Datenschutz­erklärung

Abschnitt 01Das Wichtigste in Kürze

• Diese Website setzt keine Cookies und verwendet keine Analyse-, Tracking- oder Werbedienste. Ein Einwilligungsbanner ist deshalb nicht nötig — es gibt nichts, dem du zustimmen müsstest.
• Für eine Terminbuchung brauchen wir deinen Namen und deine Handynummer. Mehr nicht: keine Adresse, keine E-Mail, kein Konto, kein Passwort.
• Die Termindaten liegen in einer Datenbank auf dem Server dieser Website, nicht bei einem externen Buchungsdienst.
• Auf Wunsch des Salons schickt das System eine Terminbestätigung per WhatsApp. Dabei erfährt WhatsApp beziehungsweise Meta deine Nummer. Einzelheiten in Abschnitt 08 — dort steht auch, wie du das vermeidest.
• Die Startseite bindet eine Google-Maps-Karte und Schriften von Google ein. Beides baut eine Verbindung zu Google auf. Was dabei passiert, steht in den Abschnitten 05 und 09.

Abschnitt 02Verantwortlicher und Kontakt

Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO ist:

Die vollständigen Anbieterangaben stehen im Impressum.

Datenschutzbeauftragter

Ein Datenschutzbeauftragter ist nicht benannt. Die Voraussetzungen des § 38 Absatz 1 Bundesdatenschutzgesetz liegen nicht vor, weil in dem Betrieb nicht mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Für Fragen zum Datenschutz ist der Verantwortliche unter den oben genannten Kontaktdaten erreichbar.

Abschnitt 03Geltungsbereich

Diese Erklärung gilt für diese Website einschließlich der Online-Terminbuchung und des internen Verwaltungsbereichs des Salons.

Sie gilt nicht für die Verarbeitung, die im Salon selbst stattfindet (etwa Karteikarten, Kassensystem oder Behandlungsnotizen auf Papier), und nicht für verlinkte Angebote Dritter wie Instagram, Facebook oder Google Maps. Dort gelten die Erklärungen der jeweiligen Anbieter.

Abschnitt 04Aufruf dieser Website

Was übertragen wird

Beim Aufruf einer Seite übermittelt dein Browser technisch notwendige Daten an den Webserver, ohne die eine Auslieferung nicht möglich wäre: IP-Adresse, Datum und Uhrzeit, die abgerufene Adresse, die übertragene Datenmenge, die Meldung über den Erfolg des Abrufs, die zuvor besuchte Seite (sofern dein Browser sie sendet) sowie Angaben zu Browser und Betriebssystem.

Zweck und Rechtsgrundlage

Zweck ist die Auslieferung der Seite, die Aufrechterhaltung des Betriebs und das Erkennen technischer Störungen und Angriffsversuche. Rechtsgrundlage ist Art. 6 Absatz 1 Buchstabe f DSGVO; das berechtigte Interesse liegt im technisch fehlerfreien und sicheren Betrieb der Website. Eine Zusammenführung dieser Daten mit anderen Datenquellen findet nicht statt, und es wird daraus kein Profil gebildet.

Hosting

Die Website wird betrieben von:

KlickAgent betreibt Website und Buchungssystem im Auftrag des Salons und ist damit Auftragsverarbeiter nach Art. 28 DSGVO. Ein Vertrag über die Auftragsverarbeitung: unterzeichneter AVV zwischen Salon und KlickAgent — liegt vor? Datum?

Der Server, auf dem die Website läuft, wird über die Hosting-Plattform Coolify betrieben und steht in einem Rechenzentrum in Deutschland. Betreiber des Rechenzentrums und damit Unterauftragsverarbeiter nach Art. 28 DSGVO:

Protokollierung

Wie lange Zugriffsprotokolle auf dem Server aufbewahrt werden, richtet sich nach der Einstellung des Hosters: Aufbewahrungsdauer der Server-Logfiles bestätigen — üblich sind 7 bis 14 Tage. Danach werden sie automatisch gelöscht.

Verschlüsselung

Alle Verbindungen zu dieser Website sind mit TLS verschlüsselt, erkennbar am https:// in der Adresszeile. Das gilt auch für die Terminbuchung: Name und Telefonnummer werden verschlüsselt übertragen und können auf dem Weg nicht mitgelesen werden.

Abschnitt 05Schriften

Diese Website verwendet die Schriften Young Serif und Figtree. Sie werden beim Aufruf der Seite vom Dienst Google Fonts geladen (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland).

Dabei baut dein Browser eine Verbindung zu Servern von Google auf und übermittelt dorthin deine IP-Adresse sowie technische Angaben zu Browser und Betriebssystem. Google benötigt diese Angaben, um die Schriftdateien ausliefern zu können. Cookies werden dabei nach Angaben von Google nicht gesetzt.

Rechtsgrundlage ist Art. 6 Absatz 1 Buchstabe f DSGVO; das berechtigte Interesse liegt in der einheitlichen und schnellen Darstellung der Website.

Abschnitt 06Cookies und Speicher auf deinem Gerät

Diese Website setzt keine Cookies und legt nichts im lokalen Speicher deines Browsers ab. Eine Einwilligung nach § 25 Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz ist deshalb nicht erforderlich, und ein Einwilligungsbanner entfällt.

Ebenfalls nicht eingesetzt werden: Google Analytics oder andere Statistikdienste, Besucherzähler, Werbenetzwerke, Wärmebild- oder Sitzungsaufzeichnung, Social-Media-Plugins mit Datenübertragung, Newsletter-Werkzeuge, Chat-Fenster und Captcha-Dienste.

Der Verwaltungsbereich für das Salon-Team (Abschnitt 12) verwendet ebenfalls keine Cookies.

Abschnitt 07Online-Terminbuchung

Das Herzstück dieser Website ist die Terminbuchung. Deshalb steht hier besonders ausführlich, was dabei passiert.

Welche Daten

• Dein Name — damit der Termin zugeordnet werden kann. Ein Vorname genügt.
• Deine Telefonnummer — freiwillig. Sie wird für Rückfragen und für die Bestätigung per WhatsApp gebraucht. Ohne Nummer kannst du trotzdem buchen; dann erhältst du allerdings keine Bestätigung und wir können dich bei einer Änderung nicht erreichen.
• Die gewählte Leistung (etwa Haarschnitt, Coloration, Balayage), die gewählte Stylistin oder der gewählte Stylist, Datum und Uhrzeit, die voraussichtliche Dauer und der Preis der Leistung.
• Technisch mitgeführt werden außerdem der Zeitpunkt der Buchung und die Angabe, ob sie über die Website oder von Hand im Salon angelegt wurde.

Weitere Angaben werden nicht abgefragt: keine Anschrift, keine E-Mail-Adresse, kein Geburtsdatum, keine Zahlungsdaten. Es wird kein Kundenkonto angelegt und kein Passwort vergeben.

Zweck und Rechtsgrundlage

Die Verarbeitung dient allein der Vereinbarung, Vorbereitung und Durchführung deines Termins. Rechtsgrundlage ist Art. 6 Absatz 1 Buchstabe b DSGVO — Durchführung vorvertraglicher Maßnahmen auf deine Anfrage hin und Erfüllung des Behandlungsvertrags.

Wo die Daten liegen

Die Buchung wird in einer Datenbank auf demselben Server gespeichert, auf dem diese Website läuft. Es ist kein externer Buchungsdienst und kein Kalenderanbieter eines Dritten eingeschaltet. Die Daten verlassen den Server nur für die Bestätigung per WhatsApp (Abschnitt 08).

Wer die Buchung sieht

Einsehen können deinen Termin die Beschäftigten des Salons, die einen eigenen Zugang zum Verwaltungsbereich haben. Jede Person meldet sich dort mit eigenem Benutzernamen und eigenem Passwort an.

Schutz vor automatisierten Buchungen

Damit Formularroboter den Kalender nicht mit erfundenen Terminen zustellen, enthält das Formular ein verstecktes Feld, das für dich unsichtbar ist und leer bleiben muss, und es wird gemessen, wie lange das Ausfüllen gedauert hat. Wird eine Buchung in weniger als 2,5 Sekunden abgeschickt, gilt sie als maschinell und wird verworfen. Beide Prüfungen laufen ausschließlich auf dem eigenen Server; es wird dabei kein externer Dienst wie ein Captcha eingebunden und nichts an Dritte übermittelt. Rechtsgrundlage ist Art. 6 Absatz 1 Buchstabe f DSGVO (Schutz vor Missbrauch).

Speicherdauer

Termindaten bleiben gespeichert, solange sie für den Salonbetrieb gebraucht werden — etwa um bei einem Folgetermin zu wissen, welche Farbe zuletzt verwendet wurde. Vorgesehene Aufbewahrungsdauer: Löschfrist festlegen — Vorschlag: 24 Monate nach dem letzten Termin, danach automatische Löschung

Entsteht aus dem Termin ein steuerlich relevanter Beleg, greifen die handels- und steuerrechtlichen Aufbewahrungsfristen von sechs beziehungsweise zehn Jahren (§ 257 Handelsgesetzbuch, § 147 Abgabenordnung). Die Daten sind dann für jede andere Verwendung gesperrt.

Abschnitt 08Terminbestätigung per WhatsApp

Hast du bei der Buchung eine Handynummer angegeben, schickt der Salon dir eine Bestätigung per WhatsApp — und, falls ein Termin abgesagt werden muss, auch die Absage. Weil dabei Daten an einen Dienst außerhalb des Salons gehen, steht das hier ausdrücklich und nicht im Kleingedruckten.

Was übermittelt wird

Übermittelt werden deine Telefonnummer und der Inhalt der Nachricht: dein Vorname, Datum und Uhrzeit des Termins, die gebuchte Leistung, die Stylistin oder der Stylist und der Preis.

Wie es technisch läuft

Der Salon hat eine eigene WhatsApp-Nummer über die Funktion „verknüpfte Geräte“ mit dem Buchungssystem verbunden — technisch wie WhatsApp Web. Die Nachricht wird also aus dem Konto des Salons heraus verschickt, so als hätte jemand sie von Hand getippt. Die Nachrichteninhalte sind zwischen den Geräten Ende-zu-Ende verschlüsselt.

Was der Anbieter erfährt

Betreiber von WhatsApp ist die WhatsApp Ireland Limited, Merrion Road, Ballsbridge, Dublin 4, Irland, ein Unternehmen der Meta-Gruppe. WhatsApp erfährt dabei, dass zwischen der Nummer des Salons und deiner Nummer eine Nachricht ausgetauscht wurde, und verarbeitet die zugehörigen Verbindungsdaten (sogenannte Metadaten) nach seinen eigenen Bestimmungen. Auf diese Verarbeitung hat der Salon keinen Einfluss. Näheres in der Datenschutzrichtlinie von WhatsApp.

Rechtsgrundlage

Art. 6 Absatz 1 Buchstabe b DSGVO — die Bestätigung gehört zur Durchführung des vereinbarten Termins. Die Angabe der Nummer ist freiwillig; gibst du sie an, verstehen wir das als Wunsch, auf diesem Weg erreichbar zu sein.

Wie du das vermeidest

Zwei Wege stehen offen:

• Keine Telefonnummer angeben. Die Buchung funktioniert auch ohne; dann wird keine Nachricht verschickt und deine Nummer nirgends gespeichert.
• Bescheid sagen. Ein kurzer Anruf im Salon genügt, dann wird der Versand für dich abgeschaltet und wir melden uns telefonisch.

Ein Nachteil entsteht dir dadurch nicht. Der Termin bleibt in beiden Fällen genauso gebucht.

Abschnitt 09Google Maps

Im Kontaktbereich der Startseite ist eine Karte von Google Maps eingebunden, die den Standort des Salons zeigt. Anbieter ist die Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland.

Beim Laden der Karte baut dein Browser eine Verbindung zu Servern von Google auf. Dabei werden deine IP-Adresse, die aufgerufene Seite sowie technische Angaben zu Browser und Gerät an Google übermittelt. Google kann diese Daten verarbeiten und, sofern du gleichzeitig in einem Google-Konto angemeldet bist, deinem Konto zuordnen. Eine Übermittlung an Google LLC in den Vereinigten Staaten ist dabei nicht ausgeschlossen; siehe Abschnitt 14.

Zweck ist die einfache Auffindbarkeit des Salons. Rechtsgrundlage ist Art. 6 Absatz 1 Buchstabe f DSGVO.

Abschnitt 10Instagram und Facebook

Im Fußbereich stehen Verweise auf die Profile des Salons bei Instagram und Facebook. Das sind einfache Links, keine eingebetteten Inhalte und keine Schaltflächen mit Datenübertragung. Solange du nicht darauf klickst, wird nichts an die Betreiber übermittelt.

Klickst du, verlässt du diese Website. Ab dann gelten die Datenschutzbestimmungen der Meta Platforms Ireland Limited, Merrion Road, Dublin 4, Irland. Auf die dortige Verarbeitung hat der Salon keinen Einfluss.

Abschnitt 11Kontakt per Telefon und im Salon

Rufst du an, verarbeiten wir die Angaben, die du am Telefon machst, um dein Anliegen zu bearbeiten — in der Regel Name, Nummer und Terminwunsch. Rechtsgrundlage ist Art. 6 Absatz 1 Buchstabe b DSGVO bei einem Terminwunsch und im Übrigen Art. 6 Absatz 1 Buchstabe f DSGVO (Interesse an der Beantwortung von Anfragen). Gespräche werden nicht aufgezeichnet.

Was im Salon selbst besprochen und notiert wird, fällt nicht unter diese Erklärung, sondern unter die allgemeinen Kundeninformationen des Betriebs.

Abschnitt 12Zugang für das Salon-Team

Für die Beschäftigten gibt es einen geschützten Verwaltungsbereich, in dem Termine eingesehen, angelegt, verschoben und Arbeitszeiten blockiert werden. Dazu werden je Person Benutzername, Anzeigename, Rolle und ein Passwort gespeichert.

Das Passwort wird nicht im Klartext gespeichert, sondern nur als Prüfwert eines modernen Verfahrens (scrypt) mit individuellem Zufallswert. Aus diesem Wert lässt sich das Passwort nicht zurückrechnen.

Rechtsgrundlage für die Verarbeitung von Beschäftigtendaten ist § 26 Absatz 1 Bundesdatenschutzgesetz in Verbindung mit Art. 88 DSGVO — die Verarbeitung ist für die Durchführung des Beschäftigungsverhältnisses erforderlich. Eine Leistungs- oder Verhaltenskontrolle findet nicht statt; der Bereich dient der Terminplanung.

Scheidet eine Person aus, werden ihr Konto und ihre Planungsdaten aus dem System entfernt.

Abschnitt 13Empfänger deiner Daten

Deine Daten werden nicht verkauft und nicht für Werbezwecke weitergegeben. Eine Weitergabe erfolgt nur an die folgenden Stellen:

Darüber hinaus können Daten an Steuerberatung, Bank oder Behörden gehen, soweit das zur Erfüllung gesetzlicher Pflichten erforderlich ist (Art. 6 Absatz 1 Buchstabe c DSGVO), sowie an eine Rechtsberatung zur Durchsetzung oder Abwehr von Ansprüchen (Art. 6 Absatz 1 Buchstabe f DSGVO).

Abschnitt 14Übermittlung in Drittländer

Vertragspartner für WhatsApp und für Google sind jeweils die irischen Gesellschaften, also Unternehmen innerhalb der Europäischen Union. Eine Verarbeitung durch die amerikanischen Konzerngesellschaften ist dabei jedoch nicht ausgeschlossen.

Für solche Übermittlungen berufen sich beide Anbieter auf die Zertifizierung nach dem EU-US Data Privacy Framework (Angemessenheitsbeschluss der Europäischen Kommission nach Art. 45 DSGVO) sowie ergänzend auf die Standardvertragsklauseln nach Art. 46 Absatz 2 Buchstabe c DSGVO.

Es ist bekannt, dass in den Vereinigten Staaten ein Zugriff staatlicher Stellen auf Daten nicht vollständig ausgeschlossen werden kann und dass die Rechtslage zu solchen Übermittlungen in Bewegung ist. Die Entwicklung wird beobachtet und diese Erklärung angepasst, wenn sich die Grundlagen ändern.

Abschnitt 15Speicherdauer im Überblick

Ist ein Zweck erreicht und steht keine gesetzliche Aufbewahrungspflicht entgegen, werden die Daten gelöscht.

Abschnitt 16Bereitstellungspflicht

Du bist nicht verpflichtet, personenbezogene Daten anzugeben. Die Website kannst du vollständig ohne jede Angabe ansehen. Für eine Online-Buchung ist ein Name erforderlich, weil der Termin sonst niemandem zugeordnet werden kann. Die Telefonnummer ist freiwillig; ohne sie können wir dich bei einer Änderung allerdings nicht erreichen.

Abschnitt 17Automatisierte Entscheidungen

Eine automatisierte Entscheidungsfindung im Einzelfall einschließlich Profiling nach Art. 22 DSGVO findet nicht statt. Das Buchungssystem prüft lediglich, ob ein Zeitfenster frei ist. Es findet keine Bewertung deiner Person statt, keine Bonitätsprüfung und keine Bildung von Werbeprofilen.

Abschnitt 18Datensicherheit

Es werden technische und organisatorische Maßnahmen nach Art. 32 DSGVO getroffen, um deine Daten gegen Verlust, Veränderung und unbefugten Zugriff zu schützen. Dazu gehören: durchgehende Transportverschlüsselung (TLS), Passwörter ausschließlich als nicht rückrechenbare Prüfwerte, ein eigener Zugang je Person mit abgestuften Rollen, Zugriff auf den Server nur über Schlüsselverfahren, Schutz des Buchungsformulars gegen automatisierte Eingaben sowie zeitnahe Sicherheitsaktualisierungen.

Regelmäßige Sicherungen der Termindatenbank: Sicherungskonzept bestätigen — wie oft, wohin, wie lange aufbewahrt

Abschnitt 19Deine Rechte

Du hast hinsichtlich deiner personenbezogenen Daten die folgenden Rechte:

• Auskunft (Art. 15 DSGVO) darüber, welche Daten zu dir verarbeitet werden, wozu, wie lange und an wen sie weitergegeben werden.
• Berichtigung (Art. 16 DSGVO) unrichtiger und Vervollständigung unvollständiger Daten.
• Löschung (Art. 17 DSGVO), soweit keine gesetzliche Aufbewahrungspflicht entgegensteht.
• Einschränkung der Verarbeitung (Art. 18 DSGVO).
• Datenübertragbarkeit (Art. 20 DSGVO): Du erhältst die Daten, die du bereitgestellt hast, in einem gängigen, maschinenlesbaren Format.
• Widerspruch (Art. 21 DSGVO) gegen Verarbeitungen, die auf einem berechtigten Interesse beruhen — das betrifft hier vor allem die Server-Protokolle (Abschnitt 04), die Schriften (Abschnitt 05) und die Karte (Abschnitt 09).
• Widerruf einer Einwilligung (Art. 7 Absatz 3 DSGVO) jederzeit mit Wirkung für die Zukunft, falls du eine erteilt hast.

Ein Anruf im Salon genügt für all das. Ein Formular ist nicht nötig, eine Begründung ebenfalls nicht. Die Antwort erfolgt innerhalb eines Monats und ist kostenfrei. Zur Sicherheit können Rückfragen gestellt werden, damit die Auskunft nicht an die falsche Person geht.

Abschnitt 20Beschwerde bei einer Aufsichtsbehörde

Unabhängig davon kannst du dich jederzeit bei einer Datenschutz-Aufsichtsbehörde beschweren (Art. 77 DSGVO), insbesondere bei der Behörde deines Wohnorts oder bei der für den Salon zuständigen Stelle:

Abschnitt 21Änderungen dieser Erklärung

Diese Erklärung wird angepasst, wenn sich die Verarbeitung ändert — etwa weil ein Dienst hinzukommt oder wegfällt. Maßgeblich ist die jeweils hier abrufbare Fassung.