1. Wer ist für die Datenbearbeitung verantwortlich?
Verantwortliche Stellen sind die Organisation und die konkret benannten Ansprechpersonen wie im aktuellen Impressum. Für technische Teilprozesse (Hosting, Datenbank, Zahlungen) können weitere Unterauftragnehmer «im Auftrag» Daten bearbeiten (siehe Ziffer 5).
2. Welche Daten bearbeiten wir und zu welchem Zweck?
| Bearbeitungszweck | Daten | Typische Grundlagen (DSG) |
|---|---|---|
| Registrierung und Nutzerkonto (Supabase Auth) | Name, Vorname, E-Mail-Adresse, Passwort-Hash, technische Kontokennungen («User-ID») | Vertrag bzw. vorbereitende Schritte; berechtigtes Interesse an Missbrauchsbekämpfung beim Login |
| Mitgliedschaft; Ausweis Mitgliedsnummer; Profilbereich | Mitgliedsnummer, Präfix, Adresse/PLZ/Ort/Telefon (soweit im Profil gepflegt oder später aus Stripe-Checkout zurückgeschrieben), Präferenzen («Golfer-Level», Newsletter-Opt-in wenn technisch geführt) | Vertrag/Leistungsabwicklung; bei freiwilligen Angaben allenfalls auch Einwilligung |
| Jahresbeitrag (Stripe Checkout) | Zahlungsdaten beim Zahlungsdienst Stripe (von uns nicht wie eine Bankkartendatenbank fortlaufend vollständig gespeichert); Zahlungs- und Mitgliedsbezug in Stripe; Rechnungskontakt- und Kontakt-/Adress-/Telefonangaben entsprechend Checkout-Konfiguration | Vertrag/Leistungsabwicklung; Einwilligung, soweit Stripe eigenständige Consent Layers erfordert |
| Betrieb, Sicherheit, Fehleranalyse (Server-/Anwendungsprotokolle durch Hosting-Anbieter) | Zeitpunkt, IP-Adresse in den Grenzen der Protokolle, Request-IDs, allenfalls kurzfristige Sicherheitsevents | Überwiegendes Interesse am sicheren und stabilen Betrieb; allenfalls gesetzliche Aufbewahrungs- oder Meldepflichten |
| Kommunikation mit Mitgliedern (Operational Mail / «Weekly News») | E-Mail-Adresse, allenfalls Vor-/Nachname in der Grußzeile des Versandsystems | Vertrag/Statutenzahlung/Leistungen der Mitgliedschaft («service messages»); für rein werbliche Inhalte — falls rechtlich abgrenzbar — zusätzlich Einwilligung, soweit anwendbar |
Die konkrete Abgrenzung «mitgliedschaftsnotwendige Information» vs. «Marketing» zwischen Statutengrundlage und zusätzlicher Einwilligung soll von Ihrer Rechtsberaterin mit dem Vereinstext abgestimmt werden.
3. Speicherdauer
Personendaten werden so lange gespeichert, wie dies für den Vereinsbetrieb — insbesondere zur Abwicklung und Nachweisführung der Mitgliedschaft sowie zur Erfüllung verwandter Pflichten — erforderlich ist (z. B. aktives Nutzerkonto, offene Zahlungsvorgänge). Nach Ende der Mitgliedschaft oder nach Wegfall des Bearbeitungszwecks löschen oder anonymisieren wir die Daten, soweit keine gesetzlichen Aufbewahrungspflichten (unter anderem Buchführung und Steuern) entgegenstehen und keine weiteren triftigen Gründe für eine längere Aufbewahrung («Archivierung») vorliegen. Konkrete Aufbewahrungsfristen werden in einer intern dokumentierten Richtlinie festgehalten.
4. Datenquellen und Datengeber
Hauptsächlich stammen Daten aus Ihrer eigenen Angabe beim Registrierungs- oder Profilformular, aus Stripe (Zahlungs- und Kontaktbezug zurück synchronisiert) sowie aus automatischen technischen Vorgängen.
5. Unterauftragnehmer (Auftragsbearbeitung)
- Supabase(«Supabase Inc.»; je nach Konfiguration rechenzentrumsnah in der EU, der Schweiz oder anderswo): Datenbank-, Authentifizierungs- und API-Dienste. Zur Auftragsbearbeitung gelten die vertraglichen Regelungen des Anbieters (u. a. Data Processing Addendum).
- Stripe Payments Europe Limited («Stripe»; Sitz und Datenflüsse je nach Produktkonfiguration): Zahlungsabwicklung; Einzelheiten der Datenbearbeitung ergeben sich aus den jeweiligen Datenschutzhinweisen und Vertragsunterlagen von Stripe.
- Vercel Inc.: Hosting dieser Web-Anwendung (Server-Rendering; je nach Produktkonfiguration «Edge»). Übermittlung personenbezogener Daten aus der Schweiz oder dem Europäischen Wirtschaftsraum («EWR») in Drittstaaten erfolgt, soweit erforderlich, auf Grundlage gesetzlicher Schutzinstrumente, insbesondere Standardvertragsklauseln der EU-Kommission und den von Vercel beschriebenen vertraglichen und technischen Massnahmen.
- Unterauftragnehmer werden nur beauftragt, soweit mit ihnen vertragliche Regelungen zur Auftragsbearbeitung («Data Processing Agreement», «Order Processing», vergleichbar) oder gleichwertige vertragliche Garantien getroffen worden sind und die Datenbearbeitung im erforderlichen Umfang erfolgt (u. a. gewählte Supabase-Region, Produktpakete Stripe/Vercel).
6. Datenübermittlung ins Ausland
Bestimmte Unteraufnehmer haben Sitz in den USA oder in anderen «Drittstaaten» im datenschutzrechtlichen Sinn, oder sie lassen Personendaten dort bearbeiten («Drittstaatenübermittlung»). Soweit dies erforderlich ist, erfolgt die Übermittlung unter Einhaltung des DSG und — soweit anwendbar — der DSGVO, unter anderem mittels von der EU‑Kommission erlassener Standardvertragsklauseln («SCC») und gegebenenfalls ergänzender technischer oder organisatorischer Massnahmen. Die konkret gewählte Ausgestaltung (z. B. Hosting-Region, Stripe-Konfiguration) wird intern dokumentiert und ist bei Anbieterwechseln anzupassen.
7. Profiling und automatisierte Einzelentscheidungen
Es wird kein Profiling im Sinne von Art. 5 Abs. 1 Bst. f DSG geführt — insbesondere keine automatisierte Bewertung persönlicher Aspekte etwa zu Verhalten, Vorlieben oder Zuverlässigkeit. Wir führen kein Profiling mit hohem Risiko im Sinne von Art. 5 Abs. 1 Bst. g DSG durch. Es werden keine Entscheidungen getroffen, die ausschliesslich auf einer automatisierten Bearbeitung beruhen und der betroffenen Person gegenüber einer Rechtsfolge entsprechen oder sie erheblich beeinträchtigen («automatisierte Einzelentscheidungen» nach Art. 21 Abs. 1 DSG); die technische Zuordnung des Zahlungs- bzw. Mitgliedschaftsstatus anhand von Stripe-Webhooks erfolgt ohne wertende Beurteilung der Person («Scoring»).
8. Pflicht zur Bereitstellung
Für die Mitgliedschaft gegen Entgelt (Jahresbeitrag gemäss AGB, derzeit CHF 125.–) sowie für die Nutzung des Mitgliederbereichs sind bestimmte Angaben und die technische Durchführung der Zahlung erforderlich. Ohne Abschluss des Zahlungsvorgangs kann die volle Plattformnutzung ausgeschlossen werden.
9. Cookies, lokale Speicherung und Banner
Technisch notwendige Sitzungsinformationen (u. a. «Local Storage», Sitzungskennzeichen der Authentifizierung über Supabase) werden ohne werbliches Tracking im Browser geführt. Näheres finden Sie im separaten Cookie- und Speicher-Hinweis. Analyse-, Werbe-Cookies oder vergleichbare Technologien anderer Anbieter werden derzeit nicht eingesetzt und würden — falls später eingebunden — nur nach vorheriger, technisch wirksamer Einwilligung aktiviert.
10. Welche Betroffenenrechte haben Sie?
- Nach dem DSG haben Sie unter anderem ein Auskunftsrecht (Art. 25 DSG). Unrichtige Daten können Sie unter den dort genannten Voraussetzungen berichtigen lassen (Art. 32 Abs. 1 DSG). Darüber hinaus können Sie im Einzelfall im Weg der «Klagen zum Schutz der Persönlichkeit» (Art. 32 Abs. 2 DSG i. V. m. Zivilgesetzbuch) insbesondere Löschung oder Vernichtung, Unterlassung oder andere dort vorgesehene Schutzansprüche geltend machen, sofern die gesetzlichen Tatbestände erfüllt sind. Ist Art. 28 Abs. 1 DSG erfüllt, können Sie weiter Herausgabe oder Übertragung Ihrer Personendaten in einem gängigen elektronischen Format verlangen. Soweit die DSGVO anwendbar ist, bestehen darin geregelte Betroffenenrechte zusätzlich; der konkrete Umfang richtet sich nach dem jeweils anwendbaren Recht.
- Kontakt zur Geltendmachung dieser Rechte: verwenden Sie die im Impressum genannten Kanäle (z. B. E‑Mail an die datenschutzrechtlich zuständige Stelle). Zur Wahrung der Rechte Dritter und zur Missbrauchsbekämpfung können wir eine angemessene Identitätsprüfung verlangen.
- Beschwerde bei einer Aufsichtsbehörde: Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter («EDÖB»): www.edoeb.admin.ch (Adresse jeweils auf der amtlichen Oberfläche ersichtlich).