Datenschutzerklärung.

1. Verantwortlicher und Kontakt

Panagiotis Vakirtzis
body&face Perfection
Wilhelmstraße 74–76
72764 Reutlingen, Deutschland
info@bodyandface-perfection.de

Für Websitebetrieb, Kontaktanfragen, Kontoverwaltung, Abo-Abrechnung und eigene Nachweispflichten ist der oben genannte Anbieter verantwortlich. Für Kunden- und Termindaten eines Studios entscheidet der jeweilige Studiobetreiber über Zwecke und Rechtsgrundlagen. Abendfrei verarbeitet diese Daten für das Studio nach dem Vertrag zur Auftragsverarbeitung. Bei Fragen zu deiner Buchung oder den Nachrichten eines Studios wende dich bitte zunächst an dieses Studio.

2. Website, Sicherheit und notwendige Cookies

Bei HTTP-Anfragen fallen Verbindungsdaten an, etwa IP-Adresse, Zeitpunkt, angefragter Pfad, Antwortstatus sowie übermittelte Browser- und Geräteinformationen. Hosting- und Authentifizierungsanbieter können diese in Betriebs- und Sicherheitsprotokollen verarbeiten. Wir nutzen sie für Bereitstellung, Fehlerbearbeitung und Missbrauchsschutz auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO.

Für die Begrenzung häufiger Formular- und Kontoanfragen bildet die Anwendung aus der IP-Adresse oder einer Kontokennung einen Hash. In einer privaten Datenbanktabelle werden diese Kennung, Zählstand, Zeitfenster und Ablaufzeit gespeichert. Dort steht keine Klartext-IP-Adresse. Die Hintergrundbereinigung entfernt abgelaufene Einträge; Anbieterprotokolle sind hiervon unabhängig. Gehashte Kennungen werden nicht als anonyme Daten behandelt.

Die Anmeldung verwendet notwendige Sitzungscookies von Supabase. Ohne sie ist eine dauerhafte Anmeldung nicht möglich. Die Speicherung und das Auslesen für diese angeforderte Funktion beruhen auf § 25 Abs. 2 Nr. 2 TDDDG; die anschließende Verarbeitung auf Art. 6 Abs. 1 lit. b DSGVO beziehungsweise bei Beschäftigten eines Vertragspartners auf lit. f. Externe Zahlungs- und Kalenderseiten haben eigene Datenschutzhinweise.

2a. Deine Datenschutzeinstellungen

Optionale Statistik und Werbemessung beginnen erst nach deiner ausdrücklichen Zustimmung im Dialog. Ablehnen beeinträchtigt weder die Website noch dein Konto. Du kannst deine Auswahl jederzeit über „Datenschutzeinstellungen“ am Seitenende ändern oder mit „Alle ablehnen“ widerrufen. Die Rechtmäßigkeit der Verarbeitung bis zum Widerruf bleibt unberührt.

Das notwendige Cookie abendfrei_datenschutz speichert deine Auswahl, ihren Zeitpunkt und die Fassung der Hinweise für höchstens 180 Tage. Bei einer Änderung der eingesetzten Messdienste fragen wir erneut. Die Speicherung zur Berücksichtigung deiner Entscheidung erfolgt nach § 25 Abs. 2 Nr. 2 TDDDG; die Verarbeitung dient der Erfüllung und dem Nachweis unserer Datenschutzpflichten nach Art. 6 Abs. 1 lit. c DSGVO.

Für freigegebene Erfolgsmessungen kann das geschützte Cookie abendfrei_erfolg einen vom Server bestätigten Konto- oder Aboabschluss höchstens eine Stunde zwischenspeichern. Es wird nach dem Abruf entfernt. In der Browsersitzung speichern wir außerdem bereits gezählte Ereignisse, um Wiederholungen zu vermeiden. Diese optionalen Vorgänge beruhen auf deiner Einwilligung nach § 25 Abs. 1 TDDDG und Art. 6 Abs. 1 lit. a DSGVO.

2b. Statistik mit Vercel Web Analytics

Nach Zustimmung zu „Statistik“ nutzen wir Vercel Web Analytics, angeboten von Vercel Inc., USA, um die Nutzung der öffentlichen Abendfrei-Seiten und die Anzahl erfolgreicher Anfragen, bestätigter Kontoeröffnungen und Aboabschlüsse auszuwerten. Bei einem Aboabschluss kann der Nettobetrag mit der Währung übermittelt werden.

Vercel verarbeitet dafür unter anderem Zeitpunkt, bereinigte Seitenadresse, Herkunftsseite, ungefähre Region sowie Browser- und Geräteinformationen. Vercel verwendet keine Analyse-Cookies; zur kurzfristigen Besucherzählung wird aus Anfragedaten eine Kennung gebildet, die laut Anbieter nach 24 Stunden verworfen wird. Die statistischen Auswertungen stehen entsprechend dem Vercel-Tarif zur Verfügung. Technische Verbindungsdaten fallen bei der Übertragung an.

Wir entfernen Suchparameter und Fragmente aus den gemessenen Seitenadressen. Allgemeine Seitenaufrufe im Studio-Konto und auf Termin- und Buchungsseiten werden nicht gemessen. Namen, E-Mail-Adressen, Formulartexte, Buchungstokens und Daten deiner Studio-Kunden übermitteln wir nicht als Ereignisdaten an Vercel. Grundlage dieser optionalen Verarbeitung ist Art. 6 Abs. 1 lit. a DSGVO. Weitere Informationen: Vercel Web Analytics – Datenschutz. Zu internationalen Übermittlungen siehe Abschnitt 9.

2c. Werbemessung

Derzeit sind auf dieser Website keine Google-Ads-Tags oder Meta-Pixel aktiviert.

3. Kontakt und Support

Im Kontaktformular verarbeiten wir Name, E-Mail-Adresse, Anliegen, Nachricht und gegebenenfalls Studioangaben, um deine Anfrage zu beantworten. Das Formular übermittelt die Nachricht per E-Mail an den Betreiber. Im angemeldeten Support werden außerdem Studiokennung, Kontokennung, Betreff, Kategorie, Nachrichten, Zeitpunkte und Bearbeitungsstatus als Ticket gespeichert; der Betreiber kann darauf im Support antworten.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO bei Anbahnung oder Durchführung eines Vertrags, sonst lit. f aufgrund unseres Interesses an der Bearbeitung eingehender Anfragen. Ohne erreichbare Kontaktadresse oder hinreichende Beschreibung können wir dein Anliegen gegebenenfalls nicht bearbeiten. Bitte übermittle keine Gesundheitsdaten, Passwörter oder vollständigen Zahlungsdaten im Support.

4. Studio-Konto und Vereinbarungen

Für das Konto werden E-Mail-Adresse, geschützte Anmeldedaten, Bestätigungs- und Wiederherstellungsvorgänge sowie Sitzungsinformationen über Supabase Auth verarbeitet. In der Datenbank speichern wir Studioangaben, den Inhaberzugang und eingerichtete Funktionen. Im Kalender planbare Mitarbeiter sind keine zusätzlichen Benutzerkonten.

Bei der AVV-Bestätigung speichern wir Firma beziehungsweise Inhaber, Geschäftsanschrift, Studiobezeichnung, bestätigendes Konto mit E-Mail-Adresse, Zeitpunkt, Vertragsfassung und Prüffingerabdruck des Vertragstextes. Abo-Bestellungen werden gesondert mit akzeptierter Fassung der Abo-Bedingungen, Auswahl und Preis protokolliert. Diese Daten dienen Vertragserfüllung und Nachweis (Art. 6 Abs. 1 lit. b und f DSGVO), gegebenenfalls gesetzlichen Pflichten nach lit. c.

5. Kundendaten, Termine und Onlinebuchung

Im Auftrag des Studios werden Kundenname, E-Mail-Adresse und gegebenenfalls Telefonnummer, Leistungen und Preise, Arbeitszeiten, Mitarbeiterzuordnungen, Termine und Status verarbeitet. Die Daten stammen aus Eingaben des Studios oder deiner Buchung. Bei einer Onlinebuchung wählst du Leistung, Mitarbeiter und Zeit und gibst die angeforderten Kontaktdaten an; sie werden dem betreffenden Studio zugeordnet.

Das dient der gewünschten Terminvereinbarung und Verwaltung. Das Studio verantwortet Rechtsgrundlage, eigene Datenschutzinformationen und erforderliche Angaben; für eine Buchung kommt insbesondere Art. 6 Abs. 1 lit. b DSGVO in Betracht. Abendfrei handelt nach dem Studioauftrag. Medizinische Angaben, Diagnosen und Behandlungsdokumentationen gehören nicht in die Eingaben.

Die Software schlägt freie Zeiten und regelbasierte Nachrichten vor. Abendfrei trifft damit keine eigenständige Entscheidung über eine Behandlung, Kreditwürdigkeit oder vergleichbare Angelegenheit mit rechtlicher oder ähnlich erheblicher Wirkung im Sinne von Art. 22 DSGVO.

6. WhatsApp, E-Mails, Einwilligungen und Widerruf

Für Kundenautomationen verbindet das Studio sein eigenes WhatsApp Business Platform-Konto. Abendfrei übermittelt Telefonnummer, freigegebene Nachrichteninhalte, relevante Terminangaben und Aktionslinks an WhatsApp und empfängt Zustell- und Leseereignisse sowie Kundenantworten. Für Unternehmen in der Europäischen Region ist WhatsApp Ireland Limited Vertragspartner; Meta-Unternehmen und weitere Dienstleister können weltweit verarbeiten. Das Studio verantwortet sein eigenes WhatsApp-Konto und die erforderlichen Informationen und Vereinbarungen. Anbietergrundlagen: WhatsApp Data Processing Terms und WhatsApp Business Terms.

WhatsApp-Terminmitteilungen benötigen im Produkt eine eigene ausdrückliche Zustimmung. Werbliche Einladungen benötigen je Zweck und Kanal eine dokumentierte Einwilligung. Eine Einwilligung in E-Mails wird nicht auf WhatsApp übertragen. Die Onlinebuchung benötigt die ausdrückliche Zustimmung zu WhatsApp-Terminmitteilungen. Wenn du diese nicht geben möchtest, kannst du deinen Termin direkt mit dem Studio vereinbaren. Du kannst eine WhatsApp-Einwilligung gegenüber dem Studio widerrufen oder mit STOP auf eine WhatsApp-Nachricht antworten. STOP stoppt weitere WhatsApp-Nachrichten dieses Studios. Bei Änderung einer Telefonnummer werden vorherige WhatsApp-Einwilligungen widerrufen.

WhatsApp-Zugriffsschlüssel werden verschlüsselt im privaten Datenbankschema gespeichert und nicht exportiert. Eingehende Textnachrichten erscheinen im Studio-Konto; Anhänge werden nicht heruntergeladen. Der Bereinigungslauf entfernt eingehende WhatsApp-Nachrichten nach 90 Tagen und interne Zustellereignisse nach 30 Tagen. Einwilligungs- und Widerrufsnachweise bleiben davon unberührt.

Kundenautomationen werden ausschließlich per WhatsApp versandt. Ein automatischer E-Mail-Versand für Buchungen, Erinnerungen, Wartelisten-, Wiederbesuchs- oder Bewertungseinladungen wird nicht angeboten. Resend wird weiterhin für Konto-, Sicherheits- und Kontakt-E-Mails verwendet; hierfür werden die erforderliche Empfängeradresse, Nachrichteninhalte und technischen Kennungen verarbeitet.

Werbliche Nachrichten aus Warteliste, Kundenrückgewinnung und Bewertungen benötigen im Produkt eine zweckbezogene Einwilligung. Das Studio dokumentiert ihren tatsächlichen Nachweis mit Quelle, Textfassung und Zeitpunkt. Die Einwilligung kann mit STOP bei WhatsApp oder gegenüber dem Studio für die Zukunft widerrufen werden. Die vorherige rechtmäßige Verarbeitung bleibt unberührt. Einwilligungs- und Widerrufsnachweise werden zur Berücksichtigung deiner Entscheidung und Nachweisführung aufbewahrt.

Abendfrei aktiviert kein Öffnungs- oder Klicktracking für Konto- und Kontakt-E-Mails. Historische E-Mail-Nachrichten und deren Widerrufswege bleiben zur Nachvollziehbarkeit erhalten. Resend meldet technische Ereignisse wie Zustellung, Verzögerung, Unzustellbarkeit oder Spam-Beschwerde. Zum Empfänger- und Versandschutz kann eine gehashte Adresse in einer privaten Sperrliste gespeichert werden. Das ist kein anonymisierter Datensatz. Für Studio-Nachrichten richtet sich die Rechtsgrundlage nach Studioauftrag und Einwilligung; für eigene notwendige Konto- und Sicherheitsmitteilungen nach Art. 6 Abs. 1 lit. b oder f DSGVO.

7. Google Kalender und Apple iCloud

Eine Kalenderverbindung ist freiwillig. Bei Google erfolgt die Freigabe über OAuth für Kalenderliste und Kalenderereignisse. Bei iCloud wird ein von dir erzeugtes App-Passwort für den ausgewählten CalDAV-Kalender verwendet. Abendfrei speichert Kalenderkennung, Kalendername, Zuordnung, Verbindungsstatus und Synchronisationsinformationen. Google-Tokens und iCloud-Zugänge werden in einem privaten Datenbankschema verschlüsselt gespeichert; der Schlüssel liegt getrennt in der Serverkonfiguration.

Die Verbindung berücksichtigt Belegtzeiten und synchronisiert Studio-Termine im ausgewählten Kalender. Eingehende Kalenderantworten können vorübergehend weitere Ereignisinhalte enthalten. Gespeicherte importierte Belegtzeiten enthalten Kennungen und Zeiträume, keine fremden Termintitel oder Beschreibungen. Neue exportierte Termine tragen den allgemeinen Titel „Termin · Abendfrei“ und eine private Kennzeichnung; Kundenname, Kontaktdaten und Leistungsname werden nicht als neuer Termintitel exportiert. Eine private Kennzeichnung ersetzt keine passende Kalenderfreigabe beim Anbieter.

Google-Kalenderdaten dienen ausschließlich den sichtbaren Kalenderfunktionen, nicht Werbung, Verkauf oder KI-Training. Verwendung und Weitergabe von Informationen aus Google-APIs richten sich nach der Google API Services User Data Policy einschließlich der Limited-Use-Anforderungen. Personenbezogener Zugriff erfolgt nur auf deine ausdrückliche Freigabe für einen konkreten Supportfall oder soweit für Sicherheit oder gesetzliche Pflichten erforderlich.

Du kannst die Verbindung im Konto trennen und Berechtigungen bei Google beziehungsweise das App-Passwort bei Apple widerrufen. Beim Trennen werden die gespeicherten Zugangsberechtigungen der Verbindung aus Abendfrei entfernt. Bereits exportierte Ereignisse bleiben im externen Kalender und können dort von dir gelöscht werden. Abendfrei handelt für die Verbindung nach Studioauftrag. Für dein Kalenderkonto gelten zusätzlich die Google-Datenschutzhinweise beziehungsweise die Apple-Datenschutzerklärung.

8. Abo-Zahlungen über Stripe

Für Abo-Bestellung und Rechnungsportal wirst du zu Stripe weitergeleitet. Abendfrei übermittelt dafür Konto-E-Mail, Studiokennung und Bestellauswahl. Zahlungs- und Rechnungsdaten wie Name, Anschrift, Steuerangaben und Zahlungsmittel gibst du bei Stripe ein. Abendfrei erhält die erforderlichen Kunden-, Vertrags- und Rechnungskennungen, Module, Beträge, Zahlungsstatus und Laufzeiten. Vollständige Kartennummern werden nicht in der Abendfrei-Datenbank gespeichert; Stamm- und Termindaten deiner Studio-Kunden werden nicht zur Abo-Abrechnung an Stripe übertragen.

Unsere Verarbeitung dient Vertragsdurchführung (Art. 6 Abs. 1 lit. b DSGVO), Abrechnung und gesetzlichen Nachweispflichten (lit. c) sowie Missbrauchsschutz und Durchsetzung berechtigter Ansprüche (lit. f). Stripe verarbeitet Daten teilweise in unserem Auftrag und teilweise für eigene Zwecke, etwa Zahlungsabsicherung und rechtliche Pflichten; Empfänger können Banken und Zahlungsnetzwerke sein. Für diese Verarbeitung und die jeweils zuständigen Gesellschaften gelten die Stripe-Datenschutzhinweise.

9. Anbieter und internationale Verarbeitung

Für Website und Anwendung setzen wir Vercel ein; die Anwendungsfunktionen sind für Frankfurt (fra1) konfiguriert. Datenbank und Authentifizierung laufen im Supabase-Projekt in Frankfurt. Resend übernimmt E-Mails. Für Kundenautomationen ist das vom Studio verbundene WhatsApp-Geschäftskonto beteiligt. Die Unterauftragsverarbeiter und Aufgaben stehen in Anlage 3 der Auftragsverarbeitungsvereinbarung.

Frankfurt schließt internationale Verarbeitung durch globale Auslieferung, Verwaltung, Support und weitere Dienstleister nicht aus. Vercel und Resend haben ihren Sitz in den USA; das veröffentlichte Supabase-DPA nennt Supabase Pte. Ltd. in Singapur. Auch Stripe und gewählte Kalenderdienste können außerhalb des EWR verarbeiten.

Solche Übermittlungen müssen Art. 44 ff. DSGVO erfüllen, etwa durch einen anwendbaren Angemessenheitsbeschluss oder geeignete Garantien und erforderliche ergänzende Maßnahmen. Die Grundlage hängt vom Empfänger und der tatsächlich geltenden Vereinbarung ab. Öffentlich verfügbare DPAs und eine EU-Region belegen allein nicht, dass alle erforderlichen Vereinbarungen bereits wirksam vorliegen. Informationen und verfügbare Kopien der für deinen Fall eingesetzten Garantien erhältst du über unsere Kontaktadresse. Anbietergrundlagen: Vercel-DPA, Supabase-DPA und Resend-DPA.

10. Speicherdauer, Export und Löschung

Die Speicherdauer richtet sich nach dem Zweck: Betriebsdaten für Bereitstellung und Fehlerbearbeitung, Anfragen bis zur Bearbeitung und gegebenenfalls zum Vorgangsnachweis, Vertrags- und Abrechnungsdaten für Vertragserfüllung und anwendbare gesetzliche Aufbewahrungs- und Verjährungsfristen. Daten werden gelöscht oder in der Verarbeitung beschränkt, wenn ihr Zweck entfällt und keine vorrangige Pflicht oder Rechtsgrundlage zur Aufbewahrung besteht. Konkrete Fristen hängen von Datenart und Vorgang ab.

Für Kunden-, Termin-, Nachrichten- und Einwilligungsdaten entscheidet das Studio im Rahmen seiner Pflichten über Aufbewahrung und Löschweisungen. Die Anwendung besitzt keine automatische vollständige Löschung dieser Bestände nach einer einheitlichen Frist. Kundenarchivierung und Abo-Kündigung sind keine endgültige Kontolöschung. Löschanfragen werden über Support oder E-Mail geprüft und manuell bearbeitet; das schließt die Abstimmung zu erforderlichen Anbieter- und Sicherungskopien ein.

Kontoinhaber können die vorgesehenen Studio-Datensätze einschließlich Einwilligungen und Vereinbarungsnachweisen exportieren. Geheime Kalenderzugänge, Passwörter und interne Anbieterprotokolle gehören nicht zum Download. Übersteigt ein Bestand die Grenze des Sofortdownloads, kann er über Support angefordert werden.

11. Deine Rechte

Unter den gesetzlichen Voraussetzungen hast du Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung und Datenübertragbarkeit nach Art. 15 bis 20 DSGVO. Einwilligungen kannst du für die Zukunft widerrufen. Bei Verarbeitung aufgrund berechtigter Interessen kannst du aus Gründen deiner besonderen Situation widersprechen; gegen Direktwerbung jederzeit (Art. 21 DSGVO).

Wende dich an unsere Kontaktadresse oder bei Auftragsdaten an das Studio. Wir können die zur Zuordnung und Prüfung deiner Berechtigung erforderlichen Angaben anfordern. Du kannst dich bei einer Datenschutzaufsichtsbehörde beschweren, insbesondere am Ort deines Aufenthalts, Arbeitsplatzes oder des vermuteten Verstoßes. Für den Anbietersitz ist der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg zuständig.