Datenschutzerklärung

Fassung vom 8. August 2026

1. Verantwortlicher

Verantwortlicher für die in dieser Datenschutzerklärung beschriebenen eigenen Verarbeitungen ist die

Altunay, Bezhan & Illarionov GbR
Geschäftsbezeichnungen: Perfect Web und Salonary
Kolonnenstraße 8
10827 Berlin
E-Mail: info@salonary.de
Telefon: +49 171 6824646

2. Geltungsbereich

Diese Datenschutzerklärung gilt für die öffentlich zugängliche Website salonary.de, die Registrierung von Salons, Salonary-Benutzerkonten, die Verwaltung des SaaS-Vertragsverhältnisses, den Support, die Abrechnung sowie eigene Sicherheits- und Systemprozesse.

Für Verarbeitungen, die ein Salon über unsere Plattform vornimmt, gilt ergänzend die Datenschutzerklärung des jeweiligen Salons. Diese wird durch die vorliegende Erklärung nicht ersetzt.

3. Rollenverteilung

Soweit Salonary personenbezogene Daten ausschließlich nach dokumentierten Weisungen des jeweiligen Salons verarbeitet, handelt Salonary als Auftragsverarbeiter. Dies betrifft insbesondere Kunden-, Termin- und Mitarbeiterdaten des Salons. Der Salon bestimmt insoweit die Zwecke der Verarbeitung und ist gegenüber seinen Kunden und Mitarbeitern datenschutzrechtlich verantwortlich.

Für eigene Zwecke der Plattform handelt Salonary als eigener Verantwortlicher. Hierzu zählen insbesondere Benutzerkonten, die Vertragsverwaltung, die Abrechnung, der Support, die Sicherheit der Plattform sowie von Salonary festgelegte Darstellungs- und Vermittlungsfunktionen einschließlich der Gestaltung öffentlicher Salonprofile und der Reihenfolge, in der weitere Salons vorgeschlagen werden.

Die konkrete Rollenverteilung richtet sich nach der jeweiligen Verarbeitung.

4. Websiteaufruf und Serverlogs

Beim Aufruf unserer Website protokollieren der eingesetzte Reverse-Proxy und die Anwendungsserver:

- IP-Adresse,
- Datum und Uhrzeit der Anfrage,
- aufgerufene URL,
- HTTP-Statuscode,
- übertragene Datenmenge,
- Browser- und Betriebssystemangaben,
- Referrer, soweit vom Browser übermittelt.

Im Zugriffsprotokoll des vorgelagerten Proxys werden die Abfrageparameter „q", „email" und „token" vor der Protokollierung entfernt; Cookie- und Authorization-Header werden dort nicht protokolliert. In den Protokollen des E-Mail-Versands werden Empfängeradressen maskiert. Anwendungs- und Fehlerprotokolle werden nach dem Grundsatz der Datenminimierung geführt.

Zwecke sind die Bereitstellung und Stabilität des Dienstes, die Fehleranalyse, die IT-Sicherheit sowie die Erkennung und Abwehr missbräuchlicher Zugriffe. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt in einem sicheren und störungsfreien Betrieb.

Serverprotokolle werden nach 14 Tagen gelöscht. Protokolle, die zur Aufklärung eines konkreten Sicherheitsvorfalls gesondert gesichert werden, bewahren wir bis zum Abschluss der Untersuchung, längstens 90 Tage auf.

Das Hosting erfolgt über die DigitalOcean LLC, 105 Edgeview Drive, Suite 425, Broomfield, CO 80021, USA. Die eingesetzten Server befinden sich im Rechenzentrum Frankfurt am Main. Siehe hierzu Abschnitt 17.

5. Registrierung und Benutzerkonten

Zur Nutzung der Plattform legt der Salon ein Benutzerkonto an. Verarbeitet werden:

- Name der nutzenden Person,
- E-Mail-Adresse,
- Passwort ausschließlich in gehashter Form,
- Zuordnung zum jeweiligen Salon,
- Rolle und Berechtigungen,
- Zeitpunkt der Kontoerstellung und der letzten Anmeldung,
- Angaben zur Sitzungsverwaltung.

Die E-Mail-Adresse muss vor Freischaltung des Kontos durch Eingabe eines zugesandten Bestätigungscodes bestätigt werden.

Zwecke sind die Erstellung des Kontos, die Authentifizierung, die Bereitstellung der Software, die Verwaltung von Berechtigungen, die Erfüllung des Vertrags sowie die Verhinderung missbräuchlicher Nutzung.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO für die Durchführung des Nutzungsverhältnisses sowie Art. 6 Abs. 1 lit. f DSGVO, soweit die Verarbeitung der Sicherheit der Konten dient.

Zusätzlich erheben wir zur Identifizierung unseres Vertragspartners den vollständigen rechtlichen Namen des Salonunternehmens, eine abweichende Geschäftsbezeichnung, die Rechtsform, die vollständige Anschrift sowie Namen und E-Mail-Adresse der handelnden Person.

Im Rahmen der Registrierung gibt der Salon vier getrennte Erklärungen ab: die Bestätigung, als Unternehmer und in Vertretungsmacht zu handeln, die Annahme der Allgemeinen Geschäftsbedingungen, den Abschluss des Vertrages zur Auftragsverarbeitung nach Art. 28 DSGVO sowie die Kenntnisnahme dieser Datenschutzerklärung. Zu jeder dieser Erklärungen speichern wir die Fassung des jeweiligen Dokuments und den Zeitpunkt. Rechtsgrundlage hierfür sind Art. 6 Abs. 1 lit. b DSGVO sowie unser berechtigtes Interesse an der Nachweisbarkeit der Vertragsgrundlagen nach Art. 6 Abs. 1 lit. f DSGVO.

6. SaaS-Vertrag mit dem Salon

Für Abschluss und Durchführung des Vertragsverhältnisses verarbeiten wir Bezeichnung und Anschrift des Salons, Name und Kontaktdaten der Ansprechperson, das gewählte Leistungspaket, Beginn, Laufzeit und Beendigung des Vertrags, Rechnungs- und Zahlungsinformationen sowie die Kommunikation im Rahmen des Vertragsverhältnisses.

Rechtsgrundlagen sind Art. 6 Abs. 1 lit. b DSGVO, soweit Vertragspartner eine natürliche Person oder ein Einzelunternehmen ist, Art. 6 Abs. 1 lit. f DSGVO für die Kontaktdaten von Ansprechpersonen juristischer Personen sowie Art. 6 Abs. 1 lit. c DSGVO, soweit handels- und steuerrechtliche Aufbewahrungspflichten bestehen.

Rechnungs- und Buchungsbelege bewahren wir für die Dauer der gesetzlichen Aufbewahrungsfristen auf.

7. Zahlungsabwicklung über Stripe

Für die Abwicklung der Abonnementzahlungen der Salons setzen wir Stripe ein. Anbieter für Kunden im Europäischen Wirtschaftsraum ist die Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, Irland.

Stripe wird ausschließlich für das Abonnement der Salons gegenüber Salonary eingesetzt. Zahlungen zwischen Endkunden und Salons werden nicht über die Plattform abgewickelt.

Die für den Bezahlvorgang erforderlichen Komponenten von Stripe werden erst geladen, nachdem Sie den Bezahlvorgang bewusst gestartet haben.

In unserer Datenbank speichern wir insbesondere die Stripe-Kunden- und Abonnementkennungen, den Abonnementstatus, das Ende der aktuellen Abrechnungsperiode, den Kündigungsstatus sowie Informationen zur Verarbeitung von Webhook-Ereignissen. Zahlungsdaten wie vollständige Karten- oder Kontodaten werden unmittelbar durch Stripe verarbeitet und nicht in unserer Datenbank gespeichert.

An Stripe übermittelt beziehungsweise dort erhoben werden Name und E-Mail-Adresse der zahlenden Person, eine interne Kennung des Salon-Kontos, die im Bezahlvorgang eingegebenen Zahlungsdaten sowie technische Daten des Bezahlvorgangs einschließlich IP-Adresse und Geräteangaben.

Rechtsgrundlage für die Zahlungsabwicklung ist Art. 6 Abs. 1 lit. b DSGVO. Soweit Stripe Daten zur Betrugsprävention und zur Erfüllung eigener aufsichtsrechtlicher Pflichten verarbeitet, handelt Stripe insoweit als eigener Verantwortlicher.

Einzelheiten zur Datenverarbeitung durch Stripe: https://stripe.com/de/privacy

8. Versand von System-E-Mails

Für den Versand vertrags- und nutzungsbezogener E-Mails setzen wir Resend ein. Anbieter ist die Plus Five Five, Inc., handelnd unter „Resend", 2261 Market Street #5039, San Francisco, CA 94114, USA.

Über diesen Dienst versenden wir insbesondere:

- Bestätigungscodes zur Verifizierung von E-Mail-Adressen,
- Nachrichten zum Zurücksetzen des Passworts,
- Bestätigungen einer Passwortänderung,
- Codes und Sicherheitsbenachrichtigungen bei Änderung der E-Mail-Adresse,
- Buchungsbestätigungen an Endkunden einschließlich Stornierungslink,
- Benachrichtigungen über neue Buchungen an den Salon,
- Stornierungs- und Nichterscheinensmitteilungen,
- Meldungen zum Abonnement- und Vertragsstatus,
- Supportanfragen an unser Postfach.

Werbliche Nachrichten versenden wir über diesen Dienst nicht. System-E-Mails und werbliche Kommunikation werden getrennt gehalten.

Übermittelt werden Absender- und Empfängeradresse, Betreff sowie der Inhalt der Nachricht. Der Anbieter führt Zustell- und Fehlerprotokolle. Die Verarbeitung durch den Anbieter erfolgt auch bei Auswahl einer europäischen Versandregion in den Vereinigten Staaten. Der Anbieter bewahrt E-Mail-Daten nach seinen Angaben grundsätzlich 30 Tage auf. Die Übermittlung wird auf die im Auftragsverarbeitungsvertrag des Anbieters einbezogenen Standardvertragsklauseln gestützt.

Zu unterscheiden sind zwei Fälle:

Für Nachrichten, die unser eigenes Vertragsverhältnis mit dem Salon betreffen — etwa Kontoeröffnung, Sicherheitshinweise, Passwortänderungen sowie Abonnement- und Vertragsmeldungen — sind wir selbst Verantwortlicher. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, im Übrigen Art. 6 Abs. 1 lit. f DSGVO aufgrund unseres berechtigten Interesses an einer zuverlässigen Zustellung.

Für Nachrichten an Endkundinnen und Endkunden eines Salons — Buchungsbestätigungen, Stornierungs- und Nichterscheinensmitteilungen sowie Terminhinweise — versenden wir weisungsgebunden für den jeweiligen Salon. Verantwortlicher ist insoweit der Salon; er bestimmt Zweck und Rechtsgrundlage. Resend ist in dieser Kette Unterauftragsverarbeiter.

9. Support und Kontaktaufnahme

Wenn Sie das Supportformular im angemeldeten Bereich verwenden, verarbeiten wir Ihr Benutzerkonto, Ihren Namen, Ihre E-Mail-Adresse, Betreff und Inhalt der Anfrage sowie den Bearbeitungsverlauf. Bei einer Kontaktaufnahme per E-Mail verarbeiten wir zusätzlich die von Ihnen übermittelten Anhänge.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO bei Anfragen zu einem bestehenden oder anzubahnenden Vertragsverhältnis, im Übrigen Art. 6 Abs. 1 lit. f DSGVO aufgrund unseres berechtigten Interesses an der Bearbeitung des Anliegens, sowie Art. 6 Abs. 1 lit. c DSGVO, soweit eine gesetzliche Aufbewahrungspflicht besteht.

Supportanfragen löschen wir nach zwölf Monaten, sofern sie nicht zur Erfüllung eines Vertrags oder zur Geltendmachung rechtlicher Ansprüche weiter benötigt werden.

10. Browser-Benachrichtigungen

Browser-Benachrichtigungen sind standardmäßig ausgeschaltet. Wir fragen sie nicht von selbst ab. Sie werden ausschließlich dann aktiviert, wenn Sie sie im angemeldeten Verwaltungsbereich unter „Benachrichtigungen" bewusst einschalten. Erst dieser Schritt löst die Erlaubnisabfrage Ihres Browsers aus. Die Nutzung der Plattform ist davon nicht abhängig.

Vor der Aktivierung weisen wir an dieser Stelle darauf hin, welche Angaben die Benachrichtigungen enthalten und dass diese auf einem gesperrten Bildschirm sichtbar werden können.

Aktivieren Sie die Benachrichtigungen, speichern wir den technischen Endpunkt Ihres Browsers, die beiden zur Verschlüsselung erforderlichen Schlüssel, die Zuordnung zu Ihrem Benutzerkonto und zum Salon sowie den Zeitpunkt der Einrichtung und der letzten Verwendung.

Der Inhalt einer Benachrichtigung ist auf das Nötige beschränkt: Anlass (neue Buchung oder Stornierung), Name der Kundin oder des Kunden, Bezeichnung der Leistung, Zeitpunkt des Termins sowie ein Verweis auf den zugehörigen Eintrag im Verwaltungsbereich. Notizen, Angaben zur Gesundheit, Telefonnummern, E-Mail-Adressen sowie Bestätigungs- oder Stornierungscodes werden nicht übertragen. Die übertragenen Nutzdaten sind Ende-zu-Ende-verschlüsselt; nur Ihr Endgerät kann sie entschlüsseln.

Die Zustellung erfolgt über die Push-Infrastruktur, die Ihr Browser beziehungsweise Ihr Betriebssystem vorgibt. Auf deren Auswahl haben wir keinen Einfluss; sie ergibt sich aus Ihrer Endgerätekonfiguration. In Betracht kommen insbesondere Dienste von Google, Mozilla und Apple. Diese Betreiber erhalten den technischen Endpunkt, die verschlüsselten Nutzdaten und technische Metadaten wie Zeitpunkt und Umfang der Zustellung. Wir haben mit ihnen keine unmittelbare vertragliche Vereinbarung; die Verarbeitung kann auch außerhalb der Europäischen Union stattfinden.

Rechtsgrundlage ist Ihre Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO in Verbindung mit § 25 Abs. 1 TDDDG. Sie können die Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen, indem Sie die Benachrichtigungen an derselben Stelle in Ihrem Konto wieder ausschalten. Der gespeicherte Endpunkt wird dabei auf unseren Servern gelöscht. Endpunkte, die der Push-Dienst als ungültig zurückmeldet, entfernen wir ebenfalls.

Werbliche Benachrichtigungen versenden wir nicht.

11. Öffentliche Salonprofile und Bewertungsangaben

Jeder Salon erhält eine öffentlich abrufbare Buchungsseite. Die dort dargestellten Inhalte stellt der jeweilige Salon ein und verantwortet sie. Hierzu zählen Name und Anschrift des Salons, Kontaktdaten, Bilder, Leistungsangebot mit Dauer und Preisen, Öffnungszeiten sowie Angaben zu Mitarbeitenden, soweit veröffentlicht (Name, Rolle, Kurzbeschreibung, Foto).

Zu Salons und einzelnen Mitarbeitenden können Bewertungsangaben in Form eines Zahlenwerts und einer Anzahl hinterlegt und öffentlich angezeigt werden. Diese Angaben werden im Verwaltungsbereich gepflegt. Eine Funktion, mit der Endkundinnen und Endkunden nach einem Termin selbst eine Bewertung abgeben, besteht derzeit nicht. Die angezeigten Werte werden zudem herangezogen, um die Reihenfolge weiterer vorgeschlagener Salons zu bestimmen.

Für die Rechtmäßigkeit der eingestellten Inhalte, insbesondere für die Veröffentlichung von Fotos und personenbezogenen Angaben zu Mitarbeitenden, ist der jeweilige Salon verantwortlich. Für die Darstellung und die Reihenfolge auf der Plattform ist Salonary verantwortlich.

12. Buchungen durch Endkunden

Für Terminbuchungen über eine Salonseite gilt: Vertragspartner des Endkunden ist ausschließlich der jeweilige Salon. Der Salon ist für die dabei erhobenen Daten datenschutzrechtlich verantwortlich. Salonary stellt die Buchungsplattform bereit und verarbeitet die Buchungsdaten ausschließlich weisungsgebunden für den Salon. Ergänzend gelten die Datenschutzhinweise des jeweiligen Salons.

Verarbeitet werden können:

- Vor- und Nachname,
- E-Mail-Adresse,
- Telefonnummer,
- ausgewählte Leistung,
- Datum und Uhrzeit des Termins,
- zugeordnete Mitarbeiterin oder zugeordneter Mitarbeiter,
- Preis der Leistung,
- Buchungsstatus einschließlich Stornierung und Nichterscheinen,
- Buchungshistorie beim jeweiligen Salon,
- ein vom Salon geführtes Freitext-Notizfeld,
- Angaben zu Geschlecht und Geburtsdatum, soweit vom Salon erfasst,
- ein vom Salon gepflegter Vermerk zur werblichen Ansprache,
- bei Salons aus dem Bereich der Tierpflege zusätzlich Angaben zum Tier,
- technisch notwendige Kommunikationsdaten für Bestätigung und Stornierung.

Vor Abschluss der Buchung wird die angegebene E-Mail-Adresse durch Übersendung eines Bestätigungscodes bestätigt. Dies dient der Vermeidung von Fehlbuchungen und der unberechtigten Verwendung fremder Kontaktdaten.

Der Vermerk zur werblichen Ansprache wird ausschließlich im Verwaltungsbereich durch den Salon gesetzt. Im öffentlichen Buchungsvorgang wird keine Einwilligung in werbliche Ansprache eingeholt.

Die Zwecke der Verarbeitung bestimmt der jeweilige Salon. Sie können über die Durchführung der einzelnen Buchung hinausgehen und insbesondere die Führung einer Kundenkartei, die Terminhistorie, die Abwicklung von Stornierungen, die Sicherheit des Betriebs sowie die Geltendmachung und Verteidigung rechtlicher Ansprüche umfassen.

Anfragen zu diesen Daten richten Sie bitte unmittelbar an den jeweiligen Salon. An uns gerichtete Anfragen leiten wir an den Verantwortlichen weiter.

13. Mitarbeiterdaten der Salons

Mitarbeiterbezogene Daten verarbeitet Salonary im Auftrag des jeweiligen Salons.

Soweit der Salon Beschäftigte oder sonstige Teammitglieder in Salonary anlegt, können insbesondere Name, Rolle, Kurzbeschreibung, Foto, Aktivstatus, Anzeigereihenfolge, zugeordnete Leistungen, Arbeitszeiten, Verfügbarkeiten, Abwesenheiten, zugeordnete Termine und Bewertungsangaben verarbeitet werden.

Ein Mitarbeiterprofil ist kein Benutzerkonto. Eigene Benutzerkonten für Teammitglieder einschließlich Anmeldedaten und zugehöriger Zugriffsprotokolle werden nur verarbeitet, soweit eine entsprechende Zugangsfunktion tatsächlich eingerichtet ist.

Zusätzlich können zu Mitarbeitenden Bewertungsangaben hinterlegt und öffentlich angezeigt werden; siehe Abschnitt 11. Diese Werte werden nicht automatisiert aus Terminen, Umsätzen oder Kundenrückmeldungen berechnet.

Verantwortlich für diese Verarbeitung sowie für die Rechtsgrundlage der Veröffentlichung von Namen, Fotos und Bewertungsangaben ist der jeweilige Salon.

14. Freitextfelder und besondere Kategorien personenbezogener Daten

Salonary sieht keine gesonderten Eingabefelder für Gesundheits-, Allergie- oder sonstige Daten nach Art. 9 DSGVO vor.

Der Verwaltungsbereich enthält jedoch Freitextfelder für Notizen zu Kundinnen und Kunden sowie zu einzelnen Buchungen. Welche Angaben der Salon dort einträgt und zu welchem Zweck, bestimmt allein er. Darunter können im Einzelfall besondere Kategorien personenbezogener Daten nach Art. 9 Abs. 1 DSGVO fallen, etwa Hinweise auf Allergien, Unverträglichkeiten oder Erkrankungen einer natürlichen Person.

Verantwortlich für diese Inhalte ist der jeweilige Salon. Er hat vor der Verarbeitung einen Erlaubnistatbestand nach Art. 9 Abs. 2 DSGVO festzustellen und zu dokumentieren; in der Regel ist dies die ausdrückliche Einwilligung der betroffenen Person. Wir weisen ihn unmittelbar am Eingabefeld darauf hin.

Salonary verarbeitet diese Angaben ausschließlich auf dokumentierte Weisung des Salons und wertet sie nicht für eigene Zwecke aus. Sie erscheinen nicht in Push-Benachrichtigungen, nicht in E-Mail-Betreffzeilen und nicht in allgemeinen Betriebsprotokollen.

Angaben zur Gesundheit eines Tieres sind keine Gesundheitsdaten einer natürlichen Person im Sinne des Art. 9 DSGVO. Sie können jedoch dem Tierhalter zugeordnet werden und werden wie sonstige Kundendaten behandelt.

15. Cookies, lokale Speicherung und Endgerätezugriffe

Wir setzen die folgenden Speicher- und Zugriffsvorgänge ein. Ein Einwilligungsbanner wird nicht verwendet.

- Salonary.AdminAuth (Cookie): Authentifizierung angemeldeter Nutzer. Attribute HttpOnly, Secure, SameSite=Lax. Gültigkeit acht Stunden mit gleitender Verlängerung.
- bb-admin-session-hint (lokale Speicherung): Hinweis auf eine bestehende Sitzung. Logische Gültigkeit acht Stunden.
- Workbox-Precache, bb-static-assets, bb-pages (Anwendungscache): Zwischenspeicherung von Programmdateien, Bildern, Schriften und Seiten zur Bereitstellung der installierbaren Web-App. Bestand bis zur Aktualisierung oder Löschung durch den Browser.
- salonary-push-navigation (lokale Speicherung): Ziel einer angetippten Benachrichtigung auf iOS. Logische Gültigkeit fünf Minuten.
- Push-Subscription: nur bei aktivierten Benachrichtigungen, siehe Abschnitt 10.

Local-Storage- und Cache-Einträge werden ausschließlich im Browser Ihres Endgeräts gespeichert. Das Authentifizierungscookie wird bei jeder authentifizierten Anfrage an unsere Server übermittelt. Push-Subscriptions werden zusätzlich auf unseren Servern gespeichert und zur Zustellung an den von Ihrem Browser oder Betriebssystem verwendeten Push-Dienst übermittelt.

Rechtsgrundlage für die zur Bereitstellung des Dienstes erforderlichen Vorgänge ist § 25 Abs. 2 Nr. 2 TDDDG in Verbindung mit Art. 6 Abs. 1 lit. f DSGVO. Für die Push-Subscription ist Rechtsgrundlage § 25 Abs. 1 TDDDG in Verbindung mit Art. 6 Abs. 1 lit. a DSGVO.

16. Empfänger

Personenbezogene Daten erhalten:

- der jeweilige Salon, soweit es sich um Buchungs- und Kundendaten handelt,
- DigitalOcean LLC, USA — Hosting, Infrastruktur und Datensicherung; Auftragsverarbeiter,
- Plus Five Five, Inc. („Resend"), USA — Versand von System-E-Mails; Auftragsverarbeiter,
- Stripe Payments Europe, Ltd., Irland — Zahlungsabwicklung; teilweise Auftragsverarbeiter, hinsichtlich Betrugsprävention und eigener aufsichtsrechtlicher Pflichten eigener Verantwortlicher,
- Namecheap, Inc., 4600 East Washington Street, Suite 305, Phoenix, AZ 85034, USA — Betrieb unseres geschäftlichen E-Mail-Postfachs; dort werden Supportanfragen und sonstige E-Mail-Korrespondenz gespeichert,
- unsere Steuerberatung, soweit dies für die Buchhaltung erforderlich ist.

Mit DigitalOcean, Resend und Namecheap bestehen Vereinbarungen über die Auftragsverarbeitung nach Art. 28 DSGVO beziehungsweise entsprechende Auftragsverarbeitungsbedingungen als Bestandteil der jeweiligen Nutzungsbedingungen.

Gesondert zu betrachten ist die Zustellung von Browser-Benachrichtigungen. Sie erfolgt über die Push-Infrastruktur, die Ihr Browser beziehungsweise Ihr Betriebssystem vorgibt — in Betracht kommen insbesondere Dienste von Google, Mozilla und Apple. Wir wählen diese Betreiber nicht aus und haben mit ihnen keine unmittelbare vertragliche Vereinbarung nach Art. 28 DSGVO. Wir bezeichnen sie daher nicht als Auftragsverarbeiter. Einzelheiten dazu, welche Daten sie erhalten, stehen in Abschnitt 10.

Darüber hinaus geben wir Daten weiter, soweit wir gesetzlich dazu verpflichtet sind oder dies zur Geltendmachung und Verteidigung rechtlicher Ansprüche erforderlich ist.

17. Übermittlung in Drittländer

Die eingesetzten Server befinden sich im Rechenzentrum Frankfurt am Main. Der Betreiber DigitalOcean LLC hat seinen Sitz in den Vereinigten Staaten, sodass ein Zugriff aus einem Drittland nicht ausgeschlossen werden kann. Der Versand von System-E-Mails über Resend erfolgt in den Vereinigten Staaten. Auch die Push-Dienste sowie Konzerngesellschaften von Stripe haben ihren Sitz in den Vereinigten Staaten.

Unser geschäftliches E-Mail-Postfach wird von Namecheap, Inc. mit Sitz in den Vereinigten Staaten betrieben. E-Mail-Korrespondenz einschließlich Supportanfragen wird dort gespeichert.

Für Übermittlungen an Namecheap in die Vereinigten Staaten gelten die in den Auftragsverarbeitungsbedingungen von Namecheap einbezogenen Standardvertragsklauseln der Europäischen Kommission. Rechtsgrundlage der Übermittlung ist Art. 46 Abs. 2 lit. c DSGVO. Eine Kopie der Auftragsverarbeitungsbedingungen und der einbezogenen Standardvertragsklauseln ist unter https://www.namecheap.com/legal/universal/data-processing-addendum/ abrufbar.

Wir treffen keine Aussage dahingehend, dass Daten ausschließlich in Deutschland oder innerhalb der Europäischen Union verarbeitet werden.

DigitalOcean, Resend und Stripe stützen Übermittlungen in die Vereinigten Staaten vorrangig auf ihre Zertifizierung nach dem EU-US Data Privacy Framework und ergänzend auf die Standardvertragsklauseln der Europäischen Kommission. Für die Zustellung von Push-Benachrichtigungen ist der Empfänger von der Konfiguration Ihres Endgeräts abhängig; insoweit bestehen keine unmittelbaren vertraglichen Vereinbarungen zwischen uns und dem jeweiligen Push-Dienst.

18. Speicherdauer

- Serverprotokolle: 14 Tage; gesondert gesicherte Sicherheitsvorfälle bis zum Abschluss der Untersuchung, längstens 90 Tage
- Benutzerkonto: bis zum Ende des Vertragsverhältnisses zuzüglich einer Frist von 30 Tagen zur Datenausleitung
- Supportanfragen: zwölf Monate
- Zustellprotokolle des E-Mail-Versands: beim Anbieter grundsätzlich 30 Tage
- Push-Subscriptions: bis zum Widerruf, zur Kontolöschung oder bis der Endpunkt technisch ungültig wird
- Bestätigungscodes: nach Verwendung unverzüglich entwertet; abgelaufene Datensätze werden frühestens 24 Stunden nach ihrem Ablauf durch einen Löschlauf entfernt, der in Abständen von sechs Stunden ausgeführt wird
- Stornierungstoken: wird durch denselben Löschlauf entwertet, sobald der zugehörige Termin begonnen hat
- Buchungs- und Kundendaten: nach Weisung des jeweiligen Salons
- Datensicherungen auf dem Produktivsystem: rollierend, 14 Sicherungsläufe
- Datensicherungen an einem externen Speicherort: nach der dort eingerichteten Aufbewahrungsregel
- Rechnungs- und Buchungsbelege: für die Dauer der gesetzlichen Aufbewahrungsfristen
- Nachweise erteilter Einwilligungen: solange dies zum Nachweis erforderlich ist

19. Ihre Rechte

Sie haben das Recht auf Auskunft über die Sie betreffenden personenbezogenen Daten, auf Berichtigung, auf Löschung, auf Einschränkung der Verarbeitung sowie auf Datenübertragbarkeit. Das Recht auf Datenübertragbarkeit besteht, soweit die Verarbeitung auf einer Einwilligung oder einem Vertrag beruht und automatisiert erfolgt. Eine erteilte Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen.

Widerspruchsrecht

Sie haben das Recht, aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit gegen Verarbeitungen Widerspruch einzulegen, die auf Art. 6 Abs. 1 lit. f DSGVO beruhen. Werden personenbezogene Daten für Direktwerbung verarbeitet, können Sie dieser Verarbeitung jederzeit ohne Angabe von Gründen widersprechen.

Ferner steht Ihnen ein Beschwerderecht bei einer Datenschutzaufsichtsbehörde zu. Die für uns zuständige Behörde ist die Berliner Beauftragte für Datenschutz und Informationsfreiheit, Alt-Moabit 59-61, 10555 Berlin.

Die Bereitstellung der zur Registrierung und Vertragsabwicklung erforderlichen Daten ist für den Abschluss des Vertrags notwendig. Ohne diese Angaben können wir den Dienst nicht bereitstellen.

Legt ein Salon Kundendaten manuell an, stammen die Daten nicht unmittelbar von der betroffenen Person, sondern vom jeweiligen Salon.

Für die Zuständigkeit gilt: Betrifft Ihre Anfrage eine Verarbeitung, für die Salonary selbst verantwortlich ist, richten Sie sie bitte an uns. Betrifft sie Buchungs-, Kunden- oder Mitarbeiterdaten eines Salons, ist der jeweilige Salon verantwortlich; bitte wenden Sie sich unmittelbar an diesen. Wir unterstützen den Salon bei der Bearbeitung und leiten an uns gerichtete Anfragen weiter.

20. Automatisierte Entscheidungen

Salonary setzt keine ausschließlich automatisierten Entscheidungen ein, die gegenüber betroffenen Personen rechtliche Wirkung entfalten oder sie in ähnlich erheblicher Weise beeinträchtigen.

21. Datensicherheit

Wir treffen technische und organisatorische Maßnahmen zum Schutz der verarbeiteten Daten. Hierzu zählen die verschlüsselte Übertragung über TLS, die Speicherung von Passwörtern ausschließlich als Hashwert, rollenbasierte Zugriffsberechtigungen, die Trennung der Daten unterschiedlicher Salons, der Schutz vor seitenübergreifenden Anfragen, die Begrenzung von Anmeldeversuchen, die Protokollierung sicherheitsrelevanter Vorgänge sowie verschlüsselte Datensicherungen.

Eine vollständige Sicherheit kann bei der Übertragung von Daten über das Internet nicht gewährleistet werden.

22. Änderungen dieser Datenschutzerklärung

Wir aktualisieren diese Datenschutzerklärung, wenn sich unsere Verarbeitungen, die eingesetzten Dienstleister oder die rechtlichen Anforderungen ändern. Die jeweils aktuelle Fassung ist auf unserer Website abrufbar. Soweit rechtlich erforderlich, informieren wir betroffene Personen gesondert oder holen eine neue Einwilligung ein.