Datenschutzerklärung

1. Verantwortlicher

Verantwortlich für die Datenverarbeitung im Sinne der DSGVO ist:

Linus Gerhard Hofweber
Barbi-Henneberger-Str. 8
85551 Kirchheim bei München, Deutschland
E-Mail: support@qyppo.com

Ein Datenschutzbeauftragter ist nicht bestellt; die gesetzlichen Voraussetzungen dafür liegen nicht vor.

2. Das Wichtigste vorweg

• Qyppo verwendet keine Analyse-, Tracking- oder Werbedienste.
• Die Website setzt keine Cookies und lädt keine Schriften, Skripte oder Bilder von fremden Servern. Deshalb gibt es auch keinen Cookie-Banner.
• Es werden keine Daten verkauft oder zu Werbezwecken weitergegeben.
• Deine Daten liegen in einer Datenbank in Frankfurt am Main.
• Du kannst deine Daten jederzeit in der App exportieren und deinen Account vollständig löschen.

3. Nutzung der Website

3.1 Server-Logfiles

Die Website wird auf einem eigenen Server betrieben, angemietet bei Hostinger International Limited, 61 Lordou Vironos str., 6023 Larnaca, Zypern. Der Server selbst steht in einem Hostinger-Rechenzentrum in Frankfurt am Main. Beim Aufruf einer Seite werden automatisch Informationen protokolliert, die dein Browser übermittelt:

• IP-Adresse, gekürzt beim Schreiben (letztes Oktett bzw. bei IPv6 der hintere Teil entfernt)
• Datum und Uhrzeit des Zugriffs
• aufgerufene Adresse und übertragene Datenmenge
• Statuscode, Browsertyp und Betriebssystem

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Das berechtigte Interesse liegt im technisch fehlerfreien Betrieb und in der Abwehr von Angriffen. Die Logfiles werden nach 7 Tagen automatisch gelöscht und nicht mit anderen Daten zusammengeführt — für die Fehlersuche reicht eine Woche, alles darüber wäre Vorratshaltung ohne Zweck.

3.2 Keine Cookies, kein Tracking

Diese Website setzt keine Cookies und speichert nichts im lokalen Speicher deines Browsers. Es werden keine Reichweitenmessung, keine Analysewerkzeuge und keine Einbindungen von Drittanbietern (Schriften, Karten, Videos, Social-Media-Buttons) verwendet. Eine Einwilligung ist daher nicht erforderlich.

3.3 Verschlüsselung

Die Website wird ausschließlich über HTTPS ausgeliefert. Damit sind die übertragenen Daten auf dem Transportweg gegen Mitlesen geschützt.

4. Nutzung der App

4.1 Benutzerkonto

Um Tipps abgeben zu können, brauchst du ein Konto. Dabei werden verarbeitet:

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO — die Verarbeitung ist zur Erfüllung des Nutzungsvertrags erforderlich.

4.2 Anmelden mit Apple

Du kannst dich alternativ mit deiner Apple-ID anmelden. Dabei übermittelt Apple eine Kennung und eine E-Mail-Adresse an uns. Wenn du in der Apple-Abfrage „E-Mail-Adresse verbergen" wählst, erhalten wir nur eine anonyme Weiterleitungsadresse und nie deine echte Adresse. Anbieter ist Apple Inc., One Apple Park Way, Cupertino, CA 95014, USA. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

4.3 Gruppen, Tipps und Auswertung

Wenn du einer Gruppe beitrittst und tippst, werden gespeichert: deine Gruppenmitgliedschaft, deine abgegebenen Tipps mit Zeitstempel und die daraus berechneten Punkte. Diese Daten sind für die anderen Mitglieder derselben Gruppe sichtbar — das ist der Zweck eines Tippspiels. Wann fremde Tipps sichtbar werden (erst nach Abgabeschluss oder schon vorher), stellt die jeweilige Gruppe in ihren Regeln ein.

Die Punkteberechnung findet auf dem Server statt, damit alle Mitglieder dieselben Ergebnisse sehen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

4.4 Benachrichtigungen

Es gibt zwei unabhängige Wege:

Eine Erinnerung an noch offene Tipps wird ausschließlich lokal auf deinem Gerät geplant und ausgelöst, solange du eine Tipprunde geöffnet hast. Dabei verlassen keine Daten dein Gerät, und es wird keine Gerätekennung gespeichert.

Zusätzlich kannst du serverseitige Mitteilungen erlauben: Start eines Wettbewerbs, offene Tipps, Tore im laufenden Spiel samt Punktestand, Änderungen deiner Platzierung und neue Mitglieder in deinen Runden. Jede dieser fünf Kategorien lässt sich einzeln an- und abschalten; keine ist standardmäßig aktiv. Dafür speichert die App eine Gerätekennung (Push-Token), die Apple bereitstellt. Diese Kennung ist deinem Konto zugeordnet, enthält keine Inhalte und wird bei Abmeldung oder Kontolöschung entfernt. Der Versand läuft technisch über den Apple Push Notification service; Apple sieht dabei die Kennung und den Inhalt der Mitteilung. Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), die du je Kategorie erteilst und jederzeit widerrufen kannst.

4.5 Auftragsverarbeiter: Supabase

Datenbank, Anmeldung, Dateispeicher und serverseitige Funktionen der App laufen über Supabase. Anbieter ist Supabase, Inc., 970 Toa Payoh North, Singapur bzw. USA. Das für Qyppo genutzte Projekt läuft in der Region eu-central-1 (Frankfurt am Main, Deutschland); die Daten werden dort gespeichert.

Mit Supabase besteht ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO. Soweit im Rahmen von Support oder Administration ein Zugriff aus den USA erfolgen kann, stützt sich die Übermittlung auf die Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO).

4.6 Verbindungen zu Dritten direkt von deinem Gerät

Einige Inhalte lädt die App unmittelbar von fremden Servern. Diese Anbieter sehen dabei technisch bedingt deine IP-Adresse. Wir übermitteln ihnen keine Konto- oder Tippdaten:

• Länderflaggen: flagsapi.com.
• Nachrichten-Schlagzeilen (im Tab „Entdecken"): kicker.de, Sportschau (ARD), Transfermarkt und Formel1.de auf Deutsch; BBC Sport und Sky Sports (Vereinigtes Königreich) auf Englisch. Für das Vereinigte Königreich hat die EU-Kommission ein angemessenes Datenschutzniveau festgestellt.
• Passwort-Sicherheitsprüfung bei Registrierung und Passwortänderung: HaveIBeenPwned (api.pwnedpasswords.com). Dein Passwort wird dabei nicht übertragen — die App bildet lokal einen Hash und sendet nur dessen erste fünf Zeichen; der Abgleich findet wieder auf deinem Gerät statt (k-Anonymität). Aus diesen fünf Zeichen lässt sich das Passwort nicht rekonstruieren.

Vereinswappen und Wettbewerbs-Embleme laden wir dagegen nicht mehr direkt von football-data.org: Wir spiegeln sie auf unseren eigenen Speicher in Frankfurt am Main. Beim Anzeigen eines Wappens verbindet sich deine App also nur mit uns, nicht mit dem Bildanbieter.

Rechtsgrundlage für die oben genannten Direktverbindungen ist Art. 6 Abs. 1 lit. f DSGVO. Das berechtigte Interesse liegt in der verständlichen Darstellung der Spielpaarungen bzw. Neuigkeiten und in einer sicheren Passwortwahl.

4.7 Herkunft der Sportdaten

Spielpläne, Ergebnisse und Klassements bezieht der Server von football-data.org, OpenLigaDB und Jolpica. Diese Abrufe erfolgen serverseitig und ohne Bezug zu einzelnen Nutzerinnen und Nutzern — es werden dabei keine personenbezogenen Daten übermittelt.

4.8 App Store

Der Download der App läuft über den App Store von Apple. Dabei erhebt Apple eigene Daten, auf die wir keinen Einfluss haben. Es gilt die Datenschutzerklärung von Apple.

5. Speicherdauer

• Kontodaten, Tipps, Gruppenmitgliedschaften: solange dein Konto besteht. Bei Löschung des Kontos werden sie entfernt.
• Profilbild: bis du es ersetzt oder dein Konto löschst.
• Push-Token: bis zur Abmeldung vom Gerät oder Kontolöschung.
• Server-Logfiles der Website: 7 Tage, IP-Adresse dabei bereits gekürzt.
• Support-E-Mails: bis die Anfrage erledigt ist, längstens 6 Monate danach.

Gesetzliche Aufbewahrungspflichten bleiben unberührt.

6. Empfänger deiner Daten

• Andere Mitglieder deiner Gruppen sehen deinen Anzeigenamen, dein Profilbild, deine Tipps und deine Punkte in dieser Gruppe.
• Supabase als Auftragsverarbeiter (siehe 4.5).
• Der Website-Hoster als Auftragsverarbeiter (siehe 3.1).
• Apple, soweit du „Anmelden mit Apple" oder Benachrichtigungen nutzt.

Eine darüber hinausgehende Weitergabe findet nicht statt. Insbesondere werden keine Daten zu Werbezwecken übermittelt oder verkauft.

7. Deine Rechte

Du hast nach der DSGVO folgende Rechte:

Auskunft (Art. 15)

zu erfahren, welche Daten wir über dich verarbeiten.

Berichtigung (Art. 16)

unrichtige Daten korrigieren zu lassen.

Löschung (Art. 17)

deine Daten löschen zu lassen.

Einschränkung (Art. 18)

die Verarbeitung einschränken zu lassen.

Datenübertragbarkeit (Art. 20)

deine Daten in einem maschinenlesbaren Format zu erhalten.

Widerspruch (Art. 21)

der Verarbeitung auf Grundlage berechtigter Interessen zu widersprechen.

Widerruf einer Einwilligung (Art. 7 Abs. 3)

eine erteilte Einwilligung jederzeit für die Zukunft zu widerrufen.

Für alle Anliegen genügt eine formlose Nachricht an support@qyppo.com.

Beschwerderecht

Du kannst dich bei einer Datenschutz-Aufsichtsbehörde beschweren, insbesondere in dem Mitgliedstaat deines Aufenthaltsorts oder des mutmaßlichen Verstoßes. Für uns zuständig ist:
Bayerisches Landesamt für Datenschutzaufsicht (BayLDA)
Promenade 18, 91522 Ansbach
www.lda.bayern.de

8. Export und Löschung direkt in der App

Du musst uns nicht schreiben, um deine Daten zu bekommen oder loszuwerden:

• Datenexport: Profil → Einstellungen → Daten exportieren. Du erhältst deine Konto-, Gruppen- und Tippdaten als Datei.
• Konto löschen: Profil → Einstellungen → Account löschen. Dabei werden Profil, Profilbild, Tipps, Gruppenmitgliedschaften und Anmeldedaten endgültig entfernt. Der Vorgang lässt sich nicht rückgängig machen.

Hinweis: Punktestände, die andere Mitglieder in einer Gruppe bereits gesehen haben, lassen sich naturgemäß nicht aus deren Erinnerung entfernen; in der App verschwindet dein Eintrag jedoch vollständig.

9. Mindestalter

Qyppo richtet sich nicht an Kinder. Wenn du unter 16 Jahre alt bist, benötigst du für die Nutzung die Einwilligung deiner Eltern oder Erziehungsberechtigten.

10. Änderungen dieser Erklärung

Wenn sich die App oder die Rechtslage ändert, passen wir diese Erklärung an. Es gilt jeweils die hier veröffentlichte Fassung. Das Datum oben zeigt den letzten Stand.