Datenschutz

1. Wer ist verantwortlich?

Verantwortlich für die Datenverarbeitung in Volleykit ist Christoph Mayer, Zähringerstraße 1, 76131 Karlsruhe, Deutschland.

E-Mail: chrisi.mayer@gmail.com · Telefon: 0721 60903701

Volleykit ist ein unabhängiges, nicht kommerzielles Projekt für eine selbst organisierte Gruppe von Volleyballtrainern. Es ist kein offizielles KIT-Angebot. Diese Erklärung betrifft Volleykit, nicht das offizielle Kursportal.

2. Welche Daten, woher und wofür?

• Kursorganisation: Namen, offizielle Personenkennungen, Kurszuordnungen, Termine und Orte. Trainer importieren diese aus mein-hochschul.sport.kit.edu mit dem Zugang, den sie bereits für ihre Kurse haben. Öffentlich sichtbare Trainerzuordnungen können ebenfalls importiert werden.
• Training: Anwesenheit, Absagen, vereinbarte Trainingsverpflichtungen, deren Status und notwendige Notizen. Diese Angaben stammen von dir und den Trainern. Änderungsprotokolle halten fest, wer wann etwas geändert hat.
• Kontozugang: dein gewählter Name, Rolle, Sprache, öffentliche Passkey-Zugangsdaten, Passkey-/Gerätenamen, technische Gerätekategorie, Anmeldungen, Einladungs- und Wiederherstellungslinks. Volleykit erhält weder deinen Fingerabdruck noch einen Gesichtsscan. Diese Prüfung übernimmt dein Gerät oder Passkey-Anbieter.
• Betrieb und Sicherheit: Verbindungsdaten wie IP-Adresse, angeforderte Ressource und Zeitpunkt sowie technische Fehlerangaben, wie unten beschrieben.

Wir verwenden die Daten für die Trainingsorganisation, nachvollziehbare Anwesenheitslisten, die Zugangsverwaltung und den Schutz des Dienstes. Grundlage sind berechtigte Interessen nach Art. 6 Abs. 1 lit. f DSGVO: praktische Kursorganisation und ein sicherer, begrenzter Zugriff. Diese Interessen sind gegen die Rechte der Teilnehmenden abzuwägen; du kannst wie unten beschrieben widersprechen.

Ein eigener Login ist freiwillig. Auch ohne Login kann dein Trainer Kurs- und Anwesenheitsdaten führen. Ohne Login stehen dir die Selbstbedienungsfunktionen der App nicht zur Verfügung; wende dich stattdessen an deinen Trainer. Es gibt keine automatisierten Entscheidungen mit rechtlicher oder ähnlich erheblicher Wirkung und kein Werbeprofiling.

Bitte keine Diagnosen, medizinischen Details oder anderen sensiblen Angaben in Notizen eintragen. Eine Absage muss in Volleykit nicht medizinisch begründet werden.

3. Wer kann die Daten sehen?

Administratoren verwalten Konten und Kurse. Berechtigte Trainer und eingeteilte Vertretungen sehen die für ihre Kurse oder Termine benötigten Daten. Teilnehmende sehen ihre eigenen Angaben und gegebenenfalls die Vornamen anderer erwarteter Teilnehmender – nicht deren Nachnamen, Anwesenheitsentscheidungen oder Verpflichtungen.

Die Anwendung läuft auf einem VPS von IPAX in Wien, Österreich. Verschlüsselte Sicherungen sind auf einem VPS von IONOS in Berlin, Deutschland vorgesehen. Beide Standorte liegen in der EU. Hosting- und Sicherungsanbieter werden als Auftragsverarbeiter nach Art. 28 DSGVO eingesetzt; die jeweiligen Auftragsverarbeitungsverträge müssen die genutzten Leistungen abdecken. Volleykit überträgt keine Teilnehmendendaten zurück an das offizielle Kurssystem.

Es sind keine Werbe- oder Analysedienste eingebunden. Schriftarten und QR-Code-Erzeugung werden lokal bereitgestellt.

Wenn du uns eine E-Mail schickst, werden deine Kontaktdaten und deine Nachricht zur Bearbeitung verarbeitet (Art. 6 Abs. 1 lit. f DSGVO, bei gesetzlichen Betroffenenanfragen Art. 6 Abs. 1 lit. c DSGVO). Das Kontaktpostfach nutzt Google Gmail. E-Mails können außerhalb der EU, insbesondere in den USA, verarbeitet werden. Google erläutert Schutzmechanismen wie den EU-US-Datenschutzrahmen und Standardvertragsklauseln in seinen Informationen zur Datenübermittlung. Sende bitte keine unnötigen sensiblen Kursdaten per E-Mail. Die Korrespondenz wird gelöscht, sobald das Anliegen erledigt ist und keine gesetzliche Pflicht oder dokumentierte Notwendigkeit eine weitere Aufbewahrung erfordert.

4. Cookies, Passkeys und Offline-Speicher

Das notwendige Cookie vk_session hält dich bis zu 30 Tage angemeldet, sofern du dich nicht vorher abmeldest oder der Zugang entfernt wird. Es dient nicht dem Tracking.

Die App speichert Kursdaten, noch nicht übertragene Änderungen und bei berechtigten Trainern Einladungskarten im Browser, damit die gewünschten Offline-Funktionen arbeiten. Hinzu kommen zwischengespeicherte App-Dateien und Einstellungen. Dafür werden Browserdatenbanken und Caches genutzt, nicht nur Cookies. Für den ausdrücklich gewünschten Dienst notwendige Speicherung erfolgt nach § 25 Abs. 2 Nr. 2 TDDDG; für die anschließende Verarbeitung personenbezogener Daten gilt die oben genannte DSGVO-Grundlage.

Beim Abmelden löscht die App ihre lokal gespeicherten Kontodaten und ausstehenden Änderungen. Dein Passkey bleibt auf dem Gerät oder im Passwortmanager, bis du ihn dort löschst. Geräteanbieter können Passkeys nach ihren eigenen Bedingungen synchronisieren.

Verwende ein gesperrtes, persönliches Gerät. Ein entzogener Zugang kann einen offline befindlichen Browser nicht aus der Ferne löschen. Entferne die Websitedaten von Geräten, die du nicht mehr nutzt oder kontrollierst. Dabei können noch nicht synchronisierte Änderungen verloren gehen.

5. Serverprotokolle

Verbindungsdaten werden benötigt, um Seiten auszuliefern und den Server zu schützen. Die Bereitstellungskonfiguration deaktiviert reguläre nginx-Zugriffsprotokolle für Volleykit. Fehlerprotokolle können IP-Adressen, Anfragepfade, Zeitpunkte und technische Fehler enthalten. Sie werden täglich rotiert und höchstens sieben Tage aufbewahrt; für einen konkreten Sicherheitsvorfall benötigte Auszüge können zur Aufklärung länger gespeichert werden.

Anwendungsfehlerprotokolle enthalten technische Fehlercodes und Anfragekennungen. Anfrageinhalte, offizielle Zugangsdaten und vollständige Importantworten dürfen nicht protokolliert werden. Grundlage für Fehleranalyse und Sicherheit ist Art. 6 Abs. 1 lit. f DSGVO; die Protokolle dienen nicht der Verhaltensanalyse.

6. Wie lange bleiben Daten gespeichert?

• Kurse und Trainingsverlauf: werden durch die regelmäßige Wartung zwölf Monate nach Ende des Lehrzeitraums gelöscht. Das ermöglicht Korrekturen und die Nachverfolgung über Kurswechsel hinweg.
• Inaktive Teilnehmendenzugänge: Passkeys und Anmeldungen verfallen nach zwölf Monaten ohne Nutzung, wenn keine aktuelle Einschreibung besteht. Namen bleiben erhalten, solange zugehörige Kursdaten aufbewahrt werden; Teilnehmendenkonten ohne verbleibende Kurszuordnungen werden anschließend gelöscht. Trainer- und Adminkonten werden manuell verwaltet.
• Vorübergehende Importe: Vorschauen sind 15 Minuten gültig. Abgelaufene Vorschauen und Links entfernt die regelmäßige Wartung. Offizielle Zugangsdaten und Zugriffstokens werden nur für den unmittelbaren Import genutzt und nicht absichtlich gespeichert.
• Technische Aktionsbestätigungen: bleiben bis zu 400 Tage gespeichert, um mehrfach übertragene Offline-Änderungen zu erkennen; danach werden sie bei der Wartung gelöscht.
• Sicherungen: verschlüsselte Sicherungen können zuvor gelöschte Daten bis zu weitere 30 Tage enthalten. Sie dienen nicht als laufendes Archiv.
• Browserkopien: bleiben bis zum Abmelden, Löschen der Websitedaten oder einer Bereinigung durch den Browser. Offline-Kopien verschwinden nicht automatisch, wenn Serverdaten gelöscht werden.

Das Entfernen eines Kontozugangs oder das Aufheben einer Zuordnung löscht nicht die Trainingsdaten. Für ein Löschbegehren nutze bitte den oben genannten Kontakt.

7. Deine Rechte und Hilfe

Du kannst Auskunft über deine Daten sowie Berichtigung, Löschung oder Einschränkung der Verarbeitung verlangen. Unter den gesetzlichen Voraussetzungen besteht auch ein Recht auf Datenübertragbarkeit. Es gelten die Voraussetzungen der DSGVO – das ist keine uneingeschränkte Zusage, jeden Datensatz sofort zu löschen.

Du kannst einer Verarbeitung auf Grundlage berechtigter Interessen aus Gründen deiner besonderen Situation widersprechen (Art. 21 DSGVO). Wende dich dafür an Christoph Mayer über den oben genannten Kontakt. Wir prüfen dein Anliegen und erläutern gegebenenfalls Gründe für eine weitere Verarbeitung. Dafür kann eine Identitätsprüfung nötig sein; Anfragen werden normalerweise innerhalb eines Monats beantwortet.

Du kannst dich bei einer Datenschutzaufsichtsbehörde beschweren, insbesondere an deinem Wohn- oder Arbeitsort oder am Ort eines vermuteten Verstoßes. In Baden-Württemberg ist dies der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg (LfDI).

8. Information vor der Registrierung

Importierte Datensätze können schon vor deinem eigenen Login vorhanden sein. Trainer müssen dir diese Information bei der Einführung von Volleykit geben, spätestens innerhalb der maßgeblichen DSGVO-Frist – normalerweise einen Monat nach dem Import, gegebenenfalls schon bei der ersten Kontaktaufnahme oder Weitergabe. Die Einladungskarte enthält die Datenschutzadresse; bei Unklarheiten frage deinen Trainer.