Datenschutzerklärung

1. Verantwortlicher und Datenschutzbeauftragter

1.1 Verantwortlicher

Natalia Dorosh
Theresienstraße 38
80333 München
E-Mail: [email protected]

1.2 Datenschutzbeauftragter

Nicht bestellt

2. Hosting & Auftragsverarbeitung

2.1 Hosting

Unsere Website (https://moodbeauty.de) und unsere interne CRM (Node.js-Backend mit MySQL) laufen auf Servern von Amazon Web Services (AWS) in der Region Frankfurt (eu-central-1).

2.2 Auftragsverarbeitung

Als Auftragsverarbeiter fungiert
Amazon Web Services, Inc., EMEA SARL,
38 avenue John F. Kennedy,
L-1855 Luxembourg.
Ein AWS Data Processing Addendum (DPA) ist Teil der AWS Customer Agreement und kann in der AWS-Konsole unter Artifact → Agreements → AWS Data Processing Addendum eingesehen werden.

2.3 Content Delivery Network (CDN) und Website-Sicherheit

Wir verwenden die Dienste der Cloudflare, Inc., 101 Townsend Street, San Francisco, CA 94107, USA für:

• Content Delivery Network (CDN)
• DDoS-Schutz und Website-Sicherheit
• DNS-Services
• Performance-Optimierung

Dabei werden folgende Daten verarbeitet:

• IP-Adresse des Besuchers
• Browser-Informationen (User-Agent)
• Referrer-URL
• Zeitstempel des Zugriffs
• HTTP-Request-Daten

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an schneller, sicherer und stabiler Website-Bereitstellung)
Aufbewahrungsdauer: Log-Daten werden von Cloudflare nach maximal 30 Tagen gelöscht
Datenübertragung in Drittländer: Die Datenübertragung in die USA erfolgt auf Grundlage des EU-US Data Privacy Framework und angemessener Garantien gemäß Art. 46 DSGVO. Cloudflare ist nach dem EU-US Data Privacy Framework zertifiziert.

2.4 Soziale Netzwerke und Messaging-Dienste

Wir nutzen verschiedene Kommunikationskanäle für Kundenanfragen und Terminbuchungen:

WhatsApp Business

Anbieter: Meta Platforms Ireland Limited, 4 Grand Canal Square, Grand Canal Harbour, Dublin 2, Irland
Datenverarbeitung: Nachrichten, Telefonnummern, Profilbilder, Zeitstempel
Zweck: Kundenbetreuung, Terminanfragen und -bestätigungen
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung), Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an effizienter Kundenkommunikation)

Instagram und Facebook

Anbieter: Meta Platforms Ireland Limited, 4 Grand Canal Square, Grand Canal Harbour, Dublin 2, Irland
Datenverarbeitung: Nachrichten, Benutzernamen, Profilangaben, Interaktionen
Zweck: Kundenbetreuung, Terminanfragen, Präsentation unserer Dienstleistungen
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung), Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Kundenkommunikation und Marketing)

Datenübertragung in Drittländer: Meta-Dienste übertragen Daten in die USA auf Grundlage von Standardvertragsklauseln und angemessenen Garantien gemäß Art. 46 DSGVO.
Aufbewahrungsdauer: Kommunikationsdaten werden solange gespeichert, bis Sie um Löschung bitten oder kein berechtigtes Interesse an der Aufbewahrung mehr besteht. Relevante Kundendaten können in unser CRM-System übertragen werden.
Datenschutzerklärung von Meta: https://www.facebook.com/privacy/policy/

3. Verarbeitung Ihrer Daten in unserem CRM-System

3.1 Kategorien personenbezogener Daten

Wir speichern in unserem internen CRM-System die folgenden Daten:

Kundendaten

• Vor- und Nachname (first_name, last_name)
• E-Mail-Adresse (email)
• Telefonnummer (phone)
• Optional: Adresse (Straße, PLZ, Ort, Land) - nur für Rechnungsstellung
• Aufnahmedatum (added_date)

Termindaten

• Termin-ID (id)
• Datum und Uhrzeit (date, time_start, time_end)
• Leistung (service_name, service_duration)
• Verweis auf Kunde (customer_id) und Duplikate (customer_first_name, customer_last_name, customer_email, customer_phone)
• Status des Termins (status)
• Nachricht / Gesamtsumme (order_message, order_total)
• Google Calendar Event (google_calendar_event_id)
• Standort (location, location_id)
• Erstellt am (created_date)

3.2 Zwecke und Rechtsgrundlage

• Durchführung des Vertrags und Erbringung der Leistungen (Art. 6 Abs. 1 lit. b DSGVO)
• Verwaltung und Dokumentation von Terminen und Kundenkommunikation
• Rechnungsstellung gegenüber Kunden
• Versendung von Terminbestätigungen und -erinnerungen per E-Mail
• Versendung von Terminbestätigungen und -erinnerungen per SMS (siehe Ziffer 3.5)
• Information über Terminänderungen oder -absagen

3.3 Aufbewahrungsdauer

• Aktive Daten: solange Vertragsverhältnis besteht
• Rechnungsrelevante Daten: 10 Jahre ab Ende des Kalenderjahres (Abgabenordnung)
• Sonstige Korrespondenzdaten: 6 Jahre ab Ende des Kalenderjahres (Handelsgesetzbuch)

3.4 Zugriff auf die Daten

Der Zugriff ist ausschließlich möglich für:
• die Betreiberin (Natalia Dorosh)
• autorisierte Mitarbeiter:innen des Salons

3.5 Versand von SMS-Nachrichten (Twilio)

Sofern Sie uns Ihre Mobilfunknummer mitgeteilt haben, senden wir Ihnen Terminbestätigungen und Terminerinnerungen per SMS. Dies betrifft insbesondere Kundinnen und Kunden, von denen uns keine E-Mail-Adresse vorliegt.

Übermittelte Daten: Mobilfunknummer, Vorname, Datum und Uhrzeit des Termins, Name des Salons sowie ein Link zur Stornierung des Termins.

Dienstleister (Auftragsverarbeiter):
Twilio Ireland Limited
70 Sir John Rogerson's Quay
Dublin 2, D02 R296, Irland
Mit Twilio besteht ein Vertrag über die Auftragsverarbeitung gemäß Art. 28 DSGVO.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Durchführung des Vertragsverhältnisses). Es handelt sich ausschließlich um transaktionale Nachrichten zu Ihrem eigenen Termin. Diese SMS enthalten keine Werbung.

Übermittlung in Drittländer: Eine Verarbeitung durch die Twilio Inc. (USA) kann nicht ausgeschlossen werden. Twilio stützt entsprechende Übermittlungen auf die Standardvertragsklauseln der EU-Kommission (Durchführungsbeschluss (EU) 2021/914); Twilio Inc. ist zudem nach dem EU-U.S. Data Privacy Framework zertifiziert.

Widerspruch: Sie können dem Versand von SMS jederzeit formlos widersprechen (z.B. per E-Mail oder telefonisch). Wir informieren Sie dann ausschließlich per E-Mail oder telefonisch über Ihre Termine. Die Durchführung Ihres Termins bleibt davon unberührt.

4. Datenerfassung auf dieser Website

4.1 Server-Log-Dateien

Unser Hosting-Provider erhebt und speichert automatisch Log-Daten (Browsertyp/-version, Betriebssystem, Referrer-URL, Hostname des Rechners, Uhrzeit der Anfrage, IP-Adresse).
Verarbeitung gem. Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Sicherheit und Stabilität).

4.2 Kontaktformular

Über unser Kontaktformular erhobene Daten (z.B. Name, E-Mail, Betreff, Nachricht) speichern wir zur Bearbeitung Ihrer Anfrage.
Verarbeitung gem. Art. 6 Abs. 1 lit. b DSGVO (Notwendigkeit zur Vertragserfüllung/Kommunikation).

4.3 E-Mail- und SMS-Kommunikation

Wir verwenden Ihre Kontaktdaten für folgende geschäftliche Kommunikation:

• Terminbestätigungen per E-Mail oder SMS
• Erinnerungen an bevorstehende Termine per E-Mail oder SMS
• Mitteilungen über Terminänderungen oder -absagen

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) und Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an ordnungsgemäßer Terminverwaltung)
SMS-Versand: Der Versand erfolgt über einen Auftragsverarbeiter (Twilio Ireland Limited) — Einzelheiten hierzu in Ziffer 3.5
Widerspruch: Sie können jederzeit per E-Mail an [email protected] der Zusendung von Erinnerungen widersprechen

E-Mail-Versanddienstleister (Auftragsverarbeiter): Der transaktionale E-Mail-Versand (Terminbestätigungen, Erinnerungen, Stornierungsbestätigungen) erfolgt über Brevo SAS (ehemals Sendinblue), 7 rue de Madrid, 75008 Paris, Frankreich. Dabei werden Name und E-Mail-Adresse des Kunden an Brevo übermittelt. Ein Auftragsverarbeitungsvertrag (AVV) gemäß Art. 28 DSGVO ist mit Brevo abgeschlossen. Brevo verarbeitet die Daten ausschließlich innerhalb der EU/des EWR.
Datenschutzerklärung von Brevo: https://www.brevo.com/de/legal/privacypolicy/

4.4 QR-Code-Tracking

Wir verwenden anonyme QR-Code-Verfolgung zur Analyse der Nutzung unserer Marketing-Materialien:

• Anzahl der QR-Code-Scans (ohne Personenbezug)
• Zeitstempel des Scans
• Quelle des QR-Codes (z.B. 'public' für öffentliche Materialien)

Zweck: Statistische Auswertung der Wirksamkeit unserer Marketing-Materialien
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Marketing-Analyse)
Datenart: Ausschließlich anonyme, nicht-personenbezogene Statistikdaten
Aufbewahrungsdauer: 12 Monate für statistische Zwecke

4.5 Schriftarten (Web Fonts)

Zur einheitlichen Darstellung von Schriftarten verwenden wir Web Fonts, die lokal auf unserem Server eingebunden sind (Self-Hosting). Beim Aufruf der Website wird keine Verbindung zu Servern von Google hergestellt; es werden insoweit keine personenbezogenen Daten (z. B. Ihre IP-Adresse) an Google übertragen. Die Schriftdateien werden ausschließlich über unseren Hosting-Anbieter (siehe Ziffer 2) ausgeliefert.

5. Cookies und lokale Speicherung

5.1 Technisch notwendige Cookies

• cookieConsent (Speicherung Ihrer Cookie-Einwilligung)
• Session-Cookies (Sitzungsmanagement)

Verarbeitung gem. Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Funktionalität).

Sie können Cookies in Ihren Browsereinstellungen jederzeit deaktivieren; dies kann die Funktionalität der Website einschränken.

5.2 Bestätigtes Gerät bei der Online-Buchung

Für eine Online-Buchung bestätigen Sie Ihre E-Mail-Adresse mit einem Code, den wir Ihnen zusenden. Nur so ist sichergestellt, dass Terminbestätigung, Erinnerung und Absage-Link Sie tatsächlich erreichen. Nach der Bestätigung speichern wir im lokalen Speicher (localStorage) Ihres Browsers ein zufälliges Kennzeichen, damit Sie bei der nächsten Buchung von diesem Gerät keinen neuen Code benötigen.

• Inhalt: ausschließlich eine zufällige Zeichenfolge. Ihr Name, Ihre Telefonnummer und Ihre E-Mail-Adresse werden dabei nicht auf Ihrem Gerät gespeichert; sie werden erst nach erfolgreicher Erkennung aus Ihrer Kundenkartei geladen und in das Buchungsformular eingetragen.
• Rechtsgrundlage: Ihre Einwilligung gem. § 25 Abs. 1 TDDDG i.V.m. Art. 6 Abs. 1 lit. a DSGVO. Sie erteilen sie mit dem Pflicht-Häkchen im Buchungsformular, dessen Text die Speicherung ausdrücklich nennt.
• Speicherdauer: 12 Monate ab der letzten Nutzung. Jede weitere Buchung von diesem Gerät setzt die Frist neu; danach ist erneut eine Bestätigung per Code erforderlich.
• Widerruf: Über „Nicht Sie?“ im Buchungsformular wird das Kennzeichen sofort auf Ihrem Gerät gelöscht und bei uns ungültig gemacht. Ebenso wirkt das Löschen der Websitedaten in Ihren Browsereinstellungen.

Zur Nachvollziehbarkeit speichern wir zu einem bestätigten Gerät außerdem den Zeitpunkt der Bestätigung und der letzten Nutzung sowie Browserkennung und IP-Adresse der Anfrage. Codes zur Bestätigung werden nach 24 Stunden gelöscht.

6. Ihre Rechte

• Auskunft (Art. 15 DSGVO)
• Berichtigung (Art. 16 DSGVO)
• Löschung (Art. 17 DSGVO)
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerruf von Einwilligungen (Art. 7 Abs. 3 DSGVO)
• Beschwerde bei einer Aufsichtsbehörde (Art. 77 DSGVO)

Zur Ausübung Ihrer Rechte senden Sie bitte eine E-Mail an: [email protected]
Löschung von Daten: Wenn Sie die Löschung Ihrer personenbezogenen Daten wünschen, teilen Sie uns dies per E-Mail mit dem Betreff "Datenlöschung" mit. Wir bearbeiten Ihren Antrag innerhalb von 30 Tagen, vorbehaltlich gesetzlicher Aufbewahrungspflichten.

7. Aktualisierung

Diese Datenschutzerklärung wird bei Bedarf, spätestens jedoch einmal jährlich, überprüft und aktualisiert.
Datum letzte Aktualisierung: 06.08.2026