Datenschutz-Folgenabschätzung Wellness
Dies ist eine Übersetzung der englischen Folgenabschätzung. Weichen die Fassungen voneinander ab, ist die englische Fassung maßgeblich. Read in English
Kurz gesagt. Die Wellness-Abfragen stellen volljährigen Spielern täglich fünf kurze Fragen dazu, wie sie sich fühlen. Das sind Gesundheitsdaten, deshalb sind sie ausgeschaltet, bis ein Head Coach sie einschaltet, jeder Spieler entscheidet selbst, nur zwei Personen lesen die Antworten, und alles wird nach 90 Tagen gelöscht oder in dem Moment, in dem ein Spieler aufhört.
Dies ist die Datenschutz-Folgenabschätzung (DSFA, Art. 35 DSGVO) für die Wellness-Abfragen von Hashmark. Vantry LLC, die Hashmark betreibt, hat sie für die Vereine und Teams verfasst, die die Funktion nutzen. Wenn ein Head Coach oder Teaminhaber Wellness einschaltet, akzeptiert er sie für sein Team. Ein Verein kann sie an seine eigene Situation anpassen.
1. Wer verantwortlich ist
- Der Verein oder das Team entscheidet, ob und wozu Wellness-Abfragen genutzt werden. Er ist der "Verantwortliche".
- Vantry LLC (Hashmark, 2524 Van Beek Road, Green Bay, WI 54311, USA) speichert und verarbeitet die Antworten für das Team. Sie ist "Auftragsverarbeiter" nach Abschnitt 14 unserer AGB.
- Fragen: zuerst an den Head Coach des Teams, oder an support@usehashmark.com.
2. Wozu sie dienen
Um dem Head Coach und dem Physio des Teams zu helfen, das Training anzupassen und mit einem Spieler zu sprechen, der schlecht geschlafen hat, starken Muskelkater hat, gestresst ist oder Schmerzen hat, bevor daraus eine Verletzung wird. Es ist kein medizinisches Werkzeug. Es stellt keine Diagnosen, führt keine Krankenakten und entscheidet nichts von selbst.
3. Was erhoben wird
| Gefragt | Antwort |
|---|---|
| Schlaf | 1 bis 5 (sehr schlecht bis sehr erholsam) |
| Muskelkater | 1 bis 5 (keiner bis sehr stark) |
| Energie | 1 bis 5 (sehr niedrig bis sehr hoch) |
| Stress | 1 bis 5 (ruhig bis sehr gestresst) |
| Schmerzen oder eine kleine Verletzung | Ja oder nein |
Zu jeder Antwort: das Datum, die Uhrzeit des Absendens, das Konto des Spielers und das Team. Das Ja jedes Spielers wird mit Datum und der Version dieser Folgenabschätzung gespeichert.
Nie erhoben: schriftliche Notizen, wo es wehtut, Diagnosen, Behandlungen, Medikamente, Standort, Daten von Wearables oder GPS.
4. Wer teilnehmen kann, und auf welcher Grundlage
- Nur volljährige Spieler (18 oder älter). Jeder Spieler bestätigt das, wenn er zustimmt. Ein Spieler, der in Hashmark mit einem Elternteil verknüpft ist (ein Minderjähriger), kann nicht teilnehmen.
- Ausdrückliche Einwilligung (Art. 6 Abs. 1 lit. a und Art. 9 Abs. 2 lit. a DSGVO). Die Zustimmung ist ein eigener Schritt auf dem Telefon des Spielers. Sie ist nicht Teil des Teambeitritts.
- Der Widerruf ist ein Tippen ("Nicht mehr mitmachen"), und alle Antworten, die der Spieler in diesem Team gegeben hat, werden sofort gelöscht.
5. Wer die Antworten sieht
| Wer | Sieht |
|---|---|
| Der Spieler | Seine eigenen Antworten der letzten 28 Tage |
| Der Head Coach des Teams | Die Antworten der teilnehmenden Spieler, mit einem Bereitschaftswert und einer roten Markierung bei niedriger Bereitschaft oder Schmerzen |
| Ein vom Head Coach benannter Physio | Dasselbe wie der Head Coach. Ohne benannten Physio nur der Head Coach. |
| Alle anderen | Nichts: Coordinators, Positionscoaches, Statistiker, der Broadcaster, Teaminhaber, die nicht Head Coach sind, das Vereinsbüro, Eltern und andere Spieler |
Die Datenbank selbst prüft diese Regeln bei jeder Anfrage; sie hängen nicht davon ab, was die App anzeigt. Niemand wird aufgelistet, gezählt oder erinnert, weil er nicht antwortet.
6. Wie lange gespeichert wird
- 90 Tage, danach jede Nacht automatisch gelöscht.
- Sofort, wenn der Spieler nicht mehr mitmacht, wenn der Head Coach Wellness ausschaltet (alle Antworten des Teams) oder wenn der Spieler sein Konto löscht.
7. Wo gespeichert wird und wie es geschützt ist
- Gespeichert bei Supabase in Irland (EU), auf Amazon Web Services, verschlüsselt bei der Übertragung (HTTPS) und im Ruhezustand.
- Die Antworten können von der App aus nicht direkt gelesen werden. Sie sind nur über Serverfunktionen erreichbar, die jedes Mal die Rolle des Lesenden prüfen.
- Vantry LLC ist ein US-Unternehmen. Ihre Mitarbeiter können auf die Datenbank zugreifen, um den Dienst am Laufen zu halten, und öffnen Wellness-Antworten nur, um eine Anfrage des Vereins oder des Spielers zu beantworten. Übermittlungen in die USA sind durch die Standardvertragsklauseln der Europäischen Kommission abgedeckt.
- Betrifft eine Datenpanne Wellness-Antworten, informiert Vantry LLC den Verein unverzüglich, damit er die Spieler und die Behörde benachrichtigen kann, wie es das Gesetz verlangt.
8. Ist es notwendig und verhältnismäßig?
- So wenig wie möglich: fünf feste Antworten, kein Freitext, nichts, was eine Erkrankung benennt.
- Standardmäßig ausgeschaltet, Team für Team. Ein Team, das es nicht will, erhebt nie etwas.
- Die kürzeste sinnvolle Dauer: 90 Tage decken einen Trainingsblock und seine Entwicklung ab.
- Zwei Lesende: die Personen, die die Trainingsbelastung planen und mit dem Spieler darüber sprechen.
- Kein eingebauter Druck: keine Erinnerungen, keine Liste "wer hat nicht geantwortet", nichts ordnet Spieler danach, ob sie antworten.
9. Risiken und was sie begrenzt
| Risiko für den Spieler | Was es begrenzt | Restrisiko |
|---|---|---|
| Sich zur Teilnahme gedrängt fühlen, weil der Coach entscheidet, wer spielt | Standardmäßig aus; jeder Spieler entscheidet allein; keine Erinnerungen und keine Liste, wer nicht geantwortet hat; der Verein verpflichtet sich, Antworten oder fehlende Antworten nie zur Auswahl oder Bestrafung zu nutzen (Abschnitt 10) | Gering |
| Gesundheitsdaten, die Unbefugte sehen | Nur zwei Lesende, von der Datenbank geprüft; Eltern, das Büro und Mitspieler sehen nichts | Gering |
| Ein Datenleck oder eine Datenpanne | Hosting in der EU, Verschlüsselung, kein direkter Tabellenzugriff, minimale Daten, 90 Tage | Gering |
| Gesundheitsdaten eines Minderjährigen | 18 oder älter vom Spieler bestätigt; mit einem Elternteil verknüpfte Spieler sind gesperrt; der Verein kennt das Alter seiner Spieler | Gering |
| Antworten, die genutzt werden, um einen Spieler auszusortieren oder in Vertragsgesprächen | Der Wert regt nur ein Gespräch an; Hashmark entscheidet nichts; die Verpflichtung des Vereins (Abschnitt 10) | Gering, und in der Hand des Vereins |
| Länger gespeichert als nötig | Nächtliche Löschung nach 90 Tagen; Löschung, wenn ein Spieler aufhört, Wellness ausgeschaltet oder ein Konto gelöscht wird | Gering |
10. Wozu sich der Verein verpflichtet
Mit dem Einschalten von Wellness akzeptiert der Head Coach oder Inhaber für das Team, dass:
- Antworten nur genutzt werden, um das Training zu planen und mit Spielern zu sprechen.
- die Teilnahme freiwillig ist. Antworten oder fehlende Antworten werden nie genutzt, um einen Spieler auszuwählen, auszusortieren, mit einer Strafe zu belegen oder einzustufen.
- der benannte Physio die Antworten vertraulich behandelt.
- die Spieler erfahren, dass die Funktion freiwillig ist, bevor sie danach gefragt werden.
- der Verein Anfragen der Spieler (Auskunft, Berichtigung, Löschung) mit Unterstützung von Hashmark beantwortet.
11. Die Rechte des Spielers
Ein Spieler kann seine eigenen Antworten in Hashmark sehen, die heutige Antwort ändern, mit einem Tippen aufhören und alles löschen und beim Verein oder unter support@usehashmark.com eine vollständige Kopie anfordern. Er kann sich außerdem bei seiner Datenschutzaufsichtsbehörde beschweren (in Frankreich bei der CNIL).
12. Ergebnis
Mit diesen Maßnahmen ist das verbleibende Risiko für die Spieler gering, daher ist keine vorherige Konsultation einer Datenschutzaufsichtsbehörde erforderlich (Art. 36 DSGVO). Diese Folgenabschätzung wird jede Saison überprüft und immer dann, wenn sich die Wellness-Abfragen ändern. Eine wesentliche Änderung erhält eine neue Version, und die Head Coaches akzeptieren sie erneut.