Stand: 13. Oktober 2026
Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) ist Janek Mihls (Einzelunternehmen), Hainerweg 16a, 61191 Rosbach vor der Höhe, Jmihls@kickside.de. Weitere Angaben siehe Impressum. Einen Datenschutzbeauftragten haben wir derzeit nicht bestellt. Anfragen zum Datenschutz richten Sie bitte an die genannte E-Mail-Adresse.
Wichtiger Hinweis zur Rollenverteilung: Für die personenbezogenen Daten, die ein Verein über seine Mitglieder, Spieler:innen und Eltern in dieser Plattform einträgt, ist der jeweilige Verein der datenschutzrechtlich Verantwortliche (Art. 4 Nr. 7 DSGVO). Wir verarbeiten diese Daten als Auftragsverarbeiter im Sinne von Art. 28 DSGVO auf Weisung des Vereins, geregelt in einem separaten Auftragsverarbeitungsvertrag (AVV). Diese Erklärung betrifft daneben die Daten, die wir als eigener Verantwortlicher verarbeiten (z. B. Registrierung, Kontaktaufnahme, Rechnungsstellung, Betriebsprotokolle).
Kickside ist im Browser unter www.kickside.de nutzbar. Zusätzlich werden Apps für Android (Google Play) und iOS (App Store) angeboten. Die Apps zeigen dieselbe Anwendung wie die Website; es werden dieselben Daten verarbeitet wie bei der Nutzung im Browser. Die Apps lesen keinen Standort, kein Adressbuch und keine Kontakte Ihres Geräts aus. Beim Herunterladen der Apps verarbeiten Google bzw. Apple Daten in eigener Verantwortung; darauf haben wir keinen Einfluss.
Die Anwendung wird bei Vercel Inc. (Ausführung der Anwendung) und Supabase Pte. Ltd. (Datenbank, Authentifizierung, Datei-Speicher) betrieben. Die Datenbank liegt in der Region Frankfurt am Main (Deutschland), die Serverfunktionen laufen ebenfalls in Frankfurt. Mit beiden Anbietern bestehen Auftragsverarbeitungsverträge, die EU- Standardvertragsklauseln enthalten (siehe Abschnitt 13).
Beim Aufruf der Anwendung fallen bei Vercel und Supabase automatisch technische Zugriffsdaten an (Server-Logfiles): IP-Adresse, Zeitpunkt des Zugriffs, aufgerufene Ressource, Statuscode, verwendeter Browser (User-Agent) und die zuvor besuchte Seite (Referrer). Sie dienen dem sicheren und störungsfreien Betrieb sowie der Abwehr missbräuchlicher Zugriffe. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am sicheren Betrieb). Die Logfiles werden von den Anbietern automatisch nach kurzer Zeit gelöscht, bei Vercel nach einem Tag, bei Supabase nach wenigen Tagen. Eine längere eigene Protokollierung findet nicht statt.
Zur Nutzung der Plattform ist ein Nutzerkonto erforderlich. Dafür verarbeiten wir Ihre E-Mail-Adresse und Ihr Passwort (das Passwort wird ausschließlich als Hash gespeichert), außerdem den Zeitpunkt der Registrierung, der letzten Anmeldung und den Bestätigungsstatus. Ohne diese Angaben ist eine Nutzung nicht möglich. Die Authentifizierung erfolgt über Supabase Auth; Bestätigungs-, Einladungs- und Passwort-zurücksetzen-E-Mails werden über Resend versendet. Rechtsgrundlage ist die Erfüllung des Nutzungsvertrags (Art. 6 Abs. 1 lit. b DSGVO).
Beim Anlegen eines Kontos bestätigen Sie, dass Sie mindestens 16 Jahre alt sind und die Nutzungsregeln akzeptieren. Um das nachweisen zu können, speichern wir in Ihrem Nutzerkonto den Zeitpunkt, die Fassung der Regeln und die Altersbestätigung. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Nutzungsvertrag) und lit. f DSGVO (Nachweis der Zustimmung und Schutz der Plattform vor Missbrauch).
Sie können Ihr Konto jederzeit in den Einstellungen selbst löschen oder die Löschung beantragen, siehe Konto und Daten löschen.
Über das Kontaktformular auf der Website verarbeiten wir Ihren Namen, den Namen Ihres Vereins, Ihre E-Mail-Adresse, Ihre Nachricht und den Zeitpunkt der Anfrage. Die Angaben werden in unserer Datenbank bei Supabase gespeichert, nach abgeschlossener Bearbeitung gelöscht, spätestens nach 12 Monaten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahmen) bzw. lit. f (berechtigtes Interesse an der Beantwortung).
Schreiben Sie uns per E-Mail, verarbeiten wir Ihre E-Mail-Adresse, Ihren Namen und den Inhalt der Korrespondenz. Das E-Mail-Postfach wird über Google (Google Workspace) betrieben, siehe Abschnitt 12 und 13. Wir löschen die Korrespondenz nach Erledigung, soweit keine Aufbewahrungspflicht besteht, spätestens nach 3 Jahren.
Für den Nutzungsvertrag mit einem Verein verarbeiten wir den Vereinsnamen, den gewählten Tarif und die Laufzeit, die Ansprechpartner des Vereins sowie Rechnungsdaten. Rechtsgrundlage sind Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) und lit. c DSGVO (steuerrechtliche Aufbewahrungspflichten). Rechnungen bewahren wir als Buchungsbelege 8 Jahre auf (§ 147 AO); übrige Vertragsdaten löschen wir 30 Tage nach Vertragsende.
Wenn Sie freiwillig Rückmeldungen zur Anwendung geben, verarbeiten wir den Freitext, Ihre Bewertung, den Zeitpunkt und die Zuordnung zu Ihrem Profil, um die Anwendung zu verbessern. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Produktverbesserung). Wir löschen die Angaben, sobald die Auswertung abgeschlossen ist, spätestens nach 24 Monaten.
Im Auftrag des jeweiligen Vereins (siehe Abschnitt 1) werden je nach Nutzung folgende Datenkategorien verarbeitet:
Melden und Blockieren: Jede Person kann Forumsbeiträge und -kommentare, Chat- und Direktnachrichten, Beiträge im Eltern-Brett, Fotos und Videos sowie Inserate melden und andere Personen blockieren. Eine Meldung blendet den Inhalt sofort aus; Verfasser:in und Moderation sehen ihn weiterhin. Die Moderation gibt ihn frei oder entfernt ihn. Sie liegt bei den Administratoren und Personen mit entsprechender Berechtigung des Vereins, bei team-internen Inhalten auch bei den Trainer:innen der Mannschaft (nicht bei ihren eigenen Inhalten). Beim Melden wird der Wortlaut zum Meldezeitpunkt in der Meldung festgehalten, damit die Moderation genau das beurteilen kann, was gemeldet wurde. Die Anwendung zeigt der Moderation nicht an, wer gemeldet hat; eine Ausnahme beschreibt Abschnitt 19.
Prüfung beim Absenden: Texte in Forum, Chats, Direktnachrichten, Eltern-Brett, Ankündigungen, Inseraten und Bildunterschriften werden beim Absenden automatisch auf schwere Beleidigungen, Hassbegriffe und eindeutige Drohungen geprüft. Bei einem Treffer wird der Text nicht gespeichert und Sie erhalten einen Hinweis; die Ablehnung wird nicht protokolliert. Fotos und Videos werden nicht inhaltlich geprüft.
Wer eine Person blockiert, sieht von ihr keine Beiträge, Kommentare und Nachrichten mehr; Direktnachrichten zwischen beiden sind in beide Richtungen unterbunden, und die Person erscheint nicht mehr im Kontaktverzeichnis. Die blockierte Person wird darüber nicht benachrichtigt. Die Sperrliste ist nur für die sperrende Person sichtbar und lässt sich jederzeit ändern.
Meldungen zu vereinsübergreifenden Inhalten (Direktnachrichten zwischen Personen verschiedener Vereine, Inserate anderer Vereine) bearbeiten wir als eigener Verantwortlicher. Im Betreiberbereich wird dabei nur die gemeldete Nachricht angezeigt, nicht der Verlauf der Unterhaltung. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (Schutz der Nutzer:innen und der Plattform vor rechtswidrigen oder missbräuchlichen Inhalten). Der Zugriff wird nach Abschnitt 11 protokolliert.
Die Plattform kann gesundheitsbezogene Angaben enthalten, nämlich den Verletzungsstatus eines Spielers (mit Rückkehrdatum und einer kurzen Notiz des Trainers) sowie Selbstmeldungen zur Abwesenheit mit den Kategorien „Verletzung“ und „Krankheit“. Das sind besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO. Verantwortlich ist der jeweilige Verein; er muss dafür eine ausdrückliche Einwilligung der betroffenen Person bzw. bei Minderjährigen der Erziehungsberechtigten einholen (Art. 9 Abs. 2 lit. a DSGVO).
Bei Selbstmeldungen mit Gesundheitsbezug verlangt die Plattform eine ausdrückliche Einwilligung und speichert nur die Kategorie, keinen Freitext. In der Verletzungsnotiz des Trainers sind Diagnosen nicht einzutragen; ein entsprechender Hinweis steht an der Eingabe.
Die Anwendung richtet sich an Erwachsene und Jugendliche ab 16 Jahren: Vereinsverantwortliche, Trainer:innen, Eltern und Spieler:innen. Ein eigenes Konto kann nur anlegen, wer mindestens 16 Jahre alt ist; das bestätigen Nutzer:innen bei der Registrierung. Die Anwendung wird aber auch für Jugendmannschaften genutzt und verarbeitet dabei Daten minderjähriger Spieler:innen (u. a. Name, Geburtsdatum, ggf. Foto). Die Eingabe dieser Daten sowie die Einholung der hierfür nötigen Einwilligung der Erziehungsberechtigten liegt in der Verantwortung des jeweiligen Vereins als datenschutzrechtlich Verantwortlichem (siehe Abschnitt 1). Eltern-Konten können mit dem Profil ihres Kindes verknüpft werden, um dessen Termine und Daten einsehen und für das Kind zu- oder absagen zu können.
Wir greifen auf Vereinsdaten nur anlassbezogen zu, etwa zur Behebung einer Störung oder zur Bearbeitung einer Support-Anfrage, nicht routinemäßig. Zugriffe über unsere Betreiberoberfläche werden mit Zeitpunkt, handelnder Person, Verein und Anlass protokolliert; dem betroffenen Verein geben wir auf Anfrage Auskunft zu den Einträgen, die ihn betreffen. Das gilt auch für die Bearbeitung vereinsübergreifender Meldungen (Abschnitt 8). Rechtsgrundlage sind Art. 6 Abs. 1 lit. b und lit. f DSGVO bzw. gegenüber den Vereinsdaten die Weisung des Vereins nach Art. 28 DSGVO.
Folgende Dienstleister erhalten im Rahmen der Auftragsverarbeitung Zugriff auf Daten:
Mit den genannten Dienstleistern bestehen Verträge nach Art. 28 DSGVO. Eine Weitergabe Ihrer Daten an sonstige Dritte, insbesondere zu Werbezwecken, findet nicht statt. Wir setzen keine Analyse-, Werbe- oder Tracking-Dienste ein.
Datenbank, Datei-Speicher und Anwendung laufen in Rechenzentren in Frankfurt am Main. Da Supabase und Vercel ihren Sitz in Singapur bzw. den USA haben, kann ein Zugriff aus einem Drittland, etwa bei Wartungsarbeiten, nicht ausgeschlossen werden. Resend speichert Daten nach eigenen Angaben in den USA; Google kann Daten des E-Mail-Postfachs in Rechenzentren in der EU und in Drittländern verarbeiten. Grundlage der Übermittlung sind EU-Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO, die Teil der Auftragsverarbeitungsverträge sind; bei Google zusätzlich das EU-US Data Privacy Framework.
Wenn Sie Push-Benachrichtigungen aktivieren, speichern wir pro Gerät einen technischen Endpunkt, um Ihnen z. B. Erinnerungen an Termine zuzustellen. Die Aktivierung ist freiwillig (Art. 6 Abs. 1 lit. a DSGVO) und kann jederzeit in den Einstellungen oder im Browser widerrufen werden. Die Nachrichteninhalte werden Ende-zu-Ende verschlüsselt übertragen. Für die technische Zustellung nutzt Ihr Browser den Push-Dienst seines Herstellers (z. B. Google, Mozilla oder Apple). Dieser erhält technische Routingdaten wie Ihre IP-Adresse und den Endpunkt und verarbeitet sie in eigener Verantwortung; mit diesen Herstellern besteht kein Vertrag von uns. Trainer:innen und Administratoren erhalten bei einer neuen Meldung eine Benachrichtigung, die den gemeldeten Inhalt nicht nennt.
Die Plattform verwendet ausschließlich technisch notwendige Speicher. Ein Cookie von Supabase Auth hält Ihre Anmeldung aufrecht. Im lokalen Speicher Ihres Browsers legen wir Anzeigeeinstellungen ab, etwa den Hell-/Dunkelmodus, die Vereinsfarbe oder die gewählte Listenansicht. Diese Speicher sind nach § 25 Abs. 2 Nr. 2 TDDDG bzw. Art. 6 Abs. 1 lit. f DSGVO ohne gesonderte Einwilligung zulässig. Es werden keine Analyse-, Marketing- oder Tracking-Cookies eingesetzt.
Wir schützen Ihre Daten durch Verschlüsselung der Übertragung (TLS), die Speicherung von Passwörtern ausschließlich als Hash, eine strikte Trennung der Vereine und ein rollenbasiertes Berechtigungskonzept, das auf Datenbankebene durchgesetzt wird. Dokumente und Medien sind nicht öffentlich abrufbar und werden nur über kurzlebige, signierte Links ausgeliefert.
Wir speichern personenbezogene Daten nur so lange, wie es für den jeweiligen Zweck erforderlich ist. Die konkreten Fristen stehen bei den einzelnen Verarbeitungen oben. Vereinsdaten bewahren wir nach Vertragsende 30 Tage auf und löschen sie danach, oder früher auf Weisung des Vereins. Gesetzliche Aufbewahrungspflichten bleiben unberührt.
Erledigte Meldungen löschen wir automatisch 12 Monate nach der Entscheidung; offene Meldungen bleiben bis zur Entscheidung gespeichert. Wird ein Profil gelöscht, wird der Verweis auf die Person aus der Meldung entfernt, der festgehaltene Auszug bleibt bis zum Fristende. Sperrlisten werden mit dem Profil gelöscht. Die Fristen für Kontaktanfragen (12 Monate) und Produktfeedback (24 Monate) setzen wir ebenfalls automatisch durch.
Betroffene Personen haben das Recht auf:
Zur Ausübung Ihrer Rechte schreiben Sie uns an Jmihls@kickside.de. Bei Fragen zu Daten, die ein Verein über Sie eingetragen hat, wenden Sie sich bitte zunächst direkt an Ihren Verein als datenschutzrechtlich Verantwortlichen; wir unterstützen ihn dabei als Auftragsverarbeiter.
Eine automatisierte Entscheidung im Sinne von Art. 22 DSGVO, die Ihnen gegenüber rechtliche Wirkung entfaltet oder Sie in ähnlicher Weise erheblich beeinträchtigt, findet nicht statt. Auch die Prüfung beim Absenden (Abschnitt 8) arbeitet nur mit einer festen Wortliste, bildet kein Profil über Personen und speichert nichts; wurde ein Text zu Unrecht abgelehnt, können Sie sich an uns wenden.
Zum Schutz der Melde-Funktion vor Missbrauch werten wir automatisch aus, wie viele der Meldungen einer Person in den letzten 90 Tagen von der Moderation abgelehnt oder bestätigt wurden (Auswertung persönlicher Aspekte, Profiling im Sinne von Art. 4 Nr. 4 DSGVO). Wurden mindestens fünf Meldungen abgelehnt und mehr abgelehnt als bestätigt, blendet eine weitere Meldung dieser Person einen Inhalt nicht mehr sofort aus. Sie geht trotzdem bei der Moderation ein, die unter Nennung der Person auf diesen Umstand hingewiesen wird und stets selbst entscheidet. Trainer:innen und Moderierende sind ausgenommen. Die Auswertung hat keine weitere Wirkung und fließt in keine andere Bewertung ein. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (Funktionsfähigkeit der Melde-Funktion, Schutz der Betroffenen vor missbräuchlichen Meldungen); Sie können dem nach Art. 21 DSGVO widersprechen (Abschnitt 18).
Wir passen diese Datenschutzerklärung an, wenn sich die Funktionen der Plattform oder die rechtlichen Vorgaben ändern. Es gilt jeweils die auf dieser Seite veröffentlichte Fassung.