Datenschutzerklärung

1. Verantwortlicher

Humatrix by Bernhard Lampl · Mag. Bernhard Lampl, PhD
Ried 80 · 6363 Westendorf · Tirol, Österreich
office@humatrix.cc

2. Welche Daten wir verarbeiten

Account-Daten

E-Mail-Adresse, Passwort (gehasht), optional Name, Sport und Verein. Zweck: Authentifizierung, Zuordnung deiner Assessments und Reports.

Assessment-Antworten

Deine Antworten auf die Items der Assessment-Pakete. Zweck: Generierung deines personalisierten Trainer-Profils und Reports.

360°-Fremdeinschätzungen

Antworten von Personen, denen du einen Einladungslink geschickt hast. Diese werden pseudonymisiert verarbeitet und ausschließlich aggregiert ausgewertet — und erst ab mindestens 3 vollständigen Einschätzungen sichtbar. Der eingeloggte Trainer sieht zu keiner Zeit eine einzelne Antwort. Zur Zuordnung der Einladung werden ein technischer Einmal-Token sowie — nur für den Versand — die eingegebene E-Mail-Adresse verarbeitet; beides wird nach Abschluss bzw. Ablauf turnusmäßig gelöscht (siehe Speicherdauer unten). Davon zu unterscheiden ist der Zugriff des Betreibers: Er kann Roh-Antworten einsehen, wenn es für Betrieb, Sicherheit, Support oder die Klärung einer Beanstandung nötig ist. Dieser Zugang ist durch einen zweiten Faktor geschützt, auf wenige Personen beschränkt und wird für jeden einzelnen Aufruf protokolliert. Für den Trainer ändert das nichts: Er sieht weiterhin keine einzelne Antwort.

TeamCheck & Pulse-Umfragen

Antworten von Spielern werden pseudonymisiert verarbeitet und nur aggregiert ausgewertet (ab mindestens 5 vollständigen Antworten). Die App speichert keine Spieler-E-Mail-Adressen — Spieler erhalten ihren Link über vom Trainer selbst gewählte Wege (QR, WhatsApp, Slack, Aushang). Zur sicheren Zuordnung wird ein technischer Token pro Antwort verarbeitet; einzelne Antwortzeilen sind für den Trainer technisch nicht abrufbar. Der Betreiber kann Roh-Antworten für Betrieb, Sicherheit, Support und die Klärung von Beanstandungen einsehen — geschützt durch einen zweiten Faktor und für jeden einzelnen Aufruf protokolliert.

Speicherdauer & Löschung von Roh-Antworten

Rohe Einzelantworten sind kein Dauerbestand. Eine tägliche, automatisierte Löschroutine entfernt: (1) die für den Versand gespeicherte E-Mail-Adresse und den Einladungs-Token spätestens 30 Tage nach Abschluss bzw. Ablauf der Einladung; (2) rohe 360°-/TeamCheck-Einzelantworten spätestens 30 Tage, nachdem die zugehörige Report-Sektion erstellt wurde — bei nie abgeschlossenen Einladungen 30 Tage nach Ablauf; (3) rohe Pulse-Einzelantworten spätestens 30 Tage nach Abschluss des jeweiligen Zyklus. Dauerhaft verbleiben aggregierte Auswertungen, Antwortzahlen und ein Löschnachweis ohne Respondenten-Token — sowie, sofern du nicht widersprochen hast, eine Fassung der Antworten ohne Personenbezug für die Qualitätssicherung (siehe unmittelbar folgender Abschnitt). Jede Löschung wird mit Zeitstempel protokolliert.

Auswertung ohne Personenbezug zur Qualitätssicherung

Einige Wochen nach Abschluss einer Testung — und stets bevor die Löschroutine greift — werden die Antworten einmalig in eine gesonderte Sammlung ohne Bezugsdaten überführt, mit der wir die Fragebögen selbst prüfen und verbessern (Streuung, Trennschärfe und interne Konsistenz der Items). Dabei werden Konto-, Namens- und Kontaktbezüge nicht mitgeführt, es entsteht keine Zuordnungstabelle, und Zeitangaben werden auf den Monat vergröbert. Kontextangaben wie Sportart, Niveau, Altersklasse und Vereinstyp werden nur so weit ausgewertet, wie eine Merkmalskombination bei ausreichend vielen Personen vorkommt.

Was das genau heißt: Für Dritte — auch für alle, die eine solche Auswertung erhalten — besteht kein Bezug zu dir. Uns als Betreiber wäre eine Zuordnung theoretisch möglich, solange deine ursprüngliche Testung noch existiert, weil dieselben Antworten dort ebenfalls gespeichert sind. Wir tun das nicht, und mit dem Löschen deiner Testung oder deines Kontos ist es auch technisch ausgeschlossen. Die Sammlung selbst enthält nichts, worüber man dich suchen könnte.

Rechtsgrundlage ist unser berechtigtes Interesse an einem geprüften und verbesserten Instrument (Art. 6 Abs. 1 lit. f DSGVO) in Verbindung mit der Privilegierung der Weiterverarbeitung zu statistischen Zwecken (Art. 5 Abs. 1 lit. b i. V. m. Art. 89 DSGVO). Du kannst dieser Verwendung jederzeit und ohne Angabe von Gründen widersprechen — direkt in deinem Konto unter Meine Daten. Der Widerspruch wirkt sofort für alles, was noch nicht in die Sammlung überführt wurde.

Ehrlich gesagt gehört dazu auch der Preis: Ein überführter Datensatz trägt keine Kennung, über die man ihn wiederfinden könnte. Ein späteres Löschverlangen lässt sich darauf deshalb nicht anwenden — es gibt nichts, wonach wir suchen könnten. Deshalb ist der Widerspruch dort angebracht, wo er noch etwas bewirkt: vorher.

Zahlungsdaten

Zahlungsabwicklung erfolgt ausschließlich über Stripe (Stripe Payments Europe, Ltd., Irland). Wir selbst speichern keine Kreditkartendaten. Nur die Transaktions-ID und der Produktkauf werden mit deinem Account verknüpft.

Technische Daten

Beim Aufruf unserer Seiten verarbeiten unsere Infrastruktur-Dienstleister (insbesondere unser Hosting-Anbieter Vercel) technisch notwendige Server- und Zugriffsdaten (z. B. IP-Adresse, Browser-Typ, Zeitstempel). Diese serverseitigen Logs unterliegen den Aufbewahrungs- und Löschfristen des jeweiligen Anbieters; eine darüber hinausgehende eigene Speicherung dieser Rohdaten nehmen wir nicht vor. In unserer eigenen Datenbank speichern wir daraus nur gekürzte, gehashte Werte (z. B. einen verkürzten IP-Hash) als Nachweis zu Einwilligungen und Widerrufen.

Davon zu unterscheiden ist die kurzzeitige Verarbeitung durch unseren Drosselungs-Dienst und die Bot-Erkennung in Formularen (siehe Abschnitt 4): Dort wird die IP-Adresse ungekürzt verarbeitet, um Anfragen einem Absender zuordnen zu können. Diese Verarbeitung ist auf wenige Minuten begrenzt, dient ausschließlich dem Schutz vor automatisierten Massenzugriffen und wird nicht mit deinem Konto verknüpft. Rechtsgrundlage ist unser berechtigtes Interesse an einem funktionsfähigen und missbrauchssicheren Angebot (Art. 6 Abs. 1 lit. f DSGVO).

3. Rechtsgrundlagen

• Art. 6 Abs. 1 lit. b DSGVO — Vertragserfüllung (Report-Erstellung)
• Art. 6 Abs. 1 lit. f DSGVO — berechtigtes Interesse (technisch notwendige Logs)
• Art. 6 Abs. 1 lit. a DSGVO — Einwilligung (z.B. Cookie-Banner, Newsletter)
• Art. 6 Abs. 1 lit. c DSGVO — gesetzliche Aufbewahrungsfristen (Rechnungen)

4. Dienstleister (Auftragsverarbeiter)

5. Übermittlung in Drittländer (USA)

Einzelne Dienstleister verarbeiten Daten (auch) in den USA: Vercel (Auslieferung), Anthropic (KI-Generierung der Report-Texte), Resend (E-Mail), Upstash (Anfrage-Drosselung) und Cloudflare (Bot-Erkennung in Formularen). Dabei werden – soweit für die Report-Erstellung erforderlich – auch deine Assessment-Antworten und Score-Werte an Anthropic übermittelt.

Die Übermittlung erfolgt auf Grundlage von Art. 44 ff. DSGVO, abgesichert durch EU-Standardvertragsklauseln (SCCs) bzw. – soweit zertifiziert – das EU-US Data Privacy Framework. Anthropic nutzt die übermittelten Inhalte nicht zum Training seiner Modelle.

6. Speicherdauer

Account + Reports: Solange dein Account besteht, plus 30 Tage nach Löschung.
Rechnungen: 7 Jahre (gesetzlich verpflichtend).
Aggregierte Reports/Snapshots: solange der Account besteht.
Tokenbasierte Rohantworten (360°/TeamCheck/Pulse): nur solange für Auswertung, Support und Missbrauchsschutz erforderlich.
Server- und Zugriffs-Logs: gemäß den Aufbewahrungsfristen unserer Infrastruktur-Anbieter (z. B. Vercel).
Gehashte Nachweisdaten (IP-Hash zu Einwilligung/Widerruf): gemeinsam mit dem zugehörigen Vorgang.

7. Deine Rechte

Du hast nach DSGVO jederzeit das Recht auf:

• Auskunft (Art. 15)
• Berichtigung (Art. 16)
• Löschung (Art. 17)
• Einschränkung (Art. 18)
• Datenübertragbarkeit (Art. 20)
• Widerspruch (Art. 21) — für die Qualitätssicherung ohne Personenbezug mit einem Klick unter Konto → Meine Daten
• Widerruf erteilter Einwilligungen (Art. 7 Abs. 3)

Schreib uns dazu jederzeit formlos an office@humatrix.cc. Wir antworten in der Regel innerhalb von 7 Tagen.

8. Beschwerderecht

Du kannst dich bei der österreichischen Datenschutzbehörde beschweren: dsb.gv.at

9. Cookies

Wir setzen nur technisch notwendige Cookies ein (Authentifizierung, Session). Keine Tracking-Cookies, keine Werbung, kein Retargeting.

10. Automatisierte Verarbeitung

Die Report-Texte werden automatisiert mit KI-Unterstützung erstellt. Es findet keine automatisierte Entscheidung mit rechtlicher Wirkung im Sinne des Art. 22 DSGVO statt: Die Reports sind eine Standortbestimmung und ein Entwicklungsimpuls, keine verbindliche Bewertung deiner Person und keine Diagnose.