Datenschutzerklärung

1. Verantwortlicher

Ausbildungszentrum für Selbstverteidigung und Kampfkunst SportUnion, ZVR-Zahl 1561748312, Erikaweg 4, 9241 Wernberg, Österreich, vertreten durch Obmann Raimund Pock. E-Mail: infoSPAM-SCHUTZ-BITTE-ENTFERNEN@masvillach.at. Datenschutzkontakt für MASPro: officeSPAM-SCHUTZ-BITTE-ENTFERNEN@pock.biz.

2. Datenschutzrechtliche Rollen

Wir sind Verantwortlicher für die Verwaltung von MASPro-Konten, Benutzerberechtigungen, Verträgen, Abrechnung, Plattformbetrieb, Missbrauchsprävention, Sicherheitsprotokollen und Support. Vereine bestimmen grundsätzlich Zweck und Mittel der Verarbeitung ihrer Mitglieder-, Interessenten-, Termin-, Nachrichten-, Zahlungs- und Formulardaten. Insoweit verarbeiten wir Daten nach deren dokumentierten Weisungen als Auftragsverarbeiter. Betroffene Endkunden wenden sich vorrangig an den betreffenden Verein; wir unterstützen diesen bei der Bearbeitung.

Ein öffentliches Buchungsformular kann zusätzlich einen vereinsspezifischen Datenschutzhinweis enthalten. Dieser ist für die konkrete Buchung maßgeblich und ergänzt diese Plattforminformation.

3. Verarbeitete Datenkategorien

• Konto und Organisation: Name, E-Mail, Telefonnummer, Verein, Rollen, Berechtigungen, Anmelde- und OAuth-Kontoinformationen.
• Mitglieder und Interessenten: Stamm- und Kontaktdaten, Mitgliedschaften, Notizen, Dokumente, Anwesenheiten und Kommunikation nach Konfiguration des Vereins.
• Buchung und Formulare: gewählte Leistung, Termin, Standort, Formulareingaben, Einwilligungsstatus sowie technische Anfrage- und Sicherheitsdaten.
• Kommunikation: Absender, Empfänger, Inhalt, Anhänge sowie Zustell- und Fehlerstatus für aktivierte E-Mail-, SMS- oder Messaging-Kanäle.
• Zahlung und Buchhaltung: Transaktions-, Rechnungs- und Zahlungsstatus; vollständige Kartendaten werden bei eingesetzten Zahlungsanbietern verarbeitet, nicht von MASPro gespeichert.
• Integrationen: Verbindungsstatus, Anbieter-IDs, verschlüsselt gespeicherte Zugangstoken und durch die Integration angeforderte Daten.
• Nutzung und Sicherheit: IP-Adresse, Browser-/Geräteinformationen, Zeitstempel, Audit-, Diagnose- und Fehlerdaten.

4. Zwecke und Rechtsgrundlagen

• Bereitstellung und Verwaltung der Plattform, Vertragserfüllung und vorvertragliche Maßnahmen (Art. 6 Abs. 1 lit. b DSGVO).
• Erfüllung gesetzlicher Aufbewahrungs-, Steuer- und Nachweispflichten (Art. 6 Abs. 1 lit. c DSGVO).
• IT-Sicherheit, Betrugs- und Missbrauchsprävention, Fehleranalyse und bedarfsgerechte Verbesserung (Art. 6 Abs. 1 lit. f DSGVO).
• Optionale Funktionen oder Integrationen auf Grundlage einer Einwilligung (Art. 6 Abs. 1 lit. a DSGVO) oder auf Weisung des jeweils verantwortlichen Vereins.

Soweit wir Auftragsverarbeiter sind, legt der Verein die konkrete Rechtsgrundlage fest.

5. Optionale Integrationen

MASPro stellt konfigurierbare Anbindungen bereit, etwa für Google-Dienste, Zahlungsabwicklung, E-Mail, SMS, Messaging, Dokumentenversand, Karten, Fehleranalyse oder KI-gestützte Funktionen. Daten werden nur an einen Anbieter übermittelt, wenn die Funktion aktiviert und verwendet wird oder dies technisch erforderlich ist. Der jeweilige Verein ist für seine Auswahl, Konfiguration, Rechtsgrundlage und Endkundeninformation verantwortlich. KI-Funktionen dürfen nicht ungeprüft mit besonderen Kategorien personenbezogener Daten verwendet werden.

6. Google API Services und Google-Nutzerdaten

Wenn ein autorisierter Nutzer eine Google-Verbindung herstellt, verwendet MASPro – abhängig von der ausdrücklich gewählten Funktion – Basisprofildaten (OpenID, E-Mail, Profil), Google Drive und Google Sheets für ausgewählte Dateien und Tabellen, Gmail für den gemeinsamen Posteingang und Nachrichten-Workflows, Google Contacts über die People API für das Telefonbuch und den Kontaktabgleich, Google Calendar für Termine und Verfügbarkeit sowie Google Data Manager für autorisierte Conversion-Ereignisse.

• Google Drive und Google Sheets: Der Berechtigungsumfang drive.file beschränkt MASPro auf Dateien, die mit MASPro geöffnet oder von MASPro erstellt wurden. MASPro verwendet ihn zur Auswahl, zum Import und zur Verarbeitung der vom Nutzer bestimmten Dateien. Für ausdrücklich konfigurierte Tabellen kann MASPro über Google Sheets Werte lesen und schreiben. MASPro fordert hierfür keinen Zugriff auf sämtliche sonstigen Dateien des verbundenen Drive-Kontos an.
• Gmail: Eine separat aktivierte Gmail-Verbindung verwendet gmail.modify. Dieser Berechtigungsumfang erlaubt technisch das Lesen, Erstellen und Senden von Nachrichten sowie Änderungen an Nachrichtenlabels. MASPro verwendet ihn ausschließlich, um eingehende Nachrichten samt Absendern, Empfängern, Betreff, Text und Anhängen in dem vom Nutzer aktivierten gemeinsamen Posteingang beziehungsweise Nachrichten-Workflow bereitzustellen, vom Nutzer oder von einer konfigurierten Automation veranlasste Nachrichten an die gewählten Empfänger zu senden und erfolgreich lokal verarbeitete eingehende Nachrichten als gelesen zu markieren. MASPro löscht damit keine Gmail-Nachrichten dauerhaft, verändert keine sonstigen Nachrichten oder Kontoeinstellungen und nutzt Gmail-Inhalte nicht für Werbung. Konfigurierte Abläufe können Anhänge zur Dokumentenverarbeitung oder zum Rechnungsimport übernehmen. Aktiviert der Verein ausdrücklich eine KI-gestützte Antwortauswertung, können Betreff und Nachrichtentext ausschließlich zur Bereitstellung dieser Funktion an den dafür konfigurierten KI-Dienstleister übermittelt werden; eine Nutzung zum Training allgemeiner KI-Modelle ist ausgeschlossen.
• Google Contacts / People API: Eine optional aktivierte Verbindung liest Kontakte des vom Nutzer verbundenen Google-Kontos, um sie im MASPro-Telefonbuch bereitzustellen und nach den gewählten Regeln abzugleichen. Für reine Importe wird contacts.readonly angefordert; Export und bidirektionaler Abgleich benötigen contacts. Dabei werden Namen, E-Mail-Adressen, Telefonnummern, Adressen, Firmen-/Organisationsangaben, Kontaktgruppen und Labels sowie benutzerdefinierte Felder, anwendungsbezogene Zuordnungen und technische Kontakt- und Änderungskennungen abgerufen und für den Abgleich gespeichert. Die Auswahl von Gruppen, Quellen, Kategorien und Feldern steuert die Übernahme und den Abgleich; sie beschränkt nicht bereits den API-Abruf auf diese Auswahl. Es werden Google-Kontakte abgerufen, keine Workspace-Verzeichnisse oder „Weitere Kontakte“. Importierte Kontakte werden zunächst als externe Telefonbuchkontakte geführt; eine Verknüpfung mit einem Mitglied oder Buchungskontakt erfolgt ausdrücklich. Mit Schreibzugriff kann MASPro gewählte lokale Kontaktdaten an Google übertragen sowie Kontakte und Labels erstellen oder aktualisieren. Automatische Löschungen sind standardmäßig deaktiviert und auf verknüpfte, von MASPro verwaltete Google-Kontakte nach bestätigten Regeln beschränkt; andere Google-Kontakte werden nur nach einer ausdrücklichen Löschbestätigung gelöscht. Eine Google-Löschung entfernt keine nativen Mitglieder oder Buchungskontakte in MASPro. Ein reiner Import schreibt keine Kontakte bei Google. Regeln werden vor der Aktivierung in einer Vorschau geprüft.
• Google Calendar: Eine separat aktivierte Verbindung dient dazu, ausgewählte Google-Kalender mit MASPro-Terminen abzugleichen oder ihre Verfügbarkeit für die Terminplanung zu berücksichtigen. calendar.calendarlist.readonly ermöglicht die Kalenderauswahl; je nach gewähltem Modus werden calendar.events.readonly für das Lesen von Terminen, calendar.events für Export bzw. bidirektionalen Abgleich oder calendar.events.freebusy für eine reine Verfügbarkeitsabfrage angefordert. Verarbeitet werden Kalenderkennungen, Kalendernamen und Zeitzonen sowie bei einem Terminabgleich Titel, Beschreibung, Ort, Beginn und Ende, Wiederholungen, Status und technische Termin- und Änderungskennungen. Die reine Verfügbarkeitsabfrage verarbeitet belegte Zeiträume ohne Termintitel, Beschreibungen oder andere Termindetails. Bei Export oder bidirektionalem Abgleich überträgt MASPro die nach Konfiguration gewählten Termin- und gegebenenfalls Buchungsangaben an Google und kann dort Termine erstellen, aktualisieren oder nach den bestätigten Regeln entfernen. Kalendernamen und -beschreibungen werden bei aktivierter Kalendererstellung an Google übertragen; nur dann wird calendar.app.created angefordert. Nur bei aktivierter Freigabeverwaltung wird calendar.acls angefordert, um Kalenderfreigaben mit Empfängerkennungen und Zugriffsrollen zu verwalten. Daten eines exportierten Termins können Personen mit entsprechenden Berechtigungen für den Google-Zielkalender zugänglich sein. Lese- und Verfügbarkeitszugriff allein erlauben keinen Terminexport und keine Änderung von Freigaben.
• Conversion-Tracking: Wenn ein Verein Conversion-Tracking aktiviert, kann MASPro ein Buchungsereignis an das von ihm konfigurierte Google-Ads-Ziel senden. Dieses Ereignis kann Ziel- und Transaktionskennung, Zeitpunkt, Einwilligungsstatus, Wert und Währung, vorhandene Google-Klickkennungen (gclid, gbraid oder wbraid) sowie – nur soweit konfiguriert und rechtlich zulässig – E-Mail-Adresse und Telefonnummer in SHA-256-gehashter Form enthalten.
• Speicherung: OAuth-E-Mail, technische Verbindungsdaten, erteilte Berechtigungsumfänge und verschlüsselte Refresh-Tokens werden gespeichert, solange die Verbindung benötigt wird. Importierte Gmail-Nachrichten und Anhänge, gesendete Inhalte, Provider-Nachrichtenkennungen sowie importierte oder exportierte Geschäftsdaten werden nach Kundenvertrag, konfiguriertem Ablauf und den allgemeinen Speicherregeln in Abschnitt 9 verarbeitet. Für Contacts und Calendar umfasst dies lokale Kontakt- bzw. Terminkopien, Verknüpfungen, Synchronisationsstände und erforderliche Konflikt-, Änderungs- und Operationsnachweise. Das Pausieren oder Trennen eines Abgleichs löscht diese Daten und bereits an Google übertragene Kontakte oder Termine nicht automatisch; die Löschung verbliebener Daten kann nach den unten beschriebenen Verfahren verlangt werden. Klickkennungen und zugehörige Conversion-Attribution werden nur bis zum Ende des vom Verein konfigurierten Attributionsfensters vorgehalten und anschließend turnusmäßig gelöscht.
• Übermittlung und Weitergabe: Kontakt- und Kalenderdaten werden über die People API bzw. Google Calendar API abgerufen und bei aktiviertem Export oder bidirektionalem Abgleich an das vom Nutzer ausgewählte Google-Konto bzw. den Zielkalender übertragen. Innerhalb von MASPro sind sie entsprechend den Berechtigungen des verbundenen Vereins zugänglich. Gmail-Inhalte werden über die Google Gmail API abgerufen oder an die vom Nutzer beziehungsweise vom aktivierten Workflow bestimmten Empfänger gesendet. Conversion-Daten werden bei aktivierter Funktion an Google Data Manager beziehungsweise das konfigurierte Google-Ads-Ziel übermittelt. Google-Nutzerdaten werden nicht verkauft, nicht für personalisierte Werbung durch MASPro genutzt, nicht an Datenhändler weitergegeben und nicht zum Training allgemeiner KI-Modelle verwendet. Eine sonstige Weitergabe erfolgt nur an den verbundenen Verein, notwendige technische Dienstleister, auf dokumentierte Weisung des Nutzers oder wenn sie gesetzlich erforderlich ist.
• Widerruf und Löschung: Die Verbindung kann in MASPro getrennt und zusätzlich im Google-Konto widerrufen werden. Der weitere API-Zugriff endet dadurch. Nutzer können anschließend die Löschung verbliebener Daten nach den unter Löschung & Betroffenenrechte beschriebenen Verfahren verlangen.

7. Empfänger und Auftragsverarbeiter

Wir setzen Hosting-, Speicher-, Datenbank-, Kommunikations-, Zahlungs-, Monitoring- und Integrationsanbieter ein. Abhängig von den aktivierten Funktionen können hierzu insbesondere Hetzner, Supabase-Technologien im eigenen Betrieb, Google, Microsoft, Meta, Stripe, Resend, Bird/MessageBird, Vonage, Sentry, Mapbox sowie ausgewählte Dokumenten- oder KI-Anbieter gehören. Die aktuelle Übersicht mit Zweck und Einsatzbedingung steht unter Sicherheit & Dienstleister. Behörden oder Berater erhalten Daten nur bei gesetzlicher Grundlage oder zur Rechtsverteidigung.

8. Übermittlung in Drittländer

Einige Anbieter verarbeiten Daten möglicherweise außerhalb des Europäischen Wirtschaftsraums. Soweit kein Angemessenheitsbeschluss gilt, stützen wir Übermittlungen insbesondere auf Standardvertragsklauseln der EU-Kommission und prüfen zusätzliche Schutzmaßnahmen. Die konkrete Verarbeitung hängt von Region, Produkt und Konfiguration des Anbieters ab.

9. Speicherdauer

Wir speichern personenbezogene Daten nur so lange, wie sie für den jeweiligen Zweck, die Kundenbeziehung, berechtigte Sicherheits- und Nachweisinteressen oder gesetzliche Pflichten benötigt werden. Gesetzliche Rechnungs- und Buchhaltungsunterlagen werden regelmäßig sieben Jahre aufbewahrt. Operative Daten richten sich nach Vertrag, Vereinskonfiguration und Löschanforderung. Sicherheitsprotokolle, Sicherungen und Ereignisdaten werden nach abgestuften technischen Fristen überschrieben oder gelöscht; in Sicherungen können gelöschte Daten bis zur turnusmäßigen Überschreibung verbleiben und werden nicht für andere Zwecke wiederhergestellt.

10. Sicherheit

Wir verwenden risikoorientierte technische und organisatorische Maßnahmen, darunter TLS-Transportverschlüsselung, rollenbasierte Zugriffe, getrennte Umgebungen, Protokollierung, gesicherte Geheimnisse, Updates, Sicherungen und Verfahren zur Störungsbehandlung. Kein System ist absolut sicher; Sicherheitsmeldungen können gemäß unserer Vulnerability Disclosure Policy übermittelt werden.

11. Rechte betroffener Personen

Betroffene haben – soweit die gesetzlichen Voraussetzungen vorliegen – Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch und Widerruf einer Einwilligung für die Zukunft. Außerdem besteht ein Beschwerderecht bei der Österreichischen Datenschutzbehörde. Für Vereinsdaten sollte die Anfrage zuerst an den jeweiligen Verein gerichtet werden. Details finden sich unter Löschung & Betroffenenrechte.

12. Kontakt und Änderungen

Datenschutzanfragen: officeSPAM-SCHUTZ-BITTE-ENTFERNEN@pock.biz. Wir aktualisieren diese Erklärung bei wesentlichen Änderungen und kennzeichnen den aktuellen Stand. Bei Änderungen, die eine erneute Einwilligung erfordern, wird diese gesondert eingeholt.