Datenschutzerklärung

Verantwortlicher

Verantwortlich für die Verarbeitung personenbezogener Daten auf dieser Website im Sinne von Art. 4 Z 7 DSGVO ist:

Verein

Jiu Jitsu Kaisen Akademie

Anschrift

8160 Weiz, Andelberggasse 11
Anschrift laut Vereinsregister. Trainingsstätte: Triester Straße 391, 8055 Graz

Vertreten durch

Wolfgang Kern (Obmann)

E-Mail

info@jjk.academy

Ein Datenschutzbeauftragter ist nicht bestellt; eine Bestellpflicht nach Art. 37 DSGVO besteht für den Verein nicht. Anfragen zum Datenschutz richten Sie bitte direkt an die oben genannte E-Mail-Adresse.

Überblick: was hier verarbeitet wird

Diese Website ist in zwei Teile getrennt, und die beiden verarbeiten sehr unterschiedlich viel:

• Der öffentliche Teil (Startseite, Impressum, Datenschutz) verarbeitet keine personenbezogenen Daten über die technisch unvermeidbaren Server-Protokolldaten hinaus, außer Sie schicken uns über „Probetraining“ von sich aus eine Anfrage. Es gibt keine Analyse-Werkzeuge, kein Tracking, keine Werbenetzwerke, keine Social-Media-Einbettungen und keine Inhalte von fremden Servern.
• Die Beitrittserklärung unter /beitreten und der Mitgliederbereich unter /mitglieder verarbeiten die Angaben aus dem Beitritt, Zugangsdaten, den Zahlungsstand und Anwesenheiten. Der Mitgliederbereich ist nur nach Login zugänglich.

Server-Protokolldaten

Beim Aufruf der Website übermittelt Ihr Browser technisch notwendige Daten, die der Hosting-Dienstleister protokolliert. Das sind insbesondere:

• IP-Adresse des anfragenden Geräts
• Datum und Uhrzeit der Anfrage
• aufgerufene Adresse und übertragene Datenmenge
• Statuscode der Antwort
• Browsertyp und Betriebssystem (User-Agent)
• Herkunftsseite, falls der Aufruf über einen Link erfolgte

Zweck

Auslieferung der Website, Betriebssicherheit, Erkennung und Abwehr von Angriffen und Missbrauch.

Rechtsgrundlage

Art. 6 Abs. 1 lit. f DSGVO: berechtigtes Interesse am sicheren und störungsfreien Betrieb der Website.

Speicherdauer

Ein Jahr. Scalingo schreibt dazu: „all logs on Scalingo are kept for 1 year“ und begründet das mit französischem und europäischem Recht, das Betreiber zur Vorhaltung von Verbindungsdaten verpflichtet. Im Auftragsverarbeitungsvertrag ist dieselbe Frist als zwölf Monate genannt.

Umfang

Die Protokollierung der einzelnen Seitenaufrufe („Router-Logs“, die Liste oben) ist bei Scalingo standardmäßig nicht eingeschaltet und für diese Website nicht aktiviert. Protokolliert wird, was die Anwendung selbst ausgibt, sowie Verbindungsdaten auf Netzebene.

Diese Daten werden nicht mit anderen Datenquellen zusammengeführt und nicht dazu verwendet, einzelne Besucherinnen und Besucher zu identifizieren.

Beitritt und Mitgliederbereich

Über die Beitrittserklärung auf dieser Website beantragen Sie die Mitgliedschaft im Verein. Über die Aufnahme entscheidet der Vorstand (§ 5 Abs. 2 der Statuten). Mit dem Antrag entsteht zugleich Ihr Zugang zum Mitgliederbereich.

Welche Daten gespeichert werden

• Aus der Beitrittserklärung: Vor- und Nachname, Adresse, Geburtsdatum, Telefonnummer, E-Mail-Adresse, die gewählte Mitgliedschaft und ob Sie den Schüler- oder Studentenpreis beantragen.
• Bei Minderjährigen: Vor- und Nachname, Telefonnummer und, falls angegeben, E-Mail-Adresse eines Erziehungsberechtigten sowie der Vermerk, ob dessen schriftliche Zustimmung vorliegt. Die unterschriebene Zustimmung selbst wird auf Papier aufbewahrt, nicht auf der Website.
• Ausweis: nur der Vermerk, dass der Vorstand einen gültigen Schüler- oder Studentenausweis gesehen hat. Es wird keine Kopie, kein Foto und keine Ausweisnummer gespeichert.
• Einwilligungen: ob Sie der Verwendung von Fotos und Videos und der Aufnahme in vereinsinterne WhatsApp-Gruppen zugestimmt haben (jeweils ja/nein), sowie der Zeitpunkt, zu dem Sie die Bedingungen der Mitgliedschaft bestätigt haben.
• Antrag und Aufnahme: Datum des Antrags, Stand (offen, aufgenommen, abgelehnt), Datum der Entscheidung und welches Vorstandsmitglied sie eingetragen hat.
• Passwort: wird nicht gespeichert. Gespeichert wird ausschließlich ein Hash, der mit dem Verfahren bcrypt (Kostenfaktor 10, mit individuellem Salt) berechnet wird. Aus diesem Hash lässt sich das Passwort nicht zurückrechnen; auch der Verein kann Ihr Passwort nicht einsehen.
• Zahlungsstand: je bezahltem Posten (Einschreibgebühr, Monatsbeitrag, 10er-Block) die Art, der Monat, der Betrag, wann er eingetragen wurde und von wem. Es werden keine Kontonummern, Kartendaten oder Bankauszüge gespeichert.
• Anwesenheitseinträge: je Trainingstag ein Eintrag mit der Angabe anwesend oder nicht anwesend, dem Trainingsdatum und dem Zeitpunkt der Eintragung. Die Eintragung erfolgt durch das Mitglied selbst.

Wer diese Daten sieht

• Sie selbst sehen im Mitgliederbereich Ihren Aufnahmestand und Ihren eigenen Zahlungsstand.
• Andere aufgenommene Mitglieder sehen in der Rangliste Ihren Namen und Ihre Anwesenheitsquote und sonst nichts, insbesondere nicht Ihren Zahlungsstand und keine Kontaktdaten. Solange ein Antrag offen ist, erscheint er in keiner Liste, und man sieht auch selbst noch keine anderen Mitglieder.
• Der Vorstand sieht alle oben genannten Angaben aller Mitglieder, einschließlich Kontaktdaten und Zahlungsstand. Er braucht sie für Aufnahme, Beitragsabrechnung und Mitgliederverwaltung.

Zweck und Rechtsgrundlage

Beitritt, Mitgliederverwaltung, Beiträge

Art. 6 Abs. 1 lit. b DSGVO: Die Angaben sind für die Aufnahme und die Durchführung des Mitgliedschaftsverhältnisses erforderlich. Ohne sie ist ein Beitritt nicht möglich. Das gilt auch für die Angaben zu Erziehungsberechtigten, weil die Aufnahme Minderjähriger nach § 5 Abs. 1 der Statuten deren schriftliche Zustimmung voraussetzt.

Fotos, Videos, WhatsApp

Art. 6 Abs. 1 lit. a DSGVO: Ihre Einwilligung. Sie ist freiwillig, keine Voraussetzung für die Mitgliedschaft und jederzeit für die Zukunft widerrufbar, formlos an info@jjk.academy.

Anwesenheitsliste

Art. 6 Abs. 1 lit. b DSGVO, weil die Teilnahme am Training Teil des Mitgliedschaftsverhältnisses ist; soweit die Nutzung darüber hinausgeht, Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse des Vereins an einer nachvollziehbaren Trainingsorganisation). Das Eintragen der Anwesenheit ist freiwillig.

Speicherdauer

Mitgliedsdaten und Anwesenheitseinträge werden spätestens zwölf Monate nach dem Austritt aus dem Verein gelöscht, auf Wunsch jederzeit früher. Die Frist gibt dem Verein Zeit, offene Beiträge und Ansprüche aus der Mitgliedschaft abzuwickeln, und ist nicht länger als dafür nötig.

Ausgenommen sind die Aufzeichnungen über Zahlungen: Sie bewahrt der Verein so lange auf, wie gesetzliche Aufbewahrungspflichten es verlangen, in der Regel sieben Jahre (§ 132 BAO), gerechnet ab dem Ende des Kalenderjahres, in dem die letzte Zahlung verbucht wurde.

Abgelehnte Anträge löscht der Vorstand, auf Wunsch sofort.

Bis dahin gilt: Ein Konto kann jederzeit gelöscht werden. Schicken Sie dafür eine formlose Nachricht an info@jjk.academy. Mit dem Konto werden auch alle zugehörigen Anwesenheitseinträge gelöscht.

Cookies und lokale Speicherung

Diese Website setzt drei Cookies. Zwei davon nur, wenn Sie sich im Mitgliederbereich anmelden; das dritte nur, wenn Sie dort auf „Startseite“ klicken. Wer sich nicht anmeldet, bekommt kein einziges Cookie.

jjk_session

Ein signiertes Token (JWT, Verfahren HS256), das ausschließlich die interne Mitglieds-Nummer und die Gültigkeitsdauer enthält, weder Ihr Passwort noch Ihren Namen. Es hält Sie angemeldet. Eigenschaften: httpOnly (für JavaScript im Browser nicht lesbar), sameSite=lax (wird nicht an fremde Seiten mitgeschickt), im Betrieb zusätzlich secure(nur über HTTPS). Laufzeit: 90 Tage, wenn Sie beim Anmelden „Angemeldet bleiben“ angehakt lassen, sonst nur bis zum Schließen des Browsers. Beim Abmelden wird es sofort gelöscht.

jjk_member

Enthält nur den Wert 1 und damit die einzige Auskunft, dass in diesem Browser jemand angemeldet ist: keine Nummer, keinen Namen, kein Token. Es wird gesetzt, weil die Startseite als fertige Datei ausgeliefert wird und erst im Browser entscheidet, ob die Schaltfläche „Mitglied werden“ oder „Mein Bereich“ heißt. Gleiche Laufzeit wie jjk_session, wird zusammen mit ihm gelöscht.

jjk_home

Enthält nur den Wert 1. Angemeldete Mitglieder werden beim Aufruf der Startseite in den Mitgliederbereich geleitet; dieses Cookie setzt die Weiterleitung aus, wenn Sie dort auf „Startseite“ klicken, damit Sie den öffentlichen Teil auch wirklich sehen können. Es endet mit dem Schließen des Browsers.

Rechtsgrundlage für alle drei

§ 165 Abs. 3 TKG 2021 in Verbindung mit Art. 6 Abs. 1 lit. b DSGVO. Alle drei sind für ausdrücklich gewünschte Funktionen (Anmelden und Bedienen des Mitgliederbereichs) unbedingt erforderlich und bedürfen daher keiner Einwilligung. Aus demselben Grund gibt es auf dieser Website kein Cookie-Banner.

Im lokalen Speicher Ihres Browsers legt die Website nichts ab. Hier stand bis zum 5. Oktober 2026 ein Eintragjjk.intro.seen, der festhielt, dass Sie die Eröffnungsanimation schon gesehen hatten; die Animation läuft jetzt bei jedem Aufruf, der Eintrag wird nicht mehr geschrieben. Ein alter Eintrag aus früheren Besuchen wird nicht mehr gelesen und kann über die Browsereinstellungen gelöscht werden.

Weitere Cookies werden nicht gesetzt: insbesondere keine für Analyse, Reichweitenmessung oder Werbung.

Empfänger und Auftragsverarbeiter

Die Daten werden nicht verkauft und nicht zu Werbezwecken weitergegeben. Zum Betrieb der Website ist ein einziger Dienstleister eingebunden, der als Auftragsverarbeiter nach Art. 28 DSGVO tätig wird; für Online-Zahlungen kommt ein Zahlungsdienstleister dazu (siehe unten):

Anbieter

Scalingo SAS, 13 rue Jacques Peirotes, 67000 Strasbourg, Frankreich. Datenschutzbeauftragter: dpo@scalingo.com

Verarbeitet

Den gesamten Betrieb: Auslieferung der Website, Server-Protokolle und die Datenbank des Mitgliederbereichs (Tabellen members und attendance_votes).

Serverstandort

Paris-Pantin und Magny-les-Hameaux, Frankreich (Region osc-fr1). Auch die Sicherungskopien der Datenbank und die archivierten Protokolle liegen dort.

Auftragsverarbeitungsvertrag

Scalingos Data Processing Agreement, abrufbar unter scalingo.com/data-processing-agreement. Es ist nach seinem eigenen Wortlaut „an integral part of the Agreement“ und gilt mit dem Vertrag, ohne dass es gesondert abgeschlossen werden muss.

Unterauftragsverarbeiter

Für das Hosting genau einer: OUTSCALE, 1 rue Royale, 92210 Saint-Cloud, Frankreich, für den Betrieb der Rechenzentren. Der Vertrag vermerkt dazu ausdrücklich „N/A (no transfer)“: Es findet keine Übermittlung außerhalb der EU statt. Eine geplante Änderung muss Scalingo ankündigen; der Verein kann ihr binnen acht Kalendertagen widersprechen.

E-Mail-Versand

Bestätigungen nach einem Beitrittsantrag oder einer Probetraining-Anfrage und die Benachrichtigung an den Vorstand werden über Brevo (Sendinblue SAS, Paris, Frankreich) verschickt, als Auftragsverarbeiter nach Art. 28 DSGVO. Übermittelt werden dafür nur Empfängeradresse, Name und der Inhalt der Nachricht.

Online-Zahlung

Anbieter

Mollie B.V., Keizersgracht 126, 1015 CW Amsterdam, Niederlande, ein von der niederländischen Zentralbank zugelassenes E-Geld-Institut.

Was übermittelt wird

Wenn Sie im Mitgliederbereich auf „Jetzt bezahlen“ tippen: Ihr Name, Ihre E-Mail-Adresse, der Betrag und wofür bezahlt wird. Ihre Bankdaten geben Sie direkt bei Mollie bzw. Ihrer Bank ein, nicht auf dieser Website. Online bezahlt werden nur Einschreibgebühr und 10er-Block; Monatsbeiträge laufen per Dauerauftrag direkt auf das Vereinskonto, ohne Mollie. Auf dem Kontoauszug des Vereins erscheinen dabei Ihr Name und Ihre IBAN.

Was der Verein davon sieht

Auf der Website wird nur gespeichert, welche Posten bezahlt sind, sowie die Kennungen, die Mollie für Sie und Ihre Zahlungen vergibt. Im Konto des Vereins bei Mollie sind zusätzlich die Angaben zur jeweiligen Zahlung einsehbar.

Rolle und Rechtsgrundlage

Mollie verarbeitet die Zahlungsdaten als eigener Verantwortlicher, unter anderem wegen seiner Pflichten als Finanzinstitut (Geldwäsche- und Betrugsprävention). Die Übermittlung an Mollie erfolgt nach Art. 6 Abs. 1 lit. b DSGVO zur Abwicklung der Mitgliedsbeiträge. Mehr dazu in der Datenschutzerklärung von Mollie unter mollie.com/privacy.

Kontaktaufnahme und Probetraining-Anfrage

Wenn Sie uns schreiben oder anrufen, verarbeiten wir Ihre Angaben, um die Anfrage zu beantworten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO bei Anfragen zu Mitgliedschaft oder Probetraining, sonst Art. 6 Abs. 1 lit. f DSGVO. Die Nachrichten werden gelöscht, sobald sie nicht mehr benötigt werden und keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

Über die Seite „Probetraining“ können Sie uns eine Anfrage schicken. Gespeichert werden der Name, die angegebene Kontaktmöglichkeit (E-Mail, Telefon oder Instagram-Name), der Wunschtag, Ihre Nachricht und der Zeitpunkt. Sehen kann die Anfrage nur der Vorstand. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Anbahnung der Teilnahme am Training). Die Anfrage wird gelöscht, sobald sie erledigt ist, spätestens nach drei Monaten.

Schriften und externe Inhalte

Alle Schriften dieser Website liegen auf dem eigenen Server und werden von dort ausgeliefert. Es besteht keine Verbindung zu Google Fonts oder einem anderen Schrift-Dienst; beim Aufruf der Seite wird Ihre IP-Adresse an keinen Dritten übermittelt. Ebenso werden keine Karten, Videos, Schaltflächen oder sonstigen Inhalte von fremden Servern nachgeladen.

Die Links zu den Social-Media-Profilen des Vereins sind gewöhnliche Links. Es werden dort keine Inhalte eingebettet, und es fließen keine Daten ab, solange Sie einen dieser Links nicht selbst anklicken. Was nach dem Klick geschieht, richtet sich nach der Datenschutzerklärung des jeweiligen Anbieters.

Übermittlung in Länder außerhalb der EU

Website, Datenbank, E-Mail-Versand und Online-Zahlung laufen ausschließlich bei Anbietern mit Sitz und Servern in der EU (siehe oben). Dabei verlassen Ihre Daten die EU nicht.

Anders ist es bei den Diensten der Meta-Gruppe, die der Verein für seinen Auftritt und die Kommunikation nutzt: Instagram und WhatsApp (siehe die beiden folgenden Abschnitte). Meta kann Daten in die USA übermitteln. Grundlage ist der Angemessenheitsbeschluss der EU-Kommission zum EU-US Data Privacy Framework vom 10. Juli 2023 (Art. 45 DSGVO); die Meta Platforms, Inc. ist danach zertifiziert. Die Liste der zertifizierten Unternehmen führt das US-Handelsministerium unter dataprivacyframework.gov.

Präsenz auf Instagram

Der Verein betreibt ein Profil auf Instagram (instagram.com/jiu.jitsu.kaisen_). Anbieter ist die Meta Platforms Ireland Limited, Merrion Road, Dublin 4, D04 X2K5, Irland („Meta“). Wenn Sie das Profil besuchen, ihm folgen oder mit Beiträgen interagieren, verarbeitet Meta Ihre Daten nach eigenen Regeln, etwa um Nutzungsstatistiken zu erstellen oder Werbung anzuzeigen. Das geschieht auch dann, wenn Sie kein Instagram-Konto haben oder nicht eingeloggt sind.

Für die Statistiken, die Meta dem Verein über das Profil bereitstellt („Insights“), sind der Verein und Meta gemeinsam verantwortlich (Art. 26 DSGVO). Meta hat dazu eine Vereinbarung vorgegeben und übernimmt darin die Hauptverantwortung, auch für die Erfüllung Ihrer Rechte. Der Verein sieht nur zusammengefasste Zahlen, keine Daten einzelner Personen. Rechtsgrundlage ist unser berechtigtes Interesse an einer Darstellung des Vereins dort, wo viele Interessierte unterwegs sind (Art. 6 Abs. 1 lit. f DSGVO).

Meta kann Daten auch in die USA übermitteln. Die Meta Platforms, Inc. ist nach dem EU-US Data Privacy Framework zertifiziert; für die USA besteht damit ein Angemessenheitsbeschluss der EU-Kommission (Art. 45 DSGVO). Näheres in der Datenschutzrichtlinie von Instagram: privacycenter.instagram.com/policy. Ihre Rechte können Sie sowohl gegenüber Meta als auch gegenüber dem Verein geltend machen; Anfragen, die nur Meta erfüllen kann, leiten wir weiter.

Schreiben Sie uns auf Instagram eine Nachricht, verwenden wir Ihren Profilnamen und die Nachricht nur, um zu antworten.

WhatsApp-Gruppen des Vereins

Für Absprachen zum Training gibt es vereinsinterne WhatsApp-Gruppen. Aufgenommen wird nur, wer in der Beitrittserklärung eingewilligt hat (Art. 6 Abs. 1 lit. a DSGVO). Die Teilnahme ist freiwillig und keine Voraussetzung für die Mitgliedschaft.

In der Gruppe sehen die anderen Mitglieder Ihre Telefonnummer, Ihren WhatsApp-Namen und Ihr Profilbild, je nach Ihren Einstellungen. Anbieter ist die WhatsApp Ireland Limited, Merrion Road, Dublin 4, D04 X2K5, Irland, ein Unternehmen der Meta-Gruppe. WhatsApp verschlüsselt Nachrichten Ende-zu-Ende, verarbeitet aber Verbindungs- und Nutzungsdaten (etwa wer wann mit wem kommuniziert) und kann diese in die USA übermitteln. Die Meta Platforms, Inc. ist nach dem EU-US Data Privacy Framework zertifiziert (Art. 45 DSGVO). Für die Verarbeitung durch WhatsApp selbst gilt dessen Datenschutzrichtlinie: whatsapp.com/legal/privacy-policy-eea.

Sie können die Einwilligung jederzeit widerrufen: Verlassen Sie die Gruppe oder sagen Sie dem Vorstand Bescheid, dann nehmen wir Sie heraus und vermerken den Widerruf. Was bis dahin in der Gruppe geschrieben wurde, bleibt auf den Geräten der anderen Mitglieder; darauf hat der Verein keinen Zugriff.

Ihre Rechte

Nach der DSGVO stehen Ihnen gegenüber dem Verein folgende Rechte zu:

• Auskunft (Art. 15 DSGVO): welche Daten über Sie gespeichert sind, woher sie stammen und wer sie erhält.
• Berichtigung (Art. 16 DSGVO): unrichtige Daten richtigstellen zu lassen.
• Löschung (Art. 17 DSGVO): Ihre Daten löschen zu lassen, soweit keine Aufbewahrungspflicht entgegensteht.
• Einschränkung der Verarbeitung (Art. 18 DSGVO).
• Datenübertragbarkeit (Art. 20 DSGVO): Ihre Daten in einem gängigen, maschinenlesbaren Format zu erhalten.
• Widerspruch (Art. 21 DSGVO) gegen Verarbeitungen, die auf ein berechtigtes Interesse gestützt sind.

Für alle diese Anliegen genügt eine formlose Nachricht an info@jjk.academy. Wir antworten innerhalb eines Monats.

Neben der DSGVO gilt in Österreich das Datenschutzgesetz (DSG). Es ergänzt die DSGVO unter anderem beim Auskunfts-, Berichtigungs- und Löschungsrecht.

Beschwerderecht

Wenn Sie der Ansicht sind, dass die Verarbeitung Ihrer Daten gegen die DSGVO verstößt, können Sie sich bei der Aufsichtsbehörde beschweren:

Behörde

Österreichische Datenschutzbehörde

Anschrift

Barichgasse 40–42, 1030 Wien

Web

dsb.gv.at

Datensicherheit

• Die Website wird ausschließlich verschlüsselt übertragen (HTTPS).
• Passwörter werden ausschließlich als bcrypt-Hash mit individuellem Salt gespeichert, niemals im Klartext.
• Das Session-Cookie ist httpOnly und damit für JavaScript im Browser nicht auslesbar; das enthaltene Token ist serverseitig signiert und kann nicht gefälscht werden.
• Der Mitgliederbereich ist ohne gültige Anmeldung nicht erreichbar.
• Der Hosting-Dienstleister verschlüsselt alle auf der Plattform gespeicherten Daten im Ruhezustand und wechselt die Schlüssel regelmäßig.
• Von der Datenbank werden regelmäßig Sicherungskopien angelegt, redundant und an mehreren Orten gespeichert und auf Wiederherstellbarkeit getestet.

Für Ihr Konto sind Sie mitverantwortlich: Wählen Sie ein eigenes, nicht anderswo verwendetes Passwort, geben Sie es nicht weiter und melden Sie sich an fremden Geräten wieder ab. Wenn Sie vermuten, dass jemand Ihr Passwort kennt, ändern Sie es im Mitgliederbereich oder sagen Sie dem Vorstand Bescheid.

Keine automatisierte Entscheidungsfindung

Es findet keine automatisierte Entscheidungsfindung einschließlich Profiling im Sinne von Art. 22 DSGVO statt. Die Anwesenheitsquote im Mitgliederbereich ist eine reine Rechnung aus selbst eingetragenen Werten und hat keine rechtliche Wirkung.

Änderungen dieser Erklärung

Diese Erklärung wird angepasst, sobald sich die Website oder die Rechtslage ändert. Maßgeblich ist immer die hier veröffentlichte Fassung.