Datenschutzerklärung
Kurz gefasst. EvolixSport ist eine Plattform zur Verwaltung von Sportvereinen und Verbänden. Wenn ein Verein oder Verband Daten über seine Sportler, Trainer, Eltern und Offiziellen eingibt, ist die Organisation Verantwortlicher für diese Daten, und wir verarbeiten sie in ihrem Auftrag (als Auftragsverarbeiter nach Art. 28 DSGVO). Für unsere eigenen Tätigkeiten (Website, Kundenkonten, Rechnungsstellung, Sicherheit und Support) sind wir Verantwortlicher. Wir verkaufen keine personenbezogenen Daten, zeigen keine Werbung an und verwenden keine Daten von Kindern für Profiling oder Werbung. Die Daten werden in der Europäischen Union gespeichert. Der einzige Anbieter außerhalb der EU ist das Sprachmodell, das den Assistenten DimAI betreibt; an ihn werden ausschließlich Textanfragen übermittelt.
1. Gegenstand und Geltungsbereich
Diese Datenschutzerklärung erläutert, wie personenbezogene Daten beim Besuch und bei der Nutzung der Website evolixsport.com, der Plattform Evolix Club (https://club.evolixsport.com), Evolix Federation (https://fed.evolixsport.com), des Elternportals, der mobilen und verbundenen Schnittstellen, der Programmierschnittstellen (API), der Support-, Zahlungs- und Kommunikationssysteme sowie der als DimAI bezeichneten Funktionen mit künstlicher Intelligenz verarbeitet werden.
Die Erklärung gilt für Sportler, einschließlich Minderjähriger, Eltern und gesetzliche Vertreter, Trainer, Mitarbeiter und Vertreter von Vereinen und Verbänden, Schiedsrichter und Offizielle, medizinische und sonstige Fachkräfte, Website-Besucher, Interessenten, Partner im Partnerprogramm und alle sonstigen Nutzer.
Die Verarbeitung erfolgt im Einklang mit der Verordnung (EU) 2016/679 (DSGVO), dem bulgarischen Datenschutzgesetz und den anwendbaren Vorschriften der Verordnung (EU) 2024/1689 (KI-Verordnung, „AI Act“).
2. Wer verarbeitet die personenbezogenen Daten
2.1. Verantwortlicher für die eigenen Tätigkeiten von EvolixSport
Verantwortlicher für personenbezogene Daten im Zusammenhang mit dem Betrieb der Website, der Registrierung und Verwaltung der Kundenkonten, den Verträgen und Abonnements, den Zahlungen, der Sicherheit, dem Support, dem Partnerprogramm, dem Marketing und der Weiterentwicklung des Dienstes ist:
| Firma | EvolixSport – wird mit der nächsten Aktualisierung ergänzt |
|---|---|
| Registernummer | wird mit der nächsten Aktualisierung ergänzt |
| Sitz und Anschrift | wird mit der nächsten Aktualisierung ergänzt |
| Vertreten durch | wird mit der nächsten Aktualisierung ergänzt |
| E-Mail für Datenschutz | office@evolixsport.com |
| E-Mail für Support | support@evolixsport.com |
| Datenschutzbeauftragter | nicht benannt (für den Betreiber nicht verpflichtend); Anfragen werden über die genannte E-Mail bearbeitet |
2.2. Verarbeitung für Vereine und Verbände
Wenn ein Verein, eine Akademie oder ein Verband („Kunde“) festlegt, welche Personen registriert werden, welche sportlichen, registrierungsbezogenen, medizinischen, finanziellen oder sonstigen Daten eingegeben und zu welchen Zwecken sie verwendet werden, ist der Kunde Verantwortlicher, und EvolixSport verarbeitet die Daten in seinem Auftrag auf Grundlage eines Vertrags nach Art. 28 DSGVO. Die Bedingungen dieser Vereinbarung sind im Abschnitt Datenschutz (DSGVO) veröffentlicht.
Der Kunde ist verpflichtet, die betroffenen Personen selbst zu informieren und eine geeignete Rechtsgrundlage sicherzustellen, einschließlich der Einwilligung eines Elternteils, soweit erforderlich. EvolixSport tritt nicht an die Stelle dieser Pflichten. Soweit EvolixSport eigene Zwecke festlegt, etwa Sicherheit, Rechnungsstellung, Missbrauchsprävention oder Produktentwicklung, wird seine Rolle für die jeweilige Tätigkeit gesondert bestimmt.
Legen EvolixSport und eine Sportorganisation die Zwecke und wesentlichen Mittel einer Verarbeitung gemeinsam fest, wird eine Vereinbarung nach Art. 26 DSGVO geschlossen und deren wesentlicher Inhalt den betroffenen Personen zur Verfügung gestellt.
3. Grundsätze
Die Daten werden rechtmäßig, nach Treu und Glauben und transparent verarbeitet; für festgelegte, eindeutige Zwecke; im erforderlichen Mindestumfang; sachlich richtig und auf dem neuesten Stand; für einen begrenzten Zeitraum; mit angemessener Sicherheit und unter dokumentierter Rechenschaftspflicht. Die Verwendung von Daten für unvereinbare Zwecke oder die Eingabe sensibler Informationen in ein Modul mit künstlicher Intelligenz ohne zuvor festgelegte Rechtsgrundlage, Erforderlichkeit und Schutzmaßnahmen ist nicht zulässig.
4. Kategorien personenbezogener Daten
Je nach den genutzten Modulen und danach, welche Daten der Kunde einzugeben beschlossen hat, können folgende Kategorien verarbeitet werden:
- Identifikations- und Registrierungsdaten: Namen, Geburtsdatum, Geschlecht, Staatsangehörigkeit (nur im Verbandsmodul), Profilfoto, interne Kennung, Lizenz- oder Registrierungsnummer. EvolixSport erhebt keine bulgarische Personenkennziffer (EGN) und keine Kopien von Ausweisdokumenten; Sportler werden über einen internen Code identifiziert.
- Kontaktdaten: E-Mail, Telefon, Anschrift, Notfallkontakt (bei Sportlern), bevorzugte Sprache.
- Daten eines Elternteils oder gesetzlichen Vertreters: Namen, E-Mail, Telefon, Verhältnis zum Kind, Vermerk über die erteilte elterliche Einwilligung und deren Datum.
- Vereins- und Verbandszugehörigkeit: Verein, Mannschaft, Altersklasse, Position, Trikotnummer, Lizenzen und Registrierung, Transfers, Einsätze, Schiedsrichteransetzungen und -bewertungen, Disziplinarverfahren und -entscheidungen (nur im Verbandsmodul).
- Sportdaten: Trainingseinheiten, Anwesenheit, Ergebnisse von Spielen und Turnieren, Statistiken, Ergebnisse körperlicher und kognitiver Tests, Fähigkeitsbewertungen, Ziele, Erfolge und Aktivitätspunkte.
- Körperliche Messwerte: Größe, Gewicht, VO₂max, Herzfrequenz, Zeit, Geschwindigkeit und sonstige Messwerte aus Tests (Beep, Yo-Yo, Cooper, Sprint, Kraft, Beweglichkeit u. a.).
- Selbsteinschätzungen zum Befinden: Antworten in Wellness-Fragebögen und im Trainingstagebuch (Schlaf, Müdigkeit, Belastung, Muskelschmerzen, Energie, Stimmung). Da sie Rückschlüsse auf die Gesundheit zulassen können, behandeln wir sie als Daten nach Art. 9 DSGVO.
- Gesundheitsdaten: nur, wenn ein bestimmtes Modul sie erhebt: im Verbandsmodul ärztliche Tauglichkeitsbescheinigungen (Nummer, Untersuchungsdatum, Gültigkeitsdauer, Arzt und medizinische Einrichtung, Tauglichkeitsbefund, Einschränkungen und, sofern eingetragen, Diagnose) sowie Versicherungspolicen; im Vereinsmodul der Status „verletzt“ und Trainernotizen zu Einschränkungen. Sie werden nur von autorisierten Personen des Kunden eingegeben; im Verbandsmodul werden sie verschlüsselt gespeichert.
- Fotos, Videos und daraus abgeleitete Merkmale: Profilfotos; Mediendateien des Verbands; von einem Trainer oder Sportler zur Bewegungsanalyse hochgeladene Videoaufnahmen und die daraus extrahierten Körperschlüsselpunkte (Pose). Es findet keine Gesichts-, Stimm- oder Emotionserkennung statt. Audioaufnahmen werden derzeit nicht verarbeitet.
- Finanz- und Vertragsdaten: Tarif und Zugangsstatus; Mitgliedsbeiträge und Gebühren, die der Verein für eigene Zwecke erfasst. Derzeit bietet EvolixSport keine kostenpflichtigen Tarife an und erhebt keine Zahlungsdaten. Bei Einführung kostenpflichtiger Tarife werden vollständige Zahlungskartendaten ausschließlich von einem lizenzierten Zahlungsdienstleister verarbeitet und niemals auf unsere Server gelangen; diese Erklärung wird vorab aktualisiert.
- Kommunikation: Support-Anfragen, Nachrichten im System, Benachrichtigungen und Feedback.
- Technische Daten: IP-Adresse, Browser- und Gerätetyp, Anmeldezeitpunkt, Sitzungskennung, Sicherheitsprotokolle (fehlgeschlagene Anmeldeversuche, Sperrungen) und Protokolle der Aktionen im System.
- Daten im Zusammenhang mit DimAI: die Fragen an den Assistenten, der verwendete sportliche Kontext, die erzeugten Antworten, Analysen und Empfehlungen sowie Metadaten zur Anfrage (Typ, Dauer, Token-Anzahl, die ersten 200 Zeichen der Nachricht) zu Sicherheits- und Abrechnungszwecken.
- Partnerdaten: bei Teilnahme am Partnerprogramm: Namen, E-Mail, Telefon, Empfehlungscode, vermittelte Empfehlungen und Provisionen.
- Daten zur elektronischen Signatur und Authentifizierung: im Verbandsmodul: Namen, Rolle, Zeitpunkt und technische Daten bei der elektronischen Unterzeichnung von Spielberichten; temporäre PIN-Codes für Offizielle. Zum Nachweis der Integrität eines Spielberichts kann in einem verteilten Register (Distributed Ledger) ausschließlich ein kryptografischer Hash veröffentlicht werden, der keine personenbezogenen Daten enthält.
- Cookies: ausschließlich unbedingt erforderliche Cookies gemäß Abschnitt 15.
5. Datenquellen
Die Daten können von der betroffenen Person selbst, von einem Elternteil oder gesetzlichen Vertreter oder vom Verein, der Akademie oder dem Verband (Trainer, Administrator, autorisierte Fachkraft) bereitgestellt, bei der Nutzung der Plattform erzeugt (Ergebnisse, Statistiken, Protokolle), im Rahmen einer beauftragten Integration aus einem verbundenen Vereins- oder Verbandssystem übernommen oder durch die Analyse freigegebener Videoaufnahmen und statistischer Daten abgeleitet werden.
Daten aus öffentlichen oder fremden Quellen werden nicht allein deshalb importiert, weil sie technisch zugänglich sind. Für jede Quelle werden Rechtmäßigkeit, Qualität und Nutzungsrecht dokumentiert.
6. Zwecke und Rechtsgrundlagen
| Zweck | Rechtsgrundlage |
|---|---|
| Registrierung, Zugang und Verwaltung von Profil und Kundenkonto | Art. 6 Abs. 1 lit. b DSGVO: Vertrag oder vorvertragliche Maßnahmen; für vom Kunden angelegte Profile wird die Rechtsgrundlage vom Kunden bestimmt |
| Trainingseinheiten, Anwesenheit, Turniere, Lizenzierung, Registrierung und Sportstatistiken | Vertrag, rechtliche Verpflichtung oder berechtigtes Interesse je nach konkreter Rolle; bei Kindern erfolgt eine gesonderte Abwägung des Kindeswohls |
| Körperliche Tests, Selbsteinschätzungen und sportliche Empfehlungen | Vertrag oder berechtigtes Interesse; soweit die Informationen den Gesundheitszustand offenbaren, ausdrückliche Einwilligung nach Art. 9 Abs. 2 lit. a DSGVO, die vom Kunden eingeholt wird |
| Gesundheits- und medizinische Daten (ärztliche Bescheinigungen, Versicherungen, Einschränkungen) | ausdrückliche Einwilligung nach Art. 9 Abs. 2 lit. a DSGVO oder eine andere anwendbare Grundlage nach Art. 9 Abs. 2, die vom Kunden als Verantwortlichem festgelegt und dokumentiert wird (z. B. Erfüllung regulatorischer Anforderungen für die Zulassung zu Wettkämpfen) |
| Fotos und Videos zur Sportanalyse | Vertrag, berechtigtes Interesse oder Einwilligung je nach Kontext, Erwartungen und Risiko; für die Veröffentlichung zu Werbezwecken gesonderte Einwilligung |
| DimAI-Analysen und allgemeine Empfehlungen | die Rechtsgrundlage folgt dem Zweck und den Eingabedaten; künstliche Intelligenz stellt keine eigenständige Rechtsgrundlage dar |
| Rechnungsstellung und Buchhaltung (bei Einführung kostenpflichtiger Tarife) | Art. 6 Abs. 1 lit. c DSGVO: rechtliche Verpflichtung; lit. b: Vertrag |
| Sicherheit, Verhinderung von Betrug und Missbrauch, Schutz von Rechten | Art. 6 Abs. 1 lit. f DSGVO: berechtigtes Interesse nach Interessenabwägung |
| Support und Kommunikation | Vertrag, berechtigtes Interesse oder Einwilligung je nach Anliegen |
| Partnerprogramm | Art. 6 Abs. 1 lit. b DSGVO: Vertrag mit dem Partner |
| Elektronisches Marketing | Einwilligung, soweit gesetzlich erforderlich; Bestandskunden werden nur in den gesetzlich zulässigen Grenzen und mit einfacher Abmeldemöglichkeit informiert |
7. Daten von Kindern
EvolixSport ist auch für Sportvereine und Akademien bestimmt, weshalb die Verarbeitung von Daten von Kindern eine vorhersehbare Kerntätigkeit ist. Es gelten erhöhte Transparenz, Datenminimierung, eingeschränkter Zugriff und datenschutzfreundliche Voreinstellungen.
- Beruht die Erbringung eines Dienstes unmittelbar gegenüber einem Kind auf einer Einwilligung, wird diese für ein Kind unter 14 Jahren nach bulgarischem Recht von einem Elternteil oder Vormund erteilt oder genehmigt. Identität und Vertretungsbefugnis werden in verhältnismäßiger Weise überprüft.
- Das Profil eines Kindes wird vom Kunden (Trainer oder Vereinsadministrator) oder von einem Elternteil/gesetzlichen Vertreter angelegt. Der Elternteil erhält Zugang zu den Daten des Kindes über das Elternportal nur nach einer vom Verein ausgestellten Einladung mit Code und sieht ausschließlich die Daten des betreffenden Kindes.
- Ist die Rechtsgrundlage ein Vertrag, eine rechtliche Verpflichtung oder das berechtigte Interesse der Organisation, wird keine förmliche Einwilligung als bloße Scheinabsicherung eingeholt.
- Daten von Kindern werden nicht für verhaltensbasierte Werbung, Profiling zu kommerziellen Zwecken oder das Training von Modellen verwendet. Die Veröffentlichung von Fotos und Videos von Kindern zu Werbezwecken oder in sozialen Netzwerken wird getrennt von der Teilnahme an der sportlichen Aktivität geregelt und erfordert eine gesonderte Rechtsgrundlage.
- Mit Erreichen der Volljährigkeit kann der Sportler die Kontrolle über sein Profil übernehmen; der Zugang des Elternteils wird auf seinen Antrag oder auf Antrag des Kunden beendet.
8. Fotos, Videos und Videoanalyse
Fotos und Videoaufnahmen dürfen für Sportanalyse, taktische Vorbereitung, Statistiken, Spielberichterstattung, Sicherheit oder Kommunikation nur verarbeitet werden, wenn der Zweck vorab festgelegt wurde und die Personen informiert sind. Für jede Funktion werden die Art der Aufnahme, der Umfang, der Zugriff, die Speicherdauer, die Möglichkeit zum Herunterladen und die Folgen einer Ablehnung festgelegt.
Das Videoanalysemodul extrahiert aus der Aufnahme Körperschlüsselpunkte (Pose und Bewegung), um Technik und Belastung zu bewerten. Die automatische Extraktion von Körper- und Bewegungsmerkmalen ist keine biometrische Identifizierung: Das System zielt nicht auf die eindeutige Erkennung eines Gesichts ab und vergleicht keine Gesichter oder Stimmen zwischen Aufnahmen. Sollte künftig eine Funktion zur biometrischen Identifizierung vorgesehen werden, wird sie nicht ohne gesonderte rechtliche Prüfung, Folgenabschätzung und anwendbare Rechtsgrundlage nach Art. 9 DSGVO aktiviert.
Die Videoanalyse erfolgt auf unserer Infrastruktur in der EU. Derzeit werden keine Videodateien an externe Anbieter übermittelt. Sollten wir einen externen Anbieter für die Videoanalyse einsetzen, wird dieser vor der Aktivierung in die Liste der Unterauftragsverarbeiter aufgenommen.
9. Einsatz künstlicher Intelligenz: DimAI
9.1. Transparenz
Vor einer direkten Interaktion wird der Nutzer klar darauf hingewiesen, dass er mit einem System künstlicher Intelligenz und nicht mit einem Menschen kommuniziert. DimAI gibt allgemeine sportliche, taktische, konditionelle und informative Empfehlungen. Diese ersetzen keinen Arzt, Psychologen, Physiotherapeuten, Trainer, Schiedsrichter oder eine andere qualifizierte Person. Von künstlicher Intelligenz erzeugte Inhalte (zum Beispiel automatische Spielberichte oder Artikel) werden als solche gekennzeichnet, soweit die KI-Verordnung dies verlangt.
9.2. Eingabedaten und Anbieter
DimAI nutzt ein externes Sprachmodell, das von Groq, Inc. (USA) bereitgestellt wird. An den Anbieter werden ausschließlich die für die konkrete Anfrage erforderlichen Textdaten übermittelt: die Frage des Nutzers und sportlicher Kontext, zum Beispiel Name oder Initialen eines Sportlers, Altersklasse, Position, Testergebnisse, Anwesenheit, Selbsteinschätzungen und Statistiken. Im Verbandsmodul werden die Namen vor der Übermittlung pseudonymisiert. Nicht übermittelt werden Kontaktdaten, Zahlungsdaten, medizinische Dokumente, Fotos oder Videos. Nach den geltenden Bedingungen des Anbieters werden die Anfragen nicht zum Training oder zur Verbesserung seiner Modelle verwendet und nach der Verarbeitung der Anfrage von ihm nicht gespeichert, außer für einen kurzen Zeitraum zu Sicherheitszwecken. Die aktuelle Liste der Anbieter und der Übermittlungsmechanismen finden Sie in den Abschnitten 11 und 12.
Vor der Aktivierung eines neuen KI-Moduls dokumentieren wir die genauen Eingabe- und Ausgabedaten, den Zweck, die Logik der Analyse, die bekannten Grenzen, die menschliche Aufsicht und die Kategorien der betroffenen Personen.
9.3. Grenzen und menschliche Aufsicht
Die Nutzer dürfen keine medizinischen Diagnosen, psychologischen Beurteilungen, Ausweisdokumente oder sonstige sensible Daten in DimAI eingeben, es sei denn, das jeweilige Modul ist ausdrücklich für deren Verarbeitung freigegeben und die Benutzeroberfläche gibt die entsprechenden Hinweise.
Das Ergebnis von DimAI wird als unterstützende Information behandelt. Entscheidungen über Gesundheit, Belastung, Auswahl, Lizenzierung, Disziplinarmaßnahmen, Vertrag, Teilnahme oder Ausschluss werden von einer sachkundigen Person getroffen, die die Quellen prüfen und die Empfehlung verwerfen kann.
EvolixSport setzt künstliche Intelligenz nicht zur Emotionserkennung, zum Social Scoring, für manipulative Techniken oder für andere nach Art. 5 der KI-Verordnung verbotene Praktiken ein. Sollte eine Funktion entwickelt werden, die in den Anwendungsbereich der Hochrisiko-KI-Systeme fällt, wird sie nicht ohne eine neue rechtliche und technische Bewertung freigegeben.
9.4. Richtigkeit und Einwände
Künstliche Intelligenz kann unvollständige, ungenaue oder unangemessene Informationen erzeugen. Jeder Nutzer kann unter office@evolixsport.com eine menschliche Überprüfung verlangen, ein Ergebnis anfechten und ein Problem melden. Wesentliche Fehler und die vorgenommenen Korrekturen werden dokumentiert.
10. Automatisierte Entscheidungen und Profiling
EvolixSport trifft keine ausschließlich auf einer automatisierten Verarbeitung beruhenden Entscheidungen, die rechtliche Wirkung entfalten oder die Person in ähnlicher Weise erheblich beeinträchtigen. Sportliche Bewertungen und Empfehlungen von DimAI unterliegen einer substanziellen menschlichen Überprüfung durch einen Trainer oder eine andere sachkundige Person. Sollte eine solche Entscheidungsfindung eingeführt werden, wird diese Erklärung vor ihrer Aktivierung um Informationen über die involvierte Logik, die Tragweite und die angestrebten Auswirkungen ergänzt, das Recht auf Eingreifen einer Person, auf Darlegung des eigenen Standpunkts und auf Anfechtung gewährleistet und eine Folgenabschätzung durchgeführt.
11. Empfänger und Auftragsverarbeiter
Zugang zu personenbezogenen Daten können erhalten: autorisierte Personen von EvolixSport, nur soweit dies für Wartung und Sicherheit erforderlich ist; der jeweilige Kunde und seine autorisierten Nutzer entsprechend ihren Rollen; die nachstehend aufgeführten Anbieter; Buchhalter, Rechtsanwälte und Prüfer bei Bedarf; zuständige Behörden auf gesetzlicher Grundlage. Mit jedem Auftragsverarbeiter besteht ein Vertrag nach Art. 28 DSGVO, und der Einsatz von Unterauftragsverarbeitern wird kontrolliert.
| Unterauftragsverarbeiter | Tätigkeit | Land | Übermittlungsmechanismus |
|---|---|---|---|
| Hetzner Online GmbH | Hosting der Anwendungen und Datenbanken, Dateispeicherung, Backups | Deutschland (EU) | innerhalb des EWR – nicht erforderlich |
| Groq, Inc. | Sprachmodell für DimAI (Chat-Assistent, Analysen und Empfehlungen). Erhält nur Text-Anfragen; Daten werden nicht zum Modelltraining verwendet | USA | EU-Standardvertragsklauseln (Art. 46 DSGVO) und/oder EU-US Data Privacy Framework |
Geplanter Unterauftragsverarbeiter (noch nicht aktiv): Stripe Payments Europe, Ltd. (Irland (EU)) – Abwicklung von Online-Zahlungen und Abonnements. Kartendaten werden ausschließlich von Stripe verarbeitet. Wird mindestens 30 Tage vor der Aktivierung in die Liste aufgenommen.
Die Website lädt Schriftarten und Bibliotheken von Content Delivery Networks (Google Fonts, jsDelivr, unpkg). Beim Laden übermittelt der Browser die IP-Adresse des Besuchers an den jeweiligen Anbieter. Diese Anbieter erhalten von uns keine weiteren Daten.
12. Internationale Datenübermittlungen
Die Anwendungen, Datenbanken, Dateien und Sicherungskopien werden in einem Rechenzentrum in Deutschland (EU) gespeichert. Die einzige Übermittlung außerhalb des Europäischen Wirtschaftsraums erfolgt an den Anbieter des Sprachmodells für DimAI in den USA. Sie stützt sich auf die Standardvertragsklauseln der Europäischen Kommission (Art. 46 Abs. 2 lit. c DSGVO) und, sofern der Anbieter zertifiziert ist, auf das EU-US Data Privacy Framework, mit zusätzlichen Maßnahmen: Übermittlung nur der erforderlichen Textdaten, Pseudonymisierung, Verschlüsselung bei der Übertragung und vertragliches Verbot der Verwendung zu Trainingszwecken. Betroffene Personen können unter der angegebenen E-Mail-Adresse für Datenschutz Informationen über die geltenden Garantien oder eine Kopie davon anfordern.
13. Speicherfristen
Die Daten werden nicht länger als erforderlich gespeichert. Die konkrete Frist hängt vom Zweck, vom Vertrag, von gesetzlichen Verpflichtungen, Verjährungsfristen, einem zu erwartenden Rechtsstreit und den Weisungen des Kunden ab.
| Kategorie | Frist / Kriterium |
|---|---|
| Kundenkonto, Profile und Sportdaten in den Modulen | für die Dauer des Vertrags oder der Mitgliedschaft; nach Beendigung des Vertrags wird der Zugang gesperrt und die Daten werden 90 Tage für Export und Wiederherstellung aufbewahrt, danach gelöscht oder anonymisiert, sofern das Gesetz nichts anderes verlangt |
| Sporthistorie, Tabellen und Ergebnisse | Frist und Rechtsgrundlage werden vom Kunden bestimmt; archivierte und öffentliche Ergebnisse können in anonymisierter oder aggregierter Form aufbewahrt werden |
| Daten von Kindern | regelmäßige Überprüfung; Löschung oder Anonymisierung bei Wegfall des Zwecks (z. B. Austritt aus dem Verein), sofern keine gesetzliche Grundlage für eine Archivierung besteht |
| Gesundheitsdaten und Selbsteinschätzungen | bis zum Ablauf des Dokuments (Bescheinigung, Versicherung) oder bis zum Wegfall des vom Kunden festgelegten Zwecks; nicht länger als die Laufzeit des Profils |
| Fotos und Videos zur Analyse | bis zur Löschung durch den Nutzer oder den Kunden, jedoch nicht länger als die Laufzeit des Profils; die extrahierten Merkmale folgen der Frist der Aufnahme |
| DimAI-Unterhaltungen und -Ergebnisse | für die Dauer des Kontos, sofern nicht vom Nutzer früher gelöscht; Metadaten zu den Anfragen: 12 Monate; beim Anbieter: keine Speicherung nach der Verarbeitung, außer für einen kurzen Zeitraum zu Sicherheitszwecken gemäß seinen Bedingungen |
| Finanz- und Buchhaltungsunterlagen | die gesetzlichen Aufbewahrungsfristen des Buchhaltungs- und Steuerrechts (bis zu 10 Jahre) |
| Sicherheits- und Zugriffsprotokolle | 12 Monate, außer bei einem Vorfall oder einer gesetzlichen Anforderung |
| Support-Anfragen | bis zu 24 Monate nach Abschluss der Anfrage |
| Marketing-Einwilligung | bis zum Widerruf und für eine begrenzte Nachweisfrist danach |
| Betroffenenanfragen und Verzeichnis der Datenschutzverletzungen | für die zum Nachweis der Rechtmäßigkeit erforderliche Dauer (in der Regel 5 Jahre) |
14. Sicherheit
Wir setzen dem Risiko angemessene technische und organisatorische Maßnahmen um, darunter:
- Verschlüsselung bei der Übertragung (HTTPS/TLS) für alle Schnittstellen und HTTP-Sicherheitsheader;
- verschlüsselte Speicherung der besonderen Kategorien personenbezogener Daten und der Zugangscodes im Verbandsmodul; Passwörter werden ausschließlich als Hash mit einem modernen Algorithmus (Argon2id) gespeichert;
- ein Rollenmodell mit minimalen Berechtigungen und logische Trennung der Daten jedes Kunden; Eltern, Trainer, Vereine und Verbände sehen nur die für sie erforderlichen Daten;
- Schutz der Sitzungen (begrenzte Dauer, geschützte Cookies), Begrenzung und vorübergehende Sperrung nach mehrfachen fehlgeschlagenen Anmeldeversuchen, Zwei-Faktor-Authentifizierung für den administrativen Zugang des Betreibers;
- Protokollierung des Zugriffs auf sensible Daten und der administrativen Aktionen;
- regelmäßige Sicherungskopien in der EU, Schwachstellen- und Updatemanagement, regelmäßige Sicherheitsüberprüfungen und ein Verfahren für Vorfälle;
- vertragliche Vertraulichkeit für alle Personen mit Zugriff.
Die Nutzer sind verpflichtet, ihre Zugangsdaten zu schützen und uns bei Verdacht auf Missbrauch unverzüglich unter support@evolixsport.com zu informieren. Kein Internetsystem kann absolute Sicherheit garantieren. Bei einer Sicherheitsverletzung dokumentieren wir den Fall, bewerten das Risiko und benachrichtigen, soweit erforderlich, die Kommission für den Schutz personenbezogener Daten (KZLD) innerhalb von 72 Stunden nach Bekanntwerden, die betroffenen Kunden unverzüglich und die betroffenen Personen, wenn voraussichtlich ein hohes Risiko für ihre Rechte besteht.
15. Cookies und externe Ressourcen
Wir verwenden ausschließlich unbedingt erforderliche Cookies, für die keine Einwilligung erforderlich ist. Wir verwenden keine Analyse-, Werbe- oder Tracking-Cookies und verfolgen die Nutzer nach der Anmeldung in der Plattform nicht.
| Cookie | Zweck | Dauer |
|---|---|---|
| Sitzungscookie (Sitzungskennung) | Anmeldung, Aufrechterhaltung der Sitzung, Schutz vor Cross-Site-Request-Forgery (CSRF) | bis zu 30 Minuten Inaktivität oder bis zum Schließen des Browsers |
lang | speichert die vom Nutzer gewählte Sprache | 12 Monate |
Sollten wir künftig optionale Cookies oder Analysetechnologien einführen, werden diese nur nach vorheriger wirksamer Einwilligung über ein Einwilligungsfenster aktiviert, in dem die Ablehnung so einfach ist wie die Annahme, und ohne dass optionale Skripte vor der Auswahl geladen werden.
16. Rechte der betroffenen Personen
Unter den Voraussetzungen der DSGVO hat jede Person das Recht auf Information und Auskunft über ihre Daten; Berichtigung; Löschung; Einschränkung der Verarbeitung; Datenübertragbarkeit; Widerspruch gegen eine Verarbeitung auf Grundlage eines berechtigten Interesses; Widerruf einer erteilten Einwilligung, ohne dass die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung berührt wird; Schutz bei automatisierten Entscheidungen; und Beschwerde bei einer Aufsichtsbehörde.
Anträge sind zu richten an office@evolixsport.com. Registrierte Nutzer können selbst eine Kopie ihrer Daten in einem maschinenlesbaren Format (JSON) herunterladen und über ihr Profil in der Plattform einen Löschantrag stellen. Zum Schutz der Daten kann eine verhältnismäßige Überprüfung der Identität verlangt werden. Die Antwort erfolgt unverzüglich und in der Regel innerhalb eines Monats; bei komplexen oder zahlreichen Anträgen kann die Frist um weitere zwei Monate verlängert werden, worüber die Person informiert wird.
Verarbeitet EvolixSport Daten ausschließlich auf Weisung eines Kunden, wird der Antrag innerhalb von 5 Werktagen an den jeweiligen Verantwortlichen (den Verein oder Verband) weitergeleitet, und EvolixSport leistet ihm die vereinbarte Unterstützung. Der Kunde ist für die endgültige Entscheidung über den Antrag verantwortlich.
Eine Beschwerde kann bei der Kommission für den Schutz personenbezogener Daten (KZLD), bul. „Prof. Tsvetan Lazarov“ 2, 1592 Sofia, Bulgarien, cpdp.bg, eingereicht werden, unbeschadet des Rechts auf einen gerichtlichen Rechtsbehelf. Personen in anderen EU-Mitgliedstaaten können sich an die Aufsichtsbehörde ihres Wohnsitzes wenden.
17. Pflichtangaben und freiwillige Angaben
Felder, die für Registrierung, Vertrag, Lizenzierung, Sicherheit oder eine rechtliche Verpflichtung erforderlich sind, werden als Pflichtfelder gekennzeichnet. Ohne sie kann der jeweilige Dienst möglicherweise nicht erbracht werden. Daten für optionale Funktionen, Marketing oder Personalisierung werden freiwillig bereitgestellt; eine Ablehnung schränkt den Hauptdienst nicht ein, soweit die Daten dafür nicht erforderlich sind.
18. Änderungen dieser Erklärung
Die Erklärung wird bei jeder Änderung einer Funktion, eines KI-Modells, eines Anbieters, einer Datenkategorie, eines Zwecks, einer Rechtsgrundlage, einer Übermittlung oder einer rechtlichen Anforderung überprüft. Die aktuelle Fassung wird mit Versionsnummer und Datum veröffentlicht. Bei wesentlichen Änderungen erfolgt eine angemessene Benachrichtigung, in der Plattform oder per E-Mail, und, soweit erforderlich, wird eine neue Einwilligung eingeholt.
19. Kontakt
Fragen und Anträge zu personenbezogenen Daten können an EvolixSport per E-Mail an office@evolixsport.com gerichtet werden. Technische Fragen: support@evolixsport.com. Datenschutzbeauftragter: nicht benannt (für den Betreiber nicht verpflichtend); Anfragen werden über die genannte E-Mail bearbeitet.