Datenschutzerklärung

Stand: 16. August 2026

Diese Erklärung beschreibt, welche Daten wir auf dieser Website verarbeiten, warum wir das tun, auf welcher Rechtsgrundlage, wie lange wir die Daten speichern und wer sie außer uns noch zu sehen bekommt. Wir beschreiben nur das, was tatsächlich passiert.

1. Verantwortlicher und Kontakt in Datenschutzfragen

Verantwortlich für die Datenverarbeitung auf dieser Website ist:

Für Auskunft, Berichtigung, Löschung, Widerspruch und alle anderen Fragen zum Datenschutz erreichen Sie uns unter derselben Adresse. Eine formlose E-Mail genügt.

Ein Datenschutzbeauftragter ist nicht bestellt. Die Voraussetzungen des Art. 37 DSGVO und des § 38 BDSG liegen bei uns nicht vor, weil in unserem Betrieb weniger als zwanzig Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten befasst sind. Ihre Anliegen richten Sie deshalb bitte direkt an die oben genannte Adresse.

2. Was wir nicht tun

Wir setzen keine Analyse- oder Werbedienste ein. Es gibt kein Google Analytics, keine Werbenetzwerke, keine Social-Media-Plugins, keine Besucherprofile und keine externen Schriftarten oder Karten, die Ihre Daten beim Aufruf der Seite an Dritte weitergeben würden. Der Browser lädt alle Inhalte von unserem eigenen Server. Wir verkaufen keine Daten und geben sie nicht zu Werbezwecken weiter. Newsletter versenden wir nicht.

3. Aufruf der Website: Server-Logfiles und Hosting

Beim Aufruf der Website überträgt Ihr Browser technische Daten an unseren Server. Der vorgeschaltete Webserver hält diese Anfragen in Protokolldateien fest. Erfasst werden dabei insbesondere:

• IP-Adresse des anfragenden Geräts
• Datum und Uhrzeit des Zugriffs
• aufgerufene Adresse und Zugriffsart
• übertragene Datenmenge und Statusmeldung des Servers
• zuvor besuchte Seite (Referrer) und Browser- bzw. Betriebssystem-Kennung

Zweck: Auslieferung der Seite, Betriebssicherheit, Fehlersuche und Abwehr von Angriffen.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt im sicheren und störungsfreien Betrieb dieser Website.
Speicherdauer: 14 Tage. Danach werden die Einträge automatisch überschrieben.
Empfänger: unser Hosting-Anbieter, siehe unten.

Wir führen diese Protokolldaten nicht mit anderen Datenquellen zusammen und werten sie nicht aus, um einzelne Personen zu erkennen.

Die Anwendung und die Datenbank laufen auf einem Server in Deutschland. Der Anbieter verarbeitet die Daten ausschließlich in unserem Auftrag und ist vertraglich nach Art. 28 DSGVO gebunden.
Unser Hosting-Anbieter ist die Contabo GmbH, Welfenstraße 22, 81541 München. Der Server steht in einem Rechenzentrum in Deutschland. Ihre Daten verlassen dafür die Europäische Union nicht.

IP-Adressen bei Formularen

Beim Absenden von Formularen (Login, Registrierung, Bestellung, Bewerbung) verwenden wir Ihre IP-Adresse kurzzeitig, um Massenanfragen und automatisierte Angriffe zu bremsen. Diese Angabe bleibt nur im Arbeitsspeicher des Servers und wird nach wenigen Minuten verworfen. Sie wird nicht in der Datenbank gespeichert. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (Schutz vor Missbrauch).

4. Cookies und Speicherung auf Ihrem Gerät

Wir legen ein Cookie und einige Einträge im Speicher Ihres Browsers ab. Es sind die folgenden, mehr nicht. Welche davon überhaupt entstehen, hängt davon ab, was Sie tun: Wer nur liest, bekommt nur den Hinweis-Merker.

• woc_session (Cookie): hält Sie nach dem Anmelden eingeloggt. Der Wert ist eine Zufallszeichenfolge ohne Aussagekraft; in unserer Datenbank liegt davon nur ein Prüfwert (SHA-256-Hash). Das Cookie ist für Skripte im Browser nicht lesbar (HttpOnly), wird nur an unsere eigene Seite gesendet (SameSite Lax), läuft nach 7 Tagen ab und wird beim Abmelden sofort gelöscht. Ohne dieses Cookie ist keine Anmeldung möglich.
• woc_cookie_ok (lokaler Speicher): merkt sich, dass Sie den Cookie-Hinweis gelesen haben, damit er nicht bei jedem Besuch erscheint.
• woc_mitmachen_session (Sitzungsspeicher): Kennung für die Auswertung des Bewerbungsformulars, siehe Abschnitt 12. Sie wird gelöscht, sobald Sie den Browser-Tab schließen.
• woc_cart_v2 (lokaler Speicher): Ihr Warenkorb im Shop, also welcher Artikel in welcher Menge darin liegt. Ohne diesen Eintrag wäre der Warenkorb bei jedem Seitenwechsel wieder leer. Er bleibt nur in Ihrem Browser und wird erst beim Absenden der Bestellung an uns übertragen.
• woc_location und woc_location_source (lokaler Speicher): der Ort, den Sie in der Terminsuche gewählt haben, und der Vermerk, ob Sie ihn selbst gewählt haben oder ob er aus der Standortabfrage stammt. Damit steht beim nächsten Besuch wieder Ihr Ort statt der Voreinstellung.
• woc_location_prompted (lokaler Speicher): der Merker, dass wir Sie schon einmal nach Ihrem Standort gefragt haben. Er sorgt dafür, dass die Frage nicht bei jedem Besuch erneut kommt.

Das Anmelde-Cookie und der Warenkorb sind für den von Ihnen gewünschten Dienst unbedingt erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG); Rechtsgrundlage der damit verbundenen Verarbeitung ist Art. 6 Abs. 1 lit. b DSGVO. Die übrigen Einträge speichern wir auf Grundlage unseres berechtigten Interesses an einem funktionierenden und verständlichen Angebot (Art. 6 Abs. 1 lit. f DSGVO). Keiner dieser Einträge dient der Werbung oder der Beobachtung Ihres Verhaltens über mehrere Websites hinweg. Sie können alle Einträge jederzeit über die Einstellungen Ihres Browsers löschen; die Website funktioniert danach weiter, Sie müssen sich nur neu anmelden und Ihren Ort erneut wählen.

Standortabfrage in der Terminsuche

Damit die Terminsuche gleich die nächstgelegene Anlage vorschlägt, fragt Ihr Browser einmalig, ob er uns Ihren ungefähren Standort nennen darf. Diese Frage stellt Ihr Browser, nicht wir. Lehnen Sie ab oder reagieren nicht, bleibt der voreingestellte Ort stehen und die Suche funktioniert unverändert.

Ihre Koordinaten verlassen Ihren Browser nicht. Der Vergleich mit den Anlagen läuft vollständig auf Ihrem Gerät. Gespeichert wird davon nur der Name des Ortes, der am nächsten liegt, etwa „Regensburg“. Wir erfahren also weder Ihre Position noch, wie weit Sie von einer Anlage entfernt sind.
Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG. Ihre Einwilligung erteilen Sie in der Abfrage Ihres Browsers; dort können Sie sie auch jederzeit für die Zukunft zurücknehmen.

5. Nutzerkonto und Anmeldung

5.1 Registrierung

Für ein Konto erheben wir Vor- und Nachname, E-Mail-Adresse, Telefonnummer und ein Passwort. Zusätzlich fragen wir im Formular nach dem Wunschverein, dem Alter und optional nach dem Namen des Kindes, wenn Sie das Training für Ihr Kind suchen. Diese Angaben speichern wir zu Ihrem Konto, damit wir Ihnen passende Termine und Gruppen zuordnen können.

Bewerben Sie sich als Trainerin, Trainer oder Verein, legen wir zunächst kein Konto an, sondern eine Anfrage, über die wir entscheiden (siehe Abschnitt 11).

Zweck: Bereitstellung des Kontos, Zuordnung von Buchungen, Mitgliedschaft und Bestellungen.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Nutzungsvertrag über das Konto und Anbahnung der Buchungs- bzw. Mitgliedschaftsverträge).
Speicherdauer: bis Sie Ihr Konto löschen. Danach greifen für Buchungen, Bestellungen und Rechnungen die gesetzlichen Fristen aus Abschnitt 8.
Empfänger: keine Weitergabe nach außen; innerhalb der Tennisschule nur die Personen mit Verwaltungsaufgaben.

5.2 Wie wir Ihr Passwort speichern

Ihr Passwort speichern wir niemals im Klartext. Es wird mit dem Verfahren bcrypt und einem individuellen Zufallswert (Salt) in einen nicht umkehrbaren Prüfwert umgerechnet; nur dieser Prüfwert liegt in der Datenbank. Wir können Ihr Passwort deshalb weder einsehen noch Ihnen zusenden, sondern nur zurücksetzen. Das Passwort muss mindestens acht Zeichen haben.

5.3 Anmeldung und Sitzung

Beim Anmelden legen wir eine Sitzung an: gespeichert werden ein Prüfwert des Sitzungstokens, die Zuordnung zu Ihrem Konto, der Zeitpunkt und das Ablaufdatum. Die Sitzung läuft nach 7 Tagen automatisch ab. Beim Abmelden löschen wir sie sofort. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

5.4 E-Mail-Bestätigung und vergessenes Passwort

Nach der Registrierung senden wir Ihnen einen Bestätigungslink an Ihre E-Mail-Adresse. Der zugehörige Token wird nur als Prüfwert gespeichert, ist drei Tage gültig und wird nach der Nutzung gelöscht. Fordern Sie ein neues Passwort an, erzeugen wir denselben Weg mit einer Gültigkeit von einer Stunde; ältere offene Links werden dabei entwertet.

Zweck: Sicherstellen, dass die Adresse Ihnen gehört, und Schutz vor fremdem Zugriff auf Ihr Konto.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO und Art. 6 Abs. 1 lit. f DSGVO (Sicherheit der Konten).
Speicherdauer: bis zur Nutzung, längstens bis zum Ablauf des Links.

6. Buchung von Trainings, Kursen und Terminen

Wenn Sie einen Termin buchen, verarbeiten wir:

• Ihren Namen und, falls angegeben, den Namen Ihrer Spielpartnerin oder Ihres Spielpartners
• E-Mail-Adresse und Telefonnummer
• Termin, Dauer, Anzahl der Plätze, Ort und Verein
• Ihre freiwillige Notiz an uns
• Zahlungsangaben zum Vorgang: Betrag, Währung, Zahlungsart, Zahlungsstatus, Zahlungsreferenz und Zahlungszeitpunkt

Zweck: Durchführung der Buchung, Planung der Gruppen und Plätze, Kontaktaufnahme bei Änderungen, Abrechnung.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertrag über die gebuchte Leistung).
Speicherdauer: für die Dauer der Vertragsbeziehung. Danach bleiben nur die Angaben erhalten, die wir nach Abschnitt 8 aufbewahren müssen. Löschen Sie Ihr Konto, entfernen wir Name, E-Mail und Telefonnummer aus der Buchung; der reine Buchungsvorgang bleibt ohne Personenbezug bestehen.
Empfänger: die Trainerinnen und Trainer sowie die Vereine, die den Termin durchführen, jeweils nur im erforderlichen Umfang; bei Onlinezahlung zusätzlich Stripe (Abschnitt 9).

6.1 Warteliste

Ist ein Termin ausgebucht, können Sie sich auf die Warteliste setzen lassen. Dafür speichern wir zum jeweiligen Termin Ihren Namen, Ihre E-Mail-Adresse und Ihre Telefonnummer, soweit Sie diese angeben, sowie den Zeitpunkt einer Benachrichtigung. E-Mail-Adresse oder Telefonnummer genügt, beides zusammen ist nicht nötig. Benachrichtigen können wir Sie automatisch aber nur per E-Mail. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Anbahnung der Buchung).

Der Eintrag wird gelöscht, sobald der zugehörige Termin aus dem System entfernt wird, und jederzeit, sobald Sie uns darum bitten. Eine formlose Nachricht genügt.
Speicherdauer: 30 Tage nach dem Termin. Danach entfernt eine automatische Routine den Eintrag.

7. Mitgliedschaft in der Tennisschule

Beim Beitritt zur Mitgliedschaft verarbeiten wir zusätzlich zu Ihren Kontodaten:

• Geburtsdatum
• Anschrift
• Telefonnummer
• gewählter Beitragsplan und der für die jeweilige Periode festgeschriebene Beitrag
• Beginn, laufende Periode, Kündigungswunsch und Kündigungszeitpunkt
• die Fassung der AGB und der Beitragsordnung, der Sie zugestimmt haben, zusammen mit dem Zeitpunkt Ihrer Zustimmung

Zweck: Begründung und Abwicklung der Mitgliedschaft, Beitragsabrechnung und Nachweis, welchem Vertragsstand Sie zugestimmt haben.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO; für die Dokumentation der Zustimmung zusätzlich Art. 6 Abs. 1 lit. f DSGVO (Nachweisbarkeit des Vertragsinhalts).
Speicherdauer: für die Dauer der Mitgliedschaft. Beitragsabrechnungen unterliegen danach den Fristen aus Abschnitt 8.
Empfänger: keine Weitergabe nach außen außer an unsere Steuerberatung und die Finanzverwaltung im gesetzlich vorgesehenen Rahmen.

8. Rechnungen, Belege und gesetzliche Aufbewahrung

Für Buchungen, Bestellungen und Mitgliedsbeiträge erstellen wir Rechnungen und Zahlungsbelege. Darin stehen Ihr Name, Ihre E-Mail-Adresse, die abgerechnete Leistung, Netto- und Bruttobetrag, Umsatzsteuer, Rechnungsnummer und Rechnungsdatum. Zahlungsbelege senden wir Ihnen als PDF per E-Mail.

Zweck: Erfüllung unserer handels- und steuerrechtlichen Pflichten.
Rechtsgrundlage: Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit den Aufbewahrungspflichten der Abgabenordnung, des Handelsgesetzbuchs und des Umsatzsteuergesetzes.
Speicherdauer: Rechnungen und Buchungsbelege bewahren wir acht Jahre auf (§ 147 Abs. 1 Nr. 4, Abs. 3 AO, § 257 Abs. 1 Nr. 4, Abs. 4 HGB, § 14b Abs. 1 UStG). Sonstige Geschäftsunterlagen und Geschäftsbriefe, etwa Vertragskorrespondenz, bewahren wir sechs Jahre auf (§ 147 Abs. 1 Nr. 2 und 3 AO, § 257 Abs. 1 Nr. 2 und 3 HGB). Die Frist beginnt jeweils mit dem Ende des Kalenderjahres, in dem das Dokument entstanden ist. Innerhalb dieser Zeit ist die Verarbeitung auf die Aufbewahrung beschränkt.
Empfänger: unsere Steuerberatung und die Finanzverwaltung im gesetzlich vorgesehenen Rahmen.

Solange diese Fristen laufen, können wir Rechnungsdaten auch dann nicht löschen, wenn Sie Ihr Konto löschen. Wir entfernen in diesem Fall den Personenbezug überall dort, wo er nicht gesetzlich vorgeschrieben ist.

9. Zahlungsabwicklung über Stripe

Zahlen Sie eine Buchung oder eine Bestellung online, läuft die Zahlung über Stripe. Anbieter für Kundinnen und Kunden im Europäischen Wirtschaftsraum ist:

9.1 Was wir an Stripe übermitteln

Beim Start einer Zahlung übermitteln wir an Stripe:

• Ihre E-Mail-Adresse, sofern sie zu dem Vorgang hinterlegt ist
• den Betrag und die Währung
• die Bezeichnung der gebuchten Leistung oder der bestellten Artikel einschließlich Variante und Menge
• unsere internen Kennungen zum Vorgang: die Buchungs- oder Bestellnummer und die Zahlungsreferenz
• die Adressen, zu denen Stripe Sie nach Abschluss oder Abbruch zurückleitet

9.2 Was wir nie zu sehen bekommen

Ihre Zahlungsdaten geben Sie ausschließlich auf der Bezahlseite von Stripe ein. Kartennummer, Prüfziffer, Gültigkeitsdatum oder Bankverbindung erreichen unseren Server zu keinem Zeitpunkt und werden bei uns nicht gespeichert. Von Stripe zurück erhalten wir nur die Information, ob die Zahlung erfolgreich war, dazu die Kennung des Bezahlvorgangs und den Zeitpunkt. Diese Rückmeldung ist kryptografisch signiert, damit sie nicht gefälscht werden kann.

9.3 Rechtsgrundlage, Drittland und Speicherdauer

Zweck: Abwicklung der von Ihnen gewählten Onlinezahlung.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Ohne diese Übermittlung kann die Zahlung nicht durchgeführt werden. Für die Betrugsprävention, zu der Stripe gesetzlich und aufsichtsrechtlich verpflichtet ist, verarbeitet Stripe Daten in eigener Verantwortung auf Grundlage von Art. 6 Abs. 1 lit. c und lit. f DSGVO.
Drittlandübermittlung: Stripe Payments Europe, Ltd. sitzt in Irland und damit in der EU. Innerhalb der Stripe-Unternehmensgruppe können Daten jedoch auch in die Vereinigten Staaten und in weitere Länder außerhalb der EU gelangen, in denen kein durch die Europäische Kommission festgestelltes gleichwertiges Datenschutzniveau besteht. Für diese Übermittlungen hat Stripe die Standardvertragsklauseln der Europäischen Kommission (Durchführungsbeschluss (EU) 2021/914) vereinbart; sie sind Bestandteil des mit Stripe geschlossenen Vertrags und dienen als geeignete Garantie nach Art. 46 Abs. 2 lit. c DSGVO. Trotz dieser Garantien lässt sich nicht vollständig ausschließen, dass US-Behörden auf die Daten zugreifen. Wenn Sie das vermeiden möchten, wählen Sie bitte einen Weg ohne Onlinezahlung: bei Terminen „Vor Ort zahlen“, im Shop „Anfrage senden, wir melden uns“. Dann erfährt Stripe von Ihrem Vorgang nichts.
Speicherdauer bei uns: Zahlungsstatus, Betrag, Zahlungsreferenz, Vorgangskennung von Stripe und Zahlungszeitpunkt bleiben zum Vorgang gespeichert und unterliegen den Aufbewahrungsfristen aus Abschnitt 8. Wie lange Stripe Daten speichert, bestimmt Stripe selbst.

Die Datenschutzhinweise von Stripe finden Sie unter https://stripe.com/de/privacy.

10. Onlineshop

Bei einer Bestellung verarbeiten wir:

• Ihren Namen
• E-Mail-Adresse und Telefonnummer, wobei eine der beiden Angaben genügt
• die bestellten Artikel mit Variante, Menge und Preis sowie den Gesamtbetrag
• Ihre freiwillige Notiz zur Bestellung
• Zahlungsstatus und, sobald vorhanden, eine Sendungsnummer

Eine Lieferanschrift fragen wir im Bestellvorgang nicht ab. Übergabe oder Versand klären wir anschließend persönlich mit Ihnen. Wählen Sie im Warenkorb „Anfrage senden, wir melden uns“ statt „Jetzt online bezahlen“, übermitteln wir nichts an Stripe.

Zweck: Abwicklung des Kaufvertrags und Kontakt zur Übergabe.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
Speicherdauer: bis zur vollständigen Abwicklung, danach im Rahmen der Fristen aus Abschnitt 8. Löschen Sie Ihr Konto, entfernen wir Name, E-Mail und Telefonnummer aus der Bestellung.
Empfänger: bei Onlinezahlung Stripe (Abschnitt 9), sonst niemand außerhalb der Tennisschule.

11. Bewerbungsstrecke „Mitmachen"

Auf der Seite „Mitmachen" können Sie sich als Mitglied, als Trainerin oder Trainer oder als Verein bei uns melden. Wir verarbeiten die Antworten, die Sie geben:

• Name, E-Mail-Adresse und Telefonnummer
• bei Mitgliedern: für wen das Training gesucht wird (auch die Angabe „für mein Kind"), Spielstärke, Interesse, gewünschter Standort und gewünschte Häufigkeit
• bei Trainerinnen und Trainern: Lizenz, Erfahrung, Schwerpunkt, Verfügbarkeit, gewünschter Standort sowie Ihr Freitext über sich
• bei Vereinen: Vereinsname, Ort und Anzahl der Plätze
• technisch dazu: die Sitzungskennung aus Abschnitt 4, die Adresse der Seite, auf der Sie das Formular ausgefüllt haben, und der Eingangszeitpunkt. Von welcher Website Sie zu uns gekommen sind, halten wir dabei nicht fest.

Vor dem Absenden bestätigen Sie ausdrücklich, dass Sie mit der Verarbeitung Ihrer Angaben einverstanden sind. Nach dem Absenden erhalten Sie eine Eingangsbestätigung per E-Mail; die Verwaltung wird über die neue Anfrage informiert.

Zweck: Prüfung Ihrer Anfrage, Rückmeldung an Sie und Vorbereitung eines Vertrags oder einer Zusammenarbeit.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahmen auf Ihre Anfrage hin) und Art. 6 Abs. 1 lit. a DSGVO für Ihre Einwilligung beim Absenden. Ihre Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen; die bis dahin erfolgte Verarbeitung bleibt rechtmäßig.
Speicherdauer: bis zur Entscheidung über Ihre Anfrage. Wird daraus eine Mitgliedschaft oder eine Zusammenarbeit, gelten die Fristen der Abschnitte 5 bis 8. Andernfalls: Anfragen, über die nicht entschieden wurde, löscht eine automatische Routine 180 Tage nach Eingang.
Empfänger: keine Weitergabe nach außen; intern nur die Personen, die über die Anfrage entscheiden.

12. Nutzungsmessung der Bewerbungsstrecke

Das Formular unter „Mitmachen" ist lang. Damit wir erkennen, an welcher Frage Menschen abbrechen, halten wir den Verlauf des Ausfüllens fest. Gespeichert wird bei jedem Schritt:

• um welches Ereignis es geht (Formular geöffnet, Rolle gewählt, Rolle zurückgesetzt, Frage angezeigt, Frage bestätigt, Formular abgesendet)
• die Nummer des Schritts und der technische Name des Feldes
• die gewählte Rolle, die Seitenadresse und der Zeitpunkt
• die Sitzungskennung aus Abschnitt 4

Was wir dabei ausdrücklich nicht speichern: Bei Fragen mit vorgegebenen Antwortmöglichkeiten wird die gewählte Antwort gespeichert, etwa „Anfänger" oder „Regensburg". Bei allen Feldern, in die Sie selbst schreiben, also Name, E-Mail-Adresse, Telefonnummer und Freitexte, speichert die Messung ausschließlich den Vermerk, dass das Feld ausgefüllt wurde. Der Inhalt dieser Felder fließt nicht in die Auswertung ein. Ihre IP-Adresse wird ebenfalls nicht gespeichert.

Die Auswertung zeigt uns nur Summen: wie viele Personen begonnen haben, wie weit sie gekommen sind und wie viele abgesendet haben. Wir erstellen daraus keine Profile, führen die Daten nicht mit anderen Quellen zusammen und geben sie nicht weiter.

Zweck: Verbesserung eines Formulars, an dem Menschen sonst scheitern.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist die bedarfsgerechte Gestaltung unseres Angebots. Weil die Messung ohne Namen, ohne Freitexte und ohne IP-Adresse auskommt und die Ergebnisse nur als Summen betrachtet werden, überwiegen Ihre Interessen aus unserer Sicht nicht. Sie können dieser Verarbeitung nach Art. 21 Abs. 1 DSGVO jederzeit widersprechen; eine formlose Nachricht an uns genügt. Unabhängig davon endet die Messung von selbst: Es gibt nur die eine Sitzungskennung, sie liegt im Sitzungsspeicher Ihres Browsers und verschwindet, sobald Sie den Tab schließen. Eine dauerhafte Besucherkennung setzen wir nicht. Beim nächsten Besuch beginnt die Zählung deshalb von vorn und lässt sich nicht mit dem vorherigen Besuch verbinden.
Speicherdauer: 90 Tage. Danach entfernt eine automatische Routine die Einträge.
Empfänger: niemand. Die Auswertung findet ausschließlich auf unserem eigenen Server statt.

13. E-Mails, Benachrichtigungen und automatische Erinnerungen

Wir versenden E-Mails ausschließlich anlassbezogen. Konkret sind das:

• Bestätigung Ihrer E-Mail-Adresse und Links zum Zurücksetzen des Passworts
• Bestätigungen zu Buchungen und Bestellungen
• Zahlungsbestätigungen mit dem Beleg als PDF im Anhang
• Hinweise, wenn ein Termin verlegt oder abgesagt wird
• eine Eingangsbestätigung, wenn Sie sich über „Mitmachen" gemeldet haben
• eine automatische Erinnerung rund 24 Stunden vor einem gebuchten Termin. Sie wird je Buchung nur ein einziges Mal verschickt; dafür merken wir uns die Buchungsnummer und den Versandzeitpunkt.

Sind Sie angemeldet, erscheinen dieselben Hinweise zusätzlich als Benachrichtigung in Ihrem Konto. Dort speichern wir Titel, Text, Verweisziel, Zeitpunkt und ob Sie die Nachricht gelesen haben.

Zweck: Durchführung des Vertrags und Information über Ihre Termine.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO für alle Nachrichten zu Ihren Buchungen, Bestellungen und Ihrem Konto; für die Terminerinnerung zusätzlich Art. 6 Abs. 1 lit. f DSGVO (Interesse beider Seiten daran, dass Termine wahrgenommen werden). Der Erinnerung können Sie jederzeit widersprechen.
Speicherdauer: Benachrichtigungen im Konto werden mit dem Konto gelöscht. Der Vermerk über eine versendete Erinnerung wird mit der zugehörigen Buchung gelöscht.
Empfänger: der Betreiber unseres Servers als Auftragsverarbeiter nach Art. 28 DSGVO, sowie der E-Mail-Anbieter, bei dem Sie Ihr Postfach führen.
Der Versand läuft über unseren eigenen Server bei der in Abschnitt 3 genannten Contabo GmbH. Ein zusätzlicher E-Mail-Dienstleister ist nicht beteiligt; Ihre Nachrichten werden also an keinen weiteren Anbieter übergeben.

14. Protokoll von Verwaltungsvorgängen

Änderungen, die unsere Verwaltung im System vornimmt, halten wir in einem Protokoll fest: wer die Änderung vorgenommen hat, welche Aktion es war, welcher Datensatz betroffen war und wann es geschah. Das Protokoll dient der Nachvollziehbarkeit und der Aufklärung von Fehlern oder unbefugten Zugriffen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (Sicherheit und Nachvollziehbarkeit unserer Verarbeitung).
Speicherdauer: 12 Monate. Danach entfernt eine automatische Routine die Einträge.

15. Daten von Kindern und Jugendlichen

Unser Training richtet sich ausdrücklich auch an Kinder und Jugendliche. Deshalb gilt: Ein Konto anlegen, buchen oder eine Mitgliedschaft abschließen dürfen für Minderjährige nur die Sorgeberechtigten. Wenn Sie im Formular den Namen Ihres Kindes oder die Angabe „für mein Kind" eintragen, verarbeiten wir diese Angaben, um das passende Training zuzuordnen.

Soweit wir eine Verarbeitung auf eine Einwilligung stützen und die betroffene Person das 16. Lebensjahr noch nicht vollendet hat, ist die Einwilligung der Sorgeberechtigten erforderlich (Art. 8 DSGVO). Mit dem Absenden eines Formulars für ein Kind bestätigen Sie, dass Sie sorgeberechtigt sind.

Eine automatische Altersprüfung führen wir beim Anlegen eines Kontos nicht durch. Erfahren wir, dass ein Konto ohne Zustimmung der Sorgeberechtigten angelegt wurde, löschen wir es zusammen mit den zugehörigen Daten, sobald keine gesetzliche Aufbewahrungspflicht entgegensteht. Ein kurzer Hinweis an die Adresse aus Abschnitt 1 genügt.

16. Wer Ihre Daten außer uns erhält

Außerhalb der Tennisschule geben wir Daten nur an folgende Stellen weiter:

• Hosting-Anbieter für den Betrieb von Website und Datenbank, als Auftragsverarbeiter nach Art. 28 DSGVO
• E-Mail-Anbieter für den Versand unserer Nachrichten, als Auftragsverarbeiter nach Art. 28 DSGVO
• Stripe für Onlinezahlungen, im Umfang von Abschnitt 9
• Steuerberatung, Finanzverwaltung und Behörden, soweit wir gesetzlich dazu verpflichtet sind (Art. 6 Abs. 1 lit. c DSGVO)

Innerhalb der Tennisschule sehen nur die Personen Ihre Daten, die sie für ihre Aufgabe brauchen. Der Zugriff ist über Rollen geregelt: Verwaltung, Bezirksleitung, Verein und Trainerteam sehen jeweils nur den Ausschnitt, der zu ihrem Bereich gehört. Für die Durchführung eines Termins erfahren die eingeteilten Trainerinnen und Trainer sowie der gastgebende Verein die dafür nötigen Angaben.

17. Ihre Rechte

Nach der DSGVO haben Sie uns gegenüber folgende Rechte:

• Auskunft darüber, welche Daten wir über Sie verarbeiten (Art. 15 DSGVO)
• Berichtigung unrichtiger oder unvollständiger Daten (Art. 16 DSGVO)
• Löschung, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht (Art. 17 DSGVO)
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit in einem gängigen, maschinenlesbaren Format (Art. 20 DSGVO)
• Widerspruch gegen Verarbeitungen, die wir auf ein berechtigtes Interesse stützen (Art. 21 DSGVO). Das betrifft insbesondere die Nutzungsmessung aus Abschnitt 12 und die Terminerinnerung aus Abschnitt 13.
• Widerruf einer Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO)

17.1 Selbstbedienung in Ihrem Konto

Zwei dieser Rechte können Sie ohne Umweg über uns direkt ausüben. In Ihrem Konto finden Sie:

• Meine Daten herunterladen: Sie erhalten sofort eine Datei mit Ihren Kontodaten, Ihren Profilangaben, allen Ihren Buchungen und allen Ihren Bestellungen einschließlich der einzelnen Positionen. Das deckt den größten Teil ab, aber nicht alles: Ihre Mitgliedschaft mit Geburtsdatum und Anschrift, Ihre Rechnungen, die Nachrichten in Ihrem Konto, Einträge auf einer Warteliste und eine Anfrage über „Mitmachen“ stehen nicht in dieser Datei. Diese Angaben bekommen Sie auf eine kurze Nachricht an uns hin ebenfalls, und zwar vollständig. Ihr Auskunfts- und Übertragbarkeitsrecht nach Art. 15 und Art. 20 DSGVO bleibt daneben in vollem Umfang bestehen; die Datei ist nur der schnellere Weg.
• Konto löschen: Wir löschen Ihr Konto, Ihre Profilangaben, Ihre Benachrichtigungen, Ihre Anmeldesitzungen und offene Bestätigungslinks. Buchungen und Bestellungen bleiben als Vorgang bestehen, weil wir sie für Abrechnung und Steuer brauchen; Ihr Name wird darin durch den Eintrag „Gelöscht" ersetzt, E-Mail-Adresse und Telefonnummer werden entfernt. Der Vorgang ist damit keiner Person mehr zuzuordnen und kann nicht rückgängig gemacht werden.

Für alles Weitere genügt eine formlose Nachricht an die Adresse aus Abschnitt 1. Wir antworten innerhalb eines Monats. Um sicherzugehen, dass wir keine Daten an Unbefugte herausgeben, können wir Sie um einen Nachweis Ihrer Identität bitten.

18. Beschwerderecht bei der Aufsichtsbehörde

Sie können sich jederzeit bei einer Datenschutz-Aufsichtsbehörde beschweren, wenn Sie der Ansicht sind, dass wir Ihre Daten nicht rechtmäßig verarbeiten. Zuständig für uns ist:

Sie können sich stattdessen auch an die Aufsichtsbehörde Ihres eigenen Wohnorts oder Arbeitsplatzes wenden.

19. Datensicherheit

Wir schützen Ihre Daten unter anderem durch folgende Maßnahmen:

• verschlüsselte Übertragung aller Seiten und Formulare über HTTPS mit erzwungener verschlüsselter Verbindung
• Passwörter ausschließlich als nicht umkehrbarer Prüfwert (bcrypt mit Salt)
• Anmelde-, Bestätigungs- und Passwortlinks nur als Prüfwert gespeichert, jeweils mit Ablaufdatum
• Zugangsdaten zu Zahlungsdienst und Mailversand verschlüsselt abgelegt und niemals in Protokollen ausgegeben
• rollenbasierte Zugriffsrechte, sodass jede Person nur ihren Bereich sieht
• Schutz vor Massenanfragen, Schutz vor Anfragen aus fremden Websites und Sicherheitseinstellungen im Browser, die das Nachladen fremder Inhalte unterbinden
• signaturgeprüfte Rückmeldungen des Zahlungsdienstleisters

Einen vollständigen Schutz vor allen denkbaren Angriffen kann niemand zusichern. Wir passen unsere Maßnahmen laufend an den Stand der Technik an.

20. Keine automatisierte Entscheidungsfindung

Wir setzen keine automatisierte Entscheidungsfindung und kein Profiling nach Art. 22 DSGVO ein. Über Anfragen, Bewerbungen und Mitgliedschaften entscheiden immer Menschen.

21. Änderungen dieser Datenschutzerklärung

Wir passen diese Erklärung an, sobald sich unsere Verarbeitung ändert, etwa weil eine neue Funktion hinzukommt. Es gilt jeweils die hier veröffentlichte Fassung. Den Stand finden Sie oben unter der Überschrift.