Datenschutzerklärung

1. Verantwortlicher & Rollenverteilung

Holger Hafner
Gründelbuchweg 16, 88637 Buchheim
E-Mail: kontakt@peakguardai.de

Wichtig: Zwei Rollen

Für die Website, Kontaktanfragen, Trainer-Accounts und die Vertragsabwicklung sind wir Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO. Für die Athleten- und Gesundheitsdaten innerhalb der Plattform ist der jeweilige Verein bzw. Trainer Verantwortlicher – wir verarbeiten diese Daten als Auftragsverarbeiter nach Art. 28 DSGVO. Einen Auftragsverarbeitungsvertrag (AVV) stellen wir jedem Verein zur Verfügung.

2. Hosting & Server-Logs

Die Plattform wird gehostet bei:
IONOS SE, Elgendorfer Str. 57, 56410 Montabaur, Deutschland (Datenschutzerklärung IONOS). Alle Kerndaten der Plattform werden ausschließlich auf Servern in Deutschland gespeichert.

Beim Aufruf der Website werden automatisch folgende Daten temporär im Server-Log gespeichert:

• IP-Adresse
• Datum und Uhrzeit des Abrufs
• Aufgerufene URL
• Browser und Betriebssystem (User-Agent)
• HTTP-Statuscode

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Betriebssicherheit und Missbrauchsabwehr).
Speicherdauer: Server-Logs werden täglich rotiert und nach spätestens 14 Tagen gelöscht.

3. Cookies & Sessions

PeakGuard AI verwendet ausschließlich technisch notwendige Cookies – keine Tracking- oder Werbe-Cookies.

Session-Cookie

Beim Login als Trainer oder Admin wird ein verschlüsseltes Session-Cookie gesetzt, das die Anmeldesitzung aufrechterhält. Die Sitzung läuft bei Inaktivität automatisch ab; das Cookie wird beim Ausloggen gelöscht.

CSRF-Token

Jede Seite enthält ein CSRF-Schutz-Token, das Formularmissbrauch verhindert. Es wird pro Sitzung generiert und enthält keine personenbezogenen Daten.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO bzw. § 25 Abs. 2 Nr. 2 TDDDG. Da ausschließlich technisch notwendige Cookies verwendet werden, ist keine Cookie-Einwilligung erforderlich.

Keine externen Ressourcen beim Seitenaufruf: Schriften (Inter) und JavaScript-Bibliotheken werden lokal von unserem Server ausgeliefert. Beim bloßen Aufruf der Seiten wird keine Verbindung zu Google Fonts oder anderen CDNs aufgebaut.

4. Kontakt- & Beta-Anfragen

Wenn du über das Formular auf unserer Website einen Zugang anfragst, erheben wir folgende Daten:

• Vor- und Nachname
• E-Mail-Adresse
• Verein / Organisation
• Sportart, Anzahl Mannschaften, Nachricht (freiwillig)

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahmen) und lit. a (Einwilligung).
Speicherdauer: Bis zum Widerruf, längstens 2 Jahre nach Abschluss der Anfrage.

5. Trainer-Accounts & Vertragsabwicklung

Für registrierte Trainer verarbeiten wir: Name/Benutzername, E-Mail-Adresse, Passwort (nur als Hash), Team-Zuordnungen sowie Lizenz- und Rechnungsdaten.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).
Speicherdauer: Bis zur Löschung des Accounts; Rechnungsdaten gemäß gesetzlicher Aufbewahrungsfristen (§ 147 AO: bis zu 10 Jahre).

6. Athleten- und Gesundheitsdaten (Art. 9 DSGVO)

Kernfunktion der Plattform ist das Belastungs- und Wellness-Monitoring von Athleten. Dabei werden verarbeitet:

• Stammdaten: Vor- und Nachname, Team-Zugehörigkeit
• Geburtsdatum (Zweck: Altersprüfung für die Einwilligung Minderjähriger, s. u.)
• Trainingsdaten: Datum, Dauer, subjektives Belastungsempfinden (RPE), berechnete Kennzahlen (ACWR, Prognosen)
• Wellness-Daten: Müdigkeit, Schlafqualität und -dauer, Muskelkater, Stimmung, Stress, Regeneration
• Verletzungs- und Abwesenheitshistorie (Krankheit, Urlaub, Verletzung)
• Anwesenheits- und Zu-/Absagedaten zu Trainings und Spielen

Wellness-, Verletzungs- und Belastungsdaten sind Gesundheitsdaten im Sinne von Art. 9 Abs. 1 DSGVO.

Rechtsgrundlage: ausdrückliche Einwilligung nach Art. 9 Abs. 2 lit. a DSGVO. Die Einwilligung wird digital in der Plattform erfasst und protokolliert und kann jederzeit mit Wirkung für die Zukunft widerrufen werden.

Minderjährige

Bei Athleten unter 16 Jahren holen wir zusätzlich die Einwilligung der Erziehungsberechtigten ein (Art. 8 DSGVO). Dafür wird ein zeitlich begrenzter, einmalig nutzbarer Eltern-Link erzeugt, über den die Erziehungsberechtigten die Einwilligung digital erteilen. Das Geburtsdatum dient ausschließlich dieser Altersprüfung und der sportfachlichen Einordnung.

Speicherdauer & Löschung

• Trainings- und Wellness-Einträge werden nach 18 Monaten automatisch gelöscht (rollierende Löschung).
• Auf Anfrage stellen wir einen vollständigen Datenexport bereit (Art. 20 DSGVO) und löschen sämtliche Daten eines Athleten (Art. 17 DSGVO).
• Bei Widerruf der Einwilligung wird die Verarbeitung eingestellt.

Rollenhinweis: Verantwortlicher für diese Daten ist der jeweilige Verein/Trainer; wir verarbeiten sie als Auftragsverarbeiter (siehe Abschnitt 1).

7. Video-Analyse & Reels

Trainer können Videoausschnitte (z. B. Spielszenen, „Reels") hochladen und gezielt mit ihrem Team oder einzelnen Athleten teilen. Dabei werden verarbeitet: Bewegtbilder der Athleten, Titel/Beschreibung, Zuordnung zu Athleten, Ansichts- und Lesebestätigungen sowie freiwillige Kommentare der Athleten.

• Die Sichtbarkeit steuert der Trainer (ganzes Team, einzelne Spieler oder privat).
• Reels können mit einem Ablaufdatum versehen werden und werden danach automatisch und endgültig gelöscht (Videodatei, Vorschaubild, Bestätigungen und Kommentare).
• Rohvideos ganzer Spiele verbleiben lokal beim Trainer (Desktop-App) und werden nicht auf den Server hochgeladen – übertragen werden nur fertige Kurz-Clips und Analyse-Markierungen.

Rechtsgrundlage: Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, bei Minderjährigen i. V. m. Art. 8); Verantwortlicher ist der Verein/Trainer, wir sind Auftragsverarbeiter.

8. Spieler-Zugang (Quicklink)

Athleten greifen ohne eigenes Passwort über einen persönlichen, zufällig erzeugten Link (Token) auf ihre Daten zu. Der Link ist nicht erratbar, zugriffs-ratenbegrenzt und kann vom Trainer jederzeit neu erzeugt (und damit der alte entwertet) werden. Über den Link können Athleten eigene Daten eingeben, ihren Wochenplan sehen, zu-/absagen und – sofern freigegeben – ihre Belastungswerte und Reels einsehen.

Optional kann der Trainingsplan als Kalender-Abo (iCal) abonniert werden; die Abo-URL enthält ebenfalls ein persönliches Token und liefert nur Termindaten aus.

9. E-Mail-Versand

Für Systemmails (Einladungen, Passwort-Zurücksetzen, Wochen-/Vereinsberichte an Trainer, Warnhinweise) nutzen wir den Mailserver unseres Hosting-Anbieters IONOS SE (Server in Deutschland, Auftragsverarbeitung). Übertragen werden Empfänger-Adresse, Betreff und Berichtsinhalte.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) bzw. lit. f (Systemsicherheit).

10. Push-Benachrichtigungen (optional)

Auf Wunsch können Web-Push-Benachrichtigungen (z. B. Termin-Erinnerungen) aktiviert werden. Diese Funktion ist standardmäßig deaktiviert und wird nur nach ausdrücklicher Zustimmung im Browser eingerichtet. Die Zustellung erfolgt technisch bedingt über den Push-Dienst des jeweiligen Browser-Anbieters (z. B. Google, Apple, Mozilla); dabei kann eine Übermittlung in Drittländer (USA) stattfinden. Die Nachrichteninhalte sind auf das Nötigste beschränkt.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung, jederzeit in den Browser-Einstellungen widerrufbar).

11. Zahlungsabwicklung (Stripe)

Lizenz-Zahlungen werden über Stripe Payments Europe, Ltd. (Irland) abgewickelt (Hosted Checkout). Zahlungsdaten (Karten-/Kontodaten, Name, E-Mail, Rechnungsbetrag) werden direkt bei Stripe eingegeben und nicht auf unseren Servern gespeichert. Stripe kann Daten an die Muttergesellschaft in den USA übermitteln; Grundlage sind der EU-US Data Privacy Framework bzw. Standardvertragsklauseln (Datenschutzerklärung Stripe).

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung). Stripe wird nur beim Kauf einer Lizenz eingebunden – nicht beim normalen Besuch der Website.

12. Eingebettete Videos (YouTube / Vimeo)

Einzelne Übungen im Trainingskatalog enthalten Lehrvideos, die von YouTube (Google Ireland Ltd.) im erweiterten Datenschutzmodus („youtube-nocookie.com") oder von Vimeo eingebettet werden. Eine Verbindung zu diesen Anbietern wird erst beim Öffnen einer Übung mit Video aufgebaut – nicht beim normalen Seitenaufruf. Dabei erhält der Anbieter die IP-Adresse; eine Übermittlung in die USA ist möglich (Grundlage: EU-US Data Privacy Framework bzw. Standardvertragsklauseln).

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Bereitstellung von Lehrmaterial); die Nutzung der Videofunktion ist freiwillig.

13. Keine Weitergabe an Dritte, kein Tracking

Über die in dieser Erklärung genannten Auftragsverarbeiter und Dienste hinaus geben wir keine Daten weiter, außer wir sind gesetzlich dazu verpflichtet.

• Keine Analyse-Tools (Google Analytics, Matomo etc.)
• Keine Werbenetzwerke, keine Social-Media-Plugins
• Keine Profilbildung, kein Verkauf von Daten

14. Deine Rechte (Art. 15–22 DSGVO)

Du hast jederzeit folgende Rechte:

Zur Ausübung deiner Rechte wende dich an: kontakt@peakguardai.de – bei Athletendaten ggf. zusätzlich an deinen Verein/Trainer als Verantwortlichen.

Du hast außerdem das Recht, bei der zuständigen Datenschutz-Aufsichtsbehörde Beschwerde einzulegen. Die zuständige Behörde für Baden-Württemberg ist der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg (LfDI BW) .

15. Datensicherheit

Wir setzen technische und organisatorische Sicherheitsmaßnahmen ein, um deine Daten zu schützen:

• Verschlüsselte Übertragung via HTTPS/TLS
• Team-basierte Zugriffskontrolle: Trainer sehen nur die eigenen Mannschaften
• CSRF-Schutz, Rate-Limits und Sicherheits-Header auf allen Seiten
• Passwörter ausschließlich als Hash, Sitzungen mit automatischem Ablauf
• Automatische Löschkonzepte (18-Monate-Regel, Reel-Ablauf, Log-Rotation)
• Regelmäßige Datensicherungen und Sicherheits-Audits

16. Änderungen dieser Datenschutzerklärung

Wir behalten uns vor, diese Datenschutzerklärung bei Bedarf zu aktualisieren, um sie an geänderte Rechtslage oder Leistungsänderungen anzupassen. Die jeweils aktuelle Version ist stets auf dieser Seite abrufbar. Bei wesentlichen Änderungen informieren wir registrierte Nutzer per E-Mail.

Stand: 4. Juli 2026