Datenschutzhinweise

Rennbüro sowie DFS und Parkscheine auf scw-rennbuero.de · Arbeitsfassung für den Testbetrieb · 26. Oktober 2026

Aktuell Testbetrieb: Bitte nur erfundene Testdaten eingeben. Die Angaben beschreiben den vorbereiteten technischen Stand. Verantwortlichkeit, Vertretung, Auftragsverarbeitung und Aufbewahrung durch Dienstleister müssen vor der Verarbeitung echter Veranstaltungsdaten verbindlich geklärt werden.

1. Verantwortlicher und Kontakt

Als Verantwortlicher für den vorgesehenen Vereinsbetrieb ist der Ski-Club Willingen e. V., Zur Mühlenkopfschanze 1, 34508 Willingen vorgesehen. Kontakt: info@sc-willingen.de, Telefon +49 (0)5632 960-0. Anwendungsfragen: rennbuero@sc-willingen.de. Die Anbieterrolle und gegebenenfalls die Kontaktdaten eines Datenschutzbeauftragten sind noch vom Verein zu bestätigen.

2. Welche Daten die Anwendungen verarbeiten

DFS und Parkscheine: Organisation, Ansprechpartner, E-Mail-Adresse, Telefonnummer, beantragte Berechtigungen und Zeiträume, Begründungen und Bearbeitungsvermerke sowie je Fahrzeug Kennzeichen, Telefonnummer und gegebenenfalls Fahrername. Auch Antragsstatus und Bearbeitungsschritte werden gespeichert. Die Telefonnummer dient insbesondere dazu, Fahrer bei falsch abgestellten Fahrzeugen oder blockierten Zufahrten zu erreichen.

Rennbüro: Je nach bereitgestelltem Dateisatz Teilnehmer- und Teamdaten, Meldungen, Unterkunftszuordnungen, Akkreditierungs-, Finanz-, Service- und Transportangaben sowie Kontaktdaten für Mailentwürfe. Verarbeitet werden nur die tatsächlich bereitgestellten Felder. Persönliche Mitarbeiterkonten enthalten Benutzername, Rolle und Passwortprüfwert; hinzu kommen Sitzungen, Aktualisierungsaufträge und veröffentlichte Datenstände. Ein automatischer Onlineabruf ist derzeit deaktiviert. Vor einem Echtbetrieb muss die Feldliste der verwendeten Quelldateien geprüft und diese Beschreibung gegebenenfalls ergänzt werden.

3. Zwecke und Rechtsgrundlagen

Vorgesehen sind die Organisation der Veranstaltung, Bearbeitung und Kontrolle von Zufahrts- und Parkberechtigungen, Koordination der Arbeitsbereiche und die telefonische Erreichbarkeit bei Sicherheits- oder Verkehrsproblemen. Entscheidungen über Anträge treffen Mitarbeiter; es gibt keine ausschließlich automatisierte Entscheidung oder Profilbildung.

Für notwendige organisatorische und Sicherheitsmaßnahmen kommt Art. 6 Abs. 1 Buchst. f DSGVO in Betracht; berechtigte Interessen sind eine geordnete und sichere Veranstaltungsdurchführung. Erforderlichkeit und Interessenabwägung sind vor dem Echtbetrieb zu dokumentieren. Soweit eine konkrete Verarbeitung zur Erfüllung eines Vertrags mit der betroffenen Person erforderlich ist, kann Art. 6 Abs. 1 Buchst. b DSGVO einschlägig sein. Die Rechtsgrundlagen sind je Verfahren verbindlich festzulegen. Eine pauschale Einwilligung wird hiermit nicht unterstellt.

4. Zugriffe, Links und QR-Codes

Das Rennbüro erfordert persönliche Mitarbeiterkonten. Die jeweilige Rolle bestimmt die zugänglichen Arbeitsbereiche. Das Park-Antragsformular ist öffentlich erreichbar. Die internen Park-Funktionen sind durch Rollen für Administration, Rennbüro und Kontrolle geschützt. Diese Park-Rollenzugänge sind keine persönlichen Mitarbeiterkonten; eine verlässliche Zuordnung jeder Handlung zu einer einzelnen Person ist damit nicht gewährleistet.

Ein Fahrzeuglink kann Zugriff auf die Fahrzeugangaben des zugehörigen Antrags und deren Bearbeitung sowie Ausweiserstellung ermöglichen. Er ist vertraulich zu behandeln. Die Ausweis-QR-Codes enthalten keinen Klartext von Fahrername oder Telefonnummer. Berechtigte Kontrollkräfte können die zugehörigen Daten nach Anmeldung abrufen; auf dem Ausweis sichtbare Angaben bleiben sichtbar.

Administratoren können einen Freigabe-QR-Code für ein Kontrollhandy erstellen. Der Aktivierungsschlüssel ist zehn Minuten gültig und einmal verwendbar. Er wird als URL-Fragment übertragen, beim Öffnen aus der sichtbaren Adresse entfernt und erst nach Betätigung der Aktivierungstaste eingelöst. Die Datenbank speichert einen Prüfwert des Schlüssels. Wer den Freigabe-QR-Code besitzt, kann während seiner Gültigkeit ein Gerät freischalten. Daher darf er nur berechtigten Personen gezeigt werden. Die Freigabe gilt sieben Tage im aktivierten Browser. Administratoren können sämtliche Kontrollfreigaben und noch offene Aktivierungslinks gemeinsam widerrufen.

5. Daten anderer Personen

Wer Fahrer- oder Teilnehmerdaten für andere Personen übermittelt, muss dazu berechtigt sein und die Personen über diese Verarbeitung informieren. Bei indirekt erhobenen Daten sind die Informationspflichten nach Art. 14 DSGVO zu erfüllen; ein Hinweis allein an den übermittelnden Ansprechpartner ersetzt diese nicht automatisch.

6. Hosting und Empfänger

Die beiden Anwendungen laufen auf einem Sliplane-Testserver in Deutschland. Anwendungsdaten und Datenbanken liegen auf getrennten persistenten Volumes. Der Hosting-Anbieter ist Sliplane GmbH. Laut dessen Auftragsverarbeitungsvereinbarung werden unter anderem Hetzner für Infrastruktur und Impossible Cloud für Backups eingesetzt; der Anbieter nennt Frankfurt als Backupstandort. Maßgeblich sind die tatsächlich vereinbarten Leistungen und Einstellungen. Der Abschluss der Auftragsverarbeitungsvereinbarung im Sliplane-Konto ist noch nachzuweisen.

Hostinger verwaltet Domain und DNS; dies ist nicht der Speicherort der Anwendungsdatenbanken. GitHub dient der Quellcodeverwaltung und Bereitstellung. Personenbezogene Veranstaltungsdaten, Passwörter und Sicherungen gehören nicht in das Quellcode-Repository. Auch bei DNS-, Verwaltungs- und Bereitstellungsdiensten können technische Verbindungs- oder Kontodaten anfallen. Empfänger, mögliche Drittlandzugriffe und erforderliche Garantien sind anhand der konkreten Verträge zu prüfen. Die neue Anwendung wird nicht über OpenAI Sites oder eine Cloudflare-D1-Datenbank betrieben.

Beim Aufruf fallen technisch notwendige Verbindungsdaten wie IP-Adresse, Zeitpunkt, angeforderter Pfad und Status an. Umfang und Speicherdauer von Hosting- und Infrastrukturprotokollen sind noch verbindlich festzulegen; eine konkrete Löschfrist dafür wird hier nicht behauptet.

7. Notwendige Cookies und Anmeldesicherheit

Cookie	Zweck	Maximale Browserlaufzeit
scw_session	Persönliche Rennbüro-Anmeldung	12 Stunden
scw_login_csrf	Schutz des Rennbüro-Anmeldeformulars	30 Minuten
scw_admin	Park-Rollenanmeldung	12 Stunden für Administration und Rennbüro; 7 Tage für Kontrolle

Diese Cookies sind HttpOnly und im HTTPS-Betrieb Secure; SameSite begrenzt die Übertragung bei seitenübergreifenden Aufrufen. Abmeldung oder Widerruf können die Nutzung vor Ablauf beenden. Die Speicherung ist für ausdrücklich angeforderte Anmelde- und Schutzfunktionen erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG). Die Anwendungen setzen keine eigenen Analyse- oder Werbecookies ein.

Passwörter persönlicher Rennbürokonten werden als Passwortprüfwerte gespeichert, Sitzungsschlüssel dort als Hash. Fehlversuche werden zur Begrenzung von Anmeldeversuchen nach Benutzername und IP-Adresse erfasst; die Sperrprüfung verwendet ein Zeitfenster von 15 Minuten. Die Bereinigung erfolgt bei weiteren Anmeldevorgängen, nicht durch einen zugesicherten minütlichen Löschauftrag.

8. Excel, PDF, Mailentwürfe und Sicherungen

Excel- und PDF-Exporte können personenbezogene Daten enthalten. Heruntergeladene Dateien werden durch die Anwendung nicht zusätzlich verschlüsselt. Nur berechtigte Personen dürfen sie auf geschützten Geräten speichern oder weitergeben. Im Rennbüro werden Mailentwürfe bereitgestellt; daraus folgt kein automatischer Versand und kein Versandnachweis. Nach Versand entstehen weitere Kopien im verwendeten Maildienst.

Für das Parksystem gibt es zusätzlich einen JSON-Datenexport zur Wiederherstellung. Er ersetzt keine sichere Verwaltung von Zugängen und enthält keine vollständige Kopie aller Rollensitzungen und Fahrzeuglinks. Eine Wiederherstellung ist nur in den dafür vorgesehenen leeren Datenbestand möglich; Löschfristen sind auch danach einzuhalten. Die anonymisierte Abschlussauswertung enthält zusammengefasste Zahlen; kleine Gruppen von eins bis vier werden unterdrückt.

Daneben können technische Volume-Sicherungen beim Hosting-Anbieter vorhanden sein. Excel-Dateien sind zusätzliche Arbeits- oder Übergabekopien und keine vollständige technische Systemsicherung. Personenbezogene Sicherungen werden nicht von den Löschpflichten ausgenommen.

9. Aufbewahrung und Löschung

Als Veranstaltungsregel ist festgelegt: Personenbezogene Veranstaltungsdaten werden spätestens 30 Kalendertage nach Veranstaltungsende gelöscht, soweit keine konkret dokumentierte andere Rechtsgrundlage eine längere Aufbewahrung erfordert. Bei Veranstaltungsende am 31. Januar 2027 ist dies der 2. März 2027. Für spätere Veranstaltungen wird die Frist anhand des jeweiligen Enddatums neu berechnet.

Die Löschung ist derzeit organisatorisch auszuführen; es gibt keinen zugesicherten automatischen Löschlauf. Zu erfassen sind beide Anwendungen, Eingabedateien, alte Rennbüro-Veröffentlichungen, Excel-, JSON- und PDF-Kopien, Mailkopien und Sicherungen. Eine vollständige Löschfunktion für sämtliche Rennbüro-Datenstände ist noch nicht als Bedienfunktion vorhanden. Konten berechtigter Mitarbeiter können für den weiteren Betrieb erforderlich bleiben; Zweck und Frist sind getrennt von den Veranstaltungsdaten festzulegen.

Die Backup-Aufbewahrung beim Anbieter muss passend eingerichtet und dokumentiert werden. Bis zur endgültigen Entfernung aus auslaufenden Sicherungen sind gelöschte Daten vom normalen Zugriff auszuschließen. Nach einer notwendigen Wiederherstellung sind bereits fällige Löschungen erneut durchzuführen. Ein personenbezogenes Excel-Archiv auf unbestimmte Zeit ist nicht vorgesehen. Für Übergaben sollen möglichst anonymisierte Auswertungen, leere Vorlagen und die technische Dokumentation verwendet werden.

10. Ihre Rechte

Betroffene Personen haben nach den gesetzlichen Voraussetzungen Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung und Datenübertragbarkeit. Gegen Verarbeitungen auf Grundlage berechtigter Interessen können sie aus Gründen ihrer besonderen Situation Widerspruch einlegen. Falls eine Verarbeitung auf Einwilligung beruht, kann diese für die Zukunft widerrufen werden. Anfragen bitte an den oben genannten Verantwortlichen richten. Es besteht ein Beschwerderecht bei einer Datenschutzaufsichtsbehörde, insbesondere beim Hessischen Beauftragten für Datenschutz und Informationsfreiheit.

11. Vor dem Echtbetrieb noch abzuschließen

Anbieterrolle, rechtliche Vertretung und Datenschutzkontakt des Vereins bestätigen.
Rechtsgrundlagen, Interessenabwägung und Information der betroffenen Personen für beide Verfahren festlegen.
Auftragsverarbeitung und Dienstleisterkonfiguration prüfen; Protokoll- und Backupfristen verbindlich dokumentieren.
Verantwortliche und Ablauf für die fristgerechte Löschung aller Kopien festlegen und praktisch prüfen.

Grundlagen: DSGVO, § 25 TDDDG, Sliplane-Auftragsverarbeitungsvereinbarung.