Datenschutzerklärung

1. Das Wichtigste in Kürze

• Deine Kickbase-Zugangsdaten gehen nur an Kickbase. Timzbase schreibt sie nicht auf die Festplatte.
• Es gibt nur zwei technisch nötige Cookies: die Freischaltung nach Eingabe des Zugangscodes und die Sitzungs-Kennung nach der Anmeldung. Kein Tracking, keine Werbung, keine Analyse-Dienste – deshalb auch kein Cookie-Banner.
• Gespeichert werden nur wenige Dinge: ein Protokoll deiner eigenen Aktionen (z. B. Gebote), technische Fehlermeldungen, eine anonyme Zählung der Anmeldungen und ein Bilder-Zwischenspeicher mit Spielerfotos.
• Anzeige-Einstellungen bleiben in deinem Browser.

2. Verantwortlicher

Verantwortlich im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:

Tim Bengen
Ostlandstr. 12, 26452 Sande, Deutschland
E-Mail: tim.bengen@hotmail.de

Ein Datenschutzbeauftragter ist für dieses private Projekt nicht bestellt und nicht vorgeschrieben. Fragen zum Datenschutz bitte an die oben genannte E-Mail-Adresse.

3. Server, Hosting und Verbindung

Hosting. Timzbase läuft auf einem Server der Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, in einem Rechenzentrum in Nürnberg (Deutschland). Hetzner verarbeitet Daten nur in meinem Auftrag; ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO ist geschlossen.

Verbindungsdaten. Beim Aufruf überträgt dein Browser technisch bedingt deine IP-Adresse, Datum und Uhrzeit, die aufgerufene Adresse und Browser-Angaben. Die Timzbase-Software legt daraus keine Zugriffsprotokolle mit IP-Adressen als Datei an. Wofür IP-Adressen kurzzeitig im Arbeitsspeicher gebraucht werden, steht in Abschnitt 7.

Verschlüsselung. Die Verbindung ist per HTTPS verschlüsselt. Das Zertifikat dafür stellt die gemeinnützige Zertifizierungsstelle Let’s Encrypt (Internet Security Research Group, USA) aus; dabei werden nur der Domainname und technische Schlüssel übermittelt, keine Daten über dich. Ein vorgeschalteter Dienst (Content Delivery Network o. Ä.) wird nicht genutzt.

Rechtsgrundlage für den Betrieb insgesamt: Art. 6 Abs. 1 lit. b DSGVO (Bereitstellung der von dir genutzten Funktionen) und Art. 6 Abs. 1 lit. f DSGVO (sicherer Betrieb).

4. Anmeldung mit deinem Kickbase-Konto

Zur Anmeldung gibst du E-Mail-Adresse und Passwort deines Kickbase-Kontos ein. Der Timzbase-Server leitet sie verschlüsselt an die Schnittstelle von Kickbase (api.kickbase.com) weiter und erhält von dort ein Zugangs-Token, deine Kickbase-Nutzer-ID, deinen Managernamen und deine Ligen.

• E-Mail, Passwort und Token werden nicht auf die Festplatte geschrieben. Sie liegen nur im Arbeitsspeicher des Servers, solange deine Sitzung besteht – das Passwort, damit die Verbindung zu Kickbase bei abgelaufenem Token automatisch erneuert werden kann.
• Sie werden gelöscht, wenn du dich abmeldest, nach 12 Stunden ohne Nutzung oder bei einem Neustart des Servers.
• Bei Kickbase selbst gilt deren eigene Datenschutzerklärung. Timzbase hat keinen Einfluss darauf, was Kickbase mit der Anmeldung verarbeitet.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO – ohne Anmeldung kann Timzbase keine Daten aus deinem Konto anzeigen.

5. Daten aus Kickbase, die angezeigt werden

Nach der Anmeldung ruft der Server mit deinem Token Daten aus deinem Kickbase-Konto ab und bereitet sie auf: Kader, Transfermarkt, Gebote und Angebote, Aufstellung, Tabellen, Liga-Aktivitäten und Spieltagspunkte. Dazu gehören auch Managernamen, Punkte, Teamwerte und Transfers der anderen Mitglieder deiner Ligen – also das, was du in Kickbase ohnehin sehen kannst.

Diese Daten werden nur im Arbeitsspeicher zwischengespeichert (je nach Art wenige Sekunden bis einige Stunden), damit Kickbase nicht bei jedem Klick neu abgefragt werden muss. Sie werden nicht an Dritte weitergegeben und nicht für andere Zwecke verwendet.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO für deine eigenen Daten; für Daten anderer Liga-Mitglieder Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse, dir die Liga übersichtlich anzuzeigen, die du in Kickbase ohnehin einsehen kannst).

6. Aktionen und Aktionsprotokoll

Wenn du in Timzbase etwas auslöst – ein Gebot abgibst oder zurückziehst, einen Spieler verkaufst oder anbietest, ein Angebot annimmst oder ablehnst, die Aufstellung speicherst oder die Beobachtungsliste änderst –, wird diese Aktion an Kickbase übermittelt.

Jede Aktion wird zusätzlich in einer Protokolldatei auf dem Server festgehalten: Zeitpunkt, Managername (oder Nutzer-ID), Art der Aktion, Liga- und Spieler-ID, ggf. Betrag sowie das Ergebnis. Zweck: nachvollziehen zu können, was ausgeführt wurde, und Fehler oder Missbrauch zu erkennen. Einträge werden nach 30 Tagen automatisch gelöscht.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Nachvollziehbarkeit und Sicherheit). Speicherdauer: siehe Abschnitt 12.

7. Schutz vor Missbrauch und Fehlerprotokoll

• Fehlgeschlagene Anmeldungen: Die IP-Adresse wird mit Zeitstempel im Arbeitsspeicher gehalten, um wiederholtes Raten von Passwörtern zu bremsen (höchstens 8 Fehlversuche in 10 Minuten). Nach einer erfolgreichen Anmeldung bzw. nach 10 Minuten ist der Eintrag bedeutungslos; er wird nicht auf die Festplatte geschrieben und spätestens mit einem Neustart gelöscht.
• Zugangscode: Auch bei der Eingabe des Zugangscodes wird die IP-Adresse mit Zeitstempel im Arbeitsspeicher gehalten (höchstens 10 Versuche in 10 Minuten), nicht auf die Festplatte geschrieben und spätestens mit einem Neustart gelöscht.
• Aktions-Begrenzung: Je Konto werden die Zeitpunkte der Aktionen der letzten Minute im Arbeitsspeicher gezählt (höchstens 15 pro Minute).
• Fehlerprotokoll: Technische Fehler werden mit Zeitpunkt und Fehlermeldung in einer Datei festgehalten. Das kann Liga- oder Spieler-IDs enthalten, aber keine Passwörter. Einträge werden nach 30 Tagen automatisch gelöscht.
• Konsolenausgabe: Der Server gibt laufend die aufgerufenen Adressen (ohne IP-Adresse und ohne Inhalte) sowie Start- und Fehlermeldungen aus. Diese Ausgabe ist auf wenige Megabyte begrenzt und wird fortlaufend überschrieben.
• Nutzungsstatistik: Für einen stabilen Betrieb zählt Timzbase je Tag die Anzahl der Anmeldungen und Fehlversuche. Um „verschiedene Nutzer“ zählen zu können, wird je Konto nur ein gesalzener, nicht umkehrbarer Prüfwert gespeichert – keine Namen, E-Mail-Adressen oder IP-Adressen. Die Tageswerte werden nach 90 Tagen gelöscht.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Schutz der Konten und des Servers, Fehlerbehebung).

8. Weitere Datenquellen und Bilder

Für Prognosen, Aufstellungen und Bilder fragt der Server öffentliche Quellen ab. Dabei werden keine Daten über dich übermittelt, nur Spieler- oder Vereinsangaben:

• LigaInsider (ligainsider.de): voraussichtliche Aufstellungen, Verletzungsinfos und Spielerfotos.
• Google News (news.google.com): öffentliche Schlagzeilen zu Verletzungen einzelner Spieler.
• Kickbase: Spielerdaten und -bilder.

Spielerfotos werden in einem Bilder-Zwischenspeicher auf dem Server abgelegt (bis zu 14 Tage, dann neu geladen) und von dort an deinen Browser ausgeliefert. Name und Foto von Profifußballern sind personenbezogene Daten; sie werden nur zur Kennzeichnung der Spieler angezeigt (Art. 6 Abs. 1 lit. f DSGVO).

Einzelne Bilder – etwa Liga-Logos, Manager-Profilbilder oder Ersatzbilder – lädt dein Browser direkt vom Bildserver von Kickbase (kickbase.b-cdn.net). Dabei erhält der dortige Anbieter technisch bedingt deine IP-Adresse.

Schriftarten sind auf dem Timzbase-Server gespeichert; es werden keine Schriften von Google oder anderen Anbietern nachgeladen.

9. Cookie, lokaler Speicher und Offline-Cache

Zugangscode-Cookie. Timzbase ist nur mit einem Zugangscode erreichbar. Gibst du ihn richtig ein, setzt Timzbase ein Cookie (Name tzgate8769), das nur einen aus einem Server-Geheimnis berechneten Prüfwert enthält – weder den Code selbst noch Angaben zu dir. Es ist für JavaScript nicht lesbar (HttpOnly), wird nur an Timzbase gesendet (SameSite=Lax), bei HTTPS nur verschlüsselt übertragen und läuft nach 30 Tagen ab. Wird der Zugangscode geändert, wird es ungültig.

Sitzungs-Cookie. Nach der Anmeldung setzt Timzbase ein Cookie mit einer zufälligen Sitzungs-Kennung (Name tzsid8769). Es ist für JavaScript nicht lesbar (HttpOnly), wird bei Seitenaufrufen nur an Timzbase gesendet (SameSite=Lax), bei HTTPS nur verschlüsselt übertragen und läuft nach 12 Stunden ab; beim Abmelden wird es gelöscht. Ohne diese Cookies wäre kein Zugang bzw. keine Anmeldung möglich.

Lokaler Speicher (localStorage). Dein Browser merkt sich Anzeige-Einstellungen, z. B. die gewählte Liga und Seite, Hell-/Dunkel-Modus, Filter und Sortierungen, den Bilanz-Zeitraum, Markierungen im Planer und welche Hinweise du schon gesehen hast. Diese Angaben bleiben auf deinem Gerät. Nur einzelne Werte, die eine Abfrage steuern (z. B. ein selbst gewählter Saisonstart für die Bilanz), werden bei der jeweiligen Anfrage mitgeschickt.

Offline-Cache. Ein Service Worker legt Programmdateien der App (Seitengerüst, Logo, Symbole, Schriften, diese Rechtstexte) im Browser ab, damit Timzbase schneller startet. Daten aus deinem Kickbase-Konto werden dort nicht abgelegt.

Cookie, lokaler Speicher und Offline-Cache sind für die von dir gewünschte Nutzung unbedingt erforderlich bzw. dienen nur deinen eigenen Anzeige-Einstellungen. Eine Einwilligung ist dafür nicht nötig (§ 25 Abs. 2 Nr. 2 TDDDG). Du kannst alles jederzeit in den Einstellungen deines Browsers löschen („Websitedaten löschen“).

10. Was Timzbase nicht macht

• keine externen Analyse- oder Statistikdienste (nur die eigene anonyme Zählung aus Abschnitt 7), keine Tracking-Pixel, keine Werbung, keine Social-Media-Plugins,
• kein Verkauf oder Weitergabe von Daten zu Werbezwecken,
• keine Profilbildung und keine automatisierten Entscheidungen im Sinne von Art. 22 DSGVO – Prognosen und Hinweise sind reine Anzeigen; jede Aktion löst du selbst aus.

11. Zusatzfunktionen nur für das Konto des Betreibers

Für das Kickbase-Konto des Betreibers speichert Timzbase zusätzlich dessen Liga-Einstellungen, die Kennung des Betreiberkontos und – für die Prüfung der eigenen Prognosen – öffentliche Spieler- und Marktwertdaten, die mit diesem Konto abgerufen werden. Für alle anderen Nutzer werden diese Funktionen nicht ausgeführt.

Der Betreiber kann außerdem in einer nur für ihn zugänglichen Übersicht sehen, welche Managernamen gerade angemeldet sind und wann sie zuletzt aktiv waren. Diese Liste wird nicht gespeichert, sondern nur aus den laufenden Sitzungen im Arbeitsspeicher gebildet. Benachrichtigungen an den Betreiber (z. B. über einen Messenger) enthalten nur Anzahlen, keine Namen. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Betrieb und Missbrauchserkennung).

12. Speicherdauer im Überblick

13. Deine Rechte

Du hast nach der DSGVO das Recht auf

• Auskunft über die zu dir gespeicherten Daten (Art. 15),
• Berichtigung (Art. 16) und Löschung (Art. 17),
• Einschränkung der Verarbeitung (Art. 18),
• Datenübertragbarkeit (Art. 20),
• Widerspruch gegen Verarbeitungen, die auf Art. 6 Abs. 1 lit. f DSGVO beruhen, aus Gründen, die sich aus deiner besonderen Situation ergeben (Art. 21).

Eine kurze E-Mail an tim.bengen@hotmail.de genügt. Am einfachsten lässt sich die Verarbeitung beenden, indem du dich abmeldest und Timzbase nicht mehr nutzt.

Du kannst dich außerdem bei einer Datenschutz-Aufsichtsbehörde beschweren (Art. 77 DSGVO), z. B. bei der für mich zuständigen Stelle: Die Landesbeauftragte für den Datenschutz Niedersachsen, Prinzenstraße 5, 30159 Hannover.

14. Sonstiges

Du bist nicht verpflichtet, Daten anzugeben. Ohne Anmeldung mit einem Kickbase-Konto kann Timzbase aber keine Inhalte anzeigen. Ändern sich Funktionen oder Rechtslage, passe ich diese Erklärung an; es gilt die hier veröffentlichte Fassung.