Datenschutzerklärung.

1. Verantwortlicher und Kontakt

Panagiotis Vakirtzis
body&face Perfection
Wilhelmstraße 74–76
72764 Reutlingen, Deutschland
info@abendfrei.de

Für Websitebetrieb, Kontaktanfragen, Kontoverwaltung, Abo-Abrechnung und eigene Nachweispflichten ist der oben genannte Anbieter verantwortlich. Für Kunden- und Termindaten eines Studios entscheidet der jeweilige Studiobetreiber über Zwecke und Rechtsgrundlagen. Abendfrei verarbeitet diese Daten für das Studio nach dem Vertrag zur Auftragsverarbeitung. Bei Fragen zu deiner Buchung oder den Nachrichten eines Studios wende dich bitte zunächst an dieses Studio.

2. Website, Sicherheit und notwendige Cookies

Bei HTTP-Anfragen fallen Verbindungsdaten an, etwa IP-Adresse, Zeitpunkt, angefragter Pfad, Antwortstatus sowie übermittelte Browser- und Geräteinformationen. Hosting- und Authentifizierungsanbieter können diese in Betriebs- und Sicherheitsprotokollen verarbeiten. Wir nutzen sie für Bereitstellung, Fehlerbearbeitung und Missbrauchsschutz auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO.

Für die Begrenzung häufiger Formular- und Kontoanfragen bildet die Anwendung aus der IP-Adresse oder einer Kontokennung einen Hash. In einer privaten Datenbanktabelle werden diese Kennung, Zählstand, Zeitfenster und Ablaufzeit gespeichert. Dort steht keine Klartext-IP-Adresse. Die Hintergrundbereinigung entfernt abgelaufene Einträge; Anbieterprotokolle sind hiervon unabhängig. Gehashte Kennungen werden nicht als anonyme Daten behandelt.

Die Anmeldung verwendet notwendige Sitzungscookies von Supabase. Neue und erneuerte Cookies sind für Browser-JavaScript nicht lesbar (HttpOnly), werden im Produktivbetrieb nur über HTTPS übertragen und verwenden SameSite=Lax. Bestehende Sitzungscookies erhalten diese Schutzmerkmale beim nächsten Aufruf des Konto- oder Anmeldebereichs. Die Laufzeit beträgt höchstens 30 Tage und kann bei weiterer Nutzung erneuert werden; beim Abmelden werden die Sitzungscookies entfernt. Ohne sie ist eine dauerhafte Anmeldung nicht möglich. Die Speicherung und das Auslesen für diese angeforderte Funktion beruhen auf § 25 Abs. 2 Nr. 2 TDDDG; die anschließende Verarbeitung auf Art. 6 Abs. 1 lit. b DSGVO beziehungsweise bei Beschäftigten eines Vertragspartners auf lit. f. Externe Zahlungs- und Kalenderseiten haben eigene Datenschutzhinweise.

2a. Deine Datenschutzeinstellungen

Die aktuell verfügbaren Messdienste sind im Dialog einzeln wählbar und beginnen erst nach deiner ausdrücklichen Zustimmung. Ablehnen beeinträchtigt weder die Website noch dein Konto. Bei aktivierter Messung findest du „Datenschutzeinstellungen“ auf unseren öffentlichen Infoseiten und der Anmeldeseite am Seitenende. Im Konto erreichst du den Dialog unter „Einstellungen“ am Seitenende. Dort kannst du deine Auswahl jederzeit ändern oder mit „Alle ablehnen“ widerrufen. Die Rechtmäßigkeit der Verarbeitung bis zum Widerruf bleibt unberührt.

Das notwendige Cookie abendfrei_datenschutz speichert deine Auswahl, ihren Zeitpunkt und die Fassung der Hinweise für höchstens 180 Tage. Bei einer wesentlichen Erweiterung der Messung oder einer Änderung der eingesetzten Messdienste fragen wir erneut. Frühere Zustimmungen aktivieren die hier beschriebene Statistik nicht. Die Speicherung zur Berücksichtigung deiner Entscheidung erfolgt nach § 25 Abs. 2 Nr. 2 TDDDG; die Verarbeitung dient der Erfüllung und dem Nachweis unserer Datenschutzpflichten nach Art. 6 Abs. 1 lit. c DSGVO.

Für freigegebene Erfolgsmessungen kann das geschützte Cookie abendfrei_erfolg einen vom Server bestätigten Kontoabschluss, bestätigten Teststart oder bezahlten Aboabschluss höchstens eine Stunde zwischenspeichern. Es wird nach dem Abruf entfernt. Die Auswertung erfolgt ausschließlich auf einer neutralen Zwischenseite ohne Konto- oder Studiokundendaten. Konto-, Anmelde- und Buchungsseiten laden keine Messskripte. In der Browsersitzung speichern wir außerdem bereits gezählte Ereignisse, um Wiederholungen zu vermeiden. Diese optionalen Vorgänge beruhen auf deiner Einwilligung nach § 25 Abs. 1 TDDDG und Art. 6 Abs. 1 lit. a DSGVO.

2b. Statistik mit Vercel Web Analytics

Nach Zustimmung zu „Statistik“ nutzen wir Vercel Web Analytics, angeboten von Vercel Inc., USA, um die Nutzung der öffentlichen Abendfrei-Seiten und die Anzahl erfolgreicher Anfragen, bestätigter Kontoeröffnungen, bestätigte Teststarts und bezahlter Aboabschlüsse auszuwerten. Bei einem Aboabschluss kann der Nettobetrag mit der Währung übermittelt werden.

Vercel verarbeitet dafür unter anderem Zeitpunkt, bereinigte Seitenadresse, Herkunftsseite, ungefähre Region sowie Browser- und Geräteinformationen. Vercel verwendet keine Analyse-Cookies; zur kurzfristigen Besucherzählung wird aus Anfragedaten eine Kennung gebildet, die laut Anbieter nach 24 Stunden verworfen wird. Die statistischen Auswertungen stehen entsprechend dem Vercel-Tarif zur Verfügung. Technische Verbindungsdaten fallen bei der Übertragung an.

Wir entfernen Suchparameter und Fragmente aus den gemessenen Seitenadressen. Allgemeine Seitenaufrufe im Studio-Konto und auf Termin- und Buchungsseiten werden nicht gemessen. Namen, E-Mail-Adressen, Formulartexte, Buchungstokens und Daten deiner Studio-Kunden übermitteln wir nicht als Ereignisdaten an Vercel. Grundlage dieser optionalen Verarbeitung ist Art. 6 Abs. 1 lit. a DSGVO. Weitere Informationen: Vercel Web Analytics – Datenschutz. Zu internationalen Übermittlungen siehe Abschnitt 9.

Statistik mit PostHog

Nach Zustimmung zu „Statistik“ nutzen wir PostHog Inc., USA, in der EU-Cloud (Frankfurt). Wir wollen verstehen, wie Interessierte auf Abendfrei aufmerksam werden, welche Inhalte helfen und an welchen Stellen der Weg zu einer Anfrage oder einem Abschluss abbricht. Dazu erfassen wir Sitzungen, öffentliche Seitenaufrufe, sichtbare Verweildauer, Scrolltiefe in Stufen, angesehene Seitenabschnitte, ausgewählte Modulvorschauen, wichtige Schaltflächen und den Beginn des Kontaktformulars. Auf der öffentlichen Preisseite erfassen wir das Interesse am Abendfrei-Paket; der Klick ist keine Abobestellung. Auf der Produktpräsentation erfassen wir außerdem feste Schritte der Tour und Produktbeispiele sowie die Verwendung des Teilen- oder Kopieren-Knopfs, ohne den geteilten Linkinhalt zu übertragen. Technische Messwerte zu Ladegeschwindigkeit, Reaktionszeit und Layoutverschiebungen (LCP, INP, CLS) helfen uns, die Website zu verbessern.

Als bestätigte Abschlüsse zählen wir erfolgreich gesendete Anfragen, bestätigte Kontoeröffnungen, bestätigte Teststarts und bezahlte Aboabschlüsse. Bei einem bezahlten Abo werden Nettobetrag und Währung EUR übermittelt; ein Teststart enthält keine Zahlungsdaten und keinen Kaufumsatz. Für Trichterauswertungen können diese Ereignisse mit früheren Websitebesuchen desselben Browsers verbunden werden. Ein Klick auf „Registrieren“ zählt nur als Interesse, nicht als abgeschlossenes Konto.

PostHog verwendet eine zufällige, pseudonyme Browserkennung im Erstanbieter-Cookie ph_abendfrei_analytics. Es speichert außerdem die aktuelle Sitzung, eine Kennzeichnung früherer Besuche und begrenzte Herkunftskategorien. Die Cookie-Laufzeit beträgt 30 Tage. Zusätzlich ersetzen wir die Browserkennung spätestens nach 30 Tagen ab ihrer Erstellung bei der nächsten Messung; auch regelmäßige Besuche verlängern die Verwendung derselben Kennung nicht. Ergänzende Fensterkennungen und Merker zur Vermeidung doppelter Abschlüsse liegen im Sitzungsspeicher des Browsers. Dadurch können wir Seitenwege und Wiederbesuche desselben Browsers erkennen. Wir verknüpfen diese Kennung nicht mit deinem Namen, deiner E-Mail-Adresse oder deinem Studio-Konto und führen keine geräteübergreifende Identifizierung durch.

Übermittelt werden Ereignisart, Zeitpunkt, diese zufälligen Kennungen, der bereinigte öffentliche Seitenpfad sowie technische Browser-, Betriebssystem-, Bildschirm- und Geräteangaben. Die Herkunft wird im Browser auf feste Kategorien wie direkte Aufrufe, Google, Instagram, Suchmaschinen, Anzeigen oder Newsletter reduziert; nur von uns festgelegte Kampagnencodes werden übernommen. Vollständige Herkunftsadressen, Suchbegriffe, beliebige UTM-Texte, Anzeigen-Klickkennungen, Suchparameter und URL-Fragmente gelangen nicht als PostHog-Ereignisfelder zu uns. Es werden keine Formularinhalte, Namen, E-Mail-Adressen, Buchungstokens oder Studio-Kundendaten als Ereignisfelder übertragen.

Auf Start-, Modul- und Ratgeberseiten erfassen wir außerdem Klickpositionen und Mausbewegungen für Heatmaps. Die Koordinaten werden im Browser auf ein 16-Pixel-Raster gerundet und mit dem bereinigten Seitenpfad, Geräte- und Sitzungsangaben übertragen; Elementtexte und Eingabewerte gehören nicht zu diesen Kartendaten. Wiederholte Klicks und Klicks ohne erkennbare Seitenreaktion helfen uns, mögliche Bedienprobleme zu finden. Diese technischen Heuristiken beweisen keine Frustration. Die Kartendaten sind über zufällige Kennungen pseudonym zuordenbar und werden von PostHog getrennt von normalen Ereignissen mit einer 90-Tage-Aufbewahrungsfrist gespeichert; die anschließende Löschung erfolgt zeitversetzt.

Die Verweildauer beginnt mit der Zustimmung und pausiert bei ausgeblendetem Tab. Pro Seitenbesuch erfassen wir eine eigene zufällige Kennung und den kumulierten Zeitstand: zu Beginn, etwa alle 30 Sekunden sowie beim Ausblenden oder Verlassen. Für die Auswertung zählt der höchste Zeitstand pro Seitenbesuch. Nicht gesendete Zeitstände werden beim Widerruf verworfen. Diese Messung nähert sich der sichtbaren Zeit an; sie weist keine tatsächliche Aufmerksamkeit nach und kann beim Schließen des Browsers unvollständig bleiben. Pro Seitenbesuch ist sie auf 24 Stunden begrenzt.

Konto-, Anmelde-, Registrierungs- und Buchungsseiten sind ausgenommen. Bestätigte Konto- und Zahlungsereignisse werden auf einer neutralen Zwischenseite ausgewertet. Die automatische Übernahme von Elementtexten und Formularinhalten sowie Standortanreicherung sind deaktiviert. Bei PostHog wird zur zufälligen Browserkennung ein pseudonymes Profil ohne zusätzliche Personenmerkmale angelegt, damit die zugehörigen Ereignisse gezielt gelöscht werden können. Namen, Kontodaten und geräteübergreifende Zuordnungen werden diesem Profil nicht hinzugefügt. IP-Adressen fallen technisch bei der Verbindung an; ihre Speicherung als PostHog-Ereigniseigenschaft und ihre Nutzung zur Standortanreicherung sind in unserer Einbindung deaktiviert.

Die Ereignisdaten werden in der EU-Cloud gespeichert. Für die Detailauswertung sehen wir 90 Tage ab dem ersten Ereignis einer Browserkennung vor. Unser stündlicher Löschlauf beauftragt danach die Löschung des Profils und aller zugehörigen Ereignisse. Spätere Ereignisse derselben Kennung werden dabei ebenfalls entfernt. PostHog verarbeitet diese Aufträge zeitversetzt; bis zum bestätigten Abschluss können die Daten noch vorhanden sein. Wir überwachen den Abschluss und sperren weitere Messungen, wenn der Löschlauf ausfällt oder Löschungen deutlich überfällig werden. Die serverseitige Begrenzung setzen wir unabhängig von der Cookie-Laufzeit um. Grundlage sind deine Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG. Ein Widerruf stoppt weitere Messungen und entfernt die durch unsere Einbindung erreichbare Browserkennung und zugehörigen Merker. Er löscht bereits übermittelte Ereignisse nicht automatisch; Löschanfragen kannst du an info@abendfrei.de richten. Wenn eine Zuordnung ohne zusätzliche Angaben nicht möglich ist, stimmen wir die erforderlichen Informationen mit dir ab.

Für saisonale Vergleiche und die Entwicklung über zwei Jahre halten wir zusätzlich grobe Monatszahlen zu Websitebesuchen und bestätigten Abschlüssen für höchstens 24 Monate fest. Diese Zusammenfassungen enthalten keine Browser-, Sitzungs- oder Kontokennungen, einzelnen Ereignisse, genauen Zeitpunkte oder Aufschlüsselungen nach Seiten und Kampagnen. Werte mit weniger als 20 unterschiedlichen Browserkennungen werden nicht ausgewiesen; größere Werte werden auf volle Zehner abgerundet. Einzelne Besuche lassen sich daraus nicht abrufen. Der Monatsstand wird einmalig abgeschlossen und nicht fortlaufend um einzelne Besuche ergänzt.

Weitere Informationen: PostHog-Datenschutzhinweise, Speicherung und Aufbewahrung und PostHog-Auftragsverarbeitungsvertrag. Zu möglichen internationalen Zugriffen und Übermittlungsgarantien siehe Abschnitt 9.

Sitzungsaufzeichnungen mit PostHog (Session Replay)

Nur nach deiner zusätzlichen, unabhängig von „Statistik“ wählbaren Zustimmung zu „Sitzungsaufzeichnungen“ zeichnen wir die Nutzung der Startseite sowie der öffentlichen Modul- und Ratgeberseiten auf. So erkennen wir, wo die Bedienung unklar ist oder Besucher nicht weiterkommen. Die Aufzeichnung bildet die angezeigte Webseitenstruktur, Mausbewegungen, Klicks, Scrollen, Größenänderungen und Seitenwechsel mit Zeitangaben nach. Sie ist keine Aufnahme deines gesamten Bildschirms, anderer Tabs, deiner Kamera oder deines Mikrofons.

Formulare, Einwilligungsdialoge, eingebettete fremde Inhalte und als privat markierte Bereiche werden vor der Übertragung im Browser ausgeblendet; Eingaben werden maskiert. Konto-, Anmelde-, Registrierungs-, Zahlungs- und Buchungsbereiche sowie rechtliche Informationsseiten werden nicht aufgezeichnet. Adressen werden auf freigegebene öffentliche Pfade ohne Suchparameter oder Fragmente begrenzt. Konsolenprotokolle, Netzwerk-Anfrageinhalte und -Header sowie Video- und Canvas-Inhalte werden nicht mitgeschnitten.

Die Aufzeichnungen enthalten technische Browser- und Geräteinformationen sowie zufällige Sitzungs- und Fensterkennungen. Wenn du auch „Statistik“ zustimmst, kann eine Aufzeichnung über die dort beschriebene Browserkennung mit statistischen Ereignissen verbunden werden. Bei alleiniger Zustimmung zu Sitzungsaufzeichnungen bleibt die Kennung im Arbeitsspeicher des geöffneten Dokuments; dafür setzen wir kein dauerhaftes Analyse-Cookie. Die Einwilligung wird weiterhin im notwendigen Cookie gespeichert.

Aufzeichnungen werden bei PostHog in der EU-Cloud für 30 Tage aufbewahrt und anschließend zeitversetzt nach dem Löschverfahren des Anbieters entfernt. Wir haben keine längere Aufbewahrung oder Speicherung als dauerhaftes Highlight eingerichtet. Die Verarbeitung und der Zugriff auf dein Endgerät beruhen auf Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG. Mit dem Ausschalten von „Sitzungsaufzeichnungen“ oder „Alle ablehnen“ stoppst du weitere Aufzeichnungen; noch nicht gesendete Aufzeichnungsdaten werden verworfen. Für bereits übermittelte Aufzeichnungen gelten die Löschmöglichkeiten wie bei PostHog-Statistik. Weitere Informationen: Datenschutz bei Session Replay und Aufbewahrung von Aufzeichnungen.

2c. Werbemessung

Mit deiner Zustimmung zu „Google Ads“ messen wir, ob Google-Anzeigen zu einer Anfrage, einem bestätigten Konto, einer bestätigten Testphase oder einem bezahlten Abo führen. Anbieter ist Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland. Dabei werden unter anderem bereinigte Seitenadressen, Anzeigen-Klickkennungen, technische Browser- und Verbindungsdaten, Ereignisart und eine pseudonyme Ereigniskennung zur Vermeidung von Doppelzählungen übermittelt; bei Käufen zusätzlich Nettobetrag und Währung. Beim Teststart übermitteln wir nur das bestätigte Ereignis, keine Kartendaten und keinen Kaufumsatz. Google kann dafür insbesondere _gcl_*-Cookies verwenden, üblicherweise mit einer Laufzeit von bis zu 90 Tagen.

Wir verwenden die Basisvariante von Consent Mode v2. Vor deiner Zustimmung wird das Google-Tag nicht geladen. Personalisierte Werbung und der erweiterte Abgleich von Kontaktdaten sind in unserer Einbindung deaktiviert. Grundlage sind § 25 Abs. 1 TDDDG und Art. 6 Abs. 1 lit. a DSGVO. Weitere Informationen: Google-Datenschutzerklärung und Google Ads-Datenschutzbedingungen.

Mit deiner Zustimmung zu „Instagram & Facebook“ verwenden wir Meta Pixel von Meta Platforms Ireland Limited, Merrion Road, Dublin 4, D04 X2K5, Irland. Wir messen damit die Nutzung unserer Angebotsseiten und den Erfolg unserer Anzeigen und können Zielgruppen bilden, um Interessierte später auf Instagram oder Facebook erneut anzusprechen. Das umfasst auch zugestimmte Besuche aus anderen Quellen, beispielsweise der Google-Suche. Meta erhält Seitenaufrufe auf unseren Angebotsseiten und Ereignisse zu Anfragen, bestätigten Konten, gestarteten Testphasen und bezahlten Abos sowie bereinigte Seitenadressen, Anzeigen-Klickkennungen, technische Browser- und Verbindungsdaten und eine pseudonyme Ereigniskennung; bei Käufen zusätzlich Nettobetrag und Währung. Ein bestätigter Teststart wird als Testphase ohne Kartendaten und ohne Kaufumsatz übermittelt. Die Cookies _fbp und _fbc dienen der Wiedererkennung und Anzeigenzuordnung und können bis zu 90 Tage bestehen.

Meta kann diese Daten mit deinem Facebook- oder Instagram-Konto verbinden und für eigene Werbung und Profilbildung verwenden. Wir übermitteln keine Formularinhalte und verwenden keinen automatischen erweiterten Datenabgleich. Für die Erhebung und Übermittlung sind wir und Meta nach Maßgabe der Vereinbarung zur gemeinsamen Verantwortlichkeit gemeinsam verantwortlich; die weitere Verarbeitung erfolgt durch Meta. Grundlage unserer optionalen Einbindung sind § 25 Abs. 1 TDDDG und Art. 6 Abs. 1 lit. a DSGVO. Weitere Informationen: Meta-Datenschutzrichtlinie.

Mit deiner gesonderten Zustimmung zu „ChatGPT-Anzeigen (OpenAI)“ messen wir, ob ein Klick auf unsere ChatGPT-Anzeige zu einer bestätigten Registrierung, einer angenommenen Kontaktanfrage, einem bestätigten Teststart oder einem bezahlten Abo führt. Dazu speichern wir die von OpenAI im Anzeigenlink übergebene Klickkennung im Cookie abendfrei_openai für höchstens 30 Tage. Erst nach Bestätigung des Abschlusses übermittelt unser Server diese Kennung, Ereignisart und Zeitpunkt, eine pseudonyme Ereigniskennung zur Vermeidung von Doppelzählungen sowie unsere öffentliche Websiteadresse an OpenAI. Bei einem bezahlten Abo kommen Nettobetrag und Währung hinzu. Die Zuordnung setzt eine aktuelle Einwilligung und eine noch gültige Klickkennung im selben Browser voraus.

Wir laden hierfür kein OpenAI-Messskript in deinen Browser und übermitteln keine Namen, E-Mail-Adressen, Telefonnummern, Formulareingaben, Kartendaten, Studio-Kundendaten oder deine IP-Adresse als Ereignisfelder. Allgemeine Seitenbesuche werden über diese Einbindung nicht an OpenAI gesendet. Die Ereignisse werden mit der Einstellung übermittelt, die ihre Verwendung für zukünftige personenbezogene Personalisierung ausschließt. OpenAI kann die Klickkennung zur Zuordnung zu einer Anzeigeninteraktion verwenden. Die 30 Tage begrenzen unser Cookie, nicht automatisch die Aufbewahrung bereits übermittelter Ereignisse bei OpenAI. Grundlage sind deine Einwilligung nach § 25 Abs. 1 TDDDG und Art. 6 Abs. 1 lit. a DSGVO. Weitere Angaben zur Verarbeitung und zu deinen Rechten findest du in der OpenAI-Datenschutzerklärung.

Eine Verarbeitung in den USA und anderen Drittländern ist möglich. Maßgeblich sind die anwendbaren Übermittlungsgrundlagen und Anbietervereinbarungen nach Art. 44 ff. DSGVO, siehe Abschnitt 9. Mit dem Widerruf stoppen wir weitere Messungen und entfernen die von unserer Einbindung erreichbaren Werbe-Cookies, Google-Werbekennungen im lokalen Browserspeicher und die Ereignismerker des abgewählten Dienstes. Auf bereits an Anbieter übermittelte Daten und Cookies auf deren eigenen Domains haben wir keinen direkten Löschzugriff; hierfür kannst du deine Betroffenenrechte gegenüber uns beziehungsweise dem Anbieter ausüben.

3. Kontakt und Support

Im Kontaktformular verarbeiten wir Name, E-Mail-Adresse, Anliegen, Nachricht und gegebenenfalls Studioangaben, um deine Anfrage zu beantworten. Das Formular übermittelt die Nachricht per E-Mail an den Betreiber. Im angemeldeten Support werden außerdem Studiokennung, Kontokennung, Betreff, Kategorie, Nachrichten, Zeitpunkte und Bearbeitungsstatus als Ticket gespeichert; der Betreiber kann darauf im Support antworten. Wenn du einen Seitenbezug angibst, speichern wir nur den bekannten Kontobereich ohne Kundennummern, Suchparameter oder Fragmente. Gespeicherte Geschäftszeiten und Zeitpunkte der ersten persönlichen Antwort machen die Bearbeitung nachvollziehbar. Auf Wunsch erhält die aktuelle bestätigte Studioinhaberadresse über Resend einen sachlichen Hinweis auf eine neue Antwort; Anfrageinhalte werden dabei nicht per E-Mail übermittelt. Diesen Wunsch kannst du je Anfrage ändern.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO bei Anbahnung oder Durchführung eines Vertrags, sonst lit. f aufgrund unseres Interesses an der Bearbeitung eingehender Anfragen. Ohne erreichbare Kontaktadresse oder hinreichende Beschreibung können wir dein Anliegen gegebenenfalls nicht bearbeiten. Bitte übermittle keine Gesundheitsdaten, Passwörter oder vollständigen Zahlungsdaten im Support.

4. Studio-Konto und Vereinbarungen

Für das Konto werden E-Mail-Adresse, geschützte Anmeldedaten, Bestätigungs- und Wiederherstellungsvorgänge sowie Sitzungsinformationen über Supabase Auth verarbeitet. In der Datenbank speichern wir Studioangaben, persönliche Nutzerzugänge mit den Rollen Inhaber oder Staff und eingerichtete Funktionen. Je Studio sind ein Inhaber und bis zu zwei Staff möglich. Für Einladungen verarbeiten wir Empfänger-E-Mail-Adresse, einladenden Inhaber, Studiozuordnung, Erstellungs- und Ablaufzeitpunkt sowie den Status der Einladung. Einladungen werden als Konto-E-Mail über Resend verschickt; die Annahme setzt eine Anmeldung mit bestätigter Empfängeradresse voraus. Planbare Mitarbeiter im Kalender werden unabhängig von den Nutzerzugängen geführt.

Bei der AVV-Bestätigung speichern wir Firma beziehungsweise Inhaber, Geschäftsanschrift, Studiobezeichnung, bestätigendes Konto mit E-Mail-Adresse, Zeitpunkt, Vertragsfassung und Prüffingerabdruck des Vertragstextes. Abo-Bestellungen werden gesondert mit akzeptierter Fassung der Abo-Bedingungen, Auswahl und Preis protokolliert. Diese Daten dienen Vertragserfüllung und Nachweis (Art. 6 Abs. 1 lit. b und f DSGVO), gegebenenfalls gesetzlichen Pflichten nach lit. c.

5. Kundendaten, Termine und Onlinebuchung

Im Auftrag des Studios werden Kundenname, E-Mail-Adresse und gegebenenfalls Telefonnummer, Leistungen und Preise, Arbeitszeiten, Mitarbeiterzuordnungen, Termine und Status verarbeitet. Die Daten stammen aus Eingaben des Studios oder deiner Buchung. Bei einer Onlinebuchung wählst du Leistung, Mitarbeiter und Zeit und gibst die angeforderten Kontaktdaten an; sie werden dem betreffenden Studio zugeordnet. Für SMS-Buchungen ist die E-Mail-Adresse optional. Wenn E-Mail als Terminkanal verfügbar ist und du ihn wählst, genügt eine gültige E-Mail-Adresse ohne Mobilnummer. Die eigenen Datenschutzhinweise des Studios werden vor dem Absenden verlinkt; die Lesebestätigung ersetzt keine Einwilligung und keine vertragliche Rechtsgrundlage.

Bei mobilen Behandlungen werden für die konkrete Anfrage außerdem Straße und Hausnummer, Postleitzahl, Ort und optional knappe Zugangshinweise verarbeitet. Diese Angaben sind nur für das zuständige Studio in Abendfrei sichtbar und werden nicht als öffentliche Studioadresse, in Statistikereignissen oder an Kalender- und Nachrichtenanbieter übertragen. Offene mobile Anfragen werden spätestens nach 90 Tagen entfernt; einem Termin zugeordnete Adressen spätestens 30 Tage nach Terminende. Das Studio kann sie vorher löschen und erhält sie im geschützten Datenexport. Die private Geschäftsanschrift aus Kontovereinbarungen wird nicht automatisch auf die öffentliche Buchungsseite übernommen.

Das dient der gewünschten Terminvereinbarung und Verwaltung. Das Studio verantwortet Rechtsgrundlage, eigene Datenschutzinformationen und erforderliche Angaben; für eine Buchung kommt insbesondere Art. 6 Abs. 1 lit. b DSGVO in Betracht. Abendfrei handelt nach dem Studioauftrag. Medizinische Angaben, Diagnosen und Behandlungsdokumentationen gehören nicht in die Eingaben.

Abendfrei ist für Studioleistungen ohne Verarbeitung von Gesundheitsdaten vorgesehen. Auch eine Leistungsbezeichnung oder ihre Zuordnung zu einer Person kann Gesundheitsinformationen offenbaren. Ärztliche, heilkundliche oder sonstige Termine mit solchen Informationen dürfen deshalb nicht über den bestehenden Dienst verwaltet werden. Dafür wären eine gesonderte rechtliche Prüfung und geeignete Anbietervereinbarungen erforderlich; eine zusätzliche Einwilligung allein erweitert den hier vereinbarten Leistungsumfang nicht.

Die Software schlägt freie Zeiten und regelbasierte Nachrichten vor. Abendfrei trifft damit keine eigenständige Entscheidung über eine Behandlung, Kreditwürdigkeit oder vergleichbare Angelegenheit mit rechtlicher oder ähnlich erheblicher Wirkung im Sinne von Art. 22 DSGVO.

5a. Freiwillige Herkunftsangabe bei der Buchung

Mit deiner gesonderten, zunächst nicht ausgewählten Zustimmung kann dein Studio auswerten, über welche Buchungslinks Termine entstehen. Grundlage ist deine Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO. Abendfrei verarbeitet die Angabe im Auftrag des Studios. Ohne Zustimmung kannst du zu denselben Bedingungen buchen; die Herkunft wird dann als „Unbekannt“ geführt. Diese Auswahl erlaubt keine Werbung und keine zusätzlichen E-Mails oder SMS.

Gespeichert werden die Linkkategorie Google-Unternehmensprofil, Website, Instagram oder direkte Weitergabe beziehungsweise eine geprüfte persönliche Wiederbuchung, der Bezug zu Termin und Studio, Erfassungszeitpunkt und Einwilligungsfassung. Eine Linkkategorie beweist keinen Besuch bei dem genannten Anbieter. Ungültige oder fehlende Angaben bleiben unbekannt. Für diese Zuordnung setzen wir keine Cookies, nutzen keinen dauerhaften Browserspeicher und senden keine Angaben an Google, Instagram oder andere Statistikdienste. Die Hosting- und Datenbankanbieter verarbeiten die Daten wie in Abschnitt 9 beschrieben.

Du kannst die Herkunft über „Datenschutz: Herkunftsangabe“ an deinem persönlichen Terminlink entfernen oder dich an dein Studio wenden. Die Kategorie und Einwilligungsfassung werden dabei gelöscht; am Termin bleiben „Unbekannt“, der Widerrufsstatus und sein Zeitpunkt zur Beachtung deiner Entscheidung. Dein Termin bleibt bestehen. Die Rechtmäßigkeit der Verarbeitung vor dem Widerruf bleibt unberührt. Spätestens mit der Löschung des zugehörigen Termins wird der gesamte Herkunftsdatensatz gelöscht. Eine automatische Frist nur für Herkunftsdaten ist nicht eingerichtet; dein Studio legt die erforderliche Aufbewahrung und frühere Löschung nach den in Abschnitt 10 beschriebenen Kriterien fest.

6. E-Mails, SMS, Einwilligungen und Widerruf

SMS-Kundenautomationen werden über die zentrale Abendfrei-Anbindung bei seven communications GmbH & Co. KG, Willestr. 4–6, 24103 Kiel, Deutschland, versandt. Wir übermitteln deutsche Mobilnummer, Absenderkennung, freigegebenen SMS-Text mit Studio- und erforderlichen Terminangaben, persönlichen Aktionslink und technische Nachrichtenkennung. Der Versanddienst meldet Zustell- und Fehlerereignisse. Eine Zustellmeldung ist keine Lesebestätigung. Anbieterinformationen: Auftragsverarbeitung bei seven.

Bei neuen Onlinebuchungen verwendet das Studio je nach deiner Kanalwahl deine Mobilnummer oder E-Mail-Adresse für die Buchungsbestätigung mit persönlichem Terminlink und notwendige Mitteilungen zu Änderungen dieses Termins. Diese auf die angeforderte Buchung beschränkte Kommunikation dient der Vertragsdurchführung nach Art. 6 Abs. 1 lit. b DSGVO. Sie wird vor dem Absenden erläutert und enthält keine Werbung. Eine zusätzliche Terminerinnerung erhältst du nur, wenn du das freiwillige, zunächst nicht gesetzte Häkchen auswählst (Art. 6 Abs. 1 lit. a DSGVO). Ohne diese Auswahl kannst du genauso online buchen. Die Auswahl gilt nur für diesen Termin; bei einer neuen Buchung entscheidest du erneut.

Die frühere verpflichtende Auswahl für SMS-Terminmitteilungen wird nicht als freiwillige Erinnerungseinwilligung weitergenutzt. Vorhandene Nachweise werden nicht umgeschrieben. Wartelisten-, Wiederbesuchs- und Bewertungseinladungen benötigen weiterhin getrennte dokumentierte Einwilligungen für den jeweiligen Zweck und den gewählten Kanal. Eine Erinnerungseinwilligung erlaubt keine Werbung. Frühere Einwilligungen werden nicht auf einen anderen Kanal oder neue Termin-Erinnerungen übertragen. Wir speichern die Entscheidung mit Empfängeradresse, Terminbezug, Quelle, Textfassung und Zeitpunkt; für neue Onlinebuchungen außerdem die Fassung des Bestätigungshinweises, Studionamen und verlinkte Studio-Datenschutzadresse. Das Studio verantwortet den Inhalt seiner eigenen Hinweise.

Die SMS zeigt die vom Studio hinterlegte Absenderkennung oder „Abendfrei“ und nennt dein Studio. Direkte Antworten auf diese Absenderkennung sind nicht möglich. Der persönliche Link führt zu Terminaktionen, Studiokontakt oder Bewertungsziel. Bei Terminnachrichten kannst du dort die Erinnerungen zu diesem Termin ohne Anmeldung abbestellen; notwendige Buchungsmitteilungen und der Termin bleiben davon unberührt. Zusätzlich kannst du weitere automatisierte SMS dieses Studios insgesamt stoppen. Bei einer späteren neuen Onlinebuchung wird die dafür erforderliche Kommunikation erneut angekündigt. Du kannst auch direkt gegenüber dem Studio widerrufen. Der bloße Aufruf des Links bestätigt oder storniert keinen Termin und widerruft noch keine Einwilligung; die gewünschte Aktion wird gesondert bestätigt. Persönliche Links dürfen nicht weitergegeben werden.

Bei Änderung einer Mobilnummer oder E-Mail-Adresse werden ausstehende Nachrichten an den bisherigen Kontakt gestoppt. Eine Einwilligung für den bisherigen Empfänger gilt nicht für die neue Adresse oder Nummer; die passende Zustimmung muss erneut dokumentiert werden. Einwilligungs- und Widerrufsnachweise bleiben zur Berücksichtigung deiner Entscheidung und zur Nachweisführung gespeichert. Historische WhatsApp-Nachrichten und Zustellnachweise bleiben nach den bisherigen Aufbewahrungsregeln nachvollziehbar; neue WhatsApp-Nachrichten werden nicht erzeugt.

Resend wird für Konto-, Sicherheits- und Kontakt-E-Mails sowie für sachliche Buchungsbestätigungen, Änderungen, Absagen und freiwillige Terminerinnerungen eingesetzt. Mit gesonderter Einwilligung für Zweck und E-Mail-Kanal werden auch Wartelistenangebote, Bewertungsbitten und Rückgewinnungseinladungen über Resend verschickt. Bewertungs- und Rückgewinnungsentwürfe muss das Studio zusätzlich einzeln freigeben. Dafür erhält der Anbieter die gewählte E-Mail-Adresse, erforderliche Studio-, Kunden- und Termindaten, den persönlichen Verwaltungslink sowie eine Kalenderdatei. Allgemeine Vorbereitungshinweise des Studios können in Terminnachrichten enthalten sein; diese enthalten keine Werbung. Werbliche Einladungen enthalten den geprüften Studioabsender und einen persönlichen Abmeldelink. Die Kalenderdatei enthält Termin und Leistungsname, aber keinen persönlichen Verwaltungslink. Zustell- und Fehlerereignisse werden gespeichert; Zustellung bedeutet keine Lesebestätigung. Unzustellbare oder vom Anbieter gesperrte Adressen werden für weitere Sendungen blockiert. Der Erinnerungswiderruf ist ohne Konto über den persönlichen Terminlink oder beim Studio möglich und lässt den Termin sowie notwendige Buchungsmitteilungen bestehen. Eine Änderung der gebundenen Adresse oder Archivierung stoppt offene Aufträge; eine neue Adresse übernimmt keine frühere Erinnerungseinwilligung. E-Mails für Wartelisten-, Wiederbesuchs- oder Bewertungseinladungen werden dadurch nicht aktiviert. Bei aktivierter Support-Benachrichtigung erhält die aktuelle bestätigte E-Mail-Adresse des Studioinhabers lediglich einen sachlichen Hinweis auf eine Antwort mit Link zur Hilfeseite im Konto. Ticketinhalte und private Ticketlinks werden nicht per E-Mail übertragen. Die Benachrichtigung lässt sich je Anfrage ein- oder ausschalten. Anbieterschlüssel liegen ausschließlich in der geschützten Serverkonfiguration. Mehr zu beteiligten Anbietern steht in Anlage 3 der Auftragsverarbeitungsvereinbarung.

7. Google Kalender und Apple iCloud

Eine Kalenderverbindung ist freiwillig. Bei Google erfolgt die Freigabe über OAuth für Kalenderliste und Kalenderereignisse. Bei iCloud wird ein von dir erzeugtes App-Passwort für den ausgewählten CalDAV-Kalender verwendet. Abendfrei speichert Kalenderkennung, Kalendername, Zuordnung, Verbindungsstatus und Synchronisationsinformationen. Google-Tokens und iCloud-Zugänge werden in einem privaten Datenbankschema verschlüsselt gespeichert; der Schlüssel liegt getrennt in der Serverkonfiguration.

Die Verbindung berücksichtigt Belegtzeiten und synchronisiert Studio-Termine im ausgewählten Kalender. Eingehende Kalenderantworten können vorübergehend weitere Ereignisinhalte enthalten. Gespeicherte importierte Belegtzeiten enthalten Kennungen und Zeiträume, keine fremden Termintitel oder Beschreibungen. Neue exportierte Termine tragen den allgemeinen Titel „Termin · Abendfrei“ und eine private Kennzeichnung; Kundenname, Kontaktdaten und Leistungsname werden nicht als neuer Termintitel exportiert. Eine private Kennzeichnung ersetzt keine passende Kalenderfreigabe beim Anbieter.

Google-Kalenderdaten dienen ausschließlich den sichtbaren Kalenderfunktionen, nicht Werbung, Verkauf oder KI-Training. Verwendung und Weitergabe von Informationen aus Google-APIs richten sich nach der Google API Services User Data Policy einschließlich der Limited-Use-Anforderungen. Personenbezogener Zugriff erfolgt nur auf deine ausdrückliche Freigabe für einen konkreten Supportfall oder soweit für Sicherheit oder gesetzliche Pflichten erforderlich.

Du kannst die Verbindung im Konto trennen und Berechtigungen bei Google beziehungsweise das App-Passwort bei Apple widerrufen. Beim Trennen werden die gespeicherten Zugangsberechtigungen der Verbindung aus Abendfrei entfernt. Bereits exportierte Ereignisse bleiben im externen Kalender und können dort von dir gelöscht werden. Abendfrei handelt für die Verbindung nach Studioauftrag. Für dein Kalenderkonto gelten zusätzlich die Google-Datenschutzhinweise beziehungsweise die Apple-Datenschutzerklärung.

Gutscheine im Studio

Für die Gutscheinverwaltung speichern wir Gutscheinwert und Restguthaben, geschützte Gutscheincodes, Ausgabe- und Gültigkeitsdaten, Einlösungen und Korrekturen sowie Herkunfts- und Belegvermerke. Bei einer Einlösung wird der Gutschein dem gewählten Termin zugeordnet. Das zuständige Studio kann vorhandenes Guthaben importieren und das Journal exportieren. Die Zahlung für im Studio ausgegebene Gutscheine erfolgt außerhalb von Abendfrei.

8. Abozahlungen über Stripe

Für Abo-Bestellung und Rechnungsportal wirst du zu Stripe weitergeleitet. Abendfrei übermittelt dafür Konto-E-Mail, Studiokennung und Bestellauswahl. Zahlungs- und Rechnungsdaten wie Name, Anschrift, Steuerangaben und Zahlungsmittel gibst du bei Stripe ein. Abendfrei erhält die erforderlichen Kunden-, Vertrags- und Rechnungskennungen, Module, Beträge, Zahlungsstatus und Laufzeiten. Vollständige Kartennummern werden nicht in der Abendfrei-Datenbank gespeichert; Stamm- und Termindaten deiner Studio-Kunden werden nicht zur Abo-Abrechnung an Stripe übertragen.

Anzahlungen, Restzahlungslinks, Online-Erstattungen und der Online-Gutscheinkauf sind derzeit deaktiviert.

Unsere Verarbeitung dient Vertragsdurchführung (Art. 6 Abs. 1 lit. b DSGVO), Abrechnung und gesetzlichen Nachweispflichten (lit. c) sowie Missbrauchsschutz und Durchsetzung berechtigter Ansprüche (lit. f). Stripe verarbeitet Daten teilweise in unserem Auftrag und teilweise für eigene Zwecke, etwa Zahlungsabsicherung und rechtliche Pflichten; Empfänger können Banken und Zahlungsnetzwerke sein. Für diese Verarbeitung und die jeweils zuständigen Gesellschaften gelten die Stripe-Datenschutzhinweise.

9. Anbieter und internationale Verarbeitung

Für Website und Anwendung setzen wir Vercel ein; die Anwendungsfunktionen sind für Frankfurt (fra1) konfiguriert. Datenbank und Authentifizierung laufen im Supabase-Projekt in Frankfurt. Resend übernimmt E-Mails. SMS für Kundenautomationen werden über seven übermittelt. Die Unterauftragsverarbeiter und Aufgaben stehen in Anlage 3 der Auftragsverarbeitungsvereinbarung.

Frankfurt schließt internationale Verarbeitung durch globale Auslieferung, Verwaltung, Support und weitere Dienstleister nicht aus. Vercel und Resend haben ihren Sitz in den USA; das veröffentlichte Supabase-DPA nennt Supabase Pte. Ltd. in Singapur. Auch Stripe und gewählte Kalenderdienste können außerhalb des EWR verarbeiten.

Die veröffentlichten Vertragsgrundlagen sehen folgende Garantien für Übermittlungen außerhalb des EWR vor. Maßgeblich bleiben die für den konkreten Anbieter und die Verarbeitung wirksam einbezogenen Vereinbarungen und gegebenenfalls ergänzende Schutzmaßnahmen nach Art. 44 ff. DSGVO. Eine EU-Serverregion allein schließt einen Drittlandzugriff nicht aus.

• Supabase Pte. Ltd., Singapur: Datenbank und Anmeldung; Speicherung des Projekts in Frankfurt, mögliche administrative und weitere internationale Zugriffe. Das Supabase-DPA, Schedule 1 sieht EU-Standardvertragsklauseln nach Beschluss 2021/914 vor: Modul 2 für unsere eigenen Verantwortlichendaten, Modul 3 für Auftragsdaten der Studios.
• Vercel Inc., USA: Hosting und, nur nach Freigabe und Einwilligung, Statistik. Das Vercel-DPA sieht Standardvertragsklauseln vor, insbesondere Modul 2 oder 3 für Kundendaten je nach unserer Rolle; für gesonderte Verantwortlichenverarbeitungen Modul 1.
• PostHog Inc., USA: Einwilligungsabhängige Website-Statistik und bei gesonderter Zustimmung Sitzungsaufzeichnungen in der EU-Cloud. Das PostHog-DPA enthält EU-Standardvertragsklauseln (Modul 2). Zugriffe außerhalb des EWR, etwa durch Support oder Unterauftragsverarbeiter, werden durch die EU-Speicherregion nicht generell ausgeschlossen.
• Plus Five Five, Inc. (Resend), USA: Konto-, Sicherheits-, Kontakt-, Termin-, Vertrags- und Widerrufs-E-Mails sowie die gesondert erlaubten Wartelisten-, Bewertungs- und Rückgewinnungs-E-Mails. Das Resend-DPA, Ziffer 6.2 sieht Standardvertragsklauseln Modul 1, 2 oder 3 entsprechend der jeweiligen Rollenverteilung vor. Eine europäische Versandregion ist keine Zusage ausschließlicher EU-Verarbeitung.
• seven communications GmbH & Co. KG, Deutschland: SMS-Versand auf Grundlage des Auftragsverarbeitungsvertrags. Für die Übermittlung innerhalb des EWR ist keine Drittlandgarantie erforderlich. Telekommunikationsnetze und weitere Empfänger richten sich nach den seven-Vertragsinformationen.
• Stripe, Irland und USA: Zahlungs- und Aboabwicklung mit möglicher internationaler Verarbeitung. Das Stripe-DPA enthält Standardvertragsklauseln für Verarbeitungen in eigener Verantwortung und als Auftragsverarbeiter (Module 1 und 2). Kontaktlisten und Behandlungsinhalte werden nicht an Stripe übertragen.
• Google Ireland Limited / Google LLC, Irland und USA: Bei freigegebener Werbemessung gelten die Google Ads-Verantwortlichenbedingungen mit den dort geregelten Übermittlungsmechanismen und gegebenenfalls Standardvertragsklauseln für Verantwortliche. Einzelheiten nennt Google in seinen Informationen zu internationalen Übermittlungen. Die freiwillige Kalenderanbindung ist ein gesonderter Dienst des Studios.
• Meta Platforms Ireland Limited / Meta Platforms, Inc., Irland und USA: Eine Verarbeitung über Meta Pixel setzt Freigabe, Einwilligung und die anwendbare Vereinbarung zur gemeinsamen Verantwortlichkeit voraus. Informationen zu Empfängern, Übermittlungsmechanismen und Rechten enthält die Meta-Datenschutzrichtlinie.
• Apple, Irland und USA, sowie Google Kalender: Empfänger bei einer vom Studio eingerichteten Kalenderverbindung. Die jeweiligen Anbieter beschreiben ihre internationalen Übermittlungen und Garantien in der Apple-Datenschutzerklärung beziehungsweise Google-Datenschutzerklärung; den eigenen Kalendervertrag verantwortet das Studio.

Kopien und nähere Informationen zu den für deinen Vorgang geltenden Garantien kannst du unter info@abendfrei.de anfordern. Eine Zertifizierung nach dem EU-US Data Privacy Framework wird hier nicht pauschal für sämtliche Anbieter oder Daten behauptet.

10. Speicherdauer, Export und Löschung

Die Speicherdauer richtet sich nach dem Zweck: Betriebsdaten für Bereitstellung und Fehlerbearbeitung, Anfragen bis zur Bearbeitung und gegebenenfalls zum Vorgangsnachweis, Vertrags- und Abrechnungsdaten für Vertragserfüllung und anwendbare gesetzliche Aufbewahrungs- und Verjährungsfristen. Daten werden gelöscht oder in der Verarbeitung beschränkt, wenn ihr Zweck entfällt und keine vorrangige Pflicht oder Rechtsgrundlage zur Aufbewahrung besteht. Nicht vertragsbezogene, erledigte Kontaktanfragen werden grundsätzlich sechs Monate nach Abschluss zur Löschung geprüft. Vertragsnachweise werden im erforderlichen Umfang grundsätzlich bis zum Ende der regelmäßigen dreijährigen Verjährungsfrist aufbewahrt, gerechnet ab dem gesetzlichen Fristbeginn. Für aufbewahrungspflichtige Buchungsbelege gelten regelmäßig acht Jahre, für Handels- und Geschäftsbriefe sechs Jahre, für bestimmte Bücher und Abschlüsse zehn Jahre, jeweils nach der einschlägigen gesetzlichen Einordnung. Diese Pflichten rechtfertigen keine pauschale Aufbewahrung sämtlicher Kunden- und Termindaten.

Für Kunden-, Termin-, Nachrichten- und Einwilligungsdaten entscheidet das Studio im Rahmen seiner Pflichten über Aufbewahrung und Löschweisungen. Einwilligungsnachweise werden nur so lange benötigt, wie die Einwilligung genutzt wird oder ein konkreter Nachweiszweck fortbesteht. Minimale Versandsperren dienen der Beachtung von Widerrufen; ein Hash bleibt dabei ein personenbezogenes Datum. Die Anwendung besitzt keine automatische vollständige Löschung dieser Bestände nach einer einheitlichen Frist. Kundenarchivierung und Abo-Kündigung sind keine endgültige Kontolöschung. Löschanfragen werden über Support oder E-Mail geprüft und manuell bearbeitet; das schließt die Abstimmung zu erforderlichen Anbieter- und Sicherungskopien ein.

Kontoinhaber können die vorgesehenen Studio-Datensätze einschließlich Einwilligungen und Vereinbarungsnachweisen exportieren. Geheime Kalenderzugänge, Passwörter und interne Anbieterprotokolle gehören nicht zum Download. Übersteigt ein Bestand die Grenze des Sofortdownloads, kann er über Support angefordert werden.

11. Deine Rechte

Unter den gesetzlichen Voraussetzungen hast du Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung und Datenübertragbarkeit nach Art. 15 bis 20 DSGVO. Einwilligungen kannst du für die Zukunft widerrufen. Wir beantworten Anträge grundsätzlich unverzüglich, spätestens innerhalb eines Monats nach Eingang. Bei zulässiger Verlängerung informieren wir innerhalb dieses Monats über Gründe und weitere Frist.

Wende dich an unsere Kontaktadresse oder bei Auftragsdaten an das Studio. Wir können die zur Zuordnung und Prüfung deiner Berechtigung erforderlichen Angaben anfordern. Du kannst dich bei einer Datenschutzaufsichtsbehörde beschweren, insbesondere am Ort deines Aufenthalts, Arbeitsplatzes oder des vermuteten Verstoßes. Für den Anbietersitz ist der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg zuständig.