Datenschutz

1. Verantwortlicher

Verantwortlich für die Datenverarbeitung auf dieser Website ist:

TuS Jahn Werdohl e.V.
Abteilung Radsport
Postfach 1771
58791 Werdohl

Telefon: 02392 180295

Vertreten durch den Vorstand des Hauptvereins gemäß § 26 BGB.

E-Mail: schlotmann@t-online.de
Internet: https://www.tusjahnwerdohl.de

2. Allgemeines zur Datenverarbeitung

Der Schutz personenbezogener Daten ist uns wichtig.

Diese Website dient der Information über die Abteilung Radsport des TuS Jahn Werdohl e.V. Die Seiten werden als statische Website bereitgestellt. Für den Mitgliederbereich, die Verwaltung von Vereinsinhalten, Feedback/Abstimmungen, externe Anmeldungen (z. B. Trainingslager) und Push-Mitteilungen nutzen wir zusätzlich einen Backend-Dienst (Supabase, siehe Abschnitt 11).

Personenbezogene Daten werden nur verarbeitet, soweit dies für die Mitgliedschaft, die Nutzung des Mitgliederbereichs, eine Anmeldung zu Vereinsangeboten, eine Einwilligung oder eine gesetzliche Grundlage erforderlich ist.

3. Hosting der Website (GitHub Pages)

Diese Website wird unter der Adresse https://www.mtb-werdohl.de über GitHub Pages betrieben.

Anbieter:

GitHub, Inc.
88 Colin P. Kelly Jr. St.
San Francisco, CA 94107
USA

Beim Aufruf dieser Website verarbeitet GitHub technisch erforderliche Daten zur Bereitstellung und Sicherheit der Website.

Hierzu können insbesondere gehören:

• IP-Adresse
• Datum und Uhrzeit des Zugriffs
• Browsertyp und Browserversion
• Betriebssystem
• Referrer-URL
• aufgerufene Seiten

Die Verarbeitung erfolgt auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer sicheren und funktionsfähigen Bereitstellung der Website).

Der Betreiber dieser Website hat keinen direkten Zugriff auf die Server-Logdaten von GitHub.

Weitere Informationen: GitHub Privacy Statement

4. Externe technische Bibliotheken (jsDelivr)

Zur Anbindung an unser Backend wird die JavaScript-Bibliothek Supabase über das Content Delivery Network jsDelivr geladen.

Im Admin-Bereich (nur für den Vorstand) kann beim PDF-Export von Mitgliederlisten zusätzlich die Bibliothek pdfmake über jsDelivr nachgeladen werden. Das erfolgt erst, wenn du den Export auslöst — nicht beim normalen Seitenaufruf.

Anbieter:

jsDelivr / Prospect One Sp. z o.o.
Polen / CDN weltweit

Beim Laden können technisch erforderliche Verbindungsdaten (insbesondere IP-Adresse, Browsertyp, Zeitpunkt des Abrufs) verarbeitet werden.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer funktionsfähigen Website, Mitglieder-Anmeldung und Vereinsverwaltung).

5. Datenübermittlung in Drittländer

Mitgliederdaten, Feedback, Push-Abonnements und Inhalte aus dem Mitgliederbereich werden in unserem Supabase-Projekt in der Region eu-central-2 gespeichert und primär verarbeitet (siehe Abschnitt 11).

Andere eingesetzte Dienste — insbesondere GitHub Pages, jsDelivr und Push-Dienste der Browser-Hersteller (Abschnitt 13) — können Daten auch außerhalb der Europäischen Union verarbeiten.

Die Übermittlung erfolgt — soweit erforderlich — auf Grundlage geeigneter Garantien gemäß Art. 46 DSGVO (z. B. Standardvertragsklauseln der Anbieter).

6. Schriftarten

Die auf dieser Website verwendeten Schriftarten werden lokal auf dem Webserver bereitgestellt.

Es erfolgt keine Verbindung zu externen Schriftanbieter-Diensten (z. B. Google Fonts).

7. Externe Links

Diese Website enthält Links zu externen Websites Dritter (z. B. WhatsApp, Instagram, Facebook oder externe Vereinsseiten).

Beim Anklicken eines externen Links verlässt du diese Website.

Für Inhalte und Datenverarbeitung auf den verlinkten Seiten ist ausschließlich der jeweilige Anbieter verantwortlich.

8. Nutzung von QR-Codes

Auf gedruckten Informationsmaterialien können QR-Codes eingesetzt werden.

Beim Scannen eines QR-Codes können technisch erforderliche Daten verarbeitet werden, insbesondere:

• IP-Adresse
• Zeitpunkt des Zugriffs
• technische Geräteinformationen

QR-Codes dienen ausschließlich der Weiterleitung auf unsere Angebote sowie der Verbesserung unserer Öffentlichkeitsarbeit.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO.

9. Kontaktaufnahme per E-Mail

Eine Kontaktaufnahme ist über die angegebenen E-Mail-Adressen möglich (z. B. schlotmann@t-online.de, info@mtb-werdohl.de).

In diesem Fall werden die übermittelten Daten ausschließlich zur Bearbeitung der Anfrage verwendet.

Dies betrifft insbesondere:

• Name
• E-Mail-Adresse
• Inhalt der Nachricht

Rechtsgrundlage:

• Art. 6 Abs. 1 lit. b DSGVO (Anbahnung oder Durchführung eines Vertragsverhältnisses), soweit einschlägig
• Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Beantwortung von Anfragen)

10. Kontaktaufnahme über WhatsApp

Auf dieser Website besteht die Möglichkeit einer freiwilligen Kontaktaufnahme über WhatsApp.

Anbieter:

WhatsApp Ireland Limited
4 Grand Canal Square
Grand Canal Harbour
Dublin 2
Irland

Beim Anklicken des WhatsApp-Links können Daten an WhatsApp übermittelt werden.

Dies können insbesondere sein:

• IP-Adresse
• Zeitpunkt des Aufrufs
• Telefonnummer
• Kommunikationsinhalte

Die Nutzung erfolgt freiwillig.

Alternativ ist jederzeit eine Kontaktaufnahme per E-Mail möglich.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an erreichbarer Vereinskommunikation); soweit du uns aktiv schreibst, zusätzlich Art. 6 Abs. 1 lit. b DSGVO.

11. Backend-Dienst Supabase (Mitgliederbereich, Inhalte, Push)

Für den Mitgliederbereich, die Speicherung von Vereinsinhalten (News, Termine, Galerie), Mitgliederdaten, Feedback/Abstimmungen und Push-Abonnements nutzen wir Supabase als technischen Dienstleister.

Anbieter:

Supabase, Inc.
970 Toa Payoh North #07-04
Singapore 318992

Supabase stellt Datenbank, Authentifizierung, Dateispeicher und serverseitige Funktionen bereit. Der Verein bleibt Verantwortlicher; Supabase verarbeitet Daten im Rahmen einer Auftragsverarbeitung gemäß Art. 28 DSGVO.

Unser Supabase-Projekt ist in der Region eu-central-2 eingerichtet. Personenbezogene Daten aus dem Mitgliederbereich werden dort gespeichert und primär verarbeitet.

Auftragsverarbeitungsvertrag (DPA): Eine PDF-Vorschau des Supabase-DPA findet sich unter supabase.com/legal/dpa. Den unterzeichneten DPA stellt Supabase über das Dashboard bereit: Organisation → Legal Documents ([supabase.com/dashboard/org//documents](https://supabase.com/dashboard/org//documents)) — dort DPA anfordern und per PandaDoc abschließen. _ durch den Slug eurer Organisation ersetzen (sichtbar in der Dashboard-URL unter /org/…/).

Beim Aufruf von Seiten mit Mitgliederfunktionen oder beim Speichern von Inhalten werden Verbindungen zu Supabase-Servern aufgebaut. Dabei können insbesondere verarbeitet werden:

• IP-Adresse und technische Verbindungsdaten
• Zeitpunkt des Zugriffs
• Browsertyp / User-Agent
• übermittelte Inhalte und Formulardaten

Gespeicherte Inhalte (je nach Nutzung):

• Vereins-News, Termine und Galerie-Bilder (inkl. Metadaten und Mediendateien)
• Mitgliederstammdaten (siehe Abschnitt 12)
• Feedback und Abstimmungen (siehe Abschnitt 12.6)
• Push-Abonnements (siehe Abschnitt 13)
• Push-Verlauf (PushMessages) für die Anzeige auf der Website
• technischer Website-Zustand (z. B. letzte Push-Mitteilung für die Anzeige auf der Startseite)

Rechtsgrundlagen:

• Art. 6 Abs. 1 lit. b DSGVO — Bereitstellung des Mitgliederbereichs und Vereinskommunikation
• Art. 6 Abs. 1 lit. f DSGVO — sicherer Betrieb der Website und Inhaltsverwaltung durch den Vorstand
• Art. 6 Abs. 1 lit. a DSGVO — soweit eine Einwilligung erforderlich ist (Push, gesonderte Einwilligungen)

Weitere Informationen: Supabase Privacy Policy

12. Mitgliederbereich, Login und Profildaten

12.1 Anmeldung (Magic Link)

Du kannst dich mit deiner E-Mail-Adresse anmelden. Es wird kein Passwort gespeichert. Stattdessen sendet Supabase Auth einen einmaligen Login-Link per E-Mail.

Vereinsmitglieder (Rolle „Mitglied“ oder „Vorstand“): Die E-Mail muss in der Mitgliederliste des Vereins hinterlegt sein. Andernfalls wird kein Login-Link versendet.

Externe Teilnehmer (Rolle „public“, siehe Abschnitt 12.5): Registrierung über öffentliche Abstimmung; Eintrag in der Mitgliederdatenbank erst nach Klick auf den Bestätigungs-Link. Anschließend Login und Abstimmung per Magic Link.

Verarbeitete Daten:

• E-Mail-Adresse
• technische Auth-Daten (Session-Token, Ablaufzeitpunkt, Gerätebezug der Anmeldung)
• Prüfung, ob die E-Mail in unserer Mitgliederdatenbank hinterlegt ist

Rechtsgrundlagen:

• Art. 6 Abs. 1 lit. b DSGVO — Zugang zum Mitgliederbereich im Rahmen der Vereinsmitgliedschaft oder einer Anmeldung zu Vereinsangeboten
• Art. 6 Abs. 1 lit. f DSGVO — sichere Authentifizierung ohne Passwortspeicherung

12.2 Mitgliederstammdaten

Im Mitgliederbereich (Mein Profil) werden Daten aus unserer Mitgliederdatenbank angezeigt und — soweit vorgesehen — vom Nutzer selbst bearbeitet.

Dies können insbesondere sein:

• Mitgliedsnummer, Vorname, Nachname
• Abteilung, Geburtsdatum
• E-Mail-Adresse
• Adresse (Straße, Hausnummer, PLZ, Wohnort)
• Telefonnummer
• Rolle (z. B. Mitglied, Vorstand oder public — externer Teilnehmer)
• Datenschutz-Einwilligungen (siehe Abschnitt 12.3; nur bei Vereinsmitgliedern)

Rolle „public“: Es wird eine eingeschränkte Profilansicht angezeigt (Name, E-Mail, Telefon, Logout, Account löschen). Push-Mitteilungen und Datenschutz-Einwilligungen auf der Profilseite stehen externen Teilnehmern nicht zur Verfügung.

Der Vorstand kann Mitgliederdaten zur Vereinsverwaltung pflegen (Anlegen, Bearbeiten). Löschen entfernt personenbezogene Daten (Anonymisierung); technische IDs und anonyme Abstimmungen bleiben für Auswertungen erhalten. Push-Abonnements werden entfernt.

Rechtsgrundlagen:

• Art. 6 Abs. 1 lit. b DSGVO — Mitgliedschaft im Verein und Vereinsverwaltung
• Art. 6 Abs. 1 lit. f DSGVO — Organisation des Radsportbetriebs

12.3 Einwilligungen auf der Profilseite

Auf der Profilseite (Mein Profil, mtb-werdohl.de/profil/) können eingeloggte Vereinsmitglieder (Rollen „Mitglied“ oder „Vorstand“) gesonderte Einwilligungen online erteilen, insbesondere:

• Einwilligung Kontakt — Nutzung der Daten für vereinsbezogene Kontaktaufnahme
• Einwilligung Bilder — Verwendung von Bildern im Vereinskontext

Alternativ können Einwilligungen weiterhin schriftlich (z. B. über den Mitgliedsantrag) erteilt werden.

Es wird gespeichert, ob die Einwilligung erteilt wurde und an welchem Datum.

Die Einwilligungen sind freiwillig.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO.

Die Einwilligungen können jederzeit mit Wirkung für die Zukunft widerrufen werden. Der Widerruf ist in Textform (z. B. per E-Mail) gegenüber dem Verein zu richten (Kontaktadresse siehe Abschnitt 1). Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt.

12.4 Mitglieder-only Inhalte

Bestimmte News und Termine sind nur für eingeloggte Vereinsmitglieder (Rollen „Mitglied“ oder „Vorstand“) sichtbar. Externe Teilnehmer (Rolle „public“) haben keinen Zugang zu diesen Inhalten.

Beim Abruf wird geprüft, ob eine gültige Session besteht und ob die Rolle berechtigt ist.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO und Art. 6 Abs. 1 lit. f DSGVO.

12.5 Externe Teilnehmer (Rolle „public“)

Bei öffentlichen Abstimmungen (z. B. Anmeldung zum Trainingslager) kannst du dich ohne Vereinsmitgliedschaft mit Name und E-Mail anmelden. Deine Angaben werden erst in unserer Datenbank gespeichert, wenn du den Bestätigungs-Link in der E-Mail anklickst (Magic Link). Vorher werden Name und Telefon nur vorübergehend bei Supabase Auth hinterlegt, bis du die E-Mail bestätigst.

Verarbeitete Daten:

• Vorname, Nachname
• E-Mail-Adresse
• Telefonnummer (optional)
• Rolle „public“ in unserer Mitgliederdatenbank

Zweck:

• Organisation von Vereinsveranstaltungen und Auswertung von Anmeldungen/Abstimmungen durch den Vorstand
• optional späterer Login per Magic Link (siehe Abschnitt 12.1)

Externe Teilnehmer sind keine Vereinsmitglieder: kein Zugang zu internen Inhalten, kein Admin-Bereich, keine Push-Bestellung.

Account löschen: Auf der Profilseite kannst du deinen externen Account löschen. Dabei werden Name, E-Mail, Telefon und dein Login-Konto entfernt. Bereits abgegebene Abstimmungen bleiben anonym gezählt (ohne Zuordnung zu deinem Namen), damit Auswertungen wie Teilnehmerzahlen korrekt bleiben. Freitext-Kommentare in Abstimmungen werden gelöscht.

Rechtsgrundlagen:

• Art. 6 Abs. 1 lit. b DSGVO — Durchführung der von dir gewünschten Anmeldung/Teilnahme
• Art. 6 Abs. 1 lit. f DSGVO — Organisation des Radsportbetriebs und Auswertung durch den Vorstand

Speicherdauer: bis zur Löschung durch dich (Profil), den Vorstand oder auf Anfrage (siehe Abschnitt 15), sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

12.6 Feedback und Abstimmungen

An Terminen und News kann optional ein Feedback-Modul eingerichtet sein (z. B. „Wer fährt mit?“ / Ja–Vielleicht, Ja–Nein mit Kommentar, Umfrage). Der Vorstand kann das Modul aktivieren oder deaktivieren.

Verarbeitete Daten:

• deine Antwort (z. B. Ja / Vielleicht / Nein oder gewählte Umfrage-Option)
• optional ein Kommentar
• Zuordnung zu deinem Datensatz in der Mitgliederdatenbank (member_id)
• Zeitpunkt der Abgabe bzw. Änderung

Standard (nur Vereinsmitglieder): Abstimmung ist nur nach Anmeldung als Mitglied oder Vorstand möglich (Magic Link über die Website-Navigation).

Öffentliche Abstimmung (optional, vom Vorstand freigegeben): Externe können teilnehmen, wenn das Modul dafür explizit freigegeben ist. Ablauf:

1. Kurze Registrierung mit Name und E-Mail (Abschnitt 12.5)
2. Bestätigung per Magic Link in der E-Mail
3. Erst danach Abstimmung — ohne gültige Anmeldung ist keine Teilnahme möglich

Bereits Vereinsmitglieder sollen sich über den normalen Mitglieder-Login anmelden, nicht über die externe Registrierung.

Der Vorstand kann Antworten in der Verwaltung einsehen und exportieren (Name/E-Mail der Teilnehmer sind für den Vorstand sichtbar, bei gelöschten Accounts: „Anonym“).

Bei Account-Löschung durch externe Teilnehmer bleiben Abstimmungen anonym gezählt; Kommentare werden entfernt (Abschnitt 12.5).

Rechtsgrundlagen:

• Art. 6 Abs. 1 lit. b DSGVO — Durchführung der Anmeldung/Abstimmung
• Art. 6 Abs. 1 lit. f DSGVO — Organisation und Auswertung durch den Vorstand

13. Service Worker und Push-Mitteilungen

13.1 Service Worker (nur für Push)

Für Web-Push wird ein Service Worker (sw.js) registriert — nur wenn du auf der Profilseite Push aktivierst oder der Browser bereits ein Push-Abo für diese Website hat.

Der Service Worker cached keine Seiteninhalte. Er dient ausschließlich dem Empfang und der Anzeige von Push-Mitteilungen.

Es gibt keine installierbare App und kein „Zum Home-Bildschirm hinzufügen“ als offizielles Angebot. Die Website wird im Browser genutzt.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (technisch erforderliche Funktion für Push).

13.2 Push-Mitteilungen

Push-Mitteilungen können von Vereinsmitgliedern (Rollen „Mitglied“ oder „Vorstand“) auf der Profilseite im Browser aktiviert werden, nachdem du dem Benachrichtigungsdialog des Browsers zugestimmt hast. Externe Teilnehmer (Rolle „public“) können Push nicht bestellen.

Hinweis auf der Website: Der Vorstand kann Mitteilungen versenden. Der Text der letzten Mitteilung kann auf der Website angezeigt werden (auch ohne aktives Push-Abo). Die Zustellung als Push setzt die Aktivierung auf der Profilseite im Browser voraus.

Verarbeitete Daten:

• Push-Subscription (Endpoint, technische Schlüssel p256dh und auth)
• Zuordnung zum Mitglied (member_id)
• Gerätename und Browser-Informationen (User-Agent)
• Inhalt der vom Vorstand versandten Mitteilungen (Titel, Text, optional Link)

Push-Nachrichten werden an alle aktiven Abonnements versendet — auch an den absendenden Vorstand, sofern dort Push aktiviert ist.

Zur technischen Zustellung kann dein Browser Push-Dienste des jeweiligen Herstellers nutzen, z. B.:

• Google (Firebase Cloud Messaging) bei Chromium-Browsern / Android
• Apple bei Safari / iOS
• Mozilla bei Firefox

Dabei können Daten an diese Anbieter übermittelt werden. Welcher Dienst genutzt wird, hängt von Browser und Betriebssystem ab.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung über Browser-Dialog und aktive Aktivierung auf der Profilseite).

Die Einwilligung kann jederzeit widerrufen werden:

• über Push abbestellen auf der Profilseite, und/oder
• über die Benachrichtigungseinstellungen des Geräts / Browsers

Push-Daten werden gelöscht, sobald Push deaktiviert wird, das Abonnement ungültig ist oder das Mitglied gelöscht wird.

14. Cookies, Local Storage und technische Speicherung

Diese Website verwendet:

• keine Analyse-Cookies
• keine Marketing-Cookies
• keine Trackingdienste
• keine Analyseplattformen
• keine Social-Media-Plugins mit automatischer Datenübermittlung

Zur technischen Funktion können Informationen lokal im Browser gespeichert werden (Local Storage), insbesondere:

• Supabase Auth-Session — damit du eingeloggt bleibst (Magic Link)
• lastSeenPush — welche Push-Mitteilung auf der Website bereits als gelesen markiert wurde
• publicFeedbackReturnUrl — Rückkehr-Adresse nach Magic Link bei externer Abstimmung (Session Storage, bis Tab geschlossen oder überschrieben)
• publicRegistrationPending — vorübergehend Name/Telefon bis E-Mail bestätigt ist (Session Storage, bis Registrierung abgeschlossen oder Account gelöscht)

Diese Speicherung dient ausschließlich der technischen Funktion der Website und des Mitgliederbereichs. Es werden keine Analyse-, Marketing- oder Tracking-Cookies gesetzt.

Rechtsgrundlage:

• Art. 6 Abs. 1 lit. f DSGVO — technisch notwendige Funktion
• Art. 6 Abs. 1 lit. b DSGVO — Session für den Mitgliederbereich

Es werden keine Cookies zu Werbe- oder Analysezwecken gesetzt.

15. Speicherdauer

• Kontaktanfragen per E-Mail: Löschung nach abschließender Bearbeitung, spätestens nach Ablauf gesetzlicher Aufbewahrungsfristen, sofern keine weitergehende Pflicht besteht.
• Mitgliederstammdaten (Mitglied / Vorstand): für die Dauer der Mitgliedschaft; danach Löschung oder Einschränkung, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen.
• Externe Teilnehmer (Rolle „public“): bis zur Löschung durch dich (Profil), den Vorstand oder auf Anfrage; nach Löschung nur noch anonyme technische ID ohne Personenbezug, soweit Abstimmungen ausgewertet werden.
• Feedback-Antworten: für die Dauer des jeweiligen Termins/Anlasses und der Auswertung durch den Vorstand; bei Account-Löschung bleiben Antworten anonym erhalten (ohne Name/Kommentar), Löschung auf Anfrage möglich.
• Auth-Session: bis zum Logout, Ablauf der Session oder Ungültigkeit des Login-Links.
• Push-Abonnements: bis zur Deaktivierung, Ungültigkeit oder Löschung des Mitglieds.
• Push-Verlauf (PushMessages): für die Anzeige auf der Website; technische Löschung durch den Vorstand bei Bedarf.
• Local Storage im Browser (z. B. lastSeenPush) und Session Storage (z. B. publicFeedbackReturnUrl, publicRegistrationPending): bis du die Website-Daten im Browser löschst, der Tab geschlossen wird oder der Eintrag überschrieben wird.
• Server- und Verbindungslogs der Hosting-/Backend-Anbieter: gemäß deren Richtlinien; auf diese Logs hat der Verein in der Regel keinen direkten Zugriff.

16. Rechte betroffener Personen

Du hast das Recht:

• Auskunft über gespeicherte Daten zu erhalten (Art. 15 DSGVO)
• Berichtigung unrichtiger Daten zu verlangen (Art. 16 DSGVO)
• Löschung von Daten zu verlangen (Art. 17 DSGVO)
• Einschränkung der Verarbeitung zu verlangen (Art. 18 DSGVO)
• der Verarbeitung zu widersprechen (Art. 21 DSGVO)
• Datenübertragbarkeit zu verlangen (Art. 20 DSGVO), soweit anwendbar
• erteilte Einwilligungen jederzeit zu widerrufen (Art. 7 Abs. 3 DSGVO)
• Beschwerde bei einer Aufsichtsbehörde einzulegen (Art. 77 DSGVO)

Zuständige Aufsichtsbehörde (Land Nordrhein-Westfalen):

Landesbeauftragte für Datenschutz und Informationsfreiheit NRW
Kavalleriestraße 2–4
40213 Düsseldorf
https://www.ldi.nrw.de

Zur Ausübung deiner Rechte genügt eine formlose Mitteilung an die unter Abschnitt 1 genannte Kontaktadresse.

17. Aktualität

Stand dieser Datenschutzerklärung:

Mai 2026

Bei technischen oder rechtlichen Änderungen wird diese Datenschutzerklärung angepasst.