Datenschutzerklärung

1. Verantwortlicher

Verantwortlich für die Datenverarbeitung ist:

Sportport GmbH (Marke „SportStart")
Piependreiherweg 4, 22765 Hamburg
Telefon: 040 398 997 50 · E-Mail: info@sportstart.de
Vertretungsberechtigt: Michael Haas, Frederik Tychsen (Geschäftsführer)

Eine/einen Datenschutzbeauftragte/n haben wir nicht benannt; dazu besteht keine gesetzliche Pflicht (§ 38 Abs. 1 BDSG).

2. Allgemeines

Wir verarbeiten personenbezogene Daten nur im Rahmen der geltenden Datenschutzgesetze (DSGVO, BDSG, TDDDG). Diese Erklärung informiert über Art, Umfang und Zweck der Verarbeitung sowie über Ihre Rechte. Rechtsgrundlagen (Art. 6 Abs. 1 DSGVO): lit. a = Einwilligung · lit. b = Vertrag/vorvertragliche Maßnahmen · lit. c = rechtliche Verpflichtung · lit. f = berechtigtes Interesse.

Unsere Website wird in Deutschland gehostet und lädt keine externen Schriften, Skripte oder CDN-Inhalte (z. B. keine Google Fonts). Es findet insoweit keine Datenübermittlung an Dritte statt.

3. Zugriffsdaten / Server-Logfiles

Beim Aufruf der Website werden automatisch Daten in Server-Logfiles gespeichert: IP-Adresse, Datum/Uhrzeit, aufgerufene Seite, übertragene Datenmenge, Referrer, Browsertyp/-version, Betriebssystem.

• Zweck: technisch fehlerfreie Auslieferung, Sicherheit und Stabilität.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. f.
• Speicherdauer: 14 Tage, danach automatische Löschung.
• Hosting: Server in Deutschland (IONOS); Auftragsverarbeitungsvertrag (Art. 28 DSGVO) besteht.

4. Kontaktformular und Kontaktaufnahme

Wenn Sie unser Kontaktformular nutzen oder uns per E-Mail/Telefon kontaktieren, verarbeiten wir die angegebenen Daten (Name, E-Mail-Adresse, optional Telefonnummer, Ihre Nachricht) zur Bearbeitung Ihrer Anfrage.

• Zweck: Beantwortung und Bearbeitung Ihrer Anfrage.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b (vertragsbezogen) bzw. lit. f (allgemein); soweit Sie ausdrücklich zustimmen, lit. a.
• Empfänger/Drittdienste: Der Versand erfolgt per E-Mail über unseren Mailserver-Dienstleister (Deutschland). Zum Schutz des Formulars vor automatisierten Einsendungen setzen wir zusätzlich Cloudflare Turnstile ein — Einzelheiten im folgenden Absatz.
• Speicherdauer: bis zur abschließenden Bearbeitung und darüber hinaus nur bei gesetzlichen Aufbewahrungspflichten.

Schutz vor automatisierten Einsendungen (Cloudflare Turnstile). Damit unser Kontaktformular nicht von maschinell erzeugten Nachrichten überflutet wird, setzen wir auf den Kontaktseiten Cloudflare Turnstile ein, einen Dienst der Cloudflare, Inc., 101 Townsend Street, San Francisco, CA 94107, USA. Turnstile prüft ohne Rätselaufgabe, ob eine Eingabe von einem Menschen stammt.

Das Prüfmodul wird erst geladen, wenn Sie beginnen, das Formular zu benutzen; beim bloßen Aufruf der Kontaktseite wird nichts von Cloudflare geladen. Übermittelt werden dabei Ihre IP-Adresse, technische Angaben zu Browser und Endgerät (unter anderem Browserkennung, Spracheinstellung sowie Bildschirm- und Zeitzonenangaben) und Ihr Eingabeverhalten auf der Formularseite. Beim Absenden übermittelt zusätzlich unser Server das erzeugte Prüfmerkmal zusammen mit Ihrer IP-Adresse zur Bestätigung an Cloudflare. Der Inhalt Ihrer Nachricht wird dabei nicht an Cloudflare übermittelt. Cookies setzt Turnstile nach Angaben des Anbieters nicht.

• Zweck: Abwehr automatisierter Einsendungen, damit echte Anfragen nicht in einer Flut maschineller Nachrichten untergehen.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt in einem funktionsfähigen und missbrauchsfreien Kontaktweg. Der Zugriff auf Angaben Ihres Endgeräts ist nach § 25 Abs. 2 Nr. 2 TDDDG einwilligungsfrei, weil er ausschließlich erfolgt, um die von Ihnen angeforderte Funktion des Nachrichtenversands bereitzustellen.
• Übermittlung in die USA: Cloudflare, Inc. hat seinen Sitz in den Vereinigten Staaten. Die Übermittlung ist durch die EU-Standardvertragsklauseln abgesichert, die Bestandteil unseres Auftragsverarbeitungsvertrags mit Cloudflare sind; ergänzend ist Cloudflare unter dem EU-US Data Privacy Framework zertifiziert. Trotz dieser Garantien lässt sich nicht vollständig ausschließen, dass US-Behörden auf die übermittelten Daten zugreifen.
• Speicherdauer: Wir selbst speichern die an Cloudflare übermittelten Daten nicht; das Prüfergebnis wird nur für den Moment des Absendens ausgewertet. Für die Speicherung bei Cloudflare gilt deren Datenschutzerklärung (cloudflare.com/privacypolicy).
• Wenn die Prüfung nicht gelingt: Lässt sich der Nachweis nicht erbringen — etwa weil JavaScript abgeschaltet ist oder die Verbindung zu Cloudflare blockiert wird —, können wir Ihre Nachricht über das Formular nicht entgegennehmen. Sie erhalten dann einen Hinweis; Ihre Eingaben bleiben erhalten. Per E-Mail und telefonisch erreichen Sie uns in diesem Fall unverändert (Abschnitt 1).
• Widerspruch: Sie können dieser Verarbeitung nach Art. 21 Abs. 1 DSGVO widersprechen. Unabhängig davon erreichen Sie uns jederzeit auch per E-Mail oder Telefon — Ihre Anfrage wird dadurch nicht anders behandelt.

5. Kursanmeldung (Aufnahme & Probestunde)

Über unsere Online-Formulare erheben wir die zur Anmeldung erforderlichen Daten.

Aufnahmeformular (verbindliche Mitgliedschaft, inkl. SEPA-Lastschrift): Kind (Vor-/Nachname, Geburtsdatum); Erziehungsberechtigte/r (Vor-/Nachname, Geburtsdatum, Anschrift, E-Mail, Mobilnummer(n), ggf. Festnetz); Zahlungsdaten (Kontoinhaber, IBAN, BIC, Kreditinstitut); Vertragsdaten (Standort, Kurs, Wunsch-Kursbeginn, ggf. Rabattangaben, Mitteilung).

Probestundenanmeldung (unverbindlich): wie oben, jedoch ohne Bank-/Zahlungsdaten und ohne Rabattangaben.

• Zweck: Begründung und Durchführung des Kursvertrags bzw. Organisation der Probestunde.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b; für steuer-/handelsrechtliche Aufbewahrung lit. c.
• Pflichtangaben sind im Formular gekennzeichnet; ohne sie können wir den Vertrag bzw. die Probestunde nicht durchführen.

Zum Schutz der Formulare vor automatisiertem Missbrauch setzen wir auf diesen Formularseiten Cloudflare Turnstile ein (Cloudflare, Inc., USA); dabei werden IP-Adresse und Geräte-/Browsersignale an Cloudflare übermittelt (Art. 6 Abs. 1 lit. f). Die Übermittlung in die USA erfolgt auf Grundlage des EU-US Data Privacy Framework sowie ergänzend der EU-Standardvertragsklauseln.

Bei der Adresseingabe werden zur Komfort- bzw. Richtigkeitsprüfung zwei Dienste angefragt: Photon/komoot (Adressvorschläge, komoot GmbH, Deutschland) und OpenPLZ API (Ort/PLZ, Deutschland). Übermittelt werden dabei nur die jeweilige Eingabe (Adressfragment bzw. Postleitzahl) und Ihre IP-Adresse, ausschließlich zum Zweck der Prüfung. Rechtsgrundlage: Art. 6 Abs. 1 lit. b.

Ihre Kontonummer (IBAN) wird nicht an Dritte übermittelt. Die Prüfziffer rechnen wir selbst; BIC und Kreditinstitut ermitteln wir aus der öffentlichen Bankleitzahlendatei der Deutschen Bundesbank, die bei uns vorliegt.

Speicherung der Anmeldedaten: in unserer Datenbank (derzeit Ninox GmbH, Hosting in Deutschland/AWS Frankfurt, Auftragsverarbeiter nach Art. 28 DSGVO; künftig eigene Verwaltungssoftware auf unserem Server in Deutschland).

6. SEPA-Lastschrift und Nachweis des Mandats

Zur Beitragszahlung ziehen wir die Beiträge per SEPA-Basislastschrift ein. Hierzu verarbeiten wir Kontoinhaber, IBAN, BIC und die Mandatsreferenz. Gläubiger-Identifikationsnummer: DE15ZZZ00002142041.

Zum Nachweis der online erteilten Zustimmung zum Lastschriftmandat speichern wir zusätzlich zum Zeitpunkt der Anmeldung Ihre IP-Adresse und Ihre Browserkennung (User-Agent).

• Zweck: Beweisbarkeit der Mandatserteilung.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. f und lit. b.
• Speicherdauer: für die Dauer des Mandats zzgl. Nachweis-/Aufbewahrungsfristen.

Die Vorabankündigung (Pre-Notification) über Betrag und Fälligkeit erfolgt mindestens einen Kalendertag vor dem Einzug (Einzelheiten in den AGB).

7. Online-Buchung über Yolawo (Click-to-load)

Für bestimmte Online-Buchungen (u. a. Kindergeburtstage) binden wir das Buchungssystem Yolawo (Yolawo GmbH, Hosting in Deutschland/AWS Frankfurt) ein.

• Das Yolawo-Buchungsfenster wird aus Datenschutzgründen erst geladen, nachdem Sie aktiv zugestimmt haben („Click-to-load"). Vor Ihrer Zustimmung werden keine Daten an Yolawo übertragen und keine Yolawo-Cookies gesetzt.
• Nach Ihrer Zustimmung werden beim Laden bzw. bei der Buchung Daten an Yolawo übermittelt (u. a. IP-Adresse, Ihre Buchungs-/Kontaktangaben, bei Bezahlung ggf. Zahlungsdaten); Yolawo kann dabei Cookies setzen.
• Zweck: Durchführung der Online-Buchung, einschließlich Zahlungsabwicklung, soweit Sie kostenpflichtig buchen.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. a (Einwilligung in das Laden, § 25 TDDDG) und lit. b (Buchungs-/Vertragsabwicklung). Yolawo ist als Auftragsverarbeiter tätig; es besteht ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO.

8. Cookies / Zugriff auf Endgeräte (§ 25 TDDDG) und Einwilligungsverwaltung

Unsere Website verwendet standardmäßig nur technisch notwendige Cookies/Speichervorgänge (z. B. Session-/CSRF-Sicherheit, Speicherung Ihrer Cookie-Auswahl). Diese sind nach § 25 Abs. 2 TDDDG einwilligungsfrei.

Externe Inhalte, die Ihre Einwilligung erfordern — derzeit die Yolawo-Online-Buchung — werden erst nach Ihrer Einwilligung geladen. Der Bot-Schutz unseres Kontaktformulars (Cloudflare Turnstile, Abschnitt 4) lädt erst, wenn Sie beginnen, das Formular zu benutzen, und ist nach § 25 Abs. 2 Nr. 2 TDDDG einwilligungsfrei; er wird deshalb nicht über den Banner gesteuert. Ihre Auswahl verwalten wir über einen eigenen, auf unserem Server betriebenen Einwilligungs-Banner (kein externes Consent-Tool); Sie können Ihre Einwilligung jederzeit über den Link „Cookie-Einstellungen" im Seitenfuß mit Wirkung für die Zukunft ändern oder widerrufen.

Wir setzen keine Analyse-, Tracking- oder Werbe-Cookies ein.

9. Marketing-Kommunikation (nur mit Einwilligung)

Sofern Sie im Formular zustimmen, informieren wir Sie über Angebote und Neuigkeiten per E-Mail und/oder per WhatsApp. Bei WhatsApp erfolgt die Verarbeitung durch die Meta Platforms Ireland Ltd. (Irland); eine Übermittlung in die USA wird auf Grundlage des EU-US Data Privacy Framework bzw. der EU-Standardvertragsklauseln abgesichert.

• Rechtsgrundlage: Art. 6 Abs. 1 lit. a. Die Einwilligung ist freiwillig und jederzeit mit Wirkung für die Zukunft widerrufbar (z. B. per E-Mail an info@sportstart.de oder über den Abmeldelink).

10. Empfängerkategorien

Empfänger sind: unser Hosting-/IT-Dienstleister, unser Mailserver-Dienstleister, der Datenbankanbieter (Ninox), das Buchungssystem (Yolawo), der Anbieter unseres Bot-Schutzes (Cloudflare), unsere Banking-Software und das kontoführende Kreditinstitut zur Abwicklung der SEPA-Lastschriften sowie – soweit gesetzlich erforderlich – Steuerberatung und Finanzbehörden. Mit Auftragsverarbeitern bestehen Verträge nach Art. 28 DSGVO. Eine Übermittlung zu anderen als den genannten Zwecken findet nicht statt.

11. Speicherdauer

Wir speichern personenbezogene Daten nur so lange, wie es für die genannten Zwecke erforderlich ist oder gesetzliche Aufbewahrungsfristen bestehen:

• Rechnungen/Buchungsbelege: 8 Jahre (§ 147 AO), Handelsbücher/Jahresabschlüsse 10 Jahre (§ 257 HGB);
• SEPA-Mandate: 14 Monate nach dem letzten Einzug;
• Stammdaten nach Vertragsende: 3 Jahre ab Jahresende;
• Probestunden ohne Vertragsabschluss und abgelehnte Anträge: 6 Monate;
• Kontaktanfragen: 6 Monate; Server-Logs: 14 Tage; Einwilligungsnachweise: 3 Jahre nach Widerruf.

Über den Versand unserer Nachrichten führen wir ein Protokoll. Darin halten wir fest, an welche Adresse wir welche Art von Nachricht zu welchem Zeitpunkt übergeben haben und ob die Übergabe an unseren Mailserver gelungen ist — die Inhalte der Nachrichten speichern wir dabei nicht. Der Eintrag belegt die Übergabe an unseren Mailserver; ob eine Nachricht im Postfach ankam, können wir nicht feststellen. Zweck ist allein der Nachweis im Einzelfall und das Erkennen von Störungen des Mailversands; eine Auswertung des Kommunikationsverhaltens findet nicht statt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Wir löschen diese Einträge nach 90 Tagen, bei rechtserheblichen Mitteilungen — etwa der Bestätigung Ihrer Anmeldung, der Ankündigung einer Lastschrift oder einer Kündigungsbestätigung — nach 14 Monaten.

12. Ihre Rechte

Sie haben das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch gegen Verarbeitungen auf Grundlage von Art. 6 Abs. 1 lit. f (Art. 21). Erteilte Einwilligungen können Sie jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3). Zur Ausübung genügt eine Mitteilung an info@sportstart.de.

Beschwerderecht: Sie können sich bei einer Datenschutz-Aufsichtsbehörde beschweren, insbesondere beim Hamburgischen Beauftragten für Datenschutz und Informationsfreiheit (HmbBfDI).

13. Pflicht zur Bereitstellung / automatisierte Entscheidungen

Die Bereitstellung der als Pflicht gekennzeichneten Daten ist für den Vertragsschluss erforderlich. Eine automatisierte Entscheidungsfindung einschließlich Profiling (Art. 22 DSGVO) findet nicht statt.

14. Stand

Diese Datenschutzerklärung hat den Stand 25. September 2026 (Fassung 2026-09-25.1).