Datenschutzerklärung

1. Verantwortlicher

Verantwortlicher im Sinne der DSGVO ist:

ABTM Projects GmbH
(Plattformbetreiberin unter der Marke oClub)
Diehlgasse 33/26, 1050 Wien, Österreich
Firmenbuch: FN 676680 v, Handelsgericht Wien
UID: ATU83200448
Geschäftsführung: Toni Marence & Andreas Brawisch
E-Mail: privacy@oclub.at
Web: oclub.at

1a. Verantwortlicher oder Auftragsverarbeiter — je nach Nutzung

oClub tritt je nach Verarbeitungskontext in unterschiedlichen Rollen auf:

(a) oClub als Verantwortlicher. Für dein oClub-Nutzerkonto, dein Profil, deine Freundschaften, den Spiel-Chat, von dir über die oClub-App vorgenommene Buchungen und die dabei über oClub abgewickelten Zahlungen ist die ABTM Projects GmbH Verantwortliche im Sinne des Art. 4 Z 7 DSGVO. Es gelten die Punkte 2 bis 14 dieser Erklärung.

(b) oClub als Auftragsverarbeiter. Nutzt ein Sportstättenbetreiber, ein Verein oder eine Trainerin bzw. ein Trainer unsere Software, um den eigenen Betrieb zu organisieren — insbesondere den eigenen Kund:innen- und Mitgliederstamm, Belegungspläne, Rechnungen und Mahnungen, Zutrittscodes und Zutrittsprotokolle, Vorfallsberichte sowie Dienst- und Aufgabenpläne des eigenen Personals —, so ist die jeweilige Stelle Verantwortliche und oClub verarbeitet diese Daten ausschließlich weisungsgebunden als Auftragsverarbeiterin nach Art. 28 DSGVO. Für Auskunft, Berichtigung, Löschung und Widerspruch hinsichtlich dieser Daten wende dich bitte an die jeweilige Stelle; deren Datenschutzerklärung gilt. Erreichen uns solche Anfragen direkt, leiten wir sie unverzüglich weiter und informieren dich darüber.

(c) Getrennte Verantwortlichkeit bei vermittelten Buchungen. Buchst du über die oClub-App bei einem Betreiber, einem Verein oder einer Trainerin bzw. einem Trainer, übermitteln wir die zur Erfüllung erforderlichen Daten an diese Stelle (siehe Punkt 6). Ab diesem Zeitpunkt verarbeitet die empfangende Stelle diese Daten in eigener Verantwortung für ihre eigenen Zwecke (Vertragserfüllung, Rechnungslegung, gesetzliche Aufbewahrung). Eine gemeinsame Verantwortlichkeit im Sinne des Art. 26 DSGVO besteht nicht, soweit nicht im Einzelfall ausdrücklich anders ausgewiesen.

2. Welche Daten wir verarbeiten

2.1 Account- & Profildaten

Bei der Registrierung erheben wir folgende Daten:

• Vor- und Nachname
• E-Mail-Adresse
• Geburtsdatum (zur Berechnung und Anzeige deines Alters; Mindestalter 16 Jahre, Ausnahme für begleitete Nachwuchs-Trainer:innen ab 14 Jahren — siehe Punkt 12)
• Geschlecht (optional; auf deinem Profil sichtbar)
• Passwort (gespeichert ausschließlich als bcrypt-Hash; das Klartextpasswort sehen wir nie)

Registriert sich eine Person zwischen 14 und 16 Jahren als begleitete Nachwuchs-Trainer:in (siehe Punkt 12), erheben wir zusätzlich Name und E-Mail-Adresse der erziehungsberechtigten Person sowie einen Zeitstempel der erteilten Einwilligung. Diese Daten dienen ausschließlich dem Nachweis der elterlichen Einwilligung und der Kontaktaufnahme in diesem Zusammenhang.

Optionale Profildaten, die du jederzeit ergänzen oder ändern kannst:

• Stadt / Ort (Freitext, den du selbst eingibst — wir erheben keine GPS-Position)
• Profilfoto (über die iOS-Foto-Auswahl hochgeladen)
• Kurze Bio
• Sportarten und selbst eingeschätztes Können je Sportart (Skala 1–5)

2.2 Aktivitäts- & Sozialdaten

• Spiele, die du erstellst, denen du beitrittst, die du verlässt oder zu denen du eingeladen wirst
• Teilnahmehistorie und Nichterscheinens-Einträge
• Wartelisten-Einträge
• Freundschaften und offene Freundschaftsanfragen
• Communities, denen du angehörst oder die du verwaltest
• Gäste, die du zu Spielen einlädst (nur Anzahl; keine personenbezogenen Daten der Gäste)

2.3 Kommunikation

• Nachrichten und Bildanhänge in den Spiel-Chats
• Support-Tickets und Nachrichten an unser Team

2.4 Zahlungsdaten

Bei kostenpflichtigen Spielen wickeln wir Zahlungen über Stripe (Stripe Payments Europe, Ltd.) ab. Kartennummer, CVC und Ablaufdatum gibst du direkt in die sichere Eingabemaske von Stripe ein; diese Daten werden weder an oClub übertragen noch von uns gespeichert. Wir speichern lediglich die Stripe-Payment-Intent-ID sowie den Buchungsbetrag, um die Zahlung dokumentieren zu können.

Apple Pay wird als zusätzliche Zahlungsmethode angeboten. Apple-Pay-Transaktionen werden ebenfalls von Stripe verarbeitet; Kartendaten gelangen nicht auf oClub-Server.

2.5 Technische & Gerätedaten

• Apple-Push-Notification-Service-Token (APNs-Token) — gespeichert, um dir Buchungsbestätigungen, Spiel-Updates, Chat-Nachrichten und Freundschaftsanfragen senden zu können
• App-Version und iOS-Version (werden bei API-Anfragen automatisch zur Fehleranalyse mitgesendet)

Wir setzen kein Analyse- oder Tracking-SDK ein. Wir verfolgen dich nicht über andere Apps oder Websites hinweg.

2.6 Website oclub.at

Die Website oclub.at selbst ist eine reine Informationsseite (die angemeldeten Bereiche sind in den übrigen Punkten beschrieben). Wir verwenden auf keiner unserer Oberflächen Analyse-Tools, Werbe-Cookies oder Drittanbieter-Tracker. Die einzigen Daten, die im Zusammenhang mit der Website verarbeitet werden, sind:

• Server-Logs: Bei jedem Aufruf von oclub.at protokolliert unser Hosting-Provider netcup GmbH technisch notwendige Daten (IP-Adresse, Zeitstempel, aufgerufene URL, User-Agent) zum Zweck der IT-Sicherheit, Stabilität und Fehleranalyse. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am störungsfreien Betrieb). Die Logs werden spätestens nach 14 Tagen gelöscht.
• Lokaler Speicher (Theme-Einstellung): Wenn du zwischen heller und dunkler Darstellung wechselst, speichern wir deine Wahl im localStorage deines Browsers unter dem Schlüssel theme. Es handelt sich um eine technisch unbedingt notwendige Speicherung im Sinne des § 165 Abs. 3 TKG 2021 — sie verlässt deinen Browser nie und wird nicht an unsere Server übertragen. Eine Einwilligung ist daher nicht erforderlich. Du kannst diesen Eintrag jederzeit selbst über die Browser-Einstellungen löschen.

Cookies: Die Website oclub.at setzt selbst keine Cookies. Da auf der Website auch keine externen Skripte (z. B. von Stripe, Google, Meta) eingebunden sind, werden auch keine Cookies durch Dritte gesetzt. Aus diesem Grund verzichten wir bewusst auf einen Cookie-Banner.

2.7 Warteliste für neue Funktionen

Wenn du dich für die Benachrichtigung über eine zukünftige Funktion (z. B. In-App-Platzbuchung) eintragen lässt, speichern wir deine E-Mail-Adresse ausschließlich für diese Benachrichtigung. Du kannst dich jederzeit unter privacy@oclub.at austragen.

2.8 Platzbuchungen, Kurse & Sportstättendaten

Buchst du einen Platz, eine Halle, ein Zeitfenster oder einen Kurs, werden zusätzlich verarbeitet:

• Buchungsdaten: Sportstätte, Platz, Sportart, Datum und Uhrzeit, Preis, Zahlungsart, Buchungsquelle sowie Status (bestätigt, angefragt, storniert) und Stornogrund
• Identifikations- und Rechnungsdaten: Name, E-Mail-Adresse, Telefonnummer und — sofern der Betreiber eine Rechnung ausstellt — Rechnungsanschrift sowie gegebenenfalls UID-Nummer
• Teilnahmedaten: voraussichtliche Personenzahl, Check-in-Zeitpunkt sowie ein Vermerk über Nichterscheinen
• Zutrittsdaten: ein für deine Buchung erzeugter Zutrittscode sowie Protokolle über Zutritte zur Anlage (Zeitpunkt, Buchung, Art des Ereignisses)
• Wiederkehrende Buchungen: Stammzeit-Zuordnung, Saison- und Kontingentstände
• Rechnungs- und Mahndaten: ausgestellte Rechnungen, Zahlungseingänge, Zahlungserinnerungen und Mahnstufen

Diese Daten werden dem jeweiligen Betreiber, Verein bzw. der Trainerin oder dem Trainer im Rahmen von deren eigener Verantwortlichkeit (Punkt 1a lit. b und c) zur Verfügung gestellt.

Vorfallsberichte. Betreiber können in der Partner-Platform Vorfälle an ihrer Anlage dokumentieren (z. B. Sachschäden, Störungen, Unfälle). Werden dabei Angaben zu deiner Person erfasst, ist der Betreiber dafür Verantwortlicher; Rechtsgrundlage ist regelmäßig dessen berechtigtes Interesse an Anlagensicherheit und Beweissicherung (Art. 6 Abs. 1 lit. f DSGVO) bzw. eine rechtliche Verpflichtung.

Öffentliche Belegungspläne. Betreiber können Belegungspläne veröffentlichen. Ob und mit welcher Bezeichnung eine Buchung darin angezeigt wird (z. B. „belegt", Vereinsname oder Buchungsname), legt der Betreiber fest. Bei minderjährigen Teilnehmenden ist eine namentliche öffentliche Anzeige nur mit Einwilligung der erziehungsberechtigten Person zulässig.

Kalender-Abonnements (iCal). Betreiber und Vereine können Belegungsdaten als abonnierbaren Kalender-Feed bereitstellen. Wer über eine solche Abonnement-URL verfügt, kann die darin enthaltenen Buchungsdaten einsehen; die Vergabe und der Widerruf dieser URLs liegen beim Betreiber.

Beschäftigtendaten. Für Dienstpläne, Aufgaben und Aufgabenfotos des Personals eines Betreibers ist ausschließlich der Betreiber Verantwortlicher; oClub ist insoweit Auftragsverarbeiterin (Punkt 1a lit. b).

3. Geräteberechtigungen (iOS-App)

Die iOS-App fragt folgende Systemberechtigungen ab. Sofern nicht anders angegeben, sind sämtliche Berechtigungen optional:

• Kamera — wird ausschließlich genutzt, um Zahlungskarten über die Kartenscan-Funktion von Stripe einzulesen. Die Kamera-Frames werden lokal vom Stripe-SDK auf deinem Gerät verarbeitet und nicht an oClub-Server übermittelt.
• Kalender — ermöglicht es, ein Spiel deinem persönlichen Gerätekalender hinzuzufügen, wenn du dies wünschst. Wir lesen ausschließlich, was zum Anlegen des Termins erforderlich ist; bestehende Kalendereinträge lesen wir nicht aus.
• Fotos — der Zugriff erfolgt über die iOS-Systemauswahl, wenn du ein Profilbild hochlädst oder ein Bild im Spiel-Chat versendest. Die Auswahl läuft in einem separaten Prozess; oClub erhält keinen Zugriff auf deine gesamte Fotomediathek.
• Push-Benachrichtigungen — werden für Spiel-Updates, Buchungsbestätigungen, Chat-Nachrichten und Freundschaftsanfragen verwendet. Du kannst die Berechtigung jederzeit in den iOS-Einstellungen entziehen.

Wir fragen keine Standortberechtigung (GPS) ab. Die auf Spiel-Karten angezeigten Standorte sind die manuell von der Organisator:in eingegebenen Adressen.

4. Rechtsgrundlagen der Verarbeitung (Art. 6 DSGVO)

• Art. 6 Abs. 1 lit. b DSGVO — Vertragserfüllung: Verarbeitung deiner Account-, Buchungs-, Zahlungs- und Aktivitätsdaten zur Bereitstellung der von dir bei uns beauftragten oClub-Dienste.
• Art. 6 Abs. 1 lit. f DSGVO — Berechtigtes Interesse: Erfassung von Nichterscheinen und Verhängung von Buchungssperren zum Schutz anderer Nutzer:innen, die auf bestätigte Teilnehmer:innen vertrauen; Betrugsprävention; IT-Sicherheit der Plattform; Fehleranalyse und Logging; Verarbeitung der Server-Logs unserer Website.
• Art. 6 Abs. 1 lit. a DSGVO — Einwilligung: Push-Benachrichtigungen — du erteilst oder widerrufst die Einwilligung über den iOS-Systemdialog bzw. die iOS-Einstellungen.
• Art. 6 Abs. 1 lit. c DSGVO — Rechtliche Verpflichtung: Aufbewahrung von Buchungs- und Zahlungsbelegen zur Erfüllung steuer- und unternehmensrechtlicher Pflichten (insbesondere § 212 UGB).
• Art. 6 Abs. 1 lit. b DSGVO — Vertragserfüllung (ergänzend): Abwicklung von Platz-, Kurs- und Dauerbuchungen sowie Gewährung des Zutritts zur gebuchten Sportstätte.
• Art. 28 DSGVO — Auftragsverarbeitung: Verarbeitung von Daten, die Betreiber, Vereine und Trainer:innen in unserer Software führen, ausschließlich auf deren dokumentierte Weisung (Punkt 1a lit. b).

Keine automatisierte Entscheidungsfindung: Buchungssperren nach wiederholtem Nichterscheinen und Mahnstufen werden nicht vollautomatisiert im Sinne des Art. 22 DSGVO getroffen; sie sind jederzeit durch eine Person überprüfbar und aufhebbar.

5. Wofür wir deine Daten verwenden

• Bereitstellung, Betrieb und Verbesserung der oClub-Plattform
• Anzeige deines Profils gegenüber anderen Nutzer:innen im Kontext der Spiele, an denen du teilnimmst oder die du erstellst
• Anzeige der Aktivitäten von Freund:innen im Bereich „Communities" — nur, wenn du das in Einstellungen → Datenschutz aktivierst
• Abwicklung von Buchungen und Zahlungen sowie Versand von Buchungsbestätigungen
• Durchsetzung der Nichterscheinens-Regelung (Erfassung der Teilnahme, Verwarnungen, befristete Sperren)
• Versand von Push-Benachrichtigungen, transaktionalen E-Mails (Buchungsbestätigung, E-Mail-Verifizierung) und Sicherheitsbenachrichtigungen
• Bearbeitung deiner Support-Anfragen
• Erkennung und Verhinderung von Betrug und Missbrauch

6. Empfänger & Auftragsverarbeiter

Wir verkaufen deine Daten nicht. Eine Weitergabe erfolgt ausschließlich an folgende Empfänger:

• Andere oClub-Nutzer:innen: Dein Anzeigename, Profilfoto, Stadt, Sportarten & Skill-Levels und (sofern eingegeben) deine Bio sind für andere Nutzer:innen sichtbar, die dein Profil ansehen. Personen, die nicht mit dir befreundet sind, sehen eine eingeschränkte Version. Teilnehmer:innen eines Spiels, dem du beitrittst, sehen, dass du teilnimmst.
• Stripe Payments Europe, Ltd. (Zahlungsdienstleister): Wir übermitteln den Buchungsbetrag und eine Referenz-ID. Stripe verarbeitet Karten- und Apple-Pay-Daten nach eigener Datenschutzerklärung und ist unter dem EU-US Data Privacy Framework zertifiziert.
• Apple Inc. (Push-Benachrichtigungen via APNs): Dein APNs-Token wird zur Zustellung von Push-Benachrichtigungen verwendet. Apple verarbeitet diese Daten nach eigener Datenschutzerklärung.
• netcup GmbH (Hosting & Infrastruktur): Unser Backend (api.oclub.at), unsere Datenbanken und unsere Website werden auf Servern der netcup GmbH in Wien, Österreich, betrieben. Dort werden auch hochgeladene Dateien gespeichert — insbesondere Profil- und Chatbilder sowie, im Bereich der Partner-Platform, Rechnungs-PDFs, Logos und Anlagen-, Aufgaben- und Vorfallsfotos. Wir setzen dafür keinen externen Objektspeicher ein. Sämtliche Daten verbleiben im EWR. netcup ist Auftragsverarbeiter auf Basis eines DSGVO-konformen Auftragsverarbeitungsvertrags.
• Resend Inc. (transaktionaler E-Mail-Versand): Buchungsbestätigungen, E-Mail-Verifizierung und Passwort-Zurücksetzungs-Mails werden über die API von Resend versendet. Deine E-Mail-Adresse wird ausschließlich zum Zweck der Zustellung übermittelt. Resend hat seinen Sitz in den USA; die Übermittlung erfolgt auf Basis von Standardvertragsklauseln (Art. 46 DSGVO).
• Sportstättenbetreiber, Vereine und Trainer:innen: Buchst du bei einer dieser Stellen, erhält sie die zur Vertragserfüllung, Zutrittsgewährung und Rechnungslegung erforderlichen Daten — insbesondere Vor- und Nachname, E-Mail-Adresse, Telefonnummer (sofern angegeben), die Buchungsdaten nach Punkt 2.8 und, bei Rechnungslegung, die Rechnungsanschrift. Die empfangende Stelle verarbeitet diese Daten in eigener Verantwortung (Punkt 1a lit. c).
• Behörden: Soweit gesetzlich vorgeschrieben oder aufgrund einer behördlichen oder gerichtlichen Anordnung erforderlich.

7. Datenübermittlung in Drittländer

Stripe, Apple und Resend sind Unternehmen mit Sitz in den USA. Übermittlungen an diese Empfänger sind durch Standardvertragsklauseln (Art. 46 DSGVO) abgesichert; bei Stripe besteht zusätzlich eine Zertifizierung unter dem EU-US Data Privacy Framework. Sämtliche übrige Verarbeitung — einschließlich unserer Hosting-Infrastruktur bei netcup GmbH — findet in Wien (Österreich) und damit im Europäischen Wirtschaftsraum statt.

8. Speicherdauer

• Account- & Profildaten: Speicherung für die Dauer deines Accounts. Nach einer verifizierten Löschanfrage erfolgt die Löschung innerhalb von 30 Tagen.
• Buchungs- & Zahlungsbelege: Aufbewahrung für 7 Jahre gemäß § 212 UGB (österreichisches Unternehmensgesetzbuch).
• Chat-Nachrichten: Speicherung, solange das zugehörige Spiel oder Support-Ticket geöffnet ist; Support-Tickets werden nach 90 Tagen Inaktivität geschlossen.
• Push-Notification-Tokens: Werden bei Logout, Deinstallation oder Invalidierung durch Apple gelöscht.
• Server-Logs der Website: Maximal 14 Tage.
• Warteliste-E-Mails: Werden nach Versand der Benachrichtigung bzw. nach Einstellung der jeweiligen Funktion gelöscht.
• Buchungs-, Zutritts- und Abrechnungsdaten in der Partner-Platform: Die Speicherdauer legt der jeweilige Betreiber als Verantwortlicher nach seinem Löschkonzept fest (Punkt 1a lit. b); Auskunft dazu erteilt dir der Betreiber. Rechnungsrelevante Daten unterliegen der siebenjährigen Aufbewahrungspflicht nach § 212 UGB.
• Zutrittscodes: Sind Bestandteil der Buchungsdaten und werden gemeinsam mit diesen gelöscht. Ihre Berechtigung ist auf das gebuchte Zeitfenster beschränkt.

9. Datensicherheit

• Sämtliche Datenübertragungen erfolgen TLS-verschlüsselt (TLS 1.2+)
• Passwörter werden ausschließlich als bcrypt-Hashes gespeichert
• Authentifizierung über kurzlebige JWT-Access-Tokens; Refresh-Tokens werden im iOS-Keychain abgelegt
• Zugriff auf Produktivsysteme ist auf autorisierte Personen beschränkt
• Zahlungskartendaten werden ausschließlich von der PCI-DSS-zertifizierten Infrastruktur von Stripe verarbeitet

10. Deine Rechte (Art. 15–22 DSGVO)

Du hast jederzeit das Recht auf:

• Auskunft (Art. 15): Auskunft über die zu deiner Person gespeicherten Daten.
• Berichtigung (Art. 16): Korrektur unrichtiger oder unvollständiger Daten — die meisten Profildaten kannst du direkt in der App selbst bearbeiten.
• Löschung (Art. 17): Löschung deines Accounts und der personenbezogenen Daten, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht.
• Einschränkung der Verarbeitung (Art. 18): Einschränkung der Verarbeitung in den vorgesehenen Fällen.
• Datenübertragbarkeit (Art. 20): Erhalt deiner Daten in einem strukturierten, maschinenlesbaren Format.
• Widerspruch (Art. 21): Widerspruch gegen Verarbeitungen auf Grundlage berechtigten Interesses (Art. 6 Abs. 1 lit. f).
• Widerruf der Einwilligung (Art. 7 Abs. 3): Widerruf der Einwilligung in Push-Benachrichtigungen jederzeit über die iOS-Einstellungen — die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt.

Zur Wahrnehmung deiner Rechte wende dich bitte an privacy@oclub.at. Wir antworten innerhalb von 30 Tagen.

11. Beschwerderecht

Du hast das Recht, dich bei der österreichischen Datenschutzbehörde zu beschweren:

Datenschutzbehörde
Barichgasse 40–42, 1030 Wien
www.dsb.gv.at
E-Mail: dsb@dsb.gv.at

12. Minderjährige

oClub richtet sich grundsätzlich an Personen ab 16 Jahren. Eine Ausnahme gilt für begleitete Nachwuchs-Trainer:innen zwischen 14 und 16 Jahren: Sie dürfen einen eigenen Account führen, sofern eine erziehungsberechtigte Person ausdrücklich einwilligt. Die Verarbeitung der Daten dieser Minderjährigen stützt sich auf die Einwilligung der erziehungsberechtigten Person (Art. 6 Abs. 1 lit. a i.V.m. Art. 8 DSGVO). Von der/dem Minderjährigen selbst erheben wir dieselben Account-Daten wie von Erwachsenen (siehe Punkt 2.1); zusätzlich Name und E-Mail der erziehungsberechtigten Person sowie den Zeitpunkt der Einwilligung als Nachweis.

Personen unter 14 Jahren ist eine Registrierung nicht möglich. Erlangen wir Kenntnis davon, dass eine Person unter 14 oder eine Person zwischen 14 und 16 ohne gültige Einwilligung der erziehungsberechtigten Person einen Account angelegt hat, löschen wir den Account und die zugehörigen Daten unverzüglich. Die erziehungsberechtigte Person kann die Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen (Kontakt: privacy@oclub.at); in diesem Fall wird der Account beendet und die Daten werden nach Maßgabe von Punkt 8 gelöscht.

13. Änderungen dieser Datenschutzerklärung

Wir können diese Datenschutzerklärung anpassen, wenn sich unsere Verarbeitungspraxis ändert oder dies gesetzlich erforderlich ist. Wesentliche Änderungen werden mindestens 14 Tage vor Inkrafttreten per Push-Benachrichtigung oder In-App-Hinweis angekündigt. Das Datum der letzten Aktualisierung findest du am Anfang dieser Seite.

14. Kontakt

Bei datenschutzbezogenen Fragen oder Anliegen:
E-Mail: privacy@oclub.at
Anschrift: ABTM Projects GmbH, Diehlgasse 33/26, 1050 Wien, Österreich