Datenschutzerklärung — White Sharks e.V.

1. Verantwortliche

Verantwortliche im Sinne der Datenschutz-Grundverordnung (DSGVO) sind -- je nachdem, für welchen Standort du dich zu einem Kurs anmeldest oder Mitglied wirst -- die folgenden rechtlich eigenständigen Vereine:

Es sind noch keine Rechtsträger-Angaben hinterlegt.

Weitere Kontaktdaten siehe Impressum.

2. Welche Daten wir verarbeiten

Wir erheben nur die Daten, die für den jeweiligen Vorgang nötig sind:

Kurs-Anmeldung

Name, Geburtsdatum, Anschrift, Telefonnummer und E-Mail-Adresse der/des Teilnehmenden; bei minderjährigen Teilnehmenden zusätzlich Name der anmeldenden Person. Beim Absenden wird außerdem eine digitale Unterschrift (Bilddatei) erfasst und zusammen mit einem SHA-256-Prüfwert, der IP-Adresse und dem Browser-Kennzeichen (User-Agent) als Nachweis der Unterschrift gespeichert (Manipulationsschutz/ Beweiszweck).

Vereinsbeitritt

Dieselben Personendaten wie bei der Kurs-Anmeldung, zusätzlich die gewählte Beitragskategorie sowie die Bankverbindung (IBAN, Kontoinhaber) für das SEPA-Lastschriftmandat. Die IBAN wird ausschließlich verschlüsselt gespeichert (AES-256-GCM) — in der Datenbank liegen nur die letzten 4 Ziffern im Klartext, die vollständige IBAN erscheint nur einmalig im erzeugten Mandats-PDF. Auch hier wird die digitale Unterschrift (zweifach: Beitrittserklärung und SEPA-Mandat) inkl. SHA-256-Prüfwert, IP-Adresse und User-Agent gespeichert.

Admin-Bereich (nur Vorstand)

Für den passwortgeschützten Vereins-internen Bereich werden E-Mail-Adresse und ein gehashtes Passwort (kein Klartext-Passwort) der Vorstandsmitglieder gespeichert sowie eine Sitzungskennung (Session-Cookie) für die Dauer der Anmeldung.

3. Zwecke und Rechtsgrundlage der Verarbeitung

Die Verarbeitung erfolgt zur Anbahnung und Durchführung des Kursvertrags bzw. der Vereinsmitgliedschaft (Art. 6 Abs. 1 lit. b DSGVO), einschließlich der Einrichtung und Verwaltung des SEPA-Lastschriftmandats. Soweit personenbezogene Daten aufgrund gesetzlicher Aufbewahrungspflichten (z. B. handels- und steuerrechtliche Fristen für zahlungsbezogene Unterlagen) länger vorgehalten werden müssen, stützt sich die Verarbeitung auf Art. 6 Abs. 1 lit. c DSGVO.

4. Empfänger und Auftragsverarbeiter

Hosting: Die Plattform und die Datenbank laufen auf Servern der Hetzner Online GmbH mit Sitz in Deutschland. Mit Hetzner besteht ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO; eine Übermittlung in Drittländer findet beim Hosting nicht statt.
E-Mail-Versand: Bestätigungs- und Benachrichtigungs-E-Mails werden über den Dienst Resend (Resend, Inc., USA) versendet. Dabei ist eine Übermittlung personenbezogener Daten (Name, E-Mail-Adresse, Inhalt der Nachricht) in die USA möglich. Diese wird über geeignete Garantien nach Art. 46 DSGVO abgesichert, insbesondere die EU-Standardvertragsklauseln der Europäischen Kommission.
Technischer Betreiber: Die Plattform wird im Auftrag von White Sharks e.V. technisch betrieben und gewartet. Mit dem Betreiber besteht ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO.

Eine Weitergabe an sonstige Dritte findet nicht statt, außer wenn wir gesetzlich dazu verpflichtet sind.

5. Speicherdauer

Wir speichern personenbezogene Daten für die Dauer der Kursteilnahme bzw. der Vereinsmitgliedschaft und löschen oder anonymisieren sie im Anschluss, soweit dem keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Im Einzelnen gelten folgende Fristen:

Zahlungsbezogene Unterlagen (Anmeldungs-/Beitritts-PDFs mit Rechnungscharakter, SEPA-Mandate): zehn Jahre ab Ende des Kalenderjahres der Zahlung (§ 257 HGB, § 147 AO).
Stornierte, nie bezahlte Kurs-Anmeldungen: zwölf Monate nach Stornierung.
Interessens-Meldungen ohne zustande gekommene Anmeldung ("Bei neuen Terminen benachrichtigen"): sechs Monate nach Erfassung bzw. Übernahme in eine Staffel.
Stammdaten minderjähriger Teilnehmender werden nicht länger vorgehalten als die Daten der zugehörigen anmeldenden (personensorgeberechtigten) Person und enden spätestens mit deren Löschung/Anonymisierung.

Nach Fristablauf werden personenbezogene Stammdaten anonymisiert (Name, Kontaktdaten und digitale Unterschrift werden entfernt) -- bereits erzeugte Vertrags-PDFs bleiben davon unberührt, bis auch für sie die Aufbewahrungsfrist endet. Die genauen Fristen je Dokumenttyp sind vereinsintern in docs/DATENFRISTEN.md dokumentiert; die Prüfung erfolgt manuell, es gibt keinen automatischen Löschlauf.

6. Ihre Rechte

Sie haben nach der DSGVO folgende Rechte bezüglich Ihrer personenbezogenen Daten:

Auskunft über die gespeicherten Daten (Art. 15 DSGVO)
Berichtigung unrichtiger Daten (Art. 16 DSGVO)
Löschung Ihrer Daten (Art. 17 DSGVO)
Einschränkung der Verarbeitung (Art. 18 DSGVO)
Datenübertragbarkeit (Art. 20 DSGVO)
Widerspruch gegen die Verarbeitung (Art. 21 DSGVO)

Wenden Sie sich dazu an die im Impressum genannten Kontaktdaten. Außerdem steht Ihnen ein Beschwerderecht bei einer Datenschutzaufsichtsbehörde zu.

7. Cookies

Der öffentliche Bereich dieser Plattform (Kurs-Anmeldung und Vereinsbeitritt) verwendet keine Cookies und kein Tracking — es werden keine Analyse- oder Marketing-Dienste eingebunden. Lediglich im passwortgeschützten Verwaltungsbereich für den Vorstand wird ein technisch notwendiges Sitzungs-Cookie gesetzt, das ausschließlich der sicheren Anmeldung dient (Art. 6 Abs. 1 lit. f DSGVO) und keiner Einwilligung bedarf. Ein Cookie-Consent-Banner ist daher für die öffentlichen Anmeldeflows nicht erforderlich.

8. Telefonische KI-Assistenz

Für die telefonische Erreichbarkeit setzen wir zusätzlich einen KI-gestützten Sprachassistenten (die „digitale Rezeption") ein, der Anrufe zu Kursen, Beiträgen, Trainingszeiten und Rückrufwünschen automatisiert entgegennimmt.

Welche Daten wir verarbeiten

Die Rufnummer der anrufenden Person, der Gesprächsinhalt als Text-Transkript, eine Zusammenfassung des Anliegens sowie — sofern gewünscht — Name, Rückrufnummer und Anliegen für einen Rückrufwunsch. Bei einem erkennbaren Notfall wird das Gespräch zusätzlich als solcher gekennzeichnet, damit der Verein sofort benachrichtigt werden kann. Personendaten von Kindern werden am Telefon bewusst nicht abgefragt — für Kursanmeldungen verweist der Assistent stattdessen auf den digitalen Anmelde-Link per SMS (siehe oben, Abschnitt „Kurs-Anmeldung").

Zweck und Rechtsgrundlage

Die Verarbeitung dient der Bearbeitung deiner telefonischen Anfrage und gegebenenfalls der Anbahnung eines Kursvertrags bzw. einer Mitgliedschaft (Art. 6 Abs. 1 lit. b DSGVO) sowie unserem berechtigten Interesse an einer durchgehend erreichbaren, effizienten telefonischen Rezeption und einer nachvollziehbaren Rückruf-Organisation (Art. 6 Abs. 1 lit. f DSGVO).

Keine Audioaufnahme

In unserem System wird keine Tonaufnahme des Gesprächs gespeichert — gespeichert werden ausschließlich Text (Transkript und Zusammenfassung). Zur technischen Erzeugung des Transkripts verarbeitet unser Sprachassistenz-Dienstleister (siehe unten) das gesprochene Wort im Moment des Gesprächs.

Empfänger und Auftragsverarbeiter

Sprachassistenz: ElevenLabs (USA) wandelt die Sprache in Text um, erzeugt die Antworten und die gesprochene Stimme. Dabei ist eine Übermittlung von Gesprächsdaten in die USA möglich; diese wird über geeignete Garantien nach Art. 46 DSGVO abgesichert, insbesondere die EU-Standardvertragsklauseln der Europäischen Kommission.
Telefonie: sipgate (Deutschland) stellt die Rufnummer und die Telefonverbindung bereit und verarbeitet dabei technisch bedingt die Rufnummer und Verbindungsdaten.
Hosting: Transkripte, Zusammenfassungen und Rückrufwünsche werden — wie alle übrigen Daten dieser Plattform — auf Servern der Hetzner Online GmbH in Deutschland gespeichert.

Speicherdauer

Anrufdatensätze, Transkripte und Rückrufwünsche löschen wir nach den in docs/DATENFRISTEN.md dokumentierten Fristen, sofern sie nicht ausnahmsweise Teil eines zahlungsrelevanten Vorgangs werden — dann gelten die Fristen aus Abschnitt 5 oben.

Deine Rechte und der Hinweis zu Gesprächsbeginn

Es gelten dieselben Rechte wie in Abschnitt 6 beschrieben. Zusätzlich weist dich der Sprachassistent zu Beginn jedes Anrufs darauf hin, dass du mit einem KI-System sprichst und das Gespräch zur Bearbeitung deiner Anfrage als Text verarbeitet wird.