Pflichtangaben

Datenschutzerklärung

Stand: 13. September 2026

⛔ Noch nicht anwaltlich geprüft

Dieser Text ist vollständig, aber ungeprüft. Er beschreibt, was die App nachweislich tut — er stammt aus keiner Vorlage und war noch bei keinem Anwalt.

In der Datenschutzerklärung fehlt außerdem noch eine Pflichtangabe; sie steht dort als „Noch offen" im Text und wurde nicht erfunden.

Solange dieser Kasten hier steht, ist die Seite für Suchmaschinen gesperrt und nicht zur Veröffentlichung bestimmt. Banner und Sperre fallen gemeinsam, wenn beides erledigt ist.

Das Wichtigste zuerst

Innerhalb eines Zuges sieht fast jedes Mitglied fast alles.

Das ist kein Versehen, sondern der Zweck der App. Sie bildet ab, was im Zug ohnehin bekannt ist: Strafen werden beim Frühschoppen verkündet, die Getränke-Rangliste ist der Witz an der Sache, und wer bei welchem Termin da war, weiß jeder, der da war.

Aber: Was auf einem Bierdeckel steht, ist am nächsten Tag weg. Was in dieser App steht, bleibt.

Deshalb steht hier im Klartext, wer was sieht – und nicht die übliche Formel „nur berechtigte Personen haben Zugriff“. Berechtigt ist hier der ganze Zug.

Wer verantwortlich ist

Verantwortlicher im Sinne der Datenschutz-Grundverordnung ist der Schützenzug, der die App benutzt. Ihm gehören die Daten seiner Mitglieder.

Für diese Installation ist das der Hubertuszug Wildfüchskes – ein nicht eingetragener Verein, vertreten durch den Zugführer:

Christian von Schreitter
cvs@schreitter.de

An ihn gehen alle Fragen zum Datenschutz sowie Auskunfts-, Berichtigungs- und Löschanfragen.

Eine Postanschrift steht hier nicht: Der Zug hat keine eigene, und die des Zugführers steht im Auftragsverarbeitungsvertrag zwischen dem Zug und dem Auftragsverarbeiter – nicht öffentlich. Ob das genügt, liegt beim Anwalt.

Zuständige Aufsichtsbehörde ist die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW), ldi.nrw.de. Jedes Mitglied kann sich dort beschweren (Art. 77 DSGVO).

Auftragsverarbeiter ist Marvin Nowozin / MN Webdesign, Salmstr. 47, 41472 Neuss. Er betreibt die Technik und handelt auf Weisung des Zuges. Seine vollständigen Angaben stehen im Impressum.

Wer was sieht

Jedes bestätigte, aktive Mitglied des eigenen Zuges sieht:

von jedem anderen Mitglied: Vor- und Nachname, Spitzname, E‑Mail-Adresse, Telefonnummer, Dienstgrad, Eintrittsdatum – auch von Ausgetretenen und von Leuten, deren Beitritt noch nicht bestätigt ist;
jede Strafe jedes anderen, samt frei getippter Begründung und Storno-Grund;
jeden einzelnen Getränkeeintrag jedes anderen, sekundengenau;
wer bei welchem Termin da war und wer nicht – über Jahre;
alle Abstimmungen, alle Spielergebnisse, alle Ämter samt der Angabe, wer sie wem wann gegeben hat;
jede hochgeladene Datei des Zuges.

Enger sichtbar ist nur das Kassenbuch: Dort sieht man die eigenen Zeilen, den Sammelpot und – wer Spieß ist – alle Kontostände.

Wer noch nicht bestätigt ist, sieht gar nichts. Kein Termin, keine Mitgliederliste, keine Strafe. Das entscheidet nicht die Oberfläche, sondern die Datenbank.

Zwischen zwei Zügen gibt es keinen Durchblick. Jede Zeile gehört einem Zug, und jede Zugriffsregel prüft das.

Wie man in die App hineinkommt

Es gibt keine Passwörter. Wer sich anmeldet, bekommt einen sechsstelligen Code an seine E‑Mail-Adresse und tippt ihn ein. Verarbeitet werden dabei die E‑Mail-Adresse, der Code und ein Sitzungsmerkmal.
Man kann sich nicht selbst anmelden. Eine fremde Adresse erzeugt kein Konto; sie bekommt schlicht keine Mail.
Aufgenommen wird man über einen Einladungslink, den die Zugspitze erzeugt und persönlich weitergibt. Der Link ist 14 Tage gültig.
Beim Einlösen gibt man selbst ein: Vorname, Nachname, Spitzname und E‑Mail-Adresse.
Der Beitritt gilt erst, wenn die Zugspitze ihn bestätigt.

Auf Ihrem eigenen Gerät bleibt: die Anmeldesitzung im Speicher des Browsers – nicht in einem Cookie –, noch nicht übertragene Getränkeeinträge und die Dateien der App selbst. Antworten des Servers mit Personendaten werden nicht zwischengespeichert.

Was die App ausdrücklich nicht tut

Geprüft wurde dafür der Quelltext und das fertig gebaute Programmpaket:

Keine Cookies.
Kein Tracking, keine Statistik, kein Zählpixel.
Keine Schriften, keine Karten, keine Symbole von fremden Servern. Die App benutzt ausschließlich die Schrift Ihres Geräts.
Kein Fehlerberichtsdienst, keine Werbung, kein Newsletter.
Kein Zahlungsdienstleister.
Kein Leseprotokoll. Die App hält fest, wer etwas geschrieben hat – nicht, wer etwas gelesen hat. Niemand kann feststellen, wer welche Strafe, welchen Kontostand oder welches Dokument angesehen hat.
Keine automatisierte Entscheidung im Sinne von Art. 22 DSGVO. Eine Strafe trägt ein Mensch ein.

Ein Punkt, der trotzdem nach draußen führt: Die Mail mit dem Anmeldecodelädt ein kleines Bild von der Adresse der App. Öffnen Sie sie und lädt Ihr Mailprogramm Bilder, fällt dabei Ihre IP-Adresse beim Auslieferer der App an. Das ist der einzige Weg, auf dem ZugBuddy einen fremden Aufruf auslöst – dieEinladungsmail lädt nichts.

Wer die Daten außer dem Zug bekommt

Die anderen Mitglieder des eigenen Zuges – das ist der Zweck der App.
Supabase – Datenbank, Benutzerkonten, Dateispeicher. Sieht technisch alles.
Cloudflare – liefert die Programmdateien aus. Keine Inhalte der App; was dort anfällt, sind die Zugriffsprotokolle jedes Webservers: IP-Adresse, Zeitpunkt, aufgerufene Adresse, Browserkennung.
All-Inkl (ALL-INKL.COM – Neue Medien Münnich) trägt die Anmeldemail hinaus – E‑Mail-Adresse und Anmeldecode. Server in Deutschland, Absender hallo@zugbuddy.de.
Marvin Nowozin / MN Webdesign als Auftragsverarbeiter – technisch alles, siehe unten.

Wer diese drei Anbieter sind, im Klartext:

Supabase Pte. Ltd., 65 Chulia Street #38‑02/03, OCBC Centre, Singapur 049513. Ein Unternehmen mit Sitz in Singapur – auch wenn die Datenbank in Frankfurt steht.
Cloudflare, Inc., 101 Townsend Street, San Francisco, CA 94107, USA.
ALL-INKL.COM – Neue Medien Münnich, Inhaber René Münnich, Hauptstraße 68, 02742 Friedersdorf. Ein deutsches Unternehmen.

Mit Supabase und Cloudflare besteht ein Auftragsverarbeitungsvertrag: Beide führen ihn als festen Bestandteil ihrer Nutzungsbedingungen, er gilt also mit deren Annahme und ohne eigene Unterschrift. Bei Supabase gilt die Annahme ausdrücklich zugleich als Unterschrift unter die Standardvertragsklauseln.

Kein zusätzliches Zählpixel – nachgesehen, nicht geglaubt.

Cloudflare kann seinen Kunden eine eigene Web-Statistik einschalten und dafür ein Zählpixelnachträglich in die ausgelieferte Seite einfügen– ohne dass davon etwas im Programmcode stünde. Der Satz „kein Tracking“ wäre damit still falsch geworden.

Geprüft wurde deshalb nicht die Einstellung, sondern das Ergebnis: Die tatsächlich ausgelieferte Seite wurde abgerufen und nach dem Zählpixel durchsucht. Es ist nicht da.

Noch offen: Wie lange Supabase und Cloudflare die Zugriffsprotokolle mit der IP-Adresse aufbewahren. Cloudflare nennt in seiner Datenschutzerklärung keine Frist für die Protokolle des Auslieferungsnetzes; für Supabase ist nichts Veröffentlichtes gefunden worden. Und ob mit All-Inkl ein Auftragsverarbeitungsvertrag geschlossen ist – anders als bei den beiden anderen ist er dort nicht Teil der Nutzungsbedingungen, sondern eigens zu schließen.

Wo die Daten liegen

Die Datenbank läuft bei Supabase in Frankfurt am Main. Solange die Verarbeitung dort stattfindet, verlässt sie die EU nicht. Beide Anbieter haben ihren Sitz jedoch außerhalb der EU.

Beide Anbieter setzen ihrerseits Dienstleister ein. Supabase führt sie in einer öffentlichen Liste – mit Stand vom 1. Juni 2026 sind es vierundzwanzig, darunter Amazon Web Services (auf deren Rechnern die Datenbank läuft), Google, Cloudflare, Vercel und Fly.io für den Betrieb sowie Sentry für die Fehlersuche. Fast alle davon sind Unternehmen mit Sitz in den USA. Cloudflare führt eine eigene solche Liste.

Damit liegt ein Drittlandtransfer vor, und zwar unabhängig davon, dass die Datenbank in Frankfurt steht: Schon weil Supabase in Singapur und Cloudflare in den USA sitzen, kann von dort aus auf die Systeme zugegriffen werden.

Auf welcher Grundlage das geschieht:

Supabase stützt sich auf die Standardvertragsklauseln der EU-Kommission (Modul 2 und 3).
Cloudflare stützt sich auf die Standardvertragsklauseln und auf das EU-US Data Privacy Framework, den Angemessenheitsbeschluss für die USA.
All-Inkl sitzt in Deutschland – hier gibt es keinen Drittlandtransfer.

Was das praktisch heißt:

Die Standardvertragsklauseln sind ein Vertrag, kein technischer Schutz. Sie verpflichten den Anbieter auf europäisches Datenschutzniveau – sie hindern aber keine Behörde daran, nach dem Recht ihres Landes auf Daten zuzugreifen. Wer damit nicht leben will, kann ZugBuddy nicht benutzen. Das ist keine Besonderheit dieser App, sondern gilt für nahezu jeden Dienst, der nicht vollständig auf eigener Hardware läuft – es soll hier nur nicht unter den Tisch fallen.

Der Betreiber kann technisch in jeden Zug sehen.

Marvin Nowozin hat den vollen Zugang zur Datenbank. Damit kann er jede Tabelle jedes Zuges lesen – einschließlich der Zuordnung, wer bei einer anonymen Abstimmung wie gestimmt hat –, einen ganzen Zug löschen und die ausgelieferte App verändern.

Er tut das nur auf Weisung des Zuges. Eine technische Sperre dagegen gibt es nicht und kann es in dieser Bauweise nicht geben – es gibt keinen Server zwischen der App und der Datenbank, der sie durchsetzen könnte.

Ein Protokoll über solche Eingriffe führt die App nicht. Ein Zugriff über den Datenbankzugang hinterlässt in der App keine Spur.

Wie lange die Daten bleiben

Seit dem 12. September 2026 gibt es Aufbewahrungsfristen.

Zwei Jahre für drei Bereiche:

Kasse – Strafen, Änderungsprotokoll, Buchungen, Abrechnungen, entschiedene Auszahlungsanfragen;
Getränke – die Einträge;
Anwesenheit – Teilnahmen und Zusagen (nicht die Termine selbst).

Dazu kommt eine vierte: Das Rohprotokoll des Küken-Spiels wird gelöscht, sobald ein Durchgang abgeschlossen ist. Es bleibt nur die Rangliste.

Drei Eigenschaften, die dazugehören:

Abgeräumt werden Zeiträume, keine Zeilen. Es gibt keinen Weg, eine einzelne unbequeme Strafe zu treffen. Wer es versuchte, müsste ein ganzes Kassenjahr abräumen – und das steht im Protokoll.
Offene Posten bleiben. Eine nicht abgerechnete Strafe, eine unentschiedene Auszahlungsanfrage: bleiben stehen.
Die Kontostände ändern sich nicht. Vor dem Löschen wird je Person ein Saldovortrag gebucht; die Datenbank rechnet nach und bricht ab, wenn die Summe um einen Cent abweicht.

Jeder Abräumlauf wird protokolliert: wann, welcher Zug, welcher Bereich, welcher Stichtag und wie viele Zeilen je Tabelle – ohne Personenbezug. Für den ganzen Zug lesbar, für niemanden veränderbar.

Abgeräumt wird von Hand, nicht automatisch.

Die App zeigt an, was fällig ist; löschen muss ein Mensch. Der Grund: Vor jedem Abräumen soll ein Datenauszug stehen – ein automatischer Lauf könnte diese Vorgabe nie einhalten, weil niemand exportiert hätte.

Der Preis, ungeschönt: Ein Zug, der im Winter ruht, hält seine Frist monatelang nicht ein – niemand öffnet die App, niemand sieht den Hinweis. Deshalb steht hier nicht „wir löschen nach zwei Jahren“, sondern wie es wirklich läuft.

Für diese Bereiche ist noch keine Frist entschieden: Abstimmungen, Tipps, Spielergebnisse, Einladungen, Dokumente und die eingefrorenen Küken-Ranglisten.

Was nach einem Austritt stehen bleibt, solange die Frist nicht gegriffen hat: die Mitgliederzeile, der belegte Spitzname, die Strafen samt Freitext, die Kassenbuchzeilen und Abrechnungs-PDF mit dem Klarnamen, die Getränkeeinträge, die Stimmen und Tipps, und die Angabe, wer etwas eingetragen, bestätigt, gebucht oder storniert hat.

Ihre Rechte

Die Rechte aus der Datenschutz-Grundverordnung bestehen unabhängig davon, was eine App kann. Was diese App kann, steht trotzdem daneben – eine Erklärung, die ein Verfahren verspricht, das es nicht gibt, ist schlechter als eine, die es zugibt.

Auskunft (Art. 15): Es gibt einen Datenauszug – alles aus einem Zeitraum als PDF und zwei CSV-Dateien. Er entsteht in Ihrem Browser und wird nirgends hochgeladen.
Berichtigung (Art. 16): Unter „Mein Profil“ ändern Sie selbst Ihren Spitznamen und Ihre Telefonnummer. Ebenfalls selbst: Ihre Zusage samt Kommentar, Ihre Stimme, Ihren Küken-Namen. Vorname, Nachname und Dienstgrad ändert die Zugspitze; Ihre E‑Mail-Adresse ist zugleich Ihr Zugang und wird deshalb nicht dort umgeschrieben.
Löschung (Art. 17): siehe den Kasten unten.
Datenübertragbarkeit (Art. 20): über denselben Datenauszug.
Einschränkung (Art. 18) und Widerspruch (Art. 21): Dafür gibt es in der App kein Verfahren. Wenden Sie sich an den Zug.
Beschwerde (Art. 77) bei der LDI NRW – der Aufsichtsbehörde des Zuges.

Zur Löschung – im Klartext, weil es sonst eine Zusage wäre

Es gibt ein Verfahren. Es ersetzt Vorname, Nachname, E‑Mail-Adresse und Telefonnummer durch Platzhalter, löscht das Benutzerkonto und leert die Freitexte, die Sie selbst geschrieben haben. Strafen, Buchungen, Getränkeeinträge und Anwesenheiten bleiben dabei unverändert – sonst verschwänden Geldbeträge aus dem Kassenbuch, samt offener Schulden und eingezahlter Guthaben.

Was dabei bestehen bleibt, und deshalb heißt das hier nicht „Anonymisierung“:

Der Spitzname bleibt – und in einem Zug von rund 21 Leuten bezeichnet ein Spitzname genau einen Menschen.
Der Klarname steht weiter in bereits abgelegten Abrechnungs-PDF – er verschwindet erst mit dem Jahrgang.
Der Klarname steht weiter in jedem Freitext, den ein anderer geschrieben hat: in einer Strafenbegründung, in einem Storno-Grund, in einem Kommentar.

Ob das für Art. 17 genügt, ist eine Frage an den Anwalt und hier nicht beantwortet.

Wie die Daten geschützt werden

Was belegt ist:

Die App spricht mit der Datenbank ausschließlich verschlüsselt und wird selbst verschlüsselt ausgeliefert.
Die Zugriffskontrolle liegt in der Datenbank, nicht in der Oberfläche. Wer an der App vorbei direkt mit der Datenbank spricht, trifft auf dieselben Regeln. Auf jeder Tabelle ist eine solche Regel eingeschaltet.
607 Prüfungen testen diese Regeln unmittelbar an der Datenbank, an der Oberfläche vorbei.
Kein Passwort im System – es gibt keins, das gestohlen werden könnte.
Die Anmeldung ist gebremst, Dateien sind nicht öffentlich abrufbar, und die App ist für Suchmaschinen gesperrt.

Was ehrlicherweise dazu gehört:

Die Trennung zwischen zwei Zügen besteht ausschließlich aus diesen Regeln. Es gibt keine getrennten Datenbanken je Zug und keinen zweiten Riegel. Fällt eine Regel, fällt die Trennung. Daher der hohe Prüfaufwand.
Bei der Auslieferung sind keine Sicherheits-Kopfzeilen gesetzt.
Eine Zwei-Faktor-Anmeldung über den Einmal-Code hinaus gibt es nicht.
Es gibt kein Überwachungs- und Alarmierungsverfahren und keinen Notfallplan. Niemand wird benachrichtigt, wenn etwas ausfällt – oder wenn etwas passiert.

Verschlüsselt gespeichert wird. Supabase verschlüsselt die Daten im Ruhezustand mit AES‑256 und die Übertragung mit TLS. Das gilt für alle Projekte und muss nicht eingeschaltet werden.

Gesichert wird täglich. Supabase legt einmal am Tag eine vollständige Sicherung an und bewahrt die letzten sieben Tage auf. Nachgesehen am 13.09.2026 nicht im Tarifblatt, sondern an den tatsächlich vorhandenen Sicherungen: acht Stück, jede als abgeschlossen gemeldet, die älteste sieben Tage alt.

Was eine tägliche Sicherung nicht kann.

Zwischen zwei Sicherungen liegt ein Tag. Geht die Datenbank kaputt, fällt alles weg, was seit der letzten Sicherung dazugekommen ist – im schlechtesten Fall ein voller Tag Getränkeeinträge, Strafen und Zusagen.

Dagegen gäbe es eine Wiederherstellung auf die Minute genau; sie ist bei Supabase ein kostenpflichtiger Zusatz und nicht gebucht. Das ist eine Entscheidung und kein Versehen – es steht hier, damit niemand von einer Sicherung mehr erwartet, als sie leistet.

Freitext, Gäste und Minderjährige

Kein Feld der App ist dafür gedacht, Gesundheitsangaben, politische Meinungen oder Ähnliches aufzunehmen. Zwei Wege gibt es trotzdem:

Über Freitext. Es gibt 28 frei beschreibbare Felder. Am stärksten ausgesetzt sind die, die der ganze Zug liest und die niemand löschen kann: die Begründung einer Strafe und der Storno-Grund.
Über Daten Dritter. In Spielergebnissen stehen die Namen von Gästen im Klartext – von Menschen, die die App nie benutzt haben. Für sie gibt es heute keinen Weg, von der Verarbeitung zu erfahren oder ihr zu widersprechen.

Minderjährige. Ein Schützenzug hat oft junge Mitglieder. Die App kennt kein Geburtsdatum und keine Altersangabe – es gibt keine Spalte dafür, also auch keine Möglichkeit, etwas anders zu behandeln. Das berührt die Einwilligungsfähigkeit (Art. 8 DSGVO), die Getränke-Rangliste und die Strafenkasse. Diese Frage ist offen und liegt beim Anwalt.

Änderungen an dieser Erklärung

Diese Erklärung beschreibt einen Stand. Sie wird nachgeführt, sobald eine neue Datenart erhoben wird, ein Empfänger hinzukommt oder wegfällt, die App etwas Fremdes aus dem Browser aufruft oder eine Frist geändert wird.

Fragen zum Datenschutz beantwortet der Zug. Fragen zur Technik: hallo@zugbuddy.de.

Die Warteliste auf dieser Seite

Dieser Abschnitt gilt nur für zugbuddy.de und nicht für die App. Er steht deshalb auch nur hier.

Wer hier verantwortlich ist, ist ein anderer als in der App.

In der App ist der Schützenzug verantwortlich; Marvin Nowozin arbeitet dort in dessen Auftrag. Für das Formular auf dieser Seite ist er selbst verantwortlich — es sind seine Interessenten und nicht die eines Zuges.

Was Sie eintragen: Name und Zugname sowie eine E-Mail-Adresse. Freiwillig dazu: wie viele Sie sind, wo Sie zu Hause sind und ein paar Sätze dazu, was Ihnen fehlt.

Was damit geschieht: Die Angaben werden als E-Mail an Marvin Nowozin weitergeleitet und nirgends gespeichert. Es gibt keine Warteliste als Datenbank und keine Tabelle dahinter — die Anfrage liegt danach in seinem Postfach wie jede andere E-Mail auch. Ein Newsletter wird daraus nicht, und weitergegeben wird nichts.

Auf welcher Grundlage: Art. 6 Abs. 1 lit. b DSGVO — Sie fragen nach einem Angebot, und die Antwort darauf ist der Zweck. Ohne Ihre Angaben gibt es niemanden, dem man antworten könnte.

Wie lange: So lange, wie die Anfrage bearbeitet wird, danach gelöscht wie andere Korrespondenz auch. Sie können jederzeit an hallo@zugbuddy.de schreiben und die Löschung verlangen.

Wer die Mail transportiert: Die Weiterleitung übernimmt eine Serverfunktion bei Supabase, verschickt wird über All-Inkl — dieselben beiden Anbieter, die weiter oben stehen, mit denselben Verträgen. Ein zusätzlicher Dienstleister kommt für das Formular nicht hinzu.

Ein Feld, das Sie nicht sehen.

Das Formular trägt ein leeres Feld, das nur Maschinen ausfüllen. Ist es gefüllt, wird die Anfrage verworfen. Es speichert nichts über Sie und zählt niemanden mit — es ist der einzige Schutz gegen Werbemüll, den diese Seite hat, und der Grund, warum sie ohne CAPTCHA auskommt.