Datenschutz­erklärung

Stand: 16. Oktober 2026

1. Datenschutz auf einen Blick

Die folgenden Hinweise geben einen Überblick darüber, was mit Ihren personenbezogenen Daten passiert, wenn Sie unsere Website besuchen, ein Probetraining buchen, unseren KI-Chat-Assistenten nutzen oder Mitglied bei uns werden. Personenbezogene Daten sind alle Daten, mit denen Sie persönlich identifiziert werden können.

Verantwortlich für die Datenverarbeitung auf dieser Website und in unserem Buchungs- und Mitgliederverwaltungssystem ist die Shao Berlin GmbH (Kontakt: Abschnitt 3). Wir verarbeiten Ihre Daten, um Ihre Anfragen zu beantworten, Probetrainings zu organisieren, Mitgliedschaften zu verwalten und — nur mit Ihrer Einwilligung — Sie über Angebote zu informieren.

Neben dieser Website betreiben wir:

• ein Online-Buchungssystem für Probetrainings (erreichbar über os.syndicate-berlin.de, Abschnitt 6),
• einen KI-Chat-Assistenten („Lisa“), der Fragen beantwortet und Termine anbahnt (Abschnitt 5),
• eine interne Interessenten- und Mitgliederverwaltung (Abschnitt 6),
• den Abschluss von Mitgliedsverträgen auf einem Gerät in unseren Räumen, bei dem auch Ihre Unterschrift erfasst wird (Abschnitt 6.3). Verträge können bei uns nicht über das Internet geschlossen werden.

Ihre Rechte (Auskunft, Berichtigung, Löschung, Einschränkung, Widerspruch, Datenübertragbarkeit, Beschwerde) sind in Abschnitt 10 beschrieben.

2. Hosting

2.1 Website (Strato)

Diese Website wird bei der Strato AG, Otto-Ostrowski-Straße 7, 10249 Berlin, gehostet. Beim Besuch der Website erfasst Strato automatisch Server-Logfiles (u. a. IP-Adresse, Datum und Uhrzeit des Zugriffs, aufgerufene Seite, Browsertyp). Die Verarbeitung erfolgt auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt in der sicheren und zuverlässigen Bereitstellung der Website. Mit Strato besteht ein Vertrag über Auftragsverarbeitung (Art. 28 DSGVO). Details: https://www.strato.de/datenschutz/

2.2 Buchungs-Anwendung (Vercel)

Unsere Buchungs- und Verwaltungsanwendung unter os.syndicate-berlin.de wird über Vercel Inc., 440 N Barranca Ave #4133, Covina, CA 91723, USA, ausgeliefert. Vercel verarbeitet dabei technische Zugriffsdaten (IP-Adresse, Zeitpunkt, abgerufene Ressource, User-Agent) in Server-Logs. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (sicherer und performanter Betrieb der Anwendung). Vercel ist unter dem EU-US Data Privacy Framework zertifiziert; die Übermittlung in die USA stützt sich auf den Angemessenheitsbeschluss der EU-Kommission zum DPF, ergänzend gelten die Standardvertragsklauseln aus dem Data Processing Addendum von Vercel.

Die Anwendungsdaten selbst (Buchungen, Interessenten, Mitglieder) liegen nicht bei Vercel, sondern bei Supabase in Frankfurt am Main (Abschnitt 6.2).

2.3 Chat-Endpunkt und Automatisierung (Hostinger / n8n)

Unser Chat-Assistent und interne Abläufe (z. B. Terminereignisse, Erinnerungen) laufen über eine selbst betriebene Automatisierungsplattform (n8n) auf einem Server der Hostinger International Ltd. innerhalb der EU. Wenn Sie das Chat-Fenster auf unserer Website nutzen, kommuniziert Ihr Browser direkt mit diesem Server; dabei fällt technisch Ihre IP-Adresse an. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (Bereitstellung der Chat-Funktion); für die Inhalte des Chats gilt Abschnitt 5.

3. Allgemeine Hinweise und Pflichtinformationen

Verantwortlicher

Shao Berlin GmbH
Chausseestraße 102, 10115 Berlin
vertreten durch den Geschäftsführer Ghassan Awad
Handelsregister: Amtsgericht Charlottenburg, HRB 173618 B
Telefon: (030) 25760759
E-Mail: info@syndicate-berlin.de

Ein Datenschutzbeauftragter ist nicht benannt, da die gesetzlichen Voraussetzungen für eine Benennungspflicht nicht vorliegen. Für alle Datenschutzanliegen erreichen Sie uns unter den oben genannten Kontaktdaten.

Rechtsgrundlagen

Wir verarbeiten personenbezogene Daten nur, wenn eine Rechtsgrundlage dies erlaubt: Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, bei Kindern i. V. m. Art. 8 DSGVO), die Erfüllung eines Vertrags oder vorvertraglicher Maßnahmen (Art. 6 Abs. 1 lit. b DSGVO), eine rechtliche Verpflichtung (Art. 6 Abs. 1 lit. c DSGVO) oder unser berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO). Beim Zugriff auf Informationen in Ihrem Endgerät gilt zusätzlich § 25 TDDDG. Die jeweils einschlägige Rechtsgrundlage nennen wir bei der einzelnen Verarbeitung.

Speicherdauer

Soweit in dieser Erklärung keine speziellere Frist genannt ist, verbleiben Ihre Daten bei uns, bis der Zweck der Verarbeitung entfällt. Machen Sie ein berechtigtes Löschverlangen geltend oder widerrufen Sie eine Einwilligung, werden Ihre Daten gelöscht, sofern keine gesetzlichen Aufbewahrungspflichten (insbesondere §§ 147 AO, 257 HGB) entgegenstehen; in letzterem Fall erfolgt die Löschung nach Fortfall dieser Gründe. Eine Übersicht der konkreten Fristen enthält Abschnitt 9.

SSL/TLS-Verschlüsselung

Diese Website und die Buchungsanwendung nutzen aus Sicherheitsgründen eine SSL- bzw. TLS-Verschlüsselung. Eine verschlüsselte Verbindung erkennen Sie an „https://“ und dem Schloss-Symbol in der Browserzeile.

Widerspruch gegen Werbe-E-Mails

Der Nutzung der im Impressum veröffentlichten Kontaktdaten zur Übersendung nicht ausdrücklich angeforderter Werbung wird hiermit widersprochen.

4. Datenerfassung auf dieser Website

4.1 Cookies (Website)

Diese WordPress-Website verwendet Cookies. Technisch notwendige Cookies speichern wir auf Grundlage von § 25 Abs. 2 TDDDG und Art. 6 Abs. 1 lit. f DSGVO; alle übrigen Kategorien (Vorlieben, Statistiken, Marketing) setzen wir nur mit Ihrer Einwilligung über den Cookie-Banner (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG). Sie können Ihre Auswahl im Banner jederzeit ändern und Cookies in Ihrem Browser einsehen, blockieren oder löschen.

4.2 Kontaktformular

Wenn Sie uns über das Kontaktformular anfragen, verarbeiten wir die dort eingegebenen Angaben (Ihr Anliegen, für wen die Anfrage ist und gegebenenfalls das Alter Ihres Kindes, Kurswunsch, gewünschte Zeitfenster, Name, Telefonnummer, E-Mail-Adresse, Nachricht) zur Bearbeitung Ihrer Anfrage. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, sofern die Anfrage mit einem (möglichen) Vertrag zusammenhängt, im Übrigen Art. 6 Abs. 1 lit. f DSGVO (wirksame Bearbeitung von Anfragen). Bitte übermitteln Sie über das Formular keine Gesundheitsdaten oder andere besonders sensible Angaben.

Ihre Anfrage wird von unserer Website an unsere Automatisierung auf unserem EU-Server (Abschnitt 2.3) übergeben und in unserer Buchungsanwendung bei Supabase in Frankfurt am Main (Abschnitt 6.2) gespeichert, wo unser Team sie bearbeitet und bei Interesse an einem Probetraining in unsere Interessentenverwaltung übernimmt. Anfragen zu einer bestehenden Mitgliedschaft und sonstige Nachrichten erhalten wir zusätzlich per E-Mail.

Zum Schutz vor Spam prüfen wir eingehende Anfragen automatisiert: zunächst mit einfachen Regeln (etwa enthaltene Links oder typische Werbebegriffe), anschließend bewertet ein Sprachmodell den Nachrichtentext und das gewählte Anliegen. Dafür übermitteln wir den Nachrichtentext, das Anliegen, den Kurswunsch, Ihren Namen und die Domain Ihrer E-Mail-Adresse – nicht Ihre vollständige E-Mail-Adresse und nicht Ihre Telefonnummer – an die cortecs GmbH (Wien, Österreich), die die Anfrage nach Anbieterangaben in Rechenzentren innerhalb der EU verarbeitet; zum Einsatz kommt dabei ein Sprachmodell von OpenAI (zur Übermittlung siehe Abschnitt 5.3). Die Bewertung ist ein Hinweis für unser Team; ob eine Anfrage als Spam behandelt wird, entscheidet eine Mitarbeiterin oder ein Mitarbeiter. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (Schutz unserer Systeme und Kommunikationswege vor Missbrauch).

Als Spam eingestufte Anfragen löschen wir nach 90 Tagen, alle übrigen Anfragen spätestens 24 Monate nach Abschluss der Bearbeitung; in die Interessentenverwaltung übernommene Angaben unterliegen den in Abschnitt 6 genannten Fristen. Gesetzliche Aufbewahrungspflichten bleiben unberührt.

4.3 Buchungsanwendung: kein Tracking, keine Cookies

Die Buchungsanwendung unter os.syndicate-berlin.de setzt keine Cookies und keine Analyse- oder Tracking-Dienste ein. Schriftarten werden lokal ausgeliefert; es werden keine Verbindungen zu Google Fonts oder anderen Content-Delivery-Netzwerken aufgebaut. Lediglich für den passwortgeschützten Bereich unseres Personals wird ein Anmelde-Token im Web-Speicher des Browsers (localStorage/sessionStorage) abgelegt; das ist für den Login-Dienst unbedingt erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG, Art. 6 Abs. 1 lit. b DSGVO) und wird beim Abmelden bzw. Sitzungsende entfernt. Für Besucher der öffentlichen Buchungsseite wird kein Web-Speicher genutzt.

4.4 YouTube-Videos

Auf einzelnen Seiten (z. B. Wettkampf, Tag der offenen Tür) betten wir Videos von YouTube ein, einem Dienst der Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland. Die Einbettung erfolgt im erweiterten Datenschutzmodus (youtube-nocookie.com): Beim Aufruf der Seite wird zunächst nur ein Vorschaubild von unserem Server geladen. Erst wenn Sie das Video durch Klick starten, wird eine Verbindung zu YouTube aufgebaut und Ihre IP-Adresse an Google übermittelt; Google kann dabei Daten in die USA übertragen (Grundlage: EU-US Data Privacy Framework und Standardvertragsklauseln). Rechtsgrundlage ist Ihre Einwilligung durch den Klick (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG). Weitere Informationen: https://policies.google.com/privacy

4.5 Google Maps

Auf der Seite „Über uns“ binden wir eine Karte von Google Maps ein (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland). Die Karte wird erst geladen, wenn Sie über den Cookie-Banner in die Kategorie „Marketing“ einwilligen oder den Platzhalter der Karte aktiv freigeben; bis dahin wird kein Kontakt zu Google hergestellt. Mit dem Laden werden Ihre IP-Adresse und Nutzungsdaten an Google übermittelt, gegebenenfalls in die USA. Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG); Sie können sie jederzeit über die Cookie-Einstellungen widerrufen.

5. KI-Chat-Assistent („Lisa“)

5.1 Was der Assistent ist

Auf unserer Website bieten wir einen KI-gestützten Chat-Assistenten an. Es handelt sich um ein KI-System im Sinne der Verordnung (EU) 2024/1689 (KI-Verordnung). Der Assistent gibt sich zu Beginn jedes Gesprächs als KI zu erkennen und bestätigt dies auf Nachfrage (Art. 50 Abs. 1 KI-VO). Er beantwortet Fragen zu Kursen und Probetrainings, schlägt Termine vor, nimmt Terminwünsche und Rückrufbitten entgegen.

So funktioniert er: Ihre Chat-Nachrichten werden von einem Sprachmodell verarbeitet, das daraus Antworten formuliert. Kursangebote, freie Termine und Buchungen stammen nicht aus dem Sprachmodell, sondern aus unserer Kursdatenbank; dort prüfen feste, von Menschen definierte Regeln automatisch Alter, Kursgruppe und Kapazität (z. B. sind bestimmte Kurse erst ab 16 Jahren buchbar). Der Assistent trifft keine ausschließlich automatisierten Entscheidungen, die Ihnen gegenüber rechtliche Wirkung entfalten oder Sie in ähnlicher Weise erheblich beeinträchtigen würden (Art. 22 DSGVO): Ihnen steht für jedes Anliegen jederzeit der Weg zu unseren Mitarbeitern offen — über die Rückruf-Funktion im Chat, telefonisch unter (030) 25760759 oder über das Kontaktformular. Lehnt der Chat eine Anfrage ab (etwa weil ein Kurs für das angegebene Alter nicht buchbar ist oder eine Eingabe unsere Filterregeln auslöst), können Sie den Vorgang jederzeit von einem Menschen prüfen lassen.

5.2 Welche Daten verarbeitet werden

Im Chat verarbeiten wir die Inhalte Ihrer Nachrichten sowie die Angaben, die Sie für eine Terminanfrage machen: Name, Alter der teilnehmenden Person, Telefonnummer, E-Mail-Adresse, Kurswunsch und Wunschtermin. Wird ein Kind angemeldet, verarbeiten wir zusätzlich Name und Kontaktdaten der sorgeberechtigten Person. Der Assistent fragt keine Gesundheitsdaten ab — bitte geben Sie solche Daten auch nicht von sich aus in den Chat ein.

Die Anmeldung eines Kindes darf nur durch eine sorgeberechtigte Person erfolgen. Richtet sich eine Einwilligung im Chat an ein Kind unter 16 Jahren, ist die Zustimmung des Trägers der elterlichen Verantwortung erforderlich (Art. 8 DSGVO). Teilen Sie uns im Chat Daten einer anderen Person mit (z. B. Ihres Kindes oder eines zweiten Teilnehmers), informieren wir diese Person über die Verarbeitung durch diese Datenschutzerklärung und — soweit eine E-Mail-Adresse vorliegt — mit der Terminbestätigung (Art. 14 DSGVO).

5.3 An wen die Daten dabei gehen

Zur Erzeugung der Antworten übermitteln wir den Gesprächsverlauf an die cortecs GmbH (Wien, Österreich), einen europäischen Vermittlungsdienst für KI-Modelle, der die Anfragen nach Anbieterangaben in Rechenzentren innerhalb der EU verarbeitet. Zum Einsatz kommt dabei ein Sprachmodell von OpenAI. Soweit im Einzelfall eine Verarbeitung durch OpenAI-Stellen in den USA stattfindet, stützt sich die Übermittlung auf den Angemessenheitsbeschluss zum EU-US Data Privacy Framework bzw. auf Standardvertragsklauseln. Die Gesprächsverläufe und Terminanfragen speichern wir in unserer Datenbank bei Supabase in Frankfurt am Main (Abschnitt 6.2); der Chat-Endpunkt läuft auf unserem EU-Server (Abschnitt 2.3). Termindaten werden zusätzlich in unseren Betriebskalender übernommen (Abschnitt 6.4).

5.4 Rechtsgrundlagen und Speicherdauer

Die Verarbeitung Ihrer Angaben zur Terminanbahnung erfolgt auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO (Durchführung vorvertraglicher Maßnahmen auf Ihre Anfrage). Der Betrieb des Chats, die Protokollierung und der Schutz vor Missbrauch stützen sich auf Art. 6 Abs. 1 lit. f DSGVO. Eine werbliche Ansprache erfolgt nur nach Abschnitt 7.

Chatverläufe und Chat-Protokolle werden nach 90 Tagen automatisch gelöscht. Aus dem Chat entstandene Terminanfragen und Rückrufbitten behandeln wir wie Interessentendaten: Sie werden 24 Monate nach dem letzten Kontakt automatisch anonymisiert (Abschnitt 9).

6. Buchungs- und Mitgliederverwaltungssystem

6.1 Online-Buchung eines Probetrainings

Über unsere Buchungsseite können Sie ein Probetraining buchen. Dabei verarbeiten wir: Vorname, Nachname, E-Mail-Adresse, den gewählten Kurs und Termin sowie — nur wenn Sie das Häkchen selbst setzen — Ihre Einwilligung in den Newsletter (Art. 6 Abs. 1 lit. a DSGVO; das Feld ist niemals vorangekreuzt). Rechtsgrundlage der Buchungsverarbeitung ist Art. 6 Abs. 1 lit. b DSGVO. Wird für das Probetraining eine Gebühr erhoben, verarbeiten wir zusätzlich Betrag und Zahlungsart (bar/Karte); Zahlungskontodaten speichern wir nicht.

Zum Schutz vor Missbrauch begrenzen wir Buchungsversuche auf fünf pro Stunde und IP-Adresse. Dazu speichern wir Ihre IP-Adresse serverseitig für 24 Stunden und löschen sie danach automatisch (Art. 6 Abs. 1 lit. f DSGVO). Nach der Buchung erhalten Sie eine Bestätigungs-E-Mail (Abschnitt 7) mit einem persönlichen Storno-Link und einem QR-Code für den Check-in.

6.2 Interessentenverwaltung (CRM)

Anfragen und Buchungen verwalten wir in unserem eigenen System. Die Daten liegen in einer Datenbank der Supabase, Inc. in der Region Frankfurt am Main (AWS eu-central-1); ein Auftragsverarbeitungsvertrag besteht. Dort verarbeiten wir: Kontaktdaten (Name, E-Mail, Telefon), ggf. Alter, Kursinteresse, Termin- und Teilnahmehistorie, Herkunft der Anfrage sowie Notizen unserer Mitarbeiter zur Betreuung. Zugriff hat ausschließlich unser Personal über persönliche, per Einladung vergebene Konten.

Erreichen uns Ihre Daten nicht direkt von Ihnen — etwa wenn Sie telefonisch anfragen und wir die Anfrage nachtragen, wenn eine andere Person Sie zu einem Termin mit anmeldet oder bei einer Datenübernahme aus Listen —, informieren wir Sie hierüber durch diese Erklärung und spätestens mit der ersten an Sie gerichteten Nachricht (Art. 14 DSGVO). Rechtsgrundlagen sind Art. 6 Abs. 1 lit. b DSGVO (Anbahnung und Durchführung) und Art. 6 Abs. 1 lit. f DSGVO (strukturierte Interessentenbetreuung). Interessentendaten werden 24 Monate nach dem letzten Kontakt automatisch anonymisiert; ausgenommen sind bevorstehende Termine, aktive Newsletter-Abonnements und Mitglieder (für die die Fristen aus Abschnitt 6.3 gelten).

Nach einem Probetraining bitten wir Sie um eine kurze Rückmeldung. Sie bewerten dabei auf einem Gerät in unseren Räumen bis zu fünf Punkte (Trainer, Training, Anspruch, Atmosphäre, Ausstattung) und können einen freien Kommentar hinterlassen. Jede dieser Angaben ist freiwillig, auch einzeln — ohne Bewertung geht es ebenso weiter. Die Rückmeldung wird dem betreuenden Trainer zugeordnet, weil sie sonst für die Qualitätssicherung nichts aussagt; Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (Verbesserung unseres Angebots). Eine einmal abgegebene Rückmeldung kann der bewertete Trainer nicht ändern oder löschen — sie ist nur für die Schulleitung einsehbar. Bitte geben Sie im Kommentarfeld keine Gesundheitsdaten an.

Formular vor dem Probetraining. Vor Ihrem ersten Training füllen Sie bei uns vor Ort auf einem Gerät ein kurzes Formular aus; bei Minderjährigen unterschreibt eine sorgeberechtigte Person. Wir verarbeiten dabei Vor- und Nachname, Geburtsdatum und Anschrift der teilnehmenden Person, bei Minderjährigen Vor- und Nachname der sorgeberechtigten Person, Ihre Kursinteressen, Ziele und Erwartungen, Ihre Vorerfahrung im Kampfsport, Ihre Angabe, ob Sie voll belastbar und sporttauglich sind oder welche Beschwerden oder Einschränkungen unsere Trainer kennen sollten, sowie Ihre Unterschrift und die eines Mitarbeiters als Bild. Zweck sind ein sicheres, auf Sie abgestimmtes Training, die Einschätzung, ob Ihr gesundheitlicher Zustand ein dauerhaftes Training zulässt, und die Beratung danach. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO; für die Angaben zur Gesundheit holen wir Ihre ausdrückliche Einwilligung ein (Art. 9 Abs. 2 lit. a DSGVO). Diese Angaben sind Voraussetzung für das Probetraining: Ohne sie können wir nicht einschätzen, ob ein Training bei uns für Sie sicher und auf Dauer möglich ist, und das Probetraining kann nicht stattfinden. Sie können die Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen; wir löschen das Formular dann. Einsehen können es ausschließlich unsere Trainer und die Schulleitung nach Anmeldung. Es wird nicht an Dritte, nicht an unsere Mitgliederverwaltung (Budoo) und nicht per E-Mail übermittelt. Wir löschen es automatisch 24 Monate nach dem Ausfüllen. Werden Sie Mitglied, übernehmen wir Name, Geburtsdatum und Anschrift als Vorschlag in den Mitgliedsvertrag, Angaben zur Gesundheit nicht.

6.3 Mitgliederverwaltung und Budoo

Werden Sie Mitglied, verarbeiten wir Ihre Vertragsdaten (Kontaktdaten, Vertragsart, Kurs, Laufzeit, Beitragsdaten) zur Durchführung des Mitgliedsvertrags (Art. 6 Abs. 1 lit. b DSGVO). Zur Verwaltung nutzen wir die Schulverwaltungssoftware budoo.one der Herzberg UG (haftungsbeschränkt), Königstraße 16, 25709 Marne, Deutschland. Dorthin übertragen wir Name, E-Mail-Adresse, Telefonnummer sowie Angaben zum Probetraining und zur Betreuung (einschließlich Anmerkungen unserer Mitarbeiter). Die Verarbeitung erfolgt in unserem Auftrag (Art. 28 DSGVO).

Den Mitgliedsvertrag schließen Sie bei uns vor Ort, auf einem Gerät in unseren Räumen — einen Abschluss über das Internet bieten wir nicht an. Dabei verarbeiten wir: Vor- und Nachname, Geburtsdatum, Anschrift, Telefon- und Mobilnummer, E-Mail-Adresse, die gewählten Kurse, Tarif, Laufzeit und Beitrag. Die Angabe Ihrer Personalausweisnummer ist freiwillig; der Vertrag kommt ohne sie zustande. Ist das Mitglied minderjährig, schließt die sorgeberechtigte Person den Vertrag als Vertragspartner ab und bestätigt ihre Sorgeberechtigung; vom Kind verarbeiten wir dann Name und Geburtsdatum.

Für den Beitragseinzug erheben wir die Bankverbindung: Kontoinhaber, Kreditinstitut, BIC, IBAN und eine Mandatsreferenz (Art. 6 Abs. 1 lit. b DSGVO). In unserer Datenbank speichern wir die IBAN nicht vollständig, sondern nur das Länderkennzeichen und die letzten vier Stellen. Vollständig steht sie ausschließlich im unterschriebenen Vertragsdokument, weil das SEPA-Mandat sie dort braucht. Eine Zahlungsabwicklung findet in diesem System nicht statt.

Sie und ein Mitarbeiter unterschreiben mit dem Finger oder einem Stift auf dem Gerät. Die beiden Unterschriften werden als Bild gespeichert und in ein Vertragsdokument (PDF) eingesetzt, das den vollständigen Vertragstext trägt. Rechtsgrundlage sind Art. 6 Abs. 1 lit. b DSGVO (Durchführung des Vertrags) und Art. 6 Abs. 1 lit. f DSGVO (Nachweis des Vertragsschlusses). Das Dokument und die Unterschriftsbilder liegen in einem nicht öffentlich zugänglichen Speicher bei der Supabase, Inc. (Frankfurt am Main); abrufen können sie ausschließlich unsere Trainer und die Schulleitung nach Anmeldung. Zu jedem Dokument speichern wir einen Prüfwert, damit nachträgliche Veränderungen auffallen. Eine Kopie des Dokuments senden wir an die von Ihnen angegebene E-Mail-Adresse; der Versand läuft über die Brevo SAS (Abschnitt 7.1), die das PDF dabei als Anhang verarbeitet.

Vertrags- und Abrechnungsunterlagen bewahren wir nach Vertragsende auf, soweit gesetzliche Pflichten das verlangen (Art. 6 Abs. 1 lit. c DSGVO i. V. m. §§ 147 AO, 257 HGB: sechs bzw. zehn Jahre), und löschen sie danach. Für den unterschriebenen Mitgliedsvertrag einschließlich der Unterschriftsbilder gilt einheitlich die längere Frist von zehn Jahren ab Vertragsende. Diese Aufbewahrungspflicht geht den übrigen Löschfristen dieser Erklärung vor: solange sie läuft, löschen wir die Vertragsunterlagen auch dann nicht, wenn eine andere Frist aus Abschnitt 9 früher ablaufen würde.

Kündigungsgründe erfassen wir nur in groben Kategorien für interne Statistik. Bitte teilen Sie uns in Freitextfeldern (z. B. Kündigungsgrund, Anmerkungen) keine Gesundheitsdaten mit; unsere Mitarbeiter sind angewiesen, solche Angaben nicht zu notieren.

6.4 Google Kalender und Google Tabellen

Zur Organisation unseres Trainingsbetriebs übernehmen wir gebuchte Probetrainings in einen internen Betriebskalender (Google Kalender). Der Termineintrag enthält Name, Kurs und Termin sowie in der Beschreibung E-Mail-Adresse, Telefonnummer und ggf. Alter der teilnehmenden Person. Bei einer Stornierung wird der Eintrag entfernt. Zusätzlich führen wir eine interne Interessentenliste in Google Tabellen (Name, E-Mail, Telefon, ggf. Alter, Kurs, Termin, Bearbeitungsstand).

Anbieter ist Google LLC, 1600 Amphitheatre Parkway, Mountain View, CA 94043, USA. Google ist unter dem EU-US Data Privacy Framework zertifiziert; die Übermittlung stützt sich auf den Angemessenheitsbeschluss zum DPF, ergänzend auf Standardvertragsklauseln. Rechtsgrundlagen sind Art. 6 Abs. 1 lit. b DSGVO (Terminorganisation) und Art. 6 Abs. 1 lit. f DSGVO (interne Organisation). Die Einträge löschen wir, sobald sie für die Interessentenbetreuung nicht mehr erforderlich sind, spätestens im Zuge der Anonymisierung des zugehörigen Datensatzes (Abschnitt 9).

6.5 QR-Check-in und Anwesenheit

Mit Ihrer Buchungsbestätigung erhalten Sie einen QR-Code. Beim Eintreffen scannt unser Personal diesen Code, um Ihre Anwesenheit zu erfassen (Art. 6 Abs. 1 lit. b DSGVO). Der QR-Code enthält nur ein zufälliges Zugangsmerkmal — keine Klardaten; in unserer Datenbank speichern wir dessen Prüfwert und den Zeitpunkt des Scans. Die Kamera des Scan-Geräts wertet das Bild ausschließlich lokal aus; es werden keine Fotos oder Videos gespeichert oder übertragen.

6.6 Fehlerüberwachung (Watchtower)

Zur Stabilität unserer Systeme senden Anwendung und Automatisierung technische Fehlerberichte an eine selbst betriebene Überwachungsinstanz (gehostet bei Vercel, Abschnitt 2.2). Die Berichte enthalten technische Angaben zum Fehler; E-Mail-Adressen werden vor dem Versand automatisch geschwärzt, Anfrageparameter nicht übertragen. Interne Alarmmeldungen erhalten wir per E-Mail (Google/Gmail). Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (Betriebssicherheit). Protokolle mit Personenbezug werden nach 90 Tagen automatisch gelöscht.

7. E-Mail-Versand und Newsletter

7.1 Versanddienstleister

Sämtliche E-Mails unseres Buchungssystems (Buchungs- und Terminbestätigungen, Erinnerungen, Opt-in-Bestätigungen, Vertragsunterlagen, Newsletter) versenden wir über Brevo (Brevo SAS, Paris, Frankreich — Verarbeitung in der EU). Dabei verarbeitet Brevo die Empfängeradresse und die Mailinhalte in unserem Auftrag (Art. 28 DSGVO).

7.2 Transaktions-E-Mails

E-Mails, die zur Durchführung Ihrer Buchung oder Ihres Vertrags nötig sind (z. B. Buchungsbestätigung mit Termin, QR-Code und Storno-Link), versenden wir auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO. Diese E-Mails erhalten Sie auch dann, wenn Sie keine Werbung wünschen — ohne sie könnten wir den gebuchten Termin nicht verlässlich mit Ihnen abwickeln.

7.3 Newsletter und werbliche E-Mails

Werbliche E-Mails erhalten Sie nur, wenn Sie eingewilligt haben (Art. 6 Abs. 1 lit. a DSGVO, § 7 Abs. 2 UWG). Wir nutzen das Double-Opt-in-Verfahren: Nach Ihrer Anmeldung erhalten Sie eine Bestätigungs-E-Mail; erst mit Ihrem Klick ist die Anmeldung wirksam. Den Zeitpunkt der Bestätigung protokollieren wir als Nachweis (Art. 7 Abs. 1 DSGVO, Art. 6 Abs. 1 lit. c DSGVO).

Jede E-Mail von uns enthält einen Abmeldelink. Ein Klick genügt; die Abmeldung wirkt sofort für alle werblichen E-Mails. Transaktions-E-Mails zu einer bestehenden Buchung sind davon nicht betroffen (Art. 21 Abs. 3 DSGVO gilt „für solche Zwecke“, also für die Werbung). Den Widerruf können Sie jederzeit auch formlos an info@syndicate-berlin.de richten.

8. Empfänger und Auftragsverarbeiter (Übersicht)

Eine Weitergabe an sonstige Dritte erfolgt nur, wenn sie zur Vertragserfüllung erforderlich ist, Sie eingewilligt haben oder eine gesetzliche Pflicht besteht.

9. Speicherdauern (Übersicht)

Unabhängig von diesen Fristen löschen bzw. anonymisieren wir Ihre Daten auf Verlangen, soweit keine Aufbewahrungspflicht entgegensteht (Abschnitt 10).

10. Ihre Rechte

Sie haben gegenüber uns folgende Rechte hinsichtlich Ihrer personenbezogenen Daten:

• Auskunft (Art. 15 DSGVO) über die verarbeiteten Daten, Herkunft, Empfänger und Speicherdauer,
• Berichtigung unrichtiger Daten (Art. 16 DSGVO),
• Löschung (Art. 17 DSGVO) bzw. Einschränkung der Verarbeitung (Art. 18 DSGVO),
• Datenübertragbarkeit (Art. 20 DSGVO): Daten, die wir auf Grundlage Ihrer Einwilligung oder eines Vertrags automatisiert verarbeiten, geben wir auf Wunsch in einem gängigen, maschinenlesbaren Format an Sie oder einen Dritten heraus,
• Widerruf erteilter Einwilligungen (Art. 7 Abs. 3 DSGVO) mit Wirkung für die Zukunft — beim Newsletter genügt der Abmeldelink in jeder E-Mail,
• Widerspruch (Art. 21 DSGVO): Gegen Verarbeitungen auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO können Sie aus Gründen Ihrer besonderen Situation jederzeit Widerspruch einlegen; gegen Direktwerbung jederzeit ohne Angabe von Gründen (Art. 21 Abs. 2 DSGVO).

Wenden Sie sich dazu formlos an info@syndicate-berlin.de oder an unsere Postadresse (Abschnitt 3).

Daneben haben Sie ein Beschwerderecht bei einer Datenschutz-Aufsichtsbehörde (Art. 77 DSGVO). Zuständig für uns ist die Berliner Beauftragte für Datenschutz und Informationsfreiheit, Alt-Moabit 59–61, 10555 Berlin, Telefon (030) 13889-0, mailbox@datenschutz-berlin.de. Für Beanstandungen zum Einsatz unseres KI-Assistenten nach der KI-Verordnung können Sie sich zudem an die nach der KI-VO zuständige Marktüberwachungsbehörde wenden.

Wir passen diese Datenschutzerklärung an, wenn sich unsere Verarbeitung oder die Rechtslage ändert. Es gilt die jeweils auf dieser Seite veröffentlichte Fassung.