Datenschutzerklärung
Diese Erklärung gilt für karena.app: die Website, die Registrierung und den Betrieb der Plattform, soweit wir selbst Verantwortlicher sind. Sie gilt nicht für die Verarbeitung von Mitglieder-, Athleten- und Elterndaten durch Schulen und Verbände, die Karena nutzen. Dafür ist die jeweilige Organisation verantwortlich (siehe Abschnitt 3).
1. Verantwortlicher
Koordinauten GmbH
Kieselbronner Str. 42 / 3
75177 Pforzheim
Deutschland
Geschäftsführer: Mike Nagel, Sebastian Witt
E-Mail: datenschutz@koordinauten.de
Datenschutzbeauftragter: [Name / Kanzlei, E-Mail]
2. Übersicht der Verarbeitungen
| Vorgang | Daten | Zweck | Rechtsgrundlage | Speicherdauer |
|---|---|---|---|---|
| Aufruf der Website | IP-Adresse, Zeitstempel, URL, User-Agent, Referrer | Auslieferung, Sicherheit, Fehleranalyse | Art. 6 Abs. 1 lit. f | Server-Logs 7 Tage |
| Warteliste / Kontakt | E-Mail, Organisation, Art der Organisation; bei Kontakt per E-Mail auch Name und Nachricht | Beantwortung, Onboarding | Art. 6 Abs. 1 lit. b, f | bis Erledigung, max. 12 Monate |
| Registrierung & Account | E-Mail, Name, Passwort (gehasht), Organisation, Rolle | Vertragsdurchführung, Zugang | Art. 6 Abs. 1 lit. b | Vertragslaufzeit + 30 Tage |
| Session / Login | Session-Cookie, CSRF-Token, aktive Organisation | Technisch erforderlich | § 25 Abs. 2 Nr. 2 TDDDG; Art. 6 Abs. 1 lit. b | Session |
| E-Mail-Versand | E-Mail-Adresse, Betreff, Zustellstatus | Bestätigung, Passwort-Reset, Einladungen, Benachrichtigungen | Art. 6 Abs. 1 lit. b | Versandprotokolle 30 Tage beim Anbieter |
| Vertragsabrechnung | Rechnungsadresse, Zahlungsdaten der Organisation, Plan | Abrechnung des Karena-Abonnements | Art. 6 Abs. 1 lit. b, c | 10 Jahre (§ 147 AO, § 257 HGB) |
| Support | Kontaktdaten, Inhalt der Anfrage, ggf. Screenshots | Fehlerbehebung | Art. 6 Abs. 1 lit. b, f | 12 Monate nach Abschluss |
| Support-Zugriff (Impersonation) | Support-Mitarbeiter, betroffener Account, Zeitraum | Nachvollziehbare Fehleranalyse und Support | Art. 6 Abs. 1 lit. b, f (Audit-Log) | Audit-Log 12 Monate |
3. Abgrenzung: Karena als Auftragsverarbeiter
Wenn eine Schule, ein Verband oder ein Franchise-Unternehmen Karena nutzt, um Mitglieder, Athleten, Erziehungsberechtigte, Trainings, Prüfungen, Wettkämpfe oder Beiträge zu verwalten, ist diese Organisation Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO. Wir verarbeiten diese Daten ausschließlich im Auftrag und nach Weisung der Organisation auf Grundlage eines Auftragsverarbeitungsvertrags (Art. 28 DSGVO).
Betroffene wenden sich mit Auskunfts-, Löschungs- und sonstigen Anfragen zu diesen Daten bitte an die jeweilige Organisation. Deren Datenschutzhinweise sind auf der Website der Organisation einsehbar. Wir unterstützen die Organisation bei der Beantwortung und leiten Anfragen weiter, die uns direkt erreichen.
White-Label-Instanzen: Wird Karena unter einer eigenen Domain einer Organisation betrieben, gelten auf dieser Domain Impressum und Datenschutzhinweise der Organisation.
4. Hosting und Infrastruktur
Die Plattform wird auf Servern der Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, betrieben. Serverstandort: Falkenstein, Deutschland. Dateien (Bilder, PDF-Dokumente, Exporte) werden im Hetzner Object Storage (S3-kompatibel) gespeichert, ebenfalls am Standort Falkenstein, Deutschland. Mit Hetzner besteht ein Auftragsverarbeitungsvertrag; Hetzner ist nach ISO 27001 zertifiziert.
Eine Übermittlung in Drittländer außerhalb der EU/des EWR findet im Rahmen des Hostings nicht statt.
5. Cookies und lokale Speicherung
Wir setzen ausschließlich technisch erforderliche Cookies ein:
| Cookie | Zweck | Dauer |
|---|---|---|
_kao_key |
Session, Login, aktive Organisation | Session; bei „Angemeldet bleiben" 60 Tage |
| CSRF-Token | Schutz vor Cross-Site-Request-Forgery | Session |
karena_locale |
Gewählte Sprache der Website | 1 Jahr |
Es werden keine Analyse-, Tracking- oder Werbe-Cookies eingesetzt. Ein Cookie-Banner ist daher nicht erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG). Die Website bindet keine externen Analyse-, Schrift- oder Einbettungsdienste ein.
6. Registrierung, Account und Einladungen
Zur Nutzung der Plattform ist ein Nutzerkonto erforderlich. Bei der Registrierung erheben wir E-Mail-Adresse, Vor- und Nachname sowie ein Passwort, das ausschließlich als Hash (bcrypt) gespeichert wird. Die E-Mail-Adresse wird per Bestätigungslink verifiziert (Double-Opt-in).
Konten können auch durch Einladung einer Organisation entstehen (E-Mail-Einladung oder Beitrittscode). In diesem Fall hat die einladende Organisation Ihre E-Mail-Adresse an uns übermittelt; Rechtsgrundlage ist das Vertrags- oder Mitgliedschaftsverhältnis zwischen Ihnen und der Organisation.
Mit dem Konto verknüpfte Einstellungen (Sprache, zuletzt aktive Organisation, Benachrichtigungen) speichern wir zur Bereitstellung des Dienstes.
7. E-Mail-Versand (Brevo)
Für Transaktions-E-Mails (Registrierungsbestätigung, Passwort-Zurücksetzen, Einladungen, Benachrichtigungen) nutzen wir Brevo (Sendinblue SAS, 7 rue de Madrid, 75008 Paris, Frankreich). Brevo verarbeitet E-Mail-Adresse, Betreff, Inhalt und Zustellstatus in unserem Auftrag auf Grundlage eines Auftragsverarbeitungsvertrags. Verarbeitungsort: EU.
Wir versenden keine Newsletter oder Werbe-E-Mails.
8. Kontakt und Warteliste
Bei Anfragen über das Kontaktformular oder die Warteliste auf karena.app speichern wir die übermittelten Angaben zur Bearbeitung. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b (vorvertragliche Maßnahme) bzw. lit. f (berechtigtes Interesse an der Beantwortung).
9. Schnittstellen und Drittanbieter-Clients (API / MCP)
Organisationen können Karena über Schnittstellen (API, Model Context Protocol) an eigene Werkzeuge anbinden, einschließlich KI-Assistenten. Diese Anbindung wird von der Organisation aktiviert und verantwortet; die Daten werden dann an den von der Organisation gewählten Anbieter übermittelt. Wir selbst übermitteln keine Kundendaten an KI-Anbieter. Zugriffe über Schnittstellen unterliegen denselben Berechtigungen wie in der Anwendung und werden protokolliert.
10. Sicherheit
Wir treffen technische und organisatorische Maßnahmen nach Art. 32 DSGVO, darunter: TLS-Verschlüsselung aller Verbindungen, rollenbasierte Zugriffskontrolle mit organisationsbezogener Abgrenzung, Verschlüsselung besonders schutzwürdiger Daten (z.B. Bankverbindungen) auf Datenbankebene, private Speicherung von Dokumenten mit zeitlich befristeten Zugriffslinks, regelmäßige Backups und Protokollierung administrativer Zugriffe. Einzelheiten sind im Auftragsverarbeitungsvertrag (Anlage TOMs) beschrieben.
11. Empfänger und Übermittlungen
| Empfänger | Rolle | Sitz | Grundlage |
|---|---|---|---|
| Hetzner Online GmbH | Hosting, Object Storage | Deutschland | AVV, Art. 28 |
| Brevo (Sendinblue SAS) | E-Mail-Versand | Frankreich | AVV, Art. 28 |
Eine Übermittlung in Drittländer außerhalb der EU/des EWR findet nicht statt.
12. Speicherdauer
Wir speichern personenbezogene Daten nur so lange, wie es für den jeweiligen Zweck erforderlich ist oder gesetzliche Aufbewahrungspflichten bestehen (insbesondere § 147 AO, § 257 HGB für Rechnungsdaten). Nutzerkonten werden 30 Tage nach Vertragsende bzw. Löschanfrage gelöscht; Konten, die ausschließlich über eine Organisation bestehen, unterliegen deren Löschkonzept. Details: siehe Tabelle in Abschnitt 2.
13. Ihre Rechte
Sie haben gegenüber uns folgende Rechte hinsichtlich der Sie betreffenden Daten, für die wir Verantwortlicher sind:
- Auskunft (Art. 15)
- Berichtigung (Art. 16)
- Löschung (Art. 17)
- Einschränkung der Verarbeitung (Art. 18)
- Datenübertragbarkeit (Art. 20)
- Widerspruch gegen Verarbeitungen auf Grundlage von Art. 6 Abs. 1 lit. f (Art. 21)
- Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft (Art. 7 Abs. 3)
Anfragen richten Sie an datenschutz@koordinauten.de. Zur Sicherheit können wir eine Identitätsprüfung verlangen.
Beschwerderecht: Sie können sich bei einer Datenschutz-Aufsichtsbehörde beschweren. Zuständig für uns ist der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg, Lautenschlagerstraße 20, 70173 Stuttgart, www.baden-wuerttemberg.datenschutz.de.
14. Keine automatisierte Entscheidungsfindung
Wir treffen keine ausschließlich auf automatisierter Verarbeitung beruhenden Entscheidungen mit rechtlicher Wirkung im Sinne von Art. 22 DSGVO.
15. Änderungen
Wir passen diese Erklärung an, wenn sich unsere Verarbeitungen oder die Rechtslage ändern. Die aktuelle Fassung ist unter karena.app/datenschutz abrufbar.
Stand: 30. September 2026