Datenschutzerklärung

Diese Datenschutzerklärung informiert Sie über die Verarbeitung personenbezogener Daten in der OnAim-App (iOS und Android) sowie auf dieser Website onaim.app gemäß der Datenschutz-Grundverordnung (DSGVO).

Stand: 28. Juli 2026

1. Verantwortlicher

Verantwortlicher im Sinne der DSGVO und sonstiger datenschutzrechtlicher Bestimmungen ist:

MAK C.E.T GmbH
Heidenfelder Str. 1
97525 Schwebheim
Deutschland

Vertretungsberechtigt: Herr Michael Ali Kilic
Telefon: +49 9723 93805-0
Telefax: +49 9723 93805-129
E-Mail: [email protected]

Registergericht: Amtsgericht Schweinfurt, HRB 6561
Umsatzsteuer-Identifikationsnummer (§ 27a UStG): DE287231582

2. Datenschutzbeauftragter

Wir sind gesetzlich nicht zur Bestellung eines Datenschutzbeauftragten verpflichtet. Für sämtliche Anfragen zum Datenschutz und zur Ausübung Ihrer Rechte wenden Sie sich bitte an den oben genannten Verantwortlichen.

3. Grundsätze und Speicherort

OnAim ist eine Begleit-App für den Schießsport (IPSC und BDS): persönliches Schießbuch, Wettkampfkalender, Trainingsauswertung und Ausrüstungsverwaltung. Wir verarbeiten personenbezogene Daten ausschließlich auf Servern innerhalb der Europäischen Union.

• Hosting: Hetzner Online GmbH, Rechenzentrum Frankfurt am Main (Deutschland). Mit Hetzner besteht ein Vertrag zur Auftragsverarbeitung (Art. 28 DSGVO).
• Datenbank: PostgreSQL, betrieben in derselben EU-Infrastruktur.
• Dateispeicher (Scheibenfotos): Hetzner Object Storage, Rechenzentrum Nürnberg (Deutschland) — derselbe Auftragsverarbeiter (Hetzner Online GmbH), anderer Dienst und Standort. Siehe Abschnitt 8.
• Übertragung: ausschließlich verschlüsselt über TLS 1.3.

4. Konto und Anmeldung (passwortlos)

Die Anmeldung erfolgt passwortlos per E-Mail: Sie erhalten einen Einmal-Anmeldecode (sechsstellig) bzw. einen Magic-Link. Verarbeitete Daten:

• Ihre E-Mail-Adresse
• ein kryptografischer Hash (SHA-256) des Anmeldecodes/Tokens — der Code selbst wird niemals im Klartext gespeichert
• IP-Adresse und Browser-/Geräte-Kennung (User-Agent) zum Zeitpunkt der Anmeldung, ausschließlich zur Missbrauchs- und Brute-Force-Abwehr (Ratenbegrenzung)

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Erfüllung des Nutzungsvertrags) sowie Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Sicherheit des Dienstes).
Speicherdauer: Anmeldecode/Token sind 15 Minuten gültig und einmalig nutzbar; abgelaufene Datensätze inkl. IP und User-Agent werden spätestens nach 7 Tagen automatisch gelöscht.

5. Profildaten

In Ihrem Nutzerprofil verarbeiten wir:

• E-Mail-Adresse
• Vor- und Nachname
• Verbandszugehörigkeit (z. B. BDS, DSB) und Disziplinen
• Vereinsname und ein optionaler Orts-Hinweis (z. B. Region)
• Spracheinstellung und Datenschutz-Einstellungen (Flags)

Ein Geburtsdatum oder Altersangaben werden nicht erhoben.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
Speicherdauer: bis zur Löschung des Kontos.

6. Ausrüstung / Waffendaten (optional)

Sie können — freiwillig — Angaben zu Ihrer Sportwaffe und Ausrüstung hinterlegen. Diese Funktion ist standardmäßig deaktiviert (Opt-in). Verarbeitet werden u. a.:

• Hersteller, Modell, Kaliber
• Seriennummer, WBK-Nummer (Waffenbesitzkarte) und WBK-Position
• Kaufdatum, Schusszähler, Notizen, Disziplin-Zuordnung

Diese Angaben bilden ein privates Verzeichnis. Sie sind ausschließlich für Sie sichtbar, werden niemals öffentlich angezeigt, nicht an Behörden übermittelt und nicht in das Nationale Waffenregister (NWR) eingespeist. Der Zugriff ist technisch streng nutzerbezogen abgesichert (Autorisierung über Ihre Nutzerkennung bei jeder Abfrage).
Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Ihre Einwilligung) bzw. Art. 6 Abs. 1 lit. b DSGVO zur Bereitstellung der Funktion. Die Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen.
Speicherdauer: bis Sie den Eintrag oder Ihr Konto löschen.

7. Schießbuch- und Trainingsdaten

Zur Führung Ihres Schießbuchs und der Trainingsauswertung verarbeiten wir die von Ihnen erfassten Einträge, insbesondere:

• Datum/Uhrzeit, Name der Schießstätte, Disziplin und Wertung
• verwendete Waffe, Ergebnisse/Trefferbild, Notizen und Wetterangaben
• Trainingskennzahlen (z. B. Distanz, Dauer, Gruppengröße)
• bei Wettkampf-/Nachweiseinträgen ggf. Name, Lizenznummer und Unterschrift der Standaufsicht (RO)

Sofern Sie Daten Dritter (z. B. der Standaufsicht) erfassen, sind Sie für die Rechtmäßigkeit dieser Eingabe mitverantwortlich. Diese Daten werden nicht veröffentlicht.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
Speicherdauer: bis zur Löschung des Eintrags oder des Kontos.

8. Scheibenfotos und automatische Trefferauswertung

In der Trainingsauswertung können Sie freiwillig ein Foto Ihrer Schießscheibe aufnehmen oder aus Ihrer Fotomediathek auswählen. Das Bild wird an unseren Server in der EU übertragen und dort automatisiert ausgewertet (Erkennung der Trefferlage). Die Funktion ist optional — Sie können Ihre Treffer jederzeit stattdessen manuell eintragen.

• Verarbeitete Daten: das Bild der Scheibe, die daraus berechneten Trefferkoordinaten und Wertungen sowie Ihre Nutzerkennung und der Zeitpunkt der Auswertung.
• Speicherort: Hetzner Object Storage, Rechenzentrum Nürnberg (Deutschland). Die Auswertung selbst läuft auf unserer eigenen Infrastruktur in der EU; es findet keine Übermittlung an Dritt-KI-Dienste statt.
• Keine automatisierte Entscheidung: das Ergebnis ist ein Vorschlag. Er wird Ihnen zur Prüfung angezeigt und ist vollständig korrigierbar; erst mit Ihrer Bestätigung wird er gespeichert. Eine automatisierte Entscheidung im Sinne des Art. 22 DSGVO liegt nicht vor.
• Bitte nur die Scheibe fotografieren. Achten Sie darauf, dass keine Personen und keine fremden Gegenstände mit abgebildet werden.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung — die Auswertung ist Teil der von Ihnen angeforderten Funktion).
Speicherdauer ohne Einwilligung (Standard): Das Foto wird unmittelbar nach der Auswertung gelöscht. Brechen Sie den Vorgang ab, ohne das Ergebnis zu bestätigen, wird das Foto spätestens nach 7 Tagen automatisch gelöscht. Die berechneten Koordinaten und Wertungen bleiben als Teil Ihres Trainingseintrags erhalten.

8.1 Freiwillige Einwilligung zur Modellverbesserung

Zusätzlich und getrennt davon können Sie einwilligen, dass Ihre Scheibenfotos und Ihre Korrekturen zur Verbesserung der automatischen Treffererkennung verwendet werden. Diese Einwilligung ist freiwillig: ohne sie funktioniert die Auswertung unverändert und in vollem Umfang.

• Die Daten werden ausschließlich innerhalb der EU gespeichert und verarbeitet und fließen pseudonymisiert in unseren Trainingsdatenbestand ein.
• Sie können die Einwilligung jederzeit in den Einstellungen widerrufen. Nach einem Widerruf werden auch die bereits aufgenommenen Fotos wieder aus dem Bestand entfernt und gelöscht; die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung bleibt unberührt.
• Jede Änderung dieser Einstellung wird protokolliert (Nachweisbarkeit der Einwilligung).

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung).

9. Mikrofon (Zeitmessung im Par-Timer)

Für die Zeitmessung im Training können Sie das Mikrofon aktivieren, damit der Beginn Ihres Durchgangs automatisch erkannt wird. Diese Funktion ist standardmäßig ausgeschaltet; die Mikrofonberechtigung wird erst abgefragt, wenn Sie sie einschalten.

Die Auswertung erfolgt ausschließlich auf Ihrem Gerät und in Echtzeit: Es wird lediglich der Zeitpunkt eines Signals ermittelt. Es wird keine Audioaufnahme erstellt, gespeichert oder übertragen. Die Audiodaten verlassen die native Verarbeitungsschicht des Geräts nicht und erreichen weder unsere Server noch Dritte. Es werden insoweit keine personenbezogenen Daten an uns übermittelt.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, soweit überhaupt eine Verarbeitung durch uns vorliegt.

10. Veröffentlichung von Ergebnissen

Eine Veröffentlichung von Ergebnissen (z. B. in Ranglisten) erfolgt nur, wenn Sie dies aktiv erlauben; standardmäßig ist sie deaktiviert bzw. abschaltbar (Opt-out).
Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO.

11. E-Mail-Versand und Drittlandbezug (AWS SES)

Für den Versand transaktionaler E-Mails (Anmeldecodes) nutzen wir Amazon Simple Email Service (Amazon Web Services EMEA SARL, Luxemburg), Region eu-central-1 (Frankfurt). An den E-Mail-Dienst werden ausschließlich Ihre E-Mail-Adresse und der einmalige Anmeldecode übermittelt — keine Namen, Verbands-, Waffen-, Schießbuch- oder Standortdaten.

Da die Muttergesellschaft (Amazon.com, Inc.) ihren Sitz in den USA hat, kann ein theoretischer Zugriff nach US-Recht (insb. CLOUD Act) nicht vollständig ausgeschlossen werden. Wir stützen die Übermittlung auf Standardvertragsklauseln der EU-Kommission (Art. 46 DSGVO) in Verbindung mit einem Transfer Impact Assessment und ergänzenden Maßnahmen (Regions-Bindung auf die EU, TLS-1.3-Verschlüsselung, minimaler Dateninhalt, kurzlebige Einmal-Tokens). Wir stützen uns nicht primär auf das EU-US Data Privacy Framework.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO; Übermittlung nach Art. 46 DSGVO.

11a. Abonnementverwaltung und Drittlandbezug (RevenueCat)

Für die Verwaltung des kostenpflichtigen Abonnements OnAim Pro setzen wir RevenueCat, Inc., Brandon, Florida (USA), als Auftragsverarbeiter ein. RevenueCat ordnet die Kauf-, Verlängerungs- und Kündigungsmeldungen des App Store bzw. von Google Play Ihrem OnAim-Konto zu und liefert die Inhalte des Abo-Bildschirms aus.

• Übermittelte Daten: eine pseudonyme Nutzerkennung (zufällige UUID), das gekaufte Produkt und dessen Laufzeit, Kauf-, Verlängerungs-, Kündigungs- und Erstattungsereignisse, das Ablaufdatum, der Store (Apple/Google), Land, IP-Adresse sowie Gerätetyp, App-Version und Spracheinstellung.
• Nicht übermittelt werden: Ihr Name, Ihre E-Mail-Adresse, Verbands- und Vereinsangaben, Waffen- und Ausrüstungsdaten, Schießbuch- und Trainingsdaten, Scheibenfotos sowie Standortdaten. Ihre Kennung bei RevenueCat lässt sich ohne unsere Datenbank keiner Person zuordnen.
• Zahlungsdaten erhalten weder wir noch RevenueCat. Der Kaufvertrag kommt mit dem jeweiligen Store-Betreiber zustande; die Zahlungsabwicklung erfolgt ausschließlich dort (siehe Nutzungsbedingungen).

Auch ohne Abonnement betroffen: Die Inhalte des Abo-Bildschirms (Preise, Texte, Gestaltung) werden zur Laufzeit über das Content-Delivery-Netz von RevenueCat geladen. Dabei wird bereits beim bloßen Öffnen dieses Bildschirms Ihre IP-Adresse an RevenueCat übermittelt — auch dann, wenn Sie kein Abonnement abschließen und OnAim dauerhaft kostenlos nutzen. Der Bildschirm wird erst geladen, wenn Sie ihn selbst öffnen; beim Start der App findet keine Verbindung zu RevenueCat statt.

Drittlandbezug: RevenueCat hat seinen Sitz in den USA und betreibt seine Systeme bei Amazon Web Services in den USA. Eine Speicherung ausschließlich innerhalb der EU bietet der Anbieter nicht an — anders als beim E-Mail-Versand nach Abschnitt 11 ist eine Regions-Bindung hier technisch nicht möglich. RevenueCat setzt seinerseits Unterauftragsverarbeiter ein, die sämtlich in den USA ansässig sind. Ein Zugriff nach US-Recht (insbesondere CLOUD Act und FISA 702) lässt sich daher nicht ausschließen.

Wir stützen die Übermittlung auf Standardvertragsklauseln der EU-Kommission (Art. 46 DSGVO) in Verbindung mit einem Transfer Impact Assessment und ergänzenden Maßnahmen: Pseudonymisierung (keine Klarnamen, keine E-Mail-Adressen), strikte Datenminimierung, Verzicht auf Werbe-, Attributions- und Marketing-Integrationen, keine Erhebung von Geräte-Werbekennungen sowie Löschung des Datensatzes bei Löschung Ihres Kontos. Wir stützen uns nicht auf das EU-US Data Privacy Framework.

Die Entscheidung, ob Ihr Konto Pro-Funktionen erhält, treffen ausschließlich unsere Server in der EU. RevenueCat ist für uns lediglich eine Ereignisquelle, nicht die entscheidende Stelle.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Verwaltung des von Ihnen abgeschlossenen Abonnements); Übermittlung nach Art. 46 DSGVO.
Speicherdauer: für die Dauer des Abonnements und der steuer-/handelsrechtlich gebotenen Nachvollziehbarkeit; bei Löschung Ihres Kontos wird zusätzlich die Löschung bei RevenueCat veranlasst.

12. Server- und Sicherheitsprotokolle

Zur Sicherheit, Nachvollziehbarkeit (Art. 30 DSGVO) und Abwehr von Angriffen protokollieren wir sicherheitsrelevante Vorgänge (z. B. Profiländerungen, fehlgeschlagene Anmeldungen) zusammen mit Ihrer Nutzerkennung, dem Zeitpunkt und der IP-Adresse.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Sicherheit und Integrität).
Speicherdauer: in der Regel 90 Tage, danach automatische Löschung bzw. Anonymisierung.

Beim Aufruf dieser Website werden durch den Hosting-Dienstleister technisch notwendige Zugriffsdaten (IP-Adresse, Datum/Uhrzeit, abgerufene Ressource, User-Agent) verarbeitet und kurzfristig gespeichert (Server-Logfiles).

13. Speicherung auf Ihrem Gerät

Die App speichert Ihre Daten zusätzlich lokal auf dem Gerät (verschlüsselte SQLite-Datenbank), damit die App offline funktioniert. Ihr Anmelde-Token (JWT) wird im sicheren Speicher des Betriebssystems abgelegt (iOS Keychain / Android Keystore). Einige Einstellungen (z. B. markierte Wettkämpfe, Benachrichtigungs- und Checklisten) verbleiben ausschließlich lokal und werden nicht an unsere Server übertragen. Mit Deinstallation der App werden diese lokalen Daten gelöscht.

14. Benachrichtigungen

Erinnerungen werden als lokale Benachrichtigungen direkt auf Ihrem Gerät erzeugt. Es kommt kein Push-Dienst (z. B. Firebase Cloud Messaging) zum Einsatz; es werden keine Push-Token an Server übermittelt.

15. Karten und Wettkampfkalender

Zur Darstellung von Wettkampf-Standorten kann Kartenmaterial von OpenStreetMap (OpenStreetMap Foundation) geladen werden. Dabei wird Ihre IP-Adresse technisch bedingt an den Kartendienst übermittelt. Wettkampftermine werden aus öffentlich zugänglichen Quellen zusammengeführt; Details hierzu finden Sie unter onaim.app/about/bot.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.

16. Keine Werbe- und Trackingdienste

OnAim verwendet keine Werbe- oder Trackingdienste: kein Google Analytics, kein Firebase Analytics, keine Werbekennungen (IDFA/AAID), kein anbieter- oder geräteübergreifendes Tracking, keine Attributions- oder Marketing-Netzwerke und kein Profiling zu Werbezwecken. Es werden keine Daten zu Werbezwecken verarbeitet oder an Dritte verkauft.

Damit diese Aussage zutreffend bleibt, grenzen wir drei Punkte ausdrücklich ab:

• Abo-Bildschirm: RevenueCat (Abschnitt 11a) zählt, wie oft der Abo-Bildschirm angezeigt wurde und wie oft daraus ein Abschluss hervorgeht. Diese Messung bezieht sich ausschließlich auf diesen einen Bildschirm und dient allein dessen Bewertung; sie wird nicht mit Ihren Schießbuch-, Ausrüstungs- oder Profildaten zusammengeführt. A/B-Tests und zielgruppenbezogene Ausspielung sind abgeschaltet und werden nicht ohne vorherige Änderung dieser Erklärung aktiviert.
• Fehlerdiagnose: In die App ist kein Crash-Reporting-SDK eingebunden (kein Crashlytics, kein Sentry). Unsere Auftragsverarbeiter setzen für den Betrieb ihrer eigenen Systeme eigene Diagnose- und Protokollwerkzeuge ein; diese Verarbeitung findet auf deren Seite statt und ist Teil des jeweiligen Auftragsverarbeitungsverhältnisses.
• Trefferauswertung nach Abschnitt 8: eine von Ihnen aktiv ausgelöste Funktion der App, kein Analyse- oder Tracking-Dienst. Sie erfolgt ohne Profilbildung und ohne Werbebezug.

17. Schriftarten auf dieser Website

Diese Website bindet Schriftarten über Google Fonts (Google Ireland Limited) ein. Beim Laden der Schriftarten wird Ihre IP-Adresse an Google übertragen. Anbieter ist Google Ireland Limited; weitere Informationen unter policies.google.com/privacy.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (einheitliche, barrierearme Darstellung).

18. Empfänger und Auftragsverarbeiter

Eine Weitergabe Ihrer Daten erfolgt nur an die zur Erbringung des Dienstes erforderlichen Auftragsverarbeiter (Art. 28 DSGVO):

• Hetzner Online GmbH — Hosting (EU, Frankfurt)
• Hetzner Online GmbH — Object Storage für Scheibenfotos (EU, Nürnberg); derselbe Auftragsverarbeiter, weiterer Dienst
• Amazon Web Services EMEA SARL — transaktionaler E-Mail-Versand (eu-central-1)
• RevenueCat, Inc. — Verwaltung des Pro-Abonnements (USA); Einzelheiten und Drittlandbezug siehe Abschnitt 11a

Für die automatische Trefferauswertung (Abschnitt 8) werden keine externen KI- oder Bildanalyse-Dienste eingesetzt; sie läuft auf unserer eigenen Infrastruktur innerhalb der EU. Die von RevenueCat eingesetzten Unterauftragsverarbeiter betreffen ausschließlich die Abonnementverwaltung und sind in Abschnitt 11a beschrieben.

Ein Verkauf personenbezogener Daten findet nicht statt.

19. Ihre Rechte

Ihnen stehen folgende Rechte zu:

• Auskunft (Art. 15 DSGVO)
• Berichtigung (Art. 16 DSGVO)
• Löschung (Art. 17 DSGVO) — Sie können Ihr Konto direkt in der App löschen (Einstellungen → Konto löschen). Das Konto wird zunächst zum Löschen vorgemerkt und nach 30 Tagen endgültig gelöscht; melden Sie sich innerhalb dieser Frist erneut an, wird die Löschung automatisch abgebrochen. Dabei werden Ihre Profil-, Waffen- und Schießbuchdaten unwiderruflich entfernt. Eine Anleitung (auch per E-Mail) finden Sie unter onaim.app/konto-loeschen
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruch (Art. 21 DSGVO)
• Widerruf erteilter Einwilligungen (Art. 7 Abs. 3 DSGVO) mit Wirkung für die Zukunft

Zur Ausübung genügt eine Nachricht an [email protected].

20. Beschwerderecht bei der Aufsichtsbehörde

Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren (Art. 77 DSGVO). Die für uns zuständige Behörde ist das Bayerische Landesamt für Datenschutzaufsicht (BayLDA), Promenade 18, 91522 Ansbach.

21. Minderjährige

OnAim richtet sich ausschließlich an volljährige Sportschützen (ab 18 Jahren) und ist nicht für Kinder und Jugendliche unter 18 Jahren bestimmt. Wir erheben nicht wissentlich personenbezogene Daten von Personen unter 18 Jahren; sollten uns solche Daten bekannt werden, löschen wir sie.

22. Datensicherheit

Wir setzen angemessene technische und organisatorische Maßnahmen ein (Art. 32 DSGVO): TLS-1.3-Verschlüsselung der Übertragung, Verschlüsselung der Datenbank im Ruhezustand (at-rest), streng nutzerbezogene Zugriffskontrolle sowie ausschließlich gehashte (SHA-256) Speicherung von Anmeldecodes/Tokens.

23. Änderungen dieser Erklärung

Wir passen diese Datenschutzerklärung an, wenn sich der Funktionsumfang oder die Rechtslage ändert. Es gilt jeweils die hier veröffentlichte aktuelle Fassung.