Datenschutzerklärung

Diese Erklärung beschreibt, wie Paak personenbezogene Daten erhebt, verwendet und schützt, die im Rahmen der Website paak.club und der Anwendung Paak verarbeitet werden, für Nutzerinnen, Nutzer und Vereine mit Sitz in Deutschland, Österreich und der übrigen Europäischen Union. Sie richtet sich in erster Linie nach der EU-Datenschutz-Grundverordnung (DSGVO). Da Emmara als verantwortliche Stelle ihren Sitz in der Schweiz hat, gilt für die von Paak selbst verantworteten Bearbeitungen zusätzlich das revidierte Schweizer Datenschutzgesetz (nDSG / FADP, SR 235.1); wo sich die beiden Ordnungen unterscheiden, legen wir im Zweifel die strengere Regel zugrunde.

1. Verantwortliche Stelle

Emmara by Cyrille Barraud, schweizerische Einzelunternehmung (UID CHE-309.503.616), St. Alban-Anlage 25, 4052 Basel, Schweiz.
Kontakt für alle Fragen zum Datenschutz: contact@paak.club.

2. Unterscheidung: Website-Besucher, App-Nutzer, Vereinsmitglieder

Wir unterscheiden drei Konstellationen:

• Besucher von paak.club: Sie besuchen unsere öffentlichen Seiten oder füllen ein Kontaktformular aus. Die Sie betreffenden Daten werden von Paak als Verantwortlicher verarbeitet.
• Anwendungsnutzer Paak (Vereinsleitung, Trainer, Vereinsstaff): Sie haben ein Konto erstellt und verwalten einen Verein. Die Daten Ihres Kontos werden von Paak als Verantwortlicher verarbeitet.
• Mitglieder der in Paak verwalteten Vereine (Mitglieder, Eltern, Minderjährige): Ihre Daten werden vom Verein erfasst, der Sie eingetragen hat. In diesem Fall ist der Verein verantwortlich, und Paak handelt als Auftragsbearbeiter im Sinne von Art. 9 nDSG (und Art. 28 DSGVO). Für die Wahrnehmung Ihrer Rechte wenden Sie sich zuerst an Ihren Verein.

3. Erhobene Daten

3.1 Besucher der Website paak.club

• Anfragen per E-Mail an contact@paak.club: Ihre E-Mail-Adresse, Ihr Name, soweit Sie ihn angeben, und der Inhalt Ihrer Nachricht. Zweck: Ihre Anfrage beantworten. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Anfrage) oder lit. f DSGVO (berechtigtes Interesse an der Beantwortung); Art. 31 Abs. 2 lit. a nDSG.
• Reichweitenmessung: nur mit Ihrer Einwilligung (Banner beim ersten Besuch; Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG): IP-Adresse, Browsertyp, aufgerufene Seiten und Klicks auf die Schaltflächen zur Anmeldung und zur Kontaktaufnahme, über unsere selbst gehostete Matomo-Instanz, dazu die Matomo-Cookies (siehe Cookie-Richtlinie). Ohne Ihre Einwilligung wird nichts gemeldet und kein Cookie gesetzt.

3.2 Anwendungsnutzer (Admin- / Staff-Konto)

• Authentifizierungsdaten (E-Mail, Hanko-Session-Token), Vor- und Nachname, Rolle im Verein.
• Abrechnungsdaten bei kostenpflichtigem Plan (Rechnungs-E-Mail und -Name, Transaktionshistorie).
• Minimal erforderliche technische Spuren für Betrieb und Sicherheit (Zugriffsprotokolle, Login-Historie, fehlgeschlagene Versuche).

3.3 Vom Verein in der Anwendung verwaltete Daten

Vereine erfassen in Paak die für ihre Vereinsführung erforderlichen Daten: Kontaktdaten der Mitglieder, Verbandslizenzen, Beiträge, Trainerteam, Anwesenheit, Material. Paak hostet und sichert diese Daten im Auftrag des Vereins, ohne deren Inhalt für eigene Zwecke zu verwenden.

Drei Kategorien verdienen einen besonderen Hinweis. Haftungsverzicht: Hat der Verein bei der Anmeldung einen Haftungsverzicht aktiviert, wird die elektronische Unterschrift des Mitglieds (oder seiner gesetzlichen Vertretung) zusammen mit dem eingegebenen Namen, dem Zeitstempel, der IP-Adresse, der Browser-Kennung und einem kryptografischen Fingerabdruck des unterzeichneten Textes erfasst: Diese Elemente bilden den Nachweis der Unterschrift und werden zu diesem Zweck aufbewahrt (siehe Abschnitt 7). Geschlecht: ein freiwilliges Feld, das vom Verein oder vom Mitglied erfasst wird; es dient Verbandsanforderungen (Wettkampfkategorien, Lizenzen) sowie aggregierten, anonymisierten Statistiken, nie einem individuellen Profiling. Persönliche NDS-Nummer (Jugend+Sport): Für Schweizer Vereine, die den J+S-Meldeassistenten nutzen, kann der Verein die persönliche NDS-Nummer eines Mitglieds erfassen; sie dient ausschliesslich der Vorbereitung der J+S-Meldungen des Vereins an das BASPO (AWK-Export, den der Verein selbst einreicht) und kann vom Mitglied auch selbst über das Anmeldeformular angegeben werden. Die Angabe ist freiwillig.

Notizen des Vereinspersonals: Das Personal eines Vereins kann in Paak Freitextnotizen zu einem Mitglied erfassen: eine Trainernotiz zu einer Athletin oder einem Athleten, einen während einer Einheit erstellten Vorfallbericht oder einen Sperrvermerk nach einer Kopfverletzung (Gehirnerschütterung). Eine solche Notiz kann Informationen über die Gesundheit einer Person offenbaren, zum Beispiel eine Verletzung, auch wenn die Verfasserin oder der Verfasser dies nicht beabsichtigt. Diese Notizen werden nicht beim Mitglied erhoben: Der Verein verfasst sie. Der Verein ist Verantwortlicher: Er entscheidet, was er erfasst und wozu, und informiert seine Mitglieder. Paak hostet die Notizen im Auftrag des Vereins. Sie sind für die Personalkonten des Vereins sichtbar, der sie verfasst hat, nicht für andere Vereine. Ein Mitglied kann beim Verein eine Kopie dieser Notizen oder ihre Löschung verlangen (siehe Abschnitte 7 und 8).

3.4 Besondere Kategorien: Gesundheit / Verletzungen (Art. 9 DSGVO)

Wenn der Verein gesundheitsbezogene Informationen einer Athletin oder eines Athleten erfasst (Arztzeugnis, Verletzungsnotizen, Notfallkontakt, schwere Allergien), gelten diese Daten als besondere Kategorien personenbezogener Daten (Art. 9 Abs. 1 DSGVO) und als besonders schützenswerte Personendaten (Art. 5 lit. c nDSG). Stützt sich der Verein für ihre Bearbeitung auf eine Einwilligung, muss diese ausdrücklich erfolgen, durch das volljährige Mitglied oder bei Minderjährigen durch die gesetzliche Vertretung (Art. 9 Abs. 2 lit. a DSGVO; Art. 6 Abs. 7 nDSG). Paak stellt dem Verein die Oberfläche zur Einwilligungserfassung bereit; die materielle Rechtsgrundlage bleibt beim Verein als Verantwortlichem. Für Notizen des Vereinspersonals gilt der Absatz in Abschnitt 3.3: Das Mitglied wird informiert, der Verein entscheidet, was er erfasst.

Ein gescanntes Arztzeugnis ist in Paak nicht zwingend: standardmässig wird nur das Ablaufdatum gespeichert. Lädt der Verein dennoch einen Scan hoch, ist der Zugriff auf Vereinsadministratoren beschränkt; das Dokument erscheint in keinem öffentlichen Export.

3.5 Führungszeugnisse für Betreuungspersonen (Art. 10 DSGVO)

Angaben zu Straftaten und Verurteilungen fallen nicht unter Art. 9, sondern unter Art. 10 DSGVO; nach dem nDSG sind sie besonders schützenswert (Art. 5 lit. c nDSG). In Deutschland kann ein Verein von Trainerinnen, Trainern und Betreuungspersonen, die Minderjährige betreuen, ein erweitertes Führungszeugnis verlangen (§ 30a Abs. 1 Nr. 2 lit. a BZRG: berufliche oder ehrenamtliche Beaufsichtigung, Betreuung, Erziehung oder Ausbildung Minderjähriger; nach § 30a Abs. 2 BZRG stellt der Verein dafür die schriftliche Aufforderung aus). Eine unmittelbare gesetzliche Pflicht des einzelnen Vereins folgt daraus nicht: § 72a SGB VIII verpflichtet die Träger der öffentlichen Jugendhilfe (Jugendämter) und sieht vor, dass sie mit den Vereinen Vereinbarungen darüber schliessen, wer ein Führungszeugnis vorlegen muss (§ 72a Abs. 3 und 4 SGB VIII). Welche Personen der Verein prüft, entscheidet der Verein als Verantwortlicher.

Paak speichert zu einem Führungszeugnis nur Angaben, kein Dokument: die Art des Zeugnisses (erweitert oder einfach), Ausstellungs- und Prüfdatum, ein Ablauf- bzw. Wiedervorlagedatum, den Vermerk, wer geprüft hat, und, wenn der Verein sie einträgt, eine Dokumentnummer. Es wird kein Scan oder Foto gespeichert. Die Prüfung des Dokuments findet ausserhalb der Plattform statt, beim Verein selbst. Für Träger der freien Jugendhilfe und damit für Vereine, die in eine Vereinbarung nach § 72a Abs. 4 SGB VIII eingebunden sind, zieht § 72a Abs. 5 SGB VIII enge Grenzen: Gespeichert werden dürfen nur der Umstand der Einsichtnahme, das Datum des Führungszeugnisses und die Angabe, ob die Person wegen einer einschlägigen Straftat verurteilt wurde; die Daten sind spätestens sechs Monate nach der letzten Tätigkeit zu löschen. Der Verein sollte in Paak deshalb nicht mehr erfassen, als diese Vorschrift zulässt, insbesondere keine Dokumentnummer und keine Einzelheiten der Eintragungen.

3.6 Mitgliederbereich (Portal ohne Konto)

Jedes Mitglied kann einen Mitgliederbereich nutzen, ohne ein Konto zu erstellen: Der Verein sendet per E-Mail einen gesicherten persönlichen Link; sensible Bereiche (Profil, Dokumente) erfordern zusätzlich einen per E-Mail zugestellten Einmalcode. Der Verein bleibt verantwortliche Stelle; Paak handelt als Auftragsbearbeiter (siehe Abschnitt 2). In diesem Rahmen bearbeitet Paak:

• Portal-Sitzungsdaten: kryptografischer Hash (SHA-256) des Links und des Einmalcodes (niemals im Klartext gespeichert), Zeitstempel für Erstellung, letzte Aktivität, Ablauf und Widerruf, IP-Adresse und Browser. Zweck: Betrieb und Sicherheit des Portals. Rechtfertigung: Erfüllung des Vertrags mit dem Verein und überwiegendes Sicherheitsinteresse.
• Vom Mitglied freiwillig eingereichte Dokumente: Arztzeugnis oder Lizenz, hochgeladen über das Portal mit ausdrücklicher, versionierter Einwilligung zum Zeitpunkt des Uploads (besonders schützenswerte Daten: Art. 5 lit. c nDSG; Art. 9 Abs. 2 lit. a DSGVO, soweit anwendbar). Die Dateien werden verschlüsselt in einem dedizierten Speicher abgelegt und sind nur für den betreffenden Verein zugänglich, der sie prüft und validiert. Es gelten die Aufbewahrungsfristen aus Abschnitt 3.4. Der Online-Upload ist freiwillig: Das Dokument kann jederzeit direkt beim Verein abgegeben werden, ohne Nachteil für das Mitglied. Die Einwilligung betrifft den digitalen Übermittlungsweg. Das Dokument selbst wird durch das Reglement des Vereins oder des Verbands verlangt.
• Datenschutz-Einstellungen: das Portal enthält ein Einwilligungszentrum, in dem das Mitglied Einwilligungen jederzeit einsehen und widerrufen kann. Der Widerruf gilt für einwilligungsbasierte Bearbeitungen wie eingereichte Dokumente. Bearbeitungen, die auf einem überwiegenden Interesse beruhen (etwa aggregierte Statistiken), kann das Mitglied widersprechen. Ein Antrag auf Einschränkung der Bearbeitung schaltet das Portal in den Nur-Lese-Modus.

4. Zwecke der Bearbeitung

• Bereitstellung der Paak-Dienste und Support.
• Abwicklung der Mitgliederzahlungen und Rechnungsstellung (Mollie, Niederlande).
• Versand operativer Kommunikation (Anmeldebestätigungen, Zahlungserinnerungen, Sicherheitswarnungen).
• Produktverbesserung anhand aggregierter Statistik (nur mit Cookie-Einwilligung).
• Erfüllung gesetzlicher Pflichten (Buchhaltungspflichten gemäss Art. 958f OR, behördliche Anfragen).

5. Rechtsgrundlagen (DSGVO) / Rechtfertigungsgründe (nDSG)

• Vertragserfüllung (Art. 31 Abs. 2 lit. a nDSG; Art. 6 Abs. 1 lit. b DSGVO): Nutzerkonten, Rechnungsstellung, Dienstebetrieb.
• Einwilligung (Art. 6 Abs. 6 und 7 nDSG; Art. 6 Abs. 1 lit. a und Art. 9 Abs. 2 lit. a DSGVO): Reichweitenmessung und Analyse-Cookies (zusätzlich § 25 Abs. 1 TDDDG), Marketing-Kommunikation, Bearbeitung besonders schützenswerter Daten.
• Berechtigtes Interesse (überwiegendes privates Interesse, Art. 31 Abs. 1 nDSG; Art. 6 Abs. 1 lit. f DSGVO): Sicherheit des Dienstes, Betrugsprävention, funktionale Verbesserung, Beantwortung von Anfragen.
• Gesetzliche Verpflichtung (Art. 31 Abs. 1 nDSG; Art. 6 Abs. 1 lit. c DSGVO): Schweizer Buchführung (Art. 958f OR, 10 Jahre), Behördenauskünfte.

6. Auftragsbearbeiter und Empfänger

Unsere Auftragsbearbeiter haben ihren Sitz in der Europäischen Union (siehe Abschnitt 11 zu Drittländern und zu der Ausnahme, die in Ihrer Hand liegt). Die EU steht in Anhang 1 der DSV (SR 235.11) als Land mit angemessenem Datenschutzniveau im Sinne des nDSG.

Mit den externen Anbietern (OVHcloud, Hanko, Mollie, Brevo) besteht ein Auftragsbearbeitungsvertrag (Art. 9 nDSG / Art. 28 DSGVO). Matomo betreiben wir selbst auf unserem eigenen Server, dort gibt es keinen externen Auftragsbearbeiter. Die Übersicht über die Verträge führen wir in einem internen Verzeichnis; auf Anfrage an contact@paak.club teilen wir Ihnen die Empfänger Ihrer Daten mit.

7. Aufbewahrungsdauer

• Nutzerkonto: für die Dauer der Nutzung, anschliessend bis 90 Tage nach Kündigung bis zur endgültigen Löschung.
• Abrechnungsdaten: 10 Jahre (Schweizer Buchführungspflicht, Art. 958f OR).
• Wartelisten und Kontaktanfragen: bis zu 2 Jahre nach dem letzten Austausch, sofern keine Abmeldung erfolgt.
• Gesundheitsdaten / Arztzeugnis: Mitgliedschaftsdauer + 12 Monate (Versicherungs-Anfechtungsfenster), anschliessend endgültige Löschung.
• Vom Verein verwaltete Mitgliederdaten: gemäss Vereinsrichtlinie. Löschanträge laufen über den Verein.
• Sitzungen des Mitgliederbereichs: 90 Tage nach Ablauf oder Widerruf gelöscht; Einmalcodes 30 Tage nach Verwendung oder Ablauf.
• Über den Mitgliederbereich eingereichte Dokumente: solange der Verein sie aufbewahrt; bei Ausübung des Löschungsrechts sofort gelöscht.
• Technische Sicherheitsprotokolle: maximal 12 Monate.
• Nachweise der Unterschrift eines Haftungsverzichts: werden über ein Löschbegehren hinaus nur so lange aufbewahrt, wie es für die Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich ist (Art. 17 Abs. 3 lit. e DSGVO; Verhältnismässigkeitsprinzip, Art. 6 nDSG), danach gelöscht.
• Notizen des Personals, Vorfallberichte und Gehirnerschütterungs-Vermerke: Trainernotizen werden gelöscht, sobald ein Löschbegehren ausgeführt wird. Vorfallberichte und Gehirnerschütterungs-Vermerke werden über ein Löschbegehren hinaus nur so lange aufbewahrt, wie es für die Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich ist (Art. 17 Abs. 3 lit. e DSGVO), für die Dauer der anwendbaren Verjährungsfrist.

8. Ihre Rechte (Art. 15-22 DSGVO)

Nach der DSGVO (und, soweit anwendbar, dem nDSG) haben Sie folgende Rechte:

• Auskunft (Art. 15 DSGVO): eine Kopie Ihrer Daten erhalten.
• Berichtigung (Art. 16 DSGVO): unrichtige oder unvollständige Daten korrigieren.
• Löschung (Art. 17 DSGVO): Löschung Ihrer Daten verlangen (vorbehaltlich gesetzlicher Pflichten).
• Einschränkung (Art. 18 DSGVO): eine bestrittene Bearbeitung temporär aussetzen.
• Widerspruch (Art. 21 DSGVO): eine auf berechtigtem Interesse oder Marketing gestützte Bearbeitung ablehnen.
• Datenübertragbarkeit (Art. 20 DSGVO): Ihre Daten in strukturiertem, maschinenlesbarem Format erhalten.
• Widerruf der Einwilligung (Art. 7 Abs. 3 DSGVO) jederzeit, ohne Rückwirkung.

9. Aufsichtsbehörde

Sie können eine Beschwerde bei der Aufsichtsbehörde Ihres gewöhnlichen Aufenthaltsorts, Ihres Arbeitsplatzes oder des Orts des mutmasslichen Verstosses einreichen (Art. 77 Abs. 1 DSGVO). Eine bestimmte „federführende" Behörde (Art. 56 DSGVO) müssen Sie nicht anrufen.

In Deutschland überwachen die Datenschutzbehörden der Länder die privaten Stellen (§ 40 Abs. 1 BDSG); eine Übersicht führt der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI) unter bfdi.bund.de, Landesbehörden. In Österreich ist die Datenschutzbehörde (DSB), Barichgasse 40-42, 1030 Wien, zuständig (dsb.gv.at; Beschwerde nach § 24 DSG).

Da Emmara als verantwortliche Stelle ihren Sitz in der Schweiz hat, ist für die von Paak selbst verantworteten Bearbeitungen zusätzlich der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB / FDPIC) zuständig (Art. 4 Abs. 1 nDSG), Feldeggweg 1, 3003 Bern, edoeb.admin.ch.

Verletzungen des Schutzes personenbezogener Daten, die voraussichtlich zu einem Risiko für die Rechte und Freiheiten betroffener Personen führen, meldet Paak ohne unangemessene Verzögerung und, wo die DSGVO gilt, möglichst binnen 72 Stunden nach Kenntnis (Art. 33 Abs. 1 DSGVO), der zuständigen Aufsichtsbehörde, bei Betroffenen in mehreren Mitgliedstaaten jeder betroffenen Aufsichtsbehörde. Verletzungen der Datensicherheit mit voraussichtlich hohem Risiko für die Persönlichkeit oder die Grundrechte meldet Paak zudem „so rasch als möglich" dem EDÖB (Art. 24 Abs. 1 nDSG).

10. Sicherheit

Daten werden bei der Übertragung verschlüsselt (TLS 1.2+). Die Authentifizierung erfolgt ohne Passwort: Sie basiert auf Passkeys (WebAuthn) mit einem per E-Mail zugestellten Einmalcode als Rückfalloption, über Hanko. Datenbank-Sicherungen sind im Ruhezustand verschlüsselt. Administrative Zugriffe sind protokolliert und durch verstärkte Authentifizierung geschützt. Unsere Multi-Tenant-Architektur isoliert die Daten jedes Vereins strikt auf Ebene der Datenbankabfragen (eigene Testabdeckung).

11. Internationale Übermittlungen

Wir selbst übermitteln keine personenbezogenen Daten in Drittländer. Unsere Infrastruktur ist in der Europäischen Union gehostet, und unsere Auftragsbearbeiter haben ihren Sitz in der EU. Setzt ein Auftragsbearbeiter nach seinem Auftragsbearbeitungsvertrag Unterauftragsbearbeiter in einem Drittland ein, gelten die Garantien nach Art. 44 ff. DSGVO (Angemessenheitsbeschluss oder Standardvertragsklauseln) bzw. Art. 16 ff. nDSG. Zwischen der Schweiz und der EU besteht eine gegenseitige Angemessenheitsentscheidung, die in beide Richtungen ein gleichwertiges Schutzniveau garantiert.

Eine Ausnahme liegt in Ihrer Hand: Wenn Sie auf der Anmeldeseite Mit Google anmelden wählen, authentifizieren Sie sich direkt bei Google LLC (USA); es gelten die Datenschutzbestimmungen von Google. Unsere Infrastruktur und unsere Auftragsbearbeiter bleiben europäisch; die Anmeldung über einen Dritten bleibt eine Wahl der Nutzerinnen und Nutzer. Passkeys und Einmalcodes per E-Mail (der Standardweg) betreffen keinen aussereuropäischen Anbieter.

12. Änderungen dieser Erklärung

Wir können diese Erklärung anpassen, um rechtliche oder technische Entwicklungen abzubilden. Das Datum der letzten Aktualisierung steht oben. Wesentliche Änderungen werden aktiven Nutzerinnen und Nutzern per E-Mail mitgeteilt.

Verwandte Seiten

• Impressum
• Cookie-Richtlinie
• Datenschutzerklärung, Version Frankreich (EU)