Datenschutz

Stand: 2. Oktober 2026

1. Verantwortlicher

Verantwortlich für die Datenverarbeitung auf dieser Website und in Schatu ist:

Ein Datenschutzbeauftragter ist nicht bestellt, da hierzu keine gesetzliche Pflicht besteht. Für alle Fragen zum Datenschutz erreichen Sie uns unter der oben genannten E-Mail-Adresse.

2. Hosting und Server-Protokolle

Schatu wird bei der Railway Corporation, 548 Market St PMB 68956, San Francisco, CA 94104, USA („Railway“) betrieben. Website, Programmschnittstelle (API) und Datenbank laufen in Railways Region Europa, also in einem Rechenzentrum in der EU.

Beim Aufruf der Website verarbeiten unsere Server technisch notwendig Ihre IP-Adresse, Datum und Uhrzeit, die aufgerufene Adresse, den Statuscode der Antwort sowie die Angaben Ihres Browsers (User-Agent). Diese Daten werden in Protokollen gespeichert, die Railway nach einer kurzen, vom Anbieter festgelegten Frist löscht. Wir werten sie nur aus, um Störungen und Angriffe zu erkennen und zu beheben.

Rechtsgrundlage ist unser berechtigtes Interesse an einem sicheren und stabilen Betrieb (Art. 6 Abs. 1 lit. f DSGVO). Mit Railway haben wir einen Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO geschlossen. Da Railway seinen Sitz in den USA hat, ist ein Zugriff aus den USA nicht ausgeschlossen. Eine solche Übermittlung stützen wir auf die EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO).

3. Cookies

Wir setzen genau ein Cookie, und zwar erst, wenn Sie sich anmelden: __Host-schatu_session. Es enthält eine zufällige Sitzungskennung, Ihre Benutzer-ID sowie Ausstellungs- und Ablaufzeitpunkt, signiert gegen Manipulation. Es ist für JavaScript nicht lesbar, wird nur über verschlüsselte Verbindungen und nur an unsere eigene Domain gesendet und läuft nach 12 Stunden ab. Beim Abmelden löschen wir es sofort.

Dieses Cookie ist unbedingt erforderlich, damit Sie angemeldet bleiben. Eine Einwilligung ist daher nicht nötig (§ 25 Abs. 2 Nr. 2 TDDDG). Rechtsgrundlage für die damit verbundene Verarbeitung ist die Erfüllung des Nutzungsvertrags (Art. 6 Abs. 1 lit. b DSGVO). Cookies für Tracking, Statistik oder Werbung verwenden wir nicht.

4. Benutzerkonto

Wenn Sie sich registrieren, speichern wir:

• Ihre E-Mail-Adresse und Ihren Anzeigenamen,
• Ihr Passwort, ausschließlich als gesalzenen Hashwert (Argon2id), sodass niemand, auch wir nicht, es im Klartext lesen kann,
• ob Ihre E-Mail-Adresse bestätigt ist und wann Sie das Konto angelegt haben,
• Ihre Vereinsmitgliedschaften und Rollen,
• Ihre aktiven Anmeldesitzungen mit deren Ablaufzeitpunkt.

Diese Daten benötigen wir, um Ihnen Schatu bereitzustellen (Art. 6 Abs. 1 lit. b DSGVO). Ohne E-Mail-Adresse und Passwort ist eine Registrierung nicht möglich. Ihr Anzeigename ist für Mitglieder der Vereine sichtbar, denen Sie angehören.

Wir speichern Ihre Kontodaten, solange Ihr Konto besteht. Sitzungen enden nach 12 Stunden, beim Abmelden oder wenn Sie alle Sitzungen widerrufen. Anzeigenamen, E-Mail-Adresse und Passwort ändern Sie selbst unter „Konto“; eine neue E-Mail-Adresse gilt erst, wenn Sie den Link bestätigen, den wir an sie senden. Dort löschen Sie auch Ihr Konto, oder Sie schreiben uns an mail@schatu.com. Wir löschen es dann zusammen mit Ihren Mitgliedschaften, Sitzungen, offenen Anmeldelinks und Exportvorlagen. Sind Sie die einzige Administration eines Vereins mit weiteren Mitgliedern, ernennen Sie vorher eine andere oder schreiben Sie uns. Vereine und Turniere, die Sie angelegt haben, bleiben bestehen, weil sie dem jeweiligen Verein gehören. Sie sind danach nicht mehr mit Ihrem Konto verknüpft. Einträge im Sicherheitsprotokoll löschen wir wie in Abschnitt 6 beschrieben nach 90 Tagen.

5. E-Mails zur Anmeldung und Sicherheit (Resend)

Wir versenden ausschließlich E-Mails, die für Ihr Konto nötig sind: Links zur Bestätigung der Registrierung und neuer E-Mail-Adressen, Anmeldelinks, Links zum Zurücksetzen des Passworts sowie Hinweise auf neue Anmeldungen, Passwort- und Adressänderungen und die Löschung des Kontos. Ein Anmeldehinweis enthält Zeitpunkt und IP-Adresse der Anmeldung, damit Sie fremde Zugriffe erkennen können. Newsletter oder Werbung versenden wir nicht.

Für den Versand nutzen wir Resend, einen Dienst der Plus Five Five, Inc., 2261 Market Street #5039, San Francisco, CA 94114, USA. Resend erhält dafür Ihre E-Mail-Adresse und den Inhalt der Nachricht. Bis zum Versand liegen die Nachrichten verschlüsselt in unserer Datenbank. Nach dem Versand oder Ablauf löschen wir den Inhalt und behalten nur Versandstatus und Zeitpunkt. Links in diesen E-Mails sind einmalig verwendbar und nach 15 bzw. 30 Minuten ungültig.

Rechtsgrundlage ist die Erfüllung des Nutzungsvertrags (Art. 6 Abs. 1 lit. b DSGVO), für Sicherheitshinweise zusätzlich unser berechtigtes Interesse am Schutz Ihres Kontos (Art. 6 Abs. 1 lit. f DSGVO). Mit Resend besteht ein Vertrag zur Auftragsverarbeitung. Die Übermittlung in die USA stützen wir auf die EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO).

6. Schutz vor Missbrauch

Um Konten vor automatisierten Anmeldeversuchen zu schützen, zählen wir Anfragen je IP-Adresse und je E-Mail-Adresse in Zeitfenstern von 15 Minuten. Dafür speichern wir nicht die Adressen selbst, sondern nur Hashwerte, die mit einem geheimen Schlüssel gebildet werden.

Sicherheitsrelevante Vorgänge protokollieren wir mit Zeitpunkt, IP-Adresse und gegebenenfalls Ihrer Benutzer-ID. Dazu gehören Anmeldungen, Passwortänderungen, das Widerrufen von Sitzungen, Änderungen an Mitgliedschaften und Rollen, Verwaltungsvorgänge in Turnieren, Einsichten von Plattform-Administratoren in fremde Vereine sowie abgewiesene oder gedrosselte Anfragen. Diese Einträge dienen dazu, Angriffe und Missbrauch zu erkennen und aufzuklären. Wir löschen sie automatisch nach 90 Tagen. Die Zähler für Anmeldeversuche löschen wir, sobald ihr Zeitfenster abgelaufen ist.

Rechtsgrundlage ist unser berechtigtes Interesse an der Sicherheit von Schatu und der Konten unserer Nutzer (Art. 6 Abs. 1 lit. f DSGVO).

7. Vereins- und Turnierdaten

Vereine verwalten in Schatu ihre Mitglieder, Rollen und Turniere. Dabei werden insbesondere verarbeitet: Namen und Rollen der Vereinsmitglieder, Name, Wertungszahl, Verein und gegebenenfalls DSB-Mitgliedsnummer von Turnierteilnehmern (auch von Personen ohne eigenes Konto) sowie Paarungen und Ergebnisse.

Für diese Daten ist der jeweilige Verein verantwortlich. Wir verarbeiten sie in seinem Auftrag und nur nach seinen Weisungen, auf Grundlage eines Vertrags zur Auftragsverarbeitung nach Art. 28 DSGVO, den jeder Verein mit uns abschließt (AVV). Mitgliederlisten und Turniere eines Vereins, einschließlich Teilnehmernamen, Wertungszahlen und Ergebnissen, sind nur für Mitglieder des Vereins sichtbar, soweit der Verein sie nicht auf seiner öffentlichen Vereinsseite veröffentlicht (unten). Darüber hinaus können die Plattform-Administratoren von Schatu (derzeit ausschließlich der Betreiber) alle Vereine mit ihren Mitgliederlisten und Turnieren einsehen, aber nur zu den im AVV genannten Zwecken wie Betrieb, Support und Sicherheit; diese Zugriffe werden protokolliert. Löscht ein Verein ein Turnier oder einen Teilnehmer, werden die zugehörigen Daten gelöscht. Wenn Sie als Mitglied oder Turnierteilnehmer Fragen haben oder Rechte geltend machen möchten, wenden Sie sich bitte an Ihren Verein. Anfragen, die uns erreichen, leiten wir an den Verein weiter.

Öffentliche Vereinsseiten

Jeder Verein kann unter schatu.com/verein/… eine öffentliche Seite betreiben, die ohne Konto abrufbar ist. Ob es sie gibt und was sie zeigt, entscheiden allein die Vereinsadmins: neben Beschreibung und Kontakt des Vereins wahlweise die Mitgliederzahl, die Anzeigenamen der Vereinsadmins und vom Verein freigegebene Turniere, auf Wunsch mit Teilnehmernamen, Paarungen, Ergebnissen und Tabellen sowie mit Wertungszahlen und Vereinen der Teilnehmer. Alle Angaben zu Personen sind zunächst ausgeschaltet. Mitgliederlisten, DSB-Mitgliedsnummern und E-Mail-Adressen lassen sich nicht veröffentlichen.

Verantwortlich für die Veröffentlichung ist der jeweilige Verein, der auf der Seite genannt ist. Er braucht dafür eine Rechtsgrundlage, in der Regel sein berechtigtes Interesse an der Information über seinen Spielbetrieb (Art. 6 Abs. 1 lit. f DSGVO) oder Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), und muss Sie vorher informieren. Wir veröffentlichen nur, was der Verein eingeschaltet hat, und nutzen die Daten nicht für eigene Zwecke. Möchten Sie der Veröffentlichung Ihrer Daten widersprechen (Art. 21 DSGVO) oder andere Rechte geltend machen, wenden Sie sich bitte an den Verein; Anfragen an uns leiten wir weiter. Sofern der Verein es nicht ausdrücklich erlaubt, bitten wir Suchmaschinen, die Seite nicht aufzunehmen. Öffentliche Vereinsseiten setzen keine Cookies und enthalten kein Tracking; beim Abruf entstehen nur die Server-Protokolle nach Abschnitt 2.

Schließt ein Vereinsadmin den AVV für den Verein ab, speichern wir Verein, Fassung, Zeitpunkt und wer ihn abgeschlossen hat. Dafür sind wir selbst verantwortlich. Wir benötigen den Eintrag als Nachweis des Vertragsschlusses (Art. 6 Abs. 1 lit. f DSGVO). Wird das Konto dieser Person gelöscht, entfällt der Bezug zu ihr; der Eintrag selbst bleibt als Nachweis für den Verein bestehen.

8. DWZ-Daten des Deutschen Schachbundes

Damit Vereine Spieler schnell und fehlerfrei für Turniere erfassen und mit ihrer aktuellen Wertungszahl setzen können, fragt Schatu DWZ-Daten bei Bedarf live über die öffentliche REST-Schnittstelle des Wertungsportals ab. Quelle dieser Daten und zugleich Empfänger unserer Anfragen ist der Deutsche Schachbund e. V. (DSB), Hanns-Braun-Straße, Friesenhaus I, 14053 Berlin; das Wertungsportal betreibt die nu Datenautomaten GmbH für den DSB. Die Daten haben wir nicht bei Ihnen selbst erhoben (Art. 14 DSGVO).

Schatu speichert keine Kopie der DWZ-Daten. Wir importieren keinen DSB-Datenbestand, weder vollständig noch in Ausschnitten, und gleichen keinen Datenbestand regelmäßig ab.

Wann wir das Wertungsportal abfragen

Nur auf Anforderung in Schatu, und zwar wenn

• ein berechtigter Vereinsnutzer (wer im Verein Turniere oder Mitglieder verwalten darf) nach Spielern oder Vereinen sucht,
• ein berechtigter Vereinsnutzer einen Spieler zu einem Turnier anmeldet, ein Mitglied mit einer DSB-Mitgliedsnummer verknüpft oder die Wertungszahlen eines Turniers aktualisiert,
• ein Vereinsmitglied die Mitgliederliste seines Vereins oder ein Nutzer sein eigenes Konto aufruft und dort die aktuelle DWZ bereits verknüpfter Personen angezeigt wird.

Übermittelt werden dabei nur der eingegebene Suchbegriff (etwa ein Name), die DSB-Mitgliedsnummer oder die DSB-Vereinsnummer. Die Anfragen stellt unser Server, nicht Ihr Browser; der DSB erhält daher nicht Ihre IP-Adresse, sondern die unseres Servers, und erfährt nicht, welcher Nutzer angefragt hat. Anzeigenamen, E-Mail-Adressen, Rollen oder Turnierdaten aus Schatu erhält der DSB nicht.

Welche Daten wir aus den Antworten verwenden

• DSB-Mitgliedsnummer, Vor- und Nachname,
• DWZ mit Index,
• Vereinszugehörigkeit (Vereinsnummer, Vereinsname, aktiv oder passiv).

Weitere Angaben, die das Wertungsportal mitliefert, etwa Geburtsjahr, Geschlecht, FIDE-ID oder Mitgliedsnummer im Verein, verwerfen wir sofort beim Empfang. Durchsuchen können die Daten nur die oben genannten berechtigten Vereinsnutzer; öffentlich sind sie in Schatu nicht.

Was gespeichert wird

Gespeichert wird nur, was ein Verein selbst anlegt: Verknüpft er ein Mitglied oder einen Turnierteilnehmer mit einem DSB-Eintrag, speichern wir beim jeweiligen Mitglieds- oder Turnierdatensatz die dafür nötige Referenz, also die DSB-Mitgliedsnummer (bei der Vereinszuordnung die DSB-Vereinsnummer). Bei Turnierteilnehmern gehören außerdem Name, Wertungszahl und Verein zur Startliste, so wie sie bei der Anmeldung übernommen oder später vom Verein aktualisiert wurden (siehe Abschnitt 7). Diese Angaben verarbeiten wir im Auftrag des Vereins; sie bleiben bestehen, bis der Verein sie ändert oder löscht.

Die aktuelle DWZ zu einer gespeicherten DSB-Mitgliedsnummer beziehen wir jeweils bei Bedarf neu aus dem Wertungsportal. Damit nicht jeder Seitenaufruf erneut beim DSB nachfragt, hält unser Server Antworten zu einzelnen Spielern höchstens 15 Minuten im Arbeitsspeicher, das Vereinsverzeichnis (Vereinsnummern und -namen, ohne Personen) bis zu sechs Stunden. Danach und bei jedem Neustart werden sie verworfen; in die Datenbank, auf Datenträger oder in Sicherungen gelangen sie nicht. Berichtigungen Ihrer DWZ- oder Vereinsdaten nimmt der DSB bzw. Ihr Landesverband vor; Schatu zeigt sie spätestens 15 Minuten danach an.

Rechtsgrundlage

Rechtsgrundlage ist unser berechtigtes Interesse und das der Vereine, Turniere mit korrekten, aktuellen Wertungszahlen auszurichten (Art. 6 Abs. 1 lit. f DSGVO). Der DSB stellt diese Daten über seine öffentliche Schnittstelle gerade zu dem Zweck bereit, dass Vereine und Turnierveranstalter sie nutzen. Zu Ihrem Widerspruchsrecht siehe Abschnitt 12.

Informationen nach Art. 14 DSGVO auf einen Blick

Diese Angaben richten sich an alle Schachspielerinnen und Schachspieler, deren Daten im Wertungsportal des DSB geführt werden, auch wenn sie Schatu selbst nicht nutzen und kein Konto bei uns haben.

• Verantwortlicher: Johannes Müller, Kontakt siehe Abschnitt 1, E-Mail mail@schatu.com.
• Quelle der Daten: das öffentlich zugängliche Wertungsportal des Deutschen Schachbundes e. V. (DSB), abgefragt über dessen öffentliche REST-Schnittstelle.
• Kategorien von Daten: DSB-Mitgliedsnummer, Vor- und Nachname, DWZ mit Index, Vereinszugehörigkeit (Vereinsnummer, Vereinsname, aktiv oder passiv). Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) verarbeiten wir nicht.
• Zweck: Spieler für Turniere suchen und anmelden, Mitglieder ihrem DSB-Eintrag zuordnen sowie Turniere mit aktuellen Wertungszahlen setzen und auswerten.
• Rechtsgrundlage und berechtigtes Interesse: Art. 6 Abs. 1 lit. f DSGVO; das Interesse der Vereine und unseres, Turniere mit korrekten, aktuellen Wertungszahlen auszurichten, ohne diese Daten von Hand abzutippen.
• Empfänger: nur berechtigte Vereinsnutzer in Schatu (wer im Verein Turniere oder Mitglieder verwalten darf) sowie Mitglieder des jeweiligen Vereins bei bereits verknüpften Personen; technisch unser Hosting-Dienstleister Railway (Abschnitt 2). Es gibt keine öffentliche Anzeige und keine Weitergabe an sonstige Dritte.
• Drittlandübermittlung: Die Verarbeitung findet in einem Rechenzentrum in der EU statt; zur Einordnung von Railway als US-Anbieter siehe Abschnitt 2.
• Speicherdauer: Antworten zu einzelnen Spielern höchstens 15 Minuten im Arbeitsspeicher, ohne Kopie in Datenbank oder Sicherungen. Von Vereinen angelegte Verknüpfungen und Startlisten bleiben bestehen, bis der Verein sie ändert oder löscht.
• Ihre Rechte: Auskunft, Berichtigung, Löschung, Einschränkung, Widerspruch und Beschwerde bei einer Aufsichtsbehörde (Abschnitt 12). Eine E-Mail an mail@schatu.com genügt.
• Automatisierte Entscheidungen: Eine automatisierte Entscheidungsfindung einschließlich Profiling findet nicht statt.

9. Kontakt per E-Mail (Tuta)

Wenn Sie uns an mail@schatu.com schreiben, verarbeiten wir Ihre E-Mail-Adresse, Ihren Namen und den Inhalt Ihrer Nachricht, um Ihre Anfrage zu beantworten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit Ihre Anfrage den Nutzungsvertrag betrifft, sonst unser berechtigtes Interesse an der Beantwortung (Art. 6 Abs. 1 lit. f DSGVO). Wir löschen die Korrespondenz, sobald sie erledigt ist und keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

Unser Postfach wird bei Tuta betrieben, einem Dienst der Tutao GmbH, Deisterstraße 17a, 30449 Hannover, Deutschland. Tuta speichert E-Mails verschlüsselt auf Servern in Deutschland. Mit Tuta besteht ein Vertrag zur Auftragsverarbeitung.

10. Domain und DNS (Namecheap)

Unsere Domain ist bei Namecheap, Inc., 4600 East Washington Street, Suite 300, Phoenix, AZ 85034, USA, registriert, und Namecheap betreibt die Namensauflösung (DNS). Dabei erhält Namecheap in der Regel nur die IP-Adresse des DNS-Servers, den Ihr Gerät nutzt (etwa den Ihres Internetanbieters), nicht Ihre eigene. Inhalte dieser Website laufen nicht über Namecheap.

11. Empfänger und Drittlandübermittlung

Personenbezogene Daten geben wir nur an die oben genannten Dienstleister weiter, soweit es für den jeweiligen Zweck nötig ist. Empfänger ist außerdem der Deutsche Schachbund e. V. (DSB), bei dessen Wertungsportal wir DWZ-Daten abfragen (Abschnitt 8): Er erhält Suchbegriffe, DSB-Mitgliedsnummern und Vereinsnummern, aber keine E-Mail-Adressen, Anzeigenamen, Rollen oder Turnierdaten aus Schatu. Der DSB ist zugleich Quelle der DWZ-Daten. Wir verkaufen keine Daten und geben sie nicht zu Werbezwecken weiter. Übermittlungen in die USA erfolgen nur auf den in den jeweiligen Abschnitten genannten Grundlagen. Eine automatisierte Entscheidungsfindung einschließlich Profiling (Art. 22 DSGVO) findet nicht statt.

12. Ihre Rechte

Sie haben gegenüber uns das Recht auf

• Auskunft über Ihre gespeicherten Daten (Art. 15 DSGVO),
• Berichtigung unrichtiger Daten (Art. 16 DSGVO),
• Löschung (Art. 17 DSGVO),
• Einschränkung der Verarbeitung (Art. 18 DSGVO),
• Datenübertragbarkeit (Art. 20 DSGVO),
• Widerspruch gegen die Verarbeitung (Art. 21 DSGVO, siehe unten).

Schreiben Sie uns dazu einfach an mail@schatu.com. Sie haben außerdem das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren. Für uns zuständig ist der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg, Lautenschlagerstraße 20, 70173 Stuttgart (baden-wuerttemberg.datenschutz.de).

13. Datensicherheit

Alle Verbindungen zu Schatu sind per TLS verschlüsselt. Passwörter speichern wir nur als Argon2id-Hashwerte, Anmeldelinks nur als Hashwerte, und ausgehende E-Mails liegen bis zum Versand verschlüsselt in der Datenbank. Zugriffsrechte innerhalb von Schatu richten sich nach Ihren Rollen im jeweiligen Verein.

Die Datenbank wird bei Railway automatisch gesichert, damit wir sie nach einem Ausfall oder Fehler wiederherstellen können. Die Sicherungen werden nach spätestens 90 Tagen automatisch gelöscht. Daten, die wir löschen, bleiben bis dahin in älteren Sicherungen enthalten. Wir nutzen sie nur zur Wiederherstellung und löschen sie danach erneut.

14. Änderungen

Wir passen diese Datenschutzerklärung an, wenn sich Schatu oder die Rechtslage ändert. Es gilt jeweils die hier veröffentlichte Fassung.