Datenschutzerklärung

1. Verantwortlicher

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) für den Betrieb der Plattform RaceOffice by KartVision (kartvision-raceoffice.de) ist:

Vito Strauß
RaceOffice by KartVision
Eschersheimer Landstraße 513
60431 Frankfurt am Main
Deutschland
Telefon: 0176 36362283
E-Mail: info@kartvision-raceoffice.de

[[TODO: In der vorherigen Fassung stand hier und beim Auskunftsrecht eine andere Adresse (eine private Gmail-Adresse) als im Impressum. Bitte bestätigen, welches Postfach Datenschutzanfragen entgegennimmt — die Seite nennt jetzt durchgängig die Adresse aus dem Impressum.]]

2. Datenschutzbeauftragter

[[TODO: Prüfen, ob ein Datenschutzbeauftragter zu benennen ist (Art. 37 DSGVO, § 38 BDSG). Für ein Einzelunternehmen ohne zwanzig ständig mit automatisierter Verarbeitung beschäftigte Personen ist das in der Regel nicht der Fall. Falls doch: Name und Kontaktdaten hier ergänzen; falls nicht, kann dieser Abschnitt entfallen.]]

3. Wer wofür verantwortlich ist — Plattform und Veranstalter

RaceOffice by KartVision ist ein Mandantensystem: Mehrere Veranstalter arbeiten darauf nebeneinander, ohne die Daten der anderen zu sehen. Für die Frage, an wen sich eine betroffene Person wendet, sind zwei Rollen zu unterscheiden:

• Der Plattformbetreiber ist Verantwortlicher für das Benutzerkonto selbst — also für Registrierung, Anmeldung, E-Mail-Adresse, Passwort und die technische Bereitstellung.
• Der Veranstalter, bei dem genannt wird, ist Verantwortlicher für die Daten seiner Nennungen — Fahrerdaten, Lizenzangaben, Startnummern, Zahlungsstände, Ergebnisse. Der Plattformbetreiber verarbeitet diese Daten in seinem Auftrag (Art. 28 DSGVO).

Auskunft, Berichtigung und Löschung zu einer konkreten Nennung erledigt deshalb der jeweilige Veranstalter. Eine Anfrage an den Plattformbetreiber wird an ihn weitergeleitet.

[[TODO: Bestätigen, dass mit den Veranstaltern ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO geschlossen wird, und falls vorhanden, hier auf ihn verweisen.]]

4. Allgemeine Hinweise zur Datenverarbeitung

RaceOffice by KartVision ist ein Online-Nennsystem für Motorsportveranstaltungen. Über die Plattform registrieren sich Fahrer, Teams und Veranstalter, melden sich zu Veranstaltungen an, verwalten sie und übermitteln die dafür erforderlichen Angaben.

Personenbezogene Daten werden nur verarbeitet, soweit dies für den Betrieb der Plattform, die Durchführung von Nennungen und Veranstaltungen, die Kommunikation mit Nutzern oder zur Erfüllung gesetzlicher Verpflichtungen erforderlich ist.

Die Verarbeitung erfolgt insbesondere auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO, soweit die Daten zur Durchführung vorvertraglicher Maßnahmen oder zur Erfüllung eines Vertrags erforderlich sind. Soweit eine Verarbeitung zur Wahrung berechtigter Interessen erforderlich ist, erfolgt sie auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO. Bei gesetzlich vorgeschriebenen Verarbeitungen gilt Art. 6 Abs. 1 lit. c DSGVO.

Sofern eine Einwilligung eingeholt wird, erfolgt die Verarbeitung auf Grundlage von Art. 6 Abs. 1 lit. a DSGVO. Eine erteilte Einwilligung kann jederzeit mit Wirkung für die Zukunft widerrufen werden.

5. Registrierung und Benutzerkonto

Bei der Registrierung werden verarbeitet:

• Vor- und Nachname
• E-Mail-Adresse
• Passwort — ausschließlich als kryptografischer Hashwert, nie im Klartext
• Rolle im jeweiligen Mandanten, beispielsweise Fahrer, Teamchef, Kassenwart oder Veranstalter
• technische Sitzungsdaten (Anmeldezeitpunkt, Sitzungskennung)

Diese Daten werden benötigt, um ein Benutzerkonto bereitzustellen, Nutzer zu authentifizieren und die Funktionen der Plattform zur Verfügung zu stellen. Eine Anmeldesitzung läuft spätestens nach 30 Tagen ab.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

6. Fahrer- und Teilnehmerdaten

Im Rahmen von Fahrerprofilen und Nennungen können — abhängig von der jeweiligen Veranstaltung — verarbeitet werden:

• Vor- und Nachname
• Geburtsdatum
• Geschlecht
• Anschrift und — falls abweichend — Rechnungsanschrift
• Staatsangehörigkeit
• Telefonnummer und E-Mail-Adresse
• Lizenznummer, Lizenzart, ausstellender Verband und Gültigkeit
• Startnummer und Transpondernummer
• Team- bzw. Bewerberzugehörigkeit
• Angaben zum Kart, etwa Fabrikat des Chassis, Motor-Hersteller und Eigentümer
• freiwillige Angaben zu Sponsoren und zu sozialen Netzwerken
• Angaben zur jeweiligen Veranstaltung, Einschreibung und Nennung

Die Daten werden verarbeitet, um die Anmeldung und Teilnahme an Motorsportveranstaltungen zu ermöglichen und die Nennung dem jeweiligen Veranstalter zur Veranstaltungsabwicklung bereitzustellen.

Rechtsgrundlage ist grundsätzlich Art. 6 Abs. 1 lit. b DSGVO.

7. Gesundheitsbezogene Daten — ärztliche Untersuchung

Viele Rennserien verlangen den Nachweis einer ärztlichen Untersuchung. Fahrer können dafür im Fahrerprofil eine Bescheinigung hinterlegen. Verarbeitet werden dabei:

• das Gültigkeitsdatum der Untersuchung
• die hochgeladene Bescheinigung als PDF oder Bild
• der Zeitpunkt des Hochladens

Es handelt sich um Gesundheitsdaten und damit um eine besondere Kategorie personenbezogener Daten nach Art. 9 Abs. 1 DSGVO. Die Verarbeitung erfolgt auf Grundlage der ausdrücklichen Einwilligung der betroffenen Person nach Art. 9 Abs. 2 lit. a DSGVO: Die Angabe ist freiwillig, und die Bescheinigung wird nur hochgeladen, wenn der Fahrer sie selbst hochlädt.

Die Bescheinigung wird in einem nicht öffentlich zugänglichen Dateispeicher abgelegt (siehe Abschnitt 12) und ist ausschließlich dem Fahrer selbst und dem Rennbüro des Veranstalters zugänglich, bei dem er genannt hat. Sie kann im Fahrerprofil jederzeit ersetzt oder entfernt werden.

[[TODO: Bestätigen, dass die Einwilligung an der Stelle des Hochladens ausdrücklich eingeholt wird (Hinweistext mit Kästchen), und festlegen, nach welcher Frist abgelaufene Bescheinigungen automatisch gelöscht werden.]]

8. Minderjährige Teilnehmer

Bei minderjährigen Teilnehmern werden zusätzlich Angaben zu einem Erziehungsberechtigten verarbeitet:

• Name des Erziehungsberechtigten und Verhältnis zum Fahrer
• E-Mail-Adresse, Telefonnummer und Anschrift
• Zeitpunkt der erteilten Einwilligung und wer sie erteilt hat
• gegebenenfalls eine hochgeladene Einverständniserklärung

Diese Daten werden verarbeitet, soweit sie zur Durchführung einer Nennung, zur Dokumentation der erforderlichen Zustimmung oder zur Erfüllung rechtlicher Anforderungen notwendig sind (Art. 6 Abs. 1 lit. b und lit. c DSGVO).

9. Nennungs- und Veranstaltungsdaten

Vor der ersten Nennung schreibt sich ein Fahrer in die Serie ein. Bei dieser Einschreibung werden erhoben: die gewählte Klasse, ein Fahrer-Referenzcode (soweit vorhanden), Angaben zum Kart (Chassis-Marke, Motor-Hersteller, Transpondernummer, Wunsch-Startnummer, Eigentümer des Karts nebst Name und Anschrift, falls es nicht der Fahrer ist), freiwillig Sponsor- und Bewerber-/Teamname, eine abweichende Rechnungsanschrift (freiwillig), die gewünschte Zahlungsart sowie bei minderjährigen Fahrern der Name des gesetzlichen Vertreters. Die Angaben zur Person selbst — Name, Anschrift, Geburtsdatum, Geschlecht, Mobilnummer, E-Mail und Lizenzangaben — stammen aus dem Fahrerprofil und werden dorthin zurückgeschrieben; sie gelten damit bei allen Veranstaltern, bei denen ein Konto besteht.

Mit dem Absenden werden drei Zustimmungen mit Zeitpunkt gespeichert: die Einwilligung in Speicherung und Verarbeitung der Daten, die Anerkennung von Ausschreibung, DMSB- und Serienbestimmungen samt Haftungsausschluss sowie die Bestätigung dieser Datenschutzerklärung. Der Zeitpunkt dient dem Nachweis nach Art. 7 Abs. 1 DSGVO und bleibt erhalten, auch wenn der Fahrer seine Angaben später ändert. Zusätzlich wird der Stand der Angaben zum Zeitpunkt der ersten Einreichung unverändert aufbewahrt, damit nachvollziehbar bleibt, worauf sich die Erklärung bezogen hat. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Durchführung des Nennungsverhältnisses).

Einsehen kann die Angaben zur Einschreibung ausschliesslich das Rennbüro des Veranstalters, bei dem sie abgegeben wurde — dort nur lesend. Ändern kann sie allein der Fahrer selbst.

Bei einer Nennung werden die für die Veranstaltung erforderlichen Daten gespeichert und dem Veranstalter zugänglich gemacht. Dazu gehören insbesondere Teilnehmerdaten, Klasse, Startnummer, Team, Nennungs- und Zahlungsstatus, Zeitpunkte der Anmeldung und Bearbeitung sowie ein Änderungsprotokoll, das festhält, wer wann welchen Status geändert hat.

Am Renntag kommen Anwesenheit (Check-in), Ergebnis der technischen Abnahme und ausgegebenes Material hinzu; nach dem Rennen Lauf- und Wertungsergebnisse.

Startnummer, Name, Klasse und Ergebnis erscheinen auf Starterlisten und Ergebnislisten. Ob eine Starterliste öffentlich einsehbar ist, entscheidet der Veranstalter je Veranstaltung.

10. Daten von Teams und Veranstaltern

Bei Team- und Veranstalterkonten werden Namen, Kontaktdaten, Angaben zum Team beziehungsweise zur Organisation sowie Daten zu Veranstaltungen und Teilnehmern verarbeitet. Zur Abwicklung des Nenngelds gehört außerdem die Bankverbindung des Veranstalters (Kontoinhaber, IBAN, BIC, Kreditinstitut) — sie wird auf der Zahlungsseite und in den Bestätigungsmails angezeigt, damit Fahrer und Teams überweisen können.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Teamchat. Innerhalb eines Teams steht den bestätigten Mitgliedern und dem Teamchef ein Chat zur Verfügung. Gespeichert werden der Nachrichtentext, das Konto der schreibenden Person und der Zeitpunkt. Die Nachrichten sind ausschließlich für die Mitglieder desselben Teams sichtbar; teamübergreifender Zugriff findet nicht statt.

Nachrichten werden 48 Stunden nach dem Absenden automatisch und endgültig gelöscht — nicht ausgeblendet, sondern aus der Datenbank entfernt. Darüber hinaus kann jede Person ihre eigenen Nachrichten jederzeit selbst löschen; der Teamchef kann Nachrichten in seinem Team löschen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Durchführung der Teamorganisation).

Der Chat ist nicht Ende-zu-Ende-verschlüsselt. Er ist für die Absprache rund um eine Veranstaltung gedacht; besonders schützenswerte Angaben, insbesondere Gesundheitsdaten, gehören nicht hinein.

11. Zahlungsdaten

Es wird kein Zahlungsdienstleister eingesetzt. Nenngeld und Bestellungen werden auf das Konto des jeweiligen Veranstalters überwiesen oder vor Ort bar bezahlt. Die Plattform selbst wickelt keine Zahlung ab, leitet keine Zahlung weiter und verarbeitet keine Kreditkarten-, Bankzugangs- oder Lastschriftdaten von Fahrern.

Verarbeitet werden ausschließlich die Angaben, die der Kassenwart des Veranstalters beim Buchen eines Eingangs einträgt:

• Betrag und Eingangsdatum
• Zahlungsart (Überweisung, Barzahlung, PayPal, Kreditkarte — als Angabe darüber, wie gezahlt wurde, nicht als Zugangsdaten)
• Verwendungszweck der Nennung
• eine interne Notiz der Kasse
• wer die Zahlung gebucht hat

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO sowie, soweit handels- und steuerrechtliche Aufbewahrungspflichten bestehen, Art. 6 Abs. 1 lit. c DSGVO.

12. Hosting und Dateiablage — Vercel

Die Anwendung wird bei Vercel betrieben. Anbieter ist:

Vercel, Inc.
USA

[[TODO: Vollständige Anschrift des Anbieters aus dem eigenen Vertragsverhältnis beziehungsweise von der Anbieterseite übernehmen und hier eintragen.]]

Beim Aufruf der Website werden die Anfragen über die Server von Vercel ausgeliefert. Die Anwendung selbst ist auf die Region Frankfurt am Main festgelegt (fra1).

Über den Dienst Vercel Blob werden außerdem hochgeladene Dateien gespeichert. Das betrifft:

• Ausschreibungen, Reglements, Zeitpläne und Ergebnislisten der Veranstalter
• Fotos oder Scans von Lizenzausweisen
• ärztliche Untersuchungsbescheinigungen (siehe Abschnitt 7)
• Einverständniserklärungen Erziehungsberechtigter
• Produktbilder des Fanshops

Dateien mit personenbezogenem Inhalt liegen in einem nicht öffentlich zugänglichen Speicher und werden ausschließlich über die Anwendung ausgeliefert, die vorher prüft, wer sie sehen darf.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b und lit. f DSGVO; die Verarbeitung erfolgt im Rahmen einer Auftragsverarbeitung nach Art. 28 DSGVO.

13. Datenbank — Neon

Für die Speicherung der Anwendungsdaten wird ein verwalteter PostgreSQL-Dienst von Neon eingesetzt. Anbieter ist:

Neon, Inc.
USA

[[TODO: Vollständige Anschrift des Anbieters aus dem eigenen Vertragsverhältnis übernehmen und eintragen.]]

Dort werden Benutzer-, Fahrer-, Team-, Veranstaltungs-, Nennungs- und Zahlungsdaten sowie die übrigen für den Betrieb erforderlichen Daten gespeichert. Neon verarbeitet diese Daten als technischer Dienstleister im Auftrag des Verantwortlichen.

[[TODO: Bestätigen, in welcher Region die Produktionsdatenbank betrieben wird. Die Entwicklungsumgebung läuft auf eu-central-1 (Frankfurt am Main); ob das für den Produktivbetrieb ebenso gilt, ist hier nicht belegbar.]]

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b und lit. f DSGVO im Rahmen einer Auftragsverarbeitung nach Art. 28 DSGVO.

14. E-Mail-Versand — Resend

Für den automatisierten Versand von E-Mails wird Resend eingesetzt. Anbieter ist:

Plus Five Five, Inc. (Resend)
2261 Market Street #5039
San Francisco, CA 94114
USA

Versendet werden ausschließlich Nachrichten, die zum Betrieb gehören — keine Werbung:

• Bestätigung der E-Mail-Adresse und Zurücksetzen des Passworts
• Eingangsbestätigung zu einer Nennung samt Betrag und Verwendungszweck
• Bestätigung eines Zahlungseingangs
• Statusänderungen einer Nennung
• veranstaltungsbezogene Benachrichtigungen des Veranstalters
• Belege wie der Reifen-Voucher

Dabei werden E-Mail-Adresse, Name des Empfängers, Inhalt der Nachricht sowie technische Versand- und Zustelldaten verarbeitet. Resend setzt zur technischen Zustellung seinerseits Amazon Simple Email Service (Amazon Web Services) als Unterauftragsverarbeiter ein.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO; soweit die Verarbeitung der technischen Sicherstellung eines zuverlässigen Versands dient, zusätzlich Art. 6 Abs. 1 lit. f DSGVO.

15. Übermittlung in Drittländer

Die in den Abschnitten 12 bis 14 genannten Anbieter haben ihren Sitz in den Vereinigten Staaten. Auch wenn die Verarbeitung technisch in europäischen Rechenzentren stattfindet, ist ein Zugriff aus einem Drittland nicht ausgeschlossen.

[[TODO: Für jeden der drei Anbieter eintragen, worauf die Übermittlung gestützt wird — Angemessenheitsbeschluss (EU-US Data Privacy Framework, sofern der Anbieter zertifiziert ist) oder Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO. Die Angabe lässt sich nur den jeweiligen Verträgen entnehmen und wird hier nicht vermutet.]]

16. Server-Logdaten und technische Daten

Beim Aufruf der Website werden technisch erforderliche Daten verarbeitet:

• IP-Adresse
• Datum und Uhrzeit des Zugriffs
• aufgerufene Seite bzw. Ressource
• Browsertyp und Browserversion
• Betriebssystem
• Referrer-Informationen
• technische Fehler- und Sicherheitsinformationen

Die Verarbeitung erfolgt, um die Website technisch bereitzustellen, die Systemsicherheit zu gewährleisten, Fehler zu erkennen und Missbrauch zu verhindern (Art. 6 Abs. 1 lit. f DSGVO).

[[TODO: Speicherdauer der Server-Logdaten beim Hosting-Anbieter nachsehen und hier angeben.]]

17. Cookies und Speicherung im Browser

Es werden ausschließlich technisch notwendige Cookies und vergleichbare Speicherungen eingesetzt. Im Einzelnen sind das:

• Anmeldesitzung — ein Cookie, das die angemeldete Sitzung ausweist. Es wird beim Anmelden gesetzt, spätestens nach 30 Tagen ungültig und beim Abmelden gelöscht.
• Sprachwahl (sprache) — merkt sich die gewählte Oberflächensprache, ein Jahr lang.
• Cookie-Hinweis — ein Eintrag im lokalen Speicher des Browsers, damit der Hinweis unten auf der Seite nicht bei jedem Besuch erneut erscheint.

Es werden keine Analyse- oder Marketing-Cookies gesetzt und keine Werkzeuge Dritter eingebunden. Es sind keine Dienste zur Auswertung des Nutzungsverhaltens eingebunden, und es werden keine Profile gebildet. Eine Reichweitenmessung findet statt, sie kommt aber ohne Speicherung im Endgerät aus — siehe Abschnitt 18. Aus diesem Grund gibt es keine Einwilligungsabfrage mit Auswahl: Für technisch notwendige Speicherung ist sie nach § 25 Abs. 2 TDDDG nicht erforderlich, und für die Reichweitenmessung wird auf das Endgerät nicht zugegriffen. Der Hinweis unten auf der Seite ist eine Information, keine Einwilligung.

Sollten künftig nicht notwendige Cookies oder Analysewerkzeuge hinzukommen, wird vor deren Einsatz eine Einwilligung eingeholt.

18. Reichweitenmessung ohne Cookies

Um zu erkennen, ob und wie die Seite genutzt wird, werden Aufrufe gezählt. Das geschieht vollständig auf dem eigenen Server. Es wird kein Cookie gesetzt, nichts im Browser gespeichert und kein Dienst eines Dritten eingebunden.

Gespeichert werden ausschließlich Summen:

• Anzahl der Aufrufe je Tag und je Seite — ohne Bezug zu einer Person
• Herkunftsgruppe beim Eintritt: direkt, Suchmaschine oder der Rechnername der verweisenden Seite — die vollständige Verweisadresse wird verworfen, bevor etwas gespeichert wird
• Anzahl der gerade Anwesenden, getrennt nach angemeldet und nicht angemeldet

Um dieselbe Person nicht mehrfach als anwesend zu zählen, wird aus IP-Adresse, Browserkennung, dem heutigen Datum und einem nur auf dem Server bekannten Schlüssel ein Prüfwert gebildet. Die IP-Adresse selbst wird dabei nicht gespeichert. Der Prüfwert wechselt jede Nacht und wird spätestens nach 24 Stunden gelöscht; die Tageszähler enthalten danach nur noch Summen ohne Personenbezug und werden nach 400 Tagen gelöscht.

Wir nennen das ausdrücklich Pseudonymisierung und nicht Anonymisierung: Wer den Serverschlüssel besäße, könnte den überschaubaren Raum möglicher IP-Adressen durchrechnen. Genau deshalb ist die Aufbewahrung auf einen Tag begrenzt.

Nicht erhoben werden: der Weg einzelner Besucher durch die Seite, Verweildauer, Gerät, Betriebssystem, ungefährer Standort, Wiederkehr über mehrere Tage sowie jede Form von Profilbildung. Aufrufe des Verwaltungsbereichs des Betreibers werden nicht mitgezählt.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Das berechtigte Interesse besteht darin, den Betrieb der Plattform beurteilen und sie bedarfsgerecht weiterentwickeln zu können. § 25 TDDDG ist nicht einschlägig, weil auf Informationen im Endgerät weder zugegriffen noch dort etwas gespeichert wird.

Gegen diese Verarbeitung kann nach Art. 21 Abs. 1 DSGVO Widerspruch eingelegt werden (Kontakt siehe Abschnitt 1).

19. Empfänger personenbezogener Daten

Personenbezogene Daten können an folgende Kategorien von Empfängern übermittelt werden:

• der Veranstalter, bei dem eine Nennung vorgenommen wird
• der Teamchef des Teams, dem ein Fahrer zugeordnet ist — im Umfang der Nennungen und Zahlungsstände dieses Teams
• der Hosting- und Dateispeicheranbieter (Abschnitt 12)
• der Datenbankanbieter (Abschnitt 13)
• der E-Mail-Versanddienstleister und dessen Unterauftragsverarbeiter (Abschnitt 14)
• Behörden oder andere öffentliche Stellen, soweit eine gesetzliche Verpflichtung besteht

Eine Weitergabe erfolgt nur, soweit hierfür eine Rechtsgrundlage besteht. Ein Verkauf von Daten findet nicht statt.

Die Zeitmessung einer Veranstaltung erfolgt außerhalb dieser Plattform. Werden Ergebnisdaten an einen Zeitmessdienstleister übermittelt, ist dafür der jeweilige Veranstalter verantwortlich.

20. Speicherdauer

Personenbezogene Daten werden nur so lange gespeichert, wie es für den jeweiligen Zweck erforderlich ist. Kontodaten werden für die Dauer des bestehenden Benutzerkontos gespeichert. Nennungs-, Vertrags-, Zahlungs- und Abrechnungsdaten werden darüber hinaus gespeichert, soweit gesetzliche Aufbewahrungs- und Nachweispflichten bestehen.

Nach Wegfall des Zwecks werden Daten gelöscht oder in der Verarbeitung eingeschränkt, sofern keine Aufbewahrungspflichten entgegenstehen.

Eine feste Frist gilt bereits für den Teamchat: Nachrichten werden 48 Stunden nach dem Absenden automatisch und endgültig gelöscht (Abschnitt 10).

Die Zustimmungen zur Einschreibung samt ihrer Zeitpunkte und der aufbewahrte Stand der Angaben (Abschnitt 9) werden so lange gespeichert, wie ein Nachweis über die erteilte Erklärung erforderlich sein kann — mindestens für die Dauer der Saison und der daran anschliessenden Verjährungsfristen.

[[TODO: Konkrete Fristen je Datenart festlegen und hier eintragen — insbesondere für Fahrerprofile ohne Nennung, für abgelaufene Lizenz- und Untersuchungsnachweise und für Konten, die über längere Zeit nicht genutzt werden.]]

21. Datensicherheit

Es werden angemessene technische und organisatorische Maßnahmen eingesetzt, um personenbezogene Daten vor Verlust, Manipulation und unbefugtem Zugriff zu schützen. Die Übertragung erfolgt verschlüsselt über HTTPS/TLS.

Passwörter werden nicht im Klartext gespeichert, sondern mit einem kryptografischen Verfahren gehasht.

Der Zugriff innerhalb der Plattform ist nach Rollen getrennt: Ein Veranstalter sieht ausschließlich die Daten seiner eigenen Veranstaltungen, ein Kassenwart die Zahlungsstände seines Mandanten, ein Teamchef die Nennungen seines Teams. Änderungen an Status, Zahlungsstand und Startnummer werden mit Zeitpunkt und handelnder Person protokolliert.

22. Rechte der betroffenen Personen

Betroffene Personen haben im Rahmen der gesetzlichen Voraussetzungen insbesondere folgende Rechte:

• Recht auf Auskunft gemäß Art. 15 DSGVO
• Recht auf Berichtigung gemäß Art. 16 DSGVO
• Recht auf Löschung gemäß Art. 17 DSGVO
• Recht auf Einschränkung der Verarbeitung gemäß Art. 18 DSGVO
• Recht auf Datenübertragbarkeit gemäß Art. 20 DSGVO
• Widerspruchsrecht gemäß Art. 21 DSGVO
• Recht auf Widerruf einer erteilten Einwilligung gemäß Art. 7 Abs. 3 DSGVO

Zur Ausübung genügt eine Nachricht an info@kartvision-raceoffice.de. Betrifft die Anfrage eine konkrete Nennung, wendet man sich am schnellsten unmittelbar an den Veranstalter — siehe Abschnitt 3.

23. Beschwerderecht bei einer Aufsichtsbehörde

Betroffene Personen haben gemäß Art. 77 DSGVO das Recht, sich bei einer Datenschutzaufsichtsbehörde zu beschweren. Für einen Verantwortlichen mit Sitz in Hessen ist das der Hessische Beauftragte für Datenschutz und Informationsfreiheit.

24. Änderungen dieser Datenschutzerklärung

Diese Erklärung wird angepasst, wenn sich die Website, die eingesetzten Dienste, die Datenverarbeitung oder die rechtlichen Anforderungen ändern. Es gilt die jeweils veröffentlichte Fassung; der Stand steht oben auf dieser Seite.