Datenschutzerklärung
Diese Datenschutzerklärung informiert dich über Art, Umfang und Zweck der Verarbeitung personenbezogener Daten auf Roxzone gemäß DSGVO.
1. Verantwortliche Stelle
Verantwortlich für die Datenverarbeitung auf dieser Plattform ist:
Roxzone Performance UG (haftungsbeschränkt)
Ulmenweg 49
53809 Ruppichteroth, Deutschland
E-Mail: info@roxzone-performance.de
Geschäftsführer: Jonathan Faber
Ein Datenschutzbeauftragter ist nicht bestellt, weil die Voraussetzungen (weniger als 20 Personen mit ständiger Datenverarbeitung, keine besonderen Datenkategorien nach Art. 9 DSGVO) nicht erfüllt sind. Sollten sich die Voraussetzungen ändern, wird ein DSB benannt und an dieser Stelle veröffentlicht.
2. Erhobene Daten
Wir verarbeiten ausschließlich die Daten, die du uns bei der Nutzung der Plattform zur Verfügung stellst oder die technisch zum Betrieb erforderlich sind:
- Account-Daten: E-Mail-Adresse, Anzeigename, Passwort-Hash (Argon2id, niemals im Klartext).
- Profildaten: Geschlecht (für Race-Matching), HYROX-Erfahrungslevel, bevorzugte Sprache, Avatar (optional).
- Race-Partner-Suchen: Eventdatum, Format, frei formulierte Suchbeschreibung.
- Ticket-Inserate: Race-Identifier, Ticket-ID (HYROX-extern), Preis, frei formulierte Beschreibung.
- Nachrichten: 1:1-Konversationsinhalt zwischen registrierten Nutzern (max. 2.000 Zeichen je Nachricht), Zeitstempel, Lesestatus.
- Logs & technische Daten: gekürzte IP-Adresse, User-Agent, Request-ID, Fehler-Stacktrace (bei Fehlern).
3. Zweck und Rechtsgrundlage je Datenkategorie
- Account, Profil, Suchen, Inserate, Nachrichten: Erfüllung des Nutzungsvertrags (Vermittlung von Race-Partnern und Startplatztransfer) — Art. 6 Abs. 1 lit. b DSGVO.
- Admin-Audit-Log, Anti-Fraud-Mechanismen, Reports (RPT-*): berechtigtes Interesse an Plattformsicherheit und Missbrauchsabwehr — Art. 6 Abs. 1 lit. f DSGVO.
- Server-Logs & Fehler-Tracking: berechtigtes Interesse an Betriebssicherheit und Fehleranalyse — Art. 6 Abs. 1 lit. f DSGVO.
- Cookieless-Analytics (Matomo): berechtigtes Interesse an aggregierter Reichweitenmessung — Art. 6 Abs. 1 lit. f DSGVO; cookielose Konfiguration → keine Einwilligung nach TTDSG erforderlich.
4. Empfänger / Auftragsverarbeiter
Wir setzen sorgfältig ausgewählte Auftragsverarbeiter ein. Die vollständige Liste mit Rechtsgrundlagen findest du in unserem Auftragsverarbeiter-Verzeichnis (Stand siehe unten). Externe Auftragsverarbeiter zum Stand der Veröffentlichung:
- Strato AG, Deutschland — Hosting der gesamten Anwendungsinfrastruktur (Anwendungsserver, Postgres-Datenbank, Offsite-Backups). Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. AVV abgeschlossen / vor GoLive zu unterzeichnen.
- Resend (EU/Irland) — transaktionaler E-Mail-Versand (Account-Verifizierung, Match-Digest, Ticket- und Nachrichten-Benachrichtigungen) sowie Verarbeitung von Bounce-/Complaint-Webhooks. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. AVV abgeschlossen / vor GoLive zu unterzeichnen.
Zusätzlich betreiben wir die folgenden Dienste selbst gehostet auf eigener Infrastruktur. Es findet keine Datenübermittlung an Dritte statt:
- Matomo — Web-Analyse im Cookieless-Modus, selbst gehostet auf unserer Infrastruktur. Keine Cookies, keine Cross-Site-Tracker, keine ausgehende Verbindung zu Matomo Cloud / InnoCraft Ltd.
- GlitchTip — Fehler-Tracking (Sentry-API-kompatibel), selbst gehostet auf unserer Infrastruktur. Keine ausgehende Verbindung zur Sentry-Cloud / Sentry GmbH.
5. Datentransfer in Drittländer
Keiner. Alle eingesetzten externen Auftragsverarbeiter (Strato, Resend) sind in der Europäischen Union ansässig und verarbeiten Daten ausschließlich innerhalb des EU-/EWR-Raums. Selbst gehostete Dienste (Matomo, GlitchTip) laufen auf derselben EU-Infrastruktur.
6. Speicherdauer / Retention
Die Speicherdauer richtet sich nach unserer Retention-Policy, die in config/retention.yml versioniert und durch automatisierte Hintergrundjobs (Phase 6) durchgesetzt wird:
- Unbestätigte Konten: 30 Tage nach Registrierung, dann automatische Löschung.
- Race-Partner-Suchen: 90 Tage nach Eventdatum.
- Ticket-Inserate im Terminal-Zustand (verkauft / abgelaufen): 24 Monate.
- Admin-Audit-Log: 3 Jahre.
- Postgres-Backups: 14 Tage rollierend.
- Anwendungs-Logs: 7 Tage.
- Fehler-Events (GlitchTip): 90 Tage.
- Analytics (Matomo, cookieless): 180 Tage aggregiert, keine PII.
Bei einer Kontolöschung werden personenbezogene Profildaten (Name, E-Mail, Avatar, Bio) unmittelbar und unwiderruflich überschrieben (PII-Scrub-Tombstone gemäß LEGL-06). Bereits gesendete Nachrichten verbleiben in der Datenbank, weil der Gesprächspartner ein berechtigtes Interesse am Gesprächsverlauf hat (Art. 17 Abs. 3 lit. b DSGVO); die Absender-ID wird auf NULL gesetzt und der Gesprächspartner sieht den Absender als „gelöschter Nutzer".
7. Deine Rechte
Du hast nach DSGVO folgende Rechte:
- Auskunft (Art. 15 DSGVO) — über die zu deiner Person gespeicherten Daten.
- Berichtigung (Art. 16 DSGVO) — direkt in deinem Profil unter /de/settings.
- Löschung (Art. 17 DSGVO) — Self-Service über /de/settings; Profil-PII wird sofort gelöscht.
- Einschränkung (Art. 18 DSGVO) — per E-Mail an die oben genannte Datenschutz-Kontaktadresse.
- Datenübertragbarkeit (Art. 20 DSGVO) — auf Anfrage als JSON-Export deiner personenbezogenen Daten.
- Widerspruch (Art. 21 DSGVO) — gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 6 Abs. 1 lit. f DSGVO).
8. Cookies und Tracking
Wir setzen ausschließlich technisch notwendige Cookies (Session, CSRF, Spracheinstellung, Cookie-Einwilligung). Optionale Einbettungen (z. B. Videos) sind standardmäßig blockiert und werden erst nach deiner Zustimmung aktiviert.
Unsere Web-Analyse (Matomo) läuft im Cookieless-Modus: es werden keine Cookies gesetzt, kein Fingerprinting durchgeführt und IP-Adressen anonymisiert. Eine Einwilligung nach TTDSG ist daher nicht erforderlich.
Du kannst deine Cookie-Einstellungen jederzeit erneut überprüfen oder ändern:
9. Beschwerderecht
Du hast das Recht, dich bei einer Aufsichtsbehörde zu beschweren, wenn du der Auffassung bist, dass die Verarbeitung deiner personenbezogenen Daten gegen die DSGVO verstößt. Zuständig ist die Aufsichtsbehörde des Bundeslandes, in dem unser Sitz liegt:
Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW)
Kavalleriestraße 2–4, 40213 Düsseldorf
Telefon: +49 211 38424-0
E-Mail: poststelle@ldi.nrw.de
10. Änderungen dieser Datenschutzerklärung
Wir aktualisieren diese Datenschutzerklärung, wenn sich die Rechtslage, unsere eingesetzten Dienste oder unsere Verarbeitungstätigkeiten ändern. Es findet kein automatischer Massen-E-Mail-Versand bei Änderungen statt; das Datum unten („Stand:") wird bei jeder inhaltlichen Änderung aktualisiert. Wir empfehlen, diese Seite vor sensiblen Aktionen (z. B. Kontoerstellung, Inseratsveröffentlichung) erneut zu prüfen.
Stand: 2026-06-11