Datenschutzerklärung

Verantwortlich für die Datenverarbeitung auf dieser Website im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:

Wir verarbeiten personenbezogene Daten unserer Nutzerinnen und Nutzer grundsätzlich nur, soweit dies zur Bereitstellung einer funktionsfähigen Terminbuchung sowie zur Erfüllung vertraglicher und gesetzlicher Verpflichtungen erforderlich ist. Die Verarbeitung erfolgt auf Grundlage von Art. 6 Abs. 1 lit. b (Vertragserfüllung) und lit. c (gesetzliche Verpflichtung) DSGVO.

Die Website und die Buchungsdaten werden bei folgenden Auftragsverarbeitern gehostet. Mit jedem Anbieter besteht ein Vertrag zur Auftragsverarbeitung (Art. 28 DSGVO):

• Datenbank / Backend: Supabase Pte. Ltd. (Singapur), Hosting in der Region Frankfurt (eu-central-1), Europäische Union.
• Web-Hosting / CDN: Vercel Inc., Auslieferung der Website über ein globales Edge-Netzwerk.

Bei der Nutzung der Buchungsfunktion werden Name, E-Mail-Adresse, ggf. Telefonnummer sowie die Buchungsdetails verarbeitet und in der EU gespeichert. Dasselbe gilt für die Anmeldung zu einem Kurs, den Eintrag auf einer Warteliste (Name, Kontakt, Wunschtag und Zeitfenster), die Eingabe an einem Kiosk-Gerät im Betrieb und die Angaben im Chat-Assistenten (Abschnitt 10). Erbringt der Betrieb eine Leistung bei Ihnen vor Ort, fragt das Formular zusätzlich Ihre Anschrift ab. Für alle diese Daten ist der jeweilige Betrieb Verantwortlicher; wir verarbeiten sie in seinem Auftrag (Abschnitt 14 zu Ihren Rechten).

Vercel Inc. hat seinen Sitz in den USA. Die Übermittlung erfolgt auf Grundlage des Angemessenheitsbeschlusses der Europäischen Kommission zum EU-US Data Privacy Framework, soweit der Anbieter zertifiziert ist, im Übrigen auf Grundlage der Standardvertragsklauseln der Europäischen Kommission (Art. 46 Abs. 2 lit. c DSGVO). Eine Kopie der Garantien stellen wir auf Anfrage bereit.

Server-Protokolle

Beim Aufruf unserer Seiten fallen bei unseren Hosting-Anbietern Protokolldaten an: IP-Adresse, Datum und Uhrzeit, aufgerufene Adresse, übertragene Datenmenge, Browserkennung und, falls vorhanden, die verweisende Seite. Diese Daten sind technisch erforderlich, um die Seite auszuliefern, Störungen zu erkennen und Missbrauch abzuwehren.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt im sicheren und störungsfreien Betrieb. Eine Zusammenführung dieser Daten mit anderen Datenquellen findet nicht statt. Die Protokolle werden nach der beim jeweiligen Anbieter eingestellten Frist automatisch gelöscht.

⚠️ In den Protokollen können Adressen mit Zugangsschlüsseln erscheinen, etwa der Link zu Ihrem Termin, den Sie in der Bestätigungsmail erhalten haben. Wir halten den Zugriff auf diese Protokolle deshalb eng und geben ihn nicht weiter.

Zähltabelle. Bei Anfragen an unsere Schnittstellen, die ohne Anmeldung erreichbar sind (etwa Buchung, Warteliste, Terminverwaltung, Stornierung, Chat-Assistent, Kontakt- und Newsletterformular, Anforderung eines Testphasen-Links), zählen wir, wie viele Anfragen von derselben IP-Adresse in einem kurzen Zeitfenster eingehen, und weisen darüber hinausgehende ab. Dazu speichern wir einen mit einem serverseitigen Geheimnis gebildeten Hashwert aus Schnittstelle und IP-Adresse zusammen mit dem Zeitpunkt; die Adresse selbst wird dort nicht abgelegt, weitere Angaben aus der Anfrage ebenfalls nicht. Diese Einträge werden spätestens nach 24 Stunden gelöscht. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt darin, die Plattform für alle Betriebe erreichbar zu halten und Missbrauch abzuwehren. Für diese Zähltabelle sind wir selbst Verantwortliche, auch wenn die Anfrage einen Termin bei einem Betrieb betrifft.

Bot-Erkennung. Auf dem Kontaktformular, dem Support-Formular im eingeloggten Bereich, den Support-Vorgängen, der Antwortsuche vor dem Kontaktformular und dem Chat-Assistenten auf Buchungsseiten setzen wir zusätzlich die Bot-Erkennung unseres Hosting-Anbieters ein (Vercel BotID, Vercel Inc., USA, Auftragsverarbeiter, zur Übermittlung siehe Abschnitt 3). Dazu bindet die jeweilige Seite ein Skript von Vercel ein, das beim Absenden technische Merkmale des Browsers auswertet und der Anfrage einen Prüfwert mitgibt. Wir erhalten nur das Ergebnis, ob die Anfrage von einem Menschen oder von einem Programm stammt, nicht die ausgewerteten Merkmale; wir setzen dafür kein eigenes Cookie und speichern keines dieser Merkmale. Die Erkennung läuft ausschließlich auf den genannten Formularen. Eine als automatisiert eingestufte Anfrage wird abgewiesen, beim Chat-Assistenten nur gedrosselt; fällt die Prüfung technisch aus, wird die Anfrage ohne sie weiterverarbeitet. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; soweit dabei Informationen in Ihrem Endgerät gelesen werden, ist das für den Schutz des von Ihnen abgeschickten Formulars unbedingt erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG).

Bestätigungs-, Erinnerungs- und Stornierungsmails werden über den Anbieter Plus Five Five, Inc. (auftretend als „Resend“) als Auftragsverarbeiter versendet. Dabei werden E-Mail-Adresse, Name und buchungsbezogene Inhalte verarbeitet (Art. 6 Abs. 1 lit. b DSGVO).

Resend, Inc. hat seinen Sitz in den USA. Die Übermittlung erfolgt auf Grundlage des Angemessenheitsbeschlusses der Europäischen Kommission zum EU-US Data Privacy Framework, soweit der Anbieter zertifiziert ist, im Übrigen auf Grundlage der Standardvertragsklauseln der Europäischen Kommission (Art. 46 Abs. 2 lit. c DSGVO) nebst ergänzenden Schutzmaßnahmen. Eine Kopie der Garantien stellen wir auf Anfrage bereit.

Erinnerungen und Angebote der Betriebe. Betriebe können über Seqnd.io darüber hinaus Erinnerungsmails, wenn ein Folgetermin anstehen könnte, Nachfass-Nachrichten nach längerer Pause, Geburtstagsgrüße und Zufriedenheitsanfragen versenden. Verantwortlicher für diese Nachrichten ist der jeweilige Betrieb; Seqnd.io wird insoweit ausschließlich als Auftragsverarbeiter nach Art. 28 DSGVO tätig.

Rechtsgrundlage ist ausschließlich die Einwilligung der Empfängerin oder des Empfängers (Art. 6 Abs. 1 lit. a DSGVO, § 7 Abs. 2 Nr. 2 UWG). Die Einwilligung wird getrennt nach Zweck erteilt: eine für Erinnerungsmails an einen möglichen Folgetermin, eine für Angebote, Aktionen, Neuigkeiten, Geburtstagsgrüße und Nachfass-Nachrichten und zusätzlich eigenständig die Zufriedenheitsanfrage nach dem Termin. Jeder Zweck ist einzeln widerrufbar. Vor 2026-08-27 erteilte Einwilligungen, die mehrere dieser Anlässe in einem Häkchen nannten, bleiben unverändert in ihrem damaligen Umfang bestehen; sie werden nicht rückwirkend erweitert oder zurückgenommen. Die Einwilligung ist keine Bedingung für eine Buchung und wird mit Zeitpunkt, Erfassungsweg und Fassung des zugestimmten Textes dokumentiert. Ohne dokumentierte Einwilligung versendet das System solche Nachrichten nicht, auch nicht auf Wunsch des Betriebs. Eine Einwilligung, deren Erteilung länger als 24 Monate zurückliegt, wird nicht mehr verwendet; sie kann jederzeit neu erteilt werden.

Der Widerruf ist jederzeit über den Abmeldelink in jeder solchen Nachricht möglich, ohne Anmeldung und ohne andere Kosten als die der Datenübertragung (Art. 7 Abs. 3 DSGVO). Er wirkt gegenüber dem jeweiligen Betrieb. Eine Öffnungs- oder Klickmessung findet in diesen Nachrichten nicht statt (§ 25 TDDDG). Terminbestätigungen, Terminerinnerungen und Absagen sind hiervon nicht betroffen: sie dienen der Durchführung des Termins (Art. 6 Abs. 1 lit. b DSGVO) und bleiben vom Widerruf unberührt.

Ein Betrieb kann zusätzlich einen eigenen Hinweis zum bereits gebuchten Termin versenden, dessen Text er selbst verfasst („vor dem ersten Termin“). Auch er dient der Durchführung des Termins (Art. 6 Abs. 1 lit. b DSGVO) und setzt deshalb keine Einwilligung voraus; werbliche Inhalte sind dort nicht zulässig. Weil der Text nicht von uns stammt, enthält diese Nachricht dennoch einen Abmeldelink: Sie können ihr jederzeit widersprechen (Art. 21 DSGVO), ohne Anmeldung und ohne andere Kosten als die der Datenübertragung. Der Widerspruch wirkt gegenüber dem jeweiligen Betrieb und beendet zugleich dessen werbliche Nachrichten an Sie; Terminbestätigungen, Terminerinnerungen und Absagen bleiben davon unberührt.

Auf unserer Startseite können Sie Ihre E-Mail-Adresse eintragen, um einen Link für die kostenlose Testphase zu erhalten. Wir speichern die Adresse, den Zeitpunkt, einen Hashwert Ihrer IP-Adresse, die Zahl der versandten Links sowie eine etwaige Herkunftskennung (Kampagnencode oder Kennung eines Anschreibens) und senden Ihnen den Link zu. Rechtsgrundlage für den Versand ist die Durchführung vorvertraglicher Maßnahmen auf Ihre Anfrage (Art. 6 Abs. 1 lit. b DSGVO); der IP-Hashwert und die Zählung dienen der Abwehr von Missbrauch des Formulars (Art. 6 Abs. 1 lit. f DSGVO).

Der Link ist 72 Stunden gültig. Erst wenn Sie ihn öffnen und ein Passwort wählen, entsteht ein Konto. Auf dieser Seite können Sie zusätzlich und freiwillig in den Erhalt von Produktinformationen per E-Mail einwilligen (Abschnitt 11b); die Einwilligung ist keine Bedingung für das Konto und wird getrennt dokumentiert. Die Mail mit dem Link enthält keine Werbung.

Wird der Link nicht eingelöst, löschen wir die Anforderung nach 30 Tagen; nach der Einlösung nach 90 Tagen (Abschnitt 13). Haben Sie den Link nicht angefordert, müssen Sie nichts tun.

Auf unserer Website können Sie unseren Newsletter abonnieren. Verantwortliche hierfür ist ausschließlich Seqnd.io (siehe Ziffer 1), nicht ein Betrieb, der die Plattform nutzt. Der Newsletter enthält Produktneuheiten, Hinweise zur Terminorganisation und eigene Angebote.

Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 7 Abs. 2 Nr. 2 UWG). Wir verwenden das Double-Opt-In-Verfahren: Nach der Anmeldung erhalten Sie eine E-Mail mit einem Bestätigungslink. Erst wenn Sie die Anmeldung dort bestätigen, nehmen wir Sie in den Verteiler auf. Bleibt die Bestätigung aus, löschen wir die Angaben nach 30 Tagen.

Zum Nachweis der Einwilligung (Art. 7 Abs. 1 DSGVO) speichern wir neben Ihrer E-Mail-Adresse den Zeitpunkt der Anmeldung und der Bestätigung, die Fassung des zugestimmten Einwilligungstextes, die aufrufende Seite sowie Ihren Browser- Kennzeichner und Ihre IP-Adresse ausschließlich als kryptographischen Hashwert, die IP-Adresse selbst wird nicht gespeichert. Diese Herkunftsindizien löschen wir nach drei Jahren; die Einwilligungszeile selbst bleibt bis dahin unverändert.

Für Aufbau und Versand des Newsletters setzen wir Resend (Plus Five Five, Inc., USA) als Auftragsverarbeiter nach Art. 28 DSGVO ein. Die Verarbeitung erfolgt in der Region eu-west-1 innerhalb der Europäischen Union; für den Anbieter bestehen Standardvertragsklauseln nach Art. 46 DSGVO. Übermittelt wird die E-Mail-Adresse der Abonnentinnen und Abonnenten.

Eine Öffnungs- oder Klickmessung findet nicht statt. Wir setzen keine Zählpixel ein und schreiben keine Links um; ein Zugriff auf Informationen in Ihrem Endgerät nach § 25 TDDDG erfolgt durch den Newsletter daher nicht. Ihre Adresse wird nicht an Dritte weitergegeben; wir bilden aus ihr kein Profil und werten Ihr Leseverhalten nicht aus.

Abgleich mit unserer Akquise-Liste. Wir schreiben Betriebe auch per Brief an (Ziffer 12). Meldet sich eine dort erfasste Adresse zum Newsletter an, sehen wir das intern beim betreffenden Betrieb, damit wir ihn nicht zusätzlich anschreiben. Der Abgleich findet erst beim Aufruf der internen Ansicht statt; es wird dafür nichts zusätzlich gespeichert. Er endet mit Ihrer Abmeldung ebenso wie mit einem Widerspruch nach Art. 21 DSGVO. Rechtsgrundlage ist unser berechtigtes Interesse daran, denselben Betrieb nicht doppelt anzusprechen (Art. 6 Abs. 1 lit. f DSGVO).

Gutscheine aus dem Newsletter. Lösen Sie einen Gutschein bei der Registrierung eines Betriebs ein, speichern wir zu diesem Gutschein, welcher Betrieb ihn eingelöst hat. Ohne diese Zuordnung ließe sich weder die Gutschrift abrechnen noch eine Mehrfacheinlösung verhindern. Rechtsgrundlage ist die Durchführung des Vertrags beziehungsweise die Durchführung vorvertraglicher Maßnahmen (Art. 6 Abs. 1 lit. b DSGVO).

Sie können die Einwilligung jederzeit für die Zukunft widerrufen (Art. 7 Abs. 3 DSGVO), über den Abmeldelink am Ende jeder Newsletter-Mail, ohne Anmeldung und ohne andere Kosten als die der Datenübertragung. Nach dem Widerruf bewahren wir den Datensatz noch drei Jahre auf, um Erteilung und Widerruf belegen zu können; ein Versand findet ab dem Widerruf nicht mehr statt.

Freiwillige Angabe eines Abmeldegrunds. Nach einer wirksamen Abmeldung, gleich ob vom Newsletter, von unseren Hinweismails oder von werblichen Mails eines Betriebs, bieten wir Ihnen an, uns freiwillig einen Grund zu nennen und optional einen Freitext zu hinterlassen. Die Abmeldung ist zu diesem Zeitpunkt bereits gespeichert und hängt nicht von einer Antwort ab. Rechtsgrundlage ist unser berechtigtes Interesse an der Verbesserung unserer Kommunikation (Art. 6 Abs. 1 lit. f DSGVO). Ihre E-Mail-Adresse speichern wir zu dieser Antwort nicht, sondern nur einen mit einem geheimen Schlüssel gebildeten Hashwert, der eine Zuordnung zu Ihrer Person nicht zulässt und allein dazu dient, eine korrigierte Antwort der ersten zuzuordnen. Einen Freitext löschen wir nach 24 Monaten. Betrifft die Abmeldung Mails eines Betriebs, wird die Antwort diesem Betrieb angezeigt; verantwortlich ist insoweit der Betrieb, wir handeln als Auftragsverarbeiter.

Verbindet ein Betrieb seinen Google- oder Outlook-Kalender, trägt Seqnd.io die gebuchten Termine dort ein und hält sie aktuell. Übermittelt werden dabei an Google Ireland Ltd. bzw. Microsoft Ireland Operations Ltd.: der Name der Kundin oder des Kunden, die gebuchte Leistung, Zeitpunkt und Dauer, der Status des Termins und die zugeordnete Person.

Der Titel des Kalendereintrags nennt bewusst nur „Termin“ und den Namen, nicht die Leistung. Der Titel ist das einzige Feld, das ohne Zutun sichtbar wird, etwa im Sperrbildschirm eines Telefons. Die Leistung steht nur im Beschreibungstext, den sieht nur, wer den Termin öffnet. Interne Notizen zum Termin werden nicht übertragen.

Bei einem Videotermin wird zusätzlich ein Besprechungsraum (Google Meet bzw. Microsoft Teams) angelegt; dessen Zugangslink erhalten Betrieb und Gast. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, ohne Raum kein Videotermin. Die Übermittlung in die USA stützt sich auf das EU-US Data Privacy Framework, hilfsweise auf Standardvertragsklauseln.

Ohne verbundenen Kalender findet nichts davon statt. Ob ein Kalender verbunden ist, entscheidet allein der Betrieb.

Verantwortlicher im Sinne der DSGVO ist der jeweilige Betrieb, nicht wir. Wir werden dabei ausschließlich als Auftragsverarbeiterin nach Art. 28 DSGVO tätig, auf Grundlage der Einwilligung, die die beschäftigte Person selbst erteilt. Vollständige Pflichtangaben nach Art. 13 DSGVO stehen auf der Verbindungsseite selbst, zum Zeitpunkt der Einwilligung.

Eine beschäftigte Person kann auf eigenen Wunsch ihren privaten oder geschäftlichen Google- oder Outlook-Kalender mit ihrem Profil verbinden. Verbunden, rufen wir bei Google Ireland Ltd. bzw. Microsoft Ireland Operations Ltd. ausschließlich ab, wann sie dort belegt ist: Beginn und Ende, sonst nichts.Gespeichert wird davon ausschließlich, was in ihre im Betrieb hinterlegte Arbeitszeit fällt; alles außerhalb verwerfen wir unmittelbar nach dem Abruf und schreiben es nie in unsere Datenbank. Beschreibung, Ort und Teilnehmende rufen wir nicht ab. Bei Google ist die angeforderte Berechtigung (calendar.freebusy) technisch auf Frei/Belegt-Zeiten beschränkt und lässt keine weiteren Felder zu. Bei Microsoft fordern wir die schwächere Berechtigung Calendars.ReadBasic an; die Beschränkung auf Beginn und Ende setzen wir dort zusätzlich selbst durch eine eigene Feldauswahl beim Abruf durch, das ist eine technische Vorkehrung unsererseits, keine Grenze, die die angeforderte Berechtigung selbst zwingend vorgibt. Anders als beim Kalender des Betriebs (Abschnitt 5a) schreiben wir hier nichts in den Kalender zurück; für die Übermittlung in die USA gilt dieselbe Grundlage wie dort: das EU-US Data Privacy Framework, hilfsweise Standardvertragsklauseln.

Rechtsgrundlage ist die Einwilligung der beschäftigten Person selbst (Art. 6 Abs. 1 lit. a DSGVO), die sie vor der Anmeldung beim Anbieter auf einer eigenen Verbindungsseite erteilt. Die Teilnahme ist freiwillig: Herstellen kann die Verbindung ausschließlich die beschäftigte Person selbst, der Betrieb kann das nicht an ihrer Stelle tun. Trennen kann sie sowohl die beschäftigte Person selbst, jederzeit, ohne Mitwirken des Betriebs, als auch der Betrieb über die Mitarbeiterverwaltung; in beiden Fällen werden Verbindung und bereits übernommene Belegtzeiten sofort gelöscht und die gespeicherten Zugangsschlüssel vernichtet, ein weiterer Abruf ist damit ausgeschlossen. Bei Google widerrufen wir die Freigabe zusätzlich unmittelbar beim Anbieter. Bei Microsoft sieht der Anbieter einen solchen Einzelwiderruf technisch nicht vor; die Freigabe bleibt dort im Konto der beschäftigten Person eingetragen, bis sie sie selbst entfernt (Microsoft-Konto → Datenschutz → Apps und Dienste, die auf Ihre Daten zugreifen können).

Verarbeitet werden die Belegtzeiten ausschließlich, um die eigenen Buchungsslots dieser Person zu sperren; gespeichert bleiben dabei nur Zeiten innerhalb des Buchungsfensters und innerhalb der hinterlegten Arbeitszeiten. Vergangene Zeiten entfernt das System bei jedem Lauf des Abgleichs automatisch unabhängig davon, ob die einzelne Verbindung gerade aktiv, pausiert oder abgelaufen ist. Kolleginnen und Kollegen im Betrieb sehen an der gesperrten Zeit lediglich, dass dort keine Buchung möglich ist, der Grund wird ihnen nirgends angezeigt. Der Betrieb selbst sieht zusätzlich, mit welcher Kontoadresse sich die beschäftigte Person verbunden hat, daran erkennt er, dass tatsächlich sie die Verbindung hergestellt hat.

SMS-Erinnerungen werden über den deutschen Anbieter seven.io als Auftragsverarbeiter versendet (Art. 6 Abs. 1 lit. b DSGVO). Es wird ausschließlich die Mobilnummer verarbeitet, die die Kundin oder der Kunde für die Terminerinnerung angegeben hat. seven.io stellt einen AVV bereit.

Haben Sie in eine Zufriedenheitsanfrage eingewilligt (Abschnitt 4), erhalten Sie nach einem abgeschlossenen Termin einmalig einen Link, über den Sie den Termin mit einem bis fünf Sternen bewerten und freiwillig einen kurzen Text hinterlassen können. Der Link ist 30 Tage gültig; bewertet werden kann nur ein abgeschlossener Termin, und jeder Termin nur einmal.

Verantwortlicher für die Bewertung ist der Betrieb; wir speichern sie in seinem Auftrag zusammen mit der Buchung. Der Betrieb sieht Sterne, Text und Ihren Namen und wird bei niedrigen Bewertungen benachrichtigt. Veröffentlicht werden weder Ihr Name noch Ihr Text. Auf der Profilseite des Betriebs erscheint ausschließlich der Durchschnitt aller Bewertungen mit ihrer Anzahl, und das erst ab fünf Bewertungen, damit aus dem Schnitt kein Rückschluss auf eine einzelne Person möglich ist. Unabhängig von der Sternzahl bieten wir Ihnen anschließend an, den Betrieb zusätzlich bei Google zu bewerten; das ist freiwillig und findet auf der Seite von Google statt.

Den Bewertungstext löschen wir drei Jahre nach der Abgabe; die Sternzahl bleibt als Teil des Durchschnitts erhalten, sie lässt ohne den Text keinen Rückschluss auf eine Person mehr zu (Abschnitt 13).

Die Zahlungsabwicklung für Abo-Gebühren und SMS-Pakete erfolgt über Stripe Payments Europe, Ltd. als Auftragsverarbeiter. Vollständige Kreditkarten- oder Kontodaten erhalten wir nicht. Zurück an uns fließen aus dem Bezahlvorgang: der Zahlungsstatus, die Rechnungsanschrift, eine angegebene Umsatzsteuer-Identifikations­nummer sowie die Zustimmung zu unseren AGB, die Stripe beim Tarifabschluss zusätzlich einholt. Diese Angaben speichern wir zum Betrieb, weil sie für Rechnungsstellung und Umsatzsteuer gebraucht werden. Den Nachweis des Vertragsschlusses führen wir dagegen über die Zustimmung, die bereits bei der Anmeldung erteilt wird, der Vertrag über die kostenlose Testphase kommt dort zustande, nicht erst im Bezahlvorgang.

Technische Qualitätsmessung (Web Vitals). Zur Überwachung der technischen Auslieferungsqualität dieser Website erheben wir anonyme Messwerte zur Ladezeit, Darstellungsstabilität und Reaktionszeit sowie die aufgerufene Seite und die Angabe, ob es sich um ein mobiles Gerät oder einen Desktop handelt. Die Messwerte laufen auf unsere eigene Schnittstelle, nicht zu einem Analyse-Dienstleister. Es werden keine Cookies gesetzt, keine IP-Adressen gespeichert und keine seitenübergreifenden Profile gebildet; eine Einwilligung nach § 25 TDDDG ist daher nicht erforderlich.

Rechtsgrundlage ist unser berechtigtes Interesse an einer technisch fehlerfreien Darstellung (Art. 6 Abs. 1 lit. f DSGVO). Die Messwerte werden nach 30 Tagen automatisch gelöscht. Sie können dieser Verarbeitung nach Art. 21 DSGVO jederzeit widersprechen.

Vercel Web Analytics. Zur Auswertung der Nutzung unseres Angebots setzen wir zusätzlich Vercel Web Analytics ein. Gemessen werden die öffentlichen Seiten einschließlich Anmeldung und Registrierung, die Buchungsseiten der Betriebe und der eingeloggte Bereich. Nicht gemessen wird, und dort erscheint auch kein Einwilligungsbanner, in der als Fenster in fremde Websites eingebetteten Buchungsansicht, im Kiosk-Modus auf Geräten im Betrieb sowie auf allen Links mit einem Zugangstoken im Pfad (Termin-, Warteliste-, Bewertungs-, Einladungs-, Kalender- und Vorgangs-Links).

Erfasst werden dabei der Seitenaufruf mit der aufgerufenen Route, die grobe Herkunft (Land und Region), der Gerätetyp und die verweisende Seite. Zusätzlich melden wir einzelne Vorgänge: abgeschickte Registrierung, Anmeldung, gestartete Testphase, abgeschlossene Einrichtung, abgeschlossene Buchung, gestarteter Abo-Checkout, abgeschicktes Kontaktformular und angeforderter Newsletter. Zu diesen Vorgängen übermitteln wir ausschließlich grobe Merkmale, den gewählten Tarif und Abrechnungszeitraum, die Art der Buchung, den Bestätigungsmodus des Betriebs, das gewählte Thema des Kontaktformulars, den genutzten Anmeldeweg, die Stelle, an der ein Formular abgeschickt wurde, sowie die Angaben, ob der Einrichtungsservice gewünscht und ob ein Gutscheincode eingegeben wurde (nicht der Code selbst).

Die Messung ist auf Datensparsamkeit ausgelegt: Im eingeloggten Bereich übermitteln wir nicht den tatsächlichen Pfad, sondern nur das Routenmuster, also etwa „/admin/termine/[id]“ statt der tatsächlichen Termin-Kennung. Von den Parametern einer Adresse übermitteln wir nur Kampagnen- und Produktparameter (utm_source, utm_medium, utm_campaign, utm_content, utm_term, gclid, ref, plan, interval, topic, status); alle übrigen Parameter und der Teil hinter dem Rautezeichen werden vorher entfernt. Namen, E-Mail-Adressen, Telefonnummern, Termininhalte und Datensatz-Kennungen werden nicht übermittelt. Der Dienst setzt keine Cookies, verwendet keine dauerhafte Kennung und bildet keine seitenübergreifenden Profile.

Vercel Web Analytics wird ausschließlich nach Ihrer ausdrücklichen Einwilligung geladen: Ohne Einwilligung wird der Analyse-Code gar nicht erst in die Seite eingebunden. Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), für den Zugriff auf Informationen in Ihrem Endgerät zusätzlich § 25 Abs. 1 TDDDG. Sie erteilen die Einwilligung über den Cookie-Hinweis und können sie über „Cookie-Einstellungen“ jederzeit mit Wirkung für die Zukunft widerrufen, im Seitenfuß der öffentlichen Seiten und der Buchungsseiten sowie im Nutzermenü des eingeloggten Bereichs.

Vercel Inc. wird dabei als Auftragsverarbeiter für uns tätig (Art. 28 DSGVO). Zum Sitz des Anbieters und zu den Grundlagen der Übermittlung in die USA siehe Abschnitt 3.

Betriebe können uns kostenpflichtig mit der Einrichtung ihres Kontos beauftragen (AGB § 4a). Dabei verarbeiten wir zwei klar getrennte Datenbestände:

a) Daten des beauftragenden Betriebs. Kontaktdaten der Inhaberin oder des Inhabers, Angaben zum gewünschten Leistungsumfang, Freitext-Anmerkungen, Kommunikationsverlauf sowie Rechnungs- und Zahlungsdaten. Rechtsgrundlage ist die Erfüllung des Dienstleistungsvertrags (Art. 6 Abs. 1 lit. b DSGVO) und die Erfüllung steuer- und handelsrechtlicher Aufbewahrungspflichten (Art. 6 Abs. 1 lit. c DSGVO i. V. m. § 147 AO, § 257 HGB). Vorgangsdaten löschen wir 12 Monate nach Abschluss, Rechnungsdaten nach Ablauf der gesetzlichen Aufbewahrungsfristen.

b) Daten Dritter aus überlassenen Unterlagen. Für die Übernahme bestehender Termine überlässt uns der Betrieb Unterlagen (etwa Fotografien von Terminbuchseiten), die Namen, Kontaktdaten und Termindaten seiner Kundinnen und Kunden sowie Angaben zu seinen Beschäftigten enthalten. Diese Daten verarbeiten wir ausschließlich weisungsgebunden als Auftragsverarbeiter nach Art. 28 DSGVO für den jeweiligen Betrieb; Verantwortlicher im Sinne der DSGVO ist der Betrieb, nicht wir. Wir nutzen diese Daten nicht für eigene Zwecke, insbesondere nicht zu Werbe-, Analyse- oder Trainingszwecken. Betroffene Personen wenden sich mit Auskunfts-, Berichtigungs- oder Löschbegehren bitte an den jeweiligen Betrieb; an uns gerichtete Anfragen leiten wir unverzüglich dorthin weiter.

Wo die Unterlagen liegen. Der Betrieb lädt sie im eingeloggten Bereich hoch. Die Übertragung erfolgt transportverschlüsselt; gespeichert werden die Dateien in einem nicht öffentlichen Speicherbereich unseres Hosting-Anbieters (Supabase, Rechenzentrum in der EU, siehe Abschnitt 3). Abrufbar sind sie ausschließlich über kurzlebige, jeweils neu erzeugte Links; eine dauerhafte Adresse gibt es nicht. Zugriff haben die Inhaberin oder der Inhaber des Betriebs und die Mitarbeitenden unseres Einrichtungsteams.

Die überlassenen Unterlagen löschen wir spätestens 14 Tage nach der Abnahme, längstens 30 Tage nach Eingang; kommt der Auftrag nicht zustande, löschen wir sie innerhalb von 7 Tagen. Diese Löschung ist automatisiert und läuft täglich. Übermittelt der Betrieb Unterlagen abweichend per E-Mail, gilt dieselbe Frist für die dabei entstandenen Kopien in den Postfächern.

Sicherungskopien der Datenbank erstellen wir in unregelmäßigen Abständen von Hand, insbesondere vor Änderungen am Aufbau der Datenbank, nicht automatisch. Jede Sicherung ist verschlüsselt, liegt ausschließlich bei uns und wird spätestens 90 Tage nach ihrer Erstellung gelöscht. Sie dient allein der Wiederherstellung nach einem Datenverlust und wird nicht ausgewertet. Daten, die in der laufenden Datenbank bereits gelöscht sind, können bis zu diesem Zeitpunkt in einer Sicherung noch enthalten sein; bei einer Wiederherstellung löschen wir sie erneut. Der Betrieb kann seine Termin- und Kundendaten jederzeit im Verwaltungsbereich als CSV exportieren und daraus eine eigene Sicherung führen.

Automatische Terminerinnerungen an übernommene Endkundinnen und Endkunden sind standardmäßig deaktiviert. Sie werden erst versendet, wenn der Betrieb sie ausdrücklich freigibt, er ist Verantwortlicher für diese Daten und bestätigt dabei, dass er zur Kontaktaufnahme berechtigt ist und die betroffenen Personen nach Art. 13 DSGVO informiert hat.

Betriebe können auf ihrer Buchungsseite einen KI-Chatbot zuschalten. Die im Dialog eingegebenen Angaben, üblicherweise Name, E-Mail-Adresse, Telefonnummer, gewünschte Leistung und Wunschtermin, werden zur Erzeugung der Antwort an OpenAI Ireland Ltd. (Irland) übermittelt, die ihrerseits an OpenAI, L.L.C. in die USA übermittelt. Die Übermittlung ist durch Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO abgesichert; eine Verwendung zu Trainingszwecken ist vertraglich ausgeschlossen. Verantwortlicher ist der Betrieb, wir sind sein Auftragsverarbeiter, OpenAI ist Unterauftragsverarbeiter (siehe Anlage 2 des AVV). Ohne zugeschalteten Chatbot findet diese Übermittlung nicht statt.

Zum Hinterlegen des Google-Bewertungslinks fragen wir einmalig Name und Anschrift des Betriebs bei der Places-API von Google Ireland Ltd. ab. Endkundendaten werden dabei nicht übermittelt.

Schreiben Sie uns über das Kontaktformular, über das Support-Formular im eingeloggten Bereich oder per E-Mail an unsere Support-Adresse, legen wir daraus einen Vorgang an. Darin stehen Ihr Name, Ihre E-Mail-Adresse, auf Wunsch Telefonnummer und Betrieb, der von Ihnen gewählte Kontaktweg, der gesamte Nachrichtenverlauf und die von Ihnen angehängten Dateien. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit Ihre Anfrage der Anbahnung oder Durchführung eines Vertrags mit uns dient, im Übrigen Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt darin, Anfragen nachvollziehbar zu beantworten und den Verlauf einer Sache über mehrere Nachrichten hinweg zusammenzuhalten.

Zusätzlich speichern wir die IP-Adresse des Absendevorgangs, um automatisierte Massenanfragen abzuwehren. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist die Funktionsfähigkeit des Kontaktwegs. Diese Angabe löschen wir nach 30 Tagen, der Vorgang selbst bleibt davon unberührt.

Sie erhalten eine Eingangsbestätigung mit einem persönlichen Link auf Ihren Vorgang. Über diesen Link können Sie den Verlauf ansehen, nachfragen, Dateien anhängen und den Vorgang schließen auch ohne Konto bei uns. Der Link enthält ein Geheimnis und ist deshalb nicht für die Weitergabe bestimmt. Auf dieser Seite findet keine Reichweitenmessung statt, es werden keine Cookies gesetzt, und es erscheint dort kein Einwilligungsbanner.

Wir halten lediglich auf unserem Server fest, wann Ihr Vorgang zum ersten Mal und wie oft er insgesamt aufgerufen wurde. Das dient zwei Zwecken: Wir sehen, ob unsere Nachricht Sie erreicht hat, und erst nach dem ersten Aufruf lassen wir das Anhängen von Dateien zu, andernfalls ließe sich unser Speicher über erfundene Adressen füllen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Dabei wird nichts auf Ihrem Gerät gespeichert und nichts von dort ausgelesen. Ein Zählpixel und eine Umschreibung von Links setzen wir in unseren E-Mails bewusst nicht ein; auch bei unserem Mailanbieter ist die Messung von Öffnungen und Klicks abgeschaltet.

Wer den Link hat, kann den Verlauf lesen und in den Vorgang schreiben, auch per Antwort auf unsere E-Mails. Geben Sie ihn deshalb bitte nicht weiter.

Der Link bleibt gültig, solange der Vorgang läuft, und nach seinem Abschluss noch 90 Tage. Bleibt ein Vorgang ohne Abschluss liegen, endet der Link 180 Tage nach der letzten Nachricht. Vorgänge samt Verlauf und angehängten Dateien löschen wir zwei Jahre nach der letzten Nachricht.

Maschinelle Antwortvorschläge im Support. Zur Vorbereitung einer Antwort können die Mitarbeitenden unseres Supports einen maschinellen Textvorschlag anfordern. Dazu werden der Betreff und die von Ihnen im Vorgang geschriebenen Nachrichten (nicht unsere internen Notizen) an OpenAI Ireland Ltd. (Irland) übermittelt, die ihrerseits an OpenAI, L.L.C. in die USA übermittelt; dasselbe gilt für eine automatische Inhaltsprüfung von Ein- und Ausgabe. Die Übermittlung ist durch Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO abgesichert, eine Verwendung zu Trainingszwecken ist vertraglich ausgeschlossen; eine Kopie der Garantien erhalten Sie auf Anfrage. Der Vorschlag wird nicht automatisch versendet, er landet im Antwortfeld eines Menschen, der ihn liest, ändert und selbst abschickt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt in einer schnelleren und gleichmäßigeren Beantwortung von Supportanfragen. Enthält Ihre Nachricht Angaben über Dritte, nennen Sie bitte nur das, was zur Klärung nötig ist.

Antwortsuche vor dem Formular. Bevor Sie das Kontaktformular oder das Support-Formular im eingeloggten Bereich abschicken, können Sie Ihre Frage in ein Suchfeld eingeben. Diese Frage wird zur Erzeugung einer Antwort an OpenAI Ireland Ltd. (Irland) übermittelt, die ihrerseits an OpenAI, L.L.C. in die USA übermittelt; die Übermittlung ist durch Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO abgesichert, eine Verwendung zu Trainingszwecken ist vertraglich ausgeschlossen. Frage und erzeugte Antwort durchlaufen dabei dieselbe automatische Inhaltsprüfung wie oben. Die Antwort stützt sich ausschließlich auf unsere öffentlichen Hilfeartikel. Die Nutzung ist freiwillig, der Weg zum Formular steht jederzeit offen.

Rechtsgrundlage für die Verarbeitung Ihrer Frage ist Art. 6 Abs. 1 lit. b DSGVO, soweit Ihre Frage der Anbahnung oder Durchführung eines Vertrags mit uns dient, im Übrigen Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt darin, häufige Fragen unmittelbar zu beantworten und den Support von Anfragen zu entlasten, die in unseren Hilfeartikeln bereits beantwortet sind. Sie können dieser Verarbeitung nach Art. 21 DSGVO widersprechen; der Weg zum Formular steht Ihnen unabhängig davon jederzeit offen.

Zur Beurteilung, ob diese Antworten tatsächlich helfen, speichern wir Frage, Antwort und Ihre Rückmeldung „hat geholfen / hat nicht geholfen" für 180 Tage. Dieser Datensatz enthält keine E-Mail-Adresse und keine IP-Adresse im Klartext; die IP wird ausschließlich als nicht rückrechenbarer Prüfwert gespeichert, um den Missbrauch des offenen Suchfelds zu erkennen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (Verbesserung unserer Hilfeinhalte und Schutz vor Missbrauch).

Automatische Erstantwort. Technisch vorbereitet ist zudem eine Erstantwort auf neue Supportvorgänge, die der Assistent ohne menschliche Prüfung verschickt. Sie ist derzeit abgeschaltet. Wird sie eingeschaltet, geht der Text Ihres Vorgangs auf demselben Weg und mit derselben Inhaltsprüfung an OpenAI, und jede so verschickte Nachricht sagt, dass sie von einer KI stammt und wie Sie einen Menschen erreichen.

Meldet ein Postfach eine E-Mail dauerhaft als unzustellbar (Hard Bounce) oder wird eine Nachricht als Spam gemeldet, vermerken wir das, um dieselbe Adresse nicht erneut anzuschreiben. Diese Sperrliste führen wir plattformweit und in eigener Verantwortlichkeit, nicht im Auftrag eines Betriebs.

Zweck: Sicherstellung der Zustellbarkeit unserer gemeinsam genutzten Absenderdomain und Abwehr von Missbrauch. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt darin, dass die Nachrichten aller Betriebe zustellbar bleiben (Erwägungsgründe 47 und 49). Speicherdauer: ein Jahr.

Adressen von Gästen der Betriebe: Gespeichert wird ausschließlich ein Schlüssel, ein mit einem serverseitigen Geheimnis gebildeter HMAC-Wert der Adresse, aus dem sich die Adresse nicht zurückrechnen lässt, nicht die Adresse selbst. Ein betriebsübergreifendes Profil entsteht dabei nicht: Dieser Bestand enthält keine Namen, keine Termine und keine Zuordnung zu einem Betrieb.

Adressen der Betriebe selbst: Hier speichern wir die E-Mail-Adresse im Klartext, dazu den Bezug zum Benutzerkonto und den Anlass der Sperre (etwa „Hard Bounce“ oder „Beschwerde“). Das ist nötig, weil dieselbe Liste auch die selbst erklärten Widersprüche trägt und vor jedem Versand gegen die Empfängeradresse geprüft wird, ein Schlüssel allein ließe sich dort nicht abgleichen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO, bei einem selbst erklärten Widerspruch Art. 21 Abs. 3 DSGVO.

Sie können dieser Verarbeitung nach Art. 21 Abs. 1 DSGVO widersprechen und die Löschung des Eintrags verlangen. Wenden Sie sich dazu formlos an die unter Ziffer 1 genannte Adresse; bei einer Gastadresse benötigen wir dafür die betroffene E-Mail-Adresse, um den Schlüssel berechnen und den Eintrag finden zu können.

Betriebe mit laufender Testphase oder laufendem Abonnement erhalten in unregelmäßigen Abständen eine E-Mail, die beschreibt, was sich an der Software geändert hat („Neu in Seqnd.io“). Empfänger ist die im Betriebskonto hinterlegte Adresse.

Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 7 Abs. 2 Nr. 2 UWG), dieselbe, die Sie bei der Anmeldung erteilen können und die auch die Nachrichten nach Ziffer 11b trägt. Ohne sie versenden wir diese Mails nicht. Sie können sie jederzeit widerrufen; zusätzlich können Sie allein diese Nachrichten abbestellen, ohne die Einwilligung im Übrigen anzutasten, über den Link am Ende jeder solchen Mail oder in den Einstellungen unter „Benachrichtigungen“. Terminbestätigungen, Zahlungs- und Vertragshinweise bleiben davon unberührt.

Wenn Sie beim Anlegen Ihres Betriebs oder später in den Einstellungen das entsprechende Häkchen setzen, senden wir Ihnen E-Mails mit Nutzungstipps, Produktneuheiten und eigenen Angeboten auch dann noch, wenn Sie Ihr Abonnement beendet haben, um Ihnen eine Rückkehr anzubieten. Das Häkchen ist freiwillig: Ohne es funktioniert das Produkt genauso, und die Anmeldung läuft unverändert durch.

Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 7 Abs. 2 Nr. 2 UWG). Zum Nachweis nach Art. 7 Abs. 1 DSGVO speichern wir den Zeitpunkt, die Stelle, an der Sie das Häkchen gesetzt haben, die Fassung des Textes, dem Sie zugestimmt haben, sowie (als Herkunftsindiz) einen nicht rückrechenbaren Prüfwert Ihrer IP-Adresse und die Kennung Ihres Browsers. Widerrufen Sie, bleibt die Zeile mit dem Vermerk des Widerrufs bestehen; das ist der Beleg dafür, dass wir ihn beachtet haben.

Der Widerruf ist jederzeit möglich und wirkt für die Zukunft: über den Link am Ende jeder solchen Mail oder in den Einstellungen unter „Benachrichtigungen“. Davon zu unterscheiden ist der weitergehende Widerspruch an derselben Stelle: Er stoppt zusätzlich Mails, die keine Einwilligung brauchen. Terminbestätigungen, Zahlungs- und Vertragshinweise bleiben in beiden Fällen unberührt, ohne sie ließe sich der Vertrag nicht durchführen.

Speicherdauer: Die Nachweiszeile behalten wir, solange die Einwilligung gilt, und danach für die Dauer der regelmäßigen Verjährung; die Fristen im Einzelnen stehen in der Übersicht unter Ziffer 13.

Wir sprechen Betriebe, die uns noch nicht kennen, mit einem Anschreiben per Post an. Für diese Verarbeitung sind wir selbst Verantwortliche, sie geschieht nicht im Auftrag eines Kunden. Weil wir die Daten dabei nicht bei Ihnen selbst erheben, informieren wir Sie hier nach Art. 14 DSGVO.

Welche Daten: Name und Anschrift des Betriebs, Telefonnummer, E-Mail-Adresse, Website, gegebenenfalls der Name einer Ansprechpartnerin oder eines Ansprechpartners sowie interne Vermerke zum Stand des Kontakts. Enthält ein Anschreiben einen QR-Code, halten wir außerdem fest, ob und wann er aufgerufen wurde und ob dies über ein Mobilgerät oder einen Rechner geschah.

Woher: aus öffentlich zugänglichen Quellen, in der Regel der Website des Betriebs, Branchen- und Verzeichniseinträgen oder Kartendiensten oder aus Adressbeständen, die uns Dritte überlassen haben. Auf Anfrage nennen wir Ihnen die konkrete Quelle Ihres Datensatzes.

Wozu und auf welcher Grundlage: zur Anbahnung einer Geschäftsbeziehung. Rechtsgrundlage ist unser berechtigtes Interesse an Direktwerbung gegenüber Gewerbetreibenden (Art. 6 Abs. 1 lit. f DSGVO, Erwägungsgrund 47). Eine Weitergabe an Dritte findet nicht statt; die Daten liegen bei denselben Auftragsverarbeitern wie der übrige Dienst (Ziffer 3 und 4).

Wie lange: Haben wir Sie nie angeschrieben, löschen wir den Datensatz nach einem Jahr. Haben wir Sie angeschrieben, ohne dass daraus eine Geschäftsbeziehung entstand, löschen wir ihn drei Jahre nach der letzten Aktivität, diese Frist entspricht der regelmäßigen Verjährung (§§ 195, 199 Abs. 1 BGB), innerhalb derer wir belegen können müssen, was wir wann versendet haben.

Ihr Widerspruchsrecht. Sie können der Verwendung Ihrer Daten für Direktwerbung jederzeit formlos widersprechen (Art. 21 Abs. 2 DSGVO), an die unter Ziffer 1 genannte Adresse oder als Antwort auf ein Anschreiben. Danach werden Sie nicht mehr angeschrieben.

Wir löschen den Datensatz nach einem Widerspruch nicht vollständig, und das hat einen Grund: Ohne jeden Eintrag würden wir Ihren Betrieb bei der nächsten Adressrecherche erneut aufnehmen und Ihnen wieder schreiben, der Widerspruch wäre nach kurzer Zeit wirkungslos. Wir behalten deshalb ausschließlich Betriebsname, Postleitzahl und Ort als Sperrvermerk. Anschrift, Ansprechpartner, E-Mail-Adresse, Telefonnummer, Notizen und die Kennung des QR-Codes löschen wir innerhalb von 30 Tagen. Der Sperrvermerk wird ausschließlich dafür verwendet, Sie nicht erneut anzuschreiben; er bleibt bestehen, solange wir Betriebe ansprechen.

Für jede Datenart gilt eine feste Frist. Ein täglicher Aufräumvorgang setzt sie automatisch durch, unabhängig davon, ob der Betrieb noch Kunde ist. Die Fristen orientieren sich an der Regelverjährung von drei Jahren (§§ 195, 199 Abs. 1 BGB): So lange kann aus einem Vorgang noch ein Anspruch entstehen, gegen den man sich verteidigen können muss (Art. 17 Abs. 3 lit. e DSGVO). Daten, die keinen Anspruch belegen, stehen kürzer.

Endet die Testphase ohne Zahlung oder wird das Abonnement beendet, wird der Zugang gesperrt; die Daten bleiben im Rahmen der unten genannten Fristen erhalten und stehen bei einer Reaktivierung wieder zur Verfügung. Der Betrieb kann jederzeit ihre vorzeitige Löschung verlangen (siehe auch AGB § 5).

Verlangt ein Betrieb die Löschung seines Kontos, sperren wir es zunächst für 30 Tage, damit ein Irrtum rückgängig gemacht werden kann; danach werden Betrieb, Kundendaten, Buchungen und die hochgeladenen Bilder und Dateien endgültig gelöscht. Erhalten bleiben Zahlungsbelege für die gesetzliche Aufbewahrungsfrist, der pseudonyme Nachweis erteilter Einwilligungen (drei Jahre), die Erklärungen des Inhabers zu diesen Bedingungen und zur Auftragsverarbeitung sowie ein Löschprotokoll mit Betriebsname, Zeitpunkten und der Anzahl der gelöschten Datensätze, solange wir die Löschung selbst nachweisen können müssen (Art. 5 Abs. 2 DSGVO).

Ein Widerspruch gegen Werbung wird nie automatisch gelöscht. Er gilt nach Art. 21 Abs. 3 DSGVO unbefristet; ihn nach einer Frist zu entfernen hieße, Sie danach wieder anzuschreiben.

Unberührt bleiben gesetzliche Aufbewahrungspflichten für Rechnungen und Buchungsbelege (§ 147 AO, § 257 HGB). Diese betreffen die Abrechnung zwischen uns und dem Betrieb, nicht die Terminzeile mit den Kontaktdaten einer Kundin oder eines Kunden.

Sie haben jederzeit das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16 DSGVO), Löschung (Art. 17 DSGVO), Einschränkung der Verarbeitung (Art. 18 DSGVO), Datenübertragbarkeit (Art. 20 DSGVO) und Widerspruch (Art. 21 DSGVO). Zudem besteht ein Beschwerderecht bei einer zuständigen Datenschutz-Aufsichtsbehörde.

Sind Sie verpflichtet, Daten bereitzustellen? Für eine Terminbuchung sind die im Buchungsformular als Pflicht gekennzeichneten Felder erforderlich; ohne sie kommt kein Termin zustande. Für einen Vertrag mit uns gilt dasselbe für die Angaben im Anmeldeformular. Alle übrigen Angaben sind freiwillig, und ihr Fehlen hat keine Folgen.

Automatisierte Entscheidungen: Eine automatisierte Entscheidungsfindung im Sinne des Art. 22 Abs. 1 DSGVO (einschließlich Profiling) findet nicht statt.

Wenn Sie Kundin oder Kunde eines Betriebs sind, der Seqnd.io nutzt, also dort gebucht, sich auf eine Warteliste gesetzt, an einem Kiosk-Gerät oder im Chat-Assistenten eingetragen, bewertet oder Erinnerungen erhalten haben, ist dieser Betrieb Verantwortlicher für Ihre Daten. Ihre Rechte üben Sie ihm gegenüber aus; seine Kontaktdaten stehen auf seiner Buchungsseite. Wenden Sie sich an uns, leiten wir Ihr Anliegen unverzüglich an den Betrieb weiter und beantworten es nicht selbst (Art. 28 DSGVO). Das gilt nicht für die Verarbeitungen, für die wir selbst Verantwortliche sind (unter anderem die Ziffern 3, 3a, 5, 10a, 11, 11a, 11b und 12); dort antworten wir Ihnen unmittelbar. Ihre Einwilligungen zu Nachrichten eines Betriebs können Sie jederzeit selbst über den Link in Ihrer Terminbestätigung ändern.