1. Verantwortlicher und Kontakt
QCL091417 Am Kirchberg 3 72770 Reutlingen Deutschland Ansprechpartner: Quentin Leloup
Kontakt für Datenschutzanfragen: trailbase.091417@gmail.com
2. Websitebesuch und Kommunikation
Beim Abruf der Website werden technisch insbesondere IP-Adresse, Zeitpunkt, angeforderte Ressource und Browserinformationen übertragen. Für die erforderliche Auslieferung und Absicherung kommt Art. 6 Abs. 1 lit. f DSGVO in Betracht (Interesse an einem sicheren, funktionsfähigen Dienst). Hostinganbieter, tatsächliche Protokollierung und Löschfristen müssen für die konkrete Betriebsumgebung ergänzt werden.
Bei Kontaktanfragen werden die übermittelten Kontaktdaten, Nachricht und gegebenenfalls Anhänge zur Bearbeitung verarbeitet: bei vertragsbezogenen Anfragen nach Art. 6 Abs. 1 lit. b DSGVO, ansonsten aufgrund des berechtigten Interesses an der Beantwortung nach Art. 6 Abs. 1 lit. f DSGVO. Der veröffentlichte Kontakt nutzt derzeit eine Gmail-Adresse. Die konkrete Google-Vertragspartei, Empfänger, Übermittlungen und Speicherfristen sind vor der Freigabe zu dokumentieren.
3. Konto, Lizenzen und Planungsdaten
Die App sieht Konten mit Name, E-Mail-Adresse, geschütztem Passwortnachweis, Rollen, Sitzungen und Lizenzzuordnungen vor. Hinzu kommen die von dir eingegebenen Profile, Saisons, Rennen, Trainings, Strecken, GPX-Dateien, Termine, Planungen und Inhalte. Soweit für die vereinbarte Leistung erforderlich, erfolgt die Verarbeitung nach Art. 6 Abs. 1 lit. b DSGVO. Gesetzliche Aufbewahrungspflichten können Art. 6 Abs. 1 lit. c DSGVO begründen.
Pflichtangaben sind im jeweiligen Formular gekennzeichnet. Ohne erforderliche Kontodaten kann der entsprechende Zugang nicht bereitgestellt werden. Freiwillige Angaben sind nur für die jeweils gewählte Zusatzfunktion erforderlich. Konkrete Speicher- und Löschregeln einschließlich Backups sind noch vom Betreiber zu bestätigen.
4. Gesundheits-, Leistungs- und Standortdaten
Trainings- und Aktivitätsdaten können zusammen mit Herzfrequenz, Leistungswerten, körperlichen Angaben oder Notizen Rückschlüsse auf Gesundheit erlauben. Für Gesundheitsdaten muss zusätzlich zu einer Grundlage nach Art. 6 DSGVO eine Ausnahme nach Art. 9 Abs. 2 DSGVO vorliegen, gegebenenfalls deine ausdrückliche, zweckbezogene Einwilligung. Eine Gerätefreigabe oder das Lesen dieser Seite ersetzt diese Einwilligung nicht.
Strecken und Aktivitäten können Aufenthaltsorte, Wohnorte und Bewegungsmuster erkennen lassen. Eine im Browser erteilte Standortberechtigung und eine Freigabe an andere Personen sind unterschiedliche Vorgänge. Die tatsächlich erfassten Daten, Zwecke, Empfänger, Freigabeeinstellungen und Widerrufsmöglichkeiten müssen für jede aktivierte Funktion konkret geprüft werden.
5. Coaches, Crews, Veranstalter und öffentliche Freigaben
Bei Einladungen, Verbindungen und geteilten Planungen können berechtigte Personen Daten des freigegebenen Bereichs einsehen. Öffentlich geteilte Inhalte können auch außerhalb deines Teams zugänglich sein. Prüfe vor dem Teilen insbesondere Adressen, Standorte und Gesundheitsangaben. Ein Widerruf weiterer Zugriffe kann bereits heruntergeladene Kopien nicht zurückholen.
Bei der Trennung von Coach und Athlet sind Zugriffsrechte, Lizenzen und die Aufbewahrung bereits übermittelter Daten getrennt zu behandeln. Ob ein Coach oder Veranstalter eigenständig verantwortlich ist und ob Trailbase als Auftragsverarbeiter handelt, richtet sich nach der tatsächlichen Verarbeitung und den Verträgen; das ist vor Nutzung der jeweiligen Zusammenarbeit festzulegen.
Importierte Daten über andere Personen können Informationspflichten nach Art. 14 DSGVO auslösen. Herkunft, Kategorien, Zweck, Rechtsgrundlage, Empfänger und erforderliche Benachrichtigung sind dabei gesondert zu prüfen.
6. Cookies, Browser-Speicher und Betriebsinformationen
Die passwortbasierte Anmeldung nutzt das Sitzungscookie tb_session mit einer Laufzeit von bis zu sieben Tagen. Browser-Speicher wird zudem für Einstellungen und je nach Nutzung für lokale bzw. Offline-Planungen verwendet. Die konkrete Liste der Schlüssel, Zwecke und Laufzeiten ist noch zu vervollständigen. Ein Logout löscht nicht zwangsläufig alle zuvor lokal gespeicherten Dateien oder Offline-Daten.
Für technisch unbedingt erforderliche Speicherung oder Zugriffe kommt § 25 Abs. 2 TDDDG in Betracht. Andere Zugriffe benötigen grundsätzlich eine vorherige Einwilligung nach § 25 Abs. 1 TDDDG; die Verarbeitung personenbezogener Daten benötigt zusätzlich eine Grundlage nach der DSGVO. Ein Datenschutzhinweis ersetzt keine technische Einwilligungssperre.
Die App enthält eine interne Nutzungsübersicht mit aktiven Nutzern, aufgerufenen Bereichen, Herkunft und gegebenenfalls ungefährem Standort sowie Funktionsereignissen. Der im Quellcode vorgesehene Verlauf umfasst 24 Stunden; als online gilt ein Zeitfenster von fünf Minuten. Zweck, Erforderlichkeit, Zugriff, Rechtsgrundlage und gegebenenfalls Einwilligung für den tatsächlichen Betrieb sind noch zu prüfen. Eine pauschale Aussage „kein Tracking“ wäre deshalb unzutreffend.
7. Externe Dienste und Drittlandübermittlungen
Die Plattform enthält Anbindungen für Karten, Routing, Geocoding, Wetter, externe Anmeldung und Aktivitätsimporte, unter anderem MapTiler, Google-Anmeldung, Resend, Strava, Garmin und die optional gewählte OpenAI-Planprüfung. Details zum geprüften KI-Datenfluss stehen auf „KI & Transparenz“. Welche Anbieter tatsächlich aktiv sind und welche Daten wann übertragen werden, hängt von der Betriebsumgebung und der Nutzung ab. Ein vollständiges dienstbezogenes Verzeichnis mit Empfängern, Zwecken, Rechtsgrundlagen, Speicherfristen und Datenschutzlinks fehlt noch.
Die bestehende Coming-soon-Seite lädt Google Fonts von Google-Servern. Dabei werden Verbindungsdaten an Google übertragen. Diese Rechteseiten selbst laden keine externen Schriften, Karten, Analyse-Skripte oder eingebetteten Drittinhalte. Dies beschreibt nur diese Seiten, nicht sämtliche Bereiche der Plattform.
Soweit Daten außerhalb des Europäischen Wirtschaftsraums verarbeitet werden, sind Empfänger, Länder und der konkrete Mechanismus nach Art. 44 ff. DSGVO anzugeben, beispielsweise ein einschlägiger Angemessenheitsbeschluss oder geeignete Garantien. Verträge, Zertifizierungen und ergänzende Schutzmaßnahmen sind dienstbezogen zu prüfen; eine pauschale Zusage wird hier nicht getroffen.
8. Deine Datenschutzrechte
Du hast unter den gesetzlichen Voraussetzungen Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung und Datenübertragbarkeit. Erteilte Einwilligungen kannst du mit Wirkung für die Zukunft widerrufen; die Rechtmäßigkeit der Verarbeitung bis zum Widerruf bleibt unberührt.
Bei Verarbeitung nach Art. 6 Abs. 1 lit. e oder f DSGVO kannst du aus Gründen deiner besonderen Situation widersprechen. Gegen Direktwerbung kannst du jederzeit Widerspruch einlegen. Richte Anfragen an den oben genannten Kontakt; bei berechtigten Zweifeln an deiner Identität kann eine angemessene Prüfung erforderlich sein.
Du kannst dich bei einer Datenschutzaufsichtsbehörde beschweren, insbesondere am Ort deines gewöhnlichen Aufenthalts, deines Arbeitsplatzes oder des vermuteten Verstoßes. Die für den Betreiber zuständige Behörde ist nach Bestätigung seines Sitzes konkret zu benennen. Auskunft über Herkunft, Empfänger und verfügbare Garantien kannst du ebenfalls beim Verantwortlichen verlangen.
9. Berechnungen und Änderungen
Trailbase berechnet unter anderem Planungs- und Trainingsvorschläge. Ob im konkreten Betrieb Profiling oder ausschließlich automatisierte Entscheidungen mit rechtlicher oder ähnlich erheblicher Wirkung nach Art. 22 DSGVO stattfinden, muss anhand der aktivierten Funktionen geprüft werden. Solche Entscheidungen dürfen nicht allein aus dieser allgemeinen Beschreibung abgeleitet werden.
Dieser Entwurf muss an die tatsächlich eingesetzten Funktionen und Dienste angepasst werden. Wesentliche Änderungen der Verarbeitung erfordern entsprechende Information; soweit nötig, eine neue Einwilligung.