Diese Erklärung ist in drei Teile gegliedert: Teil A betrifft die Nutzung unserer Website ballers53.com. Teil B betrifft die Anbahnung, den Abschluss und die Durchführung eines Reisevertrags mit uns, insbesondere die Verarbeitung von Buchungs- und Teilnehmendendaten. Teil C betrifft unser Kundenportal und die App. Die nachfolgenden allgemeinen Abschnitte 1 bis 8 gelten für alle Teile.

Allgemeine Angaben (gelten für alle Teile)

1. Verantwortlicher

Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO ist:

BALLERS53 GmbH

Röttgener Straße 192, 53127 Bonn

Amtsgericht Bonn, HRB 30717

Vertreten durch die Geschäftsführer Francisco Javier Lahora Chulian und Frederic Groß

Telefon: +49 228 97168653

E-Mail: hello@ballers53.com

2. Datenschutzbeauftragter

Wir sind gesetzlich nicht verpflichtet, einen Datenschutzbeauftragten zu benennen. Bei Fragen zum Datenschutz sowie zur Ausübung deiner Rechte kannst du dich jederzeit an privacy@ballers53.com oder an die vorstehenden Kontaktdaten wenden.

3. Begriffe, Grundsätze und Rechtsgrundlagen

(1) Die in dieser Erklärung verwendeten Begriffe wie „personenbezogene Daten", „Verarbeitung", „Verantwortlicher" oder „Auftragsverarbeiter" entsprechen den Definitionen des Art. 4 DSGVO.

(2) Wir verarbeiten personenbezogene Daten stets rechtmäßig, nach Treu und Glauben, in einer für dich nachvollziehbaren Weise sowie zweckgebunden und auf das notwendige Maß beschränkt.

(3) Wir stützen die Verarbeitung, soweit im Einzelnen nichts anderes angegeben ist, auf eine der folgenden Rechtsgrundlagen:

• Art. 6 Abs. 1 lit. a DSGVO — Einwilligung, wenn du in die Verarbeitung eingewilligt hast;
• Art. 6 Abs. 1 lit. b DSGVO — Erfüllung eines Vertrags oder Durchführung vorvertraglicher Maßnahmen;
• Art. 6 Abs. 1 lit. c DSGVO — Erfüllung einer rechtlichen Verpflichtung, der wir unterliegen;
• Art. 6 Abs. 1 lit. f DSGVO — Wahrung unserer berechtigten Interessen oder der eines Dritten, sofern deine Interessen nicht überwiegen;
• Art. 9 Abs. 2 lit. a DSGVO — ausdrückliche Einwilligung, soweit besondere Kategorien personenbezogener Daten (etwa Gesundheitsdaten) verarbeitet werden.

4. Empfänger und Auftragsverarbeitung

(1) Innerhalb unseres Unternehmens erhalten nur die Personen Zugriff auf deine Daten, die diesen zur Erfüllung ihrer Aufgaben benötigen.

(2) Wir setzen für einzelne Verarbeitungen sorgfältig ausgewählte Dienstleister ein, die Daten in unserem Auftrag und nach unserer Weisung verarbeiten (Auftragsverarbeitung nach Art. 28 DSGVO). Mit diesen Dienstleistern haben wir die gesetzlich vorgeschriebenen Verträge zur Auftragsverarbeitung geschlossen.

(3) Eine Weitergabe an sonstige Dritte erfolgt nur, wenn dies zur Vertragsdurchführung erforderlich ist, du eingewilligt hast, wir gesetzlich dazu verpflichtet sind oder die Weitergabe zur Wahrung berechtigter Interessen zulässig ist. Wir verkaufen deine Daten nicht.

5. Übermittlung in Drittländer

(1) Einzelne von uns eingesetzte Dienstleister haben ihren Sitz in den Vereinigten Staaten von Amerika oder verarbeiten Daten dort. Soweit dies der Fall ist, weisen wir im jeweiligen Abschnitt darauf hin.

(2) Eine Übermittlung in die USA erfolgt auf Grundlage des Angemessenheitsbeschlusses der Europäischen Kommission vom 10. Juli 2023, sofern der jeweilige Dienstleister unter dem EU-U.S. Data Privacy Framework zertifiziert ist. Ist ein Dienstleister nicht zertifiziert, stützen wir die Übermittlung auf die Standardvertragsklauseln der Europäischen Kommission nach Art. 46 Abs. 2 lit. c DSGVO nebst ergänzenden Schutzmaßnahmen.

6. Speicherdauer

Wir verarbeiten und speichern deine Daten nur so lange, wie es für die jeweiligen Zwecke erforderlich ist oder wie es gesetzliche Aufbewahrungsfristen vorsehen. Entfällt der Zweck und bestehen keine Aufbewahrungspflichten, werden die Daten gelöscht oder anonymisiert. Konkrete Fristen nennen wir in den jeweiligen Abschnitten sowie zusammenfassend in der Übersicht am Ende von Teil B.

7. Deine Rechte

(1) Dir stehen gegenüber uns folgende Rechte hinsichtlich deiner personenbezogenen Daten zu: Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16 DSGVO), Löschung (Art. 17 DSGVO), Einschränkung der Verarbeitung (Art. 18 DSGVO), Datenübertragbarkeit (Art. 20 DSGVO) sowie Widerspruch gegen die Verarbeitung (Art. 21 DSGVO).

(2) Widerspruchsrecht: Soweit wir deine Daten auf Grundlage berechtigter Interessen (Art. 6 Abs. 1 lit. f DSGVO) verarbeiten, hast du das Recht, aus Gründen, die sich aus deiner besonderen Situation ergeben, jederzeit Widerspruch gegen diese Verarbeitung einzulegen. Richtet sich die Verarbeitung gegen Direktwerbung, hast du ein Widerspruchsrecht ohne Angabe von Gründen.

(3) Hast du in eine Verarbeitung eingewilligt, kannst du diese Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt.

(4) Zur Ausübung deiner Rechte genügt eine Nachricht an privacy@ballers53.com oder an die unter Ziffer 1 genannten Kontaktdaten.

(5) Beschwerderecht: Du hast das Recht, dich bei einer Datenschutz-Aufsichtsbehörde über die Verarbeitung deiner Daten zu beschweren (Art. 77 DSGVO). Die für uns zuständige Aufsichtsbehörde ist die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen, Kavalleriestraße 2–4, 40213 Düsseldorf.

8. Datensicherheit

Wir treffen angemessene technische und organisatorische Maßnahmen, um deine Daten gegen Verlust, Manipulation und unberechtigten Zugriff zu schützen, und passen diese fortlaufend an den Stand der Technik an. Unsere Website nutzt eine TLS-Verschlüsselung. Wir weisen darauf hin, dass die Datenübertragung per unverschlüsselter E-Mail Sicherheitslücken aufweisen kann.

Dieser Teil gilt für den Besuch und die Nutzung unserer Website ballers53.com. Die Verarbeitungen im Zusammenhang mit einer Buchung sind in Teil B beschrieben.

A1. Bereitstellung der Website und Hosting

(1) Unsere Website wird über den Dienst Webflow der Webflow, Inc., 398 11th Street, 2nd Floor, San Francisco, CA 94103, USA, bereitgestellt und gehostet. Webflow verarbeitet dabei in unserem Auftrag die technischen Daten, die für die Auslieferung der Website erforderlich sind.

(2) Rechtsgrundlage ist unser berechtigtes Interesse an einer sicheren und effizienten Bereitstellung unseres Online-Angebots (Art. 6 Abs. 1 lit. f DSGVO). Zur Übermittlung in die USA gilt Ziffer 5 der allgemeinen Angaben.

A2. Server-Logfiles

(1) Bei jedem Aufruf der Website werden automatisch Informationen erfasst, die dein Browser übermittelt und die technisch erforderlich sind, um dir die Website anzuzeigen und ihre Stabilität und Sicherheit zu gewährleisten. Hierzu gehören insbesondere die IP-Adresse, Datum und Uhrzeit des Zugriffs, die konkret aufgerufene Seite, der Zugriffsstatus, die übertragene Datenmenge sowie Browsertyp und Betriebssystem.

(2) Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt in der technisch fehlerfreien Darstellung und der Sicherheit der Website.

(3) Die Verarbeitung dieser Logdaten erfolgt bei unserem Hosting-Dienstleister. Sie werden nach 7 Tagen gelöscht, sofern nicht im Einzelfall eine längere Speicherung zur Aufklärung eines Sicherheitsvorfalls erforderlich ist.

A3. Cookies und Einwilligungsverwaltung

(1) Auf unserer Website setzen wir Cookies und vergleichbare Technologien ein. Cookies sind kleine Textdateien, die auf deinem Endgerät gespeichert werden. Technisch notwendige Cookies, die für den Betrieb der Website erforderlich sind, setzen wir auf Grundlage des § 25 Abs. 2 TDDDG sowie unseres berechtigten Interesses nach Art. 6 Abs. 1 lit. f DSGVO ein.

(2) Alle nicht notwendigen Cookies und Technologien, insbesondere zu Statistik- und Marketingzwecken, setzen wir nur mit deiner vorherigen Einwilligung ein (§ 25 Abs. 1 TDDDG, Art. 6 Abs. 1 lit. a DSGVO). Über unser Einwilligungsbanner kannst du deine Auswahl in den Kategorien Statistik und Marketing treffen und jederzeit mit Wirkung für die Zukunft ändern oder widerrufen.

(3) Das Einwilligungsbanner wird von uns selbst betrieben; wir setzen hierfür keinen Dienst eines Drittanbieters ein. Ergänzend haben wir den Google Consent Mode v2 in der Betriebsart „Basic" eingebunden. Dieser stellt sicher, dass Google-Dienste erst nach deiner Einwilligung Daten verarbeiten und dass vor einer Einwilligung weder Cookies gesetzt noch personenbezogene Signale an Google übertragen werden.

(4) Du kannst Cookies zudem über die Einstellungen deines Browsers verwalten oder löschen. Werden notwendige Cookies deaktiviert, kann es sein, dass einzelne Funktionen der Website nicht mehr zur Verfügung stehen.

A4. Google Analytics 4

(1) Soweit du eingewilligt hast, nutzen wir Google Analytics 4, einen Webanalysedienst der Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland (nachfolgend „Google"). Google Analytics verwendet Cookies und ähnliche Kennungen, um die Nutzung der Website auszuwerten und Reports über die Websiteaktivitäten zusammenzustellen. Unsere Mess-Kennung lautet G-C9Q73XM91Y.

(2) Die IP-Adresse wird von Google Analytics 4 gekürzt und nicht mit anderen Daten von Google zusammengeführt, um einen Personenbezug zu vermeiden. Eine Verarbeitung von Daten auf Servern in den USA kann nicht ausgeschlossen werden; insoweit gilt Ziffer 5 der allgemeinen Angaben.

(3) Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO in Verbindung mit § 25 Abs. 1 TDDDG). Du kannst deine Einwilligung jederzeit über das Einwilligungsbanner widerrufen.

(4) Die über Google Analytics erhobenen nutzer- und ereignisbezogenen Daten werden nach 14 Monaten automatisch gelöscht.

A5. Google Ads – Conversion-Tracking und Remarketing

(1) Soweit du eingewilligt hast, nutzen wir Google Ads der Google Ireland Limited, um für unsere Angebote zu werben und den Erfolg dieser Werbung zu messen. Dabei kommen Conversion-Tracking und Remarketing zum Einsatz. Über ein Cookie kann nachvollzogen werden, ob du nach dem Klick auf eine Anzeige eine bestimmte Handlung auf unserer Website vornimmst (etwa das Absenden einer Anfrage). Unsere Conversion-Kennung lautet AW-18342989390.

(2) Beim Remarketing können dir auf anderen Websites Anzeigen von BALLERS53 angezeigt werden. Eine Zusammenführung mit deinem Google-Konto findet nur statt, wenn du in den Einstellungen deines Google-Kontos die personalisierte Werbung aktiviert hast.

(3) Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO in Verbindung mit § 25 Abs. 1 TDDDG), die du jederzeit widerrufen kannst. Zur Übermittlung in die USA gilt Ziffer 5.

A5a. Meta Pixel

(1) Soweit du in der Kategorie Marketing eingewilligt hast, nutzen wir auf unserer Website das Meta Pixel der Meta Platforms Ireland Limited, Merrion Road, Dublin 4, D04 X2K5, Irland („Meta“). Damit messen wir, wie wirksam unsere Anzeigen auf Facebook und Instagram sind, und können Personen, die unsere Website besucht haben, dort gezielt Anzeigen zeigen (Remarketing). Erfasst werden der Seitenaufruf und das erfolgreiche Absenden einer Anfrage über unser Formular (Ereignis „Lead“) sowie technische Angaben wie IP-Adresse, Browser- und Geräteinformationen, die aufgerufene Seite und Cookie-Kennungen (_fbp, _fbc). Den Inhalt deiner Anfrage übermitteln wir nicht an Meta. Unsere Pixel-ID lautet 1112740608357273.

(2) Bist du bei Facebook oder Instagram angemeldet, kann Meta den Besuch deinem Konto zuordnen. Wie Meta diese Daten verwendet, erfährst du in der Datenschutzrichtlinie von Meta unter facebook.com/privacy/policy.

(3) Für die Erhebung der Daten auf unserer Website und ihre Übermittlung an Meta sind wir gemeinsam mit Meta verantwortlich (Art. 26 DSGVO). Grundlage ist die Vereinbarung von Meta für gemeinsam Verantwortliche (facebook.com/legal/controller_addendum). Danach ist Meta dafür zuständig, deine Betroffenenrechte hinsichtlich der bei Meta verarbeiteten Daten zu erfüllen; du kannst dich mit deinen Anliegen aber auch an uns wenden. Für die anschließende Verarbeitung durch Meta ist Meta allein verantwortlich.

(4) Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO in Verbindung mit § 25 Abs. 1 TDDDG). Ohne Einwilligung wird das Meta Pixel nicht geladen. Du kannst deine Einwilligung jederzeit mit Wirkung für die Zukunft über die Cookie-Einstellungen widerrufen; danach wird das Pixel nicht mehr geladen und die Meta-Cookies werden gelöscht. Das Cookie _fbp wird bis zu 90 Tage gespeichert.

(5) Meta kann Daten auch an die Meta Platforms, Inc., 1 Meta Way, Menlo Park, CA 94025, USA übermitteln. Meta ist unter dem EU-U.S. Data Privacy Framework zertifiziert; im Übrigen gilt Ziffer 5.

A6. Schriftarten

Zur einheitlichen Darstellung setzen wir Schriftarten ein, die lokal von unserem Server ausgeliefert werden. Es wird dabei keine Verbindung zu Servern externer Anbieter aufgebaut; insbesondere nutzen wir keine extern eingebundenen Google Fonts.

A7. Kontaktaufnahme und Anfrageformular

(1) Auf unserer Website kannst du über ein Formular oder per E-Mail Kontakt mit uns aufnehmen, insbesondere um ein Angebot für den BALLERS CUP anzufragen. Dabei verarbeiten wir die von dir angegebenen Daten, etwa Name, Verein, E-Mail-Adresse, Telefonnummer sowie den Inhalt deiner Anfrage, um diese zu bearbeiten und zu beantworten.

(2) Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, wenn die Anfrage auf den Abschluss oder die Durchführung eines Vertrags gerichtet ist, im Übrigen unser berechtigtes Interesse an der Beantwortung von Anfragen (Art. 6 Abs. 1 lit. f DSGVO) oder deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO).

(3) Wir speichern die Anfragedaten, bis das jeweilige Anliegen abschließend bearbeitet ist, und löschen sie anschließend, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Führt die Anfrage zu einer Buchung, gelten die Angaben in Teil B.

A8. Einsatz von HubSpot (CRM und Formulare)

(1) Für unsere Anfrageformulare, die Kundenkommunikation und unsere Kundenverwaltung nutzen wir das System HubSpot der HubSpot, Inc., 2 Canal Park, Cambridge, MA 02141, USA. HubSpot verarbeitet die im Rahmen von Anfragen und der Vertragsanbahnung anfallenden Daten in unserem Auftrag.

(2) Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO für die vertragsbezogene Verarbeitung sowie Art. 6 Abs. 1 lit. f DSGVO für unser berechtigtes Interesse an einem effizienten Anfrage- und Kundenmanagement. Zur Übermittlung in die USA gilt Ziffer 5.

A9. Präsenz in sozialen Netzwerken

(1) Wir unterhalten öffentlich zugängliche Profile in sozialen Netzwerken, derzeit bei Instagram (@ballers.53), TikTok (@ballers.53) und LinkedIn (BALLERS53). Besuchst du diese Profile oder interagierst du mit ihnen, verarbeiten die jeweiligen Anbieter deine Daten in eigener Verantwortung nach ihren Datenschutzbestimmungen.

(2) Soweit wir mit dem jeweiligen Anbieter für bestimmte Verarbeitungen gemeinsam verantwortlich sind (Art. 26 DSGVO), verarbeiten wir die Daten, um mit dir zu kommunizieren und unsere Inhalte und Angebote bekannt zu machen. Rechtsgrundlage ist unser berechtigtes Interesse an einer wirksamen Außendarstellung (Art. 6 Abs. 1 lit. f DSGVO).

A10. Kontakt über WhatsApp Business

Du kannst uns über WhatsApp Business kontaktieren. Wir verarbeiten dann die von dir übermittelten Daten, um dein Anliegen zu bearbeiten. Nimmst du diesen Weg, verarbeitet auch der Betreiber (WhatsApp Ireland Limited) Daten nach seinen eigenen Bestimmungen. Rechtsgrundlage ist deine mit der Kontaktaufnahme erklärte Einwilligung (Art. 6 Abs. 1 lit. a DSGVO) sowie, bei vertragsbezogenen Anliegen, Art. 6 Abs. 1 lit. b DSGVO. Wenn du diese Verarbeitung vermeiden möchtest, kannst du uns auch per Telefon, E-Mail oder Post erreichen.

A11. Links zu externen Websites

Unsere Website kann Links zu externen Websites Dritter enthalten. Auf deren Inhalte und Datenverarbeitung haben wir keinen Einfluss. Für diese gelten die Datenschutzbestimmungen des jeweiligen Anbieters.

A12. Partner-Aktion mit IN YOUR FACE FOODS (Datenweitergabe und Klaviyo)

(1) Auf unserer Aktionsseite zum BALLERS CUP („Trainer-Erstbezug“) kannst du zusätzlich einwilligen, dass wir bestimmte Daten an unseren Kooperationspartner übermitteln: JanBen UG (haftungsbeschränkt) („IN YOUR FACE FOODS“), Herwarthstr. 9, 12207 Berlin.

(2) Übermittelt werden in diesem Fall Vorname und E-Mail-Adresse sowie – soweit im Formular angegeben – Verein/Team, Spielklasse(n) und ungefähre Teamgröße. Zweck der Übermittlung ist der Versand des persönlichen Codes zum Trainer-Erstbezug sowie von Informationen zur Einlösung durch IN YOUR FACE FOODS.

(3) Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Sie ist freiwillig; das Formular kann auch ohne diese Einwilligung abgesendet werden – in diesem Fall findet keine Übermittlung statt. Du kannst die Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen: uns gegenüber (hello@ballers53.com) oder gegenüber IN YOUR FACE FOODS (info@inyourfacefoods.com); zudem enthält jede E-Mail von IN YOUR FACE FOODS eine Abmeldemöglichkeit.

(4) IN YOUR FACE FOODS setzt für die Verwaltung der Anmeldungen und den E-Mail-Versand den Dienst Klaviyo ein (Klaviyo, Inc., 125 Summer Street, Boston, MA 02110, USA). Die Daten werden bei erteilter Einwilligung unmittelbar aus deinem Browser an Klaviyo übermittelt. Klaviyo ist unter dem EU-U.S. Data Privacy Framework zertifiziert; für die Übermittlung in die USA besteht damit ein Angemessenheitsbeschluss der EU-Kommission (Art. 45 DSGVO). Die Anmeldung wird im Double-Opt-in-Verfahren bestätigt (Bestätigungslink per E-Mail); Zeitpunkt von Anmeldung und Bestätigung werden protokolliert, um die Einwilligung nachweisen zu können (Art. 7 Abs. 1 DSGVO).

(5) Nach der Übermittlung ist IN YOUR FACE FOODS für die weitere Verarbeitung eigenständig Verantwortlicher. Einzelheiten findest du in der Datenschutzerklärung von IN YOUR FACE FOODS.

A13. Gewinnspiel BALLERS CUP 2027 über Facebook und Instagram

(1) Vom Start der Aktion bis zum 15. November 2026 verlosen wir eine Teamreise zum BALLERS CUP 2027. Teilgenommen wird über ein Formular, das direkt in unseren Anzeigen auf Facebook und Instagram angezeigt wird (Lead-Formular von Meta Platforms Ireland Limited, Merrion Road, Dublin 4, D04 X2K5, Irland, „Meta“). Die Teilnahmebedingungen findest du unter ballers53.com/teilnahmebedingungen.

(2) Im Formular erheben wir deinen Vor- und Nachnamen, deine E-Mail-Adresse, Telefonnummer und Postleitzahl sowie deine Rolle im Verein, den Namen deines Vereins, die Altersklasse und die ungefähre Zahl der Mitreisenden. Meta füllt Name, E-Mail-Adresse und Telefonnummer aus deinem Konto vor; du kannst die Angaben vor dem Absenden ändern.

(3) Wir verwenden diese Daten, um das Gewinnspiel durchzuführen: deine Teilnahme zu erfassen, die Gewinnerin oder den Gewinner auszulosen und zu benachrichtigen und den Gewinn abzuwickeln. Rechtsgrundlage ist die Durchführung des Gewinnspiels als Vertragsverhältnis (Art. 6 Abs. 1 lit. b DSGVO).

(4) Im Formular kannst du freiwillig zusätzlich einwilligen, dass wir dich telefonisch, per E-Mail und per WhatsApp zum BALLERS CUP beraten. Nur dann kontaktieren wir dich über die Gewinnbenachrichtigung hinaus. Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Du kannst sie jederzeit mit Wirkung für die Zukunft widerrufen, etwa per E-Mail an privacy@ballers53.com. Die Teilnahme am Gewinnspiel hängt nicht von dieser Einwilligung ab.

(5) Meta verarbeitet die Formulardaten in unserem Auftrag und stellt sie uns zur Verfügung. Wir übernehmen die Daten in unser CRM HubSpot (siehe A8). Meta und HubSpot können Daten auch in den USA verarbeiten; dazu gilt Ziffer 5.

(6) Wir löschen die Daten von Teilnehmenden, die keine Einwilligung nach Absatz 4 erteilt haben, spätestens am 31. Dezember 2026. Die Daten der gewinnenden Person bewahren wir auf, solange es für die Reise und gesetzliche Aufbewahrungspflichten erforderlich ist (siehe B10 und B12). Hast du in die Beratung eingewilligt, speichern wir deine Daten bis zu deinem Widerruf, längstens jedoch bis zum 31. März 2027, sofern daraus keine Buchung entsteht.

(7) Den Namen des Vereins der gewinnenden Person veröffentlichen wir auf Instagram nur mit ihrer Zustimmung.

A14. Werbung auf Facebook und Instagram anhand von Kontaktlisten (Custom Audiences)

(1) Wenn du uns, etwa in einem Telefonat, erlaubt hast, dich zu Werbezwecken zu kontaktieren, können wir deine E-Mail-Adresse nutzen, um dir unsere Anzeigen auch auf Facebook und Instagram zu zeigen. Dazu laden wir die E-Mail-Adresse in verschlüsselter Form (als Hashwert) bei Meta hoch. Meta gleicht den Hashwert mit den bei Meta registrierten Konten ab, bildet daraus eine Zielgruppe („Custom Audience“) und löscht die Hashwerte nach dem Abgleich. Meta verarbeitet die Daten dabei in unserem Auftrag.

(2) Aus einer solchen Zielgruppe kann Meta außerdem eine ähnliche Zielgruppe bilden („Lookalike Audience“). Dabei erhalten wir keine Informationen über einzelne Personen.

(3) Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Du kannst sie jederzeit mit Wirkung für die Zukunft widerrufen, etwa per E-Mail an privacy@ballers53.com. Wir entfernen deine Daten dann bei der nächsten Aktualisierung der Liste, spätestens innerhalb von 30 Tagen.

(4) Für Übermittlungen an Meta in die USA gilt Ziffer 5. Wie Meta Daten verarbeitet, erfährst du unter facebook.com/privacy/policy.

B1. Überblick und betroffene Personen

(1) Wenn ein Verein oder eine Person bei uns eine Reise zum BALLERS CUP anfragt, bucht oder daran teilnimmt, verarbeiten wir personenbezogene Daten, um den Reisevertrag anzubahnen, abzuschließen und durchzuführen.

(2) Betroffen sind insbesondere: der Anmelder und seine für die Buchung handelnden Personen, die einzelnen Reiseteilnehmenden (überwiegend minderjährige Spielerinnen und Spieler der Altersklassen U12 bis U18), die mitreisenden Betreuungspersonen sowie, soweit erforderlich, Sorgeberechtigte.

B2. Herkunft der Daten

(1) Einen Teil der Daten erheben wir unmittelbar beim Anmelder. Die Daten der einzelnen Teilnehmenden, insbesondere die Teilnehmendenliste, erhalten wir in aller Regel nicht von den Teilnehmenden selbst, sondern vom Anmelder (dem buchenden Verein), der sie uns zur Durchführung der Reise übermittelt.

(2) Der Anmelder ist verpflichtet, die betroffenen Teilnehmenden bzw. deren Sorgeberechtigte über die Weitergabe an uns und über diese Datenschutzerklärung zu informieren und die datenschutzrechtlichen Voraussetzungen der Übermittlung sicherzustellen. Wir stellen ihm diese Erklärung hierfür zur Verfügung.

(3) Die Kategorien der von uns verarbeiteten Teilnehmendendaten ergeben sich aus den Ziffern B4 und B5.

B3. Anbahnung und Abschluss des Reisevertrags

(1) Zur Vertragsanbahnung und zum Vertragsschluss verarbeiten wir die Daten des Anmelders und der für ihn handelnden Personen, insbesondere Vereinsname und Anschrift, Ansprechpartner mit Funktion, Kontaktdaten sowie die Angaben zur gebuchten Reise und zu den gewünschten Leistungen.

(2) Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Durchführung vorvertraglicher Maßnahmen und Erfüllung des Reisevertrags). Ohne diese Daten können wir den Vertrag nicht schließen und durchführen.

B4. Teilnehmendenlisten

(1) Für die Durchführung der Reise verarbeiten wir je Teilnehmendem insbesondere Vor- und Nachname, Geburtsdatum und Funktion (etwa Spielende, Trainer, Betreuung). Diese Angaben benötigen wir, um die Turnier- und Altersklasseneinteilung vorzunehmen, Zimmer und Unterkünfte zuzuordnen, Akkreditierungen und Spielberechtigungen auszustellen, den Versicherungsschutz sicherzustellen sowie die An- und Abreise und die Betreuung vor Ort zu organisieren.

(2) Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO zur Erfüllung des Reisevertrags sowie, soweit es um die ordnungsgemäße Organisation des Turnierbetriebs geht, unser berechtigtes Interesse an einem reibungslosen Ablauf (Art. 6 Abs. 1 lit. f DSGVO).

(3) Die Teilnehmendenlisten werden nach Abschluss der Reise und der damit verbundenen Abrechnung sowie nach Ablauf etwaiger Gewährleistungs- und Haftungsfristen gelöscht, soweit keine gesetzlichen Aufbewahrungspflichten bestehen. Einzelheiten enthält die Übersicht unter B12.

B5. Gesundheitsbezogene Angaben

(1) Für die sichere Durchführung der Reise verarbeiten wir gesundheitsbezogene Angaben nur in dem Umfang, in dem wir selbst tätig werden müssen. Das betrifft ausschließlich folgende Angaben, soweit sie uns der Anmelder als relevant mitteilt:

• Lebensmittelallergien und -unverträglichkeiten sowie besondere Ernährungsformen, damit wir sie bei der Verpflegung berücksichtigen und dem Hotel ausschließlich als Gesamtzahlen ohne Namen mitteilen können (Ziffer C7);
• Angaben zu einer eingeschränkten Mobilität oder zu einem besonderen Betreuungsbedarf, damit wir Unterbringung und Ablauf entsprechend planen können;
• freiwillige Hinweise auf gesundheitliche Umstände, die das Betreuungsteam vor Ort im Notfall kennen sollte (etwa Asthma, Diabetes oder eine schwere Allergie).

(2) Es handelt sich dabei um besondere Kategorien personenbezogener Daten im Sinne des Art. 9 DSGVO, die einem erhöhten Schutz unterliegen. Wir verarbeiten sie ausschließlich auf Grundlage einer ausdrücklichen Einwilligung (Art. 9 Abs. 2 lit. a DSGVO), bei minderjährigen Teilnehmenden der Sorgeberechtigten, und nur zu dem genannten Zweck.

(3) Die Aufbewahrung und Gabe von Medikamenten sowie die laufende gesundheitliche Betreuung während der Reise obliegen den mitreisenden Betreuungspersonen des Anmelders. Wir erheben hierzu keine darüber hinausgehenden Gesundheitsdaten und führen keine medizinischen Unterlagen.

(4) Die Angaben werden nur an die vor Ort mit Verpflegung, Unterbringung und Versorgung befassten Stellen weitergegeben, soweit dies zum Schutz der betroffenen Person erforderlich ist. Sie werden spätestens nach Abschluss der Reise gelöscht, sofern nicht ausnahmsweise ein konkreter Anlass (etwa ein Versicherungs- oder Haftungsfall) eine längere Aufbewahrung erfordert.

B6. Besonderer Schutz minderjähriger Teilnehmender

Da unsere Reisen sich an Jugendmannschaften richten und die Teilnehmenden überwiegend minderjährig sind, gehen wir mit ihren Daten besonders sorgfältig um. Wir beschränken die Verarbeitung auf das für die Durchführung der Reise erforderliche Maß, holen erforderliche Einwilligungen über die Sorgeberechtigten ein und geben Daten Minderjähriger nur weiter, soweit dies zur Vertragsdurchführung oder zum Schutz der betroffenen Person notwendig ist.

B7. Zahlungsabwicklung

(1) Die Zahlung des Reisepreises erfolgt ausschließlich per Banküberweisung. Hierzu verarbeiten wir die erforderlichen Rechnungs- und Zahlungsdaten. Eine Erhebung von Kontozugangsdaten findet nicht statt.

(2) Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) sowie, hinsichtlich der Aufbewahrung von Zahlungs- und Rechnungsbelegen, Art. 6 Abs. 1 lit. c DSGVO (Erfüllung gesetzlicher Aufbewahrungspflichten).

B8. Weitergabe an Leistungserbringer und Turnierpartner

(1) Zur Durchführung der Reise geben wir die erforderlichen Teilnehmenden- und Buchungsdaten an die beteiligten Leistungserbringer weiter, insbesondere an die Partnerhotels und das Busunternehmen an der Costa Barcelona sowie an unsere für den Turnierbetrieb vor Ort verantwortlichen Partner. Diese Empfänger haben ihren Sitz in Spanien und damit innerhalb der Europäischen Union.

(2) Weitergegeben werden nur die für die jeweilige Leistung erforderlichen Daten (etwa Namenslisten und Zimmerbelegung an das Hotel, Einzelheiten in Ziffer C7, Teilnehmendenzahl und Zusteigeorte an das Busunternehmen, Mannschafts- und Altersklassendaten an die Turnierorganisation). Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

B9. Versicherung und Insolvenzabsicherung

(1) Als Pauschalreiseveranstalter sind wir gesetzlich verpflichtet, die Kundengelder gegen unsere Insolvenz abzusichern. Kundengeldabsicherer ist die R+V Allgemeine Versicherung AG, Raiffeisenplatz 1, 65189 Wiesbaden. Im Sicherungsfall übermitteln wir die zur Abwicklung erforderlichen Daten an den Absicherer.

(2) Soweit im Rahmen der Reise weitere Versicherungen abgeschlossen oder in Anspruch genommen werden, verarbeiten wir die dafür erforderlichen Daten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b und lit. c DSGVO.

B10. Steuer- und handelsrechtliche Aufbewahrung

(1) Buchungs-, Rechnungs- und Zahlungsdaten unterliegen gesetzlichen Aufbewahrungspflichten. Zur Erfüllung unserer Buchführungs- und steuerlichen Pflichten übermitteln wir die Ein- und Ausgangsrechnungen sowie die zugehörigen Buchungsbelege an unsere Steuerberatung, die DDTax (Anna Drees). Die Steuerberatung handelt dabei in eigener beruflicher Verantwortung als eigenständig Verantwortliche und nicht als Auftragsverarbeiterin.

(2) Rechtsgrundlage für die Übermittlung ist Art. 6 Abs. 1 lit. c DSGVO. Nach den seit dem 1. Januar 2025 geltenden Fristen sind Buchungsbelege und Rechnungen acht Jahre, Handelsbücher, Inventare und Jahresabschlüsse zehn Jahre aufzubewahren (§ 147 AO, § 257 HGB).

B11. Foto-, Film- und Tonaufnahmen

(1) Während der Veranstaltung werden durch uns und beauftragte Dienstleister Foto-, Film- und Tonaufnahmen erstellt, die wir zur Berichterstattung und zur Bewerbung künftiger Veranstaltungen nutzen. Einzelheiten regelt zusätzlich unser Reisevertrag.

(2) Die Nutzung von Aufnahmen, auf denen Personen individuell erkennbar sind, erfolgt auf Grundlage einer gesonderten Einwilligung (Art. 6 Abs. 1 lit. a DSGVO); bei minderjährigen Teilnehmenden ist die Einwilligung der Sorgeberechtigten erforderlich. Die Einwilligung kann jederzeit mit Wirkung für die Zukunft widerrufen werden.

B12. Übersicht der Speicherfristen

Die folgende Übersicht fasst die wesentlichen Speicherfristen zusammen. Bestehen zum Zeitpunkt des Fristablaufs noch Ansprüche, ein laufendes Verfahren oder eine Prüfung, verlängert sich die Aufbewahrung entsprechend.

C1. Das BALLERS53-Portal und die App

(1) Für Vereine, Coaches, Eltern, Volunteers (Crew) und Partnerhotels betreiben wir rund um unsere Turnierreisen das Online-Portal portal.ballers53.com und die iPhone-App „BALLERS53 Portal“. Die Anmeldung erfolgt ohne Passwort über einen Code, den wir an deine E-Mail-Adresse senden; Team-Konten sind zusätzlich mit einer Zwei-Faktor-Anmeldung geschützt.

(2) Je nach Rolle verarbeiten wir: Kontaktdaten (Name, E-Mail-Adresse, optional Telefonnummer), ein freiwilliges Profilbild, die Buchungs- und Reisedaten des Vereins, Teilnehmendenlisten (Name, Geburtsdatum, Geschlecht für die Altersklassen, Konfektionsgröße, Rückennummer), die Zimmer- und Busplanung, die Rechnungsdaten des Vereins sowie Mitteilungen im Portal. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Erfüllung des Reisevertrags).

(3) Ernährung (freiwillig): Je teilnehmender Person können Kategorien gewählt werden (vegetarisch, vegan, glutenfrei, laktosefrei, Allergie). An Partnerhotels geben wir ausschließlich Gesamtzahlen je Kategorie für die ganze Gruppe im jeweiligen Hotel weiter, nie Namen und nie aufgeschlüsselt nach Teilgruppe oder Paket. Einzelheiten in Ziffer C7.

(4) Gesundheitsangaben: Von Eltern freiwillig hinterlegte Angaben zu Medikamenten und Allergien sind nur für den Coach bzw. Verein sichtbar und für das BALLERS53-Team ausschließlich im Notfall. Sie werden verdeckt dargestellt und erst nach Angabe eines Pflichtgrunds („Medizinischer Notfall“ oder „Rückfrage Ärztin/Arzt“) angezeigt; jeder Zugriff wird vollständig protokolliert (wer, wann, wessen Angaben, Grund). Auf dem Gerät wird nichts gespeichert, nach 2 Minuten werden die Angaben wieder verdeckt. Rechtsgrundlage ist die ausdrückliche Einwilligung (Art. 9 Abs. 2 lit. a DSGVO); im Übrigen gilt Ziffer B5.

(5) Hosting: Datenbank, Anmeldung und Dateispeicher des Portals betreibt Supabase in der EU-Region als unser Auftragsverarbeiter. Die Web-Auslieferung erfolgt über Cloudflare Pages der Cloudflare, Inc. (USA); dabei werden IP-Adresse und technische Protokolle verarbeitet. Zur Übermittlung in die USA gilt Ziffer 5.

(6) Konto löschen: Du kannst dein Konto jederzeit selbst löschen, im Web und in der App. Das Konto wird sofort gesperrt, 60 Tage als Sicherheits-Papierkorb aufbewahrt (Wiederherstellung auf Anfrage) und danach endgültig gelöscht, einschließlich Profilbild und Crew-Dateien. Buchungs- und Rechnungsdaten des Vereins bleiben davon unberührt, soweit wir sie zur Vertragsdurchführung oder aufgrund gesetzlicher Aufbewahrungspflichten benötigen.

C2. Besonderheiten der iPhone-App

(1) Die App wird über Apple (App Store bzw. TestFlight) vertrieben. Auf deinem Gerät speichern wir die Anmeldesitzung im verschlüsselten Gerätespeicher sowie, zum Lesen ohne Internetverbindung, deine eigenen Reiseunterlagen. Beides wird beim Abmelden gelöscht; die Offline-Daten liegen bewusst außerhalb des iCloud-Backups. Diese Speicherung ist für den von dir gewünschten Dienst unbedingt erforderlich (§ 25 Abs. 2 TDDDG).

(2) Auf Kamera und Fotos greift die App nur zu, wenn du aktiv etwas auswählst (Profilbild, Vereinswappen, Foto in einer Anfrage, Crew-Bewerbung). Die Karte des Abfahrtsorts wird über Apple Karten (MapKit) angezeigt.

(3) Nach guter Nutzungserfahrung fragt die App höchstens einmal über den Standarddialog von Apple, ob du sie im App Store bewerten möchtest. Wir geben dabei keine Daten weiter.

C3. Push-Mitteilungen

(1) Push-Mitteilungen erhältst du nur, wenn du sie auf deinem Gerät erlaubst (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG). Sie enthalten Titel und Kurztext der jeweiligen Portal-Mitteilung (etwa „Euer Hotel steht“); bei teaminternen Mitteilungen können Namen enthalten sein. Mitteilungen werden in der Sprache deines Kontos versendet (Deutsch, Englisch oder Spanisch).

(2) Der Versand läuft von unserem Server über den Expo Push Service der 650 Industries, Inc. (USA) zu Apple (APNs) bzw. Google (FCM) und von dort auf dein Gerät. Verarbeitet werden die Push-Kennung (Token), die Plattform, die Sprache sowie Titel und Kurztext. Expo ist unser Auftragsverarbeiter; die Übermittlung in die USA stützt sich auf Standardvertragsklauseln (Ziffer 5).

(3) Die Push-Kennung wird beim Abmelden entfernt, spätestens mit der endgültigen Kontolöschung. Du kannst Push-Mitteilungen jederzeit in den Einstellungen deines Geräts abschalten.

C4. E-Mails über Brevo

Anmeldecodes, Einladungen (in der beim Einladen gewählten Sprache) und Service-Mitteilungen des Portals versenden wir über Brevo (EU) als Auftragsverarbeiter. Verarbeitet werden die E-Mail-Adresse und der Inhalt der Nachricht. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

C5. Sicherheitsprüfung bei der Anmeldung (Cloudflare Turnstile)

(1) Vor jeder Code-Anforderung und jeder Passwort-Anmeldung läuft eine unsichtbare Sicherheitsprüfung gegen automatisierten Missbrauch; nur im Zweifel erscheint ein Kästchen zum Anklicken. Anbieter ist die Cloudflare, Inc. (USA). Verarbeitet werden die IP-Adresse sowie Browser- und Gerätesignale. Wir erhalten nur das Prüfergebnis und speichern davon nichts. Keine Werbe-Cookies, kein seitenübergreifendes Tracking.

(2) Rechtsgrundlage ist unser berechtigtes Interesse an der Sicherheit des Dienstes (Art. 6 Abs. 1 lit. f DSGVO). Die Übermittlung in die USA stützt sich auf Standardvertragsklauseln (Ziffer 5).

C6. KI-Assistent „Guillermo“

(1) Im Portal und in der App steht ein freiwilliger KI-Assistent zur Verfügung. Vor deiner ersten Frage bitten wir ausdrücklich um deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO); ohne Zustimmung wird nichts gesendet. Du kannst die Einwilligung jederzeit im Chat oder in deinem Profil widerrufen; dabei wird auch dein Verlauf gelöscht.

(2) Für die Antwort übermitteln wir deine Frage, den Chatverlauf und einen Ausschnitt deiner eigenen Reisedaten ohne Namen an die Anthropic, PBC (USA). Der Aufruf erfolgt ausschließlich über unseren Server; dein Gerät hat keinen direkten Kontakt zu Anthropic. Mit Anthropic haben wir einen Auftragsverarbeitungsvertrag mit Standardvertragsklauseln geschlossen (Ziffer 5).

(3) Zur Verbesserung unserer häufigen Fragen führen wir ein anonymes Fragen-Protokoll, das nur die Kontoart und die Sprache enthält, keine Angaben zur Person. Es wird nach 90 Tagen automatisch gelöscht.

C7. Partnerhotels als Empfänger

(1) Unsere Partnerhotels in Spanien erhalten einen eigenen, passwortlosen Portal-Zugang und sehen ausschließlich Daten zum eigenen Haus:

• Zimmerliste mit Vor- und Nachnamen der anreisenden Personen je Gruppe, erst nach ausdrücklicher Freigabe der Zimmerplanung durch unser Team, dazu die Rolle in der Gruppe (Coach, Betreuung, Begleitung). Zweck sind der Check-in und die gesetzlichen Meldepflichten des Hotels. Geburtsdaten, Kontaktdaten und Gesundheitsangaben erhält das Hotel nicht.
• Verpflegung nur als Gesamtzahlen der ganzen Gruppe im Hotel (etwa „2× vegetarisch, 1× glutenfrei“), nie je Teilgruppe oder Paket, damit sich keine Angabe einer namentlich bekannten Person zuordnen lässt. Bei Kleingruppen unter 5 Personen im Hotel erfolgt keine Aufschlüsselung; das Hotel erfragt die Verpflegung dann bei uns. Gesundheits-Freitexte sind technisch getrennt und für Hotels nie abrufbar.
• Zeitraum, Vereinsname, Land, Personenzahl, Altersklassen, Bus-Zeiten, gebuchtes Zimmerkontingent, erwartete Kaution (Summe je Gruppe) sowie die Namen von Fahrerinnen und Fahrern bzw. Crew-Mitgliedern mit Zimmer im Haus.
• Nie: Rechnungen und Finanzdaten, Daten anderer Hotels, Kontaktdaten der Teilnehmenden.

(2) Hauptverantwortliche Person für das Hotel: Je Buchung hinterlegt der Verein genau eine erwachsene Kontaktperson (Name, Telefon, E-Mail, Postanschrift) für die Meldepflicht des Hotels nach spanischer Meldeschein-Praxis. Geburtsdatum und Ausweisdaten erheben wir bewusst nicht; Ausweise erfasst ausschließlich das Hotel beim Check-in.

(3) Rechtsgrundlagen sind Art. 6 Abs. 1 lit. b DSGVO (Erfüllung des Vertrags über die Unterbringung) und Art. 6 Abs. 1 lit. c DSGVO (Meldepflicht des Hotels). Empfänger: Partnerhotel.

(4) Zugänge vergibt und entzieht ausschließlich unser Team; ein Entzug wirkt sofort. Jeder Zugang und jede Annahme wird protokolliert.

C8. Crew-Bewerbung (Volunteers ab 18 Jahren)

(1) Die Bewerbung ist ohne Konto möglich. Alle Angaben werden zunächst nur auf deinem eigenen Gerät gespeichert (lokaler Browser-Speicher als Entwurf; Foto und Lebenslauf nur im Arbeitsspeicher). Erst beim Absenden bestätigst du deine E-Mail-Adresse per Code; dabei entsteht dein Konto und die Bewerbung wird an uns übermittelt. Nach dem Absenden oder Verwerfen wird der Entwurf von deinem Gerät gelöscht.

(2) Wir erheben Name, Geburtsdatum (zur Prüfung des Mindestalters von 18 Jahren), Handynummer, Land, Wohnort, Sprachen, Basketball-Erfahrung bzw. Lizenz, Qualifikationen, Motivation, Zimmerwunsch, Anreise, ein Foto und optional einen Lebenslauf; nach einer Zusage zusätzlich Outfit-Größe und Ernährung. Interne Bewertungen unseres Teams sind für dich nicht einsehbar. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Anbahnung und Durchführung des Einsatzes).

(3) Freiwillig kannst du in unseren „Talentpool“ für künftige Turniere aufgenommen werden (Art. 6 Abs. 1 lit. a DSGVO); diese Einwilligung kannst du jederzeit widerrufen.

C9. Interne Transparenz- und Betriebsfunktionen

(1) Kundensicht: Berechtigte Mitglieder unseres Teams können die Portal-Ansicht einer Buchung so sehen, wie sie der Verein, ein Coach, ein Elternteil oder das Partnerhotel sieht, ausschließlich lesend und ohne Aktionen. Gesundheitsangaben bleiben auch dort verdeckt, und jeder Einsatz wird im Verlauf der Buchung protokolliert. Zweck sind Support und Qualitätssicherung (Art. 6 Abs. 1 lit. f DSGVO).

(2) Betriebsüberwachung: Zur Sicherstellung des Betriebs führen wir ein technisches Fehlerprotokoll unserer Server-Funktionen (Zeitpunkt, Funktion, Fehlerart, ohne personenbezogene Inhalte) und informieren unsere Administratoren bei Störungen automatisch. Bei schweren Störungen schaltet das Portal vorübergehend auf eine Wartungsseite. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (Betriebssicherheit).

(3) Online-Anzeige: Je Konto speichern wir nur den Zeitpunkt der letzten Aktivität (eine Zeile, die überschrieben wird) für die Anzeige „online“ bzw. „zuletzt aktiv“. Vereine sehen diesen Status ausschließlich bei ihrer Ansprechperson bei BALLERS53 (Art. 6 Abs. 1 lit. f DSGVO).

C10. Dienstleister und Empfänger des Portals

This policy is divided into three parts: Part A covers the use of our website ballers53.com. Part B covers the preparation, conclusion and performance of a travel contract with us, in particular the processing of booking and participant data. Part C covers our customer portal and the app. The general sections 1 to 8 below apply to all parts.

General information (applies to all parts)

1. Controller

The controller within the meaning of Art. 4(7) GDPR is:

BALLERS53 GmbH

Röttgener Straße 192, 53127 Bonn, Germany

Local Court of Bonn, HRB 30717

Represented by the managing directors Francisco Javier Lahora Chulian and Frederic Groß

Phone: +49 228 97168653

Email: hello@ballers53.com

2. Data protection officer

We are not legally required to appoint a data protection officer. If you have questions about data protection or wish to exercise your rights, you can contact us at any time at privacy@ballers53.com or using the contact details above.

3. Definitions, principles and legal bases

(1) Terms used in this policy such as “personal data”, “processing”, “controller” or “processor” have the meaning given in Art. 4 GDPR.

(2) We always process personal data lawfully, fairly and transparently, for specified purposes only and limited to what is necessary.

(3) Unless stated otherwise in the individual sections, we base processing on one of the following legal bases:

• Art. 6(1)(a) GDPR — consent, where you have consented to the processing;
• Art. 6(1)(b) GDPR — performance of a contract or steps prior to entering into a contract;
• Art. 6(1)(c) GDPR — compliance with a legal obligation to which we are subject;
• Art. 6(1)(f) GDPR — our legitimate interests or those of a third party, unless your interests override them;
• Art. 9(2)(a) GDPR — explicit consent, where special categories of personal data (such as health data) are processed.

4. Recipients and processors

(1) Within our company, only those persons who need your data to perform their tasks have access to it.

(2) For certain processing operations we use carefully selected service providers who process data on our behalf and according to our instructions (processing on behalf under Art. 28 GDPR). We have concluded the legally required data processing agreements with these service providers.

(3) Data is only disclosed to other third parties where this is necessary to perform a contract, you have consented, we are legally obliged to do so or the disclosure is permitted to protect legitimate interests. We do not sell your data.

5. Transfers to third countries

(1) Some of our service providers are based in the United States of America or process data there. Where this is the case, we say so in the relevant section.

(2) Transfers to the USA are based on the European Commission’s adequacy decision of 10 July 2023 where the service provider is certified under the EU-U.S. Data Privacy Framework. Where a service provider is not certified, we base the transfer on the European Commission’s standard contractual clauses under Art. 46(2)(c) GDPR together with supplementary safeguards.

6. Storage period

We process and store your data only for as long as necessary for the respective purposes or as required by statutory retention periods. Once the purpose no longer applies and no retention obligations exist, the data is deleted or anonymised. Specific periods are given in the relevant sections and summarised in the overview at the end of Part B.

7. Your rights

(1) You have the following rights regarding your personal data: access (Art. 15 GDPR), rectification (Art. 16 GDPR), erasure (Art. 17 GDPR), restriction of processing (Art. 18 GDPR), data portability (Art. 20 GDPR) and objection to processing (Art. 21 GDPR).

(2) Right to object: Where we process your data on the basis of legitimate interests (Art. 6(1)(f) GDPR), you have the right to object to this processing at any time on grounds relating to your particular situation. Where the processing is for direct marketing, you may object without giving reasons.

(3) If you have consented to processing, you can withdraw your consent at any time with effect for the future. This does not affect the lawfulness of processing carried out before the withdrawal.

(4) To exercise your rights, simply send a message to privacy@ballers53.com or use the contact details in section 1.

(5) Right to lodge a complaint: You have the right to lodge a complaint with a data protection supervisory authority about the processing of your data (Art. 77 GDPR). The authority responsible for us is the State Commissioner for Data Protection and Freedom of Information of North Rhine-Westphalia (LDI NRW), Kavalleriestraße 2–4, 40213 Düsseldorf, Germany.

8. Data security

We take appropriate technical and organisational measures to protect your data against loss, manipulation and unauthorised access, and continuously adapt them to the state of the art. Our website uses TLS encryption. Please note that data transmitted by unencrypted email may be vulnerable to security gaps.

This part applies to visiting and using our website ballers53.com. Processing in connection with a booking is described in Part B.

A1. Provision of the website and hosting

(1) Our website is provided and hosted via the Webflow service of Webflow, Inc., 398 11th Street, 2nd Floor, San Francisco, CA 94103, USA. Webflow processes on our behalf the technical data required to deliver the website.

(2) The legal basis is our legitimate interest in providing our online offering securely and efficiently (Art. 6(1)(f) GDPR). Section 5 of the general information applies to transfers to the USA.

A2. Server log files

(1) Each time the website is accessed, information transmitted by your browser is recorded automatically, as this is technically necessary to display the website and ensure its stability and security. This includes in particular the IP address, date and time of access, the page requested, the access status, the amount of data transferred, and the browser type and operating system.

(2) The legal basis is Art. 6(1)(f) GDPR; our legitimate interest lies in the technically error-free display and security of the website.

(3) These log data are processed by our hosting provider. They are deleted after 7 days unless longer storage is required in an individual case to investigate a security incident.

A3. Cookies and consent management

(1) Our website uses cookies and similar technologies. Cookies are small text files stored on your device. We use technically necessary cookies, which are required to operate the website, on the basis of Section 25(2) TDDDG and our legitimate interest under Art. 6(1)(f) GDPR.

(2) We only use non-essential cookies and technologies, in particular for statistics and marketing, with your prior consent (Section 25(1) TDDDG, Art. 6(1)(a) GDPR). Via our consent banner you can make your choice in the categories statistics and marketing and change or withdraw it at any time with effect for the future.

(3) We operate the consent banner ourselves and do not use a third-party service for it. In addition, we have implemented Google Consent Mode v2 in “Basic” mode. This ensures that Google services only process data after your consent and that no cookies are set and no personal signals are sent to Google before consent.

(4) You can also manage or delete cookies in your browser settings. If necessary cookies are disabled, some functions of the website may no longer be available.

A4. Google Analytics 4

(1) If you have consented, we use Google Analytics 4, a web analytics service of Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Ireland (“Google”). Google Analytics uses cookies and similar identifiers to analyse use of the website and compile reports on website activity. Our measurement ID is G-C9Q73XM91Y.

(2) Google Analytics 4 truncates the IP address and does not combine it with other Google data, in order to avoid identifying you. Processing of data on servers in the USA cannot be ruled out; in this respect section 5 of the general information applies.

(3) The legal basis is your consent (Art. 6(1)(a) GDPR in conjunction with Section 25(1) TDDDG). You can withdraw your consent at any time via the consent banner.

(4) User and event data collected via Google Analytics are deleted automatically after 14 months.

A5. Google Ads – conversion tracking and remarketing

(1) If you have consented, we use Google Ads of Google Ireland Limited to advertise our offers and measure the success of this advertising, using conversion tracking and remarketing. A cookie can be used to track whether you perform a certain action on our website after clicking an ad (such as submitting an enquiry). Our conversion ID is AW-18342989390.

(2) With remarketing, ads from BALLERS53 may be shown to you on other websites. This is only linked to your Google account if you have enabled personalised advertising in your Google account settings.

(3) The legal basis is your consent (Art. 6(1)(a) GDPR in conjunction with Section 25(1) TDDDG), which you can withdraw at any time. Section 5 applies to transfers to the USA.

A5a. Meta Pixel

(1) If you have consented in the marketing category, we use on our website the Meta Pixel of Meta Platforms Ireland Limited, Merrion Road, Dublin 4, D04 X2K5, Ireland (“Meta”). It allows us to measure how effective our ads on Facebook and Instagram are and to show targeted ads there to people who have visited our website (remarketing). It records the page view and the successful submission of an enquiry via our form (“Lead” event) as well as technical information such as IP address, browser and device information, the page visited and cookie identifiers (_fbp, _fbc). We do not send the content of your enquiry to Meta. Our pixel ID is 1112740608357273.

(2) If you are logged in to Facebook or Instagram, Meta may associate the visit with your account. How Meta uses this data is explained in Meta’s privacy policy at facebook.com/privacy/policy.

(3) We are jointly responsible with Meta for collecting the data on our website and transmitting it to Meta (Art. 26 GDPR). This is based on Meta’s controller addendum (facebook.com/legal/controller_addendum). Under it, Meta is responsible for fulfilling your data subject rights regarding the data processed by Meta; you may nevertheless also contact us. Meta alone is responsible for any subsequent processing by Meta.

(4) The legal basis is your consent (Art. 6(1)(a) GDPR in conjunction with Section 25(1) TDDDG). Without consent, the Meta Pixel is not loaded. You can withdraw your consent at any time with effect for the future via the cookie settings ; the pixel is then no longer loaded and the Meta cookies are deleted. The _fbp cookie is stored for up to 90 days.

(5) Meta may also transfer data to Meta Platforms, Inc., 1 Meta Way, Menlo Park, CA 94025, USA. Meta is certified under the EU-U.S. Data Privacy Framework; otherwise section 5 applies.

A6. Fonts

For a consistent appearance we use fonts that are served locally from our server. No connection to servers of external providers is established; in particular, we do not use externally embedded Google Fonts.

A7. Contact and enquiry form

(1) On our website you can contact us via a form or by email, in particular to request an offer for the BALLERS CUP. We process the data you provide, such as name, club, email address, phone number and the content of your enquiry, in order to handle and answer it.

(2) The legal basis is Art. 6(1)(b) GDPR where the enquiry relates to the conclusion or performance of a contract, otherwise our legitimate interest in answering enquiries (Art. 6(1)(f) GDPR) or your consent (Art. 6(1)(a) GDPR).

(3) We store enquiry data until the matter has been fully dealt with and then delete it unless statutory retention obligations apply. If the enquiry leads to a booking, the information in Part B applies.

A8. Use of HubSpot (CRM and forms)

(1) For our enquiry forms, customer communication and customer management we use the HubSpot system of HubSpot, Inc., 2 Canal Park, Cambridge, MA 02141, USA. HubSpot processes on our behalf the data arising from enquiries and contract preparation.

(2) The legal basis is Art. 6(1)(b) GDPR for contract-related processing and Art. 6(1)(f) GDPR for our legitimate interest in efficient enquiry and customer management. Section 5 applies to transfers to the USA.

A9. Social media presence

(1) We maintain publicly accessible profiles on social networks, currently on Instagram (@ballers.53), TikTok (@ballers.53) and LinkedIn (BALLERS53). If you visit or interact with these profiles, the respective providers process your data under their own responsibility and privacy policies.

(2) Where we are jointly responsible with the respective provider for certain processing (Art. 26 GDPR), we process the data to communicate with you and promote our content and offers. The legal basis is our legitimate interest in effective public communication (Art. 6(1)(f) GDPR).

A10. Contact via WhatsApp Business

You can contact us via WhatsApp Business. We then process the data you send in order to deal with your request. If you choose this channel, the operator (WhatsApp Ireland Limited) also processes data under its own terms. The legal basis is the consent you give by contacting us (Art. 6(1)(a) GDPR) and, for contract-related matters, Art. 6(1)(b) GDPR. If you wish to avoid this processing, you can also reach us by phone, email or post.

A11. Links to external websites

Our website may contain links to external third-party websites. We have no influence on their content or data processing. The privacy policies of the respective providers apply to them.

A12. Partner campaign with IN YOUR FACE FOODS (data sharing and Klaviyo)

(1) On our BALLERS CUP campaign page (“coach first order”) you can additionally consent to us transmitting certain data to our cooperation partner JanBen UG (haftungsbeschränkt) (“IN YOUR FACE FOODS”), Herwarthstr. 9, 12207 Berlin, Germany.

(2) In this case, first name and email address and, where provided in the form, club/team, age group(s) and approximate team size are transmitted. The purpose is to send you the personal code for the coach first order and information on redeeming it from IN YOUR FACE FOODS.

(3) The legal basis is your consent (Art. 6(1)(a) GDPR). It is voluntary; the form can also be submitted without it, in which case no data is transmitted. You can withdraw your consent at any time with effect for the future, either to us (hello@ballers53.com) or to IN YOUR FACE FOODS (info@inyourfacefoods.com); every email from IN YOUR FACE FOODS also contains an unsubscribe option.

(4) IN YOUR FACE FOODS uses the Klaviyo service (Klaviyo, Inc., 125 Summer Street, Boston, MA 02110, USA) to manage sign-ups and send emails. With your consent, the data is transmitted directly from your browser to Klaviyo. Klaviyo is certified under the EU-U.S. Data Privacy Framework, so an adequacy decision of the EU Commission (Art. 45 GDPR) covers the transfer to the USA. The sign-up is confirmed by double opt-in (confirmation link by email); the times of sign-up and confirmation are logged to evidence the consent (Art. 7(1) GDPR).

(5) After the transfer, IN YOUR FACE FOODS is an independent controller for further processing. Details can be found in the privacy policy of IN YOUR FACE FOODS.

A13. BALLERS CUP 2027 prize draw via Facebook and Instagram

(1) From the start of the campaign until 15 November 2026, we are raffling a team trip to the BALLERS CUP 2027. You take part via a form shown directly in our ads on Facebook and Instagram (lead form of Meta Platforms Ireland Limited, Merrion Road, Dublin 4, D04 X2K5, Ireland, “Meta”). The terms of participation can be found at ballers53.com/teilnahmebedingungen.

(2) In the form we collect your first and last name, email address, phone number and postcode, as well as your role in the club, the name of your club, the age group and the approximate number of people travelling. Meta pre-fills name, email address and phone number from your account; you can change them before submitting.

(3) We use this data to run the prize draw: to record your entry, to draw and notify the winner and to handle the prize. The legal basis is the performance of the prize draw as a contractual relationship (Art. 6(1)(b) GDPR).

(4) In the form you can additionally and voluntarily consent to us advising you about the BALLERS CUP by phone, email and WhatsApp. Only then will we contact you beyond notifying the winner. The legal basis is your consent (Art. 6(1)(a) GDPR). You can withdraw it at any time with effect for the future, for example by email to privacy@ballers53.com. Taking part in the prize draw does not depend on this consent.

(5) Meta processes the form data on our behalf and makes it available to us. We transfer the data to our CRM HubSpot (see A8). Meta and HubSpot may also process data in the USA; section 5 applies.

(6) We delete the data of participants who have not given consent under paragraph 4 by 31 December 2026 at the latest. We keep the winner’s data for as long as required for the trip and statutory retention obligations (see B10 and B12). If you have consented to being advised, we store your data until you withdraw your consent, but no longer than 31 March 2027 unless a booking results.

(7) We only publish the name of the winner’s club on Instagram with the winner’s consent.

A14. Advertising on Facebook and Instagram based on contact lists (Custom Audiences)

(1) If you have allowed us, for example in a phone call, to contact you for advertising purposes, we may use your email address to show you our ads on Facebook and Instagram as well. To do so, we upload the email address to Meta in encrypted form (as a hash value). Meta matches the hash value against the accounts registered with Meta, creates a target group from it (“Custom Audience”) and deletes the hash values after matching. Meta processes the data on our behalf.

(2) Meta may also create a similar target group from such an audience (“Lookalike Audience”). We do not receive any information about individual persons.

(3) The legal basis is your consent (Art. 6(1)(a) GDPR). You can withdraw it at any time with effect for the future, for example by email to privacy@ballers53.com. We then remove your data at the next update of the list, at the latest within 30 days.

(4) Section 5 applies to transfers to Meta in the USA. How Meta processes data is explained at facebook.com/privacy/policy.

B1. Overview and data subjects

(1) When a club or a person enquires about, books or takes part in a trip to the BALLERS CUP, we process personal data in order to prepare, conclude and perform the travel contract.

(2) Data subjects are in particular: the booking party and the persons acting for it, the individual travellers (mostly minor players in the U12 to U18 age groups), the accompanying supervisors and, where necessary, parents or guardians.

B2. Source of the data

(1) We collect part of the data directly from the booking party. As a rule, we do not receive the data of the individual participants, in particular the participant list, from the participants themselves but from the booking party (the booking club), which transmits it to us to carry out the trip.

(2) The booking party is obliged to inform the participants concerned or their parents or guardians about the disclosure to us and about this privacy policy, and to ensure that the data protection requirements for the transfer are met. We provide this policy to the booking party for this purpose.

(3) The categories of participant data we process are set out in sections B4 and B5.

B3. Preparation and conclusion of the travel contract

(1) To prepare and conclude the contract, we process the data of the booking party and the persons acting for it, in particular club name and address, contact person and role, contact details and information on the booked trip and the requested services.

(2) The legal basis is Art. 6(1)(b) GDPR (steps prior to entering into a contract and performance of the travel contract). Without this data we cannot conclude and perform the contract.

B4. Participant lists

(1) To carry out the trip, we process for each participant in particular first and last name, date of birth and role (e.g. player, coach, supervisor). We need this information to assign tournament and age groups, allocate rooms and accommodation, issue accreditations and eligibility, ensure insurance cover and organise travel and on-site support.

(2) The legal basis is Art. 6(1)(b) GDPR for the performance of the travel contract and, as regards the proper organisation of the tournament, our legitimate interest in smooth operations (Art. 6(1)(f) GDPR).

(3) Participant lists are deleted after the trip has ended, the related invoicing has been completed and any warranty and liability periods have expired, unless statutory retention obligations apply. Details are given in the overview under B12.

B5. Health-related information

(1) To carry out the trip safely, we only process health-related information to the extent that we ourselves need to act. This exclusively concerns the following information, where the booking party tells us it is relevant:

• food allergies and intolerances as well as special diets, so that we can take them into account for catering and inform the hotel exclusively as total numbers without names (section C7);
• information on reduced mobility or special support needs, so that we can plan accommodation and logistics accordingly;
• voluntary information on health conditions that the on-site support team should know in an emergency (such as asthma, diabetes or a severe allergy).

(2) These are special categories of personal data within the meaning of Art. 9 GDPR, which are subject to increased protection. We process them exclusively on the basis of explicit consent (Art. 9(2)(a) GDPR), given by the parents or guardians in the case of minors, and only for the stated purpose.

(3) Keeping and administering medication and ongoing health care during the trip are the responsibility of the booking party’s accompanying supervisors. We do not collect any further health data for this and do not keep medical records.

(4) The information is only passed on to the on-site bodies responsible for catering, accommodation and care, where this is necessary to protect the person concerned. It is deleted at the latest after the trip has ended, unless a specific reason (such as an insurance or liability case) exceptionally requires longer storage.

B6. Special protection of minor participants

As our trips are aimed at youth teams and most participants are minors, we handle their data with particular care. We limit processing to what is necessary to carry out the trip, obtain any required consent from parents or guardians and only disclose data of minors where this is necessary to perform the contract or to protect the person concerned.

B7. Payment processing

(1) The travel price is paid exclusively by bank transfer. For this we process the necessary invoice and payment data. We do not collect account access data.

(2) The legal basis is Art. 6(1)(b) GDPR (performance of the contract) and, for the retention of payment and invoice records, Art. 6(1)(c) GDPR (compliance with statutory retention obligations).

B8. Disclosure to service providers and tournament partners

(1) To carry out the trip, we disclose the necessary participant and booking data to the service providers involved, in particular the partner hotels and the bus company on the Costa Barcelona, as well as our partners responsible for running the tournament on site. These recipients are based in Spain and thus within the European Union.

(2) Only the data required for the respective service is disclosed (e.g. name lists and room allocation to the hotel, details in section C7, number of participants and pick-up points to the bus company, team and age-group data to the tournament organisation). The legal basis is Art. 6(1)(b) GDPR.

B9. Insurance and insolvency protection

(1) As a package travel organiser, we are legally obliged to protect customer payments against our insolvency. The insurer is R+V Allgemeine Versicherung AG, Raiffeisenplatz 1, 65189 Wiesbaden, Germany. In the event of a claim, we transmit the data required for processing to the insurer.

(2) Where further insurance policies are taken out or used in connection with the trip, we process the data required for this. The legal basis is Art. 6(1)(b) and (c) GDPR.

B10. Retention under tax and commercial law

(1) Booking, invoice and payment data are subject to statutory retention obligations. To meet our bookkeeping and tax obligations, we transmit incoming and outgoing invoices and the related accounting records to our tax advisors, DDTax (Anna Drees). The tax advisors act under their own professional responsibility as an independent controller and not as a processor.

(2) The legal basis for the transfer is Art. 6(1)(c) GDPR. Under the periods applicable since 1 January 2025, accounting records and invoices must be kept for eight years, and commercial books, inventories and annual financial statements for ten years (Section 147 AO, Section 257 HGB).

B11. Photo, film and sound recordings

(1) During the event, photo, film and sound recordings are made by us and commissioned service providers, which we use for reporting and to promote future events. Further details are set out in our travel contract.

(2) Recordings in which persons are individually recognisable are used on the basis of separate consent (Art. 6(1)(a) GDPR); for minor participants, the consent of the parents or guardians is required. Consent can be withdrawn at any time with effect for the future.

B12. Overview of storage periods

The following overview summarises the main storage periods. If claims, proceedings or an audit are still pending when a period expires, retention is extended accordingly.

C1. The BALLERS53 portal and the app

(1) For clubs, coaches, parents, volunteers (crew) and partner hotels we operate the online portal portal.ballers53.com and the iPhone app “BALLERS53 Portal” around our tournament trips. You log in without a password using a code we send to your email address; team accounts are additionally protected by two-factor authentication.

(2) Depending on the role, we process: contact details (name, email address, optionally phone number), an optional profile picture, the club’s booking and travel data, participant lists (name, date of birth, gender for the age groups, clothing size, shirt number), room and bus planning, the club’s invoice data and messages in the portal. The legal basis is Art. 6(1)(b) GDPR (performance of the travel contract).

(3) Diet (optional): Categories can be selected for each participant (vegetarian, vegan, gluten-free, lactose-free, allergy). We only pass on to partner hotels total numbers per category for the whole group in the respective hotel, never names and never broken down by sub-group or package. Details in section C7.

(4) Health information: Information on medication and allergies voluntarily provided by parents is only visible to the coach or club and, exclusively in an emergency, to the BALLERS53 team. It is displayed concealed and only shown after a mandatory reason is given (“medical emergency” or “query from a doctor”); every access is fully logged (who, when, whose information, reason). Nothing is stored on the device, and the information is concealed again after 2 minutes. The legal basis is explicit consent (Art. 9(2)(a) GDPR); otherwise section B5 applies.

(5) Hosting: The portal’s database, login and file storage are operated by Supabase in the EU region as our processor. The web content is delivered via Cloudflare Pages of Cloudflare, Inc. (USA); IP address and technical logs are processed in the process. Section 5 applies to transfers to the USA.

(6) Deleting your account: You can delete your account yourself at any time, on the web and in the app. The account is blocked immediately, kept for 60 days as a safety recycle bin (restoration on request) and then permanently deleted, including profile picture and crew files. The club’s booking and invoice data are not affected where we need them to perform the contract or due to statutory retention obligations.

C2. Special features of the iPhone app

(1) The app is distributed via Apple (App Store or TestFlight). On your device we store the login session in encrypted device storage and, for offline reading, your own travel documents. Both are deleted when you log out; the offline data is deliberately excluded from iCloud backup. This storage is strictly necessary for the service you have requested (Section 25(2) TDDDG).

(2) The app only accesses the camera and photos when you actively select something (profile picture, club crest, photo in a request, crew application). The map of the departure point is displayed via Apple Maps (MapKit).

(3) After a good user experience, the app asks at most once, using Apple’s standard dialog, whether you would like to rate it in the App Store. We do not share any data in this process.

C3. Push notifications

(1) You only receive push notifications if you allow them on your device (Art. 6(1)(a) GDPR, Section 25(1) TDDDG). They contain the title and short text of the respective portal message (such as “Your hotel is confirmed”); team-internal messages may contain names. Notifications are sent in the language of your account (German, English or Spanish).

(2) Notifications are sent from our server via the Expo Push Service of 650 Industries, Inc. (USA) to Apple (APNs) or Google (FCM) and from there to your device. The push identifier (token), platform, language, title and short text are processed. Expo is our processor; the transfer to the USA is based on standard contractual clauses (section 5).

(3) The push identifier is removed when you log out, at the latest when the account is permanently deleted. You can switch off push notifications at any time in your device settings.

C4. Emails via Brevo

We send login codes, invitations (in the language chosen when inviting) and service messages of the portal via Brevo (EU) as our processor. The email address and the content of the message are processed. The legal basis is Art. 6(1)(b) GDPR.

C5. Security check at login (Cloudflare Turnstile)

(1) Before every code request and every password login, an invisible security check against automated abuse is carried out; only in case of doubt is a box shown to click. The provider is Cloudflare, Inc. (USA). The IP address and browser and device signals are processed. We only receive the result of the check and store none of it. No advertising cookies, no cross-site tracking.

(2) The legal basis is our legitimate interest in the security of the service (Art. 6(1)(f) GDPR). The transfer to the USA is based on standard contractual clauses (section 5).

C6. AI assistant “Guillermo”

(1) A voluntary AI assistant is available in the portal and the app. Before your first question we expressly ask for your consent (Art. 6(1)(a) GDPR); without consent nothing is sent. You can withdraw your consent at any time in the chat or in your profile; your history is then also deleted.

(2) To answer, we transmit your question, the chat history and an extract of your own travel data without names to Anthropic, PBC (USA). The request is made exclusively via our server; your device has no direct contact with Anthropic. We have concluded a data processing agreement with standard contractual clauses with Anthropic (section 5).

(3) To improve our FAQ, we keep an anonymous question log that only contains the account type and language, no personal information. It is deleted automatically after 90 days.

C7. Partner hotels as recipients

(1) Our partner hotels in Spain receive their own password-free portal access and only see data relating to their own hotel:

• Room list with first and last names of the arriving persons per group, only after our team has expressly approved the room planning, together with the role in the group (coach, supervisor, companion). The purpose is check-in and the hotel’s statutory registration obligations. The hotel does not receive dates of birth, contact details or health information.
• Catering only as total numbers for the whole group in the hotel (e.g. “2× vegetarian, 1× gluten-free”), never per sub-group or package, so that no information can be attributed to a person known by name. For small groups of fewer than 5 people in the hotel there is no breakdown; the hotel then asks us about catering. Health free texts are technically separated and can never be accessed by hotels.
• Period, club name, country, number of people, age groups, bus times, booked room allocation, expected deposit (total per group) and the names of drivers or crew members with a room in the hotel.
• Never: invoices and financial data, data of other hotels, contact details of participants.

(2) Main responsible person for the hotel: For each booking, the club provides exactly one adult contact person (name, phone, email, postal address) for the hotel’s registration obligation under Spanish registration practice. We deliberately do not collect dates of birth or ID data; IDs are recorded exclusively by the hotel at check-in.

(3) The legal bases are Art. 6(1)(b) GDPR (performance of the accommodation contract) and Art. 6(1)(c) GDPR (the hotel’s registration obligation). Recipient: partner hotel.

(4) Access is granted and revoked exclusively by our team; revocation takes effect immediately. Every access and every acceptance is logged.

C8. Crew application (volunteers aged 18 and over)

(1) You can apply without an account. All information is initially stored only on your own device (local browser storage as a draft; photo and CV only in working memory). Only when you submit do you confirm your email address with a code; this creates your account and the application is sent to us. After submitting or discarding, the draft is deleted from your device.

(2) We collect name, date of birth (to check the minimum age of 18), mobile number, country, place of residence, languages, basketball experience or licence, qualifications, motivation, room preference, travel, a photo and optionally a CV; after acceptance also outfit size and diet. Internal assessments by our team are not visible to you. The legal basis is Art. 6(1)(b) GDPR (preparation and performance of the assignment).

(3) You can voluntarily join our “talent pool” for future tournaments (Art. 6(1)(a) GDPR); you can withdraw this consent at any time.

C9. Internal transparency and operating functions

(1) Customer view: Authorised members of our team can see the portal view of a booking as the club, a coach, a parent or the partner hotel sees it, read-only and without any actions. Health information remains concealed there too, and every use is logged in the booking history. The purposes are support and quality assurance (Art. 6(1)(f) GDPR).

(2) Operations monitoring: To ensure operations, we keep a technical error log of our server functions (time, function, type of error, without personal content) and automatically notify our administrators of disruptions. In the event of serious disruptions, the portal temporarily switches to a maintenance page. The legal basis is Art. 6(1)(f) GDPR (operational security).

(3) Online status: For each account we only store the time of the last activity (one line, which is overwritten) for the “online” or “last active” display. Clubs only see this status for their BALLERS53 contact person (Art. 6(1)(f) GDPR).

C10. Service providers and recipients of the portal

Esta política se divide en tres partes: la Parte A se refiere al uso de nuestro sitio web ballers53.com. La Parte B se refiere a la preparación, celebración y ejecución de un contrato de viaje con nosotros, en particular al tratamiento de datos de reservas y participantes. La Parte C se refiere a nuestro portal de clientes y a la app. Los apartados generales 1 a 8 siguientes se aplican a todas las partes.

Información general (aplicable a todas las partes)

1. Responsable del tratamiento

El responsable del tratamiento en el sentido del art. 4.7 RGPD es:

BALLERS53 GmbH

Röttgener Straße 192, 53127 Bonn, Alemania

Registro Mercantil de Bonn, HRB 30717

Representada por los administradores Francisco Javier Lahora Chulian y Frederic Groß

Tel.: +49 228 97168653

Correo: hello@ballers53.com

2. Delegado de protección de datos

No estamos obligados legalmente a designar un delegado de protección de datos. Para consultas sobre protección de datos o para ejercer tus derechos, puedes escribirnos en cualquier momento a privacy@ballers53.com o a los datos de contacto indicados arriba.

3. Definiciones, principios y bases jurídicas

(1) Los términos utilizados en esta política, como «datos personales», «tratamiento», «responsable» o «encargado del tratamiento», tienen el significado del art. 4 RGPD.

(2) Tratamos los datos personales siempre de forma lícita, leal y transparente, con fines determinados y limitados a lo necesario.

(3) Salvo que se indique otra cosa en cada caso, basamos el tratamiento en una de las siguientes bases jurídicas:

• Art. 6.1.a) RGPD — consentimiento, cuando hayas consentido el tratamiento;
• Art. 6.1.b) RGPD — ejecución de un contrato o aplicación de medidas precontractuales;
• Art. 6.1.c) RGPD — cumplimiento de una obligación legal a la que estamos sujetos;
• Art. 6.1.f) RGPD — interés legítimo nuestro o de un tercero, siempre que no prevalezcan tus intereses;
• Art. 9.2.a) RGPD — consentimiento explícito, cuando se traten categorías especiales de datos personales (por ejemplo, datos de salud).

4. Destinatarios y encargados del tratamiento

(1) Dentro de nuestra empresa solo tienen acceso a tus datos las personas que los necesitan para desempeñar sus funciones.

(2) Para determinados tratamientos recurrimos a proveedores de servicios cuidadosamente seleccionados, que tratan los datos por encargo nuestro y siguiendo nuestras instrucciones (encargo del tratamiento conforme al art. 28 RGPD). Con estos proveedores hemos celebrado los contratos de encargo legalmente exigidos.

(3) Solo comunicamos datos a otros terceros cuando es necesario para ejecutar un contrato, cuando has dado tu consentimiento, cuando estamos legalmente obligados o cuando la comunicación está permitida para proteger intereses legítimos. No vendemos tus datos.

5. Transferencias a terceros países

(1) Algunos de nuestros proveedores tienen su sede en EE. UU. o tratan datos allí. Cuando es así, lo indicamos en el apartado correspondiente.

(2) Las transferencias a EE. UU. se basan en la decisión de adecuación de la Comisión Europea de 10 de julio de 2023, siempre que el proveedor esté certificado conforme al EU-U.S. Data Privacy Framework Si un proveedor no está certificado, basamos la transferencia en las cláusulas contractuales tipo de la Comisión Europea conforme al art. 46.2.c) RGPD, junto con garantías adicionales.

6. Plazo de conservación

Tratamos y conservamos tus datos solo durante el tiempo necesario para los fines correspondientes o el exigido por los plazos legales de conservación. Cuando desaparece la finalidad y no existen obligaciones de conservación, los datos se suprimen o se anonimizan. Los plazos concretos se indican en cada apartado y, de forma resumida, en el cuadro al final de la Parte B.

7. Tus derechos

(1) Respecto a tus datos personales tienes los siguientes derechos: acceso (art. 15 RGPD), rectificación (art. 16 RGPD), supresión (art. 17 RGPD), limitación del tratamiento (art. 18 RGPD), portabilidad (art. 20 RGPD) y oposición al tratamiento (art. 21 RGPD).

(2) Derecho de oposición: cuando tratamos tus datos sobre la base de un interés legítimo (art. 6.1.f) RGPD), tienes derecho a oponerte en cualquier momento a dicho tratamiento por motivos relacionados con tu situación particular. Si el tratamiento tiene por objeto la mercadotecnia directa, puedes oponerte sin indicar motivos.

(3) Si has dado tu consentimiento a un tratamiento, puedes retirarlo en cualquier momento con efectos futuros. Ello no afecta a la licitud del tratamiento realizado antes de la retirada.

(4) Para ejercer tus derechos basta con enviar un mensaje a privacy@ballers53.com o a los datos de contacto del apartado 1.

(5) Derecho a presentar una reclamación: tienes derecho a presentar una reclamación ante una autoridad de control de protección de datos sobre el tratamiento de tus datos (art. 77 RGPD). La autoridad competente para nosotros es la Comisionada de Protección de Datos y Libertad de Información de Renania del Norte-Westfalia (LDI NRW), Kavalleriestraße 2–4, 40213 Düsseldorf, Alemania.

8. Seguridad de los datos

Adoptamos medidas técnicas y organizativas adecuadas para proteger tus datos frente a pérdida, manipulación y acceso no autorizado, y las adaptamos continuamente al estado de la técnica. Nuestro sitio web utiliza cifrado TLS. La transmisión de datos por correo no cifrado puede presentar brechas de seguridad.

Esta parte se aplica a la visita y el uso de nuestro sitio web ballers53.com. Los tratamientos relacionados con una reserva se describen en la Parte B.

A1. Puesta a disposición del sitio web y alojamiento

(1) Nuestro sitio web se pone a disposición y se aloja mediante el servicio Webflow de Webflow, Inc., 398 11th Street, 2nd Floor, San Francisco, CA 94103, EE. UU. Webflow trata por encargo nuestro los datos técnicos necesarios para servir el sitio web.

(2) La base jurídica es nuestro interés legítimo en ofrecer nuestro servicio en línea de forma segura y eficiente (art. 6.1.f) RGPD). A las transferencias a EE. UU. se aplica el apartado 5.

A2. Archivos de registro del servidor

(1) Cada vez que se accede al sitio web se registra automáticamente la información que transmite tu navegador y que es técnicamente necesaria para mostrarte el sitio y garantizar su estabilidad y seguridad. Incluye, en particular, la dirección IP, la fecha y hora del acceso, la página consultada, el estado del acceso, el volumen de datos transferido y el tipo de navegador y sistema operativo.

(2) La base jurídica es el art. 6.1.f) RGPD; nuestro interés legítimo reside en la correcta visualización técnica y la seguridad del sitio web.

(3) Estos datos de registro los trata nuestro proveedor de alojamiento. Se suprimen a los 7 días, salvo que en un caso concreto sea necesaria una conservación más prolongada para investigar un incidente de seguridad.

A3. Cookies y gestión del consentimiento

(1) En nuestro sitio web utilizamos cookies y tecnologías similares. Las cookies son pequeños archivos de texto que se almacenan en tu dispositivo. Las cookies técnicamente necesarias para el funcionamiento del sitio web las utilizamos sobre la base del § 25.2 TDDDG y de nuestro interés legítimo conforme al art. 6.1.f) RGPD.

(2) Todas las cookies y tecnologías no necesarias, en particular con fines estadísticos y de marketing, solo las utilizamos con tu consentimiento previo (§ 25.1 TDDDG, art. 6.1.a) RGPD). A través de nuestro banner de consentimiento puedes elegir en las categorías estadística y marketing, y modificar o retirar tu elección en cualquier momento con efectos futuros.

(3) Gestionamos el banner de consentimiento nosotros mismos, sin recurrir a un servicio de terceros. Además, hemos integrado Google Consent Mode v2 en modo «Basic». Así se garantiza que los servicios de Google solo traten datos tras tu consentimiento y que antes del mismo no se instalen cookies ni se envíen señales personales a Google.

(4) También puedes gestionar o eliminar las cookies desde la configuración de tu navegador. Si desactivas las cookies necesarias, es posible que algunas funciones del sitio web dejen de estar disponibles.

A4. Google Analytics 4

(1) Si has dado tu consentimiento, utilizamos Google Analytics 4, un servicio de análisis web de Google Ireland Limited, Gordon House, Barrow Street, Dublín 4, Irlanda («Google»). Google Analytics utiliza cookies e identificadores similares para analizar el uso del sitio web y elaborar informes sobre la actividad del sitio. Nuestro ID de medición es G-C9Q73XM91Y.

(2) Google Analytics 4 acorta la dirección IP y no la combina con otros datos de Google, para evitar identificarte. No puede descartarse un tratamiento de datos en servidores de EE. UU.; se aplica el apartado 5.

(3) La base jurídica es tu consentimiento (art. 6.1.a) RGPD y § 25.1 TDDDG). Puedes retirarlo en cualquier momento a través del banner de consentimiento.

(4) Los datos de usuarios y eventos recogidos mediante Google Analytics se suprimen automáticamente a los 14 meses.

A5. Google Ads – seguimiento de conversiones y remarketing

(1) Si has dado tu consentimiento, utilizamos Google Ads de Google Ireland Limited para anunciar nuestras ofertas y medir el éxito de esa publicidad, con seguimiento de conversiones y remarketing. Mediante una cookie puede comprobarse si, tras hacer clic en un anuncio, realizas una determinada acción en nuestro sitio web (por ejemplo, enviar una consulta). Nuestro ID de conversión es AW-18342989390.

(2) Con el remarketing pueden mostrarse anuncios de BALLERS53 en otros sitios web. Solo se vincula con tu cuenta de Google si has activado la publicidad personalizada en la configuración de tu cuenta de Google.

(3) La base jurídica es tu consentimiento (art. 6.1.a) RGPD y § 25.1 TDDDG), que puedes retirar en cualquier momento. A las transferencias a EE. UU. se aplica el apartado 5.

A5a. Píxel de Meta

(1) Si has dado tu consentimiento en la categoría marketing, utilizamos en nuestro sitio web el píxel de Meta de Meta Platforms Ireland Limited, Merrion Road, Dublín 4, D04 X2K5, Irlanda («Meta»). Con él medimos la eficacia de nuestros anuncios en Facebook e Instagram y podemos mostrar allí anuncios dirigidos a personas que han visitado nuestro sitio web (remarketing). Se registran la visita a la página y el envío correcto de una consulta a través de nuestro formulario (evento «Lead»), así como datos técnicos como la dirección IP, información del navegador y del dispositivo, la página visitada e identificadores de cookies (_fbp, _fbc). No transmitimos a Meta el contenido de tu consulta. Nuestro ID de píxel es 1112740608357273.

(2) Si has iniciado sesión en Facebook o Instagram, Meta puede asociar la visita a tu cuenta. Cómo utiliza Meta estos datos se explica en su política de privacidad en facebook.com/privacy/policy.

(3) Somos corresponsables con Meta de la recogida de datos en nuestro sitio web y de su transmisión a Meta (art. 26 RGPD). La base es el acuerdo de corresponsabilidad de Meta (facebook.com/legal/controller_addendum). Conforme a él, Meta se encarga de atender tus derechos como interesado respecto de los datos tratados por Meta; no obstante, también puedes dirigirte a nosotros. Del tratamiento posterior por parte de Meta es responsable únicamente Meta.

(4) La base jurídica es tu consentimiento (art. 6.1.a) RGPD y § 25.1 TDDDG). Sin consentimiento, el píxel de Meta no se carga. Puedes retirar tu consentimiento en cualquier momento con efectos futuros a través de la configuración de cookies ; a partir de entonces el píxel deja de cargarse y se eliminan las cookies de Meta. La cookie _fbp se conserva hasta 90 días.

(5) Meta también puede transferir datos a Meta Platforms, Inc., 1 Meta Way, Menlo Park, CA 94025, EE. UU. Meta está certificada conforme al EU-U.S. Data Privacy Framework; en lo demás se aplica el apartado 5.

A6. Tipografías

Para una presentación uniforme utilizamos tipografías que se sirven localmente desde nuestro servidor. No se establece conexión con servidores de proveedores externos; en particular, no utilizamos Google Fonts integradas externamente.

A7. Contacto y formulario de consulta

(1) En nuestro sitio web puedes contactar con nosotros mediante un formulario o por correo, en particular para solicitar una oferta para la BALLERS CUP. Tratamos los datos que nos facilitas, como nombre, club, dirección de correo, teléfono y el contenido de tu consulta, para tramitarla y responderla.

(2) La base jurídica es el art. 6.1.b) RGPD cuando la consulta se dirige a la celebración o ejecución de un contrato; en los demás casos, nuestro interés legítimo en responder consultas (art. 6.1.f) RGPD) o tu consentimiento (art. 6.1.a) RGPD).

(3) Conservamos los datos de la consulta hasta que el asunto quede resuelto y después los suprimimos, salvo que existan obligaciones legales de conservación. Si la consulta da lugar a una reserva, se aplica lo indicado en la Parte B.

A8. Uso de HubSpot (CRM y formularios)

(1) Para nuestros formularios de consulta, la comunicación con clientes y la gestión de clientes utilizamos el sistema HubSpot de HubSpot, Inc., 2 Canal Park, Cambridge, MA 02141, EE. UU. HubSpot trata por encargo nuestro los datos derivados de las consultas y de la preparación de contratos.

(2) La base jurídica es el art. 6.1.b) RGPD para el tratamiento relacionado con el contrato y el art. 6.1.f) RGPD para nuestro interés legítimo en una gestión eficiente de consultas y clientes. A las transferencias a EE. UU. se aplica el apartado 5.

A9. Presencia en redes sociales

(1) Mantenemos perfiles públicos en redes sociales, actualmente en Instagram (@ballers.53), TikTok (@ballers.53) y LinkedIn (BALLERS53). Si visitas estos perfiles o interactúas con ellos, los respectivos proveedores tratan tus datos bajo su propia responsabilidad y conforme a sus políticas de privacidad.

(2) Cuando somos corresponsables con el proveedor respectivo de determinados tratamientos (art. 26 RGPD), tratamos los datos para comunicarnos contigo y dar a conocer nuestros contenidos y ofertas. La base jurídica es nuestro interés legítimo en una comunicación pública eficaz (art. 6.1.f) RGPD).

A10. Contacto por WhatsApp Business

Puedes contactar con nosotros por WhatsApp Business. En ese caso tratamos los datos que nos envías para atender tu solicitud. Si eliges esta vía, el operador (WhatsApp Ireland Limited) también trata datos conforme a sus propias condiciones. La base jurídica es el consentimiento que das al contactarnos (art. 6.1.a) RGPD) y, en asuntos relacionados con un contrato, el art. 6.1.b) RGPD. Si prefieres evitar este tratamiento, también puedes contactarnos por teléfono, correo electrónico o correo postal.

A11. Enlaces a sitios web externos

Nuestro sitio web puede contener enlaces a sitios web externos de terceros. No tenemos influencia sobre sus contenidos ni sobre su tratamiento de datos. Se aplican las políticas de privacidad de cada proveedor.

A12. Campaña con IN YOUR FACE FOODS (comunicación de datos y Klaviyo)

(1) En nuestra página de campaña de la BALLERS CUP («primer pedido para entrenadores») puedes consentir además que transmitamos determinados datos a nuestro socio colaborador JanBen UG (haftungsbeschränkt) («IN YOUR FACE FOODS»), Herwarthstr. 9, 12207 Berlín, Alemania.

(2) En ese caso se transmiten el nombre y la dirección de correo y, si se indican en el formulario, el club/equipo, la(s) categoría(s) y el tamaño aproximado del equipo. La finalidad es el envío del código personal para el primer pedido de entrenadores y de información sobre su canje por parte de IN YOUR FACE FOODS.

(3) La base jurídica es tu consentimiento (art. 6.1.a) RGPD). Es voluntario; el formulario también puede enviarse sin él, en cuyo caso no se transmite ningún dato. Puedes retirar tu consentimiento en cualquier momento con efectos futuros, ante nosotros (hello@ballers53.com) o ante IN YOUR FACE FOODS (info@inyourfacefoods.com); además, cada correo de IN YOUR FACE FOODS incluye una opción de baja.

(4) IN YOUR FACE FOODS utiliza el servicio Klaviyo (Klaviyo, Inc., 125 Summer Street, Boston, MA 02110, EE. UU.) para gestionar las altas y enviar correos. Con tu consentimiento, los datos se transmiten directamente desde tu navegador a Klaviyo. Klaviyo está certificada conforme al EU-U.S. Data Privacy Framework, por lo que la transferencia a EE. UU. está amparada por una decisión de adecuación de la Comisión Europea (art. 45 RGPD). El alta se confirma mediante doble opt-in (enlace de confirmación por correo); se registran la fecha y hora del alta y de la confirmación para poder acreditar el consentimiento (art. 7.1 RGPD).

(5) Tras la transmisión, IN YOUR FACE FOODS es responsable independiente del tratamiento posterior. Más detalles en la política de privacidad de IN YOUR FACE FOODS.

A13. Sorteo BALLERS CUP 2027 a través de Facebook e Instagram

(1) Desde el inicio de la campaña hasta el 15 de noviembre de 2026 sorteamos un viaje en equipo a la BALLERS CUP 2027. Se participa mediante un formulario que aparece directamente en nuestros anuncios de Facebook e Instagram (formulario de clientes potenciales de Meta Platforms Ireland Limited, Merrion Road, Dublín 4, D04 X2K5, Irlanda, «Meta»). Las bases de participación están en ballers53.com/teilnahmebedingungen.

(2) En el formulario recogemos tu nombre y apellidos, correo, teléfono y código postal, así como tu función en el club, el nombre de tu club, la categoría y el número aproximado de viajeros. Meta rellena nombre, correo y teléfono a partir de tu cuenta; puedes modificarlos antes de enviar.

(3) Usamos estos datos para realizar el sorteo: registrar tu participación, sortear y notificar a la persona ganadora y gestionar el premio. La base jurídica es la ejecución del sorteo como relación contractual (art. 6.1.b) RGPD).

(4) En el formulario puedes consentir además, de forma voluntaria, que te asesoremos sobre la BALLERS CUP por teléfono, correo y WhatsApp. Solo entonces te contactaremos más allá de la notificación del premio. La base jurídica es tu consentimiento (art. 6.1.a) RGPD). Puedes retirarlo en cualquier momento con efectos futuros, por ejemplo por correo a privacy@ballers53.com. La participación en el sorteo no depende de este consentimiento.

(5) Meta trata los datos del formulario por encargo nuestro y nos los facilita. Los incorporamos a nuestro CRM HubSpot (véase A8). Meta y HubSpot también pueden tratar datos en EE. UU.; se aplica el apartado 5.

(6) Suprimimos los datos de los participantes sin el consentimiento del apartado 4 a más tardar el 31 de diciembre de 2026. Conservamos los datos de la persona ganadora mientras lo exijan el viaje y las obligaciones legales de conservación (véanse B10 y B12). Si has consentido el asesoramiento, conservamos tus datos hasta que retires el consentimiento, como máximo hasta el 31 de marzo de 2027, salvo que se produzca una reserva.

(7) Solo publicamos en Instagram el nombre del club de la persona ganadora con su consentimiento.

A14. Publicidad en Facebook e Instagram a partir de listas de contactos (Custom Audiences)

(1) Si nos has permitido, por ejemplo en una llamada, contactarte con fines publicitarios, podemos usar tu dirección de correo para mostrarte nuestros anuncios también en Facebook e Instagram. Para ello subimos la dirección a Meta de forma cifrada (como valor hash). Meta compara el valor hash con las cuentas registradas en Meta, crea a partir de ello un público («Custom Audience») y elimina los valores hash tras la comparación. Meta trata los datos por encargo nuestro.

(2) A partir de ese público, Meta puede crear además un público similar («Lookalike Audience»). No recibimos información sobre personas concretas.

(3) La base jurídica es tu consentimiento (art. 6.1.a) RGPD). Puedes retirarlo en cualquier momento con efectos futuros, por ejemplo por correo a privacy@ballers53.com. Eliminaremos entonces tus datos en la siguiente actualización de la lista, a más tardar en 30 días.

(4) A las transferencias a Meta en EE. UU. se aplica el apartado 5. Cómo trata Meta los datos se explica en facebook.com/privacy/policy.

B1. Resumen y personas afectadas

(1) Cuando un club o una persona consulta, reserva o participa en un viaje a la BALLERS CUP, tratamos datos personales para preparar, celebrar y ejecutar el contrato de viaje.

(2) Son afectados en particular: la parte contratante y las personas que actúan en su nombre, los viajeros (en su mayoría jugadoras y jugadores menores de edad de las categorías U12 a U18), los acompañantes responsables y, cuando sea necesario, los padres o tutores.

B2. Origen de los datos

(1) Parte de los datos los recogemos directamente de la parte contratante. Por regla general, los datos de cada participante, en particular la lista de participantes, no los recibimos de los propios participantes, sino de la parte contratante (el club), que nos los transmite para la ejecución del viaje.

(2) La parte contratante está obligada a informar a los participantes afectados o a sus padres o tutores de la comunicación de datos a nosotros y de esta política de privacidad, y a garantizar que se cumplen los requisitos de protección de datos para la transmisión. Para ello le facilitamos esta política.

(3) Las categorías de datos de participantes que tratamos se indican en los apartados B4 y B5.

B3. Preparación y celebración del contrato de viaje

(1) Para preparar y celebrar el contrato tratamos los datos de la parte contratante y de las personas que actúan en su nombre, en particular nombre y dirección del club, persona de contacto y cargo, datos de contacto y la información sobre el viaje reservado y los servicios solicitados.

(2) La base jurídica es el art. 6.1.b) RGPD (medidas precontractuales y ejecución del contrato de viaje). Sin estos datos no podemos celebrar ni ejecutar el contrato.

B4. Listas de participantes

(1) Para la ejecución del viaje tratamos de cada participante, en particular, nombre y apellidos, fecha de nacimiento y función (por ejemplo, jugador, entrenador, acompañante). Necesitamos estos datos para asignar el torneo y las categorías, asignar habitaciones y alojamiento, emitir acreditaciones y licencias de juego, garantizar la cobertura de seguro y organizar el viaje y la atención en destino.

(2) La base jurídica es el art. 6.1.b) RGPD para la ejecución del contrato de viaje y, en lo relativo a la correcta organización del torneo, nuestro interés legítimo en un desarrollo sin incidencias (art. 6.1.f) RGPD).

(3) Las listas de participantes se suprimen una vez finalizado el viaje, completada la facturación correspondiente y vencidos los posibles plazos de garantía y responsabilidad, salvo que existan obligaciones legales de conservación. Detalles en el apartado B12.

B5. Datos relativos a la salud

(1) Para la ejecución segura del viaje solo tratamos datos relativos a la salud en la medida en que debemos actuar nosotros mismos. Se trata exclusivamente de los siguientes datos, cuando la parte contratante nos los comunica como relevantes:

• alergias e intolerancias alimentarias y dietas especiales, para tenerlas en cuenta en la manutención y comunicarlas al hotel exclusivamente como cifras totales sin nombres (apartado C7);
• información sobre movilidad reducida o necesidades especiales de atención, para planificar el alojamiento y la organización en consecuencia;
• indicaciones voluntarias sobre circunstancias de salud que el equipo de atención en destino debe conocer en caso de emergencia (por ejemplo, asma, diabetes o una alergia grave).

(2) Se trata de categorías especiales de datos personales en el sentido del art. 9 RGPD, sujetas a una protección reforzada. Las tratamos exclusivamente sobre la base de un consentimiento explícito (art. 9.2.a) RGPD), otorgado por los padres o tutores en el caso de menores, y solo para la finalidad indicada.

(3) La custodia y administración de medicamentos y la atención sanitaria continua durante el viaje corresponden a los acompañantes responsables de la parte contratante. No recogemos datos de salud adicionales al respecto ni llevamos historiales médicos.

(4) Los datos solo se comunican a las entidades encargadas en destino de la manutención, el alojamiento y la asistencia, cuando sea necesario para proteger a la persona afectada. Se suprimen a más tardar al finalizar el viaje, salvo que excepcionalmente un motivo concreto (por ejemplo, un siniestro de seguro o un caso de responsabilidad) exija una conservación más prolongada.

B6. Protección especial de los participantes menores de edad

Como nuestros viajes se dirigen a equipos juveniles y la mayoría de los participantes son menores de edad, tratamos sus datos con especial cuidado. Limitamos el tratamiento a lo necesario para la ejecución del viaje, obtenemos los consentimientos necesarios de los padres o tutores y solo comunicamos datos de menores cuando es necesario para la ejecución del contrato o para proteger a la persona afectada.

B7. Gestión de pagos

(1) El precio del viaje se paga exclusivamente por transferencia bancaria. Para ello tratamos los datos de facturación y pago necesarios. No recogemos datos de acceso a cuentas bancarias.

(2) La base jurídica es el art. 6.1.b) RGPD (ejecución del contrato) y, en cuanto a la conservación de justificantes de pago y facturas, el art. 6.1.c) RGPD (cumplimiento de obligaciones legales de conservación).

B8. Comunicación a prestadores de servicios y socios del torneo

(1) Para la ejecución del viaje comunicamos los datos de participantes y de reserva necesarios a los prestadores de servicios implicados, en particular a los hoteles asociados y a la empresa de autobuses en la Costa Barcelona, así como a nuestros socios responsables de la organización del torneo en destino. Estos destinatarios tienen su sede en España y, por tanto, dentro de la Unión Europea.

(2) Solo se comunican los datos necesarios para cada servicio (por ejemplo, listas de nombres y distribución de habitaciones al hotel, con los detalles del apartado C7, número de participantes y puntos de recogida a la empresa de autobuses, datos de equipos y categorías a la organización del torneo). La base jurídica es el art. 6.1.b) RGPD.

B9. Seguro y protección frente a la insolvencia

(1) Como organizador de viajes combinados, estamos obligados legalmente a proteger los pagos de los clientes frente a nuestra insolvencia. La entidad garante es R+V Allgemeine Versicherung AG, Raiffeisenplatz 1, 65189 Wiesbaden, Alemania. En caso de siniestro transmitimos a la entidad garante los datos necesarios para su tramitación.

(2) Si en el marco del viaje se contratan o utilizan otros seguros, tratamos los datos necesarios para ello. La base jurídica es el art. 6.1.b) y c) RGPD.

B10. Conservación conforme a la normativa fiscal y mercantil

(1) Los datos de reservas, facturas y pagos están sujetos a obligaciones legales de conservación. Para cumplir nuestras obligaciones contables y fiscales, transmitimos las facturas emitidas y recibidas y los justificantes contables correspondientes a nuestra asesoría fiscal, DDTax (Anna Drees). La asesoría fiscal actúa bajo su propia responsabilidad profesional como responsable independiente y no como encargada del tratamiento.

(2) La base jurídica para la transmisión es el art. 6.1.c) RGPD. Conforme a los plazos vigentes desde el 1 de enero de 2025, los justificantes contables y las facturas deben conservarse ocho años, y los libros mercantiles, inventarios y cuentas anuales, diez años (§ 147 AO, § 257 HGB).

B11. Fotografías, grabaciones de vídeo y sonido

(1) Durante el evento, nosotros y los proveedores que encargamos realizamos fotografías y grabaciones de vídeo y sonido, que utilizamos para informar sobre el evento y promocionar eventos futuros. Los detalles se regulan además en el contrato de viaje.

(2) El uso de grabaciones en las que las personas sean identificables individualmente se basa en un consentimiento independiente (art. 6.1.a) RGPD); en el caso de participantes menores de edad se requiere el consentimiento de los padres o tutores. El consentimiento puede retirarse en cualquier momento con efectos futuros.

B12. Cuadro de plazos de conservación

El siguiente cuadro resume los principales plazos de conservación. Si al vencer un plazo siguen pendientes reclamaciones, un procedimiento o una inspección, la conservación se prolonga en consecuencia.

C1. El portal de BALLERS53 y la app

(1) Para clubes, entrenadores, padres, voluntarios (crew) y hoteles asociados gestionamos, en torno a nuestros viajes a torneos, el portal en línea portal.ballers53.com y la app para iPhone «BALLERS53 Portal». El inicio de sesión se realiza sin contraseña mediante un código que enviamos a tu dirección de correo; las cuentas del equipo están protegidas además con autenticación en dos pasos.

(2) Según el rol, tratamos: datos de contacto (nombre, correo electrónico y, opcionalmente, teléfono), una foto de perfil voluntaria, los datos de reserva y viaje del club, listas de participantes (nombre, fecha de nacimiento, sexo para las categorías, talla de ropa, dorsal), la planificación de habitaciones y autobuses, los datos de facturación del club y los mensajes del portal. La base jurídica es el art. 6.1.b) RGPD (ejecución del contrato de viaje).

(3) Alimentación (voluntario): Para cada participante pueden elegirse categorías (vegetariano, vegano, sin gluten, sin lactosa, alergia). A los hoteles asociados solo comunicamos cifras totales por categoría para todo el grupo alojado en cada hotel, nunca nombres ni desgloses por subgrupo o paquete. Detalles en el apartado C7.

(4) Datos de salud: Los datos sobre medicamentos y alergias facilitados voluntariamente por los padres solo son visibles para el entrenador o el club y, exclusivamente en caso de emergencia, para el equipo de BALLERS53. Se muestran ocultos y solo se descubren tras indicar un motivo obligatorio («emergencia médica» o «consulta de un médico»); cada acceso queda registrado íntegramente (quién, cuándo, de quién son los datos, motivo). No se guarda nada en el dispositivo y, a los 2 minutos, los datos vuelven a ocultarse. La base jurídica es el consentimiento explícito (art. 9.2.a) RGPD); en lo demás se aplica el apartado B5.

(5) Alojamiento técnico: La base de datos, el inicio de sesión y el almacenamiento de archivos del portal los gestiona Supabase en la región de la UE como encargado. La web se sirve a través de Cloudflare Pages de Cloudflare, Inc. (EE. UU.), que trata la dirección IP y registros técnicos. A las transferencias a EE. UU. se aplica el apartado 5.

(6) Eliminar tu cuenta: Puedes eliminar tu cuenta tú mismo en cualquier momento, en la web y en la app. La cuenta se bloquea de inmediato, se conserva 60 días como papelera de seguridad (restauración a petición) y después se suprime definitivamente, incluidas la foto de perfil y los archivos de crew. Los datos de reserva y facturación del club no se ven afectados en la medida en que los necesitemos para ejecutar el contrato o por obligaciones legales de conservación.

C2. Particularidades de la app para iPhone

(1) La app se distribuye a través de Apple (App Store o TestFlight). En tu dispositivo guardamos la sesión iniciada en el almacenamiento cifrado del dispositivo y, para consultarlos sin conexión, tus propios documentos de viaje. Ambos se eliminan al cerrar sesión; los datos sin conexión quedan deliberadamente fuera de la copia de seguridad de iCloud. Este almacenamiento es estrictamente necesario para el servicio que has solicitado (§ 25.2 TDDDG).

(2) La app solo accede a la cámara y a las fotos cuando seleccionas algo activamente (foto de perfil, escudo del club, foto en una solicitud, candidatura de crew). El mapa del punto de salida se muestra mediante Apple Mapas (MapKit).

(3) Tras una buena experiencia de uso, la app pregunta como máximo una vez, con el diálogo estándar de Apple, si quieres valorarla en el App Store. No comunicamos datos.

C3. Notificaciones push

(1) Solo recibes notificaciones push si las permites en tu dispositivo (art. 6.1.a) RGPD, § 25.1 TDDDG). Contienen el título y el texto breve del mensaje del portal correspondiente (por ejemplo, «Vuestro hotel está confirmado»); los mensajes internos del equipo pueden incluir nombres. Las notificaciones se envían en el idioma de tu cuenta (alemán, inglés o español).

(2) El envío va de nuestro servidor, a través del Expo Push Service de 650 Industries, Inc. (EE. UU.), a Apple (APNs) o Google (FCM) y de ahí a tu dispositivo. Se tratan el identificador push (token), la plataforma, el idioma, el título y el texto breve. Expo es nuestro encargado; la transferencia a EE. UU. se basa en cláusulas contractuales tipo (apartado 5).

(3) El identificador push se elimina al cerrar sesión y, a más tardar, con la eliminación definitiva de la cuenta. Puedes desactivarlas en cualquier momento en los ajustes de tu dispositivo.

C4. Correos electrónicos a través de Brevo

Los códigos de inicio de sesión, las invitaciones (en el idioma elegido al invitar) y los mensajes de servicio del portal los enviamos a través de Brevo (UE) como encargado. Se tratan la dirección de correo y el contenido del mensaje. La base jurídica es el art. 6.1.b) RGPD.

C5. Verificación de seguridad al iniciar sesión (Cloudflare Turnstile)

(1) Antes de cada solicitud de código y de cada inicio de sesión con contraseña se realiza una verificación de seguridad invisible contra el abuso automatizado; solo en caso de duda aparece una casilla para marcar. El proveedor es Cloudflare, Inc. (EE. UU.). Se tratan la dirección IP y señales del navegador y del dispositivo. Solo recibimos el resultado de la verificación y no guardamos nada de él. Sin cookies publicitarias ni seguimiento entre sitios.

(2) La base jurídica es nuestro interés legítimo en la seguridad del servicio (art. 6.1.f) RGPD). La transferencia a EE. UU. se basa en cláusulas contractuales tipo (apartado 5).

C6. Asistente de IA «Guillermo»

(1) En el portal y en la app hay disponible un asistente de IA voluntario. Antes de tu primera pregunta te pedimos expresamente tu consentimiento (art. 6.1.a) RGPD); sin él no se envía nada. Puedes retirar tu consentimiento en cualquier momento en el chat o en tu perfil; en ese caso también se elimina tu historial.

(2) Para responder, transmitimos tu pregunta, el historial del chat y un extracto de tus propios datos de viaje sin nombres a Anthropic, PBC (EE. UU.). La consulta se realiza exclusivamente a través de nuestro servidor; tu dispositivo no tiene contacto directo con Anthropic. Con Anthropic hemos celebrado un contrato de encargo del tratamiento con cláusulas contractuales tipo (apartado 5).

(3) Para mejorar nuestras preguntas frecuentes llevamos un registro anónimo de preguntas que solo contiene el tipo de cuenta y el idioma, sin datos personales. Se suprime automáticamente a los 90 días.

C7. Hoteles asociados como destinatarios

(1) Nuestros hoteles asociados en España reciben un acceso propio al portal, sin contraseña, y solo ven datos relativos a su propio establecimiento:

• Lista de habitaciones con nombre y apellidos de las personas que llegan por grupo, solo después de que nuestro equipo haya aprobado expresamente la planificación de habitaciones, junto con el rol en el grupo (entrenador, responsable, acompañante). La finalidad es el check-in y las obligaciones legales de registro del hotel. El hotel no recibe fechas de nacimiento, datos de contacto ni datos de salud.
• Manutención solo como cifras totales de todo el grupo en el hotel (por ejemplo, «2× vegetariano, 1× sin gluten»), nunca por subgrupo o paquete, para que ningún dato pueda atribuirse a una persona conocida por su nombre. En grupos pequeños de menos de 5 personas en el hotel no se desglosa; el hotel nos consulta entonces la manutención. Los textos libres de salud están separados técnicamente y los hoteles nunca pueden acceder a ellos.
• Periodo, nombre del club, país, número de personas, categorías, horarios de autobús, cupo de habitaciones reservado, fianza prevista (importe total por grupo) y los nombres de conductores o miembros del crew con habitación en el hotel.
• Nunca: facturas y datos financieros, datos de otros hoteles, datos de contacto de los participantes.

(2) Persona responsable principal ante el hotel: Para cada reserva, el club indica exactamente una persona de contacto adulta (nombre, teléfono, correo electrónico, dirección postal) para la obligación de registro del hotel conforme a la práctica española de partes de entrada de viajeros. Deliberadamente no recogemos la fecha de nacimiento ni datos del documento de identidad; los documentos los registra exclusivamente el hotel en el check-in.

(3) Las bases jurídicas son el art. 6.1.b) RGPD (ejecución del contrato de alojamiento) y el art. 6.1.c) RGPD (obligación de registro del hotel). Destinatario: hotel asociado.

(4) Los accesos los concede y revoca exclusivamente nuestro equipo; la revocación surte efecto de inmediato. Cada acceso y cada aceptación quedan registrados.

C8. Candidatura para el crew (voluntarios a partir de 18 años)

(1) La candidatura puede presentarse sin cuenta. Todos los datos se guardan inicialmente solo en tu propio dispositivo (almacenamiento local del navegador como borrador; foto y currículum solo en la memoria de trabajo). Solo al enviarla confirmas tu dirección de correo mediante un código; en ese momento se crea tu cuenta y la candidatura se nos transmite. Tras enviarla o descartarla, el borrador se elimina de tu dispositivo.

(2) Recogemos nombre, fecha de nacimiento (para comprobar la edad mínima de 18 años), móvil, país, lugar de residencia, idiomas, experiencia o licencia de baloncesto, cualificaciones, motivación, preferencia de habitación, viaje, una foto y, opcionalmente, un currículum; tras la aceptación, además, talla de uniforme y alimentación. Las valoraciones internas de nuestro equipo no son visibles para ti. La base jurídica es el art. 6.1.b) RGPD (preparación y ejecución de la colaboración).

(3) Puedes incorporarte voluntariamente a nuestra «bolsa de talento» para futuros torneos (art. 6.1.a) RGPD); puedes retirar este consentimiento en cualquier momento.

C9. Funciones internas de transparencia y funcionamiento

(1) Vista de cliente: Los miembros autorizados de nuestro equipo pueden ver la vista del portal de una reserva tal como la ve el club, un entrenador, un padre o madre o el hotel asociado, solo en modo lectura y sin poder realizar acciones. Los datos de salud también permanecen ocultos en esa vista, y cada uso queda registrado en el historial de la reserva. Las finalidades son el soporte y el control de calidad (art. 6.1.f) RGPD).

(2) Supervisión del funcionamiento: Para garantizar el funcionamiento llevamos un registro técnico de errores de nuestras funciones de servidor (momento, función, tipo de error, sin contenido personal) e informamos automáticamente a nuestros administradores en caso de incidencias. En caso de incidencias graves, el portal muestra temporalmente una página de mantenimiento. La base jurídica es el art. 6.1.f) RGPD (seguridad operativa).

(3) Estado en línea: Para cada cuenta solo guardamos el momento de la última actividad (una línea que se sobrescribe) para mostrar «en línea» o «activo por última vez». Los clubes solo ven este estado en su persona de contacto de BALLERS53 (art. 6.1.f) RGPD).

C10. Proveedores y destinatarios del portal