Quittix

1. Verantwortlicher

Verantwortlich für die Verarbeitung personenbezogener Daten auf dieser Website und beim Betrieb der Vereinsverwaltung „Quittix“ ist die friendworx gruppe UG (haftungsbeschränkt), Marktplatz 15, 93413 Cham, Telefon 09971-8899995, E-Mail service@friendworx.com, vertreten durch den Geschäftsführer Albert Fischer.

2. Für wen gilt diese Erklärung?

Diese Erklärung beschreibt, wie wir Daten von Besuchern dieser Website, von Personen, die einen Verein registrieren oder uns kontaktieren, sowie von Nutzern mit einem Quittix-Zugang verarbeiten.

Die Daten, die ein Verein in Quittix über seine Mitglieder, Kunden, Sponsoren oder sonstige Kontakte speichert (z. B. Mitgliederdaten, Rechnungen, Fotos), verarbeiten wir ausschließlich im Auftrag und nach Weisung des jeweiligen Vereins (Art. 28 DSGVO). Verantwortlich ist insoweit der Verein. Bitte wenden Sie sich mit Fragen und Anliegen zu diesen Daten zunächst an Ihren Verein; wir unterstützen den Verein bei der Bearbeitung.

3. Hosting und Server-Protokolle

Website, Anwendung, Datenbank und Dateispeicher betreiben wir selbst auf einem Server der Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, im Rechenzentrum Falkenstein (Deutschland). Mit Hetzner besteht ein Vertrag zur Auftragsverarbeitung. Die eingesetzte Software (u. a. Supabase, PostgreSQL) betreiben wir selbst; es werden keine Daten an die Hersteller übermittelt.

Beim Aufruf verarbeitet der Server technisch notwendig Ihre IP-Adresse, Datum und Uhrzeit, die aufgerufene Adresse sowie Browser-Angaben. Für eine anonyme Zugriffsstatistik der öffentlichen Website protokolliert der Webserver Zeitpunkt, aufgerufene Seite, Browser-Kennung und die verweisende Website (ohne deren Unterseiten-Parameter) sowie gegebenenfalls den Kampagnen-Parameter utm_source – ohne IP-Adresse, ohne Cookies und ohne sonstige Parameter der Adresse. Daraus erstellen wir Tagessummen (z. B. Seitenaufrufe je Seite und Herkunft); die Einzeleinträge löschen wir nach 14 Tagen. Ein Personenbezug ist dabei nicht herstellbar. Technische Protokolle der Anwendungsdienste und Sicherheitsprotokolle (z. B. zur Abwehr von Angriffen) können IP-Adressen enthalten; sie werden nach höchstens 14 Tagen gelöscht, das Anmeldeprotokoll nach 90 Tagen.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt in der sicheren und stabilen Bereitstellung des Dienstes.

Die Namensauflösung (DNS) der Domain quittix.de erfolgt über Cloudflare, Inc. Dabei werden keine Inhalte und keine Daten aus Quittix über Cloudflare geleitet.

4. Cookies und lokale Speicherung

Wir setzen keine Analyse-, Werbe- oder Tracking-Werkzeuge ein und binden keine Inhalte Dritter (z. B. Schriftarten, Karten, Videos) ein. Schriftarten werden von unserem eigenen Server geladen.

Im Speicher Ihres Browsers (Local Storage) legen wir nur Informationen ab, die für die von Ihnen gewünschte Funktion unbedingt erforderlich sind: Ihre Anmeldesitzung, den zuletzt gewählten Verein sowie Ansichtseinstellungen. Hierfür ist nach § 25 Abs. 2 Nr. 2 TDDDG keine Einwilligung erforderlich; die weitere Verarbeitung beruht auf Art. 6 Abs. 1 lit. b DSGVO. Die Anmeldedaten werden beim Abmelden entfernt.

5. Registrierung eines Vereins

Für die Registrierung verarbeiten wir Vor- und Nachname, E-Mail-Adresse, optional Mobilnummer, Name und Art der Organisation, Ihre Funktion, eine optionale Nachricht sowie den Zeitpunkt Ihrer Bestätigung. Wir prüfen jede Registrierung manuell und informieren Sie per E-Mail über das Ergebnis.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Anbahnung und Durchführung des Nutzungsvertrags). Abgelehnte Registrierungen löschen wir nach sechs Monaten; angenommene bewahren wir als Vertragsnachweis für die Dauer des Vertrags und drei weitere Jahre auf.

Empfehlungsprogramm: Registrieren Sie sich über einen Empfehlungslink, speichern wir den Code des Links und ordnen Ihre Registrierung dem empfehlenden Verein zu. Der empfehlende Verein – bei Mitgliedern ohne Verwaltungszugang nur die empfehlende Person – sieht den Namen Ihres Vereins und den Stand der Empfehlung (registriert, freigeschaltet, aktiv genutzt, gutgeschrieben), keine weiteren Angaben. Um die Voraussetzungen der Teilnahmebedingungen zu prüfen, werten wir das Freischaltdatum und die Anzahl der aktiven Mitglieder Ihres Vereins aus. Bei Partnerlinks (z. B. von Verbänden oder Gemeinden) erhält der Partner von uns höchstens zusammengefasste Zahlen, keine Vereinsnamen. Sie können die Empfehlung vor dem Absenden der Registrierung entfernen. Für Personen, die einen Empfehlungslink erstellen, speichern wir den Code zu ihrem Benutzerkonto. Quittix verschickt keine Einladungen an Dritte; Links werden ausschließlich von den Nutzern selbst weitergegeben. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Durchführung des Empfehlungsprogramms nach den Teilnahmebedingungen), für die Anzeige beim empfehlenden Verein Art. 6 Abs. 1 lit. f DSGVO (nachvollziehbare Gutschrift). Die Angaben zur Empfehlung löschen wir mit dem Vereinskonto des empfehlenden Vereins, spätestens drei Jahre nach Verrechnung der letzten Gutschrift.

Zur Betreuung des Vertragsverhältnisses führen wir zu jedem Verein ein Protokoll unserer Verwaltungsänderungen (z. B. Wechsel des Vereinstyps, Deaktivierung) und gegebenenfalls interne Vermerke (z. B. Absprachen, Kündigungstermine). Beides ist nur für unsere System-Administratoren sichtbar und wird mit dem Vereinskonto gelöscht. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

6. Benutzerkonto und Anmeldung

Für Ihr Konto speichern wir Name, E-Mail-Adresse, Ihre Rollen und Berechtigungen im Verein sowie Ihr Passwort ausschließlich als kryptografischen Hash (bcrypt).

Sie können sich statt mit Passwort mit einem Passkey anmelden (z. B. Fingerabdruck, Gesichtserkennung oder Geräte-PIN). Dabei speichern wir nur den öffentlichen Schlüssel, eine technische Kennung, die von Ihnen vergebene Bezeichnung sowie den Zeitpunkt der Einrichtung und der letzten Nutzung; der private Schlüssel und Ihre biometrischen Merkmale verlassen Ihr Gerät bzw. Ihren Passwortmanager nie. Sie können Passkeys jederzeit im Profil entfernen.

Ein Verein kann festlegen, dass seine Administratoren die Zwei-Faktor-Anmeldung (Code aus einer Authenticator-App) nutzen müssen. Gespeichert wird dabei nur ein geheimer Schlüssel für die Code-Erzeugung beim Anmeldedienst; ohne eingerichteten zweiten Faktor sind die Vereinsdaten für diese Administratoren gesperrt.

Mitglieder können sich alternativ mit einem Einmalcode anmelden, den wir an die beim Verein hinterlegte E-Mail-Adresse senden. Der Code ist 10 Minuten gültig, nach 5 Fehlversuchen ungültig, und es werden höchstens 3 Codes je 15 Minuten versendet. Zur Missbrauchserkennung speichern wir dabei IP-Adresse und Browser-Kennung; diese Angaben werden 24 Stunden nach Ablauf des Codes gelöscht.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, für die Missbrauchserkennung Art. 6 Abs. 1 lit. f DSGVO. Die Kontodaten speichern wir, bis das Konto gelöscht wird.

7. Kontaktformular und E-Mail-Kontakt

Wenn Sie uns über das Kontaktformular oder per E-Mail schreiben, verarbeiten wir Name, E-Mail-Adresse, Betreff und Nachricht, um Ihre Anfrage zu beantworten. Die Nachricht wird per E-Mail an unser Postfach service@friendworx.com übermittelt, das wir bei Google Workspace (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland) betreiben. Eine Übermittlung in die USA kann dabei nicht ausgeschlossen werden; sie erfolgt auf Grundlage des EU-US Data Privacy Framework (Angemessenheitsbeschluss der EU-Kommission) bzw. der EU-Standardvertragsklauseln.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, sofern Ihre Anfrage mit einem Vertrag zusammenhängt, im Übrigen Art. 6 Abs. 1 lit. f DSGVO (Beantwortung von Anfragen). Wir löschen die Anfrage, wenn sie abschließend bearbeitet ist, spätestens nach drei Jahren, soweit keine gesetzlichen Aufbewahrungspflichten bestehen.

8. E-Mail-Versand aus Quittix

E-Mails aus Quittix (z. B. Anmeldecodes, Rechnungen, Benachrichtigungen) versenden wir über den E-Mail-Dienst der Hostinger International Ltd., 61 Lordou Vironos Street, 6023 Larnaca, Zypern. Verarbeitet werden Empfängeradresse, Absender, Betreff und Inhalt der Nachricht. Hostinger setzt für den Versand Unterauftragsverarbeiter ein, darunter Anbieter mit Sitz in den USA; eine Übermittlung dorthin erfolgt auf Grundlage des EU-US Data Privacy Framework bzw. der EU-Standardvertragsklauseln. Vereine können stattdessen einen eigenen Mailserver hinterlegen.

Auf Wunsch (Einstellung im Profil, standardmäßig aus) senden wir montags eine Zusammenfassung Ihrer noch ungelesenen Erinnerungen aus Quittix per E-Mail. Sie können sie jederzeit im Profil abschalten.

Zum Nachweis des Versands protokollieren wir Empfänger, Art, Zeitpunkt und Status jeder E-Mail und löschen diese Angaben nach zwölf Monaten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO bzw. für den Versandnachweis Art. 6 Abs. 1 lit. f DSGVO.

9. Besondere Funktionen

• Kalender-Abo: Für das Abonnieren der Vereinstermine erzeugen wir einen persönlichen, geheimen Link. Er enthält die Termine des Vereins sowie Training, Spiele und Treffen Ihrer Mannschaften und Gruppen und – bei einem Elternkonto – die Ihrer Kinder. Sie können den Link jederzeit erneuern; der alte Link wird dann ungültig.
• Öffentlicher Kalender: Vereine können ausgewählte Termine öffentlich auf ihrer eigenen Website anzeigen. Dabei werden nur die vom Verein freigegebenen Termindaten ausgeliefert.
• Fotos: Beim Hochladen entfernen wir eingebettete Metadaten (z. B. GPS-Position, Kameradaten) aus den Bildern. Abgebildete Personen können im Verein die Entfernung eines Fotos beantragen.
• Datenexport: Vereine können ihre Daten jederzeit vollständig als JSON- oder CSV-Datei exportieren.
• Rundschreiben: Vereine können ihren Mitgliedern E-Mails schicken. Je Empfänger protokollieren wir Name, Adresse, Zeitpunkt und Zustellstatus. Vereinsinformationen lassen sich über einen Link in jeder E-Mail abbestellen (Widerspruch nach Art. 21 DSGVO); werbliche E-Mails gehen nur an Mitglieder mit Einwilligung. Verantwortlich für diese Verarbeitung ist der jeweilige Verein, wir handeln als Auftragsverarbeiter.
• Mannschaften, Gruppen und Kurse: Vereine können Mitglieder Gruppen zuordnen, Termine anlegen und Zu- und Absagen, Anwesenheit, Fahrgemeinschaften, Kursanmeldungen und Wartelisten verwalten. Mitglieder sehen nur ihre eigenen Gruppen und darin nur die Namen der anderen Gruppenmitglieder. Rückt jemand von einer Warteliste nach, erhält er eine Benachrichtigung in Quittix. Die Abteilungsleitung und der Kassenwart einer Abteilung sehen die Kontaktdaten und den Stand der Spartenbeiträge der Mitglieder ihrer Abteilung. Für Schiedsrichter/innen kann der Verein Lizenznummer, Stufe und geleitete Spiele erfassen, um das Schiedsrichter-Soll seines Verbands nachzuweisen. Schützenvereine können außerdem Startrechte (Disziplin, Erst-/Zweitverein, Ausweisnummer) und für ihre Böllergruppe Erlaubnisse, Beschussfristen, Pulvererwerb und Auftritte dokumentieren. Verantwortlich ist der Verein; wir handeln als Auftragsverarbeiter.
• Elternkonten: Vereine können Kinder mit ihren Erziehungsberechtigten verknüpfen. Erziehungsberechtigte mit eigenem Zugang können dann für ihr Kind zu- oder absagen, es zu Kursen anmelden und seine Termine und Nachweise sehen. Verantwortlich ist der Verein; wir handeln als Auftragsverarbeiter.
• Platzbuchung: Bei Anlagen, die Mitglieder selbst buchen können (z. B. Tennisplätze, Vereinsboote), sehen andere Mitglieder bei fremden Buchungen nur Vorname und Anfangsbuchstaben des Nachnamens. Für Gäste wird nur der Name gespeichert. Verantwortlich ist der Verein; wir handeln als Auftragsverarbeiter.
• Qualifikationen, Arbeitsstunden, Plätze und Inventar: Vereine können Lizenzen und Nachweise mit Ablaufdatum, Arbeitsstunden, Platzvergaben mit Wartelisten, Objekte von Mitgliedern (z. B. Boote) und Ausleihen verwalten. Beim erweiterten Führungszeugnis wird nur die Einsichtnahme vermerkt (keine Kopie, kein Inhalt); der Vermerk wird spätestens sechs Monate nach dem eingetragenen Ende der Tätigkeit automatisch gelöscht. Verantwortlich ist der Verein; wir handeln als Auftragsverarbeiter.
• Zähler, Fangbuch, Kartenreservierung und Pferderegister: Vereine können Zählerstände und Verbräuche je Parzelle (Pächter können ihren Zählerstand selbst melden), Fänge, Erlaubnisscheine und Besatz, Kartenreservierungen für Veranstaltungen sowie Pferde von Mitgliedern mit Kennnummern und Impf- und Pflegeterminen verwalten. Mitglieder sehen nur ihre eigenen Zähler, Fänge, Erlaubnisscheine und Pferde. Für Kartenbestellungen von Gästen werden nur Name und – soweit angegeben – Telefon und E-Mail gespeichert und sechs Monate nach der Veranstaltung automatisch anonymisiert. Verantwortlich ist der Verein; wir handeln als Auftragsverarbeiter.
• Häs-Verwaltung, Narrenfahrplan und Plakettenverkauf: Vereine können Häs (Figur, Nummer, Größe, Eigentum, Träger), Leihhäs mit Gebühr und Kaution, Zahlungen beim Häskauf und das Ergebnis der Häsabnahme verwalten, Ausfahrten mit Bus und Zustiegen planen und Anmeldungen entgegennehmen sowie die Ausgabe und Abrechnung von Plaketten festhalten. Bei Anmeldungen werden Teilnehmergruppe, Fahrtgebühr, Anreise und Zustieg, Bezahlstatus und bei Minderjährigen das Einverständnis der Eltern (mit Zeitpunkt und Benutzerkonto) sowie – soweit angegeben – Name und Telefonnummer einer Aufsichtsperson gespeichert. Eltern können ihre Kinder selbst anmelden. Mitglieder sehen nur ihre eigenen Daten und die ihrer Kinder. Gästenamen und Angaben zu Aufsichtspersonen werden sechs Monate nach dem Termin automatisch gelöscht. Verantwortlich ist der Verein; wir handeln als Auftragsverarbeiter.
• Online-Mitgliedsantrag: Vereine können ein Antragsformular freischalten. Die Angaben (einschließlich einer freiwilligen Bankverbindung für das SEPA-Lastschriftmandat und freiwilliger Einwilligungen) werden dem Verein zur Entscheidung bereitgestellt. Verantwortlich ist der Verein; wir handeln als Auftragsverarbeiter.

Hilfe & Feedback: Wenn Sie uns über „Hilfe & Feedback“ eine Meldung schicken, verarbeiten wir Ihren Namen, Ihre E-Mail-Adresse, den Verein, Ihre Nachricht sowie technische Angaben (aufgerufene Seite, Browser, Programmversion), um Ihr Anliegen zu bearbeiten und Quittix zu verbessern (Art. 6 Abs. 1 lit. b und f DSGVO). Meldungen löschen wir drei Jahre nach Abschluss. Lob veröffentlichen wir nur, wenn Sie ausdrücklich eingewilligt haben (Art. 6 Abs. 1 lit. a DSGVO), mit dem von Ihnen gewählten Namen; Sie können die Einwilligung jederzeit unter „Meine Meldungen“ oder per E-Mail widerrufen.

KI-Hilfeassistent: Sofern aktiviert, können Sie Fragen zur Bedienung an einen KI-Assistenten stellen. Ihre Fragen und der bisherige Gesprächsverlauf werden dazu an die Anthropic, PBC, 548 Market Street, San Francisco, CA 94104, USA, übermittelt und dort nach Angaben des Anbieters bis zu 30 Tage gespeichert. Grundlage der Übermittlung sind die EU-Standardvertragsklauseln (Data Processing Addendum des Anbieters). Quittix speichert Gesprächsinhalte grundsätzlich nicht, sondern nur Anzahl und Umfang der Anfragen zur Begrenzung der Nutzung. Erkennt der Assistent in Ihrer Frage einen Funktionswunsch, legt Quittix daraus automatisch eine Meldung im Bereich „Hilfe & Feedback“ an (Ihre Fragen aus dem Gespräch, die Antwort des Assistenten sowie eine Zusammenfassung als Umsetzungsvorschlag); das Quittix-Team erhält sie per E-Mail. Sie sehen diese Meldung unter „Meine Meldungen“ und können ihre Löschung jederzeit verlangen; Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (Weiterentwicklung des Dienstes anhand von Nutzerwünschen). Die Nutzung ist freiwillig; Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (schnelle Hilfe bei Bedienfragen). Bitte geben Sie im Assistenten keine personenbezogenen Daten Dritter, Bankdaten oder Passwörter ein.

10. Datensicherung

Wir sichern Datenbank und Dateien täglich. Die Sicherungen werden auf dem Server 14 Tage und zusätzlich verschlüsselt (AES-256) in einem getrennten Speicher der Hetzner Online GmbH in Deutschland 30 Tage aufbewahrt und danach automatisch gelöscht. Gelöschte Daten können daher bis zu 30 Tage in Sicherungen enthalten sein.

11. Empfänger und Drittländer

Eine Weitergabe Ihrer Daten erfolgt nur an die oben genannten Dienstleister, die wir sorgfältig ausgewählt und vertraglich verpflichtet haben, oder wenn wir gesetzlich dazu verpflichtet sind. Die Daten in Quittix werden ausschließlich in Deutschland gespeichert. Zu möglichen Übermittlungen in die USA siehe Abschnitte 7, 8 und 9 (KI-Hilfeassistent). Eine automatisierte Entscheidungsfindung einschließlich Profiling findet nicht statt.

12. Ihre Rechte

Sie haben das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) sowie das Recht, eine erteilte Einwilligung jederzeit mit Wirkung für die Zukunft zu widerrufen (Art. 7 Abs. 3).

Widerspruchsrecht (Art. 21 DSGVO): Soweit wir Daten auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO verarbeiten, können Sie aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit widersprechen.

Wenden Sie sich dazu an service@friendworx.com. Mitglieder eines Vereins können viele Anliegen auch direkt im Mitgliederbereich unter „Datenschutz“ stellen.

Sie können sich bei einer Datenschutz-Aufsichtsbehörde beschweren, insbesondere bei der für uns zuständigen: Bayerisches Landesamt für Datenschutzaufsicht (BayLDA), Promenade 18, 91522 Ansbach, www.lda.bayern.de.

13. Sicherheit

Alle Verbindungen sind per TLS verschlüsselt. Die Daten der Vereine sind in der Datenbank durch Zugriffsregeln je Verein voneinander getrennt; innerhalb eines Vereins erhalten Nutzer nur die Rechte ihrer Rolle. Weitere Maßnahmen beschreiben wir in unseren technischen und organisatorischen Maßnahmen, die wir Vereinen mit dem Auftragsverarbeitungsvertrag zur Verfügung stellen.

Wir passen diese Datenschutzerklärung an, wenn sich unsere Verarbeitung ändert. Es gilt die jeweils hier veröffentlichte Fassung.