DATENSCHUTZERKLÄRUNG

Wenn Sie über diese Seite einen Termin buchen, verarbeiten wir die dafür erforderlichen Angaben: Ihren Vornamen (Pflichtangabe), Ihren Nachnamen (freiwillig), Ihre Telefonnummer (Pflichtangabe), die von Ihnen gewählte Leistung, den gewünschten Termin sowie — sofern wir das anbieten — die von Ihnen gewählte Mitarbeiterin.

Zusätzlich speichern wir, ob Sie den Hinweis zu den bei der Behandlung eingesetzten Stoffen zur Kenntnis genommen haben. Gespeichert wird dabei ausschließlich ein Ja/Nein-Wert, keine Gesundheitsdaten.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Durchführung des Behandlungsvertrags und vorvertragliche Maßnahmen). Ohne diese Angaben können wir keinen Termin verbindlich vereinbaren.

Für die Online-Terminbuchung und die Terminverwaltung setzen wir die Software „Bellora Booking“ ein. Anbieter ist Daniel Gossen, Einzelunternehmen Bellora, Lothringer Straße 15, 49393 Lohne, Deutschland, E-Mail: datenschutz@bellora-booking.de.

Der Anbieter verarbeitet Ihre Daten ausschließlich in unserem Auftrag und nach unserer Weisung auf Grundlage eines Auftragsverarbeitungsvertrags nach Art. 28 DSGVO. Verantwortliche Stelle bleiben wir als Studio.

Die Buchungsseite und die zugehörige Datenbank werden von den folgenden Auftragsverarbeitern betrieben. Die Verarbeitung findet auf Servern innerhalb der Europäischen Union statt:

• Vercel Inc., 440 N Barranca Avenue #4133, Covina, CA 91723, USA — Hosting der Anwendung, Verarbeitung in der EU-Region Frankfurt am Main
• Supabase, Inc., 970 Toa Payoh North #07-04, Singapore 318992 — Datenbank und Anmeldeverwaltung, Verarbeitung in der EU-Region Frankfurt am Main
• Hetzner Online GmbH, Industriestraße 25, 91710 Gunzenhausen, Deutschland — Server für automatisierte Abläufe, zum Beispiel Terminerinnerungen
• Upstash, Inc., 651 N Broad St, Suite 206, Middletown, DE 19709, USA — Schutz vor automatisierten Angriffen, Verarbeitung in der EU-Region Irland

Mit allen genannten Anbietern bestehen Verträge zur Auftragsverarbeitung. Soweit es sich um Unternehmen mit Sitz außerhalb der EU handelt und ein Zugriff aus einem Drittland nicht vollständig ausgeschlossen werden kann, ist die Übermittlung zusätzlich durch die Standardvertragsklauseln der EU-Kommission abgesichert.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem sicheren und stabilen Betrieb) sowie, soweit die Verarbeitung der Terminbuchung dient, Art. 6 Abs. 1 lit. b DSGVO.

Beim Aufruf der Seite fallen technische Verbindungsdaten an, unter anderem IP-Adresse, Datum und Uhrzeit des Zugriffs, die aufgerufene Seite sowie Browser und Betriebssystem. Diese Server-Protokolle werden bei Vercel gespeichert und nach drei Monaten automatisch gelöscht.

Um automatisierte Angriffe abzuwehren, begrenzen wir die Zahl der Anfragen je IP-Adresse. Dafür werden IP-Adresse und Zeitstempel kurzzeitig bei Upstash gespeichert und — je nach Funktion — nach einer bis fünfzehn Minuten automatisch gelöscht.

Sicherheitsrelevante Vorgänge wie Buchungen, Stornierungen oder fehlgeschlagene Anmeldeversuche werden zusätzlich protokolliert. Diese Protokolle enthalten weder Namen noch Telefonnummern, sondern nur technische Kennungen, den Vorgangstyp und den Zeitpunkt. Speicherdauer: TODO(rechtlich) — Löschfrist für die Sicherheitsprotokolle festlegen und eintragen (im Verarbeitungsverzeichnis vom 31.05.2026 als „noch nicht automatisiert, 90 Tage geplant“ vermerkt).

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Sicherheit und Verfügbarkeit der Buchungsseite).

Brechen Sie den Buchungsvorgang ab, nachdem Sie Ihre Telefonnummer eingegeben haben, wird dieser Vorgang technisch erfasst: Telefonnummer, eine gegebenenfalls erteilte Einwilligung, die gewählte Leistung und das gewählte Zeitfenster. Diese Daten werden nach sieben Tagen automatisch und vollständig gelöscht.

Eine Kontaktaufnahme wegen einer abgebrochenen Buchung findet nicht statt; die entsprechende Funktion ist systemweit deaktiviert.

Rechtsgrundlage: TODO(rechtlich) — Rechtsgrundlage für die Erfassung abgebrochener Buchungsvorgänge anwaltlich festlegen. Das Verarbeitungsverzeichnis beschreibt die Verarbeitung, trifft aber bewusst keine Aussage zu Art. 6 DSGVO.

Ist Ihr Wunschtermin nicht verfügbar, können Sie sich auf eine Warteliste setzen lassen. Gespeichert werden Ihr Name, Ihre Telefonnummer, die gewünschte Leistung, auf Wunsch eine bevorzugte Mitarbeiterin, Ihre bevorzugten Wochentage und Uhrzeiten sowie ein Ablaufdatum und ein Abmelde-Token.

Rechtsgrundlage ist Ihre ausdrückliche Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO. Sie können diese jederzeit mit Wirkung für die Zukunft widerrufen — über den Abmeldelink oder durch eine Nachricht an uns.

Nach Ablauf des hinterlegten Ablaufdatums wird der Wartelisteneintrag vollständig gelöscht. Es verbleiben keine personenbezogenen Daten.

Sofern Sie bei der Buchung ausdrücklich einwilligen, senden wir Ihnen Terminbestätigungen und Terminerinnerungen über die WhatsApp Business Platform (Cloud API). Anbieter ist Meta Platforms Ireland Ltd., Dublin, Irland.

Übermittelt werden Ihre Telefonnummer und der Nachrichtentext. Die Nachrichten sind bewusst datenarm: Sie enthalten Ihren Vornamen, den Namen des Studios, Datum und Uhrzeit des Termins sowie einen Link. Die Bezeichnung der gebuchten Behandlung wird nicht über WhatsApp übermittelt.

Antworten, die Sie uns über WhatsApp senden, speichern wir nicht dauerhaft. Gespeichert wird lediglich ein technischer Gesprächskontext (Telefonnummer, Kanal, Zahl der Interaktionen, Zeitpunkt der letzten Nachricht); er wird 60 Tage nach der letzten Interaktion automatisch gelöscht.

Rechtsgrundlage ist Ihre Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO. Sie können die Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen, zum Beispiel durch eine Antwort mit „STOP“ oder über den Abmeldelink in der Nachricht.

TODO(rechtlich) — Zu bestätigen sind die genaue Firmierung und Anschrift des WhatsApp-Anbieters (das Verarbeitungsverzeichnis nennt Meta Platforms Ireland Ltd., Dublin; die Plattform-Datenschutzerklärung nennt WhatsApp Ireland Limited, 4 Grand Canal Square, Dublin 2) sowie die Grundlage einer etwaigen Datenübermittlung in die USA. Das Verarbeitungsverzeichnis vom 31.05.2026 weist die datenschutzrechtliche Bewertung als noch ausstehend aus.

Auf dieser Seite beantwortet ein KI-gestützter Assistent häufige Fragen, etwa zu Leistungen, Öffnungszeiten oder Anfahrt. Sie müssen sich dafür nicht anmelden; Name und Telefonnummer werden dabei nicht erhoben. Verarbeitet wird ausschließlich Ihre Freitextfrage (höchstens 500 Zeichen).

Zur Erzeugung der Antwort wird Ihre Frage an Mistral AI SAS, 15 Rue des Halles, 75001 Paris, Frankreich, übermittelt. Die Verarbeitung erfolgt auf Servern innerhalb der EU; eine Übermittlung in ein Drittland findet nicht statt. Gesprächsverläufe werden nicht gespeichert — jede Anfrage steht für sich.

Hinweis nach Art. 50 der Verordnung (EU) 2024/1689 (KI-Verordnung): Sie kommunizieren an dieser Stelle mit einem KI-System.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO beziehungsweise Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer schnellen Beantwortung von Anfragen).

TODO(rechtlich) — Bestand des Auftragsverarbeitungsvertrags mit Mistral AI bestätigen. Im Verarbeitungsverzeichnis vom 31.05.2026 ist er als „in Prüfung“ vermerkt.

Ist es nicht zu einem Termin gekommen, werden Ihre personenbezogenen Daten sieben Tage nach der Erhebung automatisch anonymisiert.

Nach einem wahrgenommenen Termin werden Ihre personenbezogenen Daten automatisch anonymisiert, sobald Sie seit 12 Monaten keinen weiteren Termin mehr hatten.

Anonymisierung bedeutet: Name, Telefonnummer und Notizen werden unwiderruflich entfernt. Erhalten bleiben ausschließlich Buchungsdaten ohne Personenbezug, zum Beispiel Datum, Leistung und Preis. Diese müssen wir nach § 147 AO und § 257 HGB zehn Jahre aufbewahren; nach Ablauf dieser Frist werden auch sie vollständig gelöscht.

Die Löschläufe erfolgen automatisiert einmal täglich.

Die auf dieser Seite verwendeten Schriftarten liegen auf unserem eigenen Server und werden von dort ausgeliefert. Beim Aufruf der Seite wird keine Verbindung zu Servern von Google oder anderen Anbietern von Schriftarten aufgebaut, und Ihre IP-Adresse wird dorthin nicht übermittelt.

Auf dieser Buchungsseite setzen wir keine Analyse-, Tracking- oder Werbedienste und keine entsprechenden Cookies ein. Es findet keine Profilbildung statt.

Eine automatisierte Entscheidungsfindung einschließlich Profiling nach Art. 22 DSGVO, die Ihnen gegenüber rechtliche Wirkung entfaltet oder Sie in ähnlicher Weise erheblich beeinträchtigt, findet nicht statt.

Ihnen stehen gegenüber der oben genannten verantwortlichen Stelle die folgenden Rechte zu:

• Auskunft über die zu Ihrer Person gespeicherten Daten (Art. 15 DSGVO)
• Berichtigung unrichtiger Daten (Art. 16 DSGVO)
• Löschung Ihrer Daten (Art. 17 DSGVO)
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruch gegen die Verarbeitung (Art. 21 DSGVO)
• Widerruf erteilter Einwilligungen (Art. 7 Abs. 3 DSGVO)
• Beschwerde bei einer Aufsichtsbehörde (Art. 77 DSGVO)

Zur Ausübung dieser Rechte genügt eine formlose Nachricht an die oben genannten Kontaktdaten.

Werden Ihre Daten auf Grundlage eines berechtigten Interesses nach Art. 6 Abs. 1 lit. f DSGVO verarbeitet, haben Sie das Recht, aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit Widerspruch gegen diese Verarbeitung einzulegen (Art. 21 DSGVO). Haben Sie eine Einwilligung erteilt, können Sie diese jederzeit mit Wirkung für die Zukunft widerrufen; die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung bleibt davon unberührt.

Unabhängig davon steht Ihnen ein Beschwerderecht bei einer Datenschutz-Aufsichtsbehörde zu (Art. 77 DSGVO). Zuständig ist in der Regel die Aufsichtsbehörde des Bundeslandes, in dem wir unseren Sitz haben.