Datenschutzerklärung

für die Plattform „MartialArtsPlan“ · Stand: 28. August 2026 1. Verantwortlicher 2. Das Wichtigste im Überblick 3. Rollenverteilung: wer wofür verantwortlich ist 4. Hosting, Server-Logs und technische Protokolle 5. Cookies und lokale Speicherung im Browser 6. Nutzerkonten 7. Online-Anmeldung zu Turnieren 8. Turnierbetrieb 8a. Graduierungsprüfungen 8b. Kader der Sportverbände · Prüferlizenzen 9. Öffentlich sichtbare Daten 10. Profilbilder 11. Käufe beim Betreiber (Preise & Pakete) 12. Startgelder und Verkaufsstand des Ausrichters 13. E-Mail-Versand 14. Benachrichtigungen aufs Handy („Aufruf-Push“) 15. Streaming-Schnittstelle (Media-API) 16. Support, Feedback und Kontakt 17. Speicherdauer und Löschung 18. Datensicherheit 19. Ihre Rechte 20. Keine automatisierten Einzelentscheidungen 21. Minderjährige 22. Änderungen dieser Erklärung 1. Verantwortlicher Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) für den Betrieb der Plattform „MartialArtsPlan“ ist: Starflare Ventures Inh. Florian Diebner Am Schauchenberg 2 06198 Salzatal, Deutschland Telefon: +49 170 4762569 E-Mail: info@martialartsplan.com Ein Datenschutzbeauftragter ist nicht bestellt, da die gesetzlichen Voraussetzungen für eine Benennungspflicht nicht vorliegen. 2. Das Wichtigste im Überblick - MartialArtsPlan setzt keine Analyse-, Tracking- oder Werbedienste ein. Es werden keine Besucherprofile gebildet und keine Daten zu Werbezwecken weitergegeben oder verkauft. - Alle Schriften, Skripte und sonstigen Ressourcen der Website werden vom eigenen Server ausgeliefert; beim bloßen Aufruf der Seiten werden keine Inhalte von Drittanbietern nachgeladen. - Es werden nur technisch erforderliche Cookies verwendet (Anmeldung, Sprachwahl, Sicherheit). Ein Einwilligungsbanner ist deshalb nicht erforderlich. - Kontakt zu externen Diensten entsteht nur dort, wo Sie aktiv eine Funktion nutzen: bei Online-Zahlungen (Stripe, PayPal, SumUp) und bei ausdrücklich bestellten Push-Benachrichtigungen. - Für die Daten einer Veranstaltung (Meldungen, Ergebnisse, Anzeigen) ist der jeweilige Ausrichter verantwortlich, für eine Graduierungsprüfung die Prüfstelle und für die Kader der jeweilige Sportverband; der Betreiber verarbeitet diese Daten in deren Auftrag. Sportler- und Vereinsstammdaten, übergreifende Auswertungen und die Prüferlizenzen verantwortet dagegen der Betreiber selbst (Abschnitt 3). 3. Rollenverteilung: wer wofür verantwortlich ist MartialArtsPlan ist eine Software, mit der Vereine, Verbände und sonstige Veranstalter („Ausrichter“) Kampfsportveranstaltungen organisieren. Datenschutzrechtlich gilt deshalb eine geteilte Verantwortung: - Der Betreiber ist Verantwortlicher für: Nutzerkonten und deren Sicherheit, Käufe über die Preisseite (Bestellungen, Rechnungen), den technischen Betrieb der Website einschließlich der in dieser Erklärung beschriebenen Protokolle sowie Support-Anfragen an den Betreiber. - Gemeinsamer Stammdatenbestand. Sportlerinnen und Sportler sowie Vereine werden auf der Plattform einmal geführt und von mehreren Ausrichtern gemeinsam genutzt. Das betrifft die Stammangaben Vor- und Nachname, Jahrgang, Geschlecht, Vereinszugehörigkeit, Graduierung, Gewicht und Größe sowie die Angaben zum Verein. Nur so lässt sich dieselbe Person über Veranstaltungen hinweg wiedererkennen — die Voraussetzung für Ranglisten, Stärkewerte, Saisonwertungen und Kader. Für diesen gemeinsamen Bestand ist der Betreiber Verantwortlicher; Rechtsgrundlage ist das berechtigte Interesse an einem widerspruchsfreien Teilnehmerverzeichnis (Art. 6 Abs. 1 lit. f DSGVO). Meldet ein Ausrichter eine Person, deren Stammsatz bereits besteht, kann er die Stammangaben mit den ihm vom meldenden Verein vorliegenden Werten aktualisieren; solche Änderungen werden protokolliert. - Der jeweilige Ausrichter ist Verantwortlicher für die Daten, die er seiner konkreten Veranstaltung zuordnet — insbesondere Meldungen und Startlisten, Wiegedaten, Ergebnisse und Platzierungen, Helferlisten, Startgeld-Zahlungsvermerke und die von ihm aktivierten Veröffentlichungen. Der Betreiber verarbeitet diese Daten als Auftragsverarbeiter nach Art. 28 DSGVO auf Grundlage eines Auftragsverarbeitungsvertrags (Abschnitt 3a). - Hochgeladene Inhalte bleiben bei der hochladenden Stelle. Für Dateien und Texte, die Vereine, Ausrichter oder Sportler selbst einstellen — insbesondere Profilbilder, Turnierausschreibungen sowie Vereins- und Sponsorendarstellungen —, ist die jeweils hochladende Stelle verantwortlich; sie sichert beim Hochladen zu, über die erforderlichen Rechte und Einwilligungen zu verfügen. Der Betreiber speichert diese Inhalte lediglich und entfernt sie, sobald er von einer konkreten Rechtsverletzung Kenntnis erlangt. - Die jeweilige Prüfstelle ist Verantwortlicher für die Daten einer Graduierungsprüfung — Anmeldungen, Prüfungsergebnis und Urkunde (Abschnitt 8a). Prüfstelle ist, wer die Prüfung auf der Plattform anlegt und durchführt (in der Regel ein Verein, eine Schule oder ein Verband). Für diese Daten ist der Betreiber ebenfalls Auftragsverarbeiter nach Abschnitt 3a. - Der jeweilige Sportverband ist Verantwortlicher für die Daten, über die er allein entscheidet: Zusammensetzung seiner Kader sowie Berufungen und Abberufungen samt Begründung (Abschnitt 8b). Auch hierfür ist der Betreiber Auftragsverarbeiter nach Abschnitt 3a. - Veranstaltungsübergreifende Funktionen — insbesondere plattformweite Ranglisten und Stärkewerte (MMR), Saison- und Vereinswertungen, die turnierübergreifende Wettkampf-Historie sowie die Graduierungshistorie — führen Daten aus Veranstaltungen und Prüfungen verschiedener Stellen zusammen; insoweit ist der Betreiber selbst Verantwortlicher. Die Graduierungshistorie ist dabei als dauerhafter Nachweis angelegt: Eine erreichte Graduierung soll auch nach Jahren noch belegbar sein. Rechtsgrundlage ist das berechtigte Interesse an vergleichbaren sportlichen Auswertungen (Art. 6 Abs. 1 lit. f DSGVO); es gilt das Widerspruchsrecht nach Abschnitt 19. Wenn Sie Fragen zu den Daten einer bestimmten Veranstaltung haben (z. B. zu Ihrer Meldung oder zur Anzeige Ihres Namens), wenden Sie sich bitte in erster Linie an den Ausrichter dieser Veranstaltung. Selbstverständlich können Sie sich auch an den Betreiber wenden; Anfragen, die den Verantwortungsbereich eines Ausrichters betreffen, leiten wir unverzüglich an diesen weiter. 3a. Vereinbarung über die Auftragsverarbeitung (Art. 28 DSGVO) Dieser Abschnitt ist zugleich die Vereinbarung über die Auftragsverarbeitung zwischen dem jeweiligen Verantwortlichen und dem Betreiber (Auftragsverarbeiter). Verantwortlicher in diesem Sinne ist — je nach Zusammenhang — der Ausrichter einer Veranstaltung, die Prüfstelle einer Graduierungsprüfung oder der Sportverband für seine Kader und Prüferlizenzen (Abschnitt 3). Ausrichter, Vereine und Verbände bestätigen die Vereinbarung einmalig nach der Anmeldung; der Zeitpunkt und der Stand der Vereinbarung werden dabei festgehalten. Wird der Stand geändert, ist die Bestätigung erneut einzuholen. - Gegenstand und Dauer. Der Betreiber verarbeitet im Auftrag des Ausrichters personenbezogene Daten, die der Ausrichter im Rahmen der Nutzung der Plattform für seine Veranstaltungen einbringt. Die Vereinbarung gilt für die Dauer des Nutzungsverhältnisses. Nicht Gegenstand dieser Vereinbarung ist der plattformweite Stammdatenbestand (Abschnitt 3): Für ihn ist der Betreiber selbst Verantwortlicher, nicht Auftragsverarbeiter. Ebenso wenig erfasst sind die veranstaltungsübergreifenden Auswertungen (Ranglisten, Stärkewerte, Saison- und Vereinswertungen). - Art und Zweck der Verarbeitung. Hosting, Speicherung, Anzeige, Auswertung und Übermittlung der Daten im Rahmen der Plattformfunktionen: Durchführung von Wettkämpfen (Meldewesen, Auslosung, Ergebnisse, Anzeigen, Druckerzeugnisse, Statistik), Durchführung von Veranstaltungen und Seminaren, Durchführung von Graduierungsprüfungen einschließlich Urkunden sowie Führung von Kadern durch Sportverbände — jeweils einschließlich der vom Verantwortlichen aktivierten Veröffentlichungsfunktionen. - Kategorien betroffener Personen. Teilnehmer (auch Minderjährige), Prüflinge, Coaches und Betreuer, Vereinsvertreter, Helfer, Zahlende, Prüferinnen und Prüfer sowie Kadermitglieder. - Datenarten. Insbesondere Stammdaten (Name, Geburtsjahr, Geschlecht), Vereins- und Verbandszugehörigkeit, sportbezogene Daten (Gewicht, Graduierung, Alters-/Gewichtsklasse, Ergebnisse, Ranglistenwerte), Meldedaten, Zahlungsvermerke zu Startgeldern, Kontaktdaten von Ansprechpartnern sowie vom Ausrichter oder Teilnehmern eingestellte Inhalte. - Weisungsgebundenheit. Der Betreiber verarbeitet die Daten ausschließlich im Rahmen der Plattformfunktionen und der dokumentierten Weisungen des Ausrichters; Weisungen werden in der Regel durch die Bedienung der Plattform (Einstellungen, Sichtbarkeit, Löschfunktionen) erteilt. Hält der Betreiber eine Weisung für rechtswidrig, informiert er den Ausrichter. Die Weisungsbindung gilt auch für eine etwaige Übermittlung personenbezogener Daten in ein Drittland oder an eine internationale Organisation; die Verarbeitung findet ausschließlich in Mitgliedstaaten der EU bzw. des EWR statt, eine Übermittlung in Drittländer erfolgt nur bei Vorliegen der Voraussetzungen der Art. 44 ff. DSGVO. - Vertraulichkeit und Sicherheit. Der Betreiber verpflichtet zur Verarbeitung eingesetzte Personen auf die Vertraulichkeit und trifft technische und organisatorische Maßnahmen nach Art. 32 DSGVO (u. a. Zugriffs- und Rollenkonzept, Verschlüsselung der Übertragung, Protokollierung wesentlicher Änderungen, regelmäßige Datensicherungen). Eine Übersicht der Maßnahmen stellt der Betreiber auf Anfrage bereit. - Unterauftragsverarbeiter. Der Ausrichter genehmigt allgemein den Einsatz von Unterauftragsverarbeitern für Hosting und Betrieb. Derzeit eingesetzt: IONOS SE, Elgendorfer Str. 57, 56410 Montabaur — Bereitstellung des Servers (Rechenzentrum innerhalb der Europäischen Union) und des Postfachs für den E-Mail-Versand. Über beabsichtigte Änderungen informiert der Betreiber in Textform; der Ausrichter kann aus wichtigem datenschutzrechtlichem Grund widersprechen. Der Betreiber erlegt Unterauftragsverarbeitern vertraglich dieselben Datenschutzpflichten auf, wie sie in dieser Vereinbarung festgelegt sind; kommt ein Unterauftragsverarbeiter diesen Pflichten nicht nach, haftet der Betreiber gegenüber dem Ausrichter für dessen Pflichterfüllung (Art. 28 Abs. 4 DSGVO). - Unterstützung. Der Betreiber unterstützt den Ausrichter in angemessenem Umfang bei der Erfüllung der Pflichten aus Art. 32 bis 36 DSGVO (Sicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzung) und bei der Beantwortung von Betroffenenanfragen; hierfür stellt die Plattform insbesondere Auskunfts-, Export- und Löschfunktionen bereit. Anfragen betroffener Personen, die beim Betreiber eingehen, leitet dieser unverzüglich an den Ausrichter weiter. - Meldung von Verletzungen. Der Betreiber informiert den Ausrichter unverzüglich, wenn ihm eine Verletzung des Schutzes der im Auftrag verarbeiteten Daten bekannt wird. - Löschung und Rückgabe. Nach Ende des Nutzungsverhältnisses oder auf Weisung des Ausrichters löscht der Betreiber die im Auftrag verarbeiteten Daten oder gibt sie — nach Wahl des Ausrichters — über die Export- und Archivfunktionen der Plattform zurück, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen. In der Plattform gelöschte Daten wandern zunächst für 30 Tage in einen Wiederherstellungsbereich (Papierkorb) und können in Datensicherungen bis zu 14 Tage nachlaufen; die endgültige Löschung bzw. Anonymisierung erfolgt über die Datenschutz-Werkzeuge der Plattform. - Nachweise. Der Betreiber stellt dem Ausrichter die zum Nachweis der Einhaltung des Art. 28 DSGVO erforderlichen Informationen zur Verfügung. Kontrollen vor Ort sind nach vorheriger Ankündigung zur üblichen Geschäftszeit möglich, soweit ein berechtigter Anlass besteht; der Betreiber kann stattdessen geeignete aktuelle Nachweise vorlegen. Zahlungsdienstleister für Startgelder und Verkaufsstand (z. B. PayPal, SumUp) sind bewusst keine Unterauftragsverarbeiter des Betreibers: Diese Verträge schließt der Ausrichter selbst ab, und die Zahlungen laufen unmittelbar auf sein eigenes Konto (siehe Abschnitt 12). 4. Hosting, Server-Logs und technische Protokolle Die Plattform läuft auf einem gemieteten virtuellen Server der IONOS SE, Elgendorfer Str. 57, 56410 Montabaur. Der Serverstandort liegt innerhalb der Europäischen Union; eine Verarbeitung außerhalb der EU bzw. des EWR findet für das Hosting nicht statt. Mit IONOS besteht ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO; IONOS stellt die Infrastruktur bereit und hat im Rahmen des Betriebs Zugriffsmöglichkeit auf die dort gespeicherten Daten, verarbeitet sie aber ausschließlich nach unserer Weisung. Den Webserver betreiben wir auf diesem Server selbst. Beim Aufruf der Website werden technisch bedingt Verbindungsdaten in einem Zugriffsprotokoll gespeichert (IP-Adresse, Zeitpunkt, aufgerufene Adresse, übertragene Datenmenge, Browserkennung). Rechtsgrundlage ist unser berechtigtes Interesse an einem sicheren und stabilen Betrieb sowie an der Abwehr von Missbrauch (Art. 6 Abs. 1 lit. f DSGVO). Diese Protokolle werden nach 14 Tagen automatisch gelöscht. Die Anwendung selbst führt darüber hinaus folgende Protokolle: - Fehlerprotokoll: Bei technischen Fehlern werden Zeitpunkt, aufgerufene Adresse und — bei angemeldeten Nutzern — die interne Nutzerkennung festgehalten, im Einzelfall auch ereignisbezogene Angaben wie die IP-Adresse und der eingegebene Benutzername bei gehäuften fehlgeschlagenen Anmeldeversuchen. Aufbewahrung: 14 Tage. - Zugriffsbegrenzung (Rate-Limit): Zum Schutz vor Missbrauch (z. B. Anmeldeversuche, öffentliche Formulare) wird die IP-Adresse kurzzeitig mit einem Zähler gespeichert und im Zuge der regelmäßigen Bereinigung wieder gelöscht (in der Regel spätestens wenige Tage nach dem letzten Zugriff). - Änderungsprotokolle: Sicherheitsrelevante Vorgänge (z. B. nachträgliche Ergebnis-Korrekturen mit Begründung, Verwaltungsaktionen) werden mit der internen Nutzerkennung protokolliert, um Manipulationen nachvollziehbar zu machen (Art. 6 Abs. 1 lit. f DSGVO). - Aktivitätsprotokoll (optional): Der Betreiber kann ein technisches Protokoll schreibender Aktionen aktivieren (Zeitpunkt, IP-Adresse, Benutzername, aufgerufener Pfad — ausdrücklich ohne Formularinhalte). Es dient ausschließlich der Aufklärung von Missbrauch und Störungen. - Reichweitenzählung ohne Personenbezug: Aufrufe öffentlicher Turnierseiten werden ausschließlich als Tageszähler je Turnier gezählt — ohne IP-Adressen und ohne Browserkennungen. 5. Cookies und lokale Speicherung im Browser Die Plattform verwendet ausschließlich technisch erforderliche Cookies im Sinne von § 25 Abs. 2 Nr. 2 TDDDG; eine Einwilligung ist hierfür nicht erforderlich. Es gibt keine Werbe-, Statistik- oder Drittanbieter-Cookies. Cookie Zweck Laufzeit Sitzungs-Cookie Anmeldung und Sitzungsführung; auch für den Zugang zu passwortgeschützten Turnierseiten bis zum Schließen des Browsers Sprach-Cookie merkt die von Ihnen aktiv gewählte Sprache (wird nur bei aktivem Sprachwechsel gesetzt) 1 Jahr Zwei-Faktor-Cookie „Dieses Gerät 30 Tage merken“ bei der Zwei-Faktor-Anmeldung (nur auf Ihren Wunsch; serverseitig werden ein Prüfwert, das Ablaufdatum und die Browserkennung des gemerkten Geräts gespeichert) 30 Tage Wartungs-Cookie erlaubt dem Betreiber den Zugang während des Wartungsmodus 24 Stunden Zusätzlich nutzt die Anwendung den lokalen Speicher Ihres Browsers (localStorage) für Oberflächen-Einstellungen (z. B. eingeklappte Menüs) und für Formular-Entwürfe der Online-Anmeldung. Anmeldungs-Entwürfe werden in Ihrem Browser gespeichert und — damit Sie die Anmeldung später oder auf einem anderen Gerät fortsetzen können — zusätzlich automatisch als Entwurf auf dem Server zwischengespeichert; Server-Entwürfe werden mit dem Absenden der Meldung gelöscht, spätestens jedoch nach 30 Tagen. An Wettkampfstationen (Anzeigetafeln) wird der lokale Speicher zur Übergabe von Anzeigedaten auf demselben Gerät genutzt. 6. Nutzerkonten Für Verwaltungsfunktionen (Ausrichter, Vereine, Verbände, Sportler) sind Nutzerkonten erforderlich. Verarbeitet werden: Benutzername, Anzeigename, E-Mail-Adresse (für Bestätigungen und die Wiederherstellung des Zugangs), Passwort (ausschließlich als kryptografischer Hash), Spracheinstellung, Rolle und Berechtigungen sowie — bei aktivierter Zwei-Faktor-Anmeldung — das verschlüsselt gespeicherte Zwei-Faktor-Geheimnis und gehashte Wiederherstellungscodes. Zum Schutz des Kontos werden Fehlversuche gezählt und das Konto bei Häufung vorübergehend gesperrt. Änderungen der E-Mail-Adresse werden per Bestätigungslink an die neue Adresse (Double-Opt-in) und Warnhinweis an die bisherige Adresse abgesichert; auch die Selbstregistrierung von Vereinen und die Übernahme bestehender Vereinsprofile laufen über solche Bestätigungslinks. Rechtsgrundlagen: Vertragserfüllung bzw. Durchführung vorvertraglicher Maßnahmen (Art. 6 Abs. 1 lit. b DSGVO) sowie unser berechtigtes Interesse an der Kontosicherheit (Art. 6 Abs. 1 lit. f DSGVO). Die Bereitstellung der Daten ist weder gesetzlich noch vertraglich vorgeschrieben; ohne die als Pflichtfelder gekennzeichneten Angaben kann das Nutzerkonto jedoch nicht eingerichtet werden. 7. Online-Anmeldung zu Turnieren Aktiviert ein Ausrichter die Online-Anmeldung, können Vereine ihre Teilnehmer über ein öffentliches Formular melden. Erhoben werden dabei: Vereinsname und Vereins-E-Mail-Adresse sowie je Teilnehmer Vor- und Nachname, Geschlecht, Geburtsjahr (optional das vollständige Geburtsdatum), Gewicht, Größe, Graduierung, die gewählten Wettbewerbe und gegebenenfalls Mannschaften. Diese Daten verarbeitet der Betreiber im Auftrag des jeweiligen Ausrichters (Abschnitt 3). - Rechtsgrundlagen und Bestätigung: Rechtsgrundlage der Verarbeitung zur Durchführung der Veranstaltung ist die Teilnahmevereinbarung mit dem Ausrichter (Art. 6 Abs. 1 lit. b DSGVO) bzw. dessen berechtigtes Interesse an einem geordneten Wettkampfbetrieb (Art. 6 Abs. 1 lit. f DSGVO). Die Anmeldung beruht damit nicht auf einer Einwilligung. Die meldende Stelle bestätigt beim Absenden ausdrücklich, diese Datenschutzhinweise zur Kenntnis genommen zu haben, zur Meldung der genannten Teilnehmer befugt zu sein und — bei minderjährigen Teilnehmern — die Zustimmung der Erziehungsberechtigten eingeholt zu haben; der Zeitpunkt dieser Bestätigung wird gespeichert. Für Verarbeitungen, die über das Erforderliche hinausgehen (etwa erweiterte Veröffentlichungen), holt der Ausrichter erforderliche Einwilligungen gesondert ein. - Bestätigung und Korrektur: Die meldende Stelle erhält eine Bestätigungs-E-Mail; sofern der Ausrichter die Selbstkorrektur aktiviert hat, enthält sie einen geheimen Link, über den die Meldung bis zum Meldeschluss geändert werden kann. - Warteliste: Ist das Turnier voll, kann die Meldung mit denselben Daten auf einer Warteliste gespeichert werden; bei frei werdenden Plätzen ergeht ein zeitlich befristetes Nachrück-Angebot per E-Mail. - Original-Meldedaten: Die eingereichte Original-Meldung wird als Rohdatensatz gespeichert; der Betreiber kann eine automatische Löschfrist für diese Rohdaten festlegen (Abschnitt 17). 8. Turnierbetrieb Im Rahmen der Turnierdurchführung verarbeitet die Plattform im Auftrag des Ausrichters insbesondere: - Einteilungen und Ergebnisse: Gruppeneinteilungen, Auslosungen, Kampfpaarungen, Wertungen, Platzierungen und die Wettkampf-Historie der Sportler (einschließlich Gegnernamen und Vereinen). - Wiegedaten: das beim offiziellen Wiegen festgestellte Gewicht. - Stärkewert (MMR): ein statistischer Vergleichswert, der aus Wettkampfergebnissen berechnet wird (Abschnitt 20). - Kampfrichter: werden systemweit ohne Personenbezug geführt — ausschließlich als Kennungen („KR 1“, „KR 2“, …) mit anonymen Zugangs-Links; Namen oder Kontaktdaten von Kampfrichtern werden nicht erfasst. - Helferplan: Namen und optional E-Mail-Adressen von Helfern, die der Ausrichter einträgt oder die sich über einen vom Ausrichter verteilten Link selbst eintragen. - Sanitätsprotokoll: Dokumentiert der Ausrichter medizinische Vorfälle, werden Name des Betroffenen, die Beschreibung des Vorfalls, die Erstversorgung und eine etwaige Übergabe an den Rettungsdienst gespeichert. Dabei handelt es sich um Gesundheitsdaten (Art. 9 DSGVO). Rechtsgrundlage ist die ausdrückliche Einwilligung der betroffenen Person (Art. 9 Abs. 2 lit. a DSGVO); ist sie nicht in der Lage einzuwilligen, der Schutz lebenswichtiger Interessen (Art. 9 Abs. 2 lit. c DSGVO), sowie darüber hinaus die Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen (Art. 9 Abs. 2 lit. f DSGVO). Einträge werden bis zum Ende des dritten Kalenderjahres nach dem Vorfall personenbezogen aufbewahrt (angelehnt an die regelmäßige Verjährung, §§ 195, 199 Abs. 1 BGB) und bis dahin zur Beweissicherung nicht inhaltlich verändert, sondern allenfalls als storniert gekennzeichnet (Art. 17 Abs. 3 lit. e DSGVO). Danach wird der Name geschwärzt: Der Vorfall und die Erstversorgung bleiben als Nachweis erhalten, die betroffene Person ist darin aber nicht mehr benannt. Ist uns ein konkreter Schadensfall bekannt, bewahren wir den betreffenden Eintrag so lange personenbezogen auf, wie er zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich ist (Art. 17 Abs. 3 lit. e DSGVO). 8a. Graduierungsprüfungen Über die Plattform lassen sich Graduierungsprüfungen ausschreiben und durchführen. Verantwortlich ist die Prüfstelle, die die Prüfung anlegt (Abschnitt 3); der Betreiber verarbeitet die Daten in ihrem Auftrag. - Anmeldung, auch ohne Konto. Zu einer veröffentlichten Prüfung kann man sich über einen Link anmelden, ohne ein Nutzerkonto zu haben. Erhoben werden Vor- und Nachname, Jahrgang, Verein, Kampfkunst, die derzeitige Graduierung und eine E-Mail-Adresse für die Bestätigung. Über die Bestätigungs-E-Mail lässt sich die Anmeldung auch wieder zurückziehen. Rechtsgrundlage ist die Durchführung der angefragten Prüfung (Art. 6 Abs. 1 lit. b DSGVO). - Prüfungsergebnis und Urkunde. Ergebnis und erreichte Graduierung werden zum Prüfling gespeichert. Auf der Urkunde wird die prüfende Person namentlich genannt — anders als Kampfrichterinnen und Kampfrichter, die auf allen Dokumenten nur als Kennung erscheinen. Das ist bei einer Graduierungsurkunde üblich und für ihren Nachweiswert erforderlich. - Graduierungshistorie. Jede Änderung einer Graduierung wird mit altem und neuem Grad, Kampfkunst, Anlass und Zeitpunkt festgehalten. Diese Historie ist als dauerhafter Nachweis angelegt und wird nicht nach einer Frist gelöscht — eine Graduierung, die verschwindet, verlöre ihren Zweck. Verantwortlich hierfür ist der Betreiber (Abschnitt 3), Rechtsgrundlage ist das berechtigte Interesse an einem belastbaren Graduierungsnachweis (Art. 6 Abs. 1 lit. f DSGVO); es gilt das Widerspruchsrecht nach Abschnitt 19. 8b. Kader der Sportverbände · Prüferlizenzen Sportverbände erhalten auf Wunsch einen Zugang, der auf ihren fachlichen Zuschnitt beschränkt ist (Ebene, Region, Kampfkunst). Verantwortlich für die Kaderdaten ist der jeweilige Verband, für die Prüferlizenzen der Betreiber (Abschnitt 3) — die Zuständigkeit folgt darin jeweils der Stelle, die tatsächlich entscheidet. - Einsicht. Innerhalb seines Zuschnitts kann ein Verband Sportler suchen und ein reduziertes Profil einsehen: Name, Verein, Graduierung, Wettkampf-Historie und Stärkewert. - Kader. Der Verband führt Kader und speichert Mitgliedschaften mit Beginn, Ende und Begründung sowie der Angabe, wer sie eingetragen oder beendet hat. Eine Berufung setzt die Zustimmung des Vereins voraus. - Prüferlizenzen. Wer Graduierungsprüfungen abnehmen möchte, beantragt dafür im eigenen Konto eine Prüferlizenz und gibt an, auf welchen Verband sie sich beziehen soll. Über den Antrag entscheidet der Betreiber; er ist für diese Daten auch Verantwortlicher (Abschnitt 3). Gespeichert werden Kampfkunst, höchster prüfbarer Grad, Lizenznummer, Gültigkeit, der gewünschte Verband sowie der Verlauf des Vorgangs (Antrag, Entscheidung, entscheidende Person, Begründung). 9. Öffentlich sichtbare Daten Zweck einer Wettkampfveranstaltung ist auch die Information von Teilnehmern, Vereinen und Publikum. Je nach den vom Ausrichter gewählten Einstellungen sind ohne Anmeldung sichtbar: - Teilnehmerlisten nach Vereinen (Vor- und Nachname, Verein) — bereits vor Turnierbeginn, - Kampflisten, Turnierbäume und Gruppentabellen mit Namen, Verein und Ergebnissen, - der Live-Ticker mit laufenden Kämpfen und Zwischenständen, - Ablaufplan, Ergebnislisten und Medaillenspiegel, - die „Athlet folgen“-Seite (erreichbar über den QR-Code der Teilnehmerkarte): Name, Verein, nächster Einsatz, letzte Ergebnisse, - Kalender-Feeds (iCal) mit Turnierterminen, - optional der Stärkewert (MMR) — nur, wenn Betreiber und Ausrichter die Anzeige ausdrücklich aktiviert haben, - Saison-/Vereinswertungen (nur Vereinsnamen und Punkte, keine Sportlernamen). Nicht öffentlich angezeigt werden: Geburtsdaten und Jahrgänge, Gewichte, Graduierungen, Fotos, Kontaktdaten sowie sämtliche Konto- und Zahlungsdaten. Altersangaben können sich mittelbar aus den vom Ausrichter vergebenen Gruppennamen ergeben (z. B. „Jugend bis 40 kg“). Der Ausrichter steuert die Sichtbarkeit jeder Veranstaltung: öffentlich (in der Turnierliste sichtbar), nicht gelistet (nur per Direktlink erreichbar) oder privat (zusätzlich passwortgeschützt). Die Entscheidung über die Veröffentlichung und deren Rechtsgrundlage (Einwilligung der Teilnehmer bei der Anmeldung bzw. berechtigtes Interesse am geordneten Wettkampfbetrieb, Art. 6 Abs. 1 lit. a/f DSGVO) liegt beim Ausrichter als Verantwortlichem (Abschnitt 3). 10. Profilbilder Vereine und Sportler können freiwillig Profilbilder hochladen (z. B. für Teilnehmerkarten). Dabei gilt: - Beim Hochladen ist zu bestätigen, dass die Rechte am Bild und die Einwilligung der abgebildeten Person — bei Minderjährigen der Erziehungsberechtigten — vorliegen. - Eingebettete Metadaten (z. B. Aufnahmeort/GPS, Kamerainformationen) werden beim Speichern automatisch entfernt, soweit die Datei dies technisch zulässt. - Hochgeladene Bilder werden in der Standardeinstellung vor der Übernahme durch den Betreiber geprüft und freigegeben; bis zur Freigabe sind sie für andere nicht sichtbar. - Profilbilder sind zu keinem Zeitpunkt öffentlich abrufbar; sie erscheinen nur im angemeldeten Bereich und auf intern erzeugten Dokumenten (z. B. Teilnehmerkarten). - Bei einer Datenschutz-Löschung wird die Bilddatei physisch gelöscht. Rechtsgrundlage: Einwilligung (Art. 6 Abs. 1 lit. a DSGVO); sie kann jederzeit mit Wirkung für die Zukunft widerrufen werden, indem das Bild entfernt wird oder Sie den Betreiber kontaktieren. 11. Käufe beim Betreiber (Preise & Pakete) Beim Erwerb von Leistungen des Betreibers (z. B. Turnier-Kontingente, Abonnements, Zusatzmodule) verarbeiten wir Bestelldaten (Nutzerkonto, Produkt, Preis, Zeitpunkt, gewählte Zahlungsart, Rechnungsadresse) zur Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO). Rechnungen werden mit fortlaufender Nummer unveränderlich gespeichert und aufgrund handels- und steuerrechtlicher Aufbewahrungspflichten (§ 147 Abs. 1 Nr. 4a, Abs. 3 AO; § 257 Abs. 4 HGB; § 14b UStG) acht Jahre aufbewahrt (Art. 6 Abs. 1 lit. c DSGVO). Die Bereitstellung dieser Daten ist für den Vertragsschluss erforderlich; ohne die als Pflichtfelder gekennzeichneten Angaben kann die Bestellung nicht bearbeitet werden. Zahlungsdienstleister - Stripe (Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Dublin, Irland): Bei Kartenzahlung werden Sie auf die Zahlseite von Stripe weitergeleitet. Der Betreiber übermittelt dorthin nur Betrag, Bestellnummer und Produktbezeichnung; Ihre Zahlungsdaten erhebt Stripe selbst als eigener Verantwortlicher. Eine Übermittlung in die USA (Stripe, Inc.) ist möglich; Stripe ist unter dem EU-US Data Privacy Framework zertifiziert (Angemessenheitsbeschluss der EU-Kommission), ergänzend gelten EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO), deren Kopie Sie über die in Abschnitt 1 genannten Kontaktdaten anfordern können. - PayPal (PayPal (Europe) S.à r.l. et Cie, S.C.A., 22-24 Boulevard Royal, 2449 Luxemburg): Bei Zahlung über PayPal gilt Entsprechendes; PayPal ist für die Zahlungsabwicklung eigener Verantwortlicher. - Kauf auf Rechnung: Hierbei findet keine Übermittlung an Zahlungsdienstleister statt; Sie überweisen auf das in der Rechnung genannte Konto. Nur Unternehmer: Leistungen des Betreibers werden ausschließlich an Vereine, Verbände und sonstige Veranstalter abgegeben, die dabei als Unternehmer im Sinne des § 14 BGB handeln. Ein Verbraucher-Widerrufsrecht besteht daher nicht; eine Widerrufsfunktion und die damit verbundene Speicherung von Widerrufserklärungen gibt es nicht. 12. Startgelder und Verkaufsstand des Ausrichters Bietet ein Ausrichter die Online-Zahlung von Startgeldern oder einen Verkaufsstand an, wickelt er diese Zahlungen über seine eigenen Konten und Verträge ab (PayPal, SumUp, Überweisung oder Barzahlung). Der Betreiber ist an diesen Zahlungen nicht beteiligt und erhält die Gelder zu keinem Zeitpunkt. Im Auftrag des Ausrichters speichert die Plattform ein Zahlungsjournal mit Betrag, Zahlungsart und Transaktionskennungen; bei PayPal-Zahlungen zusätzlich die vom Zahlungsdienst zurückgemeldete E-Mail-Adresse des Zahlenden, bei Überweisungen einen etwaigen Absender-Hinweis. Belege und Zahlungserinnerungen erstellt die Plattform im Namen des Ausrichters. Eingesetzte Zahlungsdienste, je nach Konfiguration des Ausrichters: PayPal (Europe) S.à r.l. et Cie, S.C.A. (Luxemburg) und SumUp Limited (Block 8, Harcourt Centre, Charlotte Way, Dublin 2, Irland). Beim Bezahlen auf deren Seiten bzw. Geräten gelten die Datenschutzhinweise des jeweiligen Anbieters; für den Einsatz dieser Dienste ist der Ausrichter verantwortlich. Am Verkaufsstand selbst werden keine Namen oder Kontaktdaten von Käufern erfasst. 13. E-Mail-Versand Die Plattform versendet ausschließlich anlassbezogene E-Mails über ein Postfach bei der IONOS SE (Anschrift siehe Abschnitt 4): Bestätigungs- und Wiederherstellungs-Mails zum Konto, Meldebestätigungen, Benachrichtigungen des Ausrichters an gemeldete Vereine (z. B. Meldeschluss-Erinnerung, Zeitplan oder Ergebnisse verfügbar), Wartelisten-Angebote, Helferplan-Bestätigungen, Zahlungserinnerungen des Ausrichters, Bestellbestätigungen des Betreibers. Einen Newsletter oder Werbe-E-Mails gibt es nicht. Rechtsgrundlagen: Art. 6 Abs. 1 lit. b DSGVO (Vertrag/Meldung) bzw. Auftragsverarbeitung für den Ausrichter. 14. Benachrichtigungen aufs Handy („Aufruf-Push“) Auf der „Athlet folgen“-Seite können Sie — sofern der Ausrichter die Funktion nutzt — Push-Benachrichtigungen zu einem Sportler bestellen (z. B. „gleich dran“). Dazu speichert die Plattform die von Ihrem Browser erzeugte Push-Adresse und die zugehörigen technischen Schlüssel. Der Versand erfolgt als inhaltsleeres Wecksignal über den Push-Dienst Ihres Browser-Herstellers (je nach Gerät z. B. Google, Mozilla oder Apple); die anzuzeigenden Informationen holt Ihr Browser anschließend direkt von der Plattform. Dabei ist eine Verarbeitung außerhalb der EU möglich; Google LLC und Apple Inc. sind unter dem EU-US Data Privacy Framework zertifiziert (Angemessenheitsbeschluss der EU-Kommission), im Übrigen erfolgt die Absicherung über EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO), deren Kopie Sie über die in Abschnitt 1 genannten Kontaktdaten anfordern können. Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO); Sie können sie jederzeit widerrufen, indem Sie die Benachrichtigungen in Ihrem Browser deaktivieren — das Abo wird dann serverseitig ungültig. 15. Streaming-Schnittstelle (Media-API) Für Übertragungen (z. B. Einblendungen in einem Livestream) kann der Betreiber eine schreibgeschützte Datenschnittstelle freischalten. Sie ist durch Zugriffsschlüssel und Abruflimits geschützt, muss je Turnier einzeln freigegeben werden und liefert grundsätzlich keine personenbezogenen Daten über das hinaus, was ohnehin öffentlich sichtbar ist (Abschnitt 9) — insbesondere keine Geburtsjahrgänge, Gewichte oder Kontaktdaten. 16. Support, Feedback und Kontakt Bei Anfragen über die Feedback-Funktion einer Turnierseite, per E-Mail oder über das Ticketsystem verarbeiten wir die von Ihnen gemachten Angaben (Betreff, Nachricht, optional Name und E-Mail-Adresse) zur Bearbeitung des Anliegens (Art. 6 Abs. 1 lit. b und f DSGVO). Feedback zu einer Veranstaltung wird dem zuständigen Ausrichter zugeleitet. 17. Speicherdauer und Löschung Personenbezogene Daten werden gelöscht, sobald sie für die genannten Zwecke nicht mehr erforderlich sind und keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Konkrete Fristen der Plattform: Datenbestand Frist Papierkorb (gelöschte Turniere und Sportler) 30 Tage, danach endgültige Löschung Original-Meldedaten der Online-Anmeldung (Rohdatensatz) 12 Monate ab Eingang der Meldung Fehlerprotokolle der Anwendung 14 Tage Automatische Datensicherungen (lokal auf dem Server, zugriffsgeschützt) 14 Tage Wiederherstellungspunkte je Turnier 7 Tage „Gerät merken“ (Zwei-Faktor-Anmeldung) 30 Tage Wartelisten-Nachrück-Angebote Annahmefrist 48 Stunden Anmeldungs-Entwürfe auf dem Server (nicht abgesendete Online-Anmeldungen) 30 Tage; mit dem Absenden der Meldung sofort Rechnungen und Buchungsbelege 8 Jahre (gesetzliche Aufbewahrung, § 147 AO) Nutzerkonto bis zur Löschung des Kontos; danach werden zugehörige Daten gelöscht, soweit keine Aufbewahrungspflichten bestehen Wettkampfergebnisse und Platzierungen dokumentieren das sportliche Geschehen und bleiben grundsätzlich erhalten. Verlangt eine betroffene Person die Löschung ihrer Daten, werden ihre Stammdaten gelöscht oder — wo Ergebnisse anderer Teilnehmer betroffen wären — der Datensatz anonymisiert (der Name wird durch eine neutrale Kennung ersetzt; Geschlecht, Gewicht, Größe, Graduierung, Nationalität, Foto und weitere Angaben werden entfernt; in den gespeicherten Original-Meldungen werden Name und Geburtsdatum geschwärzt). 18. Datensicherheit Der Betreiber trifft technische und organisatorische Maßnahmen nach Art. 32 DSGVO, um die verarbeiteten Daten zu schützen — unter anderem: verschlüsselte Übertragung (TLS/HTTPS), Speicherung von Passwörtern ausschließlich als kryptografische Hashes, optionale Zwei-Faktor-Anmeldung, verschlüsselte Ablage hinterlegter Zugangsdaten und Geheimnisse, ein abgestuftes Rollen- und Rechtekonzept, Schutz der Dateiablage vor Direktzugriffen, Drosselung wiederholter Zugriffsversuche, Protokollierung sicherheitsrelevanter Änderungen sowie regelmäßige, zugriffsgeschützte Datensicherungen. Sicherungs-Downloads werden verschlüsselt bereitgestellt. 19. Ihre Rechte Ihnen stehen die Rechte auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16 DSGVO), Löschung (Art. 17 DSGVO), Einschränkung der Verarbeitung (Art. 18 DSGVO) und Datenübertragbarkeit (Art. 20 DSGVO) zu. Eine erteilte Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3 DSGVO). Widerspruchsrecht (Art. 21 DSGVO): Sie haben das Recht, aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit gegen die Verarbeitung Sie betreffender personenbezogener Daten, die aufgrund von Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse) erfolgt, Widerspruch einzulegen. Wir verarbeiten die betroffenen Daten dann nicht mehr, es sei denn, wir können zwingende schutzwürdige Gründe für die Verarbeitung nachweisen, die Ihre Interessen, Rechte und Freiheiten überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen. Wenden Sie sich zur Ausübung Ihrer Rechte an die in Abschnitt 1 genannten Kontaktdaten; betrifft Ihr Anliegen die Daten einer Veranstaltung, leiten wir es an den verantwortlichen Ausrichter weiter (Abschnitt 3). Die Plattform stellt hierfür strukturierte Auskunfts- und Löschfunktionen bereit. Sie haben außerdem das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren (Art. 77 DSGVO), insbesondere bei der für den Betreiber zuständigen Behörde: Die Landesbeauftragte für den Datenschutz Sachsen-Anhalt, Otto-von-Guericke-Straße 34a, 39104 Magdeburg (Postanschrift: Postfach 1947, 39009 Magdeburg), Telefon 0391 81803-0, poststelle@lfd.sachsen-anhalt.de. 20. Keine automatisierten Einzelentscheidungen Es finden keine automatisierten Entscheidungen im Sinne von Art. 22 DSGVO statt. Der sportliche Stärkewert (MMR) wird automatisiert aus Wettkampfergebnissen berechnet (Profiling im Sinne von Art. 4 Nr. 4 DSGVO), entfaltet aber keine rechtliche Wirkung gegenüber den Sportlern und ist nicht Grundlage automatisierter Entscheidungen; über Einteilungen und Startberechtigungen entscheiden stets der Ausrichter bzw. die Verbände. Rechtsgrundlage ist das berechtigte Interesse an vergleichbaren sportlichen Auswertungen (Art. 6 Abs. 1 lit. f DSGVO); es gilt das Widerspruchsrecht nach Abschnitt 19. 21. Minderjährige Turnierteilnehmer sind häufig minderjährig. Melde- und Wettkampfdaten Minderjähriger verarbeitet die Plattform ausschließlich im Auftrag des jeweiligen Ausrichters; die Einwilligung der Erziehungsberechtigten wird bei der Online-Anmeldung durch die meldende Stelle bestätigt (Abschnitt 7). Eigene Konten dürfen Sportler, die das 16. Lebensjahr noch nicht vollendet haben, nur mit Einwilligung ihrer Erziehungsberechtigten anlegen (Art. 8 DSGVO). 22. Änderungen dieser Erklärung Diese Datenschutzerklärung wird angepasst, wenn sich der Funktionsumfang der Plattform oder die Rechtslage ändert. Es gilt die jeweils auf der Website veröffentlichte Fassung.