Datenschutzerklärung
Version 1.0 · Stand 27.10.2026
Eine kurze Fassung für Kinder, Jugendliche und Eltern steht unter Hinweise für Kinder und Eltern. Wie wir Browser-Speicher einsetzen, steht zusätzlich in Cookies und lokaler Speicher.
1. Wer ist verantwortlich?
Verantwortlich für die Plattform, für dein Konto und für die Netzwerkfunktionen ist:
CLUP.life GmbH, In der Dörrwies 17, 55218 Ingelheim, vertreten durch den Geschäftsführer Christian Daniel Borchert. Telefon +49 151 12204666. E-Mail: chris@clup.life. Weitere Angaben im Impressum.
Datenschutzbeauftragter: Christian Borchert (Geschäftsführer und Inhaber), E-Mail chris@clup.life, Anschrift wie oben (In der Dörrwies 17, 55218 Ingelheim). Wir haben einen Datenschutzbeauftragten benannt, weil wir Daten von Kindern in großem Umfang verarbeiten und eine Datenschutz-Folgenabschätzung durchführen (Art. 37 DSGVO, § 38 BDSG).
Vereine und Verbände. Wenn ein Verein oder Verband auf CLUP.life Mitglieder verwaltet (Mitgliedsnummer, Funktion, Anwesenheit, Beiträge, Beitrittsformular, Protokolle, Abstimmungen), bestimmt der Verein, wofür er diese Daten braucht. Für diese Vereinsdaten ist der jeweilige Verein verantwortlich; wir verarbeiten sie in seinem Auftrag nach Art. 28 DSGVO. Für Anfragen zu diesen Daten wende dich bitte zuerst an deinen Verein. Wir leiten Anfragen, die bei uns eingehen, an den Verein weiter und unterstützen ihn bei der Beantwortung. Für dein Konto, dein Profil, Beiträge, Nachrichten und Sicherheit sind wir selbst verantwortlich.
Nachweis des Vertrags mit der Organisation. Wenn du als gründende oder verwaltende Person im Namen einer Organisation den Vertrag zur Auftragsverarbeitung und die AGB für Organisationen annimmst, speichern wir als Nachweis den Zeitpunkt, die Fassung (mit Prüfsumme), deinen Namen (verschlüsselt), deine Rolle in der Organisation und deine Erklärung, die Organisation vertreten zu dürfen (Art. 6 Abs. 1 lit. b und f, Art. 5 Abs. 2 und Art. 28 Abs. 9 DSGVO; ein Vertragsnachweis ist ohne die annehmende Person nicht führbar). Löschst du dein Konto, lösen wir die Verbindung zu deinem Konto und entfernen deinen Namen aus dem Nachweis; der Nachweis selbst (Organisation, Fassung, Zeitpunkt) bleibt für die Dauer des Vertrags und danach bis zum Ende des sechsten Kalenderjahres nach Vertragsende gespeichert (Handels- und Geschäftsbriefe, Verjährung von Ansprüchen aus dem Vertrag).
2. Das Wichtigste in Kürze
- Wir sammeln nur Daten, die für die Funktionen nötig sind. Es gibt keine Werbung, kein Tracking und keine Analyse-Skripte.
- Alle Daten liegen auf Servern in Deutschland (Hetzner, Falkenstein). Wir übermitteln keine Daten in Länder außerhalb der EU, abgesehen von den in Abschnitt 8 genannten Fällen, die du selbst auslöst.
- Sensible Felder (E-Mail, Telefon, Klarname, Geburtsdatum, Anschrift, Nachrichten, Gesundheitshinweise, Bankdaten) sind einzeln verschlüsselt gespeichert.
- Kinderkonten sind nie öffentlich und nie in der Suche auffindbar.
- Es gibt kein Cookie-Banner, weil wir nur technisch notwendigen Speicher verwenden.
- Du kannst vieles direkt unter Einstellungen → Datenschutz erledigen: Auskunft, Export, Löschung, Widerruf.
3. Welche Daten wir verarbeiten, wozu und auf welcher Rechtsgrundlage
| Verarbeitung | Daten | Rechtsgrundlage | Speicherdauer |
|---|---|---|---|
| Registrierung und Konto | Vor- und Nachname, E-Mail, Geburtsdatum, Passwort (nur als Argon2id-Hash), optional Telefon, Anschrift | Vertrag, Art. 6 Abs. 1 lit. b | bis zur Löschung des Kontos; nach Löschantrag 30 Tage Karenz, dann Anonymisierung |
| Profil und Sichtbarkeit | Anzeigename, Bild, „Über mich“, Hobbys, Kontaktwege | Vertrag, Art. 6 Abs. 1 lit. b; Auffindbarkeit in der Suche: Einwilligung, lit. a | bis zur Löschung des Kontos |
| Beiträge, Kommentare, Reaktionen, Medien | Inhalte, Zeitpunkt, Sichtbarkeit; Fotos ohne Standort-/EXIF-Daten | Vertrag, lit. b | bis zur Löschung durch dich; gelöschte Inhalte nach 30 Tagen endgültig |
| Nachrichten (Chat) | Nachrichtentext (serverseitig verschlüsselt, nicht Ende-zu-Ende), Absender, Empfänger, Zeit | Vertrag, lit. b | bis zur Löschung; gelöscht nach 30 Tagen endgültig |
| Videoanrufe | Metadaten (Beteiligte, Zeiten, Dauer, Ergebnis); Bild und Ton werden nicht gespeichert | Vertrag, lit. b | Anrufprotokoll 90 Tage; flüchtiger Zustand höchstens 4 Stunden |
| Mitgliedschaften und Vereinsfunktionen | Mitgliedsnummer, Funktion, Ämter, Anwesenheit, Dienste, Aufgaben, Fahrgemeinschaften, Materialausleihe, Beitragsforderungen, Stimme/Teilnahme bei Beschlüssen | Vertrag bzw. Vereinsmitgliedschaft; Auftragsverarbeitung für den Verein (Art. 28) | nach Vereinsvorgaben und Löschkonzept (z. B. Anwesenheit 36 Monate) |
| Beitrittsformular | Antworten und Einwilligungen des Beitrittsformulars | Verein als Verantwortlicher; Einwilligung, lit. a, oder Vertrag, lit. b | bis Austritt; bei Ablehnung sofort gelöscht |
| Beiträge und SEPA | Beitragsbetrag, Mandat, IBAN und Kontoinhaber (verschlüsselt, nur für den Verein sichtbar); wir erzeugen nur eine Lastschriftdatei, wir wickeln keine Zahlungen ab | Vertrag/Mitgliedschaft (Verein), lit. b; gesetzliche Aufbewahrung, lit. c | Beitragsforderungen 36 Monate nach Fälligkeit; Buchführung des Vereins unabhängig davon |
| Spendenbescheinigungen | Name, Anschrift, Betrag, Datum | rechtliche Pflicht des Vereins, lit. c (§ 50 EStDV, § 63 AO) | vorsorglich 10 Jahre beim Verein (Buchungsbelege 8 Jahre, § 147 AO) |
| Termine, Zu- und Absagen | Anmeldung, optional Hinweis | Vertrag, lit. b | Hinweis 90 Tage nach Ende des Termins |
| Gesundheitshinweise (Allergien, Medikamente) | Freitext, verschlüsselt, nur Termin-Leitung | ausdrückliche Einwilligung, Art. 9 Abs. 2 lit. a | 90 Tage nach dem Termin; Widerruf jederzeit |
| Führungszeugnis-Vermerk | Nur die drei Angaben nach § 72a Abs. 5 SGB VIII (Einsicht genommen, Datum, Art der Prüfung), kein Dokument | rechtliche Pflicht der Träger der Jugendhilfe bzw. Verein, Art. 6 Abs. 1 lit. c, § 72a SGB VIII | 6 Monate nach Ende der Tätigkeit |
| Qualifikationen | Bezeichnung und Datum (z. B. Übungsleiterlizenz) | Vertrag/Verein, lit. b | 6 Monate nach Ende der Mitgliedschaft |
| Mitgliedsausweis | Schlüssel zum Prüfcode; keine Protokollierung der Prüfungen | Vertrag, lit. b | bis Ende der Mitgliedschaft |
| Helferbörse | Gesuche und Meldungen | Vertrag, lit. b | 30 bis 90 Tage nach Schließung |
| Probetraining (Personen ohne Konto) | Name, E-Mail (verschlüsselt) | Einwilligung (Double-Opt-in), lit. a | unbestätigt 24 Stunden; sonst 30 Tage nach dem Termin |
| Benachrichtigungen | in der App; E-Mail (nur Art und Zahl, kein Inhalt); optional Web-Push (leer, ohne Inhalt) | Vertrag, lit. b (Sicherheits- und Systemmeldungen); übrige: Einwilligung, lit. a | gelesen 90 Tage, ungelesen 365 Tage |
| Support-Anfragen | Text, Kontakt | lit. b und lit. f | 12 Monate nach Abschluss |
| Barriere melden (Formular ohne Konto) | Beschreibung der Barriere, optional Name und E-Mail für die Antwort | lit. f (Verbesserung der Zugänglichkeit), bei Antwortwunsch lit. a | wird nur per E-Mail an die Betreiberstelle gesendet, nicht in der Datenbank gespeichert; Löschung der Mail nach Bearbeitung, spätestens nach 6 Monaten |
| Meldungen von Inhalten und Moderation | Meldetext, gemeldeter Inhalt, Entscheidung | rechtliche Pflicht (Art. 16, 17 DSA), lit. c; Schutz von Nutzern, lit. f | 12 Monate nach Bearbeitung |
| Sicherheit | Anmeldezeitpunkte, Gerät und Netzwerkadresse nur als nicht rückrechenbarer Hash, Sicherheitsereignisse | berechtigtes Interesse an IT-Sicherheit, lit. f; Widerspruch möglich | Anmeldeversuche 30 Tage, Sicherheitsereignisse 1 Jahr |
| Server-Protokolle | IP-Adresse, Zeitpunkt, aufgerufene Adresse, Statuscode, Browserkennung | berechtigtes Interesse an Betrieb und Sicherheit, lit. f | höchstens 7 Tage |
| Audit-Log | Wer hat wann welche sicherheitsrelevante Aktion ausgeführt (Hashkette) | rechtliche Pflicht und Nachweis, Art. 5 Abs. 2, Art. 32; lit. c, f | 3 Jahre |
| Einwilligungsnachweise | Zweck, Fassung, Zeitpunkt, Hash von Gerät/Adresse | rechtliche Pflicht (Nachweis, Art. 7 Abs. 1), lit. c | als Nachweis; Hash entfällt bei Kontolöschung |
| Betroffenenanfragen | Antrag, Bearbeitung | rechtliche Pflicht, lit. c | 3 Jahre |
| Kalender-Abo (iCal) | geheimer Link (nur Hash gespeichert) | Einwilligung/Funktion auf Wunsch, lit. a | bis Widerruf |
Eine Pflicht zur Bereitstellung besteht nur für die als Pflicht gekennzeichneten Angaben bei der Registrierung. Ohne sie ist kein Konto möglich. Alle anderen Angaben sind freiwillig.
4. Daten, die andere über dich eingeben (Art. 14 DSGVO)
Die Leitung eines Vereins kann dich einladen, deine Mitgliedsnummer oder Funktion eintragen oder deine Anwesenheit festhalten. Sorgeberechtigte legen Kinderkonten an. Wer eine Anlage bucht, kann einen Gastnamen angeben. Wir erhalten diese Angaben dann von dem jeweiligen Verein oder der Person. Quelle und Zweck sind in der Tabelle in Abschnitt 3 genannt. Bei Einladungen verwenden wir die E-Mail-Adresse nur für die Einladung und löschen sie 30 Tage nach Ablauf oder Annahme.
5. Kinder und Jugendliche
Konten für Personen unter 16 Jahren (frühestens ab 6 Jahren) setzen die Einwilligung einer sorgeberechtigten Person voraus (Art. 6 Abs. 1 lit. a, Art. 8 DSGVO). Sorgeberechtigte legen das Konto an oder stimmen per Bestätigungslink zu. Ohne Zustimmung bleibt das Konto gesperrt und wird nach 30 Tagen gelöscht; bei Ablehnung sofort.
Kinderkonten sind nie öffentlich, nie in der Suche und erhalten weder E-Mails noch Push-Mitteilungen. Chat, Kontaktanfragen, Profiländerungen und Vereinsbeitritte sind zunächst gesperrt und werden von den Sorgeberechtigten einzeln freigegeben. Die Einwilligung ist jederzeit widerrufbar; das Konto wird dann gesperrt und nach 30 Tagen gelöscht. Mit dem 16. Geburtstag endet die elterliche Verwaltung automatisch.
Eine Zusammenfassung in einfacher Sprache steht unter Hinweise für Kinder und Eltern.
6. Besondere Kategorien von Daten
Gesundheitshinweise zu Terminen (Allergien, Medikamente) sind Daten nach Art. 9 DSGVO. Wir verarbeiten sie nur mit deiner ausdrücklichen Einwilligung, verschlüsselt, ausschließlich für die Leitung des Termins sichtbar. Schreibe sie nur, wenn du das möchtest. Bei Beitrittsformularen und Vereinsangaben mit Bezug auf Religion, Gewerkschaft oder Ähnliches entscheidet der Verein als Verantwortlicher; wir stellen nur die technischen Mittel bereit.
7. Wer deine Daten erhält
Innerhalb der Plattform. Standardmäßig nur Menschen, mit denen du mindestens einen Verein oder eine Gruppe teilst. Dein Profil erscheint nicht in der plattformweiten Suche und nicht bei Suchmaschinen, solange du das nicht einschaltest. Die Leitung und Verwaltung deiner Vereine sehen deine Mitgliedsdaten, soweit nötig; jeder Export einer Mitgliederliste wird protokolliert.
Dienstleister (Auftragsverarbeiter, Art. 28 DSGVO).
| Dienstleister | Aufgabe | Sitz / Standort |
|---|---|---|
| Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen | Server (Anwendung, Datenbank, Objektspeicher, Sicherungen), Rechenzentrum Falkenstein | Deutschland |
| Brevo SAS, Paris (Frankreich) | Versand von System- und Benachrichtigungs-E-Mails (Absender no-reply@clup.life) | Frankreich/Belgien (Rechenzentren); einzelne Unterauftragnehmer von Brevo außerhalb der EU, abgesichert durch EU-Standardvertragsklauseln bzw. das EU-US Data Privacy Framework |
Weitere Dienstleister setzen wir derzeit nicht ein. Den Quellcode verwalten wir bei GitHub; dorthin gelangen keine Nutzerdaten. Videoanrufe laufen über unsere eigenen Server (LiveKit, TURN); es gibt keinen externen STUN-/TURN-Dienst.
Behörden und Gerichte erhalten Daten nur bei gesetzlicher Pflicht oder wirksamer Anordnung.
Werbetreibende erhalten keine Daten.
8. Übermittlung in Drittländer
Wir verarbeiten Daten in der EU. Eine Übermittlung in Drittländer findet nur statt, soweit sie nachstehend genannt ist (Auslöser sind du selbst, die Wahl deines Browsers oder einzelne Unterauftragnehmer unseres E-Mail-Dienstleisters):
- E-Mail-Versand. Unser Dienstleister Brevo verarbeitet Zieladresse und Inhalt der Systemmails in der EU. Einzelne seiner Unterauftragnehmer (z. B. für Support und Infrastruktur) sitzen in Drittländern; die Übermittlung ist über EU-Standardvertragsklauseln und das EU-US Data Privacy Framework abgesichert (Art. 44 ff. DSGVO).
- Web-Push (nur wenn du es für ein Gerät einschaltest). Die Mitteilung ist leer und enthält keinen Inhalt. Der Push-Dienst deines Browser- oder Geräteherstellers (z. B. Google, Apple, Mozilla, Microsoft) erfährt, dass dein Gerät eine Mitteilung erhält, und sieht dessen technische Kennung und Netzwerkadresse. Rechtsgrundlage: deine Einwilligung (Art. 6 Abs. 1 lit. a, Art. 49 Abs. 1 lit. a DSGVO), widerrufbar durch Abschalten des Geräts.
- Soziale Netzwerke (nur auf Veranlassung der Leitung einer öffentlichen Organisation). Siehe Abschnitt 9.
- Kartenkacheln (nur nach deiner Einwilligung in der Suche). Die Kartenansicht lädt Kacheln eines Drittanbieters erst, nachdem du zugestimmt hast; dabei erfährt der Anbieter deine Netzwerkadresse. Ohne Zustimmung wird nichts geladen.
9. Verteilung in soziale Netzwerke
Die Leitung einer öffentlichen Organisation kann Konten bei Mastodon oder Bluesky verbinden und öffentliche Beiträge dorthin verteilen. Dann werden Text, Link und gegebenenfalls Bilder an das gewählte Netzwerk übermittelt. Dieses Netzwerk ist dann für die weitere Verarbeitung selbst verantwortlich und untersteht seinen eigenen Bedingungen und möglicherweise einem Standort außerhalb der EU (z. B. USA). Verteilt werden nie interne Beiträge, nie Bilder mit erkennbaren Kindern oder Jugendlichen und nie Namen von Mitgliedern. Rechtsgrundlage: Entscheidung des Vereins als Verantwortlicher und Einwilligung der abgebildeten Personen (Art. 6 Abs. 1 lit. a, f). Zugangsdaten zum Konto speichern wir verschlüsselt, du kannst sie jederzeit widerrufen. Die „Teilen“-Knöpfe sind einfache Verweise; ein Netzwerk wird erst nach deinem Klick geöffnet. Netzwerke wie Facebook, Instagram, LinkedIn, X, TikTok und YouTube sind in der Oberfläche vorbereitet, aber noch nicht freigeschaltet.
10. Wie wir Daten schützen
Einzelne Felder sind in unserer Datenbank mit eigenen Schlüsseln verschlüsselt (Envelope-Verschlüsselung). Die Schlüssel liegen in der Anwendung, nicht in der Datenbank. Passwörter speichern wir nur als Argon2id-Hash. Hochgeladene Bilder werden von Standortdaten und EXIF-Angaben befreit. Verbindungen sind verschlüsselt (TLS), die Datenbank ist von außen nicht erreichbar, Sicherungen sind verschlüsselt. Nachrichten sind auf dem Server verschlüsselt gespeichert, aber nicht Ende-zu-Ende-verschlüsselt: Die Anwendung kann sie lesen, damit gemeldete Nachrichten geprüft und eine vollständige Datenauskunft erstellt werden kann. Die technischen Maßnahmen im Einzelnen stellen wir Organisationen im Auftragsverarbeitungsvertrag bereit.
11. Cookies und lokaler Speicher
Wir setzen nur Speicher ein, der für die von dir gewünschte Nutzung unbedingt erforderlich ist oder den du ausdrücklich nutzt (§ 25 Abs. 2 Nr. 2 TDDDG). Deshalb brauchen wir keine Einwilligung und zeigen kein Banner. Eine genaue Aufstellung steht unter Cookies und lokaler Speicher. Es gibt keine Tracking-Cookies und keine Analysewerkzeuge.
12. Automatisierte Entscheidungen, Profiling, KI
Es findet keine automatisierte Entscheidungsfindung mit rechtlicher oder ähnlich erheblicher Wirkung statt (Art. 22 DSGVO) und kein Profiling zu Werbezwecken. Deine Inhalte verwenden wir nicht zum Training von KI-Systemen. Beispielbilder und Illustrationen in der Anwendung können mit Hilfe künstlicher Intelligenz erzeugt sein; wir kennzeichnen sie als „KI-generiert“ (Art. 50 KI-Verordnung) und nennen das in den Credits.
13. Deine Rechte
Du hast das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21). Wo wir auf Grundlage einer Einwilligung verarbeiten, kannst du sie jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3); die Rechtmäßigkeit der bisherigen Verarbeitung bleibt unberührt.
Widerspruchsrecht. Du kannst jederzeit aus Gründen, die sich aus deiner besonderen Situation ergeben, gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 6 Abs. 1 lit. f) Widerspruch einlegen.
Das meiste erledigst du direkt unter Einstellungen → Datenschutz. Sonst schreib an chris@clup.life. Wir antworten spätestens innerhalb eines Monats (Art. 12 Abs. 3). Zur Sicherheit kann es sein, dass wir deine Identität bestätigen lassen.
Beschwerderecht (Art. 77 DSGVO). Du kannst dich bei einer Datenschutzaufsichtsbehörde beschweren, insbesondere am Ort deines Aufenthalts oder am Sitz des Betreibers. Zuständig für uns ist der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Rheinland-Pfalz, Hintere Bleiche 34, 55116 Mainz, Telefon 06131 8920-0, E-Mail poststelle@datenschutz.rlp.de, Beschwerdeformular unter datenschutz.rlp.de (Ort der Hauptverwaltung in Ingelheim). Du kannst dich auch an jede andere Aufsichtsbehörde wenden.
14. Datenpannen
Bei einer Verletzung des Schutzes personenbezogener Daten melden wir den Vorfall innerhalb von 72 Stunden der Aufsichtsbehörde, wenn ein Risiko besteht, und informieren dich unverzüglich, wenn ein hohes Risiko für dich besteht (Art. 33, 34 DSGVO).
15. Änderungen
Wir passen diese Erklärung an, wenn sich die Verarbeitung ändert. Bei wesentlichen Änderungen bitten wir dich in der Anwendung um erneute Kenntnisnahme. Die jeweils gültige Fassung steht immer hier; die Fassung, die du bestätigt hast, kannst du unter Einstellungen → Datenschutz einsehen.