Wir nehmen Kinderdaten ernst.

1. Verantwortliche Stelle

Heroskills · Roman Dinkel (Einzelfirma), Zedernweg 4, 7000 Chur, Schweiz. Kontakt für alle Datenschutz-Anfragen: info@heroskills.app.

2. Welche Daten wir verarbeiten

Eltern- und Coach-Konto: E-Mail-Adresse (für Magic-Link-Login und Mails zu deinem Konto), Vorname (Pflichtfeld bei der Anmeldung), Zeitpunkt der Anmeldung, IP-Adresse beim Login, Browser-Typ für die Session-Cookies, Sprache und Mail-Einstellungen, Protokoll deiner Logins und Konto-Aktionen (90 Tage), Versand-Protokoll der Team-Mails (welche Mail wann, ohne Inhalt), eingelöste Gutscheine.

Coach-Konto zusätzlich: Teams (Name, Sportart, Altersgruppe), die von dir vergebenen Spieler-Namen oder -Nummern, Einladungs-Codes, abgewählte Übungen.

Kinder-Profil: Vorname oder Spitzname (kein Familienname erforderlich), Sportart, Geburtsjahr (optional), Verein (optional), Trainings-Logs (welche Übung wann begonnen und abgeschlossen wurde, mit Messwerten wie Wiederholungen), Bestwerte und Meilensteine, Antworten in den Taktik-Szenen (gewählte Antwort, richtig oder falsch, Hockey-IQ-Punkte), Joker- und Pause-Tage, Belohnungen, Heim-Label (z. B. „Garage“), Avatar, Kind-Code, Sprache, Zeitzone (automatisch vom Gerät).

Device-Daten: eine anonyme Device-ID (Cookie, technisch erforderlich für den Kinder-Korridor ohne eigenen Account), Bildschirmtyp (Tablet, Mobil, Desktop).

Zahlungsdaten: verarbeitet ausschliesslich durch Stripe Payments Europe Ltd. Wir speichern weder Kreditkartennummer noch IBAN. Stripe übermittelt uns nur den Subscription-Status und die Kunden-ID.

3. Rechtsgrundlagen

Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO / Art. 31 Abs. 1 lit. a revDSG): für die Bereitstellung der App, Account-Verwaltung und Zahlungsabwicklung.

Einwilligung der Erziehungsberechtigten (Art. 6 Abs. 1 lit. a + Art. 8 DSGVO / Art. 6 revDSG): für die Verarbeitung von Daten der Kinder. Die Einwilligung erfolgt durch das Anlegen des Kinder-Profils im Eltern-Konto. Kinder haben weder eigene E-Mail noch eigenen Account.

Berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO): Schutz vor Missbrauch (Rate-Limiting, Brute-Force-Schutz), Sicherheits-Logging; ein Betriebsprotokoll, an welchem Tag Eltern-/Vereins-Dashboard und Kinder-App geöffnet wurden (ein Eintrag pro Konto bzw. Kind und Tag, nach 90 Tagen gelöscht, mit dem Konto bzw. Kind sofort); anonyme Zähler der Kinder-App (nur Tag, Schritt und Anzahl, z. B. „erste Übung gestartet“ — ohne Kind, Gerät oder IP; gegen Doppelzählung dient ein Einweg-Kürzel pro Tag, das spätestens nach zwei Tagen gelöscht wird), damit wir sehen, wo der Einstieg hakt; seltene Mails vom Heroskills-Team (Neuigkeiten, kurze Feedback-Fragen) — jederzeit in den Einstellungen abschaltbar.

4. Wer bekommt deine Daten

Supabase, Inc. (Cloud-Datenbank und Auth) — Server in Irland (EU). Auftragsverarbeitungsvertrag liegt vor. supabase.com/privacy.

Resend, Inc. (Versand der Login-, Konto- und Fortschritts-Mails sowie seltener, abschaltbarer Mails vom Heroskills-Team) — Server in den USA. Übermittlung auf Basis von EU-Standardvertragsklauseln (SCC). resend.com/legal/privacy-policy.

Stripe Payments Europe Ltd. (Zahlungsabwicklung) — Server in Irland und in den USA, SCC. stripe.com/privacy.

Vercel, Inc. (Hosting der Web-App) — Server in der EU (Frankfurt). vercel.com/legal/privacy-policy.

5. Cookies

Heroskills setzt nur technisch erforderliche Cookies — keine Tracking-Cookies, keine Werbe-Cookies, keine Third-Party-Cookies. Konkret:

• sb-<project>-auth-token: Session-Cookie nach Login (Supabase Auth), Lebensdauer 400 Tage.
• heroskills_device_id: anonyme Device-Kennung für den Kinder-Korridor, Lebensdauer 1 Jahr.
• heroskills_trial_started_at: technischer Anchor-Zeitstempel — wird während der Beta-Phase gesetzt, hat aktuell aber keine Auswirkung auf die Nutzung; Lebensdauer 1 Jahr.
• hs_kid_code: Kind-Code nach dem QR-Scan, damit das Homescreen-Icon direkt das Training des Kindes öffnet; Lebensdauer 1 Jahr.
• NEXT_LOCALE: gewählte Sprache, Lebensdauer 1 Jahr.

Zusätzlich legt die App technisch nötige Zustände im Browser-Speicher (localStorage) des Geräts ab, z. B. Kind-Code, Vorname und Avatar für den Kinder-Korridor; sie bleiben, bis sie im Browser gelöscht werden.

6. Wie lange wir speichern

• Trial-Daten (ohne Account): maximal 30 Tage nach Trial-Ende.
• Account-Daten: bis zur Löschung durch dich. Nach dem Lösch-Antrag bleiben die Daten 30 Tage in einer Grace-Periode (Rückgängigmachen möglich), danach werden sie unwiderruflich gelöscht.
• Zahlungsbelege: gesetzlich vorgeschriebene Aufbewahrung von 10 Jahren (Art. 958f OR).

7. Deine Rechte

Du hast jederzeit das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenportabilität und Widerruf einer einmal erteilten Einwilligung (mit Wirkung für die Zukunft). Anfragen bitte an info@heroskills.app.

Auskunft und Datenportabilität geht auch selbst: Unter Einstellungen → «Daten exportieren» lädst du alle Daten deines Kontos und deiner Kinder als JSON-Datei herunter, bei Teams die Team-Angaben und die von dir vergebenen Spieler-Namen. Nicht enthalten sind nur technische Schutzdaten (z. B. Rate-Limit-Zähler) und die Server-Protokolle unserer Dienstleister (z. B. IP-Adresse beim Login) — dazu geben wir auf Anfrage Auskunft.

Eltern haben zusätzlich das Recht, jederzeit die Daten ihrer Kinder einzusehen, zu korrigieren und zu löschen. Bei Beschwerden kannst du dich an den Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB, edoeb.admin.ch) oder die zuständige Aufsichtsbehörde im EU-Mitgliedstaat deines Wohnsitzes wenden.

8. Kinder unter 16 Jahren

Heroskills richtet sich an Kinder im Alter von 8 bis 16 Jahren. Die Datenverarbeitung erfolgt ausschliesslich durch das Eltern-Konto. Kinder haben keinen eigenen Account, keine eigene E-Mail-Adresse und keine direkte Anmeldemöglichkeit. Kinder können nur auf einem von den Eltern eingerichteten Familien-Gerät via Kid-Code in den Trainings-Korridor.

Wenn du als erziehungsberechtigte Person die Datenverarbeitung deines Kindes durch Heroskills nicht mehr möchtest, lösche das Kinder-Profil im Eltern-Bereich oder das ganze Eltern-Konto unter /settings.

9. Anwendbares Recht, Gerichtsstand

Es gilt schweizerisches Recht. Gerichtsstand für Streitigkeiten ist Chur, Schweiz, soweit keine zwingenden Konsumentenschutz-Bestimmungen ein anderes Gericht festlegen.

10. Änderungen dieser Erklärung

Wir aktualisieren diese Datenschutzerklärung gelegentlich, wenn sich unsere Datenverarbeitung ändert oder die rechtlichen Rahmenbedingungen das erfordern. Bei wesentlichen Änderungen informieren wir aktive Nutzer per E-Mail mindestens 30 Tage vor Inkrafttreten.