Diese Erklärung ist in drei Teile gegliedert: Teil A betrifft die Nutzung unserer Website ballers53.com. Teil B betrifft die Anbahnung, den Abschluss und die Durchführung eines Reisevertrags mit uns, insbesondere die Verarbeitung von Buchungs- und Teilnehmendendaten. Teil C betrifft unser Kundenportal und unsere Apps. Die nachfolgenden allgemeinen Abschnitte 1 bis 8 gelten für alle Teile.

Allgemeine Angaben (gelten für alle Teile)

1. Verantwortlicher

Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO ist:

BALLERS53 GmbH

Röttgener Straße 192, 53127 Bonn

Amtsgericht Bonn, HRB 30717

Vertreten durch die Geschäftsführer Francisco Javier Lahora Chulian und Frederic Groß

Telefon: +49 228 97168653

E-Mail: hello@ballers53.com

2. Datenschutzbeauftragter

Wir sind gesetzlich nicht verpflichtet, einen Datenschutzbeauftragten zu benennen. Bei Fragen zum Datenschutz sowie zur Ausübung deiner Rechte kannst du dich jederzeit an privacy@ballers53.com oder an die vorstehenden Kontaktdaten wenden.

3. Begriffe, Grundsätze und Rechtsgrundlagen

(1) Die in dieser Erklärung verwendeten Begriffe wie „personenbezogene Daten", „Verarbeitung", „Verantwortlicher" oder „Auftragsverarbeiter" entsprechen den Definitionen des Art. 4 DSGVO.

(2) Wir verarbeiten personenbezogene Daten stets rechtmäßig, nach Treu und Glauben, in einer für dich nachvollziehbaren Weise sowie zweckgebunden und auf das notwendige Maß beschränkt.

(3) Wir stützen die Verarbeitung, soweit im Einzelnen nichts anderes angegeben ist, auf eine der folgenden Rechtsgrundlagen:

• Art. 6 Abs. 1 lit. a DSGVO — Einwilligung, wenn du in die Verarbeitung eingewilligt hast;
• Art. 6 Abs. 1 lit. b DSGVO — Erfüllung eines Vertrags oder Durchführung vorvertraglicher Maßnahmen;
• Art. 6 Abs. 1 lit. c DSGVO — Erfüllung einer rechtlichen Verpflichtung, der wir unterliegen;
• Art. 6 Abs. 1 lit. f DSGVO — Wahrung unserer berechtigten Interessen oder der eines Dritten, sofern deine Interessen nicht überwiegen;
• Art. 9 Abs. 2 lit. a DSGVO — ausdrückliche Einwilligung, soweit besondere Kategorien personenbezogener Daten (etwa Gesundheitsdaten) verarbeitet werden.

4. Empfänger und Auftragsverarbeitung

(1) Innerhalb unseres Unternehmens erhalten nur die Personen Zugriff auf deine Daten, die diesen zur Erfüllung ihrer Aufgaben benötigen.

(2) Wir setzen für einzelne Verarbeitungen sorgfältig ausgewählte Dienstleister ein, die Daten in unserem Auftrag und nach unserer Weisung verarbeiten (Auftragsverarbeitung nach Art. 28 DSGVO). Mit diesen Dienstleistern haben wir die gesetzlich vorgeschriebenen Verträge zur Auftragsverarbeitung geschlossen.

(3) Eine Weitergabe an sonstige Dritte erfolgt nur, wenn dies zur Vertragsdurchführung erforderlich ist, du eingewilligt hast, wir gesetzlich dazu verpflichtet sind oder die Weitergabe zur Wahrung berechtigter Interessen zulässig ist. Wir verkaufen deine Daten nicht.

5. Übermittlung in Drittländer

(1) Einzelne von uns eingesetzte Dienstleister haben ihren Sitz in den Vereinigten Staaten von Amerika oder verarbeiten Daten dort. Soweit dies der Fall ist, weisen wir im jeweiligen Abschnitt darauf hin.

(2) Eine Übermittlung in die USA erfolgt auf Grundlage des Angemessenheitsbeschlusses der Europäischen Kommission vom 10. Juli 2023, sofern der jeweilige Dienstleister unter dem EU-U.S. Data Privacy Framework zertifiziert ist. Ist ein Dienstleister nicht zertifiziert, stützen wir die Übermittlung auf die Standardvertragsklauseln der Europäischen Kommission nach Art. 46 Abs. 2 lit. c DSGVO nebst ergänzenden Schutzmaßnahmen.

6. Speicherdauer

Wir verarbeiten und speichern deine Daten nur so lange, wie es für die jeweiligen Zwecke erforderlich ist oder wie es gesetzliche Aufbewahrungsfristen vorsehen. Entfällt der Zweck und bestehen keine Aufbewahrungspflichten, werden die Daten gelöscht oder anonymisiert. Konkrete Fristen nennen wir in den jeweiligen Abschnitten sowie zusammenfassend in der Übersicht am Ende von Teil B.

7. Deine Rechte

(1) Dir stehen gegenüber uns folgende Rechte hinsichtlich deiner personenbezogenen Daten zu: Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16 DSGVO), Löschung (Art. 17 DSGVO), Einschränkung der Verarbeitung (Art. 18 DSGVO), Datenübertragbarkeit (Art. 20 DSGVO) sowie Widerspruch gegen die Verarbeitung (Art. 21 DSGVO).

(2) Widerspruchsrecht: Soweit wir deine Daten auf Grundlage berechtigter Interessen (Art. 6 Abs. 1 lit. f DSGVO) verarbeiten, hast du das Recht, aus Gründen, die sich aus deiner besonderen Situation ergeben, jederzeit Widerspruch gegen diese Verarbeitung einzulegen. Richtet sich die Verarbeitung gegen Direktwerbung, hast du ein Widerspruchsrecht ohne Angabe von Gründen.

(3) Hast du in eine Verarbeitung eingewilligt, kannst du diese Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt.

(4) Zur Ausübung deiner Rechte genügt eine Nachricht an privacy@ballers53.com oder an die unter Ziffer 1 genannten Kontaktdaten.

(5) Beschwerderecht: Du hast das Recht, dich bei einer Datenschutz-Aufsichtsbehörde über die Verarbeitung deiner Daten zu beschweren (Art. 77 DSGVO). Die für uns zuständige Aufsichtsbehörde ist die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen, Kavalleriestraße 2–4, 40213 Düsseldorf.

8. Datensicherheit

Wir treffen angemessene technische und organisatorische Maßnahmen, um deine Daten gegen Verlust, Manipulation und unberechtigten Zugriff zu schützen, und passen diese fortlaufend an den Stand der Technik an. Unsere Website nutzt eine TLS-Verschlüsselung. Wir weisen darauf hin, dass die Datenübertragung per unverschlüsselter E-Mail Sicherheitslücken aufweisen kann.

Dieser Teil gilt für den Besuch und die Nutzung unserer Website ballers53.com. Die Verarbeitungen im Zusammenhang mit einer Buchung sind in Teil B beschrieben.

A1. Bereitstellung der Website und Hosting

(1) Unsere Website wird über den Dienst Webflow der Webflow, Inc., 398 11th Street, 2nd Floor, San Francisco, CA 94103, USA, bereitgestellt und gehostet. Webflow verarbeitet dabei in unserem Auftrag die technischen Daten, die für die Auslieferung der Website erforderlich sind.

(2) Rechtsgrundlage ist unser berechtigtes Interesse an einer sicheren und effizienten Bereitstellung unseres Online-Angebots (Art. 6 Abs. 1 lit. f DSGVO). Zur Übermittlung in die USA gilt Ziffer 5 der allgemeinen Angaben.

A2. Server-Logfiles

(1) Bei jedem Aufruf der Website werden automatisch Informationen erfasst, die dein Browser übermittelt und die technisch erforderlich sind, um dir die Website anzuzeigen und ihre Stabilität und Sicherheit zu gewährleisten. Hierzu gehören insbesondere die IP-Adresse, Datum und Uhrzeit des Zugriffs, die konkret aufgerufene Seite, der Zugriffsstatus, die übertragene Datenmenge sowie Browsertyp und Betriebssystem.

(2) Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt in der technisch fehlerfreien Darstellung und der Sicherheit der Website.

(3) Die Verarbeitung dieser Logdaten erfolgt bei unserem Hosting-Dienstleister. Sie werden nach 7 Tagen gelöscht, sofern nicht im Einzelfall eine längere Speicherung zur Aufklärung eines Sicherheitsvorfalls erforderlich ist.

A3. Cookies und Einwilligungsverwaltung

(1) Auf unserer Website setzen wir Cookies und vergleichbare Technologien ein. Cookies sind kleine Textdateien, die auf deinem Endgerät gespeichert werden. Technisch notwendige Cookies, die für den Betrieb der Website erforderlich sind, setzen wir auf Grundlage des § 25 Abs. 2 TDDDG sowie unseres berechtigten Interesses nach Art. 6 Abs. 1 lit. f DSGVO ein.

(2) Alle nicht notwendigen Cookies und Technologien, insbesondere zu Statistik- und Marketingzwecken, setzen wir nur mit deiner vorherigen Einwilligung ein (§ 25 Abs. 1 TDDDG, Art. 6 Abs. 1 lit. a DSGVO). Über unser Einwilligungsbanner kannst du deine Auswahl in den Kategorien Statistik und Marketing treffen und jederzeit mit Wirkung für die Zukunft ändern oder widerrufen.

(3) Das Einwilligungsbanner wird von uns selbst betrieben; wir setzen hierfür keinen Dienst eines Drittanbieters ein. Ergänzend haben wir den Google Consent Mode v2 in der Betriebsart „Basic" eingebunden. Dieser stellt sicher, dass Google-Dienste erst nach deiner Einwilligung Daten verarbeiten und dass vor einer Einwilligung weder Cookies gesetzt noch personenbezogene Signale an Google übertragen werden.

(4) Du kannst Cookies zudem über die Einstellungen deines Browsers verwalten oder löschen. Werden notwendige Cookies deaktiviert, kann es sein, dass einzelne Funktionen der Website nicht mehr zur Verfügung stehen.

A4. Google Analytics 4

(1) Soweit du eingewilligt hast, nutzen wir Google Analytics 4, einen Webanalysedienst der Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland (nachfolgend „Google"). Google Analytics verwendet Cookies und ähnliche Kennungen, um die Nutzung der Website auszuwerten und Reports über die Websiteaktivitäten zusammenzustellen. Unsere Mess-Kennung lautet G-C9Q73XM91Y.

(2) Die IP-Adresse wird von Google Analytics 4 gekürzt und nicht mit anderen Daten von Google zusammengeführt, um einen Personenbezug zu vermeiden. Eine Verarbeitung von Daten auf Servern in den USA kann nicht ausgeschlossen werden; insoweit gilt Ziffer 5 der allgemeinen Angaben.

(3) Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO in Verbindung mit § 25 Abs. 1 TDDDG). Du kannst deine Einwilligung jederzeit über das Einwilligungsbanner widerrufen.

(4) Die über Google Analytics erhobenen nutzer- und ereignisbezogenen Daten werden nach 14 Monaten automatisch gelöscht.

A5. Google Ads – Conversion-Tracking und Remarketing

(1) Soweit du eingewilligt hast, nutzen wir Google Ads der Google Ireland Limited, um für unsere Angebote zu werben und den Erfolg dieser Werbung zu messen. Dabei kommen Conversion-Tracking und Remarketing zum Einsatz. Über ein Cookie kann nachvollzogen werden, ob du nach dem Klick auf eine Anzeige eine bestimmte Handlung auf unserer Website vornimmst (etwa das Absenden einer Anfrage). Unsere Conversion-Kennung lautet AW-18342989390.

(2) Beim Remarketing können dir auf anderen Websites Anzeigen von BALLERS53 angezeigt werden. Eine Zusammenführung mit deinem Google-Konto findet nur statt, wenn du in den Einstellungen deines Google-Kontos die personalisierte Werbung aktiviert hast.

(3) Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO in Verbindung mit § 25 Abs. 1 TDDDG), die du jederzeit widerrufen kannst. Zur Übermittlung in die USA gilt Ziffer 5.

A5a. Meta Pixel

(1) Soweit du in der Kategorie Marketing eingewilligt hast, nutzen wir auf unserer Website das Meta Pixel der Meta Platforms Ireland Limited, Merrion Road, Dublin 4, D04 X2K5, Irland („Meta“). Damit messen wir, wie wirksam unsere Anzeigen auf Facebook und Instagram sind, und können Personen, die unsere Website besucht haben, dort gezielt Anzeigen zeigen (Remarketing). Erfasst werden der Seitenaufruf und das erfolgreiche Absenden einer Anfrage über unser Formular (Ereignis „Lead“) sowie technische Angaben wie IP-Adresse, Browser- und Geräteinformationen, die aufgerufene Seite und Cookie-Kennungen (_fbp, _fbc). Den Inhalt deiner Anfrage übermitteln wir nicht an Meta. Unsere Pixel-ID lautet 1112740608357273.

(2) Bist du bei Facebook oder Instagram angemeldet, kann Meta den Besuch deinem Konto zuordnen. Wie Meta diese Daten verwendet, erfährst du in der Datenschutzrichtlinie von Meta unter facebook.com/privacy/policy.

(3) Für die Erhebung der Daten auf unserer Website und ihre Übermittlung an Meta sind wir gemeinsam mit Meta verantwortlich (Art. 26 DSGVO). Grundlage ist die Vereinbarung von Meta für gemeinsam Verantwortliche (facebook.com/legal/controller_addendum). Danach ist Meta dafür zuständig, deine Betroffenenrechte hinsichtlich der bei Meta verarbeiteten Daten zu erfüllen; du kannst dich mit deinen Anliegen aber auch an uns wenden. Für die anschließende Verarbeitung durch Meta ist Meta allein verantwortlich.

(4) Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO in Verbindung mit § 25 Abs. 1 TDDDG). Ohne Einwilligung wird das Meta Pixel nicht geladen. Du kannst deine Einwilligung jederzeit mit Wirkung für die Zukunft über die Cookie-Einstellungen widerrufen; danach wird das Pixel nicht mehr geladen und die Meta-Cookies werden gelöscht. Das Cookie _fbp wird bis zu 90 Tage gespeichert.

(5) Meta kann Daten auch an die Meta Platforms, Inc., 1 Meta Way, Menlo Park, CA 94025, USA übermitteln. Meta ist unter dem EU-U.S. Data Privacy Framework zertifiziert; im Übrigen gilt Ziffer 5.

A6. Schriftarten

Zur einheitlichen Darstellung setzen wir Schriftarten ein, die lokal von unserem Server ausgeliefert werden. Es wird dabei keine Verbindung zu Servern externer Anbieter aufgebaut; insbesondere nutzen wir keine extern eingebundenen Google Fonts.

A7. Kontaktaufnahme und Anfrageformular

(1) Auf unserer Website kannst du über ein Formular oder per E-Mail Kontakt mit uns aufnehmen, insbesondere um ein Angebot für den BALLERS CUP anzufragen. Dabei verarbeiten wir die von dir angegebenen Daten, etwa Name, Verein, E-Mail-Adresse, Telefonnummer sowie den Inhalt deiner Anfrage, um diese zu bearbeiten und zu beantworten.

(2) Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, wenn die Anfrage auf den Abschluss oder die Durchführung eines Vertrags gerichtet ist, im Übrigen unser berechtigtes Interesse an der Beantwortung von Anfragen (Art. 6 Abs. 1 lit. f DSGVO) oder deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO).

(3) Wir speichern die Anfragedaten, bis das jeweilige Anliegen abschließend bearbeitet ist, und löschen sie anschließend, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Führt die Anfrage zu einer Buchung, gelten die Angaben in Teil B.

A8. Einsatz von HubSpot (CRM und Formulare)

(1) Für unsere Anfrageformulare, die Kundenkommunikation und unsere Kundenverwaltung nutzen wir das System HubSpot der HubSpot, Inc., 2 Canal Park, Cambridge, MA 02141, USA. HubSpot verarbeitet die im Rahmen von Anfragen und der Vertragsanbahnung anfallenden Daten in unserem Auftrag.

(2) Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO für die vertragsbezogene Verarbeitung sowie Art. 6 Abs. 1 lit. f DSGVO für unser berechtigtes Interesse an einem effizienten Anfrage- und Kundenmanagement. Zur Übermittlung in die USA gilt Ziffer 5.

A9. Präsenz in sozialen Netzwerken

(1) Wir unterhalten öffentlich zugängliche Profile in sozialen Netzwerken, derzeit bei Instagram (@ballers.53), TikTok (@ballers.53) und LinkedIn (BALLERS53). Besuchst du diese Profile oder interagierst du mit ihnen, verarbeiten die jeweiligen Anbieter deine Daten in eigener Verantwortung nach ihren Datenschutzbestimmungen.

(2) Soweit wir mit dem jeweiligen Anbieter für bestimmte Verarbeitungen gemeinsam verantwortlich sind (Art. 26 DSGVO), verarbeiten wir die Daten, um mit dir zu kommunizieren und unsere Inhalte und Angebote bekannt zu machen. Rechtsgrundlage ist unser berechtigtes Interesse an einer wirksamen Außendarstellung (Art. 6 Abs. 1 lit. f DSGVO).

A10. Kontakt über WhatsApp Business

Du kannst uns über WhatsApp Business kontaktieren. Wir verarbeiten dann die von dir übermittelten Daten, um dein Anliegen zu bearbeiten. Nimmst du diesen Weg, verarbeitet auch der Betreiber (WhatsApp Ireland Limited) Daten nach seinen eigenen Bestimmungen. Rechtsgrundlage ist deine mit der Kontaktaufnahme erklärte Einwilligung (Art. 6 Abs. 1 lit. a DSGVO) sowie, bei vertragsbezogenen Anliegen, Art. 6 Abs. 1 lit. b DSGVO. Wenn du diese Verarbeitung vermeiden möchtest, kannst du uns auch per Telefon, E-Mail oder Post erreichen.

A11. Links zu externen Websites

Unsere Website kann Links zu externen Websites Dritter enthalten. Auf deren Inhalte und Datenverarbeitung haben wir keinen Einfluss. Für diese gelten die Datenschutzbestimmungen des jeweiligen Anbieters.

A12. Partner-Aktion mit IN YOUR FACE FOODS (Datenweitergabe und Klaviyo)

(1) Auf unserer Aktionsseite zum BALLERS CUP („Trainer-Erstbezug“) kannst du zusätzlich einwilligen, dass wir bestimmte Daten an unseren Kooperationspartner übermitteln: JanBen UG (haftungsbeschränkt) („IN YOUR FACE FOODS“), Herwarthstr. 9, 12207 Berlin.

(2) Übermittelt werden in diesem Fall Vorname und E-Mail-Adresse sowie – soweit im Formular angegeben – Verein/Team, Spielklasse(n) und ungefähre Teamgröße. Zweck der Übermittlung ist der Versand des persönlichen Codes zum Trainer-Erstbezug sowie von Informationen zur Einlösung durch IN YOUR FACE FOODS.

(3) Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Sie ist freiwillig; das Formular kann auch ohne diese Einwilligung abgesendet werden – in diesem Fall findet keine Übermittlung statt. Du kannst die Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen: uns gegenüber (hello@ballers53.com) oder gegenüber IN YOUR FACE FOODS (info@inyourfacefoods.com); zudem enthält jede E-Mail von IN YOUR FACE FOODS eine Abmeldemöglichkeit.

(4) IN YOUR FACE FOODS setzt für die Verwaltung der Anmeldungen und den E-Mail-Versand den Dienst Klaviyo ein (Klaviyo, Inc., 125 Summer Street, Boston, MA 02110, USA). Die Daten werden bei erteilter Einwilligung unmittelbar aus deinem Browser an Klaviyo übermittelt. Klaviyo ist unter dem EU-U.S. Data Privacy Framework zertifiziert; für die Übermittlung in die USA besteht damit ein Angemessenheitsbeschluss der EU-Kommission (Art. 45 DSGVO). Die Anmeldung wird im Double-Opt-in-Verfahren bestätigt (Bestätigungslink per E-Mail); Zeitpunkt von Anmeldung und Bestätigung werden protokolliert, um die Einwilligung nachweisen zu können (Art. 7 Abs. 1 DSGVO).

(5) Nach der Übermittlung ist IN YOUR FACE FOODS für die weitere Verarbeitung eigenständig Verantwortlicher. Einzelheiten findest du in der Datenschutzerklärung von IN YOUR FACE FOODS.

A13. Gewinnspiel BALLERS CUP 2027 über Facebook und Instagram

(1) Vom Start der Aktion bis zum 15. November 2026 verlosen wir eine Teamreise zum BALLERS CUP 2027. Teilgenommen wird über ein Formular, das direkt in unseren Anzeigen auf Facebook und Instagram angezeigt wird (Lead-Formular von Meta Platforms Ireland Limited, Merrion Road, Dublin 4, D04 X2K5, Irland, „Meta“). Die Teilnahmebedingungen findest du unter ballers53.com/teilnahmebedingungen.

(2) Im Formular erheben wir deinen Vor- und Nachnamen, deine E-Mail-Adresse, Telefonnummer und Postleitzahl sowie deine Rolle im Verein, den Namen deines Vereins, die Altersklasse und die ungefähre Zahl der Mitreisenden. Meta füllt Name, E-Mail-Adresse und Telefonnummer aus deinem Konto vor; du kannst die Angaben vor dem Absenden ändern.

(3) Wir verwenden diese Daten, um das Gewinnspiel durchzuführen: deine Teilnahme zu erfassen, die Gewinnerin oder den Gewinner auszulosen und zu benachrichtigen und den Gewinn abzuwickeln. Rechtsgrundlage ist die Durchführung des Gewinnspiels als Vertragsverhältnis (Art. 6 Abs. 1 lit. b DSGVO).

(4) Im Formular kannst du freiwillig zusätzlich einwilligen, dass wir dich telefonisch, per E-Mail und per WhatsApp zum BALLERS CUP beraten. Nur dann kontaktieren wir dich über die Gewinnbenachrichtigung hinaus. Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Du kannst sie jederzeit mit Wirkung für die Zukunft widerrufen, etwa per E-Mail an privacy@ballers53.com. Die Teilnahme am Gewinnspiel hängt nicht von dieser Einwilligung ab.

(5) Meta verarbeitet die Formulardaten in unserem Auftrag und stellt sie uns zur Verfügung. Wir übernehmen die Daten in unser CRM HubSpot (siehe A8). Meta und HubSpot können Daten auch in den USA verarbeiten; dazu gilt Ziffer 5.

(6) Wir löschen die Daten von Teilnehmenden, die keine Einwilligung nach Absatz 4 erteilt haben, spätestens am 31. Dezember 2026. Die Daten der gewinnenden Person bewahren wir auf, solange es für die Reise und gesetzliche Aufbewahrungspflichten erforderlich ist (siehe B10 und B12). Hast du in die Beratung eingewilligt, speichern wir deine Daten bis zu deinem Widerruf, längstens jedoch bis zum 31. März 2027, sofern daraus keine Buchung entsteht.

(7) Den Namen des Vereins der gewinnenden Person veröffentlichen wir auf Instagram nur mit ihrer Zustimmung.

A14. Werbung auf Facebook und Instagram anhand von Kontaktlisten (Custom Audiences)

(1) Wenn du uns, etwa in einem Telefonat, erlaubt hast, dich zu Werbezwecken zu kontaktieren, können wir deine E-Mail-Adresse nutzen, um dir unsere Anzeigen auch auf Facebook und Instagram zu zeigen. Dazu laden wir die E-Mail-Adresse in verschlüsselter Form (als Hashwert) bei Meta hoch. Meta gleicht den Hashwert mit den bei Meta registrierten Konten ab, bildet daraus eine Zielgruppe („Custom Audience“) und löscht die Hashwerte nach dem Abgleich. Meta verarbeitet die Daten dabei in unserem Auftrag.

(2) Aus einer solchen Zielgruppe kann Meta außerdem eine ähnliche Zielgruppe bilden („Lookalike Audience“). Dabei erhalten wir keine Informationen über einzelne Personen.

(3) Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Du kannst sie jederzeit mit Wirkung für die Zukunft widerrufen, etwa per E-Mail an privacy@ballers53.com. Wir entfernen deine Daten dann bei der nächsten Aktualisierung der Liste, spätestens innerhalb von 30 Tagen.

(4) Für Übermittlungen an Meta in die USA gilt Ziffer 5. Wie Meta Daten verarbeitet, erfährst du unter facebook.com/privacy/policy.

B1. Überblick und betroffene Personen

(1) Wenn ein Verein oder eine Person bei uns eine Reise zum BALLERS CUP anfragt, bucht oder daran teilnimmt, verarbeiten wir personenbezogene Daten, um den Reisevertrag anzubahnen, abzuschließen und durchzuführen.

(2) Betroffen sind insbesondere: der Anmelder und seine für die Buchung handelnden Personen, die einzelnen Reiseteilnehmenden (überwiegend minderjährige Spielerinnen und Spieler der Altersklassen U12 bis U18), die mitreisenden Betreuungspersonen sowie, soweit erforderlich, Sorgeberechtigte.

B2. Herkunft der Daten

(1) Einen Teil der Daten erheben wir unmittelbar beim Anmelder. Die Daten der einzelnen Teilnehmenden, insbesondere die Teilnehmendenliste, erhalten wir in aller Regel nicht von den Teilnehmenden selbst, sondern vom Anmelder (dem buchenden Verein), der sie uns zur Durchführung der Reise übermittelt.

(2) Der Anmelder ist verpflichtet, die betroffenen Teilnehmenden bzw. deren Sorgeberechtigte über die Weitergabe an uns und über diese Datenschutzerklärung zu informieren und die datenschutzrechtlichen Voraussetzungen der Übermittlung sicherzustellen. Wir stellen ihm diese Erklärung hierfür zur Verfügung.

(3) Die Kategorien der von uns verarbeiteten Teilnehmendendaten ergeben sich aus den Ziffern B4 und B5.

B3. Anbahnung und Abschluss des Reisevertrags

(1) Zur Vertragsanbahnung und zum Vertragsschluss verarbeiten wir die Daten des Anmelders und der für ihn handelnden Personen, insbesondere Vereinsname und Anschrift, Ansprechpartner mit Funktion, Kontaktdaten sowie die Angaben zur gebuchten Reise und zu den gewünschten Leistungen.

(2) Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Durchführung vorvertraglicher Maßnahmen und Erfüllung des Reisevertrags). Ohne diese Daten können wir den Vertrag nicht schließen und durchführen.

B4. Teilnehmendenlisten

(1) Für die Durchführung der Reise verarbeiten wir je Teilnehmendem insbesondere Vor- und Nachname, Geburtsdatum und Funktion (etwa Spielende, Trainer, Betreuung). Diese Angaben benötigen wir, um die Turnier- und Altersklasseneinteilung vorzunehmen, Zimmer und Unterkünfte zuzuordnen, Akkreditierungen und Spielberechtigungen auszustellen, den Versicherungsschutz sicherzustellen sowie die An- und Abreise und die Betreuung vor Ort zu organisieren.

(2) Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO zur Erfüllung des Reisevertrags sowie, soweit es um die ordnungsgemäße Organisation des Turnierbetriebs geht, unser berechtigtes Interesse an einem reibungslosen Ablauf (Art. 6 Abs. 1 lit. f DSGVO).

(3) Notfallkontakte sowie die Kontakte für den Bus (Telefon an Bord, Kontakt daheim) löschen wir innerhalb von drei Monaten nach Ende der Reise. Die übrigen Angaben der Teilnehmendenlisten anonymisieren wir zum 31. Dezember des auf die Reise folgenden Jahres: Name, Geburtsdatum, Rückennummer und die Verbindung zu einem Portal-Konto werden entfernt. Es bleibt nur ein Eintrag ohne Personenbezug („Person 1, 2 …“), damit Zimmer- und Buszahlen sowie Rechnungen nachvollziehbar bleiben. Gesetzliche Aufbewahrungspflichten bleiben unberührt. Einzelheiten enthält die Übersicht unter B12.

B5. Gesundheitsbezogene Angaben

(1) Für die sichere Durchführung der Reise verarbeiten wir gesundheitsbezogene Angaben nur in dem Umfang, in dem wir selbst tätig werden müssen. Das betrifft ausschließlich folgende Angaben, soweit sie uns der Anmelder als relevant mitteilt oder Eltern sie im Portal hinterlegen:

• Lebensmittelallergien und -unverträglichkeiten sowie besondere Ernährungsformen, damit wir sie bei der Verpflegung berücksichtigen und dem Hotel ausschließlich als Gesamtzahlen ohne Namen mitteilen können (Ziffer C7);
• Angaben zu einer eingeschränkten Mobilität oder zu einem besonderen Betreuungsbedarf, damit wir Unterbringung und Ablauf entsprechend planen können;
• freiwillige Hinweise auf gesundheitliche Umstände, die das Betreuungsteam vor Ort im Notfall kennen sollte (etwa Asthma, Diabetes oder eine schwere Allergie).

(2) Es handelt sich dabei um besondere Kategorien personenbezogener Daten im Sinne des Art. 9 DSGVO, die einem erhöhten Schutz unterliegen. Wir verarbeiten sie auf Grundlage einer ausdrücklichen Einwilligung (Art. 9 Abs. 2 lit. a DSGVO), bei minderjährigen Teilnehmenden der Sorgeberechtigten, und nur zu dem genannten Zweck. Trägt der Verein solche Angaben ein, stützen wir uns auf die Einwilligung, die der Anmelder bei den Sorgeberechtigten einholt (Ziffer B2 Abs. 2); zusätzlich bitten wir die verbundenen Eltern im Portal um ihre eigene Einwilligung (Absatz 3).

(3) Einwilligung im Portal: Die Ernährungsangaben „Allergie“, „glutenfrei“ und „laktosefrei“ speichern Eltern im Portal nur, wenn sie zuvor ausdrücklich einwilligen (Häkchen). Wir speichern dazu den Zeitpunkt der Einwilligung und das Konto, das sie erteilt hat. Die Angaben „vegetarisch“ und „vegan“ sind keine Gesundheitsangaben und brauchen keine Einwilligung. Trägt der Verein (Gruppen-Admin oder Coach) eine dieser Angaben selbst ein, etwa aus der eigenen Anmeldung oder per Listen-Import, kennzeichnet das Portal sie mit „Noch keine Einwilligung der Eltern“, bis die Eltern eingewilligt haben.

(4) Die Einwilligung endet, wenn jemand anderes eine neue Angabe „Allergie“, „glutenfrei“ oder „laktosefrei“ einträgt, wenn keine dieser Angaben mehr eingetragen ist, wenn die Verbindung des einwilligenden Elternteils zum Kind endet oder wenn sein Konto endgültig gelöscht wird (nach dem 60-tägigen Sicherheits-Papierkorb, Ziffer C1). Eltern können die Einwilligung jederzeit im Portal widerrufen, indem sie das Häkchen entfernen. Die Angabe bleibt dann mit dem Hinweis „Noch keine Einwilligung der Eltern“ stehen, bis sie jemand herausnimmt.

(5) Die Aufbewahrung und Gabe von Medikamenten sowie die laufende gesundheitliche Betreuung während der Reise obliegen den mitreisenden Betreuungspersonen des Anmelders. Wir erheben hierzu keine darüber hinausgehenden Gesundheitsdaten und führen keine medizinischen Unterlagen.

(6) Die Angaben werden nur an die vor Ort mit Verpflegung, Unterbringung und Versorgung befassten Stellen weitergegeben, soweit dies zum Schutz der betroffenen Person erforderlich ist. Gesundheitsangaben und Ernährungsangaben der Teilnehmenden löschen wir innerhalb eines Monats nach Ende der Reise. Besteht für eine Gruppe ein offener Schadens-, Versicherungs- oder Arztfall, halten wir das Löschen an, bis der Fall abgeschlossen ist.

B6. Besonderer Schutz minderjähriger Teilnehmender

Da unsere Reisen sich an Jugendmannschaften richten und die Teilnehmenden überwiegend minderjährig sind, gehen wir mit ihren Daten besonders sorgfältig um. Wir beschränken die Verarbeitung auf das für die Durchführung der Reise erforderliche Maß, holen erforderliche Einwilligungen über die Sorgeberechtigten ein und geben Daten Minderjähriger nur weiter, soweit dies zur Vertragsdurchführung oder zum Schutz der betroffenen Person notwendig ist.

B7. Zahlungsabwicklung

(1) Die Zahlung des Reisepreises erfolgt ausschließlich per Banküberweisung. Hierzu verarbeiten wir die erforderlichen Rechnungs- und Zahlungsdaten. Eine Erhebung von Kontozugangsdaten findet nicht statt.

(2) Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) sowie, hinsichtlich der Aufbewahrung von Zahlungs- und Rechnungsbelegen, Art. 6 Abs. 1 lit. c DSGVO (Erfüllung gesetzlicher Aufbewahrungspflichten).

B8. Weitergabe an Leistungserbringer und Turnierpartner

(1) Zur Durchführung der Reise geben wir die erforderlichen Teilnehmenden- und Buchungsdaten an die beteiligten Leistungserbringer weiter, insbesondere an die Partnerhotels und das Busunternehmen an der Costa Barcelona sowie an unsere für den Turnierbetrieb vor Ort verantwortlichen Partner. Diese Empfänger haben ihren Sitz in Spanien und damit innerhalb der Europäischen Union.

(2) Weitergegeben werden nur die für die jeweilige Leistung erforderlichen Daten (etwa Namenslisten und Zimmerbelegung an das Hotel, Einzelheiten in Ziffer C7, Teilnehmendenzahl und Zusteigeorte an das Busunternehmen, Mannschafts- und Altersklassendaten an die Turnierorganisation). Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

B9. Versicherung und Insolvenzabsicherung

(1) Als Pauschalreiseveranstalter sind wir gesetzlich verpflichtet, die Kundengelder gegen unsere Insolvenz abzusichern. Kundengeldabsicherer ist die R+V Allgemeine Versicherung AG, Raiffeisenplatz 1, 65189 Wiesbaden. Im Sicherungsfall übermitteln wir die zur Abwicklung erforderlichen Daten an den Absicherer.

(2) Soweit im Rahmen der Reise weitere Versicherungen abgeschlossen oder in Anspruch genommen werden, verarbeiten wir die dafür erforderlichen Daten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b und lit. c DSGVO.

B10. Steuer- und handelsrechtliche Aufbewahrung

(1) Buchungs-, Rechnungs- und Zahlungsdaten unterliegen gesetzlichen Aufbewahrungspflichten. Zur Erfüllung unserer Buchführungs- und steuerlichen Pflichten übermitteln wir die Ein- und Ausgangsrechnungen sowie die zugehörigen Buchungsbelege an unsere Steuerberatung, die DDTax (Anna Drees). Die Steuerberatung handelt dabei in eigener beruflicher Verantwortung als eigenständig Verantwortliche und nicht als Auftragsverarbeiterin.

(2) Rechtsgrundlage für die Übermittlung ist Art. 6 Abs. 1 lit. c DSGVO. Nach den seit dem 1. Januar 2025 geltenden Fristen sind Buchungsbelege und Rechnungen acht Jahre, Handelsbücher, Inventare und Jahresabschlüsse zehn Jahre aufzubewahren (§ 147 AO, § 257 HGB).

B11. Foto-, Film- und Tonaufnahmen

(1) Während der Veranstaltung werden durch uns und beauftragte Dienstleister Foto-, Film- und Tonaufnahmen erstellt, die wir zur Berichterstattung und zur Bewerbung künftiger Veranstaltungen nutzen. Einzelheiten regelt zusätzlich unser Reisevertrag.

(2) Die Nutzung von Aufnahmen, auf denen Personen individuell erkennbar sind, erfolgt auf Grundlage einer gesonderten Einwilligung (Art. 6 Abs. 1 lit. a DSGVO); bei minderjährigen Teilnehmenden ist die Einwilligung der Sorgeberechtigten erforderlich. Die Einwilligung kann jederzeit mit Wirkung für die Zukunft widerrufen werden.

B12. Übersicht der Speicherfristen

Die folgende Übersicht fasst die wesentlichen Speicherfristen zusammen. Fristen „nach der Reise“ rechnen ab dem Ende der Reise. Bestehen zum Zeitpunkt des Fristablaufs noch Ansprüche, ein laufendes Verfahren oder eine Prüfung, oder besteht für eine Gruppe ein offener Schadens-, Versicherungs- oder Arztfall, verlängert sich die Aufbewahrung entsprechend. Endgültig gelöschte Daten können in unseren verschlüsselten Datensicherungen noch bis zu 180 Tage enthalten sein (Ziffer C1d).

C1. Das BALLERS53-Portal und die App

(1) Für Vereine, Coaches, Eltern, Volunteers (Crew) und Partnerhotels betreiben wir rund um unsere Turnierreisen das Online-Portal portal.ballers53.com und die App „BALLERS53 Portal“ für iPhone und Android. Die Anmeldung erfolgt ohne Passwort über einen Code, den wir an deine E-Mail-Adresse senden; Team-Konten sind zusätzlich mit einer Zwei-Faktor-Anmeldung geschützt.

(2) Je nach Rolle verarbeiten wir: Kontaktdaten (Name, E-Mail-Adresse, optional Telefonnummer), ein freiwilliges Profilbild, die Buchungs- und Reisedaten des Vereins, Teilnehmendenlisten (Name, Geburtsdatum, Geschlecht für die Altersklassen, Konfektionsgröße, Rückennummer), Notfallkontakte und Kontakte für den Bus, die Zimmer- und Busplanung, die Rechnungsdaten des Vereins sowie Mitteilungen im Portal. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Erfüllung des Reisevertrags).

(3) Ernährung (freiwillig): Je teilnehmender Person können Kategorien gewählt werden (vegetarisch, vegan, glutenfrei, laktosefrei, Allergie). Die gewählte Kategorie sehen jeweils mit dem Namen der Person: die verbundenen Eltern, der Gruppen-Admin, die Coaches des Vereins und das BALLERS53-Team für die Verpflegung. Sichtbar ist nur die Kategorie (etwa „Allergie“), ohne Einzelheiten; Einzelheiten stehen allein im Gesundheitshinweis (Absatz 4). Zur Einwilligung der Eltern gilt Ziffer B5. An Partnerhotels geben wir ausschließlich Gesamtzahlen je Kategorie für die ganze Gruppe im jeweiligen Hotel weiter, nie Namen und nie aufgeschlüsselt nach Teilgruppe oder Paket. Einzelheiten in Ziffer C7.

(4) Gesundheitsangaben: Von Eltern freiwillig hinterlegte Angaben zu Medikamenten und Allergien sind nur für den Coach bzw. Verein sichtbar und für das BALLERS53-Team ausschließlich im Notfall. Sie werden verdeckt dargestellt und erst nach Angabe eines Pflichtgrunds („Medizinischer Notfall“ oder „Rückfrage Ärztin/Arzt“) angezeigt; jeder Zugriff wird vollständig protokolliert. Das Protokoll enthält Zeitpunkt, Grund, den Namen des Team-Mitglieds und die Buchungsreferenz; den Namen des Kindes speichert es nicht gesondert, er entfällt mit der Anonymisierung oder Löschung nach der Reise. Erstellen wir auf deine Anfrage eine Datenauskunft, in der Gesundheitsangaben stehen, wird auch das in diesem Protokoll vermerkt. Das Protokoll sehen nur unsere Administratorinnen und Administratoren; wir löschen es nach 24 Monaten. Auf dem Gerät wird nichts gespeichert, nach 2 Minuten werden die Angaben wieder verdeckt. Rechtsgrundlage ist die ausdrückliche Einwilligung (Art. 9 Abs. 2 lit. a DSGVO); im Übrigen gilt Ziffer B5.

(5) Hosting: Datenbank, Anmeldung und Dateispeicher des Portals betreibt Supabase in der EU-Region als unser Auftragsverarbeiter. Die Web-Auslieferung erfolgt über Cloudflare Pages der Cloudflare, Inc. (USA); dabei werden IP-Adresse und technische Protokolle verarbeitet. Zur Übermittlung in die USA gilt Ziffer 5.

(6) Konto löschen: Du kannst dein Konto jederzeit selbst löschen, im Web und in der App. Das Konto wird sofort gesperrt, 60 Tage als Sicherheits-Papierkorb aufbewahrt (Wiederherstellung auf Anfrage) und danach endgültig gelöscht, einschließlich Profilbild, Crew-Dateien und aller Einträge im E-Mail-Protokoll zu deinem Konto und deiner E-Mail-Adresse (Ziffer C4). Lässt sich dabei eine Datei nicht löschen, bleibt das Konto gesperrt, und wir wiederholen das Löschen beim nächsten täglichen Lauf. In unseren verschlüsselten Datensicherungen läuft das Konto spätestens nach weiteren 180 Tagen aus (Ziffer C1d). Buchungs- und Rechnungsdaten des Vereins bleiben davon unberührt, soweit wir sie zur Vertragsdurchführung oder aufgrund gesetzlicher Aufbewahrungspflichten benötigen.

(7) Konto mit verbundenem Kind: Angaben zum Kind (Notfallkontakt, Ernährung, Gesundheitshinweis, Einverständnisse) gehören zur Reise der Gruppe und bleiben beim Löschen deines Kontos erhalten. Ist dein Konto das letzte Elternkonto eines Kindes mit Gesundheitshinweis, fragt das Portal, ob der Hinweis mitgelöscht werden soll (vorgewählt: behalten). Wählst du „Mitlöschen“, löschen wir den Gesundheitshinweis, und die Gruppe (Gruppen-Admins, Coaches) erhält eine Mitteilung. Den Gesundheitshinweis kannst du auch jederzeit vorher selbst löschen. Eine Einwilligung zur Ernährung (Ziffer B5) entfällt mit der endgültigen Löschung deines Kontos.

(8) Auf allen Geräten abmelden: Im Profil kannst du dich auf allen Geräten gleichzeitig abmelden, etwa wenn dein Handy verloren gegangen ist. Dabei löschen wir auch alle gespeicherten Geräte-Kennungen für Push-Mitteilungen deines Kontos.

(9) Auskunft und Datenkopie: Möchtest du wissen, welche Daten wir im Portal zu dir oder zu deinem verbundenen Kind gespeichert haben, oder möchtest du eine Kopie in einem gängigen, maschinenlesbaren Format (Art. 15 und Art. 20 DSGVO), schreib uns an privacy@ballers53.com. Wir prüfen vorher, dass die Anfrage von dir kommt, und senden dir die Angaben in der Regel innerhalb eines Monats als Datei. Angaben zu anderen Personen machen wir vor dem Versand unkenntlich. Dass wir eine Auskunft erstellt haben, halten wir intern als Nachweis fest; eine feste Löschfrist dafür gibt es derzeit nicht.

C1a. Eltern-Verbindung und Einverständnisse

(1) Eltern-Verbindung: Eltern verbinden sich über einen Eltern-Link des Vereins mit ihrem Kind. In der Liste „Verbundene Eltern“ sieht der Gruppen-Admin den Namen und den verkürzten Anfang der E-Mail-Adresse (etwa „m…@gmx.de“; bei eigenen Domains ist auch die Domain verkürzt), damit er prüfen kann, ob die Verbindung stimmt. Ist im Profil kein Name hinterlegt, sieht er die vollständige E-Mail-Adresse. In der Mitteilung über eine neue Verbindung (Portal-Mitteilung bzw. Push) steht nur der Name, ohne Namen im Profil der verkürzte Anfang der Adresse, nie die vollständige Adresse. Gibt es keinen weiteren Gruppen-Admin, erhält unser Team diese Mitteilung. Andere verbundene Eltern desselben Kindes sehen nur den Namen. Über einen Eltern-Link kann man sich nur bis kurz nach dem Ende der Reise (derzeit 14 Tage) neu verbinden; bestehende Verbindungen bleiben bestehen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

(2) Einverständnisse (Nachweis): Zu jeder Antwort auf ein Einverständnis (etwa Foto & Video) speichern wir, wer sie gegeben hat: das Konto sowie Vor- und Nachnamen aus dem Profil. Den Namen behalten wir auch dann, wenn das Konto endgültig gelöscht wird, als Nachweis, bis die Antwort oder die Angaben zum Kind gelöscht oder nach der Reise anonymisiert werden. Diesen Namen sieht im Portal niemand, auch nicht unser Team. Die Antworten selbst bleiben als Nachweis auch nach der Anonymisierung erhalten, dann ohne Namen. Rechtsgrundlage ist die Pflicht zum Nachweis einer Einwilligung (Art. 7 Abs. 1 DSGVO).

C1b. Karte des Abfahrtsorts im Web (Google Maps)

(1) Im Bereich „Abfahrtsort Bus“ können Gruppen-Admins und Coaches im Web eine Karte samt Adresssuche von Google (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland, und Google LLC, USA) laden. Karte und Adresssuche laden erst nach einem Klick auf „Karte laden (Google)“; vorher werden keine Daten an Google übertragen. Mit dem Klick gehen deine IP-Adresse, Angaben zum Browser und der Kartenausschnitt an Google, auch in die USA. Gibst du in der Suche eine Adresse ein, wird auch diese an Google übermittelt.

(2) Rechtsgrundlage ist deine Einwilligung durch den Klick (§ 25 Abs. 1 TDDDG, Art. 6 Abs. 1 lit. a DSGVO). Deine Wahl merkt sich nur dein eigenes Gerät (Browser-Speicher); unter der Karte kannst du sie jederzeit wieder ausschalten. Der Link „In Google Maps öffnen“ öffnet Google nur, wenn du ihn anklickst. Zur Übermittlung in die USA gilt Ziffer 5.

(3) In der Busplanung unseres Teams lädt die Karte direkt; sie dient dort der Planung der Busse (Art. 6 Abs. 1 lit. f DSGVO).

C1c. Belege nach einem Storno

Wird eine Buchung storniert, können die Gruppen-Admins des Vereins Rechnungen, Stornorechnung, Gutschrift, Buchungsbestätigung und das Kassenbuch der Gruppe (Name, zu zahlender Betrag, bezahlte Beträge mit Datum und Art, ohne Notizen) noch bis zu 12 Monate nach dem Storno im Portal im Browser einsehen, ausschließlich lesend; in der App erscheint dazu nur ein Hinweis. So lassen sich Rückzahlungen klären. Coaches und Eltern sehen nach dem Storno nichts mehr. Alle anderen Angaben zur Buchung (Teilnehmende, Gesundheitsangaben, Hotel, Bus) sind ab dem Storno für die Gruppe nicht mehr abrufbar. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Die gesetzlichen Aufbewahrungspflichten für Rechnungen (Ziffer B10) bleiben davon unberührt.

C1d. Datensicherungen

(1) Zur Absicherung gegen Datenverlust sichern wir die Datenbank und die hochgeladenen Dateien des Portals täglich verschlüsselt bei Cloudflare R2 mit Speicherort in der EU. Eine verschlüsselte Zweitkopie der Datenbank-Sicherung liegt für 14 Tage bei GitHub (GitHub, Inc., USA); den Schlüssel haben nur wir. Hinzu kommt die eigene Sicherung von Supabase (7 Tage). Zur Übermittlung in die USA gilt Ziffer 5.

(2) Endgültig gelöschte Daten sind im laufenden System sofort nicht mehr verfügbar. In den Sicherungen bleiben sie bis zum Ablauf des jeweiligen Sicherungsstands erhalten, längstens 180 Tage, und werden danach automatisch überschrieben. Müssen wir eine Sicherung zurückspielen, löschen wir die seither gelöschten Konten erneut. Dafür führen wir eine Liste, die nur die Konto-Kennung, die Art und den Zeitpunkt der Löschung enthält (keine Namen, keine E-Mail-Adressen); sie wird nach 190 Tagen gelöscht.

(3) Rechtsgrundlage ist unser berechtigtes Interesse an der Verfügbarkeit und Wiederherstellbarkeit unserer Daten (Art. 6 Abs. 1 lit. f DSGVO).

C2. Besonderheiten der App

(1) Die App „BALLERS53 Portal“ wird über Apple (App Store bzw. TestFlight) und Google Play vertrieben. Auf deinem Gerät speichern wir die Anmeldesitzung im verschlüsselten Gerätespeicher sowie, zum Lesen ohne Internetverbindung, deine eigenen Reiseunterlagen. Beides wird beim Abmelden gelöscht; die Offline-Daten liegen bewusst außerhalb des iCloud-Backups. Diese Speicherung ist für den von dir gewünschten Dienst unbedingt erforderlich (§ 25 Abs. 2 TDDDG).

(2) Notfallkontakte offline (Gruppen-Admin und Coach): Damit Gruppen-Admin und Coaches im Notfall auch ohne Internetverbindung anrufen können, legt die App ab 7 Tagen vor Reisebeginn die Notfallkontakte der eigenen Gruppe auf ihrem Gerät ab: Vor- und Nachname des Kindes, Team sowie Name und Telefonnummer des Notfallkontakts. Coaches erhalten nur die Teams, die sie im Portal ohnehin sehen. Geburtsdaten und Gesundheitsangaben werden nicht abgelegt. Die Daten liegen im Zwischenspeicher der App (nicht im iCloud- oder Mac-Backup, auf Android ohne Geräte-Backup). Ab 7 Tagen nach Reiseende löscht die App sie beim nächsten Öffnen, beim Abmelden sofort. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Durchführung der Reise); die Speicherung auf dem Gerät ist für diesen Dienst unbedingt erforderlich (§ 25 Abs. 2 TDDDG).

(3) Auf Kamera und Fotos greift die App nur zu, wenn du aktiv etwas auswählst (Profilbild, Vereinswappen, Foto in einer Anfrage, Crew-Bewerbung). Die Karte des Abfahrtsorts wird auf dem iPhone über Apple Karten (MapKit) angezeigt.

(4) Nach guter Nutzungserfahrung fragt die App auf dem iPhone höchstens einmal über den Standarddialog von Apple, ob du sie im App Store bewerten möchtest. Wir geben dabei keine Daten weiter.

(5) Versionsmeldung: Beim Start übermittelt die App einmal je Konto an unseren Server (Supabase, EU) ihre Versions- und Build-Nummer, die Plattform (iOS oder Android) und eine zufällige Kennung dieser App-Installation (kein Gerätemerkmal, keine Werbe-ID). Wir speichern dazu den Tag. Je Installation behalten wir nur den letzten Stand, also auch, an welchem Tag die App zuletzt geöffnet wurde, aber keinen Verlauf. So erkennen wir, welche App-Versionen noch genutzt werden, etwa bevor wir eine ältere Version nicht mehr unterstützen. Unser Team sieht daraus nur Gesamtzahlen, keine einzelnen Personen. Je Konto behalten wir höchstens 10 Installationen; die Angaben löschen wir mit deinem Konto. Rechtsgrundlage ist unser berechtigtes Interesse an einem sicheren und störungsfreien Betrieb der App (Art. 6 Abs. 1 lit. f DSGVO).

C3. Push-Mitteilungen

(1) Push-Mitteilungen erhältst du nur, wenn du sie auf deinem Gerät erlaubst (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG). Sie enthalten Titel und Kurztext der jeweiligen Portal-Mitteilung (etwa „Euer Hotel steht“); bei teaminternen Mitteilungen können Namen enthalten sein. Mitteilungen werden in der Sprache deines Kontos versendet (Deutsch, Englisch oder Spanisch).

(2) Der Versand läuft von unserem Server über den Expo Push Service der 650 Industries, Inc. (USA) zu Apple (APNs) bzw. Google (FCM) und von dort auf dein Gerät. Verarbeitet werden die Push-Kennung (Token), die Plattform, die Sprache sowie Titel und Kurztext. Expo ist unser Auftragsverarbeiter; die Übermittlung in die USA stützt sich auf Standardvertragsklauseln (Ziffer 5).

(3) Konten, die mit einer Reise nur als Eltern verbunden sind, erhalten Countdown- und Teilen-Hinweise (etwa „Noch 100 Tage bis Barcelona“) nur als Mitteilung im Portal, ohne Push. Alle anderen Mitteilungen erhalten sie wie gewohnt.

(4) Die Push-Kennung wird beim Abmelden entfernt, spätestens mit der endgültigen Kontolöschung. Meldest du dich ohne Internetverbindung ab, merkt sich die App die Kennung nur auf deinem Gerät und holt das Entfernen beim nächsten Öffnen mit Internetverbindung nach. Meldest du dich im Profil auf allen Geräten ab, entfernen wir alle Push-Kennungen deines Kontos. Du kannst Push-Mitteilungen jederzeit in den Einstellungen deines Geräts abschalten.

(5) Mitteilungen im Portal (Glocke): Gelesene Mitteilungen löschen wir 12 Monate nach dem Versand. Ungelesene Mitteilungen bleiben, bis sie gelesen sind, spätestens bis zur Löschung des Kontos oder der Buchung.

C4. E-Mails über Brevo

(1) Anmeldecodes, Einladungen (in der beim Einladen gewählten Sprache) und Service-Mitteilungen des Portals versenden wir über Brevo (EU) als Auftragsverarbeiter. Verarbeitet werden die E-Mail-Adresse und der Inhalt der Nachricht. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

(2) Zustellung, Öffnungen und Klicks: Brevo misst je Empfängerin bzw. Empfänger, ob eine E-Mail zugestellt, abgelehnt (etwa wegen einer ungültigen Adresse) oder als Spam gemeldet wurde, ob sie geöffnet wurde (über ein unsichtbares Zählpixel) und ob Links darin angeklickt wurden (über Weiterleitungs-Links). Dabei erhält Brevo technisch die IP-Adresse und Angaben zum Mailprogramm. Wir übernehmen davon nur Zeitpunkte, Anzahl und gegebenenfalls den Ablehnungsgrund, keine IP-Adressen und keine angeklickten Links. Bei Anmeldecodes speichern wir den Betreff nie, sondern nur den Vermerk „Anmeldecode“. Erfasst werden nur E-Mails des Portals. Manche Mailprogramme (etwa Apple Mail) laden E-Mails automatisch vorab; das werten wir nicht als Öffnung. Die Auswertung von Öffnungen und Klicks können wir abschalten. Ist sie aus, verwerfen wir gemeldete Öffnungen, automatische Vorab-Abrufe mancher Mailprogramme und Klicks; wir speichern dann nur noch, ob eine E-Mail versendet, zugestellt, verzögert oder abgelehnt wurde, dazu Fehler sowie Meldungen als Spam oder Abmeldung.

(3) Unser Team sieht diese Angaben im Portal beim jeweiligen Konto bzw. bei der Buchung (Mitarbeitende mit eingeschränkter Rolle nur für ihre zugewiesenen Buchungen). Zweck ist sicherzustellen, dass wichtige Reise- und Zahlungsinformationen ankommen, und bei Rückfragen („Ich habe nichts bekommen“) gezielt helfen zu können. Rechtsgrundlage ist unser berechtigtes Interesse an einer verlässlichen Kommunikation (Art. 6 Abs. 1 lit. f DSGVO). Wir speichern diese Angaben 12 Monate ab Versand und löschen sie danach automatisch; bei der endgültigen Löschung eines Kontos (nach dem 60-tägigen Sicherheits-Papierkorb, Ziffer C1) löschen wir sofort alle Einträge zum Konto und zu seiner E-Mail-Adresse.

(4) Angebote und Aktionen per E-Mail: Gruppen-Admins schicken wir gelegentlich E-Mails zu Aktionen rund um die gebuchte Reise, auch zusammen mit Partnern (derzeit IN YOUR FACE FOODS, siehe A12). Grundlage ist unser berechtigtes Interesse an Direktwerbung (Art. 6 Abs. 1 lit. f DSGVO, § 7 Abs. 3 UWG). Du kannst dem jederzeit widersprechen, ohne dass dir andere als die Übermittlungskosten nach den Basistarifen entstehen: im Profil unter „Mitteilungen“ (Schalter „Angebote & Aktionen per E-Mail“) oder über den Hinweis am Ende jeder dieser E-Mails, der ins Profil führt. E-Mails zu deiner Reise (etwa zu Zahlungen, Fristen und Zugängen) erhältst du davon unabhängig weiter. Deine E-Mail-Adresse geben wir dafür nicht an Partner weiter.

C5. Sicherheitsprüfung bei der Anmeldung (Cloudflare Turnstile)

(1) Vor jeder Code-Anforderung und jeder Passwort-Anmeldung läuft eine unsichtbare Sicherheitsprüfung gegen automatisierten Missbrauch; nur im Zweifel erscheint ein Kästchen zum Anklicken. Das gilt auch für die Anmeldung zur internen Verwaltungs-App unseres Teams. Anbieter ist die Cloudflare, Inc. (USA). Verarbeitet werden die IP-Adresse sowie Browser- und Gerätesignale. Wir erhalten nur das Prüfergebnis und speichern davon nichts. Keine Werbe-Cookies, kein seitenübergreifendes Tracking.

(2) Rechtsgrundlage ist unser berechtigtes Interesse an der Sicherheit des Dienstes (Art. 6 Abs. 1 lit. f DSGVO). Die Übermittlung in die USA stützt sich auf Standardvertragsklauseln (Ziffer 5).

C6. KI-Assistent „Guillermo“

(1) Im Portal und in der App steht ein freiwilliger KI-Assistent zur Verfügung, derzeit für Gruppen-Admins, Coaches und unser Team. Vor deiner ersten Frage bitten wir ausdrücklich um deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO); ohne Zustimmung wird nichts gesendet. Du kannst die Einwilligung jederzeit im Chat oder in deinem Profil widerrufen; dabei wird auch dein Verlauf gelöscht.

(2) Für die Antwort übermitteln wir an die Anthropic, PBC (USA) ausschließlich über unseren Server, ohne direkten Kontakt deines Geräts zu Anthropic: deine Frage, den bisherigen Chatverlauf (höchstens 10 Nachrichten), deinen Vornamen für die Anrede und einen Ausschnitt deiner eigenen Reisedaten. Dazu gehören Verein, Reise, Hotel, feste Busfahrten, der Rechnungsstand (nur beim Gruppen-Admin), Name, E-Mail-Adresse und Telefonnummer deiner Ansprechperson bei BALLERS53 sowie deine letzten Mitteilungen im Portal (nur der Titel, wenn sie andere Personen nennen; bei Konten unseres Teams immer nur Titel und Datum).

(3) Ist dein Konto zugleich als Elternteil verbunden, übermitteln wir außerdem die Vornamen deiner Kinder und die Namen ihrer Coaches sowie Angaben zur Reise deines Kindes: Team mit Spielklasse und Trikot-Angaben des Teams, Zimmernummer, Zahl der Betten und Mitbewohnerinnen und Mitbewohner (ohne deren Namen), Hotel mit Adresse, Busfahrten, Kaution, Zahl der offenen Einverständnisse und Packliste. Hast du eine eigene Crew-Bewerbung, übermitteln wir auch deren Stand, Rolle, Anreise, Unterkunft (ohne Namen der Mitbewohnenden) und Busfahrten.

(4) Gesundheitsangaben, Ernährungsangaben, Notfallkontakte und Geburtsdaten aus unserem System gehen nie an Anthropic. Was du selbst eintippst, geht so an Anthropic, wie du es schreibst. Bitte gib deshalb keine Gesundheitsangaben und keine Namen anderer Personen ein.

(5) Suche für unser Team: Für Mitarbeitende von BALLERS53, auch mit eingeschränkter Rolle, kann Guillermo zusätzlich im Portal suchen. Dabei gehen die Suchtreffer an Anthropic: Vor- und Nachnamen von Teilnehmenden (überwiegend Minderjährige), Verein, Team, Buchungsreferenz, Buchungskontakt, Crew-Bewerbungen und Hotels; für unsere Administratorinnen und Administratoren auch Benutzerkonten (Name, Bereiche), nicht jedoch Konten, die nur Eltern sind. Namen von Notfallkontakten und Eltern werden nicht übermittelt, E-Mail-Adressen nur, wenn nach einer E-Mail-Adresse gesucht wurde. Rechtsgrundlage ist unser berechtigtes Interesse an einer effizienten internen Bearbeitung von Anfragen und Buchungen (Art. 6 Abs. 1 lit. f DSGVO).

(6) Offene Fragen: Kann Guillermo eine Frage nicht beantworten, speichern wir sie mit Konto und Buchung, damit unser Team die Antwort nachreichen und unsere häufigen Fragen ergänzen kann. Fragen aus unserem Team, für die Guillermo im Portal gesucht hat, speichern wir dafür nicht. Unser Team sieht dabei Name, Verein und Rolle. Wir löschen diese Fragen nach 180 Tagen; wird das Konto vorher endgültig gelöscht, entfällt der Bezug zur Person. Nimmt unser Team die Antwort in die häufigen Fragen auf, kannst du eine Mitteilung erhalten (im Portal bzw. per Push, mit festem Text ohne deine Frage), nicht jedoch, wenn du deine Einwilligung widerrufen hast. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO.

(7) Nachweis der Einwilligung: Wir speichern, wann du welcher Fassung des Einwilligungstextes zugestimmt oder deine Einwilligung widerrufen hast (Konto, Textfassung, Web oder App, Zeitpunkt). Der Nachweis wird gelöscht, wenn dein Konto endgültig gelöscht wird (Art. 7 Abs. 1 DSGVO).

(8) Mit Anthropic haben wir einen Auftragsverarbeitungsvertrag mit Standardvertragsklauseln geschlossen (Ziffer 5).

(9) Zur Verbesserung unserer häufigen Fragen führen wir ein Fragen-Protokoll ohne Bezug zu deinem Konto. Es enthält den Fragetext, die Kontoart, die Sprache und ob die Frage beantwortet wurde. Namen, die jemand selbst in eine Frage eintippt, bleiben im Text enthalten. Fragen von Konten unseres Teams, auch mit eingeschränkter Rolle, werden darin nicht erfasst. Das Protokoll wird nach 90 Tagen automatisch gelöscht (Art. 6 Abs. 1 lit. f DSGVO).

C7. Partnerhotels als Empfänger

(1) Unsere Partnerhotels in Spanien erhalten einen eigenen, passwortlosen Portal-Zugang und sehen ausschließlich Daten zum eigenen Haus:

• Zimmerliste mit Vor- und Nachnamen der anreisenden Personen je Gruppe, erst nach ausdrücklicher Freigabe der Zimmerplanung durch unser Team, dazu die Rolle in der Gruppe (Coach, Betreuung, Begleitung). Zweck sind der Check-in und die gesetzlichen Meldepflichten des Hotels. Geburtsdaten, Gesundheitsangaben und – außer bei der hauptverantwortlichen Person (Absatz 2) – Kontaktdaten erhält das Hotel nicht.
• Verpflegung nur als Gesamtzahlen der ganzen Gruppe im Hotel (etwa „2× vegetarisch, 1× glutenfrei“), nie je Teilgruppe oder Paket, damit sich keine Angabe einer namentlich bekannten Person zuordnen lässt. Bei Kleingruppen unter 5 Personen im Hotel erfolgt keine Aufschlüsselung; das Hotel erfragt die Verpflegung dann bei uns. Gesundheits-Freitexte sind technisch getrennt und für Hotels nie abrufbar.
• Zeitraum, Vereinsname, Land, Personenzahl, Altersklassen, Bus- und Anreisezeiten, gebuchtes Zimmerkontingent, erwartete Kaution (Summe je Gruppe) sowie die Namen von Fahrerinnen und Fahrern bzw. Crew-Mitgliedern mit Zimmer im Haus.
• Nie: Rechnungen und Finanzdaten, Daten anderer Hotels, Kontaktdaten der Teilnehmenden.

(2) Hauptverantwortliche Person für das Hotel: Je Buchung hinterlegt der Verein genau eine erwachsene Kontaktperson (Name, Telefon, E-Mail, Postanschrift) für die Meldepflicht des Hotels nach spanischer Meldeschein-Praxis. Geburtsdatum und Ausweisdaten erheben wir bewusst nicht; Ausweise erfasst ausschließlich das Hotel beim Check-in.

(3) Wie lange das Hotel Namen sieht: Die Namen der Gäste, Name und Kontaktdaten der hauptverantwortlichen Person, die Namen von Fahrerinnen und Fahrern bzw. Crew-Mitgliedern mit Zimmer im Haus und die Anreisezeiten sieht das Hotel im Portal bis 14 Tage nach der Abreise der Gruppe. Danach zeigt das Portal dem Hotel nur noch Zahlen (Personen, Zimmer). Unser Team sieht weiter alles. Ausgedruckte Listen kann das Portal nicht löschen.

(4) Abruf-Protokoll: Zur Sicherheit protokollieren wir, wann ein Hotel-Konto eine Zimmerliste öffnet (Konto mit E-Mail-Adresse, Zeitpunkt, Gruppe; höchstens ein Eintrag je Stunde und Liste). Diese Einträge sieht nur unser Team; wir löschen sie nach 12 Monaten. Rechtsgrundlage ist unser berechtigtes Interesse an der Sicherheit des Zugangs und am Nachweis der Weitergabe (Art. 6 Abs. 1 lit. f DSGVO).

(5) Rechtsgrundlagen der Weitergabe an das Hotel sind Art. 6 Abs. 1 lit. b DSGVO (Erfüllung des Vertrags über die Unterbringung) und Art. 6 Abs. 1 lit. c DSGVO (Meldepflicht des Hotels). Empfänger: Partnerhotel.

(6) Zugänge vergibt und entzieht ausschließlich unser Team; ein Entzug wirkt sofort. Jeder Zugang und jede Annahme wird protokolliert.

C8. Crew-Bewerbung (Volunteers ab 18 Jahren)

(1) Die Bewerbung ist ohne Konto möglich. Alle Angaben werden zunächst nur auf deinem eigenen Gerät gespeichert (lokaler Browser-Speicher als Entwurf; Foto und Lebenslauf nur im Arbeitsspeicher). Erst beim Absenden bestätigst du deine E-Mail-Adresse per Code; dabei entsteht dein Konto und die Bewerbung wird an uns übermittelt. Nach dem Absenden oder Verwerfen wird der Entwurf von deinem Gerät gelöscht.

(2) Wir erheben Name, Geburtsdatum (zur Prüfung des Mindestalters von 18 Jahren), Handynummer, Land, Wohnort, Sprachen, Basketball-Erfahrung bzw. Lizenz, Qualifikationen, Motivation, Zimmerwunsch, Anreise, ein Foto und optional einen Lebenslauf; nach einer Zusage zusätzlich Outfit-Größe und Ernährung. Interne Bewertungen unseres Teams sind für dich nicht einsehbar. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Anbahnung und Durchführung des Einsatzes).

(3) Freiwillig kannst du in unseren „Talentpool“ für künftige Turniere aufgenommen werden (Art. 6 Abs. 1 lit. a DSGVO); diese Einwilligung kannst du jederzeit widerrufen.

(4) Speicherdauer:

• Ohne Talentpool (Bewerbung abgesagt, zurückgezogen oder nicht entschieden): Sechs Monate nach dem Turnier verschieben wir die Bewerbung mit Foto und Lebenslauf in den Papierkorb und löschen sie 60 Tage später endgültig.
• Mit Talentpool: Wir bewahren die Bewerbung für künftige Turniere auf, bis du deine Einwilligung widerrufst, höchstens drei Jahre ab Turnierende bzw. ab deiner Einwilligung, je nachdem, was später liegt. Danach gilt dasselbe: Papierkorb und 60 Tage später endgültige Löschung.
• Sind viele Bewerbungen auf einmal fällig, verteilen wir das Verschieben in den Papierkorb auf mehrere Tage.
• Nie abgeschickte Entwürfe auf unserem Server löschen wir 90 Tage nach der letzten Änderung.
• Eine zurückgezogene oder abgesagte Bewerbung kannst du jederzeit selbst löschen (Crew-Pass › „Bewerbung löschen“).
• Nach einer Zusage löschen wir die Ernährungsangabe innerhalb eines Monats nach der Reise (Ziffer B12). Die übrigen Angaben bewahren wir auf, solange sie für deinen Einsatz und dessen Nachbereitung erforderlich sind.

(5) Foto und Lebenslauf nach Beginn der Prüfung: Sobald wir deine Bewerbung prüfen (auch auf der Warteliste, nach einer Zusage oder Absage), kannst du Foto und Lebenslauf nicht mehr selbst austauschen oder löschen. So bleibt das geprüfte Foto auf deinem Crew-Ausweis. Möchtest du sie löschen lassen, schreib uns, ziehe deine Bewerbung zurück und lösche sie danach über „Bewerbung löschen“ (nach einer Absage geht das direkt, Absatz 4), oder lösche dein Konto (Ziffer C1 Abs. 6).

C9. Interne Transparenz- und Betriebsfunktionen

(1) Kundensicht: Berechtigte Mitglieder unseres Teams können die Portal-Ansicht einer Buchung so sehen, wie sie der Verein, ein Coach, ein Elternteil oder das Partnerhotel sieht, ausschließlich lesend und ohne Aktionen. Gesundheitsangaben bleiben auch dort verdeckt, und jeder Einsatz wird im Verlauf der Buchung protokolliert. Zweck sind Support und Qualitätssicherung (Art. 6 Abs. 1 lit. f DSGVO).

(2) Betriebsüberwachung: Zur Sicherstellung des Betriebs führen wir ein technisches Fehlerprotokoll unserer Server-Funktionen (Zeitpunkt, Funktion, Fehlerart, ohne personenbezogene Inhalte) und informieren unsere Administratoren bei Störungen automatisch. Bei schweren Störungen schaltet das Portal vorübergehend auf eine Wartungsseite. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (Betriebssicherheit).

(3) Absturzmeldungen: Damit wir Fehler schnell beheben können, melden das Portal, die App „BALLERS53 Portal“ und die Verwaltungs-App unseres Teams einen Programmabsturz oder Programmfehler an unseren eigenen Server (Supabase, EU), nur bei angemeldeten Konten. Übertragen werden ausschließlich technische Merkmale: welcher Bildschirm (fester Name, nie die Internetadresse der Seite), welche Programmversion, welche Art von Fehler und welche Plattform. Kein Meldungstext, kein Name, keine E-Mail-Adresse. Wir speichern daraus nur Tageszahlen ohne Bezug zur Person (30 Tage). Zum Schutz vor Missbrauch merken wir uns für kurze Zeit die Kennung des Kontos und die Zahl seiner Meldungen: je Stunde (Löschung nach zwei Stunden) und je Tag (Löschung nach zwei Tagen). Es wird kein fremder Dienst eingebunden, es werden keine Cookies gesetzt und keine Geräte-Kennung verwendet. Rechtsgrundlage ist unser berechtigtes Interesse an einem fehlerfreien Betrieb (Art. 6 Abs. 1 lit. f DSGVO).

(4) Online-Anzeige: Je Konto speichern wir nur den Zeitpunkt der letzten Aktivität (eine Zeile, die überschrieben wird) für die Anzeige „online“ bzw. „zuletzt aktiv“. Vereine sehen diesen Status ausschließlich bei ihrer Ansprechperson bei BALLERS53 (Art. 6 Abs. 1 lit. f DSGVO).

(5) Verlauf einer Buchung: Zu jeder Buchung führen wir einen Verlauf, den nur unser Team sieht. Er hält wichtige Schritte fest und nennt dabei die beteiligten Personen mit Namen, etwa Teilnehmende sowie Coaches und andere Personen mit Zugang zur Buchung (zum Beispiel, wem ein Zugang entzogen wurde). So bleibt nachvollziehbar, wer wann Zugriff hatte. Löst jemand eine Eltern-Verbindung, nennt der Verlauf das Elternteil nicht mit Namen, sondern nur als „ein Elternteil“; ältere Einträge können noch Namen oder E-Mail-Adresse enthalten. Die Namen der Teilnehmenden entfernen wir zum selben Termin wie die Anonymisierung (Ziffer B12). Den Verlauf selbst und die übrigen Namen darin bewahren wir auf, solange die Buchung besteht. Rechtsgrundlage ist unser berechtigtes Interesse an einer nachvollziehbaren Bearbeitung und an gezielter Hilfe bei Rückfragen (Art. 6 Abs. 1 lit. f DSGVO).

(6) Vertraute Geräte (nur Konten unseres Teams): Konten unseres Teams sehen sensible Daten und melden sich darum zusätzlich mit einem Code aus einer Authenticator-App an. Das Portal und unsere Verwaltungs-App fragen diesen Code alle 12 Stunden erneut ab, die App „BALLERS53 Portal“ alle 7 Tage. Wählt ein Team-Mitglied bei der Code-Eingabe ausdrücklich „Diesem Gerät 30 Tage vertrauen“, fragt das Portal auf diesem Gerät 30 Tage lang nicht erneut. Dazu speichern wir auf dem Gerät im lokalen Speicher des Browsers (kein Cookie) einen zufälligen Schlüssel. Auf unserem Server (Supabase, EU) speichern wir nur einen nicht umkehrbaren Prüfwert dieses Schlüssels, die Kennung des Kontos, einen kurzen Gerätenamen aus der Browser-Kennung (zum Beispiel „Chrome · Mac“), ob Portal oder Verwaltungs-App, den Beginn, das Ende und die letzte Nutzung. Das Vertrauen endet fest nach 30 Tagen; abgelaufene Einträge löschen wir täglich. Im Profil des Portals und in der Verwaltungs-App sieht das Team-Mitglied seine Geräte und kann jedes entfernen. Alle Geräte eines Kontos löschen wir außerdem beim Abmelden auf allen Geräten, beim Wechsel oder Zurücksetzen der Zwei-Faktor-Anmeldung und beim Sperren oder Löschen des Kontos. Eine neue Anmeldung verlangt den Code weiterhin. Das Speichern auf dem Gerät geschieht nur auf ausdrücklichen Wunsch und ist für diese Funktion unbedingt erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG). Die Verarbeitung auf unserem Server beruht auf unserem berechtigten Interesse an sicheren Konten bei zugleich einfacher Anmeldung (Art. 6 Abs. 1 lit. f DSGVO).

C9a. Die App „BALLERS53“

(1) Neben der App „BALLERS53 Portal“ bieten wir die App „BALLERS53“ rund um den BALLERS CUP an. Für sie gelten die Ziffern 1 bis 8 sowie ergänzend die folgenden Absätze.

(2) Momente (Bilder einreichen): Bilder, die über „Momente“ mit einem Einreichungscode eingereicht werden, sieht nur BALLERS53. Je Einreichungscode nehmen wir höchstens 500 Bilder an. Die nicht ausgewählten Originalbilder löschen wir 90 Tage nach Ende des Einreichungszeitraums (bei Codes, die wir ausdrücklich länger behalten, später); für ältere Einreichungscodes ohne festes Ende legen wir den Löschzeitpunkt einzeln fest. Die ausgewählten Bilder (Best-of) bleiben, solange die Einwilligung gilt (Art. 6 Abs. 1 lit. a DSGVO; bei minderjährigen Teilnehmenden die Einwilligung der Sorgeberechtigten, siehe auch B11). Möchtest du, dass ein bestimmtes Bild gelöscht wird, schreib uns bitte an privacy@ballers53.com; wir löschen es dann.

(3) Push-Mitteilungen: Für Mitteilungen speichern wir eine Gerätekennung, die Plattform, die Sprache und die von dir gewählten Themen. Mitteilungen erhältst du nur zu den Themen, die du gewählt hast; jedes Thema lässt sich einzeln abbestellen. Gibt es von einem Gerät 12 Monate lang weder eine neue Registrierung noch eine Änderung von Themen oder Sprache noch eine bestätigte Zustellung, löschen wir die Kennung automatisch. Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG).

(4) Konto: Das Konto der App „BALLERS53“ ist dasselbe wie im Portal und wird dort verwaltet; für das Löschen gilt Ziffer C1 Absatz 6.

(5) Dienstleister: Die eingereichten Bilder und die Push-Kennungen speichern wir bei Supabase in der EU-Region (Ziffer C1 Abs. 5). Push-Mitteilungen versenden wir wie in Ziffer C3 Abs. 2 beschrieben über Expo und Apple bzw. Google. Die Übersicht in Ziffer C10 gilt auch für diese App.

C10. Dienstleister und Empfänger des Portals

This policy is divided into three parts: Part A covers the use of our website ballers53.com. Part B covers the preparation, conclusion and performance of a travel contract with us, in particular the processing of booking and participant data. Part C covers our customer portal and our apps. The general sections 1 to 8 below apply to all parts.

General information (applies to all parts)

1. Controller

The controller within the meaning of Art. 4(7) GDPR is:

BALLERS53 GmbH

Röttgener Straße 192, 53127 Bonn, Germany

Local Court of Bonn, HRB 30717

Represented by the managing directors Francisco Javier Lahora Chulian and Frederic Groß

Phone: +49 228 97168653

Email: hello@ballers53.com

2. Data protection officer

We are not legally required to appoint a data protection officer. If you have questions about data protection or wish to exercise your rights, you can contact us at any time at privacy@ballers53.com or using the contact details above.

3. Definitions, principles and legal bases

(1) Terms used in this policy such as “personal data”, “processing”, “controller” or “processor” have the meaning given in Art. 4 GDPR.

(2) We always process personal data lawfully, fairly and transparently, for specified purposes only and limited to what is necessary.

(3) Unless stated otherwise in the individual sections, we base processing on one of the following legal bases:

• Art. 6(1)(a) GDPR — consent, where you have consented to the processing;
• Art. 6(1)(b) GDPR — performance of a contract or steps prior to entering into a contract;
• Art. 6(1)(c) GDPR — compliance with a legal obligation to which we are subject;
• Art. 6(1)(f) GDPR — our legitimate interests or those of a third party, unless your interests override them;
• Art. 9(2)(a) GDPR — explicit consent, where special categories of personal data (such as health data) are processed.

4. Recipients and processors

(1) Within our company, only those persons who need your data to perform their tasks have access to it.

(2) For certain processing operations we use carefully selected service providers who process data on our behalf and according to our instructions (processing on behalf under Art. 28 GDPR). We have concluded the legally required data processing agreements with these service providers.

(3) Data is only disclosed to other third parties where this is necessary to perform a contract, you have consented, we are legally obliged to do so or the disclosure is permitted to protect legitimate interests. We do not sell your data.

5. Transfers to third countries

(1) Some of our service providers are based in the United States of America or process data there. Where this is the case, we say so in the relevant section.

(2) Transfers to the USA are based on the European Commission’s adequacy decision of 10 July 2023 where the service provider is certified under the EU-U.S. Data Privacy Framework. Where a service provider is not certified, we base the transfer on the European Commission’s standard contractual clauses under Art. 46(2)(c) GDPR together with supplementary safeguards.

6. Storage period

We process and store your data only for as long as necessary for the respective purposes or as required by statutory retention periods. Once the purpose no longer applies and no retention obligations exist, the data is deleted or anonymised. Specific periods are given in the relevant sections and summarised in the overview at the end of Part B.

7. Your rights

(1) You have the following rights regarding your personal data: access (Art. 15 GDPR), rectification (Art. 16 GDPR), erasure (Art. 17 GDPR), restriction of processing (Art. 18 GDPR), data portability (Art. 20 GDPR) and objection to processing (Art. 21 GDPR).

(2) Right to object: Where we process your data on the basis of legitimate interests (Art. 6(1)(f) GDPR), you have the right to object to this processing at any time on grounds relating to your particular situation. Where the processing is for direct marketing, you may object without giving reasons.

(3) If you have consented to processing, you can withdraw your consent at any time with effect for the future. This does not affect the lawfulness of processing carried out before the withdrawal.

(4) To exercise your rights, simply send a message to privacy@ballers53.com or use the contact details in section 1.

(5) Right to lodge a complaint: You have the right to lodge a complaint with a data protection supervisory authority about the processing of your data (Art. 77 GDPR). The authority responsible for us is the State Commissioner for Data Protection and Freedom of Information of North Rhine-Westphalia (LDI NRW), Kavalleriestraße 2–4, 40213 Düsseldorf, Germany.

8. Data security

We take appropriate technical and organisational measures to protect your data against loss, manipulation and unauthorised access, and continuously adapt them to the state of the art. Our website uses TLS encryption. Please note that data transmitted by unencrypted email may be vulnerable to security gaps.

This part applies to visiting and using our website ballers53.com. Processing in connection with a booking is described in Part B.

A1. Provision of the website and hosting

(1) Our website is provided and hosted via the Webflow service of Webflow, Inc., 398 11th Street, 2nd Floor, San Francisco, CA 94103, USA. Webflow processes on our behalf the technical data required to deliver the website.

(2) The legal basis is our legitimate interest in providing our online offering securely and efficiently (Art. 6(1)(f) GDPR). Section 5 of the general information applies to transfers to the USA.

A2. Server log files

(1) Each time the website is accessed, information transmitted by your browser is recorded automatically, as this is technically necessary to display the website and ensure its stability and security. This includes in particular the IP address, date and time of access, the page requested, the access status, the amount of data transferred, and the browser type and operating system.

(2) The legal basis is Art. 6(1)(f) GDPR; our legitimate interest lies in the technically error-free display and security of the website.

(3) These log data are processed by our hosting provider. They are deleted after 7 days unless longer storage is required in an individual case to investigate a security incident.

A3. Cookies and consent management

(1) Our website uses cookies and similar technologies. Cookies are small text files stored on your device. We use technically necessary cookies, which are required to operate the website, on the basis of Section 25(2) TDDDG and our legitimate interest under Art. 6(1)(f) GDPR.

(2) We only use non-essential cookies and technologies, in particular for statistics and marketing, with your prior consent (Section 25(1) TDDDG, Art. 6(1)(a) GDPR). Via our consent banner you can make your choice in the categories statistics and marketing and change or withdraw it at any time with effect for the future.

(3) We operate the consent banner ourselves and do not use a third-party service for it. In addition, we have implemented Google Consent Mode v2 in “Basic” mode. This ensures that Google services only process data after your consent and that no cookies are set and no personal signals are sent to Google before consent.

(4) You can also manage or delete cookies in your browser settings. If necessary cookies are disabled, some functions of the website may no longer be available.

A4. Google Analytics 4

(1) If you have consented, we use Google Analytics 4, a web analytics service of Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Ireland (“Google”). Google Analytics uses cookies and similar identifiers to analyse use of the website and compile reports on website activity. Our measurement ID is G-C9Q73XM91Y.

(2) Google Analytics 4 truncates the IP address and does not combine it with other Google data, in order to avoid identifying you. Processing of data on servers in the USA cannot be ruled out; in this respect section 5 of the general information applies.

(3) The legal basis is your consent (Art. 6(1)(a) GDPR in conjunction with Section 25(1) TDDDG). You can withdraw your consent at any time via the consent banner.

(4) User and event data collected via Google Analytics are deleted automatically after 14 months.

A5. Google Ads – conversion tracking and remarketing

(1) If you have consented, we use Google Ads of Google Ireland Limited to advertise our offers and measure the success of this advertising, using conversion tracking and remarketing. A cookie can be used to track whether you perform a certain action on our website after clicking an ad (such as submitting an enquiry). Our conversion ID is AW-18342989390.

(2) With remarketing, ads from BALLERS53 may be shown to you on other websites. This is only linked to your Google account if you have enabled personalised advertising in your Google account settings.

(3) The legal basis is your consent (Art. 6(1)(a) GDPR in conjunction with Section 25(1) TDDDG), which you can withdraw at any time. Section 5 applies to transfers to the USA.

A5a. Meta Pixel

(1) If you have consented in the marketing category, we use on our website the Meta Pixel of Meta Platforms Ireland Limited, Merrion Road, Dublin 4, D04 X2K5, Ireland (“Meta”). It allows us to measure how effective our ads on Facebook and Instagram are and to show targeted ads there to people who have visited our website (remarketing). It records the page view and the successful submission of an enquiry via our form (“Lead” event) as well as technical information such as IP address, browser and device information, the page visited and cookie identifiers (_fbp, _fbc). We do not send the content of your enquiry to Meta. Our pixel ID is 1112740608357273.

(2) If you are logged in to Facebook or Instagram, Meta may associate the visit with your account. How Meta uses this data is explained in Meta’s privacy policy at facebook.com/privacy/policy.

(3) We are jointly responsible with Meta for collecting the data on our website and transmitting it to Meta (Art. 26 GDPR). This is based on Meta’s controller addendum (facebook.com/legal/controller_addendum). Under it, Meta is responsible for fulfilling your data subject rights regarding the data processed by Meta; you may nevertheless also contact us. Meta alone is responsible for any subsequent processing by Meta.

(4) The legal basis is your consent (Art. 6(1)(a) GDPR in conjunction with Section 25(1) TDDDG). Without consent, the Meta Pixel is not loaded. You can withdraw your consent at any time with effect for the future via the cookie settings ; the pixel is then no longer loaded and the Meta cookies are deleted. The _fbp cookie is stored for up to 90 days.

(5) Meta may also transfer data to Meta Platforms, Inc., 1 Meta Way, Menlo Park, CA 94025, USA. Meta is certified under the EU-U.S. Data Privacy Framework; otherwise section 5 applies.

A6. Fonts

For a consistent appearance we use fonts that are served locally from our server. No connection to servers of external providers is established; in particular, we do not use externally embedded Google Fonts.

A7. Contact and enquiry form

(1) On our website you can contact us via a form or by email, in particular to request an offer for the BALLERS CUP. We process the data you provide, such as name, club, email address, phone number and the content of your enquiry, in order to handle and answer it.

(2) The legal basis is Art. 6(1)(b) GDPR where the enquiry relates to the conclusion or performance of a contract, otherwise our legitimate interest in answering enquiries (Art. 6(1)(f) GDPR) or your consent (Art. 6(1)(a) GDPR).

(3) We store enquiry data until the matter has been fully dealt with and then delete it unless statutory retention obligations apply. If the enquiry leads to a booking, the information in Part B applies.

A8. Use of HubSpot (CRM and forms)

(1) For our enquiry forms, customer communication and customer management we use the HubSpot system of HubSpot, Inc., 2 Canal Park, Cambridge, MA 02141, USA. HubSpot processes on our behalf the data arising from enquiries and contract preparation.

(2) The legal basis is Art. 6(1)(b) GDPR for contract-related processing and Art. 6(1)(f) GDPR for our legitimate interest in efficient enquiry and customer management. Section 5 applies to transfers to the USA.

A9. Social media presence

(1) We maintain publicly accessible profiles on social networks, currently on Instagram (@ballers.53), TikTok (@ballers.53) and LinkedIn (BALLERS53). If you visit or interact with these profiles, the respective providers process your data under their own responsibility and privacy policies.

(2) Where we are jointly responsible with the respective provider for certain processing (Art. 26 GDPR), we process the data to communicate with you and promote our content and offers. The legal basis is our legitimate interest in effective public communication (Art. 6(1)(f) GDPR).

A10. Contact via WhatsApp Business

You can contact us via WhatsApp Business. We then process the data you send in order to deal with your request. If you choose this channel, the operator (WhatsApp Ireland Limited) also processes data under its own terms. The legal basis is the consent you give by contacting us (Art. 6(1)(a) GDPR) and, for contract-related matters, Art. 6(1)(b) GDPR. If you wish to avoid this processing, you can also reach us by phone, email or post.

A11. Links to external websites

Our website may contain links to external third-party websites. We have no influence on their content or data processing. The privacy policies of the respective providers apply to them.

A12. Partner campaign with IN YOUR FACE FOODS (data sharing and Klaviyo)

(1) On our BALLERS CUP campaign page (“coach first order”) you can additionally consent to us transmitting certain data to our cooperation partner JanBen UG (haftungsbeschränkt) (“IN YOUR FACE FOODS”), Herwarthstr. 9, 12207 Berlin, Germany.

(2) In this case, first name and email address and, where provided in the form, club/team, age group(s) and approximate team size are transmitted. The purpose is to send you the personal code for the coach first order and information on redeeming it from IN YOUR FACE FOODS.

(3) The legal basis is your consent (Art. 6(1)(a) GDPR). It is voluntary; the form can also be submitted without it, in which case no data is transmitted. You can withdraw your consent at any time with effect for the future, either to us (hello@ballers53.com) or to IN YOUR FACE FOODS (info@inyourfacefoods.com); every email from IN YOUR FACE FOODS also contains an unsubscribe option.

(4) IN YOUR FACE FOODS uses the Klaviyo service (Klaviyo, Inc., 125 Summer Street, Boston, MA 02110, USA) to manage sign-ups and send emails. With your consent, the data is transmitted directly from your browser to Klaviyo. Klaviyo is certified under the EU-U.S. Data Privacy Framework, so an adequacy decision of the EU Commission (Art. 45 GDPR) covers the transfer to the USA. The sign-up is confirmed by double opt-in (confirmation link by email); the times of sign-up and confirmation are logged to evidence the consent (Art. 7(1) GDPR).

(5) After the transfer, IN YOUR FACE FOODS is an independent controller for further processing. Details can be found in the privacy policy of IN YOUR FACE FOODS.

A13. BALLERS CUP 2027 prize draw via Facebook and Instagram

(1) From the start of the campaign until 15 November 2026, we are raffling a team trip to the BALLERS CUP 2027. You take part via a form shown directly in our ads on Facebook and Instagram (lead form of Meta Platforms Ireland Limited, Merrion Road, Dublin 4, D04 X2K5, Ireland, “Meta”). The terms of participation can be found at ballers53.com/teilnahmebedingungen.

(2) In the form we collect your first and last name, email address, phone number and postcode, as well as your role in the club, the name of your club, the age group and the approximate number of people travelling. Meta pre-fills name, email address and phone number from your account; you can change them before submitting.

(3) We use this data to run the prize draw: to record your entry, to draw and notify the winner and to handle the prize. The legal basis is the performance of the prize draw as a contractual relationship (Art. 6(1)(b) GDPR).

(4) In the form you can additionally and voluntarily consent to us advising you about the BALLERS CUP by phone, email and WhatsApp. Only then will we contact you beyond notifying the winner. The legal basis is your consent (Art. 6(1)(a) GDPR). You can withdraw it at any time with effect for the future, for example by email to privacy@ballers53.com. Taking part in the prize draw does not depend on this consent.

(5) Meta processes the form data on our behalf and makes it available to us. We transfer the data to our CRM HubSpot (see A8). Meta and HubSpot may also process data in the USA; section 5 applies.

(6) We delete the data of participants who have not given consent under paragraph 4 by 31 December 2026 at the latest. We keep the winner’s data for as long as required for the trip and statutory retention obligations (see B10 and B12). If you have consented to being advised, we store your data until you withdraw your consent, but no longer than 31 March 2027 unless a booking results.

(7) We only publish the name of the winner’s club on Instagram with the winner’s consent.

A14. Advertising on Facebook and Instagram based on contact lists (Custom Audiences)

(1) If you have allowed us, for example in a phone call, to contact you for advertising purposes, we may use your email address to show you our ads on Facebook and Instagram as well. To do so, we upload the email address to Meta in encrypted form (as a hash value). Meta matches the hash value against the accounts registered with Meta, creates a target group from it (“Custom Audience”) and deletes the hash values after matching. Meta processes the data on our behalf.

(2) Meta may also create a similar target group from such an audience (“Lookalike Audience”). We do not receive any information about individual persons.

(3) The legal basis is your consent (Art. 6(1)(a) GDPR). You can withdraw it at any time with effect for the future, for example by email to privacy@ballers53.com. We then remove your data at the next update of the list, at the latest within 30 days.

(4) Section 5 applies to transfers to Meta in the USA. How Meta processes data is explained at facebook.com/privacy/policy.

B1. Overview and data subjects

(1) When a club or a person enquires about, books or takes part in a trip to the BALLERS CUP, we process personal data in order to prepare, conclude and perform the travel contract.

(2) Data subjects are in particular: the booking party and the persons acting for it, the individual travellers (mostly minor players in the U12 to U18 age groups), the accompanying supervisors and, where necessary, parents or guardians.

B2. Source of the data

(1) We collect part of the data directly from the booking party. As a rule, we do not receive the data of the individual participants, in particular the participant list, from the participants themselves but from the booking party (the booking club), which transmits it to us to carry out the trip.

(2) The booking party is obliged to inform the participants concerned or their parents or guardians about the disclosure to us and about this privacy policy, and to ensure that the data protection requirements for the transfer are met. We provide this policy to the booking party for this purpose.

(3) The categories of participant data we process are set out in sections B4 and B5.

B3. Preparation and conclusion of the travel contract

(1) To prepare and conclude the contract, we process the data of the booking party and the persons acting for it, in particular club name and address, contact person and role, contact details and information on the booked trip and the requested services.

(2) The legal basis is Art. 6(1)(b) GDPR (steps prior to entering into a contract and performance of the travel contract). Without this data we cannot conclude and perform the contract.

B4. Participant lists

(1) To carry out the trip, we process for each participant in particular first and last name, date of birth and role (e.g. player, coach, chaperone). We need this information to assign tournament and age groups, allocate rooms and accommodation, issue accreditations and eligibility to play, ensure insurance cover and organise outward and return travel and on-site support.

(2) The legal basis is Art. 6(1)(b) GDPR for the performance of the travel contract and, as regards the proper organisation of the tournament, our legitimate interest in smooth operations (Art. 6(1)(f) GDPR).

(3) We delete emergency contacts and the contacts for the bus (phone on board, contact at home) within three months of the end of the trip. We anonymise the remaining information in the participant lists on 31 December of the year following the trip: name, date of birth, shirt number and the link to a portal account are removed. All that remains is an entry without any personal reference (“Person 1, 2 …”), so that the number of rooms and bus seats and the invoices remain traceable. Statutory retention obligations remain unaffected. Details are given in the overview under B12.

B5. Health-related information

(1) To carry out the trip safely, we only process health-related information to the extent that we ourselves need to act. This exclusively concerns the following information, where the booking party tells us it is relevant or parents store it in the portal:

• food allergies and intolerances as well as special diets, so that we can take them into account for catering and inform the hotel exclusively as total numbers without names (section C7);
• information on reduced mobility or special support needs, so that we can plan accommodation and logistics accordingly;
• voluntary information on health conditions that the on-site support team should know in an emergency (such as asthma, diabetes or a severe allergy).

(2) These are special categories of personal data within the meaning of Art. 9 GDPR, which are subject to increased protection. We process them on the basis of explicit consent (Art. 9(2)(a) GDPR), given by the parents or guardians in the case of minor participants, and only for the stated purpose. If the club enters such information, we rely on the consent that the booking party obtains from the parents or guardians (section B2(2)); in addition, we ask the connected parents in the portal for their own consent (paragraph 3).

(3) Consent in the portal: Parents can only save the dietary information “allergy”, “gluten-free” and “lactose-free” in the portal if they first give their explicit consent (tick box). We store the time of the consent and the account that gave it. “Vegetarian” and “vegan” are not health information and do not require consent. If the club (group admin or coach) enters one of these items itself, for example from its own registration or via a list import, the portal marks it with “No consent from the parents yet” until the parents have consented.

(4) The consent ends if someone else enters a new “allergy”, “gluten-free” or “lactose-free” item, if none of these items is entered any longer, if the consenting parent’s connection to the child ends or if their account is permanently deleted (after the 60-day safety recycle bin, section C1). Parents can withdraw their consent at any time in the portal by removing the tick. The information then remains with the note “No consent from the parents yet” until someone removes it.

(5) Keeping and administering medication and ongoing health care during the trip are the responsibility of the booking party’s accompanying chaperones. We do not collect any further health data for this and do not keep medical records.

(6) The information is only passed on to the on-site bodies responsible for catering, accommodation and care, where this is necessary to protect the person concerned. We delete participants’ health and dietary information within one month of the end of the trip. If a group has an open claim, insurance or medical case, we suspend the deletion until the case is closed.

B6. Special protection of minor participants

As our trips are aimed at youth teams and most participants are minors, we handle their data with particular care. We limit processing to what is necessary to carry out the trip, obtain any required consent from parents or guardians and only disclose data of minors where this is necessary to perform the contract or to protect the person concerned.

B7. Payment processing

(1) The travel price is paid exclusively by bank transfer. For this we process the necessary invoice and payment data. We do not collect account access data.

(2) The legal basis is Art. 6(1)(b) GDPR (performance of the contract) and, for the retention of payment and invoice records, Art. 6(1)(c) GDPR (compliance with statutory retention obligations).

B8. Disclosure to service providers and tournament partners

(1) To carry out the trip, we disclose the necessary participant and booking data to the service providers involved, in particular the partner hotels and the bus company on the Costa Barcelona, as well as our partners responsible for running the tournament on site. These recipients are based in Spain and thus within the European Union.

(2) Only the data required for the respective service is disclosed (e.g. name lists and room allocation to the hotel, details in section C7, number of participants and pick-up points to the bus company, team and age-group data to the tournament organisation). The legal basis is Art. 6(1)(b) GDPR.

B9. Insurance and insolvency protection

(1) As a package travel organiser, we are legally obliged to protect customer payments against our insolvency. The insurer is R+V Allgemeine Versicherung AG, Raiffeisenplatz 1, 65189 Wiesbaden, Germany. In the event of a claim, we transmit the data required for processing to the insurer.

(2) Where further insurance policies are taken out or used in connection with the trip, we process the data required for this. The legal basis is Art. 6(1)(b) and (c) GDPR.

B10. Retention under tax and commercial law

(1) Booking, invoice and payment data are subject to statutory retention obligations. To meet our bookkeeping and tax obligations, we transmit incoming and outgoing invoices and the related accounting records to our tax advisors, DDTax (Anna Drees). The tax advisors act under their own professional responsibility as an independent controller and not as a processor.

(2) The legal basis for the transfer is Art. 6(1)(c) GDPR. Under the periods applicable since 1 January 2025, accounting records and invoices must be kept for eight years, and commercial books, inventories and annual financial statements for ten years (Section 147 AO, Section 257 HGB).

B11. Photo, film and sound recordings

(1) During the event, photo, film and sound recordings are made by us and commissioned service providers, which we use for reporting and to promote future events. Further details are set out in our travel contract.

(2) Recordings in which persons are individually recognisable are used on the basis of separate consent (Art. 6(1)(a) GDPR); for minor participants, the consent of the parents or guardians is required. Consent can be withdrawn at any time with effect for the future.

B12. Overview of storage periods

The following overview summarises the main storage periods. Periods “after the trip” run from the end of the trip. If claims, proceedings or an audit are still pending when a period expires, or if a group has an open claim, insurance or medical case, retention is extended accordingly. Permanently deleted data may still be contained in our encrypted backups for up to 180 days (section C1d).

C1. The BALLERS53 portal and the app

(1) For clubs, coaches, parents, volunteers (crew) and partner hotels we operate the online portal portal.ballers53.com and the “BALLERS53 Portal” app for iPhone and Android around our tournament trips. You sign in without a password using a code we send to your email address; team accounts are additionally protected by two-factor authentication.

(2) Depending on the role, we process: contact details (name, email address, optionally phone number), an optional profile picture, the club’s booking and travel data, participant lists (name, date of birth, gender for the age groups, clothing size, shirt number), emergency contacts and contacts for the bus, room and bus planning, the club’s invoice data and notifications in the portal. The legal basis is Art. 6(1)(b) GDPR (performance of the travel contract).

(3) Diet (optional): Categories can be selected for each participant (vegetarian, vegan, gluten-free, lactose-free, allergy). The selected category is visible, together with the person’s name, to: the connected parents, the group admin, the club’s coaches and the BALLERS53 team for catering. Only the category is visible (such as “allergy”), without details; details are contained only in the health note (paragraph 4). Section B5 applies to the parents’ consent. We only pass on to partner hotels total numbers per category for the whole group in the respective hotel, never names and never broken down by sub-group or package. Details in section C7.

(4) Health information: Information on medication and allergies voluntarily provided by parents is only visible to the coach or club and, exclusively in an emergency, to the BALLERS53 team. It is displayed concealed and only shown after a mandatory reason is given (“Medical emergency” or “Doctor’s enquiry”); every access is fully logged. The log contains the time, the reason, the name of the team member and the booking reference; it does not store the child’s name separately; the name disappears from it when the participant data is anonymised or deleted after the trip. If, at your request, we prepare a data access report that contains health information, this is also recorded in this log. Only our administrators can see the log; we delete it after 24 months. Nothing is stored on the device, and the information is concealed again after 2 minutes. The legal basis is explicit consent (Art. 9(2)(a) GDPR); otherwise section B5 applies.

(5) Hosting: The portal’s database, sign-in and file storage are operated by Supabase in the EU region as our processor. The web content is delivered via Cloudflare Pages of Cloudflare, Inc. (USA); IP address and technical logs are processed in the process. Section 5 applies to transfers to the USA.

(6) Deleting your account: You can delete your account yourself at any time, on the web and in the app. The account is blocked immediately, kept for 60 days as a safety recycle bin (restoration on request) and then permanently deleted, including profile picture, crew files and all entries in the email log relating to your account and your email address (section C4). If a file cannot be deleted in the process, the account remains blocked and we repeat the deletion in the next daily run. In our encrypted backups, the account expires after a further 180 days at the latest (section C1d). The club’s booking and invoice data are not affected where we need them to perform the contract or due to statutory retention obligations.

(7) Account with a connected child: Information about the child (emergency contact, diet, health note, consents) belongs to the group’s trip and is retained when you delete your account. If your account is the last parent account of a child with a health note, the portal asks whether the note should be deleted as well (preselected: keep). If you choose “Delete as well”, we delete the health note and the group (group admins, coaches) receives a notification. You can also delete the health note yourself at any time beforehand. Any consent regarding diet (section B5) ends with the permanent deletion of your account.

(8) Signing out on all devices: In your profile you can sign out on all devices at once, for example if you have lost your phone. In doing so, we also delete all push identifiers stored for your account.

(9) Access and copy of your data: If you would like to know which data we have stored in the portal about you or your connected child, or if you would like a copy in a common, machine-readable format (Art. 15 and Art. 20 GDPR), write to us at privacy@ballers53.com. We first check that the request comes from you and usually send you the information as a file within one month. We make information about other persons unrecognisable before sending. We record internally, as evidence, that we have prepared a data access report; there is currently no fixed deletion period for this.

C1a. Parent connection and consents

(1) Parent connection: Parents connect with their child via a parent link from the club. In the “Connected parents” list, the group admin sees the name and the shortened beginning of the email address (such as “m…@gmx.de”; for custom domains the domain is shortened as well), so that they can check whether the connection is correct. If no name is stored in the profile, they see the full email address. The notification about a new connection (portal notification or push) only contains the name — if there is no name in the profile, the shortened beginning of the address — never the full address. If there is no other group admin, our team receives this notification. Other connected parents of the same child only see the name. New connections via a parent link are only possible until shortly after the end of the trip (currently 14 days); existing connections remain in place. The legal basis is Art. 6(1)(b) GDPR.

(2) Consents (evidence): For every response to a consent (such as photo & video), we store who gave it: the account and the first and last names from the profile. We keep the name, even if the account is permanently deleted, as evidence until the response or the child’s information is deleted or anonymised after the trip. Nobody can see this name in the portal, not even our team. The responses themselves are retained as evidence even after the anonymisation, then without names. The legal basis is the obligation to demonstrate consent (Art. 7(1) GDPR).

C1b. Map of the pick-up point on the web (Google Maps)

(1) In the “Bus pick-up point” area, group admins and coaches can load a map with address search from Google (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Ireland, and Google LLC, USA) on the web. The map and the address search only load after a click on “Load map (Google)”; before that, no data is transferred to Google. With the click, your IP address, information about your browser and the map section are sent to Google, including to the USA. If you enter an address in the search, it is also transmitted to Google.

(2) The legal basis is your consent given by the click (Section 25(1) TDDDG — the German rule that information may only be stored on or read from your device with your consent — and Art. 6(1)(a) GDPR). Your choice is only remembered by your own device (browser storage); you can switch it off again at any time below the map. The “Open in Google Maps” link only opens Google if you click it. Section 5 applies to transfers to the USA.

(3) In our team’s bus planning, the map loads directly; there it is used to plan the buses (Art. 6(1)(f) GDPR).

C1c. Documents after a cancellation

If a booking is cancelled, the club’s group admins can still view the invoices, the cancellation invoice, the credit note, the booking confirmation and the group’s cash book (name, amount due, amounts paid with date and method, without notes) in the portal in the browser for up to 12 months after the cancellation, read-only; the app only shows a note about this. This makes it possible to clarify refunds. Coaches and parents no longer see anything after the cancellation. All other information about the booking (participants, health information, hotel, bus) can no longer be accessed by the group from the time of the cancellation. The legal basis is Art. 6(1)(b) GDPR. The statutory retention obligations for invoices (section B10) remain unaffected.

C1d. Backups

(1) To protect against data loss, we make a daily encrypted backup of the portal’s database and uploaded files at Cloudflare R2 (storage location: EU). An encrypted second copy of the database backup is kept for 14 days with GitHub (GitHub, Inc., USA); only we hold the key. In addition, there is Supabase’s own backup (7 days). Section 5 applies to transfers to the USA.

(2) Permanently deleted data is immediately no longer available in the live system. In the backups it remains until the respective backup expires, at most 180 days, and is then automatically overwritten. If we have to restore a backup, we delete the accounts deleted since then again. For this purpose we keep a list that only contains the account identifier, the type and the time of deletion (no names, no email addresses); it is deleted after 190 days.

(3) The legal basis is our legitimate interest in the availability and recoverability of our data (Art. 6(1)(f) GDPR).

C2. Special features of the app

(1) The “BALLERS53 Portal” app is distributed via Apple (App Store or TestFlight) and Google Play. On your device we store the sign-in session in encrypted device storage and, for reading without an internet connection, your own travel documents. Both are deleted when you sign out; the offline data is deliberately excluded from iCloud backup. This storage is strictly necessary for the service you have requested (Section 25(2) TDDDG — under this German rule, information may be stored on your device without consent where this is strictly necessary for a service you have expressly requested).

(2) Emergency contacts offline (group admin and coach): So that the group admin and coaches can call in an emergency even without an internet connection, the app stores the emergency contacts of their own group on their device from 7 days before the start of the trip: the child’s first and last name, team, and the name and phone number of the emergency contact. Coaches only receive the teams they can see in the portal anyway. Dates of birth and health information are not stored. The data is kept in the app’s cache (not in the iCloud or Mac backup; on Android without device backup). From 7 days after the end of the trip, the app deletes it the next time it is opened, and immediately on sign-out. The legal basis is Art. 6(1)(b) GDPR (performance of the trip); storage on the device is strictly necessary for this service (Section 25(2) TDDDG).

(3) The app only accesses the camera and photos when you actively select something (profile picture, club crest, photo in a request, crew application). On the iPhone, the map of the pick-up point is displayed via Apple Maps (MapKit).

(4) After a good user experience, the app on the iPhone asks at most once, using Apple’s standard dialog, whether you would like to rate it in the App Store. We do not share any data in this process.

(5) Version report: On start-up, the app transmits once per account to our server (Supabase, EU) its version and build number, the platform (iOS or Android) and a random identifier of this app installation (not a device characteristic, not an advertising ID). We store the day along with it. For each installation we only keep the latest status, i.e. also the day on which the app was last opened, but no history. This lets us see which app versions are still in use, for example before we stop supporting an older version. Our team only sees totals from this, not individual persons. We keep at most 10 installations per account; we delete the information together with your account. The legal basis is our legitimate interest in the secure and trouble-free operation of the app (Art. 6(1)(f) GDPR).

C3. Push notifications

(1) You only receive push notifications if you allow them on your device (Art. 6(1)(a) GDPR, Section 25(1) TDDDG). They contain the title and short text of the respective portal notification (such as “Your hotel is confirmed”); team-internal notifications may contain names. Notifications are sent in the language of your account (German, English or Spanish).

(2) Notifications are sent from our server via the Expo Push Service of 650 Industries, Inc. (USA) to Apple (APNs) or Google (FCM) and from there to your device. The push identifier (token), platform, language, title and short text are processed. Expo is our processor; the transfer to the USA is based on standard contractual clauses (section 5).

(3) Accounts that are connected to a trip only as parents receive countdown and sharing reminders (such as “100 days to go until Barcelona”) only as a notification in the portal, without push. They receive all other notifications as usual.

(4) The push identifier is removed when you sign out, at the latest when the account is permanently deleted. If you sign out without an internet connection, the app remembers the identifier only on your device and completes the removal the next time it is opened with an internet connection. If you sign out on all devices in your profile, we remove all push identifiers of your account. You can switch off push notifications at any time in your device settings.

(5) Notifications in the portal (bell): We delete read notifications 12 months after they were sent. Unread notifications remain until they are read, at the latest until the account or the booking is deleted.

C4. Emails via Brevo

(1) We send sign-in codes, invitations (in the language chosen when inviting) and service notifications of the portal via Brevo (EU) as our processor. The email address and the content of the message are processed. The legal basis is Art. 6(1)(b) GDPR.

(2) Delivery, opens and clicks: For each recipient, Brevo measures whether an email was delivered, rejected (for example because of an invalid address) or reported as spam, whether it was opened (via an invisible tracking pixel) and whether links in it were clicked (via redirect links). In doing so, Brevo technically receives the IP address and information about the email program. We only store the times, the number and, where applicable, the reason for rejection – no IP addresses and no clicked links. For sign-in codes we never store the subject line, only the note “Sign-in code”. Only emails from the portal are recorded. Some email programs (such as Apple Mail) automatically load emails in advance; we do not count this as an open. We can switch off the evaluation of opens and clicks. When it is switched off, we discard reported opens, automatic advance retrievals by some email programs and clicks; we then only store whether an email was sent, delivered, delayed or rejected, together with errors and reports as spam or unsubscribes.

(3) Our team sees this information in the portal for the respective account or booking (staff with a restricted role only for the bookings assigned to them). The purpose is to ensure that important travel and payment information arrives and to be able to help specifically in case of queries (“I didn’t receive anything”). The legal basis is our legitimate interest in reliable communication (Art. 6(1)(f) GDPR). We store this information for 12 months from sending and then delete it automatically; when an account is permanently deleted (after the 60-day safety recycle bin, section C1), we immediately delete all entries relating to the account and its email address.

(4) Offers and promotions by email: We occasionally send group admins emails about promotions relating to the booked trip, also together with partners (currently IN YOUR FACE FOODS, see A12). The basis is our legitimate interest in direct marketing (Art. 6(1)(f) GDPR, Section 7(3) of the German Act against Unfair Competition, UWG). You can object to this at any time without incurring any costs other than the transmission costs at the basic rates: in your profile under “Notifications” (switch “Offers & promotions by email”) or via the note at the end of each of these emails, which takes you to your profile. You will continue to receive emails about your trip (for example about payments, deadlines and access) regardless. We do not pass on your email address to partners for this purpose.

C5. Security check at sign-in (Cloudflare Turnstile)

(1) Before every code request and every password sign-in, an invisible security check against automated abuse is carried out; only in case of doubt is a box shown to click. This also applies to signing in to our team’s internal admin app. The provider is Cloudflare, Inc. (USA). The IP address and browser and device signals are processed. We only receive the result of the check and store none of it. No advertising cookies, no cross-site tracking.

(2) The legal basis is our legitimate interest in the security of the service (Art. 6(1)(f) GDPR). The transfer to the USA is based on standard contractual clauses (section 5).

C6. AI assistant “Guillermo”

(1) A voluntary AI assistant is available in the portal and the app, currently for group admins, coaches and our team. Before your first question we expressly ask for your consent (Art. 6(1)(a) GDPR); without consent nothing is sent. You can withdraw your consent at any time in the chat or in your profile; your history is then also deleted.

(2) To answer, we transmit the following to Anthropic, PBC (USA), exclusively via our server and without any direct contact between your device and Anthropic: your question, the previous chat history (up to 10 messages), your first name for addressing you and an extract of your own travel data. This includes club, trip, hotel, scheduled bus journeys, the invoice status (group admin only), the name, email address and phone number of your BALLERS53 contact person and your latest notifications in the portal (only the title if they mention other persons; for our team’s accounts always only title and date).

(3) If your account is also connected as a parent, we additionally transmit your children’s first names and the names of their coaches as well as information about your child’s trip: team with division and the team’s jersey details, room number, number of beds and roommates (without their names), hotel with address, bus journeys, deposit, number of open consents and packing list. If you have your own crew application, we also transmit its status, role, travel to the event, accommodation (without the names of roommates) and bus journeys.

(4) Health information, dietary information, emergency contacts and dates of birth from our system never go to Anthropic. Whatever you type yourself goes to Anthropic as you write it. Please therefore do not enter any health information or names of other persons.

(5) Search for our team: For BALLERS53 staff, including those with a restricted role, Guillermo can also search the portal. The search results are then sent to Anthropic: first and last names of participants (mostly minors), club, team, booking reference, booking contact, crew applications and hotels; for our administrators also user accounts (name, areas), but not accounts that are parents only. Names of emergency contacts and parents are not transmitted, email addresses only if an email address was searched for. The legal basis is our legitimate interest in the efficient internal handling of enquiries and bookings (Art. 6(1)(f) GDPR).

(6) Open questions: If Guillermo cannot answer a question, we store it with the account and booking so that our team can provide the answer later and add to our FAQ. Questions from our team for which Guillermo searched the portal are not stored for this purpose. Our team sees the name, club and role. We delete these questions after 180 days; if the account is permanently deleted beforehand, the link to the person is removed. If our team adds the answer to the FAQ, you may receive a notification (in the portal or by push, with a fixed text without your question), but not if you have withdrawn your consent. The legal basis is Art. 6(1)(f) GDPR.

(7) Evidence of consent: We store when you agreed to which version of the consent text or withdrew your consent (account, text version, web or app, time). The evidence is deleted when your account is permanently deleted (Art. 7(1) GDPR).

(8) We have concluded a data processing agreement with standard contractual clauses with Anthropic (section 5).

(9) To improve our FAQ, we keep a question log without any link to your account. It contains the question text, the account type, the language and whether the question was answered. Names that someone types into a question remain in the text. Questions from our team’s accounts, including those with a restricted role, are not recorded in it. The log is deleted automatically after 90 days (Art. 6(1)(f) GDPR).

C7. Partner hotels as recipients

(1) Our partner hotels in Spain receive their own password-free portal access and only see data relating to their own hotel:

• Room list with first and last names of the arriving persons per group, only after our team has expressly approved the room planning, together with the role in the group (coach, chaperone, companion). The purpose is check-in and the hotel’s statutory registration obligations. The hotel does not receive dates of birth, health information or – except for the main responsible person (paragraph 2) – contact details.
• Catering only as total numbers for the whole group in the hotel (e.g. “2× vegetarian, 1× gluten-free”), never per sub-group or package, so that no information can be attributed to a person known by name. For small groups of fewer than 5 people in the hotel there is no breakdown; the hotel then asks us about catering. Health free texts are technically separated and can never be accessed by hotels.
• Period, club name, country, number of people, age groups, bus and arrival times, booked room allocation, expected deposit (total per group) and the names of drivers or crew members with a room in the hotel.
• Never: invoices and financial data, data of other hotels, contact details of participants.

(2) Main responsible person for the hotel: For each booking, the club provides exactly one adult contact person (name, phone, email, postal address) for the hotel’s registration obligation under Spanish registration practice. We deliberately do not collect dates of birth or ID data; IDs are recorded exclusively by the hotel at check-in.

(3) How long the hotel sees names: The hotel sees the guests’ names, the name and contact details of the main responsible person, the names of drivers or crew members with a room in the hotel and the arrival times in the portal until 14 days after the group’s departure. After that, the portal only shows the hotel numbers (people, rooms). Our team continues to see everything. The portal cannot delete printed lists.

(4) Access log: For security reasons, we log when a hotel account opens a room list (account with email address, time, group; at most one entry per hour and list). Only our team sees these entries; we delete them after 12 months. The legal basis is our legitimate interest in the security of the access and in evidence of the disclosure (Art. 6(1)(f) GDPR).

(5) The legal bases for disclosure to the hotel are Art. 6(1)(b) GDPR (performance of the accommodation contract) and Art. 6(1)(c) GDPR (the hotel’s registration obligation). Recipient: partner hotel.

(6) Access is granted and revoked exclusively by our team; revocation takes effect immediately. Every access and every acceptance is logged.

C8. Crew application (volunteers aged 18 and over)

(1) You can apply without an account. All information is initially stored only on your own device (local browser storage as a draft; photo and CV only in working memory). Only when you submit do you confirm your email address with a code; this creates your account and the application is sent to us. After submitting or discarding, the draft is deleted from your device.

(2) We collect name, date of birth (to check the minimum age of 18), mobile number, country, place of residence, languages, basketball experience or licence, qualifications, motivation, room preference, travel, a photo and optionally a CV; after acceptance also outfit size and diet. Internal assessments by our team are not visible to you. The legal basis is Art. 6(1)(b) GDPR (preparation and performance of the assignment).

(3) You can voluntarily join our “talent pool” for future tournaments (Art. 6(1)(a) GDPR); you can withdraw this consent at any time.

(4) Storage period:

• Without talent pool (application rejected, withdrawn or not decided): Six months after the tournament we move the application, including photo and CV, to the bin and permanently delete it 60 days later.
• With talent pool: We keep the application for future tournaments until you withdraw your consent, at most three years from the end of the tournament or from your consent, whichever is later. After that, the same applies: bin and permanent deletion 60 days later.
• If many applications are due at once, we spread moving them to the bin over several days.
• We delete drafts on our server that were never submitted 90 days after the last change.
• You can delete a withdrawn or rejected application yourself at any time (Crew Pass › “Delete application”).
• After acceptance, we delete the dietary information within one month after the trip (section B12). We keep the remaining information for as long as it is necessary for your assignment and its follow-up.

(5) Photo and CV once the review has started: As soon as we review your application (including on the waiting list, after acceptance or rejection), you can no longer replace or delete your photo and CV yourself. This way the reviewed photo stays on your crew badge. If you would like them deleted, write to us, withdraw your application and then delete it via “Delete application” (after a rejection this is possible directly, paragraph 4), or delete your account (section C1(6)).

C9. Internal transparency and operating functions

(1) Customer view: Authorised members of our team can see the portal view of a booking as the club, a coach, a parent or the partner hotel sees it, read-only and without any actions. Health information remains concealed there too, and every use is logged in the booking history. The purposes are support and quality assurance (Art. 6(1)(f) GDPR).

(2) Operations monitoring: To ensure operations, we keep a technical error log of our server functions (time, function, type of error, without personal content) and automatically notify our administrators of disruptions. In the event of serious disruptions, the portal temporarily switches to a maintenance page. The legal basis is Art. 6(1)(f) GDPR (operational security).

(3) Crash reports: So that we can fix errors quickly, the portal, the “BALLERS53 Portal” app and our team’s admin app report a program crash or program error to our own server (Supabase, EU), only for signed-in accounts. Only technical characteristics are transmitted: which screen (a fixed name, never the web address of the page), which program version, which type of error and which platform. No message text, no name, no email address. From this we only store daily totals without any personal reference (30 days). To protect against abuse, we briefly remember the account identifier and the number of its reports: per hour (deleted after two hours) and per day (deleted after two days). No third-party service is integrated, no cookies are set and no device identifier is used. The legal basis is our legitimate interest in error-free operation (Art. 6(1)(f) GDPR).

(4) Online status: For each account we only store the time of the last activity (one line, which is overwritten) for the “online” or “last active” display. Clubs only see this status for their BALLERS53 contact person (Art. 6(1)(f) GDPR).

(5) Booking history: For each booking we keep a history that only our team can see. It records important steps and names the persons involved, for example participants as well as coaches and other persons with access to the booking (for instance, whose access was revoked). This keeps it traceable who had access and when. If someone removes a parent connection, the history does not name the parent but only refers to “a parent”; older entries may still contain names or email addresses. We remove the participants’ names on the same date as the anonymisation (section B12). We keep the history itself and the other names in it for as long as the booking exists. The legal basis is our legitimate interest in traceable processing and in targeted help with queries (Art. 6(1)(f) GDPR).

(6) Trusted devices (team accounts only): Our team’s accounts see sensitive data and therefore additionally sign in with a code from an authenticator app. The portal and our admin app ask for this code again every 12 hours, the “BALLERS53 Portal” app every 7 days. If a team member expressly chooses “Trust this device for 30 days” when entering the code, the portal does not ask again on this device for 30 days. For this purpose we store a random key on the device in the browser’s local storage (not a cookie). On our server (Supabase, EU) we only store a non-reversible check value of this key, the account identifier, a short device name derived from the browser identifier (for example “Chrome · Mac”), whether it is the portal or the admin app, the start, the end and the last use. The trust ends after a fixed 30 days; we delete expired entries daily. In the portal profile and in the admin app, the team member sees their devices and can remove any of them. We also delete all devices of an account when signing out on all devices, when two-factor authentication is changed or reset and when the account is blocked or deleted. A new sign-in still requires the code. Storage on the device only takes place at the express request of the team member and is strictly necessary for this function (Section 25(2) no. 2 TDDDG). Processing on our server is based on our legitimate interest in secure accounts combined with easy sign-in (Art. 6(1)(f) GDPR).

C9a. The “BALLERS53” app

(1) In addition to the “BALLERS53 Portal” app, we offer the “BALLERS53” app around the BALLERS CUP. Sections 1 to 8 apply to it, supplemented by the following paragraphs.

(2) Moments (submitting images): Images submitted via “Moments” with a submission code can only be seen by BALLERS53. We accept at most 500 images per submission code. We delete the original images that are not selected 90 days after the end of the submission period (later for codes that we expressly keep longer); for older submission codes without a fixed end, we set the deletion date individually. The selected images (best-of) remain for as long as the consent applies (Art. 6(1)(a) GDPR; for minor participants the consent of the parents or guardians, see also B11). If you would like a particular image to be deleted, please write to us at privacy@ballers53.com; we will then delete it.

(3) Push notifications: For notifications we store a device identifier, the platform, the language and the topics you have chosen. You only receive notifications on the topics you have chosen; each topic can be unsubscribed individually. If there is neither a new registration, nor a change of topics or language, nor a confirmed delivery from a device for 12 months, we delete the identifier automatically. The legal basis is your consent (Art. 6(1)(a) GDPR, Section 25(1) TDDDG).

(4) Account: The account for the “BALLERS53” app is the same as in the portal and is managed there; section C1(6) applies to deletion.

(5) Service providers: We store the submitted images and the push identifiers with Supabase in the EU region (section C1(5)). We send push notifications via Expo and Apple or Google as described in section C3(2). The overview in section C10 also applies to this app.

C10. Service providers and recipients of the portal

Esta política se divide en tres partes: la Parte A se refiere al uso de nuestro sitio web ballers53.com. La Parte B se refiere a la preparación, celebración y ejecución de un contrato de viaje con nosotros, en particular al tratamiento de datos de reservas y participantes. La Parte C se refiere a nuestro portal de clientes y a nuestras apps. Los apartados generales 1 a 8 siguientes se aplican a todas las partes.

Información general (aplicable a todas las partes)

1. Responsable del tratamiento

El responsable del tratamiento en el sentido del art. 4.7 RGPD es:

BALLERS53 GmbH

Röttgener Straße 192, 53127 Bonn, Alemania

Registro Mercantil de Bonn, HRB 30717

Representada por los administradores Francisco Javier Lahora Chulian y Frederic Groß

Tel.: +49 228 97168653

Correo: hello@ballers53.com

2. Delegado de protección de datos

No estamos obligados legalmente a designar un delegado de protección de datos. Para consultas sobre protección de datos o para ejercer tus derechos, puedes escribirnos en cualquier momento a privacy@ballers53.com o a los datos de contacto indicados arriba.

3. Definiciones, principios y bases jurídicas

(1) Los términos utilizados en esta política, como «datos personales», «tratamiento», «responsable» o «encargado del tratamiento», tienen el significado del art. 4 RGPD.

(2) Tratamos los datos personales siempre de forma lícita, leal y transparente, con fines determinados y limitados a lo necesario.

(3) Salvo que se indique otra cosa en cada caso, basamos el tratamiento en una de las siguientes bases jurídicas:

• Art. 6.1.a) RGPD — consentimiento, cuando hayas consentido el tratamiento;
• Art. 6.1.b) RGPD — ejecución de un contrato o aplicación de medidas precontractuales;
• Art. 6.1.c) RGPD — cumplimiento de una obligación legal a la que estamos sujetos;
• Art. 6.1.f) RGPD — interés legítimo nuestro o de un tercero, siempre que no prevalezcan tus intereses;
• Art. 9.2.a) RGPD — consentimiento explícito, cuando se traten categorías especiales de datos personales (por ejemplo, datos de salud).

4. Destinatarios y encargados del tratamiento

(1) Dentro de nuestra empresa solo tienen acceso a tus datos las personas que los necesitan para desempeñar sus funciones.

(2) Para determinados tratamientos recurrimos a proveedores de servicios cuidadosamente seleccionados, que tratan los datos por encargo nuestro y siguiendo nuestras instrucciones (encargo del tratamiento conforme al art. 28 RGPD). Con estos proveedores hemos celebrado los contratos de encargo legalmente exigidos.

(3) Solo comunicamos datos a otros terceros cuando es necesario para ejecutar un contrato, cuando has dado tu consentimiento, cuando estamos legalmente obligados o cuando la comunicación está permitida para proteger intereses legítimos. No vendemos tus datos.

5. Transferencias a terceros países

(1) Algunos de nuestros proveedores tienen su sede en EE. UU. o tratan datos allí. Cuando es así, lo indicamos en el apartado correspondiente.

(2) Las transferencias a EE. UU. se basan en la decisión de adecuación de la Comisión Europea de 10 de julio de 2023, siempre que el proveedor esté certificado conforme al EU-U.S. Data Privacy Framework Si un proveedor no está certificado, basamos la transferencia en las cláusulas contractuales tipo de la Comisión Europea conforme al art. 46.2.c) RGPD, junto con garantías adicionales.

6. Plazo de conservación

Tratamos y conservamos tus datos solo durante el tiempo necesario para los fines correspondientes o el exigido por los plazos legales de conservación. Cuando desaparece la finalidad y no existen obligaciones de conservación, los datos se suprimen o se anonimizan. Los plazos concretos se indican en cada apartado y, de forma resumida, en el cuadro al final de la Parte B.

7. Tus derechos

(1) Respecto a tus datos personales tienes los siguientes derechos: acceso (art. 15 RGPD), rectificación (art. 16 RGPD), supresión (art. 17 RGPD), limitación del tratamiento (art. 18 RGPD), portabilidad (art. 20 RGPD) y oposición al tratamiento (art. 21 RGPD).

(2) Derecho de oposición: cuando tratamos tus datos sobre la base de un interés legítimo (art. 6.1.f) RGPD), tienes derecho a oponerte en cualquier momento a dicho tratamiento por motivos relacionados con tu situación particular. Si el tratamiento tiene por objeto la mercadotecnia directa, puedes oponerte sin indicar motivos.

(3) Si has dado tu consentimiento a un tratamiento, puedes retirarlo en cualquier momento con efectos futuros. Ello no afecta a la licitud del tratamiento realizado antes de la retirada.

(4) Para ejercer tus derechos basta con enviar un mensaje a privacy@ballers53.com o a los datos de contacto del apartado 1.

(5) Derecho a presentar una reclamación: tienes derecho a presentar una reclamación ante una autoridad de control de protección de datos sobre el tratamiento de tus datos (art. 77 RGPD). La autoridad competente para nosotros es la Comisionada de Protección de Datos y Libertad de Información de Renania del Norte-Westfalia (LDI NRW), Kavalleriestraße 2–4, 40213 Düsseldorf, Alemania.

8. Seguridad de los datos

Adoptamos medidas técnicas y organizativas adecuadas para proteger tus datos frente a pérdida, manipulación y acceso no autorizado, y las adaptamos continuamente al estado de la técnica. Nuestro sitio web utiliza cifrado TLS. La transmisión de datos por correo no cifrado puede presentar brechas de seguridad.

Esta parte se aplica a la visita y el uso de nuestro sitio web ballers53.com. Los tratamientos relacionados con una reserva se describen en la Parte B.

A1. Puesta a disposición del sitio web y alojamiento

(1) Nuestro sitio web se pone a disposición y se aloja mediante el servicio Webflow de Webflow, Inc., 398 11th Street, 2nd Floor, San Francisco, CA 94103, EE. UU. Webflow trata por encargo nuestro los datos técnicos necesarios para servir el sitio web.

(2) La base jurídica es nuestro interés legítimo en ofrecer nuestro servicio en línea de forma segura y eficiente (art. 6.1.f) RGPD). A las transferencias a EE. UU. se aplica el apartado 5.

A2. Archivos de registro del servidor

(1) Cada vez que se accede al sitio web se registra automáticamente la información que transmite tu navegador y que es técnicamente necesaria para mostrarte el sitio y garantizar su estabilidad y seguridad. Incluye, en particular, la dirección IP, la fecha y hora del acceso, la página consultada, el estado del acceso, el volumen de datos transferido y el tipo de navegador y sistema operativo.

(2) La base jurídica es el art. 6.1.f) RGPD; nuestro interés legítimo reside en la correcta visualización técnica y la seguridad del sitio web.

(3) Estos datos de registro los trata nuestro proveedor de alojamiento. Se suprimen a los 7 días, salvo que en un caso concreto sea necesaria una conservación más prolongada para investigar un incidente de seguridad.

A3. Cookies y gestión del consentimiento

(1) En nuestro sitio web utilizamos cookies y tecnologías similares. Las cookies son pequeños archivos de texto que se almacenan en tu dispositivo. Las cookies técnicamente necesarias para el funcionamiento del sitio web las utilizamos sobre la base del § 25.2 TDDDG y de nuestro interés legítimo conforme al art. 6.1.f) RGPD.

(2) Todas las cookies y tecnologías no necesarias, en particular con fines estadísticos y de marketing, solo las utilizamos con tu consentimiento previo (§ 25.1 TDDDG, art. 6.1.a) RGPD). A través de nuestro banner de consentimiento puedes elegir en las categorías estadística y marketing, y modificar o retirar tu elección en cualquier momento con efectos futuros.

(3) Gestionamos el banner de consentimiento nosotros mismos, sin recurrir a un servicio de terceros. Además, hemos integrado Google Consent Mode v2 en modo «Basic». Así se garantiza que los servicios de Google solo traten datos tras tu consentimiento y que antes del mismo no se instalen cookies ni se envíen señales personales a Google.

(4) También puedes gestionar o eliminar las cookies desde la configuración de tu navegador. Si desactivas las cookies necesarias, es posible que algunas funciones del sitio web dejen de estar disponibles.

A4. Google Analytics 4

(1) Si has dado tu consentimiento, utilizamos Google Analytics 4, un servicio de análisis web de Google Ireland Limited, Gordon House, Barrow Street, Dublín 4, Irlanda («Google»). Google Analytics utiliza cookies e identificadores similares para analizar el uso del sitio web y elaborar informes sobre la actividad del sitio. Nuestro ID de medición es G-C9Q73XM91Y.

(2) Google Analytics 4 acorta la dirección IP y no la combina con otros datos de Google, para evitar identificarte. No puede descartarse un tratamiento de datos en servidores de EE. UU.; se aplica el apartado 5.

(3) La base jurídica es tu consentimiento (art. 6.1.a) RGPD y § 25.1 TDDDG). Puedes retirarlo en cualquier momento a través del banner de consentimiento.

(4) Los datos de usuarios y eventos recogidos mediante Google Analytics se suprimen automáticamente a los 14 meses.

A5. Google Ads – seguimiento de conversiones y remarketing

(1) Si has dado tu consentimiento, utilizamos Google Ads de Google Ireland Limited para anunciar nuestras ofertas y medir el éxito de esa publicidad, con seguimiento de conversiones y remarketing. Mediante una cookie puede comprobarse si, tras hacer clic en un anuncio, realizas una determinada acción en nuestro sitio web (por ejemplo, enviar una consulta). Nuestro ID de conversión es AW-18342989390.

(2) Con el remarketing pueden mostrarse anuncios de BALLERS53 en otros sitios web. Solo se vincula con tu cuenta de Google si has activado la publicidad personalizada en la configuración de tu cuenta de Google.

(3) La base jurídica es tu consentimiento (art. 6.1.a) RGPD y § 25.1 TDDDG), que puedes retirar en cualquier momento. A las transferencias a EE. UU. se aplica el apartado 5.

A5a. Píxel de Meta

(1) Si has dado tu consentimiento en la categoría marketing, utilizamos en nuestro sitio web el píxel de Meta de Meta Platforms Ireland Limited, Merrion Road, Dublín 4, D04 X2K5, Irlanda («Meta»). Con él medimos la eficacia de nuestros anuncios en Facebook e Instagram y podemos mostrar allí anuncios dirigidos a personas que han visitado nuestro sitio web (remarketing). Se registran la visita a la página y el envío correcto de una consulta a través de nuestro formulario (evento «Lead»), así como datos técnicos como la dirección IP, información del navegador y del dispositivo, la página visitada e identificadores de cookies (_fbp, _fbc). No transmitimos a Meta el contenido de tu consulta. Nuestro ID de píxel es 1112740608357273.

(2) Si has iniciado sesión en Facebook o Instagram, Meta puede asociar la visita a tu cuenta. Cómo utiliza Meta estos datos se explica en su política de privacidad en facebook.com/privacy/policy.

(3) Somos corresponsables con Meta de la recogida de datos en nuestro sitio web y de su transmisión a Meta (art. 26 RGPD). La base es el acuerdo de corresponsabilidad de Meta (facebook.com/legal/controller_addendum). Conforme a él, Meta se encarga de atender tus derechos como interesado respecto de los datos tratados por Meta; no obstante, también puedes dirigirte a nosotros. Del tratamiento posterior por parte de Meta es responsable únicamente Meta.

(4) La base jurídica es tu consentimiento (art. 6.1.a) RGPD y § 25.1 TDDDG). Sin consentimiento, el píxel de Meta no se carga. Puedes retirar tu consentimiento en cualquier momento con efectos futuros a través de la configuración de cookies ; a partir de entonces el píxel deja de cargarse y se eliminan las cookies de Meta. La cookie _fbp se conserva hasta 90 días.

(5) Meta también puede transferir datos a Meta Platforms, Inc., 1 Meta Way, Menlo Park, CA 94025, EE. UU. Meta está certificada conforme al EU-U.S. Data Privacy Framework; en lo demás se aplica el apartado 5.

A6. Tipografías

Para una presentación uniforme utilizamos tipografías que se sirven localmente desde nuestro servidor. No se establece conexión con servidores de proveedores externos; en particular, no utilizamos Google Fonts integradas externamente.

A7. Contacto y formulario de consulta

(1) En nuestro sitio web puedes contactar con nosotros mediante un formulario o por correo, en particular para solicitar una oferta para la BALLERS CUP. Tratamos los datos que nos facilitas, como nombre, club, dirección de correo, teléfono y el contenido de tu consulta, para tramitarla y responderla.

(2) La base jurídica es el art. 6.1.b) RGPD cuando la consulta se dirige a la celebración o ejecución de un contrato; en los demás casos, nuestro interés legítimo en responder consultas (art. 6.1.f) RGPD) o tu consentimiento (art. 6.1.a) RGPD).

(3) Conservamos los datos de la consulta hasta que el asunto quede resuelto y después los suprimimos, salvo que existan obligaciones legales de conservación. Si la consulta da lugar a una reserva, se aplica lo indicado en la Parte B.

A8. Uso de HubSpot (CRM y formularios)

(1) Para nuestros formularios de consulta, la comunicación con clientes y la gestión de clientes utilizamos el sistema HubSpot de HubSpot, Inc., 2 Canal Park, Cambridge, MA 02141, EE. UU. HubSpot trata por encargo nuestro los datos derivados de las consultas y de la preparación de contratos.

(2) La base jurídica es el art. 6.1.b) RGPD para el tratamiento relacionado con el contrato y el art. 6.1.f) RGPD para nuestro interés legítimo en una gestión eficiente de consultas y clientes. A las transferencias a EE. UU. se aplica el apartado 5.

A9. Presencia en redes sociales

(1) Mantenemos perfiles públicos en redes sociales, actualmente en Instagram (@ballers.53), TikTok (@ballers.53) y LinkedIn (BALLERS53). Si visitas estos perfiles o interactúas con ellos, los respectivos proveedores tratan tus datos bajo su propia responsabilidad y conforme a sus políticas de privacidad.

(2) Cuando somos corresponsables con el proveedor respectivo de determinados tratamientos (art. 26 RGPD), tratamos los datos para comunicarnos contigo y dar a conocer nuestros contenidos y ofertas. La base jurídica es nuestro interés legítimo en una comunicación pública eficaz (art. 6.1.f) RGPD).

A10. Contacto por WhatsApp Business

Puedes contactar con nosotros por WhatsApp Business. En ese caso tratamos los datos que nos envías para atender tu solicitud. Si eliges esta vía, el operador (WhatsApp Ireland Limited) también trata datos conforme a sus propias condiciones. La base jurídica es el consentimiento que das al contactarnos (art. 6.1.a) RGPD) y, en asuntos relacionados con un contrato, el art. 6.1.b) RGPD. Si prefieres evitar este tratamiento, también puedes contactarnos por teléfono, correo electrónico o correo postal.

A11. Enlaces a sitios web externos

Nuestro sitio web puede contener enlaces a sitios web externos de terceros. No tenemos influencia sobre sus contenidos ni sobre su tratamiento de datos. Se aplican las políticas de privacidad de cada proveedor.

A12. Campaña con IN YOUR FACE FOODS (comunicación de datos y Klaviyo)

(1) En nuestra página de campaña de la BALLERS CUP («primer pedido para entrenadores») puedes consentir además que transmitamos determinados datos a nuestro socio colaborador JanBen UG (haftungsbeschränkt) («IN YOUR FACE FOODS»), Herwarthstr. 9, 12207 Berlín, Alemania.

(2) En ese caso se transmiten el nombre y la dirección de correo y, si se indican en el formulario, el club/equipo, la(s) categoría(s) y el tamaño aproximado del equipo. La finalidad es el envío del código personal para el primer pedido de entrenadores y de información sobre su canje por parte de IN YOUR FACE FOODS.

(3) La base jurídica es tu consentimiento (art. 6.1.a) RGPD). Es voluntario; el formulario también puede enviarse sin él, en cuyo caso no se transmite ningún dato. Puedes retirar tu consentimiento en cualquier momento con efectos futuros, ante nosotros (hello@ballers53.com) o ante IN YOUR FACE FOODS (info@inyourfacefoods.com); además, cada correo de IN YOUR FACE FOODS incluye una opción de baja.

(4) IN YOUR FACE FOODS utiliza el servicio Klaviyo (Klaviyo, Inc., 125 Summer Street, Boston, MA 02110, EE. UU.) para gestionar las altas y enviar correos. Con tu consentimiento, los datos se transmiten directamente desde tu navegador a Klaviyo. Klaviyo está certificada conforme al EU-U.S. Data Privacy Framework, por lo que la transferencia a EE. UU. está amparada por una decisión de adecuación de la Comisión Europea (art. 45 RGPD). El alta se confirma mediante doble opt-in (enlace de confirmación por correo); se registran la fecha y hora del alta y de la confirmación para poder acreditar el consentimiento (art. 7.1 RGPD).

(5) Tras la transmisión, IN YOUR FACE FOODS es responsable independiente del tratamiento posterior. Más detalles en la política de privacidad de IN YOUR FACE FOODS.

A13. Sorteo BALLERS CUP 2027 a través de Facebook e Instagram

(1) Desde el inicio de la campaña hasta el 15 de noviembre de 2026 sorteamos un viaje en equipo a la BALLERS CUP 2027. Se participa mediante un formulario que aparece directamente en nuestros anuncios de Facebook e Instagram (formulario de clientes potenciales de Meta Platforms Ireland Limited, Merrion Road, Dublín 4, D04 X2K5, Irlanda, «Meta»). Las bases de participación están en ballers53.com/teilnahmebedingungen.

(2) En el formulario recogemos tu nombre y apellidos, correo, teléfono y código postal, así como tu función en el club, el nombre de tu club, la categoría y el número aproximado de viajeros. Meta rellena nombre, correo y teléfono a partir de tu cuenta; puedes modificarlos antes de enviar.

(3) Usamos estos datos para realizar el sorteo: registrar tu participación, sortear y notificar a la persona ganadora y gestionar el premio. La base jurídica es la ejecución del sorteo como relación contractual (art. 6.1.b) RGPD).

(4) En el formulario puedes consentir además, de forma voluntaria, que te asesoremos sobre la BALLERS CUP por teléfono, correo y WhatsApp. Solo entonces te contactaremos más allá de la notificación del premio. La base jurídica es tu consentimiento (art. 6.1.a) RGPD). Puedes retirarlo en cualquier momento con efectos futuros, por ejemplo por correo a privacy@ballers53.com. La participación en el sorteo no depende de este consentimiento.

(5) Meta trata los datos del formulario por encargo nuestro y nos los facilita. Los incorporamos a nuestro CRM HubSpot (véase A8). Meta y HubSpot también pueden tratar datos en EE. UU.; se aplica el apartado 5.

(6) Suprimimos los datos de los participantes sin el consentimiento del apartado 4 a más tardar el 31 de diciembre de 2026. Conservamos los datos de la persona ganadora mientras lo exijan el viaje y las obligaciones legales de conservación (véanse B10 y B12). Si has consentido el asesoramiento, conservamos tus datos hasta que retires el consentimiento, como máximo hasta el 31 de marzo de 2027, salvo que se produzca una reserva.

(7) Solo publicamos en Instagram el nombre del club de la persona ganadora con su consentimiento.

A14. Publicidad en Facebook e Instagram a partir de listas de contactos (Custom Audiences)

(1) Si nos has permitido, por ejemplo en una llamada, contactarte con fines publicitarios, podemos usar tu dirección de correo para mostrarte nuestros anuncios también en Facebook e Instagram. Para ello subimos la dirección a Meta de forma cifrada (como valor hash). Meta compara el valor hash con las cuentas registradas en Meta, crea a partir de ello un público («Custom Audience») y elimina los valores hash tras la comparación. Meta trata los datos por encargo nuestro.

(2) A partir de ese público, Meta puede crear además un público similar («Lookalike Audience»). No recibimos información sobre personas concretas.

(3) La base jurídica es tu consentimiento (art. 6.1.a) RGPD). Puedes retirarlo en cualquier momento con efectos futuros, por ejemplo por correo a privacy@ballers53.com. Eliminaremos entonces tus datos en la siguiente actualización de la lista, a más tardar en 30 días.

(4) A las transferencias a Meta en EE. UU. se aplica el apartado 5. Cómo trata Meta los datos se explica en facebook.com/privacy/policy.

B1. Resumen y personas afectadas

(1) Cuando un club o una persona consulta, reserva o participa en un viaje a la BALLERS CUP, tratamos datos personales para preparar, celebrar y ejecutar el contrato de viaje.

(2) Son afectados en particular: la parte contratante y las personas que actúan en su nombre, los viajeros (en su mayoría jugadoras y jugadores menores de edad de las categorías U12 a U18), los acompañantes responsables y, cuando sea necesario, los padres o tutores.

B2. Origen de los datos

(1) Parte de los datos los recogemos directamente de la parte contratante. Por regla general, los datos de cada participante, en particular la lista de participantes, no los recibimos de los propios participantes, sino de la parte contratante (el club), que nos los transmite para la ejecución del viaje.

(2) La parte contratante está obligada a informar a los participantes afectados o a sus padres o tutores de la comunicación de datos a nosotros y de esta política de privacidad, y a garantizar que se cumplen los requisitos de protección de datos para la transmisión. Para ello le facilitamos esta política.

(3) Las categorías de datos de participantes que tratamos se indican en los apartados B4 y B5.

B3. Preparación y celebración del contrato de viaje

(1) Para preparar y celebrar el contrato tratamos los datos de la parte contratante y de las personas que actúan en su nombre, en particular nombre y dirección del club, persona de contacto y cargo, datos de contacto y la información sobre el viaje reservado y los servicios solicitados.

(2) La base jurídica es el art. 6.1.b) RGPD (medidas precontractuales y ejecución del contrato de viaje). Sin estos datos no podemos celebrar ni ejecutar el contrato.

B4. Listas de participantes

(1) Para la ejecución del viaje tratamos de cada participante, en particular, nombre y apellidos, fecha de nacimiento y función (por ejemplo, jugador, entrenador, acompañante). Necesitamos estos datos para asignar el torneo y las categorías, asignar habitaciones y alojamiento, emitir acreditaciones y licencias de juego, garantizar la cobertura de seguro y organizar la ida y la vuelta y la atención en destino.

(2) La base jurídica es el art. 6.1.b) RGPD para la ejecución del contrato de viaje y, en lo relativo a la correcta organización del torneo, nuestro interés legítimo en un desarrollo sin incidencias (art. 6.1.f) RGPD).

(3) Los contactos de emergencia y los contactos para el autobús (teléfono a bordo, contacto en casa) los suprimimos en un plazo de tres meses desde el final del viaje. Los demás datos de las listas de participantes los anonimizamos el 31 de diciembre del año siguiente al viaje: se eliminan el nombre, la fecha de nacimiento, el dorsal y el vínculo con una cuenta del portal. Solo queda una entrada sin referencia personal («Persona 1, 2 …»), para que las cifras de habitaciones y autobuses y las facturas sigan siendo comprobables. Las obligaciones legales de conservación no se ven afectadas. Detalles en el cuadro del apartado B12.

B5. Datos relativos a la salud

(1) Para la ejecución segura del viaje solo tratamos datos relativos a la salud en la medida en que debemos actuar nosotros mismos. Se trata exclusivamente de los siguientes datos, cuando la parte contratante nos los comunica como relevantes o los padres los registran en el portal:

• alergias e intolerancias alimentarias y dietas especiales, para tenerlas en cuenta en la manutención y comunicarlas al hotel exclusivamente como cifras totales sin nombres (apartado C7);
• información sobre movilidad reducida o necesidades especiales de atención, para planificar el alojamiento y la organización en consecuencia;
• indicaciones voluntarias sobre circunstancias de salud que el equipo de atención en destino debe conocer en caso de emergencia (por ejemplo, asma, diabetes o una alergia grave).

(2) Se trata de categorías especiales de datos personales en el sentido del art. 9 RGPD, sujetas a una protección reforzada. Las tratamos sobre la base de un consentimiento explícito (art. 9.2.a) RGPD), otorgado por los padres o tutores en el caso de participantes menores de edad, y solo para la finalidad indicada. Si es el club quien introduce estos datos, nos basamos en el consentimiento que la parte contratante obtiene de los padres o tutores (apartado B2, párrafo 2); además, pedimos en el portal a los padres vinculados su propio consentimiento (párrafo 3).

(3) Consentimiento en el portal: Los padres solo pueden guardar en el portal los datos de alimentación «alergia», «sin gluten» y «sin lactosa» si antes dan su consentimiento expreso (casilla). Guardamos para ello el momento del consentimiento y la cuenta que lo otorgó. «Vegetariano» y «vegano» no son datos de salud y no requieren consentimiento. Si el club (admin del grupo o entrenador) introduce por sí mismo uno de estos datos, por ejemplo a partir de su propia inscripción o mediante la importación de una lista, el portal lo marca con «Aún sin consentimiento de los padres» hasta que los padres den su consentimiento.

(4) El consentimiento termina cuando otra persona introduce un nuevo dato «alergia», «sin gluten» o «sin lactosa», cuando ya no figura ninguno de estos datos, cuando termina el vínculo del progenitor que dio el consentimiento con el menor o cuando su cuenta se suprime definitivamente (tras la papelera de seguridad de 60 días, apartado C1). Los padres pueden retirar el consentimiento en cualquier momento en el portal desmarcando la casilla. El dato se mantiene entonces con la indicación «Aún sin consentimiento de los padres» hasta que alguien lo elimine.

(5) La custodia y administración de medicamentos y la atención sanitaria continua durante el viaje corresponden a los acompañantes de la parte contratante que viajan con el grupo. No recogemos datos de salud adicionales al respecto ni llevamos historiales médicos.

(6) Los datos solo se comunican a las entidades encargadas en destino de la manutención, el alojamiento y la asistencia, cuando sea necesario para proteger a la persona afectada. Los datos de salud y de alimentación de los participantes los suprimimos en el plazo de un mes desde el final del viaje. Si un grupo tiene abierto un siniestro, un caso de seguro o un caso médico, suspendemos la supresión hasta que se cierre.

B6. Protección especial de los participantes menores de edad

Como nuestros viajes se dirigen a equipos juveniles y la mayoría de los participantes son menores de edad, tratamos sus datos con especial cuidado. Limitamos el tratamiento a lo necesario para la ejecución del viaje, obtenemos los consentimientos necesarios de los padres o tutores y solo comunicamos datos de menores cuando es necesario para la ejecución del contrato o para proteger a la persona afectada.

B7. Gestión de pagos

(1) El precio del viaje se paga exclusivamente por transferencia bancaria. Para ello tratamos los datos de facturación y pago necesarios. No recogemos datos de acceso a cuentas bancarias.

(2) La base jurídica es el art. 6.1.b) RGPD (ejecución del contrato) y, en cuanto a la conservación de justificantes de pago y facturas, el art. 6.1.c) RGPD (cumplimiento de obligaciones legales de conservación).

B8. Comunicación a prestadores de servicios y socios del torneo

(1) Para la ejecución del viaje comunicamos los datos de participantes y de reserva necesarios a los prestadores de servicios implicados, en particular a los hoteles asociados y a la empresa de autobuses en la Costa Barcelona, así como a nuestros socios responsables de la organización del torneo en destino. Estos destinatarios tienen su sede en España y, por tanto, dentro de la Unión Europea.

(2) Solo se comunican los datos necesarios para cada servicio (por ejemplo, listas de nombres y distribución de habitaciones al hotel, con los detalles del apartado C7, número de participantes y puntos de recogida a la empresa de autobuses, datos de equipos y categorías a la organización del torneo). La base jurídica es el art. 6.1.b) RGPD.

B9. Seguro y protección frente a la insolvencia

(1) Como organizador de viajes combinados, estamos obligados legalmente a proteger los pagos de los clientes frente a nuestra insolvencia. La entidad garante es R+V Allgemeine Versicherung AG, Raiffeisenplatz 1, 65189 Wiesbaden, Alemania. En caso de siniestro transmitimos a la entidad garante los datos necesarios para su tramitación.

(2) Si en el marco del viaje se contratan o utilizan otros seguros, tratamos los datos necesarios para ello. La base jurídica es el art. 6.1.b) y c) RGPD.

B10. Conservación conforme a la normativa fiscal y mercantil

(1) Los datos de reservas, facturas y pagos están sujetos a obligaciones legales de conservación. Para cumplir nuestras obligaciones contables y fiscales, transmitimos las facturas emitidas y recibidas y los justificantes contables correspondientes a nuestra asesoría fiscal, DDTax (Anna Drees). La asesoría fiscal actúa bajo su propia responsabilidad profesional como responsable independiente y no como encargada del tratamiento.

(2) La base jurídica para la transmisión es el art. 6.1.c) RGPD. Conforme a los plazos vigentes desde el 1 de enero de 2025, los justificantes contables y las facturas deben conservarse ocho años, y los libros mercantiles, inventarios y cuentas anuales, diez años (§ 147 AO, § 257 HGB).

B11. Fotografías, grabaciones de vídeo y sonido

(1) Durante el evento, nosotros y los proveedores que encargamos realizamos fotografías y grabaciones de vídeo y sonido, que utilizamos para informar sobre el evento y promocionar eventos futuros. Los detalles se regulan además en el contrato de viaje.

(2) El uso de grabaciones en las que las personas sean identificables individualmente se basa en un consentimiento independiente (art. 6.1.a) RGPD); en el caso de participantes menores de edad se requiere el consentimiento de los padres o tutores. El consentimiento puede retirarse en cualquier momento con efectos futuros.

B12. Cuadro de plazos de conservación

El siguiente cuadro resume los principales plazos de conservación. Los plazos «tras el viaje» se cuentan desde el final del viaje. Si al vencer un plazo siguen pendientes reclamaciones, un procedimiento o una inspección, o si un grupo tiene abierto un siniestro, un caso de seguro o un caso médico, la conservación se prolonga en consecuencia. Los datos suprimidos definitivamente pueden seguir figurando en nuestras copias de seguridad cifradas hasta 180 días (apartado C1d).

C1. El portal de BALLERS53 y la app

(1) Para clubes, entrenadores, padres, voluntarios (crew) y hoteles asociados gestionamos, en torno a nuestros viajes a torneos, el portal en línea portal.ballers53.com y la app «BALLERS53 Portal» para iPhone y Android. El inicio de sesión se realiza sin contraseña mediante un código que enviamos a tu dirección de correo electrónico; las cuentas de nuestro equipo están protegidas además con autenticación en dos pasos.

(2) Según el rol, tratamos: datos de contacto (nombre, correo electrónico y, opcionalmente, teléfono), una foto de perfil voluntaria, los datos de reserva y viaje del club, listas de participantes (nombre, fecha de nacimiento, sexo para las categorías, talla de ropa, dorsal), contactos de emergencia y contactos para el autobús, la planificación de habitaciones y autobuses, los datos de facturación del club y las notificaciones del portal. La base jurídica es el art. 6.1.b) RGPD (ejecución del contrato de viaje).

(3) Alimentación (voluntario): Para cada participante pueden elegirse categorías (vegetariano, vegano, sin gluten, sin lactosa, alergia). La categoría elegida la ven, junto con el nombre de la persona: los padres vinculados, el admin del grupo, los entrenadores del club y el equipo de BALLERS53 para la manutención. Solo se ve la categoría (por ejemplo, «alergia»), sin detalles; los detalles figuran únicamente en la indicación de salud (párrafo 4). Al consentimiento de los padres se aplica el apartado B5. A los hoteles asociados solo comunicamos cifras totales por categoría para todo el grupo alojado en cada hotel, nunca nombres ni desgloses por subgrupo o paquete. Detalles en el apartado C7.

(4) Datos de salud: Los datos sobre medicamentos y alergias facilitados voluntariamente por los padres solo son visibles para el entrenador o el club y, exclusivamente en caso de emergencia, para el equipo de BALLERS53. Se muestran ocultos y solo se descubren tras indicar un motivo obligatorio («Emergencia médica» o «Pregunta de un médico/a»); cada acceso queda registrado íntegramente. El registro contiene el momento, el motivo, el nombre del miembro del equipo y la referencia de la reserva; no guarda por separado el nombre del menor, que desaparece con la anonimización o la supresión tras el viaje. Si, a petición tuya, elaboramos un informe de acceso a los datos que contenga datos de salud, también se anota en este registro. Solo nuestros administradores ven el registro; lo suprimimos a los 24 meses. No se guarda nada en el dispositivo y, a los 2 minutos, los datos vuelven a ocultarse. La base jurídica es el consentimiento explícito (art. 9.2.a) RGPD); en lo demás se aplica el apartado B5.

(5) Alojamiento técnico: La base de datos, el inicio de sesión y el almacenamiento de archivos del portal los gestiona Supabase en la región de la UE como encargado del tratamiento. La web se sirve a través de Cloudflare Pages de Cloudflare, Inc. (EE. UU.), que trata la dirección IP y registros técnicos. A las transferencias a EE. UU. se aplica el apartado 5.

(6) Eliminar tu cuenta: Puedes eliminar tu cuenta tú mismo en cualquier momento, en la web y en la app. La cuenta se bloquea de inmediato, se conserva 60 días como papelera de seguridad (restauración a petición) y después se suprime definitivamente, incluidas la foto de perfil, los archivos de crew y todas las entradas del registro de correos relativas a tu cuenta y a tu dirección de correo (apartado C4). Si al hacerlo no se puede eliminar un archivo, la cuenta sigue bloqueada y repetimos la supresión en el siguiente proceso diario. En nuestras copias de seguridad cifradas, la cuenta caduca a más tardar tras otros 180 días (apartado C1d). Los datos de reserva y facturación del club no se ven afectados en la medida en que los necesitemos para ejecutar el contrato o por obligaciones legales de conservación.

(7) Cuenta con un hijo o una hija vinculados: Los datos del menor (contacto de emergencia, alimentación, indicación de salud, autorizaciones) forman parte del viaje del grupo y se conservan al eliminar tu cuenta. Si tu cuenta es la última cuenta de padres de un menor con indicación de salud, el portal pregunta si también debe borrarse la indicación (opción preseleccionada: conservar). Si eliges «Borrar también», suprimimos la indicación de salud y el grupo (admins del grupo, entrenadores) recibe una notificación. También puedes borrar tú mismo la indicación de salud en cualquier momento antes. Un consentimiento relativo a la alimentación (apartado B5) se extingue con la supresión definitiva de tu cuenta.

(8) Cerrar sesión en todos los dispositivos: En tu perfil puedes cerrar sesión en todos los dispositivos a la vez, por ejemplo si has perdido el móvil. Al hacerlo, también suprimimos todos los identificadores de dispositivo guardados para notificaciones push de tu cuenta.

(9) Acceso y copia de tus datos: Si quieres saber qué datos tenemos guardados en el portal sobre ti o sobre tu hijo o hija vinculados, o si quieres una copia en un formato de uso común y de lectura mecánica (arts. 15 y 20 RGPD), escríbenos a privacy@ballers53.com. Antes comprobamos que la solicitud procede de ti y, por lo general, te enviamos los datos en un archivo en el plazo de un mes. Antes del envío hacemos irreconocibles los datos de otras personas. Dejamos constancia interna, como prueba, de que hemos elaborado un informe de acceso; actualmente no existe un plazo fijo de supresión para ello.

C1a. Vínculo de los padres y autorizaciones

(1) Vínculo de los padres: Los padres se vinculan con su hijo o hija a través de un enlace para padres del club. En la lista «Padres vinculados», el admin del grupo ve el nombre y el comienzo abreviado de la dirección de correo (por ejemplo, «m…@gmx.de»; en los dominios propios también se abrevia el dominio), para poder comprobar si el vínculo es correcto. Si en el perfil no figura ningún nombre, ve la dirección de correo completa. En la notificación sobre un nuevo vínculo (notificación del portal o push) solo figura el nombre —si el perfil no tiene nombre, el comienzo abreviado de la dirección—, nunca la dirección completa. Si no hay otro admin del grupo, esta notificación la recibe nuestro equipo. Los demás padres vinculados al mismo menor solo ven el nombre. A través de un enlace para padres solo es posible vincularse de nuevo hasta poco después del final del viaje (actualmente, 14 días); los vínculos existentes se mantienen. La base jurídica es el art. 6.1.b) RGPD.

(2) Autorizaciones (prueba): Para cada respuesta a una autorización (por ejemplo, foto y vídeo) guardamos quién la dio: la cuenta y el nombre y los apellidos del perfil. Conservamos el nombre como prueba, incluso si la cuenta se suprime definitivamente, hasta que la respuesta o los datos del menor se supriman o se anonimicen tras el viaje. Nadie ve este nombre en el portal, tampoco nuestro equipo. Las respuestas en sí se conservan como prueba también después de la anonimización, entonces sin nombres. La base jurídica es la obligación de demostrar el consentimiento (art. 7.1 RGPD).

C1b. Mapa del punto de recogida en la web (Google Maps)

(1) En el área «Punto de recogida del autobús», los admins del grupo y los entrenadores pueden cargar en la web un mapa con búsqueda de direcciones de Google (Google Ireland Limited, Gordon House, Barrow Street, Dublín 4, Irlanda, y Google LLC, EE. UU.). El mapa y la búsqueda de direcciones solo se cargan tras hacer clic en «Cargar mapa (Google)»; antes no se transmite ningún dato a Google. Con el clic se envían a Google, también a EE. UU., tu dirección IP, datos sobre tu navegador y el fragmento de mapa. Si introduces una dirección en la búsqueda, también se transmite a Google.

(2) La base jurídica es tu consentimiento mediante el clic (§ 25.1 TDDDG —la norma alemana según la cual solo puede guardarse información en tu dispositivo o leerse de él con tu consentimiento— y art. 6.1.a) RGPD). Tu elección solo la recuerda tu propio dispositivo (almacenamiento del navegador); puedes desactivarla de nuevo en cualquier momento debajo del mapa. El enlace «Abrir en Google Maps» solo abre Google si haces clic en él. A las transferencias a EE. UU. se aplica el apartado 5.

(3) En la planificación de autobuses de nuestro equipo, el mapa se carga directamente; allí sirve para planificar los autobuses (art. 6.1.f) RGPD).

C1c. Documentos tras una cancelación

Si se cancela una reserva, los admins del grupo del club pueden seguir consultando en el portal, desde el navegador, las facturas, la factura de cancelación, el abono, la confirmación de reserva y el libro de caja del grupo (nombre, importe a pagar, importes pagados con fecha y forma de pago, sin notas) hasta 12 meses después de la cancelación, solo en modo lectura; en la app solo aparece un aviso al respecto. Así pueden aclararse los reembolsos. Los entrenadores y los padres ya no ven nada tras la cancelación. Todos los demás datos de la reserva (participantes, datos de salud, hotel, autobús) dejan de estar disponibles para el grupo desde la cancelación. La base jurídica es el art. 6.1.b) RGPD. Las obligaciones legales de conservación de las facturas (apartado B10) no se ven afectadas.

C1d. Copias de seguridad

(1) Para protegernos frente a la pérdida de datos, hacemos a diario una copia de seguridad cifrada de la base de datos y de los archivos subidos al portal en Cloudflare R2, con ubicación de almacenamiento en la UE. Una segunda copia cifrada de la copia de seguridad de la base de datos se guarda durante 14 días en GitHub (GitHub, Inc., EE. UU.); solo nosotros tenemos la clave. A ello se suma la copia de seguridad propia de Supabase (7 días). A las transferencias a EE. UU. se aplica el apartado 5.

(2) Los datos suprimidos definitivamente dejan de estar disponibles de inmediato en el sistema en funcionamiento. En las copias de seguridad se mantienen hasta que caduca la copia correspondiente, como máximo 180 días, y después se sobrescriben automáticamente. Si tenemos que restaurar una copia de seguridad, volvemos a suprimir las cuentas eliminadas desde entonces. Para ello llevamos una lista que solo contiene el identificador de la cuenta, el tipo y el momento de la supresión (sin nombres ni direcciones de correo); se suprime a los 190 días.

(3) La base jurídica es nuestro interés legítimo en la disponibilidad y la recuperabilidad de nuestros datos (art. 6.1.f) RGPD).

C2. Particularidades de la app

(1) La app «BALLERS53 Portal» se distribuye a través de Apple (App Store o TestFlight) y Google Play. En tu dispositivo guardamos la sesión iniciada en el almacenamiento cifrado del dispositivo y, para consultarlos sin conexión a internet, tus propios documentos de viaje. Ambos se eliminan al cerrar sesión; los datos sin conexión quedan deliberadamente fuera de la copia de seguridad de iCloud. Este almacenamiento es estrictamente necesario para el servicio que has solicitado (§ 25.2 TDDDG: según esta norma alemana, puede guardarse información en tu dispositivo sin consentimiento cuando es estrictamente necesario para un servicio que has solicitado expresamente).

(2) Contactos de emergencia sin conexión (admin del grupo y entrenadores): Para que el admin del grupo y los entrenadores puedan llamar en caso de emergencia también sin conexión a internet, la app guarda en su dispositivo, a partir de 7 días antes del inicio del viaje, los contactos de emergencia de su propio grupo: nombre y apellidos del menor, equipo, y nombre y teléfono del contacto de emergencia. Los entrenadores solo reciben los equipos que ya ven en el portal. No se guardan fechas de nacimiento ni datos de salud. Los datos se guardan en la memoria caché de la app (no en la copia de seguridad de iCloud o del Mac; en Android, sin copia de seguridad del dispositivo). A partir de 7 días después del final del viaje, la app los elimina la próxima vez que se abre y, al cerrar sesión, de inmediato. La base jurídica es el art. 6.1.b) RGPD (ejecución del viaje); el almacenamiento en el dispositivo es estrictamente necesario para este servicio (§ 25.2 TDDDG).

(3) La app solo accede a la cámara y a las fotos cuando seleccionas algo activamente (foto de perfil, escudo del club, foto en una solicitud, candidatura para el crew). En el iPhone, el mapa del punto de recogida se muestra mediante Apple Mapas (MapKit).

(4) Tras una buena experiencia de uso, la app pregunta en el iPhone como máximo una vez, con el diálogo estándar de Apple, si quieres valorarla en el App Store. No comunicamos ningún dato.

(5) Aviso de versión: Al iniciarse, la app envía una vez por cuenta a nuestro servidor (Supabase, UE) su número de versión y de compilación, la plataforma (iOS o Android) y un identificador aleatorio de esta instalación de la app (no es una característica del dispositivo ni un ID publicitario). Guardamos además el día. Por cada instalación conservamos solo el último estado, es decir, también el día en que se abrió la app por última vez, pero ningún historial. Así sabemos qué versiones de la app siguen en uso, por ejemplo antes de dejar de dar soporte a una versión antigua. Nuestro equipo solo ve cifras totales, no personas concretas. Por cuenta conservamos como máximo 10 instalaciones; suprimimos los datos junto con tu cuenta. La base jurídica es nuestro interés legítimo en un funcionamiento seguro y sin incidencias de la app (art. 6.1.f) RGPD).

C3. Notificaciones push

(1) Solo recibes notificaciones push si las permites en tu dispositivo (art. 6.1.a) RGPD, § 25.1 TDDDG). Contienen el título y el texto breve de la notificación del portal correspondiente (por ejemplo, «Vuestro hotel está confirmado»); las notificaciones internas del equipo pueden incluir nombres. Las notificaciones se envían en el idioma de tu cuenta (alemán, inglés o español).

(2) El envío va de nuestro servidor, a través del Expo Push Service de 650 Industries, Inc. (EE. UU.), a Apple (APNs) o Google (FCM) y de ahí a tu dispositivo. Se tratan el identificador push (token), la plataforma, el idioma, el título y el texto breve. Expo es nuestro encargado del tratamiento; la transferencia a EE. UU. se basa en cláusulas contractuales tipo (apartado 5).

(3) Las cuentas vinculadas a un viaje solo como padres reciben los avisos de cuenta atrás y para compartir (por ejemplo, «Faltan 100 días para Barcelona») solo como notificación en el portal, sin push. Todas las demás notificaciones las reciben como de costumbre.

(4) El identificador push se elimina al cerrar sesión y, a más tardar, con la supresión definitiva de la cuenta. Si cierras sesión sin conexión a internet, la app guarda el identificador solo en tu dispositivo y completa la eliminación la próxima vez que se abra con conexión a internet. Si en tu perfil cierras sesión en todos los dispositivos, eliminamos todos los identificadores push de tu cuenta. Puedes desactivar las notificaciones push en cualquier momento en los ajustes de tu dispositivo.

(5) Notificaciones del portal (campana): Las notificaciones leídas las suprimimos 12 meses después de su envío. Las no leídas se mantienen hasta que se leen y, a más tardar, hasta que se elimina la cuenta o la reserva.

C4. Correos electrónicos a través de Brevo

(1) Los códigos de inicio de sesión, las invitaciones (en el idioma elegido al invitar) y las notificaciones de servicio del portal los enviamos a través de Brevo (UE) como encargado del tratamiento. Se tratan la dirección de correo y el contenido del mensaje. La base jurídica es el art. 6.1.b) RGPD.

(2) Entrega, aperturas y clics: Brevo mide, por cada destinatario, si un correo se entregó, se rechazó (por ejemplo, por una dirección no válida) o se marcó como spam, si se abrió (mediante un píxel de seguimiento invisible) y si se hizo clic en sus enlaces (mediante enlaces de redirección). Para ello, Brevo recibe técnicamente la dirección IP y datos sobre el programa de correo. Nosotros solo tomamos los momentos, el número y, en su caso, el motivo del rechazo; no tomamos direcciones IP ni los enlaces en los que se hizo clic. En los códigos de inicio de sesión nunca guardamos el asunto, sino solo la indicación «Código de inicio de sesión». Solo se registran los correos del portal. Algunos programas de correo (por ejemplo, Apple Mail) cargan los correos automáticamente por adelantado; no lo contamos como apertura. Podemos desactivar la evaluación de aperturas y clics. Si está desactivada, descartamos las aperturas notificadas, las descargas automáticas anticipadas de algunos programas de correo y los clics; en ese caso solo guardamos si un correo se envió, se entregó, se retrasó o se rechazó, además de los errores y los avisos de spam o de baja.

(3) Nuestro equipo ve estos datos en el portal, en la cuenta o la reserva correspondiente (el personal con un rol restringido, solo en las reservas que tiene asignadas). La finalidad es garantizar que llegue la información importante sobre el viaje y los pagos, y poder ayudar de forma concreta ante consultas («No me ha llegado nada»). La base jurídica es nuestro interés legítimo en una comunicación fiable (art. 6.1.f) RGPD). Conservamos estos datos 12 meses desde el envío y después los suprimimos automáticamente; al suprimir definitivamente una cuenta (tras la papelera de seguridad de 60 días, apartado C1), suprimimos de inmediato todas las entradas relativas a la cuenta y a su dirección de correo.

(4) Ofertas y promociones por correo: De vez en cuando enviamos a los admins del grupo correos sobre promociones relacionadas con el viaje reservado, también junto con socios (actualmente IN YOUR FACE FOODS, véase A12). La base es nuestro interés legítimo en la publicidad directa (art. 6.1.f) RGPD, § 7.3 de la Ley alemana contra la competencia desleal, UWG). Puedes oponerte en cualquier momento sin más costes que los de transmisión según las tarifas básicas: en tu perfil, en «Notificaciones» (interruptor «Ofertas y promociones por correo»), o mediante el aviso al final de cada uno de estos correos, que te lleva al perfil. Los correos sobre tu viaje (por ejemplo, sobre pagos, plazos y accesos) los seguirás recibiendo igualmente. No comunicamos tu dirección de correo a los socios para ello.

C5. Verificación de seguridad al iniciar sesión (Cloudflare Turnstile)

(1) Antes de cada solicitud de código y de cada inicio de sesión con contraseña se realiza una verificación de seguridad invisible contra el abuso automatizado; solo en caso de duda aparece una casilla para marcar. Esto se aplica también al inicio de sesión en la app interna de administración de nuestro equipo. El proveedor es Cloudflare, Inc. (EE. UU.). Se tratan la dirección IP y señales del navegador y del dispositivo. Solo recibimos el resultado de la verificación y no guardamos nada de él. Sin cookies publicitarias ni seguimiento entre sitios.

(2) La base jurídica es nuestro interés legítimo en la seguridad del servicio (art. 6.1.f) RGPD). La transferencia a EE. UU. se basa en cláusulas contractuales tipo (apartado 5).

C6. Asistente de IA «Guillermo»

(1) En el portal y en la app hay disponible un asistente de IA voluntario, actualmente para admins del grupo, entrenadores y nuestro equipo. Antes de tu primera pregunta te pedimos expresamente tu consentimiento (art. 6.1.a) RGPD); sin él no se envía nada. Puedes retirar tu consentimiento en cualquier momento en el chat o en tu perfil; en ese caso también se elimina tu historial.

(2) Para responder, transmitimos a Anthropic, PBC (EE. UU.), exclusivamente a través de nuestro servidor y sin contacto directo de tu dispositivo con Anthropic: tu pregunta, el historial del chat hasta ese momento (como máximo 10 mensajes), tu nombre de pila para dirigirnos a ti y un extracto de tus propios datos de viaje. Esto incluye el club, el viaje, el hotel, los trayectos fijos en autobús, el estado de facturación (solo para el admin del grupo), el nombre, el correo electrónico y el teléfono de tu persona de contacto en BALLERS53 y tus últimas notificaciones del portal (solo el título si mencionan a otras personas; en las cuentas de nuestro equipo, siempre solo el título y la fecha).

(3) Si tu cuenta está vinculada también como padre o madre, transmitimos además los nombres de pila de tus hijos y los nombres de sus entrenadores, así como datos sobre el viaje de tu hijo o hija: equipo con categoría y datos de las camisetas del equipo, número de habitación, número de camas y compañeros de habitación (sin sus nombres), hotel con dirección, trayectos en autobús, fianza, número de autorizaciones pendientes y lista de equipaje. Si tienes una candidatura propia para el crew, transmitimos también su estado, el rol, el viaje de llegada, el alojamiento (sin los nombres de los compañeros de habitación) y los trayectos en autobús.

(4) Los datos de salud, los datos de alimentación, los contactos de emergencia y las fechas de nacimiento de nuestro sistema nunca se envían a Anthropic. Lo que escribas tú mismo llega a Anthropic tal como lo escribes. Por eso, no introduzcas datos de salud ni nombres de otras personas.

(5) Búsqueda para nuestro equipo: Para el personal de BALLERS53, también con rol restringido, Guillermo puede además buscar en el portal. Los resultados de la búsqueda se envían a Anthropic: nombres y apellidos de participantes (en su mayoría menores de edad), club, equipo, referencia de reserva, contacto de la reserva, candidaturas para el crew y hoteles; para nuestros administradores, también cuentas de usuario (nombre, áreas), pero no las cuentas que son solo de padres. No se transmiten los nombres de los contactos de emergencia ni de los padres, y las direcciones de correo solo si se buscó una dirección de correo. La base jurídica es nuestro interés legítimo en una gestión interna eficiente de consultas y reservas (art. 6.1.f) RGPD).

(6) Preguntas abiertas: Si Guillermo no puede responder a una pregunta, la guardamos con la cuenta y la reserva para que nuestro equipo pueda dar la respuesta más tarde y completar nuestras preguntas frecuentes. No guardamos para ello las preguntas de nuestro equipo para las que Guillermo buscó en el portal. Nuestro equipo ve el nombre, el club y el rol. Suprimimos estas preguntas a los 180 días; si la cuenta se suprime definitivamente antes, desaparece el vínculo con la persona. Si nuestro equipo incorpora la respuesta a las preguntas frecuentes, puedes recibir una notificación (en el portal o por push, con un texto fijo sin tu pregunta), pero no si has retirado tu consentimiento. La base jurídica es el art. 6.1.f) RGPD.

(7) Prueba del consentimiento: Guardamos cuándo aceptaste qué versión del texto de consentimiento o cuándo retiraste tu consentimiento (cuenta, versión del texto, web o app, momento). La prueba se suprime cuando tu cuenta se suprime definitivamente (art. 7.1 RGPD).

(8) Con Anthropic hemos celebrado un contrato de encargo del tratamiento con cláusulas contractuales tipo (apartado 5).

(9) Para mejorar nuestras preguntas frecuentes llevamos un registro de preguntas sin vínculo con tu cuenta. Contiene el texto de la pregunta, el tipo de cuenta, el idioma y si se respondió. Los nombres que alguien escriba en una pregunta permanecen en el texto. Las preguntas de cuentas de nuestro equipo, también con rol restringido, no se registran en él. El registro se suprime automáticamente a los 90 días (art. 6.1.f) RGPD).

C7. Hoteles asociados como destinatarios

(1) Nuestros hoteles asociados en España reciben un acceso propio al portal, sin contraseña, y solo ven datos relativos a su propio establecimiento:

• Lista de habitaciones con nombre y apellidos de las personas que llegan por grupo, solo después de que nuestro equipo haya aprobado expresamente la planificación de habitaciones, junto con el rol en el grupo (entrenador, responsable, acompañante). La finalidad es el check-in y las obligaciones legales de registro del hotel. El hotel no recibe fechas de nacimiento, datos de salud ni —salvo los de la persona responsable principal (párrafo 2)— datos de contacto.
• Manutención solo como cifras totales de todo el grupo en el hotel (por ejemplo, «2× vegetariano, 1× sin gluten»), nunca por subgrupo o paquete, para que ningún dato pueda atribuirse a una persona conocida por su nombre. En grupos pequeños de menos de 5 personas en el hotel no se desglosa; el hotel nos consulta entonces la manutención. Los textos libres de salud están separados técnicamente y los hoteles nunca pueden acceder a ellos.
• Periodo, nombre del club, país, número de personas, categorías, horarios de autobús y de llegada, cupo de habitaciones reservado, fianza prevista (importe total por grupo) y los nombres de conductores o miembros del crew con habitación en el hotel.
• Nunca: facturas y datos financieros, datos de otros hoteles, datos de contacto de los participantes.

(2) Persona responsable principal ante el hotel: Para cada reserva, el club indica exactamente una persona de contacto adulta (nombre, teléfono, correo electrónico, dirección postal) para la obligación de registro del hotel conforme a la práctica española de partes de entrada de viajeros. Deliberadamente no recogemos la fecha de nacimiento ni datos del documento de identidad; los documentos los registra exclusivamente el hotel en el check-in.

(3) Cuánto tiempo ve el hotel los nombres: El hotel ve en el portal los nombres de los huéspedes, el nombre y los datos de contacto de la persona responsable principal, los nombres de conductores o miembros del crew con habitación en el hotel y los horarios de llegada hasta 14 días después de la salida del grupo. Después, el portal solo muestra al hotel cifras (personas, habitaciones). Nuestro equipo sigue viéndolo todo. El portal no puede eliminar las listas impresas.

(4) Registro de accesos: Por seguridad, registramos cuándo una cuenta de hotel abre una lista de habitaciones (cuenta con dirección de correo, momento, grupo; como máximo una entrada por hora y lista). Solo nuestro equipo ve estas entradas; las suprimimos a los 12 meses. La base jurídica es nuestro interés legítimo en la seguridad del acceso y en la prueba de la comunicación de los datos (art. 6.1.f) RGPD).

(5) Las bases jurídicas de la comunicación al hotel son el art. 6.1.b) RGPD (ejecución del contrato de alojamiento) y el art. 6.1.c) RGPD (obligación de registro del hotel). Destinatario: hotel asociado.

(6) Los accesos los concede y revoca exclusivamente nuestro equipo; la revocación surte efecto de inmediato. Cada acceso y cada aceptación quedan registrados.

C8. Candidatura para el crew (voluntarios a partir de 18 años)

(1) La candidatura puede presentarse sin cuenta. Todos los datos se guardan inicialmente solo en tu propio dispositivo (almacenamiento local del navegador como borrador; foto y currículum solo en la memoria de trabajo). Solo al enviarla confirmas tu dirección de correo mediante un código; en ese momento se crea tu cuenta y la candidatura se nos transmite. Tras enviarla o descartarla, el borrador se elimina de tu dispositivo.

(2) Recogemos nombre, fecha de nacimiento (para comprobar la edad mínima de 18 años), móvil, país, lugar de residencia, idiomas, experiencia o licencia de baloncesto, cualificaciones, motivación, preferencia de habitación, viaje de llegada, una foto y, opcionalmente, un currículum; tras la aceptación, además, talla de uniforme y alimentación. Las valoraciones internas de nuestro equipo no son visibles para ti. La base jurídica es el art. 6.1.b) RGPD (preparación y ejecución de la colaboración).

(3) Puedes incorporarte voluntariamente a nuestra «bolsa de talento» para futuros torneos (art. 6.1.a) RGPD); puedes retirar este consentimiento en cualquier momento.

(4) Plazo de conservación:

• Sin bolsa de talento (candidatura rechazada, retirada o no decidida): seis meses después del torneo trasladamos la candidatura, con foto y currículum, a la papelera y la suprimimos definitivamente 60 días después.
• Con bolsa de talento: conservamos la candidatura para futuros torneos hasta que retires tu consentimiento, como máximo tres años desde el final del torneo o desde tu consentimiento, lo que sea posterior. Después se aplica lo mismo: papelera y supresión definitiva 60 días después.
• Si vencen muchas candidaturas a la vez, repartimos su traslado a la papelera en varios días.
• Los borradores nunca enviados que estén en nuestro servidor los suprimimos 90 días después de la última modificación.
• Puedes eliminar tú mismo en cualquier momento una candidatura retirada o rechazada (Pase de crew › «Eliminar solicitud»).
• Tras una aceptación, suprimimos el dato de alimentación en el plazo de un mes desde el final del viaje (apartado B12). Los demás datos los conservamos mientras sean necesarios para tu colaboración y su seguimiento posterior.

(5) Foto y currículum una vez iniciada la revisión: En cuanto revisamos tu candidatura (también en la lista de espera, tras una aceptación o un rechazo), ya no puedes sustituir ni eliminar tú mismo la foto y el currículum. Así, la foto revisada se mantiene en tu acreditación de crew. Si quieres que se eliminen, escríbenos, retira tu candidatura y elimínala después con «Eliminar solicitud» (tras un rechazo puede hacerse directamente, párrafo 4), o elimina tu cuenta (apartado C1, párrafo 6).

C9. Funciones internas de transparencia y funcionamiento

(1) Vista de cliente: Los miembros autorizados de nuestro equipo pueden ver la vista del portal de una reserva tal como la ve el club, un entrenador, un padre o una madre o el hotel asociado, solo en modo lectura y sin poder realizar acciones. Los datos de salud también permanecen ocultos en esa vista, y cada uso queda registrado en el historial de la reserva. Las finalidades son el soporte y el control de calidad (art. 6.1.f) RGPD).

(2) Supervisión del funcionamiento: Para garantizar el funcionamiento llevamos un registro técnico de errores de nuestras funciones de servidor (momento, función, tipo de error, sin contenido personal) e informamos automáticamente a nuestros administradores en caso de incidencias. En caso de incidencias graves, el portal muestra temporalmente una página de mantenimiento. La base jurídica es el art. 6.1.f) RGPD (seguridad operativa).

(3) Informes de fallos: Para poder corregir errores rápidamente, el portal, la app «BALLERS53 Portal» y la app de administración de nuestro equipo notifican un cierre inesperado o un error del programa a nuestro propio servidor (Supabase, UE), solo en cuentas con sesión iniciada. Solo se transmiten características técnicas: qué pantalla (un nombre fijo, nunca la dirección web de la página), qué versión del programa, qué tipo de error y qué plataforma. Ni el texto del mensaje de error, ni nombre, ni dirección de correo. De ello solo guardamos cifras diarias sin referencia personal (30 días). Para protegernos frente al abuso, recordamos durante poco tiempo el identificador de la cuenta y el número de sus notificaciones: por hora (supresión a las dos horas) y por día (supresión a los dos días). No se integra ningún servicio externo, no se instalan cookies y no se utiliza ningún identificador del dispositivo. La base jurídica es nuestro interés legítimo en un funcionamiento sin errores (art. 6.1.f) RGPD).

(4) Estado en línea: Para cada cuenta solo guardamos el momento de la última actividad (una línea que se sobrescribe) para mostrar «en línea» o «activo por última vez». Los clubes solo ven este estado en su persona de contacto de BALLERS53 (art. 6.1.f) RGPD).

(5) Historial de una reserva: Para cada reserva llevamos un historial que solo ve nuestro equipo. Recoge los pasos importantes y nombra a las personas implicadas, por ejemplo participantes, así como entrenadores y otras personas con acceso a la reserva (por ejemplo, a quién se le retiró un acceso). Así queda constancia de quién tuvo acceso y cuándo. Si alguien deshace un vínculo de padres, el historial no nombra al progenitor, sino que solo indica «un progenitor»; las entradas más antiguas pueden contener aún nombres o direcciones de correo. Eliminamos los nombres de los participantes en la misma fecha que la anonimización (apartado B12). El historial en sí y los demás nombres que contiene los conservamos mientras exista la reserva. La base jurídica es nuestro interés legítimo en una gestión trazable y en una ayuda concreta ante consultas (art. 6.1.f) RGPD).

(6) Dispositivos de confianza (solo cuentas de nuestro equipo): Las cuentas de nuestro equipo ven datos sensibles y por eso inician sesión además con un código de una app de autenticación. El portal y nuestra app de administración vuelven a pedir este código cada 12 horas; la app «BALLERS53 Portal», cada 7 días. Si un miembro del equipo elige expresamente «Confiar en este dispositivo durante 30 días» al introducir el código, el portal no vuelve a pedirlo en ese dispositivo durante 30 días. Para ello guardamos en el dispositivo, en el almacenamiento local del navegador (no es una cookie), una clave aleatoria. En nuestro servidor (Supabase, UE) solo guardamos un valor de comprobación no reversible de esa clave, el identificador de la cuenta, un nombre breve del dispositivo obtenido de la identificación del navegador (por ejemplo, «Chrome · Mac»), si se trata del portal o de la app de administración, el inicio, el final y el último uso. La confianza termina siempre a los 30 días; suprimimos a diario las entradas caducadas. En el perfil del portal y en la app de administración, el miembro del equipo ve sus dispositivos y puede eliminar cualquiera de ellos. Además, suprimimos todos los dispositivos de una cuenta al cerrar sesión en todos los dispositivos, al cambiar o restablecer la autenticación en dos pasos y al bloquear o eliminar la cuenta. Un nuevo inicio de sesión sigue exigiendo el código. El almacenamiento en el dispositivo solo se produce a petición expresa y es estrictamente necesario para esta función (§ 25.2, n.º 2 TDDDG). El tratamiento en nuestro servidor se basa en nuestro interés legítimo en cuentas seguras con un inicio de sesión sencillo (art. 6.1.f) RGPD).

C9a. La app «BALLERS53»

(1) Además de la app «BALLERS53 Portal», ofrecemos la app «BALLERS53» en torno a la BALLERS CUP. Se le aplican los apartados 1 a 8 y, de forma complementaria, los párrafos siguientes.

(2) Momentos (enviar imágenes): Las imágenes enviadas a través de «Momentos» con un código de envío solo las ve BALLERS53. Por cada código de envío aceptamos como máximo 500 imágenes. Las imágenes originales no seleccionadas las suprimimos 90 días después del final del periodo de envío (más tarde en los códigos que conservamos expresamente durante más tiempo); para los códigos de envío más antiguos sin fecha de fin fija, fijamos la fecha de supresión de forma individual. Las imágenes seleccionadas (best-of) se conservan mientras siga vigente el consentimiento (art. 6.1.a) RGPD; en el caso de participantes menores de edad, el consentimiento de los padres o tutores, véase también B11). Si quieres que suprimamos una imagen concreta, escríbenos a privacy@ballers53.com; la suprimiremos.

(3) Notificaciones push: Para las notificaciones guardamos un identificador del dispositivo, la plataforma, el idioma y los temas que has elegido. Solo recibes notificaciones de los temas que has elegido; cada tema puede darse de baja por separado. Si durante 12 meses no hay desde un dispositivo ni un nuevo registro, ni un cambio de temas o de idioma, ni una entrega confirmada, suprimimos el identificador automáticamente. La base jurídica es tu consentimiento (art. 6.1.a) RGPD, § 25.1 TDDDG).

(4) Cuenta: La cuenta de la app «BALLERS53» es la misma que la del portal y se gestiona allí; para su eliminación se aplica el apartado C1, párrafo 6.

(5) Proveedores: Las imágenes enviadas y los identificadores push los guardamos en Supabase, en la región de la UE (apartado C1, párrafo 5). Las notificaciones push las enviamos a través de Expo y Apple o Google, como se describe en el apartado C3, párrafo 2. El cuadro del apartado C10 se aplica también a esta app.

C10. Proveedores y destinatarios del portal