schutz des Rückwegs.
• Für Hosts das Cookie osc_host_konto: acht Stunden oder, wenn gewählt, 30 Tage.

All das braucht die App, damit sie funktioniert (§ 25 Abs. 2 Nr. 2 TDDDG). Es gibt kein Cookie für Werbung oder Statistik, deshalb fragt dich auch kein Banner.

Wie lange wir speichern

• Pass, Konto, Profil, Check-ins, Zusagen, Belohnungen, Notizen, Gerätekennung und Strava-Verbindung: solange dein Pass oder Konto besteht. Du kannst jederzeit löschen.
• Hash der IP-Adresse bei neuen Pässen und Host-Anmeldungen: 30 Tage.
• Erinnerung per E-Mail: Adresse, Einwilligung und Abmeldung, solange dein Pass oder Konto besteht, damit eine Abmeldung auch gilt. Liste der verschickten Mails: zwölf Monate.
• Messung von Website und Funnel: zwölf Monate, ein täglicher Auftrag löscht sie.
• Hash der IP-Adresse beim Funnel: 24 Stunden.
• Anfragen von Marken: 24 Monate nach dem letzten Kontakt, von Hand.
• Protokoll im Host-Bereich und erledigte Meldungen: solange wir sie brauchen, um Entscheidungen nachzuvollziehen.
• Bewerbungen als Host: bis wir sie abgeschlossen haben, oder bis du uns um Löschung bittest.

Daten mitnehmen und löschen

Im Profil lädt „Daten mitnehmen“ eine Datei mit deinem Profil, deinen Städten, Check-ins, Zusagen, Belohnungen, Blockierungen, eigenen Meldungen, der Strava-Verbindung ohne Schlüssel, den Geräten für Mitteilungen und deiner Erinnerung per E-Mail.

„Konto löschen“ löscht deinen Eintrag und alles, was daran hängt, darunter Check-ins, Zusagen, Belohnungen, Strava-Verbindung, Geräte, Notizen, Gewinne, deine Erinnerung per E-Mail und dein hochgeladenes Foto. Bei einem Konto entfernen wir auch die Anmeldung. Meldungen, die du abgegeben hast, bleiben ohne deinen Bezug stehen. Ein zugeteilter Gutscheincode verliert den Bezug zu dir.

Deine Rechte

Du hast uns gegenüber diese Rechte zu deinen Daten:

• Auskunft (Art. 15 DSGVO)
• Berichtigung (Art. 16 DSGVO)
• Löschung (Art. 17 DSGVO)
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21 DSGVO)
• Widerruf einer Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO)

Schreib uns dafür an info@onmasports.de. Soweit wir Daten auf Grundlage berechtigter Interessen verarbeiten, kannst du jederzeit aus Gründen widersprechen, die sich aus deiner besonderen Situation ergeben. Eine formlose Nachricht genügt.

Die Angaben sind freiwillig. Ohne Vornamen gibt es allerdings keinen Pass. Eine automatisierte Entscheidung im Sinne von Art. 22 DSGVO findet nicht statt.

Beschwerde

Du kannst dich bei einer Datenschutz-Aufsichtsbehörde beschweren (Art. 77 DSGVO). Zuständig für Köln ist die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen, Kavalleriestraße 2 bis 4, 40213 Düsseldorf.

Änderungen

Wir passen diese Erklärung an, sobald sich die Verarbeitung ändert, etwa wenn eine neue Funktion dazukommt. Es gilt die Fassung auf dieser Seite.