Datenschutzerklärung

3.1 Konto und Anmeldung (oarbit)

Name, Geburtsdatum, E-Mail-Adresse (falls du eine hast). Anmelde-Codes, Anmelde-Links und Sitzungen speichert oarbit nur als Hash, nie im Klartext. Je angemeldetem Gerät speichert oarbit Gerätetyp, Gerätenamen, seit wann und wann zuletzt es benutzt wurde, und wie es dazukam (E-Mail-Code oder „Handy einrichten“, dann von wem). Bei einer Anmeldung im Browser steht dazu der Merker „Web“.

• Wofür: damit du dich anmelden kannst und dein Konto sicher bleibt. Das Geburtsdatum steuert die Altersregeln: wer einwilligt, was Eltern sehen, ob du das Web nutzen kannst.
• App und Web: Ein eigenes Konto legst du in der App ab 16 selbst an, mit 13 bis 15 nur mit deinen Eltern (Abschnitt 2). Die Registrierung im Web (app.oarbit.de) ist erst ab 18 möglich, und das Web zeigt Inhalte nur Erwachsenen mit einer Rolle als Trainer:in, Admin oder Elternteil. Jüngere sehen im Web nur den Hinweis auf die App, „Hilfe & Melden“ und „Abmelden“.
• Anmelde-Link: Die Mail mit dem Code enthält auch einen Knopf „In oarbit anmelden“. Er führt auf eine Seite von oarbit, die nur die App öffnet; sie zeigt weder Code noch Adresse oder Namen und wird nicht von Suchmaschinen erfasst. Damit der Link nur in der App wirkt, in der du die Anmeldung gestartet hast, erzeugt die App einen geheimen Zufallswert; oarbit bekommt davon nur einen Hash. Auf deinem Handy liegen dafür 11 Minuten lang der Zufallswert, deine Adresse und der Startzeitpunkt im Schlüsselbund, nur auf diesem Gerät und nicht im Backup. Code und Link gelten 10 Minuten und nur einmal; oarbit löscht sie spätestens nach einem Tag.
• Mehrere Konten, eine Adresse: Viele Jugendliche nutzen die Adresse ihrer Eltern. Wer Zugriff auf die Adresse hat, kann jedes Konto öffnen, das zu ihr gehört. Die App weist beim Anmelden darauf hin. Gib Codes und Links nie weiter, oarbit fragt nie danach.
• Speichern auf deinem Gerät: Dass die App Anmelde-Schlüssel im Schlüsselbund deines Geräts und, nach deiner Erlaubnis, eine Push-Kennung ablegt, ist für die von dir gewünschten Dienste unbedingt erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG).
• Keine Anmeldung über Apple, Google, SMS oder WhatsApp. Du bleibst angemeldet, bis du dich abmeldest oder ein halbes Jahr lang die App nicht öffnest.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Nutzungsvertrag), lit. f (Sicherheit).

3.2 Umzug von der alten Web-App (oarbit)

Bis zum 26. Oktober 2026 lief auf oarbit.de eine ältere Web-App mit Benutzername und Passwort. Ihre Konten und Vereinsdaten sind in das neue oarbit umgezogen, neu angelegt wurde nichts.

• Konto abholen: Du gibst deine Adresse ein, bekommst einen Code und gibst einmal dein bisheriges Passwort ein. oarbit prüft es und löscht danach den gespeicherten Passwort-Hash. Danach meldest du dich nur noch mit Code an. Die alte Web-App hat Adressen nie geprüft; deshalb reicht der Code allein nicht.
• Passwort vergessen: Dann bestätigt eine volljährige Admin-Person deines Vereins, dass das Konto dir gehört. Sie sieht dabei deinen Namen, einen Teil deiner Adresse und eine kurze Nummer, die du ihr vorlesen kannst. Nie bestätigst du dich selbst. Kann im Verein niemand bestätigen, prüft oarbit selbst.
• Minderjährige: Auch mit 13 bis 15 kannst du ein altes Konto noch allein übernehmen; wir bitten deine Eltern danach in der App, sich zu verknüpfen. Eine bestätigte Übernahme erfährt zusätzlich eine zweite erwachsene Person aus dem Verein. Sie kann die Übernahme 48 Stunden lang stoppen; erst danach kannst du sie abschließen. Minderjährige behalten keine Rolle als Trainer:in oder Admin aus der alten Web-App.
• Unter 13 (laut Geburtsdatum): Das Konto ruht mit allen Daten, bis du 13 bist oder deine Eltern dich verwalten können.
• Konto ohne Adresse: Du meldest dich mit Benutzername und Passwort an und trägst eine eigene Adresse ein, die du mit einem Code bestätigst. Danach bestätigt eine Admin-Person des Vereins oder oarbit. Die Admins und die Ansprechperson deines Vereins erfahren von der Übernahme.
• „Das bin nicht ich“: Zeigt dir oarbit nach dem Code ein altes Konto, das nicht deins ist, löst du es von deiner Adresse. Seine Daten bleiben.
• Hinweis-Mail: Beim Umzug hat oarbit an jede Adresse, die an einem alten Konto stand, eine kurze Mail geschickt, ohne Namen, ohne Verein und ohne Anmelde-Link.
• Was nicht mitkommt: dein Passwort (nach dem Abholen gelöscht), Web-Push-Abos, Links zum Zurücksetzen des Passworts, das alte Kalender-Abo, Tarife und Zahlungsdaten.
• Was bleibt, aber nicht mehr zu sehen ist: Fahrtenbuch, Boote, Schadensmeldungen und KI-Nutzung aus der alten Web-App. Sie stehen nur noch in deinem Datenexport und verschwinden mit deinem Konto. Den alten Wellness-Check-in gibt es nicht mehr; die alten Wellness-Werte hat oarbit vollständig gelöscht.
• Nicht abgeholte Konten bleiben mit ihren Daten gespeichert. Die Admins deines Vereins sehen „noch nicht übernommen“.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (dein Konto weiterführen), lit. f (Schutz vor fremder Übernahme, Information über den Umzug).

3.3 Handy einrichten per Code, ohne eigene E-Mail-Adresse (oarbit)

• Wer: Mitglieder ohne eigene Adresse. Solche Konten legt der Verein an, mit 13 bis 15 gibt es die Anmeldung nur über die Eltern. Unter 16 erzeugt ein verknüpftes Elternteil in der App einen Code; ohne verknüpfte Eltern gibt es unter 16 kein neues eigenes Handy. Ab 16 erzeugt eine Admin-Person den Code oder jemand, dem sie dieses Recht gegeben hat. Der Code gilt 10 Minuten und nur einmal, als QR-Code und als Kurzcode. Gespeichert wird nur ein Hash, wer ihn erzeugt hat, für wen und wann er eingelöst wurde.
• Wer davon erfährt: du auf deinen anderen Geräten. Solange du minderjährig bist, auch deine verknüpften Eltern und, wenn der Verein den Code erzeugt hat, die übrigen Admins und die Ansprechperson für Jugendschutz (ohne deinen Namen in der Mitteilung). Im Protokoll steht, wer wann einen Code erzeugt und welches Gerät damit eingerichtet wurde.
• Deine Geräte siehst du unter Du → Angemeldete Handys, mit „eingerichtet von …“, und kannst jedes abmelden. Unter 16 sehen und beenden das auch deine Eltern, bei Konten ohne eigene Adresse auch die Admins deines Vereins. Verliert, wer ein Gerät eingerichtet hat, das Recht dazu, wird das Gerät abgemeldet.
• Eigene Adresse später: Fügst du auf einem solchen Handy eine Adresse hinzu, erfahren deine Eltern (solange du minderjährig bist) und die Admins deines Vereins davon, die Admins ohne deinen Namen.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Nutzungsvertrag), lit. f (Sicherheit, Protokoll). Speicherdauer: der Code höchstens einen Tag; das Gerät, bis es abgemeldet ist oder die Anmeldung abläuft.

3.4 Verein: Mitgliedschaft, Termine, Zusagen, Infos, Dateien (Verein)

• Daten: Mitgliedschaft, Rollen, Gruppen, Termine, deine Zusage (ja oder nein, ohne Grund), Anwesenheit, Infos und Dateien des Vereins; bei Eltern, wessen Elternteil sie sind (vom Verein bestätigt).
• „Teilnahme wird erwartet“: Stellt das Trainerteam deiner Gruppe das für Trainings ein, giltst du als dabei, bis du absagst. Gespeichert wird nur deine Absage oder dein „doch dabei“.
• Leitung: Wer ein Training leitet, gilt als zugesagt. Sagt die Leitung ab, erfährt das übrige Trainerteam, dass das Training keine Leitung mehr hat.
• Kalender-Abo: Wenn du es einrichtest, ruft dein Kalenderprogramm deine Termine über einen persönlichen Link ab. oarbit speichert davon nur einen Hash; ein neuer Link macht den alten ungültig.
• Wofür: Organisation von Training, Regatten und Vereinsleben. Rechtsgrundlage: Art. 6 Abs. 1 lit. b und f DSGVO (Mitgliedschaft im Verein). Dafür braucht es keine Einwilligung.
• Speicherdauer: solange der Verein den Termin führt; wenn du dein Konto löschst, wird deine Anwesenheit anonymisiert.

3.5 Training und Concept2 (Verein)

• Daten: geplante Einheiten, deine Nachweise (Dauer, Strecke, Split, Schlagzahl), Bestzeiten, Feedback deines Trainerteams.
• Wofür: Trainingsplanung und dein eigener Überblick. Bestzeiten nur im Vergleich mit dir selbst, keine Ranglisten.
• Concept2: Du kannst dein Concept2-Logbook freiwillig verbinden. oarbit liest nur deine Ergebnisse, nicht dein Profil: Art, Zeitpunkt, Dauer, Strecke und Schlagzahl, die Herzfrequenz nur mit deiner Einwilligung „Belastung“. Keine Kommentare und keine Ergebnisse, die du dort privat gestellt hast. Die Zugangsdaten speichert oarbit verschlüsselt, dazu die Nummer deines Concept2-Kontos. Löschst du ein übernommenes Ergebnis in oarbit, merkt sich oarbit zwei Jahre lang nur dessen Nummer, damit es nicht zurückkommt. Trennen kannst du jederzeit; übernommene Nachweise bleiben, bis du sie löschst. Den Zugang für oarbit entfernst du zusätzlich in deinem Concept2-Konto.
• Wer deine Nachweise sieht: du und das Trainerteam deiner Gruppen. Admins sehen sie nur, wenn sie selbst zum Trainerteam deiner Gruppe gehören. Trainer:in kann auch sein, wer noch minderjährig ist. Deine Eltern sehen sie nach der Altersregel in Abschnitt 2. Nachweise ohne Verein sieht nur du.
• Notiz: Schreib dort keine Krankheiten oder Verletzungen hinein, das besprichst du direkt mit deinem Trainerteam.
• Archiv und Umbenennen: Einträge kannst du umbenennen oder ins Archiv legen. Das Archiv blendet sie nur für dich aus; Trainerteam, Eltern (nach den Regeln oben) und Statistik sehen sie weiter.
• Statistik: Anwesenheit und Umfang aus deinen Nachweisen (Trainings, Minuten, Meter je Woche). Deine eigene siehst du; Trainer:innen sehen die ihrer Gruppen, Admins die des Vereins. Eltern sehen keine Statistik. Keine Ranglisten.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b und f DSGVO. Speicherdauer: zwei Jahre nach dem Training, oder bis du sie löschst.

3.6 Garmin-Uhr (oarbit)

Mit der oarbit-App auf deiner Garmin-Uhr zeichnest du eine Ruderfahrt auf. Die Daten gehen an oarbit, nicht an Garmin.

• Was die Uhr misst: Position per GPS (für Strecke, Tempo und Split), Puls vom Handgelenk und Armbewegung (für die Schlagfrequenz). Am Ergometer (Concept2 PM5) liest die Uhr per ANT+ Zeit, Strecke, Schlagfrequenz und Leistung vom Monitor, ohne GPS. Rohdaten der Sensoren speichert und sendet die App nicht.
• Was an oarbit geht, nur wenn du die Uhr mit deinem Konto verbunden hast: je Fahrt Beginn, Dauer, Strecke, Schlagfrequenz (Durchschnitt, Höchstwert, Zahl der Schläge), Splits je 500 m, Uhrmodell, Version der App und eine Nummer der Fahrt. Die Strecke geht als vereinfachte Linie (etwa 5 Meter genau), nie live und nie als einzelne Positionen, erst wenn du die Fahrt sicherst. Der Puls (Durchschnitt, Höchstwert, je Split) geht nur mit deiner Einwilligung „Belastung“; sonst schickt die Uhr keinen, und oarbit löscht ihn, falls doch einer ankommt.
• Wer die Strecke sieht: du und dein Trainerteam; deine Eltern nur, soweit sie auch deine anderen Trainingsdaten sehen (Abschnitt 2); deine Gruppe nie.
• Garmin: Die Uhr schickt die Fahrten über die App Garmin Connect auf deinem Handy an oarbit. Dort speichert deine Uhr die Fahrt wie jede Aktivität in deinem Garmin-Konto; dafür ist Garmin verantwortlich, es gilt die Datenschutzerklärung von Garmin. oarbit bekommt von Garmin nichts.
• Verbinden: Die Uhr zeigt einen Code aus sechs Zeichen (gilt zehn Minuten), den du in der App eingibst. Danach hat die Uhr einen eigenen Schlüssel; oarbit speichert Modell, Zeitpunkte und einen Prüfwert des Schlüssels, keine Seriennummer und keine Kennung von Garmin. Auf der Uhr liegen dein Vorname, der Schlüssel und höchstens 20 noch nicht gesendete Fahrten. Bei jeder neu verbundenen Uhr bekommst du eine Mitteilung.
• Alter: Eine Uhr gibt es für Sportler:innen ab dem Kalenderjahr, in dem sie 15 werden. Unter 16 und bei unbekanntem Alter gibt ein Elternteil die Uhr in der App frei und kann dabei die Einwilligung „Belastung“ erteilen (mit 14 und 15 zusammen mit dir). Ab 16 entscheidest du allein; deine Eltern sehen deine Uhr dann nicht.
• Trennen: jederzeit auf der Uhr („Von oarbit trennen“) oder in der App unter Du → Uhr & Dienste → Garmin-Uhr. Die Uhr vergisst Schlüssel, Vornamen und wartende Fahrten; oarbit macht den Schlüssel ungültig. Fahrten, die schon bei oarbit sind, bleiben, bis du sie löschst.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Fahrten, Strecke, Verbindung der Uhr); Puls: Art. 9 Abs. 2 lit. a (Einwilligung).
• Speicherdauer: Fahrten samt Strecke zwei Jahre nach dem Training oder bis du sie löschst. Eine gelöschte Fahrt merkt sich oarbit zwei Jahre lang (nur die Nummer). Ein Uhr-Schlüssel, den 180 Tage niemand nutzt, gilt nicht mehr; getrennte Uhren löscht oarbit nach 90 Tagen, Codes nach einem Tag.

3.7 Herzfrequenz und Belastungsempfinden (Verein)

• Das sind Gesundheitsdaten nach Art. 9 DSGVO. Nur mit ausdrücklicher Einwilligung (Art. 9 Abs. 2 lit. a): unter 14 die deiner Eltern, mit 14 und 15 die deiner Eltern und deine, ab 16 deine. Jederzeit widerrufbar.
• Sichtbar für dich und alle Trainer:innen deiner Gruppen, auch wenn sie selbst noch minderjährig sind. Andere Sportler:innen ohne Trainerrolle, deine Eltern und die Assistenz sehen sie nie.
• Endet die Einwilligung (Widerruf, Austritt, eine neue Altersstufe ohne neue Einwilligung), löscht oarbit die Werte, beim Widerruf sofort, sonst spätestens nach einer Stunde.

3.8 Videos (Verein)

• Daten: das Video (aus der Mediathek, die App nimmt nicht selbst auf), ein Vorschaubild, das der Server daraus erzeugt, Titel, Termin, wer es wann hochgeladen hat; im Protokoll jedes Abspielen mit Person und Zeitpunkt. Keine Markierung von Personen, keine Kommentare, keine Likes, keine Zähler, keine automatische Analyse.
• Wofür: Technikschulung.
• Wer hochlädt: nur das Trainerteam des Termins (wer das Recht für Videos hat), nie die Assistenz, nie Sportler:innen oder Eltern. Hat dein Verein den Führungszeugnis-Vermerk eingeschaltet (Abschnitt 2), ist in der Gruppe jemand minderjährig und fehlt der Vermerk, geht der Upload nicht. Bei jedem Upload bestätigt die hochladende Person, dass nur Personen erkennbar sind, die in „Fotos und Videos“ eingewilligt haben; die App zeigt ihr, wer in der Gruppe keine Einwilligung hat.
• Einwilligung „Fotos und Videos“ (Art. 6 Abs. 1 lit. a DSGVO): unter 14 die deiner Eltern, von 14 bis 17 die deiner Eltern und deine, ab 18 deine.
• Widerruf: Widerrufst du die Einwilligung „Fotos und Videos“ (Du → Einwilligungen), darf dein Trainerteam keine neuen Aufnahmen von dir machen. Bestehende Videos, auf denen du zu sehen bist, lässt du von der Ansprechperson für Jugendschutz deines Vereins entfernen; sie entfernt sie ohne Verzögerung, spätestens binnen 14 Tagen. Auch wenn du dein Konto löschst, sprich die Ansprechperson an, damit sie Videos mit dir entfernt.
• Sichtbar vorerst nur für das Trainerteam und die Ansprechperson für Jugendschutz. Die Ansprechperson sieht alle Videos des Vereins und kann sie entfernen. Die Gruppe, die Person im Video selbst und die Eltern sehen Videos in oarbit nicht. Andere Vereine sehen nichts. Abgespielt wird nur über kurzlebige Links nach einer Rechteprüfung.
• Melden: An jedem Video steht „Video melden“ (Abschnitt 3.14).
• Löschen: wer das Video hochgeladen hat (solange im Trainerteam), die Admins des Vereins und die Ansprechperson für Jugendschutz. Mit dem Termin oder dem Verein verschwinden auch die Videos.
• Videos aus der alten Web-App sind in den privaten Speicher umgezogen. Sie gehören dem Verein ohne Termin und sind nur für das Trainerteam und die Ansprechperson sichtbar.
• Speicherdauer: bis jemand das Video löscht. Der Verein prüft einmal im Jahr, ob alte Videos noch gebraucht werden. Videos von Personen, die den Verein verlassen, entfernt die Ansprechperson innerhalb von drei Monaten.
• Auskunft: Wenn du wissen willst, ob und in welchen Videos du zu sehen bist, wende dich an die Ansprechperson für Jugendschutz deines Vereins. Sie gibt dir Einsicht (Art. 15 DSGVO), soweit nicht Rechte anderer Personen im Video entgegenstehen. Im Datenexport stehen Videos nicht.

3.9 Profilbild (oarbit)

• Avatar für alle: ein Motiv und eine Farbe aus einem festen Katalog; gespeichert sind nur zwei Zahlen.
• Foto erst ab 14. Mit 14 und 15 stimmen deine Eltern einmal zu; ab 16 entscheidest du allein. Der Server verkleinert das Foto und entfernt alle Metadaten, auch GPS. Sehen können es nur Personen aus deinem Verein und deine Eltern, nie öffentlich.
• Entfernen: du jederzeit; die Admins deines Vereins; deine Eltern, solange du 14 bis 17 bist. Ein Profilbild kann man melden.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung).

3.10 Regatten (oarbit und Verein)

• oarbit liest Regatten, Zeitpläne, Läufe und Ergebnisse aus öffentlichen Quellen (DRV-Meldeportal, regattaergebnis.info, Time-Team). Die Veranstalter veröffentlichen dort Meldelisten mit Namen und Jahrgang. Mehr dazu in Abschnitt 8.
• Regatten im Verein: Eine Regatta ist ein Termin des Vereins (Treffpunkt, Abfahrt, Rückkehr, Meldeschluss). Das Trainerteam ordnet Mitglieder ihren Rennen zu („Deine Rennen“). Gemeldet wird weiter beim Veranstalter. Du siehst deine Rennen, deine Eltern die ihres Kindes. Namen von Mitruderer:innen zeigt oarbit nur, solange sie im selben Verein sind. Die Mannschaftsnamen aus den öffentlichen Quellen, darunter oft Minderjährige aus anderen Vereinen, zeigt oarbit nicht. Öffentlich, ohne Konto, gibt es nur Regatten und Vereine, keine Namen von Personen. Es gibt keine Personenseiten und keine Suche nach Namen.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Unser Interesse: Ruder:innen, Eltern und Vereinen die Regatta übersichtlich zeigen.

3.11 E-Mail-Adressen zum Anmelden (oarbit)

• Daten: die Adressen, mit denen sich dein Konto per Code öffnen lässt; ob eine Adresse auch andere Konten öffnet oder früher geöffnet hat.
• Wofür: Du kannst eine eigene Adresse hinzufügen und eine geteilte entfernen. Eine Adresse, die mehrere Konten geöffnet hat, zählt für den Jugendschutz weiter als geteilt: Wer das Postfach kennt, käme sonst in die übrigen Konten.
• Speicherdauer: die Adressen bis zum Entfernen oder zur Löschung des Kontos. Für früher geteilte Adressen speichert oarbit unbefristet nur eine Kennung (HMAC), aus der sich die Adresse nicht zurückrechnen lässt, damit sie beim erneuten Eintragen wieder als geteilt gilt. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.

3.12 Mitteilungen aufs Handy (oarbit)

• Daten: eine Kennung deines Geräts, die Apple (Apple Push Notification Service, APNs) vergibt, verbunden mit deiner Anmeldung auf diesem Gerät; Titel und Text der Mitteilungen an dich. Titel und Text gehen zur Zustellung an Apple.
• Android: Die Android-App bekommt zurzeit noch keine Mitteilungen. Kommen sie, läuft die Zustellung über Google (Firebase Cloud Messaging), und wir ergänzen diese Erklärung vorher.
• Wofür: Mitteilungen zu Terminen, Zusagen, Absagen, Infos, Beitritten, Rennen, Videos. Du stellst in der App ein, welche du bekommst, und kannst sie in den Einstellungen deines Telefons ganz abschalten. Hinweise zu Eltern-Verknüpfungen und zum Jugendschutz lassen sich in der App nicht ausschalten, weil sie dich schützen.
• Mitteilungen enthalten keine Gesundheitsdaten und keine Namen anderer Kinder. Mitteilungen zum Jugendschutz nennen weder Namen noch Inhalt.
• Im Web gibt es keine Push-Mitteilungen. Die Browser-Mitteilungen der alten Web-App sind entfallen.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO; die Erlaubnis gibst du deinem Telefon. Speicherdauer: die Gerätekennung, bis du dich abmeldest oder deine Anmeldung abläuft. Titel und Text einer Mitteilung sieben Tage nach dem Versand, danach nur noch eine Kennung ohne Inhalt, damit nichts doppelt ankommt, für 90 Tage.

3.13 Absturzberichte

Die App schickt keine eigenen Absturzberichte und enthält keine Analyse-Werkzeuge. Hast du auf deinem Handy erlaubt, Analysedaten mit App-Entwicklern zu teilen, bekommt oarbit von Apple bzw. Google Absturzberichte ohne Namen (Gerät, Systemversion, Stelle im Code). Dafür ist Apple bzw. Google verantwortlich.

3.14 Hilfe & Melden (Verein)

• Was: „Etwas melden“, „Video melden“, „Profilbild melden“ und „Nachricht schreiben“ an eine Vertrauensperson deines Vereins, in App und Web. Es gibt keine Direktnachrichten zwischen Mitgliedern; eine Meldung geht nur in eine Richtung.
• Wer liest: nur die Person, die du auswählst (Ansprechperson für Jugendschutz oder eine Admin-Person), und nur, solange sie Vertrauensperson ist. Fällt sie weg, geht die Meldung nicht an andere Admins, sondern du wählst neu. Die gemeldete Person sieht Meldungen nie. Auf Wunsch meldest du ohne Namen.
• Daten: dein Text, worum es geht (zum Beispiel welches Video), Zeitpunkt, an wen; dein Name nur, wenn du ihn mitschickst.
• Meine Meldungen: Hast du mit deinem Namen gemeldet, siehst du unter „Meine Meldungen“ in deinem Konto, ob die Meldung eingegangen ist, bearbeitet wird oder erledigt ist, auf jedem Gerät gleich. Die Liste steht auch in deinem Datenexport. Den Text, die Empfängerperson und die gemeldete Person zeigt sie nicht. Anonyme Meldungen stehen nie im Konto; ihren Stand siehst du nur auf dem Gerät, mit dem du gemeldet hast (oarbit speichert dafür nur einen Hash).
• oarbit selbst liest Meldungen im Normalfall nicht.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Schreibst du Angaben zu deiner Gesundheit oder deinem Sexualleben in eine Meldung, willigst du mit dem Absenden ausdrücklich ein (Art. 9 Abs. 2 lit. a DSGVO). Du kannst die Einwilligung widerrufen; dann löscht die Ansprechperson den Text. Speicherdauer: erledigte Meldungen 12 Monate, Meldungen ohne Empfänger:in 6 Monate.

3.15 Daten exportieren und Konto löschen (oarbit)

• Exportieren: In der App unter Du → Daten exportieren bekommst du alles, was oarbit über dich gespeichert hat, als Datei (Art. 15 und 20 DSGVO). Zugangsdaten zu Concept2 und Uhr-Schlüssel stehen nicht darin.
• Löschen: Du → Konto → Konto löschen. Alle Anmeldungen enden sofort. 14 Tage lang kannst du dich wieder anmelden und das Konto behalten (eine Adresse teilen sich oft Eltern und Kind); danach löscht oarbit das Konto. Eltern können die Löschung des Kontos ihres Kindes auch per E-Mail an fabio@oarbit.de verlangen; oarbit sperrt das Konto dann sofort und löscht es nach 14 Tagen, wenn die Eltern es nicht vorher zurücknehmen. Anwesenheiten werden anonymisiert, Dateien, die du hochgeladen hast, bleiben ohne deinen Namen beim Verein.

3.16 Künstliche Intelligenz

oarbit nutzt in den Apps und im Web zurzeit keine künstliche Intelligenz. Es gehen keine Daten an KI-Anbieter. Falls wir später KI-Funktionen einführen, nennen wir hier vorher, was geschieht, an wen Daten gehen und auf welcher Grundlage, und die App sagt es dir. Ergebnisse einer KI wären immer Vorschläge; über dich entscheidet kein Programm (Art. 22 DSGVO).

3.17 Website oarbit.de und Web-App app.oarbit.de (oarbit)

• Zwei Adressen: oarbit.de ist die Website (Infos, Hilfe, Rechtstexte, Anfrage für Vereine). Die Web-App läuft unter app.oarbit.de.
• Keine Cookies auf oarbit.de: Die Website setzt keine Cookies, speichert nichts im Browser, zählt keine Besuche und bindet keine Inhalte Dritter ein. Schriften liefert oarbit selbst aus.
• Keine Zugriffsprotokolle auf oarbit.de: Der Server der Website führt keine Zugriffsprotokolle. Die TLS-Verbindung beendet der Proxy davor. Die Server von app.oarbit.de verarbeiten beim Aufruf technisch notwendige Daten (IP-Adresse, Zeitpunkt, aufgerufene Adresse) für die Auslieferung und zur Abwehr von Angriffen und löschen sie nach sieben Tagen. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.
• Anfrage für Vereine auf oarbit.de: Im Formular „Für deinen Verein anfragen“ gibst du Verein, Ort, Name, E-Mail-Adresse, Rolle, Zahl der Rudernden und eine Nachricht an. Diese Angaben gehen an app.oarbit.de. Dort wird nichts gespeichert; der Server schickt die Anfrage per E-Mail an oarbit (Versand über Resend), nur um dir zu antworten. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Anfrage), sonst lit. f. Die Mail löscht oarbit, wenn nach sechs Monaten kein Vertrag zustande gekommen ist. Schreibst du uns stattdessen eine E-Mail, gilt dasselbe.
• Schutz vor Missbrauch: Wenn du einen Code anforderst oder einlöst, ein Konto anlegst oder eine Anmeldung erneuerst, zählt oarbit die Versuche je IP-Adresse (bei Codes auch je Adresse, als Hash) und bremst bei zu vielen. Die Zähler löscht oarbit nach einem Tag. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.
• Anmelde-Cookie in der Web-App: Wenn du dich im Browser auf app.oarbit.de anmeldest, setzt oarbit ein Cookie namens __Host-oarbit. Es enthält nur einen Zufallswert, ist für Skripte nicht lesbar und wird nur verschlüsselt und nur an app.oarbit.de geschickt. oarbit speichert davon nur einen Hash, zusammen mit deiner Anmeldung (Merker „Web“, letzte Nutzung, Ablauf).
  • Laufzeit: 14 Tage ab der letzten Nutzung, höchstens 30 Tage; alle 24 Stunden gibt es einen neuen Wert. Wählst du „Gemeinsam genutzter Rechner“ (zum Beispiel im Bootshaus), endet die Anmeldung, wenn du den Browser schließt, spätestens nach 8 Stunden.
  • Beenden: Abmelden, Konto löschen oder die Adresse entfernen beendet die Anmeldung im Browser wie in der App. Im Profil siehst du alle Anmeldungen und kannst jede beenden.
  • Rechtsgrundlage: Das Cookie ist für die Anmeldung, die du ausdrücklich willst, unbedingt erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG). Deshalb fragt oarbit nicht nach einer Einwilligung und zeigt kein Cookie-Banner. Die Sitzung selbst: Art. 6 Abs. 1 lit. b DSGVO.
• Sonst: keine weiteren Cookies, kein Tracking, keine Analyse. Fotos und Videos lädt dein Browser über kurzlebige, signierte Links direkt aus dem Speicher von oarbit (Abschnitt 5).

3.18 Pflicht zur Angabe und Freiwilligkeit

Name, Geburtsdatum und eine Möglichkeit zur Anmeldung brauchen wir, sonst können wir dir kein Konto geben. Alles andere gibst du freiwillig. Puls, Belastungsempfinden, Videos mit dir und ein Profilfoto nutzen wir nur mit deiner Einwilligung. Sagst du Nein oder widerrufst du, hat das keine Nachteile im Verein und bei oarbit; die übrigen Funktionen funktionieren weiter. Dein Trainerteam und dein Verein dürfen dich nicht zu einer Einwilligung drängen.