Datenschutz

1. Verantwortlicher

2. Zwei Rollen — wer wofür verantwortlich ist

Für die eigenen Seiten von Colourmatch (Website und Konten in Portal und Kür Event Manager) ist Colourmatch Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO.

Für die Daten eines konkreten Wettkampfs — Meldungen, Kürmusik, Startlisten, Ergebnisse — ist der ausrichtende Verein oder Verband Verantwortlicher. Colourmatch verarbeitet diese Daten in seinem Auftrag auf Grundlage eines Vertrags nach Art. 28 DSGVO (Auftragsverarbeitungsvertrag). Wer Auskunft, Berichtigung oder Löschung zu einer Meldung verlangt, wendet sich an den Veranstalter; die Kontaktdaten stehen auf der jeweiligen Eventseite. Eine an Colourmatch gerichtete Anfrage wird unverzüglich an den Veranstalter weitergeleitet.

3. Grundsatz & Datensparsamkeit

Wir verarbeiten personenbezogene Daten nur, soweit es für den Betrieb dieser Seiten und die Organisation der Wettkämpfe erforderlich ist. Wir setzen kein Tracking und keine Analyse- oder Werbedienste ein; welche Cookies es gibt und wofür, steht in Abschnitt 8.

4. Aufruf der Website (Server-Logfiles)

Beim Aufruf der Seiten verarbeitet unser Hoster technisch notwendige Zugriffsdaten (u. a. IP-Adresse, Zeitpunkt, abgerufene Seite, Browsertyp) zur Auslieferung und Absicherung der Website. Rechtsgrundlage ist unser berechtigtes Interesse an einem sicheren, störungsfreien Betrieb (Art. 6 Abs. 1 lit. f DSGVO).

Hosting: Vercel Inc., 340 S Lemon Ave #4133, Walnut, CA 91789, USA. Mit Vercel besteht ein Auftragsverarbeitungsvertrag; die Übermittlung in die USA ist über die EU-Standardvertragsklauseln abgesichert.

Schutz der Formulare vor Missbrauch: Damit Programme die Anmeldung und die Zusatzformulare nicht mit Masseneinträgen füllen, zählen wir, wie viele Einträge je Stunde und Tag von einem Internetanschluss eingehen. Gespeichert wird dafür nicht die IP-Adresse, sondern nur ein daraus berechneter Streuwert mit der Zahl der Einträge, getrennt von den eingegebenen Angaben. Er wird nach spätestens drei Tagen gelöscht. Rechtsgrundlage ist unser berechtigtes Interesse an der Abwehr von Missbrauch (Art. 6 Abs. 1 lit. f DSGVO).

5. Meldung zu einem Wettkampf

Über das Anmeldeformular erheben wir die zur Meldung erforderlichen Angaben: Vor- und Nachname der Gymnastin, Geburtsjahr, Verein, Land, eine Kontakt-E-Mail-Adresse für Rückfragen sowie ggf. die gewählten Geräte. Für Kampfrichterinnen, Kampfrichter und weitere Funktionspersonen sind es Name, Verein, Land, E-Mail-Adresse und bei Kampfrichterinnen und Kampfrichtern die Qualifikation. Zweck ist die Organisation und Durchführung des Wettkampfs.

Einladung ins Kampfgericht: An die E-Mail-Adresse, die ein Verein (oder der Veranstalter selbst) für eine Kampfrichterin oder einen Kampfrichter angegeben hat, schickt der Veranstalter die Einladung auf einen Richterplatz und später den Einsatzplan mit Platz, Zeiten und Treffpunkt — organisatorische Nachrichten zu diesem Wettkampf, keine Werbung, und an keine andere Adresse. Die Einladung trägt einen persönlichen Link: Mit ihm lässt sich ohne Konto zusagen oder absagen, er gilt nur für diesen Platz und verfällt mit dem letzten Wettkampftag. Gespeichert werden die Antwort, ihr Zeitpunkt und ein freiwilliger Hinweis (etwa „nur vormittags“); gelöscht wird beides mit der Meldung.

Rechtsgrundlage ist die Durchführung des Teilnahmeverhältnisses bzw. vorvertragliche Maßnahmen (Art. 6 Abs. 1 lit. b DSGVO) sowie unser berechtigtes Interesse an einer geordneten Wettkampforganisation (Art. 6 Abs. 1 lit. f DSGVO). Die Anmeldung erfolgt in der Regel durch den meldenden Verein bzw. die Erziehungsberechtigten.

Die vollständigen Angaben sind nur für den Veranstalter bestimmt. Öffentlich zeigt die Eventseite, solange die Anmeldung offen ist, die Meldezahlen und je Kategorie eine Meldeliste mit abgekürztem Vornamen, Nachnamen, Verein und Land (etwa „L. Petersen“). Den vollständigen Namen zeigt erst die offizielle Startliste, Ergebnisse erscheinen erst nach Freigabe durch den Veranstalter. Wer bei der Meldung „Nur Kurzname veröffentlichen“ wählt, steht auch in Startliste und Ergebnissen nur mit dem Anfangsbuchstaben des Vornamens.

Manche Veranstalter erheben über Zusatzformulare weitere Angaben (etwa Nachweise oder Datei-Uploads). Welche das sind, bestimmt der Veranstalter als Verantwortlicher; die Antworten und Dateien sind wie Meldungen nur für ihn bestimmt.

Löschung: Der Veranstalter kann seinen Wettkampf jederzeit vollständig von der Plattform nehmen. Unabhängig davon löscht die Plattform Meldungen, Antworten auf Zusatzformulare samt hochgeladener Dateien, Kürmusik und Einzelwertungsbögen automatisch spätestens 90 Tage nach dem letzten Wettkampftag.

6. Kürmusik

Zu einer Meldung kann je Gerät eine Musikdatei hochgeladen werden. Die Dateien liegen in einem nicht öffentlichen Speicherbereich und werden nur an den Veranstalter und an dessen Wettkampf-Software ausgeliefert; der Abruf läuft über kurzlebige, signierte Adressen, die erst nach Prüfung der Berechtigung ausgestellt werden. Verantwortlicher ist der Veranstalter (Abschnitt 2). Die Dateien werden mit dem Wettkampf gelöscht — automatisch spätestens 90 Tage nach dem letzten Wettkampftag, früher, wenn der Veranstalter ihn von der Plattform nimmt; wer sein Portal-Konto löscht, löscht seine Dateien mit.

7. Konto im Trainer- und Vereinsportal

Für das Portal wird ein Konto mit E-Mail-Adresse und Passwort angelegt. Gespeichert werden die E-Mail-Adresse, ein Streuwert des Passworts (kein Klartext), auf Wunsch Name und Telefonnummer, die Angaben zum Verein (Name, Kontaktadresse, auf Wunsch Telefon, Anschrift, Ansprechpartner) und die selbst gepflegten Angaben zu Gymnastinnen (Name, Geburtsjahr). Rechtsgrundlage ist die Durchführung des Nutzungsverhältnisses (Art. 6 Abs. 1 lit. b DSGVO). Das Konto lässt sich im Portal jederzeit selbst löschen und als Datei exportieren; gelöschte Gymnastinnen liegen 30 Tage in einem Papierkorb und werden danach automatisch endgültig entfernt.

Die im Vereinsprofil hinterlegte Kontaktadresse geht mit jeder Meldung an den Veranstalter des jeweiligen Wettkampfs. Er braucht sie, um den meldenden Verein zu erreichen — Zeitplan, Rückfragen, fehlende Musik — und führt sie dort in eigener Verantwortung als Kontakt dieses Vereins weiter; für Werbung darf er sie nicht verwenden (Ziffer 4.5 unserer Nutzungsbedingungen). Sie geht nur an Veranstalter, bei denen dein Verein tatsächlich gemeldet hat. Wie lange sie dort bleibt, steht in Abschnitt 10.

8. Cookies und Speicher im Browser

Für Anmeldung und Sprache setzen wir nur Cookies und Browserspeicher ein, die für die Funktionen, die du nutzt, unbedingt erforderlich sind. Dafür ist keine Einwilligung nötig (§ 25 Abs. 2 Nr. 2 TDDDG).

• kuer_sitzung — hält dich nach der Anmeldung angemeldet; gilt 30 Tage und wird beim Abmelden gelöscht.
• kuer_mfa — überbrückt bei der Zwei-Faktor-Anmeldung den Schritt bis zur Eingabe des Codes; gilt 5 Minuten.
• kuer_sprache — merkt sich die Sprache, die du gewählt hast; gilt ein Jahr.

Außerdem legen die Seiten im Speicher deines Browsers (localStorage) Einstellungen ab, etwa die gewählte Sprache, das Farbschema, den Zustand der Seitenleiste und deinen Anmeldestatus. Sie dienen nur der Bedienung dieser Seiten und lassen sich über die Einstellungen deines Browsers jederzeit löschen.

Google Analytics — nur mit deiner Einwilligung: Stimmst du im Banner zu, messen wir auf unseren eigenen Werbeseiten mit Google Analytics. Ohne Einwilligung lädt Google Analytics nicht. Die Angaben sind dieselben wie in den Cookie-Einstellungen:

Verantwortlich

Colourmatch, Sebastian Libuda, Carlshöhe 29, 24340 Eckernförde

Anbieter

Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland, als Auftragsverarbeiter. Unterauftragsverarbeiter ist unter anderem Google LLC, USA.

Zweck

Reichweitenmessung der Werbeseiten: aufgerufene Seiten, Herkunft der Besuche, genutzte Downloads und Links.

Erfasste Daten

Aufgerufene Seite, Herkunftsseite, Zeitpunkt, Scrolltiefe, Klicks auf Downloads, externe Links und Videos, Gerät, Betriebssystem, Browser, Bildschirmgröße, Sprache, ungefährer Standort. Keine IP-Adressen.

Cookies

_ga und _ga_HG1LTR08NL: je eine zufällige Kennung zur Wiedererkennung des Browsers. Laufzeit bis zu 2 Jahre.

Einsatzbereich

Nur auf Startseite, Neuigkeiten, Häufige Fragen, Kür App, KI-Assistent und Handbuch. Keine Messung auf Eventseiten, im Meldeformular und im Portal.

Speicherdauer

Löschung der Messdaten nach 14 Monaten.

Drittland

USA (Google LLC). Grundlage ist der Angemessenheitsbeschluss der EU-Kommission zum EU-US Data Privacy Framework (Art. 45 DSGVO), nach dem Google zertifiziert ist.

Rechtsgrundlage

Einwilligung: § 25 Abs. 1 TDDDG für die Cookies, Art. 6 Abs. 1 lit. a DSGVO für die Verarbeitung der Daten.

Ausgeschlossen

Werbung, personalisierte Anzeigen, Google-Signale, Nutzung durch Google für eigene Zwecke, Zusammenführung mit Daten anderer Websites.

Speicherung der Auswahl

Im Browser (kuer_einwilligung), technisch erforderlich nach § 25 Abs. 2 Nr. 2 TDDDG. Erneute Abfrage nach zwölf Monaten.

Widerrufen kannst du deine Einwilligung jederzeit hier oder über „Cookie-Einstellungen“ unten auf jeder Seite; die Messung bis zum Widerruf bleibt rechtmäßig (Art. 7 Abs. 3 DSGVO). Dabei löschen wir die Analytics-Cookies in deinem Browser. Cookie-Einstellungen öffnen

9. Karte auf der Eventseite (OpenStreetMap)

Auf der Eventseite eines Wettkampfs zeigt der Bereich „Ort & Anfahrt" eine Karte der Halle. Die Kartenkacheln lädt dein Browser dabei direkt von den Servern der OpenStreetMap Foundation (St John's Innovation Centre, Cowley Road, Cambridge, CB4 0WS, Großbritannien); einmal je Adresse wird sie außerdem über den Dienst Nominatim derselben Stiftung in Koordinaten übersetzt. Dabei erhält die Stiftung deine IP-Adresse. Für Großbritannien besteht ein Angemessenheitsbeschluss der EU-Kommission. Rechtsgrundlage ist unser berechtigtes Interesse an einer verständlichen Anfahrtsbeschreibung (Art. 6 Abs. 1 lit. f DSGVO); die Karte lädt erst mit dem Öffnen dieses Bereichs. Die Knöpfe „Route planen" und „Street View öffnen" führen zu Google Maps — erst mit dem Klick verlässt du unsere Seite.

10. Empfänger und Speicherdauer

Wir setzen die folgenden Auftragsverarbeiter ein; mit jedem besteht ein Vertrag nach Art. 28 DSGVO. Weitere Empfänger sind die Veranstalter, bei denen du meldest — sie erhalten die Meldung und die Kontaktadresse deines Vereins (Abschnitt 7) — und, wenn ein Veranstalter etwas kauft, der Zahlungsdienst Stripe (unten). Darüber hinaus gibt es keine — Daten werden nicht verkauft und nicht zu Werbezwecken weitergegeben. Die Kontaktadresse eines meldenden Vereins löscht der Veranstalter, wenn er sie für seine Wettkämpfe nicht mehr braucht, spätestens 24 Monate nach der letzten Meldung dieses Vereins bei ihm.

• Supabase Inc., USA — Datenbank, Konten, Dateispeicher, Serverfunktionen. Die Daten liegen in der EU (Frankfurt am Main).
• Vercel Inc., USA — Betrieb und Auslieferung der Seiten. Die Serverfunktionen des Kür Event Managers laufen in Frankfurt am Main.
• Resend, Inc., USA — Versand von Meldebestätigungen, Einladungen ins Kampfgericht, Einsatzplänen und Konto-E-Mails. Übermittelt werden die Empfängeradresse und der Inhalt der Nachricht.

Zahlungsabwicklung: Stripe Payments Europe, Ltd., Irland. Event-Pass, Kontingente und Jahresabo bezahlen Veranstalter auf der Bezahlseite von Stripe. Dorthin übermitteln wir, wofür bezahlt wird (Wettkampf bzw. Veranstalterkonto), und — wenn sie zustellbar ist — die E-Mail-Adresse des Kontos, damit die Quittung ankommt. Zahlungsdaten (etwa Karte oder Bankverbindung) und Rechnungsangaben erhebt Stripe selbst und verarbeitet sie als eigener Verantwortlicher; vollständige Karten- oder Kontonummern sehen wir nie. Zum Kauf speichern wir Vorgangsnummer, Art, Menge, Status und Laufzeit; die Belege für Rechnung und Buchhaltung (Name, Rechnungsanschrift, E-Mail-Adresse, Betrag, Zeitpunkt) liegen in unserem Stripe-Konto. Rechtsgrundlage ist die Durchführung des Vertrags (Art. 6 Abs. 1 lit. b DSGVO).

Der Zugriff auf Meldedaten ist technisch auf den Veranstalter und seine Wettkampf-Software beschränkt und wird protokolliert; öffentliche Besucher können sie nicht auslesen.

Speicherdauer:

• Zugriffsdaten des Hosters: nach dessen Vorgaben, längstens 30 Tage.
• Zähler gegen Masseneinträge (Streuwert des Anschlusses): spätestens nach drei Tagen.
• Meldungen, Antworten auf Zusatzformulare samt Dateien, Kürmusik und Einzelwertungsbögen: automatisch spätestens 90 Tage nach dem letzten Wettkampftag — früher, wenn der Veranstalter den Wettkampf von der Plattform nimmt oder die Löschung verlangt (dann unverzüglich, spätestens innerhalb von 14 Tagen).
• Eventseite, Startlisten und Ergebnislisten: bis der Veranstalter den Wettkampf von der Plattform nimmt — sie sind das von ihm verantwortete, bewusst veröffentlichte Wettkampf-Archiv.
• Portal-Konten: bis zur Löschung durch die Nutzerin oder den Nutzer.
• Kaufbelege (Rechnungen, Zahlungsnachweise): so lange, wie es die steuer- und handelsrechtlichen Aufbewahrungspflichten verlangen (Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit § 147 AO und § 257 HGB).
• Protokoll über Abrufe von Meldedaten: es enthält keine Meldeinhalte (nur Konto, Zeitpunkt, Wettkampf, Anzahl) und wird zum Nachweis der Zugriffskontrolle geführt.

11. Übermittlung in die USA

Die genannten Anbieter haben ihren Sitz in den USA. Die Wettkampf- und Meldedaten werden in der Europäischen Union gespeichert; ein Zugriff aus den USA lässt sich bei Betrieb und Wartung dennoch nicht ausschließen, und beim E-Mail-Versand werden Inhalte in die USA übermittelt.

Grundlage sind die Standardvertragsklauseln der Europäischen Kommission (Durchführungsbeschluss (EU) 2021/914, Art. 46 Abs. 2 lit. c DSGVO), die mit allen drei Anbietern vereinbart sind. Vercel Inc. und Resend, Inc. sind zusätzlich unter dem EU-US Data Privacy Framework zertifiziert, für das ein Angemessenheitsbeschluss der Kommission vom 10.07.2023 besteht. Trotz dieser Garantien besteht in den USA kein mit dem europäischen Recht vollständig gleichwertiges Schutzniveau; insbesondere sind Zugriffe durch US-Behörden nicht auszuschließen.

Für die Zahlungsabwicklung ist Stripe Payments Europe, Ltd. mit Sitz in Irland unser Vertragspartner. Stripe übermittelt Zahlungsdaten auch an die Stripe, Inc. in den USA; sie ist ebenfalls unter dem EU-US Data Privacy Framework zertifiziert.

12. Verschlüsselung

Diese Seite nutzt aus Sicherheitsgründen eine TLS-Verschlüsselung. Eine verschlüsselte Verbindung erkennst du am „https://" in der Adresszeile und am Schloss-Symbol des Browsers.

13. Deine Rechte

Dir stehen gegenüber uns folgende Rechte hinsichtlich deiner personenbezogenen Daten zu:

• Auskunft (Art. 15 DSGVO)
• Berichtigung (Art. 16 DSGVO)
• Löschung (Art. 17 DSGVO)
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21 DSGVO)
• Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO)

Wende dich dafür an kontakt@kuer.app.

14. Beschwerderecht bei der Aufsichtsbehörde

Du hast das Recht, dich bei einer Datenschutz-Aufsichtsbehörde zu beschweren. Zuständig ist das Unabhängige Landeszentrum für Datenschutz Schleswig-Holstein (ULD), Holstenstraße 98, 24103 Kiel (datenschutzzentrum.de).

Stand: 21. Oktober 2026 · Impressum