Datenschutzerklärung

Stand: Juli 2026  ·  HOLULA APEX – Athletic Performance EXplorer

1. Verantwortlicher

Verantwortlicher im Sinne der DSGVO für den Betrieb von holula.de und HOLULA APEX:

Zuständige Aufsichtsbehörde: Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Rheinland-Pfalz (datenschutz.rlp.de).

2. Welche Daten werden verarbeitet?

HOLULA APEX ist eine Leistungsdiagnostik- und Trainingsplanungs-App für Eishockey-Clubs und Verbände. Dabei werden folgende Datenkategorien verarbeitet:

2.1 Zugangsdaten (Trainer, Admins)

• Benutzername und E-Mail-Adresse
• Passwort (verschlüsselt gespeichert via Supabase Auth)
• Rolle innerhalb des Vereins (Trainer, Admin)
• Login-Zeitpunkte und genutzter Browser (User-Agent)

2.2 Spieler-Daten

• Name, Geburtsdatum, Jahrgangsklasse, Position
• Leistungstestdaten (Kraft, Ausdauer, Schnelligkeit, Koordination)
• Körperliche Messwerte (Größe, Gewicht, Körperzusammensetzung/BIA, VO₂max)
• Kognitive Testergebnisse (NEXUS Speed, NEXUS Focus, NEXUS Search)
• Cardio-Daten (Yo-Yo IRT, 300m Shuttle off/on ice)
• Verletzungshistorie (Körperstelle, Schweregrad, Diagnose, Heilungsverlauf, Return-to-Skate-Phasen) – siehe Abschnitt 4.2
• Wellness-Check-ins (tägliche Selbsteinschätzung: Schlaf, Muskelkater, Energie, Stress, Motivation, Belastungsempfinden/RPE) – siehe Abschnitt 4.2
• Reifealter-Schätzung (abgeleiteter biologischer Reifegrad aus Körperhöhe, Sitzhöhe, Gewicht, Geburtsdatum — Populations-Schätzung, keine Diagnose) – siehe Abschnitt 4.2
• On-Ice Skill-Bewertungen durch Trainer (6 Kategorien, Skala 1–10)
• Profilfoto (optional, als verschlüsseltes Bild in der Datenbank)
• Trainingsanwesenheit und RSVP-Status
• E-Mail-Adresse (für Spieler-Login, optional; bei Registrierung wird die Bestätigung der Datenschutz-Kenntnisnahme mit Zeitstempel gespeichert)

2.3 Trainingsdaten

• Trainingseinheiten, Phasen, Inhalte und Termine
• Aufstellungen und Spieler-Zuordnungen
• Trainingsplan-Sichtungszeiten
• Eisplan-Belegungen (Flächen, Zeitblöcke, Kabinenangaben)
• Turnier-Spielereignisse (optional, nur bei Turnieren mit aktivierten Spielerlisten): Spielerlisten der teilnehmenden Teams (Name, ggf. Trikotnummer/Position) sowie erfasste Spielereignisse (Tore, Vorlagen, Strafzeiten mit Strafminuten und Grund) mit Namensbezug — überwiegend Minderjähriger; Torschüsse werden nur als anonyme Team-Summe je Drittel erfasst. Sichtbar nur vereinsintern für eingeloggte Nutzer sowie auf vereinsinternen Anzeigebildschirmen des Veranstalters (Live-Screen; die Anzeige vollständiger Namen liegt in der Verantwortung des veranstaltenden Vereins, eine Abkürzungs-Option ist je Turnier wählbar). Bei Spielern des eigenen Vereins, die der Trainer mit der Spielerverwaltung verknüpft hat, erscheinen die Turnier-Ereignisse zusätzlich im vereinsinternen Spielerprofil. Turnierdaten können vom Verein als Datei exportiert werden (Statistik-CSV/PDF sowie vollständiger Turnier-Export als Archiv/Übertrag); für die Weitergabe exportierter Dateien ist der Verein als Veranstalter verantwortlich. Die Daten werden mit dem Löschen des Turniers vollständig mitgelöscht.
• Orga-Listen für Turniere/Spieltage (Mitbringsel, Dienste/Schichten, Aufgaben): vom Verein angelegter Bedarf sowie freiwillige Selbsteintragungen mit frei wählbarem Anzeigenamen und Menge. Der Anzeigename kann auch Angehörige bezeichnen (z. B. „Familie Müller"); die Eintragung ist freiwillig, erfolgt durch das Vereinsmitglied selbst oder — bei telefonischer Meldung — durch den Trainer, und kann jederzeit selbst ausgetragen bzw. vom Trainer entfernt werden. Die Einträge sind nur für Mitglieder des eigenen Vereins sichtbar und werden mit dem zugehörigen Termin gelöscht.

2.4 Verbandsdaten

• Verbands-Sitzungen (Lehrgänge, Turniere) und Teilnehmerlisten
• Verbandsweite Testergebnisse und RSVP-Status
• Sichtbarkeit von Verbands-Testergebnissen: Vom Verband erfasste Testergebnisse sind zunächst nur für den Verband und den betroffenen Spieler selbst sichtbar. Für die Trainer des Heimatvereins werden sie erst sichtbar, wenn der Verband sie ausdrücklich freigibt; die Freigabe kann der Verband jederzeit wieder zurückziehen.

2.5 Technische Daten

• Browser-Kennung (User-Agent, für Bug-Reports)
• Zeitstempel von Aktionen
• App-Version bei Fehlermeldungen

3. Zweck der Datenverarbeitung

• Bereitstellung der App-Funktionen (Tests erfassen, auswerten, vergleichen)
• Trainingsplanung und -dokumentation für Vereine und Verbände
• Kommunikation zwischen Trainer und Spielern (Einladungen, Ankündigungen)
• Dokumentation und Verlaufsverfolgung von Verletzungen und Rehabilitation
• Fehlerbehebung und App-Verbesserung (Bug-Reports)
• Anmeldung und Authentifizierung der Nutzer

4. Rechtsgrundlagen

4.1 Allgemeine Verarbeitungen

Die Verarbeitung personenbezogener Daten erfolgt auf Grundlage von:

• Art. 6 Abs. 1 lit. b DSGVO – Vertragserfüllung (Bereitstellung der App-Funktionen)
• Art. 6 Abs. 1 lit. a DSGVO – Einwilligung (z. B. optionales Profilfoto)
• Art. 6 Abs. 1 lit. f DSGVO – Berechtigte Interessen (technischer Betrieb, Sicherheit)

4.2 Gesundheitsdaten (Art. 9 DSGVO)

Die Verarbeitung dieser Daten erfolgt auf Grundlage von Art. 9 Abs. 2 lit. a DSGVO (ausdrückliche Einwilligung der betroffenen Person). Vor der Erfassung von Verletzungsdaten bestätigt der Trainer in der App, dass eine entsprechende Einwilligung vorliegt.

4.3 Minderjährige (Art. 8 DSGVO)

Bei Spielern unter 18 Jahren (insbesondere Jahrgangsklassen U13, U15, U17) obliegt die Einholung der erforderlichen Einwilligung der Erziehungsberechtigten dem jeweiligen Verein als datenschutzrechtlich Verantwortlichem. Die App weist Trainer beim Einladen minderjähriger Spieler ausdrücklich auf diese Pflicht hin.

4.4 Rollenverteilung

Für die Verarbeitung von Vereins- und Spielerdaten durch die App agiert Rene Holschuh als Auftragsverarbeiter im Auftrag des jeweiligen Vereins oder Verbandes (Verantwortlicher). Für den Betrieb der eigenen Website holula.de ist Rene Holschuh selbst Verantwortlicher.

5. Auftragsverarbeitung (AVV)

Mit allen Dienstleistern, die personenbezogene Daten in unserem Auftrag verarbeiten, wurden Auftragsverarbeitungsverträge (AVV) gemäß Art. 28 DSGVO abgeschlossen:

• Supabase Inc. – Datenbankbetrieb und Authentifizierung (DPA abgeschlossen)
• Resend Inc. – E-Mail-Versand (DPA abgeschlossen)
• Netlify Inc. – Web-Hosting der App und Landing Page
• Google (Firebase Cloud Messaging) – Zustellung von Push-Benachrichtigungen an die installierte App (nur wenn ein Spieler Push-Benachrichtigungen aktiviert, s. 7.5)
• Anthropic PBC – KI-Textgenerierung für Übungsbeschreibungen (nur wenn der Verein die KI-Funktion aktiviert hat und ein Trainer sie aktiv nutzt, s. 7.6; Datenverarbeitungsvereinbarung Bestandteil der Anthropic Commercial Terms)

6. Datenspeicherung und Sicherheit

Alle Daten werden in der Datenbank von Supabase Inc. (PostgreSQL) gespeichert. Der verwendete Server-Standort ist EU Frankfurt (Deutschland) – damit ist die Speicherung innerhalb der EU.

Der Zugriff auf Daten wird durch Row-Level Security (RLS) in der Datenbank geschützt: Jeder Nutzer sieht ausschließlich Daten seines eigenen Vereins. Passwörter werden nicht im Klartext gespeichert.

7. Drittanbieter und Datenübermittlungen

7.1 Resend (E-Mail-Versand, USA)

Für den Versand von Spieler-Einladungen und Trainingsplänen per E-Mail nutzen wir Resend Inc. (USA). Übermittelt werden ausschließlich Name und E-Mail-Adresse des Empfängers.

7.2 Netlify (Web-Hosting, USA)

Die App und Landing Page werden über Netlify Inc. (USA) gehostet. Netlify kann technische Zugriffsdaten (IP-Adresse, Zeitstempel) speichern. Die Übermittlung erfolgt auf Grundlage von SCCs und der Zertifizierung nach dem EU-U.S. Data Privacy Framework.

7.2a E-Mail-Empfang (Cloudflare Email Routing / Google)

E-Mails an info@holula.de (z. B. Anfragen und Betroffenenrechte-Ausübung) werden über Cloudflare Email Routing (Cloudflare Inc., USA) an ein Postfach bei Google (Gmail, Google Ireland Ltd. / Google LLC) weitergeleitet und dort verarbeitet. Beide Anbieter stützen Drittlandübermittlungen auf das EU-U.S. Data Privacy Framework bzw. Standardvertragsklauseln. Bitte sende uns per unverschlüsselter E-Mail keine besonders sensiblen Informationen (z. B. Gesundheitsdaten).

7.2b Externe Skript-Bibliothek bei Texterkennung (unpkg-CDN)

Schriften und Programmbibliotheken der App werden grundsätzlich selbst gehostet — beim normalen Betrieb werden keine Inhalte von Dritt-CDNs geladen. Einzige Ausnahme: Nutzt ein Trainer die optionale Texterkennung (OCR) beim Trainingsplan-PDF-Import, wird die Bibliothek Tesseract.js zur Laufzeit vom CDN unpkg.com (Cloudflare Inc., USA) geladen; dabei wird die IP-Adresse des Nutzers an das CDN übermittelt. Rechtsgrundlage: Art. 6 Abs. 1 lit. b/f DSGVO (Bereitstellung der aktiv angeforderten Funktion).

7.3 Apple (TestFlight / App Store)

Die iOS-App wird über Apple TestFlight und den Apple App Store vertrieben. Apple erhält dabei technische Daten gemäß seiner eigenen Datenschutzrichtlinie.

7.4 Google (Google Play Store)

Die Android-App wird über den Google Play Store vertrieben. Google erhält dabei technische Daten (z. B. Geräteinformationen, Installationsstatistiken) gemäß seiner eigenen Datenschutzrichtlinie.

7.5 Push-Benachrichtigungen (Firebase Cloud Messaging, USA)

Aktiviert ein Spieler in der installierten App Push-Benachrichtigungen (freiwillig, standardmäßig aus), wird für die Zustellung von Vereins-Benachrichtigungen (z. B. neue Ankündigungen des Trainers) Firebase Cloud Messaging von Google (Google Ireland Ltd. / Google LLC, USA) genutzt. Dabei wird ein gerätebezogenes Push-Token (pseudonymer Geräte-Identifikator) erzeugt, dem Spieler-Account zugeordnet und über den Zustelldienst verarbeitet. Übermittelt werden ausschließlich der Titel und Kurztext der Benachrichtigung sowie eine interne Kennung — keine Testwerte oder Gesundheitsdaten. Rechtsgrundlage ist die Einwilligung des Nutzers (Art. 6 Abs. 1 lit. a DSGVO), die jederzeit durch Ausschalten des Schalters in der App oder in den Geräteeinstellungen widerrufen werden kann; das Push-Token wird dann gelöscht. Die Drittlandübermittlung stützt sich auf das EU-U.S. Data Privacy Framework bzw. Standardvertragsklauseln.

7.6 KI-Textgenerierung für Übungsbeschreibungen (Anthropic, USA)

Trainer können sich optional eine Übungsbeschreibung aus einer Taktik-Skizze vorschlagen lassen („Text aus Skizze"). Diese Funktion steht nur zur Verfügung, wenn der Verein sie ausdrücklich aktiviert hat (standardmäßig aus), und wird je Übung aktiv vom Trainer ausgelöst. Dabei werden eine automatisch erzeugte, sachliche Beschreibung der Skizze (Symbole, Linien, Positionen), die wörtlichen Beschriftungen der Skizze sowie optionale Kurzantworten des Trainers an die KI-Schnittstelle von Anthropic PBC (USA, Modell „Claude") übermittelt. Es werden keine Spielerdaten, Testwerte oder Gesundheitsdaten übertragen; Trainer werden vor dem Absenden darauf hingewiesen, in Skizzen-Beschriftungen keine Klarnamen zu verwenden. Anthropic verwendet die über die API übermittelten Inhalte nicht zum Training seiner KI-Modelle. Rechtsgrundlage: Art. 6 Abs. 1 lit. b/f DSGVO (Bereitstellung der aktiv angeforderten Funktion). Die Drittlandübermittlung stützt sich auf Standardvertragsklauseln (SCCs, Art. 46 Abs. 2 lit. c DSGVO).

8. Cookies und lokale Speicherung

HOLULA APEX setzt keine Tracking-Cookies und verwendet kein Analytics. Es werden ausschließlich technisch notwendige Daten im Browser gespeichert:

• sessionStorage – Temporäre Sitzungsdaten (z. B. Admin-Schlüssel für Verwaltungsaktionen). Diese Daten werden beim Schließen des Browsers automatisch gelöscht.
• localStorage – Einzelne UI-Einstellungen (z. B. „Hinweis nicht mehr anzeigen", der An/Aus-Zustand der Push-Benachrichtigungen) sowie ein lokaler Erfassungs-Puffer der Test-Schnelleingabe: Noch nicht gespeicherte Testeingaben (Spieler-Kennung und Messwert) werden auf dem Gerät zwischengespeichert, damit bei Verbindungsabbruch keine Eingaben verloren gehen. Dieser Puffer verlässt das Gerät nicht und wird nach erfolgreichem Speichern, beim Abmelden sowie spätestens nach 24 Stunden automatisch entfernt.

9. Speicherdauer und Löschfristen

Personenbezogene Daten werden nur so lange gespeichert, wie es für den jeweiligen Zweck erforderlich ist:

• Spieler-Stammdaten und Testergebnisse: Für die Dauer der aktiven Vereinsmitgliedschaft. Nach Beendigung des Nutzungsvertrags auf schriftliche Anforderung des Vereins.
• Gesundheitsdaten (Verletzungshistorie): Für die Dauer der aktiven Vereinszugehörigkeit des Spielers, längstens bis zur Löschung durch den Verein.
• Push-Token (Geräte-Kennung): Bis zum Abmelden, zur Deaktivierung der Push-Benachrichtigungen oder zur Kontolöschung; ungültige Tokens (App deinstalliert) werden beim nächsten Versand automatisch entfernt.
• Login-Protokolle: 90 Tage.
• Bug-Reports und Fehlerlogs: 12 Monate.
• Backups: Werden durch den Verein selbst verwaltet und können jederzeit gelöscht werden.

Vereine können ihre Daten über die integrierte Backup/Export-Funktion sichern und jederzeit die vollständige Löschung aller Vereinsdaten per E-Mail an info@holula.de beantragen.

Spieler-Konto selbst löschen: Spielerinnen und Spieler mit eigenem Login können ihr Konto jederzeit direkt in der App löschen (Meine Daten → „Konto & Rechtliches" → „Konto löschen"). Dabei werden der Login-Zugang und das Nutzerprofil dauerhaft entfernt. Die sportbezogenen Daten (Testwerte, Anwesenheiten) verbleiben beim Verein als Verantwortlichem; ihre Löschung kann beim Verein beantragt werden.

10. Rechte der betroffenen Personen

Gemäß DSGVO haben Sie folgende Rechte gegenüber dem Verantwortlichen:

• Auskunft (Art. 15 DSGVO) – Welche Daten über Sie gespeichert sind
• Berichtigung (Art. 16 DSGVO) – Korrektur unrichtiger Daten
• Löschung (Art. 17 DSGVO) – „Recht auf Vergessenwerden"
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruch (Art. 21 DSGVO)
• Widerruf einer Einwilligung (Art. 7 Abs. 3 DSGVO) – Jederzeit mit Wirkung für die Zukunft

Zur Ausübung Ihrer Rechte wenden Sie sich bitte per E-Mail an info@holula.de. Wir bemühen uns um eine Antwort innerhalb von 30 Tagen.

Sie haben außerdem das Recht, sich bei der zuständigen Datenschutz-Aufsichtsbehörde zu beschweren:

11. Haftungshinweis Leistungsdiagnostik

HOLULA APEX ist ein Dokumentations- und Auswertungswerkzeug für sportliche Leistungstests. Die App liefert keine medizinischen Diagnosen und ersetzt keine ärztliche oder therapeutische Beurteilung. Die Interpretation von Messwerten sowie Entscheidungen über Training, Belastungssteuerung und Verletzungsrückkehr obliegen ausschließlich qualifizierten Fachkräften.

12. Änderungen dieser Datenschutzerklärung

Diese Datenschutzerklärung wird bei wesentlichen Änderungen der App oder der Rechtslage aktualisiert. Das Datum unter „Stand" gibt die Version an. Für registrierte Nutzer werden wesentliche Änderungen per E-Mail angekündigt.

13. Kontakt