Datenschutzerklärung ÖMM App

1. Wer ist verantwortlich?

Verantwortlich für die Datenverarbeitung in der ÖMM App und bei unseren Veranstaltungen ist:

Ötztaler Moped Verein
Dorfstraße 160, 6450 Sölden, Österreich
ZVR-Zahl: 173485690
Vertreten durch: Daniel Riml, Obmann
E-Mail: support@mopedmarathon.at
Website: www.mopedmarathon.at

Für alle Fragen zum Datenschutz und zur Ausübung deiner Rechte erreichst du uns unter support@mopedmarathon.at. Einen Datenschutzbeauftragten müssen wir als Verein nicht bestellen.

2. Wofür gilt diese Erklärung?

Diese Datenschutzerklärung gilt für die ÖMM App für Android und iPhone, für die Web-Version unter oemm-app.web.app und für unsere Veranstaltungen (z. B. Ötztaler Mopedmarathon, Gletscherausfahrt). Für unsere Website mopedmarathon.at gilt deren eigene Datenschutzerklärung.

Die App wird für drei Gruppen verwendet:

• Mitglieder und Teilnehmende – Konto, Mitgliedschaft, Startnummer, Guthaben, Live-Tracking
• Gäste – Event-Infos und Live-Karte ohne Anmeldung, bargeldloses Bezahlen mit einem anonymen Gäste-Chip
• Orga und Helfer – Kassa, Startnummernausgabe, Streckenbetreuung, Arbeitszeiten

Keine Werbung, kein Tracking zu Werbezwecken. Die App verwendet keine Analyse- oder Werbedienste und gibt deine Daten nicht an Werbepartner weiter. Auf deinem Gerät werden nur Daten gespeichert, die für den Betrieb nötig sind (z. B. damit du angemeldet bleibst, § 165 Abs. 3 TKG 2021).

3. Mitgliedskonto und Profil

Für ein Konto brauchen wir deine Kontaktdaten, damit wir die Mitgliedschaft und die Teilnahme an der Veranstaltung abwickeln können.

Passwort: Dein Passwort wird von Google Firebase Authentication nur verschlüsselt (als Hash) gespeichert. Wir können es nicht einsehen.

E-Mails: Nach der Registrierung bekommst du eine E-Mail zur Bestätigung deiner Adresse und eine Willkommens-Mail. Nach bezahltem Mitgliedsbeitrag schicken wir eine Bestätigung. Am Saisonende können wir dich per E-Mail an ein offenes Restguthaben erinnern (mit Betrag). Die Bestätigungs-Mail für die Adresse versendet Google Firebase, alle anderen E-Mails versenden wir über unser Postfach bei myNET gmbh (Landeck).

Prüfung der Namen: Damit auf gedruckten Startnummern keine extremistischen Begriffe stehen, gleicht die App Namen mit einer Sperrliste ab. Ein Treffer wird nur markiert und von einer Person der Orga geprüft, es gibt keine automatische Sperre (Art. 6 Abs. 1 lit. f DSGVO, berechtigtes Interesse an einer ordnungsgemäßen Veranstaltung).

Mindestalter: Ein Konto ist erst ab 18 Jahren möglich. Bei der Registrierung bestätigst du das mit einem Häkchen; wir speichern den Zeitpunkt dieser Bestätigung. Kontrolliert wird bei der Startpaket-Ausgabe mit einem Lichtbildausweis. Stellt sich heraus, dass jemand jünger ist, löschen wir das Konto.

4. Mitgliedschaft, Zahlungen und Guthaben

Bei der Veranstaltung bezahlst du bargeldlos mit deinem Chip und deinem Guthaben. Dazu speichern wir, was du wann wo gekauft, aufgeladen oder zurückbekommen hast.

• Online-Zahlung: Mitgliedsbeitrag und Guthaben-Aufladung bezahlst du über hobex AG, Josef-Brandstätter-Straße 2b, 5020 Salzburg (Datenschutz hobex). Deine Kartendaten gibst du direkt im Zahlungsformular von hobex ein. Sie erreichen weder die App noch den Verein. Wir erhalten nur, ob die Zahlung erfolgreich war, den Betrag und eine Zahlungsnummer.
• Guthaben und Buchungen: Kontostand sowie jede Buchung (Kauf, Aufladung, Auszahlung, Pfand, Gutschein) mit Betrag, Artikel, Kassa-Station und Zeitpunkt.
• Trinkgeld: Gibst du an der Kassa Trinkgeld, speichern wir Betrag, Zahlungsart und an wen es geht (das Team der Station oder eine Person). Wer Trinkgeld bekommt, erhält es als Guthaben auf sein Konto.
• Gutscheine: Anzahl und Art (Getränk, Essen, Merch), optional ein Grund wie „Helfer Freitag“.
• Gäste-Konten: Gäste ohne Mitgliedschaft bekommen ein Chip-Konto ohne Namen oder Kontaktdaten.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Abwicklung von Mitgliedschaft und Einkäufen) und lit. c DSGVO (gesetzliche Aufbewahrungspflicht für Buchungen nach § 132 BAO).

Guthaben zurückfordern oder spenden: In „Mein Profil“ kannst du Restguthaben zurückfordern oder dem Verein spenden. Was du online aufgeladen hast, zahlen wir über hobex auf dieselbe Karte zurück. Den Rest überweisen wir; dafür fragen wir IBAN und Kontoinhaber ab. Die IBAN löschen wir, sobald die Überweisung erledigt ist. Betrag, Datum und Art der Rückzahlung bleiben als Buchungsbeleg gespeichert (Art. 6 Abs. 1 lit. b und c DSGVO).

Spenden-Link: In der Android- und Web-Version gibt es einen Link zu PayPal für freiwillige Spenden an den Entwickler der App. Erst wenn du ihn antippst, öffnet sich die Seite von PayPal; dort gilt die Datenschutzerklärung von PayPal. Die App übermittelt dabei keine Daten an PayPal.

5. RFID-Chip, PIN und Startnummer

Dein Chip (Armband) verbindet dich an der Kassa mit deinem Konto. Deine Startnummer brauchen wir für die Veranstaltung und die Live-Karte.

• Chip: die Kennung des Chips, wie du ihn bekommen hast (Startpaket, gekauft, gegen Pfand) und gesperrte Chips bei Verlust. Das Handy liest den Chip über NFC nur, wenn du oder die Kassa es gerade auslöst.
• PIN für die Chip-Anmeldung: Wir speichern nur einen nicht rückrechenbaren Fingerabdruck (Hash) der PIN. Gegen das Durchprobieren zählen wir Fehlversuche, auch je Internet-Anschluss (IP-Adresse), und sperren kurzzeitig.
• Startnummer: deine Wunsch- oder zugeteilte Nummer, ob das Startpaket abgeholt ist, wann und von wem ausgegeben.
• Mein Code (QR): ein Code mit deiner Mitgliedskennung, den die Orga bei der Ausgabe oder an Checkpoints scannt.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Teilnahme, bargeldloses Bezahlen); für den Schutz vor Missbrauch der PIN Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Sicherheit deines Guthabens).

6. Live-Tracking

Wenn du mit Startnummer angemeldet bist und die Standort-Freigabe erteilst, überträgt die App deinen Standort – auch im Hintergrund, wenn die App nicht verwendet wird oder das Handy gesperrt ist. Das passiert nur, während die Ausfahrt läuft (Start und Ende legt die Orga fest, du bekommst dazu eine Benachrichtigung) oder wenn du den Tracker (die Karte) öffnest bzw. selbst startest (z. B. zum Üben). Mit „Tracking beenden“ kannst du die Übertragung jederzeit stoppen. Das Tracking ist freiwillig.

Welche Daten:

• deine letzte Position (keine Aufzeichnung des ganzen Streckenverlaufs),
• die Zeitpunkte, zu denen du Checkpoints erreichst,
• ein Pannen-Status, wenn du „Panne melden“ drückst, mit Ort und Zeit,
• deine Startnummer und – nur falls du ihn einträgst – dein Tracker-Name.

Wozu: automatische Checkpoint-Erfassung, Live-Karte und deine Sicherheit auf der Strecke: Die Orga sieht, wo du bist, findet dich bei einer Panne und kann bei Unwetter warnen oder abbrechen.

Hintergrund: Dafür braucht die App die Standort-Berechtigung „Immer“. Solange das Tracking läuft, zeigt dein Android-Handy die Benachrichtigung „ÖMM Tracker ist aktiv“. Drückst du „Tracking beenden“, wischst du die App weg oder endet die Ausfahrt, endet die Übertragung (selbst gestartetes Tracking endet außerhalb der Ausfahrt spätestens nach einer Stunde). Die Position bestimmt dein Handy über GPS und, wenn GPS nicht reicht, über Mobilfunk und WLAN.

Wer sieht was:

Tracker-Name: freiwillig, in „Mein Profil“ jederzeit änderbar oder löschbar. Die Orga kann unpassende Namen entfernen.

Speicherdauer: Positionen, Checkpoint-Zeiten und Status werden am 1. November des Veranstaltungsjahres automatisch gelöscht. Pannenmeldungen werden dann anonymisiert: Name, Startnummer und Mitgliedskennung werden entfernt, Ort, Zeit und Strecke bleiben ohne Personenbezug für die Planung künftiger Ausfahrten. Nach dem Ende der Ausfahrt kannst du deine Tracking-Daten in „Mein Profil“ auch selbst herunterladen und sofort löschen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (deine Einwilligung durch die Standort-Freigabe); die Pannen-Ortung zusätzlich Art. 6 Abs. 1 lit. f DSGVO (Sicherheit der Teilnehmenden).

Widerruf: Du kannst die Standort-Freigabe jederzeit in den Einstellungen deines Handys entziehen. Dann funktionieren die automatische Checkpoint-Erfassung und die Ortung bei Pannen nicht mehr.

7. Push-Benachrichtigungen

Mit deiner Erlaubnis schicken wir dir Nachrichten aufs Handy, z. B. Warnungen während der Ausfahrt, Programmänderungen, die Bestätigung deiner Zahlung oder eine Erinnerung an dein Restguthaben.

• Gespeichert wird eine Geräte-Kennung (Push-Token), die Zielgruppe (alle, Strecke, Kassa) und – wenn du angemeldet bist – deine Mitgliedskennung.
• Zugestellt werden die Nachrichten über Google Firebase Cloud Messaging, auf dem iPhone zusätzlich über den Apple Push Notification Service.
• Gesendete Nachrichten an alle bleiben als Verlauf in der App sichtbar, bis die Orga sie löscht. Persönliche Nachrichten (z. B. Zahlungsbestätigung) sieht nur die betroffene Person.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung). Du kannst Benachrichtigungen jederzeit in den Einstellungen deines Handys abschalten. Ungültige Geräte-Kennungen löschen wir automatisch, beim Löschen deines Kontos sofort.

8. Fotos und Videos bei der Veranstaltung

Bei unseren Veranstaltungen fotografieren und filmen wir bzw. von uns beauftragte Fotografen, um die Veranstaltung zu dokumentieren und darüber zu berichten. Dabei können auch Teilnehmende, Helfer und Zuschauer zu sehen sein.

• Wo wir sie zeigen: in der App (Event-Info), auf mopedmarathon.at, in den Social-Media-Kanälen des Vereins (z. B. Facebook, Instagram, YouTube), in Vereinsunterlagen, in Druckwerken und in der Werbung für den Verein und seine Veranstaltungen.
• Weitergabe: Wir dürfen Aufnahmen an Presse, Medienpartner und Sponsoren weitergeben, die sie für Berichte und Werbung im Zusammenhang mit dem Verein und seinen Veranstaltungen verwenden. Diese sind für ihre eigene Verwendung selbst verantwortlich. Veröffentlichen wir Aufnahmen in sozialen Netzwerken, verarbeiten auch die Betreiber dieser Plattformen die Aufnahmen, teilweise außerhalb der EU; dafür gelten deren eigene Datenschutzbestimmungen.
• Worauf wir achten: Wir veröffentlichen keine Aufnahmen, die dich bloßstellen oder deine berechtigten Interessen verletzen (§ 78 UrhG). Die Nutzungsrechte an den Aufnahmen sind in den AGB & Teilnahmebedingungen (Abschnitt 7) geregelt.
• Hinweis vor Ort: Auf die Aufnahmen weisen wir bei der Anmeldung und mit Schildern am Veranstaltungsgelände hin.
• Aufnahmen durch andere: Für Fotos und Videos, die andere Teilnehmende oder Zuschauer privat machen und veröffentlichen, ist der Verein nicht verantwortlich.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Teilnahmebedingungen, denen du bei der Anmeldung zustimmst) und Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse des Vereins an Dokumentation, Öffentlichkeitsarbeit und Werbung für eine öffentliche Veranstaltung).

Widerspruch: Du willst auf einem Foto oder Video nicht zu sehen sein? Schreib an support@mopedmarathon.at und nenne das Bild oder die Stelle. Wir entfernen es aus unseren eigenen Kanälen bzw. machen dich unkenntlich, soweit das möglich ist (Art. 21 DSGVO). Bereits gedruckte Unterlagen und an Dritte weitergegebene Aufnahmen können wir nicht zurückholen; wir informieren die Empfänger aber über deinen Widerspruch.

Speicherdauer: Aufnahmen bewahren wir im Vereinsarchiv auf, solange sie für die Vereinsgeschichte und die Berichterstattung von Bedeutung sind, oder bis du erfolgreich widersprichst.

9. Orga und Helfer

Wer in der Orga oder als Helfer mitarbeitet, nutzt zusätzliche Bereiche der App. Dafür verarbeiten wir:

• Rechte und Bereiche (z. B. Kassa, Strecke, Verwaltung), damit jede Person nur sieht, was sie für ihre Aufgabe braucht.
• Arbeitszeiten: Ein- und Ausstempeln mit dem Chip an der Kassa, mit Station und Uhrzeit. Das dient der Einsatzplanung, dem Überblick, wer da ist, und der Aufteilung von Team-Trinkgeld. Es ist keine arbeitsrechtliche Zeiterfassung. Du siehst deine eigenen Zeiten in „Mein Profil“.
• Protokoll: Bei Buchungen, Startpaket-Ausgaben und Gutscheinen speichern wir, welche Orga-Person sie ausgeführt hat, damit Rückfragen geklärt werden können.
• Streckenposten sehen von Teilnehmenden nur Name, Telefonnummer, Startnummer und Chip-Kennung.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (deine Mitarbeit im Verein) und lit. f DSGVO (ordnungsgemäße Organisation und Nachvollziehbarkeit von Kassa-Vorgängen).

Speicherdauer Arbeitszeiten: bis zum 1. November des Veranstaltungsjahres, danach werden sie gelöscht.

10. Technik, Empfänger und Datenübermittlung

Wir verkaufen keine Daten. Wir geben sie nur an Dienstleister weiter, die wir für den Betrieb der App brauchen, oder wenn das Gesetz uns dazu verpflichtet.

Karte: Die Kartendaten stammen von OpenStreetMap (© OpenStreetMap-Mitwirkende, Lizenz ODbL). Wir stellen die Karte über unseren eigenen Firebase-Speicher bereit. Beim Anzeigen der Karte werden keine Daten an OpenStreetMap übertragen.

Übermittlung in Drittländer: Die Server-Funktionen und der Dateispeicher (Profilbilder, Streckendateien, Kartendaten, PDFs) von Google Firebase liegen derzeit in den USA. Google ist unter dem EU-US Data Privacy Framework zertifiziert; die EU-Kommission hat dafür einen Angemessenheitsbeschluss erlassen (Art. 45 DSGVO). Zusätzlich gelten die Standardvertragsklauseln der EU (Art. 46 DSGVO).

Protokolldaten: Beim Aufruf der App und der Web-Version verarbeiten die Server von Google technisch notwendige Daten wie IP-Adresse, Zeitpunkt und Gerätetyp, um die Dienste bereitzustellen und abzusichern (Art. 6 Abs. 1 lit. f DSGVO).

Sicherheit: Alle Verbindungen sind verschlüsselt (HTTPS). Zugriffe sind über Sicherheitsregeln auf das nötige Maß beschränkt; Zahlungs- und PIN-Daten sind nur für die Server-Funktionen erreichbar.

11. Wie lange wir Daten speichern

Wir löschen Daten, sobald wir sie für den jeweiligen Zweck nicht mehr brauchen und keine gesetzliche Pflicht zur Aufbewahrung besteht.

Konto selbst löschen: In der App unter „Mein Profil“ → „Konto löschen“ (Bestätigung mit dem Wort LÖSCHEN und deinem Passwort) oder per E-Mail an support@mopedmarathon.at mit deinem Namen und der E-Mail-Adresse deines Kontos – dann prüfen wir, dass die Anfrage von dir kommt, erledigen die Löschung innerhalb von 30 Tagen und bestätigen sie dir. Dabei löschen wir dein Konto, Kontaktdaten, Startnummer, Chip, Tracker-Name, Profilbild, Einwilligungen, Tracking-Positionen und Push-Kennungen; Pannenmeldungen werden anonymisiert. Buchungen bleiben wegen der Aufbewahrungspflicht gespeichert. Bitte fordere Restguthaben vorher in der App unter „Mein Profil“ → „zurück / spenden“ zurück oder gib es bei deinem Antrag per E-Mail an.

12. Deine Rechte

Du hast jederzeit das Recht auf:

• Auskunft über deine gespeicherten Daten (Art. 15 DSGVO)
• Berichtigung falscher Daten (Art. 16 DSGVO)
• Löschung (Art. 17 DSGVO) – für dein Konto direkt in der App
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO) – deine Tracking-Daten und deine Buchungen („Mein Profil“ → „Meine Umsätze“) kannst du in der App selbst herunterladen
• Widerspruch gegen Verarbeitungen, die auf unserem berechtigten Interesse beruhen, z. B. Fotos (Art. 21 DSGVO)
• Widerruf deiner Einwilligung mit Wirkung für die Zukunft, z. B. Standort oder Push (Art. 7 Abs. 3 DSGVO)

Schreib dazu an support@mopedmarathon.at. Wir antworten innerhalb eines Monats.

Beschwerde: Wenn du meinst, dass wir deine Daten nicht richtig verarbeiten, kannst du dich bei der österreichischen Datenschutzbehörde beschweren: Barichgasse 40–42, 1030 Wien, dsb@dsb.gv.at, www.dsb.gv.at.

Änderungen: Wenn sich die App oder die Rechtslage ändert, passen wir diese Erklärung an. Die aktuelle Fassung findest du immer unter oemm-app.web.app/datenschutz.

Impressum

Stand: 14. Oktober 2026