Datenschutzerklärung

Stand: Juli 2026

Der Schutz deiner personenbezogenen Daten ist uns wichtig. Diese Datenschutzerklärung informiert dich gemäß der Datenschutz-Grundverordnung (DSGVO), dem österreichischen Datenschutzgesetz (DSG) und dem Telekommunikationsgesetz (TKG 2021) darüber, welche personenbezogenen Daten wir im Rahmen unserer Plattform „up2you Arena" / „Strong Country Challenge" (Website, Progressive Web App und zugehörige Dienste) verarbeiten, zu welchen Zwecken und auf welcher Rechtsgrundlage.

1. Verantwortlicher

Verantwortlicher im Sinne des Art. 4 Z 7 DSGVO ist:

Malloriffa GmbH
Zelletaustraße 27/2
4240 Freistadt
Oberösterreich, Österreich

Geschäftsführung: Mag. Walter Rene Rudorfer, Manuel Riegler
Firmenbuchgericht: Landesgericht Linz

E-Mail: office@malloriffa.at
Website: https://malloriffa.com

Für alle Anliegen zum Datenschutz und zur Ausübung deiner Rechte erreichst du uns unter office@malloriffa.at.

Ein:e Datenschutzbeauftragte:r ist gesetzlich nicht verpflichtend zu bestellen und wurde nicht bestellt.

2. Allgemeines und Rechtsgrundlagen

Wir verarbeiten personenbezogene Daten nur, soweit dies für die Bereitstellung einer funktionsfähigen Plattform sowie unserer Inhalte und Leistungen erforderlich ist. Die Verarbeitung erfolgt auf Grundlage von:

Art. 6 Abs. 1 lit. b DSGVO – Erfüllung eines Vertrags bzw. vorvertraglicher Maßnahmen (z. B. Nutzerkonto, Teilnahme an Challenges/Events, Bestellungen);
Art. 6 Abs. 1 lit. a DSGVO (ggf. i. V. m. Art. 9 Abs. 2 lit. a DSGVO) – deine Einwilligung (z. B. Newsletter, gesundheitsbezogene Wertungskategorien, Reichweitenmessung, optionale Standortnutzung);
Art. 6 Abs. 1 lit. c DSGVO – Erfüllung rechtlicher Verpflichtungen (z. B. steuer- und handelsrechtliche Aufbewahrung);
Art. 6 Abs. 1 lit. f DSGVO – Wahrung unserer berechtigten Interessen (z. B. Sicherheit, Stabilität und Missbrauchsvermeidung des Betriebs).

Eine erteilte Einwilligung kannst du jederzeit mit Wirkung für die Zukunft widerrufen. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt.

3. Verarbeitete Daten, Zwecke und Rechtsgrundlagen

3.1 Nutzerkonto und Registrierung

Zur Erstellung und Verwaltung deines Kontos verarbeiten wir: Name bzw. Vor- und Nachname, Nickname (öffentlich sichtbar), E-Mail-Adresse, verschlüsseltes Passwort (Hash), gegebenenfalls Telefonnummer, Geburtsdatum, Geschlecht, Anschrift (Straße, PLZ, Ort), Profilbild sowie – sofern von dir angegeben – deinen Wohnort inklusive Geokoordinaten.

Zweck: Bereitstellung des Kontos, Authentifizierung, Zuordnung deiner Aktivitäten und Wertungen.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertrag); optionale Angaben auf Grundlage deiner Einwilligung (lit. a).

3.2 Anmeldung und Authentifizierung

Die Authentifizierung erfolgt über unseren Dienstleister Supabase (Auth/Token). Optional kannst du dich in bestimmten Bereichen über das Bonus-/Login-Programm HelloAgain anmelden; dabei werden von HelloAgain Kennung, E-Mail und Name an uns übermittelt und ein lokales Konto verknüpft. Umgekehrt können wir HelloAgain die Buchung von Bonuspunkten (z. B. für absolvierte Strecken) übermitteln, sofern du dieses Programm nutzt.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO; bei Nutzung von HelloAgain zusätzlich deine Einwilligung (lit. a).

3.3 Aktivitäts- und Standortdaten (GPS-Tracking)

Wenn du eine Aktivität aufzeichnest oder an einer Challenge/Etappe teilnimmst, verarbeiten wir Standort- und Bewegungsdaten: die aufgezeichnete GPS-Route (Streckenverlauf), Zwischenspeicherungen der laufenden Aufzeichnung, Start-/ Endzeit, Dauer, Distanz, Höhenmeter, Deckungsgrad mit der Sollstrecke, Aktivitätstyp sowie technische Geräteinformationen.

Diese Daten bilden ein Bewegungsprofil und sind besonders schützenswert. Die Standorterfassung erfolgt ausschließlich während einer aktiven Aufzeichnung und nur nach Freigabe des Standortzugriffs durch dich in deinem Gerät/Browser.

Zweck: Erbringung der Tracking-Leistung, Auswertung und Ranglisten.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertrag) sowie deine Einwilligung in die Standortnutzung (lit. a).

3.4 Teilnahme an der „Trail Trophy Series" – besondere Kategorien (Gesundheitsdaten)

Für Wertungskategorien der Trail Trophy Series kannst du freiwillig zusätzliche Angaben machen, die als Gesundheitsdaten im Sinne des Art. 9 DSGVO gelten können: Angabe, ob du in den letzten 12 Monaten mit dem Rauchen aufgehört hast, ob du im letzten Jahr mehr als 5 kg abgenommen hast, ob du kürzlich mit dem Laufen begonnen hast; ferner Geburtsdatum, Geschlecht und Altersklasse.

Diese Angaben sind freiwillig und dienen ausschließlich der Einordnung in zusätzliche Sonderwertungen. Ohne diese Angaben nimmst du an den betreffenden Sonderwertungen nicht teil; die übrige Teilnahme bleibt möglich.

Rechtsgrundlage: ausdrückliche Einwilligung gemäß Art. 9 Abs. 2 lit. a DSGVO, jederzeit mit Wirkung für die Zukunft widerrufbar.

3.5 Zahlungsabwicklung

Bei kostenpflichtigen Leistungen (z. B. Events, Serien, Shop) wird die Zahlung über unseren Zahlungsdienstleister Stripe abgewickelt (Zahlungsarten u. a. Kreditkarte, EPS). An Stripe werden die für die Zahlung erforderlichen Daten übermittelt (z. B. E-Mail, Name, Betrag, eine Kundenkennung). Vollständige Zahlungsmittel-/Kartendaten werden ausschließlich bei Stripe verarbeitet und nicht bei uns gespeichert. Wir speichern Zahlungs-Metadaten (z. B. Transaktions-/ Sitzungskennung, Betrag, Status, Kundenkennung) zur Vertrags- und Buchhaltungsabwicklung.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertrag) sowie Art. 6 Abs. 1 lit. c DSGVO (steuer-/handelsrechtliche Pflichten).

3.6 Shop-Bestellungen und Versand

Bei Bestellungen im Shop verarbeiten wir Bestell- und Lieferdaten (Name, Lieferanschrift, Produkt, Menge, Betrag). Zur Erstellung von Versandetiketten und Sendungsverfolgung nutzen wir den Dienstleister Sendcloud; Versandbestätigungen versenden wir per E-Mail über unseren Mailserver (Strato).

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertrag); Aufbewahrung gemäß lit. c.

3.7 Newsletter

Sofern du unseren Newsletter abonnierst, verarbeiten wir deine E-Mail-Adresse und ggf. deinen Namen. Die Anmeldung erfolgt im Double-Opt-In-Verfahren (Bestätigung per E-Mail). Du kannst den Newsletter jederzeit über den Abmeldelink oder per Nachricht an office@malloriffa.at abbestellen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung).

3.8 Community-Funktionen

Nutzt du soziale Funktionen (Verbindungen/„Freunde", Kommentare, Reaktionen, Sichtbarkeit von Aktivitäten), verarbeiten wir die dabei anfallenden Inhalte und Zuordnungen. Die Sichtbarkeit deiner Aktivitäten und deine Auffindbarkeit steuerst du selbst über deine Einstellungen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO bzw. deine Einwilligung (lit. a).

3.9 Protokoll-, Support- und Fehlerdaten

Zur Sicherstellung eines stabilen und sicheren Betriebs verarbeiten wir technische Protokolle, Support-/Änderungsprotokolle zu administrativen Eingriffen sowie Fehlerberichte der Anwendung (z. B. Fehlermeldung, betroffene Seite, technischer Kontext, Browserkennung/User-Agent). Diese Verarbeitung dient der Fehleranalyse, Sicherheit und Missbrauchsvermeidung.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Betrieb und Sicherheit).

3.10 Reichweitenmessung / Besucheranalyse

Zur Verbesserung unseres Angebots können wir Besuchs- und Nutzungsdaten (z. B. aufgerufene Seiten, Verweildauer, Herkunft/Referrer, Kampagnenparameter „UTM") sowie eine pseudonyme Besucherkennung verarbeiten. Ein hierfür genutztes Cookie wird nur mit deiner Einwilligung gesetzt.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung); im Übrigen Art. 6 Abs. 1 lit. f DSGVO.

4. Cookies und lokale Speicherung

Wir verwenden Cookies und vergleichbare Technologien (lokaler Speicher des Browsers, Service-Worker-Caches):

Technisch notwendig (keine Einwilligung erforderlich): Sitzungs-Cookie zur Anmeldung (SCC_SESSION, mit den Attributen HttpOnly, SameSite=Lax, im Produktivbetrieb Secure), Token zum Schutz vor Cross-Site-Request-Forgery (CSRF), im lokalen Speicher hinterlegte Anmelde-Token (arena_token, Supabase-Token) sowie Service-Worker-Caches für die Offline-Fähigkeit der App.
Einwilligungspflichtig: Besucher-/Reichweiten-Cookie (scc_visitor_id, Speicherdauer bis zu 1 Jahr) für die Analyse gemäß Punkt 3.10.

Du kannst Cookies in deinen Browsereinstellungen verwalten und löschen. Das Deaktivieren technisch notwendiger Cookies kann die Funktionsfähigkeit einschränken.

5. Empfänger und Auftragsverarbeiter

Zur Erbringung unserer Leistungen setzen wir sorgfältig ausgewählte Dienstleister ein, mit denen Auftragsverarbeitungsverträge gemäß Art. 28 DSGVO bestehen:

Strato (STRATO GmbH) – Webhosting, Server, E-Mail-Versand – Deutschland (EU)
Supabase – Datenbank, Datei-Speicher, Authentifizierung – EU-Region (Stockholm, Schweden); Anbieter mit US-Bezug
Stripe – Zahlungsabwicklung – EU (Stripe Payments Europe, Irland) / USA
HelloAgain (HelloAgain GmbH) – Login-/Bonusprogramm (optional) – Österreich (EU)
Sendcloud (Sendcloud B.V.) – Versandetiketten, Sendungsverfolgung – Niederlande (EU)

Eine Weitergabe deiner Daten an sonstige Dritte erfolgt nur, wenn dies gesetzlich zulässig oder erforderlich ist, du eingewilligt hast oder es zur Vertragserfüllung notwendig ist.

6. Übermittlung in Drittländer

Beim Aufruf bestimmter Funktionen werden Inhalte von Anbietern geladen bzw. Daten verarbeitet, die einen Bezug zu Drittländern (insbesondere den USA) aufweisen können – u. a. bei Karten- und Schriftarten-/Skript-Diensten (siehe Punkt 7) sowie ggf. konzernintern bei Stripe und Supabase. Dabei kann insbesondere deine IP-Adresse an Server außerhalb der EU/des EWR übermittelt werden.

Soweit ein Anbieter in den USA sitzt, stützen wir eine Übermittlung – sofern anwendbar – auf einen Angemessenheitsbeschluss (EU-US Data Privacy Framework), andernfalls auf Standardvertragsklauseln der EU-Kommission gemäß Art. 46 DSGVO bzw. auf deine ausdrückliche Einwilligung gemäß Art. 49 Abs. 1 lit. a DSGVO. Ein dem EU-Recht entsprechendes Datenschutzniveau kann in Drittländern nicht in jedem Fall garantiert werden.

7. Kartendienste und Schriftarten

Zur Darstellung von Karten und Strecken nutzen wir Kartenmaterial u. a. von OpenStreetMap, Esri/ArcGIS und CARTO sowie zugehörige Programmbibliotheken, die über Content-Delivery-Netzwerke (u. a. unpkg/Cloudflare, jsDelivr, cdnjs) ausgeliefert werden. Beim Laden dieser Karteninhalte wird deine IP-Adresse an die jeweiligen Anbieter übertragen. Teile dieser Anbieter haben ihren Sitz in Drittländern (siehe Punkt 6).

Schriftarten werden ausschließlich von unseren eigenen Servern (lokal) ausgeliefert; es findet dabei keine Übertragung an externe Schriftarten-Anbieter (z. B. Google Fonts) statt.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (ansprechende, funktionsfähige Darstellung) bzw. – soweit einwilligungspflichtig – Art. 6 Abs. 1 lit. a DSGVO.

8. Speicherdauer

Wir speichern personenbezogene Daten nur so lange, wie es für die genannten Zwecke erforderlich ist oder gesetzliche Aufbewahrungspflichten bestehen:

Konto-, Aktivitäts- und Standortdaten: bis zur Löschung deines Kontos bzw. bis zum Widerruf der jeweiligen Einwilligung;
Rechnungs- und Zahlungsdaten: aufgrund gesetzlicher Aufbewahrungspflichten 7 Jahre (§ 132 BAO, § 212 UGB);
Newsletter-Daten: bis zur Abmeldung bzw. zum Widerruf;
Einwilligungsbasierte Daten (z. B. Gesundheitsangaben, Reichweitenmessung): bis zum Widerruf;
Protokoll-/Fehlerdaten: grundsätzlich kurzfristig, längstens solange für Sicherheit und Fehleranalyse erforderlich.

Nach Ablauf werden die Daten gelöscht oder datenschutzkonform anonymisiert.

9. Minderjährige

Unsere Angebote richten sich auch an Personen unter 18 Jahren (u. a. Altersklassen unter 18). Für die auf Einwilligung gestützte Verarbeitung im Rahmen von Diensten der Informationsgesellschaft gilt in Österreich gemäß § 4 Abs. 4 DSG eine Altersgrenze von 14 Jahren; bei jüngeren Personen ist die Zustimmung der/des Erziehungsberechtigten erforderlich. Eltern bzw. Erziehungsberechtigte können sich jederzeit an office@malloriffa.at wenden.

10. Deine Rechte

Dir stehen nach der DSGVO folgende Rechte zu:

Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20);
Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21);
Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft (Art. 7 Abs. 3).

Zur Ausübung genügt eine Nachricht an office@malloriffa.at.

Unabhängig davon hast du ein Beschwerderecht bei der Aufsichtsbehörde:
Österreichische Datenschutzbehörde, Barichgasse 40–42, 1030 Wien, E-Mail: dsb@dsb.gv.at, Web: www.dsb.gv.at.

11. Keine automatisierte Entscheidungsfindung

Eine automatisierte Entscheidungsfindung einschließlich Profiling mit rechtlicher Wirkung oder ähnlich erheblicher Beeinträchtigung im Sinne des Art. 22 DSGVO findet nicht statt. Ranglisten und Wertungen dienen ausschließlich dem sportlichen Vergleich.

12. Datensicherheit

Wir treffen angemessene technische und organisatorische Maßnahmen, um deine Daten zu schützen. Die Übertragung erfolgt verschlüsselt (TLS/HTTPS); Passwörter werden ausschließlich als kryptografischer Hash gespeichert.

13. Änderungen dieser Datenschutzerklärung

Wir passen diese Datenschutzerklärung an, wenn sich unsere Verarbeitungen oder die Rechtslage ändern. Es gilt jeweils die auf dieser Seite veröffentlichte aktuelle Fassung.