Datenschutzerklärung

1. Verantwortlicher

Verantwortlich für die Datenverarbeitung ist:
Humatrix by Bernhard Lampl
Ried 80, 6363 Westendorf, Tirol, Österreich
office@humatrix.cc

2. Welche Daten wir verarbeiten

• Account-Daten: E-Mail, Name, Passwort (gehasht), Geburtsdatum
• Sportbezug: Sportart, Position, Verein (optional)
• Assessment-Daten: Antworten auf Fragebögen, Auswertungsergebnisse, Archetyp
• Fremdbild-Daten: Anonyme Antworten von Trainern, Mitspielern, Eltern, Partner:innen (Token-basiert, ohne Personenzuordnung für dich sichtbar)
• Technische Daten: IP-Adresse (nur als pseudonymisierter, gesalzener Hashwert gespeichert), Browser-Informationen (technisch notwendig)

3. Mindestalter 16 Jahre, Minderjährige

PlayerCheck richtet sich an Personen ab 16 Jahren. Maßgeblich ist das im Profil hinterlegte Geburtsdatum. Fehlt die Altersangabe oder ist sie unplausibel, wird vorsorglich abgewiesen. Daten von Personen unter 16 Jahren verarbeiten wir zur Erbringung kostenpflichtiger Leistungen derzeit nicht.

Für Nutzer:innen im Alter von 16 und 17 Jahren gelten zusätzlich folgende Schutzmaßnahmen:

• Verifizierte Zustimmung eines Erziehungsberechtigten zur Datenverarbeitung als Voraussetzung, bevor ein Assessment gestartet werden kann (Bestätigung über einen per E-Mail zugestellten Link)
• Speicherung der Eltern-E-Mail ausschließlich zur Einholung und Dokumentation dieser Zustimmung
• Kein eigener Kaufvertrag: Die Freischaltung erfolgt über ein verknüpftes Elternkonto oder eine Vereinslizenz
• Kein Partner-Feedback in dieser Altersgruppe
• Reports in altersgerechter, schutzorientierter Sprache
• Auskunft an Erziehungsberechtigte über die gespeicherten Daten jederzeit auf Anfrage
• Freigabe einer öffentlichen Player Card nur mit Zustimmung eines Erziehungsberechtigten

Ein Angebot für Personen unter 16 Jahren ist in Vorbereitung und derzeit nicht freigeschaltet.

4. Zweck und Rechtsgrundlage

Die Verarbeitung erfolgt zur Erfüllung des Nutzungsvertrags (Art. 6 Abs. 1 lit. b DSGVO) sowie auf Basis deiner Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Die Auswertungsergebnisse werden zur Erstellung deines Entwicklungsprofils verwendet.

E-Mails. Service-E-Mails zu deinen Checks — Bestellbestätigung, Report, Erinnerung an einen angefangenen Check oder an eine Messung — schicken wir zur Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO). Tipps und Angebote zu PlayerCheck schicken wir nur, wenn du bei der Registrierung ausdrücklich eingewilligt hast (Art. 6 Abs. 1 lit. a DSGVO, § 174 TKG 2021); die Einwilligung kannst du jederzeit über den Abmeldelink in jeder E-Mail widerrufen. Minderjährige erhalten keine Werbe-E-Mails.

Fremdbild. Die Rückmeldungen eingeladener Personen (Trainer:innen, Mitspieler:innen, Eltern, Lehrer:innen) werden dir nur zusammengefasst gezeigt — als Mittelwert ab drei Rückmeldungen, nie einzeln. Das gilt auch für die Datenauskunft (Art. 15 Abs. 4 DSGVO).

5. Dienstleister

Wir nutzen folgende Auftragsverarbeiter bzw. Dienstleister (jeweils auf Grundlage eines Auftragsverarbeitungsvertrags bzw. geeigneter Garantien):

Supabase, Vercel, Stripe, Resend und Anthropic sind bzw. gehören zu Unternehmen mit Sitz in den USA. Soweit dabei Daten in ein Drittland übermittelt werden, stützen wir uns auf das EU-US Data Privacy Framework (soweit der Anbieter zertifiziert ist) bzw. auf EU-Standardvertragsklauseln (Art. 45, 46 DSGVO).

• Supabase (Datenbank, Authentifizierung). Speicherung der Account-, Sport- und Assessment-Daten. Hosting in der EU (Region Frankfurt).
• Vercel (Hosting & Auslieferung der Anwendung). Dabei werden technisch notwendige Verbindungsdaten (inkl. IP-Adresse) verarbeitet.
• Stripe (Zahlungsabwicklung). Bei einem Kauf werden die für die Zahlung erforderlichen Daten direkt an Stripe übermittelt. Die Kartendaten verarbeitet ausschließlich Stripe; wir speichern keine vollständigen Zahlungsdaten.
• Resend (E-Mail-Versand). Verarbeitung von E-Mail-Adresse und Inhalt der System- und Report-E-Mails.
• Anthropic (Report-Generierung). Zur Erstellung deines Reports werden Vorname, Alters-/Leistungskontext (Altersmodus, Leistungsniveau, Spielkontext, Entwicklungsphase), Sport und Position, deine Achsenwerte, einzelne deiner Antworten im Wortlaut (als Belege für die Auswertung) sowie — soweit vorhanden — eine Zusammenfassung des Fremdbilds (ab drei Rückmeldungen) und der Verlauf früherer Messungen an Anthropic übermittelt und dort verarbeitet. Eine Übermittlung in die USA kann erfolgen; sie wird auf geeignete Garantien (EU-Standardvertragsklauseln) gestützt. Die Texte deines Reports werden so automatisiert mit einem KI-Sprachmodell erstellt; Achsenwerte und Typzuordnung berechnet ein festes, nachvollziehbares Regelwerk, nicht die KI. Eine Entscheidung mit rechtlicher Wirkung für dich wird daraus nicht getroffen.
• Crisp (Live-Chat-Support, sofern aktiviert). Wird der Chat geladen, können Name, E-Mail-Adresse und deine Nutzer-ID an Crisp übermittelt werden, damit wir deine Anfrage zuordnen können. Crisp setzt hierfür eigene Cookies bzw. nutzt lokalen Browserspeicher (siehe Abschnitt 7). Der Chat wird nur geladen, wenn du dem im Cookie-Hinweis zugestimmt hast.
• Schriftarten (selbst gehostet): Die verwendeten Schriftarten werden lokal von unserem Server ausgeliefert (Self-Hosting). Es findet dabei keinAbruf bei Google Fonts und somit keine Übermittlung deiner IP-Adresse an Google statt.

Hinweis: Die tatsächlichen Speicherorte und Vertragsgrundlagen richten sich nach den jeweils aktuellen Einstellungen und Verträgen mit diesen Anbietern.

6. Deine Rechte

Du hast jederzeit das Recht auf:

• Auskunft (Art. 15 DSGVO)
• Berichtigung (Art. 16 DSGVO)
• Löschung (Art. 17 DSGVO)
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruch (Art. 21 DSGVO)
• Beschwerde bei der Datenschutzbehörde (dsb.gv.at)

Kontakt für alle Datenschutzanliegen: office@humatrix.cc

7. Cookies & lokaler Speicher

Wir verzichten auf Werbe-Cookies und auf Third-Party-Analytics/Tracking zu Werbezwecken. Folgende Cookies bzw. Einträge im lokalen Browserspeicher können jedoch gesetzt werden:

• Login-/Session-Cookies (technisch notwendig): Erforderlich, um dich angemeldet zu halten. Werden von Supabase Auth gesetzt. Rechtsgrundlage: berechtigtes Interesse bzw. Vertragserfüllung (Art. 6 Abs. 1 lit. b/f DSGVO).
• Empfehlungs-/Attribution-Cookies: Kommst du über einen Empfehlungslink, speichern wir den Empfehlungscode in zwei Cookies (humatrix_ref und humatrix_ref_token) mit einer Laufzeit von rund 30 Tagen. Sie dienen ausschließlich dazu, eine Empfehlung der richtigen Person zuzuordnen (kein werbliches Profiling, keine Weitergabe an Werbenetzwerke). Du kannst den Dienst auch ohne diese Cookies vollständig nutzen.
• Cookie-Einstellung: Deine Auswahl im Cookie-Hinweis (z. B. ob der Support-Chat geladen werden darf) speichern wir lokal in deinem Browser, damit der Hinweis nicht erneut erscheint.
• Crisp (Support-Chat): Nur wenn du der Nutzung zugestimmt hast, wird der Crisp-Chat geladen. Crisp setzt dann eigene Cookies bzw. nutzt lokalen Browserspeicher, um den Chatverlauf einer Sitzung zuzuordnen. Stimmst du nicht zu, wird Crisp nicht geladen.

Über den Cookie-Hinweis kannst du zwischen „Nur notwendige" und „Alle akzeptieren" wählen. Technisch notwendige Cookies lassen sich systembedingt nicht abwählen, da ohne sie die Anmeldung nicht funktioniert.

8. Player ID und hochgeladene Fotos

Nutzer können freiwillig ein Foto zur Erstellung einer persönlichen Player ID hochladen. Das Originalfoto und die daraus erzeugte Verarbeitungsdatei werden in nicht öffentlichen Speicherbereichen gespeichert. Vor der Speicherung werden Bildmetadaten wie EXIF- und Standortinformationen entfernt. Aus dem Bild wird eine gerenderte Player-ID-Grafik erstellt. Das Originalfoto wird nicht öffentlich angezeigt.

Eine Player ID ist standardmäßig privat. Erst nach einer ausdrücklichen Veröffentlichung wird die fertige Karte über einen nicht indexierten Freigabelink abrufbar. Öffentlich sichtbar können der gewählte Anzeigename, Sportart, Position, Spielertyp, Profilmerkmale und das in die Karte eingebettete Foto sein.

Bei minderjährigen Nutzern ist für die öffentliche Darstellung von Name, Foto und Player ID eine gesonderte Freigabe über ein verknüpftes und bestätigtes Elternkonto erforderlich. Wird die Karte nach der Freigabe verändert, verliert die bisherige Freigabe ihre Gültigkeit.

Nutzer können ihre Player ID jederzeit wieder privat schalten oder vollständig löschen. Dabei werden der öffentliche Link und die zugehörigen Bilddateien deaktiviert beziehungsweise gelöscht.

9. Erfolgsmessung geteilter Player IDs

Nur nach Zustimmung zu optionalen Cookies können wir erfassen, ob eine geteilte Player ID angesehen wurde und ob daraus eine Registrierung oder ein Kauf entstanden ist. Hierfür verwenden wir eine zufällige, nicht unmittelbar identifizierende Browserkennung. Ohne Zustimmung erfolgt keine persistente Player-ID-Attribution. Die Kennung wird höchstens 30 Tage gespeichert.

10. Speicherdauer

Deine Daten werden gespeichert, solange dein Account aktiv ist. Löschst du dein Konto, werden deine Profil-, Assessment- und Fremdbild-Daten sofort gelöscht — einschließlich aller Antworten, Auswertungen und Report-Dateien. In Datensicherungen unserer Dienstleister können Kopien noch bis zu deren Ablauf vorhanden sein; sie werden nicht wiederhergestellt.

Zwei Dinge bleiben bewusst erhalten, weil das Gesetz sie verlangt. Wir nennen sie hier ausdrücklich, statt sie hinter „alles wird gelöscht“ zu verstecken:

• Der Nachweis deiner Kaufzustimmung. Wortlaut, Zeitpunkt, Betrag, AGB-Version und die Stripe-Zahlungsreferenz deines Kaufs bleiben gespeichert. Deine Kontoverknüpfung wird dabei entfernt — der Vorgang bleibt belegt, er ist dir aber nicht mehr zugeordnet. Rechtsgrundlage: Art. 17 Abs. 3 lit. e DSGVO (Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen), weil Ansprüche aus einem Vertrag noch Jahre nach dem Kauf geltend gemacht werden können.
• Die Dokumentation eines Widerrufs. Hast du einen Vertrag widerrufen, bleibt der Vorgang selbst dokumentiert (Zeitpunkt, betroffenes Produkt, Bearbeitungs­stand) — Name, E-Mail-Adresse und Nachrichtentext werden dabei ersetzt. Grundlage ist Art. 17 Abs. 3 lit. e DSGVO (Nachweis der Rückabwicklung nach §§ 14–16 FAGG).

Anonymisierte Auswertungs-Kennzahlen ohne Personenbezug können wir zur Qualitäts­sicherung und statistischen Auswertung des Verfahrens weiter verwenden. Anonymisiert heißt: Es ist uns nicht möglich, sie einer Person zuzuordnen.

Rechnungs- und Zahlungsdaten liegen bei unserem Zahlungsdienstleister Stripe und unterliegen dessen gesetzlichen Aufbewahrungsfristen.