Datenschutzerklärung

1. Verantwortlicher und Rollen

Betreiber von Ratijo („wir“):

[Vor- und Nachname bzw. Firma]
[Straße und Hausnummer]
[Postleitzahl und Ort]
E-Mail: info@ratijo.de

Datenschutzbeauftragter: [Name und Kontakt, falls benannt – sonst: „Ein Datenschutzbeauftragter ist nicht benannt, da keine Pflicht besteht.“]

Ratijo kennt zwei Rollen:

• Website, Demo und Anfragen: Für den Besuch von ratijo.de, die Demo und Anfragen an uns sind wir Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO.
• Nutzung im Verein: Für alle Daten, die du als Mitglied eines Vereins in Ratijo verarbeitest (Konto im Verein, Mannschaften, Trainingseinheiten, Befinden), ist dein Verein der Verantwortliche. Wir verarbeiten diese Daten als Auftragsverarbeiter nach Art. 28 DSGVO, nur nach Weisung des Vereins und auf Grundlage eines Vertrags zur Auftragsverarbeitung. Wende dich mit Fragen und Anträgen zu diesen Daten bitte an deinen Verein; wir unterstützen ihn dabei. Du kannst dich auch direkt an uns wenden – wir leiten dein Anliegen dann weiter.

2. Hosting und Infrastruktur

• Server: Website, Programmierschnittstelle und Datenbank laufen bei Uberspace ([Anbieter mit Anschrift laut Vertrag]) auf Servern in Deutschland. Mit dem Anbieter besteht ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO.
• Namensauflösung (DNS): Die Domain ratijo.de wird bei Cloudflare verwaltet, ausschließlich als Namensdienst. Seitenaufrufe und Inhalte laufen nicht über Cloudflare.
• E-Mail-Versand: E-Mails (Einladungen, Bestätigungen, Links zum Zurücksetzen des Zugangs) versenden wir über den Mailserver unseres Hosters in Deutschland. Sie enthalten keine Gesundheitsdaten, keine Zählpixel und keine nachgeladenen Bilder.

3. Besuch der Website

Beim Aufruf von ratijo.de verarbeitet der Server technisch notwendige Angaben: IP-Adresse, Datum und Uhrzeit, aufgerufene Adresse, Statuscode, übertragene Datenmenge und Browserkennung. Das ist nötig, um die Seite auszuliefern und Angriffe abzuwehren (Art. 6 Abs. 1 lit. f DSGVO). Die Protokolle des Webservers werden nach [Anzahl] Tagen gelöscht. Zum Schutz vor Missbrauch (etwa wiederholten Anmeldeversuchen) zählt die Anwendung Anfragen je IP-Adresse kurzzeitig im Arbeitsspeicher, ohne sie zu speichern.

Keine Tracker, keine Werbung, keine externen Inhalte: Wir setzen keine Analyse- oder Werbedienste ein und laden keine Inhalte von Dritten, auch keine Schriften. Links zu wissenschaftlichen Quellen öffnen externe Seiten erst, wenn du sie anklickst.

Cookies und Speicher im Browser: Auf den öffentlichen Seiten setzen wir keine Cookies. Nach der Anmeldung verwenden wir nur technisch notwendige Speicher (§ 25 Abs. 2 Nr. 2 TDDDG):

• Cookie bs_refresh: hält dich angemeldet; nur für die Anmelde-Schnittstelle, nicht per JavaScript lesbar, gültig 30 Tage bzw. bis zur Abmeldung.
• Lokaler Speicher: Farbschema (theme), zuletzt gewählter Verein (bs.activeClub), Merker „war angemeldet“ (bs.session), Ansicht der Planung (bs.planning.view) und während der Registrierung ein Fortschrittsmerker (bs.signupDone).

Die Web-App lässt sich installieren. Der dafür genutzte Service Worker speichert nur die Programmdateien, keine Inhalte deines Kontos.

4. Kontakt

Wenn du uns schreibst (info@ratijo.de), verarbeiten wir deine Angaben, um die Anfrage zu beantworten (Art. 6 Abs. 1 lit. b bzw. lit. f DSGVO). Wir löschen sie, wenn die Anfrage erledigt ist und keine gesetzlichen Aufbewahrungspflichten bestehen.

5. Demo

Die Demo funktioniert ohne Konto. Sie legt einen eigenen Demo-Verein mit erfundenen Daten an; für die Dauer der Demo setzen wir das Anmelde-Cookie (siehe oben). Der Demo-Verein und alle darin eingetragenen Angaben werden nach 24 Stunden automatisch gelöscht, auf Wunsch sofort über „Demo beenden“. Bitte trage in der Demo keine echten Gesundheitsdaten ein.

6. Konto und Anmeldung

Ein Konto erhältst du über eine Einladung deines Vereins (Einladungscode). Wir verarbeiten dafür (Art. 6 Abs. 1 lit. b DSGVO, im Auftrag des Vereins):

• Vor- und Nachname, Rolle im Verein und in Mannschaften, optional Rückennummer und Position
• optional deine E-Mail-Adresse – gespeichert erst nach Bestätigung, genutzt für Erinnerungen und zum Wiederherstellen des Zugangs
• Zugangsdaten: Passwort nur als sicherer Hashwert (Argon2id); bei Passkeys nur der öffentliche Schlüssel – Face ID, Fingerabdruck oder Geräte-PIN verlassen dein Gerät nie
• vom Trainerteam erzeugte Zugangscodes (nur als Hashwert, 24 Stunden gültig)
• Zeitpunkt und Version deiner Einwilligungen

7. Trainings- und Befindensdaten (Gesundheitsdaten)

Für die Belastungssteuerung verarbeiten wir im Auftrag deines Vereins:

• Trainingseinheiten: Datum, Art (Training, Spiel, Athletik, Sonstiges), Dauer und empfundene Anstrengung (0–10)
• Befinden: kurzer Befindensbogen mit acht Angaben zu Erholung und Beanspruchung (Skala 0–6), ohne Freitext
• daraus berechnete Werte: Trainingsbelastung, Verhältnis von akuter zu chronischer Belastung (ACWR) und Empfehlungen zur Trainingsbelastung

Rechtsgrundlage ist deine ausdrückliche Einwilligung (Art. 9 Abs. 2 lit. a und Art. 6 Abs. 1 lit. a DSGVO), die du bei der Registrierung erteilst. Die Einwilligung ist freiwillig; ohne sie kann Ratijo nicht genutzt werden, weil die Belastungssteuerung genau auf diesen Angaben beruht. Du kannst sie jederzeit mit Wirkung für die Zukunft widerrufen, indem du dein Konto löschst (Konto → Konto löschen) oder dich an deinen Verein bzw. an uns wendest.

Keine automatisierte Entscheidung: Ratijo berechnet täglich Werte und Empfehlungen. Das sind Hinweise zur Trainingsplanung, keine Entscheidungen im Sinne von Art. 22 DSGVO. Über das Training entscheidet das Trainerteam. Ratijo ist kein Medizinprodukt und gibt keine gesundheitliche oder medizinische Beratung.

8. Wer sieht welche Daten?

• Du siehst alle deine eigenen Angaben und Auswertungen.
• Das Trainerteam deiner Mannschaften sieht deine Trainingseinheiten (Dauer, Anstrengung, Belastung), deine Belastungswerte und Empfehlungen sowie beim Befinden nur die Tagesmittelwerte für Erholung und Beanspruchung – nicht deine einzelnen Antworten. Werte aus Apple Health oder Health Connect sieht das Trainerteam nicht.
• Die Vereinsverwaltung verwaltet Mitglieder, Rollen und Mannschaften. Trainings- und Befindensangaben sieht sie nur, wenn sie selbst eine Trainerrolle in der Mannschaft hat.
• Andere Vereine sehen nichts: Jeder Verein ist technisch strikt getrennt.
• Wir greifen auf Vereinsdaten nur zu, soweit es für Betrieb, Sicherheit und Unterstützung im Auftrag des Vereins nötig ist.

9. Zusätzliche Funktionen der App (iOS und Android)

• Apple Health und Health Connect (freiwillig): Wenn du es eigens erlaubst, liest die App Ruhepuls, Herzfrequenzvariabilität und Schlafdauer als Tageswerte aus und überträgt sie verschlüsselt zu Ratijo. Rechtsgrundlage ist eine gesonderte Einwilligung (Art. 9 Abs. 2 lit. a DSGVO). Du kannst sie in der App jederzeit widerrufen; die übertragenen Werte werden dann gelöscht. Die Daten auf deinem Gerät verwaltet Apple bzw. Google nach deren Bestimmungen.
• Speicher auf dem Gerät: Die App speichert dein Anmelde-Token sicher im Schlüsselbund bzw. Keystore des Geräts sowie Einstellungen wie Verein und Darstellung.
• Mitteilungen: Push-Mitteilungen sind derzeit nicht aktiv. Bevor wir sie einführen, ergänzen wir diese Erklärung.
• App-Stores: Für Download und Aktualisierung der App gelten die Datenschutzbestimmungen von Apple bzw. Google.

10. Weitere Funktionen

• Profilfotos: Ein Foto pro Person, verkleinert und ohne Ortsangaben und Kameradaten. Das Trainerteam kann Fotos für die Mannschaft hinterlegen; für die Einwilligung der abgebildeten Personen ist der Verein verantwortlich.
• Vorbereitete Profile (Art. 14 DSGVO): Das Trainerteam kann eine Kaderliste einfügen (Name, Rückennummer, Position), damit Spieler:innen bei der Registrierung ihr Profil übernehmen. Quelle ist der Verein, Rechtsgrundlage die Vereinsmitgliedschaft (Art. 6 Abs. 1 lit. b bzw. f DSGVO). Nicht übernommene Profile werden nach 90 Tagen gelöscht.
• Kalender-Abo: Trainingseinheiten und Spiele lassen sich über einen geheimen Link in eigenen Kalendern abonnieren. Fügst du den Link in einen Kalenderdienst wie Google Kalender ein, ruft dieser Dienst die Termine ab; dafür gelten dessen Datenschutzbestimmungen. Der Link lässt sich jederzeit erneuern.
• Spielplan-Import: Für den Import von Spielplänen ruft unser Server öffentliche Kalenderdateien unter der vom Trainerteam angegebenen Adresse ab. Dabei werden keine Daten über dich übermittelt.

11. Empfänger und Drittländer

Empfänger deiner Daten sind dein Verein (siehe Abschnitt 8) und unser Hoster als Auftragsverarbeiter. Wir verkaufen keine Daten und geben sie nicht zu Werbezwecken weiter. Eine Übermittlung in Länder außerhalb der EU findet nicht statt – außer du nutzt selbst Dienste wie Google Kalender (Abschnitt 10).

12. Speicherdauer

• Kontodaten und Trainingsdaten: bis zur Löschung deines Kontos bzw. bis dein Verein sie löscht oder die Nutzung beendet
• Anmeldung: Zugriffstoken 15 Minuten, Anmelde-Cookie 30 Tage
• Links zum Zurücksetzen des Zugangs: 60 Minuten (vom Trainerteam angefordert: 24 Stunden); E-Mail-Bestätigung: 24 Stunden
• Demo: 24 Stunden; vorbereitete Profile: 90 Tage
• Datensicherungen: täglich, verschlüsselt, Aufbewahrung 14 Tage[ggf. ergänzen: Sicherungen des Hosters und deren Frist]
• Protokolle des Webservers: [Anzahl] Tage

Löschst du dein Konto, werden deine Daten sofort aus der Datenbank entfernt; in Datensicherungen verbleiben sie bis zu deren Ablauf.

13. Minderjährige

Ratijo wird auch im Jugendsport genutzt. Bei Personen unter 16 Jahren ist die Einwilligung der Erziehungsberechtigten erforderlich. Der Verein stellt sicher, dass diese vorliegt, bevor er Kinder und Jugendliche einlädt.[Vorgehen zur Einwilligung der Erziehungsberechtigten ergänzen]

14. Deine Rechte

Du hast das Recht auf

• Auskunft über deine Daten (Art. 15 DSGVO) – direkt in der App unter Konto → Daten exportieren
• Berichtigung (Art. 16 DSGVO)
• Löschung (Art. 17 DSGVO) – direkt unter Konto → Konto löschen
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO) – der Export liefert eine maschinenlesbare Datei
• Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21 DSGVO)
• Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO)

Für Daten aus der Nutzung im Verein wende dich an deinen Verein oder an uns (info@ratijo.de). Außerdem kannst du dich bei einer Datenschutz-Aufsichtsbehörde beschweren, etwa bei der für uns zuständigen Behörde: [Name und Anschrift der Aufsichtsbehörde des Bundeslandes].

15. Sicherheit

Alle Verbindungen sind verschlüsselt (HTTPS). Angaben zum Befinden und berechnete Gesundheitswerte speichern wir zusätzlich verschlüsselt (AES-256-GCM) mit einem eigenen Schlüssel je Verein. Jeder Verein ist auf Datenbankebene von anderen getrennt. Die Anmeldung ist mit Passkeys ohne Passwort möglich.

16. Änderungen

Wir passen diese Erklärung an, wenn sich Ratijo oder die Rechtslage ändert. Bei Änderungen, die deine Einwilligung betreffen, bitten wir dich in der App erneut um Zustimmung. Version: 2026-10-v3-entwurf.

Siehe auch: Impressum