Datenschutzerklärung der Plattform startblock

Diese Erklärung gilt für die Plattform-Startseite startblock.run, für das Veranstalter-Konto und das Redaktionssystem unter admin.startblock.run, für das Teilnehmer-Konto („Mein Bereich") und für die App „startblock" für iOS und Android. Für die Veranstaltungs-Websites, die Veranstalter mit startblock betreiben, ist nicht startblock verantwortlich, sondern der jeweilige Veranstalter — Abschnitt 9 erklärt, was dort geschieht und wo Sie dessen Datenschutzerklärung finden. Eine Ausnahme ist die cookielose Reichweitenmessung: Sie läuft auf allen Oberflächen — auch auf den Veranstaltungs-Websites — in unserer eigenen Verantwortung (Abschnitte 5.2 und 9.8).

---

1. Verantwortlicher, Kontakt und Datenschutzbeauftragter

Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO für die in dieser Erklärung beschriebenen Verarbeitungen ist:

Janik Kahle (Einzelunternehmen)
Birkenwaldstraße 41
70191 Stuttgart
Deutschland
Telefon: [TELEFON]
E-Mail: hallo@startblock.run
Umsatzsteuer-Identifikationsnummer: [USt-IdNr.]

Alle weiteren Pflichtangaben finden Sie im Impressum unter startblock.run/rechtliches/impressum (§ 5 DDG).

Kontakt in Datenschutzfragen. Für Auskünfte, Löschungen, Widersprüche und alle anderen Anliegen nach dieser Erklärung erreichen Sie uns unter hallo@startblock.run oder postalisch unter der oben genannten Anschrift. Eine gesonderte Datenschutz-Adresse gibt es nicht; alle Anfragen laufen über dieses Postfach.

Datenschutzbeauftragter. Einen Datenschutzbeauftragten haben wir nicht benannt; die gesetzlichen Voraussetzungen dafür liegen bei uns nicht vor. Ihre Anliegen richten Sie bitte an die oben genannten Kontaktdaten.

---

2. Überblick: wer ist wofür verantwortlich

startblock ist eine Plattform für Veranstalter. Ein Teil der Daten wird von uns in eigener Verantwortung verarbeitet, ein anderer Teil ausschließlich im Auftrag und nach Weisung des jeweiligen Veranstalters (Art. 28 DSGVO). Diese Tabelle sagt Ihnen, in welchem Bereich Sie sich gerade befinden:

Der Grund für diese Aufteilung: Ihre Anmeldung zu einer Veranstaltung ist ein Vertrag zwischen Ihnen und dem Veranstalter. Über Zweck und Mittel dieser Verarbeitung entscheidet der Veranstalter; startblock stellt nur die Technik. Das Teilnehmer-Konto dagegen ist eine Funktion der Plattform, die über alle Veranstaltungen hinweg gilt — dafür sind wir selbst verantwortlich und haben eigene Nutzungsbedingungen (startblock.run/rechtliches/nutzungsbedingungen).

Die Pflichten, die wir als Auftragsverarbeiter gegenüber den Veranstaltern haben, stehen in unserem Auftragsverarbeitungsvertrag (startblock.run/rechtliches/avv); die Beschreibung der technischen und organisatorischen Maßnahmen ist dessen Anlage 2 (Abschnitt 13).

---

3. Allgemeines zu allen Verarbeitungen

3.1 Rechtsgrundlagen

Wir verarbeiten personenbezogene Daten auf diesen Grundlagen:

• Art. 6 Abs. 1 lit. b DSGVO — Erfüllung eines Vertrages oder vorvertragliche Maßnahmen: Veranstalter-Konto, Tarif PRO, Teilnehmer-Konto, Ausliefern der von Ihnen aufgerufenen Seiten und Funktionen.
• Art. 6 Abs. 1 lit. c DSGVO — rechtliche Verpflichtung: Aufbewahrung von Rechnungen und Zahlungsbelegen (§ 147 AO, § 257 HGB, § 14 UStG).
• Art. 6 Abs. 1 lit. f DSGVO — berechtigte Interessen. Wir benennen sie jeweils einzeln: Sicherstellung des technischen Betriebs und der Fehlersuche (Server-Protokolle), Abwehr von Missbrauch und automatisierten Angriffen (Zugriffsgrenzen mit pseudonymisierter IP-Adresse), Betrugsprävention im Bezahlvorgang, statistische Reichweitenmessung ohne Wiedererkennung über den Tag hinaus, Bearbeitung von Anfragen an unser Support-Postfach.
• Art. 6 Abs. 1 lit. a DSGVO — Einwilligung: nur dort, wo wir sie ausdrücklich einholen. Auf den Plattformseiten ist das derzeit allein die Checkbox „Produktneuigkeiten per E-Mail" bei der Konto-Anlage (Abschnitt 6.10) und das freiwillige Speichern Ihrer Stammdaten im Teilnehmer-Konto (Abschnitt 7.3).

Eine erteilte Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen; die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung bleibt unberührt.

3.2 Empfängerkategorien

Empfänger Ihrer Daten sind: Anbieter von Hosting, Datenbank und Rechenzentrumsleistungen; Anbieter für den Versand von E-Mails; Zahlungsdienstleister, bei Kartenzahlungen vor Ort mit dem iPhone zusätzlich Apple als Anbieter von „Tap to Pay auf dem iPhone"; Anbieter von Kartenkacheln und Schriftarten; bei den Veranstaltungs-Websites zusätzlich der jeweilige Veranstalter und die von ihm eingesetzten Personen. Eine namentliche Auflistung mit Zweck, Ort und Garantie finden Sie in Abschnitt 10. Darüber hinaus geben wir Daten an Behörden und Gerichte heraus, soweit wir dazu gesetzlich verpflichtet sind (Art. 6 Abs. 1 lit. c DSGVO) oder es zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich ist (Art. 6 Abs. 1 lit. f DSGVO). Einen Verkauf von Daten gibt es nicht, ebenso wenig eine Nutzung zu Werbezwecken Dritter.

3.3 Übermittlung in Drittländer

Einige der von uns eingesetzten Dienste haben ihren Sitz außerhalb der Europäischen Union oder verarbeiten Daten dort. Welche Garantie greift, hängt davon ab, ob der Empfänger für uns arbeitet (Auftragsverarbeiter) oder selbst über die Verarbeitung entscheidet (eigener Verantwortlicher):

• Auftragsverarbeiter in den Vereinigten Staaten. Vercel Inc., Plus Five Five, Inc. (Resend) und — für die Zustellung der Push-Mitteilungen an die App — die Google LLC (Firebase Cloud Messaging, Abschnitt 4.6) sind nach dem EU-US Data Privacy Framework zertifiziert; die Europäische Kommission hat für zertifizierte Empfänger mit Beschluss vom 10.07.2023 ein angemessenes Schutzniveau festgestellt. Zusätzlich — und unabhängig davon — haben wir mit diesen Anbietern die Standardvertragsklauseln der Kommission (Durchführungsbeschluss (EU) 2021/914) vereinbart (bei Google als Bestandteil der Datenverarbeitungsbedingungen von Firebase): Modul 2 (Verantwortlicher an Auftragsverarbeiter), soweit wir selbst Verantwortliche sind, und Modul 3 (Auftragsverarbeiter an Auftragsverarbeiter), soweit wir Daten im Auftrag von Veranstaltern verarbeiten. Wir stützen uns bewusst nicht allein auf das Data Privacy Framework: gegen dessen Bestätigung durch das Gericht der Europäischen Union (Urteil vom 03.09.2025, T-553/23) ist beim Gerichtshof der Europäischen Union das Rechtsmittel C-703/25 P anhängig, dessen Ausgang offen ist.
• Singapur. Unser Vertragspartner für Datenbank, Anmeldung und Dateiablage ist die Supabase Pte. Ltd. mit Sitz in Singapur, auch wenn die Daten selbst in Frankfurt am Main liegen (Abschnitt 4.2). Für Singapur besteht kein Angemessenheitsbeschluss und es liegt keine Zertifizierung nach dem Data Privacy Framework vor; die Übermittlung stützt sich vollständig auf die Standardvertragsklauseln 2021/914, Modul 2 beziehungsweise Modul 3.
• Empfänger, die eigene Verantwortliche sind. Mit der Google LLC besteht für Schriftarten und Google Wallet kein Vertrag und keine von uns abgeschlossene Vereinbarung über Standardvertragsklauseln; Google entscheidet insoweit selbst über die Verarbeitung und ist nach dem Data Privacy Framework zertifiziert (Abschnitte 5.3 und 9.4) — anders als beim Mitteilungsdienst Firebase Cloud Messaging, für den Google als unser Auftragsverarbeiter handelt (Abschnitt 4.6). Stripe ist für die Zahlungs-, Betrugs- und Identitätsdaten ebenfalls eigener Verantwortlicher; für die Fälle, in denen Stripe ausnahmsweise in unserem Auftrag verarbeitet, gilt die Datenschutzvereinbarung von Stripe mit den Standardvertragsklauseln (Module 1 und 2), die Bestandteil unseres Vertrages mit Stripe ist (Abschnitt 6.6). Für „Tap to Pay auf dem iPhone" verarbeitet Apple Daten der Kartenzahlung als eigener Verantwortlicher nach den Bedingungen, die der Veranstalter mit Apple vereinbart (Abschnitt 8.9); mit uns besteht dafür kein Vertrag, und die Apple Inc. (USA) ist nach dem Data Privacy Framework zertifiziert.

Eine Kopie der jeweiligen Garantien können Sie unter hallo@startblock.run anfordern.

3.4 Speicherdauer

Wir speichern personenbezogene Daten nur so lange, wie es für den jeweiligen Zweck erforderlich ist oder gesetzliche Aufbewahrungsfristen es verlangen. Die einzelnen Fristen stehen bei den jeweiligen Verarbeitungen und noch einmal gesammelt in Abschnitt 11. Wir sagen dort ausdrücklich, welche Fristen automatisiert durchgesetzt werden und welche wir von Hand umsetzen.

3.5 Erforderlichkeit der Bereitstellung

Soweit wir Daten zur Erfüllung eines Vertrages benötigen, ist ihre Bereitstellung erforderlich: Ohne E-Mail-Adresse können wir kein Konto anlegen, ohne die im Bestellvorgang abgefragten Angaben können wir den Tarif PRO nicht abrechnen. Sie sind zur Bereitstellung nicht verpflichtet; ohne sie können wir die jeweilige Leistung aber nicht erbringen. Freiwillige Angaben sind an der jeweiligen Stelle als solche gekennzeichnet.

3.6 Keine automatisierte Entscheidungsfindung

Eine automatisierte Entscheidungsfindung im Einzelfall einschließlich Profiling nach Art. 22 DSGVO findet nicht statt. Der Support-Chat auf den Veranstaltungs-Websites (Abschnitt 9.6) beantwortet Fragen mit Hilfe eines Sprachmodells, trifft aber keine Entscheidung über Personen und hat keine rechtliche Wirkung.

---

4. Hosting und Infrastruktur

Diese Dienste tragen die gesamte Plattform; sie sind bei praktisch jeder Nutzung beteiligt. Mit den Anbietern dieses Abschnitts schließen wir Auftragsverarbeitungsverträge nach Art. 28 DSGVO; sie verarbeiten Daten ausschließlich nach unserer Weisung beziehungsweise, soweit wir selbst im Auftrag eines Veranstalters handeln, nach dessen Weisung.

4.1 Vercel — Hosting, Auslieferung, Server-Protokolle

Vercel Inc., 440 N Barranca Avenue #4133, Covina, CA 91723, USA.

Beide Web-Anwendungen (Plattform-Startseite mit den Veranstaltungs-Websites sowie das Redaktionssystem) laufen bei Vercel. Die serverseitigen Funktionen werden in der Region fra1 (Frankfurt am Main) ausgeführt; statische Inhalte liefert ein weltweites Auslieferungsnetz aus. Auch die DNS-Verwaltung der Domain startblock.run und die zeitgesteuerten Hintergrundläufe laufen dort.

• Daten: IP-Adresse, Datum und Uhrzeit des Zugriffs, aufgerufene Adresse, HTTP-Statuscode, übertragene Datenmenge, Browser- und Betriebssystemkennung (sogenannte Server-Protokolle). Wir selbst schreiben in unseren Anwendungsprotokollen keine IP-Adressen mit; die Protokolle des Hosters entstehen davon unabhängig.
• Zweck und Rechtsgrundlage: Auslieferung der Seiten (Art. 6 Abs. 1 lit. b DSGVO) sowie Betriebssicherheit, Störungssuche und Abwehr von Angriffen (Art. 6 Abs. 1 lit. f DSGVO).
• Speicherdauer: Die Laufzeit-Protokolle hält Vercel plangebunden kurz vor — nach Angaben des Anbieters eine Stunde im kostenlosen Plan, einen Tag im Pro-Plan.
• Drittland: USA, Garantie: EU-US Data Privacy Framework und Standardvertragsklauseln 2021/914 (Modul 2 beziehungsweise Modul 3, siehe 3.3).
• Doppelrolle: Für Betriebs-, Sicherheits- und Abrechnungsdaten, die beim Betrieb der Plattform entstehen (sogenannte dienstgenerierte Daten), verarbeitet Vercel in eigener Verantwortung; insoweit gelten die Datenschutzhinweise von Vercel und — sobald die Datenschutzvereinbarung von Vercel gilt (siehe oben) — deren Standardvertragsklauseln in Modul 1.

Über Vercel läuft außerdem die Reichweitenmessung (Abschnitte 5.2, 6.4 und 9.8) sowie die technische Einrichtung eigener Domains für Veranstalter (Abschnitt 6.8).

4.2 Supabase — Datenbank, Anmeldung, Dateiablage

Supabase Pte. Ltd., 65 Chulia Street #38-02/03, OCBC Centre, Singapur 049513.

Supabase betreibt unsere Datenbank, die Anmeldung (Login) und die Dateiablage für Bilder und Logos.

• Speicherort der Daten: Amazon Web Services, Region eu-central-1, Frankfurt am Main. Die Daten liegen also in Deutschland; Protokolle, Sicherungen und die von Supabase eingesetzten Unterauftragsverarbeiter können davon abweichen.
• Daten: sämtliche in dieser Erklärung genannten Inhaltsdaten, dazu die Anmeldedaten der Konten (E-Mail-Adresse, bei Veranstalter-Konten zusätzlich ein Passwort-Hash, Zeitpunkt der letzten Anmeldung, Zustand des Einmalcodes) sowie die Zugriffsprotokolle der Datenbank- und Anmeldedienste einschließlich IP-Adressen.
• Anmeldung: Teilnehmer-Konten melden sich ausschließlich mit einem achtstelligen Zahlencode an, den wir per E-Mail versenden. Veranstalter-Konten melden sich mit E-Mail-Adresse und Passwort an.
• Zweck und Rechtsgrundlage: Betrieb der Plattform, Art. 6 Abs. 1 lit. b und f DSGVO.
• Drittland: Der Vertragspartner sitzt in Singapur; dafür gibt es keinen Angemessenheitsbeschluss. Garantie: Standardvertragsklauseln 2021/914 (Modul 2 beziehungsweise Modul 3, siehe 3.3). Eine Zertifizierung nach dem Data Privacy Framework besteht nicht.
• Speicherdauer der Protokolle: plangebunden, nach Angaben des Anbieters ein Tag bis sieben Tage.

Supabase setzt seinerseits Unterauftragsverarbeiter ein; die jeweils gültige Liste veröffentlicht der Anbieter unter supabase.com/legal/customer-resources/subprocessor-list.

4.3 Resend — Versand von E-Mails

Plus Five Five, Inc. (handelnd als Resend), 2261 Market Street #5039, San Francisco, CA 94114, USA.

Alle E-Mails der Plattform laufen über Resend: die Anmeldecodes und Bestätigungen des Teilnehmer-Kontos, die Mails rund um die Konto-Anlage und die Sammelrechnung sowie — im Auftrag der Veranstalter — deren Anmelde-, Erinnerungs- und Ergebnismails.

• Daten: Empfängeradresse, Absender, Betreff und vollständiger Inhalt der Nachricht, Zustellprotokolle.
• Standort: Der Versand erfolgt aus der Region eu-west-1 (Irland). Gespeichert werden Kontodaten, Nachrichteninhalte und Protokolle nach Angaben des Anbieters jedoch in den USA — die Regionswahl steuert nur den Versandweg.
• Speicherdauer beim Anbieter: 30 Tage für Nachrichteninhalte und Protokolle.
• Zweck und Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Versand vertraglich geschuldeter Nachrichten), Art. 6 Abs. 1 lit. f DSGVO (Zustellprotokolle zur Fehlersuche).
• Drittland: USA, Garantie: EU-US Data Privacy Framework und Standardvertragsklauseln 2021/914 (Modul 2 beziehungsweise Modul 3, siehe 3.3).

In unserer eigenen Datenbank protokollieren wir jeden Versand nur mit maskierter Adresse (etwa m***@example.com), Art der Nachricht und Status. Der Klartext der Nachricht liegt ausschließlich beim Versanddienstleister und dort 30 Tage.

4.4 Namecheap — unsere E-Mail-Postfächer

Namecheap, Inc., 4600 East Washington Street, Suite 300, Phoenix, AZ 85034, USA.

Unsere Postfächer — darunter hallo@startblock.run — betreiben wir bei Namecheap Private Email. Schreiben Sie uns eine E-Mail, liegt diese Nachricht mit allen Angaben, die Sie hineinschreiben, auf den Servern dieses Anbieters.

• Zweck und Rechtsgrundlage: Bearbeitung Ihrer Anfrage, Art. 6 Abs. 1 lit. b DSGVO bei vertraglichem Bezug, sonst Art. 6 Abs. 1 lit. f DSGVO (Beantwortung von Anfragen).
• Speicherdauer: bis zur abschließenden Bearbeitung Ihrer Anfrage; Nachrichten mit handels- oder steuerrechtlicher Bedeutung bewahren wir gesetzlich vorgeschrieben auf.
• Drittland: Die Postfächer werden in den USA oder in den Niederlanden betrieben. Garantie derzeit: Standardvertragsklauseln nach den Universal Terms des Anbieters.

4.5 Contabo — Routing-Server für die Streckenplanung

Contabo GmbH, Aschauer Straße 32a, 81549 München, Deutschland.

Für die Wegberechnung im Streckenplaner des Redaktionssystems (Abschnitt 6.9) betreiben wir einen eigenen Server bei Contabo, erreichbar unter routing.startblock.run. Diesen Server ruft ausschließlich unser eigener Server auf — nie Ihr Browser und nie die App.

• Daten: geografische Koordinaten der gesetzten Wegpunkte sowie die IP-Adresse unseres eigenen Servers. Keine Teilnehmer- oder Kontodaten, keine IP-Adresse der bearbeitenden Person.
• Zweck und Rechtsgrundlage: Berechnung von Wegen entlang der gewählten Punkte, Art. 6 Abs. 1 lit. b DSGVO.
• Standort: Deutschland.

4.6 Google Firebase Cloud Messaging — Zustellung von Push-Mitteilungen an die App

Google LLC, 1600 Amphitheatre Parkway, Mountain View, CA 94043, USA (Ansprechpartner in der Union: Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland).

Push-Mitteilungen der App „startblock" (Abschnitt 8.4) stellen wir über Firebase Cloud Messaging zu. Unser Server übergibt jede Mitteilung an Google; Google leitet sie an Ihr Gerät weiter — auf Android unmittelbar, auf iOS über den Apple Push Notification Service der Apple Distribution International Ltd. (Irland). Google handelt dabei als unser Auftragsverarbeiter nach den Datenverarbeitungs- und Sicherheitsbedingungen von Firebase; für die Mitteilungen zu einer Veranstaltung handeln wir unsererseits im Auftrag des jeweiligen Veranstalters.

• Daten: die Geräte-Kennung des Mitteilungsdienstes (Token) und die Firebase-Installationskennung, Titel und Text der Mitteilung sowie technische Steuerdaten (Art der Mitteilung, Zielseite in der App, Kennung der Veranstaltung, Startnummer). Titel und Text können personenbezogen sein — etwa Ihre Platzierung und Zeit oder, im Orga-Chat, der Name der schreibenden Person und deren Nachricht, gekürzt auf 178 Zeichen. Nicht übermittelt werden Ihr Name als Empfänger:in, Ihre E-Mail-Adresse oder Zugangsschlüssel.
• Standort: Google betreibt den Dienst weltweit; eine Regionswahl gibt es nicht. Eine Mitteilung hält Google nach eigenen Angaben nur vor, bis sie zugestellt ist, längstens vier Wochen bei nicht erreichbarem Gerät.
• Zweck und Rechtsgrundlage: Zustellung der in Abschnitt 8.4 beschriebenen Mitteilungen — Art. 6 Abs. 1 lit. b DSGVO für Mitteilungen zu Ihrem Ticket, Ergebnis, Ihrer Einteilung und dem Orga-Chat, Art. 6 Abs. 1 lit. f DSGVO für Mitteilungen des Veranstalters an alle Teilnehmenden. Die Systemberechtigung erteilen Sie auf Ihrem Gerät und können sie jederzeit in der App oder in den Systemeinstellungen zurücknehmen.
• Drittland: USA, Garantie: EU-US Data Privacy Framework und Standardvertragsklauseln 2021/914 (Modul 2 beziehungsweise Modul 3, siehe 3.3), vereinbart über die Datenverarbeitungsbedingungen von Firebase.

In unserer eigenen Datenbank protokollieren wir jeden Versand nur mit dem angesprochenen Kanal (etwa „alle Teilnehmenden der Veranstaltung" oder die Kennung einer Anmeldung), der Art der Mitteilung und den Zählern erfolgreich, fehlgeschlagen, deaktiviert — ohne Geräte-Kennung und ohne Mitteilungstext. Titel und Text liegen im Ausgangsfach unserer Datenbank und werden 30 Tage nach dem Versand automatisch gelöscht (Abschnitt 11).

---

5. Plattform-Startseite startblock.run

5.1 Aufruf der Seite

Beim Aufruf entstehen die in Abschnitt 4.1 beschriebenen Server-Protokolle. Eigene Cookies setzt die Startseite nicht.

5.2 Reichweitenmessung mit Vercel Web Analytics

Auf der Startseite ist die Reichweitenmessung von Vercel eingebunden. Sie arbeitet ohne Cookies — ein Einwilligungsbanner ist dafür nicht erforderlich, weil weder eine Kennung in Ihrem Endgerät gespeichert noch aus ihm ausgelesen wird. Der einzige Speicherzugriff des Messskripts gilt dem Eintrag va-disable, mit dem Sie der Messung widersprechen; er ist für den von Ihnen gewünschten Dienst unbedingt erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG).

Gespeichert werden je Seitenaufruf:

Zur Unterscheidung wiederkehrender Aufrufe bildet Vercel aus der eingehenden Anfrage — unter Einbeziehung Ihrer IP-Adresse — einen Hashwert. Die IP-Adresse selbst wird dabei nicht gespeichert, geht aber in die Berechnung ein. Der Hashwert wird nach 24 Stunden verworfen; eine geräteübergreifende oder tagesübergreifende Wiedererkennung findet nicht statt. Vor der Übertragung entfernen wir Adressparameter und Fragmente aus der gemessenen Adresse.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist die statistische Auswertung, welche Inhalte genutzt werden, um das Angebot zu verbessern; wir verzichten dafür bewusst auf Cookies und auf eine dauerhafte Wiedererkennung.

Ihr Widerspruchsrecht nach Art. 21 Abs. 1 DSGVO. Sie können der Reichweitenmessung jederzeit uns gegenüber widersprechen — auch der Messung auf den Veranstaltungs-Websites, für die wir ebenfalls selbst verantwortlich sind (Abschnitt 9.8). Am Ende dieser Datenschutzseite und am Ende der Datenschutzseite jeder Veranstaltungs-Website steht dafür ein Schalter bereit, der den Widerspruch in Ihrem Browser hinterlegt. Im Redaktionssystem gibt es diesen Schalter derzeit nicht. Dort wirkt Ihr Widerspruch, indem Sie die Messung in Ihrem Browser unterbinden: Legen Sie im lokalen Speicher dieser Website den Eintrag va-disable mit dem Wert 1 an, oder blockieren Sie das Messskript mit einer Browsereinstellung oder Erweiterung — beides schaltet die Messung sofort ab. Eine nachträgliche Herausrechnung einzelner Zugriffe aus der Auswertung ist uns technisch nicht möglich; schreiben Sie uns dennoch gern an hallo@startblock.run, dann helfen wir bei der Einrichtung.

5.3 Schriftarten von Google

Die Startseite lädt ihre Schriftarten (Anton, Baloo 2, Bricolage Grotesque, Schibsted Grotesk, Spline Sans Mono) zur Laufzeit von den Servern fonts.googleapis.com und fonts.gstatic.com. Anbieter ist die Google LLC, 1600 Amphitheatre Parkway, Mountain View, CA 94043, USA; Ansprechpartner in der EU ist die Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland.

Dabei wird Ihre IP-Adresse zusammen mit Ihrer Browserkennung an Google übertragen. Google gibt an, für die Schriftarten-Schnittstelle weder Cookies zu setzen noch zu protokollieren und die Daten nur zur Auslieferung und zu Sicherheitszwecken zu verarbeiten. Google ist eigener Verantwortlicher für diese Verarbeitung; ein Auftragsverarbeitungsvertrag besteht dafür nicht und ist auch nicht vorgesehen.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (einheitliche, schnell ausgelieferte Darstellung). Drittland: USA, Garantie: EU-US Data Privacy Framework (die Google LLC ist zertifiziert). Standardvertragsklauseln haben wir mit Google nicht vereinbart; ein Vertrag besteht für die Schriftarten-Schnittstelle nicht (siehe 3.3).

Wir sagen dazu offen: Das Landgericht München I hat mit Urteil vom 20.01.2022 (3 O 17493/20) entschieden, dass die dynamische Einbindung von Google-Schriftarten ohne Einwilligung das allgemeine Persönlichkeitsrecht verletzt; der Bundesgerichtshof hat dem Gerichtshof der Europäischen Union am 28.08.2025 (VI ZR 258/24) verwandte Fragen vorgelegt, eine Entscheidung liegt noch nicht vor. Wir halten unsere Interessenabwägung für tragfähig, planen aber, die Schriftarten künftig selbst auszuliefern — dann entfällt diese Übermittlung vollständig.

5.4 Tarifrechner

Der Rechner auf der Tarifseite ermittelt die voraussichtlichen Gebühren ausschließlich in Ihrem Browser. Ihre Eingaben (Teilnehmerzahl, Ticketpreis, Tarif) werden weder an unsere Server noch an Dritte übertragen und nirgends gespeichert.

5.5 Anfrage zum Tarif VERBAND

Der Tarif VERBAND ist kein Selbstbedienungsangebot; Sie fragen ihn über ein Formular an.

• Daten: Organisation, Art der Organisation (Verband, Zeitmessdienstleister, Agentur, Sonstiges), Zahl der Veranstaltungen und Teilnehmenden pro Jahr, Ansprechpartner:in, E-Mail-Adresse, Telefonnummer, Nachricht sowie die von Ihnen angekreuzten Schwerpunkte.
• Zusätzlich speichern wir zur Abwehr von Formular-Spam einen mit einem geheimen Schlüssel gebildeten Hashwert Ihrer IP-Adresse (HMAC-SHA256). Die IP-Adresse selbst wird nicht gespeichert. Aus dem Hashwert lässt sich ohne Kenntnis des Schlüssels nicht auf die IP-Adresse zurückrechnen; er dient allein dazu, drei Anfragen je Stunde zu begrenzen. Ein unsichtbares Zusatzfeld („Honigtopf") erkennt automatisierte Einsendungen; ein Captcha setzen wir bewusst nicht ein.
• Zweck und Rechtsgrundlage: Bearbeitung Ihrer Anfrage und Angebotserstellung (Art. 6 Abs. 1 lit. b DSGVO); Spam-Abwehr (Art. 6 Abs. 1 lit. f DSGVO).
• Ablauf: Die Anfrage wird gespeichert, an unser Postfach gemeldet und Ihnen per E-Mail bestätigt. Die gespeicherte Anfrage ist über die Schnittstellen der Plattform für niemanden lesbar; sie wird ausschließlich intern ausgewertet.
• Speicherdauer: Der Hashwert wird nach sieben Tagen automatisch gelöscht. Die Anfrage selbst löschen wir 6 Monate nach abschließender Bearbeitung, sofern kein Vertrag zustande kommt.

5.6 Verweise auf die Demo und auf die App

Die Startseite verlinkt eine Beispiel-Veranstaltungs-Website sowie die App-Stores von Apple und Google. Mit dem Klick verlassen Sie unser Angebot; ab dann gilt die Datenschutzerklärung des jeweiligen Anbieters. Für die App selbst gilt Abschnitt 8.

---

6. Veranstalter-Konto und Redaktionssystem admin.startblock.run

Dieser Abschnitt richtet sich an Veranstalter und ihre Teams. Verantwortlich sind wir.

6.1 Konto-Anlage unter /start

Der Weg zum Konto führt über eine Bestätigung Ihrer E-Mail-Adresse: Sie geben Ihre Adresse ein, wir senden Ihnen einen achtstelligen Zahlencode zu, den Sie zurückgeben. Anschließend legen Sie ein Passwort (mindestens acht Zeichen) fest und nennen uns den Namen Ihrer Organisation sowie die gewünschte Adresse Ihrer Veranstaltungs-Website (Subdomain). Wir prüfen dabei nur, ob die gewünschte Adresse noch frei ist.

Rechtsform, Anschrift, Ansprechpartner:in, Kontakt-E-Mail und Telefonnummer erfassen wir erst im anschließenden Onboarding — sie werden für Rechnungen, für Ihre Pflichtangaben auf der Veranstaltungs-Website und für unsere Kommunikation mit Ihnen benötigt. Den Zeitpunkt Ihrer Zustimmung zu den AGB speichern wir mit.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Zum Schutz vor automatisierter Kontoanlage speichern wir auch hier einen Hashwert der IP-Adresse (siehe 5.5), der nach sieben Tagen automatisch gelöscht wird.

6.2 Cookies im Redaktionssystem

Die beiden erstgenannten Cookies sind für den von Ihnen ausdrücklich gewünschten Dienst unbedingt erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG); eine Einwilligung ist dafür nicht nötig. Rechtsgrundlage der damit verbundenen Verarbeitung ist Art. 6 Abs. 1 lit. b DSGVO.

6.3 Team und Einladungen

Damit mehrere Personen an einer Veranstaltung arbeiten können, laden Sie Ihr Team per E-Mail ein.

• Daten: E-Mail-Adresse der eingeladenen Person, vorgesehene Rolle („admin" oder „orga"), Status der Einladung, einladende Person.
• Ablauf: Die Einladung wird über eine gesonderte, serverseitig geschützte Serverfunktion versandt, damit dafür nötige Berechtigungen niemals in den Browser gelangen.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO im Verhältnis zur eingeladenen Person, sobald sie das Konto nutzt; bis dahin Art. 6 Abs. 1 lit. f DSGVO — unser berechtigtes Interesse und das des einladenden Veranstalters an der Zusammenarbeit im Team. Die E-Mail-Adresse erhalten wir von der einladenden Person aus dem Team des Veranstalters; mit der Einladungsmail informieren wir Sie über diese Verarbeitung und verweisen auf diese Erklärung (Art. 14 DSGVO).
• Zu jedem Konto führen wir eine Stammzeile mit E-Mail-Adresse, Name und dem Zeitpunkt der letzten Anmeldung; sie entsteht automatisch aus den Anmeldedaten und lässt sich aus dem Browser nicht verändern. Zweck ist die Zuordnung von Rechten und die Erkennung ungenutzter Zugänge (Art. 6 Abs. 1 lit. b und f DSGVO).

6.4 Reichweitenmessung im Redaktionssystem

Auch im Redaktionssystem läuft die in Abschnitt 5.2 beschriebene Messung. Ein Unterschied ist zu benennen: Hier werden nur Adressparameter und Fragmente entfernt, nicht aber Adressbestandteile wie Veranstaltungskennungen im Pfad. Ein Widerspruchsschalter fehlt auch hier; bis zu seiner Nachrüstung unterbinden Sie die Messung über den Eintrag va-disable im lokalen Speicher oder über eine Browsereinstellung (siehe den hervorgehobenen Absatz in 5.2).

6.5 Schriftarten von Google

Es gilt Abschnitt 5.3 entsprechend. Zusätzlich lädt das Redaktionssystem die Schriftarten auch in den Zahlungsrahmen von Stripe auf der Seite /start hinein, damit die Eingabefelder zur Umgebung passen. Damit erhält Google auch dort Ihre IP-Adresse.

6.6 Tarif PRO: Abrechnung über Stripe Billing

Für den kostenpflichtigen Tarif PRO und für die monatliche Sammelrechnung nutzen wir Stripe.

Stripe Payments Europe, Limited, The One Building, 1 Grand Canal Street Lower, Dublin 2, Irland.

• Was wir speichern: Ihre Kunden-, Abonnement- und Rechnungskennungen bei Stripe sowie die Eckdaten der erzeugten Rechnungen (Zeitraum, Beträge). Zahlungsmitteldaten sehen und speichern wir nicht.
• Was Stripe selbst erhebt: nach den Angaben des Anbieters Name, E-Mail-Adresse, Kontaktnummer, Rechnungs- und Lieferanschrift, Zahlungsmitteldaten, IP-Adresse, Geräteinformationen und Indikatoren der Mausaktivität zur Betrugserkennung. Stripe ist für diese Verarbeitung eigener Verantwortlicher; es gelten die Datenschutzhinweise von Stripe (stripe.com/de/privacy).
• Kundenportal: Zahlungsmittel, Rechnungsanschrift und Kündigung verwalten Sie unmittelbar im Kundenportal von Stripe. Die dort eingegebene Rechnungsanschrift liegt bei Stripe.
• Sammelrechnung: Die monatliche Abrechnung unserer Plattformgebühren erzeugen wir als Rechnung bei Stripe und versenden sie per E-Mail (Abschnitt 4.3). Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, für die Aufbewahrung Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit § 147 AO.
• Cookies von Stripe: Auf der Seite /start — und nur dort — setzt Stripe die Cookies __stripe_mid (Laufzeit ein Jahr, Gerätekennung für die Betrugserkennung) und __stripe_sid (Laufzeit 30 Minuten, Sitzungskennung während des Bezahlvorgangs). Wir stützen diese Speicherung auf § 25 Abs. 2 Nr. 2 TDDDG: Ein Bezahlvorgang ohne Risikoprüfung ist nicht durchführbar, die Cookies sind für den von Ihnen ausdrücklich gewünschten Dienst daher unbedingt erforderlich. Sie werden nicht auf anderen Seiten geladen. Rechtsgrundlage der Verarbeitung: Art. 6 Abs. 1 lit. b und f DSGVO (Betrugsprävention).
• Drittland: Irland (EU); Stripe bezieht US-Konzerngesellschaften ein und ist nach dem EU-US Data Privacy Framework zertifiziert, ergänzend gelten Standardvertragsklauseln.

6.7 Stripe Connect: Verbinden Ihres eigenen Stripe-Kontos

Damit Startgelder unmittelbar auf Ihrem eigenen Konto eingehen, verbinden Sie ein Stripe-Konto. Die Einrichtung läuft über eine von Stripe gehostete Strecke.

• Ihre Angaben zur Identität, zum Unternehmen und zur Bankverbindung geben Sie direkt bei Stripe ein. Wir sehen sie nicht und speichern sie nicht.
• Wir speichern: die Kennung Ihres Stripe-Kontos und dessen Freischaltstatus.
• Mit dem Verbinden schließen Sie einen eigenen Vertrag mit Stripe (Connected Account Agreement) und werden gegenüber Ihren Teilnehmenden zum Händler. startblock ist dabei Plattformbetreiber und behält die vereinbarte Plattformgebühr ein.
• Kasse für die Nachmeldung vor Ort: Nutzen Sie die Kartenzahlung am Gerät („Tap to Pay auf dem iPhone" oder „Tap to Pay auf Android"), legen wir in Ihrem Stripe-Konto je Veranstaltung einen Standort für Präsenzzahlungen mit dem Namen und der Anschrift Ihrer Organisation an und speichern dessen Kennung zu Ihrer Veranstaltung. Der App Ihres Teams stellen wir kurzlebige Verbindungsschlüssel aus, die nur für Ihr Stripe-Konto und diesen Standort gelten. Die Zahlungen selbst verarbeiten wir in Ihrem Auftrag (Abschnitte 8.9 und 9.12).
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

6.8 Eigene Domain und eigene Absenderdomain

• Eigene Domain für die Veranstaltungs-Website (Tarif PRO): Wir melden die von Ihnen gewünschte Domain über die Domain-Schnittstelle von Vercel an und übermitteln dazu den Domainnamen sowie die technischen Prüfwerte. Personenbezug entsteht dabei allenfalls über den Domaininhaber.
• Eigene Absenderdomain für E-Mails: Wir legen die Domain über die Domain-Schnittstelle von Resend an und übermitteln Domainname und Prüfwerte. Ist die Domain bestätigt, versenden wir Ihre Teilnehmermails unter Ihrer eigenen Absenderadresse.
• Rechtsgrundlage jeweils: Art. 6 Abs. 1 lit. b DSGVO.

6.9 Streckenplaner

Im Streckenplaner sehen Sie eine Karte und setzen Wegpunkte.

• Kartenkacheln lädt Ihr Browser unmittelbar von tiles.openfreemap.org. Betreiber ist die Hyperknot Software Kft., Ungarn. Dabei werden Ihre IP-Adresse, Ihre Browserkennung und der betrachtete Kartenausschnitt an diesen Anbieter übertragen. Der Betreiber gibt an, im Regelbetrieb keine IP-Adressen zu protokollieren und keine Cookies zu setzen; bei einem Sicherheitsvorfall behält er sich eine IP-Protokollierung von höchstens 30 Tagen vor. Nach seinen Angaben wertet er darüber hinaus anonymisierte Zugriffsdaten (Browsertyp, verweisende Seite, Zeitpunkt, Betriebssystem) ohne Befristung aus. Er liefert die Kacheln über eigene Server und möglicherweise über ein vorgeschaltetes Auslieferungsnetz (Cloudflare) aus; dabei kann die Verbindung über Server außerhalb der EU laufen, den genauen Serverstandort veröffentlicht er nicht. Er entscheidet eigenständig über diese Verarbeitung und ist damit eigener Verantwortlicher, nicht unser Auftragsverarbeiter. Rechtsgrundlage: Art. 6 Abs. 1 lit. b und f DSGVO — ohne Kartendarstellung ist ein Streckenplaner nicht nutzbar.
• Wegberechnung: Die gesetzten Koordinaten schickt unser Server an unseren eigenen Routing-Server bei Contabo (Abschnitt 4.5). Ihr Browser spricht mit diesem Server nicht; Ihre IP-Adresse erreicht ihn nicht.

6.10 Medien, Newsletter-Ankreuzfeld, Service-Informationen und Support

• Medien-Upload: Bilder und Logos, die Sie hochladen, liegen in der Dateiablage bei Supabase (Abschnitt 4.2) in einem öffentlich lesbaren Bereich — wer die vollständige Adresse einer Datei kennt, kann sie abrufen. Bitte laden Sie dort keine Dateien hoch, die nicht öffentlich sein sollen. Sind auf Bildern Personen erkennbar, ist für deren Veröffentlichung der Veranstalter verantwortlich.
• Newsletter-Ankreuzfeld: Bei der Konto-Anlage können Sie freiwillig „Produktneuigkeiten per E-Mail" ankreuzen (Voreinstellung: aus). Wir speichern diese Angabe. Ein Versand findet derzeit nicht statt. Rechtsgrundlage der Speicherung: Art. 6 Abs. 1 lit. a DSGVO; Sie können die Angabe jederzeit widerrufen.
• Service-Information über eine neue Funktion: Keine Produktneuigkeit in diesem Sinne ist die Information über eine neue Funktion des von Ihnen gebuchten Dienstes — bisher allein die einmalige Information über die Kasse für die Nachmeldung vor Ort (Abschnitt 6.11). Sie geht per E-Mail nur an Konten mit der Rolle „admin", hängt nicht vom Newsletter-Ankreuzfeld ab und weist im Fuß der E-Mail auf Ihr Widerspruchsrecht hin. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO — unser berechtigtes Interesse, die Nutzerinnen und Nutzer eines gebuchten Dienstes über eine neue Funktion dieses Dienstes zu informieren. Sie können dieser Verarbeitung jederzeit widersprechen, formlos an hallo@startblock.run.
• Support: Schreiben Sie uns an hallo@startblock.run, gilt Abschnitt 4.4.

6.11 Einführung der Kasse für die Nachmeldung: einmalige Service-Information

Sobald die Kasse für die Nachmeldung vor Ort („Tap to Pay auf dem iPhone") in der App allgemein verfügbar ist, informieren wir Veranstalter, die ein Stripe-Konto verbunden haben, einmalig über diese neue Funktion des gebuchten Dienstes und ihre Einrichtung; Apple verlangt diese Information von Apps, die „Tap to Pay auf dem iPhone" anbieten.

• E-Mail: an die Adresse jedes Kontos mit der Rolle „admin" — höchstens einmal je Konto. Sie ist eine Service-Information und keine Produktneuigkeit im Sinne des Newsletter-Ankreuzfelds (Abschnitt 6.10); ihr Fuß weist auf Ihr Widerspruchsrecht hin. Den Versand vermerken wir im Versandprotokoll.
• Push-Mitteilung: bei veröffentlichten Veranstaltungen höchstens eine Mitteilung je Veranstaltung an die iPhones und iPads des Orga-Teams (Rollen „admin" und „orga"), auf denen Mitteilungen im Team-Bereich erlaubt sind (Abschnitt 8.4); Android-Geräte erhalten sie nicht. Die Mitteilung enthält keine personenbezogenen Angaben.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO — unser berechtigtes Interesse, die Nutzerinnen und Nutzer eines gebuchten Dienstes über eine neue Funktion dieses Dienstes zu informieren. Sie können dieser Verarbeitung jederzeit widersprechen, formlos an hallo@startblock.run; Push-Mitteilungen beenden Sie außerdem mit dem Schalter „Benachrichtigungen" unter „Mehr" (Abschnitt 8.4).

---

7. Teilnehmer-Konto „Mein Bereich" (startblock-Konto)

Das Teilnehmer-Konto bündelt Ihre Startplätze, Tickets und Ergebnisse über alle Veranstaltungen hinweg. In unseren Nutzungsbedingungen und auf den Veranstaltungs-Websites heißt dieses Konto auch „startblock-Konto" — gemeint ist dasselbe. Dafür sind wir verantwortlich — auch dann, wenn Sie den Bereich unter der Adresse und im Erscheinungsbild einer Veranstaltungs-Website aufrufen (/konto). Die Nutzungsbedingungen dieses Kontos finden Sie unter startblock.run/rechtliches/nutzungsbedingungen.

7.1 Wie ein Konto entsteht

Ein Konto können Sie nicht gesondert „eröffnen": Es entsteht automatisch, sobald Sie sich zum ersten Mal einen Anmeldecode an Ihre E-Mail-Adresse schicken lassen und diesen eingeben. Es gibt keinen weiteren Bestätigungsschritt. Wir sagen das ausdrücklich, weil der Vorgang wie ein reiner Login aussieht.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Nutzungsvertrag über das Konto).

7.2 Anmeldung, Sitzung und Speicher im Browser

• Die Anmeldung erfolgt ausschließlich mit einem achtstelligen Zahlencode per E-Mail; ein Passwort gibt es nicht.
• Alternativ enthält die Mail einen Anmeldelink. Der Code steht darin im Adressfragment — dem Teil der Adresse hinter dem Rautezeichen —, das ein Browser grundsätzlich nicht an den Server sendet; direkt nach dem Einlösen entfernen wir ihn aus der Adresszeile.
• Ihre Sitzung liegt im lokalen Speicher (localStorage) Ihres Browsers, und zwar getrennt je Veranstaltungs-Website: Eine Anmeldung auf veranstaltung-a.startblock.run gilt nicht auf veranstaltung-b.startblock.run.
• Den Zugriffsschlüssel Ihres Tickets legen wir im Sitzungsspeicher (sessionStorage) unter sb:cap:<Anmeldenummer> ab, damit er nicht in der Adresszeile, im Verlauf oder in Rückkehradressen des Zahlungsdienstleisters landet. Er wird mit dem Schließen des Tabs gelöscht.
• Ihren Widerspruch gegen die Reichweitenmessung legt die Veranstaltungs-Website — zu der auch /konto gehört — unter dem Schlüssel va-disable im lokalen Speicher Ihres Browsers ab (Abschnitte 5.2 und 9.8). Der Eintrag enthält keine Kennung Ihrer Person.
• Diese Speicherzugriffe sind für den von Ihnen gewünschten Dienst unbedingt erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG).

7.3 Ihre Stammdaten im Konto (freiwillig)

Nach einem Kauf können Sie ankreuzen: „Daten in meinem Bereich speichern" (Voreinstellung: aus). Dann speichern wir Vorname, Nachname, Geburtsdatum, Geschlecht, Verein, Nationalität und Telefonnummer sowie den Zeitpunkt Ihrer Zustimmung. Zweck ist allein, dass Sie diese Angaben bei der nächsten Anmeldung nicht erneut eintippen müssen.

Diese Daten sind für Veranstalter nicht sichtbar. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO. Sie können die Angaben jederzeit im Konto ändern oder löschen.

7.4 E-Mail-Adressen

Zu Ihrem Konto führen wir Ihre Anmeldeadresse und — wenn Sie möchten — weitere bestätigte Zweitadressen, jeweils mit Bestätigungsstatus und der Angabe, welche die Hauptadresse ist. Zweck ist, dass wir auch Anmeldungen finden, die Sie unter einer anderen Adresse getätigt haben. Jede Zweitadresse wird über einen an sie versandten Code bestätigt. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

7.5 Verknüpfung mit Ihren Anmeldungen („Claim")

Direkt nach der Anmeldung suchen wir veranstaltungs- und veranstalterübergreifend nach Anmeldungen, deren E-Mail-Adresse zu einer Ihrer bestätigten Adressen passt, und bieten Ihnen an, sie in Ihren Bereich zu holen. Bei Zweitadressen fragen wir vorher ausdrücklich nach.

Das bedeutet: Wir gleichen dabei Daten ab, die wir für verschiedene Veranstalter verarbeiten. Diese Verknüpfung nehmen wir in eigener Verantwortung auf Grundlage Ihres Nutzungsvertrages über das Konto vor (Art. 6 Abs. 1 lit. b DSGVO); die Veranstalter haben sie uns im Auftragsverarbeitungsvertrag ausdrücklich freigegeben (startblock.run/rechtliches/avv). Die Anmeldung selbst bleibt dabei unverändert beim Veranstalter.

Lösen Sie eine Verknüpfung wieder („Gehört mir nicht"), merken wir uns diese Entscheidung ohne feste Frist, damit dieselbe Anmeldung Ihnen nicht erneut zugeordnet wird (Art. 6 Abs. 1 lit. f DSGVO, Missbrauchsschutz der Konto-Bindung). Wir speichern dafür die Kennung der Anmeldung und Ihres Kontos; mit der Löschung Ihres Kontos entfällt auch dieser Vermerk (Abschnitt 11).

7.6 Auskunft und Datenübertragbarkeit: „Meine Daten"

Unter /konto/daten erzeugen Sie mit einem Klick eine Datei startblock-daten.json mit Ihrer Anmeldeadresse, allen hinterlegten E-Mail-Adressen, Ihren im Konto gespeicherten Stammdaten, Ihren Anmeldungen (ohne den technischen Ticket-Schlüssel) und Ihren Ergebnissen. Jeden Export protokollieren wir und bestätigen ihn Ihnen per E-Mail.

Zwei Hinweise, damit Sie sich darauf verlassen können:

1. Der Export ist nicht vollständig im Sinne von Art. 15 DSGVO. Nicht enthalten sind insbesondere Zahlungsvorgänge, Check-ins, das Verlaufsprotokoll Ihrer Anmeldung, das Versandprotokoll Ihrer E-Mails, die Zählzeilen Ihrer Zuordnungsversuche (Abschnitt 7.8) sowie — falls Sie im Team einer Veranstaltung mitarbeiten — Ihre Helferdaten und Ihre Nachrichten im Orga-Chat. Für eine vollständige Auskunft schreiben Sie uns bitte an hallo@startblock.run; wir liefern dann auch diese Teile — soweit wir dafür verantwortlich sind, andernfalls leiten wir Sie an den Veranstalter weiter.
2. In der App gibt es diese Funktion nicht. Nutzen Sie dafür den Browser.

7.7 Löschung des Kontos

Im Konto und in der App können Sie Ihr Konto selbst löschen; zur Sicherheit tippen Sie dafür das Wort „LÖSCHEN" ein. Dabei lösen wir die Verknüpfung Ihrer Anmeldungen zum Konto, vermerken das je Anmeldung im Verlaufsprotokoll und löschen Ihre im Konto gespeicherten Stammdaten, Ihre hinterlegten E-Mail-Adressen und Ihr Anmeldekonto.

Wichtig, wörtlich: Gelöscht werden Ihr Konto und die Daten in Ihrem Bereich. Ihre Anmeldungen bleiben beim jeweiligen Veranstalter — er braucht sie als Beleg. Startplatz, Startnummer und QR-Code bleiben gültig. Möchten Sie auch dort gelöscht werden, wenden Sie sich bitte an den Veranstalter; die Kontaktdaten stehen im Impressum der jeweiligen Veranstaltungs-Website.

Gehört Ihr Konto zum Team eines Veranstalters, können wir es erst löschen, wenn Ihre Mitgliedschaft dort beendet ist — Einzelheiten regeln die Nutzungsbedingungen (startblock.run/rechtliches/nutzungsbedingungen). Ihr Recht auf Löschung nach Art. 17 DSGVO bleibt davon unberührt; schreiben Sie uns in diesem Fall an hallo@startblock.run. Legen Sie später erneut ein Konto mit derselben Adresse an, finden wir Ihre früheren Anmeldungen wieder — die Löschung trennt die Verknüpfung, sie verhindert sie nicht dauerhaft.

7.8 Schutz vor Missbrauch: Zugriffsgrenzen

Die Konto-Funktionen sind mengenmäßig begrenzt, damit niemand fremde E-Mail-Adressen durchprobiert: zehn Zuordnungsversuche je 15 Minuten, zehn Adress-Anfragen je 15 Minuten, zwanzig Abrufe eines Einladungscodes je zehn Minuten.

Gezählt wird über einen mit einem geheimen Schlüssel gebildeten Hashwert Ihrer IP-Adresse (HMAC-SHA256); die IP-Adresse selbst speichern wir nicht. Ohne diesen Schlüssel antworten die betreffenden Funktionen gar nicht. Bei den Zuordnungsversuchen speichern wir zusätzlich die Kennung Ihres Kontos, das Ergebnis und die Zahl der Versuche — diese Zeilen sind also nicht rein pseudonym. Alle Zähler werden nach sieben Tagen automatisch gelöscht (täglicher Löschlauf in der Datenbank). Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Missbrauchsabwehr).

7.9 E-Mails rund um Ihr Konto

Konto-Mails (Anmeldecode, Bestätigung einer geänderten Adresse, Datenexport, Löschbestätigung) versenden wir immer unter dem Absender „startblock" und mit hallo@startblock.run als Antwortadresse — niemals unter dem Namen oder der Domain eines Veranstalters und nie mit dessen Logo. Der Grund: Ein Anmeldecode schaltet auch Startnummern anderer Veranstalter frei; er darf nicht nach einer einzelnen Veranstaltung aussehen.

7.10 Mindestalter

Nach unseren Nutzungsbedingungen richtet sich das Teilnehmer-Konto an Personen ab 16 Jahren; jüngere Personen dürfen es nur mit Zustimmung der Erziehungsberechtigten nutzen. Für die Anmeldung zu einer Veranstaltung gilt Abschnitt 9; sie ist ein Vertrag mit dem Veranstalter und bei Minderjährigen durch die Erziehungsberechtigten vorzunehmen.

---

8. Datenschutzhinweise für die App

Dieser Abschnitt ist die Datenschutzerklärung der App „startblock" für iOS und Android (Paketkennung dev.kahle.startblock, ab iOS 15). Er ist dauerhaft unter startblock.run/rechtliches/datenschutz#app erreichbar. Anbieter der App ist Janik Kahle, Birkenwaldstraße 41, 70191 Stuttgart (siehe Abschnitt 1).

Wie im Web gilt auch hier die Rollentrennung: Anmeldung, Ticket, Ergebnisse, Strecke, Galerie, Check-in, Nachmeldung vor Ort, Dienstplan und Orga-Chat verarbeiten wir im Auftrag des jeweiligen Veranstalters; Ihr Teilnehmer-Konto (Abschnitt 7) und der Betrieb der App selbst liegen in unserer Verantwortung.

8.1 Welche Daten die App verarbeitet

Je nachdem, was Sie tun: Vor- und Nachname, E-Mail-Adresse, Geburtsdatum, Geschlecht, Verein und — als freiwillige Profilangabe — Telefonnummer und Nationalität; Ihre Anmeldungen, Startnummern und Tickets; Ihre Ergebnisse; im Team-Bereich zusätzlich Ihre Rolle, Ihre Schichten und Ihre Nachrichten im Orga-Chat sowie — bei der Kasse für die Nachmeldung vor Ort — die Angaben der nachgemeldeten Personen und die Zahlungsvorgänge, die Sie annehmen (Abschnitt 8.9).

8.2 Verbindungen, die die App aufbaut

• Zu Supabase (Abschnitt 4.2) unmittelbar vom Gerät. Die App spricht direkt mit der Datenbank und der Anmeldung; dabei erhält der Anbieter die IP-Adresse Ihres Geräts. Über diesen Weg laufen Veranstaltungsdaten, Ergebnisse, Ihr Profil, Dienstpläne, der Orga-Chat (als privater Echtzeitkanal) und der Versand des Anmeldecodes.
• Zur Web-Schnittstelle auf startblock.run (Vercel, Abschnitt 4.1). Über sie laufen Anmeldung und Kauf, das Abrufen der Ticketdaten, die Verwaltung Ihrer E-Mail-Adressen und die Kontolöschung. Auch hier fällt Ihre Geräte-IP in den Server-Protokollen an. Das Messskript der Reichweitenmessung läuft in der App nicht.
• Zu OpenFreeMap, sobald Sie den Tab „Strecke" öffnen: Kartenkacheln und Schriftbilder werden von tiles.openfreemap.org geladen; dabei geht Ihre Geräte-IP an die Hyperknot Software Kft., Ungarn (Einzelheiten und Rechtsgrundlage wie in 6.9).
• Zu Google für die Schriftarten: Die App lädt ihre Schriften zur Laufzeit von fonts.gstatic.com; dabei werden IP-Adresse und Gerätekennung an die Google LLC übertragen (Einzelheiten und Rechtsgrundlage wie in 5.3). Welche Schriften geladen werden, hängt vom Erscheinungsbild der jeweiligen Veranstaltung ab.
• Zu Supabase Storage beim Anzeigen von Bildern (Logos, Galerie); die Bilder werden auf dem Gerät zwischengespeichert.
• Zu Google (Firebase Cloud Messaging), sobald Sie Mitteilungen erlauben (Abschnitt 8.4): Die App meldet sich beim Mitteilungsdienst von Google an und erhält dort eine Geräte-Kennung (Token); dabei gehen die IP-Adresse Ihres Geräts, die Firebase-Installationskennung und Angaben zu Gerät und App-Version an die Google LLC (Abschnitt 4.6). Firebase-Installationskennung und Token entstehen erst nach Ihrer Zustimmung im Hinweisfenster der App; vorher fordert die App kein Token an und registriert Ihr Gerät auch nicht bei uns.
• Zu Apple (Apple Push Notification Service) auf iOS-Geräten: Die Geräte-Kennung für Mitteilungen holt das Betriebssystem bei Apple; das geschieht durch iOS selbst nach Apples Bedingungen, ohne dass wir Daten an Apple übermitteln.
• Zu Stripe (Stripe Terminal), nur im Team-Bereich bei der Kasse für die Nachmeldung vor Ort (Abschnitt 8.9): Das Zahlungsmodul meldet das Gerät bei Stripe als Kartenleser des Veranstalters an und übermittelt dabei die IP-Adresse, technische Angaben zum Gerät und den Standort des Geräts, bei jeder Zahlung außerdem die verschlüsselten Kartendaten.
• Zu Apple, nur auf dem iPhone bei „Tap to Pay auf dem iPhone" (Abschnitt 8.9): Das Betriebssystem liest die Karte und verbindet sich dafür mit Apple.

8.3 Bezahlen in der App

Der Kauf läuft über das native Zahlungsfenster von Stripe (Payment Sheet).

• Ihre Zahlungsmitteldaten geben Sie unmittelbar im Stripe-Baustein ein; die App selbst sieht sie nie und besitzt keine Stripe-Geheimnisse.
• Das Stripe-Modul überträgt Geräte- und Nutzungsmerkmale zur Betrugsprävention an Stripe (in der Voreinstellung aktivierte erweiterte Betrugssignale). Das ist das Gegenstück zu den Stripe-Cookies im Browser. Rechtsgrundlage: Art. 6 Abs. 1 lit. b und f DSGVO.
• Beim Kauf übermitteln wir Stripe Ihre E-Mail-Adresse als Belegadresse (receipt_email) — auch dann, wenn Sie im Zahlungsfenster keine Adresse eintippen.
• Nutzen Sie Apple Pay oder Google Pay, verarbeiten die Apple Inc. beziehungsweise die Google LLC den Zahlungsvorgang als eigene Verantwortliche nach ihren eigenen Datenschutzhinweisen.
• Gezahlt wird auf das Stripe-Konto des Veranstalters; insoweit gilt Abschnitt 9.2.

8.4 Kamera, Standort, Mitteilungen

• Kamera: Die Kamera wird ausschließlich im Team-Bereich und nur für die Rollen „admin" und „orga" zum Scannen der Ticket-QR-Codes verwendet; Helfer:innen wird der Scan-Bereich nicht angeboten. Verarbeitet wird nur der dekodierte Inhalt des Codes. Es wird kein Bild gespeichert und kein Bild übertragen. Ohne Kamerafreigabe bleibt die manuelle Eingabe der Startnummer.
• Standort: Die App fragt die Standortberechtigung nur im Team-Bereich ab — ausschließlich für die Kasse der Nachmeldung vor Ort („Tap to Pay auf dem iPhone" beziehungsweise „Tap to Pay auf Android") und nur bei Personen mit der Rolle „admin" oder „orga"; Einzelheiten stehen in Abschnitt 8.9. Überall sonst verarbeitet die App keine Standortdaten: Die Karte im Tab „Strecke" zeigt keinen eigenen Standort an, und den Standort im Hintergrund fordert die App nie an. Auf Android fragt die App — wie das System es verlangt — den genauen und den ungefähren Standort in einer gemeinsamen Anfrage ab; die Kasse arbeitet nur, wenn Sie den genauen Standort freigeben.
• Mitteilungen (Push): Die App kann Ihnen Push-Mitteilungen zustellen. Wir fragen die Systemberechtigung nie beim Start ab, sondern erst bei einem konkreten Anlass — wenn Sie eine Veranstaltung öffnen, ein Ticket laden oder kaufen, sich im Team-Bereich anmelden oder dort die Kasse für die Nachmeldung einrichten — und erklären vorher in einem Hinweisfenster, worum es geht. Erst nach Ihrer Zustimmung registriert die App Ihr Gerät bei uns. Auch die Firebase-Installationskennung und die Geräte-Kennung des Mitteilungsdienstes (Token) entstehen erst nach Ihrer Zustimmung im Hinweisfenster der App; vorher wird kein Token angefordert. Anlässe sind: veröffentlichte Ergebnisse (eine Mitteilung an alle, die die Veranstaltung in der App geöffnet haben, und — bei geladenem Ticket — Ihre Platzierung und Zeit), die Bestätigung Ihres Tickets, Erinnerungen sieben Tage und einen Tag vor dem Start, im Team-Bereich Ihre Einteilung, neue Nachrichten im Orga-Chat und — einmalig, nur auf iPhone und iPad — die Information über die Kasse für die Nachmeldung (Abschnitt 6.11) sowie Mitteilungen, die der Veranstalter aus seinem Redaktionssystem an alle Teilnehmenden mit App sendet (sie erscheinen zusätzlich unter „News & Hinweise"). Welche Anlässe Sie erreichen, ergibt sich daraus, was Sie in der App geöffnet oder geladen haben; für Ihr Ticket weist die App den Zugriffsschlüssel des Tickets nach, im Team-Bereich Ihr Konto. Was wir dazu speichern: eine zufällige Installationskennung, die die App erzeugt, die Geräte-Kennung des Mitteilungsdienstes (Token), Plattform, Sprache, die Version der App, den Zeitpunkt der letzten Nutzung, die abonnierten Anlässe (Veranstaltung, Anmeldung, Mitarbeit im Team) und — wenn Sie angemeldet sind — die Kennung Ihres Kontos. Zugestellt wird über Google Firebase Cloud Messaging (Abschnitt 4.6). Abschalten: Der Schalter „Benachrichtigungen" unter „Mehr" beendet die Zustellung sofort; die Registrierung bleibt pausiert bestehen, damit Sie sie wieder einschalten können. Entziehen Sie die Berechtigung in den Systemeinstellungen, pausiert die App die Registrierung beim nächsten Öffnen ebenfalls und verwirft die Geräte-Kennung des Mitteilungsdienstes (Token); erlauben Sie Mitteilungen später wieder, meldet die App das Gerät neu an und setzt die Zustellung fort. Melden Sie sich in der App ab, entfernen wir die Kennung Ihres Kontos aus der Registrierung. Deinstallieren Sie die App, erkennen wir das Gerät beim nächsten Versand als unerreichbar und löschen den Eintrag 30 Tage später automatisch; ohne Nutzung der App — auch nach entzogener Berechtigung — löschen wir ihn nach 180 Tagen (Abschnitt 11). Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO für Mitteilungen zu Ihrem Ticket, Ergebnis, Ihrer Einteilung und dem Chat, Art. 6 Abs. 1 lit. f DSGVO für die Mitteilungen des Veranstalters an alle und für die einmalige Information nach Abschnitt 6.11; die Systemberechtigung ist Ihre Entscheidung und jederzeit widerrufbar. Im Team-Bereich zeigt die App bei der Kasse für die Nachmeldung zusätzlich lokale Mitteilungen an, die auf dem Gerät entstehen und nicht über unseren Server laufen (Abschnitt 8.9).
• Keine Analyse-, Absturz- oder Werbebausteine. Die App enthält kein Analyse-SDK, kein Absturzberichtswesen, keine Werbekennung und keine Nachverfolgung im Sinne der Plattformregeln. Die Firebase-Bibliothek ist ausschließlich für den Mitteilungsdienst eingebunden; Firebase Analytics, Crashlytics oder Werbebausteine sind nicht enthalten. Das Zahlungsmodul Stripe Terminal ist ausschließlich für die Kasse der Nachmeldung im Team-Bereich eingebunden (Abschnitt 8.9).

8.5 Was die App auf dem Gerät speichert

Wir benennen das ausdrücklich: Name und Startnummer liegen im unverschlüsselten Bereich der App-Daten. Sie werden mit der Deinstallation der App entfernt.

Die Warteschlange der Check-ins betrifft fremde Tickets: Sie entsteht nur im Team-Bereich und nur, wenn Sie als Orga oder Administrator:in scannen. Diese Daten verarbeiten wir im Auftrag des Veranstalters (Art. 28 DSGVO); sie werden nach dem Übertragen an den Server vom Gerät entfernt (höchstens 500 Einträge je Veranstaltung, der älteste fällt weg). Für die übrigen Einträge der Tabelle — Ihre Sitzung, Ihr Ticket-Zwischenspeicher — ist Art. 6 Abs. 1 lit. b DSGVO die Grundlage; die Speicherung ist für die Offline-Nutzung Ihres Tickets erforderlich.

8.6 Weitergabe über das Betriebssystem

• GPX-Datei der Strecke teilen: Die Datei wird vom Server geladen, kurzzeitig im temporären Verzeichnis abgelegt, über das Teilen-Fenster Ihres Betriebssystems weitergegeben und anschließend gelöscht. Wohin sie geht, entscheiden Sie. Personenbezogene Daten enthält sie nicht.
• Urkunde und Ticket-PDF öffnet die App im integrierten Browser. Diese Seiten gehören zur Veranstaltungs-Website — dort läuft unsere Reichweitenmessung mit (Abschnitt 9.8), und die Startnummer steht in der aufgerufenen Adresse.
• Wallet-Pass: Der Pass wird außerhalb der App geöffnet — unter iOS in Apple Wallet, unter Android über den Speicherlink von Google Wallet (Abschnitt 9.4). Ein seit dem 25. September 2026 hinzugefügter Apple-Pass registriert sich bei unserem Server und aktualisiert sich bei Änderungen von selbst (Abschnitt 9.4).
• Ticket in die App übernehmen: Auf der Ticketseite im Browser öffnet der Knopf „In der App öffnen" die App mit dem Ticket-Link aus Ihrer Bestätigungsmail; alternativ fügen Sie den Link in der App unter „Ticket per Link hinzufügen" ein. Die App fragt damit über die Web-Schnittstelle (Abschnitt 8.2) den Zugriffsschlüssel des Tickets ab und legt ihn im Schlüsselbund ab (Abschnitt 8.5). Ungültige Links zählen wir wie in Abschnitt 7.8 über einen Hashwert Ihrer IP-Adresse (höchstens zwanzig je 15 Minuten); gültige Links zählen nicht.
• Beleg einer Nachmeldung teilen (Team-Bereich): Den Link zum Zahlungsbeleg einer genehmigten Zahlung können Sie über das Teilen-Fenster Ihres Betriebssystems weitergeben (Abschnitt 8.9); wohin, entscheiden Sie.
• Anruf beim Veranstalter: Der Anrufknopf übergibt die Nummer an die Telefon-App; wir verarbeiten dabei nichts.
• Öffnen von Links aus E-Mails (Universal Links / App Links) ist eingerichtet, derzeit aber noch nicht scharf geschaltet; solche Links öffnen sich im Browser.

8.7 Konto in der App

Anmeldung, Zuordnung Ihrer Anmeldungen und Kontolöschung funktionieren wie in Abschnitt 7 beschrieben; die Löschung ist auch in der App möglich. Der Datenexport ist in der App nicht verfügbar — nutzen Sie dafür /konto/daten im Browser (Abschnitt 7.6).

8.8 App-Stores

Der Vertrieb der App läuft über die Apple Distribution International Ltd., Hollyhill Industrial Estate, Hollyhill, Cork, T23 YK84, Irland, und die Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland. Beide verarbeiten die im Zusammenhang mit Download, Kauf und Bewertung anfallenden Daten als eigene Verantwortliche nach ihren eigenen Datenschutzhinweisen; wir erhalten von dort keine personenbezogenen Einzeldaten.

8.9 Kasse für die Nachmeldung vor Ort (Team-Bereich)

Hat der Veranstalter die Nachmeldung vor Ort eingerichtet und ein Stripe-Konto verbunden, können Mitglieder des Orga-Teams mit der Rolle „admin" oder „orga" im Team-Bereich Teilnehmende nachmelden und die Zahlung kontaktlos mit dem eigenen Smartphone annehmen — auf dem iPhone über „Tap to Pay auf dem iPhone", auf Android über „Tap to Pay auf Android". Nachmeldung und Zahlung verarbeiten wir im Auftrag des Veranstalters (Abschnitt 9.12); die Zahlung selbst wickelt Stripe als eigener Verantwortlicher über das Stripe-Konto des Veranstalters ab (Abschnitt 9.2). Dieser Abschnitt beschreibt, was dabei auf Ihrem Gerät geschieht.

• Angaben der nachgemeldeten Person: Vorname, Nachname, Geburtsjahr, Geschlecht, Verein (freiwillig) und E-Mail-Adresse. Die App überträgt sie über die Web-Schnittstelle (Abschnitt 8.2) und legt sie nicht dauerhaft auf dem Gerät ab.
• Kartendaten und PIN: Die Karte oder das Smartphone der zahlenden Person liest das Gerät über seine NFC-Schnittstelle — auf dem iPhone das Betriebssystem, auf Android das Zahlungsmodul Stripe Terminal in einem abgeschirmten Teil der App. Die Kartendaten gehen verschlüsselt an Stripe; eine PIN gibt die zahlende Person gegebenenfalls auf dem Bildschirm des Geräts ein. Die vollständige Kartennummer und die PIN erhalten weder die App noch wir, und weder auf dem Gerät noch bei uns werden Kartendaten gespeichert — ohne Internetverbindung kassiert die App nicht. Die App zeigt nach der Zahlung nur die Kartenmarke und die letzten vier Ziffern an; dieselben Angaben stehen im Beleg über eine abgelehnte Zahlung (Abschnitt 9.12).
• Standort des Geräts: Stripe lässt Kartenzahlungen am Gerät nur zu, wenn das Zahlungsmodul den Standort des Geräts ermitteln kann; Stripe verwendet ihn nach eigenen Angaben, um Betrug und Rückbuchungen vorzubeugen. Die App fragt die Berechtigung deshalb nur im Team-Bereich für die Kasse, erklärt vorher in einem Hinweisfenster, wozu, und fordert nur die Freigabe während der Nutzung der App an — nie im Hintergrund. Genutzt wird der genaue Standort, während die App das Gerät als Kartenleser einrichtet, verbindet oder bereithält, und während jeder Zahlung. Damit die Kasse ohne Wartezeit bereitsteht, verbindet die App den Kartenleser nach der ersten Nutzung auch beim Start der App und bei der Rückkehr in die App, solange Sie für diese Veranstaltung kassieren dürfen und die Nachmeldung eingeschaltet ist. Den Standort übermittelt das Zahlungsmodul unmittelbar an Stripe; wir erhalten und speichern ihn nicht, und die App zeigt ihn nicht an. Ohne Freigabe ist die Kasse nicht nutzbar; Teilnehmende können sich dann per QR-Code selbst nachmelden. Die Freigabe können Sie in den Systemeinstellungen jederzeit zurücknehmen. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO — das berechtigte Interesse des Veranstalters, Kartenzahlungen vor Ort anzunehmen, die Stripe nur mit Standort zulässt; der Zugriff auf den Standort ist für die von Ihnen aufgerufene Funktion unbedingt erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG).
• Gerätekennung der Kasse und kassierende Person: Zu jeder Zahlung übermittelt die App eine eigene zufällige Kennung der Kasse, die sie beim ersten Kassieren auf diesem Gerät erzeugt und nur dafür verwendet (sie hat nichts mit der Kennung für Push-Mitteilungen aus Abschnitt 8.4 zu tun); zugleich ist die Zahlung mit Ihrem Konto verbunden. Wir speichern die Gerätekennung an der Zahlung (sichtbar nur für die Rolle „admin" des Veranstalters) und die Kennung Ihres Kontos im Verlauf der Anmeldung; beide Angaben gehen außerdem als Zusatzangaben der Zahlung an Stripe und erscheinen damit im Stripe-Konto des Veranstalters. Zweck ist die Nachvollziehbarkeit, wer auf welchem Gerät kassiert hat — für Rückfragen, Erstattungen und Reklamationen. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO; Aufbewahrung wie die Zahlungsbelege (Abschnitt 11).
• Weitere Angaben an Stripe: Beim Einrichten meldet das Zahlungsmodul das Gerät bei Stripe als Kartenleser des Veranstalters an und übermittelt dabei technische Angaben zum Gerät, die Stripe für den Betrieb des Kartenlesers und zur Betrugsprävention verwendet.
• Apple (nur „Tap to Pay auf dem iPhone"): Einmal je Stripe-Konto nimmt eine Person mit der Rolle „admin" in der App die Bedingungen von Apple an; Apple verknüpft dabei die auf dem iPhone angemeldete Apple-ID mit dem Händlerkonto des Veranstalters — verwenden Sie dafür eine Apple-ID Ihrer Organisation. Bei jeder Zahlung erhält Apple nach eigenen Angaben ein Kennzeichen des Zahlungsdienstleisters und des Händlers, den Namen des Veranstalters, Kennungen des Geräts als Kartenleser und die Transaktionsdaten in verschlüsselter Form, die Apple nicht entschlüsselt; Angaben wie den Betrag bewahrt Apple 25 Tage auf, Kartennummern und PINs speichert Apple nicht auf seinen Servern. Apple handelt dabei als eigener Verantwortlicher nach den Bedingungen, die der Veranstalter mit Apple vereinbart, und nach der Datenschutzrichtlinie von Apple. Die Verbindung zu Apple bauen das Betriebssystem und das Zahlungsmodul auf.
• Beleg: Nach einer genehmigten Zahlung zeigt die App den Link zum Zahlungsbeleg bei Stripe als QR-Code, den die zahlende Person mit ihrem Smartphone abrufen kann; Sie können den Link auch teilen (Abschnitt 8.6). Wird die Zahlung abgelehnt oder bricht sie ab, können Sie der Person einen Beleg per E-Mail senden lassen (Abschnitt 9.12).
• Mitteilung bei geschlossener App: Verlassen Sie die App, während eine Zahlung läuft, zeigt die App eine lokale Mitteilung mit dem Namen der nachgemeldeten Person, dem Betrag und dem Stand („nicht bestätigt" beziehungsweise „abgelehnt"). Sie entsteht auf dem Gerät selbst und läuft weder über unseren Server noch über einen Mitteilungsdienst; Voraussetzung ist Ihre Erlaubnis für Mitteilungen (Abschnitt 8.4). Stellen Sie in den Systemeinstellungen ein, dass Mitteilungen auf dem Sperrbildschirm ohne Inhalt erscheinen, wenn andere Ihr Gerät sehen können.
• Live-Liste: Die Übersicht „Heute nachgemeldet" zeigt Startnummer, Name, Strecke, Weg der Nachmeldung und Uhrzeit, auch für Nachmeldungen, die Teilnehmende selbst über die Website abschließen. Die App erhält dafür über einen privaten Echtzeitkanal nur diese Angaben und den Zahlungsstatus — keine E-Mail-Adresse, kein Geburtsjahr, keine Zugangsschlüssel.
• Bluetooth: Die App verbindet keinen externen Kartenleser und baut keine Bluetooth-Verbindung auf. Auf iOS enthält sie lediglich den Berechtigungstext, den das Zahlungsmodul verlangt; auf Android sind die Bluetooth-Berechtigungen entfernt.

---

9. Veranstaltungs-Websites — zur Orientierung

Eine Veranstaltungs-Website erreichen Sie unter einer eigenen Unteradresse von startblock.run oder unter einer eigenen Domain des Veranstalters. Verantwortlicher für alles, was dort mit Ihren Daten geschieht, ist der jeweilige Veranstalter; startblock verarbeitet diese Daten ausschließlich in dessen Auftrag und nach dessen Weisung (Art. 28 DSGVO; Vertrag: startblock.run/rechtliches/avv). Ausgenommen ist allein die cookielose Reichweitenmessung: Über sie entscheidet startblock selbst, sie ist deshalb auch auf den Veranstaltungs-Websites eigene Verarbeitung von startblock und keine Auftragsverarbeitung (Abschnitt 9.8). Die maßgebliche Datenschutzerklärung finden Sie deshalb auf der jeweiligen Veranstaltungs-Website unter /rechtliches/datenschutz, das Impressum unter /rechtliches/impressum.

Dieser Abschnitt erklärt Ihnen nur zur Orientierung, welche Technik dort im Hintergrund arbeitet. Er ersetzt die Erklärung des Veranstalters nicht. Wo in diesem Abschnitt „wir" steht, handeln wir als Auftragsverarbeiter des Veranstalters — ausgenommen die Reichweitenmessung in 9.8, bei der wir selbst Verantwortliche sind.

9.1 Anmeldung zur Veranstaltung

Im Anmeldeassistenten werden Vorname, Nachname, Geburtsdatum, E-Mail-Adresse und je nach Veranstaltung weitere Angaben (Geschlecht, Telefon, Verein, Nationalität, Zusatzoptionen) erhoben. Vertragspartner ist der Veranstalter. Das Geburtsdatum dient der Alters- und Wertungsklasse.

Melden Sie eine andere Person an, benötigen wir deren Daten von Ihnen. Die Pflicht, die angemeldete Person nach Art. 14 DSGVO zu informieren, trifft den Veranstalter als Verantwortlichen; die Plattform versendet dafür derzeit keine gesonderte Nachricht.

9.2 Zahlung

Startgelder werden über Stripe auf dem Stripe-Konto des Veranstalters abgewickelt; der Veranstalter ist Händler und Vertragspartner von Stripe, Stripe ist für die Zahlungs-, Betrugs- und Identitätsdaten eigener Verantwortlicher (Anschrift und Einzelheiten siehe 6.6). startblock behält lediglich eine Plattformgebühr ein und speichert die Zahlungskennungen, die Beträge und den Link zum Zahlungsbeleg bei Stripe — keine Zahlungsmitteldaten. Der Zahlungsbaustein von Stripe und dessen Cookies werden erst im Zahlungsschritt geladen, nicht schon beim Aufruf der Seite. Kartenzahlungen am Nachmeldestand laufen als Präsenzzahlung über Stripe Terminal ebenfalls auf dem Stripe-Konto des Veranstalters (Abschnitte 8.9 und 9.12).

9.3 E-Mails der Veranstaltung

Bestätigungs-, Erinnerungs- und Ergebnismails versendet startblock im Auftrag des Veranstalters über Resend (Abschnitt 4.3). Hat der Veranstalter keine eigene Absenderdomain hinterlegt, lautet der Absender „Name des Veranstalters via startblock" (der Veranstalter kann dafür einen eigenen Anzeigenamen hinterlegen); die Antwortadresse zeigt auf den Veranstalter. Erinnerungsmails enthalten einen Abmeldekopf (List-Unsubscribe). Ein Abmelde-Kennzeichen gibt es in der Datenbank nicht; der Erinnerungsversand wählt alle bezahlten Anmeldungen. Ein Widerspruch ist derzeit nur durch Stornierung oder Anonymisierung der Anmeldung umsetzbar.

Urkunden-Mail: Nach der Veröffentlichung der Ergebnisse kann der Veranstalter aus seinem Redaktionssystem eine Urkunden-Mail an alle bezahlten Anmeldungen mit Ergebnis und E-Mail-Adresse auslösen — mit den Links zu Ergebnis und Urkunde und, wenn der Veranstalter es wählt, mit der Urkunde als PDF-Anhang. Jede Anmeldung erhält sie höchstens einmal; der Versand wird wie die übrigen Mails protokolliert.

Beleg bei abgelehnter Kartenzahlung: Bei der Nachmeldung am Stand kann das Orga-Team nach einer abgelehnten oder abgebrochenen Kartenzahlung einen Beleg an die angegebene E-Mail-Adresse senden lassen (Abschnitt 9.12).

9.4 Ticket, Zugriffsschlüssel und Wallet-Pässe

Ihr Ticket hängt an einem Zugriffsschlüssel (Capability-Token) in der Adresse /t/ gefolgt von diesem Schlüssel; ein Konto ist dafür nicht nötig. Wer den Schlüssel kennt, sieht das Ticket — behandeln Sie den Link deshalb wie eine Eintrittskarte.

• Apple Wallet: Der Pass wird auf unserem Server signiert und von Ihrem Gerät geladen. Seit dem 25. September 2026 enthält jeder neu ausgegebene Pass eine Adresse unseres Servers und einen zufälligen Pass-Schlüssel, mit denen sich Ihr Gerät bei uns für Aktualisierungen registriert; wir speichern dazu eine von iOS vergebene Gerätekennung und eine Push-Kennung des Passes. Ändern sich Name, Startnummer, Strecke, Startzeit oder Tickettyp — oder wird ein Ergebnis zu Ihrer Startnummer veröffentlicht —, senden wir über den Apple Push Notification Service eine inhaltsleere Weck-Nachricht an diese Push-Kennung; Ihr Gerät lädt den aktualisierten Pass anschließend bei uns. Inhalte gehen dabei nicht an Apple; Apple erhält nur die Push-Kennung des Passes und handelt insoweit nach seinen eigenen Bedingungen. Entfernen Sie den Pass, meldet Ihr Gerät ihn ab und wir löschen die Registrierung; bei Übertragung oder Anonymisierung Ihrer Anmeldung löschen wir sie sofort, spätestens 30 Tage nach der Veranstaltung automatisch. Ein vor dem 25. September 2026 hinzugefügter Pass bleibt unverändert und registriert sich nicht; die Ticketseite weist darauf hin. Fehlversuche am Registrierungsdienst zählen wir wie in Abschnitt 7.8 über einen Hashwert der IP-Adresse (60 je 15 Minuten, sieben Tage Aufbewahrung); Fehlermeldungen, die iOS an unseren Protokollendpunkt sendet, landen nur in den kurzlebigen Server-Protokollen (Abschnitt 4.1).
• Google Wallet: Vorab legen wir bei der Google LLC nur eine Vorlage mit Veranstaltungsdaten an (Veranstaltername, Veranstaltungsname, Ort, Termin) — ohne personenbezogene Daten. Erst wenn Sie auf „In Google Wallet speichern" klicken, übermittelt Ihr Gerät Ihren Namen, Ihre Startnummer, Strecke, Startzeit und Startblock sowie den Barcode-Inhalt (Ihren Ticket-Schlüssel) an Google. Haben Sie den Pass gespeichert, aktualisieren wir das bei Google angelegte Pass-Objekt über die Wallet-Schnittstelle, wenn sich Name, Startnummer, Strecke oder Startzeit ändern — mit denselben Feldern, ohne zusätzliche Daten und ohne Mitteilung an Sie. Nach einer Übertragung oder Anonymisierung der Anmeldung wird das Objekt nicht mehr aktualisiert. Google handelt für Google Wallet als eigener Verantwortlicher (Abschnitt 10).

9.5 Öffentliche Listen: Startliste, Teilnehmerliste, Ergebnisse, Urkunden

Veröffentlicht der Veranstalter die entsprechenden Seiten, sind folgende Daten ohne Anmeldung öffentlich abrufbar und namentlich durchsuchbar:

• Teilnehmer-/Startliste: Startnummer, vollständiger Name, Verein, Wertungsklasse und Strecke — und zwar für alle Anmeldungen, auch für noch nicht bezahlte.
• Ergebnisse: Startnummer, Name, Verein, Wertungsklasse, Geschlecht, Zeit, Rückstand, Platzierungen und Zwischenzeiten; Filter und Freitextsuche sind möglich. Die Gesamtliste je Ausgabe und Strecke ist zusätzlich als PDF abrufbar (Platz, Startnummer, Name, Verein, Wertungsklasse, Zeit).
• Urkunden: unter /urkunde/ mit der Startnummer als PDF-Datei ohne Zugriffsschlüssel abrufbar, mit Name und Zeit.

Rechtsgrundlage ist nach unserer Einschätzung Art. 6 Abs. 1 lit. f DSGVO (Wettkampfcharakter, Verkehrserwartung bei Sportveranstaltungen); Verantwortlicher ist der Veranstalter. Ergebnisse bleiben als sportliches Archiv dauerhaft veröffentlicht. Ein Widerspruch nach Art. 21 DSGVO ist auch hier möglich — richten Sie ihn an den Veranstalter. Ein Auswahlfeld „Name nicht anzeigen" gibt es derzeit nicht; der Veranstalter setzt den Widerspruch von Hand um. Bitte beachten Sie: Ergebniszeilen sind eine eigenständige Kopie und werden von der Anonymisierung einer Anmeldung nicht erfasst — sie müssen gesondert geändert oder entfernt werden.

9.6 Support-Chat mit künstlicher Intelligenz

Auf den Veranstaltungs-Websites steht ein Support-Chat zur Verfügung. Ihre Fragen werden von einem KI-Sprachmodell beantwortet, nicht von einem Menschen.

• Empfänger ist die Mistral AI SAS, 15 rue des Halles, 75001 Paris, Frankreich (Handelsregister Paris 952 418 325). Die Verarbeitung findet in der EU statt; eine Drittlandübermittlung ist dafür nicht erforderlich.
• Übertragen werden: Ihre Freitexteingaben — die Oberfläche sendet höchstens die letzten zwölf Nachrichten Ihres Dialogs, technisch sind bis zu 24 Nachrichten mit je 1.200 Zeichen möglich — sowie ein Vorspann mit Veranstaltungsdaten, Strecken, den veröffentlichten Fragen und Antworten und den Support-Kontakten des Veranstalters. Daten von Teilnehmenden aus unserer Datenbank werden nicht mitgesendet. Der Vorspann enthält jedoch die vom Veranstalter hinterlegten Support-Kontakte (E-Mail, Telefon und gegebenenfalls eine Notfallnummer).
• Ist der Dienst nicht verfügbar, antwortet ein reiner Stichwortabgleich über die veröffentlichten Fragen und Antworten; in diesem Fall verlässt Ihre Eingabe unseren Server nicht.
• Bitte geben Sie in den Chat keine personenbezogenen Daten und keine Gesundheitsangaben ein. Wir können nicht steuern, was Sie dort hineinschreiben.
• Speicherung: Der Dialog wird von uns im Auftrag des Veranstalters nicht gespeichert — weder auf dem Server noch in Ihrem Browser; nach dem Neuladen der Seite ist er weg. Bei Mistral werden Ein- und Ausgaben zur Missbrauchserkennung jedoch 30 rollierende Tage vorgehalten. Zum Trainieren von Modellen werden die Inhalte nach Angaben des Anbieters nicht verwendet.
• Zur Missbrauchsabwehr begrenzen wir die Anfragen im Auftrag des Veranstalters auf 20 je fünf Minuten. Dafür wird Ihre IP-Adresse kurzzeitig im Arbeitsspeicher des Servers gehalten (nicht gespeichert, nicht in die Datenbank geschrieben) — anders als bei den übrigen Zugriffsgrenzen, die nur mit Hashwerten arbeiten.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (zügige Beantwortung wiederkehrender Fragen).

9.7 Kontaktformular

Setzt der Veranstalter ein Kontaktformular auf seine Seite, bestimmt er die abgefragten Felder. Die Eingaben werden nicht gespeichert, sondern unmittelbar als E-Mail an die Kontaktadresse des Veranstalters gesandt; Antwortadresse ist die von Ihnen angegebene E-Mail-Adresse. Im Auftrag des Veranstalters gespeichert wird allein ein Hashwert Ihrer IP-Adresse zur Begrenzung auf fünf Einsendungen je zehn Minuten; er wird nach sieben Tagen automatisch gelöscht. Ein unsichtbares Zusatzfeld erkennt automatisierte Einsendungen.

9.8 Reichweitenmessung, Schriftarten, Karten und Einbettungen

• Es läuft dieselbe cookielose Reichweitenmessung wie in Abschnitt 5.2 — mit denselben Feldern, derselben 24-Stunden-Frist und derselben Rechtsgrundlage (Art. 6 Abs. 1 lit. f DSGVO). Verantwortlicher dafür ist nicht der Veranstalter, sondern startblock: Über Einsatz, Zweck (Überwachung des Betriebs und Auswertung der Nutzung der Plattform) und Mittel dieser Messung entscheidet allein startblock; der Veranstalter kann sie weder ein- noch ausschalten, ihm liegen keine Daten daraus vor und er kann sie nicht auswerten. Sie ist deshalb keine Verarbeitung im Auftrag des Veranstalters. Auf den Veranstaltungs-Websites steht am Ende der Datenschutzseite ein Schalter, mit dem Sie ihr widersprechen; der Widerspruch wird unter dem Schlüssel va-disable in Ihrem Browser hinterlegt. Einen Widerspruch nach Art. 21 Abs. 1 DSGVO richten Sie insoweit an uns (hallo@startblock.run), nicht an den Veranstalter. Zusätzlich werden dort Adressteile mit Zugriffsschlüsseln und Startnummern vor der Messung entfernt.
• Die Schriftarten lädt auch die Veranstaltungs-Website zur Laufzeit von Google (Abschnitt 5.3).
• Auf der Streckendetailseite (Adressen unter /strecken/) lädt Ihr Browser Kartenkacheln von OpenFreeMap (Abschnitt 6.9). Auf anderen Seiten geschieht das nicht.
• Fügt der Veranstalter Video- oder Karteneinbettungen ein (YouTube im Modus youtube-nocookie, Vimeo, Karten von OpenStreetMap), baut Ihr Browser beim Aufruf der Seite eine Verbindung zu diesen Anbietern auf und übermittelt dabei IP-Adresse, Browserkennung und die verweisende Seite. Eine Zwei-Klick-Lösung gibt es derzeit nicht. Verantwortlich dafür ist der Veranstalter, der die Einbettung gesetzt hat; Einzelheiten stehen in dessen Datenschutzerklärung.
• Ein Klick auf „Route" bei einem Kartenblock öffnet Google Maps — erst auf Ihren Klick hin.

9.9 Eigene Domain des Veranstalters

Betreibt der Veranstalter seine Seite unter einer eigenen Domain, ändert das nichts an der Technik und nichts an den Verantwortlichkeiten; die Seite wird weiterhin von startblock auf Vercel ausgeliefert.

9.10 Helferplanung, Check-in und Orga-Chat

Arbeiten Sie im Team einer Veranstaltung mit, entstehen weitere Daten. Verantwortlicher ist auch hier der Veranstalter.

• Helferdaten: Name, E-Mail-Adresse, Telefonnummer und Status, dazu die Schichten, Einteilungen und der Bedarf je Station.
• Check-in: Zeitpunkt, Kontrollpunkt und die scannende Person je Anmeldung. Scannen dürfen technisch nur die Rollen „admin" und „orga"; Helfer:innen haben darauf keinen Zugriff.
• Orga-Chat: Nachrichten im Freitext bis 2.000 Zeichen in einem privaten Echtzeitkanal je Veranstaltung.
• Sichtbarkeitsgrenzen: Helfer:innen sehen ausschließlich die eigene Zeile, die eigenen Schichten und den eigenen Chat-Thread.
• Push-Mitteilungen im Team: Eine neue oder entfernte Einteilung und neue Chat-Nachrichten lösen eine Push-Mitteilung an die App der betroffenen Person aus — Helfer:innen erhalten Nachrichten der Organisation, die Organisation Nachrichten der Helfer:innen. Voraussetzung ist die Zustimmung in der App (Abschnitt 8.4). Die Mitteilung enthält den Namen der schreibenden Person und die Nachricht, gekürzt auf 178 Zeichen.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Mitarbeit auf Grundlage der Vereinbarung mit dem Veranstalter) beziehungsweise Art. 6 Abs. 1 lit. f DSGVO (geordnete Durchführung der Veranstaltung).
• Speicherdauer: Nachrichten im Orga-Chat 12 Monate nach der Veranstaltung; die Löschung setzt der Veranstalter von Hand um (Abschnitt 11).

9.11 Fotos und Galerie

Veröffentlicht der Veranstalter Bilder der Veranstaltung, liegen diese in der Dateiablage bei Supabase (Abschnitt 4.2) in einem öffentlich lesbaren Bereich: Wer die vollständige Adresse einer Datei kennt, kann sie ohne Anmeldung abrufen; die Adressen sind nicht zeitlich begrenzt und laufen nicht ab. Verantwortlich für die Auswahl und Veröffentlichung von Bildern — auch dafür, ob Personen darauf erkennbar sind, und für die Rechtsgrundlage (Art. 6 Abs. 1 lit. f DSGVO, §§ 22, 23 KUG beziehungsweise Einwilligung) — ist der Veranstalter. Möchten Sie ein Bild entfernen lassen oder der Veröffentlichung widersprechen, wenden Sie sich bitte an ihn; die Kontaktdaten stehen im Impressum der Veranstaltungs-Website.

9.12 Nachmeldung vor Ort

Bietet der Veranstalter eine Nachmeldung am Veranstaltungstag an, gibt es zwei Wege. Verantwortlich ist auch hier der Veranstalter.

• Selbstanmeldung auf der Website: Über einen QR-Code am Nachmeldestand öffnen Sie die Seite /nachmeldung der Veranstaltungs-Website auf Ihrem eigenen Smartphone. Sie erhebt dieselben Angaben wie die reguläre Anmeldung (9.1) und nutzt denselben Zahlungsschritt (9.2). Weil das Nachmelde-Kontingent klein ist und jede begonnene Anmeldung einen Platz vorübergehend reserviert, zählen wir die Anmeldeversuche wie in Abschnitt 7.8 über einen Hashwert Ihrer IP-Adresse (höchstens 30 je zehn Minuten); diese Zähler verarbeiten wir in eigener Verantwortung und löschen sie nach sieben Tagen automatisch.
• Nachmeldung am Stand: Ein Mitglied des Orga-Teams nimmt in der App Vorname, Nachname, Geburtsjahr, Geschlecht, Verein (freiwillig) und E-Mail-Adresse auf; Sie zahlen kontaktlos mit Karte oder Smartphone am Gerät des Orga-Teams. Statt des Geburtsdatums wird nur das Geburtsjahr erfasst; gespeichert wird es als 1. Januar dieses Jahres mit dem Vermerk, dass nur das Jahr angegeben wurde, und die Altersklasse richtet sich nach dem Jahrgang. Dass Sie mit der Zahlung die Teilnahmebedingungen des Veranstalters annehmen, halten wir mit dem Zeitpunkt und dem Vermerk fest, dass die Anmeldung am Stand aufgenommen wurde. Die Anmeldung wird mit keinem Konto verknüpft — auch nicht mit dem der kassierenden Person.
• Was zusätzlich gespeichert wird: der Weg der Nachmeldung, die Nachmeldegebühr und die Startnummer aus dem Nachmelde-Block des Veranstalters; bei der Zahlung am Stand außerdem die Gerätekennung der Kasse, die kassierende Person und der Link zum Zahlungsbeleg bei Stripe.
• Kartenzahlung am Stand: Die Zahlung ist eine Präsenzzahlung über Stripe Terminal auf dem Stripe-Konto des Veranstalters. Stripe verarbeitet dabei die Kartendaten sowie Standort und Angaben des Kassengeräts als eigener Verantwortlicher, bei „Tap to Pay auf dem iPhone" zusätzlich Apple (Abschnitt 8.9); den Standort des Kassengeräts und Ihre vollständigen Kartendaten erhalten wir nicht. Ihre E-Mail-Adresse geben wir dabei nicht an Stripe weiter. Den Zahlungsbeleg (Veranstalter, Betrag, Zeitpunkt, Kartenmarke mit den letzten vier Ziffern, Kartenanwendung und Referenz der Zahlung) senden wir Ihnen mit der Anmeldebestätigung per E-Mail — die Kartenangaben lesen wir dafür beim Versand bei Stripe ab und speichern sie nicht —; am Stand können Sie ihn außerdem über einen QR-Code auf dem Gerät des Orga-Teams abrufen.
• Beleg bei Ablehnung: Wird Ihre Karte abgelehnt oder bricht die Zahlung ab, kann das Orga-Team Ihnen einen Beleg per E-Mail senden: Veranstalter, Veranstaltung, Zeitpunkt, Betrag, Kartenmarke mit den letzten vier Ziffern, Grund der Ablehnung und die Kennung des Zahlungsvorgangs — höchstens drei solche Belege je Nachmeldung. In unserem Versandprotokoll steht nur die maskierte Adresse.
• Übersicht des Orga-Teams: Neue Nachmeldungen erscheinen sofort in der Übersicht des Orga-Teams in der App und im Redaktionssystem — mit Startnummer, Name, Strecke, Weg der Nachmeldung und Uhrzeit.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Teilnahmevertrag), für die Aufbewahrung der Zahlungsbelege Art. 6 Abs. 1 lit. c DSGVO; für die Zugriffszähler der Selbstanmeldung Art. 6 Abs. 1 lit. f DSGVO (Missbrauchsabwehr, in unserer eigenen Verantwortung).

---

10. Empfänger und Auftragsverarbeiter im Überblick

A — Auftragsverarbeiter. Diese Anbieter setzen wir als Auftragsverarbeiter ein; sie dürfen Daten nur nach unserer Weisung verarbeiten beziehungsweise, soweit wir selbst im Auftrag eines Veranstalters handeln, nach dessen Weisung.

B — Eigene Verantwortliche und sonstige Empfänger. Diese Anbieter entscheiden über die hier genannten Verarbeitungen selbst; wir erteilen ihnen dafür keine Weisungen. Soweit Stripe ausnahmsweise Daten in unserem Auftrag verarbeitet (etwa Kunden- und Kontodaten, die wir bei Stripe anlegen, und Daten, die wir zu verbundenen Konten übermitteln), gilt die Datenschutzvereinbarung von Stripe, die Bestandteil unseres Vertrages mit Stripe ist.

Nicht in diesen Tabellen steht unser Quellcode-Hosting (GitHub); dort werden keine personenbezogenen Daten von Nutzer:innen verarbeitet.

---

11. Speicherdauern im Überblick

Wir nennen hier die Fristen, die wir dokumentiert haben, und sagen ausdrücklich dazu, welche automatisch durchgesetzt werden.

Ehrlich gesagt: Automatisch gelöscht werden derzeit die Zugriffszähler (drei tägliche Läufe), die Zähler der Wegberechnungen sowie — seit September 2026 — die Push-Registrierungen, das Ausgangsfach der Push-Mitteilungen und die Wallet-Pass-Registrierungen (ein täglicher Löschlauf). Alle anderen Fristen setzen wir beziehungsweise die Veranstalter von Hand um. Beim Löschen einer Anmeldung verschwindet aus technischen Gründen auch der zugehörige Zahlungsbeleg; deshalb ist für Löschwünsche einzelner Personen die Anonymisierung der Anmeldung der vorgesehene Weg — dabei werden Name, E-Mail-Adresse, Geburtsdatum, Telefonnummer, Verein, Nationalität und Geschlecht entfernt und alle Ticket-Schlüssel erneuert, während Startnummer, Status, gebuchte Optionen, Zahlungen und Check-ins als Beleg erhalten bleiben. Ergebniszeilen werden davon nicht erfasst und müssen gesondert bearbeitet werden.

---

12. Ihre Rechte

Sie haben uns gegenüber die folgenden Rechte, soweit wir für die jeweilige Verarbeitung verantwortlich sind. Betrifft Ihr Anliegen Ihre Anmeldung zu einer Veranstaltung, wenden Sie sich bitte an den Veranstalter; wir leiten Ihr Anliegen auf Wunsch weiter.

• Auskunft (Art. 15 DSGVO) — welche Daten wir über Sie verarbeiten. Für Ihr Teilnehmer-Konto können Sie eine Datei sofort selbst erzeugen (Abschnitt 7.6); für eine vollständige Auskunft schreiben Sie uns.
• Berichtigung (Art. 16 DSGVO) — unrichtige Daten korrigieren wir; Stammdaten im Konto ändern Sie selbst.
• Löschung (Art. 17 DSGVO) — mit den in Abschnitt 7.7 und 11 genannten Einschränkungen, insbesondere gesetzlichen Aufbewahrungspflichten.
• Einschränkung der Verarbeitung (Art. 18 DSGVO) — auf Anfrage; eine Selbstbedienungsfunktion dafür gibt es nicht.
• Datenübertragbarkeit (Art. 20 DSGVO) — für die Daten, die Sie uns auf Grundlage Ihrer Einwilligung oder zur Vertragserfüllung bereitgestellt haben, in einem strukturierten, gängigen, maschinenlesbaren Format (JSON).
• Widerruf von Einwilligungen (Art. 7 Abs. 3 DSGVO) — jederzeit mit Wirkung für die Zukunft, formlos an hallo@startblock.run.
• Beschwerde bei einer Aufsichtsbehörde (Art. 77 DSGVO) — zuständig für uns ist: [AUFSICHTSBEHÖRDE]. Sie können sich auch an die Aufsichtsbehörde Ihres gewöhnlichen Aufenthaltsorts wenden.

Ihr Widerspruchsrecht nach Art. 21 DSGVO

Sie haben das Recht, aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit gegen die Verarbeitung Sie betreffender personenbezogener Daten Widerspruch einzulegen, die auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO erfolgt. Das betrifft bei uns insbesondere die Reichweitenmessung auf allen Oberflächen — Plattform-Startseite und Redaktionssystem (Abschnitte 5.2 und 6.4) ebenso wie die Veranstaltungs-Websites (9.8), für die wir ebenfalls selbst verantwortlich sind —, die Zugriffsgrenzen zur Missbrauchsabwehr (7.8) und die Auswertung von Server-Protokollen (4.1); den Schalter am Fuß dieser Seite und am Fuß der Datenschutzseite jeder Veranstaltungs-Website können Sie dafür sofort nutzen. In der Verantwortung der Veranstalter stehen dagegen die Veröffentlichung von Start-, Teilnehmer- und Ergebnislisten (9.5) und von Fotos (9.11); richten Sie den Widerspruch insoweit dorthin.

Legen Sie Widerspruch ein, verarbeiten wir die betroffenen Daten nicht mehr, es sei denn, wir können zwingende schutzwürdige Gründe nachweisen, die Ihre Interessen, Rechte und Freiheiten überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.

Ein formloser Widerspruch per E-Mail an hallo@startblock.run genügt. Für die Reichweitenmessung finden Sie am Ende dieser Seite und am Ende der Datenschutzseite jeder Veranstaltungs-Website zusätzlich einen Schalter.

Wir beantworten Anfragen unverzüglich, spätestens innerhalb eines Monats nach Eingang (Art. 12 Abs. 3 DSGVO). Ist eine Anfrage umfangreich oder erhalten wir mehrere zugleich, können wir die Frist um bis zu zwei weitere Monate verlängern; darüber unterrichten wir Sie innerhalb eines Monats unter Angabe der Gründe (Art. 12 Abs. 3 DSGVO). Zur Sicherheit können wir Sie um Angaben bitten, mit denen wir Ihre Identität überprüfen können.

---

13. Sicherheit Ihrer Daten

Wir treffen technische und organisatorische Maßnahmen nach Art. 32 DSGVO. Die wichtigsten in Kürze:

• Verschlüsselte Übertragung. Sämtliche Verbindungen laufen über TLS; die App erzwingt in der Veröffentlichungsfassung durchgehend HTTPS. Hinzu kommen Sicherheitskopfzeilen (unter anderem HSTS, nosniff, Referrer-Policy: strict-origin, abgeschaltete Kamera-, Mikrofon- und Standortfreigaben).
• Verschlüsselte Speicherung. Unsere Anbieter sagen eine Verschlüsselung im Ruhezustand zu; Ticket-Schlüssel und QR-Werte liegen zusätzlich im Schlüsselbund beziehungsweise Keystore Ihres Endgeräts.
• Strikte Mandantentrennung. Jede Tabelle unserer Datenbank ist mit Zeilenrechten (Row Level Security) geschützt, die Daten nach Veranstalter und Veranstaltung trennen; die Rechtelage wird mit einem automatisierten Prüfskript regelmäßig nachgewiesen.
• Datenminimierung im Betrieb. Zugriffsgrenzen arbeiten mit gehashten statt mit echten IP-Adressen; unsere Anwendungsprotokolle enthalten keine IP-Adressen, E-Mail-Adressen werden dort maskiert. Push- und Wallet-Kennungen Ihres Geräts verlassen unseren Server nie in Richtung Browser oder App — ausgenommen die Installationskennung, die bei der Kasse der Nachmeldung als Gerätekennung an der Zahlung steht und für die Rolle „admin" des Veranstalters sichtbar ist (Abschnitt 8.9); Versandprotokolle nennen nur den Kanal, nie das Gerät oder den Mitteilungstext. Ticket-Scan und Check-in sind technisch auf die Rollen „admin" und „orga" beschränkt; Helfer:innen haben darauf keinen Zugriff. Wer scannen darf, sieht dabei nur Name, Startnummer, Strecke, Ticketname, Zahlungsstatus und offenen Betrag — nie E-Mail-Adresse, Geburtsdatum oder Telefonnummer. Bei der Nachmeldung am Stand wird das Geburtsjahr statt des Geburtsdatums erfasst; Kartendaten und den Standort des Kassengeräts erhalten wir nicht, und die Live-Liste des Orga-Teams überträgt nur Startnummer, Name, Strecke, Weg der Nachmeldung und Zahlungsstatus. Verbindungsschlüssel für die Kasse gelten nur für das Stripe-Konto und den Standort des jeweiligen Veranstalters.
• Getrennte Zugriffswege. Erhöhte Rechte gibt es ausschließlich serverseitig, nie im Browser oder in der App; Tickets ohne Konto hängen an Zugriffsschlüsseln statt an offenen Adressen.
• Sicherungen. Unser Datenbankanbieter erstellt nach eigenen Angaben tägliche Sicherungen. Ein abgestimmter gemeinsamer Sicherungsstand zwischen Datenbank und Dateiablage besteht nicht.

Eine ausführliche Beschreibung unserer technischen und organisatorischen Maßnahmen stellen wir Veranstaltern als Anlage zum Auftragsverarbeitungsvertrag zur Verfügung; betroffene Personen erhalten sie auf Anfrage unter hallo@startblock.run.

---

14. Änderungen dieser Erklärung

Wir passen diese Erklärung an, wenn sich die beschriebenen Verarbeitungen, die eingesetzten Dienste oder die Rechtslage ändern. Maßgeblich ist stets die auf startblock.run/rechtliches/datenschutz veröffentlichte Fassung. Das Datum der jeweils gültigen Fassung steht oben unter dem Titel und in der Änderungshistorie. Wesentliche Änderungen, die Ihre Rechte betreffen, machen wir an dieser Stelle kenntlich und weisen in der Änderungshistorie darauf hin.

---

Änderungshistorie