HEIMSPIEL ZUKUNFT

1. Verantwortlicher

FC Burgwedel von 1950 e.V.
Auf der Ramhorst 7, 30938 Burgwedel
Vertreten durch den Vorstand (siehe Impressum)
E-Mail: info@fcburgwedel.de

2. Kontakt in Datenschutzfragen

Für Fragen zum Datenschutz und zur Ausübung Ihrer Rechte wenden Sie sich an:
Projekt „Heimspiel Zukunft“, Projektleitung Maik Fischer, c/o FC Burgwedel von 1950 e.V., Auf der Ramhorst 7, 30938 Burgwedel
E-Mail: service@heimspiel-zukunft-fcburgwedel.de
oder an den Verein unter info@fcburgwedel.de.

3. Zweck der Plattform

„Heimspiel Zukunft“ vermittelt Plätze für den Zukunftstag und für Schülerpraktika bei Unternehmen aus der Region. Die Plattform verwaltet Konten, Anfragen, Elternfreigaben, Platzbestände, Wartelisten, Fristen und die dazugehörigen E-Mail-Benachrichtigungen.

4. Benutzerkonten

Schülerkonto

Anzeigename, E-Mail-Adresse und Passwort (nur verschlüsselt als Prüfwert gespeichert). Außerdem Zeitpunkt und Version der zur Kenntnis genommenen Datenschutzerklärung. Im eigenen Konto können Vorname, Nachname, Schule und Klasse als Vorlage für Anfragen gespeichert werden.

Firmenkonto

Unternehmensname, Anschrift, Berufsfeld, Angebotsbeschreibungen, Platzangaben, optional Website, sowie Name, E-Mail-Adresse und Telefonnummer der Ansprechperson und die Login-E-Mail-Adresse. Eine neue Kontakt-E-Mail-Adresse wird erst nach Bestätigung über einen Bestätigungslink übernommen. Das Unternehmensprofil wird erst nach Freigabe durch den FC Burgwedel öffentlich angezeigt; Kontaktdaten der Ansprechperson werden nicht öffentlich angezeigt.

Anmeldung und Sitzung

Für die Anmeldung wird im Browser ein Sitzungsschlüssel gespeichert (lokaler Speicher). Er ist technisch erforderlich und wird beim Abmelden entfernt. Es werden keine Werbe- oder Tracking-Cookies gesetzt.

5. Anfragen für Zukunftstag und Praktikum

Für eine Anfrage werden verarbeitet: Vorname, Nachname, Schule, Klasse und eine kurze Motivation (Pflichtfeld). Beim Praktikum zusätzlich Schulform, gewünschter Zeitraum und ob der Zeitraum verschiebbar ist. Außerdem Name und E-Mail-Adresse der ersten sorgeberechtigten Person, die Angabe, ob eine oder zwei Zustimmungen erforderlich sind, und gegebenenfalls Name und E-Mail-Adresse der zweiten sorgeberechtigten Person. Alter, Geburtsdatum und Telefonnummern von Sorgeberechtigten werden nicht erhoben.

Jede Anfrage erhält eine Vorgangsnummer und einen Statusverlauf. Eingereichte Anfragen werden nicht nachträglich durch Änderungen im Schülerkonto verändert.

6. Elternfreigabe

Jede erforderliche sorgeberechtigte Person erhält per E-Mail einen eigenen, persönlichen Einmal-Link (gültig 7 Tage). Bei gemeinsamer Sorge gibt jede Person ihre Entscheidung ausschließlich über ihren eigenen Link ab. Auf der Freigabeseite erklärt die Person, dass sie die in der Anfrage angegebene Person und für die Schülerin bzw. den Schüler sorgeberechtigt ist, und entscheidet über die Weitergabe der Anfragedaten an das Unternehmen.

Wichtig: Identität und Sorgerecht werden nicht amtlich geprüft. Die technische Prüfung erfolgt über den persönlichen Freigabelink, der nur an die angegebene E-Mail-Adresse versendet wird, und über die Erklärung der angegebenen Person. Ausweisdokumente oder weitere Nachweise werden nicht verlangt.

Zum Nachweis werden je Person gespeichert: Rolle (Sorgeberechtigte/r 1 oder 2), Name, E-Mail-Adresse, Entscheidung, Zeitpunkt, Version des Erklärungs- und Einwilligungstextes, Angabe zur elterlichen Sorge und gegebenenfalls Zeitpunkt eines Widerrufs. Freigabelinks werden nur als Prüfwert (Hash) gespeichert und tauchen nicht in Zugriffsprotokollen auf.

7. Weitergabe an Unternehmen

Erst nach allen erforderlichen Elternfreigaben erhält das ausgewählte Unternehmen: Vor- und Nachname, Schule, Klasse, Motivation, Angebotsart und Vorgangsnummer, beim Praktikum zusätzlich Schulform, Zeitraum und Verschiebbarkeit. E-Mail-Adressen und Telefonnummern von Schülern und Sorgeberechtigten werden nicht weitergegeben. Nach einem Widerruf sieht das Unternehmen nur noch den Hinweis „Einwilligung widerrufen“.

Die Kontaktdaten der Ansprechperson des Unternehmens werden der Schülerin bzw. dem Schüler erst angezeigt, wenn der Platz fest bestätigt ist.

8. Platzvergabe, Warteliste, Fristen und Platzrückgabe

Zukunftstagsplätze werden nach der Elternfreigabe für 7 Tage reserviert; das Unternehmen entscheidet in dieser Frist. Bei Praktika hat das Unternehmen 14 Tage Zeit. Ohne Antwort endet die Anfrage automatisch. Sind keine Zukunftstagsplätze frei, ist eine Wartelistenanfrage möglich; wird ein Platz frei, rückt die nächste Anfrage automatisch nach. Ein fest bestätigter Zukunftstagsplatz kann zurückgegeben werden; das Unternehmen entscheidet über die Rückgabe. Diese Abläufe verarbeiten die Anfragedaten und Zeitstempel. Es findet keine automatisierte Entscheidung im Sinne von Art. 22 DSGVO statt – über Plätze entscheiden die Unternehmen.

9. E-Mail-Versand

Die Plattform versendet Benachrichtigungen (z. B. Freigabelinks, Statusänderungen, Fristen, Bestätigungen) an Schüler, Sorgeberechtigte, Unternehmen und den FC Burgwedel. Die Mails enthalten Namen, Unternehmen, Angebotsart, Fristen und gegebenenfalls persönliche Links. Vor dem Versand werden Ereignisse in einer Warteschlange vorgemerkt; die Empfängeradresse wird erst beim Versand ermittelt. Fehlgeschlagene Mails werden bis zu 10-mal erneut versucht, höchstens jedoch 14 Tage lang. Absender ist service@heimspiel-zukunft-fcburgwedel.de.

10. Protokollierung und Seitenaufrufe

Verwaltungshandlungen des FC Burgwedel (z. B. Freigaben, Korrekturen, Löschungen) werden in einem internen Protokoll mit Zeitpunkt, Aktion und Begründung gespeichert. Beim Aufruf der Seiten verarbeiten unsere Dienstleister technisch notwendige Verbindungsdaten (z. B. IP-Adresse, Zeitpunkt, aufgerufene Seite, Browser) in Server- und Fehlerprotokollen. Eine Seitenstatistik oder Besucheranalyse findet nicht statt; es werden keine Werbe-, Statistik- oder Tracking-Kennungen gespeichert.

Unser Netzwerkdienstleister Cloudflare (Cloudflare, Inc.), über den die Seite ausgeliefert wird, setzt das Cookie __cf_bm (Gültigkeit 30 Minuten). Es dient ausschließlich dem Schutz vor automatisierten Angriffen und Bot-Zugriffen und ist technisch notwendig; es wird nicht für Statistik oder Marketing verwendet.

11. Empfänger und Dienstleister

• Supabase (Supabase Inc.) – Datenbank und Anmeldung (Konten, Sitzungen, alle Plattformdaten). Primäre Datenbankregion: Frankfurt am Main (EU). Supabase-Speicher für Dateien wird nicht genutzt. Im aktuellen Tarif werden keine automatischen Projektsicherungen (Backups) erstellt.
• Lovable – technischer Plattformdienst für den Betrieb dieser Webseite: Hosting und Auslieferung der Seiten, Ausführung der Serverfunktionen, Versand der Plattform-Benachrichtigungen (z. B. Elternfreigabe- und Status-Mails) sowie technische Server- und Fehlerprotokolle. Sämtliche für den Betrieb dieser Plattform erforderlichen Produktivverarbeitungen laufen über diesen Dienst. Die Nutzung von Projektdaten zum Training von KI-Modellen ist für das Konto deaktiviert.
• STRATO (STRATO GmbH, Berlin) – E-Mail-Postfach und SMTP-Versand für Anmelde-E-Mails (z. B. Bestätigung der E-Mail-Adresse, Passwort zurücksetzen) sowie Domain.
• cron-job.org – ruft stündlich einen technischen Endpunkt zur Fristprüfung auf. Dabei werden keine Nutzerdaten übermittelt; die Antwort enthält keine personenbezogenen Daten.
• Unternehmen – erhalten Anfragedaten wie unter Nr. 7 beschrieben.

Eine Weitergabe an sonstige Dritte oder zu Werbezwecken findet nicht statt.

Verträge zur Auftragsverarbeitung (Art. 28 DSGVO): Mit Supabase besteht ein Auftragsverarbeitungsvertrag (DPA) als Bestandteil der Vereinbarung; soweit Daten in Drittländer übermittelt werden, erfolgt dies über die im DPA vorgesehenen Garantien (EU-Standardvertragsklauseln). Mit STRATO besteht ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO. Mit Lovable besteht für den Business-Tarif ein Data Processing Agreement (DPA) / Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO.

12. Rechtsgrundlagen

• Schülerkonto, Schülerprofil und Bearbeitung einer vom Schüler gestarteten Anfrage bis zur Elternentscheidung – Art. 6 Abs. 1 lit. f DSGVO. Berechtigtes Interesse: Schülerinnen und Schülern auf ihren eigenen Wunsch die Suche und Anfrage nach Zukunftstags- und Praktikumsplätzen zu ermöglichen und die Anfrage bis zur Entscheidung der Eltern sicher zu verwalten.
• Daten der Sorgeberechtigten, die der Schüler angegeben hat, vor deren Entscheidung – Art. 6 Abs. 1 lit. f DSGVO. Berechtigtes Interesse: die Zustimmung der Sorgeberechtigten sicher und nachweisbar einzuholen, bevor Daten eines Kindes an ein Unternehmen gehen. Verwendet werden nur Name und E-Mail-Adresse.
• Notwendige Status-, Frist-, Reservierungs-, Wartelisten- und Vorgangsmails an Schüler und Sorgeberechtigte – Art. 6 Abs. 1 lit. f DSGVO. Berechtigtes Interesse: Schüler und Eltern zuverlässig über den Stand der Anfrage, Fristen und Entscheidungen zu informieren, damit sie rechtzeitig reagieren können.
• Weitergabe der Anfragedaten an das ausgewählte Unternehmen nach vollständiger Elternfreigabe – Art. 6 Abs. 1 lit. a DSGVO (Einwilligung der Sorgeberechtigten).
• Firmenkonto und interne Verwaltung einer teilnehmenden Firma (solange keine gesonderte Teilnahmevereinbarung besteht) – Art. 6 Abs. 1 lit. f DSGVO. Berechtigtes Interesse: die Teilnahme von Unternehmen am Vereinsprojekt zu organisieren, Angebote zu prüfen und Anfragen abzuwickeln.
• Kontaktdaten von Ansprechpersonen der Unternehmen – Art. 6 Abs. 1 lit. f DSGVO. Berechtigtes Interesse: die vom Unternehmen benannte Person für Rückfragen, Entscheidungen und Benachrichtigungen erreichen zu können.
• Veröffentlichung personenbezogener Angaben im Firmenprofil – Art. 6 Abs. 1 lit. a DSGVO (ausdrückliche Einwilligung bei der Registrierung).
• Weitergabe der geschäftlichen Kontaktdaten der Ansprechperson an die Schülerin bzw. den Schüler nach fester Platzbestätigung – Art. 6 Abs. 1 lit. f DSGVO. Berechtigtes Interesse: die Durchführung des fest bestätigten Platzes (Treffpunkt, Ablauf) zu ermöglichen. Vor der Bestätigung werden keine Kontaktdaten weitergegeben.
• Admin-Protokoll, Sicherheits- und Serverprotokolle, Missbrauchsschutz – Art. 6 Abs. 1 lit. f DSGVO. Berechtigtes Interesse: Sicherheit und Stabilität der Plattform, Abwehr von Missbrauch und Nachvollziehbarkeit von Verwaltungseingriffen. Diese Maßnahmen dienen zugleich der Sicherheit der Verarbeitung nach Art. 32 DSGVO.

Besondere Berücksichtigung Minderjähriger: Weil die Plattform überwiegend von Kindern und Jugendlichen genutzt wird, haben wir bei allen Interessenabwägungen deren besondere Schutzbedürftigkeit berücksichtigt: Es werden nur die nötigsten Daten erhoben (kein Alter, keine Telefonnummern von Schülern und Eltern), Unternehmen erhalten Daten erst nach Zustimmung der Sorgeberechtigten und nie E-Mail-Adressen oder Telefonnummern, es gibt keine Werbung, keine Seitenstatistik und kein Tracking, und alle Daten werden nach festen, kurzen Fristen gelöscht oder anonymisiert. Gegen Verarbeitungen nach lit. f kann jederzeit Widerspruch eingelegt werden (Nr. 14).

13. Speicherdauer und Löschung

• Beendete, nicht bestätigte Anfragen (abgelehnt, abgelaufen, storniert, widerrufen): Anonymisierung 30 Tage nach Abschluss.
• Bestätigter Zukunftstag: Anonymisierung 90 Tage nach dem Zukunftstag.
• Bestätigtes Praktikum: Anonymisierung 90 Tage nach Praktikumsende.
• Versendete E-Mail-Vormerkungen: Löschung nach 30 Tagen.
• Nicht versendete E-Mail-Vormerkungen: höchstens 14 Tage, danach Löschung.
• Kontaktdaten gesperrter oder abgelehnter Unternehmen: Löschung 30 Tage nach Sperre bzw. Ablehnung, sofern keine laufenden oder bestätigten Vorgänge entgegenstehen.
• Verwaltungsprotokoll des FC Burgwedel: Löschung nach 365 Tagen.
• Freigabelinks: werden gelöscht, sobald sie abgelaufen, verbraucht oder entwertet sind (tägliche Bereinigung). Widerrufslinks bleiben gültig, solange die Freigabe besteht, und werden nach einem Widerruf oder mit der Anonymisierung des Vorgangs gelöscht.
• Bei der Anonymisierung eines Vorgangs werden Namen, Schule, Klasse, Motivation, Elterndaten, Links und noch offene E-Mail-Vormerkungen entfernt; zurück bleiben nur Angaben ohne Personenbezug (z. B. Angebotsart, Status, Zeitpunkte).
• Schülerkonten werden auf Wunsch durch den FC Burgwedel gelöscht; dabei werden offene Anfragen storniert, Daten anonymisiert und das Anmeldekonto gelöscht. Im Verwaltungsprotokoll wird die frühere Nutzerkennung danach entfernt.

Die Bereinigung läuft täglich automatisch. Offene Vorgänge und noch nicht durchgeführte Plätze werden nicht vorzeitig gelöscht.

14. Ihre Rechte

Sie haben das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21). Wenden Sie sich dazu an die unter Nr. 2 genannten Kontakte. Schülerinnen und Schüler können über diese Kontakte auch die Löschung ihres Kontos verlangen.

15. Widerruf einer Einwilligung

Eine erteilte Einwilligung kann jederzeit mit Wirkung für die Zukunft widerrufen werden. Sorgeberechtigte erhalten nach ihrer Zustimmung eine E-Mail mit einem persönlichen Widerrufslink; ein Widerruf ist auch per E-Mail an die unter Nr. 2 genannten Kontakte möglich. Ein offener Vorgang endet dann, ein reservierter Platz wird frei. Bei einem bereits fest bestätigten Platz prüft der FC Burgwedel das weitere Vorgehen. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt. Unternehmen können ihre Einwilligung zur Veröffentlichung ebenfalls über diese Kontakte widerrufen.

16. Beschwerderecht

Sie können sich bei einer Datenschutz-Aufsichtsbehörde beschweren. Zuständig ist: Die Landesbeauftragte für den Datenschutz Niedersachsen, Prinzenstraße 5, 30159 Hannover.

17. Pflichtangaben

Die als Pflichtfelder gekennzeichneten Angaben sind für Konto, Anfrage und Elternfreigabe erforderlich. Ohne sie kann keine Anfrage gestellt werden. Eine gesetzliche Pflicht zur Bereitstellung besteht nicht.