Datenschutzerklärung

1. Verantwortlicher

Verantwortlich für die Datenverarbeitung auf dieser Plattform (FenceOS) im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:

André Sanità
Rheindorfer Straße 128
53225 Bonn
E-Mail: info@thefencingroom.com

2. Allgemeines zur Datenverarbeitung

FenceOS ist eine interne Plattform zur Organisation des Trainingsbetriebs im Florett-Bereich des BSP Bonn. Sie wird ausschließlich von Trainern und angemeldeten Athletinnen und Athleten genutzt und ist nicht öffentlich zugänglich, sondern nur nach Anmeldung (Login) nutzbar.

Da unter den Nutzenden auch minderjährige Athletinnen und Athleten sind, wird bei der Verarbeitung ihrer Daten besondere Sorgfalt angewendet. Die Anlage eines Zugangs für minderjährige Athleten erfolgt nur mit Kenntnis bzw. Einwilligung der Erziehungsberechtigten.

3. Welche Daten wir verarbeiten

Wir verarbeiten folgende personenbezogene Daten:

• Stammdaten: Vor- und Nachname, Jahrgang (zur Berechnung der Altersklasse), Geburtstag (Tag und Monat), E-Mail-Adresse, Telefonnummer, Fechtarm, Waffengattungen, Kaderstatus, bevorzugte Sprache
• Gruppen: Zugehörigkeit zu Trainings-, Turnier- und Lektionsgruppen
• Trainingsdaten: Anwesenheit mit Status und Notiz, Abwesenheitszeiträume, eingesetzte Joker, Gefechte und ihre Ergebnisse (auch in Pools und Tableaus), Turnierergebnisse und Platzierungen, Notizen der Trainer zum Trainingsfortschritt, Änderungsvermerke (welcher Trainer zuletzt geändert hat)
• Lektionen: Termine und Dauer, Absagen mit dem vom Trainer eingetragenen Grund, Notizen des Trainers zur Lektion
• Krafttraining: Programme, absolvierte Sätze mit Gewicht und Wiederholungen bzw. Dauer, Notizen, ausgelassene Übungen mit Grund
• Gesundheitsangaben: s. Punkt 4
• Anmeldungen zu Turnieren und Lehrgängen: deine Antwort, Anmerkung und gewählten Wettbewerbe sowie Empfehlungen deines Trainers samt Begründung
• Persönliches Notizbuch: Titel, Text und Datum deiner Notizen – nur für dich sichtbar, für keinen Trainer und in keinem Export
• Mitteilungen, Wochennachrichten und Push-Benachrichtigungen: s. Punkt 7
• Kalender-Abos: persönliche Abo-Links für Turniere und Lektionen
• Zugangsdaten: Benutzername, Passwort (nur als Hash gespeichert, nicht im Klartext einsehbar), Zeitpunkt der Einwilligung, Anmeldesitzungen (vom Sitzungsschlüssel wird nur ein Hash gespeichert)
• Daten der Trainerinnen und Trainer: Name, Benutzername, E-Mail-Adresse, Passwort (nur als Hash), Sprache, Anzeigefarbe, Push-Abos der eigenen Geräte und die Einstellung für Lesebestätigungen
• Technische Daten: Zeitpunkt der Anmeldung; zur Begrenzung von Anmeldeversuchen die IP-Adresse für höchstens 15 Minuten im Arbeitsspeicher (sie wird nicht gespeichert); technische Protokolle zur Fehleranalyse, die fortlaufend überschrieben werden
• Trainingstermine aus IDA: s. Punkt 8
• Daten von Gästen und Wettkampfgegnern: s. Punkt 9

4. Gesundheitsangaben

Einige Angaben in FenceOS betreffen die Gesundheit und gehören damit zu den besonderen Kategorien personenbezogener Daten (Art. 9 DSGVO):

• der Anwesenheitsstatus „krank“ oder „verletzt“ für ein Training oder einen Abwesenheitszeitraum
• Notizen zur Anwesenheit und zu Abwesenheitszeiträumen, soweit sie einen gesundheitlichen Grund nennen
• im Krafttraining eine wegen Schmerzen ausgelassene Übung mit deiner Notiz dazu und dem Umfang (ganz oder teilweise ausgelassen)
• der Grund, den ein Trainer bei der Absage einer Lektion einträgt, soweit er einen gesundheitlichen Grund nennt

Wozu. Damit die Trainer Abwesenheiten richtig einordnen und das Training – besonders die Belastung im Krafttraining – darauf abstimmen können.

Wer sie sieht. Die Trainerinnen und Trainer dieser Plattform und du selbst bei deinen eigenen Angaben. Den Grund einer Lektionsabsage sieht nur der Trainer; er steht in keiner Mitteilung an dich. Andere Athletinnen und Athleten sehen keine Gesundheitsangaben.

Wie lange. Wie die übrigen Trainingsdaten (s. Punkt 10); eine eigene, kürzere Frist gibt es nicht.

5. Zweck und Rechtsgrundlage der Verarbeitung

Die Verarbeitung erfolgt zu folgenden Zwecken:

• Organisation und Dokumentation des Trainingsbetriebs
• Nachverfolgung von Trainingsfortschritt und Wettkampfergebnissen
• Kommunikation im Rahmen des Vereins-/Trainingsbetriebs
• Anmeldung zu Turnieren und Lehrgängen bei der Meldestelle der Veranstaltung

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Erfüllung eines Vertrags bzw. vorvertraglicher Maßnahmen, hier: Mitgliedschaft/Trainingsteilnahme) sowie, soweit erforderlich, Art. 6 Abs. 1 lit. a DSGVO (Einwilligung), insbesondere bei minderjährigen Nutzern durch die Erziehungsberechtigten.

6. Empfänger und Auftragsverarbeiter

Im Rahmen des Betriebs der Plattform werden folgende externe Dienstleister eingebunden:

• E-Mail-Versand (IONOS): Zum Versand von E-Mails (Einladung, Passwort zurücksetzen, Meldungen an Meldestellen) nutzen wir den E-Mail-Dienst der IONOS SE. Hierbei werden E-Mail-Adresse, Name und der Inhalt der E-Mail übertragen.
• Cloud-Backup (Microsoft OneDrive): Zur Datensicherung werden Sicherungskopien der Datenbank automatisiert in einen OneDrive-Cloud-Speicher synchronisiert. Dabei können personenbezogene Daten (s. Punkt 3) im Rahmen der Sicherung übertragen und bei Microsoft gespeichert werden. Die Datenspeicherung erfolgt innerhalb der EU (EU Data Boundary), sodass kein Transfer in ein Drittland außerhalb der EU/des EWR stattfindet.

Mit beiden Dienstleistern besteht ein Auftragsverarbeitungsvertrag (AVV) gemäß Art. 28 DSGVO.

Weitere Empfänger:

• Meldestellen von Turnieren und Lehrgängen: Meldest du dich in FenceOS zu einer Veranstaltung an, schickt dein Trainer die Meldung per E-Mail an die Meldestelle des Ausrichters – mit Vor- und Nachname und Geburtsdatum (Tag, Monat, Jahr) jeder angemeldeten Person und den gewählten Wettbewerben. Verschickt wird nur, was ein Trainer ausdrücklich auslöst; die Meldestelle ist für die weitere Verarbeitung selbst verantwortlich.
• Trainingsgegner: Athletinnen und Athleten sehen die Ergebnisse der Gefechte, die sie selbst gefochten haben – und damit den Namen des jeweiligen Gegners.
• Zustelldienste für Push-Benachrichtigungen: s. Punkt 7

Darüber hinaus geben wir keine personenbezogenen Daten an Dritte weiter.

7. Push-Benachrichtigungen und Mitteilungen

Wofür. Trainer können Athletinnen und Athleten in FenceOS Mitteilungen schicken: wenn eine Lektion abgesagt oder verschoben wird, wenn neue Lektionstermine anstehen und als Wochennachricht. Die Mitteilungen erscheinen in der App. Wer möchte, erhält sie zusätzlich als Push-Benachrichtigung auf dem eigenen Gerät; außerdem lässt sich auf eigenen Wunsch eine Probe-Benachrichtigung auslösen. Zweck ist, über Lektionen, Terminänderungen und Wochennachrichten zu informieren und dem Trainer nachzuweisen, dass die Information angekommen ist. Push-Benachrichtigungen sind freiwillig und für die Nutzung von FenceOS nicht nötig.

Was gespeichert wird.

• Für jedes Gerät, auf dem Push-Benachrichtigungen eingeschaltet sind (Push-Abo): die Zustelladresse (Endpunkt), die der Zustelldienst des Geräts vergibt; zwei Schlüssel, mit denen die Benachrichtigungen für dieses Gerät verschlüsselt werden; eine kurze Gerätebezeichnung wie „iPhone“ oder „Android“ (nicht die vollständige Browserkennung); der Zeitpunkt des Einschaltens und der letzten erfolgreichen Zustellung.
• Für jede Mitteilung: Anlass, Versandzeitpunkt, Titel und Text, die Empfängerinnen und Empfänger und je Empfänger der Versandstatus der Push-Benachrichtigung („gesendet“, „fehlgeschlagen“ oder „kein Abo“) mit Zeitpunkt; tippst du auf „Gelesen“, außerdem der Zeitpunkt dieser Bestätigung. Dein Trainer sieht, ob und wann du bestätigt hast und ob die Benachrichtigung an dein Gerät versendet werden konnte. Hat er es eingeschaltet, bekommt der Trainer, der die Mitteilung geschickt hat, außerdem eine Benachrichtigung, sobald du bestätigt hast – mit deinem Namen und dem Anlass, nicht mit dem Text der Mitteilung.
• Für jede Wochennachricht: Text, Absender, Empfängerkreis (alle, Gruppen oder einzelne Athletinnen und Athleten) und Zeitpunkt. Sie erscheint in der App nur in der Woche, in der sie gesendet wurde.
• Nicht gespeichert wird, ob oder wann du eine Mitteilung oder Benachrichtigung geöffnet hast, und es werden keine weiteren Geräteinformationen gespeichert.

Die Daten liegen auf dem Server der Plattform (Punkt 10) und sind damit auch in den Datensicherungen enthalten (Punkt 6). Auf deinem Gerät merkt sich FenceOS die Zustelladresse, um zu erkennen, wenn du Benachrichtigungen in den Geräteeinstellungen abschaltest.

Was eine Benachrichtigung enthält. Einen Titel und eine Zeile Text: bei einer Absage Tag und Uhrzeit der Lektion, bei einer Verschiebung den alten und neuen Termin oder eine kurze Nachricht deines Trainers, bei neuen Terminen die betroffene Woche, bei einer Wochennachricht deren erste höchstens 120 Zeichen. Eine Absage nennt nie den Grund für den Ausfall. Wer außer dir eine Mitteilung bekommen hat, steht in keiner Benachrichtigung.

Sperrbildschirm. Benachrichtigungen erscheinen auch auf dem Sperrbildschirm deines Geräts. Titel und Text sind dort – je nach Einstellung deines Geräts – ohne Entsperren und ohne Passwort lesbar, also für jeden, der das Gerät in der Hand hat. In den Mitteilungseinstellungen deines Geräts kannst du festlegen, dass Inhalte erst nach dem Entsperren angezeigt werden.

Wer die Benachrichtigungen zustellt. FenceOS schickt eine Benachrichtigung nicht direkt an dein Gerät, sondern an den Zustelldienst, den dein Gerät bzw. Browser vorgibt: bei Apple-Geräten Apple Inc. (Apple Push Notification service), sonst in der Regel Google LLC (Firebase Cloud Messaging). Andere Browser können eigene Zustelldienste nutzen (z. B. Mozilla, Microsoft). Der Dienst erhält die Zustelladresse, die Benachrichtigung in verschlüsselter Form, eine Absenderkennung mit einer Kontaktadresse des Betreibers und die Angabe, dass er die Benachrichtigung höchstens eine Stunde aufbewahren soll, falls dein Gerät nicht erreichbar ist. Den Inhalt kann er nicht lesen; entschlüsselt wird er erst auf deinem Gerät. Apple und Google handeln dabei als eigenständige Verantwortliche und sind Empfänger im Sinne der DSGVO, keine Auftragsverarbeiter. Beide sitzen in den USA. Die Übermittlung stützt sich auf den Angemessenheitsbeschluss der EU-Kommission zum EU-U.S. Data Privacy Framework (Art. 45 DSGVO), unter dem die Unternehmen zertifiziert sind, hilfsweise auf Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO).

Rechtsgrundlage. Für Push-Benachrichtigungen deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), die du mit „Mitteilungen erlauben“ und der Bestätigung im Dialog deines Geräts erteilst.

Wie lange.

• Das Push-Abo eines Geräts bleibt gespeichert, bis du es dort abbestellst oder dich dort abmeldest, bis du Benachrichtigungen in den Einstellungen des Geräts oder Browsers abschaltest (gelöscht wird dann beim nächsten Öffnen von FenceOS auf diesem Gerät), bis der Zustelldienst meldet, dass es die Zustelladresse nicht mehr gibt, oder bis dein Athletenzugang entfernt wird – dann für alle deine Geräte.
• Mitteilungen, Empfänger, Versandstatus und Bestätigungen sowie Wochennachrichten werden 90 Tage nach dem Versand gelöscht, bei der nächsten Nutzung der App nach Ablauf dieser Frist. Wird dein Athletenzugang entfernt, werden deine Einträge sofort gelöscht.
• Ein Trainer kann eine Mitteilung oder Wochennachricht jederzeit zurückziehen. Sie verschwindet dann sofort bei allen Empfängerinnen und Empfängern; beim Trainer bleibt sie als „zurückgezogen“ sichtbar, bis die 90 Tage um sind.

Widerruf. Du kannst Push-Benachrichtigungen jederzeit abschalten – in FenceOS unter „Mein Profil“ → „Mitteilungen“ mit „Auf diesem Gerät abbestellen“ oder in den Einstellungen deines Geräts bzw. Browsers. Abbestellen gilt für das Gerät, auf dem du es tust. Solange dein Zugang gesperrt ist oder der Verein Push-Benachrichtigungen abgeschaltet hat, wird nichts verschickt. Der Widerruf wirkt für die Zukunft (Punkt 11).

Mindestalter. Push-Benachrichtigungen können ab 14 Jahren eingeschaltet werden. Maßgeblich ist das in FenceOS hinterlegte Geburtsdatum; ist keines hinterlegt, findet keine Prüfung statt. Mitteilungen in der App sind davon unabhängig.

8. Trainingsplan aus IDA

FenceOS zeigt Trainingstermine aus dem Vereinskalender in IDA (Institut für Angewandte Trainingswissenschaft) an: Zeit, Ort, Maßnahme und Inhalt. Teilnehmernamen werden nie gespeichert.

Der Trainer legt fest, welche Athletinnen und Athleten welchen Kalender sehen. Vergangene Termine werden 90 Tage nach dem Termin gelöscht.

9. Daten von Gästen und Wettkampfgegnern

Gastfechterinnen und Gastfechter – Personen, die ohne Mitgliedschaft im Training mitfechten: Name, Verein, Tag des ersten Besuchs und die Gefechte, die sie gefochten haben. Zweck ist, die Ergebnisse dieser Gefechte im Training festzuhalten; in Statistiken der Mitglieder zählen sie nicht. Ein Trainer kann einen Gast jederzeit in der Gästeliste löschen, seine Gefechte gehen mit. Eine automatische Löschfrist gibt es nicht.

Wettkampfgegner in der Gegner-Kartei der Trainer: Vor- und Nachname, Nation, Fechtarm und eine Notiz zur Wettkampfvorbereitung. Ein Trainer kann einen Eintrag jederzeit löschen. Eine automatische Löschfrist gibt es nicht.

Gäste und Wettkampfgegner nutzen FenceOS nicht selbst. Ihre Rechte (s. Punkt 11) können sie genauso geltend machen.

10. Speicherort und Speicherdauer

Die Daten werden auf einem privat betriebenen Server (Synology NAS) gespeichert. Die Plattform ist ausschließlich verschlüsselt über HTTPS (Let’s Encrypt-Zertifikat) erreichbar.

Personenbezogene Daten werden gespeichert, solange eine Mitgliedschaft bzw. Trainingsteilnahme besteht. Für einige Daten gelten feste Fristen:

• Mitteilungen und Wochennachrichten: 90 Tage nach dem Versand
• Trainingstermine aus IDA: 90 Tage nach dem Termin
• Einladungs- und Passwort-Links: bis zu ihrem Ablauf; verwendete Links 30 Tage nach ihrer Erstellung
• Anmeldesitzungen: bis zu ihrem Ablauf oder bis zur Abmeldung

Nach dem Ende der Mitgliedschaft kann der Verein einen Fechter anonymisieren – auf Verlangen oder von sich aus; einen automatischen Lauf oder eine feste Frist gibt es nicht. Dabei wird der Name durch „Ehemalig #n“ ersetzt, und gelöscht werden: Geburtsdaten, E-Mail, Telefon, Kaderstatus, alle Notizen, alle Gesundheitsangaben, der Athletenzugang mit Notizbuch, Mitteilungen, Push- und Kalender-Abos, künftige Lektionen sowie alle Zuordnungen zu Gruppen. Gefechte, Turnier- und Krafttrainingsergebnisse und die Anwesenheitszählung bleiben unter dem Ersatznamen stehen, weil sie auch die Ergebnisse anderer Athletinnen und Athleten betreffen. In den Datensicherungen bleiben die bisherigen Daten erhalten, bis diese überschrieben werden. Wer die Anonymisierung verlangt (Punkt 11), wendet sich an den Verantwortlichen (Punkt 1).

11. Ihre Rechte (Rechte der Betroffenen)

Sie haben nach der DSGVO folgende Rechte bezüglich Ihrer bzw. der Daten Ihres Kindes:

• Auskunft (Art. 15 DSGVO) über die verarbeiteten Daten
• Berichtigung (Art. 16 DSGVO) unrichtiger Daten
• Löschung (Art. 17 DSGVO)
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruch gegen die Verarbeitung (Art. 21 DSGVO)
• Widerruf einer erteilten Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO)

Zur Ausübung dieser Rechte genügt eine formlose Mitteilung an die Kontaktadresse in Punkt 1.

Sie haben zudem das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren, insbesondere in dem Mitgliedstaat Ihres gewöhnlichen Aufenthalts, Ihres Arbeitsplatzes oder des mutmaßlichen Verstoßes (Art. 77 DSGVO).

Zuständig für diese Plattform ist:
Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW)
www.ldi.nrw.de

12. Datensicherheit

Wir setzen technische und organisatorische Maßnahmen ein, um Ihre Daten zu schützen, u. a.:

• Verschlüsselte Übertragung per HTTPS/TLS (Let’s Encrypt-Zertifikat)
• Persönlicher Zugang je Trainerin, Trainer und Athlet mit Benutzername und Passwort; Anmeldeversuche werden begrenzt
• Passwörter, Sitzungsschlüssel sowie Einladungs- und Passwort-Links werden nur als Hash gespeichert – wer die Datenbank liest, kann sich damit nicht anmelden
• Regelmäßige, automatisierte Datensicherung; die Sicherungsdateien auf dem Server sind nur für den Betreiber lesbar

13. Minderjährige Nutzer

Diese Plattform wird auch von minderjährigen Athletinnen und Athleten genutzt. Die Registrierung eines Zugangs für minderjährige Nutzer setzt voraus, dass die Erziehungsberechtigten hierüber informiert sind bzw. eingewilligt haben. Erziehungsberechtigte können jederzeit Auskunft über die gespeicherten Daten ihres Kindes verlangen oder deren Löschung fordern (s. Punkt 11).

14. Änderung dieser Datenschutzerklärung

Diese Datenschutzerklärung kann bei Weiterentwicklung der Plattform oder Änderungen der Rechtslage angepasst werden. Die jeweils aktuelle Fassung ist auf dieser Seite abrufbar.