Datenschutz & Architektur

1. Verantwortlicher

Verantwortlich für die Datenverarbeitung ist der Betreiber des privaten Beta-Projekts Flutlicht. Kontakt: flutlichtrunde@gmail.com (siehe auch Impressum).

2. Grundsatz & Freiwilligkeit

Flutlicht ist bewusst datensparsam. Das Mitspielen ist ohne Konto und ohne Anmeldung möglich – du gibst nur einen frei wählbaren Anzeigenamen ein. Ein Konto (Google oder E-Mail) ist rein optional. Wer mit der hier beschriebenen Verarbeitung nicht einverstanden ist, meldet sich einfach nicht an – niemand wird dazu gezwungen, und ohne Konto werden keine personenbezogenen Kontodaten (z. B. E-Mail) verarbeitet.

3. Architektur im Überblick

Flutlicht besteht aus drei klar getrennten Bausteinen:

• • Frontend & App-Logik: gehostet bei Vercel (Auslieferung der Website, serverseitige Funktionen).
• • Datenbank & Konten: Supabase (verwaltetes PostgreSQL) – hier liegen Runden, Tipps und – falls vorhanden – Kontodaten.
• • Sportdaten: Spielplan und Ergebnisse kommen von der externen Quelle OpenLigaDB; dabei werden keine personenbezogenen Daten von dir übertragen.

4. Wo deine Daten liegen (Serverstandort)

Die Datenbank wird bei Supabase in der Region Frankfurt (EU, Deutschland) betrieben. Deine Spiel- und Kontodaten werden damit innerhalb der EU gespeichert und verlassen diese im Normalbetrieb nicht. Gespeichert werden: Tipprunden, Anzeigenamen, abgegebene Tipps und – nur bei einem optionalen Konto – E-Mail-Adresse, Name, Titel und Profilbild. Rechtsgrundlage ist die Durchführung des Spiels bzw. dein Konto (Art. 6 Abs. 1 lit. b DSGVO).

5. Wer wann wie auf die Daten zugreift

• • Du selbst: jederzeit auf deine eigenen Runden und Tipps über die App.
• • Andere Mitspieler: sehen innerhalb einer Runde nur die öffentlichen Spielinhalte (Anzeigename, Punkte, Tipps erst nach Anpfiff) – keine E-Mail-Adressen.
• • Der Betreiber: hat über die abgesicherte Supabase-Verwaltung administrativen Zugriff, nutzt diesen aber ausschließlich für Betrieb, Fehlerbehebung und auf Anfrage zur Löschung – nicht zu anderen Zwecken.
• • Im laufenden Betrieb (technisch): der Browser spricht die Datenbank nur mit einem öffentlichen Schlüssel an, der durch Datenbank-Zugriffsregeln (Row Level Security) streng eingeschränkt ist. Schreibende/serverseitige Zugriffe laufen über geschützte Server-Funktionen.

6. Schlüssel & Datensicherheit

• • Der geheime Server-Schlüssel mit erweiterten Rechten wird niemals im Quellcode, im Code-Repository oder auf Endgeräten gespeichert. Er existiert ausschließlich als verschlüsselte Umgebungsvariable beim Hoster und wird nicht an den Browser ausgeliefert.
• • Die gesamte Kommunikation erfolgt verschlüsselt über HTTPS/TLS.
• • Der Datenbankzugriff aus dem Browser ist durch Row Level Security auf das Nötigste beschränkt.
• • Daten werden in der EU (Frankfurt) gespeichert; Backups und Verschlüsselung erfolgen serverseitig durch Supabase.
• • Ein optionales Rundenpasswort (vom Admin gesetzt) wird ausschließlich als gesalzener Hash gespeichert – niemals im Klartext – und dient nur dazu, den Beitritt zu einer Runde freizugeben.

7. Hosting (Vercel)

Die Website wird bei der Vercel Inc. (USA) ausgeliefert. Beim Aufruf werden technisch notwendige Server-Logdaten (u. a. IP-Adresse, Zeitpunkt, abgerufene Seite) zur Auslieferung und Sicherheit verarbeitet (Art. 6 Abs. 1 lit. f DSGVO). Eine Übermittlung in die USA erfolgt auf Basis von EU-Standardvertragsklauseln. Die Spiel- und Kontodaten liegen davon getrennt in der EU-Datenbank (Punkt 4).

8. Anmeldung mit Google / E-Mail (optional)

Meldest du dich freiwillig an, nutzen wir Supabase Auth. Bei Google erhält Google Anmeldeinformationen; wir übernehmen Name, E-Mail und ggf. Profilbild, um dein Konto zu erstellen (Art. 6 Abs. 1 lit. b DSGVO). Bei E-Mail-Anmeldung wird zur Bestätigung ein Link an deine Adresse gesendet. Es gilt zusätzlich die Datenschutzerklärung von Google.

9. Lokale Speicherung im Browser

Ohne Konto wird zur Wiedererkennung deiner Tipps eine zufällige Kennung im localStorage deines Browsers gespeichert. Das ist kein Tracking und wird nicht an Dritte übermittelt. Bei Login kommt ein technisch notwendiges Sitzungs-Cookie hinzu.

10. Reichweitenmessung

Zur anonymen Statistik nutzen wir Vercel Web Analytics und Speed Insights. Diese arbeiten cookielos und erstellen keine personenbezogenen Profile (Art. 6 Abs. 1 lit. f DSGVO).

11. Deine Rechte

Du hast das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch. Zur Löschung deines Kontos oder deiner Daten genügt eine formlose Nachricht an flutlichtrunde@gmail.com. Außerdem steht dir ein Beschwerderecht bei einer Datenschutz-Aufsichtsbehörde zu.

Stand: Juni 2026