Stand: 26.10.2026
EJS-Solution — Elias Philip Strohbach und Jona Storch GbR
Fechenheimer Weg 35, 63477 Maintal
Telefon: 0179 4554925
E-Mail: ejs-solution@outlook.de
Wir setzen ausschließlich technisch notwendige Cookies ein, die für den Betrieb der Plattform erforderlich sind. Dazu speichern wir Ihre Sitzungsdaten (Session-Token) in einem sicheren HTTP-Cookie. Es werden keine Tracking- oder Analyse-Cookies ohne Ihre Einwilligung gesetzt.
Darüber hinaus nutzen wir localStorage im Browser für Benutzereinstellungen (z. B. Dark/Light-Modus) und als Zwischenspeicher für Ihr Profilbild. Diese Daten verlassen Ihren Browser nicht. Profilbilder und Logos, die Sie hochladen, speichern wir dagegen in Supabase (Abschnitt 6); sie sind über ihre Adresse öffentlich abrufbar, damit sie etwa in E-Mails angezeigt werden können.
Tritt im Dashboard ein technischer Fehler auf (Abschnitt 3), legt der Browser dessen Kennung mit dem Zeitpunkt im Sitzungsspeicher (sessionStorage) ab, damit das Supportformular sie 30 Minuten lang zum Mitschicken anbieten kann (Abschnitt 5). Der Sitzungsspeicher wird geleert, sobald Sie den Tab schließen.
Diese Website wird über Vercel Inc. (340 S Lemon Ave #4133, Walnut, CA 91789, USA) bereitgestellt. Die Verarbeitung erfolgt auf Servern in der EU (Frankfurt, Deutschland). Vercel ist nach dem EU-US Data Privacy Framework zertifiziert, sodass ein angemessenes Datenschutzniveau gewährleistet ist.
Beim Aufruf unserer Website verarbeitet unser Hosting-Anbieter Vercel automatisch Zugriffsdaten in Server-Protokollen: IP-Adresse, Datum/Uhrzeit, aufgerufene Seite, Browsertyp. Die IP-Adresse wird dabei nicht gekürzt. Bei der Paketwahl schreiben wir sie zusammen mit der Kennung des Betriebs zusätzlich in unser Anwendungsprotokoll. Wir nutzen diese Daten ausschließlich zur Sicherstellung des Betriebs und zur Fehlersuche. Wie lange Vercel die Protokolle aufbewahrt, richtet sich nach dessen Vorgaben; wir selbst können sie nur für kurze Zeit abrufen. Zum Schutz vor Missbrauch dient die IP-Adresse außerdem kurzzeitig als Zählerschlüssel bei Upstash (Abschnitt 13); diese Schlüssel verfallen nach spätestens rund zwei Stunden. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am sicheren Betrieb).
Tritt im Dashboard eines Betriebs ein technischer Fehler auf, erfassen wir ihn automatisch, um ihn beheben zu können: die betroffene Seite ohne Such- und Zugangsparameter, die Fehlermeldung mit dem technischen Ablauf, die zuletzt aufgerufenen Seiten und Schnittstellen der Anwendung, Browser mit Hauptversion und Betriebssystem, Zeitpunkt, Kennung des Betriebs und Softwarestand. Fehler auf unseren Servern erfassen wir ebenso; entstehen sie beim Aufruf einer Buchungsseite, speichern wir nur Seite, Fehlermeldung mit technischem Ablauf, Zeitpunkt, Softwarestand und den betroffenen Betrieb, Browser mit Hauptversion und Betriebssystem nur, wenn dabei jemand mit dem Konto eines Betriebs angemeldet ist. IP-Adressen, Formulareingaben und Inhalte von Terminen, Kundenkartei oder Nachrichten erfasst die Fehlererfassung nicht; E-Mail-Adressen, Telefonnummern, längere Zahlenfolgen und Zugangsschlüssel werden vor dem Speichern automatisch unkenntlich gemacht. Die Fehlerberichte liegen in unserer Datenbank bei Supabase (Abschnitt 6), sind nur für uns einsehbar und werden 90 Tage nach dem letzten Auftreten des Fehlers gelöscht. Zur Fehlersuche mit KI-Werkzeugen geben wir einzelne Berichte nur nochmals geschwärzt weiter; der Betrieb erscheint darin nur als technische Kennung. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am fehlerfreien und sicheren Betrieb).
Wir verwenden die Schriftarten „Geist" und „Schibsted Grotesk" über die Next.js Font Optimization. Die Schriftdateien werden beim Build-Prozess heruntergeladen und anschließend lokal von unserem Server ausgeliefert. Es werden keine Anfragen an externe Server (z. B. Google Fonts) gestellt.
Wenn Sie uns per E-Mail kontaktieren, speichern wir Ihre Angaben (Name, E-Mail-Adresse, Nachrichteninhalt) zur Bearbeitung Ihrer Anfrage. Die Daten werden ausschließlich für die Kommunikation mit Ihnen genutzt. Weitergegeben werden sie nur an unseren E-Mail-Anbieter: Unser Postfach ejs-solution@outlook.de betreibt Microsoft (Outlook.com). Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragsanbahnung) bzw. Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse).
Betriebe können uns aus BookArgent heraus schreiben (Support). Wir speichern dazu die Anfrage mit Kategorie, Betreff und Nachrichtenverlauf, das absendende Konto mit seiner E-Mail-Adresse, den Betrieb sowie technische Angaben (die Seite, von der aus geschrieben wurde, den Softwarestand und gegebenenfalls die Kennung eines zuvor aufgetretenen Fehlers) in unserer Datenbank bei Supabase in Frankfurt (Abschnitt 6). Über neue Anfragen und Nachrichten werden wir per E-Mail benachrichtigt, bei vielen Nachrichten eines Betriebs kurz hintereinander nicht über jede einzelne; eine solche E-Mail nennt nur die Nummer der Anfrage, den Namen des Betriebs, die Kategorie und ob die Anfrage neu, wieder geöffnet oder um eine Nachricht ergänzt ist, nicht Betreff oder Text, und geht über Resend an unser Postfach bei Microsoft (Outlook.com). Unsere Antworten schicken wir zusätzlich per E-Mail über Resend an die Adresse des Kontos, das geschrieben hat (Abschnitt 13). Wir löschen Anfragen zwölf Monate nach ihrer Erledigung und die eines Betriebs mit dem nächsten täglichen Löschlauf nach der Löschung seiner Daten; Anfragen zur Abrechnung bewahren wir als Geschäftsbriefe sechs Jahre auf (§ 257 HGB, § 147 AO), gerechnet ab dem Ende des Jahres der letzten Nachricht. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, für Konten von Beschäftigten eines Betriebs Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Betreuung unserer Kunden), für die Aufbewahrung Art. 6 Abs. 1 lit. c DSGVO.
Antwortvorschläge mit KI. Um einzelne Supportanfragen schneller zu beantworten, lassen wir uns von einem KI-Werkzeug (Claude von Anthropic) eine Antwort vorschlagen, nur nach Durchsicht und einem Klick je Anfrage und nur bei Betrieben, die der Vereinbarung zur Auftragsverarbeitung in der Fassung vom 21.10.2026 oder einer späteren zugestimmt haben (Abschnitt 9). Dafür geben wir nur Betreff und Verlauf der Anfrage mit ihrer Nummer, Kategorie, Paket, Seite und Softwarestand weiter, nachdem wir E-Mail-Adressen, Telefonnummern und längere Ziffernfolgen und, soweit erkennbar, Namen, Anschriften, Datums- und Gesundheitsangaben unkenntlich gemacht und den Text von Hand durchgesehen haben. Ihr Betrieb und Ihr Konto werden darin nicht genannt; solange wir nur wenige Betriebe betreuen, lässt sich aber nicht ausschließen, dass Anthropic aus Inhalt und Zusammenhang erkennt, von welchem Betrieb eine Anfrage stammt. Anfragen zur Abrechnung und zum Datenschutz sowie Weisungen, auch die Bitte, Einstellungen oder Daten zu ändern, zu löschen oder herauszugeben, geben wir nicht weiter; das prüfen wir bei der Durchsicht. Was wir Ihnen antworten, entscheiden und verschicken immer wir, auch wenn wir den Vorschlag übernehmen. Die weitergegebene Fassung löschen wir in unserer Datenbank nach 90 Tagen, mit der Anfrage früher. Außerdem liegt sie im Verlauf des KI-Werkzeugs auf dem Rechner, auf dem wir es nutzen, bis wir ihn löschen, und bei Anthropic nach dessen Angaben 30 Tage, als Verstoß gegen seine Nutzungsrichtlinien eingestufte Inhalte bis zu zwei Jahre. Empfänger und Absicherung dieses Wegs: Abschnitt 8. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer schnellen Beantwortung von Supportanfragen).
Termindaten, Kundendaten und Mitarbeiterdaten werden in Supabase (Supabase Inc.) gespeichert. Das Hosting erfolgt in einem Rechenzentrum in der Europäischen Union (Frankfurt am Main, AWS eu-central-1). Die in Supabase gespeicherten personenbezogenen Daten verbleiben in der EU; eine Speicherung dieser Daten in den USA findet nicht statt. Mit dem Anbieter besteht ein Auftragsverarbeitungsvertrag (AVV) gemäß Art. 28 DSGVO.
Gespeicherte Daten: Kundennamen, Telefonnummern, E-Mail-Adressen, gebuchte Dienstleistungen, Termine, Zahlungsbeträge. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung / Terminverwaltung).
Die Verknüpfung eines Google-Kontos ist freiwillig, standardmäßig abgeschaltet und jederzeit widerruflich. Ohne sie ist BookArgent vollständig nutzbar. Wir fragen genau drei Berechtigungen ab:
Bei dieser Verknüpfung findet kein Zugriff auf das Google-Profil statt; zur Anmeldung mit Google siehe Abschnitt 10. Enthält das Paket das Postfach, lesen wir beim Verknüpfen über die Berechtigung gmail.readonly die Adresse des verknüpften Postfachs und speichern sie, damit unter „Integrationen“ zu sehen ist, welches Postfach verbunden ist; beim Trennen wird sie gelöscht. Die Verknüpfung erfolgt über OAuth 2.0. Dabei wird ein Zugangsschlüssel (Refresh-Token) bei uns gespeichert — Ihr Google-Passwort erhalten wir zu keinem Zeitpunkt. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung).
Eine Ausnahme beim Versand: Fordern Sie ein neues Passwort an und lässt sich die Nachricht nicht über unseren eigenen Versanddienst zustellen, verschicken wir sie über Ihr verbundenes Postfach — andernfalls kämen Sie nicht mehr in Ihr Konto.
Widerruf. Über „Google-Konto trennen" in den Einstellungen widerrufen wir die Freigabe bei Google und löschen die gespeicherten Zugangsschlüssel sowie die gespeicherten Ergebnisse der Dringlichkeitsprüfung (Abschnitt 8). Der Zugriff lässt sich zusätzlich jederzeit direkt im Google-Konto unter myaccount.google.com/permissions entziehen.
Speicherung und Schutz. Den Inhalt Ihrer E-Mails und Termine speichern wir nicht auf unseren Servern: Wir rufen ihn bei Bedarf bei Google ab und zeigen ihn an. Ausgenommen sind die Ergebnisse der Dringlichkeitsprüfung (Abschnitt 8). Zugangsschlüssel, Postfachadresse und diese Ergebnisse liegen in unserer Datenbank in Frankfurt (Abschnitt 6). Der Zugriff darauf ist technisch auf unseren Server beschränkt; die Zugangsschlüssel geben wir nie an Ihren Browser heraus. Alle Verbindungen sind verschlüsselt (TLS).
Eingeschränkte Verwendung (Limited Use). Die Verwendung von Informationen, die BookArgent über Google-Programmierschnittstellen erhält, richtet sich nach der Google API Services User Data Policy einschließlich der Anforderungen zur eingeschränkten Verwendung. Wir verwenden diese Daten ausschließlich für die in dieser Erklärung beschriebenen, für Sie sichtbaren Funktionen. Wir geben sie nicht zu Werbezwecken weiter und verkaufen sie nicht. Menschen lesen sie nur, wenn Sie ausdrücklich zustimmen, wenn es zur Behebung einer Störung oder aus Sicherheitsgründen nötig ist oder wenn das Gesetz es verlangt.
Kein Training von KI-Modellen. Daten aus Gmail und Google Kalender verwenden wir nicht zur Entwicklung, Verbesserung oder zum Training verallgemeinerter KI- oder ML-Modelle — weder selbst noch durch die von uns eingesetzten Dienstleister.
Vera formuliert Antwortvorschläge. Sie beantwortet nichts von sich aus und legt keine Termine an: Der Vorschlag erscheint im Dashboard, kann geändert werden, und ob und wann er abgeschickt wird, entscheidet ein Mensch. Verarbeitet werden dabei Inhalte aus dem verbundenen Postfach — Absenderadresse, Betreff und Nachrichtentext.
Für Vera übermitteln drei Vorgänge Inhalte an Anthropic:
Empfänger ist Anthropic PBC (Modell „Claude", 548 Market St, San Francisco, CA, USA). Es handelt sich um eine Übermittlung in ein Drittland (USA).
Für Vera nutzen wir Anthropic über dessen Programmierschnittstelle (API). Diese Übermittlung wird durch einen Auftragsverarbeitungsvertrag mit Anthropic sowie EU-Standardvertragsklauseln als geeignete Garantien abgesichert. Die Inhalte werden zur Erbringung der jeweiligen Funktion verarbeitet und vertraglich nicht zu Trainingszwecken genutzt; nach eigenen Angaben löscht Anthropic sie innerhalb von 30 Tagen, als Verstoß gegen seine Nutzungsrichtlinien eingestufte Inhalte bewahrt es bis zu zwei Jahre auf. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragsanbahnung/-erfüllung) bzw. Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an effizienter Kundenkommunikation).
Ergebnisse der Dringlichkeitsprüfung speichern wir für 30 Tage, um dieselbe Nachricht nicht mehrfach zu prüfen. Dabei werden Absendername, Betreff und ein kurzer Auszug der Nachricht gespeichert.
E-Mail-Antworten, die zu mindestens der Hälfte aus einem höchstens 24 Stunden alten Vorschlag von Vera bestehen, tragen einen entsprechenden Hinweis. Eine ausschließlich automatisierte Entscheidung mit rechtlicher Wirkung im Sinne von Art. 22 DSGVO findet nicht statt.
Preisliste aus einem Foto. Außerhalb von Vera nutzen wir Anthropic für eine weitere Funktion: Bei der Einrichtung kann ein Betrieb ein Foto seiner Preisliste hochladen. Das Bild wird im Browser verkleinert und erst nach seiner Auswahl an Anthropic übermittelt (Empfänger, Weg und Garantien wie bei Vera), um daraus Leistungen, Preise und Dauern auszulesen. Wir speichern das Bild nicht. Das Ergebnis ist ein Vorschlag: Online geht nur, was der Betrieb prüft und mit der Freischaltung bestätigt. Auf das Foto gehört nur die Preisliste, keine Personen und keine Kundendaten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.
Fehlersuche und Supportanfragen. Nicht über unseren API-Zugang, sondern über Claude-Konten unserer Gesellschafter laufen die Fehlersuche mit KI-Werkzeugen (Abschnitt 3) und die Antwortvorschläge zu Supportanfragen (Abschnitt 5). Vertragspartner dieser Konten und für die Daten dort selbst verantwortlich ist Anthropic Ireland, Limited; nach eigener Datenschutzerklärung überträgt Anthropic sie auf Server in den USA. Für diesen Weg haben wir mit Anthropic weder einen Auftragsverarbeitungsvertrag noch die oben genannten Garantien vereinbart. Wir nutzen dafür nur Konten, in denen die Verwendung zum Training von Modellen abgeschaltet ist, und geben auf diesem Weg nur geschwärzte, von Hand durchgesehene Texte ohne Namen und Kontaktdaten weiter; der Betrieb erscheint in Fehlerberichten nur als technische Kennung, in Supportanfragen gar nicht. Für die Speicherdauer dort und auf unserem Rechner gilt das in Abschnitt 5 Gesagte, für Fehlerberichte ebenso.
BookArgent ist eine Software für Terminverwaltung und Kundenkommunikation. Nutzer des Dienstes sind gewerbliche Betreiber von Salons und Studios. Für die Verarbeitung der Daten ihrer eigenen Kundinnen und Kunden ist der jeweilige Betreiber datenschutzrechtlich Verantwortlicher; wir werden als Auftragsverarbeiter nach Art. 28 DSGVO tätig. Grundlage ist der Auftragsverarbeitungsvertrag, den wir mit jedem Betreiber vor Aufnahme der Verarbeitung schließen.
Wir verarbeiten in diesem Rahmen:
Für Supportanfragen, bei Störungen, zur Wartung und zur Einrichtungshilfe können wir über einen gesonderten, mit zweitem Faktor gesicherten Verwaltungszugang Einsicht in die Einrichtung eines Betriebs nehmen: Einstellungen, Konten, Leistungen, Team, Arbeitszeiten, Termine eines Zeitraums von höchstens 14 Tagen und die Anzahl wichtiger Meldungen; von Endkunden nur die Initialen des Namens, keine Kontaktdaten, Notizen oder Nachrichten. Jede Einsicht speichern wir mit Person, Zeitpunkt, Anlass, Begründung und aufgerufener Ansicht; der Betrieb sieht die jüngsten 100 Einträge in seinen Einstellungen, ältere auf Anfrage. Auf Weisung des Betriebs richten wir dabei auch Leistungen, Mitarbeitende (Vorname und Rolle) und Arbeitszeiten ein, und wir können Leistungen aus dem mitgelieferten Katalog von der Buchungsseite nehmen; jede solche Änderung speichern wir mit dem Zustand vorher und nachher. Diese Einträge löschen wir nach zwei Jahren. Rechtsgrundlage ist die Vereinbarung zur Auftragsverarbeitung (Art. 28 DSGVO), für das Protokoll Art. 6 Abs. 1 lit. c in Verbindung mit Art. 5 Abs. 2 und Art. 32 DSGVO.
Stimmt ein Betreiber der Vereinbarung zur Auftragsverarbeitung zu, speichern wir als Nachweis die Kennung und eine Prüfsumme der Vertragsfassung, den Zeitpunkt der Zustimmung, das zustimmende Konto (E-Mail-Adresse) sowie die angegebene Firma, Anschrift und vertretungsberechtigte Person. Rechtsgrundlage ist Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit Art. 5 Abs. 2 und Art. 28 Abs. 9 DSGVO. Diese Angaben bewahren wir über das Vertragsende hinaus auf, bis Ansprüche aus dem Vertrag verjährt sind, in der Regel drei Jahre ab dem Ende des Jahres, in dem der Vertrag endet. Die geltende Vereinbarung ist abrufbar unter kosmetik.bookargent.com/avv.
Registriert sich ein Betrieb, speichern wir Name und E-Mail-Adresse der anmeldenden Person, ihr Passwort und ihre Anmelde-PIN ausschließlich als Hashwert, außerdem Name, Anschrift und Telefonnummer des Betriebs und das gewählte Paket. Zur Bestätigung der E-Mail-Adresse schicken wir einen Link. Über jede neue Registrierung werden wir intern per E-Mail benachrichtigt (Name und Ort des Betriebs, Name, E-Mail-Adresse, Telefonnummer). Für die Abrechnung der Pakete setzen wir Stripe ein, sofern nicht per Rechnung abgerechnet wird (Abschnitt 13). Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.
Herkunft der Registrierung. Kommen Sie über einen Link mit Kampagnenangaben zur Registrierung, etwa aus einer unserer Anzeigen über bookargent.com/zusage, speichern wir diese Angaben (Quelle, Medium, Kampagne, Anzeige und Platzierung oder Suchbegriff, also die Felder utm_source, utm_medium, utm_campaign, utm_content und utm_term) mit dem Zeitpunkt zu Ihrem Betrieb. So sehen wir, welche Werbung neue Betriebe bringt. Eine Klick-Kennung oder Ihre IP-Adresse speichern wir dafür nicht. Die Angaben werden gelöscht, wenn der Betrieb aus unserer Datenbank gelöscht wird (Abschnitt 14). Rechtsgrundlage ist unser berechtigtes Interesse an der Auswertung unserer Werbung (Art. 6 Abs. 1 lit. f DSGVO).
Anmeldung mit Google (optional). Statt mit E-Mail und Passwort können Sie sich mit Ihrem Google-Konto anmelden. Google übermittelt uns dabei Ihren Namen, Ihre E-Mail-Adresse und gegebenenfalls die Adresse Ihres Profilbilds. Wir verwenden die E-Mail-Adresse, um Ihr bestehendes Konto zu finden; in unserer Datenbank speichern wir davon nichts zusätzlich. Diese Anmeldung gibt uns keinen Zugriff auf Postfach oder Kalender (dafür Abschnitt 7). Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.
Benachrichtigungen auf dem Gerät (optional). Schaltet ein Betrieb Benachrichtigungen ein, speichern wir die Push-Adresse des Browsers mit ihren Schlüsseln und eine Gerätebezeichnung. Die Nachrichten, etwa Tag, Uhrzeit und Leistung einer neuen Anfrage ohne Namen der Kundschaft, werden verschlüsselt über den Push-Dienst des Browserherstellers zugestellt (zum Beispiel Apple, Google, Mozilla oder Microsoft). Abschalten lässt sich das jederzeit in den Einstellungen des Browsers.
Änderungen durch unseren Support. Auf Bitte des Betriebs, zur Behebung einer Störung oder bei der Wartung können wir über einen gesonderten Verwaltungszugang einzelne Einstellungen des Kontos ändern: den Bestätigungslink erneut senden, eine gesperrte PIN freigeben, die Buchungsseite ab- und wieder einschalten und, nur auf Bitte des Betriebs, einzeln vereinbarte Zusatzfunktionen frei- oder abschalten sowie das Paket und die Zahl der Arbeitsplätze umstellen. Jede solche Änderung speichern wir mit Zeitpunkt, handelnder Person, Anlass, Begründung und dem Zustand vorher und nachher, ohne E-Mail-Adresse, für zwei Jahre; der Betrieb sieht die jüngsten 100 Einträge in seinen Einstellungen, ältere auf Anfrage. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, für die Aufbewahrung des Nachweises Art. 6 Abs. 1 lit. f DSGVO.
Kostenlose Phase. Gewähren wir einem Betrieb eine kostenlose Phase (Nutzungsbedingungen Ziffer 6), speichern wir an seinem Konto deren Beginn und Ende sowie, wann wir auf das Ende hingewiesen haben, und halten jede Änderung mit Zeitpunkt, handelnder Person, Begründung und dem Ende vorher und nachher fest. Hinweise auf das Ende und Bestätigungen zur kostenlosen Phase schicken wir per E-Mail über Resend (Abschnitt 13) an die Inhaberin oder, falls keine hinterlegt ist, an das älteste aktive Konto des Betriebs; diese Mails enthalten keine Werbung. Die Angaben löschen wir mit den übrigen Daten des Betriebs (Abschnitt 14). Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.
Fragen Sie über die Buchungsseite eines Betriebs einen Termin an, verarbeiten wir im Auftrag dieses Betriebs Ihren Namen, Ihre E-Mail-Adresse, Ihre Telefonnummer, sofern angegeben, eine optionale Notiz sowie Leistung, Zeitpunkt und gegebenenfalls die gewünschte Mitarbeiterin oder den gewünschten Mitarbeiter. Verantwortlich ist der jeweilige Betrieb (Abschnitt 9). Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.
Terminmails. Sie erhalten eine Eingangsbestätigung und eine Nachricht, sobald der Betrieb den Termin bestätigt, absagt oder verlegt. Hat der Betrieb die Erinnerung eingeschaltet, erhalten Sie außerdem am Vortag eines bestätigten Termins eine Erinnerung. Diese Mails gehören zum Termin und enthalten keine Werbung. Die Mails zu einer Anfrage, einem bestätigten oder verlegten Termin und die Erinnerung enthalten einen persönlichen Link, über den Sie den Termin verschieben oder absagen können; ist eine Telefonnummer hinterlegt, fragen wir dabei deren letzte drei Ziffern ab. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.
Angebote des Betriebs (freiwillig). Setzen Sie bei der Buchung den Haken für Angebote, schicken wir Ihnen im Auftrag des Betriebs eine E-Mail mit einem Bestätigungslink. Erst wenn Sie dort bestätigen, darf der Betrieb Ihnen gelegentlich Angebote per E-Mail schicken. Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 7 Abs. 2 UWG). Welche Angebote der Betrieb Ihnen schickt, kann sich nach Ihren bisherigen Besuchen richten – etwa eine Nachricht, wenn Ihr letzter Termin einige Monate zurückliegt.
Zum Nachweis speichern wir den Wortlaut des Hakens und die Zeitpunkte von Anfrage und Bestätigung. Bestätigen Sie nicht, verfällt der Link nach 7 Tagen, und die Anfrage wird nach 30 Tagen gelöscht. Abbestellen können Sie jederzeit über den Link in jeder Angebots-Mail; das wirkt für die Zukunft. Haben Sie sich einmal abgemeldet, lösen spätere Buchungen keine neue Anfrage aus.
Die Anbindung an WhatsApp Business und Instagram ist derzeit für keinen Betrieb freigeschaltet. Die folgenden Angaben gelten ab ihrer Freischaltung.
WhatsApp. Nach der Freischaltung läuft die Kommunikation über die WhatsApp Business Platform von Meta Platforms Ireland Ltd. Kontaktiert ein Endkunde das Studio dann per WhatsApp, werden Telefonnummer und Nachrichteninhalt über die Infrastruktur von Meta übertragen. Zusätzlich gelten die Datenschutzbestimmungen von Meta.
Instagram. Nach der Freischaltung werden Direktnachrichten an den Instagram-Account des Studios über die Instagram-Schnittstelle von Meta empfangen und beantwortet. Wir greifen dann ausschließlich auf Direktnachrichten und die Basisdaten des verbundenen Professional-Accounts zu. Wir veröffentlichen keine Inhalte, lesen keine Medien und rufen keine Follower-Listen ab.
Nachrichten an Endkunden versenden wir nur als Antwort innerhalb einer vom Endkunden eröffneten Konversation. Terminerinnerungen außerhalb dieses Zeitfensters versenden wir ausschließlich über von Meta freigegebene Vorlagen und nur an Endkunden, die dem ausdrücklich zugestimmt haben. Werbliche Nachrichten versenden wir nicht ohne gesonderte Einwilligung.
| Dienstleister | Zweck | Verarbeitete Daten | Ort |
|---|---|---|---|
| Vercel Inc. | Hosting | Zugriffsdaten | EU (Frankfurt) · Anbieter USA, SCC + DPF |
| Supabase | Datenbank | sämtliche Kunden- und Termindaten | EU (Frankfurt) |
| Anthropic PBC | KI-gestützte Einstufung, Übersetzung und Antwortvorschläge zu Nachrichten; Auslesen einer hochgeladenen Preisliste bei der Einrichtung | Absender, Betreff und Inhalt von Nachrichten, Name und Notiz des Studios; Foto einer Preisliste (von uns nicht gespeichert) | USA, SCC |
| Anthropic Ireland, Limited (Claude-Konten der Gesellschafter) | Fehlersuche und Antwortvorschläge zu Supportanfragen (eigener Verantwortlicher, Abschnitt 8) | geschwärzte, von Hand durchgesehene Fehlerberichte und Supportanfragen ohne Namen und Kontaktdaten | EU (Irland) · Übertragung auf Server in den USA, ohne AVV und ohne Garantien von uns |
| Resend, Inc. | E-Mail-Versand | Name, E-Mail-Adresse, Inhalt der Mail (z. B. Termindaten) | USA, SCC |
| Microsoft Ireland Operations Ltd. (Outlook.com) | Unser Postfach: Kontaktanfragen, interne Registrierungs- und Störungsmeldungen und Hinweise auf neue Supportanfragen (eigener Verantwortlicher) | Name, E-Mail-Adresse, Telefonnummer, Ort, Nachrichteninhalt; zu Supportanfragen nur Nummer, Name des Betriebs, Kategorie und Art | EU · Verarbeitung auch in den USA und weiteren Ländern möglich (USA: DPF, sonst SCC) |
| Google Ireland Ltd. | Kalender- und Postfachanbindung je Studio | Termine, E-Mails | EU |
| Upstash | technische Zähler | IP- und E-Mail-Adressen sowie Betriebskennungen als kurzlebige Zählerschlüssel, keine Nachrichteninhalte | EU (Frankfurt) · Anbieter USA, SCC |
| Stripe Payments Europe Ltd. | Abrechnung der Abos der Betriebe (eigener Verantwortlicher) | Rechnungs- und Zahlungsdaten des Betriebs, keine Endkundendaten | EU (Irland) · Übermittlung an Stripe, Inc. (USA) möglich, DPF |
| Meta Platforms Ireland Ltd. | WhatsApp, Instagram (derzeit nicht freigeschaltet) | Telefonnummer, Nachrichteninhalte | EU |
| Foundata GmbH (goQR.me) | QR-Code des Buchungslinks im Dashboard | IP-Adresse, Browser- und Gerätedaten, Herkunftsseite, öffentlicher Buchungslink | Deutschland (Sitz des Anbieters) |
Nachrichtenverläufe und Termindaten speichern wir für die Dauer des Vertragsverhältnisses mit dem Betreiber. Nach Vertragsende werden die Daten des Betreibers und seiner Endkunden innerhalb von 30 Tagen gelöscht, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Der Betreiber erhält vorher auf Wunsch einen vollständigen Export im CSV-Format. Ausgenommen sind der Nachweis über den Abschluss der Vereinbarung zur Auftragsverarbeitung (Abschnitt 9), das Protokoll unserer Support-Zugriffe und -Eingriffe (zwei Jahre ab dem jeweiligen Eintrag, Abschnitte 9 und 10), das Protokoll unseres Verwaltungszugangs mit der Kennung des Betriebs (400 Tage ab dem jeweiligen Eintrag), Kopien an Claude gegebener Fehlerberichte und Supportanfragen im Verlauf des KI-Werkzeugs auf unserem Rechner und bei Anthropic (Abschnitte 5 und 8) sowie Supportanfragen zur Abrechnung (sechs Jahre, Abschnitt 5).
Wie Endkunden und Betreiber die Löschung ihrer Daten verlangen können, ist unter Löschung deiner Daten beschrieben.
Sie haben gemäß DSGVO folgende Rechte:
Zur Ausübung Ihrer Rechte wenden Sie sich an: ejs-solution@outlook.de
Haben Sie über die Buchungsseite eines Betriebs gebucht, ist dieser Betrieb Ihr Ansprechpartner, denn er ist für Ihre Daten verantwortlich. Seine Kontaktdaten stehen in seinen Datenschutzhinweisen, verlinkt unter seiner Buchungsseite. Wir unterstützen ihn dabei.
Sie haben außerdem das Recht, sich bei der zuständigen Datenschutzaufsichtsbehörde zu beschweren. In Hessen: www.datenschutz.hessen.de
Unsere Website nutzt ausschließlich HTTPS-Verschlüsselung (TLS). Der Zugang zur Verwaltungsoberfläche ist durch eine Authentifizierung (E-Mail + Passwort) geschützt. Passwörter werden gehasht gespeichert.
Wir behalten uns vor, diese Datenschutzerklärung bei Bedarf anzupassen. Die aktuelle Version ist stets unter kosmetik.bookargent.com/datenschutz abrufbar.