Datenschutzerklärung

Stand: 29.10.2026

1. Verantwortlicher und Rollen

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) für Benutzerkonten, Anmeldung, Kontaktanfragen, Nachrichten und den Betrieb der Plattform ist:

Bastian Haas
Alte Landstr. 40
48301 Nottuln
Deutschland
E-Mail: hajime-pro@bastian-haas.com
Telefon: 0152 58932510

Datenschutzanfragen richten Sie bitte an hajime-pro@bastian-haas.com.

Turnierdaten: Hajime Pro wird von Judo-Vereinen genutzt, um Turniere zu organisieren. Für die Daten der Teilnehmenden, Helfenden und Kampfrichter eines Turniers ist der jeweilige Veranstalter (der Verein, der das Turnier ausrichtet) verantwortlich. Bastian Haas verarbeitet diese Daten als Auftragsverarbeiter nach Art. 28 DSGVO ausschließlich auf Weisung des Veranstalters. Meldet ein Verein Teilnehmende zu einem Turnier eines anderen Vereins, übermittelt er die Daten seiner Mitglieder in eigener Verantwortung an den Veranstalter. Betroffene wenden sich für Auskunft, Berichtigung und Löschung dieser Daten bitte zuerst an den Veranstalter des Turniers.

2. Aufruf der Website, Server-Protokolle

Beim Aufruf unserer Seiten verarbeitet der Server technisch notwendige Daten: IP-Adresse, Datum und Uhrzeit, aufgerufene Adresse, Statuscode, übertragene Datenmenge und Browserkennung. Das ist zur Auslieferung der Seiten und zur Abwehr von Angriffen erforderlich (Art. 6 Abs. 1 lit. f DSGVO, berechtigtes Interesse an einem sicheren und stabilen Betrieb). Diese Server-Protokolle werden nach 7 Tagen gelöscht.

3. Registrierung und Benutzerkonto

Daten: Vorname, Nachname, E-Mail-Adresse, Passwort (nur als nicht umkehrbarer Prüfwert gespeichert), gewählter Verein, Rolle im Verein (Admin, Benutzer, Helfer), Zeitpunkte von Registrierung und Bestätigung.

Zweck und Rechtsgrundlage: Bereitstellung des Kontos und der Funktionen der Plattform (Art. 6 Abs. 1 lit. b DSGVO). Zur Bestätigung Ihrer E-Mail-Adresse senden wir einen Link (Double-Opt-in); nach der Bestätigung erhalten die Administratoren des gewählten Vereins eine E-Mail mit Ihrem Namen und Ihrer Adresse, um Sie freizuschalten.

Speicherdauer: bis zur Löschung des Kontos. Konten, deren E-Mail-Adresse nicht bestätigt wird, werden nach 30 Tagen automatisch gelöscht.

Vertrag zur Auftragsverarbeitung: Nimmt ein Admin für seinen Verein den Vertrag zur Auftragsverarbeitung an, speichern wir den angenommenen Text mit Name, Funktion und E-Mail-Adresse der annehmenden Person und dem Zeitpunkt. Zweck und Rechtsgrundlage: Nachweis des Vertragsschlusses (Art. 28 Abs. 9 und Art. 5 Abs. 2 DSGVO, Art. 6 Abs. 1 lit. c und f DSGVO). Speicherdauer: solange der Verein in Hajime Pro besteht; mit dem Löschen des Kontos bleibt der Nachweis erhalten.

4. Anmeldung, Sicherheit und Protokollierung

• Anmeldung: Nach der Anmeldung erhalten Sie ein befristetes Sitzungs-Token (24 Stunden), das in Ihrem Browser gespeichert wird (siehe Abschnitt 13). Administratoren der Plattform (Super-Admins) melden sich zusätzlich mit einem zweiten Faktor (Authenticator-App) an.
• Aktionsprotokoll: Zur Nachvollziehbarkeit und IT-Sicherheit protokollieren wir, welches Konto wann welche ändernde Aktion ausgeführt hat (z. B. Turnier angelegt, Rolle geändert) sowie Anmeldeereignisse einschließlich der IP-Adresse (erfolgreiche und fehlgeschlagene Anmeldungen). Eingegebene Inhalte und Passwörter werden nicht protokolliert. Die Administratoren eines Vereins sehen die Einträge ihres Vereins. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Sicherheit, Missbrauchsabwehr, Nachweis). Speicherdauer: 365 Tage.
• Fehlerprotokoll: Technische Fehler des Servers und der Seiten im Browser werden zur Störungsbeseitigung festgehalten (Fehlermeldung, aufgerufene Seite, bei angemeldeten Konten die E-Mail-Adresse). Zugangsdaten werden dabei geschwärzt. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Speicherdauer: 30 Tage.
• Ratenbegrenzung: Zum Schutz vor Missbrauch (z. B. massenhafte Anmeldeversuche oder Kontaktanfragen) zählt der Server Anfragen je IP-Adresse im Arbeitsspeicher; die Zähler werden nach wenigen Minuten verworfen.

5. Turnierverwaltung (im Auftrag des Veranstalters)

Daten der Teilnehmenden: Judopass-Nummer, Vorname, Nachname, Geburtsjahr, Geschlecht, Verein, Gewicht (Wiegeergebnis), Alters- und Gewichtsklasse, Graduierung, Lizenzablauf, Anmeldestatus sowie Kampfergebnisse und Platzierungen. Betroffen sind auch Minderjährige.

Zweck: Anmeldung, Einwiegen, Auslosung, Zeit- und Mattenplanung, Durchführung des Wettkampfs, Ergebnislisten, Siegerehrung und Urkunden. Rechtsgrundlage (durch den Veranstalter): Durchführung der Teilnahme bzw. Mitgliedschaft (Art. 6 Abs. 1 lit. b DSGVO) und berechtigtes Interesse an der ordnungsgemäßen Durchführung und Dokumentation des Wettkampfs (Art. 6 Abs. 1 lit. f DSGVO); für darüber hinausgehende Veröffentlichungen gilt Abschnitt 8.

Helfende und Orga: Für den Helferplan und die Vorbereitung eines Turniers werden Namen, E-Mail-Adressen, Einsatzzeiten und Aufgaben verarbeitet. Wer keine Mail-Adresse bekommen soll, wird nur mit dem Namen geführt.

Speicherdauer: Die Daten bleiben gespeichert, bis der Veranstalter das Turnier löscht oder die Löschung verlangt. Danach verbleiben sie nur noch in den Sicherungskopien (Abschnitt 11) bis zu deren Ablauf.

6. Startgeld-Abrechnung (im Auftrag des Veranstalters)

Erhebt der Veranstalter ein Startgeld, kann er es über die Plattform abrechnen. Verarbeitet werden: die Rechnungsdaten der meldenden Vereine (Vereinsname, Ansprechperson, E-Mail-Adresse, Anschrift, gewählter Zahlweg Überweisung oder Bar), die Zahl der gemeldeten Kämpfer und der Betrag, die Barzahlungen an der Waage (Verein, Betrag, Zeitpunkt) sowie die Bankverbindung des Veranstalters (Kontoinhaber und IBAN des Empfängerkontos). Die IBAN des Veranstalters wird in der Datenbank verschlüsselt gespeichert und in Protokollen geschwärzt; auf einer Rechnung erscheint sie notwendigerweise im Klartext, weil Zahlende sie dort ablesen müssen.

Rechnungen und Quittungen werden als PDF erzeugt, unveränderlich festgehalten und per E-Mail an die hinterlegte Rechnungsadresse des Vereins versandt. Zweck und Rechtsgrundlage: Abwicklung der Teilnahme und Erfüllung steuer- und handelsrechtlicher Pflichten des Veranstalters (Art. 6 Abs. 1 lit. b und c DSGVO). Rechnungen und Quittungen unterliegen gesetzlichen Aufbewahrungspflichten und werden acht Jahre aufbewahrt (ab Ende des Kalenderjahres der Ausstellung); sie verbleiben auch nach dem Löschen des Turniers erhalten. Das Journal der Barzahlungen wird mit dem Turnier gelöscht. Verantwortlich ist der Veranstalter; wir verarbeiten die Daten als Auftragsverarbeiter.

7. SEPA-Lastschrift (im Auftrag des Veranstalters)

Bietet der Veranstalter den Einzug des Startgelds per SEPA-Lastschrift an, erteilt der meldende Verein dafür ein SEPA-Lastschriftmandat (Einmal-Mandat je Turnier). Verarbeitet werden: Kontoinhaber und IBAN des zu belastenden Kontos, Mandatsreferenz, der Wortlaut des Mandats in der erteilten Fassung, die Bestätigung der Vertretungsberechtigung sowie als Nachweis Zeitstempel, Benutzerkonto und IP-Adresse der Erteilung bzw. Bestätigung. Kontoinhaber und IBAN werden in der Datenbank verschlüsselt gespeichert und in Protokollen und Oberflächen nur maskiert angezeigt. Erteilt eine nicht vertretungsberechtigte Person das Mandat, erhalten die Administratoren des Vereins einen Bestätigungslink per E-Mail.

Zum Einzug erzeugt der Veranstalter eine Sammeldatei im Format pain.008, die Kontoinhaber, IBAN, Betrag und Verwendungszweck enthält, und reicht sie bei seiner Bank ein; damit wird die Bankverbindung an die Bank des Veranstalters weitergegeben. Die Datei selbst wird bei uns nicht gespeichert, nur ihre Kopfdaten (Erzeugungszeitpunkt, Anzahl, Summe, Fälligkeit). Zweck und Rechtsgrundlage: Durchführung des Zahlungsverkehrs und Nachweis des Mandats (Art. 6 Abs. 1 lit. b und f DSGVO).

Löschung: Die Daten des Mandats (IBAN und Kontoinhaber) werden 14 Monate nach dem letzten Einzug gelöscht; wurde nie eingezogen (Widerruf, Ablehnung, Umstellung auf Barzahlung), 14 Monate nach der Entscheidung. Bei Widerruf, Ablehnung oder Umstellung wird die IBAN sofort gelöscht, der Nachweisdatensatz bleibt bis zur Löschfrist. Auf einer Rechnung verbleiben nur die Mandatsreferenz und die maskierte IBAN.

8. Teilnehmer-App und öffentliche Anzeige

Wenn der Veranstalter die Live-Anzeige für ein Turnier freigibt, werden Daten des Turniers an unseren Server übertragen und können in der Teilnehmer-App abgerufen werden. Die App öffnet sich nur über einen QR-Code, den der Veranstalter in der Halle aushängt; er enthält einen zufälligen Zugangscode, der nur für dieses Turnier gilt und mit dem Ende des Turniertags (6 Uhr am Folgetag) abläuft. Der Veranstalter kann den Code jederzeit erneuern oder sperren. Es gibt keine öffentliche Turnierliste und keine Suche ohne diesen Code; der Code steht in der Adresse hinter dem „#“ und gelangt dadurch nicht in unsere Server-Protokolle. Wer den Code erhält (z. B. durch ein weitergegebenes Foto des Aushangs), kann die Daten bis zum Ablauf einsehen. Innerhalb der App können die Daten durchsucht werden. Angezeigt werden: Vorname und Nachname, Verein, Altersklasse, Gewichtsklasse, Geschlecht, Pool und Matte, Kampfstand (anstehend, aktuell, beendet), Kampfergebnisse und Platzierung. Die Judopass-Nummer und das genaue Gewicht werden nicht veröffentlicht.

Rechtsgrundlage: Der Veranstalter entscheidet über die Freigabe und ist dafür verantwortlich, die Teilnehmenden (bei Minderjährigen die Erziehungsberechtigten) vorher zu informieren und, wo erforderlich, ihre Einwilligung einzuholen (Art. 6 Abs. 1 lit. a oder lit. f DSGVO). Die Teilnehmenden können der Veröffentlichung gegenüber dem Veranstalter widersprechen.

Speicherdauer: Die Live-Daten werden 7 Tage nach dem Turnier gelöscht.

Auf Ihrem Gerät speichert die App Ihre Auswahl (z. B. gemerkte Kämpfer und Vereine) und Zwischenspeicher der Anzeige im lokalen Speicher des Browsers. Dazu gehört der Zugangscode aus dem QR-Code. Diese Daten verlassen Ihr Gerät nicht (der Code wird nur bei den Abfragen an unseren Server mitgeschickt) und lassen sich in den Browser-Einstellungen löschen.

Benachrichtigungen (Web-Push): Wenn Sie in der App Benachrichtigungen einschalten, fragt Ihr Browser nach Ihrer Erlaubnis (Einwilligung, Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG). Wir speichern dafür die Adresse Ihres Geräts beim Push-Dienst Ihres Browser-Herstellers und die technischen Schlüssel, außerdem, für welche Kämpfer Sie Benachrichtigungen wünschen. Die Mitteilungen laufen über den Push-Dienst des Herstellers Ihres Browsers (z. B. Google, Mozilla, Apple), der dadurch Kenntnis von Ihrem Gerät und dem Zeitpunkt erhält (zur Übermittlung in Drittländer siehe Abschnitt 12). Die Daten werden spätestens 3 Tage nach dem Turnier gelöscht; Sie können die Benachrichtigungen jederzeit in der App oder im Browser ausschalten (Widerruf).

9. Kontaktformular und Nachrichten

Kontaktformular und Vereinsanfrage (ohne Konto): Wenn Sie uns über das Kontaktformular schreiben oder einen fehlenden Verein melden, verarbeiten wir Ihren Namen, Ihre E-Mail-Adresse, Betreff und Text der Nachricht bzw. den gewünschten Vereinsnamen. Die Nachricht erreicht die Administratoren der Plattform (Super-Admins), die per E-Mail einen Hinweis darauf erhalten; unsere Antwort senden wir an die angegebene E-Mail-Adresse.

Nachrichten innerhalb der Plattform: Angemeldete Konten können Nachrichten schreiben: Benutzer und Helfer an die Administratoren der Plattform, Vereinsadministratoren außerdem an Mitglieder des eigenen Vereins und an Administratoren anderer Vereine. Gespeichert werden Betreff, Text, Name des Absenders, Empfänger, Zeitpunkte und bis zu welcher Nachricht ein Empfänger gelesen hat. Empfänger erhalten eine Benachrichtigung per E-Mail ohne den Inhalt der Nachricht.

Zweck und Rechtsgrundlage: Bearbeitung Ihrer Anfrage und Kommunikation im Rahmen der Nutzung der Plattform (Art. 6 Abs. 1 lit. b DSGVO, soweit es um Ihr Konto, Ihren Verein oder ein Turnier geht; im Übrigen Art. 6 Abs. 1 lit. f DSGVO, berechtigtes Interesse an der Beantwortung von Anfragen).

Speicherdauer: Eine Unterhaltung wird 365 Tage nach der letzten Nachricht automatisch gelöscht. Wird das Konto einer beteiligten Person gelöscht, bleiben ihre bereits geschriebenen Nachrichten mit ihrem Namen bis zu dieser Frist in der Unterhaltung erhalten.

10. E-Mail-Versand

Wir versenden E-Mails zur Bestätigung Ihrer Adresse, zur Freischaltung, zum Zurücksetzen des Passworts, für Einladungen (z. B. zum Verein oder zu einem Turnier), als Hinweis auf neue Nachrichten und für Erinnerungen an Aufgaben, wenn Sie eine Aufgabe übernommen haben. Rechtsgrundlage ist die Erfüllung des Nutzungsverhältnisses (Art. 6 Abs. 1 lit. b DSGVO). Es erfolgt keine Werbung und kein Newsletter. Wer per Einladung hinzugefügt wird, erhält genau eine Einladungs-Mail; der Link verfällt nach 14 Tagen.

Turnier teilen: Der Verwalter eines Turniers kann einen Link zum Turnier an E-Mail-Adressen schicken, die er selbst einträgt, und an die Administratoren ausgewählter Vereine. Die eingetragenen Adressen werden nur für diesen Versand verwendet und nicht gespeichert; festgehalten wird lediglich, welche Vereine eingeladen wurden. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse des Veranstalters, auf sein Turnier hinzuweisen).

11. Datensicherung

Zum Schutz vor Datenverlust sichern wir die gesamte Datenbank täglich (Art. 6 Abs. 1 lit. f DSGVO und Art. 32 DSGVO). Die Sicherungsdateien sind mit AES-256 verschlüsselt. Sie werden auf unserem Server und ohne zusätzliche Kopie bei einem Dritten aufbewahrt und nach spätestens 14 Tagen gelöscht. Daten, die Sie oder ein Veranstalter in der Plattform löschen, verschwinden aus den Sicherungen deshalb mit dieser Verzögerung.

12. Empfänger und Auftragsverarbeiter

Wir setzen die folgenden Dienstleister ein, die Daten ausschließlich nach unserer Weisung verarbeiten. Mit allen besteht ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO:

• Hosting (Server): netcup GmbH, Emmy-Noether-Str. 10, 76131 Karlsruhe, Standort Deutschland (Rechenzentrum Nürnberg). Der Anbieter verarbeitet Daten in unserem Auftrag auf Grundlage eines Vertrags zur Auftragsverarbeitung (Art. 28 DSGVO).
• Datenbank: Eigener PostgreSQL-Server (Docker-Container) auf dem Hosting-System der netcup GmbH, Rechenzentrum Deutschland. Auftragsverarbeitung nach Art. 28 DSGVO.
• E-Mail-Versand: ALL-INKL.COM – Neue Medien Münnich, Hauptstraße 68, 02742 Friedersdorf (Versand von Bestätigungs-, Einladungs-, Benachrichtigungs- und Erinnerungs-E-Mails). Auftragsverarbeitung nach Art. 28 DSGVO.

Innerhalb der Plattform erhalten Zugriff:

• Administratoren und Mitglieder eines Vereins im Rahmen ihrer Rolle auf die Daten ihres Vereins und der von ihm ausgerichteten Turniere, einschließlich der Meldungen anderer Vereine zu diesen Turnieren;
• die Administratoren der Plattform (Super-Admins), soweit es für Betrieb, Störungsbeseitigung und Unterstützung erforderlich ist. Den Zugriff auf alle Daten haben sie nur in einem eigens eingeschalteten Super-Admin-Modus; ihre ändernden Aktionen werden protokolliert (Abschnitt 4).

Eine Weitergabe an sonstige Dritte findet nicht statt, es sei denn, wir sind gesetzlich dazu verpflichtet.

Übermittlung in Drittländer

Einzelne Empfänger haben ihren Sitz außerhalb der EU/des EWR (insbesondere in den USA) oder können Daten dort verarbeiten. Die Übermittlung beruht jeweils auf der folgenden Grundlage; eine Kopie der Standardvertragsklauseln erhalten Sie auf Anfrage unter hajime-pro@bastian-haas.com:

• Push-Dienste der Browserhersteller (Abschnitt 8): Die Hersteller (z. B. Google, Apple, Mozilla) können die Benachrichtigungen auch in den USA verarbeiten. Das geschieht nur, wenn Sie Benachrichtigungen selbst einschalten; soweit für den Hersteller kein Angemessenheitsbeschluss gilt, beruht die Übermittlung auf Ihrer ausdrücklichen Einwilligung (Art. 49 Abs. 1 lit. a DSGVO). Dort haben Behörden unter Umständen Zugriff auf Gerätedaten, ohne dass Ihnen dieselben Rechtsbehelfe wie in der EU zustehen. Der Inhalt der Benachrichtigung wird verschlüsselt übertragen und ist für den Push-Dienst nicht lesbar.

13. Lokaler Speicher im Browser (keine Cookies)

Hajime Pro setzt keine Cookies und verwendet keine Werbe- oder Analysedienste. Der Browser speichert lokal ausschließlich, was für den Betrieb notwendig ist: das Sitzungs-Token und die Kontoinformationen nach der Anmeldung (bis zur Abmeldung bzw. höchstens 24 Stunden gültig), das zuletzt gewählte Turnier und die Matte, das Ziel eines geteilten Turnier-Links bis zur Anmeldung (höchstens 7 Tage), die gewählte Darstellung (hell oder dunkel) und den Zustand des Menüs, außerdem die Daten der Teilnehmer-App nach Abschnitt 8. Dieser Zugriff ist unbedingt erforderlich, damit der von Ihnen gewünschte Dienst bereitgestellt werden kann (§ 25 Abs. 2 Nr. 2 TDDDG); eine Einwilligung ist dafür nicht notwendig.

14. Speicherdauer im Überblick

Gesetzliche Aufbewahrungspflichten bleiben unberührt.

15. Pflicht zur Bereitstellung, automatisierte Entscheidungen

Für die Nutzung der Plattform sind Name, E-Mail-Adresse und Passwort erforderlich; ohne diese Angaben ist kein Konto möglich. Für die Teilnahme an einem Turnier verlangt der Veranstalter die Angaben, die er für die Durchführung braucht. Eine automatisierte Entscheidungsfindung einschließlich Profiling im Sinne von Art. 22 DSGVO findet nicht statt. Die Auslosung der Kämpfe erfolgt nach den Regeln der Wettkampfordnung und hat keine rechtliche Wirkung auf Sie.

16. Ihre Rechte

Sie haben gegenüber dem Verantwortlichen das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21, siehe Abschnitt 17). Eine erteilte Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3). Für Turnierdaten richten Sie Ihre Anfrage an den Veranstalter; wir unterstützen ihn dabei.

Sie haben außerdem das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren (Art. 77 DSGVO). Zuständig für uns ist: Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen, Kavalleriestraße 2–4, 40213 Düsseldorf, https://www.ldi.nrw.de.

18. Sicherheit

Wir schützen Ihre Daten durch technische und organisatorische Maßnahmen, insbesondere: verschlüsselte Übertragung (HTTPS), nicht umkehrbare Speicherung der Passwörter, zweiten Faktor für Administratoren, rollenbasierte Zugriffsrechte, Protokollierung, verschlüsselte Sicherungen.

19. Änderungen

Wir passen diese Erklärung an, wenn sich die Plattform oder die Rechtslage ändert. Es gilt die jeweils hier veröffentlichte Fassung.