Datenschutzerklärung

Stand: Juli 2026.

1. Verantwortlicher & Rollen

Betreiber der Plattform: Daniel Grüßing, Königskinderweg 47h, 22457 Hamburg — dev.gruessing@gmail.com (siehe auch Impressum).

Bei Nutzung in Schulen, Klassenfahrten oder Vereinsausflügen ist in der Regel die veranstaltende Stelle (z. B. Schule, Lehrkraft, Elterngruppe) für die Daten der Spielerinnen und Spieler Verantwortliche im Sinne der DSGVO. Der Plattform-Betreiber ist bei Spielerdaten in der Regel Auftragsverarbeiter (Art. 28 DSGVO) und setzt Google Cloud als Unterauftragsverarbeiter ein. Sie schließen den AVV mit dem Plattform-Betreiber — keinen eigenen Vertrag mit Google (siehe Abschnitt 6, AVV).

2. Was ist GroupRally?

GroupRally ist eine browserbasierte Web-Anwendung für Foto-Rallyes. Spielerinnen und Spieler geben nur einen Teamnamen ein — kein Passwort, keine E-Mail. Veranstalterinnen und Veranstalter melden sich per E-Mail-Magic-Link an, um Rallyes anzulegen und zu moderieren.

3. Welche Daten werden verarbeitet?

Spieler (ohne eigenes Konto):

Veranstalter (mit Konto):

Plattform-Support (nur autorisierte Personen):

4. Rechtsgrundlagen (Art. 6 DSGVO)

Für Fotos von Minderjährigen gelten erhöhte Anforderungen: informierte, freiwillige und widerrufliche Einwilligung (Art. 7, Art. 8 DSGVO), keine pauschale Freigabe, keine Veröffentlichung in sozialen Medien ohne gesonderte Einwilligung. Viele Schulämter empfehlen Löschung spätestens nach Ende des Schuljahres bzw. unmittelbar nach der Veranstaltung.

5. Speicherdauer & Löschung

Rallye-Daten (Teams, Einsendungen, Medien) werden für die Dauer der Veranstaltung gespeichert und automatisch spätestens 30 Tage nach Anlage der Rallye gelöscht (tägliche serverseitige Löschaufgabe). Veranstalter können ihre Rallyes zusätzlich jederzeit selbst vollständig löschen (unter „Meine Rallyes“ – /organizer); der Plattform-Support kann Rallyes sperren oder auf Anfrage löschen. Beim Löschen werden Firestore-Daten, Medien im Cloud Storage sowie interne Zugangs-Verweise entfernt.

Zugangs-Wiederherstellung: Bei Anmeldung mit derselben E-Mail sind die Admin-/Beamer-Links jederzeit unter „Meine Rallyes“ (/organizer) erneut abrufbar. Der Verlust eines Links bedeutet also keinen Datenverlust, solange der E-Mail-Zugang besteht.

Kontolöschung (Art. 17 DSGVO): Veranstalter können ihr Konto samt aller eigenen Rallyes selbst unter „Meine Rallyes“ löschen. Der Nachweis der AVV-Annahme wird dabei anonymisiert (ohne E-Mail) aus Gründen der Rechenschaftspflicht (Art. 5 Abs. 2 DSGVO) aufbewahrt.

Öffentlich sichtbare Metadaten: Zur Auflösung eines Rallye-Codes sind Rallye-Metadaten (Name, Kurzcode, Status) technisch öffentlich lesbar. Nicht öffentlich sind Medien (Fotos/Videos), Team-Geheimnisse und Zugangs-Token.

6. Hosting, Auftragsverarbeitung & Drittland

6.1 Wer ist wofür verantwortlich?

Bei Nutzung durch Schulen oder andere Veranstalter gilt in der Regel:

Wichtig: Der zwischen Google und seinen Kunden geschlossene Google-Cloud-Datenschutzzusatz (DPA) gilt nicht automatisch für Schulen oder andere Veranstalter, die GroupRally nutzen. Schulen schließen keinen eigenen AVV mit Google nur deshalb ab, weil sie unsere Plattform verwenden. Stattdessen brauchen sie — sofern personenbezogene Spielerdaten verarbeitet werden — einen AVV mit dem Plattform-Betreiber. Dieser AVV muss die Beauftragung von Google als Unterauftragsverarbeiter regeln (Anlage zu Unterauftragsverarbeitern, Art. 28 Abs. 2 DSGVO). Für Schulen: ausfüllbarer AVV zum Ausdrucken; für alle Veranstalter: digitale Akzeptanz bei der Rallye-Erstellung.

6.2 Google als Unterauftragsverarbeiter

Der Plattform-Betreiber hat mit Google den Google-Cloud-Datenschutzzusatz (DPA) geschlossen. Google ist damit Unterauftragsverarbeiter des Plattform-Betreibers. Sie müssen keinen eigenen AVV oder DPA mit Google abschließen, nur weil Sie GroupRally nutzen. Ihr Vertragspartner für die Auftragsverarbeitung ist der Plattform-Betreiber (siehe Impressum und AVV). Weitere Informationen: Firebase Datenschutz & Sicherheit.

6.3 Was Schulen und Veranstalter tun müssen

6.4 Technische Dienste & Drittlandtransfer

Die Anwendung wird über Google Firebase / Google Cloud betrieben (Hosting, Datenbank, Medienspeicher, Authentifizierung, Serverfunktionen). Speicherorte in der EU: Firestore eur3 (EU multi-region), Storage europe-west3 (Frankfurt), Cloud Functions europe-west1.

Firebase-Client-Bibliotheken werden von gstatic.com (Google, USA) geladen; dabei können technische Verbindungsdaten (z. B. IP-Adresse) an Google übermittelt werden. Bei Datenübermittlung in die USA kann das EU-US Data Privacy Framework (DPF) und ergänzend Standardvertragsklauseln (SCC) im Google-DPA relevant sein. Die aktuelle Liste der Google-Unterauftragsverarbeiter: Google Subprocessors.

7. Empfänger & weitere Dienste

Es werden keine Tracking-Cookies oder Analyse-Tools (z. B. Google Analytics) eingesetzt.

8. Cookies & lokale Speicherung

Es werden keine Marketing-Cookies gesetzt. Technisch notwendig sind:

9. Zugriffsschutz & technische Maßnahmen

10. Ihre Rechte

Sie haben das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch (Art. 15–21 DSGVO). Beschwerden können bei einer Datenschutz-Aufsichtsbehörde eingereicht werden.

Spielerinnen und Spieler wenden sich bei Fragen zu ihren Rallye-Daten an die Veranstalterin bzw. den Veranstalter der jeweiligen Rallye (z. B. Lehrkraft). Zusätzlich können Sie den im Impressum genannten Plattform-Ansprechpartner für technische Löschung oder Auskunft kontaktieren.

11. Hinweise für Veranstalter (Schulen & Events)

← Zur Startseite · Impressum · AVV