Deine Daten · im Klartext

Was wir
speichern

Kein Textbaustein-Generator, keine Cookie-Wand, kein Kleingedrucktes über Dinge, die wir gar nicht tun. Hier steht genau, welche neun Angaben dieser Antrag erhebt, wozu, auf welcher Grundlage und wie lange.

Stand 2026-08-05

Kurz gesagt

Wir erheben drei Pflichtangaben (Vorname, PLZ, E-Mail) plus alles, was du freiwillig dazugibst. Wir setzen keine Cookies, messen dich nicht, verkaufen nichts weiter — und du kommst mit einer einzigen Mail wieder raus.

Kein Tracking, keine Analyse-Skripte, keine Werbe-Pixel, kein Cookie-Banner — weil es nichts zuzustimmen gibt.
Keine Zahlungsdaten. Die Mitgliedschaft ist kostenlos, es gibt kein Bankkonto einzutragen.
Keine Schriften und keine Bilder von fremden Servern. Alles kommt von unserem eigenen.
Kein Verkauf, kein Tausch, keine Weitergabe an Werbenetzwerke.

Wer verantwortlich ist

Ein Rosenkavalier c/o Joshua von Söhnen, Ehrenfeldgürtel 157 50823 Köln Deutschland

Fragen zum Datenschutz: fanpost@fc-hoffnungsvoll.de

Eine datenschutzbeauftragte Person ist nicht benannt. Für einen Fanclub dieser Größe schreibt § 38 BDSG das nicht vor. Deine Anfragen beantwortet der Vorstand selbst.

Welche Daten, wozu, wie lange

Jede Zeile hier entspricht genau einem Feld im Antrag. Was du nicht ausfüllst, existiert bei uns nicht.

VornamePflicht

Wozu: Damit wir dich beim Namen nennen — in der Bestätigungsmail, auf dem Spielerpass, im Block.
Grundlage: Art. 6 Abs. 1 lit. b DSGVO (Durchführung der Mitgliedschaft)
Wie lange: bis du austrittst

Nachnamefreiwillig

Wozu: Nur, damit wir zwei Maxe auseinanderhalten können. Leer lassen geht.
Grundlage: Art. 6 Abs. 1 lit. b DSGVO
Wie lange: bis du austrittst

PostleitzahlPflicht

Wozu: Damit wir dir Shows in deiner Nähe ankündigen können und nicht allen alles schicken. Wir speichern nur die fünf Ziffern, keine genaue Adresse.
Grundlage: Art. 6 Abs. 1 lit. b DSGVO
Wie lange: bis du austrittst

E-Mail-AdressePflicht

Wozu: Der Bestätigungslink, die Vereinspost (Bestätigung und wirklich Wichtiges) und — nur mit deinem Häkchen — Neuigkeiten zu Shows und Merch.
Grundlage: Art. 6 Abs. 1 lit. b DSGVO für die Mitgliedschaft; für Werbemails zusätzlich Art. 6 Abs. 1 lit. a DSGVO (deine Einwilligung) i. V. m. § 7 Abs. 2 Nr. 2 UWG
Wie lange: bis du austrittst oder die Einwilligung widerrufst

Postanschrift (Straße, Hausnummer, PLZ, Ort)freiwillig

Wozu: Nur, wenn du den physischen Spielerpass und das Stickerset bestellst. Ohne Bestellung fragen wir nicht danach. Sie bleibt auf unserem eigenen Server; für den Versand druckt sie eine Person aus dem Verein aus, sie geht an keinen Dienstleister.
Grundlage: Art. 6 Abs. 1 lit. b DSGVO (Versand der bestellten Sendung)
Wie lange: sechs Monate nach dem Versand, dann gelöscht

Foto (Selfie fürs Panini-Bild)freiwillig

Wozu: Kommt auf deinen Spielerpass, quadratisch zugeschnitten. Wir veröffentlichen es nirgends, geben es nicht weiter und trainieren nichts damit.
Grundlage: Art. 6 Abs. 1 lit. a DSGVO (deine Einwilligung)
Wie lange: bis der Pass gedruckt ist, spätestens sechs Monate nach dem Hochladen — oder sofort, wenn du es entfernst oder austrittst

Unterschrift (mit dem Finger gemalt oder als Namenszug getippt)freiwillig

Wozu: Das Ritual beim „Besiegel den Deal". Du kannst sie malen oder deinen Namen tippen — beides zählt bei uns gleich viel, und im Nachweis steht, welche der beiden Formen du gewählt hast. Rechtlich ist keine von beiden eine qualifizierte elektronische Signatur, sondern der Beleg, dass du den Beitritt bewusst erklärt hast.
Grundlage: Art. 6 Abs. 1 lit. a DSGVO, zum Nachweis Art. 7 Abs. 1 DSGVO
Wie lange: bis du austrittst — dann sofort weg. Was bleibt, ist die Protokollzeile mit dem Wortlaut.

Zeitpunkt, gehashte IP-Adresse, Browserkennung und der gezeigte EinwilligungstextPflicht

Wozu: Der Einwilligungsnachweis. Wir müssen belegen können, dass die Anmeldung von dir kam — sonst dürften wir dir gar nichts schicken. Die IP-Adresse speichern wir nur als gesalzenen Hash, nie im Klartext.
Grundlage: Art. 6 Abs. 1 lit. c DSGVO i. V. m. Art. 7 Abs. 1 DSGVO (Nachweispflicht), zusätzlich Art. 6 Abs. 1 lit. f DSGVO (Verteidigung gegen unberechtigte Ansprüche)
Wie lange: 3 Jahre nach Ende der Mitgliedschaft (Verjährungsfrist §§ 195, 199 BGB)

Was der Server nebenbei mitschreibt

Wie jeder Webserver protokolliert unserer die abgerufene Adresse, den Zeitpunkt, die Antwortgröße und die Browserkennung, um Störungen und Angriffe zu erkennen. IP-Adressen und E-Mail-Adressen sind in diesen Protokollen ausdrücklich unkenntlich gemacht.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO — unser berechtigtes Interesse daran, dass der Antrag erreichbar bleibt und nicht von Bots geflutet wird. Aufbewahrung: 14 Tage, danach automatisch weg.

Warum du erst eine Mail bestätigen musst

Jeder könnte deine Adresse eintippen. Deshalb schicken wir zuerst einen Bestätigungslink und legen dich erst danach als Mitglied an. Klickst du nicht, passiert nichts: Nach 14 Tagen — gerechnet ab unserer letzten Mail an dich — läuft der Link ab, und ein Aufräumjob löscht die Anfrage samt Adresse, Foto und Unterschrift.

In der Bestätigungsmail steht bewusst keine Werbung — das verlangt § 7 UWG, und wir halten uns daran. Erst nach deinem Klick landest du in der Mitgliederliste. Solange du nicht klickst, hörst du nichts weiter von uns: Wir schicken keine Erinnerung hinterher.

Wer die Daten außer uns noch sieht

Zwei Dienstleister, beide als Auftragsverarbeiter nach Art. 28 DSGVO vertraglich gebunden. Sie dürfen die Daten ausschließlich für uns verarbeiten, nicht für eigene Zwecke.

Brevo — Versand der Bestätigungs- und Vereinspost und Führung der Mitgliederliste. Dorthin gehen: Vorname, Nachname, PLZ, E-Mail-Adresse, Rückennummer, über welchen der beiden Wege du beigetreten bist, die Angabe, ob du Werbemails willst, ob du deine Adresse bestätigt hast, ob du dem WhatsApp-Kanal folgst, und die Pass-Kennung, falls du einen bestellt hast. Foto, Unterschrift und Postanschrift gehen NICHT an Brevo. Unterschrift und Anschrift liegen auf unserem eigenen Server; das Foto liegt in einem nicht öffentlichen Objektspeicher unseres Hosters — also beim selben Dienstleister, der auch den Server betreibt, unter demselben Vertrag. Ein weiterer Dienstleister kommt dadurch nicht dazu. Die Pass-Kennung ist eine laufende Nummer wie FCH-0453, keine Anschrift.

Brevo GmbH, Köhlstraße 2, 50827 Köln, Deutschland

Hosting — Betrieb des Servers, auf dem dieser Antrag läuft und auf dem Unterschrift und Einwilligungsprotokoll liegen, sowie des Objektspeichers, in dem das Foto liegt. Beides beim selben Anbieter, unter demselben Auftragsverarbeitungsvertrag.

Hetzner Online GmbH · Nürnberg, Deutschland

Wer NICHT auf dieser Liste steht: Werbenetzwerke, Analyse-Anbieter, Zahlungsdienstleister, soziale Netzwerke. Der WhatsApp-Kanal ist ein Link, den du in deiner eigenen App öffnest — wir übermitteln dabei nichts an Meta.

Der WhatsApp-Kanal

Der Kanal-Knopf öffnet WhatsApp auf deinem Gerät. Ob du dem Kanal folgst, entscheidest du dort — wir erfahren nur, ob du den Knopf gedrückt hast, nicht wer du in WhatsApp bist. Meta sieht dabei die üblichen Daten, die beim Öffnen einer WhatsApp-Adresse anfallen; dafür gelten Metas eigene Bedingungen, nicht unsere.

Nach deiner Handynummer fragen wir gar nicht. Für den Kanal brauchst du sie bei uns nicht, und was wir nicht erheben, kann auch nicht durchsickern.

Das Einwilligungsprotokoll

Zu jeder Anmeldung, jeder Bestätigung und jedem Widerruf schreiben wir eine Zeile mit: Zeitpunkt in UTC, Antragsnummer, Art des Ereignisses, gesalzener Hash deiner IP-Adresse, Browserkennung und dem vollständigen Wortlaut des Textes, den du beim Klicken vor Augen hattest.

Das ist keine Neugier, sondern Art. 7 Abs. 1 DSGVO: Wir müssen deine Einwilligung belegen können. Die Zeilen werden nur angehängt, nie überschrieben, und sind über eine Hashkette gegen nachträgliche Änderungen gesichert. Aufbewahrung: 3 Jahre nach Ende deiner Mitgliedschaft.

Deine IP-Adresse selbst steht dort nie. Gespeichert wird nur ein Hash mit einem geheimen Salt — ohne dieses Geheimnis lässt er sich nicht zurückrechnen.

Deine Rechte

Auskunft (Art. 15 DSGVO) — wir schicken dir alles, was wir zu dir haben, als lesbare Datei.
Berichtigung (Art. 16 DSGVO) — falscher Name, neue Adresse: eine Mail genügt.
Löschung (Art. 17 DSGVO) — mit dem Austrittslink aus deiner Willkommensmail — ein Klick, eine Rückfrage —, oder formlos per Mail. Bis auf das Einwilligungsprotokoll, das wir für die Nachweispflicht behalten müssen.
Einschränkung der Verarbeitung (Art. 18 DSGVO).
Datenübertragbarkeit (Art. 20 DSGVO) — als JSON, maschinenlesbar.
Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21 DSGVO).
Widerruf jeder Einwilligung (Art. 7 Abs. 3 DSGVO) — jederzeit, mit Wirkung für die Zukunft, ohne Begründung.
Beschwerde bei einer Datenschutz-Aufsichtsbehörde (Art. 77 DSGVO).

Alles davon geht formlos an fanpost@fc-hoffnungsvoll.de. Wir antworten innerhalb eines Monats, meistens am selben Tag.

Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW), Kavalleriestraße 2–4, 40213 Düsseldorf, https://www.ldi.nrw.de

Wie du wieder rauskommst

Nimm den Austrittslink aus deiner Willkommensmail — ein Klick, eine Rückfrage, fertig. Oder antworte auf irgendeine unserer Mails mit „Austritt". Beides reicht. Kein Formular, keine Frist, keine Begründung.

Unter jeder Mail steht außerdem ein Abmeldelink. Er beendet die Werbemails sofort; die Mitgliedschaft selbst bleibt bestehen, bis du sie kündigst. Unsere Absenderadresse ist fanpost@fc-hoffnungsvoll.de.

Beim Austritt löschen wir deinen Antrag mit Vorname, Nachname, PLZ und Postanschrift, dein Foto, deine Unterschrift und deinen Kontakt bei Brevo. Der Antrag ist danach weg, nicht leer. Was bleibt, ist die Zeile im Einwilligungsprotokoll — sonst könnten wir nicht mehr belegen, dass wir dich zu Recht angeschrieben haben. Sie wird 3 Jahre nach dem Austritt automatisch aus dem Protokoll geschnitten.

Die beiden Links sind nicht dasselbe, und das ist wichtig: Der Abmeldelink im Mailfuß stoppt die Werbemails — du bleibst Mitglied, deine Rückennummer bleibt, und du kannst es jederzeit rückgängig machen. Der Austrittslink im Text der Willkommensmail beendet die Mitgliedschaft und löscht deine Daten. Das ist endgültig; wer zurückkommt, fängt bei null an, mit neuer Rückennummer.

Alter

Der Antrag richtet sich an Menschen ab 16 Jahren — das ist die Altersgrenze, ab der eine Einwilligung nach Art. 8 DSGVO ohne die Eltern wirksam ist. Wir fragen das Alter nicht ab und prüfen es nicht. Wenn du jünger bist, frag deine Eltern; auf Hinweis löschen wir sofort.

Änderungen an diesem Text

Dieser Stand ist vom 2026-08-05 (Version 2026-08-05.5). Ändern wir etwas, das deine Einwilligung betrifft, fragen wir neu — wir schieben keine neue Fassung unter eine alte Zustimmung.