Wir nehmen Kinderdaten ernst.

1. Verantwortliche Stelle

Heroskills · Roman Dinkel (Einzelfirma), Zedernweg 4, 7000 Chur, Schweiz. Kontakt für alle Datenschutz-Anfragen: info@heroskills.app.

2. Welche Daten wir verarbeiten

Eltern- und Coach-Konto: E-Mail-Adresse (für Magic-Link-Login), optional Vorname, Zeitpunkt der Anmeldung, IP-Adresse beim Login, Browser-Typ für die Session-Cookies.

Kinder-Profil:Vorname oder Spitzname (kein Familienname erforderlich), Sportart, Geburtsjahr (optional), Trainings-Logs (welche Übung wann begonnen und abgeschlossen wurde), Belohnungen, Heim-Label (z. B. „Garage“).

Device-Daten: eine anonyme Device-ID (Cookie, technisch erforderlich für den Kinder-Korridor ohne eigenen Account), Bildschirmtyp (Tablet, Mobil, Desktop).

Zahlungsdaten: verarbeitet ausschliesslich durch Stripe Payments Europe Ltd. Wir speichern weder Kreditkartennummer noch IBAN. Stripe übermittelt uns nur den Subscription-Status und die Kunden-ID.

3. Rechtsgrundlagen

Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO / Art. 31 Abs. 1 lit. a revDSG): für die Bereitstellung der App, Account-Verwaltung und Zahlungsabwicklung.

Einwilligung der Erziehungsberechtigten (Art. 6 Abs. 1 lit. a + Art. 8 DSGVO / Art. 6 revDSG): für die Verarbeitung von Daten der Kinder. Die Einwilligung erfolgt durch das Anlegen des Kinder-Profils im Eltern-Konto. Kinder haben weder eigene E-Mail noch eigenen Account.

Berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO): Schutz vor Missbrauch (Rate-Limiting, Brute-Force-Schutz), Sicherheits-Logging.

4. Wer bekommt deine Daten

Supabase, Inc. (Cloud-Datenbank und Auth) — Server in Irland (EU). Auftragsverarbeitungsvertrag liegt vor. supabase.com/privacy.

Resend, Inc. (Versand der Magic-Link- und Transaktions-Mails) — Server in den USA. Übermittlung auf Basis von EU-Standardvertragsklauseln (SCC). resend.com/legal/privacy-policy.

Stripe Payments Europe Ltd. (Zahlungsabwicklung) — Server in Irland und in den USA, SCC. stripe.com/privacy.

Vercel, Inc. (Hosting der Web-App) — Server in der EU (Frankfurt). vercel.com/legal/privacy-policy.

5. Cookies

Heroskills setzt nur technisch erforderliche Cookies — keine Tracking-Cookies, keine Werbe-Cookies, keine Third-Party-Cookies. Konkret:

• sb-<project>-auth-token: Session-Cookie nach Login (Supabase Auth), Lebensdauer 1 Jahr.
• heroskills_device_id: anonyme Device-Kennung für den Kinder-Korridor, Lebensdauer 30 Tage.
• heroskills_trial_started_at: technischer Anchor-Zeitstempel — wird während der Beta-Phase (bis 16. August 2026) gesetzt, hat aktuell aber keine Auswirkung auf die Nutzung.
• heroskills.locale: gewählte Sprache, im localStorage.

6. Wie lange wir speichern

• Trial-Daten (ohne Account): maximal 30 Tage nach Trial-Ende.
• Account-Daten: bis zur Löschung durch dich. Nach dem Lösch-Antrag bleiben die Daten 30 Tage in einer Grace-Periode (Rückgängigmachen möglich), danach werden sie unwiderruflich gelöscht.
• Zahlungsbelege: gesetzlich vorgeschriebene Aufbewahrung von 10 Jahren (Art. 958f OR).

7. Deine Rechte

Du hast jederzeit das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenportabilität und Widerruf einer einmal erteilten Einwilligung (mit Wirkung für die Zukunft). Anfragen bitte an info@heroskills.app.

Eltern haben zusätzlich das Recht, jederzeit die Daten ihrer Kinder einzusehen, zu korrigieren und zu löschen. Bei Beschwerden kannst du dich an den Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB, edoeb.admin.ch) oder die zuständige Aufsichtsbehörde im EU-Mitgliedstaat deines Wohnsitzes wenden.

8. Kinder unter 16 Jahren

Heroskills richtet sich an Kinder im Alter von 8 bis 16 Jahren. Die Datenverarbeitung erfolgt ausschliesslich durch das Eltern-Konto. Kinder haben keinen eigenen Account, keine eigene E-Mail-Adresse und keine direkte Anmeldemöglichkeit. Kinder können nur auf einem von den Eltern eingerichteten Familien-Gerät via Kid-Code in den Trainings-Korridor.

Wenn du als erziehungsberechtigte Person die Datenverarbeitung deines Kindes durch Heroskills nicht mehr möchtest, lösche das Kinder-Profil im Eltern-Bereich oder das ganze Eltern-Konto unter /settings.

9. Anwendbares Recht, Gerichtsstand

Es gilt schweizerisches Recht. Gerichtsstand für Streitigkeiten ist Chur, Schweiz, soweit keine zwingenden Konsumentenschutz-Bestimmungen ein anderes Gericht festlegen.

10. Änderungen dieser Erklärung

Wir aktualisieren diese Datenschutzerklärung gelegentlich, wenn sich unsere Datenverarbeitung ändert oder die rechtlichen Rahmenbedingungen das erfordern. Bei wesentlichen Änderungen informieren wir aktive Nutzer per E-Mail mindestens 30 Tage vor Inkrafttreten.