Datenschutzhinweise

1. Verantwortlicher und Kontakt

Für Datenschutzanfragen nutze diese Kontaktdaten. Weitere Anbieterangaben stehen im Impressum.

[Falls ein Datenschutzbeauftragter benannt werden muss oder freiwillig benannt wurde: Kontaktdaten ergänzen; andernfalls diesen Hinweis entfernen.]

2. Aufruf der Website und Hosting

Die Website wird über Vercel bereitgestellt. Dabei werden technisch erforderliche Verbindungs- und Protokolldaten verarbeitet, insbesondere IP-Adresse, Datum und Uhrzeit, angeforderte Adresse, Antwortstatus, übertragene Datenmenge sowie Browser- und Geräteinformationen und gegebenenfalls die zuvor besuchte Seite. Diese Verarbeitung ermöglicht die Auslieferung der Website, die Fehleranalyse und den Schutz vor missbräuchlichen Zugriffen.

Rechtsgrundlage ist Art. 6 Abs. 1 Buchst. f DSGVO. Unser berechtigtes Interesse besteht an einem sicheren, stabilen und funktionsfähigen Internetangebot. Empfänger ist Vercel Inc., USA, einschließlich der für die Leistungserbringung eingesetzten Unterauftragsverarbeiter. Eingaben in das Terminformular werden ebenfalls über die auf Vercel betriebene Anwendung verarbeitet.

Informationen des Anbieters: Vercel-Datenschutzhinweise (neuer Tab) und Vercel-Auftragsverarbeitungsbedingungen (neuer Tab). [Tatsächliche Vertragsgesellschaft, geltenden Tarif und Abschluss des AV-Vertrags, Funktionsregionen sowie Protokoll- und Sicherungsfristen anhand des eingesetzten Kontos bestätigen.]

3. Terminanfragen und Kontakt

Wenn du einen Wunschtermin anfragst, verarbeiten wir Vor- und Nachnamen, E-Mail-Adresse, ausgewählte Leistung, den zugehörigen Preis sowie Datum und Uhrzeit. Deine Telefonnummer ist freiwillig. Zusätzlich speichern wir eine Anfragenummer, Erstellungs- und Änderungszeitpunkte, den Bearbeitungsstatus, die Zuordnung zum Salonbetreiber und gegebenenfalls organisatorische Hinweise des Salons. Bitte übermittle keine Gesundheitsdaten oder andere besonders sensiblen Angaben über dieses Formular.

Die Angaben werden zur Bearbeitung deiner Anfrage, zur Abstimmung des Termins und zur Durchführung der gewünschten Leistung verwendet. Rechtsgrundlage ist Art. 6 Abs. 1 Buchst. b DSGVO für vorvertragliche Maßnahmen auf deine Anfrage und die Vertragserfüllung. Bei sonstigen Kontaktanfragen gilt Art. 6 Abs. 1 Buchst. f DSGVO; unser berechtigtes Interesse ist die Beantwortung deiner Nachricht.

Du bist nicht gesetzlich verpflichtet, das Formular zu nutzen. Ohne Name, E-Mail-Adresse und Terminauswahl können wir darüber jedoch keine Anfrage bearbeiten oder bestätigen. Die Pflichtangaben sind im Formular gekennzeichnet. Die Bestätigung, dass du die Datenschutzhinweise gelesen hast, ist keine datenschutzrechtliche Einwilligung und keine Zustimmung zu Werbung.

4. Datenbank und Terminverwaltung

Terminanfragen, Bearbeitungsstände und Versandaufträge werden in einer PostgreSQL-Datenbank bei Neon gespeichert. Neon gehört zur Databricks-Gruppe (Databricks, Inc. / Neon, LLC, USA). Die für die Website eingesetzte Datenbank wird von der Anwendung aus angesprochen; beim bloßen Aufruf einer öffentlichen Seite wird keine direkte Browserverbindung zu Neon aufgebaut.

Neon verarbeitet die in der Datenbank gespeicherten Daten für die Bereitstellung des Datenbankdienstes. Rechtsgrundlagen entsprechen den jeweiligen Zwecken der Terminbearbeitung, der Betreiberanmeldung und der Versandverarbeitung. Zugriff auf die Terminverwaltung hat der authentifizierte, berechtigte Salonbetreiber.

Anbieterinformationen: Datenschutz bei Neon / Databricks (neuer Tab) und Neon-Vertragsbedingungen (neuer Tab). [Konkrete Vertragsgesellschaft und anwendbaren AV-Vertrag, Projektregion, Unterauftragsverarbeiter sowie Wiederherstellungs- und Sicherungsfristen anhand des Kontos ergänzen.] Eine ausschließlich europäische Verarbeitung kann ohne diese Prüfung nicht zugesichert werden.

5. Terminbezogene E-Mails über Resend

Für Eingangsbestätigungen und Nachrichten über Bestätigung, Absage oder Abschluss eines Besuchs sowie für die Benachrichtigung des Salons nutzen wir Resend. Anbieter ist laut veröffentlichten Auftragsverarbeitungsbedingungen Plus Five Five, Inc., 2261 Market Street #5039, San Francisco, CA 94114, USA.

Verarbeitet werden Empfängeradresse, Absender, Betreff und Nachrichteninhalt. Kundenmails enthalten insbesondere Name, Leistung, Preis, Wunschtermin und Referenz. Die Salonbenachrichtigung enthält zusätzlich die angegebenen Kontaktdaten. Die Anwendung speichert Empfänger, Betreff, Nachrichtentext, Versandversuche, Fehlerkennung und – bei Annahme durch den Versanddienst – Versandzeitpunkt und Anbieter-Nachrichtenkennung. Die Annahme einer Nachricht durch Resend ist kein Nachweis, dass sie gelesen wurde oder im Posteingang angekommen ist.

Rechtsgrundlage der terminbezogenen Kommunikation ist Art. 6 Abs. 1 Buchst. b DSGVO. Die Verwaltung und Fehlerprüfung des Versands erfolgt zusätzlich nach Art. 6 Abs. 1 Buchst. f DSGVO aufgrund unseres berechtigten Interesses an zuverlässiger und nachvollziehbarer Kommunikation. Die Website bietet keinen Newsletter an. Die Anwendung selbst bindet keine Öffnungs- oder Klickmessung ein; [zusätzlich die Tracking-Einstellungen der Resend-Absenderdomain prüfen und deaktivierte Messung bestätigen].

Weitere Informationen: Resend-Datenschutzhinweise (neuer Tab) und Resend-Auftragsverarbeitungsbedingungen (neuer Tab). [Geltenden AV-Vertrag, Versandregion sowie tatsächliche Inhalts- und Protokollaufbewahrung im verwendeten Tarif bestätigen.]

6. Betreiberzugang und notwendige Cookies

Die interne Terminverwaltung verwendet Better Auth innerhalb dieser Anwendung. Für den Betreiberaccount werden Name, E-Mail-Adresse, ein Passwort-Hash sowie Sitzungsdaten einschließlich Ablaufzeit, IP-Adresse und Browserkennung verarbeitet. Kunden benötigen kein Benutzerkonto. Better Auth ist hier eine eingesetzte Software und kein zusätzlicher externer Anmeldedienst; die zugehörigen Daten werden in der angebundenen Neon-Datenbank gespeichert.

Zur Anmeldung und Absicherung des Betreiberzugangs verwendet die Anwendung technisch notwendige Authentifizierungs- und Sitzungscookies, insbesondere das Sitzungstoken von Better Auth (abhängig von der Umgebung mit einem Sicherheitspräfix). Die konfigurierte Sitzungsdauer beträgt sieben Tage; aktive Sitzungen können erneuert werden. Bei Abmeldung wird die Sitzung beendet. [Konkrete Cookie-Namen, Browser-Laufzeiten und Löschung abgelaufener Sitzungsdatensätze im produktiven Betrieb prüfen und ergänzen.]

Der notwendige Zugriff auf Informationen im Endgerät beruht auf § 25 Abs. 2 Nr. 2 TDDDG. Die anschließende Verarbeitung erfolgt nach Art. 6 Abs. 1 Buchst. f DSGVO zum Schutz des nicht öffentlichen Betreiberbereichs und der Kundendaten. In der implementierten Website sind keine Analyse- oder Werbetracker eingebunden; es wird kein Cookie-Banner für nicht erforderliches Tracking eingesetzt.

7. Schriftarten, Bilder und externe Links

Die verwendeten Schriftarten Inter und Bebas Neue werden mit Next.js für die Website bereitgestellt. Dein Browser lädt sie vom Website-Host und stellt dafür keine Verbindung zu Google Fonts her. Auch die eingebundenen Bilder werden über die Website ausgeliefert.

Karten und Routen sind als externe Links eingebunden, nicht als automatisch geladene Karte. Erst wenn du einen solchen Link öffnest, rufst du die Website des jeweiligen Kartenanbieters auf. Dieser erhält dabei unter anderem deine IP-Adresse und die im Link enthaltene Zielanschrift. Dort gelten die Datenschutzhinweise des jeweiligen Anbieters.

8. Empfänger, Auftragsverarbeitung und Drittländer

Empfänger sind der zuständige Salonbetreiber und die für Hosting, Datenbank und E-Mail-Versand erforderlichen Dienstleister samt erforderlichen Unterauftragsverarbeitern. Eine Veröffentlichung deiner Kontaktdaten oder Weitergabe für fremde Werbung ist nicht vorgesehen. Behörden oder andere Stellen erhalten Daten nur, soweit eine Rechtsgrundlage oder gesetzliche Verpflichtung besteht.

Soweit Dienstleister für uns weisungsgebunden personenbezogene Daten verarbeiten, ist ein Vertrag nach Art. 28 DSGVO erforderlich. Die genannten Anbieter veröffentlichen dazu Vertragsbedingungen. Deren bloße Veröffentlichung ist kein Nachweis für den im konkreten Betreiberkonto geltenden Vertragsstand.

Bei den genannten US-Anbietern können Daten in den USA oder anderen Ländern außerhalb des Europäischen Wirtschaftsraums verarbeitet werden; auch Supportzugriffe und Unterauftragsverarbeiter sind zu berücksichtigen. Eine EU-Datenbankregion allein schließt solche Übermittlungen nicht aus. Für Übermittlungen sind Art. 44 ff. DSGVO einzuhalten: Ein anwendbarer Angemessenheitsbeschluss nach Art. 45 DSGVO oder geeignete Garantien nach Art. 46 DSGVO sind erforderlich. Das EU-US Data Privacy Framework ist nur bei wirksamer Zertifizierung des jeweiligen Empfängers und erfasstem Verarbeitungsumfang nutzbar. Alternativ kommen insbesondere die EU-Standardvertragsklauseln (Beschluss 2021/914), eine Übermittlungsprüfung und gegebenenfalls zusätzliche Schutzmaßnahmen in Betracht.

Vercel und Resend veröffentlichen Standardvertragsklauseln in ihren Auftragsverarbeitungsbedingungen; Databricks veröffentlicht ebenfalls Angaben zu Übermittlungsgarantien. [Für jeden tatsächlich eingesetzten Anbieter den geltenden Übermittlungsmechanismus, betroffene Länder, Vertragsnachweise und gegebenenfalls ergänzende Maßnahmen nach Prüfung ergänzen.] Informationen und gegebenenfalls eine Kopie der einschlägigen Garantien kannst du über den oben genannten Geschäftskontakt anfordern.

9. Speicherdauer und Löschung

Nach Art. 5 Abs. 1 Buchst. e und Art. 17 DSGVO dürfen personenbezogene Daten nicht länger gespeichert werden, als es für den jeweiligen Zweck oder eine gesetzliche Pflicht erforderlich ist. Die DSGVO gibt keine einheitliche Aufbewahrungsfrist für Terminanfragen vor. Für die konkrete Dauer sind insbesondere Abschluss der Anfrage, Durchführung oder Absage des Termins, offene Rückfragen sowie erforderliche Nachweise und gesetzliche Pflichten maßgeblich.

Für anwendbare handels- und steuerrechtliche Pflichten gelten insbesondere § 147 AO und gegebenenfalls § 257 HGB: Buchungsbelege sind grundsätzlich acht Jahre, Handels- und Geschäftsbriefe sechs Jahre und bestimmte Bücher und Aufzeichnungen zehn Jahre aufzubewahren, jeweils grundsätzlich ab Ende des maßgeblichen Kalenderjahres. Eine Terminanfrage ist nicht allein wegen ihrer Speicherung ein steuerlicher Buchungsbeleg. Diese Fristen rechtfertigen keine pauschale Aufbewahrung sämtlicher Formular- und Protokolldaten. Gesetzliche Sonderregelungen und Verlängerungstatbestände bleiben zu berücksichtigen.

Soweit einzelne Daten zur Geltendmachung oder Abwehr von Ansprüchen notwendig sind, kommt Art. 6 Abs. 1 Buchst. f DSGVO in Betracht. Dabei ist insbesondere die regelmäßige dreijährige Verjährungsfrist nach §§ 195, 199 BGB zu berücksichtigen. Sie beginnt grundsätzlich mit Ablauf des Jahres der Anspruchsentstehung und Kenntnis der maßgeblichen Umstände; Hemmung und gesetzliche Ausnahmen können die Dauer verändern. Auch dies ist kein Grund, jede Anfrage automatisch drei Jahre zu speichern.

[Verbindliches, tatsächlich umgesetztes Löschkonzept ergänzen: Fristen und Prüfintervalle für offene, abgelehnte, stornierte und erledigte Anfragen; Nachrichteninhalte, Versandwarteschlange und Versandprotokolle; Hosting- und Sicherheitsprotokolle; Betreiberkonten und abgelaufene Sitzungen; Sicherungen und Wiederherstellungsstände einschließlich Umgang mit bereits gelöschten Daten nach einer Wiederherstellung.] In der aktuellen Anwendung ist keine automatische fristgesteuerte Löschroutine implementiert; die gesetzlichen Löschpflichten müssen organisatorisch oder technisch umgesetzt werden.

10. Deine Datenschutzrechte

Nach den jeweiligen gesetzlichen Voraussetzungen hast du Anspruch auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18) und Datenübertragbarkeit (Art. 20). Falls eine Verarbeitung auf deiner Einwilligung beruht, kannst du diese jederzeit für die Zukunft widerrufen (Art. 7 Abs. 3); die bis dahin rechtmäßige Verarbeitung bleibt unberührt.

Widerspruchsrecht: Gegen eine Verarbeitung auf Grundlage von Art. 6 Abs. 1 Buchst. f DSGVO kannst du aus Gründen, die sich aus deiner besonderen Situation ergeben, jederzeit Widerspruch nach Art. 21 Abs. 1 DSGVO einlegen. Wir verarbeiten die betroffenen Daten dann nicht weiter, es sei denn, es bestehen nachweisbare zwingende schutzwürdige Gründe oder die Verarbeitung dient Rechtsansprüchen. Gegen Direktwerbung besteht ein uneingeschränktes Widerspruchsrecht; die Website betreibt derzeit keine Direktwerbung.

Nutze für deine Anfrage die oben genannten Kontaktdaten. Außerdem kannst du dich nach Art. 77 DSGVO bei einer Datenschutzaufsichtsbehörde beschweren, insbesondere an deinem Aufenthaltsort, Arbeitsplatz oder dem Ort des vermuteten Verstoßes. Für Niedersachsen ist dies die Landesbeauftragte für den Datenschutz Niedersachsen (neuer Tab).

Es findet keine automatisierte Entscheidung mit rechtlicher oder ähnlich erheblicher Wirkung im Sinne von Art. 22 DSGVO statt. Die Entscheidung über deinen Wunschtermin trifft der Salonbetreiber; ein Profiling zu Werbezwecken findet nicht statt.